Datenschutz & DSGVO¶

Kamerplanter ist nach dem Prinzip Datenschutz durch Technikgestaltung (Privacy by Design) entwickelt. Du hast die volle Kontrolle über deine persönlichen Daten: Du kannst sie jederzeit exportieren, berichtigen oder löschen lassen. Alle Betroffenenrechte nach DSGVO Art. 15–21 sind als Self-Service-Funktionen erreichbar.

Für technische Nutzer / Self-Hoster¶

Dieser Abschnitt richtet sich an technische Nutzer und Self-Hoster. Alle unten beschriebenen DSGVO-Funktionen stehen als REST-Endpunkte unter /api/v1/privacy/ zur Verfügung. Ein Teil davon ist zusätzlich direkt in der grafischen Oberfläche nutzbar (siehe die jeweiligen Abschnitte weiter unten); einige Endpunkte — E-Mail-Änderung, Widerspruch, Einwilligung per Klick erteilen/widerrufen, Einschränkung aufheben, Export-Status/-Download — sind aktuell ausschließlich über die API erreichbar. Eine angemeldete Sitzung (Bearer-Token) ist erforderlich, außer bei GET /api/v1/privacy/policy.

curl -X POST https://<deine-instanz>/api/v1/privacy/export \
  -H "Authorization: Bearer <dein-access-token>"

Datenschutz-Einstellungen öffnen¶

So öffnest du den Datenschutz-Bereich:

1. Oben rechts auf dein Profilbild oder deine Initialen klicken
2. Im Menü auf Datenschutz klicken

Der Datenschutz-Bereich hat vier Tabs: Einwilligungen, Datenexport, Konto löschen und Verarbeitungseinschränkung.

Meine Daten exportieren (Art. 15 & 20 DSGVO)¶

Du hast das Recht zu erfahren, welche Daten das System über dich gespeichert hat, und diese in einem maschinenlesbaren Format zu erhalten.

Datenexport anfordern¶

1. Zu Datenschutz > Tab Datenexport navigieren
2. Auf Export anfordern klicken
3. Die Oberfläche bestätigt die Anfrage mit dem aktuellen Status

Der Export läuft danach asynchron im Hintergrund (dauert je nach Datenmenge 1–5 Minuten); der spätere Download-Link ist 72 Stunden gültig.

Der Export enthält alle Daten, die dem System über dich bekannt sind: - Profildaten (Name, E-Mail, Einstellungen) - Alle angelegten Pflanzen, Standorte, Aufgaben und Ernten - Pflegeerinnerungen und Bestätigungshistorie - Sensordaten (wenn du welche hast) - Einwilligungshistorie

E-Mail-Adresse ändern (Art. 16 DSGVO)¶

Du hast das Recht, deine Daten berichtigen zu lassen.

Die neue E-Mail ist nach der Bestätigung aktiv — alle aktiven Sitzungen werden beendet.

Verarbeitung einschränken (Art. 18 DSGVO)¶

Du kannst die Verarbeitung deiner Daten für bestimmte Zwecke einschränken — zum Beispiel, wenn du die Richtigkeit deiner Daten bestreitest oder die Verarbeitung für unrechtmäßig hältst.

1. Zu Datenschutz > Tab Verarbeitungseinschränkung navigieren
2. Betroffenen Datenbereich eingeben (z. B. sensor_data, harvest_records, treatment_records) und Grund auswählen
3. Auf Einschränken klicken

Die angelegte Einschränkung erscheint danach in der Liste Aktive Einschränkungen auf demselben Tab. Während einer Einschränkung werden die betroffenen Daten nicht mehr aktiv verarbeitet.

Einwilligungen verwalten (Art. 7 DSGVO)¶

Für die Grundfunktionen des Systems ist keine optionale Einwilligung nötig. Einige Zusatzfunktionen erfordern jedoch deine Zustimmung.

Einwilligungsarten¶

Einwilligung widerrufen¶

Der Tab Einwilligungen im Datenschutz-Bereich zeigt eine Übersicht aller Verarbeitungszwecke mit deinem aktuellen Status (Erteilt / Nicht erteilt) und, bei Pflicht-Einwilligungen, der Kennzeichnung Pflicht.

Foto-Identifikation (plant_identification)¶

Die Pflanzenerkennung per Foto sendet dein Bild zur Analyse an Pl@ntNet (CIRAD/INRIA, Frankreich/EU). Die Einwilligung ist erforderlich, weil das Foto die Kamerplanter-Instanz kurzzeitig verlässt.

Was beim Widerruf passiert:

• Alle Kamera-Schaltflächen werden sofort ausgeblendet
• Neue Foto-Anfragen werden mit HTTP 403 abgelehnt (Full-Modus) bzw. im Browser blockiert (Light-Modus)
• Dein Identifikations-Verlauf bleibt erhalten (er enthält keine Fotos, nur Ergebnisse)
• Die Einwilligung kann jederzeit erneut erteilt werden

Datenfluss bei aktiver Einwilligung:

Vor der Übertragung an Pl@ntNet werden alle EXIF-Metadaten entfernt (GPS-Koordinaten, Kameramodell, Aufnahmezeitpunkt).

Cloud-basierte Schädlingserkennung (pest_detection_cloud)¶

Die Schädlingserkennung per Foto sendet dein Bild — je nach Betreiber-Konfiguration — entweder an eine self-hosted Erkennung (keine Einwilligung nötig) oder an den Cloud-Dienst Kindwise plant.health. Diese Einwilligung ist nur erforderlich, wenn der Cloud-Adapter aktiv ist. Wie bei der Pflanzenidentifikation wird das Foto vor dem Versand von EXIF-Metadaten bereinigt und nicht dauerhaft gespeichert.

KI-Zugriff auf deine Pflanzendaten (ai_tenant_data_access)¶

Der KI-Assistent beantwortet reine Wissensfragen ohne diese Einwilligung. Sobald eine Antwort deinen konkreten Pflanzenkontext nutzen soll — beim Chat, bei künftigen Tipp-Karten, dem Tipp des Tages und den „Warum?"-Erklärungen — ist diese Einwilligung erforderlich.

Übermittelt werden ausschließlich Stammwerte: wissenschaftlicher Pflanzenname, aktuelle Phase, Substrat, EC-/pH-Messwerte sowie aggregierte Kennzahlen (z. B. „3 überfällige Aufgaben"). Dein Name, deine E-Mail-Adresse und Freitext aus deinem Pflanztagebuch werden nie übermittelt.

KI-Verarbeitung über Cloud-Provider (ai_cloud_processing)¶

Zusätzlich zur vorherigen Einwilligung erforderlich, wenn deine Instanz einen externen Cloud-Provider (z. B. Anthropic, OpenAI) statt eines lokal betriebenen Modells (Ollama) für den KI-Assistenten einsetzt — das legt der Plattformbetreiber fest. Cloud-Provider können eine Drittland-Datenübermittlung bedeuten. Lokale Provider benötigen diese Einwilligung nicht.

KI-Krankheitsdiagnose (plant_diagnosis)¶

Analysiert dein Blattfoto, um eine Verdachtsliste zu Krankheiten und Nährstoffmängeln zu erstellen — in Abgrenzung zur Schädlingserkennung. Anders als bei der Pflanzenidentifikation und der Cloud-Schädlingserkennung läuft diese Analyse ausschließlich self-hosted in der eigenen Kamerplanter-Infrastruktur: Es gibt keinen Cloud-Adapter, dein Foto verlässt die Instanz zu keinem Zeitpunkt. Die Einwilligung wird trotzdem eingeholt, weil ein Foto von dir verarbeitet wird. Wie bei der Schädlingserkennung wird das Foto vor der Verarbeitung von EXIF-Metadaten bereinigt und nicht dauerhaft gespeichert — nur ein SHA-256-Fingerabdruck bleibt zur Nachvollziehbarkeit erhalten. Jedes Ergebnis ist ausdrücklich nur eine Hypothese; eine Behandlung wird nie automatisch ausgelöst.

Widerspruch einlegen (Art. 21 DSGVO)¶

Du kannst der Verarbeitung deiner Daten zu bestimmten Zwecken widersprechen, wenn die Verarbeitung auf berechtigtem Interesse basiert.

Das System prüft den Widerspruch. Bei Verarbeitungen auf Basis von Art. 6(1)(f) DSGVO (berechtigtes Interesse) wird die Verarbeitung eingestellt, sofern keine zwingenden legitimen Gründe vorliegen.

Account löschen (Art. 17 DSGVO)¶

Du hast das Recht auf Löschung deiner Daten.

Ablauf der Löschung¶

1. Zu Datenschutz > Tab Konto löschen navigieren
2. Auf Konto löschen klicken
3. Bei Konten mit lokalem Passwort-Login im Bestätigungsdialog das aktuelle Passwort eingeben (zur Autorisierung der Löschung). Bei Konten, die ausschließlich über einen externen Anbieter (Google, GitHub, Apple …) angemeldet sind, entfällt dieser Schritt.
4. Im Bestätigungsdialog auf Ja, Konto löschen klicken

Der gleiche Vorgang lässt sich auch direkt über die API auslösen: POST /api/v1/privacy/erasure startet die Löschung (bei lokalen Konten mit dem Feld password), GET /api/v1/privacy/erasure/{erasure_key} liefert den Status (siehe Für technische Nutzer / Self-Hoster).

Was dann passiert:

Sofort:
- Soft-Delete des Accounts (status: deleted)
- Alle aktiven Sitzungen werden beendet
- Du kannst dich nicht mehr anmelden

Persoenliche Daten (Art. 17 DSGVO):
- Werden sofort anonymisiert oder nach 90 Tagen geloescht

Gesetzlich geschuetzte Daten (Art. 17 Abs. 3 lit. b):
- Ernte-Dokumentation und IPM-Behandlungsnachweise:
  Werden anonymisiert (Nutzer-Referenz entfernt),
  die Daten selbst bleiben erhalten (CanG, PflSchG)

Nach 90 Tagen:
- Hard-Delete aller verbleibenden persoenlichen Daten

Fotos und Anhänge (Object Storage)¶

Kamerplanter speichert Fotos und Dateien über einen Storage-Adapter, der vom Plattformbetreiber konfiguriert wird. Als Nutzer ist für dich relevant:

EXIF-Daten¶

Beim Upload von Fotos entfernt das Backend standardmäßig alle EXIF-Metadaten, bevor die Datei im Storage abgelegt wird. Das umfasst:

• GPS-Koordinaten (Aufnahmeort)
• Kameramodell und Seriennummer
• Aufnahmezeitpunkt (aus dem EXIF-Header)

Der Betreiber kann die EXIF-Beibehaltung pro Kategorie aktivieren — in diesem Fall wird darauf in den Datenschutzhinweisen der Instanz hingewiesen.

Fotos und Nutzerlöschung (Account löschen)¶

Wenn du deinen Account löschst, unterscheidet das System zwischen zwei Foto-Typen:

Die Dateien verbleiben, weil sie zum Pflanzendatensatz gehören und ggf. gesetzlichen Aufbewahrungspflichten (CanG, PflSchG) unterliegen. Dein Name ist nach der Anonymisierung nicht mehr mit den Fotos verknüpft.

Mandantenlöschung¶

Wenn ein Mandant gelöscht wird (durch den Platform-Admin oder auf Anfrage), werden alle Binärdaten des Mandanten vollständig aus dem Storage entfernt — unabhängig vom verwendeten Backend (local-fs oder S3). Das geschieht durch Löschen aller Objekte mit dem Präfix t/{tenant_key}/. Das Ergebnis wird im Audit-Log dokumentiert.

Datenportabilität (Art. 20 DSGVO)¶

Dein Datenexport enthält alle gespeicherten Anhänge als ZIP-Archiv. Das Archiv enthält:

• Alle Dateien in der relativen Ordnerstruktur des Storage-Schemas
• Ein manifest.json mit Zuordnung attachment_id → Dateipfad → Metadaten

Datenspeicherung und Aufbewahrungsfristen¶

Kamerplanter speichert verschiedene Datenkategorien mit unterschiedlichen Aufbewahrungsfristen:

Sensor-Daten-Downsampling¶

Sensordaten werden automatisch in Stufen verdichtet:

0–90 Tage:     Rohdaten (jeder Messwert)
90 Tage–2 Jahre: Stündliche Aggregate (Min/Max/Avg)
2–5 Jahre:     Täglich Aggregate (Min/Max/Avg)
Nach 5 Jahren: Automatische Löschung

IP-Anonymisierung¶

IP-Adressen werden grundsätzlich nur für 7 Tage im Klartext gespeichert. Danach werden sie auf das /24-Subnetz anonymisiert (die letzten 8 Bits auf 0 gesetzt), sodass keine individuelle Zuordnung mehr möglich ist.

Sensor-Daten und Privatsphäre (DSFA)¶

Bestimmte Sensor-Daten können Rückschlüsse auf Anwesenheitsmuster erlauben (CO₂-Konzentration, Bewegungsmelder, manuelle Übersteuerungen). Für solche Daten wurde eine Datenschutz-Folgenabschätzung (DSFA) durchgeführt. Die wesentlichen Maßnahmen:

• Sensordaten sind grundsätzlich nicht mit anderen Tenants oder Dritten geteilt
• Der Plattformbetreiber kann Sensordaten nur nach expliziter Support-Anfrage und mit deiner Zustimmung einsehen
• Aggregierte Statistiken (ohne Personenbezug) können zur Systemverbesserung genutzt werden — dies kannst du in den Einwilligungen deaktivieren

Häufige Fragen¶

Siehe auch¶

• Konto & Anmeldung
• Mandanten & Gärten
• KI-Assistent