Datenschutzerklärung

Zuletzt aktualisiert: 21. Oktober 2026

Diese Datenschutzerklärung erklärt, welche Daten mitbringen („wir“, „uns“) erhebt, wenn du die mitbringen-App und die Website mitbringen.at nutzt, wofür wir sie verwenden und welche Rechte du daran hast. mitbringen wird als privates Projekt von einer Einzelperson mit Sitz in Österreich betrieben. Wir halten uns an die EU-Datenschutz-Grundverordnung (DSGVO).

1. Wer der Verantwortliche ist

Verantwortlicher für die personenbezogenen Daten, die mitbringen verarbeitet, ist der Entwickler des Projekts. Für jede Frage oder Anfrage zum Datenschutz erreichst du uns per E-Mail unter vamshee3000@gmail.com.

2. Welche Daten wir erheben

Wir erheben nur, was wir für dein Konto und deine Einkaufsliste brauchen. Im Einzelnen:

• Kontodaten: deine E-Mail-Adresse und das Passwort, das du festlegst (gespeichert als gesalzener Hash, nie im Klartext).
• Profildaten (optional): der Name, der in der App angezeigt werden soll, und das monatliche Sparziel, das du festlegst.
• Inhalt der Einkaufsliste: die Artikel, die du auf deine Einkaufsliste setzt, und wie oft du sie hinzufügst.
• Einkaufsverlauf: Jedes Mal, wenn du am Ende eines Einkaufs auf „sichern“ tippst, speichern wir diesen Einkauf: die Artikel, die auf deinen Listen standen, ihre Mengen und den niedrigsten Preis, den wir dafür in diesem Moment angezeigt haben. Damit merken wir uns, was du üblicherweise kaufst und wie sich der Preis ändert, sodass die App dir sagen kann, wenn etwas, das du kaufst, ungewöhnlich günstig oder teurer geworden ist.

Push-Benachrichtigungen: Wenn du Benachrichtigungen erlaubst, speichern wir den Push-Token deines Geräts, um dir die wöchentliche Benachrichtigung über deine Favoriten im Angebot zu schicken. Der Token wird nur zu diesem Zweck an Apple (Apple Push Notification service) oder Google (Firebase Cloud Messaging) übermittelt. Er wird gelöscht, wenn du dich abmeldest und wenn du dein Konto löschst.

Was wir nicht erheben

• Wir erheben deinen Standort nicht.
• Wir erheben keine Zahlungsdaten; mitbringen ist kostenlos.
• Wir verwenden keine Werbe-Tracker von Dritten, kein Facebook SDK und kein Crashlytics. Die App verwendet kein Google Analytics; die öffentliche Website nur, wenn du im Cookie-Banner der Statistik zustimmst (siehe Abschnitt 8).
• Wir lesen weder deine Kontakte, Fotos oder deinen Kalender noch andere Apps.

3. Wofür wir sie verwenden (Rechtsgrundlagen)

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): um dir das Konto und die Einkaufslisten-Funktionen bereitzustellen, für die du dich registriert hast.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): um den Dienst sicher zu halten, Missbrauch zu verhindern und technische Probleme zu beheben, und um die App mit Nutzungsstatistiken in unserer eigenen Datenbank zu verbessern, die mit deinem Konto verknüpft sind (deiner Kontonummer und der E-Mail-Adresse, mit der du dich registriert hast), etwa wann die App geöffnet wird, welche Produkte gesucht werden und welche Listenaktionen genutzt werden.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG): Website-Statistik über Google Analytics, nur nachdem du im Cookie-Banner Alle akzeptieren gewählt hast. Du kannst sie jederzeit widerrufen (siehe Abschnitt 8).

4. Wer deine Daten verarbeitet

Wir arbeiten mit wenigen Dienstleistern. Sie verarbeiten Daten nur nach unseren Weisungen und auf Grundlage eines Auftragsverarbeitungsvertrags:

• Hosting und Speicherung: unsere Server und unsere Datenbank (EU).
• Nutzungsstatistik: ein Statistik-Tool (EU), das Nutzungsdaten zusammen mit deiner Kontonummer und deiner E-Mail-Adresse liest (siehe Abschnitt 3).
• E-Mail-Versand: Bestätigungscodes bei der Registrierung und E-Mails zum Zurücksetzen des Passworts.
• Fehlerüberwachung: technische Absturzberichte, damit wir Fehler beheben können.
• Such- und KI-Dienste: um Produkte zu finden und deine Fragen an den Einkaufsassistenten zu beantworten. Deine Fragen an den Assistenten und die Liste, die er dafür liest, werden nur zur Beantwortung verarbeitet und nicht zum Training von KI-Modellen verwendet.
• Google oder Apple: nur wenn du dich damit anmeldest.
• Website-Statistik: nur auf der öffentlichen Website und nur, wenn du im Cookie-Banner Alle akzeptieren wählst (siehe Abschnitt 8).

Einige dieser Dienstleister haben ihren Sitz außerhalb der EU. Diese Übermittlungen sind durch das EU-US Data Privacy Framework oder die EU-Standardvertragsklauseln abgesichert (Art. 45/46 DSGVO). Die aktuelle Liste der Dienstleister bekommst du jederzeit auf Anfrage.

Wir verkaufen deine personenbezogenen Daten nicht, geben sie nicht für Werbung weiter und nicht an Datenhändler.

5. Wie lange wir sie speichern

Konto-, Profil- und Einkaufslistendaten sowie der Einkaufsverlauf werden gespeichert, solange dein Konto aktiv ist, und auf Anfrage gelöscht (siehe Abschnitt 7). Vergangene Einkäufe löschen wir nicht von uns aus; sie werden gelöscht, wenn du dein Konto löschst.

Google-Analytics-Daten der Website (nur erhoben, nachdem du der Statistik zugestimmt hast) werden 2 Monate gespeichert, die kürzeste Speicherdauer, die Google Analytics anbietet, und dann von Google gelöscht.

6. Sicherheit

Der gesamte Datenverkehr zwischen der App und unserem Server ist mit TLS verschlüsselt. Passwörter werden als bcrypt-Hashes gespeichert. Der Zugriff auf die Datenbank und den Server ist auf den Entwickler beschränkt, mit SSH-Schlüssel-Authentifizierung. Wir exportieren oder kopieren keine Nutzerdaten vom Server, außer über die schreibgeschützte Statistik-Ansicht, die in Abschnitt 4 beschrieben ist.

7. Deine Rechte

Nach der DSGVO hast du das Recht auf:

• Auskunft über die personenbezogenen Daten, die wir über dich speichern (Art. 15).
• Berichtigung unrichtiger Daten (Art. 16); die meisten Angaben kannst du im Profil der App selbst ändern.
• Löschung deiner Daten („Recht auf Vergessenwerden“, Art. 17). Du kannst dein Konto auch selbst im Profil der App löschen.
• Einschränkung der Verarbeitung (Art. 18): Wir bewahren deine Daten auf, verwenden sie aber nicht, etwa solange eine Berichtigung geprüft wird.
• Datenübertragbarkeit (Art. 20): Export deiner Daten in einem gängigen, maschinenlesbaren Format.
• Widerspruch (Art. 21): Du kannst jederzeit der Verarbeitung auf Grundlage unserer berechtigten Interessen (Abschnitt 3) widersprechen, auch der Nutzungsstatistik. Wir hören dann damit auf, außer wir haben zwingende schutzwürdige Gründe oder brauchen die Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
• Widerruf einer Einwilligung jederzeit (Art. 7 Abs. 3 DSGVO); die Verarbeitung bis zum Widerruf bleibt rechtmäßig.
• Beschwerde bei der österreichischen Datenschutzbehörde unter dsb.gv.at.

8. Cookies und ähnliche Speicher

Die öffentliche Website setzt immer ein Erstanbieter-Cookie, um sich deine Cookie-Auswahl zu merken. Google-Analytics-Cookies werden nur gesetzt, wenn du Alle akzeptieren wählst. Wir verwenden keine Werbe-Cookies, keine Tracking-Pixel und keine Social-SDKs.

• mb_consent: merkt sich deine Auswahl im Cookie-Banner. Es ist unbedingt erforderlich, um diese Auswahl zu speichern (§ 165 TKG; Art. 6 Abs. 1 lit. f DSGVO). Der Wert ist v2.necessary.<unix timestamp> (nur notwendige) oder v2.analytics.<unix timestamp> (du hast der Statistik zugestimmt). Ein älterer v1-Wert hat nur den früheren Hinweis „nur notwendige“ gespeichert, deshalb fragt dich das Banner erneut. Es gilt 13 Monate, ist host-only, Path=/, SameSite=Lax und auf HTTPS Secure. Es ist nicht HttpOnly, weil ein Erstanbieter-Skript es setzt, wenn du auf den Hinweis tippst — es gibt keinen Netzwerkaufruf und keine Einwilligungsdatenbank.
• Google Analytics (_ga, _ga_<id>): gesetzt von Google Analytics 4, geladen über Google Tag Manager, nur nachdem du Alle akzeptieren gewählt hast. Sie unterscheiden Besuche und gelten bis zu 2 Jahre. Bevor du zustimmst, stellt die Website überhaupt keine Anfrage an Google. Werbe-Einwilligungssignale (ad_storage, ad_user_data, ad_personalization) werden immer als abgelehnt gesendet, sodass nichts für Werbung verwendet wird. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG).
• Widerruf der Einwilligung: Nutze den Link Cookie-Einstellungen in der Fußzeile und wähle Nur notwendige. Damit werden die Google-Analytics-Cookies gelöscht und die Seite ohne Google Tag Manager neu geladen.
• Schriften: Schibsted Grotesk wird auf dieser Website selbst gehostet. Die Website lädt keine Google Fonts, keine Werbe-Pixel und keine Social-SDKs.
• localStorage: Ein Launch-Countdown kann, falls angezeigt, seinen Zielzeitpunkt im localStorage dieses Geräts speichern. Er verlässt nie den Browser.
• Sentry: dient, falls aktiviert, nur der serverseitigen Fehlermeldung und setzt auf den Marketingseiten kein Browser-Cookie.

Lesestatistik des Blogs

Diese läuft unabhängig von deiner Auswahl im Cookie-Banner, weil sie nichts auf deinem Gerät speichert. Um zu erfahren, welche Blogartikel nützlich sind, meldet ein kleines Erstanbieter-Skript auf den Blogseiten unserem eigenen Server, wenn ein Artikel oder die Blogübersicht geöffnet wird und wenn ein Artikel nach mindestens 15 Sekunden auf der Seite bis zum Ende gelesen wurde. Das ist kein Drittanbieterdienst; es setzt kein Cookie und schreibt nichts in den localStorage oder einen anderen Speicher auf deinem Gerät.

Der Aufruf der Startseite und Klicks auf unsere App-Store- und Google-Play-Buttons (auf jeder Seite dieser Website) werden genauso gezählt: dieselbe Art von Skript, derselbe pseudonyme Tages-Besuchercode, kein Cookie und keine gespeicherte IP-Adresse. Bei einem Klick erfassen wir, welche Seite, welcher Button und welcher Store es war. Wenn du den QR-Code auf der Startseite scannst, zählt unser Server den Scan, bevor er dich zum App Store oder zu Google Play weiterleitet: Wir erfassen die Handy-Plattform (iOS, Android oder andere), den Store, die Geräteklasse und denselben pseudonymen Tages-Besuchercode, ohne Cookie und ohne gespeicherte IP-Adresse oder Browserkennung.

• Was wir erfassen: welcher Artikel (oder die Übersicht) und seine Sprache, nur die Domain der verweisenden Website (nie die vollständige Adresse), Kampagnen-Tags im Link (utm_source, utm_medium, utm_campaign), die Geräteklasse (Handy, Tablet oder Desktop), wie viele Sekunden der Artikel sichtbar war, als er gelesen wurde, und einen pseudonymen Besuchercode. Für die Startseite und Store-Klicks statt des Artikels die Seite, ihre Sprache, die Position des Buttons und den Store; bei einem QR-Scan nur Plattform und Store.
• Besuchercode: ein Einweg-Hash deiner IP-Adresse und deiner Browserkennung, gebildet mit einem zufälligen Schlüssel, der sich jeden Tag um Mitternacht (Wiener Zeit) ändert und nach etwa 36 Stunden gelöscht wird. Dieselbe Besucherin oder derselbe Besucher kann daher an einem anderen Tag nicht wiedererkannt werden. Deine unveränderte IP-Adresse und Browserkennung werden nicht gespeichert.
• Rechtsgrundlage: unser berechtigtes Interesse daran zu verstehen, welche Artikel Leserinnen und Leser nützlich finden und wie viele Besucher weiter zum App Store oder zu Google Play gehen (Art. 6 Abs. 1 lit. f DSGVO). Automatisierte Browser und bekannte Crawler werden ignoriert.
• Speicherdauer: Diese Statistiken werden in unserer eigenen Datenbank zu denselben Bedingungen wie unsere anderen Produktstatistiken gespeichert und nie weitergegeben oder verkauft.

Der Link Cookie-Einstellungen in der Fußzeile öffnet das Banner erneut, ohne die gespeicherte Auswahl zu löschen, bis du neu wählst.

9. Kinder

mitbringen ist nicht für Nutzerinnen und Nutzer unter 16 Jahren gedacht. Wir erheben wissentlich keine Daten von Kindern. Wenn du glaubst, dass ein Kind ein Konto angelegt hat, kontaktiere uns und wir löschen es.

10. Änderungen dieser Erklärung

Wenn wir etwas Wesentliches ändern, aktualisieren wir oben das Datum „Zuletzt aktualisiert“ und informieren dich bei erheblichen Änderungen in der App. Wenn du die App nach einer Änderung weiter nutzt, akzeptierst du die aktualisierte Erklärung.

11. Kontakt

Fragen zu dieser Erklärung oder zu deinen Daten: vamshee3000@gmail.com