Datenschutzerklärung
1. Verantwortlicher
Verantwortlicher im Sinne der DSGVO ist:
Michael Salah Milik Andrawos
Bienengasse 9/22, 8020 Graz
Österreich
E-Mail: [email protected]
Du kannst uns auf Englisch, Deutsch oder Arabisch erreichen.
2. Welche Daten wir erheben — und warum
Wir erheben nur die Daten, die Forra für seine Funktion braucht. Jeder Eintrag unten ist benannt, begründet und einer Rechtsgrundlage nach DSGVO Art. 6 Abs. 1 zugeordnet.
| Datenkategorie | Zweck | Rechtsgrundlage (Art. 6 Abs. 1) | Speicherdauer |
|---|---|---|---|
| Zugangsdaten (E-Mail, gehashtes Passwort) | Authentifizierung; Sitzungswiederherstellung | (b) Vertragserfüllung | Kontolaufzeit + 24 h nach Löschung |
| Familienmitgliedschaften + Anzeigename | Familien-Datentrennung | (b) Vertragserfüllung | Kontolaufzeit + 24 h nach Löschung |
| Einkaufslisten-Artikel + Erledigt-Status | Kernfunktion | (b) Vertragserfüllung | Kontolaufzeit + 24 h nach Löschung (von anderen Familienmitgliedern hinzugefügte Artikel bleiben auf der geteilten Liste) |
| Ausgaben (Betrag, Kategorie, Datum, Notiz) | Kernfunktion + KI-Rückblick | (b) Vertragserfüllung | Kontolaufzeit + 24 h nach Löschung; rechnungsrelevante Einträge 7 Jahre nach § 132 BAO |
| Einnahmen | Kernfunktion | (b) Vertragserfüllung | Wie Ausgaben |
| Wiederkehrende Ausgaben + Einnahmen | Automatisierung | (b) Vertragserfüllung | Kontolaufzeit + 24 h nach Löschung |
| Sprachaufnahmen (Mikrofon-Audio) | Spracherkennung | (a) deine ausdrückliche Einwilligung — einmaliger JIT-Dialog | Wird nicht gespeichert — sofort nach Transkription verworfen |
| Sprachtranskripte (Textergebnis) | Anzeige + Intent-Extraktion | (a) deine Einwilligung | Kontolaufzeit + 24 h nach Löschung |
| Stimme & KI Einwilligungs-Flag | Erinnern, ob du den einmaligen JIT-Dialog akzeptiert hast, um Wiederholungen zu vermeiden | (a) deine Einwilligung (Zustand davon) | Kontolaufzeit + 24 h nach Löschung; jederzeit widerrufbar in Einstellungen → Datenschutz → Stimme & KI |
| KI-Rückblick-Cache | Wiederverwendung | (b) Vertragserfüllung | Wie Ausgaben |
| Absturzberichte | Fehlerdiagnose | (f) berechtigtes Interesse — jederzeit abschaltbar in Einstellungen → Datenschutz | 90 Tage bei Sentry, danach aggregiert |
| Push-Benachrichtigungs-Tokens | Zustellung der von dir aktivierten Benachrichtigungen | (a) Einwilligung (OS-Dialog) | Bis zur Token-Rotation oder Kontolöschung |
| IP-basierter Standort (Stadt/Land) | Erkennungs-Signal in Passwort-Änderungsmail | (f) berechtigtes Interesse | Nicht nach dem E-Mail-Versand gespeichert |
| Abo-Status | KI-Features hinter Abo absichern | (b) Vertragserfüllung | Abo-Laufzeit + 30 Tage Audit für Betrugsprüfung |
| Kontolöschungs-Audit-Log | Betrugsprüfung + DSGVO-Audit | (f) berechtigtes Interesse | 30 Tage ab Löschungsbestätigung |
| Werbe-ID (IDFA auf iOS / Werbe-ID auf Android) + App- & Kaufereignisse, an Meta übermittelt (nur Mobile-App) | Zuordnung — messen, welche Meta-Anzeige dich zur Installation von Forra geführt hat, um unsere eigene Werbung zu bewerten (siehe § 4) | (a) deine ausdrückliche Einwilligung — iOS: der App-Tracking-Transparency-Dialog; Android: ein einmaliger In-App-Dialog. Es wird nichts übermittelt, sofern du nicht zustimmst | Von Meta gemäß dessen eigener Richtlinie verarbeitet und gespeichert; Forras eigene Server speichern sie nicht |
Was wir NICHT erheben: genaue Standortkoordinaten, Kontakte, Fotos, Dateien außerhalb von Forra, Browserverlauf oder dein Verhalten in anderen Apps. Diese Website enthält keine Drittanbieter-Analytik oder Tracking-Pixel. Die einzige Technologie zur Werbezuordnung in Forra ist das Meta-SDK in unserer Mobile-App, beschrieben in § 4 — und es wird nur aktiv, wenn du die Erlaubnis erteilst: auf iOS über den App-Tracking-Transparency-Dialog, auf Android über einen einmaligen In-App-Einwilligungsdialog beim ersten Öffnen der App. Lehnst du ab, wird nichts an Meta übermittelt, und Forra verwendet deine Daten niemals, um dir Werbung zu zeigen oder ein Werbeprofil von dir zu erstellen.
3. Auftragsverarbeiter
Forra nutzt diese Drittanbieter-Dienste, um das Produkt bereitzustellen. Mit jedem besteht ein unterzeichneter Auftragsverarbeitungs-Vertrag nach DSGVO Art. 28. Übermittlungen an US-Anbieter stützen sich auf die EU-Standardvertragsklauseln (Art. 46) und ergänzende Maßnahmen gemäß Schrems II.
| Auftragsverarbeiter | Land | Rolle | AVV |
|---|---|---|---|
| Supabase, Inc. | EU (Frankfurt) | Datenbank, Authentifizierung, Edge Functions, Dateispeicher | supabase.com/legal/dpa |
| OpenAI, LLC | USA | Sprachtranskription (Whisper) + Intent-Extraktion (GPT-4o-mini) | openai.com/policies/data-processing-addendum |
| Resend, Inc. | USA | Transaktions-E-Mail-Versand | resend.com/legal/dpa |
| Functional Software, Inc. (Sentry) | USA | Absturzberichte (abschaltbar) | sentry.io/legal/dpa |
| RevenueCat, Inc. | USA | Abo-Abrechnung + Webhook | revenuecat.com/dpa |
| Meta Platforms Ireland Ltd. | EU (Irland) | App-Installations-Zuordnung & Werbemessung der Mobile-App — nur mit deiner Tracking-Einwilligung aktiv (siehe § 4) | facebook.com/legal/terms/dataprocessing |
| ipapi.co | USA | IP-basierter Standort für Passwort-Änderungsmails | ipapi.co/privacy |
4. Werbezuordnung (Meta)
Die Forra-Mobile-App enthält das Meta-SDK, damit wir messen können, wie gut unsere eigene Werbung auf Facebook und Instagram funktioniert — konkret, ob eine Meta-Anzeige dich dazu gebracht hat, Forra zu installieren. Das nennt man Zuordnung (Attribution). Forra zeigt keine Werbung in der App; es geht ausschließlich darum, die Anzeigen zu bewerten, die wir über Forra schalten.
- Was an Meta übermittelt wird: die Werbe-ID deines Geräts (IDFA auf iOS / Werbe-ID auf Android) sowie einfache App-Ereignisse wie Installation und App-Starts. Wenn du einen Kauf tätigst, kann auch das Kaufereignis übermittelt werden, damit wir den Kampagnenwert messen können.
- Wer sie erhält: Meta Platforms Ireland Limited, das sie mit bereits bei Meta vorhandenen Daten über dein Gerät kombinieren kann, um deine Installation einer Anzeige zuzuordnen. Dies stellt Tracking im Sinne von Apple und der DSGVO dar und wird als solches im App-Store-Datenschutzlabel von Forra ausgewiesen.
- Rechtsgrundlage: deine ausdrückliche Einwilligung (DSGVO Art. 6 Abs. 1 lit. a). Auf iOS ist diese Einwilligung der App-Tracking-Transparency-Dialog, der beim ersten Öffnen von Forra erscheint; wählst du „App bitten, nicht zu tracken", wird deine Werbe-ID nicht gelesen und diese Zuordnung findet nicht statt. Auf Android, wo es keinen systemweiten Tracking-Dialog gibt, zeigt Forra beim ersten Öffnen einen einmaligen In-App-Einwilligungsdialog; das Meta-SDK bleibt vollständig ausgeschaltet — es initialisiert nicht, erfasst keine Werbe-ID und sendet keine Ereignisse —, sofern du nicht auf Erlauben tippst.
- Wie du deine Meinung änderst: Auf iOS unter Einstellungen → Datenschutz & Sicherheit → Tracking kannst du das Tracking für Forra jederzeit deaktivieren. Auf Android kannst du deine Werbe-ID unter Einstellungen → Datenschutz → Werbung zurücksetzen oder löschen (Meta erhält dann keine verwertbare Kennung), und du kannst eine E-Mail an [email protected] senden, um dieser Verarbeitung zu widersprechen oder die Löschung bereits übermittelter Daten zu verlangen — wir setzen deine Anfrage um und fordern Meta zur Löschung auf. Auch eine Neuinstallation der App erlaubt dir eine neue Entscheidung.
- Was wir niemals tun: Forra zeigt dir keine Werbung in der App, erstellt kein Werbeprofil von dir und verkauft deine Daten nicht. Diese Daten dienen ausschließlich der Messung unserer eigenen Installationskampagnen.
5. Spracheingabe und KI (EU AI Act Art. 50)
Wenn du die Spracheingabe nutzt:
- Dein Mikrofon-Audio wird an OpenAI Whisper zur Sprach-zu-Text-Umwandlung gesendet.
- Das resultierende Transkript wird an OpenAI GPT-4o-mini gesendet, um eine strukturierte Absicht zu extrahieren (z. B. „Milch zur Einkaufsliste hinzufügen“ → eine `shopping_item_added`-Aktion).
- Die Audio-Aufnahme wird nach der Transkription nicht gespeichert, weder bei OpenAI noch bei Forra.
- Du bestätigst oder bearbeitest das geparste Ergebnis immer, bevor Forra es in deine Daten schreibt.
- Du kannst die Einwilligung jederzeit in Einstellungen → Datenschutz → Stimme & KI widerrufen.
Die Spracheingabe ist Teil des optionalen kostenpflichtigen Abos (4,99 €/Monat oder 49,99 €/Jahr). Ohne Abo erscheint der Sprach-Button nicht.
6. Kontolöschung
Du kannst dein Konto jederzeit unter Einstellungen → Konto → Konto löschen in der Forra-App löschen. Wir verpflichten uns:
- Deine Löschung mit deinem Passwort zu bestätigen.
- Die Löschkaskade innerhalb von 24 Stunden nach deiner bestätigten Anfrage abzuschließen.
- Dir eine Bestätigungs-E-Mail nach Abschluss zu schicken (kein anklickbarer Wiederherstellungslink — siehe /delete-account).
- Nur das aufzubewahren, was das österreichische Recht verlangt: Rechnungsbelege (7 Jahre nach § 132 BAO) und einen 30-tägigen Audit-Log-Eintrag der Löschung für Betrugsprüfung.
7. Deine Rechte nach DSGVO
Du hast folgende Rechte bezüglich deiner personenbezogenen Daten:
- Auskunft (Art. 15): Kopie aller Daten anfordern, die wir über dich haben.
- Berichtigung (Art. 16): Unrichtige Daten korrigieren.
- Löschung (Art. 17): Konto und alle zugehörigen Daten löschen (siehe § 6).
- Datenübertragbarkeit (Art. 20): Deine Daten in maschinenlesbarem Format erhalten.
- Widerspruch (Art. 21): Verarbeitung auf Grundlage berechtigten Interesses widersprechen (z. B. Absturzberichte abschalten).
- Widerruf der Einwilligung (Art. 7 Abs. 3): Einwilligung jederzeit widerrufen — einschließlich der Tracking-Einwilligung (siehe § 4). Der Widerruf berührt nicht die Rechtmäßigkeit der vor dem Widerruf erfolgten Verarbeitung.
Zur Ausübung dieser Rechte: E-Mail an [email protected]. Wir antworten innerhalb von 30 Tagen nach Art. 12 Abs. 3.
8. Beschwerderecht
Wenn du der Meinung bist, dass Forra deine Daten nicht ordnungsgemäß behandelt, kannst du eine Beschwerde bei der österreichischen Datenschutzbehörde einlegen:
Österreichische Datenschutzbehörde
Barichgasse 40–42, 1030 Wien, Österreich
www.dsb.gv.at
9. Meldung von Datenschutzverletzungen
Tritt eine Verletzung des Schutzes personenbezogener Daten auf, die voraussichtlich ein Risiko für deine Rechte und Freiheiten darstellt, verpflichtet sich Forra:
- Die österreichische Datenschutzbehörde innerhalb von 72 Stunden nach Kenntnisnahme zu benachrichtigen (DSGVO Art. 33).
- Dich unverzüglich direkt zu informieren, wenn die Verletzung voraussichtlich ein hohes Risiko für deine Rechte und Freiheiten zur Folge hat (Art. 34).
10. Automatisierte Entscheidungen
Forra trifft keine ausschließlich automatisierten Entscheidungen, die rechtliche oder ähnlich bedeutende Wirkung dir gegenüber entfalten. Der KI-Rückblick ist rein informativ und ändert keinen Zustand ohne deine Aktion; die Spracheingabe liefert immer ein Transkript für deine manuelle Bestätigung, bevor in deine Daten geschrieben wird.
11. Änderungen dieser Erklärung
Bei wesentlichen Änderungen informieren wir dich in der App und per E-Mail bei Inkrafttreten der Änderungen gemäß Art. 13 Abs. 3. Die aktuelle Version und das Datum „Zuletzt aktualisiert" stehen oben auf dieser Seite.