Datenschutz

Ullage bewahrt deinen Vorrat auf deinem Telefon. Nicht auf unserem Server, nicht in einem Konto, das du erst anlegen musst — auf dem Gerät in deiner Hand. Die meisten Menschen können die ganze App nutzen, ohne dass je Daten es verlassen.

Diese Seite sagt genau, was das Gerät verlässt, wann, und wie du es abstellst. Sie ist kurz, weil es wirklich nicht viel ist.

Was auf deinem Gerät bleibt

Deine Artikel, wie viel du von jedem hast, was du wann gekauft hast, deine Einkaufsliste, der Name deines Haushalts und deine Einstellungen. Alles wird lokal gespeichert und lokal gelesen. Die Vorhersagen sind Rechnungen, die auf deinem Telefon laufen.

Alles, was Daten von deinem Gerät sendet

Sieben Dinge, und sechs davon warten auf deine Entscheidung. Das siebte ist gekennzeichnet, denn eine solche Liste nützt nur, wenn sie vollständig ist. Jedes davon ist eine eigene Entscheidung.

• Sicherung. Wenn du eine E-Mail-Adresse hinzufügst, damit dein Vorrat einen Geräteverlust übersteht, speichern wir diese Adresse und laden eine Kopie deines Regals hoch.
• Haushalt teilen. Wenn du dein Regal mit den Menschen teilst, mit denen du wohnst, wird es hochgeladen, damit ihre Telefone es lesen und ändern können.
• Nutzungsstatistiken. Aus, solange du sie nicht in den Einstellungen einschaltest. Aus ist die Voreinstellung, und wenn sie aus bleiben, ändert das nichts an der Funktionsweise der App.
• Einen Beleg lesen. Wenn du zustimmst, sobald der Scanner fragt — die scharfe Lesung —, werden die Einkaufszeilen zum Benennen gesendet: die, die einen Namen und einen Preis tragen, und nichts anderes von dem, was die Kasse gedruckt hat. Der Laden, Datum und Uhrzeit und die Kartenzeile werden hier auf deinem Telefon verworfen, bevor etwas es verlässt. Die Zeilen gehen an ein KI-Modell, das über ein Unternehmen namens OpenRouter erreicht wird, und wir speichern nichts davon. Das Foto selbst verlässt dein Telefon nie. Sagst du nein oder lässt du es in den Einstellungen aus, wird der Scanner weggeräumt: Nichts wird gesendet, und nichts, was du bereits gescannt hast, wird angetastet. Die Kennung deines Haushalts geht mit den Zeilen mit, damit das Lesen ihr zugerechnet werden kann — dafür braucht es keine E-Mail und kein Konto, und diese Kennung ist alles, was der Server darüber erfährt, wer du bist.
• Nachrichten, die du uns schickst. Wenn du uns aus den Einstellungen schreibst, erhalten wir die Nachricht und das, was mit ihr mitkommt. Unten vollständig beschrieben.
• Einen Barcode nachschlagen — nur in den iPhone- und Android-Apps. Wenn du ein Produkt scannst, wird der Barcode — und sonst nichts — an Open Food Facts gesendet, eine öffentliche Lebensmitteldatenbank, die mit Name und Größe des Produkts antwortet. Sie erfahren, dass jemand dieses Produkt nachgeschlagen hat; wer das war, erfahren sie nicht, und nichts von deinem Regal geht mit. Die Web-App hat keinen Scanner und fragt dort nie etwas. Fügst du den Artikel stattdessen von Hand hinzu, wird nichts gesendet.
• Absturzberichte — die Ausnahme. Die Web-App meldet ihre eigenen Abstürze ungefragt, denn ein Absturz ist genau der Moment, in dem sie nicht fragen kann. Deine E-Mail-Adresse und deine IP-Adresse werden entfernt, bevor der Bericht das Gerät verlässt. Die iOS- und Android-Apps melden an niemanden.

Was die Sicherung oder ein geteilter Haushalt enthält

• Der Name deines Haushalts sowie Name, Farbe und Avatar, die jedes Mitglied gewählt hat
• Deine Artikel: was sie sind, Größe und Sorte
• Kaufereignisse: welcher Artikel, wann, wer ihn eingetragen hat, wie viele, die Marke, falls ein Beleg sie genannt hat, aus welchem deiner Läden er stammt und was er gekostet hat
• Die Läden, die du benannt hast, und die Barcodes, die du einem Artikel zugeordnet hast
• Korrekturen: wann du uns gesagt hast, dass eine Vorhersage falsch war, und was sie vorhergesagt hatte
• Deine Einkaufsliste und der Einladungscode, wenn du teilst

Kein Standort, keine Kontakte, keine Zahlungsdaten: Wir fragen nie danach, und die App hat keinen Code, der sie liest. Auch nicht deine Fotos — Ullage durchsucht die Galerie nie, legt keinen Index darüber an und sieht kein Bild, das du ihm nicht selbst gegeben hast. Zahlungsdaten meint, wie du bezahlst — eine Karte, ein Konto — und nicht, was eine Dose Tomaten gekostet hat: Preise stehen oben, weil dein Regal sie festhält, und keiner davon ist ein Weg, dir Geld abzunehmen. Die einzige Ausnahme von alledem ist ein Beleg, den du selbst scannst — ob du ihn fotografierst oder aus der Galerie auswählst — und auf dem steht, was die Kasse gedruckt hat. Darum fragt der Scanner vorher, darum sagt er, was er senden wird, und darum verlässt das Foto selbst das Gerät nie.

Deine E-Mail-Adresse

Wird nur erhoben, wenn du eine hinzufügst, und nur dazu benutzt, dir den Bestätigungscode zu senden und dein Regal auf einem neuen Telefon wiederherzustellen. Sie wird nie für Werbung verwendet, nie verkauft und nie mit Nutzungsstatistiken verknüpft.

Nutzungsstatistiken, wenn du sie einschaltest

Jeder Eintrag ist eine Zeile: welcher Bildschirm oder Meilenstein, die Plattform, die App-Version, deine Konto-ID und die Zeit.

Nie enthalten sind der Inhalt deines Vorrats, was du gekauft hast, deine E-Mail-Adresse oder dein Standort. Es dient dazu zu sehen, welche Teile der App funktionieren und welche ignoriert werden — nichts weiter, und es geht an niemanden sonst.

Nachrichten, die du uns schickst

Wenn du uns aus den Einstellungen schreibst, erhalten wir deinen Text, welche der vier Arten du gewählt hast und — nur wenn du sie einträgst — eine E-Mail-Adresse für die Antwort. Dazu kommen deine App-Version, Plattform, Sprache, der Sync-Status und wie viele Dinge und Personen zu deinem Regal gehören.

Nie das Regal selbst: keine Artikelnamen, keine Läden, keine Preise. Eine Nachricht bleibt, bis wir uns darum gekümmert haben. Alle Daten löschen entfernt sie nicht, denn diese Schaltfläche räumt nur dieses Gerät auf — Konto löschen tut es, zusammen mit allem anderen von dir, das wir haben.

Fehlerberichte

Die Web-Version meldet Abstürze an Sentry, damit wir sie beheben können — E-Mail-Adresse und IP-Adresse werden vor dem Senden entfernt. Die iOS-App meldet Abstürze an niemanden: Fehler werden ins Geräteprotokoll geschrieben und bleiben dort.

Kein Tracking, keine Werbung

Wir verfolgen dich nicht über andere Apps oder Websites. Es gibt keine Werbe-ID, kein Werbenetzwerk, kein Analyse-Kit von Dritten und keinen Datenhändler. Nichts, was du hier tust, wird mit Daten über dich von irgendwo anders zusammengeführt. Darum zeigt iOS dir nie eine Tracking-Abfrage — es gibt nichts zu fragen.

Wer es verarbeitet

Hochgeladene Daten liegen in einer Postgres-Datenbank und einem Authentifizierungsdienst, die Supabase in unserem Auftrag betreibt, geschützt durch Regeln auf Zeilenebene, sodass nur Mitglieder deines Haushalts deinen Haushalt lesen können. Supabase verarbeitet sie für uns und für nichts Eigenes.

Zwei weitere sind beteiligt, und dein Telefon erreicht sie auf unterschiedliche Weise. Open Food Facts beantwortet Barcode-Abfragen, und dein Telefon fragt dort direkt an — deren Server sehen also die Anfrage von deiner Verbindung kommen, zusammen mit dem Barcode und sonst nichts. OpenRouter gibt den Text eines gescannten Belegs an das Modell weiter, das die Artikel benennt, und wird von unserem Server aufgerufen statt von deinem Telefon, sieht also nie, woher der Beleg kam. Keinem von beiden wird gesagt, wer du bist, und keinem wird etwas von deinem Regal gesendet.

Wie lange wir es aufbewahren

So lange, wie dein Konto besteht. Löschst du das Konto, verschwindet die Kopie auf dem Server mit ihm — außer bei einem Haushalt, in dem noch jemand anderes Mitglied ist: der bleibt bei den anderen, und dein Name wird daraus entfernt.

Was du dagegen tun kannst

• Konto löschen — Einstellungen. Löscht die Kopie auf dem Server. Dein Vorrat bleibt auf dem Telefon, solange du nicht auch dessen Löschung verlangst.
• Alle Daten löschen — Einstellungen. Löscht alles auf diesem Gerät.
• Freigabe beenden — Einstellungen. Der Haushalt synchronisiert nicht mehr und der Einladungscode funktioniert nicht länger.
• Nutzungsstatistiken abschalten — Einstellungen. Sie sind von Anfang an aus, und wenn du sie wieder ausschaltest, werden ab sofort keine neuen Einträge mehr erfasst.

Wenn du in der EU oder im Vereinigten Königreich bist, hast du außerdem das Recht, eine Kopie deiner Daten zu verlangen, sie berichtigen oder löschen zu lassen und der Verarbeitung zu widersprechen. Die Schalter oben erledigen das meiste davon sofort; für alles andere schreib uns.

Kinder

Ullage ist ein Haushaltswerkzeug für Erwachsene und richtet sich nicht an Kinder unter 13. Wir erheben wissentlich nichts von ihnen.

Änderungen

Wenn sich diese Erklärung so ändert, dass es die erhobenen Daten betrifft, ändert sich das Datum oben, und die App sagt es dir, bevor die Änderung gilt.

Kontakt

Fragen zu all dem oder ein Anliegen zu deinen Daten: privacy@ullage.app.