Datenschutz­erklärung

Stand: 01.09.2026

Diese Datenschutzerklärung bildet die im Repository verifizierten Datenverarbeitungen ab. Offene Provider- und Aufbewahrungskonfigurationen sind ausdrücklich benannt. Der Text ersetzt keine individuelle Rechtsberatung.

1. Verantwortlicher

Marc Ispravnicu
Heckenweg 4
73650 Winterbach
Deutschland

E-Mail: privacy@vimento.app
Allgemeiner Kontakt: hello@vimento.app

Ein Datenschutzbeauftragter ist nicht bestellt.

2. Anwendungsbereich

Diese Datenschutzerklärung gilt für die mobile App ViMento und die Website https://vimento.app.

ViMento richtet sich ausschließlich an Personen ab 18 Jahren. Bei der Kontoerstellung wird eine Altersbestätigung gespeichert. Es werden weder Geburtsdatum noch Ausweisdokument erhoben.

3. Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten insbesondere:

• zur Bereitstellung des Kontos und der gewählten App-Funktionen gemäß Art. 6 Abs. 1 lit. b DSGVO,
• aufgrund einer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO, insbesondere für den KI-Scanner, Standortvorschläge und Push-Benachrichtigungen,
• zur Wahrung berechtigter Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO, insbesondere an Sicherheit, Fehleranalyse, Missbrauchsschutz und einem stabilen Betrieb sowie
• soweit dies zur Erfüllung rechtlicher Verpflichtungen gemäß Art. 6 Abs. 1 lit. c DSGVO erforderlich ist.

Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

4. Konto und Anmeldung

ViMento bietet vier Anmeldewege an: Apple, Google, Telefonnummer und E-Mail mit Passwort. Welche Daten anfallen, hängt vom gewählten Weg ab.

4.1 Google Sign-In

Bei der Anmeldung mit Google verarbeitet Google den Anmeldevorgang. ViMento erhält über Firebase Authentication die für die Anmeldung bereitgestellte Nutzer-ID, E-Mail-Adresse und Profilangaben. Der Zugriff beschränkt sich im App-Code auf den Google-Scope „email“. Es wird kein Zugriff auf Google Drive, Kontakte oder andere Google-Inhalte angefordert.

4.2 Mit Apple anmelden

Bei „Mit Apple anmelden“ verarbeitet Apple den Anmeldevorgang. ViMento fordert die Scopes E-Mail und vollständiger Name an. Apple kann eine private Relay-Adresse bereitstellen. Name und E-Mail werden möglicherweise nur bei der ersten Freigabe übermittelt.

4.3 Anmeldung mit Telefonnummer

Bei der Anmeldung mit einer Telefonnummer wird die Nummer an Firebase Authentication übermittelt, das einen Bestätigungscode per SMS versendet und die Nummer dem Konto dauerhaft zuordnet. Die Telefonnummer wird bei Google gespeichert; ViMento legt sie nicht zusätzlich in eigenen Datenbanken ab.

Zur Missbrauchsabwehr setzen die Plattformen bei diesem Verfahren eigene Prüfmechanismen ein, unter iOS eine stille Push-Zustellung beziehungsweise eine reCAPTCHA-Prüfung, unter Android eine Geräteintegritätsprüfung. Dabei verarbeiten Google und Apple Geräte- und Verbindungsdaten.

Die Telefonnummer wird auch für die erneute Anmeldebestätigung vor einer Kontolöschung verwendet.

4.4 Anmeldung mit E-Mail und Passwort

Bei der Registrierung mit E-Mail und Passwort werden E-Mail-Adresse und Passwort an Firebase Authentication übermittelt. Google speichert das Passwort ausschließlich in gehashter Form; ViMento hat zu keinem Zeitpunkt Zugriff auf das Klartextpasswort.

Nach der Registrierung versendet Firebase eine Bestätigungs-E-Mail. Auf Anforderung versendet Firebase außerdem eine E-Mail zum Zurücksetzen des Passworts. Das Passwort wird zusätzlich für die erneute Anmeldebestätigung vor einer Kontolöschung verwendet.

4.5 Firebase Authentication

Die Anmeldedaten werden für alle vier Wege mit Firebase Authentication von Google verarbeitet. ViMento speichert keine Passwörter für Google- oder Apple-Konten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

5. Nutzerprofil und lokale Speicherung

Im privaten Nutzerprofil können insbesondere folgende Daten gespeichert werden:

• Firebase-Nutzer-ID,
• E-Mail-Adresse und Anmeldeanbieter,
• Nickname beziehungsweise Anzeigename,
• freiwilliges Profilbild,
• Geschmacksprofil, Onboarding-Ziele und App-Einstellungen,
• gespeicherte Altersbestätigung,
• Premium-Status,
• Erstellungs- und Änderungszeitpunkte sowie
• serverseitige Referral- und Limitangaben.

Für die Freundesuche werden Nickname beziehungsweise Anzeigename und Nutzer-ID in einem öffentlichen Suchprofil geführt. Ein separates Nickname-Register stellt die Eindeutigkeit sicher.

Die App nutzt die lokale Offline-Speicherung des Firebase-SDK und lokale Einstellungen auf dem Gerät. Dadurch können zuvor geladene Kontodaten, Einstellungen und ein aus einem Einladungslink übernommener Referral-Nickname lokal zwischengespeichert werden. Die Aufbewahrung richtet sich insoweit auch nach dem Betriebssystem und der Löschung der App-Daten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

6. Weine, Weinmomente und Events

6.1 Weine

Das Weinregal speichert vom Nutzer eingegebene oder nach einem Scan bestätigte Textangaben, beispielsweise Name, Weingut, Jahrgang, Region, Rebsorte, Preis, Bewertung, Notizen, Favoritenstatus sowie Erstellungszeitpunkte.

Der aktuelle Code lädt keine eigenen Weinbilder in Firebase Storage. Für die Anzeige im Regal werden ausschließlich mitgelieferte, generische Flaschenbilder verwendet. Eine Funktion für eigene Flaschenbilder ist serverseitig vorbereitet, in der ausgelieferten App aber nicht aktiv; sollte sie freigeschaltet werden, wird diese Erklärung zuvor entsprechend angepasst.

6.2 Weinmomente

Ein Weinmoment kann Weinbezug, Datum, Anlass, Ort, Notiz, Bewertung, Teilnehmernamen beziehungsweise Teilnehmer-IDs und ein freiwilliges Foto enthalten. Momentfotos werden als komprimierte JPEG-Datei in Firebase Storage unter dem Nutzerbereich gespeichert; URL und Speicherpfad werden im Moment-Dokument in Firestore referenziert.

Wird ein Weinmoment mit Freunden geteilt, erzeugt ViMento Vorschläge für die ausgewählten Konten. Übermittelt werden die für den gemeinsamen Moment erforderlichen sachlichen Angaben. Das private Momentfoto und die persönliche Notiz werden im verifizierten Freigabepfad nicht in den Vorschlag übernommen.

6.3 Events

Events können Titel, manuell eingegebenen Ort, Notiz, Datum, Kategorie sowie Teilnehmernamen und Teilnehmer-IDs enthalten. Einladungen und Antworten sind für die beteiligten Konten sichtbar. Eine Absage kann eine freiwillige Nachricht enthalten.

Das gespeicherte Feld für eine spätere Kalenderübernahme löst im aktuellen Code keine Verbindung zu einem Gerätekalender aus.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

7. Standort für Ortsvorschläge

Die aktuelle Implementierung nutzt den Standort ausschließlich für freiwillige Ortsvorschläge beim Bearbeiten des Ortsfeldes eines Weinmoments. Bei Events ist dagegen nur eine manuelle Texteingabe implementiert.

Der Ablauf ist:

1. Erst wenn das Ortsfeld eines Weinmoments fokussiert beziehungsweise angetippt wird, prüft die App die Standortberechtigung.
2. Ist sie noch nicht erteilt, fragt die App die Berechtigung für den Standort während der App-Nutzung an. Unter Android sind genauer und ungefährer Standort deklariert; die Abfrage erfolgt mit hoher Genauigkeit. Unter iOS wird die Berechtigung „When In Use“ verwendet.
3. Bei Zustimmung wird einmalig eine aktuelle Position mit einer Zeitgrenze von acht Sekunden ermittelt. Es gibt kein Standort-Streaming, keine Hintergrundortung und keine dauerhafte GPS-Nutzung.
4. Breiten- und Längengrad werden an die öffentliche Overpass API unter https://overpass-api.de/api/interpreter gesendet, um Ortsnamen in einem Radius von 300 Metern abzurufen. Der Dienst erhält technisch auch die IP-Adresse.
5. ViMento speichert die Koordinaten nicht in Firestore. Wird ein Vorschlag gewählt, wird nur der Ortsname im Weinmoment gespeichert.

Die Berechtigung kann verweigert werden. Die manuelle Ortseingabe bleibt möglich. Bereits in eigenen Momenten gespeicherte Ortsnamen können weiterhin als Vorschläge erscheinen.

Die App gibt die ermittelten Koordinaten nicht in Anwendungslogs aus. Eine serverseitige Standortprotokollierung durch ViMento ist nicht implementiert.

Rechtsgrundlage ist die Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Die Berechtigung kann in den Geräteeinstellungen entzogen werden.

8. KI-Scanner mit Google Gemini

8.1 Freiwilligkeit und Einwilligung

Vor dem ersten KI-Scan zeigt ViMento einen Einwilligungsdialog. Die Entscheidung wird im Nutzerprofil mit Status, Consent-Version und serverseitigem Entscheidungszeitpunkt gespeichert. Die Einwilligung kann in den App-Einstellungen widerrufen werden. Ohne aktive Einwilligung blockiert eine zentrale technische Prüfung den Gemini-Aufruf; die manuelle Eingabe bleibt verfügbar.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO.

8.2 Aufnahme und lokale Arbeitsdatei

Für einen Scan kann ein Bild mit der Kamera aufgenommen oder aus der Galerie ausgewählt werden. Kameraaufnahmen und durch die Bildauswahl erzeugte, verkleinerte JPEG-Arbeitskopien liegen zunächst als lokale Dateien im App- beziehungsweise temporären Bereich des Geräts. Das Original in der Galerie wird nicht verändert.

Die App löscht ihre lokale Scanner-Arbeitsdatei nach Abschluss der Erkennung. Dies gilt bei Erfolg, Fehler, Timeout, Abbruch und unerwarteten Exceptions. Bei einem Weinregal-Scan bleibt die Datei ausschließlich so lange erhalten, wie sie für die Ergebnisansicht benötigt wird, und wird beim Schließen dieser Ansicht gelöscht. Schlägt die Dateilöschung auf Betriebssystemebene ausnahmsweise fehl, wird kein weiterer Upload ausgelöst; die Bereinigung erfolgt dann durch App, Betriebssystem, Löschen der App-Daten oder Deinstallation.

8.3 EXIF- und Metadaten

Vor dem Upload entfernt die App verlustfrei sämtliche JPEG-APP1-Metadatensegmente und bei PNG-Dateien den standardisierten eXIf-Chunk. Diese Bereiche können insbesondere EXIF-, GPS- und XMP-Angaben enthalten. Die komprimierten Bilddaten werden dabei weder dekodiert noch neu kodiert. Nur eine vorhandene JPEG-EXIF-Ausrichtung wird als minimales Segment übernommen, damit das Bild für die Erkennung nicht versehentlich gedreht wird. Weitere Aufnahme-, Geräte-, Zeit-, Kommentar- oder Standortangaben aus diesen Segmenten werden nicht an Gemini übertragen.

8.4 Übertragung und Verarbeitung durch Gemini

Die bereinigten Bilddaten werden im Arbeitsspeicher aus der mobilen App als Inline-Bilddaten innerhalb einer einzelnen Anfrage über Firebase AI Logic mit dem Vertex-AI-Gemini-Provider übertragen und ausgewertet. Zum Einsatz kommt derzeit das Modell gemini-3.6-flash. Für den Störungsfall kann betrieblich auf ein gleichwertiges Gemini-Modell umgeschaltet werden; die Art der Verarbeitung ändert sich dadurch nicht.

Übertragen werden ausschließlich zwei Bestandteile: das bereinigte Bild und eine feste Erkennungsanweisung. Die Anweisung enthält keine Nutzerdaten — weder Nutzer-ID noch Nickname, Geschmacksprofil oder Regalinhalte.

Es gibt keinen separaten Datei-Upload (keine „Gemini Files API"): Der Zugriff wird über den Firebase-Proxy authentifiziert, ein Gemini-API-Schlüssel liegt nicht im Client. Die Übertragung wird nicht über Firebase Cloud Functions geleitet. Firebase App Check stellt sicher, dass Anfragen aus einer echten ViMento-Installation stammen.

Google verarbeitet das Bild und die Scanneranweisung, um strukturierte Weinangaben beziehungsweise bei Listen- und Regalscans mehrere Weinvorschläge zurückzugeben. Die Antwort wird in der App vorübergehend verarbeitet. Nur wenn die Nutzerin oder der Nutzer ein Ergebnis bestätigt und speichert, werden die bestätigten textlichen Weinangaben im eigenen Firestore-Weinregal gespeichert.

Da kein separater Datei-Upload stattfindet, gibt es keine eigenständig löschbare Datei bei Google. Nach der Google-Cloud-Dokumentation zur Vertex-AI-Missbrauchsüberwachung werden Anfrageinhalte bis zu 90 Tage in der für das Projekt geltenden Region gespeichert und ausschließlich zur Missbrauchserkennung verarbeitet — nicht zum Training allgemeiner Modelle. Die App legt keine bestimmte Verarbeitungsregion fest; es gilt die Voreinstellung des Google-Cloud-Projekts. Die konkrete Region und die Frage, ob für das Projekt eine abweichende Aufbewahrung oder eine Zero-Data-Retention-Vereinbarung besteht, sind nicht aus dem App-Code ersichtlich und werden vor der Veröffentlichung im Projekt geprüft.

8.5 Keine Scannerbild-Speicherung in Firebase

Der aktuelle Scannerpfad:

• speichert keine Scannerbilder in Firebase Storage,
• speichert oder referenziert keine Scannerbilder in Firestore,
• leitet keine Scannerbilder über Firebase Functions und
• erzeugt keine separaten Debugbild-Dateien.

8.6 Scannerprotokolle

Die App erzeugt technische Laufzeitmessungen und Statusmeldungen, beispielsweise Dauer, Dateigröße, Scanmodus, Anzahl erkannter Ergebnisse und Antwortlänge. Bildinhalte werden nicht als Bilddatei protokolliert.

In Debug-Builds können bei ungültigen Antworten oder Fehlern Ausschnitte der Gemini-Antwort und damit erkannte Textinhalte in der lokalen Debug-Konsole erscheinen. In Release-Builds werden feste, inhaltsfreie Scanner-Statusmarkierungen und unerwartete Fehler an Crashlytics übermittelt; ViMento setzt dabei keine eigene Nutzer-ID.

9. Fotos

9.1 Profilbilder

Profilbilder werden komprimiert und in Firebase Storage unter users/{uid}/profile/profile.jpg gespeichert. Der Download-Link wird im Nutzerprofil gespeichert. Nach den aktuellen Storage-Regeln können das jeweilige Konto selbst und dessen bestätigte Freunde das Profilbild lesen; nur das jeweilige Konto darf sein Bild schreiben oder löschen.

9.2 Momentfotos

Momentfotos werden unter dem jeweiligen Nutzerbereich in Firebase Storage gespeichert und im privaten Moment-Dokument referenziert. Nach den aktuellen Regeln darf nur das jeweilige Konto diese Dateien lesen und verändern. Beim Ersetzen oder Entfernen wird die vorherige Datei nach Möglichkeit gelöscht.

Wird ein Moment geteilt, legt der Server für die ausgewählten Empfängerkonten eine Vorschau im jeweils eigenen Nutzerbereich ab. Auch diese Vorschau ist ausschließlich für das Empfängerkonto lesbar; das Original des Absenders bleibt allein für ihn zugänglich.

9.3 Feedbackanhänge

Freiwillige Feedbackbilder werden unter dem Nutzerbereich in Firebase Storage gespeichert und in der Feedbackmeldung referenziert. Der Clientzugriff ist auf das jeweilige Konto beschränkt. Serverseitige Admin-SDK-Zugriffe wären technisch privilegiert; die aktuelle Support-Detailfunktion liefert jedoch nur die Textmeldung und keinen Bildanhang an das Admin Center aus.

10. Freunde, Empfehlungen und Referral-Links

Freundschaftsanfragen und Freundschaften verarbeiten Nutzer-IDs und Anzeigenamen. Private Aliase werden nur im eigenen Nutzerbereich gespeichert.

Weinempfehlungen können Absender- und Empfänger-ID, Anzeigenamen, Weinangaben, Bewertung und eine freiwillige Nachricht enthalten. Event-Einladungen, Antworten und Weinmoment-Vorschläge enthalten die für die jeweilige Interaktion notwendigen Angaben.

Referral-Links können einen Nickname enthalten. Wird ein solcher Link geöffnet, kann der Nickname vor der Anmeldung lokal und bei der ersten Kontoerstellung im Nutzerprofil gespeichert werden. Die serverseitige Belohnungslogik ist konfigurationsabhängig; auch bei deaktivierter Belohnung kann der Link technisch verarbeitet werden.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

11. Push-Benachrichtigungen

Push-Benachrichtigungen werden über Firebase Cloud Messaging (FCM) versendet. Erst nach Aktivierung in den App-Einstellungen und der erforderlichen Betriebssystemfreigabe wird ein Push-Token im Nutzerbereich gespeichert. Gespeichert werden Token, Plattform sowie Erstellungs- und letzte Nutzungszeit. Das aktuelle Gerätetoken wird bei der Abmeldung gelöscht; ungültige Tokens werden serverseitig bereinigt.

Benachrichtigungen können den Anzeigenamen des Absenders und einen allgemeinen Hinweis enthalten. Technische Nutzdaten enthalten je nach Vorgang interne IDs für Freundschaftsanfrage, Empfehlung, Event, Einladung oder Weinmoment. Weinname, Eventtitel, Ort, Notiz oder Nachricht werden im verifizierten Push-Payload nicht versendet.

Google verarbeitet außerdem eine Firebase-Installationskennung und technische Zustellinformationen. Auf Apple-Geräten erfolgt die Zustellung zusätzlich über den Apple-Push-Dienst APNs.

Rechtsgrundlage ist die Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Push kann in den App- oder Geräteeinstellungen deaktiviert werden.

12. Feedback, Support und Adminzugriff

Eine Feedbackmeldung kann Nutzer-ID, Typ, Kategorie, Dringlichkeit, Nachricht, aktuellen Bildschirm, App-Version, Build, Plattform, Betriebssystemversion, Sprache, Theme, Bildschirmgröße, Premium- und Referral-Kontext, Scannerkontext, freiwilligen Bildanhang sowie Zeit- und Bearbeitungsstatus enthalten.

Aus einer Meldung wird serverseitig ein Support-Ticket mit Nutzer-ID, Typ, bis zu 200 Zeichen Nachrichtenvorschau, Bildschirm, App-Version, Priorität und Status erstellt. Berechtigte Adminrollen können Supportdaten lesen; Rollen mit Support- oder Owner-Berechtigung können Status und interne Notizen bearbeiten. Der Adminzugriff wird serverseitig anhand aktiver Rollen geprüft und protokolliert.

Aktive Admins können Konten über UID, E-Mail oder Anzeigenamen suchen. Die Owner-Rolle kann die vollständige E-Mail-Adresse sehen; eingeschränkte Rollen erhalten maskierte Angaben. In der Nutzerdetailansicht werden Bestandszahlen und bei berechtigten Rollen das Vorhandensein beziehungsweise die Anzahl von Push-Tokens angezeigt, nicht aber die Tokenwerte.

Meldet ein Nutzer ein anderes Konto, entsteht ein Moderationsvorgang mit Melder-ID, Anzeigename des Melders, gemeldeter ID, Meldegrund und einer freiwilligen Beschreibung. Diese Vorgänge sind ausschließlich für berechtigte Adminrollen zugänglich.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für angeforderte Hilfe und Art. 6 Abs. 1 lit. f DSGVO für Fehleranalyse, Missbrauchsschutz und einen geordneten Supportbetrieb.

13. Firebase-Dienste und Google Cloud

ViMento verwendet im Produktivcode folgende Firebase-Dienste von Google:

• Firebase Authentication für die Anmeldung mit Apple, Google, Telefonnummer sowie E-Mail und Passwort,
• Cloud Firestore für Konten, App-Inhalte, Beziehungen, Einstellungen, Support und serverseitige Zustände,
• Cloud Storage for Firebase für Profil-, Moment- und Feedbackbilder,
• Cloud Functions for Firebase für Kontolöschung, Push-Auslösung, Erinnerungen, Support- und Adminfunktionen, aggregierte Tagesmetriken, die Verarbeitung von Store-Kaufereignissen und konfigurationsabhängige Referral-Prozesse,
• Firebase Cloud Messaging für freiwillige Push-Benachrichtigungen,
• Firebase Crashlytics für Absturz- und Fehlerberichte außerhalb von Debug-Builds,
• Firebase App Check zur Attestierung, dass Anfragen aus einer echten, unveränderten App-Installation stammen (Play Integrity unter Android, App Attest beziehungsweise DeviceCheck unter iOS),
• Firebase Performance Monitoring für technische Laufzeitmessungen wie Startdauer und Scannerdauer,
• Firebase Remote Config für betriebliche Scannerparameter und Notschalter sowie
• Firebase AI Logic als authentifizierter Zugangsweg zum Vertex-AI-Gemini-Provider (siehe Abschnitt 8).

App Check, Performance Monitoring und Remote Config verarbeiten dabei eine Firebase-Installationskennung sowie geräte- und integritätsbezogene technische Angaben; sie verarbeiten keine App-Inhalte.

Cloud Functions verarbeiten je nach Funktion Nutzer- und Dokument-IDs sowie die für die jeweilige Aktion notwendigen Inhaltsdaten. Die Cloud Functions von ViMento werden in der Google-Cloud-Region us-central1 (USA) ausgeführt. In Cloud-Protokollen können Nutzer- und Dokument-IDs, Zeitpunkte und Fehlerdetails erscheinen. Die Firestore-Standortregion und die Log-Aufbewahrungskonfiguration sind nicht im App-Code festgelegt und werden im Google-Cloud-Projekt geprüft.

Die täglichen Adminmetriken enthalten aggregierte Bestands- und Neuanmeldezahlen, Premium-Status, Weine, Momente, Events, Freundschaften sowie offene beziehungsweise kritische Supportfälle. Eine personenbezogene Scanneranalyse ist nicht implementiert.

Google verarbeitet Firebase-Daten nach den geltenden Firebase-Datenschutz- und Auftragsverarbeitungsbedingungen. Je nach Dienst kann eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums stattfinden. Google stellt hierfür insbesondere Auftragsverarbeitungsbedingungen und Standardvertragsklauseln bereit. Firebase Authentication ist nach der Firebase-Dokumentation nicht auf eine europäische Datenregion beschränkt.

14. Crashlytics, Geräte- und Fehlerdaten

Crashlytics ist in Release- und Profile-Builds aktiviert und in Debug-Builds deaktiviert. Verarbeitet werden Absturz- und Fehlerzeitpunkte, Stacktraces, App-Version, Betriebssystem, Gerätemodell und weitere für die Fehleranalyse erforderliche technische Angaben. Google kann außerdem Installationskennungen sowie Angaben zu Prozessor, Arbeitsspeicher, Speicherplatz und Root-/Jailbreak-Status verarbeiten.

ViMento setzt in Crashlytics keine eigene Nutzerkennung und protokolliert dort bewusst keine Wein-, Moment-, Nachrichten- oder Bildinhalte. Unerwartete Fehler können dennoch technische Werte aus dem Fehlerkontext enthalten.

Nach der Firebase-Dokumentation werden Crashlytics-Stacktraces und zugehörige Daten grundsätzlich 90 Tage aufbewahrt, bevor der Löschprozess beginnt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in Stabilität, Sicherheit und Fehlerbehebung.

15. Website

Die Website wird als statische Website über Firebase Hosting bereitgestellt. Beim Abruf verarbeitet Google technisch insbesondere IP-Adresse, Zeitpunkt, angeforderte Datei, Referrer, Browser- und Geräteinformationen. Firebase Hosting speichert IP-Adressen nach eigener Dokumentation für einige Monate.

Die Website enthält eine freiwillige First-Party-Statistik. Sie ist an eine gesonderte technische Konfiguration gebunden; ohne diese Konfiguration werden aus dem Website-Code keine Statistikereignisse versendet.

Soweit die Statistik aktiv ist, gilt:

• Vor einer ausdrücklichen Auswahl wird kein Statistikereignis versendet und keine Besucherkennung erzeugt.
• Die Auswahl „Statistik erlauben“ oder „Nur erforderlich“ wird lokal im Browser gespeichert. Bei Einwilligung wird zusätzlich eine zufällige Browserkennung erzeugt. Es handelt sich nicht um eine verlässliche Personenzählung; mehrere Browser oder Geräte derselben Person können getrennt zählen.
• Erfasst werden Seitenaufrufe ohne Queryparameter oder Fragmente sowie Klicks auf die Kategorien iOS/TestFlight, Android/Google Play, Beta, Kontakt und Social. Zusätzlich können nur grobe Kategorien für Quelle, Geräteklasse und Plattform erfasst werden.
• Vollständige Referrer-URLs, Suchbegriffe, Formulareingaben, Werbe-IDs und Browser-Fingerprints werden nicht erfasst. Es werden keine Werbeprofile erstellt.
• Die zufällige Browserkennung wird vor der Speicherung serverseitig mit einem geheimen HMAC-Schlüssel pseudonymisiert; die vom Browser übermittelte Rohkennung wird nicht in Firestore gespeichert. Firebase beziehungsweise Google erhält beim technischen Request dennoch übliche Verbindungsdaten wie die IP-Adresse.
• App Check mit reCAPTCHA Enterprise dient dem Schutz des öffentlichen Endpunkts vor Missbrauch. Die Initialisierung erfolgt erst nach Einwilligung. Global Privacy Control und „Do Not Track“ blockieren die Statistik im verifizierten Website-Code zusätzlich.
• Seitenaufrufe und CTA-Klicks werden als Tagesaggregate gespeichert. Vorgesehen ist eine automatische Löschung nach zwei Tagen für Retry-Belege, 35 Tagen für pseudonymisierte Browserkennungen und 95 Tagen für Tagesaggregate. Diese automatische Löschung ist derzeit noch nicht eingerichtet; bis dahin werden die Daten nicht automatisch entfernt.
• Die Einwilligung kann über „Statistik-Einstellungen“ im Footer widerrufen werden. Danach werden keine weiteren Ereignisse versendet und die lokale Browserkennung wird entfernt. Bereits gebildete anonyme Tagesaggregate können nicht nachträglich einer Person zugeordnet und deshalb nicht einzeln entfernt werden.

Rechtsgrundlage für die freiwillige Statistik ist die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Soweit für die lokale Speicherung oder den Zugriff auf Informationen im Endgerät eine Einwilligung erforderlich ist, erfolgt sie nach § 25 Abs. 1 TDDDG. Diese rechtliche Einordnung und die Google-/Firebase-Konfiguration werden vor dem produktiven Analytics-Betrieb nochmals fachlich geprüft.

Unabhängig davon:

• enthält kein Kontaktformular; Kontakt erfolgt über einen mailto:-Link,
• lädt Schriftarten lokal von der eigenen Website,
• bindet keine Social-Media-Plugins, Videos, Karten, iFrames oder sonstigen externen Inhalte ein und
• lädt abgesehen von dem nach Einwilligung initialisierten Firebase-App-Check-Schutz keine externen Skripte oder Bildressourcen.

Die eingebetteten strukturierten JSON-LD-Daten dienen nur Suchmaschinenangaben und führen selbst kein Tracking aus.

Rechtsgrundlage für das Hosting ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einer sicheren und zuverlässigen öffentlichen Bereitstellung.

16. Schriftarten in der mobilen App

Die mobile App liefert ihre Schriftarten selbst aus. Inter und Playfair Display sind vollständig im Anwendungspaket enthalten. Beim Anzeigen von Text entsteht dadurch keine Verbindung zu Google oder einem anderen Dritten — auch nicht beim ersten Start und auch nicht ohne Netzverbindung.

Frühere App-Versionen luden die Schriftdateien bei Bedarf von fonts.gstatic.com. Diese Verarbeitung ist mit der Umstellung am 01.09.2026 entfallen; das dafür zuständige Paket wurde entfernt. Eine bereits installierte ältere Version enthält weiterhin den alten Stand — sie lädt Schriften erst dann nicht mehr nach, wenn sie aktualisiert wurde.

17. Premium, Abonnements und Zahlungen

ViMento bietet in der App ein kostenpflichtiges Premium-Abonnement an. Vertragsschluss und Zahlungsabwicklung erfolgen ausschließlich über den Apple App Store beziehungsweise Google Play. ViMento erhält und verarbeitet keine Kreditkarten-, Bank- oder sonstigen Zahlungsdaten. Die Storeanbieter verarbeiten Käufe in eigener Verantwortung nach ihren Datenschutzbestimmungen.

17.1 RevenueCat als Auftragsverarbeiter

Für die technische Abwicklung von Kauf, Wiederherstellung und Abo-Status setzt ViMento den Dienst RevenueCat ein (RevenueCat, Inc., USA).

Übermittelt werden:

• die Firebase-Nutzer-ID als Kennung des Abo-Kontos, sobald eine Anmeldung vorliegt (vorher arbeitet das SDK anonym),
• die vom jeweiligen Store gemeldeten Kauf- und Abo-Ereignisse sowie
• technische Geräte- und SDK-Angaben, die das RevenueCat-SDK standardmäßig erhebt, einschließlich des Storefront-Landes.

Nicht übermittelt werden E-Mail-Adresse, Nickname, Profilbild oder App-Inhalte wie Weine, Momente oder Notizen.

Bei der Abmeldung wird die Verknüpfung zwischen Gerät und Abo-Konto wieder aufgehoben.

17.2 Rückmeldung an ViMento

RevenueCat meldet Kauf- und Abo-Ereignisse über eine signaturgeprüfte Schnittstelle an ViMento zurück. Ausgewertet werden dabei ausschließlich Ereigniskennung, Ereignistyp, Abo-Kontokennung, etwaige zusammengeführte Kennungen, der abrechnende Store sowie Ereignis- und Ablaufzeitpunkt. Preis, Währung, Transaktionsnummer und Kaufbeleg werden nicht ausgewertet und nicht gespeichert.

Gespeichert werden daraus:

• im Nutzerbereich der Berechtigungsstand: ob Premium aktiv ist, der Status (aktiv, Zahlungsproblem, abgelaufen), die Quelle der Berechtigung und der Gültigkeitszeitpunkt;
• ein Verarbeitungsnachweis je Ereignis mit Ereignistyp, Abo-Kontokennung und Verarbeitungszeitpunkt. Er verhindert, dass ein wiederholt zugestelltes Ereignis doppelt wirkt.

17.3 Premium ohne Zahlung

Ein Premium-Status muss nicht auf einem Kauf beruhen. Er kann auch durch eine manuelle Freischaltung durch den Betreiber, einen historischen Bestandswert oder eine geteilte Berechtigung entstehen. Der gespeicherte Berechtigungsstand hält fest, worauf er beruht. Aus dem Premium-Status allein folgt daher nicht, dass eine Zahlung stattgefunden hat.

Eine manuelle Freischaltung erzeugt zusätzlich einen Hinweisdatensatz für das betroffene Konto sowie einen Eintrag im Adminprotokoll.

17.4 Verwaltung und Kündigung

Ein Abonnement wird im Apple- beziehungsweise Google-Konto verwaltet und gekündigt. Die Löschung des ViMento-Kontos beendet ein Store-Abonnement nicht automatisch.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

18. Speicherdauer

Soweit in dieser Erklärung keine konkrete Frist genannt ist, speichern wir Daten solange das Konto besteht und die Daten für die gewählte Funktion benötigt werden. Nutzerinhalte können innerhalb der App gelöscht oder ersetzt werden.

Darüber hinaus gelten insbesondere:

• Gemini-Scaneranfragen (Vertex AI, kein separater Datei-Upload): nach Google-Cloud-Dokumentation bis zu 90 Tage Missbrauchsüberwachung in der Projektregion; keine eigene frühere Löschung im App-Code möglich,
• Crashlytics: grundsätzlich 90 Tage nach der Firebase-Dokumentation,
• FCM-Installationsdaten: nach den von Google dokumentierten Lösch- und Sicherungsfristen,
• Cloud-, Sicherheits- und Hostingprotokolle: nach der im jeweiligen Google-Projekt beziehungsweise Dienst eingestellten oder vorgegebenen Frist,
• Website-Statistik: Eventbelege zwei Tage, pseudonymisierte Browserkennungen 35 Tage und Tagesaggregate 95 Tage — diese automatische Löschung ist derzeit noch nicht eingerichtet,
• Verarbeitungsnachweise zu Kauf- und Abo-Ereignissen: derzeit ohne automatische Löschfrist,
• bei RevenueCat gespeicherte Abo-Daten: nach den Bedingungen und der Konfiguration dieses Anbieters,
• Support-Tickets: nach der Kontolöschung anonymisiert, ohne automatische Löschfrist,
• Moderationsvorgänge und Adminprotokolle: derzeit ohne automatische Löschfrist,
• lokale App- und Bildcaches: bis zur Bereinigung durch App, Plugin, Betriebssystem, Löschen der App-Daten oder Deinstallation.

Gesetzliche Aufbewahrungspflichten oder die erforderliche Abwehr von Ansprüchen können eine längere begrenzte Speicherung rechtfertigen.

19. Kontolöschung

Das Konto kann in der App unter „Profil > Einstellungen > Konto löschen“ gelöscht werden. Alternativ stehen Informationen und ein Kontaktweg unter https://vimento.app/konto-loeschen/ bereit.

Vor der Löschung wird die Anmeldung erneut bestätigt. Bei einem Apple-Konto wird zusätzlich die erteilte Apple-Anmeldeberechtigung widerrufen.

Der automatische Löschprozess entfernt:

• das Authentifizierungskonto,
• den privaten Nutzerbereich mit den Untersammlungen für Regal, Weinmomente, Events, Freundesliste, private Aliase, Push-Tokens, Berechtigungen, Verbrauchszähler und Referral-Stand,
• alle gespeicherten Bilder im Nutzerbereich,
• das öffentliche Suchprofil und die Nickname-Reservierung sowie
• kontobezogene Freundschafts-, Empfehlungs-, Event-, Momentvorschlags-, Einladungs- und Feedbackdaten in beide Richtungen.

Support-Tickets und interne Notizen werden anonymisiert: Nutzer-ID, Nachrichtenvorschau und Gerätekontext werden entfernt beziehungsweise geleert, der Vorgang selbst bleibt für die Nachvollziehbarkeit bestehen. Referral-Datensätze werden zur Wahrung der Belohnungs- und Missbrauchssicherheit anonymisiert: Der Eintrag wird unter einer je Löschauftrag erzeugten, nicht sprechenden Kennung archiviert und enthält danach weder Nutzer-ID noch Nickname oder Referralbezug — nur den Bearbeitungsstand und den Aufbewahrungsgrund.

Der Löschlauf ist unterbrechbar und wird serverseitig fortgesetzt; das Authentifizierungskonto wird erst im letzten Schritt entfernt.

Der Lauf umfasst 47 Schritte. Zusätzlich gelöscht werden Hinweisdatensätze zu einer manuellen Premium-Freischaltung, gespeicherte Auflösungen zur Weinerkennung sowie die Datenpfade der Funktion für eigene Flaschenbilder (aufgenommene Bilder, Regaleinträge, Verarbeitungsnachweise).

Anonymisiert statt gelöscht werden zwei weitere Pfade — der Vorgang bleibt bestehen, der Personenbezug fällt weg:

• Moderationsvorgänge, in denen das Konto als meldende oder als gemeldete Person auftritt: Anzeigename und freiwillige Beschreibung werden entfernt, Meldegrund und Bearbeitungsstand bleiben erhalten, damit ein Missbrauchsvorgang nicht nachträglich unsichtbar wird.
• Verarbeitungsnachweise zu Kauf- und Abo-Ereignissen: Die Abo-Kontokennung wird entfernt, der Nachweis der Verarbeitung bleibt bestehen und verhindert eine erneute Wirkung desselben Ereignisses.

Ebenfalls fortbestehen können technische Logs, Crashlytics-Daten, Sicherungskopien, bei Google im Rahmen der Missbrauchsüberwachung vorgehaltene Scananfragen, bei RevenueCat gespeicherte Abo-Daten sowie lokale Caches nach den in Abschnitt 18 genannten Fristen beziehungsweise Mechanismen.

Ein laufendes Store-Abonnement wird durch die Kontolöschung nicht beendet. Es muss im Apple- beziehungsweise Google-Konto gekündigt werden.

20. Empfänger

Empfänger personenbezogener Daten können abhängig von der genutzten Funktion sein:

• Google Ireland Limited und verbundene Google-Unternehmen für Firebase, Google Cloud, Gemini, Google Sign-In und mobile Schriftdateien,
• Apple Distribution International Ltd. und verbundene Apple-Unternehmen für „Mit Apple anmelden“, die Push-Zustellung über APNs und App-Store-Käufe,
• RevenueCat, Inc. (USA) für die technische Abwicklung von Abonnements,
• Apple App Store und Google Play als Abrechnungsstellen der Käufe sowie
• Betreiber der öffentlichen Overpass-API für freiwillige Ortsvorschläge.

Andere Nutzerinnen und Nutzer erhalten nur Daten, die durch Freundschaft, Empfehlung, Einladung oder Freigabe an sie gerichtet sind.

21. Drittlandübermittlungen

Einige Anbieter verarbeiten Daten weltweit, insbesondere in den USA. Die Cloud Functions von ViMento werden in einer US-Region ausgeführt; RevenueCat hat seinen Sitz in den USA. Soweit erforderlich, stützen sich Übermittlungen auf Angemessenheitsbeschlüsse, Standardvertragsklauseln oder andere gesetzlich vorgesehene Garantien. Die konkreten Firebase-, Google-Cloud-, Gemini- und RevenueCat-Verträge und Regionen werden vor Veröffentlichung abschließend im Betreiberkonto geprüft.

22. Rechte betroffener Personen

Betroffene Personen haben nach den gesetzlichen Voraussetzungen insbesondere das Recht auf:

• Auskunft,
• Berichtigung,
• Löschung,
• Einschränkung der Verarbeitung,
• Datenübertragbarkeit,
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen und
• Widerruf einer Einwilligung mit Wirkung für die Zukunft.

Anfragen können an privacy@vimento.app gerichtet werden.

Außerdem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Zuständig für den Sitz des Verantwortlichen ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Heilbronner Straße 35
70191 Stuttgart
E-Mail: poststelle@lfdi.bwl.de
Website: https://www.baden-wuerttemberg.datenschutz.de/

23. Sicherheit

ViMento verwendet Authentifizierung, Firestore- und Storage-Regeln, serverseitige Rollenprüfungen sowie Firebase App Check zur Attestierung echter App-Installationen. Daten werden bei der Übertragung verschlüsselt. Kein technisches System kann absolute Sicherheit gewährleisten.

24. Änderungen dieser Datenschutzerklärung

Diese Erklärung wird angepasst, wenn sich Funktionen, Anbieter oder rechtliche Anforderungen ändern. Der jeweils aktuelle Stand wird in der App und auf der Website veröffentlicht.