Datenschutzerklärung

Diese Datenschutzerklärung informiert Sie über die Verarbeitung Ihrer personenbezogenen Daten bei der Nutzung der VENDi® App (Android und iOS, im Folgenden „App“) sowie der zugehörigen Backend-Dienste. Sie richtet sich an Endkundinnen und Endkunden („Nutzer“, „Sie“), die mit der App Verkaufsautomaten in ihrer Umgebung finden, deren Sortiment einsehen und mit dem jeweiligen Betreiber in Kontakt treten möchten.

Die Datenverarbeitung erfolgt im Einklang mit der Datenschutz-Grundverordnung (DSGVO), dem Bundesdatenschutzgesetz (BDSG) und dem Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG).

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

RS Vending UG (haftungsbeschränkt)
Schönbergweg 38
79283 Bollschweil
Deutschland

Vertretungsberechtigter Geschäftsführer: Leon Riesterer
Registergericht: Amtsgericht Freiburg im Breisgau
Handelsregisternummer: HRB 733392
Umsatzsteuer-Identifikationsnummer: DE455530556

E-Mail: support@vendi-app.com

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nach § 38 BDSG für RS Vending UG nicht erforderlich, da die gesetzlichen Voraussetzungen (in der Regel mindestens 20 ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigte Personen) nicht erfüllt sind. Anfragen zum Datenschutz richten Sie bitte an: support@vendi-app.com oder an die unter Ziffer 1 genannte Anschrift.

3. Begriffsbestimmungen

Diese Erklärung verwendet Begriffe der DSGVO. Verarbeitung im Sinne dieser Erklärung umfasst insbesondere Erhebung, Speicherung, Veränderung, Auslesen, Übermittlung und Löschung Ihrer personenbezogenen Daten. „Personenbezogene Daten“ sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO). Vollständige Definitionen unter Art. 4 DSGVO.

4. Allgemeine Hinweise

4.1 Hosting und Datenstandort

Backend-Dienst ist Supabase (siehe Ziffer 9.1). Die Datenbank, das Authentifizierungssystem, der Objekt-Speicher und die Edge Functions werden in der Region eu-central-1 (Frankfurt am Main, Deutschland) betrieben. Eine routinemäßige Verarbeitung außerhalb der EU/EWR findet ausschließlich durch die unter Ziffer 9 genannten Auftragsverarbeiter statt.

4.2 Verschlüsselung

Sämtliche Verbindungen zwischen App, Backend und Auftragsverarbeitern erfolgen TLS-verschlüsselt (HTTPS). Passwörter werden ausschließlich als Hash gespeichert (bcrypt durch Supabase Auth). Sensible Tokens und Schlüssel werden serverseitig in einem geschützten Tresor (Supabase Vault) gehalten.

4.3 Pseudonymisierung in Crash-Reports

Crash-Reports und Diagnose-Events werden vor Übermittlung an Sentry serverseitig gefiltert: E-Mail-Adressen in Fehler-Nachrichten, Breadcrumbs und Tags werden durch den Platzhalter [email] ersetzt. Screenshots und View-Hierarchien werden nicht übermittelt. Eine direkte Identifizierung des Nutzers über Crash-Reports ist nicht möglich; lediglich die User-UUID (zufällig, kein personenbezogenes Datum für sich) kann zur Korrelation übermittelt werden.

4.4 Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidung im Einzelfall einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Die App nutzt KI-Modelle (siehe Ziffer 6.5) ausschließlich zur Beantwortung Ihrer Support-Anfragen — diese Verarbeitung hat keine rechtlichen oder ähnlich erheblichen Folgen für Sie.

5. Datenverarbeitungen im Überblick

Detailbeschreibung jeder Verarbeitung in den folgenden Abschnitten.

6. Detaillierte Beschreibung der Verarbeitungen

6.1 Account-Anlage und Login

6.1.1 Registrierung per E-Mail-Adresse

Bei der Registrierung über die SignUp-Seite verarbeiten wir:

• E-Mail-Adresse, Passwort (nur als bcrypt-Hash gespeichert)
• Optional: Name — wird im Profil angezeigt
• Zeitpunkt der AGB-Zustimmung (agb_accepted_at — dokumentiert nach Art. 7 (1) DSGVO die Einwilligung in AGB und Datenschutzerklärung)
• Kundennummer (automatisch generiert im Format A<JJ><MM><NNNNN>, dient zur Zuordnung von Support-Anfragen)

Wir versenden anschließend einen sechsstelligen Verifikationscode per E-Mail (siehe Ziffer 6.10). Nach Verifikation wird das Konto als Endkunden-Konto (user_type='b2c') freigeschaltet und ein Profil in der Tabelle app_users angelegt.

Rechtsgrundlage: Art. 6 (1) lit. b DSGVO (Anbahnung und Durchführung des Nutzungsverhältnisses).

6.1.2 Registrierung über „Mit Google anmelden“ / „Mit Apple anmelden“

Sie können sich alternativ über Single-Sign-On bei Google oder Apple anmelden. Vor dem Anmeldevorgang zeigen wir Ihnen ein Einwilligungs-Sheet mit Verweis auf AGB und diese Datenschutzerklärung. Erst nach Bestätigung leiten wir Sie zum Identity-Provider weiter.

Vom Provider erhalten wir nach erfolgreicher Authentifizierung:

• eindeutige Provider-User-ID (Google: sub-Claim; Apple: user-Identifier)
• E-Mail-Adresse (sofern Sie der Übermittlung zustimmen; bei Apple kann eine anonymisierte Relay-Adresse @privaterelay.appleid.com übermittelt werden)
• Name (sofern vom Provider übermittelt)

Anschließend ruft die App die serverseitige Funktion claim_app_user auf, die ein leeres Endkunden-Profil anlegt.

Rechtsgrundlage: Art. 6 (1) lit. b DSGVO (Vertrag) in Verbindung mit Art. 6 (1) lit. a DSGVO (Ihre Einwilligung in das OAuth-Consent-Sheet).

Drittland-Übermittlung: Google LLC und Apple Inc. mit Sitz in den USA. Der Transfer stützt sich auf das EU-US Data Privacy Framework (DPF), für das beide Anbieter zertifiziert sind, sowie auf Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914.

6.1.3 Schutz vor Missbrauch beim Login

Vor jedem Anmelde-, Registrierungs-, Passwort-Reset- und OTP-Versand-Vorgang prüfen wir:

• Cloudflare Turnstile (Captcha) — ein clientseitig unsichtbares Captcha (Turnstile-Token gültig 300 Sekunden, single-use). Der Token wird an unser Backend gesendet, das ihn gegen die Cloudflare-API verifiziert. Cloudflare verarbeitet hierfür Ihre IP-Adresse und Browser-Eigenschaften. Cloudflare ist DPF-zertifiziert.
• Server-seitiges Rate-Limit — wir speichern einen SHA-256-Hash der eingegebenen E-Mail-Adresse zusammen mit der versuchten Aktion und einem Zeitstempel in der Tabelle private.auth_rate_limit_log. Der Klartext der E-Mail wird nicht gespeichert. Einträge älter als 24 Stunden werden automatisch gelöscht.

Im Support-Chat aus der App heraus wird Turnstile nicht abgefragt, da Sie bereits über Ihren Account authentifiziert sind.

Rechtsgrundlage: Art. 6 (1) lit. f DSGVO (berechtigtes Interesse an der Abwehr von Brute-Force-Angriffen, Bot-Registrierungen und Kontomissbrauch). Eine Abwägung ergibt: Eingriff durch reine Pseudonym-Speicherung (Hash) gering, Schutzinteresse für Betroffene und Anbieter hoch.

6.2 Profil-Verwaltung

In den Einstellungen der App können Sie:

• Profil-Daten bearbeiten (Name, Sprache, Theme)
• Push-Berechtigung verwalten (sofern aktiv)
• Datenexport anfordern und Konto löschen (siehe Ziffer 6.9)

Es werden keine Profilbilder von Endkunden hochgeladen oder verarbeitet. Etwaige Firmenlogos, die in der App neben einem Automaten angezeigt werden, gehören dem jeweiligen Betreiber und werden ausschließlich von diesem zur Verfügung gestellt.

Rechtsgrundlage: Art. 6 (1) lit. b DSGVO.

6.3 Favoriten

Sie können Standorte und Produkte als Favoriten markieren. Wir speichern in der Tabelle user_favorites Ihre User-ID, die jeweilige Standort- oder Produkt-ID und den Zeitpunkt der Markierung.

Diese Daten sind ausschließlich für Sie selbst sichtbar und werden nicht an Dritte (insbesondere nicht an Betreiber) übermittelt.

Rechtsgrundlage: Art. 6 (1) lit. b DSGVO.

6.4 Karten-Darstellung und Standort

6.4.1 Anzeige der Automaten-Karte (Mapbox)

Karten in der App werden über den Anbieter Mapbox geladen. Für jede angezeigte Karten-Kachel sendet die App eine Tile-Anfrage mit den Koordinaten der dargestellten Region an Mapbox. Mapbox verarbeitet hierbei Ihre IP-Adresse zur Auslieferung der Daten.

Wichtig: Wir aktivieren in der Mapbox-SDK keine Movement-Tracking-Funktionen. Es findet daher kein kontinuierliches Tracking Ihres Standortverlaufs durch Mapbox statt.

6.4.2 Adress-Suche und manueller Standort (Mapbox Forward-Geocoding)

Wenn Sie im Einstellungs-Sheet einen Ort als manuelles Suchzentrum eingeben, übermitteln wir Ihre Eingabe an die Mapbox Forward-Geocoding-API, um die Koordinaten aufzulösen. Übermittelt werden der Adress-String und Ihre IP-Adresse.

6.4.3 GPS-Erfassung Ihres Geräts

Eine Erfassung Ihrer aktuellen Geräte-Position erfolgt nur, wenn Sie der Betriebssystem-Standort-Berechtigung zugestimmt haben undSie eine Funktion aktiv anfordern (z. B. „In meiner Nähe“). Die Koordinaten werden ausschließlich auf dem Gerät und flüchtig zur Berechnung der nächstgelegenen Automaten genutzt; eine Speicherung Ihres Standortverlaufs erfolgt nicht. Sie können die Berechtigung jederzeit in den Betriebssystem-Einstellungen widerrufen.

Rechtsgrundlage: für die Anzeige der Karte Art. 6 (1) lit. b und f DSGVO; für die GPS-Erfassung Art. 6 (1) lit. a DSGVO (Ihre Einwilligung über den Betriebssystem-Permission-Dialog).

Drittland-Übermittlung: Mapbox, Inc. (USA). Transfer-Mechanismus: Standardvertragsklauseln (SCC, EU 2021/914) gemäß Mapbox DPA. Mapbox ist DPF-zertifiziert (Stand 6. Juni 2026 — bitte vor Veröffentlichung prüfen).

6.5 Support-Chat mit KI-Assistent

Wenn Sie im Detail eines Automaten den Support-Button antippen, öffnet sich ein KI-gestützter Chat zu genau diesem Automaten. Wir speichern in den Tabellen qr_support_sessions und qr_support_messages:

• eine Session-ID (zufällig)
• die ID des Automaten
• Ihre User-ID
• den vollständigen Chat-Verlauf (Ihre Nachrichten und die Antworten der KI bzw. des Betreibers)
• optionale Bild-Anhänge (siehe Ziffer 6.6) und Zeitstempel

Zur Generierung der KI-Antworten übermitteln wir Ihre Nachrichten an OpenAI über die Edge Function ai-support. OpenAI nutzt die per API übermittelten Daten gemäß ihrer API-Nutzungsbedingungen nicht zum Training der Modelle.

Bitte geben Sie im Chat keine sensiblen Daten ein — insbesondere keine Gesundheits-, Zahlungs- oder Anmeldedaten. Erforderlich sind nur Angaben zur Lösung Ihres Anliegens am Automaten.

Rechtsgrundlage: Art. 6 (1) lit. b DSGVO (Vertragsleistung — Betrieb des Support-Kanals) in Verbindung mit Art. 6 (1) lit. f DSGVO (berechtigtes Interesse an effizienter Bearbeitung von Service-Anfragen).

Sichtbarkeit für den Betreiber: Sobald Sie einen Support-Chat zu einem Automaten starten, ist der vollständige Chat-Verlauf (Ihre Nachrichten, KI-Antworten, optionale Bild-Anhänge, die Automaten-ID und Ihr in der App angezeigter Vorname) für den Betreiber des jeweiligen Automaten in seiner Betreiber-Anwendung einsehbar — auch dann, wenn der Chat noch ausschließlich mit der KI geführt wird. Erreicht die KI ihre Grenzen, kann sie die Session formal an den Betreiber „eskalieren“; eine Eskalation ändert lediglich, dass der Betreiber sich aktiv in das Gespräch einschalten und antworten kann — sie ist nicht der Zeitpunkt, ab dem der Betreiber überhaupt Lesezugriff erhält. Der Betreiber ist datenschutzrechtlich eigenständig Verantwortlicher für die Bearbeitung Ihres Anliegens und hat eine eigene Datenschutzerklärung gegenüber Ihnen vorzuhalten.

6.6 Photo-Upload im Chat

Im Chat-Eingabefeld können Sie optional ein Foto mitsenden (z. B. ein Bild des fehlerhaften Produkts oder des Automaten-Displays). Hierzu ist eine Berechtigung für die Kamera bzw. Foto-Mediathek erforderlich.

Das Bild wird unverändert in den Supabase-Storage hochgeladen, mit der zugehörigen Chat-Nachricht verknüpft und im Chatverlauf für Sie sowie — nach Eskalation — für den Betreiber sichtbar. Eine KI-basierte Analyse des Bildes findet im App-Chat-Pfad nicht statt.

Wir entfernen automatisch: keine EXIF-Daten. Achten Sie daher selbst darauf, ob Sie ein Foto mit eingebetteten GPS- oder Geräte-Daten teilen möchten. Sie können Bilder über Ihr Betriebssystem vor dem Upload zuschneiden oder anonymisieren.

Rechtsgrundlage: Art. 6 (1) lit. b DSGVO. Bei Bildern mit erkennbaren Personen obliegt die Einholung etwaiger Einwilligungen Ihrer Verantwortung.

6.7 Nutzungs-Analyse (Tracking)

Zur Verbesserung der App und zur Bereitstellung von aggregierten Statistiken an die jeweiligen Betreiber Ihrer Automaten erheben wir in der Tabelle machine_events einzelne Interaktions-Ereignisse:

Pro Ereignis speichern wir:

• den Ereignis-Typ und einen Zeitstempel
• die Automaten-ID sowie ggf. die Produkt-ID
• Ihre User-UUID (zur Aggregation, nicht zur Profilbildung)
• eine flüchtige Session-ID (gilt für die laufende App-Sitzung)
• die Quelle (fest 'app')

Die Daten werden an den jeweiligen Betreiber des Automaten in aggregierter Formausgespielt (z. B. „Anzahl Interaktionen pro Standort und Tag“). Eine direkte Ausspielung einzelner User-bezogener Events an Betreiber erfolgt nicht. Bei Konto-Löschung wird die User-Referenz in machine_events auf NULL gesetzt — die anonymisierten Aggregate bleiben für Statistik-Zwecke erhalten.

Es findet keine Cross-App-Verknüpfung mit Werbe-Identifiern (IDFA, Android Advertising ID) statt. Es werden keine Profile zu Werbe- oder Marketing-Zwecken gebildet.

Rechtsgrundlage: Art. 6 (1) lit. f DSGVO (berechtigtes Interesse an Produktverbesserung sowie an aggregierten Auswertungen für die Automaten-Betreiber). Sie können dieser Verarbeitung jederzeit unter den Kontaktdaten aus Ziffer 1 widersprechen (Art. 21 DSGVO).

6.8 Push-Notifications

Sofern die App Push-Notifications anbietet und Sie die Berechtigung in Ihrem Betriebssystem erteilen, registriert die App über Firebase Cloud Messaging (FCM)bzw. das Apple Push Notification Service (APNs) einen Geräte-Token. Wir verwenden den Token ausschließlich, um Ihnen Hinweise im Zusammenhang mit Ihrem Account zukommen zu lassen (z. B. eine Antwort des Betreibers in einer eskalierten Support-Sitzung). Tote Tokens werden automatisch entfernt.

Sie können die Berechtigung jederzeit in den Betriebssystem-Einstellungen widerrufen.

Rechtsgrundlage: Art. 6 (1) lit. a DSGVO (Ihre Einwilligung über den Betriebssystem-Permission-Dialog) in Verbindung mit Art. 6 (1) lit. b DSGVO (Vertragsleistung).

Drittland-Übermittlung: FCM wird von Google LLC (USA), APNs von Apple Inc. (USA) betrieben. Transfer-Mechanismus: EU-US Data Privacy Framework (Google und Apple zertifiziert) + SCC.

6.9 Kontoverwaltung und Konto-Löschung

6.9.1 Datenexport (Auskunftsrecht nach Art. 15 + Datenübertragbarkeit nach Art. 20 DSGVO)

In den Einstellungen können Sie unter „Meine Daten erhalten“ einen vollständigen Export Ihrer in der App gespeicherten Daten anfordern. Der Export wird vom Backend zusammengestellt (JSON-Datei + HTML-Übersicht) und Ihnen per E-Mail an Ihre Anmelde-Adresse zugesandt. Rate-Limit: maximal 1 Export pro 24 Stunden.

Der Export enthält Ihre Profil-, Favoriten- und Chat-Daten sowie Ihre eigenen Nutzungs-Events. Personenbezogene Daten Dritter (z. B. Operator-Antworten enthalten den Klartext, dabei aber keine Stammdaten der Betreiber-Mitarbeiter) werden, soweit Ihre Daten sind, mitgegeben.

6.9.2 Konto-Löschung (Recht auf Löschung nach Art. 17 DSGVO)

In den Einstellungen können Sie unter „Konto löschen“ Ihr Konto zur Löschung vormerken. Nach Bestätigung über einen „LÖSCHEN“-Bestätigungs-Dialog:

• Wir markieren Ihr Konto als zur Löschung vorgesehen mit einer Frist von 30 Tagen (deletion_scheduled_at).
• Während dieser 30 Tage können Sie die Löschung jederzeit über den eingeblendeten Banner abbrechen.
• Sie können sich weiterhin einloggen und Daten exportieren.

Nach Ablauf der 30 Tage löscht ein nächtlich laufender automatischer Prozess (cleanup_scheduled_deletions, 03:00 UTC) Ihr Konto endgültig und kaskadiert auf alle verknüpften Tabellen. Die User-ID in bereits geschriebenen Nutzungs-Events (machine_events) wird auf NULL gesetzt — die Events werden damit anonymisiert; eine Re-Identifizierung ist anschließend nicht mehr möglich.

6.10 Versand von Auth-Mails

Wir versenden über den Mail-Provider Resend (siehe Ziffer 9.4) folgende transaktionalen Mails:

• Verifikationscode bei Registrierung
• Passwort-Reset-Code
• Login-Code
• Datenexport-Versand (siehe 6.9.1)

Jede Mail wird einmalig versendet, kein Marketing, kein Newsletter. Die E-Mail-Adresse, der zu versendende Code und Ihr Name werden an Resend übermittelt. Resend speichert Versand-Logs für die übliche Zustellprotokollierung.

Rechtsgrundlage: Art. 6 (1) lit. b DSGVO.

Drittland-Übermittlung: Resend, Inc. (USA). Transfer-Mechanismus: Standardvertragsklauseln (SCC, EU 2021/914).

6.11 Crash- und Fehlerberichte

Stürzt die App ab oder tritt ein nicht-behandelter Fehler auf, übermitteln wir an Sentry:

• Stacktrace, Fehler-Typ, Fehler-Nachricht (E-Mail-Adressen werden vorab durch [email] ersetzt — siehe Ziffer 4.3)
• App-Version, OS-Version, Gerätetyp (Modell)
• Pseudonyme User-ID (UUID, kein Personenbezug für sich)
• Breadcrumbs (anonymisierte Aktivitätsschritte vor dem Fehler)

Wir übermitteln nicht: Klartext-Eingaben, Passwörter, Auth-Token, Foto-Bilddaten, Standort-Daten, Screenshots, View-Hierarchien.

Rechtsgrundlage: Art. 6 (1) lit. f DSGVO (berechtigtes Interesse an Stabilität und Fehlerbehebung der App). Eine Interessenabwägung ergibt: keine identifizierende Information übermittelt, hoher Nutzen für Produktqualität.

Speicherdauer bei Sentry: standardmäßig 90 Tage gem. Sentry-Retention-Policy.

Drittland-Übermittlung: Functional Software, Inc. (Sentry, USA). Region de.sentry.io (EU-Datenresidenz). Transfer-Mechanismus: EU-US Data Privacy Framework (zertifiziert) + SCC.

6.12 In-App-Mitteilungen (Announcements)

Wir können Ihnen über die App Hinweise und Informationen (z. B. neue Features, Wartungsfenster) als Modal-Dialog anzeigen. Wir speichern in der Tabelle announcement_views:

• Ihre User-ID
• die ID der gesehenen Mitteilung
• den Zeitpunkt des Anzeigens

Hierdurch zeigen wir dieselbe Mitteilung niemals doppelt an.

Rechtsgrundlage: Art. 6 (1) lit. f DSGVO (berechtigtes Interesse an Nutzerinformation).

6.13 Berechtigungen des Betriebssystems

Die App fragt — wenn erforderlich und ausschließlich kontextbezogen — folgende Betriebssystem-Berechtigungen ab:

Sie können jede Berechtigung jederzeit in den Betriebssystem-Einstellungen widerrufen.

7. Empfänger der Daten

Empfänger Ihrer Daten sind:

• Sie selbst (jederzeit über die App).
• Auftragsverarbeiter (siehe Ziffer 9) im Rahmen weisungsgebundener Verarbeitung.
• Betreiber der jeweiligen Automaten — sobald Sie einen Support-Chat zu einem Automaten starten, ist der gesamte Chat-Verlauf (einschließlich Bild-Anhängen, Automaten-ID und Ihrem in der App angezeigten Vornamen) für den Betreiber dieses Automaten in seiner Betreiber-Anwendung sichtbar — auch ohne Eskalation; siehe im Detail Ziffer 6.5. Aggregierte (anonymisierte) Nutzungs-Statistiken werden zusätzlich ausgespielt — siehe Ziffer 6.7.
• Strafverfolgungs- und Aufsichtsbehörden im Rahmen gesetzlicher Auskunftspflichten.

Eine darüber hinausgehende Übermittlung (z. B. zu Werbe- oder Marketing-Zwecken) findet nicht statt. Es findet auch keineÜbermittlung von Tracking-Daten an Werbe-Netze oder App-Analytics-Anbieter (Google Analytics, Facebook SDK, AppsFlyer o. ä.) statt.

8. Cookies und Tracking

Die mobile App verwendet keine Cookies. Der lokale Speicher (shared_preferences) wird ausschließlich für Sprach-Einstellung, Theme-Wahl, Session-Token, Onboarding-Status und gesehene-Hinweise-Memos genutzt. Eine app-übergreifende Werbe-ID (IDFA, Android Advertising ID) wird nicht verwendet und nicht ausgelesen. Apple-„App-Tracking-Transparency“-Dialog erscheint daher nicht.

Auf der Web-Seite vendi-app.com können Cookies zum Einsatz kommen — diese sind in einer separaten Cookie-Hinweis-Box dort beschrieben.

9. Auftragsverarbeiter

Mit allen unten genannten Auftragsverarbeitern besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Wir haben uns vor Vertragsabschluss vergewissert, dass die Anbieter geeignete technische und organisatorische Maßnahmen (TOM) zum Schutz Ihrer Daten getroffen haben.

9.1 Supabase (Backend-as-a-Service)

Anbieter: Supabase Inc., 970 Toa Payoh North #07-04, Singapore 318992 (technische Verarbeitung in der EU).
Zweck: Datenbank (PostgreSQL), Authentifizierung, Objektspeicher, Edge Functions.
Datenstandort: Frankfurt am Main, Deutschland (Region eu-central-1).
Vertragsgrundlage: Auftragsverarbeitungsvertrag (Supabase DPA) — https://supabase.com/legal/dpa
Drittland-Mechanismus: Soweit Supabase im Konzernverbund auf US-Infrastruktur zugreift, gilt SCC.

9.2 Sentry (Crash-Reporting)

Anbieter: Functional Software, Inc. d/b/a Sentry, 132 Hawthorne Street, San Francisco, CA 94107, USA.
Region: EU-Datenresidenz (de.sentry.io).
Zweck: Erfassung von Crashes und nicht-behandelten Fehlern.
Vertragsgrundlage: Sentry Data Processing Addendum — https://sentry.io/legal/dpa/
Drittland-Mechanismus: EU-US Data Privacy Framework (zertifiziert) + SCC.

9.3 Mapbox (Karten & Geocoding)

Anbieter: Mapbox, Inc., 1714 14th Street NW, Washington, D.C. 20009, USA.
Zweck: Auslieferung von Karten-Tiles und Forward-Geocoding für die Adress-Suche.
Vertragsgrundlage: Mapbox Data Processing Addendum — https://www.mapbox.com/legal/dpa
Drittland-Mechanismus: Standardvertragsklauseln (SCC) + EU-US Data Privacy Framework. Mapbox ist DPF-zertifiziert (Stand 6. Juni 2026 — bitte vor Veröffentlichung prüfen).

9.4 Resend (Transaktions-E-Mail)

Anbieter: Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA.
Zweck: Versand von Verifikations-, Login- und Reset-Mails sowie des Datenexports.
Vertragsgrundlage: Resend DPA — https://resend.com/legal/dpa
Drittland-Mechanismus: Standardvertragsklauseln (SCC).

9.5 OpenAI (KI-Antworten im Support-Chat)

Anbieter: OpenAI, L.L.C., 3180 18th Street, San Francisco, CA 94110, USA.
Zweck: Generierung von KI-Antworten im Support-Chat (Edge Function ai-support).
Vertragsgrundlage: OpenAI Data Processing Addendum — https://openai.com/policies/data-processing-addendum
Drittland-Mechanismus: Standardvertragsklauseln (SCC, EU 2021/914).
Hinweis Modell-Training: OpenAI nutzt über die API übermittelte Daten ausdrücklich nicht für das Training der Modelle (vgl. https://openai.com/policies/api-data-usage-policies).

9.6 Cloudflare Turnstile (Bot-Schutz)

Anbieter: Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA.
Zweck: Captcha-Schutz vor Brute-Force- und Bot-Angriffen auf Auth-Endpunkte.
Vertragsgrundlage: Cloudflare DPA — https://www.cloudflare.com/cloudflare-customer-dpa/
Drittland-Mechanismus: EU-US Data Privacy Framework (Cloudflare zertifiziert) + SCC.

9.7 Apple Sign-In & Apple Push Notification Service (optional)

Anbieter: Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA; für EU-Kunden ggf. über Apple Distribution International Ltd., Hollyhill, Cork, Irland.
Zweck: Anbieten der „Mit Apple anmelden“-Login-Option und Auslieferung von Push-Notifications an iOS-Geräte.
Vertragsgrundlage: Apple Developer Program License Agreement.
Drittland-Mechanismus: EU-US Data Privacy Framework (Apple zertifiziert) + SCC.

9.8 Google Sign-In & Firebase Cloud Messaging (optional)

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; ggf. Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA.
Zweck: Anbieten der „Mit Google anmelden“-Login-Option sowie Auslieferung von Push-Notifications an Android-Geräte über Firebase Cloud Messaging.
Vertragsgrundlage: Google Cloud Data Processing Addendum.
Drittland-Mechanismus: EU-US Data Privacy Framework (Google zertifiziert) + SCC.

10. Speicher- und Löschfristen

11. Ihre Rechte

Sie haben uns gegenüber folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Auskunftsrecht (Art. 15 DSGVO) — Sie können jederzeit Auskunft über die verarbeiteten Daten verlangen. Komfortabel über die App-Funktion „Meine Daten erhalten“ oder per Mail an support@vendi-app.com.
• Recht auf Berichtigung (Art. 16 DSGVO) — Korrekturen direkt in der App oder per Mail.
• Recht auf Löschung (Art. 17 DSGVO) — über die App-Funktion „Konto löschen“ oder per Mail.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) — per Mail.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO) — über die App-Funktion „Meine Daten erhalten“ als maschinenlesbare JSON-Datei.
• Widerspruchsrecht(Art. 21 DSGVO) — gegen Verarbeitungen auf Basis berechtigter Interessen (z. B. Nutzungs-Analyse, Crash-Reporting) per Mail.
• Widerruf einer Einwilligung(Art. 7 (3) DSGVO) — z. B. Widerruf der Push-Berechtigung in den OS-Einstellungen oder der OAuth-Einwilligung durch Trennen der Verbindung im Provider-Konto.

Wir antworten auf Ihre Anfrage innerhalb der gesetzlichen Frist von einem Monat (Art. 12 (3) DSGVO).

12. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer Daten durch uns zu beschweren. Zuständige Behörde für RS Vending UG ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW)
Königstraße 10a
70173 Stuttgart
Telefon: +49 711 615541-0
E-Mail: poststelle@lfdi.bwl.de
Web: https://www.baden-wuerttemberg.datenschutz.de

Sie können sich auch an die Aufsichtsbehörde Ihres Wohnsitzes wenden.

13. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen zum Schutz Ihrer Daten:

• TLS-Verschlüsselung aller Verbindungen (HTTPS)
• Passwort-Hashing (bcrypt)
• Row-Level Security (RLS) auf Datenbank-Ebene — strikte Trennung Ihrer Daten von anderen Nutzern und Betreibern
• Geheime Schlüssel im Secrets-Tresor (Supabase Vault)
• Pseudonymisierung in Crash-Reports
• Rate-Limiting auf Auth-Endpunkten
• Captcha-Schutz vor Bot-Angriffen
• Regelmäßige Software-Updates der App und der Backend-Komponenten

14. Änderungen dieser Erklärung

Wir behalten uns vor, diese Datenschutzerklärung an geänderte Rechts- oder Sachlagen anzupassen. Die jeweils aktuelle Version ist unter https://www.vendi-app.com/privacy abrufbar. Wesentliche Änderungen kündigen wir Ihnen mindestens 30 Tage im Voraus per E-Mail oder per In-App-Mitteilung an.

Stand: 6. Juni 2026
Version: 1.0