Wir nehmen den Schutz deiner personenbezogenen Daten ernst und behandeln sie vertraulich entsprechend der EU-Datenschutz-Grundverordnung (DSGVO), dem Bundesdatenschutzgesetz (BDSG) sowie dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Diese Erklärung informiert dich darüber, welche Daten wir erheben, wofür wir sie nutzen und welche Rechte du hast.
Verantwortlicher im Sinne der DSGVO ist:
Tim Hartmann
Heinrichstr. 2c
59174 Kamen
Deutschland
E-Mail: admin@broffee.de
Wir hosten Broffee bei der Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA („Vercel"). Beim Aufruf der Website verarbeitet Vercel automatisch technische Verbindungsdaten in sogenannten Server-Logs. Erhoben werden insbesondere:
Die Verarbeitung erfolgt zur Bereitstellung und Absicherung des Dienstes auf Grundlage unseres berechtigten Interesses an einem stabilen, sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Mit Vercel besteht ein Auftragsverarbeitungsvertrag (AVV/DPA). Vercel ist nach dem EU-US Data Privacy Framework zertifiziert.
Deine Account- und Inhaltsdaten speichern wir in einer PostgreSQL-Datenbank, die wir über die Supabase Inc., 970 Toa Payoh North #07-04, Singapore 318992, betreiben. Mit Supabase besteht ebenfalls ein Auftragsverarbeitungsvertrag. Supabase verarbeitet die Daten ausschließlich nach unseren Weisungen und unterliegt einem Standard-DPA mit EU-Standardvertragsklauseln.
Broffee setzt ausschließlich technisch notwendige Cookies und Speichereinträge ein. Es gibt keine Werbe-Cookies, kein Tracking über andere Websites hinweg und keine Profilbildung. Deshalb fragen wir auch nicht per Cookie-Banner nach einer Einwilligung.
| Cookie | Zweck | Laufzeit |
|---|---|---|
| payload-token | Authentifizierungs-Session | Session |
| google-oauth-state | Schutz der Anmeldung mit Google vor gefälschten Anfragen | 10 Minuten |
| pendingCoffeeAdded | Hinweis, dass ein vorgemerkter Kaffee nach der Registrierung in deiner Sammlung gelandet ist | 1 Minute |
| broffee-coffee-view | Merkt sich deine gewählte Kaffee-Ansicht | 1 Jahr |
Im Local Storage deines Browsers speichern wir außerdem deine Light-/Dark-Mode-Wahl (theme), den Zeitpunkt der letzten Sitzungsverlängerung (broffee:lastSessionRefresh) und — nur wenn du der Web-Analyse widersprichst — den Eintrag plausible_ignore (siehe Abschnitt 18). Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG i. V. m. Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. lit. f DSGVO (berechtigtes Interesse an einem funktionierenden Dienst). Die Web-Analyse (Abschnitt 11) setzt keine Cookies.
Wenn du einen Account anlegst, verarbeiten wir die Daten, die du im Registrierungs- Formular angibst:
Diese Daten benötigen wir zur Erbringung der vertraglich vereinbarten Leistung (Art. 6 Abs. 1 lit. b DSGVO). Im Rahmen der Registrierung versenden wir eine Bestätigungs-E-Mail an die angegebene Adresse, um sicherzustellen, dass die E-Mail-Adresse dir gehört.
Im laufenden Betrieb speicherst du selbst Daten in der App — etwa angelegte Kaffees, Rezepte mit Mahlgrad, Dosierung, Yield, Bezugszeit, Notizen und Equipment-Einträge. Diese Inhalte sind deinem Account zugeordnet.
Jeder Account hat ein öffentlich erreichbares Profil unter broffee.de/barista/<Benutzername> (ohne Benutzernamen unter einer zufällig erzeugten Kennung). Es zeigt deinen Anzeigenamen, dein Profilbild, deine Kurzbeschreibung, verlinkte Social-Media-Profile, die hinzugefügten Kaffees und dein Equipment. Das Profil ist für Suchmaschinen nicht zur Indexierung freigegeben, kann aber von allen aufgerufen werden, die den Link kennen. Anzeigename, Profilbild, Kurzbeschreibung und Social-Media-Links kannst du in den Profileinstellungen jederzeit ändern oder entfernen.
Rezepte, Bewertungen und Notizen bleiben privat und sind nur für dich sichtbar.
Rechtsgrundlage ist die Vertragserfüllung gemäß Art. 6 Abs. 1 lit. b DSGVO.
Für transaktionale E-Mails (Bestätigungs-Mail bei Registrierung, Passwort-Reset, Feedback-Antworten) nutzen wir die Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA. An Resend werden deine E-Mail-Adresse, der Inhalt der jeweiligen Nachricht sowie technische Zustellungs-Metadaten (z. B. Bounce-Status) übermittelt.
Mit Resend besteht ein Auftragsverarbeitungsvertrag. Resend ist nach dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. lit. f DSGVO bei Feedback-Antworten.
Wenn du dich für unseren Newsletter anmeldest, verarbeiten wir deine E-Mail-Adresse sowie den Zeitpunkt und die IP-Adresse deiner Anmeldung und Bestätigung. Die Anmeldung erfolgt im Double-Opt-In-Verfahren: Du erhältst eine Bestätigungs-Mail und bist erst nach Klick auf den Bestätigungslink angemeldet. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Den Versand wickeln wir über unseren Dienstleister Resend ab. Du kannst dich jederzeit über den Abmeldelink in jeder Newsletter-Mail abmelden; deine Daten werden dann gelöscht.
Über das Formular „Deine Rösterei fehlt?“ auf der Startseite kannst du uns eine Rösterei zur Aufnahme in Broffee vorschlagen. Dabei verarbeiten wir den Namen der Rösterei, ihre Website oder ihren Shop sowie – wenn du sie angibst – deine E-Mail-Adresse und deine Nachricht. Ein Account ist dafür nicht nötig.
Die Angaben speichern wir nicht in unserer Datenbank. Sie werden als E-Mail über unseren Dienstleister Resend an unser Postfach hallo@broffee.de gesendet. Das Postfach betreibt die dogado GmbH, Saarlandstraße 25, 44139 Dortmund, Deutschland, auf Servern in Deutschland. Deine E-Mail-Adresse nutzen wir ausschließlich, um dir zu deiner Anfrage zu antworten.
Rechtsgrundlage ist unser berechtigtes Interesse an der Bearbeitung von Anfragen und der Erweiterung des Rösterei-Katalogs (Art. 6 Abs. 1 lit. f DSGVO); fragst du für deine eigene Rösterei an, zusätzlich die Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO). Wir löschen die Anfrage, sobald sie abschließend bearbeitet ist.
Zur Messung der Ladezeiten und der Web-Vitals-Kennzahlen nutzen wir Vercel Speed Insights, einen Dienst der Vercel Inc. Speed Insights erhebt nach Angaben des Anbieters anonymisierte Performance-Kennzahlen (z. B. Largest Contentful Paint, Cumulative Layout Shift) und setzt dafür keine Cookies. Eine Identifikation einzelner Personen ist hierdurch nicht möglich.
Rechtsgrundlage ist unser berechtigtes Interesse an der technischen Optimierung der Website (Art. 6 Abs. 1 lit. f DSGVO).
Um zu verstehen, welche Seiten und Funktionen genutzt werden, verwenden wir Plausible Analytics der Plausible Insights OÜ, Tartu, Estland. Plausible erhebt ausschließlich zusammengefasste Statistiken — etwa aufgerufene Seiten, die Seite, von der du kommst, Kampagnenparameter, Land und Region, Browser, Betriebssystem und Gerätetyp, Klicks auf externe Links sowie einzelne Aktionen wie das Anlegen eines Kontos, eines Kaffees oder eines Rezepts. Diese Daten werden nicht mit deinem Account verknüpft.
Plausible setzt keine Cookies und legt keine dauerhaften Kennungen an. Um Besuche eines Tages zu zählen, werden IP-Adresse und User-Agent zusammen mit einem täglich wechselnden Zufallswert zu einer Prüfsumme (Hash) verrechnet. Der Zufallswert wird alle 24 Stunden gelöscht, IP-Adresse und User-Agent werden nicht gespeichert — eine Wiedererkennung über mehrere Tage ist so nicht möglich. Adressen mit geheimen Links (etwa zur E-Mail-Bestätigung oder zum Zurücksetzen des Passworts) kürzen wir vor der Übermittlung.
Aufrufe öffentlicher Profile zählen wir je Profil. Dabei wird die Profiladresse einschließlich Benutzername bzw. Profilkennung an Plausible übermittelt. So sehen wir ausschließlich intern, wie oft ein Profil aufgerufen wurde — nicht, wer es aufgerufen hat. Die Zahlen werden nicht veröffentlicht und nicht an die Profilinhaber oder Dritte weitergegeben.
Die Anfragen laufen über unsere eigene Domain broffee.de. Plausible verarbeitet die Daten ausschließlich auf Servern in Deutschland; sie verlassen die EU nicht. Mit Plausible besteht ein Auftragsverarbeitungsvertrag.
Rechtsgrundlage ist unser berechtigtes Interesse an einer datensparsamen Reichweitenmessung, mit der wir Broffee verbessern (Art. 6 Abs. 1 lit. f DSGVO). Du kannst jederzeit widersprechen — siehe Abschnitt 18.
Die Broffee-App für iOS greift über eine Schnittstelle auf broffee.de auf dasselbe Konto und dieselben Inhalte zu wie die Website. Für die Anfragen der App gelten Abschnitt 2 (Server-Logs) und Abschnitt 3 (Datenbank) entsprechend; die App übermittelt dabei zusätzlich ihre Versionsnummer. Die App enthält keine Werbung, keine Web-Analyse und kein Tracking. Die App selbst lädst du über Apples App Store; für die Datenverarbeitung beim Download ist Apple verantwortlich.
Auf deinem Gerät speichert die App:
Für ein neues Profilbild kannst du ein Foto aus deiner Mediathek wählen oder mit der Kamera aufnehmen. Den Zugriff auf die Kamera erfragt iOS, bevor die App sie zum ersten Mal nutzt; du kannst ihn in den iOS-Einstellungen jederzeit entziehen. Die Auswahl aus der Mediathek läuft über die Fotoauswahl von iOS, die App erhält nur das Foto, das du auswählst. Das Foto wird auf deinem Gerät quadratisch zugeschnitten und verkleinert und erst dann als Profilbild hochgeladen (siehe Abschnitt 6).
Rechtstexte, öffentliche Profile und Shop-Links öffnet die App in einem In-App-Browser von iOS. Dort gelten die Datenschutzhinweise der jeweils aufgerufenen Website.
Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); das Speichern auf deinem Gerät ist für die Nutzung der App unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).
Stürzt die App ab oder tritt ein unerwarteter Fehler auf, sendet sie einen Fehlerbericht an Sentry, einen Dienst der Functional Software, Inc., 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA („Sentry“). Die Berichte werden in Sentrys EU-Rechenzentrum in Frankfurt am Main gespeichert. Wir nutzen sie ausschließlich, um Fehler in der App zu finden und zu beheben.
Ein Bericht enthält:
Die Berichte sind nicht mit deinem Konto verknüpft. Die App schickt weder deinen Namen noch deine E-Mail-Adresse, Anmelde-Token, Passwörter oder den Namen deines Geräts mit; E-Mail-Adressen und Tokens, die in einer Fehlermeldung stehen, werden vor dem Senden entfernt. Es werden keine Bildschirmfotos und keine Aufzeichnungen deiner Nutzung übertragen, und die App zählt keine Sitzungen oder App-Starts. Beim Senden erhält Sentry technisch bedingt die IP-Adresse deines Geräts; sie wird nicht gespeichert und den Berichten nicht hinzugefügt. Fehler, die die App erwartet und dir selbst anzeigt (etwa eine fehlende Internetverbindung), werden nicht gemeldet.
Rechtsgrundlage ist unser berechtigtes Interesse an einer stabilen, fehlerfreien App (Art. 6 Abs. 1 lit. f DSGVO). Mit Sentry besteht ein Auftragsverarbeitungsvertrag. Sentry löscht die Berichte automatisch, spätestens nach 90 Tagen.
Wir setzen die folgenden Dienstleister im Sinne von Art. 28 DSGVO ein. Mit allen Anbietern bestehen Auftragsverarbeitungsverträge.
| Anbieter | Zweck | Region | Rechtsgrundlage |
|---|---|---|---|
| Vercel Inc. (USA) | Hosting, Speed Insights | Primär EU (fra1) | Art. 6 Abs. 1 lit. b/f DSGVO |
| Supabase Inc. (Singapur) | Datenbank-Hosting (Postgres) | EU (Frankfurt) | Art. 6 Abs. 1 lit. b DSGVO |
| Plausible Insights OÜ (Estland) | Web-Analyse (cookielos) | EU (Deutschland) | Art. 6 Abs. 1 lit. f DSGVO |
| dogado GmbH (Deutschland) | E-Mail-Postfach (Rösterei-Anfragen) | EU (Deutschland) | Art. 6 Abs. 1 lit. b/f DSGVO |
| Functional Software, Inc. / Sentry (USA) | Absturzberichte der iOS-App | EU (Frankfurt) | Art. 6 Abs. 1 lit. f DSGVO |
| Resend, Inc. (USA) | Transaktionale E-Mails, Rösterei-Anfragen | USA | Art. 6 Abs. 1 lit. b/f DSGVO |
Vercel, Resend und Sentry sind in den USA ansässig und dort teilweise nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023). Eine Übermittlung deiner Daten in die USA erfolgt damit auf Grundlage des Angemessenheitsbeschlusses gemäß Art. 45 DSGVO, ergänzend werden Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO eingesetzt. Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Sentry speichert die Absturzberichte der iOS-App in der EU; einen Zugriff aus den USA schließt das nicht aus.
Wir speichern deine Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist:
Gesetzliche Aufbewahrungspflichten (insbesondere steuer- und handelsrechtliche) bleiben unberührt.
Als von der Verarbeitung betroffene Person stehen dir folgende Rechte zu:
Zur Ausübung deiner Rechte genügt eine formlose E-Mail an admin@broffee.de. Deinen Account inklusive aller eigenen Inhalte kannst du außerdem jederzeit selbst unter „Einstellungen" löschen, auf der Website wie in der iOS-App.
Du kannst der Web-Analyse jederzeit widersprechen (Art. 21 DSGVO). Mit dem folgenden Button schließt du diesen Browser von der Zählung aus; dafür speichern wir den Eintrag plausible_ignore im Local Storage. Nutzt du einen anderen Browser oder löschst deine Browserdaten, setze den Widerspruch dort erneut.
Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu. Für uns zuständig ist:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4
40213 Düsseldorf
Telefon: 0211 / 38424-0
E-Mail: poststelle@ldi.nrw.de
Web: ldi.nrw.de
Alle Verbindungen zur Broffee-Website und -App werden ausschließlich über TLS-verschlüsselte Verbindungen (HTTPS) hergestellt. Passwörter werden ausschließlich in gehashter Form (bcrypt-basiertes Verfahren von Payload CMS) gespeichert. Es ist uns technisch nicht möglich, dein Passwort einzusehen.
Diese Datenschutzerklärung hat den Stand 2026-10-14. Wenn sich Funktionen oder eingesetzte Dienste der Anwendung ändern, passen wir diese Erklärung entsprechend an. Die jeweils aktuelle Version ist hier auf broffee.de/datenschutz abrufbar.