Datenschutzerklärung

Ein Datenschutzbeauftragter ist derzeit nicht gesetzlich verpflichtend zu bestellen, da die Voraussetzungen des Art. 37 DSGVO / § 38 BDSG nicht erfüllt sind. Für alle Datenschutz-Anliegen erreichst du uns unter luki@rescalu.de.

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Account, Item-Scans, Sammlung, Circle, In-App-Käufe.
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse): Crash-Reports, Server-Logs, Performance-Daten zur App-Stabilität.
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): Push-Benachrichtigungen, Standort für die Spenden-Karte, Google Analytics auf der Website, Marketing-E-Mails. Du kannst eine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Pflicht): Aufbewahrung von Kaufbelegen aus steuer- und handelsrechtlichen Gründen.

Wir setzen folgende Dienstleister ein. Dabei unterscheiden wir:

• Auftragsverarbeiter (Art. 28 DSGVO, mit Auftragsverarbeitungs-Vertrag): Infrastruktur, die Daten in unserem Auftrag verarbeitet — z. B. Firebase/Google Cloud, Vercel (Frankfurt), Mistral AI, Anthropic, RevenueCat, Neon.
• Eigenständige Verantwortliche / Empfänger: Dienste, die für die an sie gerichteten Anfragen selbst verantwortlich sind — v. a. die Markt- und Karten-/Geodienste (eBay, Discogs, PriceCharting, SerpApi, Perplexity, Google Maps Platform, CARTO, OpenStreetMap u. a.). Hierhin gehen grundsätzlich nur anonymisierte Produkt- bzw. Standort-Anfragen, keine Account-Daten — Ausnahme ist die optionale eBay-Konto-Verbindung (siehe Abschnitt „eBay-Konto-Verbindung").

Die zentralen Verarbeitungen finden in der EU statt: Deine Daten liegen in der Firestore-EU-Region, die App-Server (Vercel) laufen in Frankfurt, und die KI-Bilderkennung deiner Fotos erfolgt beim EU-Anbieter Mistral AI (Frankreich). Wo darüber hinaus Daten in die USA übermittelt werden, geschieht dies auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln (SCCs gemäß Art. 46 DSGVO).

Auftragsverarbeiter (Art. 28 DSGVO)

Eigenständige Empfänger — Markt- und Geodienste

Eine stets aktuelle, tabellarische Gesamtübersicht findest du unter rescalu.de/subprozessoren.

Externe Links

An einigen Stellen verlinken wir auf externe Verkaufs-/Ankaufsseiten (z. B. eBay, Momox, Rebuy). Das sind einfache Links ohne Klick- oder Tracking-IDs — wir betreiben kein Affiliate-Tracking und übertragen keinen Namen und keine E-Mail. Tippst du einen Link an, erhält die Zielseite — wie bei jedem Link im Web — deine IP-Adresse; für die dortige Verarbeitung ist der jeweilige Anbieter selbst verantwortlich.

eBay-Konto-Verbindung (optional, nur Rescalu+)

Du kannst optional dein eigenes eBay-Konto mit Rescalu verbinden, um Angebote direkt aus der App heraus über dein Konto bei eBay einzustellen. Verbindest du dein Konto, autorisierst du Rescalu per offiziellem eBay-Login (OAuth). Wir speichern dann ein Zugriffs- und Erneuerungs-Token deines eBay-Kontos in deinem Nutzerprofil, um in deinem Namen Anzeigen anzulegen. Wir erhalten dabei kein eBay-Passwort. Stellst du ein Angebot ein, werden die von dir bestätigten Anzeigendaten (Titel, Beschreibung, Preis, Fotos, Kategorie) an eBay übertragen und erscheinen öffentlich unter deinem eBay-Konto — rechtlich bist du der Verkäufer. Du kannst die Verbindung jederzeit in den Einstellungen trennen; das Token wird dann gelöscht. Bereits eingestellte Anzeigen bleiben nach dem Trennen bei eBay online — du bist der Verkäufer und verwaltest oder beendest sie direkt in deinem eBay-Konto; das Trennen der Verbindung widerruft nur unseren künftigen Zugriff, nicht schon veröffentlichte Angebote. Löschst du dein Rescalu-Konto oder dein eBay-Konto, wird das Token ebenfalls automatisch entfernt — eBay benachrichtigt uns bei einer eBay-Konto-Löschung über einen dafür vorgesehenen DSGVO-Endpoint. Rechtsgrundlage ist die Erfüllung des von dir gewünschten Dienstes (Art. 6 Abs. 1 lit. b DSGVO).

Die App fragt nur Berechtigungen an, die für ihre Funktionen tatsächlich nötig sind. Du kannst alle jederzeit in den iOS- oder Android-Einstellungen widerrufen.

• Kamera: für das Scannen von Items und Barcodes
• Foto-Mediathek: wenn du ein bereits aufgenommenes Foto auswählst
• Standort: nur für die Spenden-Karte, um Abgabestellen in deiner Nähe anzuzeigen — optional und nur nach Freigabe
• Mitteilungen: für Push-Benachrichtigungen (Circle-Aktivität, Erinnerungen)

• Auskunft über gespeicherte Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung deiner Daten — „Recht auf Vergessenwerden" (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch gegen die Verarbeitung (Art. 21)
• Widerruf einer Einwilligung (Art. 7 Abs. 3)

Datenübertragbarkeit (Art. 20): Auf Anfrage an luki@rescalu.de stellen wir dir deine bei uns gespeicherten Daten (Account, Scans/Sammlung, Circle-Daten) in einem gängigen, maschinenlesbaren Format (JSON) bereit — in der Regel innerhalb eines Monats und kostenfrei.

Widerspruch (Art. 21): Du kannst der Verarbeitung, die wir auf ein berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) stützen — etwa Server-Logs, Crash-/Performance-Daten und aggregierte Nutzungsstatistik — jederzeit aus Gründen deiner besonderen Situation widersprechen. Schreib dazu an luki@rescalu.de. Wir stellen die betreffende Verarbeitung dann ein, sofern keine zwingenden schutzwürdigen Gründe entgegenstehen.

Account-Löschung in der App: Einstellungen → Account löschen. Damit werden ALLE deine Daten unwiderruflich entfernt (siehe Speicherdauer). Alternativ schriftlich an luki@rescalu.de. Eine Schritt-für-Schritt-Anleitung — auch ohne App — findest du unter rescalu.de/account-loeschen.

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist die Aufsichtsbehörde des Bundeslandes, in dem du wohnst — oder für die Carico GmbH der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI).

• Übertragung verschlüsselt via TLS 1.2+ (HTTPS)
• Passwörter werden ausschließlich über Firebase Authentication verwaltet — wir sehen keine Klartext-Passwörter
• Sensible Daten (Auth-Tokens) auf dem Gerät im iOS-Keychain bzw. Android-Keystore
• Server-Zugriff nur über autorisierte Auth-Tokens (Firebase ID-Token)

Rescalu richtet sich nicht an Kinder. Du darfst die App nur nutzen, wenn du mindestens 16 Jahre alt bist; jüngere Personen benötigen die Einwilligung der Sorgeberechtigten. Wir erheben nicht wissentlich Daten von Kindern unter 16 Jahren. Wenn uns bekannt wird, dass Daten ohne erforderliche Einwilligung erhoben wurden, löschen wir diese.

Rescalu nutzt KI- und Algorithmus-gestützte Verfahren, um Gegenstände aus Fotos zu erkennen, Marktwerte zu schätzen und dir Empfehlungen (z. B. „behalten", „verkaufen", „spenden") samt kurzem Begründungstext anzuzeigen. Dabei fließen deine Item-Angaben (Foto, Name, Marke, Kategorie, Zustand) und ggf. Kontext aus deiner Sammlung ein. Die Bilderkennung deiner Fotos erfolgt beim EU-Anbieter Mistral AI (Frankreich); die reine Textgenerierung (Empfehlungs-/Anzeigentexte) übernimmt Anthropic (Claude) und erhält dabei nur anonyme Produktangaben, kein Foto.

Diese Empfehlungen sind rein unterstützend und unverbindlich — du entscheidest immer selbst. Es findet keine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO statt. Eine umfassende Profilbildung über deine Person nehmen wir nicht vor; die Verarbeitung bezieht sich auf deine Gegenstände, nicht auf eine Bewertung deiner Persönlichkeit.

Bei wesentlichen Änderungen (z. B. neue Drittanbieter, geänderter Verarbeitungs­zweck) informieren wir aktive Nutzer per E-Mail oder In-App-Hinweis. Die aktuelle Version ist stets unter rescalu.de/datenschutz abrufbar.