Datenschutzerklärung

1. Verantwortlicher

Daniel Garrido
Brinellstraße 26, 40627 Düsseldorf, Deutschland
E-Mail: dgarrido@buddiapp.de

2. Welche Daten wir verarbeiten

• Kontodaten: E-Mail-Adresse, Name (optional), Passwort (verschlüsselt gespeichert).
• Familienprofil: Familienmitglieder, Altersgruppen, Rollen, Präferenzen, Sprache.
• Nutzungsdaten: Chat-Verläufe mit dem Assistenten „Buddy", genutzte Funktionen, Kalendereinträge, Aufgaben, Einkaufslisten.
• Gesundheitsdaten (Art. 9 DSGVO, nur mit ausdrücklicher Einwilligung): Ernährungsdaten (z. B. fotografierte Mahlzeiten, Makronährstoffe), Fitness- und Wearable-Daten (Schritte, Schlaf), gescannte Rezepte/Medikationspläne.
• Finanzdaten (optional): Verträge (z. B. Strom, Versicherung), Budgetkategorien, Ausgaben. Bei aktiver Nutzung der Banking-Anbindung: Kontoumsätze über unseren Dienstleister Tink (siehe Ziff. 5).
• Hochgeladene Inhalte: Fotos und Dokumente, die Sie aktiv scannen oder hochladen (z. B. Briefe, Rechnungen, Terminzettel).

Buddi verfolgt den Grundsatz der Datenminimierung: Sie entscheiden, welche Module Sie nutzen und welche Daten Sie bereitstellen.

3. Zwecke und Rechtsgrundlagen

• Bereitstellung der App und des KI-Assistenten (Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung).
• Verarbeitung von Gesundheitsdaten ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), jederzeit widerruflich in den Einstellungen.
• Proaktive Hinweise, Tagesberichte und Erinnerungen (Art. 6 Abs. 1 lit. a DSGVO — Einwilligung, abschaltbar).
• Empfehlungen mit Affiliate-Links (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Finanzierung der kostenlosen App; Kennzeichnungspflicht siehe Ziff. 6).
• Sicherheit, Missbrauchs- und Fehlererkennung (Art. 6 Abs. 1 lit. f DSGVO).

4. KI-Verarbeitung (wichtig)

Buddy nutzt externe KI-Modelle. Ihre Chat-Nachrichten und von Ihnen gescannte Inhalte werden zur Beantwortung an folgende Auftragsverarbeiter übermittelt (Ausfallkette in dieser Reihenfolge):

Dienstleister	Zweck	Ort / Garantie
Google (Gemini API, Cloud Vision)	Chat-Antworten, Bild- und Dokumentenerkennung	EU/USA · EU-Standardvertragsklauseln (SCC), EU-U.S. Data Privacy Framework
Anthropic (Claude API)	Chat-Antworten (Ausfallsicherung)	USA · SCC / DPF
OpenRouter	Chat-Antworten (zweite Ausfallsicherung)	USA · SCC

Vertragliche Zusicherung dieser Anbieter: API-Eingaben werden nicht zum Training ihrer Modelle verwendet. Wir übermitteln keine Kontodaten (E-Mail, Passwort) an KI-Anbieter; Inhalte werden nur soweit übermittelt, wie es zur Beantwortung Ihrer Anfrage erforderlich ist.

5. Weitere Auftragsverarbeiter und Empfänger

Dienstleister	Zweck	Ort
Supabase	Datenbank, Authentifizierung, Speicher	EU (Frankfurt)
Cloudflare	Hosting der Web-App, CDN, Schutz vor Angriffen	EU/global · SCC
Expo (EAS)	App-Auslieferung, Push-Benachrichtigungen	USA · SCC
Tink (Visa)	Banking-Anbindung (nur bei aktiver Nutzung, PSD2-lizenziert)	EU

Mit allen Auftragsverarbeitern bestehen Verträge gemäß Art. 28 DSGVO. Eine Weitergabe zu Werbezwecken findet nicht statt. Im Übrigen geben wir Daten nur bei gesetzlicher Verpflichtung weiter.

6. Affiliate-Partner und Empfehlungen

Buddi ist für Familien kostenlos und finanziert sich über gekennzeichnete Affiliate-Empfehlungen. Grundsatz: Empfehlungen erfolgen nur bei nachweisbarem Vorteil für Ihre Familie; haben Sie bereits einen gleichwertigen oder besseren Tarif, sagt Buddy das ehrlich.

Erst wenn Sie aktiv auf einen Empfehlungslink klicken, wird der Klick über das jeweilige Partnernetzwerk nachverfolgt (Vergütungszuordnung). Partnernetzwerke: Awin, CHECK24 Partnerprogramm, financeAds, Amazon PartnerNet, CJ Affiliate. Beim Klick verlassen Sie Buddi; es gelten die Datenschutzbestimmungen des Ziel-Anbieters, der ggf. eigene Cookies setzt. Innerhalb der App findet kein Werbe-Tracking statt. Alle Affiliate-Links sind als solche gekennzeichnet.

7. Speicherdauer und Löschung

Ihre Daten bleiben gespeichert, solange Ihr Konto besteht. Sie können Ihr Konto jederzeit in den Einstellungen vollständig löschen („Recht auf Vergessenwerden"); dabei werden alle personenbezogenen Daten Ihrer Familie unwiderruflich entfernt. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

8. Kinder und Jugendliche

Buddi ist eine Familien-App. Eigene Kinder-Zugänge werden ausschließlich durch die Eltern eingerichtet und stehen unter elterlicher Kontrolle (Einwilligung der Sorgeberechtigten, Art. 8 DSGVO; PIN-geschützte Elternfunktionen). Kinderprofile erhalten eine altersgerechte, eingeschränkte Ansicht. Wir richten keine Werbung an Kinder und erheben von Kindern keine Daten ohne elterliche Einwilligung. Nutzer unter 16 Jahren benötigen für die eigenständige Nutzung die Einwilligung der Eltern.

9. Ihre Rechte

• Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21).
• Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).

Anfragen an: dgarrido@buddiapp.de. Beschwerderecht bei der zuständigen Aufsichtsbehörde: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), www.ldi.nrw.de.

10. Sicherheit

Alle Übertragungen sind TLS-verschlüsselt. Der Datenbankzugriff ist durch Row Level Security abgesichert — jede Familie sieht ausschließlich ihre eigenen Daten. Es gelten Zugriffs-, Raten- und Missbrauchskontrollen.