Datenschutzerklärung
Einleitung
2.0 • Stand: 13. Juli 2026
Verantwortlicher (Art. 4 Nr. 7 DSGVO; § 5 DDG)
mhdapp
Lorik Sadiku (Einzelunternehmen)
Am Leonhardspark 3
90439 Nürnberg
Deutschland
Kontakt
Tel.: +49 176 262 208 30
E-Mail: datenschutz@mhdapp.com
Rechtliche Informationen
Handelsregister: Nicht eingetragen (§ 2 HGB – Kleingewerbe)
USt-IdNr.: DE368866029
EU-Vertreter (Art. 27 DSGVO)
Entfällt – der Verantwortliche hat seine Niederlassung in Deutschland.
Ansprechpartner Datenschutz (Art. 37 DSGVO)
Ein förmlicher Datenschutzbeauftragter ist nicht erforderlich. Wir haben dennoch eine interne Anlaufstelle benannt: Datenschutz-Kontakt – datenschutz@mhdapp.com | +49 176 262 208 30 Eine schriftliche Bewertung, warum Art. 37 (1) DSGVO / § 38 BDSG nicht greifen, liegt vor und wird jährlich überprüft.
Kategorien personenbezogener Daten
| Kategorie | Beschreibung |
|---|---|
| Kontodaten | Name, E-Mail, Passwort-Hash, Avatar-Farbe |
| Abonnement- & Zahlungsdaten | Stripe-Kunden-, Abonnement- und Rechnungs-IDs sowie der Abo-Status. Kartendaten werden ausschließlich von Stripe verarbeitet und von uns weder erhoben noch gespeichert. |
| Nutzungsdaten | IP-Adresse und Browser-User-Agent (Server-Logs), gewählte Sprache, Zeitstempel der Anmeldung. Eine Auswertung Ihres Nutzungsverhaltens findet nicht statt. |
| Log- & Fehlerdaten | Request-ID, Fehlerspur, Rate-Limit-Kennung |
| Inhaltsdaten | Lagerartikel, Produktdetails |
| Kommunikation | Support-Tickets, In-App-Nachrichten, E-Mails |
| Cookie-/Geräte-IDs | Sitzungs-Token, CSRF-Token, Cookie-Consent-ID |
Zwecke, Rechtsgrundlagen & Interessenabwägung
- 1.Betrieb des Benutzerkontos & der App – Vertrag Art. 6 (1)(b)
- 2.Abos, Rechnungen & Zahlungen – Vertrag Art. 6 (1)(b); gesetzliche Pflicht Art. 6 (1)(c) DSGVO; §§ 257 HGB/147 AO
- 3.Transaktionsnachrichten – Vertrag Art. 6 (1)(b)
- 4.Ablauf-Erinnerungen und Benachrichtigungen zu Ihren eigenen Produkten per E-Mail – Vertragserfüllung Art. 6 (1)(b) DSGVO. Diese Erinnerungen sind die Kernleistung des Dienstes und daher standardmäßig aktiviert; Sie können sie jederzeit in den Kontoeinstellungen deaktivieren. Werbe-E-Mails versenden wir nicht.
- 5.Barcode-Abfragen (Open Food Facts) – Vertrag Art. 6 (1)(b)
- 6.Betrugs- & IT-Sicherheitsmaßnahmen – Berechtigtes Interesse Art. 6 (1)(f)
Cookies & ähnliche Technologien (§ 25 TDDDG)
Wir setzen ausschließlich technisch notwendige Cookies und notwendige Speicherung auf Ihrem Endgerät ein (§ 25 Abs. 2 Nr. 2 TDDDG): für den sicheren Login, den CSRF-Schutz, die von Ihnen gewählte Oberflächensprache und das gewählte Farbschema sowie zum Nachweis Ihrer Cookie-Entscheidung. Analyse-, Statistik- oder Marketing-Cookies setzen wir nicht ein; Tracking-Dienste Dritter sind nicht eingebunden. Rechtsgrundlage für die anschließende Verarbeitung ist Art. 6 Abs. 1 lit. b und lit. f DSGVO (Bereitstellung des angeforderten Dienstes, IT-Sicherheit). Ihre Cookie-Entscheidung protokollieren wir serverseitig mit gekürzter IP-Adresse, Browser-Kennung, Zeitstempel und den gewählten Kategorien (Art. 7 Abs. 1 DSGVO).
| Cookie-Name | Zweck | Dauer | Typ |
|---|---|---|---|
| __Secure-next-auth.session-token | Authentifizierung (Login-Sitzung) | 30 Tage | erforderlich |
| __Host-next-auth.csrf-token | CSRF-Schutz | Sitzung | erforderlich |
| __Secure-next-auth.callback-url | Weiterleitung nach dem Login | Sitzung | erforderlich |
| NEXT_LOCALE | Sprache der Oberfläche | 1 Jahr | erforderlich |
| cookieConsent (localStorage) | Speichert, ob Sie eine Cookie-Entscheidung getroffen haben | Bis zum Löschen durch Sie | erforderlich |
| cookiePreferences (localStorage) | Speichert Ihre gewählten Cookie-Einstellungen | Bis zum Löschen durch Sie | erforderlich |
| theme (localStorage) | Gewähltes Farbschema (hell/dunkel) | Bis zum Löschen durch Sie | erforderlich |
| consentSessionId / consentLogs (localStorage) | Nachweis Ihrer Cookie-Entscheidung (Art. 7 Abs. 1 DSGVO) | Bis zum Löschen durch Sie | erforderlich |
| accountState_<Nutzer-ID> (localStorage) | Merkt sich nach dem Login Ihren zuletzt genutzten Arbeitsbereich | Bis zum Löschen durch Sie | erforderlich |
Empfänger & internationale Datenübermittlungen
| Empfänger | Zweck | Standort | Rechtsgrundlage |
|---|---|---|---|
| Hetzner Online GmbH | Hosting & PostgreSQL-Datenbank | Deutschland | AVV (Art. 28 DSGVO) |
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung & Rechnungen | Irland (EU); Konzernübermittlung in die USA möglich | AVV (Art. 28) + EU-US Data Privacy Framework / SCC |
| Brevo SAS (vormals Sendinblue) | Versand von Transaktions-E-Mails (Registrierung, Einladungen, Erinnerungen) | Frankreich (EU) – kein Drittlandtransfer | AVV (Art. 28 DSGVO) |
| Open Food Facts (inkl. Open Products Facts, Open Beauty Facts, Open Pet Food Facts) | Barcode-Abfrage von Produktdaten (es werden nur Barcodes übermittelt, keine personenbezogenen Daten) | Frankreich (EU) | Vertrag Art. 6 (1)(b) |
| Mistral AI SAS | Optionales KI-Auslesen fotografierter Produktetiketten (Name, Füllmenge, MHD), wenn ein Barcode nicht gefunden wurde. Das Foto wird nicht gespeichert und nicht für KI-Training verwendet | Frankreich (EU) – kein Drittlandtransfer | AVV (Art. 28 DSGVO) |
Personenbezogene Daten werden niemals verkauft. Standardvertragsklauseln liegen vorsorglich vor, falls ein Anbieter aus dem DPF ausscheidet.
Auftragsverarbeitungsvertrag (AVV)
Wenn Sie MHD App geschäftlich nutzen, verarbeiten wir personenbezogene Daten — etwa die Konten Ihrer Mitarbeitenden — in Ihrem Auftrag. Art. 28 DSGVO verlangt dafür einen Vertrag zwischen Ihnen und uns. Sie schließen ihn bereits bei der Registrierung ab; die Annahme wird mit Zeitstempel und Fassung protokolliert. Eine Unterschrift ist nicht erforderlich (Art. 28 Abs. 9 DSGVO).
Auftragsverarbeitungsvertrag ansehenYouTube-Video (Zwei-Klick-Lösung)
Speicherdauer
| Datenkategorie | Speicherdauer |
|---|---|
| Konto- & Inhaltsdaten | Bis zur Kontolöschung; in verschlüsselten Backups längstens weitere 14 Tage |
| Zahlungs- & Rechnungsdaten | 10 Jahre |
| Server-Logs | 7 Tage |
| Support-Anfragen & Routine-E-Mails | 3 Jahre |
| Vertragsrelevante E-Mails (z. B. Kündigung) | 10 Jahre |
| Einwilligungsnachweise (Cookie-Consent) | 3 Jahre |
Backups werden bei Hetzner (Deutschland) AES-256-verschlüsselt gespeichert und nach 14 Tagen automatisch gelöscht.
Sicherheitsmaßnahmen (Art. 32 DSGVO)
- •Verschlüsselte Übertragung: alle Verbindungen ausschließlich über TLS/HTTPS
- •Passwörter werden niemals im Klartext gespeichert, sondern ausschließlich als bcrypt-Hash
- •AES-256-verschlüsselte Datensicherungen (täglich, 14 Tage Aufbewahrung, Wiederherstellung getestet)
- •Rollenbasierte Zugriffskontrolle je Arbeitsbereich (Inhaber, Administrator, Bearbeiter, Betrachter)
- •Datenbank ausschließlich lokal erreichbar, nicht aus dem Internet exponiert
- •Hosting bei der Hetzner Online GmbH in Deutschland; die Rechenzentren von Hetzner sind nach ISO/IEC 27001 zertifiziert (eine eigene Zertifizierung des Anbieters besteht nicht)
- •Zahlungsdaten werden ausschließlich bei Stripe (PCI-DSS Level 1) verarbeitet und erreichen unsere Systeme nicht
- •Zwei-Faktor-Authentisierung ist für den Administrationszugang des Anbieters verpflichtend; für normale Nutzerkonten steht sie derzeit nicht zur Verfügung
- •Die vollständigen technischen und organisatorischen Maßnahmen sowie die bekannten Einschränkungen sind in Anhang III des Auftragsverarbeitungsvertrags offengelegt
Daten von Kindern (Art. 8 DSGVO)
Automatisierte Entscheidungen / Profiling
Ihre Rechte (Art. 15 – 22 DSGVO)
Sie können jederzeit und kostenfrei folgende Rechte ausüben: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch gegen berechtigtes Interesse, Widerruf einer Einwilligung. Wir antworten innerhalb eines Monats (Art. 12 (3) DSGVO). Identitätsnachweis kann erforderlich sein. Kontakt: datenschutz@mhdapp.com. Pflicht zur Bereitstellung: Felder, die als \"erforderlich\" gekennzeichnet sind, sind vertraglich notwendig – ohne sie ist eine Kontoeröffnung nicht möglich; alle anderen Angaben sind freiwillig.
Beschwerderecht (Art. 77 DSGVO)
Änderungen dieser Datenschutzerklärung
2.0 • Stand: 13. Juli 2026