Datenschutzerklärung

Diese Datenschutzerklärung informiert Sie über die Verarbeitung Ihrer personenbezogenen Daten bei der Nutzung der VENDi^® Hub-App (Android und iOS, im Folgenden „App“), der zugehörigen Server-Dienste sowie der Website www.vendi-hub.com (im Folgenden „Website“). Die App richtet sich ausschließlich an gewerbliche Betreiberinnen und Betreiber von Verkaufsautomaten („Nutzer“, „Sie“), die damit ihre Automaten, Produkte und Kundenanfragen verwalten.

Die Datenverarbeitung erfolgt im Einklang mit der Datenschutz-Grundverordnung (DSGVO), dem Bundesdatenschutzgesetz (BDSG) und dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG).

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

RS Vending UG (haftungsbeschränkt)
Schönbergweg 38
79283 Bollschweil
Deutschland

Vertretungsberechtigter Geschäftsführer: Leon Riesterer
Registergericht: Amtsgericht Freiburg im Breisgau
Handelsregisternummer: HRB 733392
Umsatzsteuer-Identifikationsnummer: DE455530556

E-Mail: support@vendi-hub.com

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nach § 38 BDSG für RS Vending UG nicht erforderlich, da die gesetzlichen Voraussetzungen (in der Regel mindestens 20 ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigte Personen) nicht erfüllt sind. Anfragen zum Datenschutz richten Sie bitte an support@vendi-hub.com oder an die unter Ziffer 1 genannte Anschrift.

3. Das Wichtigste in Kürze

• Unsere Datenbank und unsere Server-Dienste laufen in Frankfurt am Main.
• Wir verkaufen keine Daten, binden kein Werbenetzwerk ein und nutzen keine Werbe-ID. In der App zeigen wir Ihnen eigene Produktempfehlungen, die nicht auf Ihrem Verhalten beruhen.
• Werbe-E-Mailserhalten Sie nur, wenn Sie das ausdrücklich eingeschaltet haben. Sie können das jederzeit unter Einstellungen › Analyse & Verbesserung widerrufen.
• Nutzungsanalyse und Sitzungsaufzeichnunglaufen nur, wenn Sie ausdrücklich zustimmen. Sie können das jederzeit unter Einstellungen › Analyse & Verbesserung ändern.
• Für das Anlegen von Produkten setzen wir KI-Dienste ein. Produktfotos sollten deshalb keine Personen zeigen.
• Produkte, die Sie anlegen, werden Teil eines gemeinsamen VENDi^®-Produktkatalogs, den alle Betreiber nutzen. Ihr Firmenname wird dabei anderen Betreibern nicht angezeigt.
• Einige Dienstleister sitzen in den USA. Wir übermitteln Daten dorthin nur mit den in Ziffer 4.3 beschriebenen Garantien.

Die Erklärung verwendet die Begriffe der DSGVO (Art. 4 DSGVO). „Personenbezogene Daten“ sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

4. Allgemeine Hinweise

4.1 Hosting und Datenstandort

Backend-Dienst ist Supabase (siehe Ziffer 9.1). Datenbank, Anmeldesystem, Dateispeicher und Server-Funktionen werden in der Region eu-central-1 (Frankfurt am Main, Deutschland) betrieben. Die App erreicht diese Dienste über unsere eigene Adresse auth.vendi-platform.com, die auf Supabase weiterleitet. Die Website wird bei Railway betrieben (siehe Ziffer 8.1).

4.2 Verschlüsselung und Zugriffsschutz

Alle Verbindungen zwischen App, Website, Backend und Dienstleistern sind TLS-verschlüsselt (HTTPS). Passwörter speichern wir ausschließlich als Hash. Geheime Schlüssel liegen nur auf dem Server. Datenbankzugriffe sind technisch auf die Daten Ihrer eigenen Firma beschränkt (Row-Level Security).

4.3 Übermittlung in Drittländer

Einige Dienstleister haben ihren Sitz in den USA oder greifen von dort auf Daten zu. Eine Übermittlung erfolgt nur, wenn der Empfänger nach dem EU-US Data Privacy Framework zertifiziert ist (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023) oder wenn Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914) vereinbart sind. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss. Die jeweilige Grundlage nennen wir bei den einzelnen Dienstleistern in Ziffer 9.

4.4 Keine automatisierte Entscheidung über Personen

Eine automatisierte Entscheidung im Einzelfall einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. KI-Dienste nutzen wir ausschließlich, um Produkte zu erkennen, zu beschreiben und abzubilden. Neu angelegte Produkte durchlaufen außerdem eine automatische Freigabeprüfung (siehe Ziffer 6.5.6). Diese Prüfung betrifft Produkte, nicht Personen. Wird ein Produkt gesperrt, sehen Sie den Grund in der App und können sich an unseren Support wenden.

5. Datenverarbeitungen im Überblick

Die Einzelheiten beschreiben wir in den folgenden Abschnitten.

6. Verarbeitungen in der App

6.1 Konto und Anmeldung

6.1.1 Registrierung per E-Mail-Adresse

Bei der Registrierung verarbeiten wir:

• E-Mail-Adresse und Passwort (nur als Hash gespeichert)
• Vor- und Nachname der Ansprechperson
• Firmenname (Pflichtangabe, VENDi^® Hub steht nur Unternehmen offen)
• Postanschrift (für den QR-Sticker-Versand und für Rechnungen)
• Creator-Code eines anderen Betreibers (optional, siehe Ziffer 6.11)
• Zeitpunkt der Zustimmung zu AGB und Kenntnisnahme dieser Datenschutzerklärung (Nachweis nach Art. 7 (1) DSGVO)
• Kundennummer (automatisch vergeben, Format H<JJ><MM><NNNNN>)

Anschließend senden wir Ihnen einen sechsstelligen Bestätigungscode per E-Mail (siehe Ziffer 6.12). Mit der Registrierung legen wir einen Datensatz für Ihre Firma an.

Rechtsgrundlage: Art. 6 (1) lit. b DSGVO (Anbahnung und Durchführung des Nutzungsvertrags).

6.1.2 Anmeldung mit Google oder Apple

Alternativ können Sie sich mit Ihrem Google- oder Apple-Konto anmelden. Vorher weisen wir Sie auf AGB und diese Datenschutzerklärung hin. Die Anmeldung bei Google erfolgt auf einer Seite von Google im Browser, die Anmeldung bei Apple über den Anmeldedialog Ihres Geräts. Google bzw. Apple verarbeiten dabei Ihre Kontodaten in eigener Verantwortung.

Nach erfolgreicher Anmeldung erhalten wir:

• eine eindeutige Kennung Ihres Kontos beim Anbieter
• Ihre E-Mail-Adresse (bei Apple ggf. eine anonyme Weiterleitungsadresse @privaterelay.appleid.com)
• Ihren Namen, sofern der Anbieter ihn übermittelt (Google in der Regel ja, Apple an uns nicht)

Da Firmenname, Name und Anschrift für Rechnungen und den Sticker-Versand erforderlich sind, fragt die App diese Angaben nach der ersten Anmeldung in einem Pflichtdialog ab.

Rechtsgrundlage: Art. 6 (1) lit. b DSGVO. Drittland: Google LLC und Apple Inc. (USA), beide nach dem EU-US Data Privacy Framework zertifiziert.

6.1.3 Schutz vor Missbrauch

Bei Registrierung, Anmeldung, Passwort-Zurücksetzen und erneutem Code-Versand prüfen wir:

• Cloudflare Turnstile: ein unsichtbares Captcha, das Bots erkennt. Cloudflare verarbeitet dafür Ihre IP-Adresse und technische Merkmale des Geräts bzw. der Anwendung.
• Begrenzung der Versuche: Wir speichern einen SHA-256-Hash der eingegebenen E-Mail-Adresse zusammen mit der versuchten Aktion und dem Zeitpunkt. Die E-Mail-Adresse selbst wird dafür nicht gespeichert. Die Einträge werden spätestens nach 24 Stunden gelöscht. Zusätzlich begrenzt die App Versuche lokal auf dem Gerät.

Rechtsgrundlage: Art. 6 (1) lit. f DSGVO. Unser berechtigtes Interesse ist die Abwehr von Brute-Force-Angriffen, automatisierten Registrierungen und Kontomissbrauch.

6.2 Profil und Firma

In den Einstellungen können Sie:

• Name, Firmenname und Anschrift ändern. Die Anschrift prüfen wir auf Vollständigkeit, indem wir den eingegebenen Text an OpenStreetMap Nominatim senden (siehe Ziffer 6.17).
• ein Firmenlogo hochladen (optional). Das Bild wird vor dem Hochladen auf höchstens 512 × 512 Pixel verkleinert, und alle Bild-Metadaten (insbesondere GPS-Koordinaten) werden entfernt. Das Logo ist über eine öffentliche Adresse abrufbar und wird im Hub, in der Endkunden-App VENDi^® und auf den Support-Seiten Ihrer Automaten angezeigt.
• Sprache, Push-Benachrichtigungen und Ihre Einwilligung zur Analyse (siehe Ziffern 6.15 und 6.16) verwalten.

Bitte laden Sie als Logo keine Bilder mit erkennbaren Personen hoch, sofern Ihnen dafür keine Einwilligung vorliegt.

Rechtsgrundlage: Art. 6 (1) lit. b DSGVO.

6.3 Automaten-Verwaltung

Beim Anlegen eines Automaten erfassen wir:

• Standortname (höchstens 33 Zeichen) und optional eine Beschreibung des Standorts
• Adresse (Straße, Hausnummer, PLZ, Ort). Zur Prüfung senden wir den eingegebenen Text an OpenStreetMap Nominatim.
• Koordinaten, die Sie über den Kartenpin festlegen
• Gerätetyp (Waren- oder Zigarettenautomat)
• Hersteller und Modell sowie die Ausstattung (Münzannahme, Scheinannahme, Terminal, Altersverifikation mit jeweiligem Anbieter), ausgewählt aus unserem Gerätekatalog
• Öffnungszeiten (rund um die Uhr oder getrennt für Montag bis Freitag und Wochenende)

Standort Ihres Geräts: Wenn Sie beim Anlegen den Standort-Schritt öffnen oder im Automaten-Detail auf „Mein Standort“ tippen, fragt die App nach der Standortberechtigung und ermittelt einmalig Ihre aktuelle Position, um die Karte dorthin zu verschieben. Es findet keine fortlaufende Ortung und keine Ortung im Hintergrund statt. Gespeichert wird nur die Pin-Position, die Sie bestätigen.

Fehlender Katalogeintrag: Fehlt ein Hersteller, Modell oder Bauteil in unserem Katalog, können Sie ihn beantragen. Wir speichern dazu die beantragten Bezeichnungen, eine optionale Anmerkung, Ihre Firma und Ihr Nutzerkonto und senden den Antrag per E-Mail an unseren Support, damit wir Ihnen antworten können. Nach Prüfung nehmen wir den Eintrag ohne personenbezogene Angaben in den gemeinsamen Katalog auf.

Sichtbarkeit: Ist ein Automat als „Sichtbar in VENDi^®“ eingestellt, zeigen wir Standortname, Adresse, Koordinaten, Gerätetyp, Ausstattung, Öffnungszeiten, Sortiment mit Preisen sowie Firmenname und Logo öffentlich in der Endkunden-App VENDi^® und auf der Support-Seite des Automaten an.

Kündigung: Kündigen Sie einen Automaten, bleibt er bis zum Ende der bezahlten Laufzeit sichtbar. Danach blenden wir ihn aus, und der QR-Code ist nicht mehr aktiv. 30 Tage nach Ende der Laufzeit löschen wir den Automaten mit Sortiment, Support-Anfragen und Interaktionsstatistiken endgültig.

Rechtsgrundlage: Art. 6 (1) lit. b DSGVO (Vertragsleistung, einschließlich der Darstellung Ihrer Automaten im VENDi^®-Ökosystem).

6.4 QR-Sticker-Versand

Für jeden gebuchten Automaten erzeugen wir einen QR-Code, der auf die Support-Seite des Automaten verweist. Damit wir Ihnen den Sticker zusenden können, geht eine interne Bestellung per E-Mail an unser Versandteam. Sie enthält Ihren Namen, Firmennamen, die Lieferanschrift, den Standortnamen und die Kennung des Automaten. Den Sticker versenden wir per Post, dafür erhält der Postdienstleister Name und Anschrift. Sie können einen Sticker in der App nachbestellen.

Rechtsgrundlage: Art. 6 (1) lit. b DSGVO.

6.5 Produkte anlegen und Produktkatalog

6.5.1 Barcode scannen

Für den Barcode-Scan nutzt die App die Kamera oder ein Foto aus Ihrer Mediathek. Die Erkennung läuft auf dem Gerät. Wir erhalten nur den erkannten Code, kein Kamerabild. Auf Android nutzt die Erkennung Google ML Kit; Google erhält dabei technische Nutzungs- und Leistungsdaten der Funktion (zum Beispiel Gerätemodell, Betriebssystem- und App-Version, Fehlercodes), aber keine Bilder.

6.5.2 Produkt mit Barcode anlegen

Ist ein Barcode noch unbekannt, fotografieren Sie die Vorderseite und optional die Nährwerttabelle. Die Fotos werden verarbeitet von:

• OpenAI (Modell GPT-4o): Erkennung von Produktname, Marke, Verpackung, Kategorie und Nährwerten
• Google Gemini: Erzeugung eines einheitlichen Katalogbilds des Produkts

Das Originalfoto der Vorderseite und das Katalogbild speichern wir im Dateispeicher. Beide sind über eine öffentliche Adresse abrufbar. Kann kein Katalogbild erzeugt werden, legen wir das Produkt nicht an.

6.5.3 Produkt ohne Barcode anlegen

Für Produkte ohne Barcode (zum Beispiel lose Ware) genügt ein Foto aus der Kamera oder Mediathek. Das Foto wird vor dem Hochladen verkleinert, und Bild-Metadaten wie GPS-Koordinaten werden entfernt. OpenAI (GPT-4o) ermittelt daraus Produktname und Kategorie, Google Gemini erzeugt das Katalogbild. Ändern Sie den vorgeschlagenen Namen, prüft OpenAI (GPT-4o mini) den neuen Namen auf Plausibilität und unzulässige Begriffe.

6.5.4 Wiedererkennung bereits angelegter Produkte

Damit dasselbe Produkt nicht mehrfach angelegt wird, erstellen wir aus dem Originalfoto jedes Produkts einen Produkt-Steckbrief: eine Beschreibung sichtbarer Merkmale (etwa Form, Farben, lesbare Aufschriften) durch OpenAI (GPT-4o) sowie daraus berechnete Zahlenwerte (Vektoren) durch OpenAI und Google Gemini. Fotografieren Sie ein Produkt ohne Barcode, vergleichen wir es mit diesen Steckbriefen und lassen OpenAI das Foto mit den Fotos von bis zu drei ähnlichen Produkten abgleichen. Das Foto für diesen Abgleich speichern wir nicht, solange Sie daraus kein neues Produkt anlegen.

6.5.5 Freistellung des Katalogbilds

Um das Katalogbild vom Hintergrund zu lösen, senden wir das von der KI erzeugte Katalogbild (nicht Ihr Originalfoto) an remove.bg (Canva Austria GmbH).

6.5.6 Freigabeprüfung

Jedes neue Produkt wird automatisch geprüft: Gibt es ein Katalogbild, ist es korrekt freigestellt, und existiert das Produkt bereits? Bis zur Freigabe sieht nur Ihre Firma das Produkt. Sie können es in dieser Zeit bereits Ihren Automaten zuordnen.

6.5.7 Gemeinsamer Produktkatalog

Freigegebene Produkte werden Teil des gemeinsamen VENDi^®-Produktkatalogs. Name, Marke, Kategorie, Barcode, Beschreibung, Nährwerte und Katalogbilder sind dann für alle Betreiber in der Produktsuche sichtbar und in der Endkunden-App VENDi^® abrufbar. Ihr Originalfoto dient dem Abgleich nach Ziffer 6.5.4. Dass Ihre Firma ein Produkt angelegt hat, speichern wir intern; anderen Betreibern zeigen wir das nicht. Nach der Löschung Ihres Kontos bleiben die Produkte ohne Bezug zu Ihrer Firma im Katalog.

Bitte fotografieren Sie keine Personen, Ausweise oder sonstigen persönlichen Unterlagen. Ist das versehentlich geschehen, schreiben Sie uns, und wir entfernen das Foto.

Rechtsgrundlage: Art. 6 (1) lit. b DSGVO für das Anlegen und Verwalten Ihrer Produkte; Art. 6 (1) lit. f DSGVO für den gemeinsamen Katalog und die Wiedererkennung. Unser berechtigtes Interesse ist ein vollständiger Katalog ohne doppelte Einträge.

KI-Dienstleister: OpenAI und Google verwenden die über die jeweilige Programmierschnittstelle übermittelten Inhalte nach ihren Vertragsbedingungen nicht zum Training ihrer Modelle. Einzelheiten und Drittland-Garantien in Ziffer 9.

6.6 Sortiment und Preise

Sie können Produkte Ihren Automaten zuordnen und dabei Endpreis, Pfand sowie gegebenenfalls Menge und Verkaufseinheit festlegen und einzelne Produkte ausblenden. Bei sichtbaren Automaten erscheinen diese Angaben in der Endkunden-App VENDi^®.

Rechtsgrundlage: Art. 6 (1) lit. b DSGVO.

6.7 Auswertungen

Die App zeigt Ihnen, wie oft Endkunden Ihre Automaten und Produkte in der VENDi^®-App oder auf den Support-Seiten aufgerufen haben. Sie sehen dabei ausschließlich Zahlen, keine einzelnen Endkunden. Die Statistiken werden mit dem jeweiligen Automaten gelöscht.

Rechtsgrundlage: Art. 6 (1) lit. b DSGVO.

6.8 Support-Anfragen Ihrer Endkunden

Endkunden, die den QR-Sticker an einem Ihrer Automaten scannen oder die Support-Funktion der VENDi^®-App nutzen, sprechen zunächst mit einem KI-Assistenten und können an Sie weitergeleitet werden. In der App sehen Sie für die Automaten Ihrer Firma:

• den Chatverlauf und den Status der Anfrage
• den Namen des Endkunden, sofern er ihn angegeben hat
• bei weitergeleiteten Anfragen eine von der KI erstellte Zusammenfassung (Problem, ob Geld betroffen ist, bereits versuchte Schritte)

Ihre Antworten speichern wir als Teil des Chatverlaufs. Chats ohne Aktivität archivieren wir nach 48 Stunden automatisch und blenden sie aus. Ausgenommen sind Anfragen, die noch auf Ihre Antwort warten. Sie können Chats auch selbst archivieren. Archivierte Chats löschen wir 14 Tage nach der Archivierung endgültig.

Diese Daten sind personenbezogene Daten Dritter (Ihrer Endkunden). Verwenden Sie sie zur Betreuung Ihrer Kunden, sind Sie dafür selbst verantwortlich. Bitte verarbeiten Sie die Daten nur zur Beantwortung der jeweiligen Anfrage und informieren Sie Ihre Endkunden in einer eigenen Datenschutzerklärung. Die Erhebung beim Endkunden beschreibt die Datenschutzerklärung der VENDi^®-App bzw. der Support-Seiten.

Rechtsgrundlage: Art. 6 (1) lit. b DSGVO gegenüber Ihnen; Art. 6 (1) lit. f DSGVO gegenüber den Endkunden (berechtigtes Interesse an einer schnellen Lösung ihres Problems).

6.9 Push-Benachrichtigungen

Erlauben Sie Benachrichtigungen, registriert die App über Firebase Cloud Messaging ein Push-Token. Wir speichern Ihre Nutzer-Kennung, das Token, die Plattform (Android oder iOS) sowie Zeitpunkte der Registrierung und letzten Nutzung. Auf iOS werden Nachrichten zusätzlich über den Apple Push Notification Service zugestellt.

Sie erhalten eine Benachrichtigung, wenn:

• eine Anfrage an einem Ihrer Automaten an Sie weitergeleitet wird („Neues Problem“)
• ein Endkunde in einer weitergeleiteten Anfrage schreibt („Neue Nachricht“)

Die Benachrichtigung enthält nur diesen Hinweis und den Standortnamen, keine Nachrichteninhalte. Unter Einstellungen › Benachrichtigung können Sie Pushes ausschalten. Dann löschen wir das Token dieses Geräts. Beim Abmelden löschen wir es ebenfalls, ungültige Tokens entfernen wir automatisch.

Rechtsgrundlage: Art. 6 (1) lit. b DSGVO. Die Anzeige erfordert zusätzlich Ihre Erlaubnis im Betriebssystem. Drittland: Google LLC und Apple Inc. (USA), beide nach dem EU-US Data Privacy Framework zertifiziert.

6.10 Buchung und Zahlungsabwicklung

Der Service für einen Automaten kostet 6,90 € im Monat oder 69 € im Jahr, jeweils inklusive Umsatzsteuer. Die Zahlung wickeln wir über Stripe ab.

An Stripe übermitteln wir:

• E-Mail-Adresse und Firmenname (als Kundenname)
• den Namen der Ansprechperson, der auf Rechnungen erscheint
• die Rechnungsanschrift und, falls angegeben, Ihre Umsatzsteuer-Identifikationsnummer
• eine interne Kennung Ihrer Firma
• die Angaben des gebuchten Automaten als Bestelldaten (Standortname, Gerätetyp, Adresse, Koordinaten, Ausstattung, Öffnungszeiten)
• den gewählten Tarif und die Plattform (Android oder iOS)

Ihre Zahlungsdaten (zum Beispiel Kartendaten) geben Sie direkt bei Stripe ein. Sie erreichen unsere Server zu keinem Zeitpunkt. Stripe berechnet die Umsatzsteuer und prüft eine angegebene Umsatzsteuer-Identifikationsnummer. Bei uns speichern wir die Stripe-Kunden- und Abo-Kennung, den Abo-Status, Laufzeitdaten und die Zuordnung der Buchung zu Ihrem Automaten. Rechnungen, Zahlungsmittel und Kündigung verwalten Sie im Kundenportal von Stripe.

Buchung unter Android: Die Zahlung läuft im Rahmen des Programms „Externe Angebote“ von Google Play. Vor dem Kauf prüft die App über die Google Play Billing Library, ob das Programm verfügbar ist, und Google zeigt einen eigenen Hinweis an. Anschließend öffnet sich die Bezahlseite von Stripe im Browser über einen kurzen Link auf www.vendi-hub.com/pay/…. Für diese Weiterleitung speichern wir die Zuordnung von Link und Bezahlvorgang. Google verlangt, dass wir jede Zahlung und Erstattung melden. Dazu übermitteln wir an Google eine Transaktionskennung, den Betrag ohne Steuer, die Steuer, die Währung, das Land der Rechnungsanschrift, den Zeitpunkt und ein von Google erzeugtes Transaktions-Token, über das Google den Kauf Ihrem Google-Play-Konto zuordnen kann. Name, E-Mail-Adresse oder Zahlungsdaten übermitteln wir dabei nicht.

Buchung unter iOS: Die Zahlung erfolgt in einem Bezahlformular von Stripe innerhalb der App. Verlangt Ihre Bank eine zusätzliche Bestätigung (3-D Secure), öffnet sich kurz eine Seite Ihrer Bank. Soweit Apple für Käufe außerhalb des App Store eine Meldung verlangt, übermitteln wir Apple die dafür nötigen Transaktionsangaben (zum Beispiel Betrag, Währung, Land und Zeitpunkt), jedoch keine Namen, E-Mail-Adressen oder Zahlungsdaten.

Rechtsgrundlage: Art. 6 (1) lit. b DSGVO (Vertragserfüllung); Art. 6 (1) lit. c DSGVO für die Aufbewahrung von Rechnungsdaten (10 Jahre nach § 147 AO und § 257 HGB); Art. 6 (1) lit. f DSGVO für die Meldungen an Google und Apple. Unser berechtigtes Interesse ist der Vertrieb der App über deren App-Stores, der diese Meldungen voraussetzt.

Rolle von Stripe: Stripe verarbeitet Zahlungen in unserem Auftrag und handelt für eigene Zwecke, etwa Betrugsprävention, Geldwäscheprüfung und gesetzliche Pflichten, als eigenständiger Verantwortlicher (siehe Datenschutzerklärung von Stripe). Google und Apple verarbeiten die Meldungen ebenfalls in eigener Verantwortung.

6.11 Empfehlungsprogramm (Creator-Code)

Jeder Betreiber erhält einen persönlichen Creator-Code. Geben Sie bei der Registrierung den Code eines anderen Betreibers an, speichern wir diese Verknüpfung. Sobald Ihre Firma für Automaten bezahlt, zählen wir diese Automaten für den werbenden Betreiber und schreiben ihm erreichte Prämien als Guthaben bei Stripe gut. Der werbende Betreiber sieht nur die Anzahl qualifizierter Automaten und den Stand seiner Prämien, nicht Ihren Namen oder Ihre Firma.

Rechtsgrundlage: Art. 6 (1) lit. b DSGVO gegenüber dem werbenden Betreiber; Art. 6 (1) lit. f DSGVO gegenüber dem geworbenen Betreiber (berechtigtes Interesse an der korrekten Abrechnung des Programms).

6.12 E-Mails

Über den Dienstleister Resend versenden wir ausschließlich Nachrichten, die zur Nutzung gehören:

• Bestätigungscode bei der Registrierung
• Code zum Zurücksetzen des Passworts
• Bestellbestätigung für einen gebuchten Automaten
• Auftragsbestätigung für Ihr Abonnement
• Ihren Datenexport (siehe Ziffer 6.19)
• interne Nachrichten an unser Team, etwa Sticker-Bestellungen und Katalog-Anträge

Dafür erhält Resend Ihre E-Mail-Adresse, Ihren Namen und den Inhalt der Nachricht und protokolliert die Zustellung. Rechnungen und Zahlungsbelege sendet Stripe direkt.

Rechtsgrundlage: Art. 6 (1) lit. b DSGVO.

6.12.1 Werbe-E-Mails, nur mit Einwilligung

Wenn Sie es eingeschaltet haben, senden wir Ihnen E-Mails über neue Funktionen, Angebote und Aktionen zu VENDi Hub. Dafür verwenden wir Ihre E-Mail-Adresse und Ihren Namen. Ohne Ihre Einwilligung erhalten Sie keine solchen E-Mails.Sie können sie beim ersten Start der App ein- oder ausschalten und Ihre Entscheidung jederzeit unter Einstellungen › Analyse & Verbesserung ändern; in jeder Werbe-E-Mail finden Sie zusätzlich einen Abmeldelink.

Wir speichern, ob und wann Sie eingewilligt haben und wann Sie gegebenenfalls widerrufen haben. Das ist unser Nachweis nach Art. 7 (1) DSGVO. Der Widerruf wirkt für die Zukunft; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. E-Mails, die wir zur Durchführung Ihres Vertrags senden müssen – etwa Bestellbestätigungen, Rechnungen oder Hinweise auf Störungen – sind keine Werbung und erreichen Sie unabhängig von dieser Einstellung.

Rechtsgrundlage:Art. 6 (1) lit. a DSGVO in Verbindung mit § 7 (2) Nr. 2 UWG.

6.13 Kontakt mit unserem Support

Im Hilfe-Bereich können Sie uns per E-Mail schreiben. Die App öffnet dafür Ihr E-Mail-Programm und trägt Ihre Kundennummer sowie gegebenenfalls Angaben zum betroffenen Produkt ein. Mit einem aktiven Abonnement erreichen Sie uns zusätzlich telefonisch. Wir verarbeiten Ihre Angaben, um Ihr Anliegen zu bearbeiten, und löschen sie, sobald sie dafür nicht mehr benötigt werden und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Rechtsgrundlage: Art. 6 (1) lit. b DSGVO; bei allgemeinen Anfragen Art. 6 (1) lit. f DSGVO.

6.14 Fehlerberichte

Stürzt die App ab oder tritt ein Fehler auf, übermitteln wir an Sentry (Datenregion EU):

• Fehlerart, Fehlermeldung und Stacktrace
• App-Version, Betriebssystem-Version und Gerätemodell
• eine zufällige Installationskennung
• die letzten technischen Schritte vor dem Fehler (Breadcrumbs)
• für einen Teil der Sitzungen Leistungsdaten wie Ladezeiten, ohne Inhalte

E-Mail-Adressen in Fehlermeldungen ersetzt die App schon auf dem Gerät durch einen Platzhalter. Wir übermitteln keine Screenshots, keine Bildschirmaufnahmen, keine Passwörter, keine Zahlungsdaten und keine Fotos. Für die interne Auswertung lassen wir Fehlertitel und Häufigkeiten, ohne Nutzerkennungen, von Anthropic (Claude) zusammenfassen und einordnen.

Rechtsgrundlage: Art. 6 (1) lit. f DSGVO. Unser berechtigtes Interesse ist ein stabiler und sicherer Betrieb der App. Sie können widersprechen (Ziffer 11). Speicherdauer: 90 Tage.

6.15 Nutzungsanalyse (Google Analytics for Firebase), nur mit Einwilligung

Mit Ihrer Einwilligung werten wir aus, an welchen Stellen Abläufe abgebrochen werden oder lange dauern, um die App zu verbessern. Sie entscheiden beim ersten Start oder später unter Einstellungen › Analyse & Verbesserung. Die Erfassung ist technisch ausgeschaltet, bis Sie zustimmen.

Verarbeitete Daten: Nutzungsereignisse (zum Beispiel Registrierung begonnen oder abgeschlossen, Schritte beim Anlegen eines Automaten, Bezahlvorgang gestartet oder fehlgeschlagen mit Fehlercode, Scan, Produkt angelegt, Chat geöffnet oder beantwortet), aufgerufene Bildschirme, Dauer und Anzahl. Die Angaben zu den Ereignissen sind Kategorien, Zähler und Ja-/Nein-Werte. Namen, Adressen, Firmennamen, E-Mail-Adressen, Kundennummern, Standort- oder Produktnamen, Suchbegriffe, Chatinhalte, Barcodes, Preise oder Umsätze übermitteln wir nicht. Automatisch erfasst werden eine zufällige App-Instanz-Kennung, Gerätemodell, Betriebssystem, App-Version, Sprache sowie das aus der IP-Adresse abgeleitete Land bzw. die Region. Google Analytics speichert keine IP-Adressen. Eine Werbe-ID wird nicht erfasst.

Das eingebundene Programmpaket legt bereits vor einer Entscheidung eine zufällige Kennung auf dem Gerät an. Sie wird ohne Einwilligung nicht übertragen und beim Widerruf zurückgesetzt.

Anbieter: Google Ireland Limited, eine Verarbeitung durch Google LLC (USA) ist möglich (siehe Ziffer 9.6). Rechtsgrundlage: Art. 6 (1) lit. a DSGVO und § 25 (1) TDDDG. Speicherdauer: höchstens 14 Monate. Widerruf:jederzeit unter Einstellungen › Analyse & Verbesserung. Die Erfassung stoppt sofort, und die Analyse-Kennung auf dem Gerät wird zurückgesetzt.

6.16 Sitzungsaufzeichnung (Microsoft Clarity), nur mit Einwilligung

Mit Ihrer gesonderten Einwilligung zeichnen wir Bedienabläufe auf, um zu sehen, wo eine Schaltfläche übersehen wird oder ein Formular hakt.

Verarbeitete Daten: eine Wiedergabe der Bildschirminhalte und Abläufe, Tipp-, Wisch- und Scrollgesten, Bildschirmnamen, Gerätetyp, Betriebssystem, Bildschirmgröße, App-Version, das aus der IP-Adresse abgeleitete Land bzw. die Region sowie eine zufällige Clarity-Kennung auf dem Gerät. Eingabefelder sowie Kundenchats und Chatliste, Name, Firmenname und Logo, Preise, Karten, Auswertungszahlen und Ihr Creator-Code werden auf dem Gerät maskiert. Maskierte Inhalte werden nicht an Microsoft übertragen.

Anbieter: Microsoft Ireland Operations Limited. Microsoft verarbeitet die Daten nach der Übertragung als eigenständiger Verantwortlicher (siehe Datenschutzerklärung von Microsoft). Rechtsgrundlage: Art. 6 (1) lit. a DSGVO und § 25 (1) TDDDG. Speicherdauer bei Microsoft: Aufzeichnungen 30 Tage, Heatmaps, Klickdaten und markierte Sitzungen 9 Monate. Widerruf:jederzeit unter Einstellungen › Analyse & Verbesserung. Die Aufzeichnung stoppt sofort und startet beim nächsten App-Start nicht mehr.

6.17 Karten und Adressprüfung

Karten laden wir von Mapbox. Dabei erhält Mapbox Ihre IP-Adresse, den angezeigten Kartenausschnitt und technische Angaben (zum Beispiel Gerätemodell, Betriebssystem, SDK-Version und zufällige Kennungen zur Abrechnung). Funktionen zur Bewegungsverfolgung sind nicht aktiviert.

Eingegebene Adressen prüfen wir über OpenStreetMap Nominatim. Die Anfrage enthält den Adresstext und geht direkt von Ihrem Gerät aus. Nominatim erhält dabei Ihre IP-Adresse.

Rechtsgrundlage: Art. 6 (1) lit. b DSGVO; für die Kartenauslieferung zusätzlich Art. 6 (1) lit. f DSGVO.

6.18 In-App-Mitteilungen und Versionsprüfung

Wir können Ihnen in der App Hinweise anzeigen, etwa zu neuen Funktionen oder Wartungsarbeiten. Damit eine Mitteilung nicht doppelt erscheint, speichern wir Ihre Nutzer-Kennung, die Mitteilung und den Zeitpunkt der Anzeige. Beim Start prüft die App außerdem, ob eine neuere Version erforderlich ist. Dafür wird nur die Versionsnummer abgefragt.

In der Sortimentsliste zeigen wir Ihnen außerdem eigene Empfehlungen zu Produkten aus unserem Katalog. Welche Empfehlung erscheint, legen wir selbst fest – sie beruht nicht auf Ihrem Verhalten, Ihren Verkäufen oder einem Profil über Sie. Es ist kein Werbenetzwerk eingebunden und es findet kein Tracking über Anbieter hinweg statt. Blenden Sie eine Empfehlung aus, speichern wir Ihre Nutzer-Kennung und die Empfehlung, damit sie nicht erneut erscheint.

Rechtsgrundlage: Art. 6 (1) lit. f DSGVO.

6.19 Datenexport und Konto-Löschung

6.19.1 Datenexport (Art. 15 und 20 DSGVO)

Im Hilfe-Bereich können Sie unter „Meine Daten erhalten“ einen Export Ihrer gespeicherten Daten anfordern. Wir senden ihn als JSON-Datei mit einer lesbaren Übersicht an Ihre Anmelde-Adresse. Pro 24 Stunden ist ein Export möglich. Personenbezogene Daten Dritter, etwa Namen und Chatinhalte von Endkunden, sind nicht enthalten.

6.19.2 Konto-Löschung (Art. 17 DSGVO)

Unter Einstellungen › „Konto löschen“ können Sie Ihr Konto zur Löschung vormerken. Nach der Bestätigung gilt:

• Die Löschung erfolgt nach 30 Tagen. Bis dahin können Sie sie in der App abbrechen.
• In dieser Zeit können Sie sich anmelden und Daten exportieren, aber keine neuen Automaten, Produkte oder Zuordnungen anlegen.
• Solange ein aktives Abonnement besteht, ist die Löschung gesperrt. Kündigen Sie es zuvor im Kundenportal.

Nach Ablauf der Frist löschen wir Ihr Nutzerkonto mit den verknüpften Daten, etwa Profil, Push-Tokens und Export-Protokoll. Hat Ihre Firma danach keine weiteren Nutzer, löschen wir auch die Firmendaten mit Automaten, Sortiment und Support-Anfragen. Produkte im gemeinsamen Katalog bleiben ohne Bezug zu Ihrer Firma erhalten (Ziffer 6.5.7).

Ausnahmen: Rechnungs- und Buchungsdaten müssen wir nach § 147 AO und § 257 HGB zehn Jahre aufbewahren. Sie bleiben bei Stripe und in unserer Buchhaltung gespeichert und werden nur noch für diesen Zweck verwendet.

Rechtsgrundlage: Art. 6 (1) lit. c DSGVO in Verbindung mit Art. 15, 17 und 20 DSGVO.

6.20 Berechtigungen des Betriebssystems

Die App fragt Berechtigungen nur an, wenn Sie die jeweilige Funktion nutzen:

Sie können Berechtigungen jederzeit in den Einstellungen Ihres Betriebssystems widerrufen.

6.21 Speicherung auf Ihrem Gerät

Die App verwendet keine Cookies. Im lokalen Speicher legt sie ab: Ihre Anmeldesitzung, die gewählte Sprache, ob das Onboarding abgeschlossen ist, Ihre Einwilligungsentscheidung mit Zeitpunkt und Version, die Push-Einstellung mit dem zuletzt registrierten Push-Token, den Status der Push-Registrierung, einen laufenden Bezahlvorgang (Kennung des Vorgangs und Adresse des gebuchten Automaten, höchstens 30 Minuten) sowie zwischengespeicherte Bilder. Diese Speicherung ist für die Funktion der App unbedingt erforderlich (§ 25 (2) Nr. 2 TDDDG). Für Kennungen der Analyse-Dienste gelten die Ziffern 6.15 und 6.16.

6.22 App-Stores

Die App laden Sie über den Apple App Store oder Google Play herunter. Apple bzw. Google verarbeiten dabei Daten wie Ihre Kontodaten in eigener Verantwortung. Von den Stores erhalten wir zusammengefasste Statistiken und, sofern Sie der Weitergabe an Entwickler zugestimmt haben, technische Absturzberichte.

7. Empfänger der Daten

Empfänger Ihrer Daten sind:

• Mitarbeitende von RS Vending UG, soweit sie die Daten für ihre Aufgabe benötigen, zum Beispiel für Support, Versand und Buchhaltung
• Auftragsverarbeiter nach Ziffer 9.1 bis 9.13, die weisungsgebunden für uns tätig sind
• eigenständig Verantwortliche nach Ziffer 9.14 bis 9.17: Stripe für eigene Zwecke, Google und Apple (Anmeldung, App-Stores, Meldung von Käufen), Microsoft (Sitzungsaufzeichnung) und die OpenStreetMap Foundation (Adressprüfung)
• Postdienstleister für den Versand der QR-Sticker
• andere Betreiber: freigegebene Produkte im gemeinsamen Katalog, ohne Angabe Ihrer Firma
• Endkunden und Öffentlichkeit: Angaben zu sichtbaren Automaten (Ziffer 6.3)
• Steuerberater und Behörden, soweit dies zur Erfüllung gesetzlicher Pflichten erforderlich ist

Eine Weitergabe zu Werbezwecken findet nicht statt.

8. Website vendi-hub.com

8.1 Hosting und Zugriffsprotokolle

Die Website wird bei Railway betrieben (Ziffer 9.13). Beim Aufruf verarbeitet der Server technisch notwendige Zugriffsdaten, etwa IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode und Browserangaben. Die Protokolle werden spätestens nach 30 Tagen gelöscht. Rechtsgrundlage: Art. 6 (1) lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer und stabiler Betrieb.

8.2 Notwendige Speicherung im Browser

Ihre Cookie-Entscheidung speichern wir im lokalen Speicher Ihres Browsers (localStorage, Schlüssel vendi-hub-cookie-consent). Gespeichert werden nur die getroffene Auswahl, ein Zeitstempel und eine Versionsnummer, keine Kennung, die auf Sie zurückführt. Ohne diese Speicherung müssten wir Sie bei jedem Seitenaufruf erneut fragen. Rechtsgrundlage ist § 25 (2) Nr. 2 TDDDG sowie Art. 6 (1) lit. f DSGVO. Die Entscheidung wird nach 12 Monaten erneut abgefragt.

8.3 Google Analytics 4 (nur mit Einwilligung)

Auf der Website setzen wir ausschließlich nach Ihrer ausdrücklichen Einwilligung Google Analytics 4 ein, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“). Ohne Einwilligung wird das Analytics-Skript nicht geladen, es werden keine Analyse-Cookies gesetzt und es findet keine Übermittlung an Google statt.

Zweck: statistische Auswertung der Website-Nutzung (zum Beispiel Anzahl der Besucher, aufgerufene Seiten, Herkunft der Zugriffe). Rechtsgrundlage: Art. 6 (1) lit. a DSGVO in Verbindung mit § 25 (1) TDDDG. Verarbeitete Daten: Seitenaufrufe, Interaktionen, Gerätetyp, Browser, Betriebssystem, ungefährer Standort (aus der IP-Adresse abgeleitet, die nicht gespeichert wird) sowie die Cookies _ga und _ga_*. Speicherdauer: Die Cookies laufen nach bis zu 24 Monaten ab. Die Daten in Google Analytics werden nach 14 Monaten gelöscht.

Drittland: Eine Verarbeitung durch Google LLC in den USA ist nicht ausgeschlossen. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten Standardvertragsklauseln.

Widerruf: Öffnen Sie „Cookie-Einstellungen“ im Fußbereich jeder Seite und deaktivieren Sie „Analysen“. Die Messung stoppt sofort, vorhandene Analytics-Cookies werden gelöscht und die Seite wird neu geladen.

Die Nutzungsanalyse in der App ist davon getrennt und in Ziffer 6.15 beschrieben.

8.4 Google Fonts

Für Symbole lädt die Website die Schriftart „Material Symbols“ von Servern von Google (fonts.googleapis.com, fonts.gstatic.com). Dabei erhält Google Ihre IP-Adresse und Browserangaben. Rechtsgrundlage: Art. 6 (1) lit. f DSGVO (berechtigtes Interesse an einer einheitlichen Darstellung). Drittland: Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert.

8.5 Anfrage- und Partnerformular

Über die Formulare für Enterprise-Anfragen und Partner-Bewerbungen verarbeiten wir Firmenname bzw. Name, E-Mail-Adresse, optional Ihre Telefonnummer und Ihre Nachricht. Wir senden die Angaben über Resend an unser Team und schicken Ihnen eine Eingangsbestätigung. Zum Schutz vor Spam nutzen wir ein unsichtbares Formularfeld, eine Prüfung auf auffällig viele Links und eine Begrenzung der Anfragen. Dafür halten wir Ihre IP-Adresse höchstens zehn Minuten im Arbeitsspeicher, ohne sie dauerhaft zu speichern.

Rechtsgrundlage: Art. 6 (1) lit. b DSGVO (vorvertragliche Anfrage), im Übrigen Art. 6 (1) lit. f DSGVO. Speicherdauer: bis zur Erledigung Ihrer Anfrage, länger nur bei einer daraus entstehenden Geschäftsbeziehung oder gesetzlichen Aufbewahrungspflichten.

8.6 Weiterleitungen

Unter www.vendi-hub.com/app leiten wir Sie anhand der Browserkennung in den passenden App-Store weiter, ohne dies zu speichern. Die Adressen /pay/… und /checkout leiten zur Bezahlseite von Stripe weiter (Ziffer 6.10).

9. Dienstleister und weitere Empfänger

Mit den Auftragsverarbeitern in Ziffer 9.1 bis 9.13 bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO, in der Regel über die vom Anbieter bereitgestellten Vertragsbedingungen.

9.1 Supabase (Backend)

Anbieter: Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513.
Zweck: Datenbank, Anmeldung, Dateispeicher, Server-Funktionen.
Datenstandort: Frankfurt am Main (Region eu-central-1).
Grundlage: Supabase DPA mit Standardvertragsklauseln für Zugriffe aus Drittländern.

9.2 Stripe (Zahlungsabwicklung)

Anbieter: Stripe Payments Europe Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland; ggf. Stripe, Inc., 354 Oyster Point Boulevard, South San Francisco, CA 94080, USA.
Zweck: Zahlungen, Abonnements, Rechnungen, Steuerberechnung, Kundenportal.
Grundlage: Stripe DPA; Stripe, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert. Zur Rolle als eigenständiger Verantwortlicher siehe Ziffer 6.10.

9.3 Sentry (Fehlerberichte)

Anbieter: Functional Software, Inc. (Sentry), 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA.
Datenregion: EU (de.sentry.io).
Grundlage: Sentry DPA; zertifiziert nach dem EU-US Data Privacy Framework.

9.4 Mapbox (Karten)

Anbieter: Mapbox, Inc., 1133 15th Street NW, Suite 825, Washington, DC 20005, USA.
Zweck: Auslieferung von Karten.
Grundlage: Mapbox DPA; zertifiziert nach dem EU-US Data Privacy Framework.

9.5 Resend (E-Mail-Versand)

Anbieter: Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA.
Zweck: Versand der E-Mails nach Ziffer 6.12 und 8.5.
Grundlage: Resend DPA; zertifiziert nach dem EU-US Data Privacy Framework.

9.6 Google Firebase (Push-Benachrichtigungen und Nutzungsanalyse)

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; ggf. Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA.
Zweck: Firebase Cloud Messaging (Ziffer 6.9) und, nur mit Einwilligung, Google Analytics for Firebase (Ziffer 6.15).
Grundlage: Firebase- bzw. Google-Ads-Bedingungen zur Datenverarbeitung; Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten Standardvertragsklauseln.

9.7 OpenAI (Produkterkennung)

Anbieter: OpenAI Ireland Ltd, 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland.
Zweck: Erkennung und Beschreibung von Produkten, Nährwerten und Bildmerkmalen, Abgleich mit vorhandenen Produkten, Prüfung von Produktnamen (Modelle GPT-4o, GPT-4o mini, text-embedding-3-small).
Grundlage: OpenAI DPA; Übermittlungen an OpenAI, L.L.C. (USA) auf Grundlage von Standardvertragsklauseln. Über die API übermittelte Inhalte werden nicht zum Training verwendet.

9.8 Google Gemini (Katalogbilder und Bildmerkmale)

Anbieter: Google Ireland Limited; ggf. Google LLC (USA).
Zweck: Erzeugung von Katalogbildern und Berechnung von Bildmerkmalen für die Wiedererkennung (Gemini API).
Grundlage: Zusätzliche Nutzungsbedingungen der Gemini API und Google-Bedingungen zur Datenverarbeitung; Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert. Inhalte werden im Rahmen der kostenpflichtigen Nutzung nicht zur Verbesserung der Google-Produkte verwendet.

9.9 remove.bg (Freistellung)

Anbieter: Canva Austria GmbH, Ungargasse 37/BT1/3.3, 1030 Wien, Österreich.
Zweck: Entfernen des Hintergrunds von KI-erzeugten Katalogbildern.
Grundlage: Vertrag zur Auftragsverarbeitung; Sitz in der EU.

9.10 Cloudflare Turnstile (Bot-Schutz)

Anbieter: Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA.
Zweck: Schutz der Anmeldefunktionen vor Bots.
Grundlage: Cloudflare DPA; zertifiziert nach dem EU-US Data Privacy Framework.

9.11 Anthropic (Auswertung von Fehlerberichten)

Anbieter: Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland.
Zweck: Zusammenfassung von Fehlertiteln und Häufigkeiten ohne Nutzerkennungen (Ziffer 6.14).
Grundlage: Vertrag zur Auftragsverarbeitung mit Standardvertragsklauseln für Übermittlungen in die USA.

9.12 Postdienstleister

Zweck: Zustellung der QR-Sticker (Ziffer 6.4). Der Postdienstleister erhält Name und Anschrift.

9.13 Railway (Hosting der Website)

Anbieter: Railway Corporation, 548 Market Street PMB 68956, San Francisco, CA 94104, USA.
Zweck: Betrieb der Website und der Formular-Funktionen.
Grundlage: Railway DPA mit Standardvertragsklauseln.

9.14 Microsoft Clarity (eigenständig verantwortlich)

Anbieter: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland; Muttergesellschaft Microsoft Corporation (USA), zertifiziert nach dem EU-US Data Privacy Framework.
Zweck: Sitzungsaufzeichnung, nur mit Einwilligung (Ziffer 6.16).

9.15 Google (Anmeldung, Google Play, Meldung von Käufen)

Anbieter: Google Ireland Limited; ggf. Google LLC (USA), zertifiziert nach dem EU-US Data Privacy Framework.
Zweck: Anmeldung mit Google (Ziffer 6.1.2), Google Play Billing Library und Meldung von Käufen (Ziffer 6.10), Barcode-Erkennung mit ML Kit (Ziffer 6.5.1).

9.16 Apple (Anmeldung, App Store, Push-Zustellung)

Anbieter: Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA, zertifiziert nach dem EU-US Data Privacy Framework.
Zweck: Anmeldung mit Apple (Ziffer 6.1.2), Push-Zustellung auf iOS (Ziffer 6.9) und gegebenenfalls Meldung von Käufen (Ziffer 6.10).

9.17 OpenStreetMap Nominatim (Adressprüfung)

Betreiber:OpenStreetMap Foundation, St John's Innovation Centre, Cowley Road, Cambridge CB4 0WS, Vereinigtes Königreich.
Zweck: Prüfung eingegebener Adressen (Ziffer 6.17), nach der Nominatim Usage Policy.
Drittland: Vereinigtes Königreich, Angemessenheitsbeschluss der EU-Kommission vom 28. Juni 2021.

10. Speicher- und Löschfristen

11. Ihre Rechte

Sie haben uns gegenüber folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO): über „Meine Daten erhalten“ im Hilfe-Bereich oder per E-Mail an support@vendi-hub.com
• Berichtigung (Art. 16 DSGVO): direkt in der App oder per E-Mail
• Löschung (Art. 17 DSGVO): über „Konto löschen“ oder per E-Mail
• Einschränkung der Verarbeitung (Art. 18 DSGVO): per E-Mail
• Datenübertragbarkeit (Art. 20 DSGVO): über „Meine Daten erhalten“ als maschinenlesbare JSON-Datei
• Widerspruch (Art. 21 DSGVO): gegen Verarbeitungen auf Grundlage berechtigter Interessen, zum Beispiel Fehlerberichte, per E-Mail. Gegen unsere Produktempfehlungen in der App können Sie jederzeit ohne Angabe von Gründen widersprechen (Art. 21 (2) DSGVO); wir stellen sie dann für Sie ab
• Widerruf einer Einwilligung(Art. 7 (3) DSGVO): jederzeit mit Wirkung für die Zukunft, für die App unter Einstellungen › Analyse & Verbesserung, für die Website unter „Cookie-Einstellungen“

Wir antworten innerhalb der gesetzlichen Frist von einem Monat (Art. 12 (3) DSGVO).

12. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für RS Vending UG zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20
70173 Stuttgart
Postanschrift: Postfach 10 29 32, 70025 Stuttgart
Telefon: +49 711 615541-0
E-Mail: poststelle@lfdi.bwl.de
Web: https://www.baden-wuerttemberg.datenschutz.de

Sie können sich auch an die Aufsichtsbehörde Ihres Wohnsitzes oder Ihres Arbeitsplatzes wenden.

13. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen zum Schutz Ihrer Daten, insbesondere:

• TLS-Verschlüsselung aller Verbindungen
• Speicherung von Passwörtern nur als Hash
• Datenbankzugriffe technisch auf die eigene Firma beschränkt (Row-Level Security)
• geheime Schlüssel ausschließlich auf dem Server
• Entfernen von E-Mail-Adressen aus Fehlerberichten
• Entfernen von Bild-Metadaten beim Firmenlogo und bei Fotos aus der Mediathek
• Maskierung sensibler Inhalte in Sitzungsaufzeichnungen
• Begrenzung von Anmeldeversuchen und Captcha-Schutz
• regelmäßige Updates von App und Backend

14. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich Rechtslage oder Verarbeitungen ändern. Die aktuelle Version ist unter https://www.vendi-hub.com/privacy abrufbar. Wesentliche Änderungen kündigen wir Ihnen per E-Mail oder per In-App-Mitteilung an.

Stand: 28. September 2026
Version: 2.0