Datenschutzerklärung

Für wen diese Erklärung gilt

Diese Erklärung gilt für die Sorrel-App für Android (com.burnsoft.sorrel), für die Sorrel-App für das iPhone, für den Sorrel-Server unter api.sorrelapp.io, den einige ihrer Funktionen nutzen, und für diese Website. „Sorrel“, „wir“ und „uns“ bezeichnen den Entwickler der Sorrel-App.

Was Sorrel auf deinem Gerät speichert

Alles, was du in Sorrel erstellst, wird in den privaten App-Speicher deines Handys geschrieben:

Solange du die Synchronisierung (unten) nicht einschaltest, werden diese Daten nirgendwohin hochgeladen, und wir haben keine Möglichkeit, sie zu lesen. Sorrel fordert nur Android-Berechtigungen an, die es erklären kann: INTERNET, die Google-Play-Abrechnung und — für die Koch-Timer — Benachrichtigungen zeigen, vibrieren und einen Timer weiterzählen lassen, wenn du die App verlässt. Es fragt nie nach deinem Standort, deinen Kontakten, der Kamera, dem Mikrofon, Anruflisten oder Dateien außerhalb seines eigenen Speichers. Das Scannen einer Rezeptkarte nutzt einen von den Google-Play-Diensten bereitgestellten Scanner-Bildschirm (oder deine Fotoauswahl), der Sorrel die fertigen Seiten übergibt; Sorrel selbst hat keine Kameraberechtigung.

Was dein Gerät verlässt, und wann

Ein Rezept über einen Weblink importieren

Wenn du einen Link einfügst oder teilst, ruft dein Handy diese Seite direkt bei der Website ab, die sie bereitstellt. Die Website sieht deine IP-Adresse, die angefragte Seite und eine übliche Mobilbrowser-Kennung — genau so, als hättest du den Link in Chrome geöffnet — und ihre eigene Datenschutzerklärung bestimmt, was sie damit tut. Sorrel liest das Rezept dann auf deinem Handy aus der Seite heraus, und in den meisten Fällen war es das: An uns wird nichts geschickt. Scheitert der Import, kann der Link an uns gehen, damit wir das beheben – siehe „Links, deren Import scheitert“ unten.

Manche Seiten verbergen das Rezept so, dass Sorrel es allein nicht lesen kann. Wenn eine Seite wie ein Rezept aussieht, Sorrel aber nicht sowohl die Zutaten als auch die Schritte findet, schickt es Adresse, Titel und sichtbaren Artikeltext der Seite (nie das rohe HTML, und begrenzt auf etwa 10.000 Zeichen) an unseren Server, der ein KI-Modell von Anthropic bittet, das Rezept herauszusuchen. Das Modell erhält den Text, den Titel und die Seitenadresse ohne ihren Query-String. Es erhält nichts, was dich identifiziert. Unser Server bewahrt das gelesene Rezept, abgelegt unter der Adresse der Seite, bis zu 90 Tage auf, damit die nächste Person, die dieselbe Seite importiert, es sofort bekommt.

Aus einem Video importieren (Sorrel Pro)

Wenn du einen TikTok-, Instagram- oder YouTube-Link teilst, schickt dein Handy nur den Link an unseren Server. Der Server holt sich das Video selbst von der Plattform — die Plattform sieht die Adresse unseres Servers, nicht deine — und arbeitet sich Stufe für Stufe vor, bis er ein Rezept hat:

Das heruntergeladene Video, die Tonspur und die Standbilder werden gelöscht, sobald der Import abgeschlossen ist — bei jedem Ausgang. Der Server bewahrt das Transkript und das fertige Rezept, abgelegt unter der Video-ID, bis zu 90 Tage auf (24 Stunden, wenn das Ergebnis von dir geprüft werden musste), damit ein beliebtes Video nur ein einziges Mal gelesen wird. Dein Handy schickt außerdem das Google-Play-Kauf-Token mit, das dein Pro-Abo belegt (siehe „Google Play“ weiter unten).

Eine Rezeptkarte scannen (Sorrel Pro)

Das Scannen beginnt — und endet meistens — auf deinem Handy. Die Seiten kommen aus einem von den Google-Play-Diensten bereitgestellten Scanner-Bildschirm oder aus deiner Fotoauswahl; die Texterkennung läuft mit einem mitgelieferten Modell auf dem Gerät; die Fotos und der erkannte Text werden mit dem Rezept in Sorrels privatem Speicher abgelegt. Bleibt diese Lesung unvollständig, fragt Sorrel, ob es den Scan — die Fotos oder nur den erkannten Text — an unseren Server schicken darf, der das Anthropic-Modell darum bittet, ihn zu lesen. Ohne deine Zustimmung wird nichts geschickt, die Seiten werden verworfen, sobald sie gelesen sind, und der Server behält nur das fertige Rezept, abgelegt unter einem Fingerabdruck des Scans statt unter dir, für bis zu 90 Tage. (Ist die Synchronisierung eingeschaltet, reist der erkannte Text mit dem Rezept mit wie jeder andere Rezepttext; die Fotos nicht.)

Sorrel die Woche planen lassen (Sorrel Pro)

Der kostenlose Planer füllt deine Woche auf dem Handy, offline. Bittest du Sorrel stattdessen, die Woche zusammenzustellen, schickt dein Handy unserem Server eine Liste von Kandidaten aus deiner Sammlung — Titel, Tags, Zeiten und wie oft du sie gekocht hast, bezeichnet durch IDs —, und das Anthropic-Modell wählt aus und ordnet sie. Der Server antwortet mit diesen IDs und vergisst die Anfrage: Nichts daran wird zwischengespeichert oder aufbewahrt.

Synchronisierung (Sorrel Pro)

Die Synchronisierung ist aus, bis du sie in den Einstellungen einschaltest. Wenn du das tust, legt Sorrel ein Konto für dich auf unserem Server an:

Die Synchronisierung lädt deine Rezepte hoch (samt Kochtagebuch, Notizen, Bewertungen, Tags und dem ursprünglichen Text, aus dem sie gelesen wurden), dazu Sammlungen, Einkaufsposten, Wochenpläne und Regalkorrekturen. Fotos bleiben auf dem Handy, auf dem sie aufgenommen wurden, und werden nicht hochgeladen. Dein Handy synchronisiert wenige Sekunden nachdem du etwas geändert hast, im Hintergrund etwa alle sechs Stunden, und solange die Einkaufsliste eines Haushalts geöffnet ist.

Diese Daten liegen auf einem Server, den wir bei Microsoft Azure betreiben, in einer Datenbank, die nur unsere Serversoftware erreichen kann, über verschlüsselte Verbindungen. Sie werden gespeichert, damit sie an deine anderen Handys und deinen Haushalt ausgeliefert werden können; wir lesen sie nicht, analysieren sie nicht, verkaufen sie nicht und nutzen sie für nichts anderes. Neben dem Konto speichern wir das Google-Play-Kauf-Token, das dein Abo belegt, damit ein Haushalt, dem du gehörst, für seine Mitglieder freigeschaltet bleibt.

„Abmelden“ in den Einstellungen beendet die Synchronisierung auf diesem Handy und vergisst dessen Zugriffstoken; deine Sammlung bleibt auf dem Handy, und die Kopie auf dem Server bleibt ebenfalls, für deine anderen Handys. Um das Konto selbst zu löschen, nimm Einstellungen → Deine Daten → Konto und synchronisierte Daten löschen: Das löscht das Konto und alles Gespeicherte sofort, und ein abgelaufenes Abo hält es nie auf. Siehe Sorrel-Konto löschen.

Haushalte teilen (Sorrel Pro)

Ein Haushalt ist eine Gruppe von Sync-Konten, die ein Kochbuch und eine Einkaufsliste teilen. Einen Haushalt zu gründen erfordert Pro; einem beizutreten nicht — das Abo der Person, der er gehört, deckt alle ab. Innerhalb eines Haushalts:

Deine Liste an einen Kroger-Markt schicken

In der Android-App kann Sorrel deinen Warenkorb bei Kroger und den dazugehörigen Märkten füllen (Dillons, Ralphs, King Soopers, Fred Meyer und weitere). Erst wenn du Diese Liste einkaufen antippst und Kroger wählst, geht etwas an Kroger. Dann:

Unser Server speichert weder deine Liste noch deine Postleitzahl, deinen Markt oder deine Kroger-Tokens. Jeder Schritt zählt wie jede andere Anfrage auf die weiter unten beschriebenen Fair-Use-Grenzen. Für unsere eigenen Statistiken hält der Server außerdem fest, wann ein Schritt stattfand und wie viele Artikel er umfasste – nie welche –, zusammen mit dem Einweg-Hash deines Installations-Tokens; nach 90 Tagen wird der Hash aus diesen Einträgen entfernt, und es bleiben nur Zahlen, die niemandem zugeordnet sind. Was Kroger mit den erhaltenen Daten macht, regelt die Datenschutzerklärung von Kroger. Wenn du Sorrel deinstallierst oder seinen Speicher löschst, ist deine Kroger-Anmeldung vom Handy entfernt.

Einen Assistenten verbinden (Sorrel Pro)

Du kannst einen KI-Assistenten wie ChatGPT oder Claude mit deinem Sorrel-Konto verbinden. Nichts wird verbunden, solange du es nicht selbst tust: Du gibst einen einmaligen Code aus der App ein und bestätigst eine Liste von Berechtigungen. Für jede Verbindung speichert unser Server den Namen des Assistenten, die erteilten Berechtigungen, den Zeitpunkt der Verbindung und der letzten Nutzung sowie die Zugriffstoken in gehashter Form.

Wenn der Assistent danach fragt, liest unser Server das, was diese Berechtigungen erlauben, aus der Kopie deiner Bibliothek, die die Synchronisierung ohnehin vorhält – deine Rezepte und die Vorräte in deiner Küche – und sendet es an den Assistenten. Was der Assistent speichert (ein Rezept, eine Mahlzeit im Plan, Einkaufsartikel), wird in deinem Konto abgelegt und wie alles andere mit deinen Telefonen synchronisiert. Wir erhalten nicht dein Gespräch mit dem Assistenten, sondern nur die Anfragen, die er an Sorrel stellt. Was der Assistent erhält, verarbeitet anschließend das Unternehmen, das ihn betreibt, nach dessen eigener Datenschutzerklärung – zum Beispiel OpenAI oder Anthropic.

Du kannst einen Assistenten jederzeit in den Einstellungen von Sorrel trennen; er verliert den Zugriff sofort. Wenn du dein Sync-Konto löschst, werden alle Verbindungen mit gelöscht.

Rezeptfotos laden

Fotos zu importierten Rezepten werden von der Website oder Plattform geholt, von der das Rezept stammt, und dann auf deinem Gerät zwischengespeichert.

Absturzberichte — nur wenn du sie einschaltest

Sorrel fragt dich einmal, beim ersten Start, ob es einen Bericht schicken darf, wenn es abstürzt. Die Voreinstellung ist Nein; die Frage wegzuwischen gilt als Ablehnung. Die Einstellung findest du unter ⋮ → Einstellungen → Absturzberichte senden, und sie auszuschalten stoppt die Berichte sofort.

Schaltest du sie ein, schickt die App beim Absturz den Fehler samt Stacktrace, dein Gerätemodell und die Versionsnummern von Android und Sorrel — und nur im Moment eines Absturzes, nie beim Start oder während du die App benutzt. Deine Rezepte, Fotos und Listen sind nie enthalten; Sorrel schaltet die Teile des Absturzmelders ausdrücklich ab, die einen Screenshot, eine Ansichtshierarchie, deine IP-Adresse oder irgendeine Kennung für dich oder dein Gerät anhängen würden. Die Berichte werden in unserem Auftrag von Sentry verarbeitet und für genau eine Sache verwendet: Fehler finden und beheben.

Was unser Server über Anfragen behält

Anfragen, die dein Handy an unseren Server stellt, tragen ein zufälliges Installations-Token, das einmal bei der Installation von Sorrel erzeugt wird und nicht von deinem Gerät oder Konto abgeleitet ist. Zwei tun das nicht: Abmelden und das Löschen deines Kontos senden allein das Zugriffstoken des Kontos, denn beide sind dazu da, etwas zu beenden, statt den Dienst zu nutzen. Der Server speichert das Installations-Token nie; er behält nur einen kurzen Einweg-Hash davon, mit dem er Fair-Use-Grenzen anwendet und zählt, wie viele Importe gelingen oder scheitern. Zu jedem Import hält er 90 Tage lang fest, wie er verlief — Plattform, Ergebnis, Dauer, unsere Kosten — und nie Adresse, Titel, Bildunterschrift oder Rezept. Die Ausnahme ist ein Link, dessen Import scheitert – siehe unten. Die Nutzungszählungen hinter den Fair-Use-Grenzen, auch die für Kroger, werden sieben Tage aufbewahrt. Einzige Ausnahme sind die oben beschriebenen Kroger-Statistiken: Sie behalten den Hash 90 Tage lang, danach nur noch die Zahlen. Unser Hosting-Anbieter und unser Webserver können übliche Verbindungsprotokolle einschließlich IP-Adressen für Sicherheit und Zuverlässigkeit aufbewahren.

Links, deren Import scheitert. Scheitert ein Import, behält unser Server den Link – bei einer Webseite ihre Adresse ohne Query-String, abgesehen von den wenigen Parametern, die nur die Seite benennen, etwa ?p=123 oder ?id=; bei einem Video nur dessen ID – bis 30 Tage nach dem letzten Fehlschlag, zusammen mit dem, was schiefging, welche App in welcher Version gefragt hat und wie oft. Damit finden und reparieren wir die Leser, die Rezepte übersehen. Nichts, was dich identifiziert, wird dazu gespeichert: kein Installations-Token, kein Konto und keine IP-Adresse. Ein Link, der sich erfolgreich importieren lässt, wird nie so protokolliert. Ein Link, den unser Server selbst gelesen hat, wird protokolliert, wenn er dort scheitert; ein Web-Link, der auf deinem Handy scheitert, hat uns nie erreicht – dein Handy schickt ihn nur, wenn in den Einstellungen „Anonyme Nutzungsstatistiken teilen“ an ist, oder wenn du beim gescheiterten Import auf die Schaltfläche tippst, die uns den Link schickt.

Google Play und der App Store

Für diese Vorgänge gelten Googles Datenschutzerklärung und Apples Datenschutzrichtlinie.

Was wir nicht erheben

Dateien, die du exportierst

Sorrel kann Rezepte exportieren und Sicherungsdateien anlegen. Sie werden nur geschrieben, wenn du es verlangst, nur an den Ort, den du wählst, und die App überträgt sie nie irgendwohin. Einmal exportiert, ist die Datei deine Sache.

Daten aufbewahren und löschen

Kinder

Sorrel richtet sich nicht an Kinder unter 13 Jahren und erhebt wissentlich von niemandem personenbezogene Daten, auch nicht von Kindern.

Diese Website

Diese Website besteht aus statischen Seiten, die bei Vercel gehostet werden. Sie setzt keine Werbe-Cookies und hat keine Anmeldung. Zwei Dinge sind erwähnenswert:

Haushalts-Einladungslinks öffnen eine Seite auf dieser Website, die die Einladung an die Sorrel-App übergibt; die Seite selbst speichert nichts.

Änderungen an dieser Erklärung

Wenn Sorrel eine Funktion bekommt, die etwas am Umgang mit Daten ändert, wird diese Erklärung aktualisiert, bevor die Funktion erscheint, und das Datum oben ändert sich. Wesentliche Änderungen stehen auch in den Release Notes der App. Diese Fassung ergänzt, dass die Links gescheiterter Importe 30 Tage aufbewahrt werden, damit wir sie reparieren können. Die vorige ergänzte das Senden deiner Einkaufsliste an einen Kroger-Markt und das Verbinden eines KI-Assistenten mit deinem Sorrel-Konto.

Kontakt

Fragen zu dieser Erklärung oder zum Datenschutz in Sorrel gehen an sorrelapp@burnsforce.com.