Datenschutzerklärung

Stand: 21.10.2026

1. Verantwortlicher

Aron Heidenreich, Altomsewitz 11, 01157 Dresden, Deutschland
E-Mail: support@mercao.de
Telefon: +49 179 533 4689

2. Kurzfassung

• Du kannst Mercao ohne Konto nutzen. Ein Konto ist freiwillig; dafür speichern wir deine E-Mail-Adresse und dein Passwort, dieses nur als nicht umkehrbaren Hash (Abschnitt 12).
• Angaben zu Ernährung, Unverträglichkeiten, Gesundheit und Körper speichern wir nur in einem Profil und nur mit deiner ausdrücklichen Einwilligung; du kannst sie jederzeit widerrufen (Abschnitt 13).
• Wir setzen keine Analyse- oder Werbedienste ein und keine Cookies für Tracking.
• Die wenigen Cookies, die wir setzen, braucht die Website für Marktwahl, Warenkorb, Anmeldung und die Weitergabe an REWE.
• Gekauft und bezahlt wird bei REWE. Mercao sieht weder deine Adresse noch deine Bestellung.

3. Hosting

Die Website läuft auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in einem Rechenzentrum in der EU. Hetzner verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO).

4. Aufruf der Website

Beim Aufruf jeder Seite überträgt dein Browser technisch notwendige Verbindungsdaten, vor allem deine IP-Adresse, die aufgerufene Adresse und den Zeitpunkt. Ohne sie kann der Server keine Seite ausliefern (Art. 6 Abs. 1 lit. f DSGVO). Wir führen kein Zugriffsprotokoll mit IP-Adressen. Fehlermeldungen des Servers enthalten keine IP-Adressen; sie werden nach spätestens 30 MB Protokollgröße überschrieben.

5. Cookies

Wir setzen nur Cookies, die für die von dir gewünschten Funktionen nötig sind (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b und f DSGVO). Sie sind für Skripte nicht lesbar (HttpOnly) und werden nur an Mercao gesendet.

Du kannst die Cookies jederzeit in deinem Browser löschen.

6. Speicher im Browser

Deine Vergleichsliste liegt nur im Speicher deines Browsers (localStorage). Sie verlässt ihn lediglich als Liste von Produkt- oder Rezeptnummern in der Adresse, wenn du die Vergleichsseite öffnest.

7. Marktwahl und Standort

Für die Marktwahl gibst du eine Postleitzahl ein; sie steht danach im Cookie market. Nur wenn du auf „Meinen Standort verwenden“ klickst und deinem Browser die Freigabe erteilst, schickt dein Browser einmalig deine Koordinaten an unseren Server. Er sucht damit die nächste REWE-Filiale aus unserer eigenen Liste und gibt deren Postleitzahl zurück. Die Koordinaten werden weder gespeichert noch protokolliert und an niemanden weitergegeben; wir nutzen keine Kartendienste.

8. Produktbilder von REWE

Produktbilder aus dem REWE-Partnerprogramm lädt dein Browser direkt vom Bildserver von REWE (img.rewe-static.de). Dabei erhält REWE deine IP-Adresse und die Information, welches Bild abgerufen wurde. Wir binden die Bilder ein, damit du Produkte wiedererkennst (Art. 6 Abs. 1 lit. f DSGVO).

9. Wechsel zu REWE über Awin

Klickst du im Warenkorb auf „Bei REWE öffnen“, öffnet sich der Shop von REWE in einem neuen Tab. Der erste Wechsel läuft über das Partnernetzwerk Awin (Awin AG, Eichhornstraße 3, 10785 Berlin), damit ein Einkauf Mercao zugeordnet werden kann. Ohne Anmeldung überträgt Mercao dabei keine Angaben zu deiner Person. Bist du angemeldet, hängen wir an diesen Link eine zufällige Kennung deines Kontos an (clickref, Abschnitt 14); sie enthält weder Name noch E-Mail-Adresse. Awin und REWE setzen im geöffneten Tab eigene Cookies; dafür gelten deren Datenschutzhinweise. Der Wechsel geschieht nur, wenn du ihn selbst auslöst.

10. Schriften

Schriften liefern wir von unserem eigenen Server aus; es werden keine Schriftdienste Dritter geladen.

11. Weitergabe und automatisierte Entscheidungen

Wir verkaufen keine Daten und geben sie nicht an Dritte weiter, außer an die oben genannten Dienstleister. Es gibt keine automatisierte Entscheidung im Einzelfall. Der FoodScore bewertet Produkte, nicht Personen. Mit einem Profil schlagen wir dir aus deinen Angaben Einstellungen vor (zum Beispiel „Salzarm“ bei Bluthochdruck); das ist eine automatisierte Auswertung, aber keine Entscheidung: Du bestätigst oder änderst jeden Vorschlag selbst.

12. Konto

Ein Konto ist freiwillig. Für ein Konto speichern wir deine E-Mail-Adresse, dein Passwort ausschließlich als nicht umkehrbaren Hash (scrypt), die Zeitpunkte von Registrierung und Bestätigung sowie deine Anmeldesitzungen (zufällige Kennung als Hash und Ablaufdatum). Rechtsgrundlage ist die Nutzung des Kontos, die du mit der Registrierung wählst (Art. 6 Abs. 1 lit. b DSGVO).

E-Mails

Zum Bestätigen deiner Adresse und zum Zurücksetzen des Passworts schicken wir dir E-Mails mit einem Link. Wir versenden sie über den Mailserver der STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, die sie in unserem Auftrag verarbeitet (Art. 28 DSGVO). Wir verschicken keine Werbung und messen nicht, ob du eine E-Mail öffnest.

Schutz vor Missbrauch

Damit niemand Passwörter durchprobieren oder fremde Postfächer mit E-Mails füllen kann, zählen wir fehlgeschlagene Anmeldungen, Registrierungen und angeforderte E-Mails je E-Mail-Adresse und je IP-Adresse. Beides speichern wir nur als Hash und löschen es nach einem Tag (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer und Löschen

• Dein Konto bleibt, bis du es löschst. Unter „Dein Konto“ kannst du es jederzeit selbst löschen; es wird sofort mit allen zugehörigen Daten entfernt.
• Ein Konto, dessen Adresse nicht bestätigt wird, löschen wir 7 Tage nach der Registrierung.
• Sitzungen enden nach 30 Tagen ohne Nutzung oder beim Abmelden.
• Links zum Bestätigen gelten 24 Stunden, Links zum Zurücksetzen des Passworts 60 Minuten.

13. Profile und persönlicher FoodScore

In deinem Konto kannst du bis zu sechs Profile anlegen, je eines für eine Person: für dich selbst oder für dein Kind, wenn du sorgeberechtigt bist. Andere Erwachsene legen ein eigenes Konto an. Ein Profil enthält einen Namen und – nur mit Einwilligung – deine Antworten: Ernährungsform, Unverträglichkeiten und Allergien, Angaben zur Gesundheit (zum Beispiel Diabetes oder Bluthochdruck), Geschlecht, Geburtsjahr, Größe, Gewicht, Körperfettanteil, Ziel, Ausrichtung, Schwerpunkte und deine Haltung zu Süßungsmitteln. Daraus berechnen wir deinen persönlichen FoodScore, blenden unpassende Produkte aus und schlagen Einstellungen vor. Alle Angaben sind freiwillig.

Diese Angaben sind Gesundheitsdaten. Wir verarbeiten sie nur mit deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a und Art. 6 Abs. 1 lit. a DSGVO), die du beim Anlegen des Profils erteilst; für ein Kind erteilst du sie als sorgeberechtigte Person. Wir speichern, wann und in welcher Fassung du eingewilligt hast. Die Angaben nutzen wir für nichts anderes, nicht für Werbung, und geben sie an niemanden weiter. Persönliche Scores werden nicht gespeichert, sondern bei jedem Aufruf neu berechnet.

Du kannst die Einwilligung jederzeit unter „Persönliche Daten“ widerrufen. Dann löschen wir sofort alle Angaben dieses Profils; es behält nur seinen Namen und zeigt den allgemeinen FoodScore. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt davon unberührt. Ein Profil kannst du jederzeit löschen; mit dem Konto werden alle Profile gelöscht.

14. Favoriten, Einkaufsverlauf und Kennung für Werbelinks

Gemerkte Produkte und Einkäufe, die du im Warenkorb mit „Einkauf abgeschlossen“ festhältst (Zeitpunkt, Markt, Produkte, Mengen, Preise zu diesem Zeitpunkt und ob ein Artikel an REWE übergeben wurde), speichern wir in deinem Konto, damit du sie wiederfindest (Art. 6 Abs. 1 lit. b DSGVO). Du kannst sie jederzeit einzeln oder ganz löschen; sonst bleiben sie, bis du das Konto löschst. Was du bei REWE tatsächlich kaufst, erfahren wir nicht.

Jedes Konto hat eine zufällige Kennung (clickref), die wir beim Wechsel über Awin an den Link anhängen (Abschnitt 9). So sehen wir in den Berichten von Awin, ob über Konten bei Mercao eingekauft wird, ohne dass Awin oder REWE erfahren, wer du bist (Art. 6 Abs. 1 lit. f DSGVO; unser Interesse: Abrechnung und Weiterentwicklung von Mercao). Die Kennung wird mit dem Konto gelöscht.

15. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15 bis 21 DSGVO). Wende dich dazu an die oben genannte Adresse. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der Sächsischen Datenschutz- und Transparenzbeauftragten.