Datenschutzerklärung
Präambel
Wir — die AKARA Solutions GmbH — bieten dir mit green.ingo einen digitalen Kassenbon-Dienst: Belege, Kundenkarten und Punkte landen papierlos auf deinem Smartphone. Datenschutz ist für uns kein Pflichttext, sondern Produkt-Prinzip. Diese Erklärung zeigt dir transparent, welche Daten wir wann und warum verarbeiten — und vor allem, welche wir nicht erheben.
1. Verantwortlicher
Verantwortlich im Sinne des Art. 4 Abs. 7 DSGVO ist:
AKARA Solutions GmbH
Feldstraße 97, 25421 Pinneberg
Telefon: +49 40-228216020
E-Mail: green.ingo@akara-solutions.de
2. Daten beim Besuch dieser Website
Beim Aufruf dieser Website speichert unser Webserver technische Zugriffsdaten in einem Server-Logfile: IP-Adresse, Datum und Uhrzeit des Zugriffs, übertragene Datenmenge, anfragender Provider, Browser- und Betriebssystem-Informationen. Diese Daten werden ausschließlich zur Sicherstellung eines störungsfreien Betriebs sowie zur Abwehr von Angriffen verarbeitet (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse) und nach 14 Tagen gelöscht oder anonymisiert.
Auf dieser Website kommen ausschließlich technisch notwendige Cookies zum Einsatz. Wir setzen kein Tracking, keine Analyse-Cookies und keine Drittanbieter-Pixel ein.
3. Daten in der green.ingo App
Wenn du die App nutzt, verarbeiten wir die folgenden Datenkategorien — strikt zweckgebunden und auf das technisch Notwendige begrenzt.
3.1 Personenbezogene Daten (Authentifizierung über Keycloak)
Für die Authentifizierung nutzen wir unseren eigenen, in Deutschland gehosteten Identity-Provider auf Basis von Keycloak. Beim Login verarbeiten wir aus dem JWT-Token folgende Felder:
- E-Mail-Adresse, Vor- und Nachname, Benutzername
- User-ID (UUID, technischer Identifier)
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — ohne Konto kein Belegarchiv).
3.2 Transaktions- und Kassenbondaten
Für jeden Beleg, den du in der App siehst, verarbeiten wir den Inhalt des jeweiligen Kassenbons:
- Artikelname, Menge, Einzel- und Gesamtpreise, Rabatte, Steuersätze, Zahlungsart
- Kassierer- und Kassennummer sowie TSE-Daten (steuerrechtlich gemäß § 146a AO erforderlich)
- Filial-/Shop-Stammdaten (Name, Adresse, USt-IdNr.)
- Aktueller Punktestand und Guthabenkarten-Saldo
Diese Daten werden lokal auf deinem Gerät (Hive-Datenbank) sowie auf unserem Backend (GraphQL-API, Server in Deutschland) gespeichert, damit du deine Bons auch offline einsehen kannst. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
3.3 Kundenkartendaten
Wir speichern die 26-stellige Kundenkartennummer, den Punktestand, das Guthaben und den Sperrstatus deiner Karte sowie die Verknüpfung zwischen Karte und Benutzerkonto. Dies ist notwendig, um Bons der richtigen Karte zuzuordnen und Punkte/Guthaben korrekt zu führen (Art. 6 Abs. 1 lit. b DSGVO).
3.4 Push-Benachrichtigungen (Firebase Cloud Messaging und Apple APNs)
Wenn du Push-Benachrichtigungen aktivierst, übermitteln wir folgende Daten an Drittanbieter:
- FCM Device Token (geräteindeutig) an Google Firebase Cloud Messaging
- Auf iOS-Geräten zusätzlich an Apple Push Notification service (APNs)
- Plattform-Typ (Apple/Google) — wird zusätzlich an unser Backend übertragen
Datenempfänger sind die Google Ireland Ltd. (Firebase) und gegebenenfalls die Apple Inc. (APNs). Es findet eine Drittlandübermittlung in die USA statt — Rechtsgrundlage hierfür sind die Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO sowie das EU-US Data Privacy Framework. Die Verarbeitung erfolgt nur, wenn du der Push-Benachrichtigung in den Geräteeinstellungen zustimmst (Art. 6 Abs. 1 lit. a DSGVO). Du kannst Push-Nachrichten jederzeit in den Einstellungen deines Smartphones deaktivieren.
3.5 Gerätezugriffe und Berechtigungen
Die App fragt nur Berechtigungen ab, die für eine konkrete Funktion gebraucht werden. Folgende Übersicht zeigt, was wir tun und was wir nicht tun:
| Zugriff | Zweck | Daten gespeichert? |
|---|---|---|
| Kamera | Barcode-Scanner zum Erfassen der Kartennummer | Nein — kein Foto wird aufgenommen oder gespeichert |
| Biometrie (Face ID, Fingerabdruck) | Optionale App-Entsperrung | Nur Typ-Name (z. B. „FaceID") und der On/Off-Schalter werden lokal gespeichert. Wir erhalten keine biometrischen Daten — die Prüfung läuft ausschließlich auf deinem Gerät über die Betriebssystem-API. |
| Fotogalerie | Speichern eines Bons als Screenshot (nutzerinitiiert) | Lokal in deinem Album „Green.Ingo" — keine Übertragung an unsere Server |
3.6 Lokale Datenspeicherung (Hive)
Damit die App auch offline funktioniert, speichern wir folgende Daten lokal auf deinem Gerät in einer verschlüsselten Hive-Datenbank:
- OAuth-Tokens (Access-, Refresh-, ID-Token) inklusive Ablaufzeitpunkt
- Login-Status, UI-Einstellungen, Sprachpräferenz
- Alle Belege und Transaktionen für den Offline-Zugriff
Beim Logout oder bei einer Kontolöschung werden alle Hive-Boxen vollständig geleert — ohne Rückstände.
3.7 Sprachpräferenz
Beim ersten Start erkennt die App deine Systemsprache. Eine spätere manuelle Auswahl synchronisieren wir
zur Anzeige der Bons in deiner Sprache mit unserem Backend (updateUserLocale).
4. Was wir nicht erheben
Aus Prinzip verzichten wir auf alles, was wir nicht für die Funktion brauchen. Konkret bedeutet das:
- Kein Analytics-/Tracking-SDK — kein Crashlytics, kein Google Analytics, kein Amplitude oder Vergleichbares
- Keine Standortdaten — kein GPS, keine Ortung, keine Geofencing-Funktionen
- Keine Werbe-IDs — kein IDFA, keine Google Advertising ID, kein Ad-Tracking
- Keine automatischen Fotos oder Screenshots — Kamera und Galerie nur, wenn du sie selbst auslöst
- Keine Werbeauslieferung in der App — Werbeanzeigen gibt es ausschließlich auf dieser Website (siehe Abschnitt 3)
5. Empfänger und Drittanbieter
Folgende Dienste verarbeiten in unserem Auftrag oder als eigenständig Verantwortliche Daten:
| Anbieter | Zweck | Daten | Sitz |
|---|---|---|---|
| Keycloak (self-hosted) | Authentifizierung | Nutzerprofil, Tokens | Deutschland (eigener Server) |
| green.ingo API (self-hosted) | Kernfunktionalität (Bons, Karten, Transaktionen) | Bons, Karten, Transaktionen | Deutschland (eigener Server) |
| Google Firebase (FCM) | Push-Benachrichtigungen | Device Token, Plattform | Irland / USA |
| Apple APNs | Push-Weiterleitung (iOS) | Device Token | Irland / USA |
Für Übermittlungen in die USA stützen wir uns auf die Standardvertragsklauseln (SCC) sowie auf das EU-US Data Privacy Framework. Über alle anderen Übermittlungen oder Auftragsverarbeiter, die wir zukünftig hinzunehmen, informieren wir an dieser Stelle transparent.
6. Speicherdauer
Wir speichern deine Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist:
- Konto-Daten: solange du dein Konto bei uns hast.
- Belege und Transaktionsdaten: für die Dauer der vertraglichen Beziehung. Steuerrechtliche Aufbewahrungspflichten (§§ 147 AO, 257 HGB) bleiben hiervon unberührt — entsprechende Datensätze halten wir gesperrt für andere Zwecke.
- Server-Logs (Website): 14 Tage.
- OAuth-Tokens: bis zum Ablauf oder zum Logout.
- Push-Tokens: bis du Push deaktivierst oder die App deinstallierst.
7. Kontolöschung
Du kannst dein Konto jederzeit löschen — entweder direkt in der App oder über unser Support-Formular. Wir bestätigen die Löschung innerhalb eines Werktages.
Konkret passiert dabei zweierlei:
- Backend: Sämtliche Nutzerdaten (E-Mail, Name, User-ID, Profil) werden gelöscht. Bons und Kundenkarten werden vom Konto entkoppelt — sie werden nicht physisch entfernt, sondern anonymisiert (Nullify-Pattern), damit steuerrechtliche Aufbewahrungspflichten und die Verbindung zur Kundenkarte (z. B. für noch ausstehende Punkte/Guthaben) erhalten bleiben.
- Lokal auf deinem Gerät: Alle Hive-Boxen werden vollständig geleert. Tokens, Belege, Einstellungen — alles weg.
Eine reine Deinstallation der App ist kein Widerruf der Verarbeitung im Backend — bitte nutze dafür ausdrücklich die Löschfunktion oder schreib uns.
8. Deine Rechte als Betroffener
Du hast jederzeit folgende Rechte bezüglich deiner personenbezogenen Daten:
- Auskunft über die gespeicherten Daten (Art. 15 DSGVO)
- Berichtigung unrichtiger Daten (Art. 16 DSGVO)
- Löschung („Recht auf Vergessenwerden", Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
- Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO)
- Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
Wende dich für die Ausübung deiner Rechte formlos an green.ingo@akara-solutions.de. Wir antworten in der Regel innerhalb eines Werktages.
9. Widerspruchsrecht
Soweit wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, kannst du der Verarbeitung jederzeit widersprechen. Voraussetzung ist, dass Gründe vorliegen, die sich aus deiner besonderen Situation ergeben. Schicke deinen Widerspruch formlos an green.ingo@akara-solutions.de.
10. Beschwerderecht
Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung deiner Daten zu beschweren. Für uns sind folgende Behörden zuständig:
Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD)
Holstenstraße 98, 24103 Kiel
datenschutzzentrum.de
11. Sicherheit
Wir setzen technische und organisatorische Maßnahmen ein, um deine Daten gegen Verlust, Manipulation und unberechtigten Zugriff zu schützen. Die Übertragung erfolgt verschlüsselt per HTTPS/TLS, die App-eigene Hive-Datenbank wird auf dem Gerät verschlüsselt abgelegt. Unsere Server stehen ausschließlich in Deutschland.
12. Änderungen dieser Erklärung
Wir passen diese Datenschutzerklärung bei Änderungen der rechtlichen Rahmenbedingungen oder unseres Angebots an. Die jeweils aktuelle Fassung ist unter dieser Adresse abrufbar. Über wesentliche Änderungen informieren wir dich zusätzlich in der App.