Datenschutzerklärung – iMeter Reader

Keine Anmeldung + keine KI-Nutzung: Wenn Sie kein Konto erstellen UND keine KI-Funktion (Cloud-OCR, Vertragsanalyse, KI-Chat) verwenden, verlassen Ihre Zähler, Zählerstände, Verträge, Notizen und Einstellungen Ihr Gerät niemals. Unabhängig von diesen Inhaltsdaten übermittelt die App — auch ohne Konto — den einmaligen Installations-Ping (§ 4.10), anonyme Nutzungsstatistiken (Abschnitt 20, standardmäßig aktiviert, abschaltbar), Absturzdiagnosedaten (Abschnitt 19, standardmäßig aktiviert, abschaltbar), die gerätebezogene Aufzeichnung Ihrer Datenschutz-Einstellungen (Abschnitt 21) und, solange Sie Benachrichtigungen zulassen, die Push-Registrierung (Abschnitt 18). Beim Deinstallieren der App sind alle lokalen Daten sofort weg; die gerätebezogenen Server-Datensätze werden spätestens nach Ablauf der 18-monatigen Install-Only-Speicherfrist gelöscht (§ 8.2). iMeter Reader (mobile App: iOS, Android, macOS, Windows) · Anbieter: Codexo (Einzelunternehmen, Inhaber: Ahmad Al Alloush), Betreiber der mobilen App iMeter Reader · Stand: 20. Oktober 2026 · Version 2.19 · Diese Fassung enthält alle In-Place-Änderungen der Version 2.15 (18., 15. und 11. September 2026); die vollständige Änderungshistorie finden Sie in Abschnitt 23.

Diese Datenschutzerklärung beschreibt, welche personenbezogenen Daten bei der Nutzung der mobilen App iMeter Reader verarbeitet werden und auf welcher Rechtsgrundlage. Verantwortlicher ist der Betreiber der App (siehe Abschnitt 1). Diese Erklärung erfüllt die Informationspflichten gemäß Art. 13 und Art. 14 DSGVO, § 5 DDG sowie § 25 TDDDG (vormals TTDSG).

Hinweis zum Produktnamen: Die App wird in den App Stores unter der Bundle-ID imeterrecorder geführt. Markenname und in-App-Bezeichnung sind iMeter Reader.

Inhaltsverzeichnis

Verantwortlicher und Kontakt
Datenschutzbeauftragter (DPO)
Begriffsbestimmungen
Welche Daten wir verarbeiten — Übersicht
Zwecke der Verarbeitung und Rechtsgrundlagen
Empfänger und Auftragsverarbeiter (Subunternehmer)
Datenübermittlung in Drittländer (Art. 44 ff. DSGVO)
Speicherdauer und Löschung
Ihre Rechte als Betroffener
Widerrufsrecht bei Einwilligungen (Art. 7 Abs. 3 DSGVO)
Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO)
Pflicht zur Bereitstellung der Daten
Automatisierte Entscheidungsfindung / Profiling
Datensicherheit (Art. 32 DSGVO)
Cookies und ähnliche Technologien (§ 25 TDDDG)
- Beim Besuch unserer Website
KI-gestützte Funktionen (OCR, Vertragsanalyse, Chat)
Service-Push-Benachrichtigungen und Erinnerungen
- 18a. Energieangebote für Ihre Region (noch nicht verfügbar — demnächst)
- 18c. Verifizierung Ihrer deutschen Mobilnummer
Absturz- und Diagnosedaten (Sentry)
Anonyme Nutzungsstatistiken (Geräte-Telemetrie)
Gerätebezogene Aufzeichnung Ihrer Datenschutz-Einstellungen (vor Anmeldung)
Kinder und Jugendliche unter 16 Jahren
Änderungen dieser Datenschutzerklärung
Anhang A — Liste der Auftragsverarbeiter (Stand: 2026-10-03)

1. Verantwortlicher und Kontakt

Verantwortlich im Sinne von Art. 4 Nr. 7 DSGVO ist:

Codexo — Einzelunternehmen, Inhaber: Ahmad Al Alloush

Dietmarstraße 4 · 87463 Dietmannsried · Deutschland

E-Mail: support@imeterreader.app · Web: https://imeterreader.app

Steuerrechtlich: Kleinunternehmer gem. § 19 UStG — keine Umsatzsteuer ausgewiesen.

Hinweis: „Codexo" ist die Geschäftsbezeichnung, unter der Ahmad Al Alloush ein Gewerbe angemeldet hat und die App iMeter Reader betreibt. Ein Einzelunternehmen ist keine eigene juristische Person: Verantwortlicher ist Ahmad Al Alloush persönlich, handelnd unter der Geschäftsbezeichnung Codexo. codexo.dev ist die technische Infrastrukturdomäne von Codexo (Hosting, Authentifizierung, API).

Datenschutzanfragen senden Sie bitte an: support@imeterreader.app

2. Datenschutzbeauftragter (DPO)

Der Betreiber der App iMeter Reader ist gemäß Art. 37 DSGVO i. V. m. § 38 Abs. 1 BDSG nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet:

iMeter Reader wird derzeit von einer Person betrieben — weit unter der 20-Personen-Schwelle des § 38 Abs. 1 Satz 1 BDSG.
Die Kerntätigkeit besteht nicht in einer Verarbeitung, die wegen ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich macht (Art. 37 Abs. 1 lit. b DSGVO).
Die Kerntätigkeit besteht nicht in einer umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 37 Abs. 1 lit. c DSGVO).

Datenschutzanfragen richten Sie bitte direkt an den Inhaber/Verantwortlichen unter: support@imeterreader.app. Wir bestätigen Ihren Eingang innerhalb von 72 Stunden und beantworten Ihr Anliegen innerhalb der gesetzlichen Frist von 30 Tagen (Art. 12 Abs. 3 DSGVO).

3. Begriffsbestimmungen

Wir verwenden die Begriffe der DSGVO. „Personenbezogene Daten" sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen (Art. 4 Nr. 1 DSGVO). Hierzu zählen auch:

IP-Adressen (EuGH C-582/14 Breyer),
Geräte-Identifikatoren wie eine pro Installation vergebene UUID,
Energie- oder Wasserverbrauchsdaten in Verbindung mit einer Kunden- oder Vertragsnummer (EuGH C-46/13 sinngemäß).

4. Welche Daten wir verarbeiten — Übersicht

Wir verarbeiten die folgenden Kategorien personenbezogener Daten:

4.1 Stammdaten (Konto)

E-Mail-Adresse
Vor- und Nachname
Benutzername
pseudonyme Benutzer-ID (UUID, technisch in Keycloak verwaltet)

4.2 Adress- und Kontaktdaten (optional, im Identitätssystem Keycloak)

Straße, Hausnummer
Postleitzahl, Stadt, Land
Mobilnummer (sofern in Ihrem Profil hinterlegt; diese Nummer wird nicht per SMS verifiziert — die gesonderte Verifizierung einer deutschen Mobilnummer, die die KI-Funktionen freischaltet, gehört zu Ihrer Installation, nicht zu Ihrem Konto; siehe § 4.12 und Abschnitt 18c)

4.3 Energie- und Wasserdaten

Energieanbieter, Vertragsnummer (Kundennummer), Tariftyp
Lieferadresse (sofern Sie sie eintragen) — Straße, Hausnummer und weitere hier erfasste Adressangaben werden ausschließlich auf Ihrem Gerät gespeichert und nicht an unsere Server übertragen (Art. 6 Abs. 1 lit. b DSGVO)
die Postleitzahl der Lieferstelle eines einzelnen Zählers, sofern Sie sie eingeben, sowie der daraus abgeleitete Ort — anders als die vorstehende Lieferadresse sind diese beiden Angaben Bestandteil des Zählerdatensatzes: Sie werden auf Ihrem Gerät gespeichert und, sofern Sie angemeldet sind und die Zählerstands-Synchronisation aktiv ist, zusätzlich an unsere Server in Frankfurt am Main übertragen und dort gespeichert (Art. 6 Abs. 1 lit. b DSGVO). Der Ort wird offline auf Ihrem Gerät aus einem in der App mitgelieferten Postleitzahlen-Referenzdatensatz ermittelt (Postleitzahlendaten von GeoNames, © GeoNames, lizenziert unter CC BY 4.0 — siehe unsere Seite „Open-Source-Lizenzen"); es findet keine Standortabfrage, keine GPS-Nutzung und keine IP-Geolokalisierung statt (siehe § 4.9). Sie können die Postleitzahl jederzeit ändern oder löschen; mit ihr wird auch der abgeleitete Ort gelöscht — auf Ihrem Gerät und auf unseren Servern.
Marktlokations-ID (MaLo) und Messlokations-ID (MeLo) sowie Ihr Netz- und Messstellenbetreiber, sofern Sie diese erfassen — diese werden ausschließlich auf Ihrem Gerät erfasst und gespeichert; sie werden nicht an unsere Server übertragen (Art. 6 Abs. 1 lit. b DSGVO)
Vertragsbeginn, Vertragsende, Kündigungsfrist
Preisstruktur (Arbeitspreis, Grundpreis, Boni, Preisgarantien sowie bei Zweirichtungszählern (Solar) die von Ihnen eingegebene Einspeisevergütung je kWh)
Energiemix
von Ihnen eingestellte Tarifkonfiguration je Zähler: Eintarifzähler, Zweitarifzähler mit Tag-/Nachtregister (HT/NT-Zweitarifzähler) oder Zweirichtungszähler (Solar), der den Netzbezug (die aus dem Netz bezogene Energie, Register 1.8.0) und die Einspeisung (die ins Netz eingespeiste Energie, Register 2.8.0) zählt
Zählerstände (Wert + Datum + Register — Tag oder Nacht bei Zweitarifzählern; Netzbezug oder Einspeisung bei Zweirichtungszählern (Solar) — + ggf. Notiz)
daraus abgeleitete Verbrauchsreihen (täglich, monatlich, jährlich) sowie bei Zweirichtungszählern (Solar) die je Tag eingespeiste Energie und die daraus berechnete ungefähre Einspeisevergütung — diese abgeleiteten Werte werden ausschließlich auf Ihrem Gerät berechnet und gespeichert
freie Notizen zu Verträgen und Zählerständen
Wasserversorger oder Messdienstleister (z. B. Stadtwerk oder ein Abrechnungsdienst wie Techem / ista) sowie Wasservertrags- oder Kundennummer
Kalt- und Warmwasser-Zählerstände (Wert + Datum, in m³)
Wasser-Preisstruktur (€/m³, Grundpreis)

4.4 Geräte- und Nutzungsdaten

pro Installation vergebene Geräte-UUID (Installations-UUID, Plattform, Betriebssystem-/App-Version und Land werden auch einmalig für den Installations-Zähler verwendet — Art. 6 Abs. 1 lit. f DSGVO, siehe Abschnitt 5)
Plattform (iOS / Android / macCatalyst / Windows)
Betriebssystemversion
App-Version
Sprach- und Ländereinstellung
anonymisierte Tagesstatistiken: Anzahl Zähler, Anzahl Verträge, Anzahl Zählerstände, Anzahl App-Starts, Session-Minuten
Push-Registrierung: das Firebase-Cloud-Messaging-Registrierungstoken dieser Installation, Plattform, App-Sprache und App-Version — nur solange die Betriebssystem-Benachrichtigungsberechtigung erteilt ist (siehe Abschnitt 18)

4.5 Foto-/Dokumenten-Daten (transient)

vom Benutzer aufgenommene Zählerfotos (zugeschnitten, ohne EXIF)
vom Benutzer hochgeladene Vertragsdokumente (ein PDF oder ein Foto): die App liest sie auf Ihrem Gerät, und nur der daraus entstehende Text — nicht die Datei — wird zur KI-Analyse gesendet (§ 16.2)

→ Diese Daten werden auf unseren Servern nicht dauerhaft gespeichert. Sie werden ausschließlich im Arbeitsspeicher für die Dauer der KI-Verarbeitung gehalten und nach Abschluss verworfen (siehe Abschnitt 16).

4.6 Diagnose- und Absturzdaten

Fehlerberichte aus vier Quellen gehen an Sentry (Abschnitte 6.5, 19): die mobile App, unsere Server, unsere Website und unsere beiden internen Mitarbeiter-Web-Apps.

App: Absturzberichte, Berichte über von der App abgefangene Fehler und die eigenen Protokollzeilen der App auf Fehlerebene; Breadcrumbs aus den Minuten vor dem Fehler (Protokollzeilen der App, Anfragen an unsere Server ohne Query-String, feste Bildschirmnamen, Routennamen und Tastendrücke — niemals von Ihnen eingegebener Text —, Ereignisse des App-Lebenszyklus und des Systems); höchstens ein Bericht je App-Start über Probleme des vorherigen Starts; Geräteinformationen (Hersteller, Modell, Betriebssystem und Version, Kennzeichen „gerootet/Jailbreak“, Sprache/Gebietsschema, Zeitzone, Bildschirm, Angaben zu Arbeitsspeicher und Speicherplatz, Akkuzustand); App-Version und Build-Nummer.
Unsere Server: Stack-Trace, Fehlermeldung und die vor dem Fehler geschriebenen Protokollzeilen; HTTP-Methode und Anfragepfad; Thread-Name, Java-Laufzeitversion, Serverprofil.
Website und Mitarbeiter-Web-Apps: Fehlermeldung, Stack-Trace (URLs der Skriptdateien, Zeile/Spalte), Seitenpfad einschließlich Sprache, die Navigation und die eigenen Anfragepfade der Seite vor dem Fehler, Angular-Version. Ihr Browser sendet mit der Anfrage seinen User-Agent; er wird nicht ausgewertet.
In allen Fällen ohne IP-Adresse. E-Mail-Adressen, Telefonnummern, Tokens, IP-Adressen und IBANs werden vor dem Senden durch „[redacted]“ ersetzt; einem Bericht wird keine Benutzer-, Konto-, Installations- oder Gerätekennung beigefügt (zu Abstürzen, die Sentrys eigene iOS-Komponente erfasst, siehe Abschnitt 19.1). Fehlermeldungen und Pfade können interne, zufällig erzeugte Datensatzkennungen enthalten (zum Beispiel eines Zählers oder eines Vertrags), und Pfade unserer Mitarbeiter-Web-Apps können die interne Kennung eines Kontos enthalten — pseudonyme Daten.

4.7 Inhalte des KI-Chats

von Ihnen eingegebene Fragen zu Tarifvergleichen
bis zu 20 zurückliegende Konversationsschritte je Sitzung (max. 1 000 Zeichen pro Frage)

4.8 Einwilligungen

pro Zweck protokollierte Einwilligungen (gegeben/widerrufen, Zeitstempel, Versionsnummer der Datenschutzerklärung)

4.10 Daten zur Installations-Zählung

Beim ersten Start nach der Installation übermittelt die App einmalig einen einzelnen Ping mit folgenden Daten:

eine zufällig erzeugte, installationsbezogene UUID (wird lokal bei der Installation erzeugt; dasselbe UUID-Feld wird nach einer Anmeldung auch für die Sync-Funktion verwendet — vgl. § 4.4)
Plattform (iOS / Android / macCatalyst / Windows)
Betriebssystemversion
App-Version
zweistelliger Länder-Code, abgeleitet aus der Geräte-Spracheinstellung (nicht per GPS, nicht per IP-Geolokalisierung)

Dieser Ping wird einmalig pro Installation gesendet, unabhängig davon, ob der Benutzer den Schalter „Anonyme Nutzungsstatistiken" in Abschnitt 20 aktiviert hat. Es wird keine IP-Adresse, kein Konto-Identifikator und kein Tages-Snapshot übertragen. Die UUID wird lokal auf dem Gerät gespeichert, um Doppelzählungen zu verhindern; diese Gerätespeicherung erfolgt auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG (technisch erforderlich für den Zweck der Übertragung, Art. 5 Abs. 1 lit. b DSGVO). Die Rechtsgrundlage für die Übertragung selbst ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse — siehe Abschnitt 5).

4.11 Gerätebezogene Aufzeichnung Ihrer Datenschutz-Einstellungen (Einwilligungs-/Widerspruchsstatus)

Bereits vor und ohne jede Konto-Anmeldung übermittelt die App den aktuellen Status Ihrer Datenschutz-Einstellungen pro Option an unser Backend — über den Gerätekanal, der durch die pro Installation vergebene Geräte-UUID identifiziert wird (§ 4.4, HTTP-Header X-Device-Id):

pro Installation vergebene Geräte-UUID
pro Option — KI-Zählerablesung (OCR), KI-Vertragsanalyse, KI-Chat, Absturzdiagnose (Sentry), anonyme Nutzungsstatistiken — die Options-Kennung und ihr Status: Einwilligung erteilt / widerrufen bei den einwilligungsbasierten Optionen (Art. 6 Abs. 1 lit. a DSGVO); Widerspruchsstatus widersprochen / nicht widersprochen bei Absturzdiagnose und Nutzungsstatistiken (Art. 6 Abs. 1 lit. f / Art. 21 DSGVO) — Letztere werden niemals als Einwilligung gespeichert
die Version dieser Datenschutzerklärung, die auf dem Gerät bei der Entscheidung angezeigt wurde
Zeitstempel der letzten Änderung
Plattform (iOS / Android / macCatalyst / Windows)

Kein Name, keine E-Mail-Adresse, keine IP-Adresse und kein Konto-Identifikator sind Teil dieses Datensatzes. Details, Zweck, Speicherdauer und Ihre Rechte: Abschnitt 21.

4.12 Verifizierung Ihrer deutschen Mobilnummer (nur wenn Sie sie nutzen)

Diese Daten werden nur verarbeitet, wenn Sie eine Nummer verifizieren (Abschnitt 18c), mit oder ohne Konto, verknüpft mit der pro Installation vergebenen Geräte-UUID:

Verifizierungsdatensatz — ein geschlüsselter Einweg-Hash der verifizierten Nummer (nicht die Nummer selbst; ein Pseudonym, keine anonymen Daten — siehe Abschnitt 18c), eine teilweise verborgene Form der Nummer (zum Beispiel +49 151 •••• 89), der Status (verifiziert oder auf eine andere Installation übergegangen), die Quelle (Ihre SMS oder eine Markierung durch Mitarbeitende von Codexo für die App-Store-Prüfung — dann ohne Nummer) sowie die Zeitpunkte der Verifizierung, der letzten Änderung und eines Übergangs
Offener Code — ein geschlüsselter Hash der Nummer und des 6-stelligen Codes (nicht der Code selbst), die teilweise verborgene Nummer sowie die Zeitpunkte, zu denen der Code erstellt wurde und abläuft
Ergebnis der Anschlussart-Prüfung — die für die Nummer gemeldete Anschlussart (zum Beispiel Mobilfunk, Festnetz oder VoIP), gespeichert unter dem geschlüsselten Hash der Nummer; kein Netzbetreiber
Datensatz verarbeiteter Nachrichten — ein geschlüsselter Hash der Nachrichten-ID, die Twilio Ihrer SMS gibt; weder Ihre Nummer noch der Text der SMS
Zähler der KI-Nutzung je verifizierter Nummer — für jede Nutzung einer KI-Funktion: eine aus dem geschlüsselten Hash der verifizierten Nummer abgeleitete pseudonyme Kennung, die Art der Nutzung und der Zeitpunkt; keine Inhalte
Übergangsfrist-Datensatz — für eine Installation, die eine dieser Funktionen schon vor Einführung der Verifizierung genutzt hat: das Ende ihrer Übergangsfrist sowie der Zeitpunkt, zu dem der Datensatz angelegt wurde und zu dem die Übergangsfrist endete

4.9 Daten, die wir nicht verarbeiten

Wir verarbeiten keine:

Werbe-Identifikatoren (kein IDFA, kein Google Advertising ID),
Tracking-Pixel oder Drittanbieter-Analytics-SDKs (kein Google Analytics, kein AppCenter, kein Meta-SDK, kein Mixpanel etc.; das Firebase-SDK ist ausschließlich für die Push-Zustellung eingebunden — Firebase Analytics ist in der App-Konfiguration abgeschaltet, siehe Abschnitt 18),
biometrischen oder gesundheitsbezogenen Daten (Art. 9 DSGVO),
Standortdaten (kein GPS-Zugriff; auf iOS verbleiben aus historischen Gründen Berechtigungstexte im Bundle, die in der aktuellen Version nicht abgerufen werden — sie werden in der nächsten Veröffentlichung entfernt),
Werbe- oder Tracking-Cookies.

Eine von Ihnen selbst eingegebene Postleitzahl und der daraus offline aus einem mitgelieferten Referenzdatensatz ermittelte Ort sind keine Standortdaten in diesem Sinne: Sie werden nicht von Ihrem Gerät gemessen und beschreiben eine von Ihnen angegebene Lieferstelle — nicht Ihren Aufenthaltsort.

5. Zwecke der Verarbeitung und Rechtsgrundlagen

Die folgende Tabelle erfüllt Art. 13 Abs. 1 lit. c und d DSGVO.

Zweck	Datenkategorien	Rechtsgrundlage
Erstellung und Verwaltung Ihres Benutzerkontos, Authentifizierung	4.1, 4.2	Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Nutzungsvertrag iMeter Reader)
Missbrauchsabwehr an den Registrierungs-, Login- und Passwort-Zurücksetzungs-Endpunkten (Ratenbegrenzung, Brute-Force-Schutz)	IP-Adresse; ein Einweg-Hash der übermittelten E-Mail-Adresse; Zeitstempel	Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse am Schutz der Konten und unserer Infrastruktur vor Credential-Stuffing-, Brute-Force- und Massenregistrierungs-Missbrauch (dokumentierte Interessenabwägung liegt vor). Der Hash ist ein Pseudonym, keine anonymisierten Daten. Unsere eigenen Ratenbegrenzungs-Zähler existieren ausschließlich im Arbeitsspeicher und werden innerhalb von Minuten verworfen; sie werden niemals in eine Datenbank geschrieben und niemals protokolliert. Zusätzlich führt unser Identitätsdienst (§ 6.2) ein Sicherheits-Ereignisprotokoll fehlgeschlagener Anmeldeversuche (IP-Adresse, Benutzername, Zeitstempel) zur Brute-Force-Abwehr; die Speicherdauer ist in § 8.2 angegeben.
Speicherung Ihrer Energie- und Wasserverträge und Zählerstände auf dem Gerät und (bei Anmeldung) Synchronisation auf unsere Server — die Felder Lieferadresse, MaLo und MeLo (4.3) verbleiben ausschließlich auf dem Gerät und werden nicht übertragen; die von Ihnen eingegebene zählerbezogene Postleitzahl und der daraus abgeleitete Ort sind Bestandteil des Zählerdatensatzes und werden mit diesem übertragen und gespeichert	4.3	Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung
Bereitstellung historischer Verbrauchsdiagramme und Auswertungen	4.3	Art. 6 Abs. 1 lit. b DSGVO
Erinnerungen an Zählerstandserfassung und Vertragslaufzeiten (lokale Benachrichtigungen, die auf Ihrem Gerät geplant werden)	4.3, 4.8	Art. 6 Abs. 1 lit. b DSGVO + ausdrückliche Einwilligung (pro Zähler für Zählerstand-Erinnerungen, pro Vertrag für Vertragsfristen-Benachrichtigungen)
Betreiber-Service-Push-Benachrichtigungen an installierte Apps (Service-, Verwaltungs- und Sicherheitsankündigungen; niemals Werbung) — siehe Abschnitt 18	4.4 (Push-Registrierung: Token, Plattform, App-Sprache, App-Version, pro Installation vergebene Geräte-UUID); für die Empfängerauswahl: Plattform, App-Version, Länder- und Spracheinstellung sowie ob die Installation innerhalb eines von uns gewählten Zeitraums (höchstens 180 Tage) gesehen wurde	Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an Betrieb und Absicherung des Dienstes sowie daran, installierte Apps mit Service-Informationen zu erreichen (dokumentierte Interessenabwägung liegt vor; siehe Abschnitt 18); Art. 6 Abs. 1 lit. c DSGVO für Mitteilungen, zu denen wir gesetzlich verpflichtet sind (z. B. Art. 34 DSGVO). Nicht einwilligungsbasiert und kein In-App-Opt-in: Maßgeblich ist allein die Betriebssystem-Benachrichtigungsberechtigung (§ 25 Abs. 1 TDDDG). Sie können jederzeit widersprechen (Art. 21 DSGVO): Schalten Sie Benachrichtigungen für iMeter Reader in den Geräteeinstellungen ab — die App löscht ihre Registrierung dann beim nächsten Start von unseren Servern — oder schreiben Sie an support@imeterreader.app.
Verifizierung Ihrer deutschen Mobilnummer: Ausgabe des Codes, Prüfung der Anschlussart, Empfang und Abgleich der von Ihnen gesendeten SMS, Speicherung des verifizierten Status Ihrer Installation, Übergang auf die Installation, auf der die Nummer zuletzt verifiziert wurde, Übergangsfrist für bisherige Nutzer sowie Bereitstellung der KI-Funktionen nur für verifizierte Installationen — siehe Abschnitt 18c	4.12 (Verifizierung Ihrer deutschen Mobilnummer), Mobilnummer	Art. 6 Abs. 1 lit. b DSGVO — Sie verlangen die Verifizierung, um diese Funktionen nutzen zu können, die wir nur Installationen mit verifizierter deutscher Mobilnummer bereitstellen. Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Verhinderung von Missbrauch und Betrug (massenhaft angelegte Installationen, die die KI-Funktionen aufbrauchen — jede Anfrage verursacht uns Kosten) sowie daran, diese Funktionen nur auf dem deutschen Markt anzubieten, für den sie bestimmt sind; dies umfasst die Prüfung der Anschlussart, die Regel „eine Nummer, eine Installation", die Begrenzungen, den Datensatz verarbeiteter Nachrichten und die Zählung der KI-Nutzung je verifizierter Nummer, damit das Entfernen und erneute Verifizieren einer Nummer die Nutzungsgrenzen der KI-Funktionen nicht zurücksetzt. Über die Übergangsfrist wird anhand datierter Aufzeichnungen über die Nutzung dieser Funktionen entschieden, die wir bereits gespeichert hatten, und nur zu Ihren Gunsten (Art. 6 Abs. 4 DSGVO). Sie können widersprechen (Art. 21 DSGVO); das Entfernen der Verifizierung in der App (Abschnitt 18c) hat diese Wirkung.
Markierung einer Installation als verifiziert für die App-Store-Prüfung (Mitarbeitende von Codexo; ohne Nummer; für 14 Tage)	pro Installation vergebene Geräte-UUID; Admin-Zugriffsprotokoll	Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse daran, die App von den App-Stores prüfen zu lassen, deren Prüferinnen und Prüfer keine SMS von einer deutschen Mobilnummer senden können. Die Markierung und ihre Aufhebung werden protokolliert (Admin-Zugriffsprotokoll, 12 Monate).
KI-gestützte Zählerablesung (zuerst auf dem Gerät; Cloud-Fallback an die AKI.IO GmbH in Deutschland, sofern die lokale OCR fehlschlägt, § 6.3)	4.5 (transient), 4.3	Art. 6 Abs. 1 lit. a DSGVO — Einwilligung
KI-gestützte Vertragsanalyse (Text bzw. Foto wird über unseren Server an die AKI.IO GmbH in Deutschland übermittelt, § 6.3)	4.5 (transient), 4.3	Art. 6 Abs. 1 lit. a DSGVO — Einwilligung
KI-Chat zu Tarifvergleich und Energietipps	4.7	Art. 6 Abs. 1 lit. a DSGVO — Einwilligung
Absturz- und Fehlerdiagnose (Sentry) — mobile App, unsere Server, unsere Website und unsere Mitarbeiter-Web-Apps; siehe Abschnitt 19	4.6	Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an stabiler, sicherer Software und daran, Fehler schnell zu finden und zu beheben (dokumentierte Interessenabwägung liegt vor; siehe Abschnitt 19). Standardmäßig aktiviert — keine einwilligungsbasierte Verarbeitung; Sie können jederzeit widersprechen (Art. 21): in der App über Einstellungen → Datenschutz → „Absturz- & Diagnoseberichte" — das beendet auch die Fehlerberichte, die unsere Server zu den Anfragen dieser Installation und, wenn Sie angemeldet sind, Ihres Kontos senden; auf der Website, indem Ihr Browser Global Privacy Control oder Do Not Track sendet; im Übrigen per E-Mail an support@imeterreader.app.
Verbesserung des Anbieterverzeichnisses aus Unternehmensangaben in Ihren Vertragsdokumenten (rechtlicher Name des Versorgers, Anschrift, Kundenservice-E-Mail, Telefon, Website, Energieart — in der Regel keine personenbezogenen Daten) — siehe Abschnitt 16.6	Unternehmensangaben (in der Regel keine personenbezogenen Daten; offensichtlich personenbezogene Angaben werden vor der Speicherung verworfen); Geräte-UUID und Konto nur für die Tagesgrenze	Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einem vollständigen und richtigen Anbieterverzeichnis für alle Nutzer (dokumentierte Interessenabwägung liegt vor; siehe Abschnitt 16.6). Standardmäßig aktiviert — keine einwilligungsbasierte Verarbeitung; Widerspruch jederzeit (Art. 21) unter Einstellungen → Datenschutz → „Anbieterverzeichnis verbessern“.
Anonyme Nutzungsstatistiken (Heartbeat + Tages-Snapshot)	4.4 (aggregiert)	Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an Qualitätssicherung und Produktentwicklung (dokumentierte Interessenabwägung liegt vor; siehe Abschnitt 20). Standardmäßig aktiviert — keine einwilligungsbasierte Verarbeitung; Sie können jederzeit widersprechen (Art. 21) über Einstellungen → Datenschutz → „Anonyme Nutzungsstatistiken".
Serverseitige Aufzeichnung Ihrer Datenschutz-Einstellungen pro Option (gerätebezogen, auch vor/ohne Konto)	4.11	Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse daran, Ihre Datenschutz-Entscheidungen auch auf unseren Servern zu kennen und den aktuellen Entscheidungsstand des Geräts zu dokumentieren (Art. 5 Abs. 2, Art. 24); durchgesetzt werden die Entscheidungen selbst von der App (Abschnitt 21). Die aufgezeichneten Entscheidungen selbst: KI-Funktionen = Einwilligungsstatus (Art. 6 Abs. 1 lit. a, Art. 7 — erteilt/widerrufen); Absturzdiagnose und Nutzungsstatistiken = Widerspruchsstatus (Art. 6 Abs. 1 lit. f, Art. 21 — widersprochen/nicht widersprochen, niemals als Einwilligung gespeichert). Siehe Abschnitt 21.
Zählung eindeutiger App-Installationen (Produkt-/Betriebskennzahl)	Installations-UUID, Plattform, Betriebssystemversion, App-Version, zweistelliger Länder-Code aus Geräte-Spracheinstellung (kein GPS) — siehe § 4.10	Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Messung der Verbreitung eines Pre-Release-Produkts. Abwägungstest: Die UUID wird zufällig generiert und ist zum Zeitpunkt der Erzeugung keiner natürlichen Person zuzuordnen; keine IP-Adresse, keine Kontaktdaten, minimale Gerätemetadaten; auf Anfrage unterdrück- und löschbar. Abgrenzung zu Abschnitt 20: Diese einmalige Installations-Zählung wird unabhängig vom Schalter „Anonyme Nutzungsstatistiken" in Abschnitt 20 verarbeitet: Sie wird einmalig pro Installation gesendet, auch wenn Nutzungsstatistiken deaktiviert sind, überträgt keinen Tages-Snapshot und keine IP-Adresse, und stützt sich auf Art. 6 Abs. 1 lit. f DSGVO — nicht auf eine Einwilligung. § 25 TDDDG-Analyse: Die Installations-Zähl-Übertragung ist eine nicht zwingend erforderliche Analyse und stützt sich nicht auf den Ausnahmetatbestand des § 25 Abs. 2 Nr. 2 TDDDG; die Rechtsgrundlage ist das oben genannte berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Die gesonderte Speicherung der Installations-UUID auf dem Gerät für Sync-Zwecke bleibt für ihren eigenen Zweck durch § 25 Abs. 2 Nr. 2 TDDDG gedeckt (Art. 5 Abs. 1 lit. b DSGVO).
Verwaltungs-/Sicherheits-Zugriffsprotokoll (gekürzte IP)	Betreiberzugriffe auf Backend-Systeme (gekürzte IP, Zeitstempel, Aktion)	Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an Betriebssicherheit und Rechenschaftspflicht. Speicherdauer: 12 Monate (Art. 17 Abs. 3 lit. b/e + Art. 32 DSGVO).
Betreiber-initiierte Service-/Verwaltungs-/Sicherheits-Ankündigungen an registrierte Nutzer	4.1 (E-Mail-Adresse)	Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an Betrieb und Absicherung des Dienstes; Sie können jederzeit widersprechen (Art. 21 DSGVO) über den Abmelde-Link in jeder Nachricht.
Erfüllung gesetzlicher Pflichten (z. B. Aufbewahrungspflichten nach AO / HGB, sofern die App iMeter Reader zukünftig zahlungspflichtige Funktionen anbietet)	4.1, ggf. Zahlungsdaten	Art. 6 Abs. 1 lit. c DSGVO
Bearbeitung Ihrer Auskunfts-, Berichtigungs- und Löschanfragen	4.1	Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 15–22 DSGVO
Kontaktaufnahme über `support@imeterreader.app`	E-Mail-Korrespondenz	Art. 6 Abs. 1 lit. b (Vertragsanbahnung) bzw. lit. f (Anliegenbeantwortung)

6. Empfänger und Auftragsverarbeiter (Subunternehmer)

Wir geben Ihre Daten nur an die folgenden Empfänger weiter, jeweils auf Basis schriftlicher Verträge zur Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO. Eine aktuelle Liste finden Sie in Anhang A.

6.1 Infrastruktur-Hosting

Hostinger International Ltd., Jonavos g. 60C, 44192 Kaunas, Litauen (EU) → Standort der Server: Rechenzentrum Frankfurt am Main, Deutschland (wir nutzen explizit die deutsche Hosting-Region) → Verarbeitete Daten: alle in den Tabellen 4.1–4.4, 4.7 und 4.12 genannten Kategorien — sowie, vorübergehend und ausschließlich im Arbeitsspeicher während der KI-Verarbeitung, die Bild-/PDF-Daten aus 4.5 (siehe § 6.3) — ausgenommen die Felder Lieferadresse, Marktlokations-ID (MaLo) und Messlokations-ID (MeLo) in 4.3, die ausschließlich auf dem Gerät verbleiben und nicht an Hostinger übertragen werden (siehe § 4.3) → Rechtsbasis Drittland: kein Drittlandtransfer — Hostinger ist mit Sitz in Litauen ein Unternehmen mit Sitz in einem EU-Mitgliedstaat; die Datenverarbeitung erfolgt physisch in Deutschland. → AVV: Hostinger Data Processing Agreement (im Hostinger-Kundenportal verfügbar), abgeschlossen.

6.2 Identitätsmanagement

Selbstbetrieb — Keycloak-Instanz auf Hostinger-Servern in Frankfurt am Main, DE (auth.codexo.dev) → kein externer Subunternehmer; die Identitätsdaten bleiben in unserer eigenen, auf demselben deutschen Server betriebenen Infrastruktur.

6.3 Künstliche Intelligenz

KI-gestützte Analyse (Hosting: AKI.IO GmbH) — Für die Analyse von Verträgen, Rechnungen und Zählerfotos sowie für den Angebots-Assistenten (Chat) nutzen wir KI-Modelle, die die AKI.IO GmbH, Marienburger Str. 1, 10405 Berlin, Deutschland, für uns hostet. AKI.IO verarbeitet die übermittelten Inhalte in unserem Auftrag auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO. Die Modelle werden ausschließlich in Deutschland gehostet, in einem Rechenzentrum in Berlin; Ihre Inhalte verlassen Deutschland nicht und werden niemals in Drittländer übermittelt. AKI.IO greift nicht auf Ihre Inhalte (Texte, Bilder, Ergebnisse) zu, sieht sie nicht ein, speichert und protokolliert sie nicht und verwendet sie nicht zum Training von KI-Modellen. Die Inhalte durchlaufen das Modell lediglich automatisiert im flüchtigen Arbeitsspeicher für die Dauer einer einzelnen Anfrage und werden verworfen, sobald das Ergebnis an uns zurückgegeben wurde. Verarbeitet werden nur die Daten, die Sie hochladen (z. B. Vertragsdaten, Zählerstände, Zählernummer). Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Ihre Einwilligung, die Sie in der App für jede KI-Funktion erteilen; § 16). Die Ergebnisse werden automatisch erzeugt (KI-generiert). Bitte prüfen Sie diese vor der Verwendung.

→ Anbieter: AKI.IO GmbH, Marienburger Str. 1, 10405 Berlin, Deutschland (Amtsgericht Charlottenburg, HRB 281336 B) → Verarbeitete Daten: bei aktivierter KI-Funktion: Ihr Zählerfoto, der Text eines Vertrags oder einer Rechnung (auf Ihrem Gerät aus einem PDF oder einem Vertragsfoto gelesen) oder Ihr KI-Chat (Ihre Nachrichten und der bisherige Gesprächsverlauf, bis zu 20 zurückliegende Schritte) → Von uns genutzte Modelle (gehostet von AKI.IO): deepseek-v4.1-flash-552b (Vertrags- und Rechnungstexte, Zählerfotos) und qwen3.6-35b (Angebots-Assistent im Chat) → Übermittlung in ein Drittland: keine. → Unterauftragsverarbeiter von AKI.IO: einziger ist die AIME GmbH, Berlin (Bare-Metal-GPU-Server in einem Rechenzentrum in Berlin, Deutschland; Gesellschafterin der AKI.IO). AKI.IO darf weitere Unterauftragsverarbeiter nur mit unserer Zustimmung einsetzen und muss uns eine Verletzung des Schutzes personenbezogener Daten unverzüglich melden. → Zusätzliche Schutzmaßnahmen: Es wird keine Konto-Kennung übermittelt, und der Dateiname einer von Ihnen hochgeladenen Datei wird vor dem Verlassen Ihres Geräts durch einen neutralen ersetzt; die Inhalte werden nur für die Dauer der Anfrage im Arbeitsspeicher unserer Server gehalten und dort niemals gespeichert. Ein Vertrags-PDF oder ein Vertragsfoto wird auf Ihrem Gerät gelesen (Textebene oder Texterkennung auf dem Gerät); die IBAN — und Ihr Name, soweit Ihr Kontoprofil ihn enthält — wird auf Ihrem Gerät maskiert, und es wird nur der daraus entstehende Text gesendet. Unser Server weist Vertragsbilder zurück; das einzige Bild, das an AKI.IO gesendet wird, ist das Zählerfoto, ohne EXIF-Daten und verkleinert. Bitte beachten Sie: Die Analyse liest gezielt auf einem Vertrag abgedruckte Kennungen aus (etwa Ihre Kundennummer und Zählernummer), und die Maskierung beschränkt sich auf die IBAN und, soweit vorhanden, Ihren Namen — diese Verarbeitung ist daher nicht vollständig pseudonymisiert. → Speicherung bei AKI.IO: keine — AKI.IO hat keinen Zugriff auf die Inhalte; sie werden nur kurzzeitig im flüchtigen Arbeitsspeicher verarbeitet, nicht gespeichert, nicht protokolliert und nicht zum Training von KI-Modellen verwendet. → AVV: Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO mit der AKI.IO GmbH, abgeschlossen.

6.5 Absturz- und Fehlerdaten

Functional Software, Inc., d/b/a Sentry, 132 Hawthorne St, San Francisco, CA 94107, USA — mit europäischer Tochtergesellschaft Sentry GmbH, Schönhauser Allee 148, 10435 Berlin, Deutschland → Datenstandort der Ingest-Endpunkte: Frankfurt am Main, DE (*.ingest.de.sentry.io) → Verarbeitete Daten: Fehlerberichte der mobilen App, unserer Server, unserer Website und unserer Mitarbeiter-Web-Apps, alle in einem einzigen Sentry-Projekt des Verantwortlichen — Stack-Traces, Fehlermeldungen, Breadcrumbs bzw. die Protokollzeilen vor dem Fehler, Anfrage- und Seitenpfade, Geräteinformationen, App-Version (Einzelheiten in Abschnitt 19). → Wichtig: An Sentry wird keine IP-Adresse übermittelt, und einem Bericht wird keine Benutzer-, Konto-, Installations- oder Gerätekennung beigefügt (Pfade unserer Mitarbeiter-Web-Apps können die interne Kennung eines Kontos enthalten — pseudonyme Daten); die App sendet keine IP-Adresse (SendDefaultPii = false), und unser Sentry-Projekt ist so eingestellt, dass keine IP-Adressen gespeichert werden („Prevent storing of IP addresses“). E-Mail-Adressen, Telefonnummern, Tokens, IP-Adressen und IBANs in Fehlermeldungen und Protokollzeilen werden vor dem Senden durch „[redacted]“ ersetzt. → Speicherdauer bei Sentry: 90 Tage. → Drittlandtransfer: Datenverarbeitung primär in DE; konzerninterne Weitergabe an die US-Mutter ist nicht ausgeschlossen — Rechtsgrundlage: EU-Standardvertragsklauseln und Data Privacy Framework. → AVV: Sentry Data Processing Addendum (https://sentry.io/legal/dpa/), abgeschlossen.

6.6 Mobile-Plattform-Anbieter (Modellbereitstellung für lokale Texterkennung auf Android)

Nur für die lokale Texterkennung auf dem Gerät: Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Ireland (mit Konzernmutter Google LLC, Mountain View, USA) → Wir verwenden Google ML Kit Text Recognition für die lokale Zählerstand-OCR auf Android. Die Texterkennung läuft vollständig lokal auf Ihrem Gerät; es werden keine Bilddaten an Google übertragen. Das Modell-Binary wird über Google Play Services bereitgestellt. → Drittlandtransfer: nur die Modell-Bereitstellung durch Google Play Services (über das hinaus, was bereits durch Ihren Google-Play-Account abgedeckt ist). Für den separaten Anmeldevorgang über diesen Anbieter siehe § 6.11.

6.7 Mobile-Plattform-Anbieter (lokale Texterkennung auf iOS / macOS)

Nur für die lokale Texterkennung auf dem Gerät: Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA — Vision Framework → Wir verwenden Apples Vision Framework für die lokale Zählerstand-OCR auf iOS und macOS. Die Verarbeitung erfolgt vollständig auf Ihrem Gerät; keine Bilddaten werden an Apple übermittelt. Für den separaten Anmeldevorgang über diesen Anbieter siehe § 6.11.

6.8 Zertifizierungsstelle

Internet Security Research Group / Let's Encrypt, 548 Market Street, San Francisco, CA 94104, USA → Stellt die TLS-Zertifikate für *.codexo.dev aus. Keine personenbezogenen Daten betroffen.

6.9 SMS- und E-Mail-Versand

Twilio Ireland Limited, 70 Sir John Rogerson's Quay, Dublin 2, D02 R296, Irland (unser Vertragspartner), und Twilio Inc., 101 Spear Street, Suite 500, San Francisco, CA 94105, USA (Datenimporteur nach dem Data Protection Addendum von Twilio) — Verifizierung Ihrer deutschen Mobilnummer durch eine SMS, die Sie senden (Abschnitt 18c). Wir versenden keine SMS. → Verarbeitete Daten: (1) Prüfung der Anschlussart — wenn Sie einen Code anfordern, sendet unser Server Ihre Mobilnummer an den Lookup-Dienst von Twilio, der meldet, ob es sich um eine Mobilfunk-, Festnetz- oder VoIP-Nummer handelt; wir speichern nur diese Anschlussart (§ 4.12); (2) Ihre SMS — Twilio betreibt unsere deutsche Mobilnummer, empfängt die SMS, die Sie an sie senden (Ihre Mobilnummer als Absender, unsere Nummer, den Text mit dem Code, den Zeitpunkt und eine Nachrichten-ID), und leitet sie an unseren Server weiter. → Ort: Unsere Nummer und ihre Nachrichten sind in der EU-Region von Twilio (Irland) eingerichtet; ein Zugriff darauf aus den USA ist nicht ausgeschlossen (Abschnitt 7). Die Prüfung der Anschlussart läuft über den globalen Lookup-Dienst der Twilio Inc. in den USA: Ihre Nummer wird bei der Code-Anforderung dorthin gesendet (höchstens einmal in 30 Tagen je Nummer), auch wenn Sie die Verifizierung nie abschließen (Abschnitt 7). → Aufbewahrung bei Twilio: Das Nachrichtenprotokoll unserer Nummer wird 7 Tage aufbewahrt, wobei der Text der Nachricht und die Absendernummer unkenntlich gemacht sind; die Prüfung der Anschlussart wird nach Angaben von Twilio nur in den internen Protokollen von Twilio aufbewahrt. → Drittlandtransfer: USA — Angemessenheitsbeschluss EU–USA Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795; Twilio Inc. ist zertifiziert) und die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914), die im Data Protection Addendum von Twilio enthalten sind. → AVV: Twilio Data Protection Addendum (https://www.twilio.com/en-us/legal/data-protection-addendum), Bestandteil der Vertragsbedingungen von Twilio.

Twilio SendGrid (Geschäftsbereich von Twilio Inc., 1801 California Street, Denver, CO 80202, USA) — Versand transaktionaler und betreiber-initiierter Service-/Verwaltungs-E-Mails an registrierte Nutzer (z. B. Kontobestätigungen, sicherheitsrelevante Benachrichtigungen, Service-/Wartungs-/Sicherheits-Ankündigungen). Jede betreiber-initiierte Service-Nachricht trägt einen One-Click-Abmelde-Link und unser Impressum. → Verarbeitete Daten: Ihre E-Mail-Adresse, Inhalt der jeweiligen E-Mail (z. B. Bestätigungslink), Versand-Zeitstempel sowie — bei transaktionalen E-Mails — optionale Öffnungs-/Klick-Metadaten gemäß den SendGrid-Kontoeinstellungen. Öffnungs-/Klick-Tracking ist für betreiber-initiierte Service-Nachrichten deaktiviert (für diese werden keine Öffnungs-/Klick-Metadaten erhoben). → Drittlandtransfer: USA — gleiche Rechtsgrundlage wie Twilio (SCCs + DPF). → Aufbewahrung bei SendGrid: Aktivitäts-Logs bis zu 30 Tage (für Zustellbarkeits-Analyse), danach Löschung; Inhalt nur kurzzeitig im Versand-Buffer. → AVV: SendGrid Data Processing Addendum (in das Twilio-DPA integriert), abgeschlossen.

6.10 Behörden

Wir geben Daten nur dann an Behörden weiter, wenn wir gesetzlich dazu verpflichtet sind (z. B. nach § 100j StPO) oder ein vollziehbarer Verwaltungsakt vorliegt.

6.11 Anmeldedienste (eigenständige Verantwortliche)

Nur dann — und ausschließlich dann —, wenn Sie auf „Mit Google anmelden" oder „Mit Apple anmelden" tippen, öffnet die App den Systembrowser Ihres Geräts. Der Browser kontaktiert zunächst unseren eigenen Anmeldeserver unter auth.codexo.dev, den wir selbst auf unseren Servern in Frankfurt am Main betreiben (§ 4), und wird von dort ohne weitere Interaktion an die Anmeldeseite des von Ihnen gewählten Anbieters weitergeleitet. Auf diesem Weg sehen und befüllen Sie unser eigenes Anmeldeformular mit Benutzername und Passwort zu keinem Zeitpunkt. Ein fremder Identitätsvermittler ist nicht beteiligt: Außer dem von Ihnen gewählten Anbieter ist der einzige Identitätsdienst im Ablauf unser eigener. Die Browsersitzung wird geöffnet und der Anbieter kontaktiert erst nach Ihrem Tippen. Unser Anmeldeserver erhält vom Anbieter ausschließlich das von diesem ausgestellte Identitätstoken und prüft es gegen die veröffentlichten Schlüssel des Anbieters; anschließend stellt er der App ein eigenes Sitzungstoken aus. Weder unser Server noch die App erhalten jemals Ihr Anbieter-Passwort.

Hinweis zu „Bei Apple E-Mail geheim halten": Wenn Sie sich mit Apple anmelden und „E-Mail geheim halten" wählen, gibt Apple uns eine private Weiterleitungs-E-Mail-Adresse statt Ihrer echten Adresse. Melden Sie sich später erneut mit einem anderen Verfahren unter Verwendung Ihrer echten E-Mail-Adresse an, kann dies zu zwei getrennten Konten statt einem führen. Um dies zu vermeiden, wählen Sie bei der Anmeldung mit Apple „E-Mail teilen", oder verwenden Sie durchgängig dieselbe E-Mail-Adresse über alle Anmeldeverfahren hinweg. Sollten dennoch doppelte Konten entstehen, lesen Sie in § 9, wie Sie diese zusammenführen lassen können.

Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland → Von Google verarbeitete Daten: Ihre Google-Konto-Identität, Ihr Gerät und Ihre IP-Adresse, unsere Anwendungskennung und der Zeitpunkt der Anmeldung. Von Google erhalten wir zurück: Ihre Google-Benutzerkennung (sub), Ihre E-Mail-Adresse und — sofern vorhanden — Ihren Namen. → Google handelt hier als eigenständiger Verantwortlicher für seine eigene Anmelde-Verarbeitung, nicht als unser Auftragsverarbeiter. Für diese Verarbeitung gilt die Datenschutzerklärung von Google: https://policies.google.com/privacy → Drittlandtransfer: Google Ireland ist in der EU niedergelassen; konzerninterne Übermittlungen an Google LLC (USA) sind nicht auszuschließen und werden durch Googles Zertifizierung unter dem EU-US Data Privacy Framework sowie dessen Standardvertragsklauseln abgedeckt.

Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA → Von Apple verarbeitete Daten: Ihre Apple-Account-Identität, Ihr Gerät und Ihre IP-Adresse, unsere Anwendungskennung und der Zeitpunkt der Anmeldung. Von Apple erhalten wir zurück: Ihre Apple-Benutzerkennung (sub), eine E-Mail-Adresse (Ihre eigene oder eine private Apple-Relay-Adresse, falls Sie „E-Mail-Adresse verbergen" gewählt haben) und — nur bei Ihrer allerersten Autorisierung — Ihren Namen. → Apple handelt hier als eigenständiger Verantwortlicher für seine eigene Anmelde-Verarbeitung, nicht als unser Auftragsverarbeiter. Es gilt die Datenschutzerklärung von Apple: https://www.apple.com/legal/privacy/ → Drittlandtransfer: USA, auf Grundlage von Apples Zertifizierung unter dem EU-US Data Privacy Framework und der EU-Standardvertragsklauseln.

Beide Anbieter erfahren, dass Sie sich bei iMeter Reader anmelden. Wenn Sie das nicht möchten, registrieren Sie sich stattdessen mit E-Mail-Adresse und Passwort — dieser Weg bezieht weder Google noch Apple ein.

6.12 Push-Zustellung (Firebase Cloud Messaging)

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Firebase Cloud Messaging; Google LLC, USA, als konzerninterner Unterauftragsverarbeiter) → Verarbeitete Daten: eine für diese App-Installation erzeugte Firebase-Installationskennung, das Push-Registrierungstoken Ihrer Installation, Ihre Plattform (iOS / Android) sowie der Inhalt jeder von uns gesendeten Benachrichtigung: Service-Benachrichtigungen (Titel, Text und der In-App-Bildschirm bzw. Link, den sie öffnet) → Auslösung: Die Firebase-Softwarekomponente wird beim Start der App initialisiert und kontaktiert dann Google, um die Installationskennung zu erzeugen — dies geschieht unabhängig von der Benachrichtigungsberechtigung; ein Registrierungstoken wird nur solange bezogen und an uns gesendet, wie Sie die Betriebssystem-Benachrichtigungsberechtigung für iMeter Reader erteilt haben → Drittlandtransfer: konzerninterne Übermittlung an Google LLC (USA) möglich; EU-Standardvertragsklauseln und EU–US Data Privacy Framework (Google LLC ist zertifiziert) → AVV: Google Cloud / Firebase Data Processing and Security Terms. Das Token wird zusammen mit Ihrer Plattform, App-Sprache und App-Version auf unseren eigenen Servern in Frankfurt am Main gespeichert (§ 6.1). Firebase Analytics, Crashlytics und jedes andere Firebase-Produkt werden nicht eingesetzt; die Analytics-Erhebung ist in der App-Konfiguration abgeschaltet. Siehe Abschnitt 18.

Unter iOS übergibt Firebase jede Benachrichtigung an den Apple Push Notification Service, betrieben von Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA: Apple erhält das APNs-Token des Geräts und den Inhalt jeder Benachrichtigung, um sie zuzustellen. Apple betreibt diesen Dienst als Plattformanbieter auf Grundlage des Apple Developer Program License Agreement; Drittlandübermittlung in die USA — Apple Inc. ist unter dem EU–US Data Privacy Framework zertifiziert. Unter Android erfolgt die Zustellung über die Google Play Services auf Ihrem Gerät (Google, siehe oben).

7. Datenübermittlung in Drittländer (Art. 44 ff. DSGVO)

Übermittlungen in Drittländer finden an die in § 6.5, § 6.9 und § 6.12 genannten Empfänger statt (Google LLC, USA, sowie — für die Zustellung von Push-Benachrichtigungen unter iOS — Apple Inc., USA) sowie — nur wenn Sie sich für die Anmeldung mit Apple oder Google entscheiden (§ 6.11) — an Apple Inc. (USA) und, über eine mögliche konzerninterne Übermittlung, an Google LLC (USA). Rechtsgrundlage: die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) und, für diejenigen Empfänger, die darunter zertifiziert sind, der Angemessenheitsbeschluss EU–USA Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795). Die KI-Verarbeitung zählt nicht zu diesen Übermittlungen: Die KI-Funktionen werden von der AKI.IO GmbH, Berlin, bereitgestellt, die ausschließlich in Rechenzentren in Deutschland bzw. der EU verarbeitet (§ 6.3). Wenn Sie eine KI-Funktion nutzen, werden keine personenbezogenen Daten in ein Drittland übermittelt; Standardvertragsklauseln oder eine Zertifizierung unter dem Data Privacy Framework sind dafür nicht erforderlich.

Die Verifizierung Ihrer deutschen Mobilnummer zählt zu diesen Übermittlungen (§ 6.9, Abschnitt 18c): Twilio Inc. (USA) ist Datenimporteur für die SMS, die Sie an unsere deutsche Mobilnummer senden, und für die Prüfung der Anschlussart: Dafür wird Ihre Nummer bei der Code-Anforderung an Twilio Inc. in die USA gesendet. Twilio Inc. ist unter dem Data Privacy Framework zertifiziert; zusätzlich gelten die Standardvertragsklauseln im Data Protection Addendum von Twilio.

Zusätzliche Schutzmaßnahmen:

kein Benutzer-Identifikator und kein Dateiname werden mitgesendet; bei Vertragstexten werden die IBAN und — soweit Ihr Kontoprofil ihn enthält — Ihr Name auf Ihrem Gerät maskiert (Namen oder Adressen im Vertragstext selbst kann das Modell weiterhin lesen),
Verschlüsselung der Übertragung (TLS 1.3) und Zertifikats-Pinning in der mobilen App,
Speicherbegrenzung beim Empfänger (7 Tage für das Nachrichtenprotokoll unserer Twilio-Mobilnummer, 30 Tage bei SendGrid, 90 Tage bei Sentry),
Vorab-Informationspflicht über Unterauftragsverarbeiter (Standardvertragsklauseln Klausel 9 / Art. 28 Abs. 2 DSGVO): Sentry und Twilio/SendGrid sind im jeweiligen Auftragsverarbeitungsvertrag verpflichtet, uns vor jeder Hinzuziehung oder Ersetzung eines eigenen Subdienstleisters schriftlich zu informieren. Wir können dem widersprechen und gegebenenfalls den Vertrag beenden, bevor neue Subdienstleister Zugriff auf Ihre Daten erhalten. Einziger Unterauftragsverarbeiter von AKI.IO (KI-Verarbeitung, keine Drittlandübermittlung) ist die AIME GmbH, Berlin; AKI.IO darf neue Unterauftragsverarbeiter nur mit unserer Zustimmung einsetzen.

Eine Kopie der einschlägigen Standardvertragsklauseln stellen wir Ihnen auf Anfrage an support@imeterreader.app zur Verfügung.

8. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für die in Abschnitt 5 genannten Zwecke erforderlich ist oder bis Sie Ihre Einwilligung widerrufen / Ihrem berechtigten Interesse widersprechen.

8.1 Offline-First — der Normalfall ist keine Datenübertragung

iMeter Reader ist eine offline-first-App: Solange Sie sich nicht in ein Konto anmelden, werden keine Verträge, Zählerstände, Notizen oder sonstigen Inhaltsdaten auf unsere Server übertragen. Ihre Inhaltsdaten liegen ausschließlich auf Ihrem Gerät, im privaten Speicherbereich der App. (Zu den wenigen technischen Übertragungen, die auch ohne Konto stattfinden, siehe den ersten Punkt unten sowie § 4.10 / Abschnitte 18–21.)

Konkret:

Verifizierung Ihrer deutschen Mobilnummer: Wenn Sie Ihre deutsche Mobilnummer verifizieren, werden die in Abschnitt 18c beschriebenen Verifizierungsdaten (§ 4.12) an unsere Server gesendet und dort gespeichert, mit oder ohne Konto.
Mit Anmeldung (Cloud-Sync): Wenn Sie ein Konto erstellen und die Synchronisation nutzen, werden Verträge, Zählerstände und Einstellungen auf unseren Servern repliziert (siehe Tabelle unten). Bei „Konto löschen" werden diese serverseitigen Kopien gelöscht.
Mit KI-Nutzung: Wenn Sie eine KI-Funktion verwendet haben, durchläuft das jeweilige Bild / PDF / die Chat-Nachricht unsere Server in Frankfurt ausschließlich im Arbeitsspeicher und wird an die AKI.IO GmbH in Deutschland weitergeleitet (§ 6.3); bei uns verbleibt nach der Verarbeitung keine Kopie. AKI.IO verarbeitet die Inhalte nur kurzzeitig im flüchtigen Arbeitsspeicher und speichert oder protokolliert sie nicht — es gibt bei AKI.IO keine Aufbewahrungsfrist. Die extrahierten Strukturen werden nur auf Ihrem Gerät gespeichert.
Sentry-Diagnose: Fehlerberichte — aus der App (die Absturzdiagnose ist standardmäßig aktiviert — Abschnitt 19), von unseren Servern, unserer Website oder unseren Mitarbeiter-Web-Apps — bleiben für bis zu 90 Tage bei Sentry, anschließend werden sie gelöscht.

8.2 Speicherdauer je Datenkategorie

Datenkategorie	Speicherdauer
Konto- und Stammdaten (4.1, 4.2)	Bis zur Kontolöschung. Danach: 30 Tage Karenzfrist (Schutz vor versehentlicher Löschung). Anschließend endgültige Löschung in unserer Datenbank und im Identitätsdatensatz.
Energieverträge und Zählerstände (4.3)	Lokal auf Ihrem Gerät: solange die App installiert ist. Auf unseren Servern: nur wenn Sie angemeldet und Cloud-Sync aktiv ist; bei Kontolöschung Kaskadenlöschung innerhalb der 30-Tage-Karenzfrist. Einzelne Einträge können Sie jederzeit selbst aus der App entfernen.
Zählerfotos / Vertragstexte (4.5)	Nicht persistent gespeichert. Werden für die Dauer der KI-Anfrage (Sekunden bis wenige Minuten) im Arbeitsspeicher unserer Server in Frankfurt gehalten und danach verworfen. Weiterleitung an die AKI.IO GmbH in Deutschland (§ 6.3), die sie nur kurzzeitig im flüchtigen Arbeitsspeicher verarbeitet und nicht speichert oder protokolliert (keine Aufbewahrung bei AKI.IO).
Installations-Zähldatensatz (§ 4.10) — Gerät noch nie mit einem Benutzerkonto verknüpft	Maximal 18 Monate ab Erstinstallation, danach Löschung — unabhängig von jeder Telemetrie- oder Diagnose-Einstellung.
Gerätebezogene Aufzeichnung der Datenschutz-Einstellungen (§ 4.11 / Abschnitt 21) — Gerät noch nie mit einem Benutzerkonto verknüpft	Maximal 18 Monate ab Erstkontakt des Geräts, danach Löschung zusammen mit dem Installations-Datensatz — unabhängig von den gespeicherten Status. Bei Kontolöschung (Art. 17) werden die Datenschutz-Einstellungs-Datensätze des Geräts sofort gelöscht; das Gerät fällt auf den Install-Only-Status zurück.
Geräte-Telemetrie — Tagesrohdaten (4.4 Snapshots)	90 Tage.
Push-Registrierung (Token, Plattform, App-Sprache, App-Version — Abschnitt 18)	Bis Sie Benachrichtigungen für iMeter Reader in den Geräteeinstellungen abschalten, Ihr Konto löschen oder die App deinstallieren (in den ersten beiden Fällen löscht die App die Registrierung beim nächsten Start; nach einer Deinstallation wird das Token ungültig und bei der nächsten fehlgeschlagenen Zustellung entfernt). Eine Registrierung wird automatisch gelöscht, sobald die Installation 270 Tage lang nicht als aktiv gemeldet wurde — durch die anonymen Nutzungsstatistiken (Abschnitt 20).
Verifizierung Ihrer deutschen Mobilnummer (Abschnitt 18c) — geschlüsselter Hash und teilweise verborgene Nummer, Status, Quelle, Zeitpunkte	Gelöscht, wenn Sie „Von diesem Gerät entfernen" tippen, wenn Sie Ihr Konto löschen (Installationen, auf denen nur Ihr Konto angemeldet ist), und spätestens, wenn die Installation 18 Monate lang nicht mehr aktiv war oder ihr Gerätedatensatz nicht mehr besteht. Wird dieselbe Nummer auf einer anderen Installation verifiziert, werden Hash und teilweise verborgene Nummer auf der bisherigen Installation sofort gelöscht; dort bleiben nur der Status „übergegangen" und sein Zeitpunkt.
Offener Verifizierungscode (geschlüsselte Hashes, teilweise verborgene Nummer, Zeitpunkte — Abschnitt 18c)	10 Minuten gültig; gelöscht 24 Stunden nach Ablauf sowie sofort, wenn die Nummer verifiziert wird, wenn Sie einen neuen Code anfordern oder die Verifizierung entfernen.
Ergebnis der Anschlussart-Prüfung einer Nummer (geschlüsselter Hash, Anschlussart — Abschnitt 18c)	30 Tage nach der Prüfung.
Datensatz verarbeiteter Nachrichten (geschlüsselter Hash der Nachrichten-ID Ihrer SMS — Abschnitt 18c)	7 Tage.
Zähler der KI-Nutzung je verifizierter Nummer (aus dem geschlüsselten Hash der Nummer abgeleitete pseudonyme Kennung, Art der Nutzung, Zeitpunkt — Abschnitt 18c)	Nur für ihr Zählfenster, höchstens 31 Tage; früher gelöscht bei einem Löschantrag mit Ihrer Telefonnummer (Abschnitt 18c).
Übergangsfrist-Datensatz (Abschnitt 18c)	30 Tage nach Ende der Übergangsfrist; früher gelöscht zusammen mit den übrigen Verifizierungsdaten der Installation.
Nachrichtenprotokoll unserer deutschen Mobilnummer bei Twilio (Text und Absendernummer unkenntlich gemacht — § 6.9)	7 Tage (bei Twilio).

| Admin-Push-Broadcast-Log (betreiber-initiierter Service-Push — handelnder Admin, Zeitstempel, Filterbeschreibung, Inhaltsklasse, Titel und Text, Zielbildschirm oder Link, Anzahl der Empfänger / Zustellungen / Fehlschläge, gekürzte IP; keine Gerätekennungen und keine Tokens) | 12 Monate. | | Geräte-Telemetrie — Monatsaggregate | 24 Monate (anschließend Löschung). | | Verwaltungs-/Sicherheits-Zugriffsprotokoll (gekürzte IP) | 12 Monate (Art. 17 Abs. 3 lit. b/e DSGVO + Art. 32 DSGVO — Rechenschaftspflicht/Sicherheitsnachweis). | | Abmelde-Datensatz (Suppression) — Widerspruch gegen betreiber-initiierte Service-E-Mails | Bis zur Kontolöschung. | | Admin-Broadcast-Log (betreiber-initiierte Service-E-Mail — handelnder Admin, Zeitstempel, Filterbeschreibung, Inhaltsklasse, Betreff, Empfängeranzahl, gekürzte IP; keine Empfänger-Adressen) | 12 Monate. | | KI-Chat-Inhalte (4.7) | Lokal auf Ihrem Gerät bis Sie die App schließen; serverseitig: nicht persistent (nur im Arbeitsspeicher während der Verarbeitung, danach verworfen). | | Sentry-Diagnose (4.6 — App, unsere Server, Website, Mitarbeiter-Web-Apps; Abschnitt 19) | 90 Tage. | | Vorschläge für das Anbieterverzeichnis (nur Unternehmensangaben — Abschnitt 16.6) | Abgelehnt: 12 Monate; unbestätigte Vorschläge: 24 Monate nach der letzten Meldung; bestätigte Vorschläge werden Verzeichniseinträge. | | Rückmeldung zu einem Verzeichniseintrag (Einweg-Hash aus Geräte-UUID + Eintrag — Abschnitt 16.6) | 30 Tage. | | Sichtung eines Verzeichnis-Vorschlags (Einweg-Hash aus Geräte-UUID + Vorschlag — Abschnitt 16.6) | 30 Tage. | | Einwilligungs-Protokolle (4.8) | Dauer der Geschäftsbeziehung + 3 Jahre (zur Nachweisführung gemäß Art. 7 Abs. 1 DSGVO). | | Steuerlich oder handelsrechtlich aufzubewahrende Daten (sofern künftig zahlungspflichtige Funktionen) | 10 Jahre (§ 257 HGB, § 147 AO). | | Ratenbegrenzungs-Zähler für Registrierung / Login / Passwort-Zurücksetzung (IP, gehashte E-Mail) | Nur im Arbeitsspeicher; automatische Verwerfung innerhalb eines kurzen Zeitfensters (Minuten). Niemals persistiert, niemals protokolliert. | | Sicherheits-Ereignisprotokoll des Identitätsdienstes (fehlgeschlagene Anmeldungen: IP-Adresse, Benutzername, Zeitstempel) | Aufbewahrung nur so lange, wie es für Brute-Force-Schutz und Sicherheitsüberprüfung erforderlich ist; wir sind dabei, eine automatische 30-Tage-Löschfrist einzurichten. Den aktuellen Stand erfragen Sie unter support@imeterreader.app. | | Registriertes, aber nie genutztes Konto: E-Mail-Adresse nie bestätigt, keine Anmeldung mit Google oder Apple und nie in der App angemeldet | 90 Tage ab Registrierung, danach automatische Löschung (eine Erinnerung an Tag 60). Konten, die genutzt wurden, werden durch diese Regel niemals gelöscht. |

Lokale Daten liegen im privaten Speicherbereich der App auf Ihrem Gerät, bis Sie die App deinstallieren oder den Befehl „Konto löschen" verwenden. Dieser Befehl entfernt die auf dem Gerät gespeicherten Energie- und Wasserdaten (§ 4.3), sobald unsere Server die Löschanfrage bestätigt haben; Einstellungen, die die App auf diesem Gerät konfigurieren — Sprach- und Anzeigeeinstellungen —, bleiben bewusst erhalten, und eine erneute Installation der App entfernt alles Verbliebene.

9. Ihre Rechte als Betroffener

Sie haben uns gegenüber die folgenden Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

Recht	Inhalt	So machen Sie es geltend
Auskunft (Art. 15 DSGVO)	Sie können eine vollständige Kopie der über Sie gespeicherten Daten erhalten.	E-Mail an `support@imeterreader.app`; eine Kopie wird innerhalb von 30 Tagen bereitgestellt.
Berichtigung (Art. 16 DSGVO)	Sie können unrichtige oder unvollständige Daten korrigieren.	Profilseite in der App (Name, Adresse, Mobilnummer) oder schriftlich.
Löschung / Recht auf Vergessenwerden (Art. 17 DSGVO)	Wir löschen Ihre Daten, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.	In der App: Menü öffnen → Profil antippen → Profil → Konto löschen. Vollständige Kaskadenlöschung erfolgt innerhalb der 30-Tage-Karenzfrist. Vollständige Details finden Sie auf der Seite zur Kontolöschung.
Einschränkung der Verarbeitung (Art. 18 DSGVO)	Sie können verlangen, dass wir die Verarbeitung Ihrer Daten aussetzen, z. B. während wir die Richtigkeit prüfen.	E-Mail an `support@imeterreader.app`.
Datenübertragbarkeit (Art. 20 DSGVO)	Sie erhalten Ihre Daten in einem strukturierten, gängigen, maschinenlesbaren Format.	Auf Anfrage an `support@imeterreader.app` werden die Daten in einem strukturierten, gängigen, maschinenlesbaren Format bereitgestellt.
Widerspruch (Art. 21 DSGVO)	Gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 6 Abs. 1 lit. f) — insbesondere den Installations-Zähler (§ 4.10 / Abschnitt 5), betreiber-initiierte Service-E-Mails (Abschnitt 5 / § 6.9), Betreiber-Service-Push-Benachrichtigungen (Abschnitt 18), die Absturzdiagnose (Abschnitt 19), die anonymen Nutzungsstatistiken (Abschnitt 20) und die gerätebezogene Aufzeichnung der Datenschutz-Einstellungen (Abschnitt 21) — können Sie jederzeit widersprechen. Widersprechen Sie der Verarbeitung des Installations-Zählers, unterdrücken und löschen wir den Datensatz vor Ablauf der 18-monatigen Speicherfrist. Für Absturzdiagnose und Nutzungsstatistiken sind die Schalter in Einstellungen → Datenschutz der einfache Widerspruchskanal: Das Abschalten einer Option gilt als Widerspruch und wird serverseitig über die gerätebezogene Aufzeichnung (Abschnitt 21) festgehalten; es wirkt bei den Nutzungsstatistiken sofort und bei der Absturzdiagnose ab dem nächsten Start der App (Abschnitt 19). Für Fehlerberichte unserer Website (Abschnitt 19.3) ist das Signal Global Privacy Control oder Do Not Track Ihres Browsers der einfache Widerspruchskanal: Solange Ihr Browser eines dieser Signale sendet, wird überhaupt kein Fehlerbericht gesendet. Schalten Sie „Absturz- & Diagnoseberichte" in der App ab, senden auch unsere Server keine Fehlerberichte mehr zu Anfragen dieser Installation und — wenn Sie angemeldet sind — zu Anfragen Ihres Kontos von jedem Gerät, spätestens fünf Minuten nachdem die App Ihre Entscheidung an unsere Server übermittelt hat. Für die Mitarbeiter-Web-Apps und für Serveraufgaben, die keiner bestimmten Anfrage dienen, widersprechen Sie per E-Mail; wir bearbeiten solche Widersprüche im Einzelfall und löschen passende Berichte. Für betreiber-initiierte Service-E-Mails ist der One-Click-Abmelde-Link in jeder Nachricht der einfache Widerspruchskanal; er nimmt Sie in unseren Suppression-Store auf und beendet jede weitere solche Nachricht. Für Service-Push-Benachrichtigungen ist das Abschalten der Benachrichtigungen für iMeter Reader in den Geräteeinstellungen der einfache Widerspruchskanal: Die App löscht ihre Push-Registrierung dann beim nächsten Start von unseren Servern, und keine weitere Benachrichtigung kann das Gerät erreichen. Für die Verifizierung Ihrer deutschen Mobilnummer (Prüfung der Anschlussart und Missbrauchsschutz — Abschnitt 18c) ist das Entfernen der Verifizierung in der App der einfache Widerspruchskanal.	Per E-Mail an support@imeterreader.app, über die Schalter in Einstellungen → Datenschutz, über den Abmelde-Link in Service-E-Mails, für Push durch Abschalten der Benachrichtigungen in den Geräteeinstellungen oder für Fehlerberichte der Website durch Einschalten von Global Privacy Control oder Do Not Track in Ihrem Browser.
Keine automatisierte Einzelfallentscheidung (Art. 22 DSGVO)	Wir treffen keine automatisierten Entscheidungen mit rechtlicher oder vergleichbarer Wirkung.	Fragen: E-Mail an `support@imeterreader.app`.

Die Bearbeitung Ihrer Anfrage ist für Sie unentgeltlich. Zur Identifikation kann eine einmalige Bestätigung Ihrer E-Mail-Adresse erforderlich sein.

Doppelte Konten: Sollte die Wahl von „E-Mail geheim halten" bei der Anmeldung mit Apple (§ 6.11) bei Ihnen zu zwei getrennten Konten geführt haben, können wir diese auf Anfrage an support@imeterreader.app zusammenführen. Dies ändert nichts an der oben genannten 30-Tage-Frist.

10. Widerrufsrecht bei Einwilligungen (Art. 7 Abs. 3 DSGVO)

Soweit die Verarbeitung auf Ihrer Einwilligung beruht (KI-Zählerablesung, KI-Vertragsanalyse, KI-Chat), können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Der Widerruf ist genauso einfach wie die Einwilligungserteilung:

In-App: Einstellungen → Datenschutz → einzelne Schalter pro Zweck (KI-Zählerablesung, KI-Vertragsanalyse, KI-Chat).
Per E-Mail an support@imeterreader.app.

Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt vom Widerruf unberührt.

Absturzdiagnose (Sentry, Abschnitt 19) und anonyme Nutzungsstatistiken (Abschnitt 20) sind nicht einwilligungsbasiert: Sie laufen standardmäßig auf Grundlage berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO). Die entsprechenden Schalter in Einstellungen → Datenschutz üben Ihr Widerspruchsrecht (Art. 21 DSGVO) aus und widerrufen keine Einwilligung; Ihr Widerspruch wird über die gerätebezogene Aufzeichnung der Datenschutz-Einstellungen (Abschnitt 21) festgehalten.

11. Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Unbeschadet eines anderweitigen Rechtsbehelfs haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für den Anbieter mit Sitz in Bayern ist die zuständige Aufsichtsbehörde:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) · Promenade 18 · 91522 Ansbach · Telefon: +49 (0) 981 180093-0 · E-Mail: poststelle@lda.bayern.de · Web: https://www.lda.bayern.de

Eine Übersicht aller deutschen Datenschutz-Aufsichtsbehörden finden Sie unter: https://www.bfdi.bund.de/DE/Service/Anschriften/Laender/Laender-node.html

12. Pflicht zur Bereitstellung der Daten

Für die Erstellung eines Benutzerkontos müssen Sie eine E-Mail-Adresse angeben und ein Passwort festlegen — oder sich mit Google oder Apple anmelden; in diesem Fall stammt die E-Mail-Adresse von diesem Anbieter. Ihr Name ist optional; geben Sie keinen an, spricht die App Sie stattdessen mit Ihrer E-Mail-Adresse an. Ohne Konto steht die Cloud-Synchronisation nicht zur Verfügung — alle Kernfunktionen (Zählerstand-Erfassung, Vertragsverwaltung, Erinnerungen) funktionieren jedoch vollständig offline; abgesehen von den in §§ 4.4 und 4.10 sowie den Abschnitten 18–21 beschriebenen Übertragungen (Installations-Zähler, Push-Registrierung, solange Sie Benachrichtigungen zulassen, Absturzdiagnose, Nutzungsstatistiken, gerätebezogene Aufzeichnung der Datenschutz-Einstellungen — jeweils widerspruchs- bzw. abschaltbar), werden keine Daten an unsere Server gesendet.

Die übrigen Daten geben Sie freiwillig an. Eine Nichtbereitstellung hat lediglich zur Folge, dass Sie die jeweilige Funktion nicht nutzen können. Um die KI-Funktionen (Zählerfoto-Ablesung, Vertragsanalyse, KI-Chat) zu nutzen, müssen Sie eine deutsche Mobilnummer verifizieren, indem Sie uns von ihr eine SMS senden (Abschnitt 18c); ohne Verifizierung stehen diese Funktionen nach Ablauf der dort beschriebenen Übergangsfrist nicht zur Verfügung. Alle übrigen Funktionen der App bleiben ohne Verifizierung verfügbar.

13. Automatisierte Entscheidungsfindung / Profiling

Wir treffen keine ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidungen mit rechtlicher oder erheblich beeinträchtigender Wirkung (Art. 22 DSGVO). Die KI-Funktionen sind unterstützend (assistive OCR und Strukturierungs-Vorschläge) und werden ausschließlich von Ihnen selbst initiiert und nachträglich von Ihnen geprüft / bestätigt.

Wenn Sie Ihre Mobilnummer verifizieren (Abschnitt 18c), werden Nummern, die keine deutschen Mobilnummern sind — zum Beispiel Festnetz- oder VoIP-Nummern —, automatisch abgelehnt. Die einzige Folge ist, dass die Verifizierung mit dieser Nummer nicht abgeschlossen werden kann; dies ist keine Entscheidung mit rechtlicher oder in ähnlicher Weise erheblich beeinträchtigender Wirkung. Wenn Sie meinen, dass Ihre Nummer zu Unrecht abgelehnt wurde, schreiben Sie an support@imeterreader.app.

14. Datensicherheit (Art. 32 DSGVO)

Wir setzen aktuelle Standards zur Datensicherheit ein. Zu den wichtigsten technischen und organisatorischen Maßnahmen (TOM) gehören:

Transportverschlüsselung: TLS 1.3 für sämtliche Verbindungen, HSTS, OCSP-Stapling. Auf den mobilen Apps zusätzlich SubjectPublicKeyInfo-Pinning (SPKI-Pinning) der Server-Zertifikate für auth.codexo.dev und imeterreader.codexo.dev — eine erfolgreiche Man-in-the-Middle-Attacke selbst durch eine kompromittierte Zertifizierungsstelle ist damit nicht möglich. Die Anmeldung — mit E-Mail-Adresse und Passwort ebenso wie mit Google oder Apple — nutzt den OIDC-Autorisierungscode-Flow mit PKCE im System-Browser Ihres Geräts und wird von unserem eigenen Identitätsdienst vermittelt, wie in § 6.2 und § 6.11 beschrieben. Unsere öffentliche Website wird unter imeterreader.app ausgeliefert.
Sicheres Token-Storage: Zugangstokens werden ausschließlich im iOS Keychain bzw. Android Keystore abgelegt, niemals in Preferences / NSUserDefaults.
Rollenbasierte Zugriffskontrolle (RBAC): Backend-Endpunkte sind durch JWT-Validierung und Resource-Owner-Checks abgesichert; Administrationsendpunkte erfordern zusätzlich die Keycloak-Rolle imeterreader_admin.
Eingangs-Validierung & Hardening: strenges JSON-Schema, MIME-Allowlist und Magic-Byte-Prüfung bei Bild-Uploads, Limit 7 MB; Sanitierung von Correlation-IDs; CORS-Wildcard-Schutz (Fail-Closed in Produktion).
Audit-Log: Zugriffe des Betreibers/Admins auf Backend-Systeme werden mit handelnder Admin-Identität, gekürzter IP-Adresse, Aktion und Zeitstempel protokolliert (Aufbewahrung 12 Monate); siehe Abschnitt 5.
Verschlüsselung im Ruhezustand: Datenbank- und Backup-Verschlüsselung auf Hostinger-Ebene; lokale SQLite-Datenbank auf der mobilen App wird durch die OS-Datenschutzklassen (iOS CompleteUntilFirstUserAuthentication, Android File-Based-Encryption) geschützt. Zusätzlich planen wir die Aktivierung von SQLCipher für die App-lokale Datenbank in einer kommenden Version.
Backups: tägliche verschlüsselte Backups auf einer separaten Storage-Box.
Patch-Management: alle Container-Images mit explizit gepinnten Versionen; CVE-Monitoring über Dependabot.
Incident-Response: dokumentiertes Vorgehen mit Meldepflicht innerhalb 72 Stunden (Art. 33 DSGVO).

Ein detaillierter TOM-Katalog steht Geschäftspartnern auf Anfrage zur Verfügung (support@imeterreader.app).

15. Cookies und ähnliche Technologien (§ 25 TDDDG)

Die mobile App iMeter Reader verwendet keine Werbe- oder Tracking-Cookies.

Wir setzen ausschließlich Datenarten ein, die für die Bereitstellung der App unbedingt erforderlich sind und nicht der Einwilligungspflicht nach § 25 Abs. 1 TDDDG unterliegen (Ausnahmetatbestand des § 25 Abs. 2 TDDDG):

Ihre Anmelde-Sitzung im sicheren Speicher des Betriebssystems (iOS Keychain / Android Keystore): Access-, Refresh- und ID-Token (Keycloak), deren Ablaufzeiten, Ihre Benutzer-ID, Ihr Benutzername, Ihr Anzeigename und Ihre E-Mail-Adresse
Geräte-UUID für die Synchronisation
Spracheinstellung und UI-Präferenzen
ein unbedingt erforderliches Sitzungs-/State-Cookie, das unser Identitätsdienst (auth.codexo.dev) während der Anmeldung — mit E-Mail-Adresse und Passwort ebenso wie mit Google oder Apple — setzt: Es bindet den OIDC-state-Parameter und die PKCE-Parameter an Ihre Browser-Sitzung und trägt nach erfolgter Anmeldung die Login-Sitzung des Identitätsdienstes. Die Speicherdauer unterscheidet sich je Plattform: Unter iOS ist die Browser-Sitzung flüchtig (ASWebAuthenticationSession) — das Cookie wird unmittelbar nach Abschluss der Anmeldung verworfen, danach bleibt nichts gespeichert. Unter Android öffnet sich der Ablauf in einem Chrome Custom Tab, der den regulären Cookie-Speicher des Geräte-Browsers mitnutzt; dort bleibt das Cookie bestehen, bis die Anmelde-Sitzung des Identitätsdienstes abläuft; wir sind dabei, die genaue Gültigkeitsdauer dieser Sitzung zu bestätigen und zu dokumentieren. Den aktuellen Stand erfragen Sie unter support@imeterreader.app.

Einwilligungspflichtige Inhalte (KI-Funktionen) werden vorher ausdrücklich und einzeln per In-App-Dialog bestätigt; siehe Abschnitt 16. Absturzdiagnose (Sentry) und anonyme Nutzungsstatistiken sind standardmäßig auf Grundlage berechtigten Interesses aktiviert; Sie können ihnen jederzeit widersprechen bzw. sie in Einstellungen → Datenschutz abschalten (Art. 21 DSGVO; siehe Abschnitte 19, 20).

Die zugehörige Verwaltungsoberfläche (Backoffice unter imeterreader-admin.codexo.dev) ist nicht für Endbenutzer bestimmt; sie wird nur durch den Betreiber genutzt und enthält keine einwilligungspflichtigen Drittanbieter-Inhalte.

Beim Besuch unserer Website

Wenn Sie unsere Website (imeterreader.app) aufrufen, übermittelt Ihr Browser technische Verbindungsdaten an unseren Server in Frankfurt (Hostinger): Ihre IP-Adresse, den Browser-User-Agent und Ihre bevorzugte Sprache (Accept-Language). Wir verwenden diese ausschließlich, um die Website auszuliefern, sie in Ihrer Sprache anzuzeigen und — wenn Sie unseren Download-Link /get öffnen — Sie an den richtigen App-Store für Ihr Gerät weiterzuleiten (Apple App Store unter iOS, Google Play unter Android). Diese Weiterleitung liest Ihren User-Agent im Moment der Anfrage und speichert oder protokolliert ihn nicht; die Weiterleitung setzt Cache-Control: no-store. Wir stellen keinen ausgehenden Aufruf her — Ihr eigener Browser folgt der Weiterleitung zu Apple oder Google, genau so, als hätten Sie auf ein Store-Badge getippt.

Rechtsgrundlage: unser berechtigtes Interesse an der Bereitstellung und korrekten Weiterleitung unserer Website (Art. 6 Abs. 1 lit. f DSGVO). Wir verwenden hierfür keine Cookies oder ähnlichen Kennungen und erstellen daraus kein Profil. Sie können unter Art. 21 DSGVO unter support@imeterreader.app widersprechen.

Fehlerberichte (Sentry). Tritt beim Besuch unserer Website in Ihrem Browser ein JavaScript-Fehler auf, sendet die Website einen Fehlerbericht an Sentry (Abschnitte 6.5, 19.3): die Fehlermeldung (E-Mail-Adressen, Telefonnummern, Tokens, IP-Adressen und IBANs durch „[redacted]“ ersetzt), den Stack-Trace (URLs der Skriptdateien, Zeile und Spalte), den Pfad der Seite einschließlich der Sprache (ohne Query-String und ohne Fragment), Ihre Navigation und die eigenen Anfragepfade der Website vor dem Fehler sowie die Angular-Version. Das Skript liest weder den User-Agent noch den Referrer Ihres Browsers aus; Ihr Browser übermittelt seinen User-Agent bei jeder Anfrage, auch bei dieser, Sentry wird aber nicht mit seiner Auswertung beauftragt. Es werden keine Cookies gesetzt und nichts auf Ihrem Gerät gespeichert; es wird keine Benutzerkennung gesendet, und Sentry speichert keine IP-Adresse; es gibt keine Performance-Messung und keine Sitzungsaufzeichnung (Session Replay). Sendet Ihr Browser Global Privacy Control oder Do Not Track, wird überhaupt kein Fehlerbericht gesendet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an einer stabilen, sicheren Website und an schneller Fehlerbehebung. Sie können jederzeit über Global Privacy Control oder Do Not Track oder per E-Mail an support@imeterreader.app widersprechen. Sentry löscht die Berichte nach 90 Tagen.

16. KI-gestützte Funktionen (OCR, Vertragsanalyse, Chat)

iMeter Reader nutzt drei KI-Funktionen, die optional und einzeln aktivierbar sind:

16.1 KI-Zählerablesung (OCR)

Vorrang lokaler Verarbeitung: Standardmäßig erfolgt die Texterkennung Ihres Zählerfotos lokal auf dem Gerät (iOS: Apple Vision Framework; Android: Google ML Kit). Es findet keine Übertragung an unsere Server statt.
Cloud-Fallback (optional, einwilligungspflichtig): Sollte die lokale OCR fehlschlagen, können Sie auf eine Cloud-OCR ausweichen. Hierfür wird das Foto (~ 960 × 300 Pixel, JPEG q90, ohne EXIF) an unseren Backend-Server und von dort an die AKI.IO GmbH, Berlin, gesendet (§ 6.3; Verarbeitung ausschließlich in Rechenzentren in Deutschland bzw. der EU). Antwort: extrahierter Zahlenwert.
Sie müssen sie nie verwenden. Die Eingabe eines Zählerstands von Hand ist jederzeit möglich, erfordert keine Einwilligung und übermittelt nichts.
Begrenzung: maximal 3 Cloud-OCR-Aufrufe pro Woche.

16.2 KI-Vertragsanalyse

Sie können ein Vertragsdokument (PDF oder mehrseitiges Foto-PDF) hochladen. Enthält das PDF extrahierbaren Text, prüft die App zunächst auf Ihrem Gerät, ob es sich um einen Energievertrag der von Ihnen gewählten Art handelt; ist das erkennbar nicht der Fall, wird der Upload lokal abgelehnt und es wird nichts gesendet. Andernfalls wird ein PDF oder ein Vertragsfoto auf Ihrem Gerät gelesen (Textebene oder Texterkennung auf dem Gerät); die IBAN — und Ihr Name, soweit Ihr Kontoprofil ihn enthält — wird auf Ihrem Gerät maskiert, und nur der daraus entstehende Text wird über unseren Backend-Server (ausschließlich im Arbeitsspeicher) an die AKI.IO GmbH, Berlin, übermittelt (§ 6.3; Verarbeitung ausschließlich in Rechenzentren in Deutschland bzw. der EU). Es wird kein Vertragsbild gesendet: Unser Server weist Vertragsbilder zurück.
Antwort: strukturierter Vertragsdatensatz, den Sie überprüfen und ggf. korrigieren können, bevor er in Ihrer Vertragsdatenbank gespeichert wird.
Hinweis: Vertragsdokumente enthalten häufig sensible Informationen (Name, Adresse, Kunden-Nummer, ggf. IBAN/SEPA-Mandat). Die IBAN — und Ihr Name, soweit Ihr Kontoprofil ihn enthält — wird auf Ihrem Gerät maskiert; andere Angaben wie Adresse und Kundennummer werden verarbeitet. Wir empfehlen, vor dem Hochladen Felder, die Sie nicht durch die KI verarbeiten lassen möchten, zu schwärzen.
Begrenzung: 2 Strom-Verträge und 2 Gas-Verträge pro Monat.
Anbieterverzeichnis (Abschnitt 16.6): Nach der Analyse kann die App die im Dokument gefundenen Unternehmens-Kontaktdaten (rechtlicher Name des Versorgers, Anschrift, Kundenservice-E-Mail, Telefon, Website) an unser Anbieterverzeichnis melden. Angaben zu Ihnen oder Ihrem Vertrag sind nicht enthalten. Sie können jederzeit widersprechen (Einstellungen → Datenschutz → „Anbieterverzeichnis verbessern“).

16.3 KI-Chat (Tarif-Assistent)

Im Chat können Sie Fragen zu Energietarifen, Anbieterunterschieden, Kündigungsfristen etc. stellen.
Eingaben und der Konversationsverlauf (bis zu 20 zurückliegende Schritte) werden an unseren Backend-Server und von dort an die AKI.IO GmbH, Berlin, gesendet (§ 6.3). Das Modell läuft nicht auf unseren eigenen Servern; es wird für uns von AKI.IO ausschließlich in einem Rechenzentrum in Berlin, Deutschland, gehostet — Ihr Text bleibt in Deutschland.
Bitte geben Sie keine sensiblen personenbezogenen Daten in den Chat ein (insbesondere keine Klarnamen, Adressen, Bankdaten Dritter). Wir scannen Eingaben nicht inhaltlich.
Eingabelimit: max. 1 000 Zeichen pro Frage — bewusst niedrig gehalten, damit nicht versehentlich umfangreiche personenbezogene Datenmengen an unsere Server übermittelt werden (Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO).
Begrenzung: 20 Anfragen pro Tag.

16.4 Einwilligungsbasiert

Alle drei KI-Funktionen sind im Auslieferungszustand deaktiviert. Sie werden erst nach Ihrer ausdrücklichen, einzelnen Einwilligung pro Funktion aktiv. Den Status können Sie jederzeit in den App-Einstellungen → Datenschutz einsehen und ändern. Zusätzlich können die KI-Funktionen nach Einführung der Verifizierung deutscher Mobilnummern nur auf einer Installation mit verifizierter deutscher Mobilnummer genutzt werden (Abschnitt 18c). Die Verifizierung ersetzt Ihre Einwilligung nicht, und Sie können Ihre Einwilligung jederzeit ohne Verifizierung widerrufen.

16.5 Kein Training von KI-Modellen

Wir nutzen Ihre Zählerbilder, Vertragsdokumente, KI-Chat-Nachrichten oder sonstige von Ihnen eingereichte Inhalte nicht — und werden sie nicht nutzen —, um KI-Modelle zu trainieren, feinabzustimmen oder zu verbessern. Um es unmissverständlich klarzustellen und zu wiederholen: Wir trainieren keine künstliche Intelligenz mit Nutzerdaten. Unsere KI-Funktionen werden von der AKI.IO GmbH in Berlin bereitgestellt (§ 6.3), die schriftlich bestätigt hat, dass sie an sie übermittelte Inhalte ebenfalls nicht zum Training von KI-Modellen verwendet. Ihre hochgeladenen Bilder, PDFs und Chat-Nachrichten werden ausschließlich im Arbeitsspeicher und nur für die Dauer der Anfrage verarbeitet und unmittelbar danach verworfen; auf unseren Servern speichern wir sie nicht. AKI.IO verarbeitet Inhalte nur kurzzeitig im flüchtigen Arbeitsspeicher und speichert oder protokolliert sie nicht; es gibt bei AKI.IO keine Aufbewahrungsfrist. Bitte beachten Sie, dass Ihre Inhalte damit an einen Dritt-KI-Anbieter übermittelt werden (AKI.IO GmbH, Berlin; Verarbeitung ausschließlich in Rechenzentren in Deutschland bzw. der EU, ohne Übermittlung in ein Drittland) — wenn Sie das nicht möchten, aktivieren Sie die KI-Funktionen nicht: Jede von ihnen ist optional, erfordert Ihre Einwilligung und hat eine manuelle Alternative.

Es existiert derzeit kein Opt-in, das die Verwendung Ihrer Inhalte für ein Modelltraining erlauben würde. Sollten wir eine solche Option in einer zukünftigen Version einführen, würde diese eine gesonderte, ausdrückliche und freiwillige Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO voraussetzen — Schweigen, fortgesetzte Nutzung der App oder vorangekreuzte Kästchen würden niemals als Einwilligung gelten (Art. 4 Nr. 11, Art. 7 DSGVO; EDSA-Leitlinien 05/2020 zur Einwilligung).

16.6 Verbesserung des Anbieterverzeichnisses aus Ihren Vertragsdokumenten

Die App enthält ein Verzeichnis von Energieversorgern (Name, Anschrift, Kundenservice-E-Mail, Kündigungsweg), das Ihnen hilft, Ihren Versorger zu kontaktieren oder zu kündigen. Damit dieses Verzeichnis vollständig bleibt, kann die App — nach einer erfolgreichen Vertragsanalyse (Abschnitt 16.2) — die Unternehmensangaben an uns senden, die die Analyse in Ihrem Dokument gefunden hat: den rechtlichen Namen des Versorgers, seine Straßenanschrift, seine Kundenservice-E-Mail-Adresse, Telefonnummer und Website sowie die Energieart (Strom oder Gas).

Was zu diesem Zweck niemals gesendet wird: Ihr Name, Ihre Anschrift, Ihre Kundennummer, Ihre Zählernummer, Preise, Verbrauch, das Dokument selbst oder eine Kennung Ihres Vertrags oder Kontos. Die Anfrage trägt die installationsbezogene Geräte-UUID (Abschnitt 4.4) und — weil die Vertragsanalyse eine Anmeldung voraussetzt — Ihr Anmelde-Token; beides verwenden wir ausschließlich zur Begrenzung der Meldungen (20 pro Tag je Installation und je Konto). Weder die Geräte-UUID noch Ihr Konto werden mit dem Vorschlag gespeichert.
Was wir speichern: Ist das Unternehmen bereits im Verzeichnis, wird nichts gespeichert. Andernfalls werden die Unternehmensangaben als Vorschlag zusammen mit einem Zähler gespeichert, wie viele Installationen sie gemeldet haben; damit jede Installation nur einmal zählt, speichern wir für 30 Tage einen Einweg-Hash aus Ihrer Geräte-UUID und dem Vorschlag. Ein Vorschlag wird erst dann zu einem sichtbaren Verzeichniseintrag, wenn wir ihn von Hand anhand der offiziellen Website des Versorgers geprüft haben. Unternehmensdaten dieser Art sind in der Regel keine personenbezogenen Daten. Sollte die Analyse dennoch Angaben zu einer Person erfassen (etwa die eines Einzelunternehmers oder versehentlich Ihre eigenen), verwerfen wir offensichtlich personenbezogene Angaben vor jeder Speicherung — Adressen bei Freemail-Anbietern und deutsche Mobilfunknummern werden gelöscht, und ohne eindeutigen Unternehmensbezug wird nichts gespeichert — und jeder Vorschlag wird vor der Freigabe von Hand geprüft.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an einem vollständigen und richtigen Anbieterverzeichnis für alle Nutzer (dokumentierte Interessenabwägung liegt vor). Standardmäßig aktiviert — dies ist keine einwilligungsbasierte Verarbeitung; Sie können jederzeit widersprechen (Art. 21) unter Einstellungen → Datenschutz → „Anbieterverzeichnis verbessern“. Nach einem Widerspruch sendet die App zu diesem Zweck nichts mehr, und unsere Server weisen solche Meldungen einer widersprechenden Installation ab.
Rückmeldung zu einem Verzeichniseintrag: Wenn Sie den Kündigungsassistenten nutzen, können Sie uns mitteilen, ob der Weg funktioniert hat oder ob die Daten falsch waren. Wir speichern nur einen Zähler je Eintrag und für 30 Tage einen Einweg-Hash aus Ihrer Geräte-UUID und dem Eintrag, damit jede Installation einmal zählt.
Speicherdauer: Abgelehnte Vorschläge werden nach 12 Monaten gelöscht; Vorschläge, die nicht innerhalb von 24 Monaten nach der letzten Meldung bestätigt wurden, werden gelöscht; die Hashes für Rückmeldungen und Sichtungen nach 30 Tagen. Empfänger: ausschließlich unsere Server bei Hostinger in Frankfurt am Main (Abschnitt 6.1); keine Drittlandübermittlung.

18. Service-Push-Benachrichtigungen und Erinnerungen

Erinnerungen bleiben lokal. Alle Erinnerungen (Zählerstand-Erfassung, Vertragslaufzeit-Ende, Kündigungsfristen) sind lokale Benachrichtigungen, die die App auf Ihrem Gerät plant. Kein Erinnerungsinhalt verlässt Ihr Gerät.

Service-Push-Benachrichtigungen (ab der ersten nach dem 7. September 2026 freigegebenen App-Version / Version 2.14 dieser Erklärung). Zusätzlich können wir Service-Benachrichtigungen an installierte Apps senden — zum Beispiel den Hinweis, dass ein App-Update erforderlich ist, einen Sicherheitshinweis, ein geplantes Wartungsfenster, oder eine Mitteilung, zu der wir gesetzlich verpflichtet sind. Service-Benachrichtigungen enthalten niemals Werbung: Auf diesem Servicekanal ist die Nachrichtenklasse „Werbung" serverseitig abgeschaltet, und jede als Werbung deklarierte Nachricht wird zurückgewiesen. Werbe-Push-Benachrichtigungen werden nicht gesendet.

Was verarbeitet wird. Wenn Sie die Betriebssystem-Benachrichtigungsberechtigung für iMeter Reader erteilt haben, bezieht die App ein Registrierungstoken von Firebase Cloud Messaging (Google, § 6.12) und sendet es zusammen mit Ihrer Plattform, Ihrer App-Sprache und Ihrer App-Version an unsere Server, verknüpft mit der pro Installation vergebenen Geräte-UUID (§ 4.4). Das Token ist eine zufällige, für diese Installation ausgestellte Kennung; es ist nicht mit Ihrem Namen oder Ihrer E-Mail-Adresse verknüpft und wird nicht für Analysen verwendet. Firebase Analytics ist in der App-Konfiguration abgeschaltet. Die Firebase-Softwarekomponente selbst wird beim Start der App initialisiert und erzeugt unabhängig von der Berechtigung eine Installationskennung bei Google (§ 6.12); das Registrierungstoken hingegen wird nur mit der Berechtigung bezogen und an uns gesendet. Die App sendet oder erneuert diese Registrierung höchstens etwa einmal im Monat sowie immer dann, wenn sich das Token, Ihre App-Sprache oder Ihre App-Version ändert; unser Server aktualisiert dann nur die gespeicherte Registrierung. Das Senden oder Erneuern hält nicht fest, dass die Installation gesehen wurde oder aktiv war — diese Information stammt ausschließlich aus den anonymen Nutzungsstatistiken (Abschnitt 20) und wird daher nicht erhoben, wenn Sie diesen widersprochen haben.
Wie wir Empfänger auswählen. Für eine Benachrichtigung können wir Installationen nach Plattform, App-Version, Länder- und Spracheinstellung auswählen (damit Sie die Nachricht in Ihrer App-Sprache erhalten, mit Englisch als Rückfalloption), danach, ob die Installation innerhalb eines von uns gewählten Zeitraums (höchstens die letzten 180 Tage, wie von den anonymen Nutzungsstatistiken gemeldet, Abschnitt 20) gesehen wurde, oder — bei einer Servicenachricht, die Ihr Konto betrifft — nach Konto. Es wird kein Verhaltensprofil erstellt.
Zustellung. Die Benachrichtigung wird an Google (Firebase Cloud Messaging) übergeben, das sie unter iOS über den Apple Push Notification Service (Apple Inc., USA) und unter Android über die Google Play Services zustellt. Google — und unter iOS auch Apple — sieht daher das Token und den Inhalt jeder Benachrichtigung; zu den Empfängern und Übermittlungsgarantien siehe § 6.12 und Abschnitt 7.
Rechtsgrundlage. Unser berechtigtes Interesse an Betrieb und Absicherung des Dienstes sowie daran, installierte Apps mit Service-Informationen zu erreichen (Art. 6 Abs. 1 lit. f DSGVO; Interessenabwägung liegt vor); Art. 6 Abs. 1 lit. c DSGVO für Mitteilungen, zu denen wir gesetzlich verpflichtet sind. Service-Push-Benachrichtigungen sind nicht einwilligungsbasiert, und es gibt kein In-App-Opt-in: Die Steuerung erfolgt über die Betriebssystem-Benachrichtigungsberechtigung (§ 25 Abs. 1 TDDDG).
Ihr Widerspruch (Art. 21 DSGVO). Schalten Sie Benachrichtigungen für iMeter Reader in den Geräteeinstellungen ab. Die App löscht ihre Registrierung dann beim nächsten Start von unseren Servern, und keine weitere Benachrichtigung kann das Gerät erreichen. Sie können auch per E-Mail an support@imeterreader.app widersprechen. Das Löschen Ihres Kontos oder das Deinstallieren der App entfernt die Registrierung ebenfalls.
Speicherdauer. Die Registrierung wird aufbewahrt, solange Benachrichtigungen aktiviert sind; sie wird automatisch gelöscht, sobald die Installation 270 Tage lang nicht als aktiv gemeldet wurde — durch die anonymen Nutzungsstatistiken (Abschnitt 20; siehe auch § 8.2). Haben Sie den Nutzungsstatistiken widersprochen, kann dies auch geschehen, während Sie die App weiterhin nutzen. Zu jeder Benachrichtigung führen wir ein Betreiberprotokoll mit handelndem Admin, Zeitpunkt, Auswahlkriterien, Inhalt und Zustellzahlen für 12 Monate — ohne Gerätekennungen oder Tokens.
Was wir nicht tun. Für Erinnerungen wird kein Push-Token übermittelt; kein Werbe-Push; kein nutzerbezogenes Tracking von Öffnungen oder Antippen.

Auf Android benötigen wir die Systemberechtigungen POST_NOTIFICATIONS (für Erinnerungen und Service-Benachrichtigungen), SCHEDULE_EXACT_ALARM und RECEIVE_BOOT_COMPLETED (Letztere, damit Erinnerungen einen Neustart Ihres Geräts überleben).

18a. Energieangebote für Ihre Region

Energieangebote für Ihre Region: Dieser Dienst ist in der App noch nicht verfügbar (demnächst). Wenn er startet, beschreibt diese Datenschutzerklärung ihn, bevor Sie ihn einschalten können.

18c. Verifizierung Ihrer deutschen Mobilnummer

Die KI-Funktionen — Zählerfoto-Ablesung, Vertragsanalyse und KI-Chat (Abschnitt 16) — sind für Kundinnen und Kunden in Deutschland bestimmt und können missbraucht werden: Jede KI-Anfrage verursacht uns Kosten. Ab dem Tag, an dem wir die Verifizierung einführen, stehen diese Funktionen deshalb nur auf einer Installation zur Verfügung, die eine deutsche Mobilnummer (+49) verifiziert hat. Die Verifizierung gehört zur Installation der App auf Ihrem Gerät, nicht zu Ihrem Konto: Sie brauchen kein Konto, und nach einer Neuinstallation verifizieren Sie erneut. Wenn Sie keine deutsche Mobilnummer haben, stehen Ihnen diese Funktionen nicht zur Verfügung; alle übrigen Funktionen der App bleiben verfügbar.

So funktioniert es.

Sie geben Ihre deutsche Mobilnummer in der App ein. Unser Server prüft, ob es eine deutsche Mobilnummer ist (+49 15, 16 oder 17), und sendet sie an die Anschlussart-Prüfung von Twilio in den USA (§ 6.9, Abschnitt 7), um zu erfahren, ob es sich um eine Mobilfunknummer handelt — auch wenn Sie die SMS danach nie senden; Festnetz-, VoIP- und andere Nummern werden abgelehnt (§ 6.9). Das Ergebnis wird 30 Tage lang unter einem geschlüsselten Hash der Nummer gespeichert, damit dieselbe Nummer in dieser Zeit nicht erneut geprüft wird.
Unser Server erzeugt einen 6-stelligen Code, der 10 Minuten gültig ist, und die App bereitet eine SMS an unsere deutsche Mobilnummer mit dem Text „IMR" und dem Code vor. Sie senden sie selbst von Ihrem Telefon — von der SIM-Karte der Nummer, die Sie eingegeben haben. Es ist eine gewöhnliche SMS; was sie Sie kostet, richtet sich nach Ihrem Mobilfunktarif. Wir senden Ihnen nie eine SMS.
Twilio empfängt Ihre SMS und leitet sie an unseren Server weiter. Stimmen Absendernummer und Code überein, ist Ihre Installation verifiziert, und die App zeigt die Nummer teilweise verborgen an (zum Beispiel +49 151 •••• 89). Eine neue Code-Anforderung ersetzt den bisherigen Code.

Was wir speichern (auf unseren Servern in Frankfurt; § 4.12): einen geschlüsselten Einweg-Hash Ihrer Nummer — nicht die Nummer selbst — und ihre teilweise verborgene Form, den Status, die Quelle und die Zeitpunkte; solange ein Code offen ist, einen geschlüsselten Hash des Codes; das Ergebnis der Anschlussart-Prüfung unter dem Hash der Nummer; und einen geschlüsselten Hash der Nachrichten-ID Ihrer SMS, damit dieselbe SMS nicht zweimal verarbeitet wird. Diese Hashes sind Pseudonyme, keine anonymen Daten: Mit unserem geheimen Schlüssel lässt sich der Hash aus einer Nummer neu berechnen; den Schlüssel halten wir deshalb geheim. Damit das Entfernen und erneute Verifizieren einer Nummer die Nutzungsgrenzen der KI-Funktionen (Abschnitt 16) nicht zurücksetzt, zählen wir die KI-Nutzung außerdem je verifizierter Nummer, unter einer pseudonymen Kennung, die aus dem geschlüsselten Hash der Nummer abgeleitet ist; diese Zählungen werden nur für ihr Zählfenster aufbewahrt (höchstens 31 Tage). Den Text Ihrer SMS und Ihre Nummer in lesbarer Form speichern wir nicht, und unsere Server-Protokolle enthalten weder Ihre Nummer noch den Code noch den Text. Um Missbrauch zu verhindern, zählt unser Server außerdem Code-Anforderungen je Installation und je gekürzter Netzwerkadresse sowie eingehende SMS je Absender (anhand des geschlüsselten Hashs) — nur im Arbeitsspeicher und höchstens für einen Tag.

Eine Nummer, eine Installation. Eine Nummer kann jeweils nur auf einer Installation verifiziert sein. Wird dieselbe Nummer auf einer anderen Installation verifiziert, geht die Verifizierung dorthin über: Die bisherige Installation verliert ihren verifizierten Status, und Hash und teilweise verborgene Nummer werden dort gelöscht; es bleiben nur der Status „übergegangen" und sein Zeitpunkt. Hat jemand eine Nummer verifiziert, die nicht ihm gehört, kann die Inhaberin oder der Inhaber der Nummer sie auf diesem Weg jederzeit übernehmen.

Was die Verifizierung freischaltet. Auf einer verifizierten Installation können Sie die KI-Funktionen nutzen, in die Sie eingewilligt haben (Abschnitt 16). Ohne Verifizierung und nach Ablauf der Übergangsfrist sind diese Funktionen gesperrt. Das Ausschalten einer Funktion, der Widerruf einer Einwilligung und das Löschen von Daten sind nie gesperrt.

Übergangsfrist für bisherige Nutzer. Eine Installation, die vor dem Einführungstag in eine KI-Funktion eingewilligt hatte oder mit einem Konto verknüpft war, das eine Cloud-KI-Funktion genutzt hatte, kann die KI-Funktionen ab dem Einführungstag noch 30 Tage ohne Verifizierung nutzen; die App zeigt an, wann die Übergangsfrist endet. Für die Entscheidung über die Übergangsfrist verwendet unser Server Aufzeichnungen, die wir bereits zu anderen Zwecken gespeichert haben und die vor dem Einführungstag datiert sind: die Aufzeichnungen Ihrer KI-Einwilligungen und die Zählung der KI-Nutzung eines verknüpften Kontos. Wir verwenden sie nur für diese Prüfung, nur zu Ihren Gunsten und ohne Weitergabe; diese Weiterverarbeitung ist mit ihren ursprünglichen Zwecken vereinbar (Art. 6 Abs. 4 DSGVO). Für die Installation speichern wir nur das Ende der Übergangsfrist. Die Übergangsfrist endet vorzeitig, wenn Sie eine Nummer verifizieren.

Verifizierung entfernen. Sie können die Verifizierung jederzeit in der App von Ihrer Installation entfernen („Von diesem Gerät entfernen"). Dadurch werden die Verifizierung, ein offener Code und der Übergangsfrist-Datensatz der Installation sofort gelöscht; danach sind die oben genannten Funktionen wieder gesperrt, bis Sie eine Nummer verifizieren.

App-Store-Prüfung. Die Prüferinnen und Prüfer der App-Stores können keine SMS von einer deutschen Mobilnummer senden. Mitarbeitende von Codexo können deshalb eine einzelne Installation ohne Nummer für 14 Tage als verifiziert markieren; danach läuft die Markierung ab und wird innerhalb von etwa einer Stunde gelöscht. Die Markierung und ihre Aufhebung werden in unserem Admin-Zugriffsprotokoll festgehalten (Abschnitt 5).

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO — Sie verlangen die Verifizierung, um Funktionen nutzen zu können, die wir nur Installationen mit verifizierter deutscher Mobilnummer bereitstellen. Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an der Verhinderung von Missbrauch und Betrug (massenhaft angelegte Installationen, die die KI-Funktionen aufbrauchen) sowie daran, diese Funktionen nur auf dem deutschen Markt anzubieten, für den sie bestimmt sind; dies umfasst die Prüfung der Anschlussart, die Regel „eine Nummer, eine Installation", die Zählungen im Arbeitsspeicher, den Datensatz verarbeiteter Nachrichten und die Zählung der KI-Nutzung je verifizierter Nummer. Über die Übergangsfrist wird anhand von Aufzeichnungen entschieden, die wir bereits gespeichert hatten, und nur zu Ihren Gunsten (Art. 6 Abs. 4 DSGVO). Markierung einer Installation für die App-Store-Prüfung: Art. 6 Abs. 1 lit. f DSGVO. Der Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f können Sie widersprechen (Art. 21 DSGVO, Abschnitt 9); das Entfernen der Verifizierung hat diese Wirkung.

Speicherdauer (siehe auch § 8.2): Verifizierung — gelöscht, wenn Sie sie entfernen, wenn Sie Ihr Konto löschen (Installationen, auf denen nur Ihr Konto angemeldet ist), und spätestens, wenn die Installation 18 Monate lang nicht mehr aktiv war oder ihr Gerätedatensatz nicht mehr besteht; geht die Nummer auf eine andere Installation über, werden Hash und teilweise verborgene Nummer sofort gelöscht; offener Code — 10 Minuten gültig, gelöscht 24 Stunden nach Ablauf; Ergebnis der Anschlussart-Prüfung — 30 Tage; Datensatz verarbeiteter Nachrichten — 7 Tage; Zähler der KI-Nutzung je verifizierter Nummer — nur für ihr Zählfenster, höchstens 31 Tage; Übergangsfrist-Datensatz — 30 Tage nach Ende der Übergangsfrist; Nachrichtenprotokoll unserer Nummer bei Twilio — 7 Tage, mit unkenntlich gemachtem Text und unkenntlich gemachter Absendernummer.

Empfänger. Die Daten werden auf unseren Servern bei Hostinger in Frankfurt am Main gespeichert (§ 6.1). Twilio erhält Ihre Nummer für die Prüfung der Anschlussart und die SMS, die Sie senden (§ 6.9); Übermittlung in die USA: Abschnitt 7.

Auskunft. Die App zeigt an, ob Ihre Installation verifiziert ist, mit teilweise verborgener Nummer, und wann eine Übergangsfrist endet. Eine Kopie Ihrer Daten (Abschnitt 9) enthält die Verifizierungsdaten der Installationen, auf denen nur Ihr Konto angemeldet ist; bei einer Installation, die mit weiteren Konten geteilt wird, gibt sie nur an, ob die Installation verifiziert ist. Wenn Sie die Installation nicht mehr haben — zum Beispiel nach dem Deinstallieren der App —, schreiben Sie mit Ihrer Telefonnummer an support@imeterreader.app: Wir berechnen deren geschlüsselten Hash, finden die Verifizierung dieser Nummer und geben Ihnen Auskunft darüber oder löschen sie zusammen mit den Zählern der KI-Nutzung dieser Nummer (Art. 15, 17 DSGVO), nachdem wir geprüft haben, dass die Anfrage von der Inhaberin oder dem Inhaber der Nummer kommt; die Suche wird protokolliert, ohne die Nummer festzuhalten.

19. Absturz- und Diagnosedaten (Sentry)

Wir setzen Sentry (siehe 6.5) ein, um Fehler schnell zu finden und zu beheben. Fehlerberichte stammen aus vier Quellen — der mobilen App, unseren Servern, unserer Website und unseren Mitarbeiter-Web-Apps — und gehen alle in ein einziges Sentry-Projekt des Verantwortlichen (EU-Ingest in Frankfurt am Main, *.ingest.de.sentry.io). Für alle vier Quellen gilt: E-Mail-Adressen, Telefonnummern, Tokens, IP-Adressen und IBANs werden vor dem Senden eines Berichts durch „[redacted]“ ersetzt; unser Sentry-Projekt ist so eingestellt, dass keine IP-Adressen gespeichert werden („Prevent storing of IP addresses“); einem Bericht wird keine Benutzer- oder Kontokennung beigefügt; es werden keine E-Mail-Adresse, kein Name oder Benutzername und keine Werbe- oder Tracking-Kennung gesendet; es gibt keine Performance-Messung; Sentry bewahrt die Berichte 90 Tage auf und löscht sie anschließend. Zu einer Ausnahme unter iOS siehe Abschnitt 19.1.

19.1 Mobile App

Die Absturzdiagnose ist standardmäßig aktiviert. Solange sie aktiviert ist, sendet die App an Sentry:

Absturzberichte, Berichte über von der App abgefangene Fehler und die eigenen Protokollzeilen der App auf Fehlerebene,
Breadcrumbs aus den Minuten vor dem Fehler: die Protokollzeilen der App ab der Informationsebene; die Anfragen an unsere Server (Methode, Serveradresse und Pfad, Status — ohne Query-String); Bildschirm- und Navigationsschritte (feste Bildschirmnamen und -titel, Routennamen, Tastendrücke — niemals von Ihnen eingegebener Text); Ereignisse des App-Lebenszyklus und des Systems (zum Beispiel Netzverbindung oder Akku),
höchstens ein Bericht je App-Start über Probleme des vorherigen Starts (dessen Fehlerprotokoll),
Geräteinformationen: Hersteller, Modell, Betriebssystem und Version, ob das Gerät gerootet oder per Jailbreak entsperrt ist, Sprache/Gebietsschema, Zeitzone, Bildschirm, Angaben zu Arbeitsspeicher und Speicherplatz, Akkuzustand,
App-Version und Build-Nummer.

Vor dem Senden ersetzt die App E-Mail-Adressen, Telefonnummern, Tokens, IP-Adressen, IBANs, Konto- und Gerätekennungen sowie Query-Strings von URLs. Sie meldet fehlgeschlagene Anfragen nicht gesondert, sendet keine Performance-Daten, und App-Sitzungen („Release Health“) sind abgeschaltet.

Nicht an Sentry übermittelt werden:

Ihre IP-Adresse (die App sendet keine, und Sentry ist so eingestellt, dass sie nicht gespeichert wird),
eine Benutzer- oder Kontokennung oder eine Installations- oder Gerätekennung (Ausnahme unter iOS siehe unten),
der Name Ihres Geräts,
Ihre E-Mail-Adresse, Name oder Benutzername,
Inhalte von Zählerständen, Verträgen, Chat-Nachrichten oder Notizen.

Unter iOS kann die App Abstürze, die Sentrys eigene iOS-Komponente erfasst (Abstürze des App-Prozesses selbst, gesendet beim nächsten Start), vor dem Senden nicht vollständig bearbeiten: Sie können Sentrys Installationskennung für die App, einen gerätespezifischen App-Hash und den ungeschwärzten Fehlertext des Systems enthalten. Unser Sentry-Projekt ist so eingestellt, dass die Installationskennung und der gerätespezifische App-Hash beim Empfang entfernt werden; der Fehlertext des Systems bleibt beim Bericht (90 Tage). Fehlermeldungen können interne, zufällig erzeugte Datensatzkennungen enthalten (zum Beispiel eines Zählers). Sie nennen Sie nicht; es handelt sich um pseudonyme Daten.

Widerspruch: Schalten Sie Einstellungen → Datenschutz → „Absturz- & Diagnoseberichte" ab. Der Widerspruch wirkt auf dem Gerät ab dem nächsten Start der App — die Absturzdiagnose wird einmal beim Start der App eingeschaltet, daher kann die beim Abschalten laufende App-Sitzung noch Absturz- und Fehlerberichte senden — und wird zusätzlich sofort serverseitig über die gerätebezogene Aufzeichnung der Datenschutz-Einstellungen (Abschnitt 21) festgehalten, damit er auch ohne Konto respektiert wird. Schalten Sie „Absturz- & Diagnoseberichte" in der App ab, senden auch unsere Server keine Fehlerberichte mehr zu Anfragen dieser Installation und — wenn Sie angemeldet sind — zu Anfragen Ihres Kontos von jedem Gerät, spätestens fünf Minuten nachdem die App Ihre Entscheidung an unsere Server übermittelt hat.

19.2 Unsere Server

Unsere Server melden nur echte Serverfehler (Fehler und nicht abgefangene Ausnahmen — keine Warnungen und keine Fehler, die in einer fehlerhaften Anfrage an uns liegen). Ein Bericht enthält:

den Stack-Trace (Klasse, Methode, Zeile), die Fehlermeldung und die vor dem Fehler geschriebenen Protokollzeilen — E-Mail-Adressen, Telefonnummern, Tokens, IP-Adressen und IBANs werden vor dem Senden automatisch durch „[redacted]“ ersetzt,
die HTTP-Methode und den Anfragepfad (ohne Query-String, ohne Header, ohne Cookies, ohne Anfrageinhalt),
den Thread-Namen, die Java-Laufzeitversion und das Serverprofil.

Berichte unserer Server enthalten keine Benutzer-, Konto-, Installations- oder Gerätekennung: Erscheint eine solche Kennung in einer Fehlermeldung oder einem Anfragepfad, wird sie vor dem Senden ersetzt; andere interne, zufällig erzeugte Datensatzkennungen (zum Beispiel eines Zählers oder eines Vertrags) können erhalten bleiben — pseudonyme Daten. Ihre IP-Adresse wird nicht gesendet. Die automatische Schwärzung kann Freitext wie einen Namen nicht erkennen; wir schreiben deshalb keine personenbezogenen Daten in Fehlermeldungen.

19.3 Unsere Website

Tritt auf unserer Website (imeterreader.app) in Ihrem Browser ein JavaScript-Fehler auf, sendet die Website: die Fehlermeldung (geschwärzt wie in Abschnitt 19.2), den Stack-Trace (URLs der Skriptdateien, Zeile und Spalte), den Pfad der Seite, der aus der Seite selbst entnommen wird, einschließlich der Sprache (ohne Query-String, ohne Fragment), Ihre Navigation und die eigenen Anfragepfade der Website vor dem Fehler sowie die Angular-Version. Das Skript liest weder den User-Agent noch den Referrer Ihres Browsers aus. Ihr Browser übermittelt seinen User-Agent bei jeder Anfrage, auch bei der an Sentry; Sentry wird nicht mit seiner Auswertung beauftragt. Es werden keine Cookies gesetzt und nichts auf Ihrem Gerät gespeichert; es wird keine Benutzerkennung gesendet und keine IP-Adresse gespeichert; es gibt keine Performance-Messung und keine Sitzungsaufzeichnung (Session Replay). Sendet Ihr Browser Global Privacy Control oder Do Not Track, wird überhaupt kein Fehlerbericht gesendet.

Widerspruch: Schalten Sie in Ihrem Browser Global Privacy Control oder Do Not Track ein, oder schreiben Sie an support@imeterreader.app.

19.4 Unsere Mitarbeiter-Web-Apps

Unsere Verwaltungsoberfläche (admin.imeterreader.app) und unsere Mitarbeiter-App für Angebote (deals.imeterreader.app) werden nur von unseren eigenen Mitarbeitern genutzt. Sie melden dieselben Browserdaten wie die Website (Abschnitt 19.3). Ihre Seiten- und Anfragepfade können interne, zufällig erzeugte Kennungen von Datensätzen und Konten von App-Nutzern enthalten — pseudonyme Daten. Eine fehlgeschlagene Anfrage wird nur mit Methode, Pfad, Statuscode und der geschwärzten Fehlermeldung gemeldet — niemals mit Antwortinhalten oder Formularinhalten. Betroffen sind unsere Mitarbeiter und die App-Nutzer, deren Kennungen in einem Pfad vorkommen. Widerspruch: per E-Mail an support@imeterreader.app; wir bearbeiten ihn im Einzelfall und löschen passende Berichte.

19.5 Verknüpfung eines App-Fehlers mit einem Serverfehler

Mit ihren Anfragen an unsere Server sendet die App eine zufällige Kennung, die bei jedem App-Start neu erzeugt und nicht gespeichert wird; sie wird nur an unsere Server gesendet und kann einen Fehler in der App mit dem dadurch ausgelösten Serverfehler verknüpfen. Sie identifiziert weder eine Person noch ein Gerät.

19.6 Rechtsgrundlage und Widerspruch

Unser berechtigtes Interesse an stabiler, sicherer Software und daran, Fehler schnell zu finden und zu beheben (Art. 6 Abs. 1 lit. f DSGVO; eine dokumentierte Interessenabwägung liegt beim Verantwortlichen vor). Die Verarbeitung ist nicht einwilligungsbasiert. Sie haben das Recht, jederzeit zu widersprechen (Art. 21 DSGVO): in der App wie in Abschnitt 19.1 beschrieben — das umfasst auch die Fehlerberichte, die unsere Server zu Ihren Anfragen senden; auf der Website wie in Abschnitt 19.3 beschrieben; für die Mitarbeiter-Web-Apps und für Serveraufgaben, die keiner bestimmten Anfrage dienen, per E-Mail an support@imeterreader.app — wir bearbeiten solche Widersprüche im Einzelfall und löschen passende Berichte.

20. Anonyme Nutzungsstatistiken (Geräte-Telemetrie)

Zur Verbesserung der App-Qualität, zur Erkennung von Stabilitätsproblemen und zur Produktentwicklung erheben wir aggregierte Nutzungsstatistiken auf Geräteebene (siehe 4.4). Konkret übermitteln wir täglich:

Anzahl der erfassten Zähler (kumulativ),
Anzahl der erfassten Verträge (kumulativ),
Anzahl der erfassten Zählerstände (kumulativ),
Anzahl der App-Starts seit dem letzten Snapshot,
aktive Session-Minuten seit dem letzten Snapshot,
App-Version.

Diese Daten sind nicht mit Ihrem Konto verknüpft, sondern nur mit einer pro Installation vergebenen anonymen Geräte-UUID. Wenn Sie sich später mit einem Benutzerkonto anmelden, wird die Geräte-UUID mit Ihrem Konto verknüpft — Sie können diese Verknüpfung jederzeit lösen (Einstellungen → Konto → „Meine Geräte" → Verbindung trennen).

Rechtsgrundlage: unser berechtigtes Interesse an Qualitätssicherung, Stabilitätsanalyse und Produktentwicklung (Art. 6 Abs. 1 lit. f DSGVO; eine dokumentierte Interessenabwägung liegt beim Verantwortlichen vor). Die Nutzungsstatistiken sind nicht einwilligungsbasiert. Sie haben das Recht, jederzeit mit Wirkung für die Zukunft zu widersprechen (Art. 21 DSGVO); der Widerspruch ist so einfach wie das Umlegen des Schalters (Einstellungen → Datenschutz → „Anonyme Nutzungsstatistiken") und wird zusätzlich serverseitig über die gerätebezogene Aufzeichnung der Datenschutz-Einstellungen (Abschnitt 21) festgehalten. Die Rechtmäßigkeit der bis zum Widerspruch erfolgten Verarbeitung bleibt unberührt.

Standardeinstellung: Die Nutzungsstatistiken sind im Auslieferungszustand aktiviert. Sie können sie beim Erst-Start oder jederzeit später in den Einstellungen abschalten.

Hinweis: Dieser Schalter deckt die einmalige Installations-Zählung nach Abschnitt 5 / § 4.10 nicht ab; sie läuft unabhängig von dieser Einstellung (Sie können gem. Art. 21 DSGVO Widerspruch einlegen).

21. Gerätebezogene Aufzeichnung Ihrer Datenschutz-Einstellungen (vor Anmeldung)

Damit Ihre Datenschutz-Entscheidungen auch auf unseren Servern bekannt sind — und nicht nur auf Ihrem Gerät —, übermittelt die App den aktuellen Status Ihrer Datenschutz-Einstellungen pro Option an unser Backend, und zwar bereits vor und ohne jede Konto-Anmeldung, über den nicht authentifizierten Gerätekanal, der durch die dauerhafte, pro Installation vergebene Geräte-UUID identifiziert wird (§ 4.4, HTTP-Header X-Device-Id).

Was übermittelt und gespeichert wird (serverseitig, verknüpft mit der Geräte-UUID): für jede Option — KI-Zählerablesung (OCR), KI-Vertragsanalyse, KI-Chat, Absturzdiagnose (Sentry), anonyme Nutzungsstatistiken und Beitrag zum Anbieterverzeichnis (Abschnitt 16.6) — die Options-Kennung und ihr aktueller Status, die Version dieser Datenschutzerklärung, die auf dem Gerät bei der Entscheidung angezeigt wurde, der Zeitstempel der letzten Änderung sowie die Plattform (§ 4.11). Kein Name, keine E-Mail-Adresse, keine IP-Adresse und kein Konto-Identifikator sind Teil dieses Datensatzes.

Zweck: Die Datenschutz-Entscheidungen des Geräts werden aufgezeichnet, damit der aktuelle Entscheidungsstand des Geräts auf unseren Servern bekannt und nachweisbar ist (Art. 5 Abs. 2, Art. 24 DSGVO). Durchgesetzt werden Ihre Entscheidungen von der App selbst: Sie sendet Ihre Daten für eine einwilligungsbasierte Funktion (zum Beispiel ein Zählerfoto für die Cloud-KI-Verarbeitung) nur, wenn Sie diese Einwilligung erteilt haben, und beendet Absturzdiagnose und Nutzungsstatistiken, sobald Sie widersprechen. Unsere Server selbst nehmen eine Anfrage nicht auf Grundlage dieses Datensatzes an und lehnen sie auch nicht auf dieser Grundlage ab.

Rechtsgrundlagen:

Speicherung und Auswertung des gerätebezogenen Datensatzes selbst: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse daran, Ihre Datenschutz-Entscheidungen serverseitig zu kennen und zu dokumentieren.
Die aufgezeichneten Entscheidungen zu KI-Zählerablesung, KI-Vertragsanalyse und KI-Chat sind Ihre Einwilligungen (Art. 6 Abs. 1 lit. a, Art. 7 DSGVO), gespeichert als erteilt oder widerrufen; diese Funktionen bleiben deaktiviert, bis Sie einwilligen (Abschnitt 16).
Für Absturzdiagnose (Sentry), anonyme Nutzungsstatistiken und den Beitrag zum Anbieterverzeichnis (Abschnitt 16.6), die standardmäßig auf Grundlage berechtigten Interesses laufen (Art. 6 Abs. 1 lit. f; Abschnitte 19, 20), speichert der Datensatz Ihren Widerspruchsstatus (widersprochen / nicht widersprochen) nach Art. 21 DSGVO. Er wird bewusst niemals als „Einwilligung" gespeichert, denn eine standardmäßig aktivierte Einstellung ist keine Einwilligung (Art. 4 Nr. 11, Art. 7 DSGVO).

Integritätshinweis: Da dieser Kanal ohne Anmeldung funktioniert, ist der gerätebezogene Datensatz eine vom Gerät gemeldete, operative Zustandsinformation. Er wird nicht als Einwilligungsnachweis im Sinne von Art. 7 Abs. 1 DSGVO verwendet. Dieser Nachweis liegt im kontogebundenen Einwilligungs-Protokoll (§ 4.8), das nur für authentifizierte Nutzer geschrieben wird,. Der Betreiber kann den gerätebezogenen Status im Verwaltungs-Backoffice nur lesend einsehen; er ist dort entsprechend gekennzeichnet.

Speicherdauer und Löschung: Wird das Gerät nie mit einem Benutzerkonto verknüpft, wird der Datensatz spätestens 18 Monate nach dem ersten Kontakt des Geräts gelöscht — unabhängig davon, welche Status gespeichert sind. Wenn Sie Ihr Konto löschen (Art. 17 DSGVO), werden auch die Datenschutz-Einstellungs-Datensätze des Geräts gelöscht; das Gerät fällt auf den Install-Only-Status zurück (§ 4.10). Sie können die Löschung außerdem jederzeit über support@imeterreader.app verlangen.

Empfänger: Der Datensatz wird ausschließlich auf unseren Servern bei Hostinger in Frankfurt am Main, Deutschland gespeichert (§ 6.1). Ein Drittlandtransfer findet nicht statt.

22. Kinder und Jugendliche unter 16 Jahren

Die App iMeter Reader richtet sich an volljährige Energiekunden. Sie ist nicht für Kinder und Jugendliche unter 16 Jahren bestimmt. Wir verarbeiten wissentlich keine Daten von Personen unter 16 Jahren. Sollten wir Kenntnis davon erhalten, dass uns Daten einer Person unter 16 Jahren ohne wirksame elterliche Einwilligung übermittelt wurden, löschen wir diese unverzüglich.

23. Änderungen dieser Datenschutzerklärung

Wir aktualisieren diese Datenschutzerklärung, wenn sich an unseren Verarbeitungen oder den gesetzlichen Anforderungen etwas ändert. Wesentliche Änderungen kündigen wir mindestens 30 Tage vor Wirksamwerden an — in der App über einen In-App-Hinweis und (falls Sie ein Konto haben) per E-Mail an die hinterlegte Adresse. Änderungen, die ausschließlich neue, freiwillige Funktionen hinzufügen, die Sie selbst einschalten müssen, oder die bestehende Angaben berichtigen oder klarstellen, ohne Ihre Rechte einzuschränken, werden mit der Veröffentlichung wirksam. Den jeweils aktuellen Stand finden Sie unter:

https://imeterreader.app/de/privacy

Version 2.19 vom 20. Oktober 2026 — Fehlerberichte (Sentry) jetzt auch von unseren Servern, unserer Website und unseren Mitarbeiter-Web-Apps; vollständige Beschreibung der Fehlerberichte der App (Abschnitte 4.6, 5, 6.5, 8.1, 8.2, 9, 19, „Beim Besuch unserer Website“, Anhang A):

Neue Quellen (Abschnitte 19.2–19.4). Neben der mobilen App senden jetzt auch unsere Server, unsere Website (imeterreader.app) und unsere beiden internen Mitarbeiter-Web-Apps (admin.imeterreader.app, deals.imeterreader.app) Fehlerberichte an dasselbe Sentry-Projekt (EU-Ingest in Frankfurt, 90 Tage, keine Speicherung von IP-Adressen). E-Mail-Adressen, Telefonnummern, Tokens, IP-Adressen und IBANs werden vor dem Senden durch „[redacted]“ ersetzt. Berichte unserer Server tragen keine Benutzer-, Konto-, Installations- oder Gerätekennung; Pfade der Mitarbeiter-Web-Apps können die interne Kennung eines Kontos enthalten — pseudonyme Daten.
Website (Abschnitt 19.3, „Beim Besuch unserer Website“). JavaScript-Fehler in Ihrem Browser werden ohne Cookies und ohne Speicherung auf Ihrem Gerät gemeldet; das Skript liest weder Ihren User-Agent noch den Referrer aus; keine Performance-Messung, keine Sitzungsaufzeichnung. Sendet Ihr Browser Global Privacy Control oder Do Not Track, wird nichts gesendet. Sie können über diese Signale oder per E-Mail widersprechen (Abschnitt 9).
Mobile App (Abschnitte 4.6, 19.1). Wir beschreiben jetzt vollständig, was die App sendet: Absturzberichte, Berichte über abgefangene Fehler und Protokollzeilen auf Fehlerebene; Breadcrumbs (Protokollzeilen, Anfragen an unsere Server ohne Query-String, Bildschirmnamen und Tastendrücke, Systemereignisse); höchstens ein Bericht über Probleme des vorherigen Starts; die in Abschnitt 19.1 genannten Geräteinformationen. Die App ersetzt vor dem Senden E-Mail-Adressen, Telefonnummern, Tokens, IP-Adressen, IBANs, Konto- und Gerätekennungen sowie Query-Strings; sie sendet keine Installationskennung (außer in Abstürzen, die Sentrys eigene iOS-Komponente erfasst, Abschnitt 19.1) und keine Performance-Daten, und App-Sitzungen („Release Health“) sind abgeschaltet. Eine bei jedem App-Start neu erzeugte zufällige Kennung kann einen App-Fehler mit dem dadurch ausgelösten Serverfehler verknüpfen (Abschnitt 19.5).
Widerspruch (Abschnitte 5, 9, 19). Das Abschalten von „Absturz- & Diagnoseberichte“ in der App beendet auch die Fehlerberichte, die unsere Server zu den Anfragen dieser Installation und — wenn Sie angemeldet sind — Ihres Kontos senden.
Unverändert: Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO, keine Einwilligung (Abschnitt 5); derselbe Auftragsverarbeiter, derselbe Datenort, dieselben Übermittlungsgarantien und derselbe AVV (Abschnitt 6.5, Anhang A). Eine erneute Einwilligung ist nicht erforderlich — keine dieser Änderungen betrifft eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO.

In-Place-Änderung vom 20. Oktober 2026 (Abschnitte 9, 19) — Korrektur, keine Änderung der Verarbeitung: Das Abschalten von „Absturz- & Diagnoseberichte" wirkt auf dem Gerät ab dem nächsten Start der App, nicht sofort: Die Absturzdiagnose wird einmal beim Start der App eingeschaltet. Der Widerspruch wird weiterhin sofort serverseitig festgehalten (Abschnitt 21). Die Nutzungsstatistiken enden wie bisher sofort.

Version 2.18 vom 16. Oktober 2026 — Anbieterverzeichnis aus Unternehmensangaben in Ihren Vertragsdokumenten (neuer Abschnitt 16.6; Abschnitte 4.11, 5, 8.2, 16.2, 21):

Neuer Abschnitt 16.6. Nach einer erfolgreichen KI-Vertragsanalyse kann die App die im Dokument gefundenen Unternehmens-Kontaktdaten (rechtlicher Name des Versorgers, Anschrift, Kundenservice-E-Mail, Telefon, Website, Energieart) an unser Anbieterverzeichnis melden, damit der Kündigungsassistent jedem Nutzer den richtigen Kontakt- und Kündigungsweg anbieten kann. Angaben zu Ihnen, Ihrem Vertrag oder Ihrem Konto sind nicht enthalten; die Geräte-UUID dient nur einer Tagesgrenze und wird nicht mit dem Eintrag gespeichert. Vorschläge werden von Hand geprüft, bevor sie sichtbar werden.
Rechtsgrundlage und Widerspruch. Art. 6 Abs. 1 lit. f DSGVO, standardmäßig aktiviert, mit Widerspruchsrecht (Art. 21) unter Einstellungen → Datenschutz → „Anbieterverzeichnis verbessern“; der Widerspruchsstatus wird wie bei den anderen standardmäßig aktiven Optionen aufgezeichnet (Abschnitte 4.11, 21). Eine erneute Einwilligung ist nicht erforderlich: Der Umfang der Einwilligung in die KI-Vertragsanalyse (Abschnitt 16.2) ist unverändert; die Verzeichnismeldung ist eine eigene, widerspruchsfähige Verarbeitung.
Rückmeldung und Speicherdauer (Abschnitte 8.2, 16.6). Eine Rückmeldung zu einem Verzeichniseintrag speichert einen Zähler und für 30 Tage einen Einweg-Hash aus Geräte-UUID und Eintrag. Abgelehnte Vorschläge: 12 Monate; unbestätigte Vorschläge: 24 Monate nach der letzten Meldung.

In-Place-Änderung vom 14. Oktober 2026 (vor der Veröffentlichung dieser Fassung) — Abschnitte zu Energieangeboten herausgenommen: Die Abschnitte zu Energieangeboten („Angebote für Ihre Region", Hilfe-Anrufe, Zustellungsregister, Angebotsauswahl — bisher § 4.12 zum Teil, § 6.13, Abschnitte 18a und 18b, die zugehörigen Zeilen der §§ 5, 8.2, 9 und des Anhangs A sowie die zugehörigen Sätze in §§ 4.2, 4.4, 4.8, 6.12, 7, 8.1, 10, 12, 13, 15, 18, 18c und 21) wurden herausgenommen, weil der Dienst noch nicht angeboten wird. Abschnitt 18a sagt jetzt nur, dass der Dienst noch nicht verfügbar ist. Der Änderungseintrag vom 14. Oktober 2026 zu diesen Abschnitten wurde mit ihnen verschoben; beides ist intern abgelegt und kommt vor dem Start des Dienstes in diese Erklärung zurück. Für diese Funktionen werden keine Daten verarbeitet. Die Verifizierung Ihrer deutschen Mobilnummer (Abschnitt 18c) bleibt, weil sie für die KI-Funktionen erforderlich ist.

Fünfte In-Place-Änderung vom 13. Oktober 2026 (§ 4.3 — Zweirichtungszähler (Solar)) — vor der Veröffentlichung dieser Fassung vorgenommen; kein neuer Empfänger, kein neuer Zweck:

Zweirichtungszähler (Solar) (§ 4.3, In-Place-Änderung vom 13. Oktober 2026). § 4.3 nennt nun den Zweirichtungszähler (Solar) als dritte Zählerart, die beiden Register seiner Zählerstände (Netzbezug / Einspeisung), die Einspeisevergütung je kWh, die Sie für seinen Vertrag eingeben können, sowie die je Tag eingespeiste Energie mit der daraus berechneten ungefähren Einspeisevergütung, die ausschließlich auf Ihrem Gerät berechnet und gespeichert werden. Es handelt sich um Daten, die Sie selbst zum bisherigen Zweck eingeben (Art. 6 Abs. 1 lit. b DSGVO): kein neuer Empfänger, kein neuer Zweck, kein neuer Auftragsverarbeiter und keine Drittlandübermittlung. Eine erneute Einwilligung ist nicht erforderlich.

Vierte In-Place-Änderung vom 6. Oktober 2026 (§§ 4.2, 4.12, 5, 6.9, 7, 8.1, 8.2, 9, 12, 13, 16.4, neuer Abschnitt 18c, 23, Anhang A — Verifizierung Ihrer deutschen Mobilnummer) — vor der Veröffentlichung dieser Fassung vorgenommen; neue Verarbeitung und ein jetzt aktiver Auftragsverarbeiter:

Neuer Abschnitt 18c — Verifizierung Ihrer deutschen Mobilnummer. Ab dem Tag, an dem wir die Verifizierung einführen, stehen die KI-Funktionen (Zählerfoto-Ablesung, Vertragsanalyse, KI-Chat) nur auf einer Installation zur Verfügung, die eine deutsche Mobilnummer verifiziert hat. Sie verifizieren sie, indem Sie uns von dieser Nummer eine vorbereitete SMS („IMR" und ein 6-stelliger Code) senden; wir versenden nie eine SMS. Die Verifizierung gehört zur Installation, nicht zu einem Konto. Wird dieselbe Nummer auf einer anderen Installation verifiziert, geht die Verifizierung dorthin über. Installationen, die diese Funktionen vor der Einführung genutzt haben, können die KI-Funktionen noch 30 Tage ohne Verifizierung nutzen. Das Ausschalten von Funktionen, der Widerruf von Einwilligungen und Absagen sind nie gesperrt. Mitarbeitende von Codexo können eine Installation für die App-Store-Prüfung ohne Nummer für 14 Tage als verifiziert markieren; dies wird protokolliert.
Was wir speichern (§§ 4.12, 8.2). Einen geschlüsselten Hash der Nummer (ein Pseudonym, nicht die Nummer) und eine teilweise verborgene Form, Status, Quelle und Zeitpunkte — längstens, bis die Installation 18 Monate lang nicht mehr aktiv war; einen offenen Code als geschlüsselten Hash (10 Minuten gültig, gelöscht 24 Stunden nach Ablauf); das Ergebnis der Anschlussart-Prüfung einer Nummer (30 Tage); einen geschlüsselten Hash der Nachrichten-ID Ihrer SMS (7 Tage); Zähler der KI-Nutzung je verifizierter Nummer (höchstens 31 Tage); Übergangsfrist-Datensätze (30 Tage nach Ende der Übergangsfrist).
Twilio ist jetzt aktiver Auftragsverarbeiter (§§ 6.9, 7, Anhang A). Twilio Ireland Limited / Twilio Inc. erhält Ihre Nummer für eine Prüfung der Anschlussart (Mobilfunk, Festnetz oder VoIP) und die SMS, die Sie an unsere deutsche Mobilnummer senden. Twilio bewahrt das Nachrichtenprotokoll unserer Nummer 7 Tage auf, mit unkenntlich gemachtem Text und unkenntlich gemachter Absendernummer. Die Prüfung der Anschlussart findet bei Twilio Inc. in den USA statt. Übermittlung in die USA auf Grundlage des EU–USA Data Privacy Framework (Twilio Inc. ist zertifiziert) und der Standardvertragsklauseln. Die bisherige Beschreibung einer vorbereiteten, nicht aktiven SMS-Versandfunktion zur Mobilnummern-Verifikation ist entfallen: Wir versenden keine SMS. Die Mobilnummer in Ihrem Profil (§ 4.2) wird nicht verifiziert.
Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO (Sie verlangen die Verifizierung, um diese Funktionen zu nutzen) und Art. 6 Abs. 1 lit. f DSGVO (Verhinderung von Missbrauch und Betrug sowie Angebot dieser Funktionen nur auf dem deutschen Markt); über die Übergangsfrist wird anhand bereits gespeicherter Aufzeichnungen zu Ihren Gunsten entschieden (Art. 6 Abs. 4 DSGVO). Sie können widersprechen; das Entfernen der Verifizierung in der App hat diese Wirkung.
Folgeänderungen. Abschnitt 12 stellt klar, dass die Verifizierung für diese Funktionen erforderlich ist; Abschnitt 13 erläutert die automatische Ablehnung von Nummern, die keine deutschen Mobilnummern sind; §§ 8.1, 9 und 16.4 verweisen auf Abschnitt 18c.
Erneute Einwilligung. Die Verifizierung beruht nicht auf einer Einwilligung und ändert den Umfang keiner Einwilligung; eine erneute Einwilligung ist daher nicht erforderlich. Daten gelangen nur dann zu Twilio, wenn Sie selbst eine Verifizierung beginnen. Wer die KI-Funktionen bereits nutzt, kann sie nach der Einführung noch 30 Tage ohne Verifizierung nutzen.

Version 2.16 vom 3. Oktober 2026 — Berichtigungen:

Verbindliche Sprachfassung. Die englische, arabische und türkische Fassung dieser Datenschutzerklärung sind nun als Übersetzungen gekennzeichnet; rechtlich verbindlich ist die deutsche Fassung.
Berichtigung (Abschnitt 18): Frühere Versionen besagten, dass unser Server jedes Mal, wenn die App ihre Push-Registrierung sendet oder erneuert, festhält, dass die Installation gesehen wurde, und deren App-Version aktualisiert. Das tut er nicht mehr: Das Senden oder Erneuern der Registrierung aktualisiert nur die Registrierung selbst, und ob eine Installation gesehen wurde, ergibt sich ausschließlich aus den anonymen Nutzungsstatistiken (Abschnitt 20). Abschnitt 18 und § 8.2 beschreiben die 270-Tage-Löschung von Registrierungen nun entsprechend.
Berichtigung (Abschnitte 5, 21): Abschnitt 21 besagte als Beispiel, dass unser Backend die Cloud-KI-Verarbeitung für ein Gerät verweigert, dessen Datensatz keine Einwilligung ausweist. Das war unzutreffend: Ihre Datenschutz-Entscheidungen werden von der App durchgesetzt, die Ihre Daten für eine einwilligungsbasierte Funktion ohne Ihre Einwilligung nicht sendet; unsere Server nehmen Anfragen nicht auf Grundlage des gerätebezogenen Datensatzes an und lehnen sie auch nicht auf dieser Grundlage ab. Die Abschnitte 5 und 21 sagen dies nun.
Berichtigung (§ 4.4, Abschnitt 20): Die täglichen Nutzungsstatistiken enthalten auch die Anzahl der Zähler auf dem Gerät. Aktuelle App-Versionen übermitteln sie bereits; die Aufzählungen in § 4.4 und Abschnitt 20 nannten sie nicht.
Ergänzung (§ 8.1, Abschnitt 12): Die Aufzählungen der Übertragungen, die ohne Konto stattfinden, nennen nun auch die Push-Registrierung (Abschnitt 18), die seit Version 2.14 in Abschnitt 18 beschrieben ist.
Geschäftsbezeichnung. Diese Version enthält die In-Place-Änderung vom 18. September 2026 (Geschäftsbezeichnung Codexo, siehe unten), die mit dieser Version erstmals veröffentlicht wird, sowie die In-Place-Änderungen vom 15. und 11. September 2026; die Kopfzeile führt die einzelnen In-Place-Änderungen nicht mehr auf.
Erneute Einwilligung und Wirksamwerden. Keine der übrigen Änderungen betrifft eine auf Art. 6 Abs. 1 lit. a DSGVO gestützte Verarbeitung für die KI-Funktionen; eine erneute Einwilligung ist daher für diese nicht erforderlich, und diese Version gilt ab Veröffentlichung.

In-Place-Änderung vom 18. September 2026 (Kopfzeile, Abschnitt 1 — Geschäftsbezeichnung) — keine Änderung der Verarbeitung:

Geschäftsbezeichnung Codexo. Der Betreiber hat ein Gewerbe unter der Geschäftsbezeichnung Codexo angemeldet, mit Wirkung zum 1. September 2026. Kopfzeile und Abschnitt 1 nennen als Verantwortlichen nun Codexo, das Einzelunternehmen von Ahmad Al Alloush; der Platzhalter-Hinweis zur ausstehenden Gewerbeanmeldung wurde entfernt. Ein Einzelunternehmen ist keine eigene juristische Person — der Verantwortliche hat sich daher nicht geändert: Es ist weiterhin Ahmad Al Alloush, jetzt unter der Geschäftsbezeichnung Codexo, unter derselben Anschrift und mit derselben Kontaktadresse. Kein neuer Empfänger, kein neuer Auftragsverarbeiter, keine Drittlandübermittlung, keine Änderung von Zwecken, Rechtsgrundlagen oder Speicherfristen. Eine erneute Einwilligung ist nicht erforderlich.

In-Place-Änderung vom 15. September 2026 (Abschnitt 23 — Aktivierungsdatum der zählerbezogenen Postleitzahl-Synchronisation) — keine Änderung der Verarbeitung:

15. September 2026 — Die Synchronisation der zählerbezogenen Postleitzahl der Lieferstelle mit unseren Servern in Frankfurt am Main wurde ab diesem Datum aktiviert. Die Postleitzahl, die Sie für einen Zähler eingeben, und der daraus auf Ihrem Gerät abgeleitete Ort werden mit dem Datensatz dieses Zählers übermittelt und gespeichert, wenn Sie angemeldet sind (Art. 6 Abs. 1 lit. b DSGVO) — genau so, wie es die §§ 4.3, 5 und 17 seit Version 2.13 beschreiben. Vor diesem Datum hat der Server diese beiden Felder empfangen, aber nicht gespeichert; ab diesem Datum speichert er sie. Eine vor diesem Datum bei einem Zähler gespeicherte Postleitzahl gelangt beim nächsten Speichern dieses Zählers auf unsere Server. Sie können die Postleitzahl jederzeit im Bearbeitungsformular des Zählers ändern oder löschen; das Löschen löscht auch den abgeleiteten Ort — auf Ihrem Gerät und auf unseren Servern. Kein neuer Empfänger, kein neuer Auftragsverarbeiter, keine Drittlandübermittlung, keine Änderung von Zwecken oder Speicherfristen. Keine erneute Einwilligung erforderlich — diese Verarbeitung beruht auf Art. 6 Abs. 1 lit. b DSGVO.

In-Place-Änderung vom 11. September 2026 (§§ 6.9, 15) — keine Änderung der Verarbeitung:

§ 6.9: Der Eintrag zu Twilio Inc. (SMS-Verifikation) sagt nun im Absatz selbst, was Anhang A und dieser Abschnitt bereits sagten: vorbereitet, nicht aktiv; der Transfer wird generisch als „außerhalb des EWR" beschrieben. Es wird keine SMS versendet und es gelangen keine Daten zu Twilio, bis die Funktion aktiviert wird; die Aktivierung kündigen wir hier vorab an.
§ 15: Die Aufzählung der im sicheren Speicher des Betriebssystems gehaltenen Anmeldedaten ist wieder vollständig: Access-, Refresh- und ID-Token, deren Ablaufzeiten, Benutzer-ID, Benutzername, Anzeigename und E-Mail-Adresse. Welches Anmeldeverfahren Sie genutzt haben, wird nicht gespeichert.

Version 2.15 vom 9. September 2026 — Berichtigung der Abschnitte zu Anmeldung und E-Mail (§§ 4.1, 4.2, 5, 6.2, 6.9, 6.11, 7, 14, 15, Anhang A):

Was falsch war. Die Versionen 2.12 bis 2.14 dieser Erklärung beschrieben eine geplante Umstellung unseres Anmeldesystems so, als wäre sie bereits erfolgt: Registrierung mit einer deutschen Mobilnummer und SMS-Verifizierung, Verwaltung der Konten durch unsere eigene Anwendung, das Identitätssystem unter auth.codexo.dev „außer Betrieb genommen", sämtliche E-Mails von unserem eigenen Mailserver versendet und Twilio SendGrid „als Unterauftragsverarbeiter entfernt". Nichts davon wurde ausgerollt. Die App, die Sie heute installieren können — und jede Version davor — meldet Sie über unser selbst betriebenes Identitätssystem an (Keycloak unter auth.codexo.dev, betrieben auf unseren Hostinger-Servern in Frankfurt am Main, § 6.2); ein Konto wird mit E-Mail-Adresse und Passwort oder über Google oder Apple angelegt (§ 6.11); eine SMS-Verifizierung ist nicht aktiv; und kontobezogene E-Mails (Bestätigung Ihrer Adresse, Passwort-Zurücksetzung, Servicenachrichten des Betreibers) werden über Twilio SendGrid, USA, zugestellt (§ 6.9, Anhang A) — genau so, wie es die Versionen bis 2.10 beschrieben haben. Diese Version stellt diese Beschreibung wieder her. Der unzutreffende Text wurde vom 15. August 2026 bis zur Veröffentlichung dieser Version ausgeliefert.
Was sich in der Sache geändert hat — nichts. Zwischen Version 2.10 und heute hat sich in diesen Abschnitten keine Verarbeitung, kein Empfänger, kein Zweck, keine Rechtsgrundlage und keine Speicherdauer geändert; nur die Beschreibung war falsch. Twilio SendGrid wurde nie entfernt: Es war in Version 2.10 und davor offengelegt, und seine Einträge in § 6.9 und Anhang A werden unverändert wiederhergestellt. Die SMS-Einträge (Twilio Inc., §§ 4.2, 6.9, Anhang A) werden so wiederhergestellt, wie Version 2.10 sie formulierte: vorbereitet, nicht aktiv.
§ 6.11 — Anmeldung mit Google oder Apple. Der erste Absatz stellt nun zutreffend dar, dass der Browser zunächst unseren eigenen Anmeldeserver unter auth.codexo.dev kontaktiert und von dort an den von Ihnen gewählten Anbieter weitergeleitet wird; der Satz „Seit Version 2.12 gibt es kein zwischengeschaltetes Identitätssystem mehr" wurde gestrichen. Google und Apple bleiben wie bisher eigenständige Verantwortliche für ihre eigene Anmelde-Verarbeitung.
§§ 5, 14, 15. Das Sicherheits-Ereignisprotokoll fehlgeschlagener Anmeldeversuche wird von unserem Identitätsdienst geführt (IP-Adresse, Benutzername, Zeitstempel), wie § 8.2 bereits angab; § 5 wurde daran angeglichen. § 14 nennt wieder beide gepinnten Hosts (auth.codexo.dev, imeterreader.codexo.dev) und die Keycloak-Administratorrolle. § 15 stellt klar, dass das Cookie des Identitätsdienstes bei jeder Anmeldung gesetzt wird, nicht nur bei der Anmeldung mit Google oder Apple.
Es ist keine auf Art. 6 Abs. 1 lit. a DSGVO gestützte Verarbeitung betroffen; eine erneute Einwilligung ist daher nicht erforderlich. Diese Version berichtigt die Beschreibung von Empfängern und Verarbeitungen, die bereits in Version 2.10 offengelegt waren, und führt keinen neuen Empfänger, keinen neuen Zweck und keine neue Übermittlung ein; sie gilt daher ab Veröffentlichung.

Version 2.14 vom 7. September 2026 — Service-Push-Benachrichtigungen:

Service-Push-Benachrichtigungen (neuer Abschnitt 18, neuer § 6.12). Die App kann nun Service-Benachrichtigungen von uns empfangen. Bis Version 2.13 hieß es in dieser Erklärung, es würden keine Push-Tokens übermittelt; ab der ersten nach dem 7. September 2026 freigegebenen App-Version trifft das nicht mehr zu, und diese Erklärung wurde vor der Freigabe jener App-Version veröffentlicht. Ein Firebase-Cloud-Messaging-Registrierungstoken, Ihre Plattform, App-Sprache und App-Version werden an unsere Server übermittelt und das Token an Google (Firebase Cloud Messaging, neuer Unterauftragsverarbeiter, § 6.12, Anhang A) — nur solange Sie die Betriebssystem-Benachrichtigungsberechtigung erteilt haben; unter iOS erhält zusätzlich Apple Inc. (Apple Push Notification Service) jede Benachrichtigung zur Zustellung. Die Firebase-Softwarekomponente wird beim App-Start initialisiert und erzeugt unabhängig von der Berechtigung eine Installationskennung bei Google (§ 6.12). Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO (Art. 6 Abs. 1 lit. c DSGVO für gesetzlich vorgeschriebene Mitteilungen); nicht einwilligungsbasiert, kein In-App-Opt-in; Sie widersprechen, indem Sie Benachrichtigungen in den Geräteeinstellungen abschalten (Abschnitt 18). Die Abschnitte 4.4, 4.9, 5, 7, 8.2 und 9 wurden entsprechend angepasst. Es handelt sich um einen neuen Empfänger und eine mögliche Drittlandübermittlung (Google LLC, USA — SVK + Data Privacy Framework). Erinnerungen bleiben lokale Benachrichtigungen.

Diese Änderung betrifft keine auf Art. 6 Abs. 1 lit. a DSGVO gestützte Verarbeitung; eine erneute Einwilligung ist daher nicht erforderlich — auch nicht für die KI-Funktionen.

Version 2.13 vom 9. August 2026: § 4.3 unterscheidet nunmehr zwischen der ausschließlich gerätelokalen Lieferadresse (Straße/Hausnummer) einerseits und der zählerbezogenen Postleitzahl der Lieferstelle nebst dem daraus abgeleiteten Ort andererseits: Letztere sind Bestandteil des Zählerdatensatzes und werden bei angemeldeter, aktiver Zählerstands-Synchronisation an unsere Server in Frankfurt am Main übertragen und dort gespeichert. Die entsprechende Zeile in § 5 wurde berichtigt, und § 4.9 stellt klar, dass eine selbst eingegebene Postleitzahl und der daraus offline ermittelte Ort keine Standortdaten in diesem Sinne sind. Rechtsgrundlage unverändert Art. 6 Abs. 1 lit. b DSGVO; kein neuer Empfänger, kein neuer Auftragsverarbeiter, keine Drittlandübermittlung, keine Änderung der Speicherdauer. Eine erneute Einwilligung ist nicht erforderlich — keine dieser Änderungen betrifft eine auf Art. 6 Abs. 1 lit. a DSGVO gestützte Verarbeitung.

Korrektur vom 7. August 2026 (Version 2.12 unverändert): In den §§ 8.1 und 8.2 wurden die Daten auf Ihrem Gerät bisher als lokale SQLite-Datenbank beschrieben, und es hieß dort, der Befehl „Konto löschen" leere diese vor dem Server-Aufruf. Wir haben die Bezeichnung der Speichertechnologie entfernt — ein Implementierungsdetail, das sich von App-Version zu App-Version ändern kann — und die Reihenfolge berichtigt: Die Kopie auf Ihrem Gerät wird entfernt, nachdem unsere Server die Löschanfrage bestätigt haben, niemals vorher. Beide Passagen halten nun außerdem fest, dass die Einstellungen, die die App auf diesem Gerät konfigurieren, bewusst erhalten bleiben. Zweck, Rechtsgrundlage, Empfänger und Speicherdauer haben sich nicht geändert; der Umfang Ihrer Einwilligung bleibt unberührt — eine erneute Einwilligung ist nicht erforderlich.

Anhang A — Liste der Auftragsverarbeiter (Stand: 2026-10-20)

Name	Sitz	Rolle	Datenort	Drittlandtransfer	AVV / DPA
Hostinger International Ltd.	Kaunas, LT (EU)	Hosting (Compute + DB)	Frankfurt am Main, DE	nein	Hostinger DPA
AKI.IO GmbH (einziger Unterauftragsverarbeiter: AIME GmbH, Berlin)	Berlin, Deutschland	KI-Modell-Inferenz (Zählerablesung, Vertragsanalyse, Chat)	Deutschland / EU	nein	Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO
Functional Software Inc. / Sentry GmbH	San Francisco, USA / Berlin, DE	Absturz- und Fehlerdiagnose für die mobile App, unsere Server, unsere Website und unsere Mitarbeiter-Web-Apps — Abschnitt 6.5, Abschnitt 19	Frankfurt am Main, DE (Ingest); ggf. USA (konzernintern)	teils	Sentry DPA + SCCs + DPF
Twilio Ireland Limited / Twilio Inc.	Dublin, IE / San Francisco, USA	Verifizierung Ihrer deutschen Mobilnummer: Prüfung der Anschlussart der Nummer und Empfang der SMS, die Sie an unsere deutsche Mobilnummer senden (wir versenden keine SMS) — § 6.9, Abschnitt 18c	EU (Region Irland) für unsere Nummer und ihre Nachrichten; USA für die Prüfung der Anschlussart	ja	Twilio DPA + DPF + SVK
Twilio SendGrid	Denver, USA	Versand transaktionaler und betreiber-initiierter Service-/Verwaltungs-E-Mails	USA	ja	Twilio/SendGrid DPA + SCCs + DPF
Google Ireland Ltd. (ML Kit on-device + Play Services)	Dublin, IE	Bereitstellung des lokalen OCR-Modells auf Android	auf dem Endgerät	konzernintern möglich (USA)	Google Cloud Customer Mobile Services DPA
Apple Inc. (Vision Framework)	Cupertino, USA	Lokales OCR-Framework auf iOS / macOS (nur OCR — die Anmeldung ist kein Auftragsverarbeitungs-Verhältnis, siehe § 6.11)	auf dem Endgerät	nein (kein Datentransfer)	Apple Developer Program License Agreement
Google Ireland Ltd. (Firebase Cloud Messaging)	Dublin, IE	Zustellung von Service-Push-Benachrichtigungen (Installationskennung, Registrierungstoken, Plattform, Benachrichtigungsinhalt) — § 6.12, Abschnitt 18	EU; konzerninterne Übermittlung an Google LLC (USA) möglich	möglich (SVK + DPF)	Google Cloud / Firebase Data Processing and Security Terms
Apple Inc. (Apple Push Notification Service)	Cupertino, USA	Zustellung von Service-Push-Benachrichtigungen an iOS-Geräte (APNs-Token, Benachrichtigungsinhalt) — § 6.12, Abschnitt 18	USA	ja (DPF)	Apple Developer Program License Agreement

Google und Apple handeln zusätzlich als eigenständige Verantwortliche, wenn Sie sich für die Anmeldung mit ihnen entscheiden (§ 6.11). Für diesen Vorgang sind sie nicht unsere Auftragsverarbeiter und daher nicht in der obigen Tabelle aufgeführt.

Diese Liste wird laufend aktualisiert. Sie können den jeweils aktuellen Stand jederzeit unter https://imeterreader.app/de/subprocessors einsehen. Vor der Aufnahme eines neuen Auftragsverarbeiters informieren wir Sie mindestens 30 Tage vorher.

Datenschutzerklärung iMeter Reader · Version 2.19 · Stand: 20. Oktober 2026 · Bei Fragen zum Datenschutz: support@imeterreader.app

Datenschutz | AGB | Auftragsverarbeiter | Impressum | support@imeterreader.app