Datenschutzerklärung

Stand: 20. Oktober 2026. Gilt für die App „Breadbox“ für iPhone und Android und diese Webseite.

1. Verantwortlicher

Richard Eisend
Reschstraße 2a
81825 München
Deutschland
E-Mail: support@breadbox-app.de

Breadbox ist ein privates, kostenloses Projekt. Es gibt keine Werbung, keine Bezahlfunktionen und keine Weitergabe von Daten zu Werbezwecken.

2. Worum es geht

Breadbox ist ein privater Foto-Feed für Freundeskreise: Du fotografierst dein Essen, hängst ein Rezept dran, und deine Freunde in der App sehen es. Damit das funktioniert, verarbeiten wir die Daten, die in diesem Dokument stehen, und keine anderen.

3. Welche Daten wir verarbeiten

4. Wer deine Inhalte sieht

Deine Gerichte, Fotos und dein Profil sehen nur Personen, mit denen du in Breadbox befreundet bist, sowie Personen, die an einem gemeinsamen Post, Duell oder Kochtermin beteiligt sind. Es gibt keinen öffentlichen Feed. Freundschaften müssen von beiden Seiten bestätigt werden, auch über einen Einladungscode: Löst du den Code einer Person ein, schickst du ihr eine Freundschaftsanfrage, und befreundet seid ihr erst, wenn sie annimmt. Liegt schon eine Anfrage von dir vor, bleibt es bei ihr, und hat die Person dich schon angefragt, nimmst du ihre Anfrage damit an. Andere Nutzer finden dich über die Suche nach deinem Namen oder Nicknamen (am Wortanfang, ab dem ersten Buchstaben, höchstens fünf Treffer) und unter „Aus eurem Kreis“ (siehe unten); wer blockiert ist, findet dich nicht. Diese Regeln setzt die Datenbank durch, nicht nur die App.

Auf der Karte siehst du nur Lokale aus Gerichten, die du ohnehin sehen darfst, mit den Gerichten, Fotos und Gesichtern der Personen, die dort gepostet haben – es gelten dieselben Regeln wie für die Gerichte. Ein Lokal, das einmal angelegt ist, findet jede Person bei der Lokalsuche wieder, aber nur mit Name, Adresse, Art und Küche, ohne zu sehen, wer es angelegt hat oder wer dort war.

Kommentare unter einem Gericht sehen dieselben Personen wie das Gericht selbst. Die Person, der das Gericht gehört, kann jeden Kommentar darunter löschen. Meldet eine Person einen Kommentar, sieht sie ihn nicht mehr; wird er von einer zweiten Person gemeldet, wird er gelöscht. Wer gemeldet hat, erfährt die schreibende Person nicht.

Fotos liegen in einem Speicher, dessen Adressen nicht erraten werden können; wer die Adresse eines Fotos kennt, kann es abrufen. Beim Hochladen entfernen wir Metadaten wie den Aufnahmeort, soweit das technisch möglich ist.

5. Dienstleister, die für uns Daten verarbeiten

Wir betreiben keine eigenen Server. Diese Unternehmen verarbeiten Daten für den Betrieb von Breadbox, in der Regel in unserem Auftrag und nach unseren Weisungen (Auftragsverarbeitung, Art. 28 DSGVO); wo nicht, steht es unter der Tabelle:

Nicht in unserem Auftrag, sondern in eigener Verantwortung verarbeiten Daten: Apple bei der Abfrage, ob es eine neuere Version gibt; die OpenStreetMap Foundation beim Stadtvorschlag (Nominatim); und GitHub, weil die Karte ihre Schriften und Symbole von protomaps.github.io lädt, einer Seite des Protomaps-Projekts bei GitHub Pages; GitHub sieht dabei deine IP-Adresse. Tippst du bei einem Lokal auf den Link zu Google Maps, öffnet sich Google Maps mit Name oder Lage des Lokals; was Google dann verarbeitet, regelt Google.

Deine E-Mail-Adresse bestätigst du mit einem Code aus unserer Mail, den du in der App eingibst. Die Mail enthält dafür keinen Link.

Aus eurem Kreis (Freunde von Freunden). Auf der Freunde-Seite schlägt Breadbox dir bis zu fünf Personen vor, mit denen du mindestens zwei gemeinsame Freunde hast, und zeigt dazu, wen ihr beide kennt. Das rechnet der Server bei jedem Aufruf aus den bestehenden Freundschaften aus; gespeichert wird dafür nichts. Genauso kannst du anderen vorgeschlagen werden, wenn ihr zwei gemeinsame Freunde habt. Das lässt sich unter Profil → Bearbeiten → „Freunden vorgeschlagen werden“ jederzeit ausschalten; danach tauchst du bei niemandem mehr unter „Aus eurem Kreis“ auf. Die Seite „Freunde von …“ bleibt davon unberührt, dort sehen dich Freunde deiner Freunde wie bisher. Im Profil einer anderen Person siehst du außerdem, mit welchen deiner Freunde sie ebenfalls befreundet ist („3 gemeinsame Freunde“); gezeigt werden dabei nur Leute, mit denen du selbst befreundet bist, auch das wird bei jedem Aufruf ausgerechnet und nicht gespeichert. Gespeichert wird nur, wen du weggetippt hast und mit wem eine Verbindung endete (Anfrage abgelehnt oder zurückgezogen, Freundschaft beendet, blockiert): Diese Personen werden dir und du ihnen nicht mehr vorgeschlagen, und nach einer Ablehnung kann die abgelehnte Person dich 30 Tage lang nicht erneut anfragen. Diese Vermerke enthalten nur die beiden Konten, den Grund und den Zeitpunkt; sie sind in der App nicht sichtbar, verfallen, sobald ihr euch doch befreundet, und werden mit dem Konto gelöscht (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO: Freunde finden, ohne Namen zu tippen, und Schutz vor wiederholten Anfragen). Es gibt dafür keine Benachrichtigung.

Einladungslinks. Öffnest du einen Einladungslink (breadbox-app.de/e/?c=…) im Browser, geht die Adresse samt Code wie jeder Seitenaufruf an GitHub Pages, das Aufrufe technisch protokolliert (siehe oben). Die Seite zeigt den Code an, speichert ihn selbst nicht und schickt ihn an niemanden sonst. Tippst du dort auf einem iPhone oder iPad auf „Einladung annehmen“, kopiert die Seite den Einladungslink in die Zwischenablage deines Geräts, bevor der App Store öffnet – nur diesen Link, sonst nichts. Auf Android kopiert sie nichts: Der Link zu Google Play trägt den Einladungscode mit, und Google Play gibt ihn nach der Installation an die App weiter (Play Install Referrer), damit sie dir die Einladung zeigen kann. Die App fragt ihn dort einmal je Installation ab und speichert nur auf deinem Gerät, dass sie es getan hat. Löst du einen Code in der App ein, sagt er unserem Server, wer dich eingeladen hat, damit wir die Freundschaftsanfrage anlegen können (Vertrag, Art. 6 Abs. 1 lit. b DSGVO). Damit sich Codes nicht erraten lassen, zählt der Server je Konto, wie oft ein unbekannter Code versucht und wie oft der eigene Code erneuert wurde. Gezählt wird nur für den laufenden Tag, danach beginnen die Zähler wieder bei null; gelöscht werden sie mit deinem Konto. Außerdem vermerkt der Server, wenn jemand ein höchstens drei Tage altes Konto abweist (eine Anfrage ablehnt oder entfernt, auch durch Blockieren, oder die Freundschaft beendet), damit ein Einladungscode dieser Person danach nicht als ihre Einladung zählt. Der Vermerk enthält nur, wer wen abgewiesen hat, und den Zeitpunkt; in der App sieht ihn niemand. Er wirkt 72 Stunden und wird danach gelöscht, sobald in Breadbox die nächste Freundschaft angefragt, beantwortet oder beendet wird, sofort, wenn ihr euch doch befreundet oder eines der beiden Konten gelöscht wird (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO, Schutz vor Missbrauch).

Zwischenablage und Link in der App (Versionen nach 1.0). Breadbox 1.0 fragt die Zwischenablage nicht ab und öffnet Einladungslinks nicht selbst. Neuere Versionen prüfen einmal auf deinem Gerät, in der Regel beim ersten Start nach der Registrierung, ob in der Zwischenablage eine Webadresse liegt, ohne ihren Inhalt zu lesen – und nur, solange dein Konto höchstens drei Tage alt ist und du noch keine Einladung eingelöst hast. Liegt dort eine, fragt die App, ob du die Einladung einfügen möchtest; gelesen wird die Zwischenablage erst, wenn du auf „Einfügen“ tippst und iOS das Einsetzen erlaubt. Die App nimmt daraus nur den Einladungscode und schickt nur ihn an unseren Server. Nach dem erfolgreichen Einlösen entfernt sie den Link wieder aus der Zwischenablage, sofern du inzwischen nichts anderes kopiert hast. Öffnest du einen Einladungslink auf einem iPhone mit einer solchen Version, öffnet sich in der Regel direkt die App, ohne diese Webseite aufzurufen; sie schickt nur den Code an unseren Server. Bist du noch nicht angemeldet, merkt sich die App den Code bis zu sieben Tage auf deinem Gerät.

Eine Weitergabe an andere Dritte findet nicht statt, außer wir sind gesetzlich dazu verpflichtet.

GIFs in Kommentaren. Wenn du in einem Kommentar ein GIF suchst, geht dein Suchwort über unsere Serverfunktion bei Supabase an GIPHY, ohne deinen Namen, dein Konto oder deine IP-Adresse. Für seine Statistik verlangt GIPHY Meldungen, welche GIFs in der Auswahl angezeigt, angetippt und gesendet wurden. Auch die schickt unsere Serverfunktion, ebenfalls ohne Name, Konto oder IP-Adresse. Die GIF-Bilder selbst lädt dein Gerät aber direkt von GIPHY, in der Auswahl und unter Kommentaren mit GIF. Dabei sieht GIPHY deine IP-Adresse und welches GIF geladen wird, aber nichts über dein Konto. Wie GIPHY damit umgeht, regelt GIPHY in eigener Verantwortung (giphy.com/privacy). Im Kommentar speichern wir nur die Kennung des GIFs, sie wird mit dem Kommentar gelöscht. Rechtsgrundlage ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO): Du hast das GIF selbst ausgesucht.

Gruppenlinks. Wer eine Gruppe anlegt (etwa für eine WhatsApp-Gruppe), bekommt einen Einladungslink (breadbox-app.de/e/?c=…). Wer den Link öffnet, sieht in der App vor dem Beitreten eine Vorschau: den Namen der Gruppe, den Namen und das Profilbild der Person, die sie angelegt hat, die Zahl der Mitglieder und die Namen und Profilbilder der Mitglieder (ohne Personen, die dich blockiert haben oder die du blockiert hast). Erst ein Tipp auf „Beitreten“ nimmt dich in die Gruppe auf. Dabei speichert der Server deine Mitgliedschaft mit dem Zeitpunkt. Außerdem werdet ihr mit allen Mitgliedern sofort befreundet, ohne dass die anderen noch zustimmen müssen; übersprungen wird, wer mit dir blockiert ist oder einen früheren Ausschluss hat (Vertrag, Art. 6 Abs. 1 lit. b DSGVO). Der Ersteller sieht zusätzlich, wann jedes Mitglied beigetreten ist. Der Ersteller kann einen Link schließen; dann kann niemand mehr über ihn beitreten, und die bisherigen Mitglieder bleiben drin. Ein geschlossener Link lässt sich entfernen; damit verschwinden die Mitgliedschaften, die Freundschaften bleiben bestehen.

6. Wie lange wir Daten speichern

• Gruppenlinks: bis der Ersteller den Link entfernt oder eines der beiden Konten gelöscht wird; Freundschaften, die über einen Gruppenlink entstanden sind, bleiben wie andere Freundschaften bestehen.
• Konto und Inhalte: bis du dein Konto löschst. Das geht in der App unter Profil → Bearbeiten → Konto löschen und entfernt Profil, Fotos, Gerichte, Duelle, Reaktionen und Freundschaften endgültig.
• Lokale: bleiben als Eintrag (Name, Adresse, Lage, Art und Küche) bestehen, auch wenn du dein Konto löschst; der Vermerk, wer sie angelegt hat, wird mit deinem Konto gelöscht.
• „Aus eurem Kreis“: wen du weggetippt hast und mit wem eine Verbindung endete, bis ihr euch doch befreundet oder eines der beiden Konten gelöscht wird (Einzelheiten in Abschnitt 5 unter „Aus eurem Kreis“).
• Einladungen: wer wen eingeladen hat, bis eines der beiden Konten gelöscht wird; die Zähler gegen das Raten nur für den laufenden Tag; Vermerke über Abweisungen wirken 72 Stunden und werden danach gelöscht (Einzelheiten in Abschnitt 5 unter „Einladungslinks“).
• Meldungen: bis die Meldung bearbeitet ist, danach höchstens 90 Tage. Wer welchen Kommentar gemeldet hat: solange der Kommentar besteht.
• Verwarnungen zu Kommentaren: bis zur Löschung des Kontos; für die Sperre zählen sie nur, solange sie nicht verfallen sind (siehe Abschnitt 3).
• Stummschaltungen: bis du sie aufhebst oder eines der beiden Konten gelöscht wird.
• Server-Protokolle: bei Supabase in der Regel 7 Tage.
• E-Mails über Resend: Zustellprotokolle bis 30 Tage.

7. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21). Einwilligungen kannst du jederzeit widerrufen, zum Beispiel Standort und Kalender in den Einstellungen deines Handys. Schreib dafür an support@breadbox-app.de. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, in Deutschland zum Beispiel bei der Behörde deines Bundeslandes.

8. Mindestalter

Breadbox ist für Personen ab 16 Jahren. Jüngere dürfen kein Konto anlegen. Erfahren wir von einem Konto einer jüngeren Person, löschen wir es.

9. Kein Tracking, keine Werbung

Breadbox enthält keine Werbe- oder Analyse-Dienste und erstellt keine Nutzungsprofile. Die Webseite setzt keine Cookies.

10. Sicherheit

Alle Verbindungen sind verschlüsselt (TLS). Passwörter speichern wir nur als Hash. Zugriffsregeln gelten auf Datenbank-Ebene, sodass auch bei einem Fehler in der App niemand fremde Inhalte lesen kann.

11. Änderungen

Wenn sich an der App etwas ändert, das diese Erklärung betrifft, passen wir sie an und aktualisieren das Datum oben. Bei wesentlichen Änderungen informieren wir dich in der App.