Datenschutz
Datenschutzerklärung
Zuletzt aktualisiert: 26. Juni 2026
1. Verantwortlicher und EU-Vertreter
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
| Verantwortlicher / Anbieter | The Fred Group, Inc. (d/b/a NordicScan), gegründet nach dem Recht von Ontario, Kanada |
| Anschrift | 795640 3rd Line EHS, Mono, ON L9V 1B5, Kanada |
| Vertretungsberechtigt | Frederic Hausmann, President |
| Datenschutz / Betroffenenrechte | privacy@nordicscan.co |
| Allgemeiner Kontakt | info@nordicscan.co |
| Kontaktformular | https://nordicscan.com/contact |
Telefonischer Support ist derzeit nur für Nordamerika vorgesehen. Nutzerinnen und Nutzer in Deutschland und im EU/EWR-Raum sollten uns per E-Mail oder über das überwachte Kontaktformular kontaktieren.
EU/EWR-Vertreter nach Art. 27 DSGVO: Instant EU GDPR Representative Ltd, Office 2, 12A Lower Main Street, Lucan, Co. Dublin, K78 X5P8, Irland; Ansprechpartner: Adam Brogden; E-Mail: contact@gdprlocal.com. Betroffene im EU/EWR-Raum können den Vertreter zusätzlich über das EU-Portal kontaktieren: https://tfgioan-639173199754229335.gdprlocal.com/eu. Der vorrangige Kontakt für Datenschutzanfragen bleibt privacy@nordicscan.co.
Die Hauptoberfläche der App "NordicScan" ist in englischer Sprache. Diese Datenschutzerklärung stellt die deutschsprachigen Datenschutzinformationen für Deutschland bereit.
2. Was die App ist
NordicScan ist ein Werkzeug zur allgemeinen Verbraucherrecherche. Sie scannen ein Lebensmittel- oder Kosmetikprodukt; die App zeigt Informationen zu Inhaltsstoffen und einen Bedenken-Score nach unserer veröffentlichten Methode. Wie der Score gebildet wird und wie Sie eine Bewertung beanstanden können, erläutern wir auf unserer Methodenseite.
Die Grenzen der App-Funktion werden im Hinweis am Ende dieser Erklärung wiedergegeben.
3. Welche personenbezogenen Daten wir verarbeiten und warum
Wir erheben bewusst wenig. Die folgende Tabelle beschreibt den datenminimierten Datensatz. Wir erheben keinen Hauttyp, kein Allergie- oder Art.-9-Profil und keine verhaltensbasierten Werbe-Identifikatoren.
| Daten | Was es ist | Zweck | Rechtsgrundlage |
|---|---|---|---|
| Kontokennungen | E-Mail-Adresse und interne Konto-ID (AWS Cognito sub) |
Konto erstellen und betreiben; Authentifizierung; Support | Vertrag (Art. 6 Abs. 1 lit. b DSGVO) |
| Ergebnis der Altersprüfung | nur ein Bestanden/Nicht-bestanden-Vermerk: {passed, threshold, storefront, policy_version, timestamp}; kein Geburtsdatum und kein genaues Alter |
Mindestalter bestätigen; Vorgaben zum Kinderschutz einhalten | rechtliche Verpflichtung / Vertrag (Art. 6 Abs. 1 lit. c und b DSGVO) |
| Optionale Angabe Geschlecht | nur, wenn Sie diese freiwillig angeben; überspringbar | optionale Anpassung von Produkthinweisen | Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), widerruflich |
| Hochgeladene Produktbilder | Verpackungsfotos, die Sie beim Hinzufügen eines Produkts hochladen: Vorderseite, Inhaltsstoffe, Nährwerttabelle oder Anwendungshinweise | Produkt analysieren; gemeinsame Produktdatenbank aufbauen und pflegen; Analyse prüfen und verbessern | Vertrag (Art. 6 Abs. 1 lit. b DSGVO) und berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) |
| Scan-Verlauf | Ihre Scan-Ergebnisse und Ihr Verlauf | Scan-Verlauf anzeigen | Vertrag (Art. 6 Abs. 1 lit. b DSGVO) |
| Standort zum Scan-Zeitpunkt | ungefährer Standort, der beim Scan erfasst wird | Produktverfügbarkeit und regionalen Inhaltsstoffkontext berücksichtigen | Vertrag / berechtigte Interessen (Art. 6 Abs. 1 lit. b und f DSGVO) |
| Abonnement- und Kaufdaten | Abostatus und Kaufereignisse über RevenueCat; der App-Store ist Vertragspartner für den Kauf | bezahlte Abos betreiben; Berechtigung prüfen | Vertrag (Art. 6 Abs. 1 lit. b DSGVO) |
| Push-Token | Geräte-Push-Token über Firebase Cloud Messaging, erst nachdem Sie die OS-Benachrichtigungsberechtigung erteilt haben | transaktionale oder von Ihnen angeforderte Benachrichtigungen; keine Werbe-Pushs ohne Einwilligung | Einwilligung / berechtigte Interessen, vorbehaltlich TDDDG § 25 |
| Stabilitäts- und Absturzdaten | Absturz- und Stabilitätsdaten über Firebase Crashlytics | App stabil betreiben und Fehler beheben | berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO), vorbehaltlich TDDDG § 25 |
| Support-Korrespondenz | Inhalte, die Sie uns per E-Mail oder über Supportkanäle senden | Anfrage beantworten; Vorgang dokumentieren | berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) |
Gemeinsame Produktdatenbank. Wenn Sie ein Produkt erfolgreich hinzufügen, wird dessen Vorderseiten-Bild zum Katalogbild dieses Produkts und kann anderen Nutzerinnen und Nutzern angezeigt werden, die denselben Barcode scannen. Vor der Veröffentlichung entfernen wir Metadaten wie EXIF- oder Standortdaten und prüfen das Bild, damit es Produktinformation enthält. Das veröffentlichte Katalogbild ist danach dem Barcode zugeordnete, de-identifizierte Produktinformation und nicht mehr mit Ihrem Konto verknüpft. Es bleibt in der Produktdatenbank, auch wenn Sie Ihr Konto später löschen. Sollte ein Katalogbild ausnahmsweise dennoch Sie identifizierende Daten enthalten, können Sie dessen Entfernung oder Schwärzung verlangen oder widersprechen.
Andere Produktbilder. Bilder von Inhaltsstoffen, Nährwerten oder Anwendungshinweisen werden anderen Nutzerinnen und Nutzern nicht angezeigt. Wir verwenden sie zur Analyse des Produkts sowie zur Prüfung und Verbesserung unserer Analyse.
Aufbewahrung zur Analyse und Verbesserung. Wir können hochgeladene Produktbilder bis zu 7 Jahre aufbewahren, unabhängig davon, ob das Produkt erfolgreich hinzugefügt wurde. Sie können dieser Verbesserungsnutzung widersprechen.
Zufällige personenbezogene Daten in Bildern. Produktbilder sollen Verpackungen erfassen, können aber zufällig personenbezogene Daten enthalten, zum Beispiel eine Hand oder eine Spiegelung. Bitte fotografieren Sie nur das Produkt.
Datenherkunft nach Art. 14 DSGVO. Die meisten Daten stammen direkt von Ihnen. Einige Daten erhalten wir von Dritten, die im Zusammenhang mit dem Dienst handeln: App-Stores und RevenueCat für Abonnement- und Kaufereignisse, Firebase-SDKs für Stabilitätsdaten und Push-Token-Status sowie Ihre Support-Korrespondenz. Wir kaufen Ihre Daten nicht von Datenhändlern und reichern sie nicht über Datenhändler an.
4. Besondere Kategorien personenbezogener Daten
Keine absichtliche Erhebung von Art.-9-Daten über körperlichen Zustand, Hauttyp, Allergien, Schwangerschaft, Hautzustände oder körperbezogene Ziele. Produktfotos, Scan-Verlauf, Standort zum Scan-Zeitpunkt und optionale Angaben wie Geschlecht sind gewöhnliche personenbezogene Daten und keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO, es sei denn, sie würden mit Art.-9-bezogenen Nutzereingaben kombiniert, die die App nicht erhebt.
Wir nutzen bewusst nicht die zu weit gehende Aussage, dass keine Daten mit irgendeinem Bezug zu körperlichen Merkmalen vorkommen können. Maßgeblich ist die genaue Aussage oben. Die Allergen- oder Inhaltsstoffangabe eines Produkts ist öffentliche Produktinformation, nicht Ihr personenbezogenes Datum.
5. Einsatz von KI
Wir nutzen KI-basierte Erkennung von Inhaltsstoffen, um Etiketten zu lesen und Produktinformationen zu strukturieren. Bei der Bearbeitung von Betroffenenanfragen können kontrollierte KI-Werkzeuge unser Team unterstützen, die ausschließlich gegen unsere eigenen Systeme arbeiten. Wir geben Ihre personenbezogenen Daten nicht in öffentliche KI-Chat-Dienste ein.
6. Speicherdauer
Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist, und löschen oder anonymisieren sie danach. Maßgeblich ist: so lange wie für den genannten Zweck erforderlich sowie für den Zeitraum, den eine rechtliche, steuerliche oder Rechenschaftspflicht verlangt; danach löschen oder anonymisieren wir die Daten.
| Daten | Speicherdauer |
|---|---|
| Kontodaten | für die Dauer Ihres Kontos; gelöscht bei Kontolöschung, nachdem Sicherungen regulär ausgelaufen sind |
| Hochgeladene Produktbilder | bis zu 7 Jahre zur Analyse, Prüfung und Verbesserung, unabhängig davon, ob das Produkt erfolgreich hinzugefügt wurde |
| Vorderseiten-Bild eines erfolgreich hinzugefügten Produkts | als de-identifizierter Produktdatenbank-Inhalt dem Barcode zugeordnet; bleibt nach Kontolöschung erhalten |
| Scan-Verlauf | bis Sie den Eintrag oder Ihr Konto löschen |
| Ergebnis der Altersprüfung | für die Dauer des Kontos; kein Geburtsdatum gespeichert |
| Abonnement-, Kauf- und Steuerunterlagen | nach den anwendbaren finanziellen und steuerlichen Aufbewahrungspflichten |
| Stabilitäts- und Absturzprotokolle (Crashlytics) | 90 Tage |
| Protokoll zu Betroffenenanfragen | 2 Jahre zur Rechenschaft |
7. Ihre Rechte und wie Sie sie ausüben
Je nach anwendbarem Recht haben Sie Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit sowie das Recht, eine Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird.
Sie können Rechte ausüben, indem Sie uns unter privacy@nordicscan.co kontaktieren. Alternativ können Betroffene im EU/EWR-Raum den EU-Vertreter über https://tfgioan-639173199754229335.gdprlocal.com/eu kontaktieren. Wir prüfen Ihre Identität und antworten innerhalb der gesetzlichen Frist. Im EU/EWR-Raum beträgt diese Frist grundsätzlich 1 Monat und kann bei komplexen Anfragen gesetzlich verlängert werden.
Sie können optionale Angaben wie Geschlecht und Ihr Konto in der App bearbeiten oder löschen und Benachrichtigungsberechtigungen in den Geräteeinstellungen verwalten.
Löschung: was wir löschen und was wir behalten müssen. Wenn Sie Ihr Konto löschen, löschen wir Ihr Konto und die mit Ihnen verknüpften personenbezogenen Daten, einschließlich der Bilder, die wir zur Verbesserung unserer Analyse halten. Zwei Dinge können verbleiben: Erstens bleibt ein bereits im gemeinsamen Produktkatalog veröffentlichtes Vorderseiten-Bild als de-identifizierte Produktinformation zum Barcode erhalten; enthält ein solches Bild ausnahmsweise dennoch identifizierende Daten, löschen oder schwärzen wir diese auf Ihr Verlangen. Zweitens behalten wir Unterlagen, die wir aus rechtlichen, steuerlichen oder Rechenschaftsgründen aufbewahren müssen, zum Beispiel das Anfragen-Protokoll oder Finanzunterlagen. Sie können der Nutzung Ihrer hochgeladenen Bilder zur Verbesserung unserer Analyse nach Art. 21 DSGVO widersprechen.
8. Internationale Datenübermittlungen
The Fred Group, Inc. betreibt den Dienst aus Kanada und nutzt Auftragsverarbeiter in Kanada und den USA. Wenn Sie die App aus dem EU/EWR-Raum nutzen, werden personenbezogene Daten außerhalb des EWR verarbeitet. Wir stützen uns auf folgende Mechanismen:
- EU/EWR nach Kanada: den EU-Angemessenheitsbeschluss für kanadische gewerbliche Organisationen und/oder Standardvertragsklauseln (SCCs) mit Übermittlungsfolgenabschätzung, soweit der Angemessenheitsbeschluss nicht greift.
- EU/EWR an US-Auftragsverarbeiter: Standardvertragsklauseln (SCCs) und einen Transfer-Impact-Vermerk.
Eine Kopie oder Zusammenfassung geeigneter Garantien können Sie unter privacy@nordicscan.co anfordern.
8.1 Auftragsverarbeiter
| Auftragsverarbeiter | Rolle | Ort | Übermittlungsmechanismus |
|---|---|---|---|
| Amazon Web Services (AWS) - Cognito, S3, Infrastruktur | Auftragsverarbeiter | USA | SCCs |
| Google / Firebase - Crashlytics, Firebase Cloud Messaging (FCM) | Auftragsverarbeiter | USA | SCCs |
| RevenueCat - Abonnementverwaltung | Auftragsverarbeiter | USA | SCCs |
| OpenAI - Text- und Inhaltsstofferkennung in der Bewertungspipeline | Auftragsverarbeiter; konservativ in der Liste behalten | USA | SCCs |
| E-Mail (kein Drittanbieter-Helpdesk) - Support und Datenschutz über privacy@nordicscan.co | kein gesonderter Support-Auftragsverarbeiter | nicht anwendbar | nicht anwendbar |
Der App-Store selbst ist für den Kauf der Merchant of Record und insoweit nicht unser Auftragsverarbeiter.
9. Kinder
NordicScan richtet sich nicht an Kinder und ist ein Verbraucherrecherche-Werkzeug für ein allgemeines Publikum. Beim Anlegen eines Kontos setzen wir eine Altersprüfung ein, die nur ein Bestanden/Nicht-bestanden-Ergebnis speichert. Für Deutschland und den gesamten EU/EWR-Raum gilt: 16 Jahre oder älter. Wir verarbeiten wissentlich keine personenbezogenen Daten von Personen unterhalb des anwendbaren Alters. Wenn wir erfahren, dass uns Daten einer Person unterhalb dieser Altersgrenze übermittelt wurden, löschen wir diese Daten.
10. Automatisierte Entscheidungsfindung
Inhaltsstoffbasierte Ergebnisse werden algorithmisch und zu Informationszwecken erstellt. Eine automatisierte Entscheidung im Einzelfall mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt.
11. Cookies, Speicherung auf dem Gerät und SDKs (TDDDG § 25)
Die App ist keine Website und verwendet keine Werbe-Cookies und keine Werbe-Identifikatoren. Einige SDKs speichern oder lesen Informationen auf Ihrem Gerät, insbesondere Firebase Crashlytics und Firebase Cloud Messaging.
- Crashlytics: Wir erheben Stabilitäts- und Absturzdaten erst nach Ihrer Einwilligung, soweit das Speichern oder Auslesen auf Ihrem Gerät nicht im Sinne von § 25 Abs. 2 TDDDG unbedingt erforderlich ist. Vor einer erforderlichen Einwilligung erfolgt keine Crashlytics-Erhebung.
- Firebase Cloud Messaging: Ein Push-Token wird erst nach Ihrer Erteilung der OS-Benachrichtigungsberechtigung und nur für transaktionale oder von Ihnen angeforderte Benachrichtigungen erstellt. Werbe-Pushs erfolgen nur mit gesonderter Einwilligung.
12. Änderungen und Beschwerderecht
Wir aktualisieren diese Erklärung, wenn sich die App, unsere Datenverarbeitung oder das Recht ändern. Bei einem Anliegen kontaktieren Sie uns bitte zuerst unter privacy@nordicscan.co.
Sie haben außerdem das Recht, sich bei Ihrer örtlich zuständigen Datenschutz-Aufsichtsbehörde zu beschweren. In Deutschland können Sie sich an die für Sie zuständige Landesdatenschutzbehörde oder an die Bundesbeauftragte beziehungsweise den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) wenden. Als nicht in der EU ansässiger Verantwortlicher, der über einen Vertreter handelt, benennen wir keine einzige federführende Aufsichtsbehörde.
Hinweis zur Funktion der App (kein medizinisches Urteil)
„NordicScan stellt Informationen zu Inhaltsstoffen und einen Bedenken-Score nach unserer veröffentlichten Methode bereit, zu Zwecken der allgemeinen Verbraucherrecherche. Es handelt sich nicht um medizinischen Rat und nicht um ein Medizinprodukt; es dient nicht der Diagnose, Behandlung, Heilung oder Vorbeugung von Krankheiten und trifft keine Aussage über die Sicherheit eines Produkts. Entscheiden Sie selbst."