Stand: 20.01.2026

1. Verantwortlicher

STELONIC Group – Inh. Leon Stölzl
Dieburger Str. 34
64287 Darmstadt, Deutschland
E-Mail: kontakt@stelonic.de

2. Datenschutzkontakt

Bei Fragen zum Datenschutz: kontakt@stelonic.de
(Ein Datenschutzbeauftragter ist nicht bestellt.)

3. Gegenstand dieser Datenschutzerklärung

Diese Datenschutzerklärung informiert darüber, wie wir personenbezogene Daten bei der Nutzung der App „Drink Track“ verarbeiten. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen.

Die App berechnet Promille-/BAC-Werte ausschließlich als Simulation. Die Verarbeitung von Nutzereingaben dient der Bereitstellung der App-Funktionen (z. B. Berechnungen, Statistiken).

4. Datenkategorien

Je nach Nutzung der App können insbesondere folgende Daten verarbeitet werden:

• Kontodaten / Identifikatoren: pseudonyme Nutzer-ID (UID), ggf. interne Statusfelder
• Profildaten (freiwillig): Anzeigename/Nickname
• Nutzungs-/Inhaltsdaten: Gesendete Getränkebeschreibung über DrinkAI, Statistiken, Zählstände
• Abo-/Entitlementdaten: PRO-Status, Plan/Zeiträume, Auto-Renew-Status, Ablaufdaten
• Technische Daten: App-Version, Geräte-/Systeminformationen, Zeitstempel, Crash-/Fehlerdaten
• Kommunikationsdaten: Feedbacktexte, Supportnachrichten, E-Mail-Inhalte (wenn du sie sendest)
• Sicherheits-/Missbrauchsdaten: Fraud-Prevention-Einträge (z. B. gehashte Gerätekennung), Rate-Limit/Quota-Status, Sperrflags
• Optionale Analysedaten: Ereignisse zur App-Nutzung (nur bei aktivierter Einwilligung „App-Verbesserungen“)

5. Zwecke und Rechtsgrundlagen

Wir verarbeiten Daten zu folgenden Zwecken und auf folgenden Rechtsgrundlagen:

• Bereitstellung der App-Funktionen / Vertragserfüllung (z. B. DrinkAI, PRO-Freischaltung):
  Art. 6 Abs. 1 lit. b DSGVO
• Sicherheit, Stabilität, Missbrauchsprävention (z. B. Rate Limits, Fraud-Prevention, Fehlerdiagnose):
  Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)
• Optionale „App-Verbesserungen“ (Nutzungsanalyse):
  Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) + Endgeräte-Einwilligung nach § 25 TDDDG (soweit anwendbar)
• Feedback/Support (z. B. In-App-Chat/E-Mail, Fehlerberichte):
  regelmäßig Art. 6 Abs. 1 lit. f DSGVO (Support-Interesse) oder Art. 6 Abs. 1 lit. a DSGVO (wenn du Feedback freiwillig sendest und dabei Diagnosedaten übermittelst)

6. Empfänger und eingesetzte Dienstleister

Wir setzen folgende Kategorien von Empfängern/Dienstleistern ein:

• Google Firebase (z. B. Auth, Firestore, Cloud Functions, Crashlytics, Cloud Messaging/FCM, Remote Config) – als Dienstleister/Auftragsverarbeiter für den App-Betrieb
• Apple (App Store / In-App-Käufe) – als eigenständiger Verantwortlicher für Zahlungen und Abonnementverwaltung
• KI-Dienstleister (DeepSeek) – Verarbeitung von Textanfragen für DrinkAI (siehe Abschnitt 10)
• Discord (Feedback-Übermittlung via Webhook) – siehe Abschnitt 15
• E-Mail-Provider (für Support-E-Mails)

7. Firebase Authentication (Konten)

Beim Start der App wird ein Konto erstellt (auch anonym möglich). Wir verarbeiten dazu eine pseudonyme UID, um App-Funktionen und PRO-Status zuzuordnen.

Zweck: Kontoverwaltung, Zugriff auf Cloud-Funktionen, Synchronisation, Missbrauchsschutz
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO

8. Cloud-Daten in Firestore (User-Daten, PRO-Status, Einstellungen)

Wir speichern – abhängig von den genutzten Funktionen – Daten in Cloud Firestore, z. B.:

• Nickname/DisplayName (frei wählbar)
• PRO-Status und Entitlement-Infos (z. B. Plan, Ablauf, Auto-Renew-Status)
• Einstellungen (z. B. Statistiken, SupportID, PromoCodes)
• ggf. Zählerstände (z. B. Bottle Counter / persönlicher Beitrag)

Unsere Firestore-Datenbank ist in der Multi-Region „eur3“ (Europa) konfiguriert.

Zweck: Bereitstellung der Funktionen, PRO-Freischaltung, Synchronisation, Anzeige persönlicher Werte
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO

8a. Cloud Functions (serverseitige Verarbeitung in EU und USA)

Zur Bereitstellung zentraler App-Funktionen nutzen wir Firebase/Google Cloud Functions (Server-Backend), z. B. für Berechnungs-/Synchronisationslogik, Missbrauchsprävention, Quoten/Kontingente (z. B. DrinkAI-Credits), Referral-Logik und administrative Schutzmechanismen.

Unsere Funktionen laufen in den Regionen europe-west3 (EU) und us-central (USA). Je nach aufgerufener Funktion können serverseitig pseudonyme Identifikatoren (insbesondere die Firebase-UID) sowie funktionsbezogene Daten verarbeitet werden. Eine Weitergabe der Firebase-UID an DeepSeek oder Discord erfolgt nicht (siehe die Abschnitte 10 und 15).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der App-Funktionen) und Art. 6 Abs. 1 lit. f DSGVO (Sicherheit/Missbrauchsprävention).
Sofern hierbei personenbezogene Daten in ein Drittland übermittelt werden, erfolgt dies nach Maßgabe der Art. 44 ff. DSGVO (z. B. Standardvertragsklauseln und ggf. ergänzende Maßnahmen), soweit erforderlich.

8b. Protokollierung von Zustimmungen (AGB/Datenschutzerklärung)

Zur Verwaltung der Nutzung der App und zum Nachweis der von dir erteilten Zustimmungen protokollieren wir, ob und wann du den jeweils aktuellen rechtlichen Dokumenten (AGB und Datenschutzerklärung) zugestimmt hast. Dabei verarbeiten wir insbesondere deine pseudonyme Nutzer-ID (UID) sowie Zeitpunkt/Versionsstand der akzeptierten Dokumente (z. B. „Stand“-Datum).

Zweck: Nachweis und Verwaltung der Vertragsbeziehung, Umsetzung von Updates (z. B. erneute Zustimmung bei Änderungen), Missbrauchs- und Rechtsverteidigung (Nachweisbarkeit).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung/Verwaltung der App-Nutzung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Nachweis und an der rechtlichen Absicherung).
Speicherdauer: grundsätzlich bis zur Kontolöschung, ggf. darüber hinaus im Rahmen gesetzlicher Verjährungsfristen zur Abwehr/ Durchsetzung von Ansprüchen.

9. Abonnements / In-App-Käufe über Apple

Käufe und Zahlungen werden über den Apple App Store abgewickelt. Apple verarbeitet dabei Daten als eigener Verantwortlicher. Wir erhalten/verwenden in der App bzw. im Backend Statusinformationen, um PRO-Funktionen freizuschalten (z. B. aktiv/inaktiv, Ablaufdatum, Auto-Renew-Status).

Zweck: PRO-Freischaltung und Betrugs-/Fehlerprävention
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO

10. DrinkAI (KI-Funktion) und DeepSeek

Wenn du DrinkAI nutzt, wird deine Getränkebeschreibung serverseitig über unsere Cloud Functions verarbeitet und an einen KI-Dienst (DeepSeek) übermittelt, um Vorschläge (z. B. Alkoholgehalt/Volumen) zu generieren. Wir empfehlen dringend, keine personenbezogenen Daten (z. B. Namen, Telefonnummern, Adressen) in Freitextfelder einzugeben.

Wir übermitteln an DeepSeek ausschließlich die Inhalte, die zur Bearbeitung der Anfrage erforderlich sind(Datenminimierung), insbesondere die Getränkebeschreibung. Eine Übermittlung deiner Firebase-UID oder anderer kontobezogener Identifikatoren an DeepSeek erfolgt nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der vom Nutzer angefragten Funktion).
Soweit wir Ergebnisse zur Effizienzsteigerung/Qualitätssicherung zwischenspeichern (z. B. Cache/Wissensdatenbank), erfolgt dies auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen, effizienten Betrieb).

Drittlandübermittlung: DeepSeek kann Daten außerhalb der EU/des EWR verarbeiten. Sofern hierbei personenbezogene Daten in ein Drittland übermittelt werden, erfolgt dies nur nach Maßgabe der Art. 44 ff. DSGVO (z. B. Standardvertragsklauseln und ggf. ergänzende Maßnahmen), soweit erforderlich/verfügbar.

11. KI-Feedback, Fehlerberichte, Statistiken

Zur Qualitätsverbesserung können technische/qualitative Datensätze entstehen, z. B.:

• Fehlerberichte (z. B. „Daumen runter“)
• Statistiken (z. B. positive Bewertungen)
• optional: KI-Logs (wenn ein Debug/Logging-Modus aktiviert ist)

Zwecke: Qualitätssicherung, Fehleranalyse, Produktverbesserung
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO
Wenn du aktiv Feedback sendest: zusätzlich Art. 6 Abs. 1 lit. a DSGVO (freiwillige Übermittlung)

12. Fraud Prevention / Missbrauchsschutz (Referral, Quotas)

Zur Vermeidung von Missbrauch (z. B. mehrfaches Einlösen von Referral-Vorteilen durch Neuinstallation) verarbeiten wir Sicherheitsdaten:

• gehashte Gerätekennung (z. B. IDFV in gehashter Form)
• Statusinformationen (z. B. ob ein Bonus bereits eingelöst wurde)
• ggf. letzte bekannte pseudonyme Nutzer-ID (lastKnownUID)

Zweck: Missbrauchsprävention, Systemsicherheit, faire Nutzung
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO

13. Push-Benachrichtigungen (FCM) und lokale Mitteilungen

Wenn du Push-Benachrichtigungen aktivierst, verarbeiten wir einen Push-Token (FCM), um Nachrichten an dein Gerät zustellen zu können. Lokale Mitteilungen werden auf deinem Gerät erzeugt.

Zwecke: Zustellung von Benachrichtigungen, Gerätezuordnung
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (bereitgestellte Funktion) und/oder Art. 6 Abs. 1 lit. f DSGVO
Die Anzeige/Erlaubnis erfolgt zusätzlich über die Systemeinstellungen deines Geräts.

14. Crashlytics (Stabilität & Fehleranalyse)

Wir nutzen Firebase Crashlytics, um Abstürze und Fehler zu erkennen und zu beheben. Dabei werden technische Informationen zum Crash verarbeitet. Crashlytics bietet zudem die Möglichkeit, Nutzerkennungen zu setzen, um Crash-Events einem pseudonymen Konto zuzuordnen.

Zweck: Stabilität, Fehlersuche, Sicherheit
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO

15. Feedback-Chat (Discord) und E-Mail-Support

a) Feedback-Chat via Discord

Wenn du den In-App-Feedback-Chat nutzt, werden der von dir eingegebene Feedbacktext sowie ggf. von dir freiwillig übermittelte Informationen (z. B. Problembeschreibung) an unser Backend übertragen und zur Bearbeitung an einen Discord-Kanal übermittelt (Webhook). Eine Übermittlung deiner Firebase-UID oder anderer kontobezogener Identifikatoren an Discord erfolgt nicht.

Zusätzlich werden zur Fehleranalyse technische Diagnosedaten übertragen, insbesondere Gerätemodell, iOS-Version, App-Version/Build, Region/Sprache, Zeitzone, Batteriestatus (Ladestand/Stromsparmodus) sowie Display-Informationen (Auflösung/Skalierung). Welche Daten übertragen werden, wird in der App transparent angezeigt.

Zweck: Support, Fehleranalyse, Produktverbesserung
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch freiwilliges Absenden nach Hinweis).
Drittlandtransfer: Discord kann Daten außerhalb der EU/des EWR verarbeiten; sofern hierbei personenbezogene Daten in Drittländer übermittelt werden, erfolgt dies nach Maßgabe der Art. 44 ff. DSGVO (z. B. Standardvertragsklauseln und ggf. ergänzende Maßnahmen), soweit erforderlich.

b) E-Mail-Kontakt

Wenn du uns per E-Mail kontaktierst oder das In-App-Mailformular nutzt, verarbeiten wir deine Nachricht und etwaige Anhänge. Anhänge (z. B. Logdateien) werden nur verarbeitet, wenn du sie tatsächlich mitsendest; du kannst sie vor dem Versand entfernen.

Zweck: Support
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO oder Art. 6 Abs. 1 lit. a DSGVO (freiwillige Übermittlung)

16. Remote Config / Killswitch / zwingende Updates

Wir nutzen Remote-Konfigurationen (z. B. Killswitch, Quoten, sicherheitsrelevante Einstellungen), um die App stabil und sicher zu betreiben. Firebase-Dienste können hierfür Installations-/Instance-Kennungen verwenden, die eine App-Installation eindeutig identifizieren.

Zweck: Betrieb, Sicherheit, Stabilität
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO

17. Optionale „App-Verbesserungen“ (Analytics)

Du kannst freiwillig in der App die Option „App-Verbesserungen erlauben“ aktivieren. Nur dann verarbeiten wir Nutzungsanalysen (z. B. Screen-Aufrufe, Feature-Nutzung, Funnel-Events). Firebase Analytics nutzt dafür u. a. einen installationsbezogenen Identifikator (App-Instance-ID).

Rechtsgrundlage:

• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)
• § 25 TDDDG (Endgeräte-Einwilligung), soweit einschlägig

Widerruf: Du kannst die Einwilligung jederzeit in den App-Einstellungen (bzw. durch Deaktivierung der Option „App-Verbesserungen“) widerrufen. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

18. Community Impact / Bottle Counter

Wenn du PRO nutzt oder den Bottle Counter verwendest, können Zählerstände (z. B. „gesammelte Flaschen“) und Protokolldaten zu Abo-Ereignissen (z. B. Plan, Renewal-Status, Zeitstempel) verarbeitet werden, um deinen Beitrag und den Fortschritt darzustellen.

Zwecke: Anzeige des Fortschritts, interne Nachvollziehbarkeit der Zählung
Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO und/oder Art. 6 Abs. 1 lit. f DSGVO

19. Speicherdauer / Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist:

• Kontodaten / Firestore-Nutzerdaten: bis zur Kontolöschung, ggf. plus angemessene Frist zur Abwehr/Verteidigung von Ansprüchen (regelmäßig bis zu 3 Jahre)
• KI-Logs (falls aktiviert): nach unserer Vorgabe z. B. bis zu 12 Monate, sofern nicht früher gelöscht
• Fraud-Prevention-Einträge: solange erforderlich zur Missbrauchsprävention; regelmäßige Überprüfung/Reduzierung wird empfohlen
• Crash-/Fehlerdaten: solange für Diagnose erforderlich
• Analytics („App-Verbesserungen“): solange Einwilligung aktiv; nach Widerruf keine weitere Erhebung

20. Kontolöschung

Du kannst dein Konto in der App löschen. Dabei werden kontobezogene Daten in der Regel gelöscht oder anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Hinweis: App-Store-Abonnements musst du separat über Apple verwalten/kündigen.

21. Deine Rechte

Du hast – soweit die gesetzlichen Voraussetzungen vorliegen – folgende Rechte:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO), soweit wir auf Art. 6 Abs. 1 lit. f DSGVO stützen
• Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO)

Außerdem hast du das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO).

22. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen, um Daten zu schützen (z. B. Zugriffs- und Berechtigungskonzepte, Authentifizierung, serverseitige Kontrollen, Missbrauchsprävention).

23. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung anpassen, wenn sich die App, Rechtslage oder Datenverarbeitungen ändern. Die jeweils aktuelle Version ist in der App und/oder auf der Website abrufbar.

Effective Date: January 20, 2026

1. Controller

STELONIC Group – Owner: Leon Stölzl
Dieburger Str. 34
64287 Darmstadt, Germany
Email: kontakt@stelonic.de

2. Data Protection Contact

For privacy inquiries: kontakt@stelonic.de
(No Data Protection Officer appointed.)

3. Scope of This Privacy Policy

This Privacy Policy explains how we process personal data when you use the „Drink Track“ app. Personal data means any information relating to an identified or identifiable person.

The app calculates BAC (Blood Alcohol Content) values solely as simulations. Processing of user inputs serves to provide app functionalities (e.g., calculations, statistics).

For Users in the United States: This Privacy Policy also describes your rights under applicable U.S. state privacy laws, including the California Consumer Privacy Act (CCPA/CPRA), where applicable.

4. Categories of Data

Depending on your use of the app, we may process the following data:

• Account Data / Identifiers: Pseudonymous user ID (UID), internal status fields
• Profile Data (optional): Display name/nickname
• Usage / Content Data: Drink descriptions sent via DrinkAI, statistics, counters
• Subscription / Entitlement Data: PRO status, plan/periods, auto-renew status, expiration dates
• Technical Data: App version, device/system information, timestamps, crash/error data
• Communication Data: Feedback texts, support messages, email content (if you send it)
• Security / Fraud Prevention Data: Fraud prevention entries (e.g., hashed device identifier), rate limit/quota status, blocking flags
• Optional Analytics Data: App usage events (only with „App Improvements“ consent enabled)

5. Purposes and Legal Bases

We process data for the following purposes and legal bases:

Providing App Functionality / Contract Performance (e.g., DrinkAI, PRO activation):

• GDPR: Article 6(1)(b) (performance of contract)
• US States: Processing necessary to provide services you requested

Security, Stability, Fraud Prevention (e.g., rate limits, fraud prevention, error diagnosis):

• GDPR: Article 6(1)(f) (legitimate interests)
• US States: Legitimate business purposes

Optional „App Improvements“ (Usage Analytics):

• GDPR: Article 6(1)(a) (consent) + device consent under § 25 TDDDG (where applicable)
• US States: With your explicit opt-in consent

Feedback/Support (e.g., in-app chat/email, error reports):

• GDPR: Article 6(1)(f) (support interest) or Article 6(1)(a) (voluntary submission)
• US States: Legitimate business purposes or with your consent

6. Recipients and Service Providers

We use the following categories of recipients/service providers:

• Google Firebase (Auth, Firestore, Cloud Functions, Crashlytics, Cloud Messaging/FCM, Remote Config) – as processor for app operations
• Apple (App Store / In-App Purchases) – as independent controller for payments and subscription management
• AI Service Provider (DeepSeek) – Processing text queries for DrinkAI (see Section 10)
• Discord (Feedback transmission via webhook) – see Section 15
• Email Providers (for support emails)

7. Firebase Authentication (Accounts)

When you start the app, an account is created (anonymous option available). We process a pseudonymous UID to assign app functions and PRO status.

Purpose: Account management, access to cloud functions, synchronization, abuse protection
Legal Basis (GDPR): Article 6(1)(b)
US States: Necessary to provide requested services

8. Cloud Data in Firestore (User Data, PRO Status, Settings)

Depending on features used, we store data in Cloud Firestore, including:

• Nickname/DisplayName (freely chosen)
• PRO status and entitlement info (e.g., plan, expiration, auto-renew status)
• Settings (e.g., statistics, SupportID, PromoCodes)
• Counters (e.g., Bottle Counter / personal contribution)

Our Firestore database is configured in the multi-region „eur3“ (Europe).

Purpose: Providing functionalities, PRO activation, synchronization, displaying personal values
Legal Basis (GDPR): Article 6(1)(b)
US States: Contract performance

8a. Cloud Functions (Server-Side Processing in EU and USA)

To provide core app functionalities, we use Firebase/Google Cloud Functions (server backend), e.g., for calculation/synchronization logic, fraud prevention, quotas/limits (e.g., DrinkAI credits), referral logic, and administrative protection mechanisms.

Our functions run in regions europe-west3 (EU) and us-central (USA). Depending on the function called, pseudonymous identifiers (especially Firebase UID) and function-related data may be processed server-side. The Firebase UID is not shared with DeepSeek or Discord (see Sections 10 and 15).

Legal Basis (GDPR): Article 6(1)(b) (providing app functionalities) and Article 6(1)(f) (security/fraud prevention)
US States: Contract performance and legitimate business purposes

Where personal data is transferred to a third country, this occurs in accordance with Articles 44 ff. GDPR (e.g., Standard Contractual Clauses and supplementary measures), where required.

8b. Logging of Consents (Terms / Privacy Policy)

To manage app usage and document consents, we log whether and when you agreed to current legal documents (Terms and Privacy Policy). We process your pseudonymous UID and timestamp/version of accepted documents.

Purpose: Documentation of contractual relationship, managing updates, legal defense
Legal Basis (GDPR): Article 6(1)(b) and Article 6(1)(f)
US States: Contract performance and legitimate business purposes

Retention: Until account deletion, possibly longer for legal defense (statute of limitations).

9. Subscriptions / In-App Purchases via Apple

Purchases and payments are processed through the Apple App Store. Apple processes data as an independent controller. We receive/use status information to activate PRO features (e.g., active/inactive, expiration date, auto-renew status).

Purpose: PRO activation, fraud/error prevention
Legal Basis (GDPR): Article 6(1)(b)
US States: Contract performance

10. DrinkAI (AI Function) and DeepSeek

When you use DrinkAI, your drink description is processed server-side via our Cloud Functions and transmitted to an AI service (DeepSeek) to generate suggestions (e.g., alcohol content/volume). We strongly recommend not entering personal data (e.g., names, phone numbers, addresses) in free-text fields.

We transmit to DeepSeek only the content required to process the request (data minimization), specifically the drink description. Your Firebase UID or other account identifiers are not transmitted to DeepSeek.

Legal Basis (GDPR): Article 6(1)(b) (providing requested functionality)
US States: Contract performance

If we cache results for efficiency/quality assurance, this is based on Article 6(1)(f) GDPR (legitimate interest in stable, efficient operation).

Third Country Transfer: DeepSeek may process data outside the EU/EEA. Where personal data is transferred to third countries, this occurs in accordance with Articles 44 ff. GDPR (e.g., Standard Contractual Clauses and supplementary measures), where required/available.

11. AI Feedback, Error Reports, Statistics

For quality improvement, technical/qualitative data may be generated:

• Error reports (e.g., „thumbs down“)
• Statistics (e.g., positive ratings)
• Optional: AI logs (if debug/logging mode is enabled)

Purpose: Quality assurance, error analysis, product improvement
Legal Basis (GDPR): Article 6(1)(f), and Article 6(1)(a) (voluntary submission)
US States: Legitimate business purposes, or with consent

12. Fraud Prevention / Abuse Protection (Referral, Quotas)

To prevent abuse (e.g., multiple redemptions of referral bonuses via reinstallation), we process security data:

• Hashed device identifier (e.g., IDFV in hashed form)
• Status information (e.g., whether bonus was redeemed)
• Last known pseudonymous UID (if applicable)

Purpose: Fraud prevention, system security, fair use
Legal Basis (GDPR): Article 6(1)(f)
US States: Legitimate business purposes

13. Push Notifications (FCM) and Local Notifications

If you enable push notifications, we process a push token (FCM) to deliver messages to your device. Local notifications are generated on your device.

Purpose: Notification delivery, device assignment
Legal Basis (GDPR): Article 6(1)(b) and/or Article 6(1)(f)
US States: Contract performance

Display/permission is additionally managed through your device system settings.

14. Crashlytics (Stability & Error Analysis)

We use Firebase Crashlytics to detect and fix crashes and errors. Technical crash information is processed. Crashlytics also allows setting user identifiers to associate crash events with a pseudonymous account.

Purpose: Stability, debugging, security
Legal Basis (GDPR): Article 6(1)(f)
US States: Legitimate business purposes

15. Feedback Chat (Discord) and Email Support

a) Feedback Chat via Discord

When you use the in-app feedback chat, your feedback text and any voluntarily provided information (e.g., problem description) are transmitted to our backend and forwarded to a Discord channel (webhook). Your Firebase UID or other account identifiers are not transmitted to Discord.

Additionally, technical diagnostic data is transmitted for error analysis, including device model, iOS version, app version/build, region/language, time zone, battery status (charge level/power saving mode), and display information (resolution/scaling). The app transparently displays which data is transmitted.

Purpose: Support, error analysis, product improvement
Legal Basis (GDPR): Article 6(1)(a) (consent through voluntary submission after notice)
US States: With your consent

Third Country Transfer: Discord may process data outside the EU/EEA; where personal data is transferred to third countries, this occurs in accordance with Articles 44 ff. GDPR (e.g., Standard Contractual Clauses), where required.

b) Email Contact

When you contact us by email or use the in-app mail form, we process your message and any attachments. Attachments (e.g., log files) are only processed if you actually send them; you can remove them before sending.

Purpose: Support
Legal Basis (GDPR): Article 6(1)(f) or Article 6(1)(a)
US States: Legitimate business purposes or consent

16. Remote Config / Killswitch / Mandatory Updates

We use remote configurations (e.g., killswitch, quotas, security settings) to operate the app stably and securely. Firebase services may use installation/instance identifiers that uniquely identify an app installation.

Purpose: Operations, security, stability
Legal Basis (GDPR): Article 6(1)(f)
US States: Legitimate business purposes

17. Optional „App Improvements“ (Analytics)

You can voluntarily enable the „Allow App Improvements“ option in the app. Only then do we process usage analytics (e.g., screen views, feature usage, funnel events). Firebase Analytics uses an installation-based identifier (App Instance ID).

Legal Basis (GDPR): Article 6(1)(a) (consent) + § 25 TDDDG (device consent), where applicable
US States: With your explicit opt-in consent

Withdrawal: You can withdraw consent at any time in app settings (or by disabling „App Improvements“). Lawfulness of processing until withdrawal remains unaffected.

18. Community Impact / Bottle Counter

If you use PRO or the Bottle Counter, counter values (e.g., „collected bottles“) and subscription event logs (e.g., plan, renewal status, timestamps) may be processed to display your contribution and progress.

Purpose: Display progress, internal tracking of count
Legal Basis (GDPR): Article 6(1)(b) and/or Article 6(1)(f)
US States: Contract performance and legitimate business purposes

19. Retention Period / Deletion

We store personal data only as long as necessary for stated purposes:

• Account Data / Firestore User Data: Until account deletion, plus reasonable period for legal defense (typically up to 3 years)
• AI Logs (if enabled): Per our policy, e.g., up to 12 months, unless deleted earlier
• Fraud Prevention Entries: As long as required for abuse prevention; regular review/reduction recommended
• Crash/Error Data: As long as required for diagnosis
• Analytics („App Improvements“): While consent is active; no further collection after withdrawal

20. Account Deletion

You can delete your account in the app. Account-related data is generally deleted or anonymized, unless legal retention obligations apply. Note: You must separately manage/cancel App Store subscriptions through Apple.

21. Your Rights

For Users in the EU/EEA (GDPR Rights):

You have the following rights (where legal requirements are met):

• Access (Article 15 GDPR)
• Rectification (Article 16 GDPR)
• Erasure (Article 17 GDPR)
• Restriction of Processing (Article 18 GDPR)
• Data Portability (Article 20 GDPR)
• Objection (Article 21 GDPR), where we rely on Article 6(1)(f)
• Withdrawal of Consent (Article 7(3) GDPR)

You also have the right to lodge a complaint with a data protection supervisory authority (Article 77 GDPR).

For Users in California and Other U.S. States:

Under applicable state privacy laws (e.g., CCPA/CPRA), you may have additional rights, including:

• Right to Know: Request disclosure of personal information collected, used, disclosed, or sold
• Right to Delete: Request deletion of your personal information
• Right to Correct: Request correction of inaccurate personal information
• Right to Opt-Out: We do not sell or share personal information for cross-context behavioral advertising
• Right to Non-Discrimination: We will not discriminate against you for exercising your rights

To exercise these rights, contact us at: kontakt@stelonic.de

We will respond within the timeframe required by applicable law (typically 45 days for CCPA requests).

22. Data Security

We implement technical and organizational measures to protect data (e.g., access and authorization controls, authentication, server-side controls, fraud prevention).

23. Changes to This Privacy Policy

We may update this Privacy Policy if the app, legal requirements, or data processing changes. The current version is available in the app and/or on the website.