Datenschutzerklärung

Stand: 9. Oktober 2026

1. Verantwortlicher

2. Worum es geht

Our Lists ist eine App für iPhone und Apple Watch zum gemeinsamen Verwalten von Einkaufs-, Bestands- und ToDo-Listen. Diese Erklärung beschreibt, welche personenbezogenen Daten dabei verarbeitet werden, wofür, wie lange und welche Rechte du hast.

Wir verwenden keine Werbung, keine Analyse- oder Tracking-Dienste und geben keine Daten zu Werbezwecken weiter.

3. Welche Daten wir verarbeiten

3.1 Dein Konto

E-Mail-Adresse, Spitzname (Anzeigename; ohne Angabe nehmen wir den Teil deiner E-Mail-Adresse vor dem @), Passwort (nur als nicht umkehrbarer Hash, nie im Klartext), Rolle, Zeitpunkt der Registrierung und der E-Mail-Bestätigung sowie der Zeitpunkt deiner letzten Aktivität in der App.
Zweck: Bereitstellung deines Kontos und der App. Rechtsgrundlage: Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO.

3.2 Deine Inhalte

Listen mit Artikeln (Name, Menge, Kategorie, Ort, Ziel-Datum, optional ein Foto), eigene Kategorien und Orte, Favoriten, der Zeitpunkt, zu dem du eine Liste zuletzt geöffnet hast, sowie deine Gruppen und Freigaben.
Zweck: Kernfunktion der App. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.3 Freigaben und Gruppen: was andere von dir sehen

• Teilst du eine Liste (mit einer Person oder einer Gruppe), sehen die Beteiligten die Liste und ihre Artikel. Bei Artikeln, die du hinzugefügt hast, steht dein Spitzname.
• Bist du Mitglied einer Gruppe, sehen alle Mitglieder der Gruppe deinen Spitznamen und deine E-Mail-Adresse sowie deine Rolle (Besitzer, Administrator, Mitglied).
• Hinzufügen kann man nur Personen, deren genaue E-Mail-Adresse man kennt. Eine Suche nach Benutzern gibt es nicht.

3.4 E-Mails

Wir senden dir E-Mails mit Codes (E-Mail-Bestätigung bei der Registrierung, Einladung, Passwort zurücksetzen) und einen Hinweis, wenn jemand eine Liste mit dir teilt. Der Versand erfolgt über unseren E-Mail-Anbieter (siehe Abschnitt 4). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.5 Push-Benachrichtigungen

Nur wenn du sie in iOS erlaubst. Dazu speichern wir ein Geräte-Token. Der Inhalt der Mitteilung kann Listen- oder Gruppennamen, Artikelnamen und den Spitznamen einer anderen Person enthalten (z. B. „Anna hat die Liste „Wocheneinkauf“ mit dir geteilt“). Die Zustellung läuft über den Apple Push Notification Service.
Rechtsgrundlage: deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO. Du kannst sie jederzeit in den iOS-Einstellungen unter „Mitteilungen“ widerrufen. Das Token löschen wir, wenn du dein Konto löschst oder es gesperrt wird.

3.6 Kamera, Barcode und Fotos

Die Kamera nutzt die App nur nach deiner Erlaubnis, zum Scannen von Barcodes und für Artikelfotos.

• Barcode: Der Barcode geht an unseren Server, der bei Open Food Facts den Produktnamen abfragt. Übermittelt wird nur der Barcode, keine Angabe zu dir.
• Artikelfotos liegen auf unserem Server. Sie bleiben, solange es den zugehörigen Artikel gibt (offen oder erledigt). Sie werden gelöscht, wenn du den Artikel löschst, das Foto ersetzt oder entfernst, die Liste endgültig löschst (nicht schon beim Verschieben in den Papierkorb) oder dein Konto löschst. Bleibt dennoch eine Datei ohne zugehörigen Artikel übrig, räumt der Server sie spätestens nach einem Tag auf.

3.7 Daten auf deinem Gerät

Dein Anmelde-Token liegt im iOS-Schlüsselbund, deine Benutzer-ID und Rolle in den App-Einstellungen des Geräts. Die Apple-Watch-App zeigt Listen über das gekoppelte iPhone an und speichert selbst nichts.

3.8 Server-Protokolle

Wenn du die App-Schnittstelle oder diese Webseite aufrufst, protokolliert unser Webserver: eine gekürzte IP-Adresse (bei IPv4 ist das letzte Zahlenfeld auf 0 gesetzt, bei IPv6 sind nur die ersten Gruppen gespeichert), Zeitpunkt, aufgerufene Domain und Pfad (ohne Suchbegriffe), Statuscode, übertragene Datenmenge und die Kennung von App oder Browser. Fehlerprotokolle können die vollständige IP-Adresse enthalten.
Zweck: Betrieb, Fehleranalyse, Schutz vor Angriffen. Rechtsgrundlage: berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: 14 Tage, danach werden die Protokolle gelöscht.

Zum Schutz vor Missbrauch (z. B. Passwort-Raten) zählt der Server Anfragen pro IP-Adresse kurzzeitig im Arbeitsspeicher. Das wird nicht dauerhaft gespeichert.

3.9 Administration

Der Betreiber kann eine Benutzerliste mit Spitzname, E-Mail-Adresse, Rolle, Registrierungszeitpunkt, letzter Aktivität und Bestätigungsstatus einsehen und Konten sperren oder löschen. Zweck: Betrieb der App und Schutz vor Missbrauch, Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

4. Empfänger und Auftragsverarbeiter

• STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin: Hosting des Servers (Datenbank, App-Server, Webseiten), Versand der E-Mails und Speicher für Datensicherungen (HiDrive). Strato verarbeitet die Daten in unserem Auftrag.
• Apple: Zustellung der Push-Benachrichtigungen. Beim Herunterladen der App über App Store oder TestFlight verarbeitet Apple Daten in eigener Verantwortung.
• Open Food Facts: nur der Barcode, siehe 3.6.

Darüber hinaus geben wir keine personenbezogenen Daten an Dritte weiter.

5. Datensicherung

Die Datenbank (alle Konten und Inhalte) wird täglich auf einen Speicher bei STRATO gesichert. Es werden die letzten 7 Sicherungen aufbewahrt. Gelöschte Daten verschwinden deshalb spätestens nach 7 Tagen auch aus den Sicherungen. Die Foto-Dateien selbst sind nicht Teil dieser Sicherungen.

6. Speicherdauer und Löschung

• Konto und Inhalte: bis du dein Konto löschst. Das geht jederzeit in der App unter Konto → Konto löschen. Dabei werden dein Konto, deine Listen samt Artikeln und deren Fotos, deine Kategorien und Orte, deine Gruppen (mit Mitgliedschaften und Listenfreigaben), deine Mitgliedschaften in fremden Gruppen, deine Freigaben und dein Push-Token gelöscht. Artikel, die du in Listen anderer hinzugefügt hast, bleiben dort ohne Bezug zu deinem Namen erhalten.
• Papierkorb: Listen, die du in den Papierkorb legst, kannst du dort jederzeit endgültig löschen.
• Gesperrte Konten: Wird ein Konto wegen Missbrauchs gesperrt, bleiben E-Mail-Adresse und Sperrvermerk gespeichert, damit sich die Sperre nicht durch eine neue Registrierung umgehen lässt (Art. 6 Abs. 1 lit. f DSGVO).
• Codes in E-Mails: Bestätigungs- und Reset-Codes gelten 15 Minuten, Einladungscodes 7 Tage. Sie werden nur als Hash gespeichert und nach der Verwendung gelöscht.
• Artikelfotos: solange der Artikel existiert (siehe 3.6).
• Server-Protokolle: 14 Tage. Sicherungen: 7 Tage.

7. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16, deinen Spitznamen kannst du in der App ändern), Löschung (Art. 17, in der App), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine erteilte Einwilligung (Push-Benachrichtigungen) kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Schreibe uns dafür an support@our-lists.de.

Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, zum Beispiel bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin, www.datenschutz-berlin.de.

8. Erforderliche Angaben

E-Mail-Adresse und Passwort brauchst du, um ein Konto anzulegen und die App zu nutzen. Der Spitzname ist optional. Push-Benachrichtigungen und der Kamerazugriff sind freiwillig.

9. Kein Tracking, keine automatisierten Entscheidungen

Es gibt kein Profiling und keine automatisierten Entscheidungen. Diese Webseite setzt keine Cookies und lädt keine externen Ressourcen.

10. Sicherheit

Alle Verbindungen zwischen App und Server sind per HTTPS verschlüsselt. Passwörter werden nur als Hash gespeichert.

11. Änderungen

Wir passen diese Erklärung an, wenn sich die App oder die Rechtslage ändert. Die aktuelle Fassung findest du immer unter dieser Adresse.