Was Melja über eure Familie weiß — und wer es sieht.

Wer verantwortlich ist

Verantwortlich für die Verarbeitung personenbezogener Daten in der App Melja und auf dieser Website ist:

Eugen Mizel
Hubertusstraße 42, 32429 Minden, Deutschland
E-Mail: hallo@melja.app

Kurz gesagt

• Melja speichert, was ihr für die Familienorganisation eintragt, und sonst nichts.
• Keine Werbung, keine Werbe-IDs, keine Analyse- oder Tracking-Dienste, kein Verkauf von Daten.
• Eure Daten liegen bei einem Hosting-Dienstleister (Supabase), der sie nur in unserem Auftrag verarbeitet.
• Ihr könnt eure Daten jederzeit exportieren und euer Konto in der App löschen.

Welche Daten Melja speichert

• Konto: E-Mail-Adresse und Passwort. Das Passwort wird nur als Hash gespeichert, nie im Klartext.
• Familie: Familienname, Mitglieder (Erwachsene und Kinder) mit Name, Farbe, Rolle und optional Geburtsjahr; bei Kinderprofilen, wer wann eingewilligt hat.
• Termine: Titel, Zeit, Ort, Notiz, beteiligte Personen, Rollen wie „wer fährt“, Serienregeln, Vorbereitungspunkte und Entwürfe.
• Essen: Essensplan, wer kocht, Rezepte mit Titel, Zutaten, Bildlink, Quell-URL, Tags und gegebenenfalls Zubereitungstext.
• Weiteres: Geburtstage, Listen, Schließtage, Region bzw. Bundesland für Ferien und Feiertage, Zeiten für Morgen- und Abendbrief, die Version der akzeptierten Datenschutzhinweise.
• Abonnierte Kalender (ICS-Links): Wenn ihr einen Kalender per Link hinzufügt, speichert Melja den Link und ruft ihn regelmäßig ab; die Termine daraus werden in der Melja-Datenbank gespeichert, damit sie im Brief erscheinen.

Gerätekalender

Erlaubt ihr den Zugriff auf den Kalender eures Telefons, liest Melja die dort eingetragenen Termine nur auf dem Gerät. Diese Termine werden weder an unsere Server übertragen noch dort gespeichert, und Melja schreibt nichts in euren Kalender zurück. Welche Kalender Melja lesen darf, wählt ihr in den Einstellungen.

Wer eure Daten sieht

Innerhalb einer Familie sehen alle Erwachsenen die Daten dieser Familie. Die Datenbank prüft bei jeder Abfrage, zu welcher Familie jemand gehört (Row-Level-Security); fremde Familien können eure Daten nicht abrufen.

Verbundene Familien: Wenn ihr euch mit einer anderen Familie verbindet, sieht diese euren Familiennamen sowie Namen, Farbe und Rolle eurer Mitglieder, einschließlich der Vornamen eurer Kinder, damit Termine und Zuständigkeiten zugeordnet werden können. Geteilte Termine sehen beide Familien. Alles andere (eure übrigen Termine, Essensplan, Rezepte, Listen, Geburtstage) bleibt bei euch. Eine Verbindung könnt ihr in den Einstellungen wieder trennen.

Wo die Daten liegen

Die App-Daten liegen bei Supabase (Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513) als Auftragsverarbeiter, in einem Rechenzentrum in London (Vereinigtes Königreich). Für das Vereinigte Königreich gilt ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Mit Supabase besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Data Processing Addendum), der Teil der Nutzungsbedingungen ist. Soweit Supabase oder seine Unterauftragnehmer außerhalb der EU und des Vereinigten Königreichs auf Daten zugreifen, etwa für Support oder Betrieb, sichern die darin enthaltenen EU-Standardvertragsklauseln die Übermittlung ab (Art. 46 Abs. 2 lit. c DSGVO).

Diese Website wird über Cloudflare (Cloudflare, Inc., USA) ausgeliefert. Dabei werden technisch notwendige Verbindungsdaten wie IP-Adresse und Zeitpunkt verarbeitet, um die Seite auszuliefern und vor Angriffen zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Wir setzen keine Analyse- oder Werbedienste ein und laden keine Inhalte von anderen Servern. Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO); der Auftragsverarbeitungsvertrag enthält zusätzlich die EU-Standardvertragsklauseln.

E-Mails an hallo@melja.app leitet Cloudflare (Email Routing) an unser Postfach bei Google (Gmail; Google Ireland Limited) weiter, ohne ihren Inhalt zu speichern. Eure Nachricht liegt dann in diesem Postfach, bis wir sie nicht mehr brauchen.

Verbindungen zu Dritten

• Rezeptimport: Fügt ihr einen Rezeptlink ein, lädt euer Gerät diese Seite direkt, wie beim Öffnen im Browser. Die Rezeptseite erhält dabei die IP-Adresse eures Geräts. Unser Server ruft keine Rezeptseiten ab. Die Zubereitung wird nur gespeichert, wenn ihr das beim Import auswählt.
• Rezeptbilder: Bilder importierter Rezepte werden von der ursprünglichen Website geladen. Dabei erhält deren Betreiber die IP-Adresse eures Geräts.
• Abonnierte Kalender: ICS-Links werden von unserem Server abgerufen.
• Ferien und Feiertage: Unser Server lädt diese Daten von der offenen Schnittstelle OpenHolidays; dabei werden keine Daten über euch übertragen.
• Erinnerungen: Morgen- und Abendbrief sind lokale Benachrichtigungen auf eurem Gerät; es wird kein Push-Dienst eines Dritten genutzt.

Rechtsgrundlagen

• Bereitstellung der App und Speicherung eurer Einträge: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag).
• Zugriff auf den Gerätekalender: eure Einwilligung über die Systemfreigabe (Art. 6 Abs. 1 lit. a DSGVO), jederzeit in den Geräteeinstellungen widerrufbar.
• Betriebssicherheit, Protokolle, Missbrauchsabwehr: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb).

Speicherdauer und Löschung

Eure Daten bleiben gespeichert, solange euer Konto besteht. Wie das Löschen funktioniert und was dabei genau entfernt wird, steht auf der Seite Konto löschen. Außerdem gilt:

• Server-Protokolle bei Supabase (Zugriffe auf Schnittstelle und Datenbank, u. a. mit IP-Adresse und Zeitpunkt) werden nach einem Tag gelöscht.
• Automatische Sicherungskopien der Datenbank gibt es in unserem aktuellen Tarif bei Supabase nicht; gelöschte Daten lassen sich von uns nicht wiederherstellen.
• Für jedes angemeldete Gerät speichert der Anmeldedienst eine Sitzung mit IP-Adresse und Gerätekennung (User-Agent). Sie wird beim Abmelden oder mit dem Konto gelöscht.
• Verbindungsdaten beim Aufruf dieser Website verarbeitet Cloudflare nach eigenen Fristen; wir selbst werten sie nicht aus.

Wechseln wir den Tarif und ändern sich dadurch diese Fristen, passen wir diesen Abschnitt an.

Eure Rechte

Ihr habt das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Einen Export eurer Daten findet ihr in den Einstellungen der App; alles Weitere per E-Mail an hallo@melja.app.

Ihr könnt euch außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

Kinder

Melja richtet sich an Eltern und Erziehungsberechtigte. Kinder haben kein eigenes Konto; ihre Profile legen Erwachsene an, die dafür verantwortlich sind.

Änderungen

Es gilt die jeweils hier veröffentlichte Fassung; das Datum oben zeigt ihren Stand.