Datenschutz & DSGVO¶

Kamerplanter ist nach dem Prinzip Datenschutz durch Technikgestaltung (Privacy by Design) entwickelt. Du hast die volle Kontrolle über deine persönlichen Daten: Du kannst sie jederzeit exportieren, berichtigen oder löschen lassen. Alle Betroffenenrechte nach DSGVO Art. 15–21 sind als Self-Service-Funktionen erreichbar.

Für technische Nutzer / Self-Hoster¶

Dieser Abschnitt richtet sich an technische Nutzer und Self-Hoster. Alle unten beschriebenen DSGVO-Funktionen stehen als REST-Endpunkte unter /api/v1/privacy/ zur Verfügung. Ein Teil davon ist zusätzlich direkt in der grafischen Oberfläche nutzbar (siehe die jeweiligen Abschnitte weiter unten); einige Endpunkte — Widerspruch, Einwilligung per Klick erteilen/widerrufen, Einschränkung aufheben, Export-Status/-Download — sind aktuell ausschließlich über die API erreichbar. Eine angemeldete Sitzung (Bearer-Token) ist erforderlich, außer bei GET /api/v1/privacy/policy und den beiden E-Mail-Änderungs-Endpunkten, die per Token bestätigen (confirm, revert).

curl -X POST https://<deine-instanz>/api/v1/privacy/export \
  -H "Authorization: Bearer <dein-access-token>"

Datenschutz-Einstellungen öffnen¶

So öffnest du den Datenschutz-Bereich:

1. Oben rechts auf dein Profilbild oder deine Initialen klicken
2. Im Menü auf Datenschutz klicken

Der Datenschutz-Bereich hat vier Tabs: Einwilligungen, Datenexport, Konto löschen und Verarbeitungseinschränkung.

Meine Daten exportieren (Art. 15 & 20 DSGVO)¶

Du hast das Recht zu erfahren, welche Daten das System über dich gespeichert hat, und diese in einem maschinenlesbaren Format zu erhalten.

Datenexport anfordern¶

1. Zu Datenschutz > Tab Datenexport navigieren
2. Auf Export anfordern klicken
3. Die Oberfläche bestätigt die Anfrage mit dem aktuellen Status

Der Export läuft danach asynchron im Hintergrund (dauert je nach Datenmenge 1–5 Minuten); der spätere Download-Link ist 72 Stunden gültig.

Der Export enthält die Daten, die Kamerplanter dir als Person zuordnet:

• dein Konto: Profil, Anmeldeverfahren, Sitzungen, API-Schlüssel (ohne den geheimen Schlüssel selbst), persönliche Einstellungen, Einrichtungsstand, Favoriten
• deine Mitgliedschaften in Gärten, Einladungen und deinen persönlichen Garten
• deine Datenschutz-Vorgänge: Einwilligungen, Einschränkungen, Lösch-, Export- und E-Mail-Änderungsanfragen
• was du erfasst hast: Aufgaben und Kommentare, Tagebucheinträge, Ernten und Qualitätsbewertungen, Inspektionen und Behandlungen, Pflanzenbestimmungen und Diagnosen, Schädlingserkennungen, Anhänge und beigetragene Referenzbilder, Importe
• deine Gespräche mit dem KI-Assistenten, ausgeblendete Tipps und die zugehörigen Protokolle
• Benachrichtigungen und deren Einstellungen, Kalender-Feeds, Wetterquellen und manuelle Eingriffe in Geräte
• dein persönlicher Garten: Standorte mit ihren GPS-Koordinaten, Beete und Stellplätze, Pflanzen, Pflanzdurchläufe, alle Aufgaben, das Tagebuch und die Angaben zu Fotos und Dateien (ohne die Dateien selbst) — auch Einträge, die andere Mitglieder in deinem persönlichen Garten angelegt haben, aber ohne deren Kontokennungen.
• Messwerte und Protokolle deines persönlichen Gartens: Tanks mit ihren Messungen, Befüllungen und Wartungen, Gieß- und Düngeprotokolle, deine Sensoren und ihre Messwerte — die einzelnen Werte der letzten 90 Tage, Stundenmittel der letzten 2 Jahre und Tagesmittel der letzten 5 Jahre. Hat ein Abschnitt mehr als 100.000 Messwerte, enthält er die neuesten und nennt die Zahl der ausgelassenen älteren; die Stunden- und Tagesmittel decken denselben Sensor über den längeren Zeitraum ab. Messwerte, die die Home-Assistant-Anbindung vor dem 4. Oktober 2026 gespeichert hat, kommen mit, solange der Sensor noch in deinem Garten existiert. Notizen und Zusatzangaben, die eingeladene Mitglieder an diesen Einträgen hinterlassen haben, stehen unverändert darin — du siehst sie in der App ohnehin; wer sie geschrieben hat, nennt der Export nicht.

Aus einer Organisation (Gemeinschaftsgarten) gehören Pflanzen, Standorte und Sensordaten der Gruppe, nicht einer einzelnen Person. Sie sind deshalb nicht im persönlichen Export enthalten — nur deine Mitgliedschaft und das, was du selbst erfasst hast. Die Standort-Zuweisungen hängen an deiner Mitgliedschaft; welche Standorte dir zugewiesen sind, kann dir die Leitung deines Gartens zeigen.

E-Mail-Adresse ändern (Art. 16 DSGVO)¶

Du hast das Recht, deine Daten berichtigen zu lassen.

Ablauf der Änderung¶

1. In den Kontoeinstellungen zum Tab Profil navigieren und im Abschnitt E-Mail-Adresse ändern die neue Adresse eintragen
2. Auf Änderung anfordern klicken und dich im Dialog bestätigen — mit deinem aktuellen Passwort, sofern dein Konto eines hat, sonst über eine frische Anmeldung beim verknüpften Anbieter oder, nur bei ausschließlich GitHub/Apple, über den per E-Mail zugeschickten Code
3. Die Oberfläche bestätigt, dass ein Bestätigungslink an die neue Adresse geschickt wurde
4. Den Link in der Mail an der neuen Adresse öffnen und dort auf Neue Adresse bestätigen klicken

Details zum Formular findest du unter Konto & Anmeldung — E-Mail-Adresse ändern.

Wie bei der Kontolöschung verlangt die Anfrage einen Step-up: dein aktuelles Passwort, sofern dein Konto eines hat — sonst eine frische Anmeldung beim verknüpften Anbieter, oder, nur wenn du dich ausschließlich über GitHub/Apple anmeldest, der Bestätigungscode (siehe API-Dokumentation). Deine aktuelle E-Mail-Adresse erhält bereits bei der Anfrage eine Benachrichtigung, dass eine Änderung angestoßen wurde.

Die neue Adresse ist erst nach dem expliziten Klick auf Neue Adresse bestätigen aktiv — das bloße Öffnen der Mail bestätigt nichts. Danach ist sie deine Anmeldeadresse, und alle aktiven Sitzungen werden beendet.

Änderung rückgängig machen¶

War die Änderung nicht von dir, oder möchtest du sie zurücknehmen: Deine vorherige Adresse erhält nach der Bestätigung eine Mail mit einem Rückgängig-Link. Er ist 7 Tage gültig (Standardwert, vom Betreiber über RETENTION_EMAIL_CHANGE_REVERT_DAYS konfigurierbar) und einmalig nutzbar.

Beim Öffnen des Links zeigt die Seite, was passiert, und verlangt einen expliziten Klick auf Bisherige Adresse wiederherstellen — auch hier bestätigt das bloße Öffnen der Mail nichts. Danach:

• Deine vorherige Adresse ist wieder deine Anmeldeadresse — sofern in der Zwischenzeit kein anderes Konto sie übernommen hat
• Alle Sitzungen des Kontos werden abgemeldet, auch auf fremden Geräten
• Ein Passwort-Reset-Link, der an die neue (jetzt verworfene) Adresse verschickt wurde, wird ungültig
• Eine noch offene E-Mail-Änderung wird ebenfalls widerrufen
• Anmeldeanbieter wie Google, GitHub oder Apple, die seit der Anfrage der Änderung neu mit deinem Konto verknüpft wurden, werden wieder getrennt — dein lokales Passwort bleibt davon unberührt
• API-Schlüssel, die seit der Anfrage der Änderung angelegt wurden, werden widerrufen — ältere API-Schlüssel bleiben aktiv
• Wurde die Änderung inzwischen erneut durchgeführt und danach bestätigt, wird deren eigener Rückgängig-Link ungültig — ein späterer Rückgängig-Vorgang kann diese Wiederherstellung nicht mehr überschreiben
• Die Adresse, die das Konto durch diese Wiederherstellung gerade wieder verlässt, erhält eine Mail mit festem Text darüber

Nach Ablauf des Rückgängig-Fensters funktioniert der Link nicht mehr — die vorherige Adresse wird dann aus dem Änderungs-Datensatz entfernt (siehe Datenaufbewahrung — Rückgängig-Fenster). Übernimmt in der Zwischenzeit ein anderes Konto die vorherige Adresse, meldet die Seite das (422) statt die Wiederherstellung durchzuführen. Ist das Konto inzwischen geschlossen und zur Löschung vorgemerkt, meldet die Seite das ebenfalls (Fehler, kein Erfolg) — der Link selbst bleibt gültig und unverbraucht; wende dich in diesem Fall an den Betreiber der Instanz.

Verarbeitung einschränken (Art. 18 DSGVO)¶

Du kannst die Verarbeitung deiner Daten für bestimmte Zwecke einschränken — zum Beispiel, wenn du die Richtigkeit deiner Daten bestreitest oder die Verarbeitung für unrechtmäßig hältst.

1. Zu Datenschutz > Tab Verarbeitungseinschränkung navigieren
2. Betroffenen Datenbereich eingeben (z. B. sensor_data, harvest_records, treatment_records) und Grund auswählen
3. Auf Einschränken klicken

Die angelegte Einschränkung erscheint danach in der Liste Aktive Einschränkungen auf demselben Tab. Während einer Einschränkung werden die betroffenen Daten nicht mehr aktiv verarbeitet.

Einwilligungen verwalten (Art. 7 DSGVO)¶

Für die Grundfunktionen des Systems ist keine optionale Einwilligung nötig. Einige Zusatzfunktionen erfordern jedoch deine Zustimmung.

Einwilligungsarten¶

Fehlerberichte aus dem Browser fragt Kamerplanter getrennt davon ab: Hat der Betreiber Fehler-Tracking eingeschaltet, erscheint beim ersten Besuch unten ein Hinweis mit Alle akzeptieren, Nur Notwendige und Einstellungen. Erst wenn du der Fehleranalyse zustimmst, meldet dein Browser Abstürze an den Tracker — ohne Formularinhalte, Cookies oder E-Mail-Adresse. Die Entscheidung gilt für diesen Browser. Ändern kannst du sie im Tab Einwilligungen mit dem Schalter Fehleranalyse erlauben; sie wirkt sofort, ohne Neuladen. Im Light-Modus erscheint der Hinweis nicht, und dein Browser meldet keine Fehler.

Eine Passwort-Prüfung gegen bekannte Datenlecks und eine Einwilligung für die externe Stammdatenanreicherung gibt es nicht mehr in der Liste: Die Passwort-Prüfung existiert nicht, und die Anreicherung von Arten-Stammdaten (GBIF, Perenual) überträgt nur Artnamen, keine Daten über dich. Hattest du eine der beiden erteilt, bleibt der Eintrag in deinem Datenexport sichtbar und wird mit deinem Konto gelöscht.

Einwilligung widerrufen¶

Der Tab Einwilligungen im Datenschutz-Bereich zeigt eine Übersicht aller Verarbeitungszwecke mit deinem aktuellen Status (Erteilt / Nicht erteilt) und, bei Pflicht-Einwilligungen, der Kennzeichnung Pflicht.

Bei jeder erteilten optionalen Einwilligung steht die Schaltfläche Widerrufen. Ein Klick widerruft sie sofort; der Status wechselt auf Nicht erteilt. Pflicht-Einwilligungen haben keine solche Schaltfläche.

Foto-Identifikation (plant_identification)¶

Die Pflanzenerkennung per Foto sendet dein Bild zur Analyse an Pl@ntNet (CIRAD/INRIA, Frankreich/EU). Die Einwilligung ist erforderlich, weil das Foto die Kamerplanter-Instanz kurzzeitig verlässt.

Was beim Widerruf passiert:

• Alle Kamera-Schaltflächen werden sofort ausgeblendet
• Neue Foto-Anfragen werden mit HTTP 403 abgelehnt (Full-Modus) bzw. im Browser blockiert (Light-Modus)
• Dein Identifikations-Verlauf bleibt erhalten (er enthält keine Fotos, nur Ergebnisse)
• Die Einwilligung kann jederzeit erneut erteilt werden

Datenfluss bei aktiver Einwilligung:

Vor der Übertragung an Pl@ntNet werden alle EXIF-Metadaten entfernt (GPS-Koordinaten, Kameramodell, Aufnahmezeitpunkt).

Cloud-basierte Schädlingserkennung (pest_detection_cloud)¶

Die Schädlingserkennung per Foto sendet dein Bild — je nach Betreiber-Konfiguration — entweder an eine self-hosted Erkennung (keine Einwilligung nötig) oder an den Cloud-Dienst Kindwise plant.health. Diese Einwilligung ist nur erforderlich, wenn der Cloud-Adapter aktiv ist. Wie bei der Pflanzenidentifikation wird das Foto vor dem Versand von EXIF-Metadaten bereinigt und nicht dauerhaft gespeichert.

Foto-Beitrag zur Pflanzenerkennung (reference_contribution)¶

Der Schalter Als Referenzbild für die Erkennung nutzen beim Anlegen einer Pflanze ist diese Einwilligung: Schaltest du ihn ein und speicherst, erteilt Kamerplanter sie, bevor das Foto beigetragen wird. Ein Zahlenabdruck (Embedding) des Fotos kommt nach Prüfung durch die Administration in den gemeinsamen Erkennungsindex der Installation; das Foto selbst wird nicht gespeichert und verlässt die Installation nicht. Widerrufen kannst du sie hier im Tab Einwilligungen. Lässt sie sich nicht speichern, legt Kamerplanter die Pflanze nicht an und zeigt einen Fehler. Im Light-Modus erscheint der Schalter nicht.

Foto-Beitrag zur Schädlingserkennung (pest_reference_contribution)¶

Ein Schädlingsfoto, das du auf der Schädlings-Detailseite beiträgst, bleibt zunächst privat in deinem Garten. Gibt eine Administratorin oder ein Administrator es für alle sichtbar frei, kann es zusätzlich als Referenz in den gemeinsamen Schädlings-Erkennungsindex der Installation einfließen — aber nur mit dieser Einwilligung. Gespeichert werden dann ein Zahlenabdruck (Embedding) des Fotos und seine Herkunft (welcher Beitrag, welcher Garten); das Foto selbst verlässt die Installation nicht. Ohne Einwilligung bleibt die Freigabe in der Galerie bestehen, das Foto fließt aber nicht in die Erkennung ein. Im Light-Modus wird nie indexiert.

Diese Einwilligung ist ein eigener Zweck und keine Erweiterung von „Foto-Beitrag zur Pflanzenerkennung“ (reference_contribution): Wer früher Referenzfotos seiner Pflanzen freigegeben hat, hat damit nicht dem Schädlingsindex zugestimmt und muss hierfür neu einwilligen. Eine eigene Stelle zum Erteilen gibt es in der Oberfläche noch nicht; erteilen kannst du sie über POST /api/v1/privacy/consents mit purpose: pest_reference_contribution, widerrufen im Tab Einwilligungen.

KI-Wissensfrage an die Wissensbasis (ai_knowledge_question)¶

Stellst du im KI-Assistenten in deinem Garten eine frei formulierte Wissensfrage, geht dein Text — deinem Konto zugeordnet — an die Wissensbasis und das dort angebundene Sprachmodell. Dafür ist diese Einwilligung nötig. Übermittelt wird der Text, den du selbst eingibst. Pflanzenwerte (Art, Phase, Substrat, EC/pH) gehen nur mit, wenn du sie selbst zur Frage angibst — dann ist zusätzlich die Einwilligung „KI-Zugriff auf deine Pflanzendaten“ (unten) nötig. Im Light-Modus gibt es keine Einwilligungen; die Wissensfrage funktioniert dort ohne.

Diese Einwilligung ist ein eigener Zweck und keine Erweiterung von ai_tenant_data_access: Wer früher „KI-Zugriff auf deine Pflanzendaten“ erteilt hat, hat damit nicht der Wissensfrage zugestimmt.

KI-Zugriff auf deine Pflanzendaten (ai_tenant_data_access)¶

Sobald eine Antwort deinen konkreten Pflanzenkontext nutzen soll — beim Chat, bei künftigen Tipp-Karten, dem Tipp des Tages, den „Warum?"-Erklärungen und bei einer Wissensfrage, zu der du selbst Pflanzenwerte angibst — ist diese Einwilligung erforderlich. Für die Wissensfrage ohne Pflanzenwerte reicht ai_knowledge_question (oben).

Übermittelt werden ausschließlich Stammwerte: wissenschaftlicher Pflanzenname, aktuelle Phase, Substrat, EC-/pH-Messwerte sowie aggregierte Kennzahlen (z. B. „3 überfällige Aufgaben"). Dein Name, deine E-Mail-Adresse und Freitext aus deinem Pflanztagebuch werden nie übermittelt.

KI-Verarbeitung über Cloud-Provider (ai_cloud_processing)¶

Zusätzlich zur vorherigen Einwilligung erforderlich, wenn deine Instanz einen externen Cloud-Provider (z. B. Anthropic, OpenAI) statt eines lokal betriebenen Modells (Ollama) für den KI-Assistenten einsetzt — das legt der Plattformbetreiber fest. Cloud-Provider können eine Drittland-Datenübermittlung bedeuten. Lokale Provider benötigen diese Einwilligung nicht.

Für die Wissensfrage zählt das Modell, mit dem die Wissensbasis antwortet — also das, was der Plattformbetreiber eingestellt hat, nicht der Provider deines Gartens. Ist das ein Cloud-Modell, brauchst du diese Einwilligung zusätzlich zu ai_knowledge_question, und dein Garten muss Cloud-Provider erlauben; sonst wird die Frage abgelehnt, bevor sie die Instanz verlässt.

Tagebuch-Einträge zur KI-Analyse freigeben (diary_ai_analysis)¶

Erlaubt dir, einzelne Tagebuch-Einträge samt Freitext und Fotos zur Analyse freizugeben. Die Analyse führt ein KI-Agent aus, den du selbst betreibst und der die Daten über deinen eigenen API-Schlüssel abruft — Kamerplanter selbst ruft dabei kein Sprachmodell auf. Es wird nie automatisch etwas analysiert: Jeden einzelnen Eintrag musst du selbst markieren. Übertragen werden ausschließlich verkleinerte Bildfassungen ohne Aufnahmeort und Gerätekennung.

Dieser Weg ist von der Einwilligung ai_tenant_data_access oben unabhängig: ai_tenant_data_access betrifft ausschließlich Stammwerte, die serverseitig an die Wissensbasis gehen, und schließt Freitext aus deinem Tagebuch ausdrücklich aus. diary_ai_analysis ist der einzige Weg, über den Tagebuchinhalte überhaupt eine Kamerplanter-Instanz verlassen — und dabei gehen sie nicht an einen von Kamerplanter betriebenen Dienst, sondern an deinen eigenen Agenten.

KI-Krankheitsdiagnose (plant_diagnosis)¶

Analysiert dein Blattfoto, um eine Verdachtsliste zu Krankheiten und Nährstoffmängeln zu erstellen — in Abgrenzung zur Schädlingserkennung. Anders als bei der Pflanzenidentifikation und der Cloud-Schädlingserkennung läuft diese Analyse ausschließlich self-hosted in der eigenen Kamerplanter-Infrastruktur: Es gibt keinen Cloud-Adapter, dein Foto verlässt die Instanz zu keinem Zeitpunkt. Die Einwilligung wird trotzdem eingeholt, weil ein Foto von dir verarbeitet wird. Wie bei der Schädlingserkennung wird das Foto vor der Verarbeitung von EXIF-Metadaten bereinigt und nicht dauerhaft gespeichert — nur ein SHA-256-Fingerabdruck bleibt zur Nachvollziehbarkeit erhalten. Jedes Ergebnis ist ausdrücklich nur eine Hypothese; eine Behandlung wird nie automatisch ausgelöst.

Widerspruch einlegen (Art. 21 DSGVO)¶

Du kannst der Verarbeitung deiner Daten zu bestimmten Zwecken widersprechen, wenn die Verarbeitung auf berechtigtem Interesse basiert.

Das System prüft den Widerspruch. Bei Verarbeitungen auf Basis von Art. 6(1)(f) DSGVO (berechtigtes Interesse) wird die Verarbeitung eingestellt, sofern keine zwingenden legitimen Gründe vorliegen.

Account löschen (Art. 17 DSGVO)¶

Du hast das Recht auf Löschung deiner Daten.

Ablauf der Löschung¶

1. Zu Datenschutz > Tab Konto löschen navigieren
2. Auf Konto löschen klicken — schon im Tab und noch einmal im Dialog siehst du, welche persönlichen Gärten mit deinem Konto gelöscht werden und wie viele weitere Mitglieder das betrifft
3. Im Bestätigungsdialog deine eigene E-Mail-Adresse erneut eintippen. Hat dein Konto ein lokales Passwort, zusätzlich dein aktuelles Passwort eingeben (zur Autorisierung der Löschung). Meldest du dich über Google oder einen generischen OIDC-Anbieter an, klickst du stattdessen auf Erneut anmelden und bestätigst dich frisch beim Anbieter; nur wenn du dich ausschließlich über GitHub oder Apple anmeldest, klickst du auf Code per E-Mail senden und gibst den zugeschickten Bestätigungscode ein.
4. Im Bestätigungsdialog auf Ja, Konto löschen klicken

Der gleiche Vorgang lässt sich auch direkt über die API auslösen: POST /api/v1/privacy/erasure erwartet denselben Anfragekörper wie DELETE /api/v1/users/me (siehe Konto löschen) — {"confirm_email": "...", "password": "..."}, wobei password nur bei lokalem Passwort nötig ist. GET /api/v1/privacy/erasure/{erasure_key} liefert den Status (siehe Für technische Nutzer / Self-Hoster).

Was dann passiert:

Sofort:
- Soft-Delete des Accounts (status: deleted)
- Alle aktiven Sitzungen werden beendet
- Du kannst dich nicht mehr anmelden
- Offene Einladungen in deinen persoenlichen Garten
  (E-Mail- und Link-Einladungen) werden widerrufen, neue lassen
  sich waehrend der 90 Tage nicht mehr anlegen oder einloesen;
  niemand kann ihm waehrend der 90 Tage mehr beitreten
- Warst du in einer Organisation die letzte Person mit
  Verwaltungsrecht, uebernimmt jetzt die dienstaelteste Leitung,
  oder die Organisation verwaist (Loeschung nach der Frist);
  die Mitglieder bekommen sofort eine E-Mail

Persoenliche Daten (Art. 17 DSGVO):
- Werden sofort anonymisiert oder nach 90 Tagen geloescht

Gesetzlich geschuetzte Daten (Art. 17 Abs. 3 lit. b):
- Ernte-Dokumentation und IPM-Behandlungsnachweise:
  Werden anonymisiert (Nutzer-Referenz entfernt),
  die Daten selbst bleiben erhalten (CanG, PflSchG)

Nach 90 Tagen:
- Hard-Delete aller verbleibenden persoenlichen Daten

Fotos und Anhänge (Object Storage)¶

Kamerplanter speichert Fotos und Dateien über einen Storage-Adapter, der vom Plattformbetreiber konfiguriert wird. Als Nutzer ist für dich relevant:

EXIF-Daten¶

Beim Upload von Fotos entfernt das Backend standardmäßig alle EXIF-Metadaten, bevor die Datei im Storage abgelegt wird. Das umfasst:

• GPS-Koordinaten (Aufnahmeort)
• Kameramodell und Seriennummer
• Aufnahmezeitpunkt (aus dem EXIF-Header)

Der Betreiber kann die EXIF-Beibehaltung pro Kategorie aktivieren — in diesem Fall wird darauf in den Datenschutzhinweisen der Instanz hingewiesen.

Fotos und Nutzerlöschung (Account löschen)¶

Wenn du deinen Account löschst, unterscheidet das System zwischen zwei Foto-Typen:

Die Dateien verbleiben, weil sie zum Pflanzendatensatz gehören und ggf. gesetzlichen Aufbewahrungspflichten (CanG, PflSchG) unterliegen. Dein Name ist nach der Anonymisierung nicht mehr mit den Fotos verknüpft.

Hast du eigene Fotos als Referenzbild zur Bilderkennung beigetragen, werden auch diese Beiträge bei der Account-Löschung entfernt: Das System löscht den daraus berechneten Merkmalsvektor aus der Erkennungsbasis. Kuratierte Referenzbilder anderer Nutzer bleiben davon unberührt.

Dasselbe gilt für eigene Schädlingsfotos, die du beigetragen hast: Wurde ein solches Foto jemals von einem Platform-Admin für die Schädlingserkennung freigegeben, entfernt die Account-Löschung den daraus berechneten Erkennungsvektor — unabhängig davon, ob die Freigabe zum Zeitpunkt der Löschung noch aktiv war oder bereits zurückgenommen wurde.

Mandantenlöschung¶

Wenn ein Mandant gelöscht wird (durch den Platform-Admin oder durch ein Mitglied mit der Zusatzberechtigung Verwaltung), legt das System zuerst einen Löschungs-Datensatz an und deaktiviert sofort alle Mitgliedschaften — niemand hat danach noch Zugriff auf den Mandanten — und antwortet mit 202 Accepted. Die eigentliche Löschung führt danach ein Hintergrund-Worker aus (Issue #1792), nicht mehr die Anfrage selbst. Dort werden alle von Mitgliedern dieses Mandanten beigetragenen Referenzbild- und Schädlingsbild-Vektoren aus der Erkennungsbasis entfernt, danach alle Binärdaten des Mandanten vollständig aus dem Storage — unabhängig vom verwendeten Backend (local-fs oder S3) — durch Löschen aller Objekte mit dem Präfix t/{tenant_key}/ — sowie alle Sensor-Messwerte des Mandanten aus der Zeitreihen-Datenbank.

Danach entfernen mehrere kleine Datenbank-Transaktionen (höchstens 1000 Datensätze je Transaktion, pro Collection nacheinander) sämtliche fachlichen Daten des Mandanten: Standorte, Pflanzen, Pflanzdurchläufe, Tagebucheinträge, Aufgaben, Tanks, Sensoren, Dünge- und Gießprotokolle, Benachrichtigungen, Kalender-Feeds, eigene Stammdaten-Einträge (z. B. selbst angelegte Pflanzenarten, Dünger, Nährstoffpläne), Mitgliedschaften, Einladungen, Standort-Zuweisungen und auf den Mandanten beschränkte API-Schlüssel — zusammen mit jeder Verknüpfung zu einem gelöschten Datensatz — und zuletzt der Mandanten-Datensatz selbst.

Eine Ausnahme gilt für Ernte- und Behandlungsdokumentation (Erntechargen, Qualitätsbewertungen, Behandlungen, Inspektionen): Diese muss aus gesetzlichen Gründen (CanG, Pflanzenschutzgesetz) einige Jahre aufbewahrt werden (siehe Gesetzliche Mindestaufbewahrungsfristen). Auf diesen Datensätzen wird die Kontenreferenz jedes Mitglieds durch denselben Tombstone-Hash ersetzt, den auch die Konto-Löschung verwendet, und Namensfelder (Ernter, Anwender, Inspektor, Bewerter) werden geleert — die Datensätze selbst bleiben bestehen. Ebenfalls erhalten bleiben das KI-Aufruf-Protokoll und das MCP-Aufruf-Protokoll, bis ihre eigene Aufbewahrungsfrist abläuft.

Der Worker meldet zwischen den Stapeln ein Lebenszeichen am Löschungs-Datensatz; ein Worker, der abstürzt, wird nach sechs Stunden ohne Lebenszeichen vom täglichen Lauf abgelöst, ein langsamer, aber lebender nicht. Nach dem letzten Stapel prüft das System, ob wirklich nichts mehr auf den Mandanten verweist. Konnte nicht alles entfernt werden oder ist ein Schritt fehlgeschlagen (z. B. weil ein externer Dienst nicht erreichbar war), bleibt die Löschung vorgemerkt und wird automatisch täglich mit wachsendem Abstand erneut versucht, bis sie vollständig abgeschlossen ist; schon der dritte erfolglose Versuch löst einen Betreiber-Alarm aus (Log-Ereignis tenant_erasure.escalated, Zeitstempel escalated_at am Datensatz). Das Ergebnis wird im Löschungs-Datensatz dokumentiert.

Nicht betroffen sind die Konten der Mitglieder selbst — sie behalten ihr Konto und ihre Mitgliedschaften in anderen Mandanten. Der persönliche Mandant eines Mitglieds wird durch eine Mandantenlöschung nicht entfernt.

Datenportabilität (Art. 20 DSGVO)¶

Dein Datenexport enthält alle gespeicherten Anhänge als ZIP-Archiv. Das Archiv enthält:

• Alle Dateien in der relativen Ordnerstruktur des Storage-Schemas
• Ein manifest.json mit Zuordnung attachment_id → Dateipfad → Metadaten

Datenspeicherung und Aufbewahrungsfristen¶

Kamerplanter speichert verschiedene Datenkategorien mit unterschiedlichen Aufbewahrungsfristen:

Sensor-Daten-Downsampling¶

Sensordaten werden automatisch in Stufen verdichtet:

0–90 Tage:     Rohdaten (jeder Messwert)
90 Tage–2 Jahre: Stündliche Aggregate (Min/Max/Avg)
2–5 Jahre:     Täglich Aggregate (Min/Max/Avg)
Nach 5 Jahren: Automatische Löschung

IP-Anonymisierung¶

IP-Adressen werden grundsätzlich nur für 7 Tage im Klartext gespeichert. Danach werden sie auf das /24-Subnetz anonymisiert (die letzten 8 Bits auf 0 gesetzt), sodass keine individuelle Zuordnung mehr möglich ist.

Sensor-Daten und Privatsphäre (DSFA)¶

Bestimmte Sensor-Daten können Rückschlüsse auf Anwesenheitsmuster erlauben (CO₂-Konzentration, Bewegungsmelder, manuelle Übersteuerungen). Für solche Daten wurde eine Datenschutz-Folgenabschätzung (DSFA) durchgeführt. Die wesentlichen Maßnahmen:

• Sensordaten sind grundsätzlich nicht mit anderen Tenants oder Dritten geteilt
• Der Plattformbetreiber kann Sensordaten nur nach expliziter Support-Anfrage und mit deiner Zustimmung einsehen
• Aggregierte Statistiken (ohne Personenbezug) können zur Systemverbesserung genutzt werden — dies kannst du in den Einwilligungen deaktivieren

Häufige Fragen¶

Siehe auch¶

• Konto & Anmeldung
• Mandanten & Gärten
• KI-Assistent