040 Parts

Privacy Policy – 040 Level App

Status: June 2026 | Version: 1.4

1. Controller

The controller within the meaning of the General Data Protection Regulation (GDPR) is:

Mixcover GmbH Neumann-Reichardt-Str. 27-33 22041 Hamburg Germany

Email: shop@mixcover.de Phone: +49 40 98241564

Managing Directors: Timo Plogstedt, Philip Bonmann Commercial Register: HRB 173050, Amtsgericht Hamburg VAT ID: DE350528375

A data protection officer has not been appointed by law. For all data protection questions, please contact the above contact details (see also Section 16).

2. General Information on Data Processing

We generally only collect and use personal data of our users to the extent necessary to provide a functional app and our content and services, or if you have consented to this. The collection and use of personal data of our users is regularly carried out only after the user's consent. An exception applies in cases where obtaining consent in advance is not possible for factual reasons and the processing of data is permitted by legal regulations.

The 040 Level App is used for leveling ("balancing") motorhomes, caravans, and camper vans. For this purpose, the app connects via Bluetooth Low Energy (BLE) with a 040-Level sensor (KBeacon) or alternatively – if you choose – uses the motion sensors built into the smartphone (phone IMU). The actual measurement and sensor data (tilt angle, acceleration, temperature, battery) is generally processed exclusively locally on your device and is not transmitted to us or third parties.

Where this privacy policy refers to a transfer to third countries (in particular the USA), this is based on appropriate guarantees pursuant to Art. 46 GDPR, in particular the EU Standard Contractual Clauses (SCC). You can request a copy of these guarantees from the respective providers or from us.

3. Data Processing of Children

This app is not directed at children under 16 years of age. We do not knowingly collect personal data from children under 16 years of age. The app does not use technical age verification; the voluntary specification of an age group (see Section 7.4) is a pure convenience function and does not constitute active minor protection. If you have not yet reached the age of 16, please obtain the consent of your legal guardians before granting optional consent to the app (analysis, location, advertising). If we become aware that we have processed personal data of a child without valid consent, we will delete this data immediately.

4. Local Processing on Your Device (No Transmission)

The following data is stored or processed exclusively locally in the secured app environment of your device and generally does not leave your device. No transmission to us or third parties takes place; a third-country transfer is not applicable.

4.1 Sensor and Measurement Data

When the 040-Level sensor is connected, the app processes in real time (multiple times per second):

  • Signal strength (RSSI), estimated transmit power (TX-Power)
  • Raw acceleration values (ax/ay/az in m/s²)
  • Calculated tilt angles (Pitch/Roll)
  • Battery voltage (mV) and battery level (%)
  • Temperature (°C/°F)
  • Status bits/sensor flags, device name, MAC address of the sensor

This data is not stored permanently; it is kept in working memory and continuously overwritten by new measurement values.

Legal basis: Art. 6(1)(b) GDPR (performance of the user contract for the app – core leveling function).

4.2 Device Detection & Connection Management (BLE Scan)

To find and connect sensors, the app processes: Device ID (MAC), device name (e.g., "040_level_XXXXX", "KBPro_XXXXX"), RSSI history (ring buffer of the last 20 values), timestamp of the last sighting, and possibly an Eddystone-URL. This information is held in a volatile cache that is deleted when the app is closed; devices that are no longer visible are automatically removed after a short time.

Legal basis: Art. 6(1)(b) GDPR (contract performance – BLE connectivity).

4.3 Sensor Configuration & Authentication (Provisioning)

For secure connection and configuration of the KBeacon sensor, the app processes: a device password (only in working memory, never stored permanently, hard-coded into the app), the MAC address for calculating authentication, GATT-UUIDs, and a configuration version number. The password never leaves the app and is used exclusively with the paired sensor. Only the configuration version number is stored locally to detect whether an update is necessary.

Legal basis: Art. 6(1)(b) GDPR (contract performance – device provisioning); Art. 32 GDPR (data security).

4.4 Calibration Offsets

To correct sensor installation and alignment, the app stores calibration values (Pitch/Roll offset, fine correction, Yaw offset) – globally and per sensor profile.

Legal basis: Art. 6(1)(b) GDPR (contract performance – user-related settings data).

4.5 Phone IMU (Motion Sensors of the Smartphone)

If you do not want to use an external sensor, the app can alternatively use the motion sensors built into the smartphone (accelerometer/gyroscope). Processed are acceleration (x/y/z m/s²), rotation rates (x/y/z rad/s), and calculated tilt angles. This data is processed exclusively locally, kept only in working memory, and discarded when the function is closed.

Legal basis: Art. 6(1)(b) GDPR (contract performance – leveling without external hardware) or, to the extent you actively select this operating mode, Art. 6(1)(a) GDPR (consent).

4.6 Sensor Profiles (Multi-Profile Management)

You can create multiple configurations per sensor (e.g., "Car 160 cm", "Motorhome 305 cm"). Stored, among others: Profile ID, device ID (MAC), display name, vehicle type, track width (front/rear in cm), wheelbase/axle distance, aid configuration (wedges/cushions/jacks), display settings, sensor orientation, and calibration offsets. These profiles are stored locally and remain until you delete the profile, uninstall the app, or trigger the privacy reset (see Section 13).

Legal basis: Art. 6(1)(b) GDPR (contract performance – profile/settings data).

4.7 App Settings & Preferences

Stored locally are your settings, among others: Temperature unit (°C/°F), length unit (cm/inch), sound/vibration on/off, sensor orientation, smoothing/filter parameters, decimal places, theme, language, app mode, senior/magnifier mode, background service on/off, last connected sensor, view mode, tolerance angle, and aid settings.

Legal basis: Art. 6(1)(b) GDPR (contract performance – settings data).

4.8 Locally Stored Messages ("News")

Contents of push messages (see Section 8) are stored exclusively locally in the secured app memory so you can read them later under "Updates & News" (max. 100 entries). This data does not leave your device. You can delete it at any time (privacy reset or uninstall); we can also have individual messages removed server-side via a delete command.

Legal basis: Art. 6(1)(b) GDPR (contract performance – display of received service messages).

4.9 Home/Lock Screen Widget

If you set up a home or lock screen widget, the last known tilt values and an update timestamp are provided locally for the widget display. No external transmission takes place.

Legal basis: Art. 6(1)(b) GDPR (contract performance – convenience function).

4.10 Privacy Consent Status

To implement and document your consents, we locally store your consent selections (technical/analysis/location/advertising), a notice status, and the timestamp of your consent. This status controls whether optional functions are active and serves as proof of consent.

Legal basis: Art. 7(1) GDPR (proof of consent); Art. 6(1)(c) GDPR in conjunction with Art. 5(2) GDPR (accountability).

5. Crash and Error Reports (Sentry & Firebase Crashlytics)

To ensure the stability, security, and functionality of the app, we process crash and error reports. This processing is carried out on the basis of legitimate interest and is technically necessary; it is not dependent on an analysis consent.

Processed data types:

  • Type, nature, and description of the error, stacktrace
  • Trail traces ("Breadcrumbs": e.g., screens called, button presses, BLE events, connection breaks/timeouts, signal quality)
  • Anonymized device ID (only the last 4 characters, e.g., "...F2A7")
  • Platform, operating system version, app version/build number, device model, language setting
  • Performance metrics (e.g., processing duration, frame rate) and indications of faulty sensor data (only the first bytes as hex value, no content)

Complete device IDs, IMEI numbers, MAC addresses in plain text, or your actual measurement data (pitch/roll stream) are not transmitted. Error and crash reports are generally transmitted completely (each event) to Sentry in the delivery state; a configurable sample reduction is technically possible. However, pure performance measurements (tracing) are only collected proportionally (sampling).

Legal basis: Art. 6(1)(f) GDPR (legitimate interest in a stable, secure, and error-free app); Art. 32 GDPR (data security). Our legitimate interest prevails; processing is limited to the necessary minimum and secured by pseudonymization (anonymization of the device ID).

Recipient / Third-country transfer: see Section 9.1 (Sentry) and 9.2 (Firebase Crashlytics).

Retention period: Sentry and Firebase Crashlytics each usually 90 days; local debug logs only transient in working memory (deleted when the app is closed).

Objection: You have the right to object to this processing based on Art. 6(1)(f) GDPR for reasons relating to your particular situation (Art. 21 GDPR; see Section 14).

6. Usage Analysis (Firebase Analytics) – Only with Consent

If you consent to usage analysis, we collect the following data to improve the app and understand how features are used:

  • Accessed screens and functions, dwell time
  • Button presses / used controls and settings (without the content of your measurements)
  • Session start/end, session duration, and usage frequency
  • Device information (model, operating system, language, country from device settings)
  • Voluntarily provided age group (see Section 7)
  • Vehicle type and aid type (from app settings)
  • Events such as calibration, sensor connection/disconnection (sensor type, duration), completion of onboarding, performed leveling calculations (rounded tilt values, vehicle type, aids)
  • With additional location consent: anonymized (rounded to approx. 11 km) location data (see Section 7.3)
  • A pseudonymous installation ID automatically generated by Firebase (no name, no email)

The data does not contain the content of your measurements. Locally, usage counters are also kept (e.g., function and session counters); these are deleted during the privacy reset. In addition, analysis events are passed to Sentry as breadcrumb context, but only if the analysis consent is active.

Legal basis: Art. 6(1)(a) GDPR (consent) in conjunction with § 25(1) TDDDG (storage of or access to information in the end device). Consent is voluntary and disabled by default; it is given during onboarding or under Settings → Privacy & Analysis.

Recipient / Third-country transfer: see Section 9.2 (Google Firebase).

Retention period: at Firebase max. 14 months (Google standard) or until revocation; local counters until privacy reset or uninstallation.

Revocation: at any time in the app under Settings → Privacy & Analysis or by email to shop@mixcover.de.

6a. Use of Our Website app.040parts.com (Google Analytics 4) – Only with Consent

This privacy policy applies not only to the 040 Level App but also to our website app.040parts.com (including subpages such as Quickstart, Manual, FAQ, and the B2B order page). On this website, we use – exclusively with your consent – the web analytics service Google Analytics 4 (GA4) to statistically evaluate and improve website usage.

Consent via our consent banner (cookie banner): When the website is first accessed, Google Analytics is not activated. We use Google Consent Mode v2 with the default "denied" for all analysis and marketing storage purposes. Only when you actively click "Accept All" in the consent banner are analysis cookies set and data transmitted to Google. If you select "Necessary only," no analysis cookies are set; GA4 then at most sends cookieless, non-personally identifiable signals (so-called consent pings) without device identifiers. Your choice "Accept All" includes both analysis (Google Analytics) and marketing (Meta Pixel, see Section 6b).

Cross-domain measurement: Our website app.040parts.com and our shop 040parts.com use the same Google Analytics property. To evaluate a website visit and a subsequent purchase in the shop as a related process (cross-domain measurement), a pseudonymous measurement ID is passed in the URL when switching to the shop, provided consent is given. This is not associated with personal identification.

With consent given, Google Analytics processes in particular:

  • Accessed pages (URLs), page titles, referrer, and dwell time
  • Interactions such as scroll depth, clicks on external links, file downloads, internal search queries, and form interactions (so-called "enhanced measurement")
  • On the B2B order page, own events for order history (e.g., "form started", "order submitted" including order value) – without the content you entered such as name, company, email, or VAT ID; only the event is transmitted together with the order total
  • Approximate location information limited to city level, which Google derives from the IP address (the IP address itself is truncated/anonymized and not stored by us)
  • Technical details such as browser type, operating system, device category, screen resolution, and language setting
  • A pseudonymous client ID set by Google in the cookie (_ga, _ga_*) to recognize returning visits – no name, no email

No cross-device advertising: We have disabled "Google signals" and activated IP anonymization. A combination with Google advertising accounts or cross-device advertising profile creation by us does not take place.

Cookies: With consent given, Google Analytics sets, among others, the cookies _ga (lifetime up to 2 years) and _ga_<Container-ID> (lifetime up to 2 years) to distinguish visitors. Without consent, these cookies are not set.

Legal basis: Art. 6(1)(a) GDPR (consent) in conjunction with § 25(1) TDDDG. Consent is voluntary and can be revoked at any time with effect for the future.

Recipient / Third-country transfer: Google (see Section 9.2). Processing on servers in the USA is possible; Google has submitted to the EU Standard Contractual Clauses pursuant to Art. 46 GDPR.

Retention period: Usage/event data at Google max. 14 months; cookies with the lifetimes mentioned above or until deletion.

Revocation: You can revoke your consent at any time by opening "Cookie Settings" in the website footer and selecting "Necessary only," or by deleting the mentioned cookies in your browser. You can also prevent collection by Google Analytics via the Google browser add-on: https://tools.google.com/dlpage/gaoptout

6b. Meta Pixel (Facebook/Instagram) on Our Website – Only with Consent

On our website app.040parts.com, we use – exclusively with your consent – the Meta Pixel (also "Facebook Pixel") of Meta Platforms Ireland Limited. This allows us to measure the success of our advertisements on Meta services (Instagram, Facebook): We recognize whether a website visit goes back to a previously clicked ad, and can – if you then complete a purchase in our shop 040parts.com – attribute this success to the respective ad (conversion measurement). The pixel also enables the delivery of more precisely targeted advertising.

Consent: The Meta Pixel is not loaded when the website is first accessed. Only when you actively click "Accept All" in the consent banner (marketing consent) is the pixel loaded and activated. With "Necessary only," the Meta Pixel is not loaded; no data is transmitted to Meta.

With consent given, the Meta Pixel processes in particular:

  • The fact and time of the page visit and the accessed URL
  • A pseudonymous user/browser identifier (cookie _fbp) and – if you came via an ad – the click identifier of the ad (fbclid or cookie _fbc)
  • Technical details such as browser type, operating system, and IP address (processed by Meta in truncated form)
  • In the event of a later purchase, the conversion event via the pixel of the shop 040parts.com (see privacy policy of the shop)

We do not actively transmit any clear data you enter (name, email, address) to Meta via the pixel.

Joint controllership: For the collection and transmission of data by the pixel, we and Meta Platforms Ireland Limited are jointly responsible pursuant to Art. 26 GDPR. Subsequent processing is carried out under the sole responsibility of Meta. Details: https://www.facebook.com/legal/controller_addendum

Cookies: among others, _fbp (lifetime up to 3 months) and – in the case of an ad click – _fbc. Without consent, these cookies are not set.

Legal basis: Art. 6(1)(a) GDPR (consent) in conjunction with § 25(1) TDDDG. Consent is voluntary and can be revoked at any time with effect for the future.

Recipient / Third-country transfer: Meta (see Section 9.6). Processing on servers in the USA is possible.

Revocation: at any time via "Cookie Settings" in the website footer ("Necessary only" selection) and via the advertising settings of your Meta account.

7. Location Data, Weather, and Voluntary Age Group

7.1 Location Determination for Weather Display

The app can optionally display local weather data for your current location. For this, after granting location consent and the additionally required operating system permission, it determines your geographic coordinates (latitude/longitude) and transmits them to the weather service Open-Meteo (see Section 9.3) to retrieve current weather data and a forecast. The exact position is not stored permanently; weather data is only temporarily cached (in working memory approx. 30 minutes, locally up to 24 hours as fallback).

Legal basis: Art. 6(1)(a) GDPR (consent) in conjunction with § 25(1) TDDDG.

7.2 Weather Data Used

Processed for display, among others: temperature, wind, humidity, visibility, weather code, a location name obtained via reverse geocoding, and a 7-day forecast.

7.3 Anonymized Location Statistics

If both location and analysis consent are given, the app can transmit a position rounded to one decimal place (approx. 11 km grid, not personally identifiable) to Firebase Analytics to evaluate anonymized usage regions. No personal location tracking takes place.

Legal basis: Art. 6(1)(a) GDPR (consent).

7.4 Voluntary Age Group

During onboarding or newsletter registration, you can voluntarily specify an age group (e.g., "18–30", "30–40"). This serves to better select relevant content and – if provided – is stored locally and (with active analysis consent) transmitted as a Firebase user property and as part of a newsletter registration to Brevo/Shopify. Age groups in ranges of at least five years are not considered directly personally identifiable in themselves. The locally stored age group is deleted during the privacy reset (see Section 13.3).

Legal basis: Art. 6(1)(a) GDPR (voluntary consent).

Revocation/Objection: at any time via settings or the privacy reset; for Firebase/Brevo/Shopify via the respective revocation channels (Sections 6, 11, 12).

8. Push Notifications (Firebase Cloud Messaging)

The app can send you push notifications. We distinguish between two types:

  • Service and product information (e.g., app updates, new features, new products): You receive these as soon as you have allowed notifications at the operating system level.
  • Offers and advertising (discounts, promotions, news): You receive these only if you have additionally expressly consented to the category "Offers/Advertising."

We use Firebase Cloud Messaging (FCM) of Google Ireland Limited for delivery (see Section 9.2). A pseudonymous push token is generated on your device and transmitted to Google; messages can only be delivered via this. The token contains no name or email address. Processed in addition are the subscribed topics (e.g., "all", "app-updates", "products", "offers"), the permission status, and click/read status (local). Contents of individual push messages are stored exclusively locally (see Section 4.8).

Legal basis: Service/product push: Art. 6(1)(b) GDPR (contract performance – service information) or Art. 6(1)(f) GDPR in conjunction with § 25(2) TDDDG. Advertising push ("Offers"): Art. 6(1)(a) GDPR in conjunction with § 25(1) TDDDG, § 7(2) no. 3 UWG. Advertising consent is voluntary, disabled by default, and can be revoked at any time.

Recipient / Third-country transfer: see Section 9.2 (Google FCM, USA possible; SCC).

Retention period: FCM token until uninstallation/revocation of permission (rotated by Google); local news until privacy reset.

Revocation: at any time via the notification settings of your operating system; advertising push additionally in the app under Settings → Privacy & Analysis.

9. Service Providers and Third Parties Used

9.1 Sentry (Crash and Error Analysis)

Provider: Functional Software, Inc. ("Sentry"), 132 Hawthorne Street, San Francisco, CA 94107, USA. Processing takes place via the EU region (de.sentry.io); depending on configuration, processing on servers in the USA cannot be excluded.

  • Purpose: Crash/error analysis, performance and stability monitoring, processing of in-app feedback (see Section 10).
  • Legal basis: Art. 6(1)(f) GDPR (legitimate interest), for feedback with email provided additionally Art. 6(1)(a)/(b) GDPR.
  • Third-country guarantees: EU Standard Contractual Clauses pursuant to Art. 46 GDPR; processing agreement pursuant to Art. 28 GDPR.
  • Retention period: Usually 90 days.
  • Privacy Policy: https://sentry.io/privacy/

9.2 Google Firebase (Analytics, Crashlytics & Cloud Messaging / FCM)

Provider: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland ("Google"); for the USA: Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. Firebase project: "level-app-ad57e".

  • Services/Purpose: Firebase Analytics (app usage analysis, only with consent – Section 6), Firebase Crashlytics (crash reports, legitimate interest – Section 5), Firebase Cloud Messaging (push – Section 8), and Google Analytics 4 for the website app.040parts.com (web analysis, only with consent – Section 6a).
  • Legal basis: Analytics (App & Web)/FCM advertising: Art. 6(1)(a) GDPR; Crashlytics/Service push: Art. 6(1)(f) or (b) GDPR.
  • Third-country guarantees: Processing on Google servers in the USA is possible. Google has submitted to the EU Standard Contractual Clauses pursuant to Art. 46 GDPR; processing agreement pursuant to Art. 28 GDPR.
  • Retention period: Analytics max. 14 months; Crashlytics usually 90 days; FCM token until revocation/uninstallation.
  • Privacy Policy: https://policies.google.com/privacy
  • Firebase Privacy: https://firebase.google.com/support/privacy

9.3 Open-Meteo (Weather Data)

Provider: Open-Meteo, an open-source, free weather data service usable without an API key (open-meteo.com). To the best of our knowledge, hosting takes place within the EU or Switzerland. Only geographic coordinates are transmitted for retrieving weather data; no names, email addresses, or device/user identifiers are transmitted, and no user profiles are created. Since it is a free service without registration, there is generally no formal processing agreement pursuant to Art. 28 GDPR with Open-Meteo; however, the risk is low since only anonymous coordinates without reference to your person are transmitted.

  • Legal basis: Art. 6(1)(a) GDPR (location consent) or Art. 6(1)(b) GDPR (contract performance – weather function).
  • Third-country guarantees: To the best of our knowledge, processing within the EU or Switzerland (for Switzerland there is an adequacy decision pursuant to Art. 45 GDPR). Transfer to unsafe third countries is not intended.
  • Privacy Notes/Terms of Use: https://open-meteo.com/en/terms

9.4 Brevo (Newsletter and Transaction Email)

Provider: Sendinblue SAS ("Brevo"), 106 boulevard Haussmann, 75008 Paris, France. Processing on EU servers (France).

  • Purpose: Sending the double-opt-in confirmation and the newsletter; feedback notifications to us.
  • Legal basis: Art. 6(1)(a) GDPR in conjunction with § 7(2) no. 3 UWG (newsletter); Art. 6(1)(f) GDPR (internal feedback notification).
  • Third-country guarantees: Processing within the EU; processing agreement pursuant to Art. 28 GDPR.
  • Privacy Policy: https://www.brevo.com/de/legal/privacypolicy/

9.5 Shopify (Product Display & Newsletter Customer Record)

Provider: Shopify International Limited, Victoria Buildings, 2nd Floor, 1–2 Haddington Road, Dublin 4, D04 XN32, Ireland; parent company: Shopify Inc., Canada.

  • Purpose: Retrieval of public product information for the in-app product feed (only technical connection/product data, no customer data); after confirmed newsletter registration, storage as a customer record with newsletter status.
  • Legal basis: Art. 6(1)(b) GDPR (product feed) or Art. 6(1)(f) GDPR (legitimate interest in product information); customer record: Art. 6(1)(a) GDPR (consent).
  • Third-country guarantees: Transfer to third countries (e.g., USA/Canada) may take place; Shopify has agreed to appropriate guarantees pursuant to Art. 46 GDPR (EU Standard Contractual Clauses). For Canada, there is also an adequacy decision of the EU Commission (Art. 45 GDPR) for organizations subject to PIPEDA. Processing/data processing agreement pursuant to Art. 28 GDPR.
  • Privacy Policy: https://www.shopify.com/legal/privacy

9.6 Meta (Meta Pixel / Facebook & Instagram)

Provider: Meta Platforms Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Ireland ("Meta"); for the USA: Meta Platforms, Inc., 1601 Willow Road, Menlo Park, CA 94025, USA.

  • Service/Purpose: Meta Pixel on the website app.040parts.com for conversion and reach measurement of our advertisements on Meta services Instagram/Facebook (only with consent – Section 6b).
  • Legal basis: Art. 6(1)(a) GDPR in conjunction with § 25(1) TDDDG; for data collection by the pixel, joint controllership pursuant to Art. 26 GDPR.
  • Third-country guarantees: Processing in the USA is possible. Meta Platforms, Inc. is certified under the EU-US Data Privacy Framework (adequacy decision of the EU Commission pursuant to Art. 45 GDPR); additionally, EU Standard Contractual Clauses pursuant to Art. 46 GDPR exist.
  • Retention period: Cookie lifetimes according to Section 6b; further processing by Meta according to their specifications.
  • Privacy Policy: https://www.facebook.com/privacy/policy

9.7 Own Server of Mixcover GmbH (Relay)

Newsletter registrations and in-app feedback are first transmitted to our own server (operated by Mixcover GmbH, server location within the EU) and stored there. From there, depending on the function, forwarding to Brevo, Shopify, Sentry, and an internal notification to our team via the messenger service Telegram takes place.

Internal Team Notification via Telegram: Provider is Telegram FZ-LLC (Dubai, United Arab Emirates). Telegram serves exclusively for internal notification of our team (e.g., "new feedback received") and is not a communication channel addressed by the user. We limit the content transmitted to Telegram to what is necessary; we avoid transmitting cleartext content with personal reference (in particular an email address voluntarily provided by you) to the extent possible on the server side as part of data minimization. The United Arab Emirates are a third country without an adequacy decision of the EU Commission. To the extent that personal data is nevertheless transmitted via Telegram in individual cases, we base this on appropriate guarantees pursuant to Art. 46 GDPR (EU Standard Contractual Clauses) or – where applicable – on an exception pursuant to Art. 49(1) GDPR; otherwise, transmission takes place exclusively of anonymized or non-personally identifiable hints.

  • Legal basis: Art. 6(1)(a) GDPR (newsletter), Art. 6(1)(b) and (f) GDPR (support/feedback, internal notification).
  • Telegram Privacy Policy: https://telegram.org/privacy

9.8 Transfer to Other Third Parties

Your personal data will not be transferred to other third parties unless: you have expressly consented; the transfer is necessary for contract performance; we are legally obliged to make the transfer; or the transfer is necessary for the enforcement of our rights.

10. In-App Feedback (Error Reports & Feature Requests)

Via the feedback function, you can report errors or send feature requests. In doing so, we process: your feedback text, the type (bug/request), optionally your email address (for follow-up questions), app version/build, platform and OS version, language, timestamp, and – if attached by you – a screenshot. The transmission takes place to our own server (lager.mix-cover.de or lagerbestands-tool, EU) and in parallel to Sentry; server-side, an internal Telegram notification takes place (see Section 9.7, including third-country notice Telegram FZ-LLC/UAE) and an email is sent to our team via Brevo.

Providing an email address is voluntary and only required if you want a response.

Legal basis: Art. 6(1)(b) GDPR (processing of your support request) and Art. 6(1)(f) GDPR (legitimate interest in product improvement); if an email address is optionally provided, Art. 6(1)(a) GDPR (consent to contact).

Recipient / Third-country transfer: own server (EU), Brevo (EU), Sentry (see 9.1, possibly USA with SCC), internal Telegram notification (see 9.6, UAE = third country; data minimization, possibly SCC/Art. 49 GDPR).

Retention period: on our server up to 12 months (for trend and error analysis); Sentry usually 90 days; an attached screenshot only until processed.

11. Newsletter Registration

If you register for the newsletter in the app, we process your email address, optionally first and last name, and – if you provide it – your voluntary age group, exclusively for sending the newsletter (news, product news, offers from 040 Parts). Additionally, we store the language selected in the app (for the newsletter in your language), your device platform (only roughly: iOS or Android), the app version, the time, and your consent (marketing checkbox). Registration runs via our own server (EU); for email sending we use Brevo (Section 9.4) and store you after confirmation as a customer with newsletter status in our Shopify shop (Section 9.5).

For data economy reasons, in case of temporarily missing internet connection only your email address is cached locally (offline queue) and the registration is completed on the next app start; first/last name is intentionally not stored locally. A phone number or your exact device model is not collected for the newsletter.

Legal basis: Art. 6(1)(a) GDPR in conjunction with § 7(2) no. 3 UWG. Registration follows the double-opt-in procedure: You receive a confirmation email and are only added to the distribution list after confirmation.

Recipient / Third-country transfer: own server (EU), Brevo (EU), Shopify (see 9.5, possibly USA/Canada with SCC or adequacy decision).

Retention period: until consent is revoked or unsubscribed; the offline queue locally only until successfully sent.

Revocation: at any time via the unsubscribe link in each email or by message to shop@040parts.com or shop@mixcover.de.

12. Shopify Product Feed (New Products in the App)

To display new products (marked "New"), the app retrieves public product data via the Shopify Storefront interface (product ID, title, shortened description, price, image URL, shop link). Locally, technical values are stored to control display (e.g., retrieved product cache, products already seen, session counters, hide status); these do not leave your device. Any success measurement ("seen"/"hidden") only takes place with active analysis consent. The locally stored control values including the product cache are deleted during the privacy reset (see Section 13.3).

Legal basis: Art. 6(1)(b) GDPR (contract performance – product display) or Art. 6(1)(f) GDPR (legitimate interest in product information); local tracking with success measurement: Art. 6(1)(a) GDPR.

Recipient / Third-country transfer: Shopify (see 9.5).

Retention period: Product cache locally 24 hours; "seen"/"hidden" values until privacy reset.

13. Device Permissions, Data Security, and Privacy Reset

13.1 Device Permissions

The app requests the following operating system permissions – each only when needed: Bluetooth (connection to the sensor), location (weather/camping spot), camera and photo library (optional screenshot for feedback), microphone or audio playback (acoustic hints/background mode), and notifications (push). You can revoke granted permissions at any time in the device settings.

13.2 Data Security

We employ technical and organizational security measures pursuant to Art. 32 GDPR to protect your data against loss, manipulation, and unauthorized access. Transfers to service providers are encrypted (HTTPS/TLS). Local app data is stored in the secured app storage of the operating system, to which other apps have no access. Device IDs/MAC addresses are pseudonymized before any external transmission (only the last 4 characters).

13.3 Privacy Reset (Right to Erasure)

Via the privacy reset in settings, you can delete all locally stored personal data – in particular sensor profiles (including stored MAC addresses), the weather cache, analysis counters, your voluntarily provided age group, the local Shopify product cache and associated display control values, stored news, the offline newsletter queue, and all consent settings. In doing so, we immediately implement your right to erasure (Art. 17 GDPR) for locally held data. Complete deletion of all local data is also achieved by uninstalling the app.

14. Your Rights as a Data Subject

You have the following rights pursuant to Art. 15–21 GDPR:

  • Right of access (Art. 15 GDPR): Confirmation and information as to whether and which data concerning you we process.
  • Right to rectification (Art. 16 GDPR): Correction of incorrect or completion of incomplete data.
  • Right to erasure (Art. 17 GDPR): Erasure of your data ("right to be forgotten"), insofar as no legal retention obligations oppose this.
  • Right to restriction of processing (Art. 18 GDPR).
  • Right to data portability (Art. 20 GDPR): Receipt of your data in a structured, commonly used, machine-readable format.
  • Right to object (Art. 21 GDPR): Objection to processing based on Art. 6(1)(f) GDPR (legitimate interest) for reasons relating to your particular situation.

Revocation of consent: You can revoke consent given at any time with effect for the future (Art. 7(3) GDPR). The lawfulness of processing carried out until revocation remains unaffected.

  • In the app: Settings → Privacy & Analysis → Manage consent
  • By email: shop@mixcover.de

After revocation, no new data will be collected on the basis of the revoked consent; data already collected will be deleted unless there is a legal retention obligation.

15. Right to Lodge a Complaint with the Supervisory Authority

Without prejudice to any other administrative or judicial remedy, you have the right to lodge a complaint with a data protection supervisory authority, in particular in the member state of your habitual residence, your place of work, or the place of the alleged infringement.

The supervisory authority responsible for us as the controller is:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Hamburg Web: https://datenschutz-hamburg.de

16. Contact for Data Protection Requests

For questions about data protection, exercising your rights, or revoking consent, please contact:

Mixcover GmbH c/o Timo Plogstedt Neumann-Reichardt-Str. 27-33, 22041 Hamburg Email: shop@mixcover.de Phone: +49 40 98241564

We process requests within the statutory period (generally one month, Art. 12(3) GDPR).

17. Retention Period Overview

Data Type Retention Period
Sensor/measurement data, BLE scan, phone IMU Only transient in working memory; deleted when app is closed
Local settings, calibration, sensor profiles (incl. MAC) Until profile deletion, privacy reset, or uninstallation
Voluntary age group (local) Until privacy reset or uninstallation
Privacy/consent status (local) Until change, privacy reset, or uninstallation
Local messages ("News") Until privacy reset or uninstallation
Crash reports (Sentry) Usually 90 days
Crash reports (Firebase Crashlytics) Usually 90 days
Usage analysis (Firebase Analytics) Max. 14 months (Google standard) or until revocation
Website analysis (Google Analytics 4, app.040parts.com) Max. 14 months; cookies _ga/_ga_* up to 2 years or until revocation
Analysis counters (local) Until privacy reset
Location data No permanent storage; weather cache locally up to 24 h
In-app feedback (own server) Up to 12 months; screenshot only until processed
Newsletter (own server / Brevo / Shopify) Until unsubscription / revocation of consent
FCM push token Until uninstallation / revocation of permission
Shopify product cache (local) 24 hours or until privacy reset

After the respective retention period expires, data is routinely deleted unless a legal retention obligation exists.

18. Changes to This Privacy Policy

We reserve the right to adapt this privacy policy to always comply with current legal requirements or changes to our services. The current version is available in the app under Settings → Privacy and online at app.040parts.com/<language>/privacy. In the event of significant changes, you will be informed on the next app start and – to the extent required by law – asked for renewed consent.

19. Applicable Law & Jurisdiction

The law of the Federal Republic of Germany shall apply, excluding the UN Convention on Contracts for the International Sale of Goods, insofar as this is not opposed by mandatory legal provisions – particularly those of consumer protection or data protection law. To the extent permitted by law, exclusive jurisdiction for all disputes arising from or in connection with this privacy policy is Hamburg. Statutory jurisdictions – particularly for consumers – remain unaffected.

20. Governing Language Version

This privacy policy is provided in multiple languages. In the event of discrepancies or differences in interpretation between the language versions, the German version is legally authoritative.

This privacy policy applies exclusively to the 040 Level App. It does not apply to linked external websites or third-party services.

Status: June 2026 | Version 1.4

This translation is provided for convenience only. Only the German version (below) is legally binding.

Deutsche Fassung — rechtlich maßgeblich

Datenschutzerklärung – 040 Level App

Stand: Juni 2026 | Version: 1.4

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Mixcover GmbH Neumann-Reichardt-Str. 27-33 22041 Hamburg Deutschland

E-Mail: shop@mixcover.de Telefon: +49 40 98241564

Geschäftsführer: Timo Plogstedt, Philip Bonmann Handelsregister: HRB 173050, Amtsgericht Hamburg USt-IdNr.: DE350528375

Ein Datenschutzbeauftragter ist gesetzlich nicht bestellt. Bei allen Fragen zum Datenschutz wenden Sie sich bitte an die oben genannten Kontaktdaten (siehe auch Abschnitt 16).

2. Allgemeines zur Datenverarbeitung

Wir erheben und verwenden personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen App sowie unserer Inhalte und Leistungen erforderlich ist oder Sie hierin eingewilligt haben. Die Erhebung und Verwendung personenbezogener Daten unserer Nutzer erfolgt regelmäßig nur nach Einwilligung des Nutzers. Eine Ausnahme gilt in solchen Fällen, in denen eine vorherige Einholung einer Einwilligung aus tatsächlichen Gründen nicht möglich ist und die Verarbeitung der Daten durch gesetzliche Vorschriften gestattet ist.

Die 040 Level App dient der Nivellierung (dem „Ausrichten in die Waage") von Wohnmobilen, Wohnwagen und Campervans. Hierfür verbindet sich die App per Bluetooth Low Energy (BLE) mit einem 040-Level-Sensor (KBeacon) oder nutzt alternativ – sofern Sie dies wählen – die im Smartphone verbauten Bewegungssensoren (Handy-IMU). Die eigentlichen Mess- und Sensordaten (Neigungswinkel, Beschleunigung, Temperatur, Batterie) werden grundsätzlich ausschließlich lokal auf Ihrem Gerät verarbeitet und nicht an uns oder Dritte übertragen.

Soweit innerhalb dieser Datenschutzerklärung auf eine Übermittlung in Drittländer (insbesondere die USA) hingewiesen wird, erfolgt diese auf Grundlage geeigneter Garantien nach Art. 46 DSGVO, insbesondere der EU-Standardvertragsklauseln (Standard Contractual Clauses, SCC). Sie können bei den jeweiligen Anbietern bzw. bei uns eine Kopie dieser Garantien anfordern.

3. Datenverarbeitung bei Kindern

Diese App richtet sich nicht an Kinder unter 16 Jahren. Wir erheben wissentlich keine personenbezogenen Daten von Kindern unter 16 Jahren. Die App nutzt keine technische Altersverifikation; die freiwillige Angabe einer Altersgruppe (siehe Abschnitt 7.4) ist eine reine Komfortfunktion und stellt keinen aktiven Minderjährigenschutz dar. Sofern Sie das 16. Lebensjahr noch nicht vollendet haben, holen Sie bitte die Einwilligung Ihrer Erziehungsberechtigten ein, bevor Sie der App optionale Einwilligungen (Analyse, Standort, Werbung) erteilen. Sollten wir Kenntnis davon erlangen, dass wir ohne wirksame Einwilligung personenbezogene Daten eines Kindes verarbeitet haben, werden wir diese Daten unverzüglich löschen.

4. Lokale Verarbeitung auf Ihrem Gerät (keine Übermittlung)

Die folgenden Daten werden ausschließlich lokal in der gesicherten App-Umgebung Ihres Geräts gespeichert bzw. verarbeitet und verlassen Ihr Gerät grundsätzlich nicht. Eine Übermittlung an uns oder Dritte findet hierbei nicht statt; ein Drittlandtransfer entfällt.

4.1 Sensor- und Messdaten

Bei verbundenem 040-Level-Sensor verarbeitet die App in Echtzeit (mehrfach pro Sekunde):

  • Signalstärke (RSSI), geschätzte Sendeleistung (TX-Power)
  • rohe Beschleunigungswerte (ax/ay/az in m/s²)
  • berechnete Neigungswinkel (Pitch/Roll)
  • Batteriespannung (mV) und Batteriestand (%)
  • Temperatur (°C/°F)
  • Statusbits/Sensor-Flags, Gerätename, MAC-Adresse des Sensors

Diese Daten werden nicht dauerhaft gespeichert; sie werden im Arbeitsspeicher gehalten und laufend durch neue Messwerte überschrieben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags über die App – Kernfunktion Nivellierung).

4.2 Geräteerkennung & Verbindungsverwaltung (BLE-Scan)

Zum Auffinden und Verbinden von Sensoren verarbeitet die App: Geräte-ID (MAC), Gerätename (z. B. „040_level_XXXXX", „KBPro_XXXXX"), RSSI-Verlauf (Ringpuffer der letzten 20 Werte), Zeitstempel der letzten Sichtung sowie ggf. eine Eddystone-URL. Diese Informationen werden in einem flüchtigen Zwischenspeicher gehalten, der beim Beenden der App gelöscht wird; nicht mehr sichtbare Geräte werden nach kurzer Zeit automatisch entfernt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – BLE-Konnektivität).

4.3 Sensor-Konfiguration & Authentifizierung (Provisionierung)

Zur sicheren Verbindung und Konfiguration des KBeacon-Sensors verarbeitet die App ein Geräte-Passwort (nur im Arbeitsspeicher, niemals dauerhaft gespeichert, fest in die App einkompiliert), die MAC-Adresse zur Berechnung der Authentifizierung, GATT-UUIDs sowie eine Konfigurations-Versionsnummer. Das Passwort verlässt die App zu keinem Zeitpunkt und wird ausschließlich gegenüber dem gekoppelten Sensor verwendet. Lediglich die Konfigurations-Versionsnummer wird lokal gespeichert, um zu erkennen, ob eine Aktualisierung nötig ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Geräte-Provisionierung); Art. 32 DSGVO (Datensicherheit).

4.4 Kalibrierungs-Offsets

Zur Korrektur des Sensoreinbaus und der Ausrichtung speichert die App Kalibrierungswerte (Pitch-/Roll-Offset, Feinkorrektur, Yaw-Offset) – global sowie je Sensorprofil.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – nutzerbezogene Einstellungsdaten).

4.5 Handy-IMU (Bewegungssensoren des Smartphones)

Wenn Sie keinen externen Sensor nutzen möchten, kann die App alternativ die im Smartphone verbauten Bewegungssensoren (Beschleunigungssensor/Gyroskop) verwenden. Dabei werden Beschleunigung (x/y/z m/s²), Drehraten (x/y/z rad/s) sowie daraus berechnete Neigungswinkel verarbeitet. Diese Daten werden ausschließlich lokal verarbeitet, nur im Arbeitsspeicher gehalten und beim Beenden der Funktion verworfen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Nivellierung ohne externe Hardware) bzw., soweit Sie diese Betriebsart aktiv wählen, Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

4.6 Sensorprofile (Mehrprofil-Verwaltung)

Sie können je Sensor mehrere Konfigurationen anlegen (z. B. „PKW 160 cm", „Womo 305 cm"). Gespeichert werden u. a.: Profil-ID, Geräte-ID (MAC), Anzeigename, Fahrzeugtyp, Spurweite (vorne/hinten in cm), Radstand/Achsabstand, Konfiguration der Hilfsmittel (Keile/Kissen/Heber), Anzeigeeinstellungen, Sensorausrichtung und Kalibrierungs-Offsets. Diese Profile werden lokal gespeichert und bleiben bestehen, bis Sie das Profil löschen, die App deinstallieren oder den Datenschutz-Reset auslösen (siehe Abschnitt 13).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Profil-/Einstellungsdaten).

4.7 App-Einstellungen & Präferenzen

Lokal gespeichert werden Ihre Einstellungen, u. a.: Temperatur-Einheit (°C/°F), Längeneinheit (cm/inch), Ton/Vibration an/aus, Sensorausrichtung, Glättungs-/Filter-Parameter, Nachkommastellen, Theme, Sprache, App-Modus, Senioren-/Lupenmodus, Hintergrunddienst an/aus, zuletzt verbundener Sensor, Ansichtsmodus, Toleranzwinkel sowie Hilfsmittel-Einstellungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Einstellungsdaten).

4.8 Lokal gespeicherte Nachrichten („News")

Inhalte von Push-Nachrichten (siehe Abschnitt 8) werden ausschließlich lokal im gesicherten App-Speicher abgelegt, damit Sie sie später unter „Updates & Neuigkeiten" nachlesen können (max. 100 Einträge). Diese Daten verlassen Ihr Gerät nicht. Sie können sie jederzeit löschen (Datenschutz-Reset oder Deinstallation); zudem können wir einzelne Nachrichten per Lösch-Befehl serverseitig entfernen lassen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Anzeige empfangener Service-Nachrichten).

4.9 Home-/Sperrbildschirm-Widget

Falls Sie ein Home- bzw. Sperrbildschirm-Widget einrichten, werden die zuletzt bekannten Neigungswerte sowie ein Aktualisierungszeitstempel lokal für die Widget-Anzeige bereitgehalten. Eine externe Übertragung findet nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Komfortfunktion).

4.10 Datenschutz-Einwilligungsstatus

Zur Umsetzung und zum Nachweis Ihrer Einwilligungen speichern wir lokal Ihre Einwilligungs-Auswahl (technisch/Analyse/Standort/Werbung), einen Hinweis-Status sowie den Zeitstempel Ihrer Einwilligung. Dieser Status steuert, ob optionale Funktionen aktiv sind, und dient als Einwilligungsnachweis.

Rechtsgrundlage: Art. 7 Abs. 1 DSGVO (Nachweis der Einwilligung); Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht).

5. Absturz- und Fehlerberichte (Sentry & Firebase Crashlytics)

Zur Sicherstellung der Stabilität, Sicherheit und Funktionsfähigkeit der App verarbeiten wir Absturz- und Fehlerberichte. Diese Verarbeitung erfolgt aus berechtigtem Interesse und ist technisch erforderlich; sie ist nicht von einer Analyse-Einwilligung abhängig.

Verarbeitete Datenarten:

  • Art, Typ und Beschreibung des Fehlers, Stacktrace
  • Verlaufsspuren („Breadcrumbs": z. B. aufgerufene Screens, Tastendrücke, BLE-Ereignisse, Verbindungsabbrüche/-timeouts, Signalqualität)
  • anonymisierte Geräte-ID (nur die letzten 4 Zeichen, z. B. „…F2A7")
  • Plattform, Betriebssystem-Version, App-Version/Build-Nummer, Gerätemodell, Spracheinstellung
  • Performance-Kennzahlen (z. B. Verarbeitungsdauer, Bildrate) und Hinweise auf fehlerhafte Sensordaten (nur die ersten Bytes als Hex-Wert, keine Inhalte)

Vollständige Geräte-IDs, IMEI-Nummern, MAC-Adressen im Klartext oder Ihre eigentlichen Messdaten (Pitch/Roll-Stream) werden nicht übertragen. Fehler- und Absturzberichte werden im Auslieferungszustand grundsätzlich vollständig (jedes Ereignis) an Sentry übermittelt; eine konfigurierbare Stichproben-Reduktion ist technisch möglich. Reine Performance-Messungen (Tracing) werden hingegen nur anteilig (Stichprobe) erhoben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer stabilen, sicheren und fehlerfreien App); Art. 32 DSGVO (Datensicherheit). Unser berechtigtes Interesse überwiegt; die Verarbeitung ist auf das notwendige Minimum beschränkt und durch Pseudonymisierung (Anonymisierung der Geräte-ID) abgesichert.

Empfänger / Drittlandtransfer: siehe Abschnitt 9.1 (Sentry) und 9.2 (Firebase Crashlytics).

Speicherdauer: Sentry und Firebase Crashlytics jeweils i. d. R. 90 Tage; lokale Debug-Protokolle nur flüchtig im Arbeitsspeicher (gelöscht beim Beenden der App).

Widerspruch: Sie haben das Recht, dieser auf Art. 6 Abs. 1 lit. f DSGVO gestützten Verarbeitung aus Gründen Ihrer besonderen Situation zu widersprechen (Art. 21 DSGVO; siehe Abschnitt 14).

6. Nutzungsanalyse (Firebase Analytics) – nur mit Einwilligung

Wenn Sie der Nutzungsanalyse zustimmen, erheben wir zur Verbesserung der App und zum Verständnis der Funktionsnutzung folgende Daten:

  • aufgerufene Screens und Funktionen, Verweildauer
  • Tastendrücke / genutzte Schaltflächen und Einstellungen (ohne Inhalte Ihrer Messungen)
  • Sitzungsstart/-ende, Sitzungsdauer und Nutzungshäufigkeit
  • Geräteinformationen (Modell, Betriebssystem, Sprache, Land aus den Geräteeinstellungen)
  • freiwillig angegebene Altersgruppe (siehe Abschnitt 7)
  • Fahrzeugtyp und Hilfsmitteltyp (aus den App-Einstellungen)
  • Ereignisse wie Kalibrierung, Sensor-Verbindung/-Trennung (Sensortyp, Dauer), Abschluss des Onboardings, durchgeführte Nivellierungs-Berechnungen (Neigungswerte gerundet, Fahrzeugtyp, Hilfsmittel)
  • bei zusätzlicher Standort-Einwilligung: anonymisierte (auf ca. 11 km gerundete) Standortangaben (siehe Abschnitt 7.3)
  • eine von Firebase automatisch erzeugte pseudonyme Installations-ID (kein Name, keine E-Mail)

Die Daten enthalten keine Inhalte Ihrer Messungen. Lokal werden zudem Nutzungszähler (z. B. Funktions- und Sitzungszähler) gehalten; diese werden beim Datenschutz-Reset gelöscht. Ergänzend werden Analyse-Ereignisse als Breadcrumb-Kontext an Sentry übergeben, jedoch nur, wenn die Analyse-Einwilligung aktiv ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i. V. m. § 25 Abs. 1 TDDDG (Speichern von bzw. Zugriff auf Informationen im Endgerät). Die Einwilligung ist freiwillig und standardmäßig deaktiviert; sie wird im Onboarding bzw. unter Einstellungen → Datenschutz & Analyse erteilt.

Empfänger / Drittlandtransfer: siehe Abschnitt 9.2 (Google Firebase).

Speicherdauer: bei Firebase max. 14 Monate (Google-Standard) bzw. bis zum Widerruf; lokale Zähler bis zum Datenschutz-Reset oder zur Deinstallation.

Widerruf: jederzeit in der App unter Einstellungen → Datenschutz & Analyse oder per E-Mail an shop@mixcover.de.

6a. Nutzung unserer Website app.040parts.com (Google Analytics 4) – nur mit Einwilligung

Die vorliegende Datenschutzerklärung gilt nicht nur für die 040 Level App, sondern auch für unsere Website app.040parts.com (inklusive der Unterseiten wie Quickstart, Handbuch, FAQ und der B2B-Bestellseite). Auf dieser Website setzen wir – ausschließlich mit Ihrer Einwilligung – den Webanalysedienst Google Analytics 4 (GA4) ein, um die Nutzung der Website statistisch auszuwerten und sie zu verbessern.

Einwilligung über unser Consent-Banner (Cookie-Banner): Beim ersten Aufruf der Website wird Google Analytics nicht aktiviert. Wir verwenden den Google Consent Mode v2 mit der Voreinstellung „abgelehnt" für alle Analyse- und Marketing-Speicherzwecke. Erst wenn Sie im Consent-Banner aktiv auf „Alle akzeptieren" klicken, werden Analyse-Cookies gesetzt und Daten an Google übermittelt. Wählen Sie „Nur notwendige", werden keine Analyse-Cookies gesetzt; GA4 sendet dann allenfalls cookielose, nicht auf Sie beziehbare Signale (sog. Consent-Pings) ohne Endgeräte-Identifikatoren. Ihre Wahl „Alle akzeptieren" umfasst sowohl die Analyse (Google Analytics) als auch das Marketing (Meta-Pixel, siehe Abschnitt 6b).

Domainübergreifende Messung: Unsere Website app.040parts.com und unser Shop 040parts.com verwenden dieselbe Google-Analytics-Property. Damit ein Websitebesuch und ein anschließender Einkauf im Shop als zusammenhängender Vorgang ausgewertet werden können (domainübergreifende Messung), wird bei erteilter Einwilligung beim Wechsel auf den Shop eine pseudonyme Mess-Kennung in der URL übergeben. Eine personenbezogene Identifizierung ist damit nicht verbunden.

Bei erteilter Einwilligung verarbeitet Google Analytics insbesondere:

  • aufgerufene Seiten (URLs), Seitentitel, Verweisquelle (Referrer) und Verweildauer
  • Interaktionen wie Scrolltiefe, Klicks auf externe Links, Datei-Downloads, interne Suchanfragen sowie Formular-Interaktionen (sog. „optimierte Analysen"/Enhanced Measurement)
  • auf der B2B-Bestellseite eigene Ereignisse zum Bestellverlauf (z. B. „Formular begonnen", „Bestellung abgeschickt" inkl. Bestellwert) – ohne die von Ihnen eingegebenen Inhalte wie Name, Firma, E-Mail oder USt-ID; übertragen wird nur das Ereignis nebst Bestellsumme
  • ungefähre, auf Stadtebene begrenzte Standortinformation, die Google aus der IP-Adresse ableitet (die IP-Adresse selbst wird gekürzt/anonymisiert verarbeitet und nicht durch uns gespeichert)
  • technische Angaben wie Browsertyp, Betriebssystem, Gerätekategorie, Bildschirmauflösung und Spracheinstellung
  • eine pseudonyme, von Google im Cookie gesetzte Client-ID (_ga, _ga_*) zur Wiedererkennung wiederkehrender Besuche – kein Name, keine E-Mail

Keine geräteübergreifende Werbung: Wir haben „Google-Signale" deaktiviert und die IP-Anonymisierung aktiviert. Eine Zusammenführung mit Google-Werbekonten oder eine geräteübergreifende Werbe-Profilbildung findet durch uns nicht statt.

Cookies: Bei erteilter Einwilligung setzt Google Analytics u. a. die Cookies _ga (Laufzeit bis zu 2 Jahre) und _ga_<Container-ID> (Laufzeit bis zu 2 Jahre) zur Unterscheidung von Besuchern. Ohne Einwilligung werden diese Cookies nicht gesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i. V. m. § 25 Abs. 1 TDDDG (Speichern von bzw. Zugriff auf Informationen im Endgerät). Die Einwilligung ist freiwillig und jederzeit mit Wirkung für die Zukunft widerrufbar.

Empfänger / Drittlandtransfer: Google (siehe Abschnitt 9.2). Eine Verarbeitung auf Servern in den USA ist möglich; Google hat sich den EU-Standardvertragsklauseln nach Art. 46 DSGVO unterstellt.

Speicherdauer: Nutzungs-/Ereignisdaten bei Google max. 14 Monate; Cookies mit den oben genannten Laufzeiten bzw. bis zu deren Löschung.

Widerruf: Sie können Ihre Einwilligung jederzeit widerrufen, indem Sie im Footer der Website „Cookie-Einstellungen" öffnen und „Nur notwendige" wählen, oder indem Sie die genannten Cookies in Ihrem Browser löschen. Zusätzlich können Sie die Erfassung durch Google Analytics über das Browser-Add-on von Google unterbinden: https://tools.google.com/dlpage/gaoptout

6b. Meta-Pixel (Facebook/Instagram) auf unserer Website – nur mit Einwilligung

Auf unserer Website app.040parts.com setzen wir – ausschließlich mit Ihrer Einwilligung – das Meta-Pixel (auch „Facebook-Pixel") der Meta Platforms Ireland Limited ein. Damit messen wir den Erfolg unserer Werbeanzeigen in den Meta-Diensten (Instagram, Facebook): Wir erkennen, ob ein Websitebesuch auf eine zuvor angeklickte Anzeige zurückgeht, und können – sofern Sie anschließend in unserem Shop 040parts.com einen Kauf abschließen – diesen Erfolg der jeweiligen Anzeige zuordnen (Conversion-Messung). Außerdem ermöglicht das Pixel die Aussteuerung passgenauerer Werbung.

Einwilligung: Das Meta-Pixel wird beim ersten Aufruf der Website nicht geladen. Erst wenn Sie im Consent-Banner aktiv auf „Alle akzeptieren" klicken (Marketing-Einwilligung), wird das Pixel nachgeladen und aktiv. Bei „Nur notwendige" wird das Meta-Pixel nicht geladen; es werden keine Daten an Meta übermittelt.

Bei erteilter Einwilligung verarbeitet das Meta-Pixel insbesondere:

  • die Tatsache und den Zeitpunkt des Seitenbesuchs sowie die aufgerufene URL
  • eine pseudonyme Nutzer-/Browser-Kennung (Cookie _fbp) sowie – sofern Sie über eine Anzeige gekommen sind – die Klick-Kennung der Anzeige (fbclid bzw. Cookie _fbc)
  • technische Angaben wie Browsertyp, Betriebssystem und IP-Adresse (von Meta gekürzt verarbeitet)
  • bei einem späteren Kauf das Conversion-Ereignis über das Pixel des Shops 040parts.com (siehe Datenschutzerklärung des Shops)

Wir übermitteln über das Pixel keine von Ihnen eingegebenen Klardaten (Name, E-Mail, Adresse) aktiv an Meta.

Gemeinsame Verantwortlichkeit: Für die Erhebung und Übermittlung der Daten durch das Pixel sind wir und die Meta Platforms Ireland Limited gemeinsam Verantwortliche nach Art. 26 DSGVO. Die anschließende Weiterverarbeitung erfolgt in alleiniger Verantwortung von Meta. Einzelheiten: https://www.facebook.com/legal/controller_addendum

Cookies: u. a. _fbp (Laufzeit bis zu 3 Monate) und – bei Anzeigenklick – _fbc. Ohne Einwilligung werden diese Cookies nicht gesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i. V. m. § 25 Abs. 1 TDDDG. Die Einwilligung ist freiwillig und jederzeit mit Wirkung für die Zukunft widerrufbar.

Empfänger / Drittlandtransfer: Meta (siehe Abschnitt 9.6). Eine Verarbeitung auf Servern in den USA ist möglich.

Widerruf: jederzeit über „Cookie-Einstellungen" im Footer der Website („Nur notwendige" wählen) sowie über die Werbeeinstellungen Ihres Meta-Kontos.

7. Standortdaten, Wetter und freiwillige Altersgruppe

7.1 Standortermittlung für die Wetteranzeige

Die App kann auf Wunsch lokale Wetterdaten zu Ihrem aktuellen Standort anzeigen. Hierfür ermittelt sie – nach Erteilung der Standort-Einwilligung und der zusätzlich erforderlichen Betriebssystem-Berechtigung – Ihre geografischen Koordinaten (Breiten-/Längengrad) und übermittelt diese an den Wetterdienst Open-Meteo (siehe Abschnitt 9.3), um aktuelle Wetterdaten und eine Vorhersage abzurufen. Die genaue Position wird nicht dauerhaft gespeichert; die Wetterdaten werden lediglich kurzzeitig zwischengespeichert (im Arbeitsspeicher ca. 30 Minuten, lokal bis zu 24 Stunden als Fallback).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i. V. m. § 25 Abs. 1 TDDDG.

7.2 Verwendete Wetterdaten

Verarbeitet werden zur Anzeige u. a. Temperatur, Wind, Luftfeuchtigkeit, Sicht, Wettercode, ein per Reverse-Geocoding ermittelter Ortsname sowie eine 7-Tage-Vorhersage.

7.3 Anonymisierte Standort-Statistik

Sofern sowohl die Standort- als auch die Analyse-Einwilligung vorliegen, kann die App eine auf eine Dezimalstelle gerundete Position (ca. 11-km-Raster, nicht personenbeziehbar) an Firebase Analytics übermitteln, um anonymisierte Nutzungsregionen auszuwerten. Eine personenbezogene Standortverfolgung findet nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

7.4 Freiwillige Altersgruppe

Im Onboarding oder bei der Newsletter-Anmeldung können Sie freiwillig eine Altersgruppe (z. B. „18–30", „30–40") angeben. Diese dient der besseren Auswahl relevanter Inhalte und wird – sofern angegeben – lokal sowie (bei aktiver Analyse-Einwilligung) als Firebase-Nutzereigenschaft und im Rahmen einer Newsletter-Anmeldung an Brevo/Shopify übermittelt. Altersgruppen in Spannen von mindestens fünf Jahren gelten für sich genommen nicht als unmittelbar personenbeziehbar. Die lokal gespeicherte Altersgruppe wird beim Datenschutz-Reset gelöscht (siehe Abschnitt 13.3).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (freiwillige Einwilligung).

Widerruf/Widerspruch: jederzeit über die Einstellungen bzw. den Datenschutz-Reset; Firebase-/Brevo-/Shopify-bezogen über die jeweiligen Widerrufswege (Abschnitte 6, 11, 12).

8. Push-Benachrichtigungen (Firebase Cloud Messaging)

Die App kann Ihnen Push-Benachrichtigungen senden. Wir unterscheiden zwei Arten:

  • Service- und Produktinformationen (z. B. App-Updates, neue Funktionen, Produktneuheiten): Diese erhalten Sie, sobald Sie Benachrichtigungen auf Betriebssystem-Ebene zugelassen haben.
  • Angebote und Werbung (Rabatte, Aktionen, News): Diese erhalten Sie nur, wenn Sie zusätzlich der Kategorie „Angebote/Werbung" ausdrücklich zugestimmt haben.

Zur Auslieferung nutzen wir Firebase Cloud Messaging (FCM) der Google Ireland Limited (siehe Abschnitt 9.2). Auf Ihrem Gerät wird ein pseudonymes Push-Token erzeugt und an Google übermittelt; nur darüber können Nachrichten zugestellt werden. Das Token enthält keinen Namen und keine E-Mail-Adresse. Verarbeitet werden zudem die abonnierten Themen (z. B. „alle", „App-Updates", „Produkte", „Angebote"), der Berechtigungsstatus sowie Klick-/Lese-Status (lokal). Inhalte einzelner Push-Nachrichten werden ausschließlich lokal gespeichert (siehe Abschnitt 4.8).

Rechtsgrundlage: Service-/Produkt-Push: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Service-Information) bzw. Art. 6 Abs. 1 lit. f DSGVO i. V. m. § 25 Abs. 2 TDDDG. Werbe-Push („Angebote"): Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG, § 7 Abs. 2 UWG. Die Werbe-Einwilligung ist freiwillig, standardmäßig deaktiviert und jederzeit widerrufbar.

Empfänger / Drittlandtransfer: siehe Abschnitt 9.2 (Google FCM, USA möglich; SCC).

Speicherdauer: FCM-Token bis zur Deinstallation/zum Widerruf der Berechtigung (von Google rotiert); lokale News bis zum Datenschutz-Reset.

Widerruf: jederzeit über die Benachrichtigungs-Einstellungen Ihres Betriebssystems; Werbe-Push zusätzlich in der App unter Einstellungen → Datenschutz & Analyse.

9. Eingesetzte Dienstleister und Drittanbieter

9.1 Sentry (Absturz- und Fehleranalyse)

Anbieter: Functional Software, Inc. („Sentry"), 132 Hawthorne Street, San Francisco, CA 94107, USA. Die Verarbeitung erfolgt über die EU-Region (de.sentry.io); je nach Konfiguration kann eine Verarbeitung auf Servern in den USA nicht ausgeschlossen werden.

  • Zweck: Absturz-/Fehleranalyse, Performance- und Stabilitätsüberwachung, Bearbeitung von In-App-Feedback (siehe Abschnitt 10).
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse), bei Feedback mit E-Mail-Angabe zusätzlich Art. 6 Abs. 1 lit. a/b DSGVO.
  • Garantien Drittland: EU-Standardvertragsklauseln nach Art. 46 DSGVO; Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
  • Speicherdauer: i. d. R. 90 Tage.
  • Datenschutzerklärung: https://sentry.io/privacy/

9.2 Google Firebase (Analytics, Crashlytics & Cloud Messaging / FCM)

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google"); für die USA: Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. Firebase-Projekt: „level-app-ad57e".

  • Dienste/Zweck: Firebase Analytics (App-Nutzungsanalyse, nur mit Einwilligung – Abschnitt 6), Firebase Crashlytics (Absturzberichte, berechtigtes Interesse – Abschnitt 5), Firebase Cloud Messaging (Push – Abschnitt 8) sowie Google Analytics 4 für die Website app.040parts.com (Webanalyse, nur mit Einwilligung – Abschnitt 6a).
  • Rechtsgrundlage: Analytics (App & Web)/FCM-Werbung: Art. 6 Abs. 1 lit. a DSGVO; Crashlytics/Service-Push: Art. 6 Abs. 1 lit. f bzw. b DSGVO.
  • Garantien Drittland: Eine Verarbeitung auf Google-Servern in den USA ist möglich. Google hat sich den EU-Standardvertragsklauseln nach Art. 46 DSGVO unterstellt; Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
  • Speicherdauer: Analytics max. 14 Monate; Crashlytics i. d. R. 90 Tage; FCM-Token bis Widerruf/Deinstallation.
  • Datenschutzerklärung: https://policies.google.com/privacy
  • Firebase-Datenschutz: https://firebase.google.com/support/privacy

9.3 Open-Meteo (Wetterdaten)

Anbieter: Open-Meteo, ein quelloffener, kostenlos und ohne API-Schlüssel nutzbarer Wetterdatendienst (open-meteo.com). Nach unserer Kenntnis erfolgt das Hosting innerhalb der EU bzw. der Schweiz. Übermittelt werden ausschließlich geografische Koordinaten zum Abruf der Wetterdaten; es werden keine Namen, E-Mail-Adressen oder Geräte-/Nutzerkennungen übertragen und keine Nutzerprofile erstellt. Da es sich um einen kostenlosen Dienst ohne Anmeldung handelt, besteht mit Open-Meteo regelmäßig keine förmliche Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO; das Risiko ist jedoch gering, da ausschließlich anonyme Koordinaten ohne Bezug zu Ihrer Person übertragen werden.

  • Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Standort-Einwilligung) bzw. Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Wetterfunktion).
  • Garantien Drittland: Nach unserer Kenntnis Verarbeitung innerhalb der EU bzw. der Schweiz (für die Schweiz besteht ein Angemessenheitsbeschluss nach Art. 45 DSGVO). Eine Übermittlung in unsichere Drittstaaten ist nicht vorgesehen.
  • Datenschutzhinweise/Nutzungsbedingungen: https://open-meteo.com/en/terms

9.4 Brevo (Newsletter- und Transaktions-E-Mail)

Anbieter: Sendinblue SAS („Brevo"), 106 boulevard Haussmann, 75008 Paris, Frankreich. Verarbeitung auf EU-Servern (Frankreich).

  • Zweck: Versand der Double-Opt-In-Bestätigung und der Newsletter; Feedback-Benachrichtigungen an uns.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 7 Abs. 2 Nr. 3 UWG (Newsletter); Art. 6 Abs. 1 lit. f DSGVO (interne Feedback-Benachrichtigung).
  • Garantien Drittland: Verarbeitung innerhalb der EU; Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
  • Datenschutzerklärung: https://www.brevo.com/de/legal/privacypolicy/

9.5 Shopify (Produktanzeige & Newsletter-Kundendatensatz)

Anbieter: Shopify International Limited, Victoria Buildings, 2. Etage, 1–2 Haddington Road, Dublin 4, D04 XN32, Irland; Muttergesellschaft: Shopify Inc., Kanada.

  • Zweck: Abruf öffentlicher Produktinformationen für den App-internen Produkt-Feed (nur technische Verbindungs-/Produktdaten, keine Kundendaten); nach bestätigter Newsletter-Anmeldung Speicherung als Kundendatensatz mit Newsletter-Status.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Produkt-Feed) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Produktinformation); Kundendatensatz: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
  • Garantien Drittland: Eine Übermittlung in Drittländer (z. B. USA/Kanada) kann stattfinden; Shopify hat geeignete Garantien nach Art. 46 DSGVO (EU-Standardvertragsklauseln) vereinbart. Für Kanada besteht zudem ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO) für dem PIPEDA unterliegende Organisationen. Auftragsverarbeitungs-/Datenverarbeitungsvereinbarung nach Art. 28 DSGVO.
  • Datenschutzerklärung: https://www.shopify.com/legal/privacy

9.6 Meta (Meta-Pixel / Facebook & Instagram)

Anbieter: Meta Platforms Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland („Meta"); für die USA: Meta Platforms, Inc., 1601 Willow Road, Menlo Park, CA 94025, USA.

  • Dienst/Zweck: Meta-Pixel auf der Website app.040parts.com zur Conversion- und Reichweitenmessung unserer Werbeanzeigen in den Meta-Diensten Instagram/Facebook (nur mit Einwilligung – Abschnitt 6b).
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG; für die Datenerhebung durch das Pixel gemeinsame Verantwortlichkeit nach Art. 26 DSGVO.
  • Garantien Drittland: Eine Verarbeitung in den USA ist möglich. Meta Platforms, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO); ergänzend bestehen EU-Standardvertragsklauseln nach Art. 46 DSGVO.
  • Speicherdauer: Cookie-Laufzeiten gemäß Abschnitt 6b; weitere Verarbeitung bei Meta nach deren Vorgaben.
  • Datenschutzerklärung: https://www.facebook.com/privacy/policy

9.7 Eigener Server der Mixcover GmbH (Relay)

Newsletter-Anmeldungen und In-App-Feedback werden zunächst an unseren eigenen Server (betrieben durch die Mixcover GmbH, Serverstandort innerhalb der EU) übermittelt und dort gespeichert. Von dort erfolgt – je nach Funktion – die Weiterleitung an Brevo, Shopify, Sentry sowie eine interne Benachrichtigung unseres Teams über den Messengerdienst Telegram.

Interne Team-Benachrichtigung über Telegram: Anbieter ist die Telegram FZ-LLC (Dubai, Vereinigte Arabische Emirate). Telegram dient ausschließlich der internen Benachrichtigung unseres Teams (z. B. „neues Feedback eingegangen") und ist kein vom Nutzer adressierter Kommunikationskanal. Wir beschränken die an Telegram übermittelten Inhalte auf das Nötigste; eine Übermittlung von Klartext-Inhalten mit Personenbezug (insbesondere einer von Ihnen freiwillig angegebenen E-Mail-Adresse) vermeiden wir im Rahmen der Datenminimierung serverseitig so weit wie möglich. Die Vereinigten Arabischen Emirate sind ein Drittland ohne Angemessenheitsbeschluss der EU-Kommission. Soweit über Telegram im Einzelfall dennoch personenbezogene Daten übermittelt werden, stützen wir dies auf geeignete Garantien nach Art. 46 DSGVO (EU-Standardvertragsklauseln) bzw. – soweit einschlägig – auf eine Ausnahme nach Art. 49 Abs. 1 DSGVO; im Übrigen erfolgt eine Übermittlung ausschließlich anonymisierter bzw. nicht personenbeziehbarer Hinweise.

  • Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Newsletter), Art. 6 Abs. 1 lit. b und lit. f DSGVO (Support/Feedback, interne Benachrichtigung).
  • Datenschutzerklärung Telegram: https://telegram.org/privacy

9.8 Weitergabe an sonstige Dritte

Eine Weitergabe Ihrer personenbezogenen Daten an weitere Dritte findet nicht statt, es sei denn: Sie haben ausdrücklich eingewilligt; die Weitergabe ist zur Vertragsdurchführung erforderlich; wir sind gesetzlich zur Weitergabe verpflichtet; oder die Weitergabe ist zur Durchsetzung unserer Rechte erforderlich.

10. In-App-Feedback (Fehlerberichte & Funktionswünsche)

Über die Feedback-Funktion können Sie uns Fehler melden oder Funktionswünsche senden. Dabei verarbeiten wir: Ihren Feedback-Text, die Art (Bug/Wunsch), optional Ihre E-Mail-Adresse (für Rückfragen), App-Version/Build, Plattform und OS-Version, Sprache, Zeitstempel sowie – falls von Ihnen angehängt – einen Screenshot. Die Übermittlung erfolgt an unseren eigenen Server (lager.mix-cover.de bzw. lagerbestands-tool, EU) und parallel an Sentry; serverseitig erfolgen eine interne Telegram-Benachrichtigung (siehe Abschnitt 9.7, einschließlich Drittland-Hinweis Telegram FZ-LLC/VAE) und ein E-Mail-Versand an unser Team über Brevo.

Die Angabe einer E-Mail-Adresse ist freiwillig und nur erforderlich, wenn Sie eine Rückmeldung wünschen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bearbeitung Ihrer Support-Anfrage) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Produktverbesserung); bei optionaler E-Mail-Angabe Art. 6 Abs. 1 lit. a DSGVO (Einwilligung in die Kontaktaufnahme).

Empfänger / Drittlandtransfer: eigener Server (EU), Brevo (EU), Sentry (siehe 9.1, ggf. USA mit SCC), interne Telegram-Benachrichtigung (siehe 9.6, VAE = Drittland; Datenminimierung, ggf. SCC/Art. 49 DSGVO).

Speicherdauer: auf unserem Server bis zu 12 Monate (zur Trend- und Fehleranalyse); Sentry i. d. R. 90 Tage; ein angehängter Screenshot nur bis zur Bearbeitung.

11. Newsletter-Anmeldung

Wenn Sie sich in der App zum Newsletter anmelden, verarbeiten wir Ihre E-Mail-Adresse, optional Vor- und Nachnamen sowie – falls Sie diese angeben – Ihre freiwillige Altersgruppe, ausschließlich zum Versand des Newsletters (News, Produktneuheiten, Angebote von 040 Parts). Zusätzlich speichern wir die in der App gewählte Sprache (für den Newsletter in Ihrer Sprache), die Plattform Ihres Geräts (nur grob: iOS oder Android), die App-Version, den Zeitpunkt sowie Ihre Einwilligung (Marketing-Checkbox). Die Anmeldung läuft über unseren eigenen Server (EU); für den E-Mail-Versand nutzen wir Brevo (Abschnitt 9.4) und speichern Sie nach Bestätigung als Kunden mit Newsletter-Status in unserem Shopify-Shop (Abschnitt 9.5).

Aus Gründen der Datensparsamkeit wird bei vorübergehend fehlender Internetverbindung nur Ihre E-Mail-Adresse lokal zwischengespeichert (Offline-Warteschlange) und die Anmeldung beim nächsten App-Start nachgeholt; Vor-/Nachname werden hierbei bewusst nicht lokal gespeichert. Eine Telefonnummer oder Ihr genaues Gerätemodell werden für den Newsletter nicht erhoben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 7 Abs. 2 Nr. 3 UWG. Die Anmeldung erfolgt im Double-Opt-In-Verfahren: Sie erhalten eine Bestätigungs-E-Mail und werden erst nach Bestätigung in den Verteiler aufgenommen.

Empfänger / Drittlandtransfer: eigener Server (EU), Brevo (EU), Shopify (siehe 9.5, ggf. USA/Kanada mit SCC bzw. Angemessenheitsbeschluss).

Speicherdauer: bis zum Widerruf der Einwilligung bzw. zur Abmeldung; die Offline-Warteschlange lokal nur bis zum erfolgreichen Versand.

Widerruf: jederzeit über den Abmeldelink in jeder E-Mail oder per Nachricht an shop@040parts.com bzw. shop@mixcover.de.

12. Shopify-Produkt-Feed (Neuheiten in der App)

Zur Anzeige neuer Produkte (Kennzeichnung „Neuheit") ruft die App öffentliche Produktdaten über die Shopify-Storefront-Schnittstelle ab (Produkt-ID, Titel, gekürzte Beschreibung, Preis, Bild-URL, Shop-Link). Lokal werden zur Steuerung der Anzeige technische Werte gespeichert (z. B. der abgerufene Produkt-Cache, bereits gesehene Produkte, Sitzungszähler, Ausblend-Status); diese verlassen Ihr Gerät nicht. Eine etwaige Erfolgsmessung („gesehen"/„ausgeblendet") erfolgt nur bei aktiver Analyse-Einwilligung. Die lokal gespeicherten Steuerwerte einschließlich des Produkt-Caches werden beim Datenschutz-Reset gelöscht (siehe Abschnitt 13.3).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Produktanzeige) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Produktinformation); lokales Tracking mit Erfolgsmessung: Art. 6 Abs. 1 lit. a DSGVO.

Empfänger / Drittlandtransfer: Shopify (siehe 9.5).

Speicherdauer: Produkt-Cache lokal 24 Stunden; „gesehen"/„ausgeblendet"-Werte bis zum Datenschutz-Reset.

13. Geräteberechtigungen, Datensicherheit und Datenschutz-Reset

13.1 Geräteberechtigungen

Die App fragt – jeweils erst bei Bedarf – folgende Betriebssystem-Berechtigungen ab: Bluetooth (Verbindung mit dem Sensor), Standort (Wetter/Camping-Spot), Kamera und Fotomediathek (optionaler Screenshot beim Feedback), Mikrofon bzw. Audio-Wiedergabe (akustische Hinweise/Hintergrundmodus) sowie Benachrichtigungen (Push). Sie können erteilte Berechtigungen jederzeit in den Geräteeinstellungen widerrufen.

13.2 Datensicherheit

Wir setzen technische und organisatorische Sicherheitsmaßnahmen nach Art. 32 DSGVO ein, um Ihre Daten gegen Verlust, Manipulation und unbefugten Zugriff zu schützen. Übertragungen an Dienstleister erfolgen verschlüsselt (HTTPS/TLS). Lokale App-Daten werden im gesicherten App-Speicher des Betriebssystems abgelegt, auf den andere Apps keinen Zugriff haben. Geräte-IDs/MAC-Adressen werden vor jeder externen Übermittlung pseudonymisiert (nur die letzten 4 Zeichen).

13.3 Datenschutz-Reset (Recht auf Löschung)

Über den Datenschutz-Reset in den Einstellungen können Sie sämtliche lokal gespeicherten personenbezogenen Daten löschen – insbesondere Sensorprofile (inkl. gespeicherter MAC-Adressen), den Wetter-Cache, Analyse-Zähler, Ihre freiwillig angegebene Altersgruppe, den lokalen Shopify-Produkt-Cache und die zugehörigen Anzeige-Steuerwerte, gespeicherte News, die Offline-Newsletter-Warteschlange sowie alle Einwilligungs-Einstellungen. Damit setzen wir Ihr Recht auf Löschung (Art. 17 DSGVO) für die lokal gehaltenen Daten unmittelbar um. Eine vollständige Löschung aller lokalen Daten erreichen Sie auch durch Deinstallation der App.

14. Ihre Rechte als betroffene Person

Sie haben gemäß Art. 15–21 DSGVO folgende Rechte:

  • Auskunftsrecht (Art. 15 DSGVO): Bestätigung und Auskunft darüber, ob und welche Sie betreffenden Daten wir verarbeiten.
  • Recht auf Berichtigung (Art. 16 DSGVO): Berichtigung unrichtiger bzw. Vervollständigung unvollständiger Daten.
  • Recht auf Löschung (Art. 17 DSGVO): Löschung Ihrer Daten („Recht auf Vergessenwerden"), soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
  • Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO).
  • Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Erhalt Ihrer Daten in einem strukturierten, gängigen, maschinenlesbaren Format.
  • Widerspruchsrecht (Art. 21 DSGVO): Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) gestützt sind, aus Gründen Ihrer besonderen Situation.

Widerruf von Einwilligungen: Sie können erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

  • In der App: Einstellungen → Datenschutz & Analyse → Einwilligungen verwalten
  • Per E-Mail: shop@mixcover.de

Nach dem Widerruf werden keine neuen Daten mehr auf Basis der widerrufenen Einwilligung erhoben; bereits erhobene Daten werden gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht.

15. Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu, insbesondere im Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Die für uns als Verantwortlichen zuständige Aufsichtsbehörde ist:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Hamburg Web: https://datenschutz-hamburg.de

16. Kontakt für Datenschutzanfragen

Für Fragen zum Datenschutz, zur Ausübung Ihrer Rechte oder zum Widerruf von Einwilligungen wenden Sie sich bitte an:

Mixcover GmbH z. Hd. Timo Plogstedt Neumann-Reichardt-Str. 27-33, 22041 Hamburg E-Mail: shop@mixcover.de Telefon: +49 40 98241564

Wir bearbeiten Anfragen in der Regel innerhalb der gesetzlichen Frist (grundsätzlich ein Monat, Art. 12 Abs. 3 DSGVO).

17. Speicherdauer im Überblick

Datenart Speicherdauer
Sensor-/Messdaten, BLE-Scan, Handy-IMU Nur flüchtig im Arbeitsspeicher; gelöscht beim Beenden der App
Lokale Einstellungen, Kalibrierung, Sensorprofile (inkl. MAC) Bis zur Profil-Löschung, zum Datenschutz-Reset oder zur Deinstallation
Freiwillige Altersgruppe (lokal) Bis zum Datenschutz-Reset oder zur Deinstallation
Datenschutz-/Einwilligungsstatus (lokal) Bis zur Änderung, zum Datenschutz-Reset oder zur Deinstallation
Lokale Nachrichten („News") Bis zum Datenschutz-Reset oder zur Deinstallation
Absturzberichte (Sentry) I. d. R. 90 Tage
Absturzberichte (Firebase Crashlytics) I. d. R. 90 Tage
Nutzungsanalyse (Firebase Analytics) Max. 14 Monate (Google-Standard) bzw. bis zum Widerruf
Website-Analyse (Google Analytics 4, app.040parts.com) Max. 14 Monate; Cookies _ga/_ga_* bis zu 2 Jahre bzw. bis zum Widerruf
Analyse-Zähler (lokal) Bis zum Datenschutz-Reset
Standortdaten Keine dauerhafte Speicherung; Wetter-Cache lokal bis 24 h
In-App-Feedback (eigener Server) Bis zu 12 Monate; Screenshot nur bis zur Bearbeitung
Newsletter (eigener Server / Brevo / Shopify) Bis zur Abmeldung / zum Widerruf der Einwilligung
FCM-Push-Token Bis zur Deinstallation / zum Widerruf der Berechtigung
Shopify-Produkt-Cache (lokal) 24 Stunden bzw. bis zum Datenschutz-Reset

Nach Ablauf der jeweiligen Speicherdauer werden die Daten routinemäßig gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht.

18. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie stets den aktuellen rechtlichen Anforderungen oder Änderungen unserer Leistungen anzupassen. Die jeweils aktuelle Fassung ist in der App unter Einstellungen → Datenschutz sowie online unter app.040parts.com/<Sprache>/privacy abrufbar. Bei wesentlichen Änderungen werden Sie beim nächsten App-Start informiert und – soweit gesetzlich erforderlich – um erneute Einwilligung gebeten.

19. Anwendbares Recht & Gerichtsstand

Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts, soweit dem nicht zwingende gesetzliche Vorschriften – insbesondere des Verbraucherschutzes oder des Datenschutzrechts – entgegenstehen. Soweit gesetzlich zulässig, ist ausschließlicher Gerichtsstand für sämtliche Streitigkeiten aus oder im Zusammenhang mit dieser Datenschutzerklärung Hamburg. Gesetzlich zwingende Gerichtsstände – insbesondere für Verbraucher – bleiben unberührt.

20. Maßgebliche Sprachfassung

Diese Datenschutzerklärung wird in mehreren Sprachen bereitgestellt. Im Falle von Abweichungen oder Auslegungsunterschieden zwischen den Sprachfassungen ist die deutsche Fassung rechtlich maßgeblich.

Diese Datenschutzerklärung gilt ausschließlich für die 040 Level App. Sie gilt nicht für verlinkte externe Websites oder Dienste Dritter.

Stand: Juni 2026 | Version 1.4