Datenschutzerklärung der App Copine

Diese Erklärung gilt für die Android-App Copine von Copine Beauty (Konstantin von Boxberg). Sie ist derselbe Text, den du in der App unter Einstellungen findest. Für diese Website gilt die Datenschutzerklärung der Website. Wie du deine Daten löschst, steht unter Daten löschen.

1. Verantwortlicher

Konstantin von Boxberg
Heidelberger Landstraße 12
64297 Darmstadt, Deutschland
E-Mail: copine.beauty@gmail.com

2. Kurz gesagt

Copine braucht kein Konto. Dein Hautton wird auf deinem Handy gemessen und bleibt dort. In der Version aus dem Store gehen ohne dein Zutun weder dein Hautton noch deine Scans, Produkte oder Einstellungen an mich. Zwei Ausnahmen gibt es: Die Gesichtserkennung von Google sendet technische Diagnosedaten an Google, keine Bilder und nichts über deinen Hautton (Abschnitt 3). Und die App lädt Produktfotos von meinem Server: Sie schickt dabei nichts über dich mit, aber der Server sieht, welche Fotos dein Handy abruft, also welche Produkte du dir ansiehst (Abschnitt 5). Nennst du mir selbst eine Marke oder ein Produkt, das im Katalog fehlt, gehen nur dieser Name und dein Land an mich (Abschnitt 5). Einschalten kannst du dreierlei: die Nutzungsdaten (Abschnitt 6), das Senden der Absturzberichte (Abschnitt 7) und das Beisteuern deiner Antworten auf „Hat gepasst?“ (Abschnitt 8). Dazu kommt nur in Testversionen, die ich im internen und im geschlossenen Test verteile: Sie fragen vor dem ersten Scan, ob sie die Messwerte deiner Scans an mich senden dürfen, und senden nur nach deinem Ja, den Scan einer Freundin nie (Abschnitt 9).

Einwilligen kannst du selbst erst ab dem Alter, das die DSGVO (Art. 8) und das Recht deines Landes dafür vorsehen: in Deutschland, den Niederlanden, Irland, Polen und der Schweiz ab 16, in Frankreich und Dänemark ab 15, in Österreich, Italien und Spanien ab 14, im Vereinigten Königreich, in Belgien, Portugal und Schweden ab 13. Bevor die App dir eines davon anbietet, fragt sie deshalb, ob du dieses Alter erreicht hast, und du antwortest mit Ja oder Nein; eine Testversion fragt danach, sobald du dem Senden der Scan-Messwerte zustimmst. Ein Geburtsdatum fragt die App nicht ab. Sie merkt sich nur deine Antwort und das Alter, nach dem gefragt wurde. Die Antwort wird nie an mich gesendet und mit „Meine Daten löschen“ entfernt. Sie bleibt auf deinem Handy, außer du nimmst sie selbst mit der Umzugsdatei auf ein anderes Handy mit (Abschnitt 4). Hattest du in einer früheren Version Monat und Jahr deiner Geburt angegeben, macht die App daraus beim ersten Start die entsprechende Antwort und löscht das Datum. Antwortest du mit Nein, bietet die App dir keines davon an, und eine Testversion sendet keine Scan-Messwerte, auch nicht, solange die Frage nicht beantwortet ist; die App funktioniert trotzdem vollständig, und alles bleibt auf deinem Gerät.

3. Kamera und Hautton-Messung

Für den Scan wertet die App das Live-Bild der Kamera direkt auf deinem Handy aus. Es wird kein Foto und kein Video gespeichert, und kein Bild wird an einen Server übertragen. Es gibt eine einzige Ausnahme, nur in Testversionen und nur mit deinem Ja: Sie senden nach jedem Scan kleine Hautausschnitte für die Messgenauigkeit (Abschnitt 9). Auch die Gesichtserkennung, die das Oval ausrichtet, läuft auf dem Gerät.

Diese Gesichtserkennung ist ML Kit, ein Baustein von Google. Sie wertet das Kamerabild auf deinem Handy aus; kein Bild und kein Messwert geht dabei an Google. ML Kit sendet aber technische Diagnosedaten an Google, damit Google den Baustein betreiben und verbessern kann: Hersteller und Modell des Handys, die Systemversion und welche Recheneinheiten für maschinelles Lernen (ML-Beschleuniger) es hat, Name und Version der App, eine zufällige Kennung dieser Installation, die Einstellungen der Erkennung (etwa Bildformat und Auflösung), die Größe der Ein- und Ausgabedaten, die Version des Bausteins und Ereignisse wie „Erkennung ausgeführt“ mit Laufzeiten und Fehlercodes. Dein Name, dein Hautton, deine Nuancen und deine Produkte sind nicht dabei. Diese Diagnosedaten werden technisch mitgesendet, wenn die Gesichtserkennung eingesetzt wird; die zufällige Kennung legt ML Kit dafür auf deinem Handy ab und liest sie dort wieder aus. Dasselbe gilt, wenn du den Strichcode einer Flasche scannst oder beim Umzug auf ein neues Handy den QR-Code liest: Dafür nutzt die App ML Kit Barcode Scanning, das den Code ebenfalls auf dem Gerät liest und dieselbe Art von Diagnosedaten an Google sendet. Für solche Zugriffe auf dein Endgerät gilt § 25 TDDDG. Eine Einwilligung fragt die App dafür nicht ab, und die Übertragung lässt sich in der App nicht abschalten. Google kann die Daten auch außerhalb der EU verarbeiten, vor allem in den USA. Nach eigenen Angaben ist Google LLC nach dem EU-US Data Privacy Framework zertifiziert und stützt Übermittlungen, für die kein Angemessenheitsbeschluss gilt, auf die Standardvertragsklauseln der EU-Kommission (policies.google.com/privacy/frameworks). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer zuverlässigen Gesichtserkennung für den Scan und am Lesen der Codes). Was Google dazu angibt: developers.google.com/ml-kit/android-data-disclosure.

Gespeichert werden nur Messwerte, keine Bilder. Zu jedem Scan sind das dein Hautton als Farbwerte (drei Zahlen), die Farbwerte der einzelnen Messpunkte auf der Haut und wie weit sie auseinanderliegen, Helligkeitswerte deiner Haut im Raumlicht und im Licht des Bildschirms, die Farbe deiner Unterlippe im Verhältnis zur Haut (wenn sie sich messen ließ) und deine Antwort, ob du dabei Lippenstift getragen hast, Datum und Uhrzeit, das Licht beim Scan, wie viele Bilder gezählt haben und wie verlässlich die Messung war. Unterton und Tiefe berechnet die App daraus. Sie behält deine letzten 50 Scans, damit du siehst, wie sich dein Ton verändert.

Einen Scan kannst du wieder verwerfen: gleich danach auf dem Ergebnis, wenn der neue Ton sichtbar vom vorherigen abweicht („Ton von vorher behalten“), oder später unter „Deinen Ton feinjustieren“ bei „Letzter Scan“ („Letzten Scan verwerfen“). Das geht immer nur für den letzten Scan und nur, wenn davor schon ein Ton da war. Die App bietet es nicht immer an, unter anderem nicht nach der geführten Kalibrierung des Bildschirmlichts und nicht, solange eine Kalibrierung auf eine Foundation besteht, die du nach diesem Scan gemacht hast. Verwerfen nimmt den Scan aus dem Verlauf auf deinem Handy: Dein Ton, die Kalibrierung des Bildschirmlichts und alles, was die App aus dem Verlauf deiner Scans ableitet („Dein Ton übers Jahr“, der Vergleich mit früheren Scans, die Erinnerung an einen neuen Scan), sind danach wieder so wie vor diesem Scan. Deine gemerkten Nuancen, deine Produkte und deine Einstellungen bleiben, wie sie sind. Mit „Rückgängig“ im Hinweis, der danach erscheint, holst du den Scan zurück; dafür hält die App ihn nur im Arbeitsspeicher und speichert ihn nicht mehr auf dem Handy. Verwerfen löscht den Scan aber nicht überall. Sind die Nutzungsdaten eingeschaltet (Abschnitt 6), bleibt die Zeile, die beim Scan in die Aufzeichnung geschrieben wurde, mit den gerundeten Farbwerten dieses Scans dort stehen, und ist auch das Senden eingeschaltet, kann sie schon auf meinem Server liegen. Verwerfen entfernt sie nicht: Löschen kannst du sie mit der Aufzeichnung oder mit deinen Daten, und übertragene Ereignisse werden sonst nach der Frist aus Abschnitt 6 gelöscht. In Testversionen gilt dasselbe für die Messwerte, die nach dem Scan gesendet wurden (Abschnitt 9). Durch das Verwerfen selbst wird nichts gesendet.

4. Was auf deinem Handy gespeichert wird

Deine Messungen, deine gespeicherten Nuancen, deine Produkte, Lieblingsmarken, deine Lieblingsshops (höchstens drei, nur ihre Namen), Preisalarme, eine Nuance oder ein Produkt, das dir jemand über einen Link geschickt oder gezeigt hat, die Shops, die du über Copine geöffnet hast, mit Produkt, Nuance und Zeitpunkt, bis du auf „Hat gepasst?“ geantwortet hast (höchstens 120 Tage), deine Antworten auf „Hat gepasst?“, die Strichcodes von Flaschen, die Copine beim Scannen nicht kannte (die Nummer, der Tag und die Marke, zu der sie wahrscheinlich gehört), die Marken und Produkte, die du mir als fehlend genannt hast (Abschnitt 5), die Produkte, die du dir zuletzt angesehen hast (höchstens zwölf, jeweils mit Nuance und Tag, ohne Uhrzeit), deine letzten Suchen (höchstens sechs, und nur solche, bei denen du einen Treffer geöffnet oder die Suchtaste gedrückt hast; Suchtexte mit einer E-Mail-Adresse, einem Link oder einer langen Nummer merkt sich die App nicht), bei deinen Produkten deine Angabe, seit wann sie offen sind (der Tag, den deine ungefähre Antwort bedeutet, und der Tag, an dem du sie gegeben hast), und deine Einstellungen (Land, Sprache, Vorlieben). Dazu kommt, was dein letzter Scan ersetzt hat, damit du ihn verwerfen kannst (Abschnitt 3): Zeitpunkt und Licht dieses Scans, der Hinweis, der unter deinem vorherigen Ton stand, die Kalibrierung des Bildschirmlichts, wie sie vor dem Scan war, und, wenn der Verlauf mit 50 Scans voll war, der älteste Scan, den der neue daraus verdrängt hat. Die App behält das höchstens, bis der nächste Scan es ersetzt oder du den Scan verwirfst. Diese Daten liegen im Speicher der App auf deinem Gerät. Ich habe darauf keinen Zugriff. Sie sind von den Geräte-Backups (Android-Backup, iCloud) ausgenommen.

Zu den Vorlieben gehört, was du in der App über Textur, Deckkraft und Preis sagst und wofür du deinen Concealer nimmst. Außerdem zählt die App je Marke mit, wie oft du sie dir ansiehst, nach ihr suchst, eine ihrer Nuancen merkst, eines ihrer Produkte zu deinen legst oder dafür einen Shop öffnest; daraus entsteht nur die Frage, ob sie deine Lieblingsmarke werden soll. Beides wird nicht an mich gesendet, auch nicht mit eingeschalteten Nutzungsdaten; dort steht weiterhin nur, welcher Treffer oben stand, nicht, welche Vorliebe ihn dorthin gebracht hat. Du findest beides unter Du → „Was Copine über dich weiß“: Dort kannst du deine Vorlieben ändern oder entfernen und die Zählung löschen. Dort stehen auch die zuletzt angesehenen Produkte und deine letzten Suchen, jeweils mit „Vergessen“. Die App zeigt sie dir auf der Suchseite wieder an; gesendet werden sie nicht, auch nicht mit eingeschalteten Nutzungsdaten. Während du für eine Freundin scannst, merkt sich die App nichts davon. Unter Einstellungen → „Lieblingsshops“ kannst du bis zu drei Shops wählen. Gespeichert werden nur ihre Namen. Kann einer davon eine Nuance gerade liefern und liegt sie in deinem Preis, zeigt die App diesen Shop bei dem Produkt zuerst (Impressum, „Partnerlinks“). Die Namen werden nicht an mich gesendet und stehen in keinem Ereignis der Nutzungsdaten. Unverändert gilt aber: Öffnest du mit eingeschalteten Nutzungsdaten einen Shop, hält das Ereignis dazu fest, welcher Shop es war (Abschnitt 6), und mit einem Lieblingsshop ist das oft dieser. Auch deine Lieblingsshops stehen unter „Was Copine über dich weiß“, mit „Ändern“ und „Vergessen“.

Auf einem Handy können mehrere Profile liegen, etwa für deine Schwester oder eine Freundin (Einstellungen → „Testprofil“). Jedes Profil hat seine eigenen Daten aus diesem Abschnitt und seine eigenen zufälligen Kennungen. Der Name, den du einem Profil gibst, bleibt auf dem Handy und wird nie gesendet. Unter Einstellungen → „Meine Daten löschen“ entfernst du alles auf einmal, nur die gewählte Sprache der App bleibt: In deinem eigenen Profil, dem ersten auf dem Handy, löscht der Knopf auch alle weiteren Profile; die App nennt sie vorher beim Namen. In einem weiteren Profil löscht er nur dieses Profil und sagt das. Was aus den gelöschten Profilen an meinen Server gesendet wurde, löscht „Meine Daten löschen“ mit (Abschnitte 6 bis 9). Deinstallierst du die App, verschwindet ebenfalls alles auf dem Handy, alle Profile eingeschlossen; was schon auf meinem Server liegt, löscht das Deinstallieren aber nicht.

Unter Einstellungen → „Auf neues Handy übertragen“ kannst du diese Daten selbst auf ein anderes Handy mitnehmen. Die App schreibt sie dafür in eine Datei, die mit einem einmaligen Code verschlüsselt ist (AES-256), und zeigt den Code auf dem Bildschirm. Die Datei gibst du selbst weiter, etwa per Quick Share, AirDrop oder Mail an dich; ohne den Code ist sie nicht lesbar. Über meinen Server läuft dabei nichts. In der Datei stehen auch deine Antwort auf die Altersfrage, wenn du sie gegeben hast, und deine Schalter für die Nutzungsdaten und für das Beisteuern der Antworten auf „Hat gepasst?“; sie gelten auf dem neuen Handy weiter. Steht auf einem der beiden Handys ein Nein auf die Altersfrage, bleibt es beim Nein. Deine Lieblingsshops ziehen mit um, wie deine Lieblingsmarken. Die Kalibrierung des Bildschirmlichts und die zufälligen Kennungen der App bleiben auf dem alten Handy. Dort bleibt auch, was dein letzter Scan ersetzt hat (Abschnitt 3): Einen Scan, der mit der Datei gekommen ist, kannst du auf dem neuen Handy nicht verwerfen. Auch die Liste der Marken und Produkte, die du als fehlend genannt hast, zieht nicht mit um. Dasselbe gilt für die Benachrichtigungen: Ob sie erlaubt sind und zu welchen Themen, stellst du auf jedem Handy selbst ein (Abschnitt 10).

5. Katalog und Preise

Damit Preise und Produkte aktuell bleiben, lädt die App beim Start und wenn du zu ihr zurückkehrst eine Katalogdatei von meinem Server (mit eingeschalteten Benachrichtigungen gelegentlich auch im Hintergrund, siehe Abschnitt 10). Dabei werden keine Angaben über dich mitgeschickt. Technisch unvermeidbar verarbeitet der Server deine IP-Adresse und die üblichen Anfragedaten (Zeitpunkt, angeforderte Datei), um die Datei auszuliefern.

Auf Android fragt die App beim Start und wenn du zu ihr zurückkehrst außerdem Google Play, ob es eine neuere Version gibt, und liest von meinem Server, ob eine Version ein Pflicht-Update ist. Auf dem iPhone liest sie zu denselben Zeitpunkten nur von meinem Server, ob es eine neuere Version gibt und ob sie ein Pflicht-Update ist; „Jetzt aktualisieren“ öffnet dort TestFlight. Auch dabei werden keine Angaben über dich mitgeschickt, nur die Nummer der installierten Version. Einmal, nachdem du auf „Hat gepasst?“ mit „Passt“ geantwortet hast, bittet die App außerdem den Store deines Handys (auf Android Google Play), sein Bewertungsblatt zu zeigen. Ob es erscheint, entscheidet der Store. Die App gibt dabei keine Angaben über dich weiter, und ich erfahre nicht, ob und wie du bewertest; für die Bewertung selbst gelten die Bestimmungen des Stores.

Produktfotos, die nicht in der App enthalten sind, lädt die App von demselben Server: beim Start die Liste der vorhandenen Fotos und ein Foto, sobald das Produkt auf dem Bildschirm steht. Die Fotos bleiben im Zwischenspeicher der App. Die App schickt dabei keine Angaben über dich mit, aber der Server sieht, wie beim Katalog, deine IP-Adresse und die üblichen Anfragedaten und damit auch, welche Produktfotos dein Handy abruft. Das sind die Produkte, die du dir ansiehst, im Ergebnis also auch die, die zu deinem Hautton passen. Von welchem Shop das Foto eines Produkts stammt, richtet sich nach dem Shop, den die App dir bei diesem Produkt oben zeigt, in einem Look und auf „Gemerkt nach Shop“ nach dem Shop der jeweiligen Zeile, und damit auch nach deinem Land, deinen Angaben zum Preis, deinen Lieblingsshops und dem, was du sonst gemerkt hast. Diese Angaben selbst sendet die App nicht; aus den abgerufenen Fotos ließe sich im Einzelfall aber darauf schließen. Die Fotos stammen aus den Partnerprogrammen der Shops, werden aber nie direkt von den Shops geladen. „Meine Daten löschen“ leert auch diesen Zwischenspeicher.

Der Server wird von Supabase betrieben (Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513); das Projekt liegt in der Region Frankfurt (EU). Wie jeder Webserver führt Supabase ein Zugriffsprotokoll: Zu jeder Anfrage der App an meinen Server stehen dort deine IP-Adresse, die aufgerufene Adresse, der Zeitpunkt, die technische Kennung des abrufenden Programms (User-Agent) und das Land, das sich aus der IP-Adresse ergibt. Das gilt für jede Verbindung zu meinem Server, auch für das, was die App nach den Abschnitten 6 bis 9 sendet. Dieses Protokoll wird nach kurzer Zeit gelöscht. Solange es besteht, ließen sich darüber Anfragen desselben Anschlusses einander zuordnen, auch über die getrennten Kennungen hinweg. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionierenden, aktuellen App).

Fehlt dir im Katalog eine Marke oder ein Produkt, kannst du es mir nennen: unter einer Suche ohne Treffer, am Ende der Markenliste, auf der Seite einer Marke und unter einem Strichcode, den Copine nicht kennt („Fehlt etwas? Sag es Copine“). Gesendet wird nur, was du dort eintippst und abschickst, also der Name der Marke und, wenn du eines nennst, des Produkts, dazu das Land, auf das die App eingestellt ist. Eine Kennung, dein Hautton, deine Nuancen, die Sprache oder die Version der App werden nicht gesendet. Schreib in die beiden Felder bitte nur Namen von Marken und Produkten, nichts über dich oder andere Personen; Texte mit einer E-Mail-Adresse, einem Link oder einer langen Nummer nimmt die App nicht an. Gegen Missbrauch bildet der Server beim Empfang aus deiner IP-Adresse einen Prüfwert, auf dieselbe Art wie in Abschnitt 8 (mit einem Schlüssel, der jeden Tag neu erzeugt und nach einem Tag gelöscht wird), aber einen eigenen, der sich mit dem Prüfwert einer Antwort nicht vergleichen lässt, und speichert ihn zur Meldung. Die IP-Adresse selbst wird bei der Meldung nicht gespeichert, und vom Eingang hält der Server nur den Tag fest, keine Uhrzeit. Solange der Schlüssel besteht, also höchstens einen Tag, ließe sich am Prüfwert erkennen, welche Meldungen vom selben Anschluss kamen; danach nicht mehr. Aus den Meldungen zähle ich je Land, welche Marken und Produkte wie oft genannt werden, und entscheide danach, was ich in den Katalog aufnehme; zusagen kann ich das für keine Marke. Auf deinem Handy bleibt eine Liste dessen, was du genannt hast (Abschnitt 4): Sie verhindert, dass dieselbe Meldung zweimal gesendet wird, begrenzt die Meldungen auf zehn am Tag und hält eine Meldung ohne Verbindung fest, bis sie gesendet werden kann. Mit dieser Liste vergleicht die App auf deinem Handy außerdem den Katalog: Steht die Marke oder das Produkt inzwischen darin, sagt sie es dir einmal auf der Startseite und, wenn du das eingeschaltet hast, als Benachrichtigung (Abschnitt 10). Dafür wird nichts gesendet. Eine Meldung, die noch nicht gesendet war und deren Marke inzwischen im Katalog steht, wird nicht mehr gesendet. „Meine Daten löschen“ löscht diese Liste und alles, was noch nicht gesendet ist. Was schon gesendet wurde, kann ich nicht heraussuchen und löschen, weil nichts daran zu dir führt; es wird 24 Monate nach dem Eingang gelöscht. Hast du die Altersfrage aus Abschnitt 2 mit Nein beantwortet, bietet die App das Melden nicht an und sendet nichts davon. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, den Katalog um das zu erweitern, was Nutzerinnen und Nutzern fehlt, und daran, den Server vor Missbrauch zu schützen).

6. Nutzungsdaten (freiwillig)

Standardmäßig aus. Nur wenn du sie unter Einstellungen → Nutzungsdaten einschaltest, hält die App fest, was du scannst und suchst: deinen Hautton als gerundete Farbwerte mit Unterton und Tiefe, angesehene Kategorien und beste Treffer, geöffnete Shops mit Produkt, Nuance und Preis, gespeicherte und eigene Produkte, Preisalarme, nachgeschlagene Nuancen, ob eine gekaufte Nuance gepasst hat, wenn du einen Scan ohne Ergebnis verlässt, woran es vermutlich lag (etwa zu wenig Licht oder kein Gesicht erkannt), wie lange er lief und wie oft die Aufnahme neu begann, und, wenn du den Strichcode einer Flasche scannst, die Copine nicht kennt, dessen Nummer, die Marke, zu der sie wahrscheinlich gehört, und ob sie gescannt oder eingetippt wurde. Dazu kommen der Tag (keine Uhrzeit), dein gewähltes Land und eine zufällige Kennung, die nicht aus deinem Gerät abgeleitet ist. Zweck: zu erkennen, welche Hauttöne im Katalog schlecht versorgt sind, wo Marken Lücken in ihren Paletten haben und welche Produkte im Katalog fehlen, und die Empfehlungen der App zu verbessern.

Nie aufgezeichnet werden Fotos oder Kamerabilder, dein Name, deine E-Mail-Adresse oder Telefonnummer, eine Werbe-ID, eine genaue Uhrzeit oder ein Standort über das gewählte Land hinaus.

Die Aufzeichnung liegt zunächst nur auf deinem Handy; dort kannst du jede Zeile ansehen und alles löschen. An meinen Server (Supabase, Region Frankfurt) wird sie erst übertragen, wenn du zusätzlich „Aufzeichnung an Copine senden“ einschaltest. Übertragene Ereignisse tragen keinen Namen und keine Geräte-ID, wohl aber die zufällige Kennung. Sie sind also pseudonym, nicht anonym. Solange die Kennung auf deinem Handy liegt, kann ich die Ereignisse dazu auf deine Anfrage hin heraussuchen oder löschen; du findest sie, wie die anderen Kennungen, unter Einstellungen → „Deine Kennungen“ und kannst sie dort kopieren. Löschst du die Aufzeichnung („Aufzeichnung löschen“) oder deine Daten („Meine Daten löschen“), löscht die App auch die übertragenen Ereignisse unter dieser Kennung von meinem Server; ohne Verbindung holt sie das beim nächsten Start nach. Danach zieht sie eine neue Kennung. Möchtest du vorher wissen, was gespeichert ist, schreib mir, bevor du löschst. Sonst werden übertragene Ereignisse nach 12 Monaten gelöscht.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit widerrufen, indem du die Schalter wieder ausschaltest; ab dann wird nichts mehr aufgezeichnet oder gesendet.

7. Absturzberichte

Läuft die App auf einen Fehler, schreibt sie ihn auf deinem Handy auf: die Fehlermeldung, die technische Spur, was die App dabei gerade tat, die Art des Fehlers und ob die App weiterlief, den Bildschirm als Muster (etwa „/result“ oder „/product/:id“, nie welches Produkt), den Zeitpunkt, die App-Version, die Hauptversion des Systems und den Hersteller des Handys (etwa Android 15 und Samsung, nie das Modell; anders als die Diagnosedaten der Gesichtserkennung in Abschnitt 3) und ob es eine Debug-Version war oder ein Testprofil lief. Beim Senden kommt eine zufällige Kennung dazu, die nur für die Absturzberichte erzeugt wird und weder mit den Nutzungsdaten noch mit den Scan-Messwerten verknüpft ist. Eine gemeinsame Kennung gibt es also nicht. Über den Zeitpunkt, die App-Version und den Hersteller des Handys ließe sich ein Bericht aber einer anderen Sendung desselben Handys aus demselben Moment zuordnen, in Testversionen etwa den Scan-Messwerten des Scans, bei dem der Fehler auftrat. Der Bericht selbst ist eine Aussage über die App, nicht über dich: dein Name, dein Hautton, deine Nuancen, deine Produkte, dein Land, Fotos oder Kamerabilder stehen nie darin.

Die Berichte bleiben auf dem Gerät. Unter Einstellungen → Absturzberichte kannst du sie lesen, teilen und löschen. Nur wenn du dort „Berichte an Copines Server senden“ einschaltest, werden sie an meinen Server übertragen (Supabase, Region Frankfurt); Rechtsgrundlage ist dann deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit durch Ausschalten widerrufen kannst. „Meine Daten löschen“ löscht auch die übertragenen Berichte unter deiner Kennung von meinem Server; ohne Verbindung holt die App das beim nächsten Start nach. „Berichte löschen“ auf der Seite der Absturzberichte entfernt nur die Berichte auf dem Handy. Sonst werden übertragene Berichte nach 180 Tagen gelöscht.

8. Antworten auf „Hat gepasst?“ (freiwillig)

Hast du über Copine einen Shop geöffnet, fragt die App bei einem späteren Start, ob die Nuance gepasst hat. Deine Antworten bleiben auf deinem Handy. Nur wenn du „Antworten beisteuern“ einschaltest (die App fragt einmal nach deiner ersten Antwort; unter Einstellungen kannst du es jederzeit ändern), gehen sie an meinen Server (Supabase, Region Frankfurt): je Antwort die Produktkennung, der Name der Nuance, deine Antwort („passt“, „zu hell“, „zu dunkel“ oder „später dunkler“) und der Tag der Antwort, auch die Antworten, die schon auf deinem Handy waren. Dazu kommt eine zufällige Kennung, die nur für diesen Zweck erzeugt wird und weder mit den Nutzungsdaten noch mit den Absturzberichten noch mit den Scan-Messwerten verknüpft ist. Schaltest du zusätzlich das Senden der Nutzungsdaten ein, steht dieselbe Antwort mit Produkt, Nuance und Tag auch dort; über diese Übereinstimmung ließen sich die beiden Kennungen einander zuordnen, neue Angaben über dich kämen dadurch aber nicht hinzu. Gegen Missbrauch (erfundene Antworten in großer Zahl) bildet der Server beim Empfang aus deiner IP-Adresse (bei IPv6 aus dem Netz, zu dem sie gehört) einen Prüfwert mit einem Schlüssel, der jeden Tag neu erzeugt und nach einem Tag gelöscht wird, und speichert diesen Prüfwert zur Antwort. Die IP-Adresse selbst wird bei der Antwort nicht gespeichert, und sobald der Schlüssel gelöscht ist, lässt sich der Prüfwert keiner Adresse mehr zuordnen. Unabhängig davon steht sie, wie bei jeder Anfrage an den Server, für kurze Zeit im Zugriffsprotokoll des Betreibers (Abschnitt 5). Vom Eingang hält der Server nur den Tag fest, keine Uhrzeit. Dein Hautton, der Wert, den Copine der Nuance gegeben hatte, dein Land, die Uhrzeit, dein Name, Fotos oder Kamerabilder werden nie gesendet. Je Produkt und Nuance wird nur deine letzte Antwort gespeichert. Die gesendeten Antworten sind damit pseudonym, nicht anonym; anonym sind erst die Zählungen, die der Server daraus macht.

Aus allen Antworten zählt der Server je Nuance, wie viele sie passend, zu hell oder zu dunkel fanden. Diese Zahlen gehen mit dem Katalog an alle Nutzerinnen und Nutzer der App, aber nur für Nuancen, zu denen mindestens fünf verschiedene Personen geantwortet haben; einzelne Antworten und die Kennungen verlassen den Server nie. Die App rückt eine Nuance, die viele zu hell oder zu dunkel fanden, in der Trefferliste nach hinten und sagt das in einem Satz; die angezeigte Farbübereinstimmung ändert das nicht.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie ab dem Alter selbst geben, ab dem das in deinem Land erlaubt ist (in Deutschland 16); die App fragt dafür einmal, ob du dieses Alter erreicht hast, und sendet die Antwort nicht an mich (Abschnitt 2). Du kannst die Einwilligung jederzeit durch Ausschalten widerrufen; bereits gesendete Antworten bleiben dann bis zu ihrer Löschung gespeichert. „Meine Daten löschen“ löscht alle Antworten unter deiner Kennung auch auf dem Server; ohne Verbindung holt die App das beim nächsten Start nach. In der Zählung, wie viele Antworten an einem Tag von einer Verbindung kamen, wird deine Kennung dabei durch eine zufällige ersetzt; diese Zeile bleibt bis zu sieben Tage stehen und hat keinen Bezug mehr zu dir. Gespeicherte Antworten werden 24 Monate nach dem Tag der Antwort gelöscht.

9. Scan-Messwerte (nur in Testversionen)

Nur in Testversionen, die ich im internen und im geschlossenen Test an Testerinnen und Tester verteile: Vor dem ersten Scan fragt die App auf einer Karte, ob sie die Messwerte deiner Scans an mich senden darf, damit ich die Messung genauer machen kann. Sagst du „Ja, Messwerte senden“, stellt sie zuerst die Altersfrage aus Abschnitt 2; erst wenn du das Alter erreicht hast, sendet sie die Messwerte jedes deiner Scans direkt nach dem Scan. Sagst du Nein oder beantwortest die Altersfrage mit Nein, wird nichts gesendet. Das gilt für jedes Profil auf dem Handy einzeln. Scannst du über „Für eine Freundin“ eine andere Person, wird nie etwas gesendet. Eine ältere Testversion, die nur im internen Test lief, sendete ohne diese Karte; sie sagte es vor dem Scan, und über dem Scan stand „Messwerte gehen an Copine“. Die Version aus dem Store fragt nie und sendet nie.

Gesendet werden pro Scan: kleine Ausschnitte aus dem Kamerabild von je etwa 25 × 25 Bildpunkten an neun Stellen deiner Haut (Stirn, Wangen, Nasenrücken, Kiefer, Kinn) und einige ebenso kleine Ausschnitte des Hintergrunds, dazu Kopfhaltung, Belichtung, Raumlicht, das Ergebnis der Messung, die genauen Zeitpunkte des Scans und der einzelnen Bilder, Handy-Modell, System- und App-Version. Füllst du nach einem Scan die kleine Rückfrage unter dem Ergebnis aus, kommen dazu: wo du gescannt hast, deine kurze Beschreibung und wie gut der Ton gepasst hat (1 bis 5). Kein Foto des Gesichts und kein Name. Die Ausschnitte zeigen die Hautfarbe; daraus lassen sich unter Umständen Rückschlüsse auf die Herkunft ziehen. Deshalb sendet nur die Testversion, nie die Version aus dem Store.

Die Messwerte werden unter einer zufälligen Kennung gespeichert, die nur für diesen Zweck erzeugt wird und weder mit den Nutzungsdaten noch mit den Absturzberichten verknüpft ist, auf meinem Server bei Supabase (Region Frankfurt), und nach 90 Tagen gelöscht. Eine gemeinsame Kennung gibt es nicht; über den genauen Zeitpunkt, die App-Version und das Handy ließe sich eine Sendung aber einem Absturzbericht aus demselben Moment zuordnen, und über die gemessenen Farbwerte und den Tag einem Scan in den Nutzungsdaten, falls du diese ebenfalls sendest. Abschalten kannst du das Senden jederzeit unter Einstellungen → Testversion. Mit „Gesendete Messwerte löschen“ entfernst du dort jederzeit alles unter deiner Kennung sofort vom Server; „Meine Daten löschen“ tut das ebenfalls.

Die Testversion bekommst du nur, wenn du am internen oder geschlossenen Test teilnimmst. Ich stütze das Senden auf deine Einwilligung (Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO), die du auf der Karte vor dem ersten Scan gibst. Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, indem du das Senden in den Einstellungen abschaltest; was gesendet wurde, löschst du in der App oder per E-Mail an mich.

10. Benachrichtigungen

Wenn du Benachrichtigungen einschaltest, prüft die App auf deinem Handy, ob eine beobachtete Nuance günstiger oder wieder lieferbar ist, und zeigt die Meldung lokal an. Dieselbe Erlaubnis nutzt die App für ihre Erinnerungen und Hinweise: wenn ein neuer Scan fällig ist, wenn eine andere Nuance deiner Foundation inzwischen näher an deinem Hautton liegt, wenn du auf „Bei Tageslicht erinnern“ getippt hast, sobald es hell ist, wenn eine Marke oder ein Produkt, das du mir als fehlend genannt hast, oder eine Flasche, deren Strichcode Copine nicht kannte, im Katalog angekommen ist, und wenn eines deiner Produkte nach deiner eigenen Angabe so lange offen ist, dass es wohl zur Neige geht oder nicht mehr lange hält. Auch sie entstehen auf deinem Handy: aus deinen gespeicherten Scans, deinen Produkten, den Listen aus Abschnitt 4, dem Katalog, der Uhr und dem gewählten Land. Es gibt keinen Push-Dienst, bei dem dein Gerät registriert wird; für die Prüfung wird nur der Katalog aus Abschnitt 5 geladen.

Unter Einstellungen → „Benachrichtigungen“ wählst du je Thema, wozu die App sich meldet: Preise und Verfügbarkeit, dein Scan, Tageslicht, Neues im Katalog und deine Produkte. Tippst du auf „Bei Tageslicht erinnern“, auf das Angebot zu deinen Preisalarmen oder auf das Angebot im Blatt „Seit wann offen?“, schaltet die App nur dieses eine Thema ein. Hattest du Benachrichtigungen schon vor dieser Version eingeschaltet, sind „Neu im Katalog“ und „Meine Produkte“ zunächst aus. Diese Auswahl bleibt auf dem Handy und zieht nicht mit um (Abschnitt 4).

Eine Benachrichtigung nennt, worum es geht: Marke, Produkt und Nuance, bei einem Preisalarm und bei einem Produkt, das wohl zur Neige geht, auch den Preis und den Shop dazu. Hast du Lieblingsshops gewählt (Abschnitt 4), ist das oft einer davon. Sie kann auf dem Sperrbildschirm zu sehen sein. Was die App schon gemeldet hat, merkt sie sich in einer eigenen Datei auf deinem Handy, damit sie nichts zweimal meldet: bei einem Preisalarm Produkt, Nuance und den gemeldeten Preis, bei einem Hinweis, dass eine andere Nuance deiner Foundation näher liegt, das Produkt, die Nuance und den Zeitpunkt des Scans (für die letzten zwei solchen Hinweise), bei einer Ankunft im Katalog die Marke, das Produkt oder den Strichcode, bei einem deiner Produkte das Produkt, die Nuance, den Tag der Angabe und den Tag der Meldung. Nimmst du eine Angabe zurück oder entfernst das Produkt, löscht die App den Eintrag bei ihrer nächsten Prüfung im Hintergrund; „Meine Daten löschen“ entfernt die Datei sofort.

11. Shop-Links und Partnerlinks

Tippst du auf einen Shop, öffnet sich dessen Seite in deinem Browser oder in der Shop-App. Ab dann gelten die Datenschutzbestimmungen des Shops. Ein Teil der Links sind Partnerlinks: Das Partnernetzwerk (derzeit Awin und CJ) erfährt dabei, dass die Weiterleitung von Copine kam, und setzt in der Regel ein Cookie im Zielshop, um einen späteren Kauf zuzuordnen. Copine übergibt dem Netzwerk dabei, welches Produkt und welche Nuance angeklickt wurde, damit ich sehe, welche Empfehlungen zu Käufen führen. Die Nuance kann einen groben Rückschluss auf deinen Hautton zulassen; Name, Kennungen oder deine Messwerte gibt Copine nicht weiter. Dasselbe gilt auf der Seite „Gemerkt nach Shop“, die deine gemerkten Nuancen auf möglichst wenige Shops verteilt: Ein Tipp auf einen Artikel öffnet dort den Shop, unter dem er steht, genauso wie ein Tipp auf diesen Shop auf der Produktseite. Die Verteilung rechnet die App auf deinem Handy aus; gesendet wird dafür nichts.

12. Teilen und Einladungslinks

Teilst du einen Treffer oder, über den Teilen-Knopf oben auf einer Produktseite, ein Produkt, steht unter dem Text ein Link auf copinebeauty.de. Bei einem Produkt ist der Text eine Zeile mit Marke, Produkt und Nuance oder Variante; ein Bild, ein Preis, dein Name oder eine Kennung sind nicht dabei. Die Nuance ist die, die die Produktseite gerade zeigt. Das ist die, mit der du die Seite geöffnet oder die du dort gewählt hast, sonst die, die Copine zu deinem Ton empfiehlt; sie kann deshalb einen groben Rückschluss auf deinen Hautton zulassen. Der Link enthält das Produkt, den Namen der Nuance oder Variante und ob es dein eigener Treffer ist, das Ergebnis, das du für eine Freundin gescannt hast, oder ein Produkt, das du jemandem zeigst. Diese Angaben stehen im Teil des Links nach dem Zeichen „#“; Browser senden diesen Teil nicht an den Server, er wird nur im Browser der Person gelesen, die den Link öffnet. Mein Server erfährt beim Öffnen deshalb nur das, was er für jede Seite erfährt (Abschnitt 5), nicht welche Nuance geteilt wurde. Wen der Link erreicht, entscheidest du: Er steht nur in dem Text, den du selbst verschickst. Die Nuance kann einen groben Rückschluss auf den Hautton der Person zulassen, zu der sie gehört; teile das Ergebnis einer Freundin deshalb nur mit ihr oder mit ihrem Einverständnis.

Öffnest du einen solchen Link und ist Copine installiert, übernimmt die App diese Angaben und zeigt dir Produkt und Nuance auf der Startseite an. Sie bleiben nur auf deinem Handy gespeichert, bis du die Karte benutzt oder wegtippst, und werden mit „Meine Daten löschen“ entfernt. Übernimmst du die Nuance als deinen Ton, wird sie wie eine selbst gewählte Nuance behandelt (Abschnitt 4); das bietet die Karte nur bei einem Ergebnis an, das eine Freundin für dich gescannt hat. Bei einem Produkt, das dir jemand zeigt („Deine Freundin zeigt dir eine Nuance“ oder „Deine Freundin zeigt dir ein Produkt“), öffnet die Karte nur die Produktseite.

Ist Copine noch nicht installiert, führt die Seite auf Android zu Google Play. Google Play gibt die Angaben aus dem Link (Produkt, Nuance und welche Art von Link es ist) nach der Installation an die App weiter (Google Play Install Referrer). Die App liest sie beim ersten Start einmal auf deinem Handy aus; an mich wird dabei nichts gesendet. Für die Verarbeitung durch Google Play gelten die Datenschutzbestimmungen von Google. Rechtsgrundlage für das Auslesen ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, dir nach der Installation die Nuance oder das Produkt zu zeigen, deren Link du geöffnet hast); der Zugriff auf diese Angabe auf deinem Gerät ist dafür nach § 25 Abs. 2 Nr. 2 TDDDG unbedingt erforderlich.

Deine gemerkten Nuancen kannst du als Text teilen, über den Teilen-Knopf neben „Gemerkt“. Der Text besteht aus einer Überschrift, je gemerkter Nuance einer Zeile mit Marke, Produkt und Nuance (bei mehr als 30 Nuancen nur für die ersten 30, dazu die Zahl der übrigen) und der Adresse copinebeauty.de. Preise, Links in einen Shop, dein Hautton, dein Name oder eine Kennung stehen nicht darin; die gemerkten Nuancen selbst können aber einen groben Rückschluss auf deinen Hautton zulassen. Was du teilst, übergibt die App nur dem Teilen-Dialog deines Handys. Copine sendet dabei nichts an mich und hält nicht fest, ob, was und an wen du etwas geteilt hast; ab der Übergabe gelten die Bestimmungen der App, mit der du teilst.

13. Berechtigungen

Kamera: für den Scan, für das Lesen eines Strichcodes (Flasche scannen) und für den QR-Code beim Umzug auf ein neues Handy, jeweils nur, solange die Seite offen ist. Benachrichtigungen: nur, wenn du sie einschaltest. Die App fragt weder Standort noch Kontakte, Mikrofon oder Fotos ab.

14. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Außerdem steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu, etwa beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden.

15. Stand

18. Oktober 2026. Ändert sich, was die App verarbeitet, wird dieser Text mit der App aktualisiert.