Deine Einkaufsliste kann verraten, ob du schwanger bist, ein Kind hast, krank bist oder wann du nach Hause kommst. Einzelne Einträge sind harmlos, zusammen ergeben sie ein ziemlich genaues Bild deines Alltags. Ob das jemand auswertet, hängt von der App ab, und das kannst du mit den 10 Fragen unten in wenigen Minuten prüfen.
Warum Einkaufsdaten mehr sagen, als du denkst
„Klopapier. Kondome. Katzenfutter. Geht keinen was an.“ So sagen wir das, und es ist nur halb Spaß. Schau mal auf diese Beispiele. Sie sind von uns ausgedacht und kein Beleg dafür, dass eine bestimmte App so auswertet. Sie zeigen nur, was in solchen Daten stecken kann.
| Auf der Liste | Was man daraus schließen könnte |
|---|---|
| Schwangerschaftstest, dann Folsäure, dann Stilleinlagen | Schwangerschaft und ungefährer Geburtstermin |
| Windeln Größe 2, Pre-Milch | Baby im Haushalt und sein ungefähres Alter |
| Blutzucker-Teststreifen, glutenfreies Brot | Hinweise auf Gesundheit |
| Halal-Fleisch, koscherer Wein, Fastenzeit ohne Fleisch | Hinweise auf Religion |
| Kondome, Gleitgel | Hinweise aufs Sexualleben |
| Plötzlich alles nur noch für eine Person | Trennung oder Auszug |
| Jeden Freitag um 17 Uhr im selben Laden abgehakt | Tagesablauf, wann niemand zu Hause ist |
Das Recht sieht solche Rückschlüsse ebenfalls. Artikel 9 der DSGVO schützt besonders: Gesundheitsdaten, religiöse Überzeugungen, Angaben zum Sexualleben und einige Kategorien mehr. Der Europäische Gerichtshof hat 2022 im Fall C-184/20 entschieden, dass auch Daten darunterfallen, die so etwas nur indirekt offenbaren. Und 2024 im Fall C-21/23, dass Bestelldaten für apothekenpflichtige Medikamente ohne Rezept Gesundheitsdaten sein können, selbst wenn nicht sicher ist, dass die Ware für den Besteller selbst gedacht war.
Ein Urteil speziell zu Einkaufslisten haben wir nicht gefunden. Ob deine Liste rechtlich dazugehört, bleibt also offen, und das hier ist keine Rechtsberatung. Panik brauchst du trotzdem keine: Eine Einkaufsliste ist erst dann ein Problem, wenn sie mit deiner Person verknüpft, für Werbung genutzt oder weitergegeben wird. Genau das lässt sich prüfen.
Welche Daten Haushalts-Apps typischerweise erheben
Die Verbraucherzentrale weist darauf hin, dass Gratis-Apps sich häufig über personenbezogene Daten finanzieren, etwa für Werbung, und dass aus Standortdaten Wohn-, Arbeits-, Einkaufs- und Freizeitorte abzulesen sind. Apple sortiert die möglichen Daten in feste Kategorien. Hier sind die wichtigsten, mit unserer Einschätzung, was eine Listen-App davon braucht. Die rechte Spalte ist unsere Faustregel, kein Gesetz.
| Datentyp (Bezeichnung bei Apple) | Beispiel | Braucht eine Listen-App das? |
|---|---|---|
| Kontaktinformationen | E-Mail-Adresse, Name | Für ein Konto zum Teilen: meist ja |
| Benutzerinhalte | Deine Listen und Einträge | Zum Synchronisieren: ja, für Werbung: nein |
| Kennungen | Benutzer-ID, Geräte-ID | Benutzer-ID ja, zum Verfolgen über Apps hinweg nein |
| Diagnose | Absturz- und Leistungsdaten | Kann helfen, sollte aber nicht für Werbung dienen |
| Nutzungsdaten | Produktinteraktion, Werbedaten | Werbedaten: nein |
| Standort | Genauer oder ungefährer Standort | Selten, es sei denn für eine klar erklärte Funktion |
| Kontakte | Dein Adressbuch | Zum Einladen reicht oft ein Link |
| Einkaufsverlauf | Was du gekauft hast | Nur, wenn du das wirklich als Funktion willst |
| Gesundheit und Fitness | Gesundheitsdaten | Nein |
Auch die Stores selbst sammeln laut Verbraucherzentrale mit, etwa Suchanfragen, Downloads und In-App-Käufe. Das lässt sich mit keiner Haushalts-App ändern, gehört aber zum Bild.
Wer denkt dran? Ab jetzt: alle.
Einkauf, Ausgaben und Aufgaben an einem Ort, für alle im Haushalt. Kostenlos, ohne Werbung.
Die Checkliste: 10 Fragen an jede Haushalts-App
Speicher dir das, teil es, schick es deinen Eltern. Du brauchst kein Technikstudium, nur das Handy und ein paar Minuten.
- Was steht im App Store unter „App-Datenschutz“? Scroll auf der Produktseite zu diesem Abschnitt. „Daten, die zum Tracking deiner Person verwendet werden“ ist für eine Einkaufsliste das klarste Warnzeichen. Danach kommen „Mit dir verknüpfte Daten“ und „Nicht mit dir verknüpfte Daten“. Apple sagt selbst: Die Angaben kommen vom Entwickler. Sie sind also eine Auskunft und kein Prüfsiegel.
- Was steht bei Google Play unter „Datensicherheit“? Dort siehst du vor der Installation, was erhoben und was weitergegeben wird. Auch das sind Angaben der Entwickler, und Übertragungen an Dienstleister müssen dort nicht auftauchen. Eine Mozilla-Studie fand 2023 bei fast 80 Prozent von 40 geprüften Top-Apps Abweichungen zwischen diesem Formular und der Datenschutzerklärung. Also lieber beides lesen.
- Will die App dich tracken? Auf dem iPhone muss sie dafür seit iOS 14.5 fragen, und die App funktioniert auch nach einer Ablehnung weiter. Nachsehen und ändern kannst du das unter Einstellungen, Datenschutz & Sicherheit, Tracking. Bei Android zeigt die Verbraucherzentrale, wie du die Werbe-ID zurücksetzt oder löschst.
- Sind Werbe-Tracker eingebaut? Für Android zeigt Exodus Privacy die eingebetteten Tracker einer App, wenn sie dort schon analysiert wurde. Das sagt nichts darüber, welche Daten wirklich fließen, ist aber ein guter Hinweis. Ein vergleichbares Werkzeug fürs iPhone können wir dir nicht nennen, dort bleibt Frage 1.
- Finanziert sich die App über Werbung? Achte in den Angaben auf die Zwecke „Drittanbieter-Werbung“ und „Werbung oder Marketing des Entwicklers“. Eine kostenlose App ohne erkennbares Geldmodell ist kein Beweis für irgendetwas, aber eine Frage wert.
- Werden deine Daten verkauft oder weitergegeben? Öffne die Datenschutzerklärung und such nach „verkaufen“, „Werbepartner“, „Datenbroker“ und „Empfänger“. Bleibt es schwammig, frag nach: Nach Artikel 15 DSGVO hast du Anspruch auf Auskunft, auch darüber, wer deine Daten bekommt. Antwort gibt es in der Regel binnen eines Monats und kostenlos (Artikel 12).
- Passen die Berechtigungen zur App? Das BSI rät, nur zu erlauben, was nötig und plausibel ist, und nennt als Warnzeichen eine Notiz-App, die SMS lesen will. Für eine Einkaufsliste gilt dasselbe: Warum sollte sie deinen dauerhaften Standort oder dein Adressbuch brauchen? Die Verbraucherzentrale rät, den Zugriff möglichst auf die Nutzung der App zu beschränken.
- Kannst du dein Konto selbst löschen? Apple verlangt von Apps mit Kontoerstellung die Löschung in der App, Google ebenfalls, plus einen Weblink für Löschanfragen. Schau nach, ob du den Knopf findest, bevor du ihn brauchst. Das Recht auf Löschung steht in Artikel 17 DSGVO, es hat aber Ausnahmen, etwa wenn gesetzliche Aufbewahrungspflichten gelten.
- Kommst du wieder raus? Prüfe, ob du deine Daten exportieren kannst. Artikel 15 gibt dir ein Recht auf eine Kopie, Artikel 20 unter bestimmten Bedingungen ein Recht auf ein strukturiertes, maschinenlesbares Format. Ein Export zeigt auch, wie ernst es der Anbieter damit meint, dass es deine Daten sind.
- Wo liegen die Daten, und wer kommt dran? Das ist die am häufigsten falsch verstandene Frage, deshalb bekommt sie gleich einen eigenen Abschnitt.
Serverstandort richtig einordnen
„Server in Deutschland“ klingt beruhigend und sagt nur, wo die Daten liegen. Es sagt nicht, wer darauf zugreifen kann. Der Europäische Datenschutzausschuss stellt klar: Auch der Fernzugriff aus einem Drittland, etwa für Support, zählt als Übermittlung, wenn die Voraussetzungen erfüllt sind, selbst wenn die Daten dabei nur auf einem Bildschirm angezeigt werden. Und ein Anbieter in der EU kann Anfragen von Behörden aus einem Drittland erhalten, wenn er dessen Recht unterliegt.
Umgekehrt ist ein US-Anbieter nicht automatisch unzulässig. Seit dem 10. Juli 2023 gibt es den Angemessenheitsbeschluss zum EU-US Data Privacy Framework. Er gilt laut BfDI, der Bundesbeauftragten für den Datenschutz, aber nur für zertifizierte Unternehmen auf der entsprechenden Liste. Andere brauchen geeignete Garantien wie Standardvertragsklauseln. Das Bild kann sich ändern, und eine Rechtsprüfung ersetzt dieser Absatz nicht.
Die bessere Frage lautet daher: Welche Dienstleister nennt die Datenschutzerklärung, was machen die, und auf welcher Grundlage gehen Daten ins Ausland? Wer das offen hinschreibt, ist uns lieber als jemand, der nur eine Deutschlandflagge ins Logo malt.
Was das für uns heißt
Die Checkliste gilt natürlich auch für uns. hauszettl ist eine gemeinsame Einkaufsliste mit Ausgaben und wiederkehrenden Aufgaben, als iPhone-App und im Browser. Keine Werbung, keine Tracking-Bausteine, keine Tracking-Cookies, kein Datenverkauf. Das Konto lässt sich jederzeit löschen, auch in der App, die Ausgaben lassen sich als CSV exportieren.
Ehrlich dazu: Hosting und Mailversand von hauszettl laufen über US-Anbieter (Vercel, Neon, Cloudflare, SendGrid), die Datenbank steht in Frankfurt. Die Einzelheiten stehen in der Datenschutzerklärung. Prüf uns ruhig genauso wie alle anderen. Wenn du Apps vergleichen willst, helfen dir außerdem Die beste Einkaufsliste-App finden und Die besten Haushalts-Apps, mehr zur Listen-Funktion steht unter Einkaufsliste-App.
Quellen
- Art. 9 DSGVO, Art. 12, Art. 15, Art. 17, Art. 20, Verordnung (EU) 2016/679, Textfassung auf dsgvo-gesetz.de, 2016
- Prescription medicines and the GDPR, Zusammenfassung des EuGH-Urteils C-21/23 vom 4. Oktober 2024, Mason Hayes & Curran
- CJEU widens the scope of sensitive personal data under the GDPR, Zusammenfassung des EuGH-Urteils C-184/20 vom 1. August 2022, Ganado Advocates
- About privacy information on the App Store, Apple Support, ohne Jahresangabe
- Datenschutzdefinitionen und Beispiele, Apple App Store, ohne Jahresangabe
- App Privacy Details, Apple Developer, ohne Jahresangabe
- App Review Guidelines, 5.1.1(v), Apple Developer, ohne Jahresangabe
- Tracking-Einstellung auf dem iPhone, Apple Support, ohne Jahresangabe
- Datensicherheit bei Google Play, Google Play-Hilfe, ohne Jahresangabe
- Apps und Datenschutz, Verbraucherzentrale, 2026
- Android und iOS: App-Tracking abschalten, Verbraucherzentrale, 2026
- Sicherer Umgang mit Apps auf mobilen Geräten, Bundesamt für Sicherheit in der Informationstechnik, ohne Jahresangabe
- Mozilla Study: Data Privacy Labels for Most Top Apps in Google Play Store are False or Misleading, Mozilla Foundation, 2023
- Exodus Privacy, Exodus Privacy, ohne Jahresangabe
- Guidelines 05/2021, Version 2.0, Europäischer Datenschutzausschuss, 2023
- Internationale Datenübermittlungen, Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, ohne Jahresangabe
