SPÄTLYKontakt

Datenschutzerklärung

Stand: 13.11.2026

1. Verantwortlicher

1ACE GmbH, Gabelsbergerstraße 30, 80333 München
Vertreten durch den Geschäftsführer Sebastian Handschke
E-Mail: [email protected] · Telefon: +49 176 55 776 994
Für Datenschutzanfragen zu SPÄTLY: [email protected]

2. Worum es geht

SPÄTLY besteht aus der App für Kundinnen und Kunden (iOS, Android in Vorbereitung) und dem Händlerportal im Browser. In der App findest du Spätis in Berlin und München, siehst Sortiment und Angebote, sammelst Treuepunkte beim Einkauf im Laden und löst Prämien an der Kasse ein. Bestellen und Abholen über die App ist derzeit ausgeschaltet. Bezahlt wird immer im Laden, SPÄTLY wickelt keine Zahlungen ab.

3. Welche Daten wir verarbeiten und warum

a) Nutzung ohne Konto („Erst umschauen“)

Du kannst Läden, Sortiment und Angebote ohne Konto ansehen. Dabei verarbeiten unsere Server technisch notwendige Daten (IP-Adresse, Zeitpunkt, abgerufene Inhalte, Gerätetyp und App-Version), um die Inhalte auszuliefern und Missbrauch abzuwehren. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb). Server-Protokolle werden nach kurzer Zeit automatisch gelöscht.

b) Konto

Für Favoriten, Punkte und Prämien brauchst du ein Konto. Wir speichern deine E-Mail-Adresse, dein Passwort nur als nicht umkehrbaren Prüfwert (Hash; wir sehen es nie im Klartext) sowie Zeitpunkte von Registrierung, Bestätigung und Anmeldung. Bei der Anmeldung mit Apple erhalten wir nur die (ggf. weitergeleitete) E-Mail-Adresse und eine Apple-Kennung; deinen Namen fragen wir nicht ab. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag).

Solange du angemeldet bist, speichern wir zu jeder Anmeldesitzung den Zeitpunkt, die IP-Adresse und die technische Kennung deiner App bzw. deines Browsers (User-Agent), damit die Anmeldung sicher erneuert werden kann und wir fremde Zugriffe erkennen. Registrierungen, Anmeldungen und Löschungen protokolliert unser Anmeldedienst mit E-Mail-Adresse und Konto-ID. Sitzungen löschen wir, wenn du dich abmeldest, dein Konto löschst oder sie 180 Tage nicht genutzt wurden; die Protokolle nach 30 Tagen und bei der Löschung deines Kontos sofort. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anmeldung) und lit. f DSGVO (Sicherheit deines Kontos).

c) Reservierungen und Abholung (derzeit ausgeschaltet)

Neue Reservierungen sind zurzeit nicht möglich. Für Reservierungen aus der Testphase und wenn die Funktion wieder eingeschaltet wird, gilt: Wenn du reservierst, speichern wir Laden, Produkte, Mengen, Preise, Status (angefragt, angenommen, abholbereit, abgeholt, abgelehnt, abgelaufen) und einen Abholcode. Der jeweilige Laden sieht deine Reservierung und den Abholcode, um sie vorzubereiten und dir auszuhändigen. Bei altersbeschränkten Produkten prüft der Laden bei Abholung dein Alter vor Ort; SPÄTLY speichert dazu keine Ausweisdaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

d) Treuepunkte und Prämien

Pro Laden führen wir ein Punktekonto mit Buchungen (Punkte für Einkäufe im Laden, eingelöste Prämien, Stornos). Punkte bekommst du nach dem Bezahlen: Du zeigst an der Kasse „Mein SPÄTLY-Code“ aus der App, der in allen Partnerläden gilt, oder du scannst den QR-Code, den der Laden dir zeigt. Die Codes gelten nur wenige Minuten und nur einmal; der Laden gibt dazu den Einkaufsbetrag und gegebenenfalls eine Belegnummer ein und kann im selben Schritt eine Prämie einlösen. Beim Scannen sieht der Laden statt deines Namens ein vierstelliges Kürzel, das nur in diesem Laden gilt, sowie deinen Punktestand, die Zahl und das Datum deiner bisherigen Besuche und die heutigen Buchungen in diesem Laden. Deine E-Mail-Adresse, eine ladenübergreifende Kennung deines Kontos und deine Daten aus anderen Läden sieht der Laden nicht. Pro Laden und Tag sind höchstens drei Einkäufe mit Punkten möglich; eine Buchung kann der Laden 10 Minuten lang per Gegenbuchung zurücknehmen. Prämien-Codes gelten 10 Minuten und nur einmal. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; die Tagesgrenze und das Kürzel dienen außerdem dem Schutz vor Missbrauch (lit. f).

e) Favoriten

Läden, die du als Favorit markierst, speichern wir in deinem Konto. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

f) Standort

Nur wenn du es erlaubst, liest die App deinen Standort (auf etwa 100 m genau), solange sie geöffnet ist, um Läden und Angebote in deiner Nähe zu zeigen. Der Standort wird für die jeweilige Suchanfrage an unseren Server geschickt und dort nicht gespeichert. Es gibt keine Standortabfrage im Hintergrund und kein Bewegungsprofil. Du kannst die Freigabe jederzeit in den Einstellungen deines Geräts widerrufen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

g) Mitteilungen (Push)

Wenn du Mitteilungen erlaubst, speichern wir eine Push-Kennung deines Geräts, um dich z. B. über den Status deiner Reservierung zu informieren. Solange Mitteilungen bei SPÄTLY ausgeschaltet sind, wie zum Start, speichern wir keine Push-Kennungen. Die Zustellung läuft über den Push-Dienst von Expo sowie Apple bzw. Google. Inaktive Kennungen löschen wir nach spätestens 90 Tagen, Zustellprotokolle nach 30 Tagen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

h) E-Mails

Wir senden E-Mails nur, wenn sie für dein Konto nötig sind (Bestätigung der Adresse, Passwort zurücksetzen, Änderung der E-Mail-Adresse). Absender ist [email protected]. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

i) Support

Wenn du uns schreibst, verwenden wir deine Nachricht und Kontaktdaten, um dein Anliegen zu bearbeiten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn es um dein Konto oder eine Zusammenarbeit geht, sonst lit. f DSGVO (unser berechtigtes Interesse, Anfragen zu beantworten).

j) Deine Daten in der App

Unter „Profil“ → „Meine Daten anzeigen“ siehst du die Daten, die wir zu deinem Konto speichern: Konto, Anmeldewege und aktive Anmeldesitzungen, Favoriten, Punkte und Buchungen, Einkäufe mit Belegnummer, eingelöste Prämien, Reservierungen, Geräte für Mitteilungen sowie im Händlerbereich deine Rollen, Laden-Anfragen, von dir vorgenommene Buchungen und Einladungen. Du kannst sie als Datei teilen. Interne Sicherheitsschlüssel wie Abholcodes und Push-Kennungen sind nicht enthalten. Anfragen über das Kontaktformular der Website sind nicht mit deinem Konto verknüpft; Auskunft dazu bekommst du per E-Mail an [email protected].

4. Händlerportal

Händlerinnen und Händler melden sich mit E-Mail und Passwort an. Wir speichern Kontodaten, die Zuordnung zum Laden und die Rolle (Inhaber, Verwaltung, Team) sowie die Ladendaten, Produkte, Angebote, Prämien und Öffnungszeiten, die im Portal gepflegt werden. Dieselben Daten lassen sich auch im Händlerbereich der App bearbeiten (Kasse, Heute, Sortiment, Angebote, Laden). Im Portal sieht der Laden die Reservierungen, die bei ihm eingehen, mit Abholcode, aber ohne die E-Mail-Adresse der Kundschaft. An der Kasse sieht der Laden zu Kundinnen und Kunden nur die in Abschnitt 3 d) genannten Angaben. In der Tagesübersicht „Heute“ sehen alle Teammitglieder eines Ladens, wer aus dem Team eine Buchung vorgenommen hat (der Teil der E-Mail-Adresse vor dem @); das dient der Nachvollziehbarkeit an der Kasse (Art. 6 Abs. 1 lit. f DSGVO). Die Kamera wird im Portal und in der App nur nach Tippen auf „Scannen“ genutzt; Kamerabilder bleiben auf dem Gerät und werden nicht gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Registrierung und „Laden beanspruchen“

Neue Händlerinnen und Händler legen im Portal selbst ein Konto an (E-Mail-Adresse, Passwort, Bestätigungscode per E-Mail) und beanspruchen danach ihren Laden. Dafür speichern wir den gewählten Laden oder die Angaben zu einem neuen Laden (Name, Adresse, Bezirk), deinen Namen, auf Wunsch eine Telefonnummer und eine Nachricht sowie deine Bestätigung, dass du den Laden vertreten darfst. Das SPÄTLY-Team prüft damit, ob die Anfrage echt ist, etwa durch einen Rückruf, und schaltet den Zugang frei oder lehnt mit einer Begründung ab, die du im Portal siehst. Abgelehnte, zurückgezogene und nicht bearbeitete Anfragen löschen wir nach 6 Monaten. Bei freigegebenen Anfragen löschen wir Telefonnummer und Nachricht nach 6 Monaten und behalten nur, wer den Laden wann beansprucht hat. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung und Durchführung der Zusammenarbeit) und lit. f DSGVO (Schutz der Läden vor fremden Zugriffen). Inhaberinnen und Inhaber holen ihr Team mit einem Einladungscode dazu (gültig 7 Tage, einmal nutzbar). Sie sehen dann E-Mail-Adresse und Rolle der Teammitglieder und können sie jederzeit entfernen. Benutzte, zurückgezogene und abgelaufene Einladungen löschen wir nach 30 Tagen.

4a. Website, Kontaktformular und Vormerkung

Diese Website wird über Cloudflare Pages (Cloudflare, Inc.) ausgeliefert. Beim Aufruf verarbeitet Cloudflare technisch notwendige Verbindungsdaten (z. B. IP-Adresse, Zeitpunkt, angeforderte Seite), um die Seite sicher auszuliefern. Wir setzen auf der Website keine Cookies, keine Analyse- oder Werbedienste und keine Inhalte fremder Server (etwa Schriften, Karten oder Videos) ein. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb).

Wenn du das Kontaktformular nutzt, speichern wir die Art der Anfrage (Händler-Anfrage oder Vormerkung für die App), deinen Namen, deine E-Mail-Adresse, optional Stadt, Ladenname und Nachricht sowie den Zeitpunkt. Zum Schutz vor Missbrauch (etwa automatisierten Massenanfragen) speichern wir nicht deine IP-Adresse, sondern einen daraus berechneten, täglich wechselnden Prüfwert (Hash). Damit erkennen wir nur, ob vom selben Anschluss in kurzer Zeit viele Anfragen kommen. Der Prüfwert ist pseudonym, nicht anonym: Mit erheblichem Rechenaufwand ließe sich die IP-Adresse daraus grundsätzlich zurückrechnen. Wir versuchen das nicht und löschen den Prüfwert zusammen mit der Anfrage. Rechtsgrundlage dafür: Art. 6 Abs. 1 lit. f DSGVO (Schutz des Formulars vor Missbrauch). Die Daten liegen bei Supabase (Rechenzentrum Frankfurt). Das SPÄTLY-Team wird per E-Mail über neue Anfragen informiert (Versand über Resend, Empfang im Postfach bei IONOS, siehe Abschnitt 6).

Zweck: Bearbeitung deiner Anfrage bzw. Information zum App-Start. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anfrage zu einer möglichen Zusammenarbeit). Wenn du dich für die App vormerkst, willigst du ein, dass wir dir zum Start von SPÄTLY einmalig eine E-Mail schicken (Art. 6 Abs. 1 lit. a DSGVO). Weitere Neuigkeiten per E-Mail schicken wir nur, wenn du das gesondert angekreuzt hast (Art. 6 Abs. 1 lit. a DSGVO). Dafür schicken wir dir direkt nach dem Absenden eine E-Mail mit einem Bestätigungslink (Versand über Resend, 30 Tage gültig). Erst wenn du ihn anklickst, gilt deine Vormerkung bzw. Einwilligung; ohne Bestätigung schicken wir dir nichts weiter. Den Link speichern wir nur als nicht umkehrbaren Prüfwert (Hash), dazu den Zeitpunkt von Versand und Bestätigung (Rechtsgrundlage: Art. 6 Abs. 1 lit. c und f DSGVO, Nachweis der Einwilligung). Zum Nachweis speichern wir den Zeitpunkt, ob du das Häkchen gesetzt hast, und den Stand dieser Datenschutzerklärung, der beim Absenden galt; daraus ergibt sich auch der damalige Wortlaut des Häkchens. Beide Einwilligungen kannst du jederzeit per E-Mail an [email protected] widerrufen.

Speicherdauer: Erledigte Anfragen löschen wir nach spätestens 12 Monaten, alle übrigen nach spätestens 24 Monaten, früher auf Wunsch.

5. Ladendaten aus öffentlichen Quellen

Ein Teil der gezeigten Läden stammt aus OpenStreetMap (© OpenStreetMap-Mitwirkende, ODbL) und ist als „Noch kein SPÄTLY-Partner“ gekennzeichnet. Das sind Geschäftsangaben (Name, Adresse, Öffnungszeiten). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, ein möglichst vollständiges Verzeichnis der Spätis zu zeigen. Ladeninhaber, die das nicht möchten oder Angaben korrigieren wollen, erreichen uns unter [email protected]; zum Widerspruch siehe Abschnitt 10.

6. Dienstleister (Auftragsverarbeiter)

Mit allen Dienstleistern bestehen bzw. werden Verträge zur Auftragsverarbeitung (Art. 28 DSGVO) geschlossen. Soweit Daten dabei außerhalb der EU verarbeitet werden oder von dort aus darauf zugegriffen werden kann, ist das abgesichert: bei Cloudflare, Resend und Expo durch deren Zertifizierung nach dem EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO), bei Supabase durch EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Standardvertragsklauseln schicken wir dir auf Anfrage an [email protected].

Wir verkaufen keine Daten, nutzen keine Werbe-Tracker und keine Analyse-Tools von Drittanbietern.

7. Speicherdauer

Wir speichern Kontodaten, solange dein Konto besteht. Kürzere Fristen löscht ein täglicher Aufräumlauf automatisch:

Löschst du dein Konto, entfernen wir deine Kontodaten, Anmeldesitzungen, die Protokolle unseres Anmeldedienstes zu deinem Konto, Favoriten, Punktekonten, Codes und Push-Kennungen sofort. Bei der Löschung widerrufen wir auch die Verbindung zu deiner Apple-ID. Einkäufe und eingelöste Prämien bleiben beim jeweiligen Laden für dessen Buchhaltung, aber ohne Bezug zu dir. Daten, die wir aus steuer- oder handelsrechtlichen Gründen aufbewahren müssen, sperren wir bis zum Ende der Frist.

8. Konto löschen

Du kannst dein Konto jederzeit selbst löschen: in der App unter „Profil“ → „Konto löschen“. Vorher kannst du dir unter „Meine Daten anzeigen“ eine Kopie deiner Daten holen. Alternativ genügt eine E-Mail an [email protected].

Bist du alleinige Inhaberin oder alleiniger Inhaber eines Partnerladens, kann die App dein Konto erst löschen, wenn die Inhaberschaft übertragen ist. Schreib uns in diesem Fall an [email protected]; wir löschen dein Konto dann innerhalb eines Monats und klären mit dir, was mit dem Laden geschieht.

9. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18) und Datenübertragbarkeit (Art. 20 DSGVO). Dein Widerspruchsrecht nach Art. 21 DSGVO steht gesondert in Abschnitt 10. Auskunft und eine Kopie deiner Daten bekommst du direkt in der App unter „Profil“ → „Meine Daten anzeigen“; für alles andere genügt eine E-Mail an [email protected]. Einwilligungen (Standort, Mitteilungen, E-Mail-Neuigkeiten) kannst du jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt davon unberührt (Art. 7 Abs. 3 DSGVO). Du kannst dich außerdem bei einer Datenschutzaufsichtsbehörde beschweren, z. B. beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

10. Dein Widerspruchsrecht (Art. 21 DSGVO)

Widerspruch aus Gründen deiner besonderen Situation: Soweit wir deine Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), kannst du dieser Verarbeitung jederzeit aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben. Das betrifft bei SPÄTLY vor allem den sicheren Betrieb und die Missbrauchsabwehr einschließlich der Anmeldeprotokolle (Abschnitt 3 a, b und d), Support-Anfragen (Abschnitt 3 i), die Nachvollziehbarkeit von Buchungen und die Prüfung von Laden-Anfragen im Händlerbereich (Abschnitt 4), die Auslieferung dieser Website und den Missbrauchsschutz im Kontaktformular (Abschnitt 4a) und die Ladendaten aus öffentlichen Quellen (Abschnitt 5). Wir verarbeiten diese Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Widerspruch gegen Direktwerbung: Soweit wir deine Daten für Direktwerbung verarbeiten, kannst du dem jederzeit ohne Angabe von Gründen widersprechen. Wir verwenden deine Daten dann nicht mehr für diesen Zweck.

Für deinen Widerspruch genügt eine formlose Nachricht an [email protected].

11. Musst du uns Daten geben?

Du bist weder gesetzlich noch vertraglich verpflichtet, uns Daten zu geben. Läden, Sortiment und Angebote kannst du auch ohne Konto ansehen. Für Punkte, Prämien und Favoriten brauchen wir aber deine E-Mail-Adresse oder die Anmeldung mit Apple. Ohne Standortfreigabe kann die App die Läden nicht nach der Entfernung zu dir sortieren. Händlerinnen und Händler können wir ohne Konto und ohne Angaben zum Laden nicht freischalten. Ohne Namen und E-Mail-Adresse können wir eine Anfrage über das Kontaktformular nicht bearbeiten.

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Feste technische Regeln wie die Tagesgrenze für Punkte oder die Sperre nach zu vielen falschen Code-Eingaben dienen nur der Missbrauchsabwehr.

12. Sicherheit und Speicher auf deinem Gerät

Alle Verbindungen sind verschlüsselt (HTTPS). Der Zugriff auf Daten ist in der Datenbank pro Konto und pro Laden beschränkt.

Auf deinem Gerät speichern wir nur, was für die von dir genutzten Funktionen technisch nötig ist (§ 25 Abs. 2 Nr. 2 TDDDG). In der App liegen deine Anmeldedaten im geschützten Speicher des Geräts (Schlüsselbund bzw. Keystore), außerdem einfache Einstellungen, zum Beispiel die Darstellung (hell oder dunkel), ob du die Begrüßung schon gesehen hast, ob du die Kunden- oder die Händleransicht nutzt und welchen Laden du im Händlerbereich gewählt hast. Im Händlerportal speichert dein Browser deine Anmeldung (Local Storage), damit du angemeldet bleibst; beim Abmelden wird sie entfernt. Diese Website speichert in deinem Browser nur, dass du den Hinweis zu Cookies und Datenschutz geschlossen hast (Local Storage, kein Cookie), damit er nicht auf jeder Seite wieder erscheint; du kannst den Eintrag jederzeit über die Browser-Einstellungen löschen. Cookies oder vergleichbare Speicher für Analyse, Werbung oder Tracking setzen wir nicht ein.

13. Änderungen

Wenn sich SPÄTLY ändert, passen wir diese Erklärung an. Die jeweils aktuelle Fassung findest du in der App, im Händlerportal und auf dieser Website.