Datenschutzerklärung für Pickeroni

Stand: 13.10.2026

Diese Datenschutzerklärung gilt für die App „Pickeroni“ für iOS und Android und für die Website pickeroni.com. Sie erklärt, welche personenbezogenen Daten wir verarbeiten, wofür und auf welcher Rechtsgrundlage, wer sie erhält, wie lange wir sie speichern und welche Rechte du hast. Pickeroni bieten wir in der Europäischen Union sowie in Island, Liechtenstein und Norwegen an.

Inhalt

1. Verantwortlicher und Kontakt

Verantwortlich für die Verarbeitung deiner personenbezogenen Daten ist:

Felix Pieschka
Steglitzer Damm 34
12169 Berlin
Deutschland

E-Mail für Fragen zum Datenschutz und für Anfragen zu deinen Rechten: contact@pickeroni.com
Weitere Kontaktwege stehen im Impressum unter pickeroni.com/impressum.

Felix Pieschka betreibt Pickeroni als Einzelunternehmen. „Wir“ und „uns“ meint in dieser Erklärung den Verantwortlichen. Eine:n Datenschutzbeauftragte:n haben wir nicht benannt. Dazu sind wir nicht verpflichtet, weil bei uns weniger als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind und keine der Verarbeitungen eine Benennung erfordert (§ 38 BDSG, Art. 37 DSGVO).

2. Überblick

Das Wichtigste in Kürze

Konto: Für ein Konto brauchen wir deine E-Mail-Adresse, einen Anzeigenamen und ein Passwort – oder deine Anmeldung mit Apple oder Google (Abschnitte 3 und 5). Dein Geburtsjahr ist freiwillig (Abschnitt 4).
Inhalte: Deine Rezepte, Abstimmungen, Essenspläne und Einkaufslisten sehen nur die Mitglieder der Listen, mit denen du sie teilst. Abstimmungen sind nicht geheim (Abschnitt 7).
Benachrichtigungen: Push-Benachrichtigungen gibt es nur, wenn du sie in der App aktivierst (Abschnitt 9).
Statistik: Wir werten zusammengefasst aus, wie Pickeroni genutzt wird. Dem kannst du in der App jederzeit widersprechen (Abschnitte 13 und 21).
Dienstleister: Unsere Server stehen in der EU. Für E-Mails und Push-Benachrichtigungen nutzen wir Dienstleister, die Daten auch in den USA verarbeiten können (Abschnitte 17 und 18).
Speicherdauer: Die meisten Daten speichern wir, bis du dein Konto löschst, Protokolle und technische Daten deutlich kürzer (Abschnitt 19).
Löschen: Du kannst dein Konto jederzeit löschen, in der App oder auf unserer Website. Was danach ohne Bezug zu dir oder bei anderen Mitgliedern bleibt, steht in Abschnitt 19.

Was wir nicht tun

Wir verkaufen keine Daten und geben sie nur an die in dieser Erklärung genannten Empfänger weiter (Abschnitt 17).
Keine Werbung von Dritten und kein Werbe-SDK in der App; Hinweise gibt es nur auf unsere eigene Freischaltung.
Kein Tracking über Apps und Websites anderer Anbieter hinweg.
Kein Analyse- und kein Absturzbericht-SDK in der App (insbesondere kein Firebase Analytics und kein Crashlytics).
Keine Cookies auf unserer Website und keine Inhalte von fremden Servern (Abschnitt 14).
Keine Verarbeitung deiner Daten durch künstliche Intelligenz.
Kein Newsletter und keine Werbe-E-Mails.
Kein Zugriff auf deine Kontakte. Wir erheben keine Standortdaten; Ortsangaben in hochgeladenen Fotos entfernen wir beim Speichern (Abschnitt 7).
Keine Profile über einzelne Personen und keine automatisierten Entscheidungen (Abschnitt 22).

3. Dein Konto

Welche Daten:

deine E-Mail-Adresse, dein Anzeigename und dein Passwort. Das Passwort speichern wir nur als nicht umkehrbaren Hash (bcrypt);
Zeitpunkt und Fassung deiner Zustimmung zu den AGB. Mit demselben Haken bestätigst du, mindestens 16 Jahre alt zu sein und diese Datenschutzerklärung gelesen zu haben;
die Sprache deiner App, damit E-Mails und Benachrichtigungen in deiner Sprache ankommen;
den Zeitpunkt deiner letzten Nutzung (höchstens einmal am Tag aktualisiert) und ob wir dir wegen Inaktivität gekündigt haben (Abschnitt 19);
einen Zähler der von dir angelegten Essenspläne für die Freigrenze aus den AGB und einen Merker, ob die App dich noch nach deinem Namen fragen soll (Abschnitt 5);
die Version deiner App, die sie bei jeder Anfrage mitschickt. Wir speichern sie nicht, sondern prüfen nur, ob die Version noch unterstützt wird; sonst bittet die App dich um ein Update.

Bestätigung deiner E-Mail-Adresse: Nach der Registrierung schicken wir dir einen Bestätigungslink, der 60 Minuten gültig ist. Erst nach dem Klick kannst du dein Konto nutzen; so stellen wir sicher, dass die Adresse dir gehört. Registriert sich jemand erneut mit einer noch nicht bestätigten Adresse, ersetzen die neuen Angaben die alten; ein neues Passwort gilt erst nach einem Klick auf den neuen Link. Änderst du später deine E-Mail-Adresse, musst du die neue ebenfalls bestätigen. An die alte Adresse schicken wir einen Sicherheitshinweis (Abschnitt 6), und deine anderen Geräte werden abgemeldet.

Passwort vergessen: Auf Wunsch schicken wir dir einen Link zum Zurücksetzen deines Passworts, der 60 Minuten gültig ist.

Sitzungen: Für jedes Gerät, auf dem du angemeldet bist, speichern wir ein Sitzungs-Token mit dem Zeitpunkt der Anmeldung, der letzten Nutzung und des Ablaufs – keine IP-Adresse und keinen Gerätenamen. Unter Account › Aktive Sitzungen siehst du deine Sitzungen und kannst sie beenden. Eine Sitzung läuft nach 90 Tagen ohne Nutzung ab; jede Nutzung verlängert sie. Sie endet außerdem, wenn du dich abmeldest, sie beendest, dein Passwort zurücksetzt, dein Passwort oder deine E-Mail-Adresse änderst (dann auf deinen anderen Geräten) oder dein Konto löschst. Den Zeitpunkt der letzten Nutzung verwenden wir auch für die Nutzungsstatistik (Abschnitt 13).

Prüfung auf bekannte Passwörter: Bei der Registrierung und wenn du dein Passwort zurücksetzt oder änderst, prüfen wir, ob es in bekannten Datenlecks vorkommt. Dazu bilden wir auf unserem Server einen SHA-1-Hash des Passworts und senden nur dessen erste 5 Zeichen an den Dienst „Have I Been Pwned“. Der Dienst antwortet mit allen bekannten Hashes, die so beginnen; den Vergleich machen wir selbst (sogenannte k-Anonymität). Dein Passwort, der vollständige Hash, deine E-Mail-Adresse und deine IP-Adresse verlassen dabei unseren Server nicht. Bei der Registrierung warnen wir dich nur, und du kannst fortfahren; beim Zurücksetzen und Ändern lehnen wir ein bekanntes Passwort ab.

Wofür: um dein Konto anzulegen, dich anzumelden und angemeldet zu halten, dir die Funktionen von Pickeroni nach den AGB bereitzustellen und dein Konto zu schützen.

Rechtsgrundlage:

Konto, Anmeldung, Sitzungen, Bestätigungs- und Reset-Links, Sprache und Zähler für die Freigrenze: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags).
Zeitpunkt und Fassung der AGB-Zustimmung: Art. 6 Abs. 1 lit. b und lit. f DSGVO. Unser berechtigtes Interesse ist, nachweisen zu können, welcher Fassung der AGB du wann zugestimmt hast.
Prüfung auf bekannte Passwörter und Prüfung der App-Version: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, Konten davor zu schützen, mit bereits geleakten Passwörtern übernommen zu werden, und sicherzustellen, dass nur App-Versionen auf unseren Server zugreifen, die mit ihm fehlerfrei zusammenarbeiten.
Zeitpunkt der letzten Nutzung und Kündigung wegen Inaktivität: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, Konten zu erkennen, die nicht mehr genutzt werden, und sie nach Abschnitt 19 zu löschen, statt sie auf Dauer zu speichern.
Speichern des Sitzungs-Tokens auf deinem Gerät: Abschnitt 16.

Empfänger: unser Hosting-Anbieter als Auftragsverarbeiter, für E-Mails Amazon Web Services (Abschnitt 6). Deinen Anzeigenamen sehen die Mitglieder deiner Listen und in der Vorschau einer Einladung alle Personen, die den Einladungslink kennen (Abschnitt 8).

Speicherdauer: Kontodaten bis zur Löschung deines Kontos (Abschnitt 19). Bestätigungslinks löschen wir, sobald du sie verwendest; nicht verwendete Bestätigungs- und Reset-Links löschen wir 7 Tage nach ihrem Ablauf. Beendete Sitzungen löschen wir sofort, abgelaufene 7 Tage nach ihrem Ablauf.

Pflicht zur Angabe: E-Mail-Adresse, Anzeigename, Passwort und die Zustimmung zu den AGB brauchen wir, um den Vertrag mit dir zu schließen; ohne sie können wir kein Konto anlegen. Die übrigen Daten entstehen bei der Nutzung.

4. Geburtsjahr (freiwillig)

Bei der Registrierung mit E-Mail-Adresse kannst du freiwillig dein Geburtsjahr angeben. Wir speichern nur das Jahr, nicht Tag und Monat. Bei der Anmeldung mit Apple oder Google fragen wir es nicht ab. Die App bietet kein Jahr an, nach dem du jünger als 16 wärst.

Wofür: ausschließlich für eine zusammengefasste Altersstatistik. Wir wollen verstehen, welche Altersgruppen Pickeroni nutzen. Wir prüfen damit nicht dein Alter, zeigen das Jahr weder in deinem Profil noch sonst in der App an und schicken es auch nicht an die App zurück.

So werten wir aus: Wir zählen nur, wie viele Konten in eine Altersgruppe fallen: unter 18, 18–24, 25–34, 35–44, 45–54, 55–64 sowie 65 und älter (dazu „unbekannt“, wenn kein Jahr angegeben ist). Gezählt wird einmal täglich der Stand bis zum Vortag, und jede Gruppe runden wir auf ein Vielfaches von fünf ab. Gruppen mit weniger als fünf Personen erscheinen dadurch nie einzeln. Wir werten das Geburtsjahr nicht für einzelne Personen aus und verbinden es nicht mit anderen Daten zu Profilen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, Funktionen, Inhalte und die Ansprache von Pickeroni auf die Altersgruppen auszurichten, die es tatsächlich nutzen. Weil auch Jugendliche ab 16 Pickeroni nutzen, haben wir ihre Interessen besonders gewichtet: Wir speichern nur das Jahr, werten nur abgerundete Summen aus, geben nichts weiter und lassen dich jederzeit widersprechen.

Empfänger: Das Jahr liegt nur in unserer Datenbank bei unserem Hosting-Anbieter (Auftragsverarbeiter). Die Summen je Altersgruppe speichern wir als Zeitreihe auf eigener Technik (Abschnitt 13). Wir geben das Geburtsjahr an niemanden weiter.

Speicherdauer: bis du dein Konto löschst oder uns bittest, das Jahr zu löschen; in Sicherungskopien bis zu deren Ablauf (Abschnitt 19).

Freiwillig: Ohne Angabe kannst du Pickeroni uneingeschränkt nutzen.

Widerspruch, Änderung, Löschung: Schaltest du unter Account › Nutzungsstatistik „Zur Nutzungsstatistik beitragen“ aus, zählt dein Konto auch in der Altersstatistik nicht mehr (Abschnitt 21). Das Jahr selbst bleibt dabei gespeichert. Möchtest du es ändern oder löschen lassen, schreib uns an contact@pickeroni.com; in der App geht das derzeit nicht.

5. Anmeldung mit Apple oder Google

Statt mit E-Mail-Adresse und Passwort kannst du dich mit deinem Apple- oder Google-Konto anmelden. Dann erhalten wir die folgenden Daten nicht von dir, sondern von Apple bzw. Google.

Welche Daten:

eine Kennung deines Apple- bzw. Google-Kontos und den Anbieter;
deine E-Mail-Adresse, bei Apple ggf. eine Weiterleitungsadresse, wenn du „E-Mail-Adresse verbergen“ wählst. Die Adresse gilt als bestätigt;
deinen Namen, wenn der Anbieter ihn übermittelt. Apple tut das nur bei der allerersten Anmeldung. Fehlt der Name, verwenden wir vorläufig den Teil deiner E-Mail-Adresse vor dem „@“ als Anzeigenamen (bei Apple ggf. den Teil der Weiterleitungsadresse), und die App fragt dich einmal nach deinem Namen.

So läuft es ab: Die App erhält von Apple bzw. Google ein signiertes Anmelde-Token und schickt es an unseren Server. Wir prüfen die Signatur mit den öffentlichen Schlüsseln von Apple bzw. Google; dabei schicken wir keine Daten an die Anbieter. Gibt es noch kein Pickeroni-Konto, legen wir es erst an, wenn du in der App den AGB zustimmst. Das Token prüfen wir schon vorher und zählen den Anmeldeversuch; ohne deine Zustimmung speichern wir danach nichts. Ein so angelegtes Konto verbinden wir nicht automatisch mit einem Konto, das du mit derselben E-Mail-Adresse und einem Passwort angelegt hast.

Auf Android läuft „Mit Apple anmelden“ über eine Webseite: Apple schickt die Antwort an pickeroni.com/auth/apple/callback, und unsere Website leitet sie sofort an die App weiter, ohne sie zu speichern. Das Zugriffsprotokoll des Webservers enthält dabei nur den Aufruf dieser Adresse, nicht die Anmeldedaten (Abschnitt 12).

Schutz vor Missbrauch: Wir zählen eine Stunde lang die Anmeldeversuche je Apple- bzw. Google-Kennung, die wir dafür nur pseudonymisiert speichern, und merken uns ebenso lange einen Hash (SHA-256) jedes verwendeten Anmelde-Tokens, damit es nicht ein zweites Mal verwendet werden kann.

Wofür: um dich ohne eigenes Passwort anzumelden und dein Konto anzulegen; um Anmeldungen vor Missbrauch zu schützen.

Rechtsgrundlage: Anmeldung und Kontoanlage: Art. 6 Abs. 1 lit. b DSGVO. Schutz vor Missbrauch: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, automatisierte Anmeldeversuche und die Wiederverwendung abgefangener Anmelde-Tokens abzuwehren.

Empfänger: Apple und Google verarbeiten deine Daten bei der Anmeldung als eigene Verantwortliche nach ihren eigenen Datenschutzbestimmungen (Apple: apple.com/legal/privacy, Google: policies.google.com/privacy); siehe auch Abschnitte 17 und 18.

Speicherdauer: Kennung und Verknüpfung bis zur Löschung deines Kontos. Mit der Löschung widerrufen wir auch die Verknüpfung bei Apple. Zähler und Token-Hashes gelten eine Stunde; abgelaufene Einträge löschen wir täglich.

Pflicht zur Angabe: Die Anmeldung mit Apple oder Google ist freiwillig; du kannst dich stattdessen mit deiner E-Mail-Adresse registrieren. Wählst du sie, brauchen wir die genannten Daten für die Anmeldung.

6. E-Mails von Pickeroni

Wir verschicken nur E-Mails, die zu deinem Konto gehören – keinen Newsletter und keine Werbung:

Bestätigung deiner E-Mail-Adresse (bei der Registrierung, auf deine Anforderung erneut und an die neue Adresse, wenn du sie änderst – bis du sie bestätigst, speichern wir sie als vorgemerkte Adresse, und deine bisherige bleibt gültig);
Link zum Zurücksetzen deines Passworts;
Sicherheitshinweis an deine bisherige Adresse, wenn du sie änderst. Er nennt die neue Adresse, damit du eine Änderung erkennst, die nicht von dir stammt, und uns unter contact@pickeroni.com informieren kannst.

Bestätigungs- und Reset-Mails enthalten deinen Anzeigenamen und einen Link mit einem einmaligen Code und deiner E-Mail-Adresse. Öffnest du den Link auf einem Gerät ohne App, stehen Code und Adresse im Zugriffsprotokoll unserer Website (Abschnitt 14).

Versand: Bis zum Versand liegt jede E-Mail in einer Warteschlange auf unserem Server (Abschnitt 12). Verschickt wird sie über Amazon Simple Email Service (SES) in der Region Frankfurt (eu-central-1) mit der Absender-Domain mail.pickeroni.com. Kann eine E-Mail nicht zugestellt werden oder meldet der Empfänger sie als Spam, benachrichtigt uns Amazon (über Amazon SNS) per E-Mail. Diese Meldung enthält die betroffene E-Mail-Adresse und landet in unserem Postfach (Abschnitt 15).

Keine Erfolgsmessung: Wir messen nicht, ob du eine E-Mail öffnest oder einen Link darin anklickst.

Rechtsgrundlage: Bestätigungs- und Reset-Mails: Art. 6 Abs. 1 lit. b DSGVO. Sicherheitshinweis: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, dein Konto vor einer Übernahme zu schützen. Verarbeitung von Unzustellbarkeits- und Spam-Meldungen: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine verlässliche Zustellung, ohne wiederholt an ungültige oder ablehnende Adressen zu senden.

Empfänger: Amazon Web Services als Auftragsverarbeiter; für die Meldungen in unserem Postfach OVH und Posteo (Abschnitt 15). Zum Drittlandbezug von Amazon siehe Abschnitt 18.

Speicherdauer: in der Warteschlange bis zum Versand (fehlgeschlagene Aufträge: Abschnitt 12); Meldungen in unserem Postfach wie in Abschnitt 15.

7. Deine Inhalte und gemeinsame Listen

Welche Daten:

Rezepte: Name, Zutaten, Schritte, Portionen, Dauer, Schwierigkeit, Kategorien, optional ein Link auf eine fremde Website und Fotos (aufgenommen mit der Kamera oder ausgewählt aus deiner Mediathek);
Listen mit ihren Mitgliedern, Rollen (Owner oder Mitglied) und dem Datum des Beitritts; wer ein Rezept zu einer Liste hinzugefügt hat;
Abstimmungen, deine Stimmen und deine Teilnahme;
Essenspläne (auch, was als „gekocht“ markiert ist) und Einkaufslisten mit selbst eingetragenen Positionen;
Korrekturen an der Sortierung einer Einkaufsliste nach Supermarkt-Regalen, die wir uns merken.

Wer was sieht:

Ein Rezept sehen du und die Mitglieder der Listen, denen du es zuordnest. Fotos laden nur angemeldete Mitglieder. Es gibt kein öffentliches Profil, keine öffentliche Suche und keine Kommentare oder Chats.
Die Mitglieder einer Liste sehen ihre Rezepte, Abstimmungen, Essenspläne und Einkaufslisten sowie die Anzeigenamen der anderen Mitglieder. Persönliche Essenspläne und Einkaufslisten sieht nur, wer sie angelegt hat.
Abstimmungen sind nicht geheim: Die Mitglieder sehen namentlich, wer für welches Rezept gestimmt hat, auch während die Abstimmung läuft.
Gemerkte Regal-Korrekturen gelten für alle Mitglieder der Liste bzw. bei persönlichen Einkaufslisten nur für dich, nie für andere Listen. Wir merken uns höchstens 500 je Liste bzw. Person; kommt eine neue hinzu, fällt die älteste weg.

Kopien und gespeicherte Namen:

Mitglieder können ein Rezept, das du mit ihrer Liste teilst, mit „Rezept übernehmen“ samt Foto in ihr eigenes Konto kopieren. Die Kopie gehört dann ihnen und bleibt bestehen, auch wenn du das Original löschst, die Liste verlässt oder dein Konto löschst. Intern merkt sich die Kopie, von welchem Rezept sie stammt, damit wir bei einer Sperre auch Kopien finden (Abschnitt 11). Beim ersten Teilen eines Rezepts weist die App darauf hin.
Abstimmungen, Essenspläne und Einkaufslisten speichern den Namen eines Rezepts, Abstimmungen zusätzlich eine eigene Kopie seines Fotos. Name und Fotokopie bleiben dort, auch wenn das Rezept gelöscht wird; die Fotokopie wird mit der Liste gelöscht.
Sperren wir ein Rezept nach einer Meldung, zeigen wir seinen Namen und sein Foto auch dort niemandem mehr und löschen die Fotokopie; die Stimmen bleiben (Abschnitt 11).

Fotos: Jedes hochgeladene Foto kodieren wir auf dem Server neu (JPEG, Original und Vorschaubild). Dabei gehen alle eingebetteten Metadaten (EXIF) verloren, auch Ortsangaben (GPS); nur die Ausrichtung des Bildes werten wir vorher aus. Die App entfernt Metadaten nicht schon auf deinem Gerät: Sie kommen mit dem Upload bei uns an, gespeichert wird aber nur die neu kodierte Fassung.

Abstimmungen löschen: Wird eine beendete Abstimmung gelöscht, blenden wir sie zunächst aus. Endgültig löschen wir sie samt Stimmen und Fotokopien 30 Tage nach dem Ausblenden.

Wenn du dein Konto löschst: Bist du Owner einer Liste mit weiteren Mitgliedern, geht sie mit ihren Inhalten (außer deinen eigenen Rezepten) automatisch und ohne Rückfrage auf das Mitglied über, das ihr am längsten angehört; dieses verwaltet die Liste dann. Listen ohne weitere Mitglieder löschen wir. Was sonst bleibt, steht in Abschnitt 19.

Daten anderer Personen: Lädst du Fotos hoch, auf denen andere Menschen zu erkennen sind, oder schreibst du Angaben über andere in ein Rezept, verarbeiten wir auch deren Daten. Lade solche Fotos nur hoch, wenn die abgebildeten Personen einverstanden sind (AGB § 8). Wer sich in Inhalten bei Pickeroni wiederfindet und das nicht möchte, kann sich an contact@pickeroni.com wenden; Mitglieder können Rezepte außerdem in der App melden (Abschnitt 11).

Links zu fremden Websites: Die App zeigt bei einem Rezept-Link die Domain an und öffnet die Seite außerhalb der App. Was dort mit deinen Daten geschieht, bestimmt der Betreiber dieser Website.

Verbesserung der Regal-Sortierung: Damit die automatische Sortierung von Einkaufslisten nach Supermarkt-Regalen besser wird, werten wir aus, welche Positionsnamen (in vereinheitlichter Schreibweise) wir keinem Regal zuordnen konnten und welche Korrekturen häufig vorkommen. Dabei fließen auch selbst eingetragene Positionen und Zutaten aus Rezepten ein, die nur du siehst. Ausgewertet werden nur Namen, die in mindestens fünf verschiedenen Listen bzw. Konten vorkommen, ohne Kennungen und ohne Bezug zu einer Person. Die Ergebnisse übernehmen wir nicht automatisch, sondern prüfen sie selbst. Nach einem Widerspruch gegen die Nutzungsstatistik fließen deine persönlichen Einkaufslisten und Korrekturen nicht mehr ein (Abschnitt 13).

Rechtsgrundlage:

Speichern und Anzeigen deiner Inhalte, Kopien, gespeicherte Namen und Übergabe der Liste: Art. 6 Abs. 1 lit. b DSGVO; das ist der Kern von Pickeroni.
Dass Kopien und gespeicherte Namen nach dem Löschen bei anderen bleiben: Art. 6 Abs. 1 lit. f DSGVO; die anderen Mitglieder haben ein berechtigtes Interesse daran, Rezepte, die mit ihnen geteilt wurden, und die Ergebnisse gemeinsamer Abstimmungen und Pläne weiter zu nutzen (AGB § 8, § 9).
Daten anderer Personen in deinen Inhalten: Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt darin, Inhalte so zu speichern und den Mitgliedern einer Liste zu zeigen, wie die Nutzer:innen es wünschen. Die Abgebildeten schützen die Pflicht, nur mit ihrem Einverständnis hochzuladen, der beschränkte Kreis der Listenmitglieder und die Möglichkeit, Inhalte zu melden.
Verbesserung der Regal-Sortierung: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine bessere automatische Sortierung für alle Nutzer:innen.

Empfänger: die Mitglieder deiner Listen; unser Hosting-Anbieter als Auftragsverarbeiter; Inhalte von Push-Benachrichtigungen laufen über Google und Apple (Abschnitt 9).

Speicherdauer: bis du die Inhalte oder dein Konto löschst; Ausnahmen und was bei anderen bleibt, stehen in Abschnitt 19. Gemerkte Korrekturen löschen wir mit der Liste bzw. mit deinem Konto.

Pflicht zur Angabe: Was du einträgst, entscheidest du. Ohne Inhalte kannst du die jeweilige Funktion nicht nutzen.

8. Einladungen

Du kannst Personen über einen Einladungslink (8 Zeichen, 7 Tage gültig) oder einen Einladungscode (6 Zeichen, 90 Minuten gültig) in eine Liste einladen; je Liste gibt es höchstens einen gültigen Link und einen gültigen Code. Link oder Code teilst du über den Teilen-Dialog deines Geräts, z. B. per Messenger oder SMS. Die App bindet keine Messenger selbst an; für die Übermittlung ist der Dienst verantwortlich, den du wählst.

Öffentliche Vorschau: Wer den Link öffnet, sieht ohne Konto und ohne Anmeldung den Namen der Liste und den Anzeigenamen der einladenden Person. Gib den Link deshalb nur an Personen weiter, die du in der Liste haben möchtest.

Einladungsstatistik: Wir zählen, wie oft ein Link geöffnet wurde und wann zum ersten Mal, und speichern zu jedem Beitritt, wer beigetreten ist, ob dabei ein neues Konto entstanden ist und wann. Löschst du dein Konto, entfernen wir den Bezug zu dir; die Angabe bleibt ohne Personenbezug für die Statistik erhalten.

Rechtsgrundlage: Einladen, Vorschau und Beitritt: Art. 6 Abs. 1 lit. b DSGVO. Einladungsstatistik: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist zu verstehen, wie Einladungen genutzt werden und wie viele neue Nutzer:innen über sie zu Pickeroni kommen, um die Funktion zu verbessern.

Empfänger: jede Person, die den Link kennt (Vorschau); unser Hosting-Anbieter.

Speicherdauer: Link und Code werden mit ihrem Ablauf ungültig; wir löschen sie mit der Liste oder deinem Konto. Einladungsstatistik: Die Angaben zu einzelnen Beitritten löschen wir nach 25 Monaten; danach bleiben nur Summen ohne Bezug zu einer Person.

9. Push-Benachrichtigungen

Push-Benachrichtigungen sind freiwillig. Bevor die App dein Betriebssystem um Erlaubnis bittet, erklärt sie in einem eigenen Hinweis, wofür sie Benachrichtigungen sendet – nach dem Start einer Abstimmung, dem Beitritt per Einladung oder dem Teilen einer Liste, nie beim Start der App.

Schritt 1 – Aktivieren auf deinem Gerät: Erst wenn du im Hinweis „Aktivieren“ wählst oder unter Account › Benachrichtigungen „Benachrichtigungen aktivieren“ tippst und dein Betriebssystem die Berechtigung erteilt, schaltet die App den Dienst Firebase Cloud Messaging (FCM) von Google ein. Dann legt das Firebase-SDK auf deinem Gerät eine Installations-ID und ein Geräte-Token an und meldet sie an Google. Vorher erzeugt die App keine dieser Kennungen und sendet nichts an Firebase. Das gilt auf allen Geräten, auch auf älteren Android-Versionen, die Benachrichtigungen ohne Rückfrage erlauben. Dass du Benachrichtigungen aktiviert hast, merkt sich die App auf deinem Gerät.

Schritt 2 – Registrierung bei uns und Versand: Die App meldet das Geräte-Token an unseren Server. Wir speichern es mit der Plattform (iOS oder Android) und der zugehörigen Sitzung, für höchstens 20 Geräte je Konto. Für eine Benachrichtigung übergeben wir Text und Token an FCM; Google stellt sie auf Android selbst zu, auf iOS über den Apple Push Notification service (APNs) von Apple. Benachrichtigungen enthalten Namen von Listen und Rezepten und Anzeigenamen anderer Mitglieder; diese Inhalte laufen also über Server von Google und auf iOS auch von Apple.

Anlässe: Eine Abstimmung wurde gestartet (mit ihrem Ende), endet bald oder ist beendet; jemand ist einer deiner Listen beigetreten; neue Rezepte wurden zu einer Liste hinzugefügt (gesammelt, 40 bis 180 Minuten später). Jede Art kannst du unter Account › Benachrichtigungen einzeln abschalten.

Fehlersuche: Kommen Benachrichtigungen nicht an, können wir eine Test-Benachrichtigung an die Geräte deines Kontos schicken.

Die Erlaubnis deines Betriebssystems ist keine datenschutzrechtliche Einwilligung. Sie erlaubt der App nur technisch, Benachrichtigungen anzuzeigen. Wir stützen Push-Benachrichtigungen nicht auf eine Einwilligung, sondern auf die folgenden Rechtsgrundlagen.

Rechtsgrundlage:

Anlegen und Auslesen von Installations-ID und Geräte-Token auf deinem Gerät (Schritt 1): § 25 Abs. 2 Nr. 2 TDDDG; das ist unbedingt erforderlich, damit wir dir die Benachrichtigungen schicken können, die du ausdrücklich aktiviert hast. Die weitere Verarbeitung: Art. 6 Abs. 1 lit. b DSGVO.
Registrierung und Versand (Schritt 2): Art. 6 Abs. 1 lit. b DSGVO, weil du die Funktion aktiviert hast und jede Art abschalten kannst.
Test-Benachrichtigung: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, Fehler bei der Zustellung zu finden und zu beheben.

Empfänger: Google (Firebase Cloud Messaging, Firebase Installations) als Auftragsverarbeiter, auf iOS außerdem Apple (APNs). Beide können Daten in den USA verarbeiten (Abschnitt 18).

Speicherdauer und Ende: Meldest du dich ab oder löschst du dein Konto in der App, beendet die App die Aktivierung, schaltet FCM ab und lässt Geräte-Token und Installations-ID bei Google löschen; Google löscht die zugehörigen Daten nach eigenen Angaben innerhalb von 180 Tagen. Nach der nächsten Anmeldung fragt die App erneut. Das Geräte-Token bei uns löschen wir mit der zugehörigen Sitzung, also wenn du dich abmeldest, die Sitzung beendest, sie durch eine Passwort- oder E-Mail-Änderung endet oder du dein Konto löschst, außerdem sobald Google es beim Versand als ungültig meldet. Läuft eine Sitzung ab, löschen wir das Geräte-Token mit ihr (Abschnitt 3). Löschst du dein Konto über die Website oder per E-Mail, erreicht das dein Gerät nicht (Abschnitt 16).

Pflicht zur Angabe: keine; ohne Aktivierung erhältst du keine Push-Benachrichtigungen.

10. Freischaltung per In-App-Kauf

Pickeroni lässt sich mit einem einmaligen In-App-Kauf freischalten; ein Abo gibt es nicht. Den Kauf schließt du mit Apple (App Store) bzw. Google (Google Play) ab, dort bezahlst du auch. Wir erhalten keine Zahlungsdaten. Apple und Google verarbeiten die Daten des Kaufs als eigene Verantwortliche nach ihren eigenen Datenschutzbestimmungen.

Welche Daten: Plattform, Transaktions-ID (bei Google: Purchase-Token), das gekaufte Produkt, der Zeitpunkt, zu dem wir den Kauf geprüft haben, ob er in der Testumgebung des Stores stattfand, und ggf. wann er erstattet wurde. Außerdem hat dein Konto eine zufällige Kauf-Kennung, die keine weiteren Angaben über dich enthält.

So läuft es ab: Um einen Kauf zu bestätigen, fragt unser Server bei Apple (App Store Server API) bzw. Google (Google Play Developer API) nach, ob er gültig ist; dabei übermitteln wir die Transaktions-ID bzw. den Purchase-Token. Die App übergibt beim Kauf die Kauf-Kennung deines Kontos an Apple bzw. Google; so prüfen wir, dass der Kauf zu deinem Konto gehört. Ein Kauf gehört höchstens zu einem Pickeroni-Konto. Erstattet Apple oder Google einen Kauf, erfahren wir das über eine Benachrichtigung von Apple bzw. einen täglichen Abgleich und beenden die Freischaltung.

Wofür: um die Freischaltung für dein Konto zu gewähren und zu verhindern, dass ein Kauf mehreren Konten zugeordnet wird.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Empfänger: Apple bzw. Google zur Prüfung des Kaufs (Abschnitte 17 und 18).

Speicherdauer: bis zur Löschung deines Kontos. Danach kannst du denselben Store-Kauf mit „Käufe wiederherstellen“ nach erneuter Prüfung einem neuen Konto zuordnen. Für unsere Steuerunterlagen sind die Abrechnungen von Apple und Google maßgeblich, nicht die bei uns gespeicherten Kaufdaten; diese löschen wir deshalb mit deinem Konto.

Pflicht zur Angabe: Ohne diese Daten können wir die Freischaltung nicht gewähren.

11. Meldungen von Rezepten

Mitglieder einer Liste können ein Rezept, das jemand anderes dort geteilt hat, mit „Rezept melden“ melden, etwa weil es rechtswidrig ist. Das ist unser Melde- und Abhilfeverfahren nach Art. 16 des Digital Services Act (DSA). Wie man ohne Konto meldet, steht im Impressum.

Welche Daten: das gemeldete Rezept, die meldende Person, der Grund (unangemessen, Urheberrecht, Spam, Sonstiges), ein freiwilliger Kommentar (bis 1.000 Zeichen), der Name des Rezepts und die Kennung seiner Besitzer:in zum Zeitpunkt der Meldung, der Bearbeitungsstand und die Zeitpunkte. Der Kommentar ist Freitext und kann Angaben über andere Personen enthalten.

So läuft es ab: Jede Meldung erhalten wir zusätzlich per E-Mail in unser Postfach (mit den Kennungen von Besitzer:in und meldender Person, Name des Rezepts, Grund und Kommentar, ohne E-Mail-Adressen). Wir prüfen Meldungen selbst; eine automatisierte Entscheidung gibt es nicht. Sperren wir ein Rezept, sieht es nur noch seine Besitzer:in: Es verschwindet aus allen Listen, lässt sich nicht mehr teilen oder übernehmen, und sein Name und Foto erscheinen nicht mehr in Abstimmungen, Essensplänen und Einkaufslisten. Wir können dabei auch Kopien sperren, die Mitglieder übernommen haben.

Wofür: um Hinweise auf rechtswidrige oder unzulässige Inhalte zu prüfen, darüber zu entscheiden und das zu dokumentieren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 DSA (Pflicht, Meldungen entgegenzunehmen und zu bearbeiten) sowie Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, unsere Entscheidungen nachweisen und Rechtsansprüche abwehren zu können.

Empfänger: unser Hosting-Anbieter, für die E-Mail OVH und Posteo (Abschnitt 15).

Speicherdauer: Erledigte Meldungen löschen wir am Ende des dritten Kalenderjahres nach ihrer Erledigung, eine 2026 erledigte Meldung also Ende 2029. Das entspricht der regelmäßigen Verjährungsfrist für Ansprüche, die aus unserer Entscheidung entstehen können. Löschst du dein Konto, entfernen wir den Bezug zu dir als meldender Person; ebenso die Kennung der Besitzer:in, wenn diese ihr Konto löscht. Für die E-Mail in unserem Postfach gilt Abschnitt 15.

Pflicht zur Angabe: Melden ist freiwillig. Ohne Grund können wir eine Meldung nicht bearbeiten.

12. Sicherheit und Betrieb

Damit Pickeroni sicher und stabil läuft, verarbeiten wir beim Betrieb unseres Servers die folgenden Daten. Rechtsgrundlage ist jeweils Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer und stabiler Betrieb: Angriffe und Missbrauch abwehren, Fehler finden und beheben, Ausfälle verhindern und Daten nach einem Ausfall wiederherstellen.

Zugriffsprotokolle: Bei jedem Aufruf unserer App-Schnittstelle (api.pickeroni.com) und unserer Website protokolliert der Webserver die vollständige IP-Adresse, den Zeitpunkt, die aufgerufene Adresse einschließlich ihrer Parameter, den Statuscode, die zuvor besuchte Seite (Referrer) und die Kennung von Browser bzw. App (User-Agent); dazu kommen Fehlerprotokolle. Speicherdauer: 14 Tage.

Anwendungsprotokoll: Fehler und Warnungen unserer Anwendung. Bei Anfragen angemeldeter Personen enthält ein Eintrag deren Nutzerkennung (eine Zahl); Fehlermeldungen der Datenbank können einzelne Werte nennen, etwa eine E-Mail-Adresse. Passwörter und Zugangs-Tokens schreiben wir nicht hinein. Speicherdauer: 30 Tage.

Schutz vor Missbrauch (Rate-Limiting): Wir begrenzen, wie viele Anfragen in kurzer Zeit eingehen dürfen. Dazu zählen wir Anfragen je IP-Adresse (bei IPv6 gekürzt auf die ersten 64 Bit), je Nutzerkennung, bei Anmeldung, „Passwort vergessen“ und erneutem Senden der Bestätigung je E-Mail-Adresse und bei der Anmeldung mit Apple oder Google je Anbieter-Kennung. E-Mail-Adresse, IP-Adresse und Anbieter-Kennung speichern wir dafür nur pseudonymisiert (als HMAC-SHA256 mit einem geheimen Schlüssel), die Nutzerkennung als Zahl. Die Zählfenster dauern einige Minuten bis eine Stunde; abgelaufene Einträge löschen wir täglich.

Leistungsüberwachung: Mit dem Werkzeug Laravel Pulse erfassen wir langsame Anfragen (über eine Sekunde), langsame Datenbankabfragen und Hintergrundaufgaben sowie Fehler. Bei einer langsamen Anfrage einer angemeldeten Person speichern wir deren Nutzerkennung, damit wir erkennen, ob Probleme bestimmte Konten betreffen. Die Daten liegen auf unserem Server; die Übersicht ist nur von freigegebenen IP-Adressen aus erreichbar. Speicherdauer: 7 Tage.

Betriebsmetriken: Zählwerte ohne Bezug zu einzelnen Personen, etwa Anfragen je Schnittstelle, Statuscodes, Tarifstufe (Gast, kostenlos, freigeschaltet), App-Version, Antwortzeiten, Fehlerarten, der Zustand von Warteschlange, geplanten Aufgaben und Sicherungen sowie Ergebnisse von Push- und E-Mail-Versand. Wir übertragen sie über eine verschlüsselte Verbindung (WireGuard) auf einen eigenen Server im Heimnetz des Verantwortlichen in Deutschland und speichern sie dort als Zeitreihen. Speicherdauer: 25 Monate.

Warteschlange: E-Mails und Push-Benachrichtigungen verschicken wir über eine Warteschlange in unserer Datenbank. Ein Auftrag enthält z. B. E-Mail-Adresse, Inhalt und den Code eines Bestätigungs- oder Reset-Links, bei der Registrierung auch den Passwort-Hash. Wir löschen ihn nach der Ausführung. Schlägt ein Auftrag fehl, speichern wir ihn mit der Fehlermeldung, um den Fehler zu finden, und löschen ihn nach 7 Tagen.

Sitzungen im Browser: Für unser internes Dashboard und für Browser-Anfragen an unsere App-Schnittstelle, die von pickeroni.com ausgehen, legt der Server Sitzungen mit IP-Adresse, Browserkennung und ggf. Nutzerkennung an. Die App, unsere Website und die Löschseite lösen das nicht aus. Sitzungen werden nach 120 Minuten ungültig und danach regelmäßig gelöscht.

Datensicherungen: Wir sichern die vollständige Datenbank und alle hochgeladenen Fotos: bei jeder Aktualisierung der App-Schnittstelle unverschlüsselt auf unserem Server (dort löschen wir sie nach 14 Tagen) und regelmäßig verschlüsselt auf einem Speicher (NAS) im Heimnetz des Verantwortlichen in Deutschland. Den Schlüssel zum Entschlüsseln speichern wir weder auf dem Server noch auf der NAS. Sicherungen enthalten alle Daten aus dieser Erklärung zum Zeitpunkt der Sicherung. Speicherdauer: Jede Sicherung löschen wir spätestens nach 90 Tagen.

Empfänger: unser Hosting-Anbieter. Zeitreihen und verschlüsselte Sicherungen liegen auf eigener Technik des Verantwortlichen, nicht bei Dritten.

13. Nutzungsstatistik

Neben dem Betrieb werten wir aus, wie Pickeroni genutzt wird. So erkennen wir, ob neue Nutzer:innen gut starten, ob sie Pickeroni weiter nutzen, ob die Freigrenzen passen und welche Sprachen und Plattformen wichtig sind.

Was wir zählen:

aktive Nutzer:innen der letzten 5 und 15 Minuten und der letzten 1, 7 und 30 Tage, ermittelt aus dem Zeitpunkt der letzten Nutzung deiner Sitzungen (Abschnitt 3);
von den in den letzten 30 Tagen Registrierten, wie viele binnen 24 Stunden ein Rezept angelegt, binnen 7 Tagen eine eigene Liste mit mindestens zwei Mitgliedern und binnen 14 Tagen eine beendete Abstimmung haben, jeweils gerechnet ab der eigenen Registrierung;
Konten an der Freigrenze und nahe einer harten Obergrenze, unbestätigte Konten, Konten mit Push-Gerät je Plattform, Konten je App-Sprache, Altersgruppen (Abschnitt 4), aktivierte Benachrichtigungsarten, Konten je Tarif und je Anmeldeweg;
Rezepte mit Foto oder mit Schritten, Beteiligung an Abstimmungen, Einladungen und Beitritte;
Ereignisse: Kontolöschungen, Erreichen einer Freigrenze, Anfragen je App-Version.

So zählen wir: Unser Server berechnet diese Werte aus den gespeicherten Daten und gibt nur Summen aus, keine Kennungen und keine Angaben über einzelne Personen. Die Summen speichern wir als Zeitreihen auf einem eigenen Server im Heimnetz des Verantwortlichen in Deutschland (Abschnitt 12). Außer den Altersgruppen sind die Werte genau; solange Pickeroni wenige Nutzer:innen hat, ließe sich ein einzelner Anstieg deshalb mit dem Zeitpunkt einer Registrierung in Verbindung bringen. Zugriff hat nur der Verantwortliche. Profile einzelner Personen bilden wir nicht. Zur Nutzungsstatistik gehört auch die Auswertung für die Regal-Sortierung (Abschnitt 7).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, Pickeroni gezielt weiterzuentwickeln und wirtschaftlich zu steuern: zu erkennen, welche Funktionen genutzt werden, wo neue Nutzer:innen hängen bleiben, ob Freigrenzen und Preis passen und welche Plattformen und Sprachen wir unterstützen sollten.

Empfänger: niemand; die Zeitreihen liegen auf eigener Technik des Verantwortlichen.

Speicherdauer: die zugrunde liegenden Daten wie in den jeweiligen Abschnitten; Zeitreihen: 25 Monate. Den Zeitpunkt deines Widerspruchs speichern wir, solange er gilt, längstens bis zur Löschung deines Kontos.

Widerspruch gegen die Nutzungsstatistik

Du kannst der Nutzungsstatistik jederzeit und ohne Angabe von Gründen widersprechen. Schalte dazu in der App unter Account › Nutzungsstatistik „Zur Nutzungsstatistik beitragen“ aus (ab Werk eingeschaltet) oder schreib an contact@pickeroni.com.

Danach zählt dein Konto in keiner Nutzungskennzahl mehr: nicht bei Konten, Aktivität, den Kennzahlen zum Start, Freigrenzen, Geräten, Sprache, Altersgruppe, Benachrichtigungsarten, eigenen Rezepten, Stimmen und Teilnahmen, Mitgliedschaften, Einladungen, Käufen und Ereignissen (Freigrenze erreicht, Beitritt, Kontolöschung) und nicht bei persönlichen Essensplänen und Einkaufslisten. Deine persönlichen Einkaufslisten und Korrekturen fließen auch nicht mehr in die Auswertung für die Regal-Sortierung ein.

Weiter gezählt werden gemeinsame Inhalte von Listen – Abstimmungen, Essenspläne und Einkaufslisten in Listen sowie die Aktivität von Listen –, weil sie allen Mitgliedern gehören, und der Betrieb nach Abschnitt 12 (Anfragen je Schnittstelle und App-Version, harte Obergrenzen als Hinweis auf Missbrauch). Außerdem zählen wir, wie viele Konten widersprochen haben – nur diese Anzahl, nichts weiter über dich; dafür speichern wir, seit wann dein Widerspruch gilt (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 21 DSGVO). Bereits gespeicherte Zeitreihen enthalten nur Summen und bleiben unverändert. Du kannst den Schalter jederzeit wieder einschalten.

14. Website pickeroni.com

Unsere Website setzt keine Cookies, speichert nichts auf deinem Gerät und lädt keine Inhalte von fremden Servern – keine externen Schriften, keine Content-Delivery-Netzwerke, keine Analyse-Dienste. Deshalb gibt es auch kein Cookie-Banner.

Zugriffsprotokolle: Bei jedem Seitenaufruf protokolliert unser Webserver die Daten aus Abschnitt 12 (u. a. die vollständige IP-Adresse, die aufgerufene Adresse mit ihren Parametern und die Browserkennung).

Seiten für Links aus E-Mails und Einladungen: Öffnest du einen Einladungslink oder einen Link zum Bestätigen deiner E-Mail-Adresse oder zum Zurücksetzen deines Passworts auf einem Gerät ohne App, zeigt die Website eine Hinweisseite. Sie speichert nichts. Weil der Code und – beim Bestätigen und Zurücksetzen – deine E-Mail-Adresse Teil der Adresse sind, stehen sie aber im Zugriffsprotokoll.

Konto löschen ohne App: Unter pickeroni.com/account/delete kannst du ein Konto mit Passwort löschen. E-Mail-Adresse und Passwort gibt die Website direkt an unseren Server weiter und speichert sie nicht (Abschnitt 19).

„Mit Apple anmelden“ auf Android: siehe Abschnitt 5.

Rechtsgrundlage: Bereitstellung der Website und Zugriffsprotokolle: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, die Website sicher bereitzustellen und Angriffe zu erkennen. Löschseite: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 17 DSGVO.

Empfänger: unser Hosting-Anbieter.

Speicherdauer: Zugriffsprotokolle wie in Abschnitt 12.

15. Kontakt per E-Mail

Schreibst du uns an contact@pickeroni.com oder an eine andere unserer Adressen (z. B. support@pickeroni.com aus unseren E-Mails), verarbeiten wir deine E-Mail-Adresse, deinen Namen, falls du ihn angibst, und den Inhalt deiner Nachricht, um dein Anliegen zu bearbeiten.

Weg der E-Mails: Alle E-Mails an Adressen unter pickeroni.com leitet unser Domain-Anbieter OVH an ein Postfach bei Posteo weiter; dort speichern wir sie. In dieses Postfach gehen auch die Meldungen zu Rezepten (Abschnitt 11) und zu nicht zustellbaren E-Mails (Abschnitt 6).

Anfragen zu deinen Rechten: Bittest du per E-Mail um Auskunft, Löschung oder Ähnliches, prüfen wir, ob die Anfrage von dir stammt, in der Regel mit einer Rückfrage an die E-Mail-Adresse deines Kontos (Abschnitt 20).

Rechtsgrundlage: Anfragen zu deinem Konto oder zum Vertrag: Art. 6 Abs. 1 lit. b DSGVO. Anfragen zu deinen Datenschutzrechten: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 12 bis 22 DSGVO. Sonstige Anfragen: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, Anfragen zu beantworten. Aufbewahrung nach der Erledigung: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 5 Abs. 2 DSGVO (Nachweis, wie wir Anfragen zu deinen Datenschutzrechten bearbeitet haben) und Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, Rechtsansprüche abzuwehren und bei Rückfragen auf frühere Anfragen eingehen zu können.

Empfänger: OVH (Weiterleitung) und Posteo (Postfach) als Auftragsverarbeiter.

Speicherdauer: Anfragen zu deinen Datenschutzrechten und zu deinem Vertrag mit uns (etwa Beschwerden, Mängel, Kündigung, Widerruf oder Erstattung) bewahren wir bis zum Ende des dritten Kalenderjahres nach ihrer Erledigung auf, um nachweisen zu können, wie wir sie bearbeitet haben (regelmäßige Verjährungsfrist); alle anderen Anfragen löschen wir am Ende des Kalenderjahres, das auf ihre Erledigung folgt. E-Mails zu Meldungen löschen wir zusammen mit der Meldung (Abschnitt 11), Meldungen über nicht zustellbare E-Mails nach 3 Monaten.

Pflicht zur Angabe: Kontakt ist freiwillig; ohne Kontaktdaten können wir nicht antworten.

16. Berechtigungen und Daten auf deinem Gerät

Berechtigungen: Die App nutzt die folgenden Berechtigungen deines Geräts. Du kannst sie jederzeit in den Einstellungen deines Geräts entziehen; die jeweilige Funktion steht dann nicht zur Verfügung.

Kamera (nur iOS): um ein Gericht für ein Rezeptfoto zu fotografieren. Auf Android nutzt die App die Kamera-App des Systems und braucht dafür keine Berechtigung.
Fotos: um ein Bild für ein Rezept auszuwählen. Die App erhält nur die Fotos, die du auswählst.
Benachrichtigungen: für Push-Benachrichtigungen (Abschnitt 9) und für lokale Benachrichtigungen der Timer im Kochmodus, dazu Vibration.
Bildschirm wach halten: im Kochmodus, damit sich der Bildschirm nicht abschaltet.

Gespeichert auf deinem Gerät:

im sicheren Speicher deines Geräts (iOS-Schlüsselbund bzw. Android Keystore): dein Sitzungs-Token, damit du angemeldet bleibst; außerdem zuletzt angesehene Rezepte, Sprache, Design, ausgeblendete Hinweiskarten, der zuletzt gezeigte Update-Hinweis, der Code einer Einladung, die nach der Anmeldung fortgesetzt werden soll, und ob du Push-Benachrichtigungen aktiviert hast;
ein Zwischenspeicher für Bilder (Bilddateien und ein Verzeichnis im Cache der App), damit sie schneller laden;
nach dem Aktivieren von Push-Benachrichtigungen Installations-ID und Geräte-Token des Firebase-SDK (Abschnitt 9).

Die App lädt keine Schriften aus dem Internet nach. Auf Android ist die Sicherung der App-Daten in der Cloud abgeschaltet; es entsteht also keine Kopie dieser Daten bei Google.

Rechtsgrundlage: Speichern und Auslesen dieser Daten auf deinem Gerät: § 25 Abs. 2 Nr. 2 TDDDG; es ist jeweils unbedingt erforderlich, damit wir die Funktion bereitstellen können, die du ausdrücklich nutzt (Anmeldung, deine Einstellungen, Einladung, schnelle Anzeige, Push-Benachrichtigungen nach Aktivierung). Soweit dabei personenbezogene Daten verarbeitet werden: Art. 6 Abs. 1 lit. b DSGVO. Die Berechtigungen deines Betriebssystems sind keine datenschutzrechtlichen Einwilligungen.

Was nach Abmeldung, Kontolöschung und Deinstallation bleibt: Meldest du dich ab oder löschst du dein Konto in der App, löscht die App Sitzungs-Token, zuletzt angesehene Rezepte, Hinweiskarten, den offenen Einladungscode, den Bild-Zwischenspeicher sowie Push-Aktivierung, Geräte-Token und Installations-ID. Es bleiben nur Sprache, Design und der zuletzt gezeigte Update-Hinweis – Einstellungen des Geräts ohne Bezug zu deiner Person. Deinstallierst du die App, löscht Android alle ihre Daten. Auf iOS bleiben Einträge im Schlüsselbund über eine Deinstallation hinaus erhalten; die App löscht sie beim ersten Start nach einer Neuinstallation.

Löschst du dein Konto über die Website oder per E-Mail, erreicht das die App nicht direkt. Ist die App gerade geöffnet und stellt fest, dass die Anmeldung nicht mehr gilt, räumt sie auf wie beim Abmelden. Stellt sie es erst beim nächsten Start fest, löscht sie nur das Sitzungs-Token; die übrigen Daten bleiben auf dem Gerät, bis du dich nach einer neuen Anmeldung wieder abmeldest oder die App deinstallierst, und Installations-ID und Geräte-Token bleiben bei Google, bis die App sie beim nächsten Abmelden löschen lässt. Willst du das vermeiden, melde dich vor der Löschung in der App ab.

17. Empfänger

Wir geben personenbezogene Daten nur an die folgenden Empfänger weiter. Auftragsverarbeiter verarbeiten Daten nur in unserem Auftrag und nach unseren Weisungen auf Grundlage eines Vertrags nach Art. 28 DSGVO. Eigene Verantwortliche entscheiden selbst über die Verarbeitung; für sie gelten ihre eigenen Datenschutzbestimmungen.

Empfänger	Rolle	Zweck	Daten	Sitz, Ort der Verarbeitung	Drittland, Garantie
IONOS SE, Montabaur, Deutschland	Auftragsverarbeiter	Hosting: Server für App-Schnittstelle, Datenbank, Fotos, Website, Protokolle und Sicherungen auf dem Server	alle in dieser Erklärung genannten Daten	Rechenzentrum in Logroño, Spanien (EU)	keine Übermittlung in Drittländer
Amazon Web Services EMEA SARL, Luxemburg	Auftragsverarbeiter	Versand von E-Mails (Amazon SES), Meldungen zu nicht zustellbaren E-Mails (Amazon SNS)	E-Mail-Adresse, Inhalt der E-Mails (Anzeigename, Links mit Code und E-Mail-Adresse)	Region Frankfurt (eu-central-1), Deutschland	Zugriff aus den USA möglich; EU-US Data Privacy Framework, Standardvertragsklauseln (Abschnitt 18)
Google Ireland Limited, Dublin, Irland, und Google LLC, USA	Auftragsverarbeiter	Push-Benachrichtigungen (Firebase Cloud Messaging, Firebase Installations)	Geräte-Token, Installations-ID, Inhalt der Benachrichtigungen (Namen von Listen und Rezepten, Anzeigenamen)	weltweit, auch USA	EU-US Data Privacy Framework, Standardvertragsklauseln (Abschnitt 18)
Apple Inc., USA	eigene Verantwortliche	Zustellung von Push-Benachrichtigungen auf iOS (APNs)	Geräte-Token, Inhalt der Benachrichtigungen	USA	EU-US Data Privacy Framework
Apple Distribution International Ltd., Cork, Irland, und Apple Inc., USA	eigene Verantwortliche	„Mit Apple anmelden“; App Store (Vertrieb, Zahlung, Prüfung von Käufen)	Daten deiner Apple-ID, Daten des Kaufs	Irland, USA	EU-US Data Privacy Framework
Google Ireland Limited, Google Commerce Limited, beide Dublin, Irland, und Google LLC, USA	eigene Verantwortliche	Google-Anmeldung; Google Play (Vertrieb, Zahlung, Prüfung von Käufen; Vertragspartnerin beim Kauf ist Google Commerce Limited)	Daten deines Google-Kontos, Daten des Kaufs	Irland, USA	EU-US Data Privacy Framework
OVH SAS, Roubaix, Frankreich	Auftragsverarbeiter	Domain und DNS; Weiterleitung aller E-Mails an Adressen unter pickeroni.com	Absender und Inhalt eingehender E-Mails	Frankreich (EU)	–
Posteo e.K., Berlin, Deutschland	Auftragsverarbeiter	Postfach für eingehende E-Mails	Absender und Inhalt eingehender E-Mails	Deutschland	–
Mitglieder deiner Listen	Nutzer:innen von Pickeroni	gemeinsame Nutzung von Listen	Inhalte der Liste, Anzeigename, Stimmen, wer was hinzugefügt hat	–	–
Personen mit einem Einladungslink	–	Vorschau der Einladung	Name der Liste, Anzeigename der einladenden Person	–	–
Behörden und Gerichte	eigene Verantwortliche	nur, wenn wir gesetzlich dazu verpflichtet sind (Art. 6 Abs. 1 lit. c DSGVO)	die jeweils verlangten Daten	–	–

Keine Empfänger personenbezogener Daten, der Vollständigkeit halber genannt:

Have I Been Pwned (Troy Hunt, ausgeliefert über Cloudflare): erhält bei der Passwortprüfung von unserem Server nur die ersten 5 Zeichen eines Hashs, keine Daten, die sich dir zuordnen lassen (Abschnitt 3).
Let's Encrypt (Internet Security Research Group, USA): stellt die Zertifikate für die verschlüsselten Verbindungen zu unseren Domains aus und erhält keine Daten von dir.
Eigene Technik des Verantwortlichen im Heimnetz in Deutschland (Server für Zeitreihen, NAS für verschlüsselte Sicherungen): keine Dritten (Abschnitte 12 und 13).

18. Übermittlung in Drittländer

Unsere Server und unser Hosting stehen in der EU (Abschnitt 17). In Länder außerhalb der EU und des EWR (Drittländer) können Daten nur über die folgenden Empfänger gelangen:

Google (Firebase Cloud Messaging, Firebase Installations): FCM ist ein weltweiter Dienst; Google kann Geräte-Token, Installations-ID und Inhalte von Benachrichtigungen in den USA und an anderen Standorten verarbeiten. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert. Für die USA gilt deshalb der Angemessenheitsbeschluss der Europäischen Kommission vom 10.07.2023 (Art. 45 DSGVO). Für andere Länder und ergänzend gelten die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO), die Teil der Datenverarbeitungsbedingungen von Firebase sind.
Amazon Web Services: Wir nutzen die Region Frankfurt. Ein Zugriff aus den USA, etwa durch die Muttergesellschaft bei der Wartung oder aufgrund von US-Recht, ist nicht ausgeschlossen. Amazon ist nach dem EU-US Data Privacy Framework zertifiziert; zusätzlich enthält der Datenverarbeitungsvertrag von AWS Standardvertragsklauseln.
Apple (APNs, „Mit Apple anmelden“, App Store) und Google (Google-Anmeldung, Google Play) als eigene Verantwortliche: Sie können Daten in den USA verarbeiten. Apple Inc. und Google LLC sind nach dem EU-US Data Privacy Framework zertifiziert.

Ob ein US-Unternehmen zertifiziert ist, kannst du unter www.dataprivacyframework.gov nachsehen. Eine Kopie der Standardvertragsklauseln schicken wir dir auf Anfrage an contact@pickeroni.com; sie sind auch auf der Website der Europäischen Kommission veröffentlicht.

19. Speicherdauer und Löschung

Wir speichern Daten nur so lange, wie wir sie für den jeweiligen Zweck brauchen. Die Übersicht:

Daten	Speicherdauer
Konto, Inhalte, Einstellungen, Geburtsjahr, Verknüpfung mit Apple oder Google, Käufe	bis zur Löschung deines Kontos oder bis du sie vorher löschst
Konten, die du nicht mehr nutzt	Kündigung nach 36 Monaten ohne Nutzung, Löschung nach der Kündigungsfrist von drei Monaten („Inaktive Konten“ unten)
Nie bestätigte Konten (Registrierung ohne Klick auf den Bestätigungslink)	7 Tage nach der letzten Registrierung mit dieser Adresse
Bestätigungs- und Reset-Links	60 Minuten gültig; verwendete Bestätigungslinks löschen wir sofort, nicht verwendete Links 7 Tage nach Ablauf
Sitzungen	laufen nach 90 Tagen ohne Nutzung ab; beendete löschen wir sofort, abgelaufene 7 Tage nach Ablauf
Geräte-Token für Push-Benachrichtigungen	bis zum Ende der zugehörigen Sitzung oder bis Google es als ungültig meldet (Abschnitt 9)
Installations-ID und Geräte-Token bei Google	bis die App sie löschen lässt (beim Abmelden oder Löschen des Kontos in der App), danach höchstens 180 Tage bei Google
Ausgeblendete Abstimmungen	30 Tage nach dem Ausblenden
Meldungen von Rezepten	bis zum Ende des dritten Kalenderjahres nach Abschluss der Bearbeitung
Einladungsstatistik	Angaben zu einzelnen Beitritten 25 Monate, danach nur Summen ohne Personenbezug
Zugriffsprotokolle des Webservers	14 Tage
Anwendungsprotokoll	30 Tage
Zähler zum Schutz vor Missbrauch	einige Minuten bis eine Stunde, täglich bereinigt
Leistungsüberwachung	7 Tage
Sitzungen im Browser	120 Minuten
Warteschlange	bis zum Versand; fehlgeschlagene Aufträge 7 Tage
Zeitreihen (Betrieb, Nutzungsstatistik)	25 Monate
E-Mails in unserem Postfach	Anfragen zu deinen Datenschutzrechten und zum Vertrag bis zum Ende des dritten Kalenderjahres nach Erledigung, andere Anfragen bis zum Ende des Folgejahres, E-Mails zu Meldungen wie die Meldung, Meldungen über nicht zustellbare E-Mails 3 Monate (Abschnitt 15)
Sicherungen	höchstens 90 Tage

Konto löschen

Du kannst dein Konto jederzeit löschen:

in der App unter Account › Account löschen;
ohne App unter pickeroni.com/account/delete, wenn dein Konto ein Passwort hat (mit E-Mail-Adresse und Passwort);
per E-Mail an contact@pickeroni.com, vor allem wenn du dich nur mit Apple oder Google anmeldest und kein Passwort hast. Damit niemand anderes dein Konto löschen kann, schicken wir eine Rückfrage an die E-Mail-Adresse deines Kontos und löschen es nach deiner Bestätigung, spätestens innerhalb eines Monats nach Eingang deiner Anfrage.

Was wir löschen: dein Konto mit E-Mail-Adresse, Anzeigename, Passwort-Hash, Geburtsjahr und Einstellungen; deine Rezepte samt Fotos; deine Mitgliedschaften und Einladungen; deine Käufe (Abschnitt 10); deine Sitzungen und Geräte-Token; die Verknüpfung mit Apple oder Google; deine persönlichen Essenspläne und Einkaufslisten samt gemerkten Korrekturen; deine Teilnahme an Abstimmungen. Mit der Löschung widerrufen wir auch die Verknüpfung bei Apple.

Was ohne Verknüpfung mit deinem Konto bleibt: deine Stimmen in Abstimmungen; bei Abstimmungen, Essensplänen und Einkaufslisten in gemeinsamen Listen die Angabe, wer sie erstellt hat, und bei Rezepten in Listen, wer sie hinzugefügt hat; Meldungen, die du abgegeben hast, und Meldungen zu deinen Rezepten; die Einladungsstatistik. Wir entfernen dabei jeweils den Bezug zu deinem Konto.

Was bei anderen bleibt: Kopien deiner Rezepte, die Mitglieder übernommen haben, samt Foto; die Namen deiner Rezepte in Abstimmungen, Essensplänen und Einkaufslisten und die Fotokopien in Abstimmungen (außer nach einer Sperre, Abschnitt 11); Positionen, die du in gemeinsame Einkaufslisten eingetragen hast, ohne Angabe, dass sie von dir stammen. Eigene Listen mit weiteren Mitgliedern gehen auf ein anderes Mitglied über (Abschnitt 7).

Was die Löschung nicht sofort erfasst:

Protokolle und technische Daten bis zum Ablauf ihrer Frist: Anwendungsprotokoll (30 Tage), Zugriffsprotokolle (Abschnitt 12), Leistungsüberwachung (7 Tage), pseudonymisierte Zähler zum Schutz vor Missbrauch (bis zur täglichen Bereinigung);
Sicherungskopien, höchstens 90 Tage;
E-Mails in unserem Postfach, etwa zu Meldungen (Abschnitt 15);
bei einer Löschung über die Website oder per E-Mail: Installations-ID und Geräte-Token bei Google sowie die Daten auf deinem Gerät (Abschnitt 16). Melde dich deshalb vorher in der App ab.

Inaktive Konten: Nutzt du dein Konto 36 Monate lang nicht, meldest du dich also weder an noch öffnest du die App mit deinem Konto, kündigen wir den Nutzungsvertrag per E-Mail mit einer Frist von drei Monaten (AGB § 15 Abs. 3). Meldest du dich bis zum Ende der Frist an, wird die Kündigung nicht wirksam, und dein Konto bleibt erhalten. Sonst löschen wir das Konto nach Ablauf der Frist, wie oben beschrieben. Hast du die Freischaltung gekauft, erstatten wir dir in diesem Fall auf Anfrage den Kaufpreis (AGB § 15 Abs. 3).

20. Deine Rechte

Du hast nach der DSGVO die folgenden Rechte. Wende dich dazu formlos an contact@pickeroni.com oder an die Anschrift in Abschnitt 1.

Auskunft (Art. 15 DSGVO): welche Daten wir über dich verarbeiten, wofür, an wen und wie lange, und eine Kopie dieser Daten. In der App gibt es dafür keine eigene Funktion; schreib uns.
Berichtigung (Art. 16 DSGVO): Anzeigename, E-Mail-Adresse und Passwort änderst du selbst in der App unter Account. Dein Geburtsjahr ändern wir auf deine Anfrage per E-Mail.
Löschung (Art. 17 DSGVO): Abschnitt 19.
Einschränkung der Verarbeitung (Art. 18 DSGVO), etwa solange wir prüfen, ob deine Daten richtig sind.
Datenübertragbarkeit (Art. 20 DSGVO): Die Daten, die du uns bereitgestellt hast und die wir aufgrund des Vertrags automatisiert verarbeiten, erhältst du auf Anfrage per E-Mail in einem strukturierten, gängigen und maschinenlesbaren Format; soweit technisch machbar, übermitteln wir sie auch direkt an einen anderen Verantwortlichen. Eine Exportfunktion in der App gibt es nicht.
Widerspruch (Art. 21 DSGVO): Abschnitt 21.
Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO): Du kannst dich bei jeder Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem EU- bzw. EWR-Staat, in dem du lebst oder arbeitest oder in dem der mutmaßliche Verstoß stattgefunden hat. Für uns zuständig ist:

Berliner Beauftragte für Datenschutz und Informationsfreiheit
Alt-Moabit 59–61
10555 Berlin
www.datenschutz-berlin.de

Wir stützen keine Verarbeitung auf eine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Zustimmung zu den AGB ist keine datenschutzrechtliche Einwilligung.

Wir beantworten Anfragen innerhalb eines Monats. Bei komplexen oder zahlreichen Anfragen kann sich die Frist um zwei weitere Monate verlängern; dann sagen wir dir innerhalb des ersten Monats Bescheid und nennen die Gründe (Art. 12 Abs. 3 DSGVO). Haben wir begründete Zweifel, dass eine Anfrage von dir stammt, fragen wir nach, in der Regel über die E-Mail-Adresse deines Kontos.

21. Dein Widerspruchsrecht

Widerspruchsrecht nach Art. 21 DSGVO

Du hast das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit gegen die Verarbeitung deiner personenbezogenen Daten Widerspruch einzulegen, die wir auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) stützen.

Das betrifft in dieser Erklärung: den Nachweis deiner AGB-Zustimmung, die Prüfung auf bekannte Passwörter, die Prüfung der App-Version und die Erkennung inaktiver Konten (Abschnitt 3), die Altersstatistik (4), den Schutz vor Missbrauch bei der Anmeldung mit Apple oder Google (5), den Sicherheitshinweis und die Verarbeitung von Unzustellbarkeits-Meldungen (6), Daten anderer Personen in Inhalten, das Fortbestehen von Kopien und gespeicherten Namen bei anderen und die Auswertung für die Regal-Sortierung (7), die Einladungsstatistik (8), Test-Benachrichtigungen (9), die Dokumentation von Meldungen (11), Sicherheit und Betrieb (12), die Nutzungsstatistik (13), die Zugriffsprotokolle der Website (14) und sonstige Anfragen per E-Mail (15).

Widersprichst du, verarbeiten wir diese Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Der Nutzungsstatistik einschließlich der Altersstatistik kannst du ohne Angabe von Gründen widersprechen, am einfachsten in der App unter Account › Nutzungsstatistik mit dem Schalter „Zur Nutzungsstatistik beitragen“ (Abschnitt 13).

Deinen Widerspruch kannst du formlos an contact@pickeroni.com oder per Post an die Anschrift in Abschnitt 1 richten.

22. Keine automatisierten Entscheidungen

Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO), und wir betreiben kein Profiling. Frei- und Nutzungsgrenzen und der Schutz vor zu vielen Anfragen wirken zwar automatisch, aber nach festen, für alle gleichen Werten und nicht aufgrund einer Bewertung deiner Person. Über Meldungen entscheiden wir selbst.

23. Kinder und Jugendliche

Pickeroni darfst du ab 16 Jahren nutzen. Bist du noch nicht 18, brauchst du die Zustimmung deiner Eltern (AGB § 3). Das bestätigst du bei der Registrierung; technisch prüfen wir dein Alter nicht. Erfahren wir, dass jemand unter 16 Pickeroni nutzt, beenden wir den Vertrag und löschen das Konto; wir sagen vorher Bescheid.

Die besondere Altersgrenze für Einwilligungen (Art. 8 DSGVO) spielt bei uns keine Rolle, weil wir keine Verarbeitung auf eine Einwilligung stützen. In der Altersstatistik gibt es die Gruppe „unter 18“ (Abschnitt 4). Wo wir uns auf unser berechtigtes Interesse stützen, gewichten wir die Interessen Jugendlicher besonders.

24. Datensicherheit

Wir schützen deine Daten mit technischen und organisatorischen Maßnahmen (Art. 32 DSGVO), unter anderem:

Verbindungen zwischen App, Website und unserem Server sind mit TLS verschlüsselt; die App baut keine unverschlüsselten Verbindungen auf.
Passwörter speichern wir nur als bcrypt-Hash.
Auf deinem Gerät liegt das Sitzungs-Token im iOS-Schlüsselbund bzw. im Android Keystore.
Anmeldeversuche und andere Anfragen begrenzen wir; die Kennungen dafür speichern wir pseudonymisiert.
Die Sicherungen auf der NAS sind verschlüsselt.
Auf die Daten hat bei uns nur der Verantwortliche Zugriff.

Kein System ist vollständig sicher; wir passen unsere Maßnahmen dem Stand der Technik an.

25. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich Pickeroni, unsere Verarbeitung oder die Rechtslage ändert. Die aktuelle Fassung findest du unter pickeroni.com/privacy und in der App unter Account › Rechtliches; das Datum oben zeigt ihren Stand. Diese Erklärung gibt es auf Deutsch und auf Englisch; beide Fassungen haben denselben Inhalt.

Stand: 13.10.2026

Privacy Policy for Pickeroni

Last updated: 13 October 2026

This privacy policy applies to the “Pickeroni” app for iOS and Android and to the website pickeroni.com. It explains which personal data we process, for what purposes and on which legal basis, who receives it, how long we keep it and what rights you have. We offer Pickeroni in the European Union and in Iceland, Liechtenstein and Norway.

1. Controller and contact

The controller responsible for processing your personal data is:

Felix Pieschka
Steglitzer Damm 34
12169 Berlin
Germany

Email for privacy questions and requests concerning your rights: contact@pickeroni.com
Further contact details are in our legal notice at pickeroni.com/impressum.

Felix Pieschka runs Pickeroni as a sole proprietorship. In this policy, “we” and “us” refer to the controller. We have not appointed a data protection officer. We are not required to do so, because fewer than 20 people regularly process personal data by automated means for us and none of our processing operations requires an appointment (Section 38 of the German Federal Data Protection Act (BDSG), Art. 37 GDPR).

2. Overview

The key points

Account: For an account we need your email address, a display name and a password – or your sign-in with Apple or Google (sections 3 and 5). Your year of birth is optional (section 4).
Content: Only the members of the lists you share them with can see your recipes, polls, meal plans and shopping lists. Polls are not secret (section 7).
Notifications: You only receive push notifications if you enable them in the app (section 9).
Statistics: We analyse in aggregate how Pickeroni is used. You can object to this in the app at any time (sections 13 and 21).
Service providers: Our servers are located in the EU. For emails and push notifications we use service providers who may also process data in the USA (sections 17 and 18).
Retention: We keep most data until you delete your account; logs and technical data for much shorter periods (section 19).
Deletion: You can delete your account at any time, in the app or on our website. Section 19 explains what remains afterwards without a link to you or with other members.

What we do not do

We do not sell data, and we only pass it on to the recipients named in this policy (section 17).
No third-party advertising and no advertising SDK in the app; the only promotional notices concern our own unlock.
No tracking across apps and websites of other companies.
No analytics SDK and no crash-reporting SDK in the app (in particular no Firebase Analytics and no Crashlytics).
No cookies on our website and no content loaded from third-party servers (section 14).
No processing of your data by artificial intelligence.
No newsletter and no marketing emails.
No access to your contacts. We do not collect location data; we remove location information from uploaded photos when storing them (section 7).
No profiles of individuals and no automated decisions (section 22).

3. Your account

What data:

your email address, your display name and your password. We store the password only as an irreversible hash (bcrypt);
the time and version of your acceptance of the Terms of Use. With the same checkbox you confirm that you are at least 16 years old and that you have read this privacy policy;
the language of your app, so that emails and notifications reach you in your language;
the time of your last use (updated at most once a day) and whether we have terminated your account for inactivity (section 19);
a counter of the meal plans you have created, for the free limit under the Terms of Use, and a flag indicating whether the app should still ask for your name (section 5);
the version of your app, which it sends with every request. We do not store it; we only check whether the version is still supported, and if not, the app asks you to update.

Confirming your email address: After you register, we send you a confirmation link that is valid for 60 minutes. You can only use your account after clicking it; this ensures that the address belongs to you. If someone registers again with an address that has not yet been confirmed, the new details replace the old ones; a new password only takes effect after the new link is clicked. If you later change your email address, you have to confirm the new one as well. We send a security notice to the old address (section 6), and your other devices are signed out.

Forgotten password: On request we send you a link to reset your password, valid for 60 minutes.

Sessions: For each device on which you are signed in, we store a session token with the time of sign-in, last use and expiry – no IP address and no device name. Under Account › Active sessions you can see your sessions and end them. A session expires after 90 days without use; every use extends it. It also ends when you sign out, end it, reset your password, change your password or email address (then on your other devices) or delete your account. We also use the time of last use for usage statistics (section 13).

Check for known passwords: When you register and when you reset or change your password, we check whether it appears in known data breaches. To do so, we create a SHA-1 hash of the password on our server and send only its first 5 characters to the “Have I Been Pwned” service. The service replies with all known hashes beginning with those characters; we do the comparison ourselves (so-called k-anonymity). Your password, the full hash, your email address and your IP address do not leave our server. When you register we only warn you and you can continue; when you reset or change your password, we reject a known password.

Purposes: to create your account, sign you in and keep you signed in, provide you with Pickeroni's features under the Terms of Use, and protect your account.

Legal basis:

Account, sign-in, sessions, confirmation and reset links, language and free-limit counter: Art. 6(1)(b) GDPR (performance of the user agreement).
Time and version of your acceptance of the Terms of Use: Art. 6(1)(b) and (f) GDPR. Our legitimate interest is being able to prove which version of the Terms of Use you accepted and when.
Check for known passwords and check of the app version: Art. 6(1)(f) GDPR. Our legitimate interest is to protect accounts from being taken over with leaked passwords and to ensure that only app versions that work correctly with our server access it.
Time of your last use and termination for inactivity: Art. 6(1)(f) GDPR. Our legitimate interest is to identify accounts that are no longer used and to delete them under section 19 instead of storing them indefinitely.
Storing the session token on your device: section 16.

Recipients: our hosting provider as processor; for emails, Amazon Web Services (section 6). The members of your lists can see your display name, and so can anyone who knows an invitation link, in the invitation preview (section 8).

Retention: account data until your account is deleted (section 19). We delete confirmation links as soon as you use them; we delete unused confirmation and reset links 7 days after they expire. We delete ended sessions immediately and expired sessions 7 days after they expire.

Obligation to provide data: We need your email address, display name, password and acceptance of the Terms of Use to conclude the contract with you; without them we cannot create an account. The other data arise from your use of the app.

4. Year of birth (optional)

When registering with an email address, you can optionally enter your year of birth. We store only the year, not the day and month. We do not ask for it when you sign in with Apple or Google. The app does not offer any year according to which you would be younger than 16.

Purpose: exclusively for aggregated age statistics. We want to understand which age groups use Pickeroni. We do not use it to verify your age, we do not show the year in your profile or anywhere else in the app, and we do not send it back to the app.

How we analyse it: We only count how many accounts fall into an age group: under 18, 18–24, 25–34, 35–44, 45–54, 55–64 and 65 and over (plus “unknown” if no year was given). The count is taken once a day as of the previous day, and each group is rounded down to a multiple of five. Groups with fewer than five people therefore never appear on their own. We do not analyse the year of birth for individuals and do not combine it with other data into profiles.

Legal basis: Art. 6(1)(f) GDPR. Our legitimate interest is to align Pickeroni's features, content and communication with the age groups that actually use it. Because young people aged 16 and over also use Pickeroni, we have given particular weight to their interests: we store only the year, analyse only rounded-down totals, pass nothing on and let you object at any time.

Recipients: The year is stored only in our database at our hosting provider (processor). We store the totals per age group as a time series on our own equipment (section 13). We do not pass the year of birth on to anyone.

Retention: until you delete your account or ask us to delete the year; in backups until they expire (section 19).

Optional: You can use Pickeroni without restriction without providing it.

Objection, correction, deletion: If you switch off “Contribute to usage statistics” under Account › Usage statistics, your account will no longer be counted in the age statistics either (section 21). The year itself remains stored. If you would like it corrected or deleted, write to us at contact@pickeroni.com; this is currently not possible in the app.

Instead of using an email address and password, you can sign in with your Apple or Google account. In that case we do not receive the following data from you but from Apple or Google.

What data:

an identifier of your Apple or Google account and the provider;
your email address – with Apple, possibly a relay address if you choose “Hide My Email”. The address is treated as confirmed;
your name, if the provider transmits it. Apple only does so on the very first sign-in. If no name is provided, we temporarily use the part of your email address before the “@” as your display name (with Apple, possibly the part of the relay address), and the app asks you once for your name.

How it works: The app receives a signed sign-in token from Apple or Google and sends it to our server. We verify the signature with Apple's or Google's public keys; we do not send any data to the providers in doing so. If there is no Pickeroni account yet, we only create it once you accept the Terms of Use in the app. We verify the token beforehand and count the sign-in attempt; without your acceptance we store nothing further. An account created this way is not automatically linked to an account you created with the same email address and a password.

On Android, “Sign in with Apple” runs via a web page: Apple sends its response to pickeroni.com/auth/apple/callback, and our website immediately passes it on to the app without storing it. The web server's access log only records that this address was called, not the sign-in data (section 12).

Protection against abuse: For one hour, we count sign-in attempts per Apple or Google identifier, which we store only in pseudonymised form for this purpose, and for the same period we keep a hash (SHA-256) of each sign-in token used, so that it cannot be used a second time.

Purposes: to sign you in without a separate password and create your account; to protect sign-ins against abuse.

Legal basis: sign-in and account creation: Art. 6(1)(b) GDPR. Protection against abuse: Art. 6(1)(f) GDPR; our legitimate interest is to fend off automated sign-in attempts and the reuse of intercepted sign-in tokens.

Recipients: Apple and Google process your data during sign-in as independent controllers under their own privacy policies (Apple: apple.com/legal/privacy, Google: policies.google.com/privacy); see also sections 17 and 18.

Retention: identifier and link until your account is deleted. When you delete your account, we also revoke the link at Apple. Counters and token hashes are valid for one hour; we delete expired entries daily.

Obligation to provide data: Signing in with Apple or Google is optional; you can register with your email address instead. If you choose it, we need the data listed above for the sign-in.

6. Emails from Pickeroni

We only send emails relating to your account – no newsletter and no advertising:

confirmation of your email address (on registration, again at your request and to the new address when you change it – until you confirm it, we store it as a pending address and your previous one stays in use);
a link to reset your password;
a security notice to your previous address when you change it. It names the new address so that you can recognise a change you did not make and let us know at contact@pickeroni.com.

Confirmation and reset emails contain your display name and a link with a one-time code and your email address. If you open the link on a device without the app, the code and address appear in our website's access log (section 14).

Sending: Until it is sent, each email waits in a queue on our server (section 12). It is sent via Amazon Simple Email Service (SES) in the Frankfurt region (eu-central-1) using the sender domain mail.pickeroni.com. If an email cannot be delivered or the recipient marks it as spam, Amazon notifies us by email (via Amazon SNS). This notification contains the email address concerned and ends up in our mailbox (section 15).

No engagement tracking: We do not measure whether you open an email or click a link in it.

Legal basis: confirmation and reset emails: Art. 6(1)(b) GDPR. Security notice: Art. 6(1)(f) GDPR; our legitimate interest is to protect your account from being taken over. Processing of bounce and spam notifications: Art. 6(1)(f) GDPR; our legitimate interest is reliable delivery without repeatedly sending to invalid or rejecting addresses.

Recipients: Amazon Web Services as processor; for the notifications in our mailbox, OVH and Posteo (section 15). For third-country aspects of Amazon, see section 18.

Retention: in the queue until sent (failed jobs: section 12); notifications in our mailbox as described in section 15.

7. Your content and shared lists

What data:

recipes: name, ingredients, steps, servings, duration, difficulty, categories, optionally a link to a third-party website, and photos (taken with the camera or selected from your photo library);
lists with their members, roles (owner or member) and date of joining; who added a recipe to a list;
polls, your votes and your participation;
meal plans (including what has been marked as “cooked”) and shopping lists with items you entered yourself;
corrections you make to the sorting of a shopping list by supermarket aisle, which we remember.

Who sees what:

You and the members of the lists you assign a recipe to can see it. Only signed-in members can load photos. There is no public profile, no public search and no comments or chats.
The members of a list see its recipes, polls, meal plans and shopping lists as well as the display names of the other members. Personal meal plans and shopping lists are visible only to the person who created them.
Polls are not secret: members can see by name who voted for which recipe, even while the poll is running.
Remembered aisle corrections apply to all members of the list or, for personal shopping lists, only to you, never to other lists. We remember at most 500 per list or person; when a new one is added, the oldest is dropped.

Copies and stored names:

Members can use “Save recipe” to copy a recipe you share with their list, including its photo, into their own account. The copy then belongs to them and remains even if you delete the original, leave the list or delete your account. Internally, the copy remembers which recipe it came from, so that we can also find copies when blocking a recipe (section 11). The app points this out the first time you share a recipe.
Polls, meal plans and shopping lists store the name of a recipe; polls also store their own copy of its photo. The name and photo copy remain there even if the recipe is deleted; the photo copy is deleted together with the list.
If we block a recipe after a report, we no longer show its name and photo there to anyone and delete the photo copy; the votes remain (section 11).

Photos: We re-encode every uploaded photo on the server (JPEG, original and thumbnail). This removes all embedded metadata (EXIF), including location data (GPS); we only read the image orientation beforehand. The app does not remove metadata on your device: it reaches us with the upload, but only the re-encoded version is stored.

Deleting polls: When a finished poll is deleted, we first hide it. We delete it permanently, including the votes and photo copies, 30 days after hiding it.

When you delete your account: If you are the owner of a list with other members, it passes with its content (except your own recipes) automatically and without asking to the member who has belonged to it the longest; that member then manages the list. We delete lists without other members. Section 19 explains what else remains.

Data of other people: If you upload photos in which other people can be recognised, or write information about others into a recipe, we also process their data. Only upload such photos if the people shown agree (Terms of Use § 8). Anyone who finds themselves in content on Pickeroni and does not want this can write to contact@pickeroni.com; members can also report recipes in the app (section 11).

Links to third-party websites: For a recipe link, the app shows the domain and opens the page outside the app. What happens to your data there is determined by the operator of that website.

Improving aisle sorting: To improve the automatic sorting of shopping lists by supermarket aisle, we analyse which item names (in normalised spelling) we could not assign to an aisle and which corrections are common. This includes items entered by hand and ingredients from recipes only you can see. We only analyse names that appear in at least five different lists or accounts, without identifiers and without reference to any person. We do not apply the results automatically but review them ourselves. After an objection to usage statistics, your personal shopping lists and corrections are no longer included (section 13).

Legal basis:

Storing and displaying your content, copies, stored names and handing over the list: Art. 6(1)(b) GDPR; this is the core of Pickeroni.
Copies and stored names remaining with others after deletion: Art. 6(1)(f) GDPR; the other members have a legitimate interest in continuing to use recipes shared with them and the results of joint polls and plans (Terms of Use § 8, § 9).
Data of other people in your content: Art. 6(1)(f) GDPR; the legitimate interest lies in storing content and showing it to the members of a list as users wish. The people shown are protected by the obligation to upload only with their agreement, the limited circle of list members and the ability to report content.
Improving aisle sorting: Art. 6(1)(f) GDPR; our legitimate interest is better automatic sorting for all users.

Recipients: the members of your lists; our hosting provider as processor; the content of push notifications passes through Google and Apple (section 9).

Retention: until you delete the content or your account; exceptions and what remains with others are set out in section 19. We delete remembered corrections together with the list or your account.

Obligation to provide data: You decide what you enter. Without content you cannot use the respective feature.

8. Invitations

You can invite people to a list using an invitation link (8 characters, valid for 7 days) or an invitation code (6 characters, valid for 90 minutes); each list has at most one valid link and one valid code. You share the link or code via your device's share dialog, for example by messenger or text message. The app does not integrate any messengers itself; the service you choose is responsible for the transmission.

Public preview: Anyone who opens the link can see, without an account and without signing in, the name of the list and the display name of the inviting person. Only share the link with people you want in the list.

Invitation statistics: We count how often a link was opened and when it was first opened, and for each joining we store who joined, whether a new account was created and when. If you delete your account, we remove the link to you; the entry remains for statistics without any personal reference.

Legal basis: inviting, preview and joining: Art. 6(1)(b) GDPR. Invitation statistics: Art. 6(1)(f) GDPR; our legitimate interest is to understand how invitations are used and how many new users come to Pickeroni through them, in order to improve the feature.

Recipients: anyone who knows the link (preview); our hosting provider.

Retention: links and codes become invalid when they expire; we delete them together with the list or your account. Invitation statistics: we delete the details of individual joinings after 25 months; after that, only totals without reference to any person remain.

9. Push notifications

Push notifications are optional. Before the app asks your operating system for permission, it explains in a separate notice what it sends notifications for – after you start a poll, join via an invitation or share a list, never when the app starts.

Step 1 – enabling on your device: Only when you choose “Enable” in the notice or tap “Enable notifications” under Account › Notifications, and your operating system grants permission, does the app switch on Google's Firebase Cloud Messaging (FCM) service. The Firebase SDK then creates an installation ID and a device token on your device and reports them to Google. Before that, the app does not create either identifier and sends nothing to Firebase. This applies on all devices, including older Android versions that allow notifications without asking. The app remembers on your device that you have enabled notifications.

Step 2 – registration with us and sending: The app reports the device token to our server. We store it with the platform (iOS or Android) and the associated session, for at most 20 devices per account. For a notification we pass the text and token to FCM; Google delivers it itself on Android and via Apple's Apple Push Notification service (APNs) on iOS. Notifications contain names of lists and recipes and display names of other members; this content therefore passes through Google's servers and, on iOS, Apple's servers.

Occasions: a poll was started (with its end time), is ending soon or has ended; someone joined one of your lists; new recipes were added to a list (bundled, 40 to 180 minutes later). You can switch off each type individually under Account › Notifications.

Troubleshooting: If notifications do not arrive, we can send a test notification to the devices of your account.

Your operating system's permission is not consent under data protection law. It only technically allows the app to display notifications. We do not base push notifications on consent but on the following legal bases.

Legal basis:

Creating and reading the installation ID and device token on your device (step 1): Section 25(2) no. 2 of the German Telecommunications Digital Services Data Protection Act (TDDDG); this is strictly necessary for us to send you the notifications you have expressly enabled. Further processing: Art. 6(1)(b) GDPR.
Registration and sending (step 2): Art. 6(1)(b) GDPR, because you have enabled the feature and can switch off each type.
Test notification: Art. 6(1)(f) GDPR; our legitimate interest is to find and fix delivery errors.

Recipients: Google (Firebase Cloud Messaging, Firebase Installations) as processor, and on iOS also Apple (APNs). Both may process data in the USA (section 18).

Retention and ending: If you sign out or delete your account in the app, the app ends the activation, switches off FCM and has the device token and installation ID deleted at Google; according to Google, the associated data is then deleted within 180 days. After your next sign-in the app asks again. We delete the device token on our side together with the associated session, i.e. when you sign out, end the session, the session ends because of a password or email change, or you delete your account, and also as soon as Google reports it as invalid when sending. When a session expires, we delete the device token with it (section 3). If you delete your account via the website or by email, this does not reach your device (section 16).

Obligation to provide data: none; without enabling them you will not receive push notifications.

10. Unlock via in-app purchase

Pickeroni can be unlocked with a one-time in-app purchase; there is no subscription. You make the purchase with Apple (App Store) or Google (Google Play), where you also pay. We do not receive any payment data. Apple and Google process the purchase data as independent controllers under their own privacy policies.

What data: platform, transaction ID (Google: purchase token), the product purchased, the time at which we verified the purchase, whether it took place in the store's test environment and, if applicable, when it was refunded. In addition, your account has a random purchase identifier that contains no further information about you.

How it works: To confirm a purchase, our server asks Apple (App Store Server API) or Google (Google Play Developer API) whether it is valid, transmitting the transaction ID or purchase token. When you buy, the app passes your account's purchase identifier to Apple or Google; this lets us check that the purchase belongs to your account. A purchase belongs to at most one Pickeroni account. If Apple or Google refunds a purchase, we learn about it through a notification from Apple or a daily check and end the unlock.

Purposes: to grant the unlock for your account and to prevent a purchase from being assigned to several accounts.

Legal basis: Art. 6(1)(b) GDPR.

Recipients: Apple or Google for verifying the purchase (sections 17 and 18).

Retention: until your account is deleted. After that, you can assign the same store purchase to a new account using “Restore purchases” after it has been verified again. For our tax records, Apple's and Google's statements are decisive, not the purchase data stored by us; we therefore delete the latter together with your account.

Obligation to provide data: Without this data we cannot grant the unlock.

11. Recipe reports

Members of a list can report a recipe that someone else has shared there using “Report recipe”, for example because it is illegal. This is our notice and action mechanism under Art. 16 of the Digital Services Act (DSA). How to report without an account is explained in our legal notice.

What data: the reported recipe, the reporting person, the reason (inappropriate, copyright, spam, other), an optional comment (up to 1,000 characters), the name of the recipe and the identifier of its owner at the time of the report, the processing status and the timestamps. The comment is free text and may contain information about other people.

How it works: We also receive each report by email in our mailbox (with the identifiers of the owner and the reporting person, the recipe name, reason and comment, without email addresses). We review reports ourselves; there is no automated decision. If we block a recipe, only its owner can still see it: it disappears from all lists, can no longer be shared or saved, and its name and photo no longer appear in polls, meal plans and shopping lists. We can also block copies saved by members.

Purposes: to review notices of illegal or impermissible content, decide on them and document this.

Legal basis: Art. 6(1)(c) GDPR in conjunction with Art. 16 DSA (obligation to receive and process notices) and Art. 6(1)(f) GDPR; our legitimate interest is being able to prove our decisions and defend against legal claims.

Recipients: our hosting provider; for the email, OVH and Posteo (section 15).

Retention: We delete reports at the end of the third calendar year after they have been dealt with, so a report dealt with in 2026 at the end of 2029. This corresponds to the regular limitation period for claims that may arise from our decision. If you delete your account, we remove the link to you as the reporting person; we do the same with the owner's identifier when the owner deletes their account. Section 15 applies to the email in our mailbox.

Obligation to provide data: Reporting is optional. Without a reason we cannot process a report.

12. Security and operations

To keep Pickeroni secure and stable, we process the following data when operating our server. The legal basis in each case is Art. 6(1)(f) GDPR; our legitimate interest is secure and stable operation: fending off attacks and abuse, finding and fixing errors, preventing outages and restoring data after an outage.

Access logs: Each time our app interface (api.pickeroni.com) or our website is called, the web server logs the full IP address, the time, the requested address including its parameters, the status code, the previously visited page (referrer) and the browser or app identifier (user agent); there are also error logs. Retention: 14 days.

Application log: errors and warnings of our application. For requests by signed-in people, an entry contains their user identifier (a number); database error messages may mention individual values, such as an email address. We do not write passwords or access tokens into it. Retention: 30 days.

Protection against abuse (rate limiting): We limit how many requests may arrive within a short time. To do so, we count requests per IP address (for IPv6 shortened to the first 64 bits), per user identifier, per email address for sign-in, “Forgot password” and resending the confirmation, and per provider identifier for signing in with Apple or Google. We store email address, IP address and provider identifier only in pseudonymised form (as HMAC-SHA256 with a secret key), the user identifier as a number. The counting windows last from a few minutes to one hour; we delete expired entries daily.

Performance monitoring: Using the Laravel Pulse tool, we record slow requests (over one second), slow database queries and background jobs, and errors. For a slow request by a signed-in person, we store their user identifier so that we can see whether problems affect particular accounts. The data is stored on our server; the dashboard can only be reached from approved IP addresses. Retention: 7 days.

Operational metrics: counts without reference to individuals, such as requests per interface, status codes, plan tier (guest, free, unlocked), app version, response times, error types, the state of the queue, scheduled tasks and backups, and results of push and email sending. We transmit them over an encrypted connection (WireGuard) to a server of our own in the controller's home network in Germany and store them there as time series. Retention: 25 months.

Queue: We send emails and push notifications via a queue in our database. A job contains, for example, the email address, content and the code of a confirmation or reset link, and on registration also the password hash. We delete it after it has run. If a job fails, we store it with the error message in order to find the error and delete it after 7 days.

Browser sessions: For our internal dashboard and for browser requests to our app interface originating from pickeroni.com, the server creates sessions with the IP address, browser identifier and, where applicable, user identifier. The app, our website and the deletion page do not trigger this. Sessions become invalid after 120 minutes and are then deleted regularly.

Backups: We back up the complete database and all uploaded photos: unencrypted on our server with every update of the app interface (where we delete them after 14 days), and regularly in encrypted form on a storage device (NAS) in the controller's home network in Germany. We store the decryption key neither on the server nor on the NAS. Backups contain all data described in this policy as of the time of the backup. Retention: we delete each backup after 90 days at the latest.

Recipients: our hosting provider. Time series and encrypted backups are stored on the controller's own equipment, not with third parties.

13. Usage statistics

In addition to operations, we analyse how Pickeroni is used. This tells us whether new users get started well, whether they keep using Pickeroni, whether the free limits are right and which languages and platforms matter.

What we count:

active users in the last 5 and 15 minutes and the last 1, 7 and 30 days, determined from the time your sessions were last used (section 3);
of those who registered in the last 30 days, how many created a recipe within 24 hours, have their own list with at least two members within 7 days and a finished poll within 14 days, each counted from their own registration;
accounts at the free limit and close to a hard cap, unconfirmed accounts, accounts with a push device per platform, accounts per app language, age groups (section 4), enabled notification types, accounts per plan and per sign-in method;
recipes with a photo or with steps, participation in polls, invitations and joinings;
events: account deletions, reaching a free limit, requests per app version.

How we count: Our server calculates these values from the stored data and outputs only totals, no identifiers and no information about individuals. We store the totals as time series on a server of our own in the controller's home network in Germany (section 12). Apart from the age groups, the values are exact; as long as Pickeroni has few users, a single increase could therefore be linked to the time of a registration. Only the controller has access. We do not create profiles of individuals. Usage statistics also include the analysis for aisle sorting (section 7).

Legal basis: Art. 6(1)(f) GDPR. Our legitimate interest is to develop Pickeroni in a targeted way and manage it economically: to recognise which features are used, where new users get stuck, whether free limits and price are right, and which platforms and languages we should support.

Recipients: none; the time series are stored on the controller's own equipment.

Retention: the underlying data as described in the respective sections; time series: 25 months. We store the time of your objection for as long as it applies, at most until your account is deleted.

Objecting to usage statistics

You can object to usage statistics at any time without giving reasons. To do so, switch off “Contribute to usage statistics” in the app under Account › Usage statistics (switched on by default) or write to contact@pickeroni.com.

After that, your account is no longer counted in any usage metric: not in accounts, activity, the getting-started metrics, free limits, devices, language, age group, notification types, own recipes, votes and participations, memberships, invitations, purchases and events (free limit reached, joining, account deletion), and not in personal meal plans and shopping lists. Your personal shopping lists and corrections are no longer included in the analysis for aisle sorting either.

We continue to count shared content of lists – polls, meal plans and shopping lists in lists and the activity of lists – because it belongs to all members, and operations under section 12 (requests per interface and app version, hard caps as an indication of abuse). We also count how many accounts have objected – only this number, nothing else about you; for this we store since when your objection has applied (Art. 6(1)(c) GDPR in conjunction with Art. 21 GDPR). Time series already stored contain only totals and remain unchanged. You can switch the setting back on at any time.

14. Website pickeroni.com

Our website sets no cookies, stores nothing on your device and loads no content from third-party servers – no external fonts, no content delivery networks, no analytics services. That is why there is no cookie banner.

Access logs: For every page request, our web server logs the data described in section 12 (including the full IP address, the requested address with its parameters and the browser identifier).

Pages for links from emails and invitations: If you open an invitation link or a link to confirm your email address or reset your password on a device without the app, the website shows an information page. It stores nothing. However, because the code and – for confirmation and reset – your email address are part of the address, they appear in the access log.

Deleting your account without the app: At pickeroni.com/account/delete you can delete an account that has a password. The website passes your email address and password directly to our server and does not store them (section 19).

“Sign in with Apple” on Android: see section 5.

Legal basis: providing the website and access logs: Art. 6(1)(f) GDPR; our legitimate interest is to provide the website securely and detect attacks. Deletion page: Art. 6(1)(c) GDPR in conjunction with Art. 17 GDPR.

Recipients: our hosting provider.

Retention: access logs as described in section 12.

15. Contacting us by email

If you write to us at contact@pickeroni.com or another of our addresses (e.g. support@pickeroni.com from our emails), we process your email address, your name if you provide it, and the content of your message in order to deal with your request.

Route of emails: Our domain provider OVH forwards all emails sent to addresses at pickeroni.com to a mailbox at Posteo, where we store them. Recipe reports (section 11) and notifications about undeliverable emails (section 6) also go to this mailbox.

Requests concerning your rights: If you ask by email for access, deletion or similar, we check whether the request comes from you, usually by sending a query to the email address of your account (section 20).

Legal basis: requests concerning your account or the contract: Art. 6(1)(b) GDPR. Requests concerning your data protection rights: Art. 6(1)(c) GDPR in conjunction with Art. 12 to 22 GDPR. Other requests: Art. 6(1)(f) GDPR; our legitimate interest is to answer requests. Keeping requests after they have been dealt with: Art. 6(1)(c) GDPR in conjunction with Art. 5(2) GDPR (proof of how we handled requests concerning your data protection rights) and Art. 6(1)(f) GDPR; our legitimate interest is to defend against legal claims and to be able to refer to earlier requests when you contact us again.

Recipients: OVH (forwarding) and Posteo (mailbox) as processors.

Retention: We keep requests concerning your data protection rights and your contract with us (such as complaints, defects, termination, withdrawal or refunds) until the end of the third calendar year after they have been dealt with, so that we can prove how we handled them (regular limitation period); we delete all other requests at the end of the calendar year following the one in which they were dealt with. We delete emails about reports together with the report (section 11), and notifications about undeliverable emails after 3 months.

Obligation to provide data: Contacting us is optional; without contact details we cannot reply.

16. Permissions and data on your device

Permissions: The app uses the following permissions of your device. You can withdraw them at any time in your device settings; the respective feature is then unavailable.

Camera (iOS only): to photograph a dish for a recipe photo. On Android the app uses the system camera app and needs no permission for this.
Photos: to select a picture for a recipe. The app only receives the photos you select.
Notifications: for push notifications (section 9) and for local notifications of the timers in cooking mode, plus vibration.
Keep screen on: in cooking mode, so that the screen does not switch off.

Stored on your device:

in your device's secure storage (iOS Keychain or Android Keystore): your session token, so that you stay signed in; also recently viewed recipes, language, theme, dismissed tip cards, the update notice last shown, the code of an invitation to be continued after sign-in, and whether you have enabled push notifications;
an image cache (image files and an index in the app's cache) so that images load faster;
after enabling push notifications, the Firebase SDK's installation ID and device token (section 9).

The app does not download fonts from the internet. On Android, cloud backup of the app data is switched off, so no copy of this data is created at Google.

Legal basis: storing and reading this data on your device: Section 25(2) no. 2 TDDDG; in each case this is strictly necessary for us to provide the feature you are expressly using (sign-in, your settings, invitation, fast display, push notifications after enabling). Insofar as personal data is processed: Art. 6(1)(b) GDPR. Your operating system's permissions are not consent under data protection law.

What remains after signing out, account deletion and uninstalling: If you sign out or delete your account in the app, the app deletes the session token, recently viewed recipes, tip cards, the pending invitation code, the image cache and the push activation, device token and installation ID. Only language, theme and the update notice last shown remain – device settings without reference to you as a person. If you uninstall the app, Android deletes all its data. On iOS, Keychain entries survive uninstallation; the app deletes them the first time it starts after a reinstall.

If you delete your account via the website or by email, this does not reach the app directly. If the app is open and notices that the sign-in is no longer valid, it cleans up as when you sign out. If it only notices at the next start, it deletes only the session token; the other data remains on the device until you sign out again after a new sign-in or uninstall the app, and the installation ID and device token remain at Google until the app has them deleted at the next sign-out. To avoid this, sign out in the app before deleting your account.

17. Recipients

We only pass personal data on to the following recipients. Processors process data only on our behalf and on our instructions on the basis of a contract under Art. 28 GDPR. Independent controllers decide on the processing themselves; their own privacy policies apply.

Recipient	Role	Purpose	Data	Registered office, place of processing	Third country, safeguard
IONOS SE, Montabaur, Germany	processor	hosting: server for the app interface, database, photos, website, logs and backups on the server	all data named in this policy	data centre in Logroño, Spain (EU)	no transfer to third countries
Amazon Web Services EMEA SARL, Luxembourg	processor	sending emails (Amazon SES), notifications about undeliverable emails (Amazon SNS)	email address, content of the emails (display name, links with code and email address)	Frankfurt region (eu-central-1), Germany	access from the USA possible; EU-US Data Privacy Framework, standard contractual clauses (section 18)
Google Ireland Limited, Dublin, Ireland, and Google LLC, USA	processor	push notifications (Firebase Cloud Messaging, Firebase Installations)	device token, installation ID, content of notifications (names of lists and recipes, display names)	worldwide, including the USA	EU-US Data Privacy Framework, standard contractual clauses (section 18)
Apple Inc., USA	independent controller	delivery of push notifications on iOS (APNs)	device token, content of notifications	USA	EU-US Data Privacy Framework
Apple Distribution International Ltd., Cork, Ireland, and Apple Inc., USA	independent controller	“Sign in with Apple”; App Store (distribution, payment, verification of purchases)	data of your Apple Account, purchase data	Ireland, USA	EU-US Data Privacy Framework
Google Ireland Limited, Google Commerce Limited, both Dublin, Ireland, and Google LLC, USA	independent controller	Google sign-in; Google Play (distribution, payment, verification of purchases; the contracting party for the purchase is Google Commerce Limited)	data of your Google account, purchase data	Ireland, USA	EU-US Data Privacy Framework
OVH SAS, Roubaix, France	processor	domain and DNS; forwarding of all emails to addresses at pickeroni.com	sender and content of incoming emails	France (EU)	–
Posteo e.K., Berlin, Germany	processor	mailbox for incoming emails	sender and content of incoming emails	Germany	–
Members of your lists	users of Pickeroni	shared use of lists	content of the list, display name, votes, who added what	–	–
People with an invitation link	–	invitation preview	name of the list, display name of the inviting person	–	–
Authorities and courts	independent controllers	only if we are legally obliged to do so (Art. 6(1)(c) GDPR)	the data requested in each case	–	–

Not recipients of personal data, named for completeness:

Have I Been Pwned (Troy Hunt, delivered via Cloudflare): during the password check, receives from our server only the first 5 characters of a hash, no data that can be linked to you (section 3).
Let's Encrypt (Internet Security Research Group, USA): issues the certificates for encrypted connections to our domains and receives no data from you.
The controller's own equipment in the home network in Germany (server for time series, NAS for encrypted backups): no third parties (sections 12 and 13).

18. Transfers to third countries

Our servers and hosting are located in the EU (section 17). Data can only reach countries outside the EU and the EEA (third countries) through the following recipients:

Google (Firebase Cloud Messaging, Firebase Installations): FCM is a global service; Google may process device tokens, installation IDs and notification content in the USA and at other locations. Google LLC is certified under the EU-US Data Privacy Framework. For the USA, the European Commission's adequacy decision of 10 July 2023 (Art. 45 GDPR) therefore applies. For other countries and in addition, the European Commission's standard contractual clauses (Art. 46(2)(c) GDPR) apply, which form part of Firebase's data processing terms.
Amazon Web Services: We use the Frankfurt region. Access from the USA, for example by the parent company during maintenance or on the basis of US law, cannot be ruled out. Amazon is certified under the EU-US Data Privacy Framework; in addition, AWS's data processing agreement contains standard contractual clauses.
Apple (APNs, “Sign in with Apple”, App Store) and Google (Google sign-in, Google Play) as independent controllers: they may process data in the USA. Apple Inc. and Google LLC are certified under the EU-US Data Privacy Framework.

You can check whether a US company is certified at www.dataprivacyframework.gov. We will send you a copy of the standard contractual clauses on request to contact@pickeroni.com; they are also published on the European Commission's website.

19. Retention and deletion

We only keep data for as long as we need it for the respective purpose. Overview:

Data	Retention
account, content, settings, year of birth, link with Apple or Google, purchases	until your account is deleted or until you delete them earlier
accounts you no longer use	termination after 36 months without use, deletion after the notice period of three months (“Inactive accounts” below)
accounts that were never confirmed (registration without clicking the confirmation link)	7 days after the last registration with that address
confirmation and reset links	valid for 60 minutes; we delete used confirmation links immediately, unused links 7 days after expiry
sessions	expire after 90 days without use; we delete ended sessions immediately, expired ones 7 days after expiry
device tokens for push notifications	until the associated session ends or Google reports them as invalid (section 9)
installation ID and device token at Google	until the app has them deleted (when you sign out or delete your account in the app), then at most 180 days at Google
hidden polls	30 days after hiding
recipe reports	until the end of the third calendar year after processing is completed
invitation statistics	details of individual joinings 25 months, after that only totals without personal reference
web server access logs	14 days
application log	30 days
counters for protection against abuse	a few minutes to one hour, cleaned up daily
performance monitoring	7 days
browser sessions	120 minutes
queue	until sent; failed jobs 7 days
time series (operations, usage statistics)	25 months
emails in our mailbox	requests concerning your data protection rights and your contract until the end of the third calendar year after they have been dealt with, other requests until the end of the following calendar year, emails about reports like the report, notifications about undeliverable emails 3 months (section 15)
backups	at most 90 days

Deleting your account

You can delete your account at any time:

in the app under Account › Delete account;
without the app at pickeroni.com/account/delete if your account has a password (with email address and password);
by email to contact@pickeroni.com, especially if you only sign in with Apple or Google and have no password. To make sure nobody else can delete your account, we send a query to your account's email address and delete the account after you confirm, at the latest within one month of receiving your request.

What we delete: your account with email address, display name, password hash, year of birth and settings; your recipes including photos; your memberships and invitations; your purchases (section 10); your sessions and device tokens; the link with Apple or Google; your personal meal plans and shopping lists including remembered corrections; your participation in polls. When you delete your account, we also revoke the link at Apple.

What remains without a link to your account: your votes in polls; for polls, meal plans and shopping lists in shared lists, the information on who created them, and for recipes in lists, who added them; reports you submitted and reports concerning your recipes; the invitation statistics. In each case we remove the reference to your account.

What remains with others: copies of your recipes that members have saved, including photos; the names of your recipes in polls, meal plans and shopping lists and the photo copies in polls (except after blocking, section 11); items you entered in shared shopping lists, without any indication that they came from you. Your own lists with other members pass to another member (section 7).

What deletion does not cover immediately:

logs and technical data until their period expires: application log (30 days), access logs (section 12), performance monitoring (7 days), pseudonymised counters for protection against abuse (until the daily clean-up);
backups, at most 90 days;
emails in our mailbox, for example about reports (section 15);
if you delete via the website or by email: the installation ID and device token at Google and the data on your device (section 16). So please sign out in the app first.

Inactive accounts: If you do not use your account for 36 months, i.e. you neither sign in nor open the app with your account, we will terminate the user agreement by email with three months' notice (§ 15 (3) of the Terms of Use). If you sign in before the notice period ends, the termination does not take effect and your account remains. Otherwise we delete the account when the notice period has ended, as described above. If you bought the unlock, we will refund the price on request in this case (§ 15 (3) of the Terms of Use).

20. Your rights

Under the GDPR you have the following rights. To exercise them, contact us informally at contact@pickeroni.com or at the address in section 1.

Access (Art. 15 GDPR): which data we process about you, for what purposes, to whom we disclose it and for how long, and a copy of this data. There is no dedicated feature for this in the app; write to us.
Rectification (Art. 16 GDPR): You change your display name, email address and password yourself in the app under Account. We change your year of birth on request by email.
Erasure (Art. 17 GDPR): section 19.
Restriction of processing (Art. 18 GDPR), for example while we check whether your data is accurate.
Data portability (Art. 20 GDPR): On request by email, you receive the data you have provided to us and that we process by automated means on the basis of the contract in a structured, commonly used and machine-readable format; where technically feasible, we also transmit it directly to another controller. There is no export feature in the app.
Objection (Art. 21 GDPR): section 21.
Complaint to a supervisory authority (Art. 77 GDPR): You can lodge a complaint with any data protection supervisory authority, in particular in the EU or EEA state where you live or work or where the alleged infringement took place. The authority responsible for us is:

Berliner Beauftragte für Datenschutz und Informationsfreiheit (Berlin Commissioner for Data Protection and Freedom of Information)
Alt-Moabit 59–61
10555 Berlin, Germany
www.datenschutz-berlin.de

We do not base any processing on consent (Art. 6(1)(a) GDPR). Accepting the Terms of Use is not consent under data protection law.

We respond to requests within one month. For complex or numerous requests, this period may be extended by two further months; in that case we will inform you within the first month and give the reasons (Art. 12(3) GDPR). If we have reasonable doubts that a request comes from you, we will ask, usually via your account's email address.

21. Your right to object

Right to object under Art. 21 GDPR

You have the right to object at any time, on grounds relating to your particular situation, to the processing of your personal data that we base on Art. 6(1)(f) GDPR (legitimate interests).

In this policy, this concerns: proof of your acceptance of the Terms of Use, the check for known passwords, the check of the app version and the identification of inactive accounts (section 3), the age statistics (4), protection against abuse when signing in with Apple or Google (5), the security notice and the processing of bounce notifications (6), data of other people in content, copies and stored names remaining with others and the analysis for aisle sorting (7), the invitation statistics (8), test notifications (9), the documentation of reports (11), security and operations (12), usage statistics (13), the website's access logs (14) and other requests by email (15).

If you object, we will no longer process this data unless we can demonstrate compelling legitimate grounds for the processing which override your interests, rights and freedoms, or the processing serves the establishment, exercise or defence of legal claims.

You can object to usage statistics, including the age statistics, without giving reasons, most easily in the app under Account › Usage statistics using the “Contribute to usage statistics” setting (section 13).

You can send your objection informally to contact@pickeroni.com or by post to the address in section 1.

22. No automated decisions

We do not make decisions based solely on automated processing that produce legal effects concerning you or similarly significantly affect you (Art. 22 GDPR), and we do not carry out profiling. Free limits, usage limits and protection against too many requests do apply automatically, but according to fixed values that are the same for everyone and not on the basis of an assessment of you as a person. We decide on reports ourselves.

23. Children and young people

You may use Pickeroni from the age of 16. If you are not yet 18, you need your parents' consent (Terms of Use § 3). You confirm this when you register; we do not verify your age technically. If we learn that someone under 16 is using Pickeroni, we terminate the contract and delete the account; we let them know beforehand.

The special age limit for consent (Art. 8 GDPR) does not matter for us, because we do not base any processing on consent. The age statistics include the group “under 18” (section 4). Where we rely on our legitimate interests, we give particular weight to the interests of young people.

24. Data security

We protect your data with technical and organisational measures (Art. 32 GDPR), including:

Connections between the app, the website and our server are encrypted with TLS; the app does not establish unencrypted connections.
We store passwords only as bcrypt hashes.
On your device, the session token is kept in the iOS Keychain or the Android Keystore.
We limit sign-in attempts and other requests; we store the identifiers used for this in pseudonymised form.
The backups on the NAS are encrypted.
On our side, only the controller has access to the data.

No system is completely secure; we adapt our measures to the state of the art.

25. Changes to this privacy policy

We update this privacy policy when Pickeroni, our processing or the legal situation changes. You can find the current version at pickeroni.com/privacy and in the app under Account › Legal; the date at the top shows when it was last updated. This policy is available in German and English; both versions have the same content.

Last updated: 13 October 2026

Datenschutzerklärung für Pickeroni

Inhalt

1. Verantwortlicher und Kontakt

2. Überblick

Das Wichtigste in Kürze

Was wir nicht tun

3. Dein Konto

4. Geburtsjahr (freiwillig)

5. Anmeldung mit Apple oder Google

6. E-Mails von Pickeroni

7. Deine Inhalte und gemeinsame Listen

8. Einladungen

9. Push-Benachrichtigungen

10. Freischaltung per In-App-Kauf

11. Meldungen von Rezepten

12. Sicherheit und Betrieb

13. Nutzungsstatistik

Widerspruch gegen die Nutzungsstatistik

14. Website pickeroni.com

15. Kontakt per E-Mail

16. Berechtigungen und Daten auf deinem Gerät

17. Empfänger

18. Übermittlung in Drittländer

19. Speicherdauer und Löschung

Konto löschen

20. Deine Rechte

21. Dein Widerspruchsrecht

Widerspruchsrecht nach Art. 21 DSGVO

22. Keine automatisierten Entscheidungen

23. Kinder und Jugendliche

24. Datensicherheit

25. Änderungen dieser Datenschutzerklärung

Privacy Policy for Pickeroni

Contents

1. Controller and contact

2. Overview

The key points

What we do not do

3. Your account

4. Year of birth (optional)

5. Signing in with Apple or Google

6. Emails from Pickeroni

7. Your content and shared lists

8. Invitations

9. Push notifications

10. Unlock via in-app purchase

11. Recipe reports

12. Security and operations

13. Usage statistics

Objecting to usage statistics

14. Website pickeroni.com

15. Contacting us by email

16. Permissions and data on your device

17. Recipients

18. Transfers to third countries

19. Retention and deletion

Deleting your account

20. Your rights

21. Your right to object

Right to object under Art. 21 GDPR

22. No automated decisions

23. Children and young people

24. Data security

25. Changes to this privacy policy