BOXIA Datenschutzerklärung

Stand: 2026-10-20

Diese Datenschutzerklärung erläutert, welche personenbezogenen Daten BOXIA erhebt, wofür sie verarbeitet werden und welche Rechte Du hast. Sie folgt den Vorgaben der DSGVO sowie den Best-Practices von Apple, Stripe und Signal. Die Erklärung wird laufend an neue Funktionen und gesetzliche Anforderungen angepasst.

1. Wer ist verantwortlich

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO Art. 4 Nr. 7 ist:

Enes Saribal
Boxia
Domagkstr. 16
51063 Köln
Deutschland

E-Mail: info@boxia.app

Bei Fragen zum Datenschutz oder zur Geltendmachung Deiner Rechte (siehe §7) wende Dich bitte an die oben genannte E-Mail-Adresse.

2. Was BOXIA macht — und warum wir Daten brauchen

BOXIA ist eine iOS-App, die Verkaufsautomaten (Snack-, Drink-, Kaffee-Automaten etc.) auf einer Karte zeigt, mit Echtzeit-Bestand und Foto-Eindrücken. Du kannst:

• Automaten in Deiner Nähe finden
• Produkt-Barcodes scannen, um zu prüfen welcher Automat das Produkt führt
• Selber neue Automaten melden, mit Foto und Standort
• Bewertungen abgeben und Favoriten speichern

Damit das funktioniert, brauchen wir bestimmte Daten. Diese Erklärung sagt Dir transparent, welche, wofür und auf welcher rechtlichen Grundlage.

3. Welche Daten wir verarbeiten

3.1 Kontodaten (Authentifizierung)

Rechtsgrundlage: Art. 6 (1) (b) DSGVO (Vertragserfüllung — Bereitstellung des App-Services).

Hinweis zu Anonymous Auth: Wenn Du BOXIA ohne Account nutzt, erhalten wir nur eine technische Pseudonymisierungs-ID (Firebase Anonymous-UID). Diese ist NICHT mit Deiner Identität verknüpft. Beim späteren Sign-In kannst Du Deine bisherigen Favoriten/Beiträge zu einem Account migrieren.

3.2 Standortdaten

Rechtsgrundlage: Art. 6 (1) (a) DSGVO (Deine ausdrückliche Einwilligung) — Du gewährst die Standort-Berechtigung in iOS via Standard-Permission-Dialog. Du kannst die Berechtigung jederzeit in den iOS-Einstellungen widerrufen.

Speicherdauer: Standort wird nicht persistent gespeichert. Wir verwenden ihn nur für die aktuelle Sitzung, um die Karte zu zentrieren und Automaten in der Nähe abzufragen. Ausnahme: Bei einer Submission speichern wir die Standort-Koordinaten des Automaten dauerhaft (gehört zur Submission-Beschreibung) — aber nicht Deine Position zum Zeitpunkt der Submission.

3.3 Foto-Uploads

Rechtsgrundlage: Art. 6 (1) (b) DSGVO (Vertragserfüllung — Submission-Service).

Wichtige Hinweise:

• Wir entfernen automatisch EXIF-Metadaten (insbesondere GPS-Koordinaten und Aufnahmezeit) aus Deinen Fotos vor der Speicherung.
• Bevor Du senden kannst, kannst Du das Foto noch ändern oder verwerfen.
• Submissions durchlaufen einen Moderations-Prozess durch BOXIA-Staff vor Veröffentlichung.

3.4 KI-Foto-Analyse (Vertex AI Gemini 2.5 Flash)

Wenn Du einen Automaten meldest, schicken wir Dein Foto an Vertex AI Gemini 2.5 Flash (Google Cloud, Region europe-west3 in Frankfurt) zur automatischen Klassifikation.

Was die KI macht:

• Erkennt den Automaten-Typ (Snack/Drink/Kaffee/Combo/etc.)
• Schlägt erwartete Produkt-Kategorien vor
• Liest sichtbare Marken-Hinweise

Was die KI NICHT macht:

• Keine automatische Veröffentlichung. Die KI füllt nur Dein Submission-Formular vor — Du bestätigst manuell, was korrekt ist.
• Keine Personen-Erkennung. Wir verwerfen explizit Fotos auf denen Personen klar identifizierbar sind (siehe §4.5 KI-Pre-Filter).
• Keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO.

Wo die Daten verarbeitet werden:

• Vertex AI Gemini 2.5 Flash Service in der EU-Region europe-west3 (Frankfurt, Deutschland)
• Die Foto-Daten verlassen die EU NICHT für die Analyse
• Nach der Analyse werden die Eingabe-Tokens (= Dein Foto) gemäß Google's Vertex-AI-Data-Governance-Policy nicht für Modell-Training verwendet und nach 24 Stunden gelöscht

Rechtsgrundlage: Art. 6 (1) (b) DSGVO (Vertragserfüllung — Komfort-Funktion zur Submission-Vorbefüllung) + Art. 6 (1) (f) (berechtigtes Interesse — schnellere und korrektere Submissions).

Du kannst die KI-Analyse umgehen, indem Du Dein Submission-Formular manuell ausfüllst — die KI ist eine Komfort-Funktion, kein Pflicht-Element.

3.5 Beiträge (UGC — User Generated Content)

Rechtsgrundlage: Art. 6 (1) (b) DSGVO (Vertragserfüllung).

Veröffentlichung: Submissions und Bewertungen werden nach Moderations-Prüfung allen anderen App-User:innen angezeigt. Dein Username erscheint nicht dabei — UGC ist anonymisiert sichtbar.

3.6 Technische Daten

Rechtsgrundlage: Art. 6 (1) (f) DSGVO (berechtigtes Interesse — App-Stabilität und Bot-Schutz).

Crashlytics: Wir nutzen Firebase Crashlytics von Google. Crash-Reports sind anonymisiert und enthalten keine persönlichen Daten oder UGC.

Performance Monitoring: Wir nutzen Firebase Performance Monitoring von Google, um langsame Bildschirme und Backend-Aufrufe zu erkennen. Erhoben werden Zeitmessungen (App-Start, Render-Dauer, Netzwerk-Antwortzeiten) zusammen mit einer Firebase-Installations-ID. Diese Daten enthalten keine Inhalte Deiner Nutzung und kein UGC.

3.7 Nutzungszähler für Automaten-Betreiber

Betreiber sehen in BOXIA Connect, wie oft ihre Automaten gefragt sind. Dafür zählt die App fünf Ereignisse: wenn Du einen Automaten öffnest, wenn er in Deiner Suche erscheint, wenn Du Dir eine Route dorthin anzeigen lässt, wenn ein geteilter Link auf ihn die App öffnet und wenn Du den QR-Code am Automaten scannst.

• Was gespeichert wird: nur Tageszähler pro Automat (z. B. „12 Aufrufe am 15. Oktober"). Betreiber sehen ausschließlich diese Summen, nie einzelne Personen.
• Einmal pro Person und Tag: Damit niemand die Zahlen aufbläht, zählt jede Person pro Automat, Tag und Ereignis nur einmal. Dazu speichern wir einen nicht umkehrbaren Hash-Wert aus Nutzer-ID, Automat, Tag und Ereignis — nicht die Nutzer-ID selbst. Der Hash-Wert wird nach 2 Tagen automatisch gelöscht.
• Kein Profil, kein Tracking: Die Zähler werden nicht mit Deinem Konto verknüpft und nicht für Werbung genutzt.

Rechtsgrundlage: Art. 6 (1) (f) DSGVO (berechtigtes Interesse — Betreiber erfahren, ob sich ihr Angebot lohnt; nur zusammengefasste Zahlen).

3.8 Website boxia.app

Wenn Du unsere Website boxia.app besuchst (ohne App), verarbeiten wir nur Folgendes:

• Server-Protokolle: Beim Abruf jeder Seite verarbeitet unser Hoster (Google Cloud, Region europe-west4) technisch notwendige Daten wie IP-Adresse, Zeitpunkt, aufgerufene Adresse und Browser-Kennung, um die Seite auszuliefern und vor Missbrauch zu schützen. Diese Protokolle werden nach spätestens 30 Tagen gelöscht.
• Sprach-Cookie: Nur wenn Du die Sprache selbst umstellst, speichern wir Deine Wahl in einem Cookie (boxia-apex-locale), damit die Seite in Deiner Sprache bleibt. Es ist für diese von Dir gewünschte Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und enthält nur den Sprachcode.
• Reichweitenmessung mit Umami: Um zu verstehen, wie unsere Website genutzt wird, zählen wir Seitenaufrufe und wenige Klicks (z. B. „Beta-Zugang anfragen", „Bald im App Store", Sprachwechsel) sowie Ladezeiten der Seite. Dafür nutzen wir Umami Cloud. Umami setzt keine Cookies, speichert keine IP-Adressen und erstellt keine Profile; die Daten lassen sich nicht Dir als Person zuordnen. Erfasst werden: aufgerufene Seite, Herkunftsseite, Browser, Betriebssystem, Gerätetyp, Bildschirmgröße, Sprache und Land (aus der IP-Adresse abgeleitet, die danach verworfen wird). Hast Du in Deinem Browser „Do Not Track" aktiviert, findet keine Messung statt. Auf den Automaten-Seiten boxia.app/m/… messen wir nicht.

Rechtsgrundlage: Art. 6 (1) (f) DSGVO (berechtigtes Interesse — sichere Auslieferung der Website und Verbesserung unseres Angebots anhand zusammengefasster Zahlen). Da Umami weder Cookies setzt noch auf Deinem Gerät gespeicherte Informationen nutzt, ist keine Einwilligung nach § 25 TDDDG erforderlich.

4. Wer Zugriff hat — Empfänger der Daten

4.1 Google Firebase / Google Cloud (USA, EU-Hosting)

BOXIA nutzt Firebase als Backend-Plattform:

• Firebase Authentication — Account-Management (USA + EU-Hosting konfigurierbar)
• Cloud Firestore — Datenbank (Hosting in EU-Region europe-west3)
• Firebase Cloud Storage — Foto-Speicher (Hosting in EU-Region europe-west3)
• Cloud Functions — Backend-Logik (Hosting in EU-Region europe-west3)
• Firebase App Check — Bot-Schutz (USA-basiert, keine PII)
• Firebase Crashlytics — Crash-Reporting (USA-basiert, anonymisiert)
• Firebase Performance Monitoring — Performance-Messung (USA-basiert, keine Inhaltsdaten)
• Firebase Cloud Messaging — Zustellung von Mitteilungen, wenn Du sie eingeschaltet hast (USA-basiert, siehe §11)
• Vertex AI — KI-Foto-Analyse (Hosting in EU-Region europe-west3)

Auftragsverarbeitungs-Vertrag (AVV): Mit Google ist der GCP-Standard-AVV (Google Cloud Data Processing Addendum) abgeschlossen. Standardvertragsklauseln gemäß Art. 46 DSGVO sind aktiv für Drittland-Übermittlungen.

Rechtsgrundlage: Art. 28 DSGVO (Auftragsverarbeitung).

4.2 Apple (USA)

Wenn Du Sign-in with Apple nutzt, erhält Apple Informationen über Dein Apple-ID-Login (Pseudonym, keine Email an uns wenn Du „Hide my Email" aktivierst).

Wenn Du Mitteilungen einschaltest, stellt Apple sie über seinen Push-Dienst (APNs) auf Dein Gerät zu (siehe §11).

Rechtsgrundlage: Art. 6 (1) (a) DSGVO (Deine Einwilligung beim Sign-in-Dialog bzw. beim Einschalten der Mitteilungen). Apple's Datenschutz-Praxis: https://www.apple.com/legal/privacy/.

4.3 Cloudflare (USA, EU-Hosting via Cloudflare-Edge)

Wenn Du das Web-Portal connect.boxia.app (BOXIA Connect) im Browser aufrufst, wird zur Absicherung gegen Bot-/Spam-Zugriffe Cloudflare Turnstile als App-Check-Provider eingesetzt. Cloudflare erhält dabei:

• Browser-/Device-Tokens (Privacy-preserving Attestation, kein User-Login)
• IP-Adresse (für die Token-Ausstellung, nicht persistent gespeichert)

Cloudflare nutzt diese Daten ausschließlich zur Echtheits-Verifikation und nicht für Tracking, Profiling oder Werbung. Turnstile ist Cookies- und CAPTCHA-frei (kein Re-Identifikations-Risiko über Sessions hinweg).

Auftragsverarbeitungs-Vertrag (AVV): Mit Cloudflare ist der Cloudflare-DPA (Data Processing Addendum) abgeschlossen. Standardvertragsklauseln gemäß Art. 46 DSGVO sind aktiv für Drittland-Übermittlungen. Cloudflare-Edge-Verarbeitung erfolgt in der EU.

Rechtsgrundlage: Art. 6 (1) (f) DSGVO (berechtigtes Interesse — Schutz vor Bot-/Spam-Zugriffen auf das Operator-Portal) + Art. 28 DSGVO (Auftragsverarbeitung).

Hinweis: Die iOS-App nutzt Apple App Attest als App-Check-Provider (Apple-natives Verfahren ohne Cloudflare-Beteiligung). Cloudflare wird ausschließlich im Web-Browser-Kontext eingesetzt.

Cloudflare's Datenschutz-Praxis: https://www.cloudflare.com/privacypolicy/.

4.4 Keine Werbe-Tracker, kein Profiling

Die BOXIA-App enthält keine Werbe-Tracker, kein App Tracking Transparency (ATT) Framework, keine Drittanbieter-Analytics, keine Cookies und kein Cross-App-Profiling. Dein Verhalten in der App wird nicht für Marketing-Zwecke ausgewertet. Auf der Website boxia.app zählen wir Aufrufe cookielos mit Umami (siehe 3.8 und 4.5), ebenfalls ohne Werbung und ohne Profile.

4.5 Umami (Reichweitenmessung der Website, Speicherung in der EU)

Für die Reichweitenmessung auf boxia.app (siehe 3.8) nutzen wir Umami Cloud der Umami Software, Inc. (USA). Unser Konto liegt in der EU-Region; dort werden die Messdaten gespeichert. Umami erhält beim Seitenaufruf Deine IP-Adresse nur zur Ableitung des Landes und legt sie nicht in den Messdaten ab. An der Auslieferung beteiligte Dienstleister von Umami (u. a. Cloudflare, Vercel) können Daten dabei auch in den USA verarbeiten; die aktuelle Liste: umami.is/subprocessors.

Auftragsverarbeitungs-Vertrag (AVV): Mit Umami besteht ein AVV nach Art. 28 DSGVO (umami.is/dpa). Für Übermittlungen in die USA gelten die darin vereinbarten EU-Standardvertragsklauseln gemäß Art. 46 DSGVO.

Rechtsgrundlage: Art. 6 (1) (f) DSGVO + Art. 28 DSGVO (Auftragsverarbeitung). Umamis Datenschutz-Praxis: https://umami.is/privacy.

5. Wie lange wir Deine Daten speichern

6. Account-Löschung

Du kannst jederzeit Dein Konto löschen via Profil → Konto löschen. Dabei passiert Folgendes:

6.1 Was komplett gelöscht wird

• Dein Firebase-Auth-Eintrag (Du kannst Dich nicht mehr einloggen)
• Dein Profil-Datensatz (/users/{uid})
• Alle Deine privaten Subcollections (Hydration-Logs, Pending-Email-State)
• Alle Deine Foto-Uploads in Storage unter users/{uid}/
• Pending oder rejected Submissions (= Submissions die nicht öffentlich wurden)
• Alle Deine Bewertungen von Automaten
• Alle von Dir gemeldeten Fotos (die Meldung selbst, nicht das gemeldete Foto)

6.2 Was als anonymisierter Beitrag erhalten bleibt

Approved Submissions (= bereits öffentlich auf der Map sichtbare Automaten-Meldungen) bleiben anonymisiert in der Datenbank:

• Die Verknüpfung zu Deiner Identität wird gekappt (Deine UID wird durch einen Sentinel-Wert "deleted" ersetzt)
• EXIF-Metadaten der Fotos werden komplett entfernt (waren bereits beim Upload geschehen)
• Inhaltlich bleibt der Beitrag (Standort, Typ, Foto) für andere User sichtbar

Dasselbe gilt für Problem-Meldungen zu Automaten und Erstattungsanfragen: Das Dokument bleibt erhalten, Deine Kennung wird durch "deleted" ersetzt. Eine Meldung über einen defekten Automaten soll nicht dadurch verschwinden, dass der Melder sein Konto löscht — und Betreiber brauchen den Beleg zu einer Erstattungsanfrage.

Warum: UGC-Beiträge die anderen User helfen (z.B. „Hier ist ein Automat") sollen nicht durch Account-Löschungen vernichtet werden — entspricht der Praxis von Google Maps, Yelp, Reddit, Wikipedia und TripAdvisor.

Rechtsgrundlage: Art. 17 (3) (d) DSGVO (Verarbeitung für im öffentlichen Interesse liegende Aufgaben — anonymisierte UGC-Aufbewahrung) + DSGVO Erwägungsgrund 26 (anonymisierte Daten fallen nicht unter den Schutzbereich).

6.3 Was vollständig gelöscht wird auf Wunsch

Wenn Du auch Deine approved Submissions vollständig gelöscht haben möchtest (nicht nur anonymisiert), kontaktiere uns bitte unter info@boxia.app mit einer entsprechenden Anfrage. Wir bearbeiten solche Anfragen innerhalb von 30 Tagen gemäß Art. 17 (1) DSGVO.

7. Deine Rechte

Du hast die folgenden DSGVO-Rechte gegenüber uns:

Antwortzeit: Wir bestätigen den Eingang innerhalb von 1 Woche und bearbeiten innerhalb von 30 Tagen (Art. 12 (3) DSGVO).

8. Beschwerderecht bei der Aufsichtsbehörde

Du hast das Recht, Dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig für den Verantwortlichen (Sitz in Köln, Nordrhein-Westfalen) ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit
Nordrhein-Westfalen (LDI NRW)
Kavalleriestr. 2–4
40213 Düsseldorf
Telefon: 0211 38424-0
E-Mail: poststelle@ldi.nrw.de
Web: https://www.ldi.nrw.de

Eine vollständige Übersicht der deutschen Datenschutz-Aufsichtsbehörden findest Du auf der Seite des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI): https://www.bfdi.bund.de.

9. Sicherheit Deiner Daten

Wir setzen technische und organisatorische Maßnahmen um, um Deine Daten zu schützen:

• Verschlüsselung in Transit: Alle Verbindungen zu unseren Servern erfolgen über HTTPS (TLS 1.3)
• Verschlüsselung at Rest: Alle in Firebase / Google Cloud gespeicherten Daten sind serverseitig verschlüsselt (AES-256)
• App Check: Wir verifizieren die Authentizität der App-Calls über Apple App Attest (iOS-App) bzw. Cloudflare Turnstile (Web-Portal connect.boxia.app), um Bot-Zugriffe zu unterbinden. Details zu Cloudflare als Auftragsverarbeiter siehe §4.3.
• Security Rules: Firestore-Datenbank-Zugriffe sind durch deklarative Security Rules abgesichert — User können nur ihre eigenen Daten lesen/schreiben (außer bei explizit öffentlichen Inhalten wie approved Submissions)
• Cloud-Function-Audit: Sensitive Operationen (Account-Löschung, Inventory-Updates) laufen über Cloud Functions mit Audit-Trail

Trotz aller Sorgfalt ist das Internet kein 100% sicheres Medium. Bei Verdacht auf Account-Kompromittierung kontaktiere uns sofort.

10. Kinder- und Jugendschutz

BOXIA richtet sich an Personen ab 16 Jahren (Art. 8 (1) DSGVO). Wenn Du unter 16 bist, brauchst Du die Einwilligung Deiner Erziehungsberechtigten zur Nutzung. Wir prüfen das Alter nicht aktiv beim Account-Anlegen.

Falls wir Kenntnis erhalten, dass ein Account von einer Person unter 16 Jahren ohne Einwilligung der Erziehungsberechtigten erstellt wurde, löschen wir den Account.

11. Mitteilungen (Push-Notifications)

BOXIA kann Dir Mitteilungen auf Dein iPhone schicken. Es gibt vier Kategorien, die Du einzeln ein- und ausschalten kannst:

• Wieder befüllt: Ein Favorit von Dir wurde nachgefüllt.
• Favoriten-Status: Ein Favorit von Dir ist wieder in Betrieb.
• Deine Meldungen: Bescheid, ob ein von Dir gemeldeter Automat bestätigt oder abgelehnt wurde.
• Neuigkeiten: allgemeine Neuigkeiten zu BOXIA.

So funktioniert der Versand: Mit Deiner Zustimmung meldet sich die App beim Push-Dienst von Apple (APNs) und bei Firebase Cloud Messaging (Google) an und abonniert die gewählten Kategorien. Bei den persönlichen Kategorien enthält der Abo-Name Deine pseudonyme Nutzer-ID (zum Beispiel „user-…-restock"), damit die Mitteilung nur Dich erreicht. Die Geräte-Kennung für Mitteilungen (Push-Token) verwalten Apple und Google; BOXIA speichert sie nicht in seiner Datenbank.

Was wir speichern: Bei angemeldeten Konten pro Kategorie, ob sie eingeschaltet ist, damit die Einstellung auf Deinen Geräten gleich ist. Ohne Anmeldung liegt diese Einstellung nur auf Deinem Gerät. Die Einstellungen werden mit Deinem Konto gelöscht.

Rechtsgrundlage: Art. 6 (1) (a) DSGVO (Deine Einwilligung über den iOS-Dialog und den Schalter pro Kategorie).

Widerruf: Jederzeit pro Kategorie in der App (Profil → Mitteilungen) oder vollständig in den iOS-Einstellungen. Beim Ausschalten beendet die App das jeweilige Abo.

12. Änderungen dieser Datenschutzerklärung

Wir können diese Erklärung anpassen, wenn sich Funktionen ändern oder rechtliche Anforderungen es verlangen.

• Geringfügige Änderungen (z.B. neue Empfänger-Adressen, Klarstellungen) treten ohne separate Benachrichtigung in Kraft; das Stand-Datum oben zeigt, wann die Erklärung zuletzt geändert wurde
• Wesentliche Änderungen (neue Datenarten, neue Zwecke, neue Empfänger) werden Dir vor In-Kraft-Treten in der App angezeigt — bei Bedarf bitten wir Dich um neue Einwilligung

Aktueller Stand: 2026-10-20

13. Kontakt

Bei Fragen, Anliegen oder Datenschutz-Anfragen wende Dich an:

BOXIA
Domagkstr. 16
51063 Köln
Deutschland

E-Mail: info@boxia.app

Wir antworten innerhalb von 1 Woche und bearbeiten Datenschutz-Anfragen gemäß DSGVO innerhalb von 30 Tagen.

Siehe auch das Impressum (§ 5 DDG).