Datenschutzerklärung — Specialty Atlas (App, Website und B2B)

Letzte Aktualisierung: 4. November 2026

1. Verantwortlicher

Verantwortlicher für die Verarbeitung personenbezogener Daten ist Marcin Dziubak (Polen), der Specialty Atlas betreibt. Datenschutzkontakt: contact@specialtyatlas.com oder Hilfe in der App.

2. Umfang dieses Dokuments

Wir beschreiben die Verarbeitung bei der Nutzung von:

• der mobilen App (Verbraucherfunktionen),
• der Website (Marketing, Blog, öffentliche Café-, Röstereien-, Veranstaltungs- und Nutzerprofile, Städteseiten, Hilfsseiten der Authentifizierung),
• dem B2B-Portal für Cafés und Röstereien (Konto, Standortprofile, Abos, Statistiken).

Einzelne Vorgänge (z. B. Zahlung) können ergänzende Kurzhinweise haben.

3. Welche Daten wir verarbeiten

Konto und Anmeldung. E-Mail, Passwort-Hash, Anzeigename, Nutzername und dessen frühere Aliasse, Profilbeschreibung (Bio), Avatarauswahl, Kontokennungen bei der Anmeldung über Google/Apple, Sitzungstoken auf dem Gerät oder im Browser, optionales Geburtsdatum.

Profil und Verbraucheraktivität. Sprache, Design, Zeitformat, Favoriten, ausgeblendete Orte, blockierte Nutzer, Sichtbarkeitseinstellungen des Profils und seiner Bereiche, Benachrichtigungs- und Ton-Präferenzen.

Pass und Gamification. Check-ins (QR-Scan vor Ort: Café, Zeit, Quelle), Stadt- und Standortstempel, Coffee Miles — Vergabehistorie mit Grund, Level, Abzeichen und deren Fortschritt.

Kaffeeaktivität. Besuchsbewertungen (Note, Text, Highlight-Chips), Bohnenbewertungen, Rezepte und Brühvorgänge (Parameter, Equipment, Mühle, Methode), Geschmacksprofil Coffee DNA und Antworten im Präferenz-Quiz, bevorzugte und ausgeschlossene Geschmacksnoten, private Notizen zu Orten, die Liste „Möchte ich besuchen“.

Community-Inhalte. Buzz-Beiträge und -Kommentare samt Fotos und @-Erwähnungen, Freundes-Beziehungen (Anfragen, Annahmen, Blockierungen), öffentliches Profil, Aktivitäts-Feed, Wrapped (Rückblick auf Basis deiner Historie) und teilbare Karten.

Übersetzung von Inhalten. Wird ein Buzz-Kommentar oder die Beschreibung eines Cafés oder einer Rösterei gespeichert, senden wir den Text an Google Cloud Translation, um seine Sprache zu erkennen. Wählt jemand „Übersetzung anzeigen“, übersetzt derselbe Dienst den Text in die Sprache der App. Die Übersetzung speichern wir zusammen mit dem Original und löschen sie, sobald der Text bearbeitet oder entfernt wird. Google erhält nur den Text, ohne deine Kontodaten.

Meldungen und Vorschläge. Meldungen zu Inhalten, Orten und Veranstaltungen, Änderungsvorschläge zu Café-Daten, Meldungen neuer Standorte, Nachrichten aus Hilfe-Formularen, Moderationsentscheidungen und deren Begründungen.

Daten von B2B-Partnern. Firmenname, Abrechnungsdaten, Standortadressen, Telefonnummern und Kontakt-E-Mails, Fotos und Angebotsbeschreibungen, Öffnungszeiten, Bohnen „an der Bar“, Veranstaltungen, Abo-Status, Ereignisse im Portal, Notizen und Kontakthistorie im internen CRM.

Standortdaten aus anderen Quellen. Den Katalog der Cafés und Röstereien bauen wir auch auf Basis öffentlich zugänglicher Informationen und Nutzermeldungen auf. Es geht vor allem um Firmendaten (Name, Adresse, Öffnungszeiten, öffentlicher Kontakt); umfassen sie Daten einer natürlichen Person, die den Standort betreibt, stehen dieser die Rechte aus Ziffer 10 zu.

Standort. Ungefähre oder genaue Koordinaten nach Systemberechtigung — Karte, Suche in der Nähe, Fußgängernavigation, Empfehlungskontext sowie Hinweise, wenn ein Ort aus der „Möchte ich besuchen“-Liste in der Nähe ist. Die Nähe prüfen wir nur bei aktiver App, mit Frequenzbegrenzung und Mindestdistanz; wir betreiben kein Tracking im Hintergrund und führen keine dauerhafte Routenhistorie.

Technische Daten. IP-Adresse, Gerätemodell, System- und App-Version, Diagnoseprotokolle, Push-Token (Expo, unter Nutzung von FCM/APNs).

Analytics der mobilen App. Die App nutzt Google Analytics for Firebase — wir erfassen Produktereignisse (u. a. Bildschirmaufrufe, Aufrufe von Café-, Rösterei- und Bohnenprofilen) samt Kennung der App-Instanz und nach Anmeldung auch der Kontokennung. Das dient der Messung von Nutzung und Stabilität. Grundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f) — du kannst über die Hilfe widersprechen. Diese Daten nutzen wir nicht für verhaltensbasierte Werbung und verkaufen sie nicht.

Statistiken für Partner. Wir zählen Aufrufe von Café-, Rösterei- und Bohnenprofilen, Klicks auf den Shop-Link, Check-ins und Aufnahmen in die „Möchte ich besuchen“-Liste. B2B-Partnern zeigen wir ausschließlich aggregierte Daten — ein Partner sieht nicht, wer konkret sein Profil aufgerufen oder den Standort auf eine Liste gesetzt hat. Wo wenige Beobachtungen auf Einzelpersonen hindeuten könnten, wenden wir eine Mindestnutzerschwelle an und zeigen statt der Zahl den Hinweis, dass noch Daten gesammelt werden.

Zahlungen. Begrenzte Abrechnungsmetadaten bei Stripe oder den Betreibern mobiler Stores; vollständige Kartennummern speichern wir nicht in eigener Infrastruktur.

Medien. Hochgeladene Fotos (Profil, Rezepte, Buzz-Beiträge, Partnergalerien). Der QR-Scan der Pass-Funktion läuft auf dem Gerät — das Kamerabild wird nicht an den Server gesendet; übertragen wird nur die ausgelesene Kennung.

Kalender. Fügst du eine Veranstaltung dem Kalender hinzu, erfolgt der Eintrag auf deinem Gerät; den übrigen Kalenderinhalt lesen wir nicht.

Website-Analytics und Anzeigenmessung. Nach deiner Einwilligung erfassen wir pseudonyme Besuchsdaten über Google Analytics 4 und Google Tag Manager, und Meta Pixel (das Cookie _fbp) misst Conversions aus unseren Anzeigen auf den Plattformen von Meta, etwa wenn jemand über eine Kampagne auf die Website kommt und dann den Link zu einem App-Store anklickt.

4. Zwecke und Rechtsgrundlagen (DSGVO)

Diensterbringung und Konto, Pass, Rezepte, Community-Inhalte, B2B-Abrechnung — Art. 6 Abs. 1 lit. b. Optionaler Standort, Kalender, Kamera- und Fotozugriff sowie ein Teil der Benachrichtigungen — lit. b und/oder a (Systemeinwilligung). Website-Analytics und Anzeigenmessung (Meta Pixel) — a (Einwilligung). App-Analytics, Partnerstatistiken, IT-Sicherheit, Missbrauchsprävention (auch bei falschen Check-ins und Bewertungen), Inhaltsmoderation, Übersetzung von Inhalten in die Sprache des Lesers, Aufbau des Standortkatalogs und internes Vertriebs-CRM — f (berechtigtes Interesse). Rechtliche Pflichten (Buchhaltung, Steuern, Pflichten aus dem Gesetz über digitale Dienste) — c. Werbliche Nutzung öffentlicher Nutzerinhalte in sozialen Medien — f, mit Möglichkeit zum Widerspruch. Geltendmachung von Ansprüchen — f.

5. Promotion in sozialen Medien

Die werbliche Nutzung beruht auf einer nicht ausschließlichen Lizenz (siehe Nutzungsbedingungen); sie überträgt kein Eigentum an Urheber- oder anderen Verwertungsrechten auf Specialty Atlas — Urheber bleibst du, im Rahmen der dir zustehenden Rechte und vorbehaltlich der von dir erteilten Lizenzen.

Inhalte, die du anderen Nutzern oder der Öffentlichkeit als öffentlich zugänglich machst (Besuchsbewertungen, öffentliche Rezepte, Buzz-Beiträge), können wir in Werbematerial von Specialty Atlas nutzen, auch in sozialen Medien und Werbekampagnen. Nicht nutzen wir dafür private oder nur für Freunde sichtbare Inhalte und private Notizen zu Orten. Du kannst der weiteren Nutzung konkreter Materialien widersprechen — wir berücksichtigen das, soweit technisch möglich und rechtlich zulässig.

6. Werbung und gesponserte Inhalte

In der App zeigen wir Banner und Partnermaterial, gekennzeichnet als Werbung. Die Auswahl richtet sich nach dem Kontext der Platzierung in der App und den Kampagneneinstellungen auf unserer Seite (Land, Bildschirm, Bereich) — für diese Werbung erstellen wir keine Werbeprofile, nutzen keine auf deiner Historie basierende verhaltensbasierte Werbung und geben deine personenbezogenen Daten nicht an Werbetreibende weiter. Werbetreibende erhalten ausschließlich aggregierte Auslieferungsstatistiken.

Google-Werbung (AdMob). An ausgewählten Stellen der App (u. a. im Hub und in den Listen von Cafés, Röstereien, Bohnen und Rezepten) kann Werbung von Google AdMob (Google Ireland Limited) erscheinen, gekennzeichnet als Werbung — nur dort, wo gerade kein Partnerbanner läuft. Google kann dafür die Werbe-ID deines Geräts (Advertising ID unter Android; IDFA unter iOS nur, wenn du es in der Systemabfrage zum Tracking erlaubst), deine IP-Adresse sowie Informationen über dein Gerät und deine Interaktionen mit der Werbung nutzen. Im Europäischen Wirtschaftsraum, im Vereinigten Königreich und in der Schweiz fragen wir über das Formular von Google nach deiner Einwilligung (eine zertifizierte Plattform zur Einwilligungsverwaltung, IAB TCF). Personalisierte Werbung zeigen wir nur mit deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); ohne sie kann Google nicht personalisierte oder eingeschränkte Werbung ausspielen. Du kannst deine Einwilligung jederzeit unter Einstellungen → Datenschutz → Einwilligungen für Google-Werbung ändern oder widerrufen (ohne Konto: Einstellungen → Einwilligungen für Google-Werbung) und nach der Anmeldung die Personalisierung mit dem Schalter Personalisierung von Werbung ausschalten. So verarbeitet Google Daten: policies.google.com/technologies/partner-sites.

Eine eigenständige Form der Promotion ist Lab Boost — die zeitweise Anhebung des Match-Scores einer ausgewählten Bohne einer Rösterei im Lab, gestartet von der Rösterei aus dem Kontingent ihres Plans. Sie wirkt auf der Ebene des Rankings; die Rösterei erhält dabei nicht deine Daten oder Informationen darüber, wem die Bohne gezeigt wurde, und dein Geschmacksprofil wird dadurch nicht verändert. Die Platzierungsregeln beschreiben die Nutzungsbedingungen der mobilen App.

7. Empfänger und Auftragsverarbeiter

Unter anderem: Supabase (Datenbank, Authentifizierung, Storage, Edge Functions), Stripe (B2B-Zahlungen), Expo/EAS (Builds und Push), Karten-Stack (MapLibre und Kachelanbieter), Google (OAuth, Firebase Cloud Messaging, Google Analytics for Firebase, nach Einwilligung GA4 und GTM, AdMob — Werbung in der App, Cloud Translation — Spracherkennung und Übersetzung von Inhalten), Apple (Anmeldung, APNs, Distribution), Meta Platforms Ireland Limited (Meta Pixel auf der Website, nach Einwilligung: Messung von Conversions aus Anzeigen), Hosting-/CDN-Anbieter und ein Anbieter für Transaktions-E-Mails. Auftragsverarbeitungsverträge schließen wir, wo erforderlich. Daten können auf gesetzlicher Grundlage an befugte Behörden herausgegeben werden.

8. Übermittlung außerhalb des EWR

Daten können außerhalb des EWR verarbeitet werden — wir setzen DSGVO-konforme Mechanismen ein (z. B. Standardvertragsklauseln, Angemessenheitsbeschlüsse).

9. Speicherdauer

Kontodaten speichern wir für die Dauer des Kontos. Nach Löschung des Kontos löschen oder anonymisieren wir die Daten binnen einer angemessenen technischen Frist, ausgenommen: gesetzlich vorgeschriebene Daten (Abrechnung — bis zum Ablauf steuerlicher Fristen), Nachweise zur Abwehr von Ansprüchen, Aufzeichnungen zu Missbrauch und Moderationsentscheidungen sowie Sachdaten, die dauerhaft im gemeinsamen Standortkatalog verankert sind (ohne Bezug zu deiner Person). Backups können Daten für eine begrenzte technische Zeit vorhalten. Diagnoseprotokolle und Aufrufzähler speichern wir kurzfristig oder aggregiert.

10. Rechte der betroffenen Person

Dir stehen Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit (soweit anwendbar), Widerspruch gegen Verarbeitung auf Grundlage berechtigten Interesses, Widerruf der Einwilligung sowie Beschwerde bei PUODO oder einer anderen Aufsichtsbehörde zu.

Umsetzung: Einstellungen → Deine Daten in der App (Datenexport, Löschen lokaler Daten, Kontolöschung), Sichtbarkeitseinstellungen des Profils, B2B-Portal, Formulare auf der Website und die Hilfe.

11. Automatisierte Entscheidungen und Profiling

Wir nutzen Profiling zur Auswahl von Empfehlungen: Das Bohnen- und Rezept-Matching im Lab beruht auf deinem Geschmacksprofil, deinen Bewertungen, deinem Standort und der Einblendungshistorie; ähnliche Mechanismen ordnen Inhalte auf dem Hub und in Entdeckungslisten. Die Hauptparameter beschreiben die Nutzungsbedingungen der App.

Wir treffen keine ausschließlich automatisierten Entscheidungen mit Rechtswirkung im Sinne von Art. 22 DSGVO. Automatische Signale (z. B. Erkennung von Check-in-Missbrauch) können eine Prüfung auslösen, doch Entscheidungen über Kontobeschränkungen oder Inhaltslöschungen trifft ein Mensch, und du kannst dagegen Beschwerde einlegen (Nutzungsbedingungen, Ziffer 12).

12. Kinder

Der Dienst richtet sich nicht an Personen unter 16 Jahren ohne Zustimmung einer erziehungsberechtigten Person. Die Angabe des Geburtsdatums ist freiwillig und dient u. a. der Inhaltsanpassung und aggregierten Statistiken. Erfahren wir, dass ein Konto von einer Person unter dem erforderlichen Alter ohne die nötige Zustimmung geführt wird, löschen wir es.

13. Sicherheit

Wir setzen unter anderem Transportverschlüsselung, Zugriffskontrolle auf Zeilenebene in der Datenbank (RLS), Umgebungstrennung, Beschränkung der Mitarbeiterrechte auf das Notwendige und Monitoring ein. Sei sorgsam mit Passwort und Gerät.

14. Änderungen und Kontakt

Wir können diese Erklärung aktualisieren; wesentliche Änderungen heben wir hervor (Datum, Hinweis in der App oder E-Mail). Fragen: contact@specialtyatlas.com, Hilfe in der App oder Kontakt über die Website.