Datenschutzerklärung — BoxEye
Stand: 16.04.2026 Verantwortlicher: (siehe Abschnitt 1) Geltungsbereich: BoxEye iOS App + boxeye.app Website
Diese Datenschutzerklärung erklärt, welche personenbezogenen Daten wir beim Betrieb der BoxEye iOS App verarbeiten, zu welchen Zwecken das geschieht und welche Rechte du als betroffene Person hast. Sie erfüllt die Anforderungen der EU-Datenschutz-Grundverordnung (DSGVO) sowie des Schweizer Datenschutzgesetzes (nDSG, in Kraft seit 01.09.2023).
1. Verantwortlicher
BoxEye — betrieben von der KIMATIK GmbH c/o ajooda AG, Kapellgasse 6, 6004 Luzern, Schweiz UID: CHE-265.174.126 (Handelsregister Kanton Luzern, eingetragen 22.05.2026) Vertretungsberechtigt: Patrick Baranek, Geschäftsführer (Einzelunterschrift)
E-Mail: support@boxeye.app Für Fragen zum Datenschutz: privacy@boxeye.app
2. Welche Daten wir verarbeiten
| Kategorie | Daten | Zweck | Rechtsgrundlage |
|---|---|---|---|
| Konto | E-Mail, Name (optional), ggf. Telefon | Registrierung, Login, Account-Wiederherstellung | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
| Inventar | Item-Namen, Fotos, Beschreibungen, Standorte, Boxen, Räume | Kern-Funktionalität der App | Art. 6 Abs. 1 lit. b DSGVO |
| KI-Analyse (optional) | Fotos deiner Items, temporär | Automatische Erkennung von Gegenständen, Beschreibungs-Generierung | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, separat opt-in) |
| Abo-Informationen | Abo-Plan, Kaufhistorie (über Apple StoreKit) | Vertragliche Leistungserbringung, Abo-Management | Art. 6 Abs. 1 lit. b DSGVO |
| Haushalt-Sharing | Haushalts-Mitgliedschaft, Einladungs-Tokens | Familien-geteiltes Inventar | Art. 6 Abs. 1 lit. b DSGVO |
| Absturzberichte (optional) | Anonymisierte Crash-Traces, Gerätetyp, iOS-Version | App-Stabilität | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, separat opt-in) |
| Logs | IP-Adressen (gekürzt), Zeitstempel, API-Aufrufe | Missbrauchsprävention, Fehleranalyse | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) |
3. KI-Bildanalyse (Anthropic Claude)
Wenn du die KI-Bildanalyse in den Einstellungen aktivierst, werden Fotos deiner Items über eine verschlüsselte Verbindung (TLS 1.3) an den KI-Dienst Anthropic Claude übertragen. Anthropic verarbeitet die Bilder ausschließlich zur Generierung der gewünschten Analyse und löscht sie anschließend. Anthropic nutzt deine Bilder nicht für das Training seiner KI-Modelle (gemäß Anthropic API Terms of Service).
- Anbieter: Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA
- Übertragung in Drittland: USA. Grundlage: EU Standard Contractual Clauses (SCC) + Anthropic Data Processing Addendum.
- Widerruf: Du kannst die KI-Bildanalyse jederzeit in den App-Einstellungen deaktivieren. Danach werden keine weiteren Bilder an Anthropic gesendet.
Die Datenübertragung findet nicht direkt vom iPhone an Anthropic statt, sondern über unsere Backend-Infrastruktur (Supabase, Frankfurt), die den API-Aufruf technisch durchführt.
4. Backend (Supabase, Frankfurt)
Dein BoxEye-Account und deine Inventardaten werden bei Supabase gehostet. Supabase betreibt seine EU-Infrastruktur in Frankfurt am Main (Deutschland).
- Anbieter: Supabase Inc., 970 Toa Payoh North #07-04, Singapur 318992 (EU-Rechenzentren in Deutschland)
- Verarbeitung: EU — in Deutschland. Keine Datenübermittlung in Drittländer für Kern-Inventardaten.
- Technische Schutzmaßnahmen: Verschlüsselung at-rest (AES-256) und in-transit (TLS 1.3), Row Level Security (RLS) je User und Haushalt, regelmäßige Backups.
5. Absturzberichte (Firebase Crashlytics)
Wenn du den Toggle für Absturzberichte aktivierst, werden bei App-Abstürzen anonymisierte Fehler-Traces an Firebase Crashlytics (Google Ireland Ltd.) gesendet.
- Was wird gesendet: Crash-Stack-Trace, iOS-Version, Gerätetyp, App-Version. Keine persönlichen Daten, keine Account-Daten.
- Anbieter: Google Ireland Ltd. (Gordon House, Barrow Street, Dublin 4, Irland); Datenverarbeitung teilweise in den USA.
- Grundlage für Drittlandtransfer: EU Standard Contractual Clauses + Google Data Processing Addendum.
- Widerruf: Jederzeit in den App-Einstellungen deaktivierbar.
Standardmäßig ist Crashlytics deaktiviert und muss explizit aktiviert werden.
6. Apple Sign-In / Apple StoreKit
Beim Login über "Apple anmelden" verarbeitet Apple deine Authentifizierungsdaten. Abonnement-Zahlungen laufen über Apple StoreKit. Apple ist eigenverantwortlich; es gelten die Apple-Datenschutzbestimmungen (https://www.apple.com/legal/privacy).
Wir erhalten von Apple:
- Anonymisierte User-ID zur Identifizierung
- Ggf. E-Mail (relay-Adresse, falls du "E-Mail verbergen" nutzt)
- Abo-Status und Kauftransaktionen (ohne Zahlungsdaten)
7. Weitere Drittanbieter
| Anbieter | Zweck | Verarbeitung |
|---|---|---|
| Apple Inc. | Authentifizierung, Abo-Verarbeitung, Push-Benachrichtigungen, iCloud-Widgets, Siri-Integration | iOS-Plattform, keine Datenweitergabe unsererseits |
| Anthropic PBC | KI-Bildanalyse (opt-in) | Siehe Abschnitt 3 |
| Supabase | Backend, Auth, Speicherung | Frankfurt, siehe Abschnitt 4 |
| Google Ireland / Firebase | Absturzberichte (opt-in) | Siehe Abschnitt 5 |
Es existieren keine Werbe-Tracker, keine Analytics außer Crashlytics (opt-in), kein IDFA, keine Cross-App-Tracking.
8. Speicherdauer
- Account-Daten: solange dein Account besteht + 30 Tage nach Löschung (Backup-Cleanup).
- Inventardaten: solange du sie nicht löschst oder den Account löschst.
- Scan-Bilder (Anthropic): vom Anthropic-Dienst nach Verarbeitung automatisch gelöscht.
- Crash-Logs: 90 Tage bei Firebase.
- Backend-Logs: 180 Tage, danach automatische Löschung.
9. Deine Rechte
Du hast folgende Rechte nach DSGVO und nDSG:
- Auskunft (Art. 15 DSGVO / Art. 25 nDSG): Welche Daten wir verarbeiten — Export als CSV/PDF in den App-Einstellungen.
- Berichtigung (Art. 16 DSGVO): Änderung falscher Daten direkt in der App.
- Löschung (Art. 17 DSGVO / Art. 32 nDSG): "Konto löschen" in den Einstellungen löscht alle Daten innerhalb von 30 Tagen unwiderruflich.
- Einschränkung (Art. 18 DSGVO): Per E-Mail an privacy@boxeye.app.
- Datenübertragbarkeit (Art. 20 DSGVO): CSV/PDF-Export via App-Einstellungen.
- Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Toggles in Einstellungen für KI + Crashlytics.
- Widerspruch (Art. 21 DSGVO): Per E-Mail an privacy@boxeye.app.
- Beschwerde bei der Aufsichtsbehörde:
- Schweiz: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) — https://www.edoeb.admin.ch
- Deutschland: Zuständige Landes-Aufsichtsbehörde — https://www.bfdi.bund.de
10. Konto- und Datenlöschung
In den App-Einstellungen findest du den Punkt "Konto löschen". Dieser löscht innerhalb von 30 Tagen unwiderruflich:
- Alle Inventar-Daten (Items, Boxen, Räume, Standorte, Fotos)
- Dein Profil (Name, E-Mail)
- Haushalts-Mitgliedschaften
- Abo-Historie (StoreKit-Transaktionen verbleiben bei Apple)
- Scans und AI-Usage-Historie
- Aktivitätsprotokoll
Dies gilt auch für alle Backup-Kopien auf Supabase.
11. Kinder
BoxEye ist nicht für Kinder unter 16 Jahren gedacht. Wir verarbeiten wissentlich keine Daten von Personen unter 16 Jahren ohne Einwilligung der Erziehungsberechtigten.
12. Sicherheit
- Verschlüsselung at-rest (AES-256) und in-transit (TLS 1.3)
- Row Level Security (RLS) für jeden Datensatz
- Auth-Tokens im iOS Keychain (
kSecAttrAccessibleWhenUnlockedThisDeviceOnly) - Regelmäßige Security Audits
- Kein Zugriff von BoxEye-Mitarbeitern auf individuelle Inventar-Daten
13. Änderungen dieser Erklärung
Wir können diese Datenschutzerklärung anpassen. Die aktuelle Version findest du immer unter https://boxeye.app/privacy und in der App. Bei wesentlichen Änderungen informieren wir dich per In-App-Nachricht oder E-Mail.
14. Kontakt
Fragen zum Datenschutz: privacy@boxeye.app Allgemeiner Support: support@boxeye.app
Für Auskünfte und Löschanträge genügt eine kurze Nachricht mit deiner registrierten E-Mail-Adresse.