040 Parts

Privacy Policy – 040 Level App

Last updated: 5 October 2026 | Version: 2.1

1. Controller

The controller within the meaning of the General Data Protection Regulation (GDPR) is:

Mixcover GmbH Neumann-Reichardt-Str. 27-33 22041 Hamburg Germany

Email: shop@mixcover.de

Managing Directors: Timo Plogstedt, Philip Bonmann Commercial Register: HRB 173050, Hamburg Local Court (Amtsgericht Hamburg) VAT ID No.: DE350528375

A data protection officer has not been appointed, as this is not legally required. For all data protection matters, please use the contact details listed above (see also Section 16).

2. General Information on Data Processing

As a matter of principle, we collect and use our users' personal data only insofar as this is necessary to provide a functional app as well as our content and services, or where you have consented to such processing. The collection and use of our users' personal data regularly takes place only after the user has given consent. An exception applies in those cases where obtaining prior consent is not possible for factual reasons and the processing of the data is permitted by statutory provisions.

The 040 Level App serves to level (to "align level") motorhomes, caravans, and campervans. For this purpose, the app connects via Bluetooth Low Energy (BLE) to a 040 Level sensor (KBeacon) or, alternatively—if you so choose—uses the motion sensors built into the smartphone (phone IMU). The actual measurement and sensor data (inclination angles, acceleration, temperature, battery) are, as a matter of principle, processed exclusively locally on your device and are not transmitted to us or to third parties.

Insofar as this Privacy Policy refers to a transfer to third countries (in particular the USA), such transfer takes place on the basis of appropriate safeguards pursuant to Art. 46 GDPR, in particular the EU Standard Contractual Clauses (SCC). You may request a copy of these safeguards from the respective providers or from us.

3. Processing of Children's Data

This app is not directed at children under the age of 16. We do not knowingly collect personal data from children under the age of 16. The app does not use any technical age verification; the voluntary indication of an age group (see Section 7.4) is purely a convenience feature and does not constitute active protection of minors. If you have not yet reached the age of 16, please obtain the consent of your parents or legal guardians before granting the app any optional consents (crash reports, analytics, location, advertising). Should we become aware that we have processed a child's personal data without valid consent, we will delete such data without undue delay.

4. Local Processing on Your Device (No Transmission)

The following data is stored or processed exclusively locally within the secured app environment of your device and, as a matter of principle, does not leave your device. No transmission to us or to third parties takes place in this respect; there is no third-country transfer.

4.1 Sensor and Measurement Data

When the 040 Level sensor is connected, the app processes in real time (several times per second):

  • Signal strength (RSSI), estimated transmission power (TX power)
  • Raw acceleration values (ax/ay/az in m/s²)
  • Calculated inclination angles (pitch/roll)
  • Battery voltage (mV) and battery level (%)
  • Temperature (°C/°F)
  • Status bits/sensor flags, device name, MAC address of the sensor

This data is not stored permanently; it is held in working memory and continuously overwritten by new measurement values.

Legal basis: Art. 6(1)(b) GDPR (performance of the usage contract for the app – core levelling function).

4.2 Device Detection & Connection Management (BLE Scan)

To locate and connect to sensors, the app processes: device ID (MAC), device name (e.g., "040_level_XXXXX", "KBPro_XXXXX"), RSSI history (ring buffer of the last 20 values), the timestamp of the last sighting, and, where applicable, an Eddystone URL. This information is held in a volatile cache that is deleted when the app is closed; devices that are no longer visible are automatically removed after a short period.

Legal basis: Art. 6(1)(b) GDPR (performance of contract – BLE connectivity).

4.3 Sensor Configuration & Authentication (Provisioning)

To securely connect to and configure the KBeacon sensor, the app processes a device password (held in working memory only, never stored permanently, hard-compiled into the app), the MAC address for calculating authentication, GATT UUIDs, and a configuration version number. The password never leaves the app at any point and is used exclusively vis-à-vis the paired sensor. Only the configuration version number is stored locally, in order to detect whether an update is necessary.

Legal basis: Art. 6(1)(b) GDPR (performance of contract – device provisioning); Art. 32 GDPR (data security).

4.4 Calibration Offsets

To correct for the sensor installation and orientation, the app stores calibration values (pitch/roll offset, fine correction, yaw offset)—both globally and per sensor profile.

Legal basis: Art. 6(1)(b) GDPR (performance of contract – user-related settings data).

4.5 Phone IMU (Smartphone Motion Sensors)

If you do not wish to use an external sensor, the app can alternatively use the motion sensors built into the smartphone (accelerometer/gyroscope). In doing so, it processes acceleration (x/y/z in m/s²), rotation rates (x/y/z in rad/s), and the inclination angles calculated therefrom. This data is processed exclusively locally, held only in working memory, and discarded when the function is closed.

Legal basis: Art. 6(1)(b) GDPR (performance of contract – levelling without external hardware) or, insofar as you actively choose this operating mode, Art. 6(1)(a) GDPR (consent).

4.6 Sensor Profiles (Multi-Profile Management)

You can create multiple configurations per sensor (e.g., "Car 160 cm", "Motorhome 305 cm"). The data stored includes, among other things: profile ID, device ID (MAC), display name, vehicle type, track width (front/rear in cm), wheelbase/axle spacing, configuration of the aids (wedges/cushions/jacks), display settings, sensor orientation, and calibration offsets. These profiles are stored locally and persist until you delete the profile, uninstall the app, or trigger the privacy reset (see Section 13).

Legal basis: Art. 6(1)(b) GDPR (performance of contract – profile/settings data).

4.7 App Settings & Preferences

The following settings are stored locally, including: temperature unit (°C/°F), length unit (cm/inch), sound/vibration on/off, sensor orientation, smoothing/filter parameters, decimal places, theme, language, app mode, senior/magnifier mode, background service on/off, last connected sensor, view mode, tolerance angle, and aids settings.

Legal basis: Art. 6(1)(b) GDPR (performance of contract – settings data).

4.8 Locally Stored Messages ("News")

The contents of push notifications (see Section 8) are stored exclusively locally in the secured app storage, so that you can read them later under "Updates & News" (max. 100 entries). This data does not leave your device. You can delete it at any time (privacy reset or uninstallation); in addition, we can have individual messages removed server-side by means of a deletion command.

Legal basis: Art. 6(1)(b) GDPR (performance of contract – display of received service messages).

4.9 Home/Lock Screen Widget

If you set up a home or lock screen widget, the most recently known inclination values and an update timestamp are held locally for the widget display. No external transmission takes place.

Legal basis: Art. 6(1)(b) GDPR (performance of contract – convenience feature).

4.10 Data Protection Consent Status

In order to implement and demonstrate your consents, we store your consent selection (crash reports/analytics/location/advertising), a notice status, and the timestamp of your consent locally. This status governs whether optional functions are active and serves as proof of consent.

Legal basis: Art. 7(1) GDPR (proof of consent); Art. 6(1)(c) GDPR in conjunction with Art. 5(2) GDPR (accountability).

5. Crash and Error Reports (Sentry & Firebase Crashlytics)

To ensure the stability, security, and functionality of the app, we process crash and error reports – only if you have consented to the "Crash reports" category (default: off). Without consent, Sentry and Firebase Crashlytics are not started and no reports, breadcrumbs, or session data are transmitted. You can withdraw consent at any time in the privacy settings; transmission then stops immediately and unsent reports are discarded.

Types of data processed:

  • Nature, type, and description of the error, stack trace
  • Trace logs ("breadcrumbs": e.g., screens accessed, button presses, BLE events, connection drops/timeouts, signal quality)
  • Anonymized device ID (only the last 4 characters, e.g., "…F2A7")
  • Platform, operating system version, app version/build number, device model, language setting
  • Performance metrics (e.g., processing time, frame rate) and indications of erroneous sensor data (only the first bytes as a hex value, no contents)

Full device IDs, IMEI numbers, MAC addresses in plain text, or your actual measurement data (pitch/roll stream) are not transmitted. In the delivered state, error and crash reports are, as a matter of principle, transmitted to Sentry in full (every event); a configurable sampling reduction is technically possible. Pure performance measurements (tracing), by contrast, are collected only on a partial (sampled) basis.

Proof of the safety notes: Before the first wedge recommendation, you confirm the safety notes. We store the time and version of this confirmation locally on your device. If you have allowed crash reports, we additionally transmit this confirmation (time, version of the notes, place of confirmation in the app) once as an event to Sentry, so that we can demonstrate in liability matters that the notes were displayed and confirmed (Art. 6(1)(f) GDPR). Without consent to crash reports, the confirmation remains on your device only.

Legal basis: Art. 6(1)(a) GDPR (consent) and Section 25(1) TDDDG for access to information on the device. The processing is limited to the necessary minimum and is safeguarded by pseudonymization (anonymization of the device ID).

Recipients / third-country transfer: see Section 9.1 (Sentry) and 9.2 (Firebase Crashlytics).

Storage period: Sentry 30 days, Firebase Crashlytics as a rule 90 days. For error analysis, we copy the Sentry reports weekly into our own archive on our server (EU) – without IP address, email address or user and device identifiers – and delete them there 90 days after the event; local debug logs only volatile in working memory (deleted when the app is closed).

Withdrawal: at any time in the app under Settings → Privacy & Analytics ("Crash reports" switch) or by email to shop@mixcover.de. The lawfulness of the processing carried out until the withdrawal remains unaffected.

Note on older app versions: Up to and including build 124, crash reports were transmitted without separate consent (on the basis of our legitimate interest, Art. 6(1)(f) GDPR). Once you update to the current version, only the consent-based solution described above applies.

6. Usage Analytics (Firebase Analytics) – Only with Consent

If you consent to usage analytics, we collect the following data in order to improve the app and to understand how its functions are used:

  • Screens and functions accessed, dwell time
  • Button presses / buttons and settings used (without the contents of your measurements)
  • Session start/end, session duration, and frequency of use
  • Device information (model, operating system, language, country from the device settings)
  • Voluntarily provided age group (see Section 7)
  • Vehicle type and aid type (from the app settings)
  • Events such as calibration, sensor connection/disconnection (sensor type, duration), completion of onboarding, levelling calculations performed (inclination values rounded, vehicle type, aids)
  • Where additional location consent is given: anonymized location data (rounded to approx. 11 km) (see Section 7.3)
  • A pseudonymous installation ID automatically generated by Firebase (no name, no email)

The data does not contain any contents of your measurements. In addition, usage counters (e.g., function and session counters) are held locally; these are deleted upon the privacy reset. Analytics events are additionally passed to Sentry as breadcrumb context, but only if analytics consent is active.

Legal basis: Art. 6(1)(a) GDPR (consent) in conjunction with Section 25(1) TDDDG (storing of, or access to, information on the terminal device). Consent is voluntary and disabled by default; it is granted during onboarding or under Settings → Privacy & Analytics.

Recipients / third-country transfer: see Section 9.2 (Google Firebase).

Storage period: at Firebase max. 14 months (Google default) or until withdrawal; local counters until the privacy reset or uninstallation.

Withdrawal: at any time in the app under Settings → Privacy & Analytics or by email to shop@mixcover.de.

6a. Use of Our Website app.040parts.com (Google Analytics 4) – Only with Consent

This privacy policy applies not only to the 040 Level App but also to our website app.040parts.com (including subpages such as Quickstart, Manual, FAQ, and the B2B order page). On this website, we use – exclusively with your consent – the web analytics service Google Analytics 4 (GA4) to statistically evaluate and improve website usage.

Consent via our consent banner (cookie banner): When the website is first accessed, Google Analytics is not activated. We use Google Consent Mode v2 with the default "denied" for all analysis and marketing storage purposes. Only when you actively click "Accept All" in the consent banner are analysis cookies set and data transmitted to Google. If you select "Necessary only," no analysis cookies are set; Google Analytics is then not loaded, and no data is transmitted to Google. Your choice "Accept All" includes both analysis (Google Analytics) and marketing (Meta Pixel, see Section 6b).

Cross-domain measurement: Our website app.040parts.com and our shop 040parts.com use the same Google Analytics property. To evaluate a website visit and a subsequent purchase in the shop as a related process (cross-domain measurement), a pseudonymous measurement ID is passed in the URL when switching to the shop, provided consent is given. This is not associated with personal identification.

With consent given, Google Analytics processes in particular:

  • Accessed pages (URLs), page titles, referrer, and dwell time
  • Interactions such as scroll depth, clicks on external links, file downloads, internal search queries, and form interactions (so-called "enhanced measurement")
  • On the B2B order page, own events for order history (e.g., "form started", "order submitted" including order value) – without the content you entered such as name, company, email, or VAT ID; only the event is transmitted together with the order total
  • Approximate location information limited to city level, which Google derives from the IP address (the IP address itself is truncated/anonymized and not stored by us)
  • Technical details such as browser type, operating system, device category, screen resolution, and language setting
  • A pseudonymous client ID set by Google in the cookie (_ga, _ga_*) to recognize returning visits – no name, no email

No cross-device advertising: We have disabled "Google signals" and activated IP anonymization. A combination with Google advertising accounts or cross-device advertising profile creation by us does not take place.

Cookies: With consent given, Google Analytics sets, among others, the cookies _ga (lifetime up to 2 years) and _ga_<Container-ID> (lifetime up to 2 years) to distinguish visitors. Without consent, these cookies are not set.

Legal basis: Art. 6(1)(a) GDPR (consent) in conjunction with § 25(1) TDDDG. Consent is voluntary and can be revoked at any time with effect for the future.

Recipient / Third-country transfer: Google (see Section 9.2). Processing on servers in the USA is possible; Google has submitted to the EU Standard Contractual Clauses pursuant to Art. 46 GDPR.

Retention period: Usage/event data at Google max. 14 months; cookies with the lifetimes mentioned above or until deletion.

Revocation: You can revoke your consent at any time by opening "Cookie Settings" in the website footer and selecting "Necessary only," or by deleting the mentioned cookies in your browser. You can also prevent collection by Google Analytics via the Google browser add-on: https://tools.google.com/dlpage/gaoptout

6b. Meta Pixel (Facebook/Instagram) on Our Website – Only with Consent

On our website app.040parts.com, we use – exclusively with your consent – the Meta Pixel (also "Facebook Pixel") of Meta Platforms Ireland Limited. This allows us to measure the success of our advertisements on Meta services (Instagram, Facebook): We recognize whether a website visit goes back to a previously clicked ad, and can – if you then complete a purchase in our shop 040parts.com – attribute this success to the respective ad (conversion measurement). The pixel also enables the delivery of more precisely targeted advertising.

Consent: The Meta Pixel is not loaded when the website is first accessed. Only when you actively click "Accept All" in the consent banner (marketing consent) is the pixel loaded and activated. With "Necessary only," the Meta Pixel is not loaded; no data is transmitted to Meta.

With consent given, the Meta Pixel processes in particular:

  • The fact and time of the page visit and the accessed URL
  • A pseudonymous user/browser identifier (cookie _fbp) and – if you came via an ad – the click identifier of the ad (fbclid or cookie _fbc)
  • Technical details such as browser type, operating system, and IP address (processed by Meta in truncated form)
  • In the event of a later purchase, the conversion event via the pixel of the shop 040parts.com (see privacy policy of the shop)

We do not actively transmit any clear data you enter (name, email, address) to Meta via the pixel.

Joint controllership: For the collection and transmission of data by the pixel, we and Meta Platforms Ireland Limited are jointly responsible pursuant to Art. 26 GDPR. Subsequent processing is carried out under the sole responsibility of Meta. Details: https://www.facebook.com/legal/controller_addendum

Cookies: among others, _fbp (lifetime up to 3 months) and – in the case of an ad click – _fbc. Without consent, these cookies are not set.

Legal basis: Art. 6(1)(a) GDPR (consent) in conjunction with § 25(1) TDDDG. Consent is voluntary and can be revoked at any time with effect for the future.

Recipient / Third-country transfer: Meta (see Section 9.10). Processing on servers in the USA is possible.

Revocation: at any time via "Cookie Settings" in the website footer ("Necessary only" selection) and via the advertising settings of your Meta account.

7. Location Data, Weather, and Voluntary Age Group

7.1 Location Determination for the Weather Display

Upon request, the app can display local weather data for your current location. For this purpose—after you have granted location consent and the additionally required operating system permission—it determines your approximate location and transmits to our own weather server (see Section 9.3) only coordinates rounded to one decimal place (approx. 10 km grid) and the app language in order to retrieve current weather data, a forecast and the place name. The app has no direct contact with any external weather service. The precise position is not stored permanently; the weather data is merely cached for a short time (in working memory for approx. 30 minutes, and locally for up to 24 hours as a fallback).

Legal basis: Art. 6(1)(a) GDPR (consent) in conjunction with Section 25(1) TDDDG.

Transitional note for older app versions: App versions released before the update of late September 2026 still retrieve weather data and place names directly from the weather service Open-Meteo (open-meteo.com; to our knowledge hosted in the EU or Switzerland). In this case Open-Meteo receives the coordinates – precise or rounded to approx. 10 km, depending on the version – and, for technical reasons, your device's IP address; no names, email addresses or device/user identifiers are transmitted. This transmission also only takes place with your location consent and ends as soon as you update the app.

7.2 Weather Data Used

The data processed for the display includes, among other things, temperature, wind, humidity, fog fraction, weather code, a place name determined via reverse geocoding, and a 7-day forecast. Sources: weather data from MET Norway (Norwegian Meteorological Institute, licence CC BY 4.0), place names from GeoNames (geonames.org, licence CC BY 4.0). Instead of the visibility shown previously, the app now shows the fog fraction (in %).

7.3 Anonymized Location Statistics

Provided that both location consent and analytics consent are present, the app may transmit a position rounded to one decimal place (approx. 11 km grid, not attributable to a person) to Firebase Analytics in order to evaluate anonymized usage regions. No personal location tracking takes place.

Legal basis: Art. 6(1)(a) GDPR (consent).

7.4 Voluntary Age Group

During onboarding or when signing up for the newsletter, you may voluntarily provide an age group (e.g., "18–30", "30–40"). This serves to better select relevant content and—if provided—is transmitted locally as well as (where analytics consent is active) as a Firebase user property and, in the context of a newsletter sign-up, to Brevo/Shopify. Age groups in spans of at least five years are, taken on their own, not considered directly attributable to a person. The locally stored age group is deleted upon the privacy reset (see Section 13.3).

Legal basis: Art. 6(1)(a) GDPR (voluntary consent).

Withdrawal/objection: at any time via the settings or the privacy reset; for Firebase/Brevo/Shopify-related matters via the respective withdrawal channels (Sections 6, 11, 12).

8. Push Notifications (Firebase Cloud Messaging)

The app can send you push notifications. We distinguish two types:

  • Service information (e.g., app updates, new functions, safety notices): You will receive these as soon as you have allowed notifications at the operating system level.
  • Product news, offers and advertising (new products, discounts, promotions): You will receive these only if you have additionally expressly consented to the "Offers/Advertising" category.

For delivery, we use Firebase Cloud Messaging (FCM) of Google Ireland Limited (see Section 9.2). A pseudonymous push token is generated on your device and transmitted to Google; messages can only be delivered via this token. The token contains no name and no email address. In addition, the following are processed: the subscribed topics (e.g., "all", "app updates", "products", "offers", plus one technical topic each for the operating system and the app language, so that messages arrive in your language and only on suitable devices), the permission status, and click/read status (locally). The contents of individual push notifications are stored exclusively locally (see Section 4.8).

Legal basis: Service push: Art. 6(1)(b) GDPR (performance of contract – service information) or Art. 6(1)(f) GDPR in conjunction with Section 25(2) TDDDG. Advertising push ("Products", "Offers"): Art. 6(1)(a) GDPR in conjunction with Section 25(1) TDDDG, Section 7(2) UWG. Advertising consent is voluntary, disabled by default, and may be withdrawn at any time.

Recipients / third-country transfer: see Section 9.2 (Google FCM, USA possible; SCC).

Storage period: FCM token until uninstallation/withdrawal of the permission (rotated by Google); local news until the privacy reset.

Withdrawal: at any time via the notification settings of your operating system; advertising push additionally in the app under Settings → Privacy & Analytics.

9. Service Providers and Third-Party Providers Used

9.1 Sentry (Crash and Error Analysis)

Provider: Functional Software, Inc. ("Sentry"), 132 Hawthorne Street, San Francisco, CA 94107, USA. Processing takes place via the EU region (de.sentry.io); depending on the configuration, processing on servers in the USA cannot be ruled out.

  • Purpose: crash/error analysis, performance and stability monitoring (only with "Crash reports" consent, see Section 5). In-app feedback is not sent to Sentry.
  • Legal basis: Art. 6(1)(a) GDPR (consent).
  • Third-country safeguards: EU Standard Contractual Clauses pursuant to Art. 46 GDPR; data processing agreement pursuant to Art. 28 GDPR.
  • Storage period: 30 days at Sentry; we keep an archive copy without IP address, email address and user or device identifiers on our server and delete it 90 days after the event (see Section 5).
  • Privacy policy: https://sentry.io/privacy/

9.2 Google Firebase (Analytics, Crashlytics & Cloud Messaging / FCM)

Provider: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland ("Google"); for the USA: Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. Firebase project: "level-app-ad57e".

  • Services/purpose: Firebase Analytics (usage analytics, only with consent – Section 6), Firebase Crashlytics (crash reports, only with consent – Section 5), Firebase Cloud Messaging (push – Section 8) as well as Google Analytics 4 for the website app.040parts.com (web analytics, only with consent – Section 6a).
  • Legal basis: Analytics (app & web)/Crashlytics/FCM advertising: Art. 6(1)(a) GDPR; service push: Art. 6(1)(b) GDPR.
  • Third-country safeguards: Processing on Google servers in the USA is possible. Google has subjected itself to the EU Standard Contractual Clauses pursuant to Art. 46 GDPR; data processing agreement pursuant to Art. 28 GDPR.
  • Storage period: Analytics max. 14 months (app); website analytics (GA4) max. 14 months; Crashlytics as a rule 90 days; FCM token until withdrawal/uninstallation.
  • Privacy policy: https://policies.google.com/privacy
  • Firebase privacy: https://firebase.google.com/support/privacy

9.3 Mixcover GmbH's Own Weather Server (Weather and Place Names)

The app retrieves weather data and place names exclusively via our own server (wetter.mix-cover.de, operated by Mixcover GmbH, hosted by DigitalOcean LLC in its Frankfurt am Main data centre, Germany; DigitalOcean acts as our processor for hosting). The coordinates rounded to one decimal place (approx. 10 km grid; the server additionally rounds them itself) and the app language are transmitted; for technical reasons the server also receives your IP address. The IP address is processed only transiently in working memory for delivery and in hashed form to protect against overload (limiting requests per connection, for at most 10 minutes), and is not stored. The access log contains neither IP addresses nor coordinates and is deleted after 14 days.

The server fetches the weather data for the respective grid cell from the Norwegian Meteorological Institute (MET Norway, api.met.no) and caches it for 30 to 60 minutes (up to 6 hours in case of disruptions). MET Norway only receives the grid cell and our server's identifier – no data from your device, no IP address and no identifiers. The server determines place names from its own locally stored GeoNames dataset; no data is transmitted to third parties for this.

  • Legal basis: Art. 6(1)(a) GDPR (location consent) or Art. 6(1)(b) GDPR (performance of contract – weather function); processing of the IP address to protect the service: Art. 6(1)(f) GDPR.
  • Third-country safeguards: Processing in Germany. A data processing agreement pursuant to Art. 28 GDPR, including EU Standard Contractual Clauses (Art. 46 GDPR) for any access from the USA, is in place with DigitalOcean.
  • Connection route: The connection to the weather server runs via Cloudflare (see Section 9.7).
  • Older app versions: see the transitional note in Section 7.1 (Open-Meteo).
  • Data sources: MET Norway (https://api.met.no, CC BY 4.0) · GeoNames (https://www.geonames.org, CC BY 4.0)

9.4 Brevo (Newsletter and Transactional Email)

Provider: Sendinblue SAS ("Brevo"), 106 boulevard Haussmann, 75008 Paris, France. Processing on EU servers (France).

  • Purpose: dispatch of the double-opt-in confirmation and the newsletters; feedback notifications to us.
  • Legal basis: Art. 6(1)(a) GDPR in conjunction with Section 7(2) No. 3 UWG (newsletter); Art. 6(1)(f) GDPR (internal feedback notification).
  • Third-country safeguards: Processing within the EU; data processing agreement pursuant to Art. 28 GDPR.
  • Privacy policy: https://www.brevo.com/de/legal/privacypolicy/

9.5 Shopify (Product Display & Newsletter Customer Record)

Provider: Shopify International Limited, Victoria Buildings, 2nd Floor, 1–2 Haddington Road, Dublin 4, D04 XN32, Ireland; parent company: Shopify Inc., Canada.

  • Purpose: retrieval of public product information for the in-app product feed (only technical connection/product data, no customer data); after a confirmed newsletter sign-up, storage as a customer record with newsletter status.
  • Legal basis: Art. 6(1)(b) GDPR (product feed) or Art. 6(1)(f) GDPR (legitimate interest in product information); customer record: Art. 6(1)(a) GDPR (consent).
  • Third-country safeguards: A transfer to third countries (e.g., USA/Canada) may take place; Shopify has agreed to appropriate safeguards pursuant to Art. 46 GDPR (EU Standard Contractual Clauses). For Canada, an adequacy decision of the EU Commission (Art. 45 GDPR) additionally exists for organizations subject to PIPEDA. Data processing/data handling agreement pursuant to Art. 28 GDPR.
  • Privacy policy: https://www.shopify.com/legal/privacy

9.6 Mixcover GmbH's Own Server (Relay)

Newsletter sign-ups, in-app feedback, the anonymous consent counter (Section 10a) and the sensor authenticity check (see below) are transmitted to and stored on our own server (operated by Mixcover GmbH, hosted by DigitalOcean in its Frankfurt am Main data centre, Germany). From there—depending on the function—forwarding takes place to Brevo (newsletter confirmation, feedback email to our team) and Shopify (newsletter customer record). Feedback reaches our team exclusively by email; feedback content, images, names and email addresses are not transmitted to messenger services. When a new newsletter sign-up is received, our team only gets a notice without any personal reference (shop, language, sign-up route) via the messenger service Telegram (Telegram FZ-LLC, Dubai, UAE) – without names and without email addresses.

  • Legal basis: Art. 6(1)(a) GDPR (newsletter), Art. 6(1)(b) and (f) GDPR (support/feedback, internal notification).

No installation report any more: Older app versions (up to and including build 124) reported the first app start with platform, app version and language to our server if analytics consent had been given. The current app no longer sends an installation report; reports already stored are deleted 12 months after receipt.

Sensor authenticity check: When you set up a 040 sensor for the first time, the app transmits a check value to our server (verify.mix-cover.de) once. The check value is a non-reversible hash (SHA-256 with a secret additional value) of the sensor's MAC address – the MAC address itself is not transmitted. The app brand, the type of sensor login, the operating system (iOS/Android) and the app version are sent along with it. We store the check value, these details, the number of reports and the time of the first and last report in order to recognise whether a sensor originates from our production (protection against counterfeits and grey-market goods). If the check is switched on server-side and a sensor demonstrably does not originate from our production, the app may block this sensor after a transition period. Without an internet connection or in the event of a server error, nothing is ever blocked. The data is not linked to your person, your device or a purchase.

  • Legal basis: Art. 6(1)(f) GDPR (legitimate interest in detecting counterfeit or unauthorised sensors).
  • Storage period: 12 months after the last report; the entry is then deleted automatically.

9.7 Cloudflare (Connection Protection for Our Servers)

The app's connections to our own servers (lager.mix-cover.de, verify.mix-cover.de, wetter.mix-cover.de) run via the network of Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA ("Cloudflare"). Cloudflare forwards the encrypted requests to our server and protects it against overload and attacks. For technical reasons, Cloudflare processes your IP address as well as connection and request data (e.g. time, requested address, browser/app identifier) for delivery and to fend off attacks; content is processed only for forwarding. Cloudflare acts as our processor.

  • Legal basis: Art. 6(1)(f) GDPR (legitimate interest in a secure and available connection) or the respective legal basis of the function transmitted.
  • Third-country safeguards: Processing in the USA is possible. Cloudflare, Inc. is certified under the EU-US Data Privacy Framework (adequacy decision pursuant to Art. 45 GDPR); in addition, EU Standard Contractual Clauses pursuant to Art. 46 GDPR and a data processing agreement pursuant to Art. 28 GDPR are in place.
  • Storage period: connection data only briefly in accordance with Cloudflare's specifications; on our servers, logs are deleted after 14 days.
  • Privacy policy: https://www.cloudflare.com/privacypolicy/

9.8 Apple App Store and Google Play (In-App Purchases, Rating Request)

In-app purchases: You can buy additional functions (e.g. the use of sensors from other manufacturers) via Apple's App Store or Google Play. Purchase and payment are handled exclusively by Apple or Google; we receive no payment data, no name and no email address. To reconcile your unlocked functions, the app queries the available products and your purchase or restore data via the store interface (StoreKit or Google Play Billing) at start-up, when you purchase or restore, and when the app returns to the foreground; the result is stored locally on your device.

Rating request: After the 3rd, 12th and 30th successful levelling (at most every 90 days), the app may ask the operating system to show the store's rating dialog. Whether it appears is decided by the operating system. A rating you submit goes directly to Apple or Google; we do not receive any personal data as a result.

  • Providers: Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Ireland; Google Ireland Limited (see Section 9.2).
  • Legal basis: Art. 6(1)(b) GDPR (in-app purchases, performance of contract); Art. 6(1)(f) GDPR (rating request).
  • Third-country safeguards: Processing in the USA by Apple or Google is possible (EU Standard Contractual Clauses or EU-US Data Privacy Framework).
  • Storage period: at Apple or Google according to their rules; locally until the app is uninstalled.
  • Apple privacy policy: https://www.apple.com/legal/privacy/

9.9 Websites (Online Privacy Policy, Guides)

When you open the privacy policy in the app (in the consent dialog, in the settings or when signing up for the newsletter), the app loads the current version from our website app.040parts.com/<language>/privacy in an embedded browser view; without an internet connection it shows the version contained in the app. Under "Help" you can also open the quick start guide, user manual and FAQ (app.040parts.com) as well as our website www.040parts.com – only when you tap the link, in the browser. For technical reasons your IP address, the browser/device identifier (user agent), the page requested and the language are transmitted.

We operate app.040parts.com ourselves (hosted by DigitalOcean LLC, Frankfurt am Main); server logs are deleted after 14 days. The website embeds Google Tag (Google Ireland Limited) in consent mode: without your consent on the website no analytics or advertising cookies are set, but when the script is loaded Google receives your IP address for technical reasons. www.040parts.com is our Shopify shop (Section 9.5); the shop's privacy policy applies there.

  • Legal basis: Art. 6(1)(f) GDPR (providing current information and guides when you request them).

9.10 Meta (Meta Pixel / Facebook & Instagram)

Provider: Meta Platforms Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Ireland ("Meta"); for the USA: Meta Platforms, Inc., 1601 Willow Road, Menlo Park, CA 94025, USA.

  • Service/Purpose: Meta Pixel on the website app.040parts.com for conversion and reach measurement of our advertisements on Meta services Instagram/Facebook (only with consent – Section 6b).
  • Legal basis: Art. 6(1)(a) GDPR in conjunction with § 25(1) TDDDG; for data collection by the pixel, joint controllership pursuant to Art. 26 GDPR.
  • Third-country guarantees: Processing in the USA is possible. Meta Platforms, Inc. is certified under the EU-US Data Privacy Framework (adequacy decision of the EU Commission pursuant to Art. 45 GDPR); additionally, EU Standard Contractual Clauses pursuant to Art. 46 GDPR exist.
  • Retention period: Cookie lifetimes according to Section 6b; further processing by Meta according to their specifications.
  • Privacy Policy: https://www.facebook.com/privacy/policy

9.11 Disclosure to Other Third Parties

Your personal data will not be disclosed to any further third parties, unless: you have expressly consented; the disclosure is necessary for the performance of the contract; we are legally obligated to disclose it; or the disclosure is necessary for the enforcement of our rights.

10. In-App Feedback (Error Reports & Feature Requests)

Via the feedback function, you can report errors or send feature requests to us. In doing so, we process: your feedback text, the type (bug/request), optionally your email address (for follow-up questions), app version/build, platform and OS version, language, timestamp. The transmission takes place only to our own server (lager.mix-cover.de or lagerbestands-tool, EU; connection via Cloudflare, see Section 9.7), not to Sentry and not to messenger services. Our team receives the report exclusively by email (sent via Brevo, EU).

Providing an email address is voluntary and only necessary if you would like a response.

Connection diagnostics (quick help “Sensor won't connect?”): If you actively tap "Send diagnostics" in the quick help, we transmit, in addition to the feedback data listed above, a diagnostics block: app version and brand, operating system and version, Bluetooth status (on/off, permission), on Android the location status (permission, service on/off), the checklist steps you ticked, the result of a 10-second Bluetooth scan (number of devices found, whether a sensor was among them, its signal strength – no device addresses or identifiers) and the last lines of the app's connection log, from which device addresses are removed before sending. The sole purpose is handling your support request. Before sending, the app shows a short notice linking to this privacy policy. The recipient is Mixcover GmbH: like other feedback, the data goes to our own server (forwarded by email via Brevo to our team, see 9.4, 9.6, 9.7); it is deleted after 12 months at the latest. The legal basis is Art. 6(1)(b) GDPR (processing of your support request); the function is not tied to your consent to analytics or crash reports.

Optionally, you can attach an image (e.g. a screenshot or photo). Before sending, the app scales it down to at most 1600 pixels and removes all metadata (e.g. location/GPS, device data). The image is transmitted exclusively to our own server for error analysis, stored there accessible only to our team, forwarded to our team by email (Brevo) and deleted together with the report after 12 months at the latest. The image is not sent to Sentry, messenger services or any other third parties. Please do not photograph other people or licence plates.

Legal basis: Art. 6(1)(b) GDPR (processing of your support request) as well as Art. 6(1)(f) GDPR (legitimate interest in product improvement); in the case of an optional email address being provided, Art. 6(1)(a) GDPR (consent to being contacted).

Recipients / third-country transfer: own server (EU), Brevo (EU); connection route via Cloudflare (see 9.7).

Storage period: on our server up to 12 months (for trend and error analysis), after which the report and image are deleted automatically.

10a. Anonymous Consent Counter

As soon as you save your choice in the consent dialog, or later under Settings → Privacy & Analytics, the app sends an anonymous signal once per decision to our own server (lager.mix-cover.de, EU). Only the following is transmitted: your choice per category (analytics, location, crash reports, each yes/no) and the app brand built into the app. No information is read from your device – no operating system, no app version, no device ID, no installation token, no advertising ID and no other personal data is transmitted; the IP address is not stored by us (regarding the connection route via Cloudflare, see Section 9.7). We cannot link the signal to you. It is sent independently of your analytics consent because it specifically also counts refusals.

Purpose: statistics on the consent rate (how many users allow which categories), in order to assess how representative our usage analytics are.

Legal basis: legitimate interest, Art. 6(1)(f) GDPR. You may object (Art. 21 GDPR) by email to shop@mixcover.de; since no link to you is possible, an objection can technically only be honoured for future signals.

Storage period: 12 months, then deleted automatically.

11. Newsletter Sign-Up

If you sign up for the newsletter in the app, we process your email address, optionally your first and last name, as well as—if you provide it—your voluntary age group, exclusively for the purpose of dispatching the newsletter (news, product news, offers from 040 Parts). In addition, we store the language selected in the app (for the newsletter in your language), the platform of your device (only roughly: iOS or Android), the app version, the point in time, and your consent (marketing checkbox). The sign-up runs via our own server (EU); for the email dispatch we use Brevo (Section 9.4) and, after confirmation, we store you as a customer with newsletter status in our Shopify shop (Section 9.5).

For reasons of data economy, in the event of a temporarily missing internet connection, only your email address is cached locally (offline queue) and the sign-up is completed at the next app start; first/last name is deliberately not stored locally in this case. A telephone number or your precise device model is not collected for the newsletter.

Legal basis: Art. 6(1)(a) GDPR in conjunction with Section 7(2) No. 3 UWG. The sign-up takes place by means of the double-opt-in procedure: you receive a confirmation email and are only added to the distribution list after confirmation.

Recipients / third-country transfer: own server (EU), Brevo (EU), Shopify (see 9.5, possibly USA/Canada with SCC or adequacy decision).

Storage period: until withdrawal of consent or unsubscription; the offline queue locally only until successful dispatch.

Withdrawal: at any time via the unsubscribe link in every email or by message to shop@040parts.com or shop@mixcover.de.

12. Shopify Product Feed (New Products in the App)

To display new products (labelled "New"), the app retrieves public product data via the Shopify Storefront interface (product ID, title, abbreviated description, price, image URL, shop link). To control the display, technical values are stored locally (e.g., the retrieved product cache, products already seen, session counters, dismissal status); these do not leave your device. Any conversion measurement ("seen"/"dismissed") takes place only where analytics consent is active. The locally stored control values, including the product cache, are deleted upon the privacy reset (see Section 13.3).

Legal basis: Art. 6(1)(b) GDPR (performance of contract – product display) or Art. 6(1)(f) GDPR (legitimate interest in product information); local tracking with conversion measurement: Art. 6(1)(a) GDPR.

Recipients / third-country transfer: Shopify (see 9.5).

Storage period: product cache locally 24 hours; "seen"/"dismissed" values until the privacy reset.

13. Device Permissions, Data Security, and Privacy Reset

13.1 Device Permissions

The app requests the following operating system permissions—in each case only when needed: Bluetooth (connection to the sensor), location (weather/camping spot), camera and photo library (optional image with feedback), microphone or audio playback (acoustic notices/background mode), and notifications (push). You can revoke granted permissions at any time in the device settings.

13.2 Data Security

We employ technical and organizational security measures pursuant to Art. 32 GDPR in order to protect your data against loss, manipulation, and unauthorized access. Transmissions to service providers are encrypted (HTTPS/TLS). Local app data is stored in the secured app storage of the operating system, to which other apps have no access. Device IDs/MAC addresses are pseudonymized prior to any external transmission (in error reports only the last 4 characters, for the authenticity check only as a hash, see Section 9.6).

13.3 Privacy Reset (Right to Erasure)

Via the privacy reset in the settings, you can delete all locally stored personal data—in particular sensor profiles (including stored MAC addresses), the weather cache, analytics counters, your voluntarily provided age group, the local Shopify product cache and the associated display control values, stored news, the offline newsletter queue, as well as all consent settings. We thereby directly implement your right to erasure (Art. 17 GDPR) for the locally held data. You can also achieve a complete deletion of all local data by uninstalling the app.

14. Your Rights as a Data Subject

Pursuant to Art. 15–21 GDPR, you have the following rights:

  • Right of access (Art. 15 GDPR): confirmation and information as to whether, and which, data concerning you we process.
  • Right to rectification (Art. 16 GDPR): rectification of inaccurate data or completion of incomplete data.
  • Right to erasure (Art. 17 GDPR): erasure of your data ("right to be forgotten"), insofar as no statutory retention obligations conflict with this.
  • Right to restriction of processing (Art. 18 GDPR).
  • Right to data portability (Art. 20 GDPR): receipt of your data in a structured, commonly used, machine-readable format.
  • Right to object (Art. 21 GDPR): objection, on grounds relating to your particular situation, to processing operations based on Art. 6(1)(f) GDPR (legitimate interest).

Withdrawal of consents: You can withdraw consents you have given at any time with effect for the future (Art. 7(3) GDPR). The lawfulness of the processing carried out up until the withdrawal remains unaffected.

  • In the app: Settings → Privacy & Analytics → Manage consents
  • By email: shop@mixcover.de

Following withdrawal, no new data will be collected on the basis of the withdrawn consent; data already collected will be deleted, insofar as no statutory retention obligation exists.

15. Right to Lodge a Complaint with a Supervisory Authority

Without prejudice to any other administrative or judicial remedy, you have the right to lodge a complaint with a data protection supervisory authority, in particular in the Member State of your habitual residence, your place of work, or the place of the alleged infringement.

The supervisory authority responsible for us as the controller is:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Hamburg Web: https://datenschutz-hamburg.de

16. Contact for Data Protection Inquiries

For questions on data protection, the exercise of your rights, or the withdrawal of consents, please contact:

Mixcover GmbH Attn: Timo Plogstedt Neumann-Reichardt-Str. 27-33, 22041 Hamburg Email: shop@mixcover.de

We generally process inquiries within the statutory deadline (as a rule one month, Art. 12(3) GDPR).

17. Storage Periods at a Glance

Type of data Storage period
Sensor/measurement data, BLE scan, phone IMU Only volatile in working memory; deleted when the app is closed
Local settings, calibration, sensor profiles (incl. MAC) Until profile deletion, the privacy reset, or uninstallation
Voluntary age group (local) Until the privacy reset or uninstallation
Privacy/consent status (local) Until change, the privacy reset, or uninstallation
Local messages ("News") Until the privacy reset or uninstallation
Crash reports (Sentry) 30 days at Sentry; copy without IP/email/identifiers on our server 90 days
Crash reports (Firebase Crashlytics) As a rule 90 days
Usage analytics (Firebase Analytics) Max. 14 months (Google default) or until withdrawal
Website analytics (Google Analytics 4, app.040parts.com) Max. 14 months; cookies _ga/_ga_* up to 2 years or until withdrawal
Analytics counters (local) Until the privacy reset
Location data No permanent storage; weather cache locally up to 24 h
In-app feedback incl. optional image and connection diagnostics (own server) Up to 12 months
Anonymous consent counter (own server) 12 months
Newsletter (own server / Brevo / Shopify) Until unsubscription / withdrawal of consent
FCM push token Until uninstallation / withdrawal of the permission
Shopify product cache (local) 24 hours or until the privacy reset
Weather server: weather cache per grid cell 30–60 minutes (up to 6 hours in case of disruptions); no IP addresses, no coordinates in the log
Sensor authenticity check (check value) 12 months after the last report
Installation reports from older app versions 12 months after receipt
Server logs (own servers) 14 days
Data backups 30 days

After the respective storage period expires, the data is routinely deleted, provided that no statutory retention obligation exists.

18. Changes to This Privacy Policy

We reserve the right to amend this Privacy Policy in order to keep it in line at all times with the current legal requirements or with changes to our services. The respective current version is available in the app under Settings → Privacy as well as online at app.040parts.com/<language>/privacy. In the event of material changes, you will be informed at the next app start and—insofar as legally required—asked to consent anew.

19. Applicable Law & Place of Jurisdiction

The law of the Federal Republic of Germany applies, to the exclusion of the UN Convention on Contracts for the International Sale of Goods, insofar as no mandatory statutory provisions—in particular of consumer protection or data protection law—conflict therewith. To the extent legally permissible, the exclusive place of jurisdiction for all disputes arising out of or in connection with this Privacy Policy is Hamburg. Mandatory statutory places of jurisdiction—in particular for consumers—remain unaffected.

20. Authoritative Language Version

This Privacy Policy is provided in several languages. In the event of any discrepancies or differences in interpretation between the language versions, the German version is legally authoritative.

This Privacy Policy applies to the 040 Level App and the website app.040parts.com. It does not apply to linked external websites or third-party services.

Last updated: 5 October 2026 | Version 2.1

This translation is provided for convenience only. Only the German version (below) is legally binding.

Deutsche Fassung — rechtlich maßgeblich

Datenschutzerklärung – 040 Level App

Stand: 05.10.2026 | Version: 2.1

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Mixcover GmbH Neumann-Reichardt-Str. 27-33 22041 Hamburg Deutschland

E-Mail: shop@mixcover.de

Geschäftsführer: Timo Plogstedt, Philip Bonmann Handelsregister: HRB 173050, Amtsgericht Hamburg USt-IdNr.: DE350528375

Ein Datenschutzbeauftragter ist gesetzlich nicht bestellt. Bei allen Fragen zum Datenschutz wenden Sie sich bitte an die oben genannten Kontaktdaten (siehe auch Abschnitt 16).

2. Allgemeines zur Datenverarbeitung

Wir erheben und verwenden personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen App sowie unserer Inhalte und Leistungen erforderlich ist oder Sie hierin eingewilligt haben. Die Erhebung und Verwendung personenbezogener Daten unserer Nutzer erfolgt regelmäßig nur nach Einwilligung des Nutzers. Eine Ausnahme gilt in solchen Fällen, in denen eine vorherige Einholung einer Einwilligung aus tatsächlichen Gründen nicht möglich ist und die Verarbeitung der Daten durch gesetzliche Vorschriften gestattet ist.

Die 040 Level App dient der Nivellierung (dem „Ausrichten in die Waage") von Wohnmobilen, Wohnwagen und Campervans. Hierfür verbindet sich die App per Bluetooth Low Energy (BLE) mit einem 040-Level-Sensor (KBeacon) oder nutzt alternativ – sofern Sie dies wählen – die im Smartphone verbauten Bewegungssensoren (Handy-IMU). Die eigentlichen Mess- und Sensordaten (Neigungswinkel, Beschleunigung, Temperatur, Batterie) werden grundsätzlich ausschließlich lokal auf Ihrem Gerät verarbeitet und nicht an uns oder Dritte übertragen.

Soweit innerhalb dieser Datenschutzerklärung auf eine Übermittlung in Drittländer (insbesondere die USA) hingewiesen wird, erfolgt diese auf Grundlage geeigneter Garantien nach Art. 46 DSGVO, insbesondere der EU-Standardvertragsklauseln (Standard Contractual Clauses, SCC). Sie können bei den jeweiligen Anbietern bzw. bei uns eine Kopie dieser Garantien anfordern.

3. Datenverarbeitung bei Kindern

Diese App richtet sich nicht an Kinder unter 16 Jahren. Wir erheben wissentlich keine personenbezogenen Daten von Kindern unter 16 Jahren. Die App nutzt keine technische Altersverifikation; die freiwillige Angabe einer Altersgruppe (siehe Abschnitt 7.4) ist eine reine Komfortfunktion und stellt keinen aktiven Minderjährigenschutz dar. Sofern Sie das 16. Lebensjahr noch nicht vollendet haben, holen Sie bitte die Einwilligung Ihrer Erziehungsberechtigten ein, bevor Sie der App optionale Einwilligungen (Crash-Berichte, Analyse, Standort, Werbung) erteilen. Sollten wir Kenntnis davon erlangen, dass wir ohne wirksame Einwilligung personenbezogene Daten eines Kindes verarbeitet haben, werden wir diese Daten unverzüglich löschen.

4. Lokale Verarbeitung auf Ihrem Gerät (keine Übermittlung)

Die folgenden Daten werden ausschließlich lokal in der gesicherten App-Umgebung Ihres Geräts gespeichert bzw. verarbeitet und verlassen Ihr Gerät grundsätzlich nicht. Eine Übermittlung an uns oder Dritte findet hierbei nicht statt; ein Drittlandtransfer entfällt.

4.1 Sensor- und Messdaten

Bei verbundenem 040-Level-Sensor verarbeitet die App in Echtzeit (mehrfach pro Sekunde):

  • Signalstärke (RSSI), geschätzte Sendeleistung (TX-Power)
  • rohe Beschleunigungswerte (ax/ay/az in m/s²)
  • berechnete Neigungswinkel (Pitch/Roll)
  • Batteriespannung (mV) und Batteriestand (%)
  • Temperatur (°C/°F)
  • Statusbits/Sensor-Flags, Gerätename, MAC-Adresse des Sensors

Diese Daten werden nicht dauerhaft gespeichert; sie werden im Arbeitsspeicher gehalten und laufend durch neue Messwerte überschrieben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags über die App – Kernfunktion Nivellierung).

4.2 Geräteerkennung & Verbindungsverwaltung (BLE-Scan)

Zum Auffinden und Verbinden von Sensoren verarbeitet die App: Geräte-ID (MAC), Gerätename (z. B. „040_level_XXXXX", „KBPro_XXXXX"), RSSI-Verlauf (Ringpuffer der letzten 20 Werte), Zeitstempel der letzten Sichtung sowie ggf. eine Eddystone-URL. Diese Informationen werden in einem flüchtigen Zwischenspeicher gehalten, der beim Beenden der App gelöscht wird; nicht mehr sichtbare Geräte werden nach kurzer Zeit automatisch entfernt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – BLE-Konnektivität).

4.3 Sensor-Konfiguration & Authentifizierung (Provisionierung)

Zur sicheren Verbindung und Konfiguration des KBeacon-Sensors verarbeitet die App ein Geräte-Passwort (nur im Arbeitsspeicher, niemals dauerhaft gespeichert, fest in die App einkompiliert), die MAC-Adresse zur Berechnung der Authentifizierung, GATT-UUIDs sowie eine Konfigurations-Versionsnummer. Das Passwort verlässt die App zu keinem Zeitpunkt und wird ausschließlich gegenüber dem gekoppelten Sensor verwendet. Lediglich die Konfigurations-Versionsnummer wird lokal gespeichert, um zu erkennen, ob eine Aktualisierung nötig ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Geräte-Provisionierung); Art. 32 DSGVO (Datensicherheit).

4.4 Kalibrierungs-Offsets

Zur Korrektur des Sensoreinbaus und der Ausrichtung speichert die App Kalibrierungswerte (Pitch-/Roll-Offset, Feinkorrektur, Yaw-Offset) – global sowie je Sensorprofil.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – nutzerbezogene Einstellungsdaten).

4.5 Handy-IMU (Bewegungssensoren des Smartphones)

Wenn Sie keinen externen Sensor nutzen möchten, kann die App alternativ die im Smartphone verbauten Bewegungssensoren (Beschleunigungssensor/Gyroskop) verwenden. Dabei werden Beschleunigung (x/y/z m/s²), Drehraten (x/y/z rad/s) sowie daraus berechnete Neigungswinkel verarbeitet. Diese Daten werden ausschließlich lokal verarbeitet, nur im Arbeitsspeicher gehalten und beim Beenden der Funktion verworfen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Nivellierung ohne externe Hardware) bzw., soweit Sie diese Betriebsart aktiv wählen, Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

4.6 Sensorprofile (Mehrprofil-Verwaltung)

Sie können je Sensor mehrere Konfigurationen anlegen (z. B. „PKW 160 cm", „Womo 305 cm"). Gespeichert werden u. a.: Profil-ID, Geräte-ID (MAC), Anzeigename, Fahrzeugtyp, Spurweite (vorne/hinten in cm), Radstand/Achsabstand, Konfiguration der Hilfsmittel (Keile/Kissen/Heber), Anzeigeeinstellungen, Sensorausrichtung und Kalibrierungs-Offsets. Diese Profile werden lokal gespeichert und bleiben bestehen, bis Sie das Profil löschen, die App deinstallieren oder den Datenschutz-Reset auslösen (siehe Abschnitt 13).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Profil-/Einstellungsdaten).

4.7 App-Einstellungen & Präferenzen

Lokal gespeichert werden Ihre Einstellungen, u. a.: Temperatur-Einheit (°C/°F), Längeneinheit (cm/inch), Ton/Vibration an/aus, Sensorausrichtung, Glättungs-/Filter-Parameter, Nachkommastellen, Theme, Sprache, App-Modus, Senioren-/Lupenmodus, Hintergrunddienst an/aus, zuletzt verbundener Sensor, Ansichtsmodus, Toleranzwinkel sowie Hilfsmittel-Einstellungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Einstellungsdaten).

4.8 Lokal gespeicherte Nachrichten („News")

Inhalte von Push-Nachrichten (siehe Abschnitt 8) werden ausschließlich lokal im gesicherten App-Speicher abgelegt, damit Sie sie später unter „Updates & Neuigkeiten" nachlesen können (max. 100 Einträge). Diese Daten verlassen Ihr Gerät nicht. Sie können sie jederzeit löschen (Datenschutz-Reset oder Deinstallation); zudem können wir einzelne Nachrichten per Lösch-Befehl serverseitig entfernen lassen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Anzeige empfangener Service-Nachrichten).

4.9 Home-/Sperrbildschirm-Widget

Falls Sie ein Home- bzw. Sperrbildschirm-Widget einrichten, werden die zuletzt bekannten Neigungswerte sowie ein Aktualisierungszeitstempel lokal für die Widget-Anzeige bereitgehalten. Eine externe Übertragung findet nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Komfortfunktion).

4.10 Datenschutz-Einwilligungsstatus

Zur Umsetzung und zum Nachweis Ihrer Einwilligungen speichern wir lokal Ihre Einwilligungs-Auswahl (Crash-Berichte/Analyse/Standort/Werbung), einen Hinweis-Status sowie den Zeitstempel Ihrer Einwilligung. Dieser Status steuert, ob optionale Funktionen aktiv sind, und dient als Einwilligungsnachweis.

Rechtsgrundlage: Art. 7 Abs. 1 DSGVO (Nachweis der Einwilligung); Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht).

5. Absturz- und Fehlerberichte (Sentry & Firebase Crashlytics)

Zur Sicherstellung der Stabilität, Sicherheit und Funktionsfähigkeit der App verarbeiten wir Absturz- und Fehlerberichte – ausschließlich, wenn Sie in die Kategorie „Crash-Berichte" eingewilligt haben (Standard: aus). Ohne Einwilligung werden Sentry und Firebase Crashlytics nicht gestartet und keine Berichte, Verlaufsspuren oder Sitzungsdaten übertragen. Sie können die Einwilligung jederzeit in den Datenschutz-Einstellungen widerrufen; die Übertragung endet dann sofort, noch nicht gesendete Berichte werden verworfen.

Verarbeitete Datenarten:

  • Art, Typ und Beschreibung des Fehlers, Stacktrace
  • Verlaufsspuren („Breadcrumbs": z. B. aufgerufene Screens, Tastendrücke, BLE-Ereignisse, Verbindungsabbrüche/-timeouts, Signalqualität)
  • anonymisierte Geräte-ID (nur die letzten 4 Zeichen, z. B. „…F2A7")
  • Plattform, Betriebssystem-Version, App-Version/Build-Nummer, Gerätemodell, Spracheinstellung
  • Performance-Kennzahlen (z. B. Verarbeitungsdauer, Bildrate) und Hinweise auf fehlerhafte Sensordaten (nur die ersten Bytes als Hex-Wert, keine Inhalte)

Vollständige Geräte-IDs, IMEI-Nummern, MAC-Adressen im Klartext oder Ihre eigentlichen Messdaten (Pitch/Roll-Stream) werden nicht übertragen. Fehler- und Absturzberichte werden im Auslieferungszustand grundsätzlich vollständig (jedes Ereignis) an Sentry übermittelt; eine konfigurierbare Stichproben-Reduktion ist technisch möglich. Reine Performance-Messungen (Tracing) werden hingegen nur anteilig (Stichprobe) erhoben.

Nachweis der Sicherheitshinweise: Vor der ersten Keil-Empfehlung bestätigen Sie die Sicherheitshinweise. Zeitpunkt und Fassung der Bestätigung speichern wir lokal auf Ihrem Gerät. Haben Sie Crash-Berichte erlaubt, übermitteln wir diese Bestätigung (Zeitpunkt, Fassung der Hinweise, Ort der Bestätigung in der App) zusätzlich einmalig als Ereignis an Sentry, um bei Haftungsfragen nachweisen zu können, dass die Hinweise angezeigt und bestätigt wurden (Art. 6 Abs. 1 lit. f DSGVO). Ohne Einwilligung in Crash-Berichte bleibt die Bestätigung nur auf Ihrem Gerät.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) sowie § 25 Abs. 1 TDDDG für den Zugriff auf Informationen im Endgerät. Die Verarbeitung ist auf das notwendige Minimum beschränkt und durch Pseudonymisierung (Anonymisierung der Geräte-ID) abgesichert.

Empfänger / Drittlandtransfer: siehe Abschnitt 9.1 (Sentry) und 9.2 (Firebase Crashlytics).

Speicherdauer: Sentry 30 Tage, Firebase Crashlytics i. d. R. 90 Tage. Zur Fehleranalyse übernehmen wir die Sentry-Berichte wöchentlich in ein eigenes Archiv auf unserem Server (EU) – ohne IP-Adresse, E-Mail-Adresse sowie Nutzer- und Geräte-Kennungen – und löschen sie dort 90 Tage nach dem Ereignis; lokale Debug-Protokolle nur flüchtig im Arbeitsspeicher (gelöscht beim Beenden der App).

Widerruf: jederzeit in der App unter Einstellungen → Datenschutz & Analyse (Schalter „Crash-Berichte") oder per E-Mail an shop@mixcover.de. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Hinweis zu älteren App-Versionen: Bis einschließlich Build 124 wurden Absturzberichte ohne gesonderte Einwilligung (auf Grundlage unseres berechtigten Interesses, Art. 6 Abs. 1 lit. f DSGVO) übertragen. Mit dem Update auf die aktuelle Version gilt ausschließlich die oben beschriebene Einwilligungslösung.

6. Nutzungsanalyse (Firebase Analytics) – nur mit Einwilligung

Wenn Sie der Nutzungsanalyse zustimmen, erheben wir zur Verbesserung der App und zum Verständnis der Funktionsnutzung folgende Daten:

  • aufgerufene Screens und Funktionen, Verweildauer
  • Tastendrücke / genutzte Schaltflächen und Einstellungen (ohne Inhalte Ihrer Messungen)
  • Sitzungsstart/-ende, Sitzungsdauer und Nutzungshäufigkeit
  • Geräteinformationen (Modell, Betriebssystem, Sprache, Land aus den Geräteeinstellungen)
  • freiwillig angegebene Altersgruppe (siehe Abschnitt 7)
  • Fahrzeugtyp und Hilfsmitteltyp (aus den App-Einstellungen)
  • Ereignisse wie Kalibrierung, Sensor-Verbindung/-Trennung (Sensortyp, Dauer), Abschluss des Onboardings, durchgeführte Nivellierungs-Berechnungen (Neigungswerte gerundet, Fahrzeugtyp, Hilfsmittel)
  • bei zusätzlicher Standort-Einwilligung: anonymisierte (auf ca. 11 km gerundete) Standortangaben (siehe Abschnitt 7.3)
  • eine von Firebase automatisch erzeugte pseudonyme Installations-ID (kein Name, keine E-Mail)

Die Daten enthalten keine Inhalte Ihrer Messungen. Lokal werden zudem Nutzungszähler (z. B. Funktions- und Sitzungszähler) gehalten; diese werden beim Datenschutz-Reset gelöscht. Ergänzend werden Analyse-Ereignisse als Breadcrumb-Kontext an Sentry übergeben, jedoch nur, wenn die Analyse-Einwilligung aktiv ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i. V. m. § 25 Abs. 1 TDDDG (Speichern von bzw. Zugriff auf Informationen im Endgerät). Die Einwilligung ist freiwillig und standardmäßig deaktiviert; sie wird im Onboarding bzw. unter Einstellungen → Datenschutz & Analyse erteilt.

Empfänger / Drittlandtransfer: siehe Abschnitt 9.2 (Google Firebase).

Speicherdauer: bei Firebase max. 14 Monate (Google-Standard) bzw. bis zum Widerruf; lokale Zähler bis zum Datenschutz-Reset oder zur Deinstallation.

Widerruf: jederzeit in der App unter Einstellungen → Datenschutz & Analyse oder per E-Mail an shop@mixcover.de.

6a. Nutzung unserer Website app.040parts.com (Google Analytics 4) – nur mit Einwilligung

Die vorliegende Datenschutzerklärung gilt nicht nur für die 040 Level App, sondern auch für unsere Website app.040parts.com (inklusive der Unterseiten wie Quickstart, Handbuch, FAQ und der B2B-Bestellseite). Auf dieser Website setzen wir – ausschließlich mit Ihrer Einwilligung – den Webanalysedienst Google Analytics 4 (GA4) ein, um die Nutzung der Website statistisch auszuwerten und sie zu verbessern.

Einwilligung über unser Consent-Banner (Cookie-Banner): Beim ersten Aufruf der Website wird Google Analytics nicht aktiviert. Wir verwenden den Google Consent Mode v2 mit der Voreinstellung „abgelehnt" für alle Analyse- und Marketing-Speicherzwecke. Erst wenn Sie im Consent-Banner aktiv auf „Alle akzeptieren" klicken, werden Analyse-Cookies gesetzt und Daten an Google übermittelt. Wählen Sie „Nur notwendige", werden keine Analyse-Cookies gesetzt; Google Analytics wird dann nicht geladen, und es werden keine Daten an Google übermittelt. Ihre Wahl „Alle akzeptieren" umfasst sowohl die Analyse (Google Analytics) als auch das Marketing (Meta-Pixel, siehe Abschnitt 6b).

Domainübergreifende Messung: Unsere Website app.040parts.com und unser Shop 040parts.com verwenden dieselbe Google-Analytics-Property. Damit ein Websitebesuch und ein anschließender Einkauf im Shop als zusammenhängender Vorgang ausgewertet werden können (domainübergreifende Messung), wird bei erteilter Einwilligung beim Wechsel auf den Shop eine pseudonyme Mess-Kennung in der URL übergeben. Eine personenbezogene Identifizierung ist damit nicht verbunden.

Bei erteilter Einwilligung verarbeitet Google Analytics insbesondere:

  • aufgerufene Seiten (URLs), Seitentitel, Verweisquelle (Referrer) und Verweildauer
  • Interaktionen wie Scrolltiefe, Klicks auf externe Links, Datei-Downloads, interne Suchanfragen sowie Formular-Interaktionen (sog. „optimierte Analysen"/Enhanced Measurement)
  • auf der B2B-Bestellseite eigene Ereignisse zum Bestellverlauf (z. B. „Formular begonnen", „Bestellung abgeschickt" inkl. Bestellwert) – ohne die von Ihnen eingegebenen Inhalte wie Name, Firma, E-Mail oder USt-ID; übertragen wird nur das Ereignis nebst Bestellsumme
  • ungefähre, auf Stadtebene begrenzte Standortinformation, die Google aus der IP-Adresse ableitet (die IP-Adresse selbst wird gekürzt/anonymisiert verarbeitet und nicht durch uns gespeichert)
  • technische Angaben wie Browsertyp, Betriebssystem, Gerätekategorie, Bildschirmauflösung und Spracheinstellung
  • eine pseudonyme, von Google im Cookie gesetzte Client-ID (_ga, _ga_*) zur Wiedererkennung wiederkehrender Besuche – kein Name, keine E-Mail

Keine geräteübergreifende Werbung: Wir haben „Google-Signale" deaktiviert und die IP-Anonymisierung aktiviert. Eine Zusammenführung mit Google-Werbekonten oder eine geräteübergreifende Werbe-Profilbildung findet durch uns nicht statt.

Cookies: Bei erteilter Einwilligung setzt Google Analytics u. a. die Cookies _ga (Laufzeit bis zu 2 Jahre) und _ga_<Container-ID> (Laufzeit bis zu 2 Jahre) zur Unterscheidung von Besuchern. Ohne Einwilligung werden diese Cookies nicht gesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i. V. m. § 25 Abs. 1 TDDDG (Speichern von bzw. Zugriff auf Informationen im Endgerät). Die Einwilligung ist freiwillig und jederzeit mit Wirkung für die Zukunft widerrufbar.

Empfänger / Drittlandtransfer: Google (siehe Abschnitt 9.2). Eine Verarbeitung auf Servern in den USA ist möglich; Google hat sich den EU-Standardvertragsklauseln nach Art. 46 DSGVO unterstellt.

Speicherdauer: Nutzungs-/Ereignisdaten bei Google max. 14 Monate; Cookies mit den oben genannten Laufzeiten bzw. bis zu deren Löschung.

Widerruf: Sie können Ihre Einwilligung jederzeit widerrufen, indem Sie im Footer der Website „Cookie-Einstellungen" öffnen und „Nur notwendige" wählen, oder indem Sie die genannten Cookies in Ihrem Browser löschen. Zusätzlich können Sie die Erfassung durch Google Analytics über das Browser-Add-on von Google unterbinden: https://tools.google.com/dlpage/gaoptout

6b. Meta-Pixel (Facebook/Instagram) auf unserer Website – nur mit Einwilligung

Auf unserer Website app.040parts.com setzen wir – ausschließlich mit Ihrer Einwilligung – das Meta-Pixel (auch „Facebook-Pixel") der Meta Platforms Ireland Limited ein. Damit messen wir den Erfolg unserer Werbeanzeigen in den Meta-Diensten (Instagram, Facebook): Wir erkennen, ob ein Websitebesuch auf eine zuvor angeklickte Anzeige zurückgeht, und können – sofern Sie anschließend in unserem Shop 040parts.com einen Kauf abschließen – diesen Erfolg der jeweiligen Anzeige zuordnen (Conversion-Messung). Außerdem ermöglicht das Pixel die Aussteuerung passgenauerer Werbung.

Einwilligung: Das Meta-Pixel wird beim ersten Aufruf der Website nicht geladen. Erst wenn Sie im Consent-Banner aktiv auf „Alle akzeptieren" klicken (Marketing-Einwilligung), wird das Pixel nachgeladen und aktiv. Bei „Nur notwendige" wird das Meta-Pixel nicht geladen; es werden keine Daten an Meta übermittelt.

Bei erteilter Einwilligung verarbeitet das Meta-Pixel insbesondere:

  • die Tatsache und den Zeitpunkt des Seitenbesuchs sowie die aufgerufene URL
  • eine pseudonyme Nutzer-/Browser-Kennung (Cookie _fbp) sowie – sofern Sie über eine Anzeige gekommen sind – die Klick-Kennung der Anzeige (fbclid bzw. Cookie _fbc)
  • technische Angaben wie Browsertyp, Betriebssystem und IP-Adresse (von Meta gekürzt verarbeitet)
  • bei einem späteren Kauf das Conversion-Ereignis über das Pixel des Shops 040parts.com (siehe Datenschutzerklärung des Shops)

Wir übermitteln über das Pixel keine von Ihnen eingegebenen Klardaten (Name, E-Mail, Adresse) aktiv an Meta.

Gemeinsame Verantwortlichkeit: Für die Erhebung und Übermittlung der Daten durch das Pixel sind wir und die Meta Platforms Ireland Limited gemeinsam Verantwortliche nach Art. 26 DSGVO. Die anschließende Weiterverarbeitung erfolgt in alleiniger Verantwortung von Meta. Einzelheiten: https://www.facebook.com/legal/controller_addendum

Cookies: u. a. _fbp (Laufzeit bis zu 3 Monate) und – bei Anzeigenklick – _fbc. Ohne Einwilligung werden diese Cookies nicht gesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i. V. m. § 25 Abs. 1 TDDDG. Die Einwilligung ist freiwillig und jederzeit mit Wirkung für die Zukunft widerrufbar.

Empfänger / Drittlandtransfer: Meta (siehe Abschnitt 9.10). Eine Verarbeitung auf Servern in den USA ist möglich.

Widerruf: jederzeit über „Cookie-Einstellungen" im Footer der Website („Nur notwendige" wählen) sowie über die Werbeeinstellungen Ihres Meta-Kontos.

7. Standortdaten, Wetter und freiwillige Altersgruppe

7.1 Standortermittlung für die Wetteranzeige

Die App kann auf Wunsch lokale Wetterdaten zu Ihrem aktuellen Standort anzeigen. Hierfür ermittelt sie – nach Erteilung der Standort-Einwilligung und der zusätzlich erforderlichen Betriebssystem-Berechtigung – Ihren ungefähren Standort und übermittelt an unseren eigenen Wetterserver (siehe Abschnitt 9.3) nur auf eine Nachkommastelle gerundete Koordinaten (ca. 10-km-Raster) sowie die App-Sprache, um aktuelle Wetterdaten, eine Vorhersage und den Ortsnamen abzurufen. Die App hat dabei keinen direkten Kontakt zu einem externen Wetterdienst. Die genaue Position wird nicht dauerhaft gespeichert; die Wetterdaten werden lediglich kurzzeitig zwischengespeichert (im Arbeitsspeicher ca. 30 Minuten, lokal bis zu 24 Stunden als Fallback).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i. V. m. § 25 Abs. 1 TDDDG.

Übergangshinweis für ältere App-Versionen: App-Versionen vor dem Update von Ende September 2026 rufen Wetterdaten und Ortsnamen noch direkt beim Wetterdienst Open-Meteo (open-meteo.com; Hosting nach unserer Kenntnis in der EU bzw. der Schweiz) ab. Dabei erhält Open-Meteo die – je nach Version genauen oder auf ca. 10 km gerundeten – Koordinaten sowie technisch bedingt die IP-Adresse Ihres Geräts; Namen, E-Mail-Adressen oder Geräte-/Nutzerkennungen werden nicht übertragen. Diese Übermittlung erfolgt ebenfalls nur mit Ihrer Standort-Einwilligung und entfällt, sobald Sie die App aktualisieren.

7.2 Verwendete Wetterdaten

Verarbeitet werden zur Anzeige u. a. Temperatur, Wind, Luftfeuchtigkeit, Nebelanteil, Wettercode, ein per Reverse-Geocoding ermittelter Ortsname sowie eine 7-Tage-Vorhersage. Quellen: Wetterdaten von MET Norway (Norwegisches Meteorologisches Institut, Lizenz CC BY 4.0), Ortsnamen von GeoNames (geonames.org, Lizenz CC BY 4.0). Anstelle der früher angezeigten Sichtweite zeigt die App den Nebelanteil (in %).

7.3 Anonymisierte Standort-Statistik

Sofern sowohl die Standort- als auch die Analyse-Einwilligung vorliegen, kann die App eine auf eine Dezimalstelle gerundete Position (ca. 11-km-Raster, nicht personenbeziehbar) an Firebase Analytics übermitteln, um anonymisierte Nutzungsregionen auszuwerten. Eine personenbezogene Standortverfolgung findet nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

7.4 Freiwillige Altersgruppe

Im Onboarding oder bei der Newsletter-Anmeldung können Sie freiwillig eine Altersgruppe (z. B. „18–30", „30–40") angeben. Diese dient der besseren Auswahl relevanter Inhalte und wird – sofern angegeben – lokal sowie (bei aktiver Analyse-Einwilligung) als Firebase-Nutzereigenschaft und im Rahmen einer Newsletter-Anmeldung an Brevo/Shopify übermittelt. Altersgruppen in Spannen von mindestens fünf Jahren gelten für sich genommen nicht als unmittelbar personenbeziehbar. Die lokal gespeicherte Altersgruppe wird beim Datenschutz-Reset gelöscht (siehe Abschnitt 13.3).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (freiwillige Einwilligung).

Widerruf/Widerspruch: jederzeit über die Einstellungen bzw. den Datenschutz-Reset; Firebase-/Brevo-/Shopify-bezogen über die jeweiligen Widerrufswege (Abschnitte 6, 11, 12).

8. Push-Benachrichtigungen (Firebase Cloud Messaging)

Die App kann Ihnen Push-Benachrichtigungen senden. Wir unterscheiden zwei Arten:

  • Service-Informationen (z. B. App-Updates, neue Funktionen, Hinweise zur Sicherheit): Diese erhalten Sie, sobald Sie Benachrichtigungen auf Betriebssystem-Ebene zugelassen haben.
  • Produktneuheiten, Angebote und Werbung (neue Produkte, Rabatte, Aktionen): Diese erhalten Sie nur, wenn Sie zusätzlich der Kategorie „Angebote/Werbung" ausdrücklich zugestimmt haben.

Zur Auslieferung nutzen wir Firebase Cloud Messaging (FCM) der Google Ireland Limited (siehe Abschnitt 9.2). Auf Ihrem Gerät wird ein pseudonymes Push-Token erzeugt und an Google übermittelt; nur darüber können Nachrichten zugestellt werden. Das Token enthält keinen Namen und keine E-Mail-Adresse. Verarbeitet werden zudem die abonnierten Themen (z. B. „alle", „App-Updates", „Produkte", „Angebote" sowie je ein technisches Thema für Betriebssystem und App-Sprache, damit Nachrichten in Ihrer Sprache und nur auf passenden Geräten ankommen), der Berechtigungsstatus sowie Klick-/Lese-Status (lokal). Inhalte einzelner Push-Nachrichten werden ausschließlich lokal gespeichert (siehe Abschnitt 4.8).

Rechtsgrundlage: Service-Push: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Service-Information) bzw. Art. 6 Abs. 1 lit. f DSGVO i. V. m. § 25 Abs. 2 TDDDG. Werbe-Push („Produkte", „Angebote"): Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG, § 7 Abs. 2 UWG. Die Werbe-Einwilligung ist freiwillig, standardmäßig deaktiviert und jederzeit widerrufbar.

Empfänger / Drittlandtransfer: siehe Abschnitt 9.2 (Google FCM, USA möglich; SCC).

Speicherdauer: FCM-Token bis zur Deinstallation/zum Widerruf der Berechtigung (von Google rotiert); lokale News bis zum Datenschutz-Reset.

Widerruf: jederzeit über die Benachrichtigungs-Einstellungen Ihres Betriebssystems; Werbe-Push zusätzlich in der App unter Einstellungen → Datenschutz & Analyse.

9. Eingesetzte Dienstleister und Drittanbieter

9.1 Sentry (Absturz- und Fehleranalyse)

Anbieter: Functional Software, Inc. („Sentry"), 132 Hawthorne Street, San Francisco, CA 94107, USA. Die Verarbeitung erfolgt über die EU-Region (de.sentry.io); je nach Konfiguration kann eine Verarbeitung auf Servern in den USA nicht ausgeschlossen werden.

  • Zweck: Absturz-/Fehleranalyse, Performance- und Stabilitätsüberwachung (nur mit Einwilligung „Crash-Berichte", siehe Abschnitt 5). In-App-Feedback wird nicht an Sentry übermittelt.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
  • Garantien Drittland: EU-Standardvertragsklauseln nach Art. 46 DSGVO; Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
  • Speicherdauer: 30 Tage bei Sentry; eine Archivkopie ohne IP-Adresse, E-Mail-Adresse sowie Nutzer- und Geräte-Kennungen speichern wir auf unserem Server und löschen sie 90 Tage nach dem Ereignis (siehe Abschnitt 5).
  • Datenschutzerklärung: https://sentry.io/privacy/

9.2 Google Firebase (Analytics, Crashlytics & Cloud Messaging / FCM)

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google"); für die USA: Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. Firebase-Projekt: „level-app-ad57e".

  • Dienste/Zweck: Firebase Analytics (Nutzungsanalyse, nur mit Einwilligung – Abschnitt 6), Firebase Crashlytics (Absturzberichte, nur mit Einwilligung – Abschnitt 5), Firebase Cloud Messaging (Push – Abschnitt 8) sowie Google Analytics 4 für die Website app.040parts.com (Webanalyse, nur mit Einwilligung – Abschnitt 6a).
  • Rechtsgrundlage: Analytics (App & Web)/Crashlytics/FCM-Werbung: Art. 6 Abs. 1 lit. a DSGVO; Service-Push: Art. 6 Abs. 1 lit. b DSGVO.
  • Garantien Drittland: Eine Verarbeitung auf Google-Servern in den USA ist möglich. Google hat sich den EU-Standardvertragsklauseln nach Art. 46 DSGVO unterstellt; Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
  • Speicherdauer: Analytics max. 14 Monate (App); Website-Analyse (GA4) max. 14 Monate; Crashlytics i. d. R. 90 Tage; FCM-Token bis Widerruf/Deinstallation.
  • Datenschutzerklärung: https://policies.google.com/privacy
  • Firebase-Datenschutz: https://firebase.google.com/support/privacy

9.3 Eigener Wetterserver der Mixcover GmbH (Wetter und Ortsnamen)

Wetterdaten und Ortsnamen ruft die App ausschließlich über unseren eigenen Server ab (wetter.mix-cover.de, betrieben durch die Mixcover GmbH, gehostet bei DigitalOcean LLC im Rechenzentrum Frankfurt am Main, Deutschland; DigitalOcean ist als Hoster unser Auftragsverarbeiter). Übermittelt werden die auf eine Nachkommastelle gerundeten Koordinaten (ca. 10-km-Raster; der Server rundet zusätzlich selbst) und die App-Sprache; technisch bedingt erhält der Server außerdem Ihre IP-Adresse. Die IP-Adresse wird nur flüchtig im Arbeitsspeicher für die Auslieferung und in gehashter Form für den Schutz vor Überlastung (Begrenzung der Abrufe je Anschluss, höchstens 10 Minuten) verarbeitet und nicht gespeichert. Das Zugriffsprotokoll enthält weder IP-Adresse noch Koordinaten und wird nach 14 Tagen gelöscht.

Der Server holt die Wetterdaten für die jeweilige Rasterzelle beim Norwegischen Meteorologischen Institut (MET Norway, api.met.no) ab und speichert sie für 30 bis 60 Minuten (bei Störungen bis zu 6 Stunden) zwischen. MET Norway erhält dabei nur die Rasterzelle und die Kennung unseres Servers – keine Daten Ihres Geräts, keine IP-Adresse und keine Kennungen. Ortsnamen ermittelt der Server aus einem eigenen, lokal gespeicherten Datenbestand von GeoNames; hierfür werden keine Daten an Dritte übermittelt.

  • Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Standort-Einwilligung) bzw. Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Wetterfunktion); Verarbeitung der IP-Adresse zum Schutz des Dienstes: Art. 6 Abs. 1 lit. f DSGVO.
  • Garantien Drittland: Verarbeitung in Deutschland. Mit DigitalOcean besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO einschließlich EU-Standardvertragsklauseln (Art. 46 DSGVO) für etwaige Zugriffe aus den USA.
  • Verbindungsweg: Die Verbindung zum Wetterserver läuft über Cloudflare (siehe Abschnitt 9.7).
  • Ältere App-Versionen: siehe Übergangshinweis in Abschnitt 7.1 (Open-Meteo).
  • Datenquellen: MET Norway (https://api.met.no, CC BY 4.0) · GeoNames (https://www.geonames.org, CC BY 4.0)

9.4 Brevo (Newsletter- und Transaktions-E-Mail)

Anbieter: Sendinblue SAS („Brevo"), 106 boulevard Haussmann, 75008 Paris, Frankreich. Verarbeitung auf EU-Servern (Frankreich).

  • Zweck: Versand der Double-Opt-In-Bestätigung und der Newsletter; Feedback-Benachrichtigungen an uns.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 7 Abs. 2 Nr. 3 UWG (Newsletter); Art. 6 Abs. 1 lit. f DSGVO (interne Feedback-Benachrichtigung).
  • Garantien Drittland: Verarbeitung innerhalb der EU; Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
  • Datenschutzerklärung: https://www.brevo.com/de/legal/privacypolicy/

9.5 Shopify (Produktanzeige & Newsletter-Kundendatensatz)

Anbieter: Shopify International Limited, Victoria Buildings, 2. Etage, 1–2 Haddington Road, Dublin 4, D04 XN32, Irland; Muttergesellschaft: Shopify Inc., Kanada.

  • Zweck: Abruf öffentlicher Produktinformationen für den App-internen Produkt-Feed (nur technische Verbindungs-/Produktdaten, keine Kundendaten); nach bestätigter Newsletter-Anmeldung Speicherung als Kundendatensatz mit Newsletter-Status.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Produkt-Feed) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Produktinformation); Kundendatensatz: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
  • Garantien Drittland: Eine Übermittlung in Drittländer (z. B. USA/Kanada) kann stattfinden; Shopify hat geeignete Garantien nach Art. 46 DSGVO (EU-Standardvertragsklauseln) vereinbart. Für Kanada besteht zudem ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO) für dem PIPEDA unterliegende Organisationen. Auftragsverarbeitungs-/Datenverarbeitungsvereinbarung nach Art. 28 DSGVO.
  • Datenschutzerklärung: https://www.shopify.com/legal/privacy

9.6 Eigener Server der Mixcover GmbH (Relay)

Newsletter-Anmeldungen, In-App-Feedback, der anonyme Einwilligungs-Zähler (Abschnitt 10a) und die Echtheitsprüfung des Sensors (siehe unten) werden an unseren eigenen Server (betrieben durch die Mixcover GmbH, gehostet bei DigitalOcean im Rechenzentrum Frankfurt am Main, Deutschland) übermittelt und dort gespeichert. Von dort erfolgt – je nach Funktion – die Weiterleitung an Brevo (Newsletter-Bestätigung, Feedback-E-Mail an unser Team) und Shopify (Newsletter-Kundendatensatz). Feedback erreicht unser Team ausschließlich per E-Mail; Feedback-Inhalte, Bilder, Namen und E-Mail-Adressen werden nicht an Messengerdienste übermittelt. Bei einer neuen Newsletter-Anmeldung erhält unser Team über den Messengerdienst Telegram (Telegram FZ-LLC, Dubai, VAE) lediglich einen Hinweis ohne Personenbezug (Shop, Sprache, Anmeldeweg) – ohne Namen und ohne E-Mail-Adresse.

  • Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Newsletter), Art. 6 Abs. 1 lit. b und lit. f DSGVO (Support/Feedback, interne Benachrichtigung).

Keine Installationsmeldung mehr: Ältere App-Versionen (bis einschließlich Build 124) meldeten bei erteilter Analyse-Einwilligung den ersten App-Start mit Plattform, App-Version und Sprache an unseren Server. Die aktuelle App sendet keine Installationsmeldung mehr; bereits gespeicherte Meldungen löschen wir 12 Monate nach Eingang.

Echtheitsprüfung des Sensors: Wenn Sie einen 040-Sensor zum ersten Mal einrichten, übermittelt die App einmalig einen Prüfwert an unseren Server (verify.mix-cover.de). Der Prüfwert ist ein nicht umkehrbarer Hash (SHA-256 mit geheimem Zusatzwert) der MAC-Adresse des Sensors – die MAC-Adresse selbst wird nicht übertragen. Mitgesendet werden die App-Marke, die Art der Sensor-Anmeldung, das Betriebssystem (iOS/Android) und die App-Version. Wir speichern Prüfwert, diese Angaben, die Anzahl der Meldungen sowie Zeitpunkt der ersten und letzten Meldung, um zu erkennen, ob ein Sensor aus unserer Produktion stammt (Schutz vor Fälschungen und Graumarktware). Ist die Prüfung serverseitig eingeschaltet und stammt ein Sensor nachweislich nicht aus unserer Produktion, kann die App diesen Sensor nach einer Übergangsfrist sperren. Ohne Internetverbindung oder bei einem Serverfehler wird nie gesperrt. Eine Zuordnung zu Ihrer Person, Ihrem Gerät oder einem Kauf findet nicht statt.

  • Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Erkennung gefälschter oder nicht autorisiert vertriebener Sensoren).
  • Speicherdauer: 12 Monate nach der letzten Meldung; danach wird der Eintrag automatisch gelöscht.

9.7 Cloudflare (Verbindungsschutz für unsere Server)

Die Verbindungen der App zu unseren eigenen Servern (lager.mix-cover.de, verify.mix-cover.de, wetter.mix-cover.de) laufen über das Netzwerk der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA („Cloudflare"). Cloudflare leitet die verschlüsselten Anfragen an unseren Server weiter und schützt ihn vor Überlastung und Angriffen. Dabei verarbeitet Cloudflare technisch bedingt Ihre IP-Adresse sowie Verbindungs- und Anfragedaten (z. B. Zeitpunkt, aufgerufene Adresse, Browser-/App-Kennung) für die Zustellung und zur Abwehr von Angriffen; Inhalte werden dabei nur zur Weiterleitung verarbeitet. Cloudflare wird als Auftragsverarbeiter tätig.

  • Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und verfügbaren Verbindung) bzw. die jeweilige Rechtsgrundlage der übermittelten Funktion.
  • Garantien Drittland: Eine Verarbeitung in den USA ist möglich. Cloudflare, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss nach Art. 45 DSGVO); ergänzend bestehen EU-Standardvertragsklauseln nach Art. 46 DSGVO und ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
  • Speicherdauer: Verbindungsdaten nur kurzzeitig nach den Vorgaben von Cloudflare; auf unseren Servern werden Protokolle nach 14 Tagen gelöscht.
  • Datenschutzerklärung: https://www.cloudflare.com/privacypolicy/

9.8 Apple App Store und Google Play (In-App-Käufe, Bewertungsanfrage)

In-App-Käufe: Zusatzfunktionen (z. B. die Nutzung von Sensoren anderer Hersteller) können Sie über den App Store von Apple bzw. über Google Play kaufen. Kauf und Zahlung wickeln ausschließlich Apple bzw. Google ab; wir erhalten keine Zahlungsdaten, keinen Namen und keine E-Mail-Adresse. Um Ihre Freischaltungen abzugleichen, fragt die App beim Start, bei einem Kauf oder einer Wiederherstellung und bei Rückkehr in den Vordergrund über die Store-Schnittstelle (StoreKit bzw. Google Play Billing) die verfügbaren Produkte und Ihre Kauf- bzw. Wiederherstellungsdaten ab; das Ergebnis wird lokal auf Ihrem Gerät gespeichert.

Bewertungsanfrage: Nach der 3., 12. und 30. erfolgreichen Nivellierung (höchstens alle 90 Tage) kann die App das Betriebssystem bitten, den Bewertungsdialog des Stores anzuzeigen. Ob er erscheint, entscheidet das Betriebssystem. Eine abgegebene Bewertung geht direkt an Apple bzw. Google; wir erhalten dadurch keine personenbezogenen Daten.

  • Anbieter: Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland; Google Ireland Limited (siehe Abschnitt 9.2).
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (In-App-Käufe, Vertragserfüllung); Art. 6 Abs. 1 lit. f DSGVO (Bewertungsanfrage).
  • Garantien Drittland: Eine Verarbeitung in den USA durch Apple bzw. Google ist möglich (EU-Standardvertragsklauseln bzw. EU-US Data Privacy Framework).
  • Speicherdauer: bei Apple bzw. Google nach deren Regeln; lokal bis zur Deinstallation der App.
  • Datenschutzerklärung Apple: https://www.apple.com/legal/privacy/

9.9 Webseiten (Datenschutzerklärung online, Anleitungen)

Wenn Sie die Datenschutzerklärung in der App öffnen (im Einwilligungsdialog, in den Einstellungen oder bei der Newsletter-Anmeldung), lädt die App die aktuelle Fassung von unserer Webseite app.040parts.com/<Sprache>/privacy in einer eingebetteten Browseransicht; ohne Internetverbindung zeigt sie die in der App enthaltene Fassung. Unter „Hilfe" können Sie außerdem Quickstart, Bedienungsanleitung und FAQ (app.040parts.com) sowie unsere Website www.040parts.com öffnen – nur wenn Sie den Link antippen, im Browser. Dabei werden technisch bedingt Ihre IP-Adresse, die Browser-/Gerätekennung (User-Agent), die aufgerufene Seite und die Sprache übermittelt.

app.040parts.com betreiben wir selbst (Hosting bei DigitalOcean LLC, Frankfurt am Main); Server-Protokolle werden nach 14 Tagen gelöscht. Die Webseite bindet Google Tag (Google Ireland Limited) im Einwilligungsmodus ein: ohne Ihre Zustimmung auf der Webseite werden keine Analyse- oder Werbe-Cookies gesetzt, beim Laden des Skripts erhält Google jedoch technisch bedingt Ihre IP-Adresse. www.040parts.com ist unser Shopify-Shop (Abschnitt 9.5); dort gilt die Datenschutzerklärung des Shops.

  • Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung aktueller Informationen und Anleitungen auf Ihren Abruf).

9.10 Meta (Meta-Pixel / Facebook & Instagram)

Anbieter: Meta Platforms Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland („Meta"); für die USA: Meta Platforms, Inc., 1601 Willow Road, Menlo Park, CA 94025, USA.

  • Dienst/Zweck: Meta-Pixel auf der Website app.040parts.com zur Conversion- und Reichweitenmessung unserer Werbeanzeigen in den Meta-Diensten Instagram/Facebook (nur mit Einwilligung – Abschnitt 6b).
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG; für die Datenerhebung durch das Pixel gemeinsame Verantwortlichkeit nach Art. 26 DSGVO.
  • Garantien Drittland: Eine Verarbeitung in den USA ist möglich. Meta Platforms, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO); ergänzend bestehen EU-Standardvertragsklauseln nach Art. 46 DSGVO.
  • Speicherdauer: Cookie-Laufzeiten gemäß Abschnitt 6b; weitere Verarbeitung bei Meta nach deren Vorgaben.
  • Datenschutzerklärung: https://www.facebook.com/privacy/policy

9.11 Weitergabe an sonstige Dritte

Eine Weitergabe Ihrer personenbezogenen Daten an weitere Dritte findet nicht statt, es sei denn: Sie haben ausdrücklich eingewilligt; die Weitergabe ist zur Vertragsdurchführung erforderlich; wir sind gesetzlich zur Weitergabe verpflichtet; oder die Weitergabe ist zur Durchsetzung unserer Rechte erforderlich.

10. In-App-Feedback (Fehlerberichte & Funktionswünsche)

Über die Feedback-Funktion können Sie uns Fehler melden oder Funktionswünsche senden. Dabei verarbeiten wir: Ihren Feedback-Text, die Art (Bug/Wunsch), optional Ihre E-Mail-Adresse (für Rückfragen), App-Version/Build, Plattform und OS-Version, Sprache, Zeitstempel. Die Übermittlung erfolgt ausschließlich an unseren eigenen Server (lager.mix-cover.de bzw. lagerbestands-tool, EU; Verbindung über Cloudflare, siehe Abschnitt 9.7), nicht an Sentry und nicht an Messengerdienste. Unser Team erhält die Meldung ausschließlich per E-Mail (Versand über Brevo, EU).

Die Angabe einer E-Mail-Adresse ist freiwillig und nur erforderlich, wenn Sie eine Rückmeldung wünschen.

Verbindungsdiagnose (Schnellhilfe „Sensor verbindet nicht?"): Wenn Sie in der Schnellhilfe aktiv auf „Diagnose an uns senden" tippen, übermitteln wir zusätzlich zu den oben genannten Feedback-Daten einen Diagnoseblock: App-Version und Marke, Betriebssystem und Version, Bluetooth-Status (an/aus, Berechtigung), auf Android den Standort-Status (Berechtigung, Dienst an/aus), die von Ihnen abgehakten Schritte der Checkliste, das Ergebnis eines 10-sekündigen Bluetooth-Suchlaufs (Anzahl gefundener Geräte, ob ein Sensor dabei war, dessen Signalstärke – keine Geräteadressen oder -kennungen) sowie die letzten Zeilen des Verbindungsprotokolls der App, aus denen Geräteadressen vor dem Senden entfernt werden. Zweck ist ausschließlich die Bearbeitung Ihrer Support-Anfrage. Vor dem Senden weist die App kurz darauf hin und verlinkt diese Datenschutzerklärung. Empfänger ist die Mixcover GmbH: Die Übermittlung erfolgt wie das übrige Feedback an unseren eigenen Server (Weiterleitung per E-Mail über Brevo an unser Team, siehe 9.4, 9.6, 9.7); gelöscht wird nach spätestens 12 Monaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bearbeitung Ihrer Support-Anfrage); die Funktion ist nicht an Ihre Einwilligung in Analyse oder Crash-Berichte gekoppelt.

Optional können Sie ein Bild (z. B. einen Screenshot oder ein Foto) anhängen. Die App verkleinert es vor dem Senden auf höchstens 1600 Pixel und entfernt alle Metadaten (z. B. Aufnahmeort/GPS, Gerätedaten). Das Bild wird ausschließlich zur Fehleranalyse an unseren eigenen Server übertragen, dort nur für unser Team zugänglich gespeichert, per E-Mail (Brevo) an unser Team weitergeleitet und zusammen mit der Meldung nach spätestens 12 Monaten gelöscht. An Sentry, Messengerdienste oder sonstige Dritte geht das Bild nicht. Bitte fotografieren Sie keine anderen Personen oder Kennzeichen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bearbeitung Ihrer Support-Anfrage) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Produktverbesserung); bei optionaler E-Mail-Angabe Art. 6 Abs. 1 lit. a DSGVO (Einwilligung in die Kontaktaufnahme).

Empfänger / Drittlandtransfer: eigener Server (EU), Brevo (EU); Verbindungsweg über Cloudflare (siehe 9.7).

Speicherdauer: auf unserem Server bis zu 12 Monate (zur Trend- und Fehleranalyse), danach automatische Löschung von Meldung und Bild.

10a. Anonymer Einwilligungs-Zähler

Sobald Sie im Einwilligungsdialog oder später unter Einstellungen → Datenschutz & Analyse Ihre Auswahl speichern, sendet die App einmalig pro Entscheidung ein anonymes Signal an unseren eigenen Server (lager.mix-cover.de, EU). Übermittelt werden ausschließlich: Ihre Auswahl je Kategorie (Analyse, Standort, Crash-Berichte jeweils ja/nein) und die fest in die App eingebaute App-Marke. Es werden keine Informationen von Ihrem Gerät ausgelesen – auch kein Betriebssystem, keine App-Version, keine Geräte-ID, kein Installations-Token, keine Werbe-ID und keine sonstigen personenbezogenen Daten übertragen; die IP-Adresse wird von uns nicht gespeichert (zum Verbindungsweg über Cloudflare siehe Abschnitt 9.7). Ein Personenbezug ist für uns nicht herstellbar. Dieses Signal wird unabhängig von Ihrer Analyse-Einwilligung gesendet, weil es gerade auch Ablehnungen zählt.

Zweck: Statistik über die Einwilligungsquote (wie viele Nutzer welche Kategorien zulassen), um die Aussagekraft unserer Nutzungsanalyse einordnen zu können.

Rechtsgrundlage: berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO. Sie können dem widersprechen (Art. 21 DSGVO) per E-Mail an shop@mixcover.de; da keine Zuordnung zu Ihrer Person möglich ist, kann der Widerspruch technisch nur für künftige Meldungen berücksichtigt werden.

Speicherdauer: 12 Monate, danach automatische Löschung.

11. Newsletter-Anmeldung

Wenn Sie sich in der App zum Newsletter anmelden, verarbeiten wir Ihre E-Mail-Adresse, optional Vor- und Nachnamen sowie – falls Sie diese angeben – Ihre freiwillige Altersgruppe, ausschließlich zum Versand des Newsletters (News, Produktneuheiten, Angebote von 040 Parts). Zusätzlich speichern wir die in der App gewählte Sprache (für den Newsletter in Ihrer Sprache), die Plattform Ihres Geräts (nur grob: iOS oder Android), die App-Version, den Zeitpunkt sowie Ihre Einwilligung (Marketing-Checkbox). Die Anmeldung läuft über unseren eigenen Server (EU); für den E-Mail-Versand nutzen wir Brevo (Abschnitt 9.4) und speichern Sie nach Bestätigung als Kunden mit Newsletter-Status in unserem Shopify-Shop (Abschnitt 9.5).

Aus Gründen der Datensparsamkeit wird bei vorübergehend fehlender Internetverbindung nur Ihre E-Mail-Adresse lokal zwischengespeichert (Offline-Warteschlange) und die Anmeldung beim nächsten App-Start nachgeholt; Vor-/Nachname werden hierbei bewusst nicht lokal gespeichert. Eine Telefonnummer oder Ihr genaues Gerätemodell werden für den Newsletter nicht erhoben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 7 Abs. 2 Nr. 3 UWG. Die Anmeldung erfolgt im Double-Opt-In-Verfahren: Sie erhalten eine Bestätigungs-E-Mail und werden erst nach Bestätigung in den Verteiler aufgenommen.

Empfänger / Drittlandtransfer: eigener Server (EU), Brevo (EU), Shopify (siehe 9.5, ggf. USA/Kanada mit SCC bzw. Angemessenheitsbeschluss).

Speicherdauer: bis zum Widerruf der Einwilligung bzw. zur Abmeldung; die Offline-Warteschlange lokal nur bis zum erfolgreichen Versand.

Widerruf: jederzeit über den Abmeldelink in jeder E-Mail oder per Nachricht an shop@040parts.com bzw. shop@mixcover.de.

12. Shopify-Produkt-Feed (Neuheiten in der App)

Zur Anzeige neuer Produkte (Kennzeichnung „Neuheit") ruft die App öffentliche Produktdaten über die Shopify-Storefront-Schnittstelle ab (Produkt-ID, Titel, gekürzte Beschreibung, Preis, Bild-URL, Shop-Link). Lokal werden zur Steuerung der Anzeige technische Werte gespeichert (z. B. der abgerufene Produkt-Cache, bereits gesehene Produkte, Sitzungszähler, Ausblend-Status); diese verlassen Ihr Gerät nicht. Eine etwaige Erfolgsmessung („gesehen"/„ausgeblendet") erfolgt nur bei aktiver Analyse-Einwilligung. Die lokal gespeicherten Steuerwerte einschließlich des Produkt-Caches werden beim Datenschutz-Reset gelöscht (siehe Abschnitt 13.3).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Produktanzeige) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Produktinformation); lokales Tracking mit Erfolgsmessung: Art. 6 Abs. 1 lit. a DSGVO.

Empfänger / Drittlandtransfer: Shopify (siehe 9.5).

Speicherdauer: Produkt-Cache lokal 24 Stunden; „gesehen"/„ausgeblendet"-Werte bis zum Datenschutz-Reset.

13. Geräteberechtigungen, Datensicherheit und Datenschutz-Reset

13.1 Geräteberechtigungen

Die App fragt – jeweils erst bei Bedarf – folgende Betriebssystem-Berechtigungen ab: Bluetooth (Verbindung mit dem Sensor), Standort (Wetter/Camping-Spot), Kamera und Fotomediathek (optionales Bild beim Feedback), Mikrofon bzw. Audio-Wiedergabe (akustische Hinweise/Hintergrundmodus) sowie Benachrichtigungen (Push). Sie können erteilte Berechtigungen jederzeit in den Geräteeinstellungen widerrufen.

13.2 Datensicherheit

Wir setzen technische und organisatorische Sicherheitsmaßnahmen nach Art. 32 DSGVO ein, um Ihre Daten gegen Verlust, Manipulation und unbefugten Zugriff zu schützen. Übertragungen an Dienstleister erfolgen verschlüsselt (HTTPS/TLS). Lokale App-Daten werden im gesicherten App-Speicher des Betriebssystems abgelegt, auf den andere Apps keinen Zugriff haben. Geräte-IDs/MAC-Adressen werden vor jeder externen Übermittlung pseudonymisiert (in Fehlerberichten nur die letzten 4 Zeichen, bei der Echtheitsprüfung nur als Hash, siehe Abschnitt 9.6).

13.3 Datenschutz-Reset (Recht auf Löschung)

Über den Datenschutz-Reset in den Einstellungen können Sie sämtliche lokal gespeicherten personenbezogenen Daten löschen – insbesondere Sensorprofile (inkl. gespeicherter MAC-Adressen), den Wetter-Cache, Analyse-Zähler, Ihre freiwillig angegebene Altersgruppe, den lokalen Shopify-Produkt-Cache und die zugehörigen Anzeige-Steuerwerte, gespeicherte News, die Offline-Newsletter-Warteschlange sowie alle Einwilligungs-Einstellungen. Damit setzen wir Ihr Recht auf Löschung (Art. 17 DSGVO) für die lokal gehaltenen Daten unmittelbar um. Eine vollständige Löschung aller lokalen Daten erreichen Sie auch durch Deinstallation der App.

14. Ihre Rechte als betroffene Person

Sie haben gemäß Art. 15–21 DSGVO folgende Rechte:

  • Auskunftsrecht (Art. 15 DSGVO): Bestätigung und Auskunft darüber, ob und welche Sie betreffenden Daten wir verarbeiten.
  • Recht auf Berichtigung (Art. 16 DSGVO): Berichtigung unrichtiger bzw. Vervollständigung unvollständiger Daten.
  • Recht auf Löschung (Art. 17 DSGVO): Löschung Ihrer Daten („Recht auf Vergessenwerden"), soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
  • Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO).
  • Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Erhalt Ihrer Daten in einem strukturierten, gängigen, maschinenlesbaren Format.
  • Widerspruchsrecht (Art. 21 DSGVO): Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) gestützt sind, aus Gründen Ihrer besonderen Situation.

Widerruf von Einwilligungen: Sie können erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

  • In der App: Einstellungen → Datenschutz & Analyse → Einwilligungen verwalten
  • Per E-Mail: shop@mixcover.de

Nach dem Widerruf werden keine neuen Daten mehr auf Basis der widerrufenen Einwilligung erhoben; bereits erhobene Daten werden gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht.

15. Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu, insbesondere im Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Die für uns als Verantwortlichen zuständige Aufsichtsbehörde ist:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Hamburg Web: https://datenschutz-hamburg.de

16. Kontakt für Datenschutzanfragen

Für Fragen zum Datenschutz, zur Ausübung Ihrer Rechte oder zum Widerruf von Einwilligungen wenden Sie sich bitte an:

Mixcover GmbH z. Hd. Timo Plogstedt Neumann-Reichardt-Str. 27-33, 22041 Hamburg E-Mail: shop@mixcover.de

Wir bearbeiten Anfragen in der Regel innerhalb der gesetzlichen Frist (grundsätzlich ein Monat, Art. 12 Abs. 3 DSGVO).

17. Speicherdauer im Überblick

Datenart Speicherdauer
Sensor-/Messdaten, BLE-Scan, Handy-IMU Nur flüchtig im Arbeitsspeicher; gelöscht beim Beenden der App
Lokale Einstellungen, Kalibrierung, Sensorprofile (inkl. MAC) Bis zur Profil-Löschung, zum Datenschutz-Reset oder zur Deinstallation
Freiwillige Altersgruppe (lokal) Bis zum Datenschutz-Reset oder zur Deinstallation
Datenschutz-/Einwilligungsstatus (lokal) Bis zur Änderung, zum Datenschutz-Reset oder zur Deinstallation
Lokale Nachrichten („News") Bis zum Datenschutz-Reset oder zur Deinstallation
Absturzberichte (Sentry) 30 Tage bei Sentry; Kopie ohne IP/E-Mail/Kennungen auf unserem Server 90 Tage
Absturzberichte (Firebase Crashlytics) I. d. R. 90 Tage
Nutzungsanalyse (Firebase Analytics) Max. 14 Monate (Google-Standard) bzw. bis zum Widerruf
Website-Analyse (Google Analytics 4, app.040parts.com) Max. 14 Monate; Cookies _ga/_ga_* bis zu 2 Jahre bzw. bis zum Widerruf
Analyse-Zähler (lokal) Bis zum Datenschutz-Reset
Standortdaten Keine dauerhafte Speicherung; Wetter-Cache lokal bis 24 h
In-App-Feedback inkl. optionalem Bild und Verbindungsdiagnose (eigener Server) Bis zu 12 Monate
Anonymer Einwilligungs-Zähler (eigener Server) 12 Monate
Newsletter (eigener Server / Brevo / Shopify) Bis zur Abmeldung / zum Widerruf der Einwilligung
FCM-Push-Token Bis zur Deinstallation / zum Widerruf der Berechtigung
Shopify-Produkt-Cache (lokal) 24 Stunden bzw. bis zum Datenschutz-Reset
Wetterserver: Wetter-Zwischenspeicher je Rasterzelle 30–60 Minuten (bei Störungen bis 6 Stunden); keine IP-Adressen, keine Koordinaten im Protokoll
Echtheitsprüfung des Sensors (Prüfwert) 12 Monate nach der letzten Meldung
Installationsmeldungen älterer App-Versionen 12 Monate nach Eingang
Server-Protokolle (eigene Server) 14 Tage
Datensicherungen (Backups) 30 Tage

Nach Ablauf der jeweiligen Speicherdauer werden die Daten routinemäßig gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht.

18. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie stets den aktuellen rechtlichen Anforderungen oder Änderungen unserer Leistungen anzupassen. Die jeweils aktuelle Fassung ist in der App unter Einstellungen → Datenschutz sowie online unter app.040parts.com/<Sprache>/privacy abrufbar. Bei wesentlichen Änderungen werden Sie beim nächsten App-Start informiert und – soweit gesetzlich erforderlich – um erneute Einwilligung gebeten.

19. Anwendbares Recht & Gerichtsstand

Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts, soweit dem nicht zwingende gesetzliche Vorschriften – insbesondere des Verbraucherschutzes oder des Datenschutzrechts – entgegenstehen. Soweit gesetzlich zulässig, ist ausschließlicher Gerichtsstand für sämtliche Streitigkeiten aus oder im Zusammenhang mit dieser Datenschutzerklärung Hamburg. Gesetzlich zwingende Gerichtsstände – insbesondere für Verbraucher – bleiben unberührt.

20. Maßgebliche Sprachfassung

Diese Datenschutzerklärung wird in mehreren Sprachen bereitgestellt. Im Falle von Abweichungen oder Auslegungsunterschieden zwischen den Sprachfassungen ist die deutsche Fassung rechtlich maßgeblich.

Diese Datenschutzerklärung gilt für die 040 Level App und die Website app.040parts.com. Sie gilt nicht für verlinkte externe Websites oder Dienste Dritter.

Stand: 05.10.2026 | Version 2.1