RECHTLICHES

Datenschutzerklärung

Stand: 29. August 2026

Diese Erklärung beschreibt, welche personenbezogenen Daten bei der Nutzung von Schmeckt verarbeitet werden. Schmeckt ist ein Projekt der Five Lakes Consulting GmbH. Der Dienst funktioniert ohne Anmeldung. Optional können Sie Ihre Daten per E-Mail sichern; dann speichern wir sie serverseitig und verknüpfen sie mit Ihrem Konto.

1. Verantwortliche

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Five Lakes Consulting GmbH

Weitere Angaben stehen im Impressum. Anfragen zum Datenschutz richten Sie bitte schriftlich an diese Adresse.

2. Hosting und Server-Logdaten

Schmeckt wird über die Infrastruktur von Cloudflare, Inc. (USA) betrieben: Cloudflare Workers (Anwendung), Auslieferung der Website, D1 (Datenbank), KV (Kurzzeitspeicher), R2 (Objektspeicher für Familienfotos) und Workers AI. Beim Aufruf der Seiten verarbeitet Cloudflare übliche Verbindungsdaten, insbesondere IP-Adresse, Zeitpunkt, aufgerufene URL, Referrer und Browser-Informationen. Das ist erforderlich, um die Website auszuliefern, Angriffe abzuwehren und den Betrieb zu sichern.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionsfähigen Angebot).

Cloudflare kann Daten in den USA oder anderen Drittländern verarbeiten. Cloudflare nimmt am EU-US Data Privacy Framework teil; ergänzend können Standardvertragsklauseln gelten. Weitere Hinweise: Cloudflare Privacy Policy.

3. Daten auf Ihrem Gerät

Schmeckt setzt keine Tracking-Cookies und kein Analyse-Pixel. Technisch notwendige Speicherung:

• im localStorage unter anderem eine zufällige Profil-ID, eine Familien-ID, Ihr Geschmacksprofil, gemerkte Rezepte, eine anonyme Abstimmungs-ID, Merker für den Kurzstart und für Hinweise zum Sichern der Daten
• im sessionStorage etwa, ob Sie einen Wochenplan erstellt haben
• nach dem optionalen Sichern per E-Mail ein HttpOnly-Sitzungscookie schmeckt_session (ca. 90 Tage, SameSite=Lax, in Produktion Secure), damit Sie angemeldet bleiben

Diese Speicherung ist für die Funktionen nötig, die Sie selbst auslösen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. § 25 Abs. 2 TDDDG. Daten im Browser können Sie über die Speicher-Einstellungen löschen. Das Sitzungscookie entfällt mit „Abmelden“ oder wenn es abläuft.

4. Optionales Konto und E-Mail (Daten sichern)

Ohne Anmeldung bleibt Schmeckt nutzbar; Vorlieben können auf dem Gerät und unter einer zufälligen ID auf dem Server liegen. Wenn Sie „Daten dauerhaft sichern“ wählen, geben Sie eine E-Mail-Adresse an. Wir senden einen einmaligen 6-stelligen Code (kein Passwort, kein Newsletter). Nach Bestätigung speichern wir:

• Ihre E-Mail-Adresse (Anzeige- und normalisierte Form) und den Zeitpunkt der Bestätigung
• eine Nutzer-ID und die Verknüpfung mit Ihrer bestehenden Familien-ID
• gehashte Einmalcodes (kurzzeitig, typisch 10 Minuten) und Sitzungen
• technische Auth-Ereignisse (z. B. Code angefordert, Sitzung erzeugt), ohne den Klartext des Codes

Damit werden Ihre Familien-, Geschmacks- und Kochdaten diesem Konto zugeordnet und sind auf anderen Geräten wiederherstellbar. Das ist eine Einwilligung in die serverseitige Speicherung (Art. 6 Abs. 1 lit. a DSGVO). Sie können sie mit Wirkung für die Zukunft widerrufen (Abmelden, Löschanfrage).

Den Code versendet Mailjet (Mailgun Technologies / Sinch, typischer Sitz in der EU). Dorthin gehen Empfängeradresse und Vorlagenvariablen (Code, Gültigkeitsdauer). Rechtsgrundlage der Übermittlung: Art. 6 Abs. 1 lit. a und lit. b DSGVO. Hinweise: Mailjet Privacy Policy.

5. Familie, Geschmack und Empfehlungen

Schmeckt merkt sich, was bei Ihnen passt, um „Heute gibt’s“ und weitere Vorschläge zu verbessern. Serverseitig (D1) können unter Ihrer Familien-ID unter anderem liegen:

• Haushaltsangaben (Erwachsene, Kinder), Kurzstart-Vorlieben und -Abneigungen
• Signale zu Gerichten und Zutaten (z. B. passt / lieber nicht, gekocht, übersprungen)
• tägliche Empfehlungen, Portionsfeedback, geplante oder gekochte Mahlzeiten
• das Geschmacksprofil und Favoriten, soweit eine Datenbank angebunden ist

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; beim optionalen Konto zusätzlich Art. 6 Abs. 1 lit. a DSGVO.

Tragen Sie Allergien, Unverträglichkeiten oder andere Gesundheitsangaben ein, handelt es sich um besondere Kategorien personenbezogener Daten (Art. 9 DSGVO). Diese Angaben sind freiwillig. Wir verarbeiten sie nur, um Empfehlungen zu personalisieren, und nur weil Sie sie selbst übermitteln (Art. 9 Abs. 2 lit. a DSGVO). Schmeckt ersetzt keine medizinische Beratung; Zutatenangaben können fehlerhaft sein.

6. Suche, Wochenplan und KI

Wenn Sie eine Suche starten oder einen Wochenplan anfordern, werden Ihre Eingabe, der gewählte Modus und die Profil- bzw. Familien-ID an unsere Server geschickt. Ein hinterlegtes Profil kann mitgelesen werden. Die Text- und Bilderkennung zur Rezeptvorbereitung läuft über Cloudflare Workers AI.

Suchanfragen können mit Ergebnis gespeichert werden, um den Dienst zu betreiben und zu verbessern. Wochenpläne liegen in der Datenbank und in KV; der Link /w/… ist für jede Person mit dem Link aufrufbar. Abstimmungen und Einkaufs-Häkchen speichern wir unter einem Hash Ihrer anonymen Geräte-ID, nicht unter Ihrem Namen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

7. Bei uns gekocht (Familienfotos)

Wenn Sie ein Foto vom Essen hochladen, wird es an unseren Server übertragen, zur Erkennung von Gericht und Zutaten an Cloudflare Workers AI übergeben und dauerhaft in Cloudflare R2 gespeichert (privater Objektschlüssel je Familie, nicht öffentlich indexiert). Zusätzlich speichern wir von Ihnen bestätigte Angaben (Titel, Zutaten, Zubereitung, Reaktionen, Zeitpunkte).

Das Foto kann unbeabsichtigt Personen, Wohnräume oder Marken zeigen. Laden Sie nur Bilder hoch, die Sie speichern und auswerten lassen möchten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; mit Konto zusätzlich Art. 6 Abs. 1 lit. a DSGVO.

8. Kühlschrank-Scan

Wenn Sie ein Kühlschrankfoto hochladen, wird es zur Erkennung sichtbarer Lebensmittel an Cloudflare Workers AI übergeben. In der aktuellen Umsetzung speichern wir dieses Foto nicht dauerhaft; es wird für die Anfrage verarbeitet. Erkannte Zutaten können in einem Wochenplan als „schon da“ vermerkt werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

9. Teilen und Community

Ein geteiltes Rezept unter /r/… ist für jede Person mit dem Link lesbar. Wenn Sie beim Teilen die Veröffentlichung auf Schmeckt aktivieren, erscheint das Rezept öffentlich in der Community (Titel, Bildverweis, Zutaten, Zubereitung, Herkunft „von Nutzerinnen“ bzw. redaktionell von Schmeckt). Bewertungen (Daumen) speichern wir unter einem Hash der anonymen Geräte-ID.

Redaktionelle Community-Rezepte erzeugt Schmeckt stündlich per KI und veröffentlicht sie unter eigenem Namen. Das sind keine personenbezogenen Daten Dritter.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (von Ihnen ausgelöste Veröffentlichung bzw. Betrieb des Feeds).

10. Bilder von Unsplash

Rezept- und Feature-Bilder werden oft direkt vom CDN von Unsplash (Unsplash, Inc.) geladen. Dabei kann Unsplash Ihre IP-Adresse und übliche Browserdaten erhalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Darstellung der Inhalte). Hinweise: Unsplash Privacy Policy.

11. Speicherdauer

• Daten im Browser: bis Sie sie löschen oder den Speicher leeren
• Sitzungscookie: bis Abmelden oder Ablauf (ca. 90 Tage)
• Einmalcodes: bis Verbrauch oder Ablauf (Minuten); danach nur noch als Hash-Historie, soweit für Missbrauchsschutz nötig
• E-Mail-Konto und verknüpfte Familiendaten: bis zur Löschung auf Ihre Anfrage oder bis sie für den Dienst nicht mehr erforderlich sind
• Familienfotos (R2) und Kochdaten: solange das Gericht Ihrer Familie zugeordnet ist bzw. bis zur Löschung
• Kühlschrankfotos: keine dauerhafte Speicherung durch Schmeckt in der aktuellen Umsetzung
• geteilte Rezepte und Wochenpläne: bis Sie sie entfernen oder wir sie nach Missbrauch bzw. Inaktivität löschen
• KI-Verarbeitung: für die Dauer der jeweiligen Anfrage; Hosting-Logs nach den Fristen von Cloudflare; Mailjet nach deren Aufbewahrung für den Versand

12. Empfänger und Drittlandtransfer

Empfänger sind wir als Verantwortliche sowie:

• Cloudflare (Hosting, Datenbank, Speicher, KI)
• Mailjet, wenn Sie einen Code anfordern
• Unsplash, wenn Ihr Browser dort Bilder lädt
• Personen, denen Sie einen Wochen- oder Rezeptlink schicken; bei Community-Veröffentlichung jede Besucherin der Community

Eine Übermittlung in die USA kann über Cloudflare und Unsplash stattfinden; Absicherung über das Data Privacy Framework und/oder Standardvertragsklauseln, soweit einschlägig.

Wir verkaufen Ihre Daten nicht und nutzen sie nicht für Werbung Dritter.

13. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Eine erteilte Einwilligung können Sie mit Wirkung für die Zukunft widerrufen. Außerdem haben Sie das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, zuständig ist insbesondere:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach

Daten auf Ihrem Gerät löschen Sie über die Browser-Einstellungen. Für serverseitige Daten wenden Sie sich schriftlich an die Verantwortliche. Nennen Sie möglichst die E-Mail, mit der Sie gesichert haben, und/oder die IDs im localStorage unter schmeckt_profile_id und schmeckt-family-id.

14. Pflicht zur Bereitstellung

Sie müssen uns keine personenbezogenen Daten mitteilen, um öffentlich sichtbare Inhalte zu lesen. Für Suche, Profil, Favoriten, Wochenplan, Kühlschrank-Scan, Familienfotos und das optionale Konto sind die jeweils eingegebenen bzw. hochgeladenen Daten erforderlich, sonst können wir die Funktion nicht erbringen.

15. Automatisierte Entscheidungen

Empfehlungen und Bilderkennung werden maschinell erzeugt. Es finden keine automatisierten Entscheidungen mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO statt.

16. Kinder

Schmeckt richtet sich an Erwachsene, die für einen Haushalt planen. Angaben zu Kindern (Anzahl, kinderfreundliche Gerichte) sind Haushaltskontext, kein eigenes Kinderprofil. Der Dienst ist nicht für die eigenständige Nutzung durch Kinder unter 16 Jahren bestimmt.

17. Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die auf dieser Seite veröffentlichte Fassung.