BioBot · BlueBear Berlin
Datenschutz / Privacy
Geschlossener Betatest / Closed beta · 15. Oktober 2026 / 15 October 2026
Geltungsbereich und Verantwortlicher
Diese Hinweise beschreiben den geschlossenen BioBot-Betatest. Verantwortlicher Betreiber: BlueBear Berlin, Scharnweberstr. 109, 13405 Berlin. Ansprechpartner: Kamen Plamenov; Datenschutzanfragen an hello@bluebear.berlin. BIO COMPANY ist damit nicht als bereits bestätigter Verantwortlicher eines Beschäftigteneinsatzes bezeichnet. Vor einem solchen Einsatz sind die Rollen, Rechtsgrundlagen, Auftragsverarbeitung, Empfänger und erforderlichen betrieblichen Vereinbarungen festzulegen. Diese Hinweise sind keine Freigabe für Beschäftigtenüberwachung.
Welche Daten und wofür?
Kontodaten (E-Mail, Profilname, Rolle, Filialzuordnung), Authentifizierungs-, Sitzungs- und gegebenenfalls MFA-Daten ermöglichen Anmeldung und berechtigten Zugriff. Produkte, Barcodes, Chargen, Mengen, Ablaufdaten und Lagerorte dienen der Bestandsverwaltung. Notwendige Bestands- und Administrationsprotokolle enthalten Änderungszeitpunkte und Konto-/Filialbezüge für Nachvollziehbarkeit und Sicherheit. Diese notwendigen Konto- und Protokolldaten sind personenbezogen; sie sind nicht allein durch Weglassen des Namens anonym. Technische Anbieterprotokolle können außerdem IP-Adressen, Geräte-/Browserdaten und Fehler enthalten. Für den Betatest sind die konkrete Teilnahmevereinbarung und die notwendigen Sicherheitszwecke maßgeblich; vor einem betrieblichen Einsatz muss dessen Verantwortlicher die konkreten Rechtsgrundlagen und Beschäftigteninformation bestätigen.
Keine individuellen Punkte oder Nutzungsranglisten
Optionale Seitenaufruf-, Sitzungs- und Einstellungsbeobachtungen sind ausgeschaltet. Historische Beobachtungen bleiben bis zur gesondert genehmigten Bereinigung geschützt gespeichert. Die Filialliga verarbeitet gemeinsame Stückzahlen und Bestandskennzahlen teilnehmender aktiver Filialen. Die Liga übermittelt keine Beschäftigtennamen, Konto-IDs oder individuellen Punkte. Sie veröffentlicht keine individuellen Ranglisten und keine vertraulichen Einkaufskosten. Notwendige operative Änderungsprotokolle bleiben für berechtigte Rollen vorhanden. Filialkennzahlen sind insbesondere bei kleinen Teams keine garantierte Anonymisierung und dürfen nicht als individuelle Leistungsbewertung verwendet werden. Vor Beschäftigteneinsatz sind die verbleibenden Auswertungen und eine gegebenenfalls erforderliche Beteiligung des Betriebsrats zu prüfen.
Anmeldung und Empfänger
Google-Anmeldung ist für den geschlossenen Betatest aktiviert. Neue Google-Konten erhalten eine schreibgeschützte Tester-Rolle in der konfigurierten Testfiliale; es gibt keine zugesagte Unternehmensdomain-Beschränkung. Für den späteren Unternehmenseinsatz ist geplant, Google-Anmeldung und öffentliche Kontoaufnahme serverseitig abzuschalten und Konten durch die Administration anzulegen. Dieser spätere Wechsel ist noch nicht erfolgt. Supabase verarbeitet Anmeldung, Datenbank und Speicher; die aktive Datenbankregion ist eu-west-1. Die Web-App wird bei IONOS unter bluebear.berlin/biobot/app/ bereitgestellt. Google verarbeitet die optionale Anmeldung und gegebenenfalls vom Betreiber aktivierte Drive-Sicherungskopien. OpenAI verarbeitet Inhalte aktiv verwendeter Sprach-/Bildfunktionen. Angebotsimporte laden öffentliche BIO-COMPANY-Angebote zur Prüfung. Datenbankstandort und eine store:false-Anfrage garantieren weder einen ausschließlich deutschen Datenfluss noch eine bestimmte Anbieter-Aufbewahrung. Verträge, Unterauftragsverarbeiter und gegebenenfalls Drittlandtransfers sind vor vertraulichem Unternehmenseinsatz zu prüfen.
Produktbilder und lokaler Katalog
Produktbilder zeigen Waren, keine Nutzerporträts. Der Bildspeicher verlangt eine berechtigte Anmeldung; vorhandene Bildadressen dienen als Objektkennungen und sind keine öffentliche Freigabe. Beim ersten autorisierten Laden werden die für den Zugriff freigegebenen Katalogbilder lokal gespeichert. Unveränderte Bildversionen werden bei Neustart und nach erneuter Anmeldung wiederverwendet; neue oder geänderte Bilder werden beim angeforderten Katalogabgleich geladen. Abmeldung, MFA-Änderung und Zugriffsverlust löschen diese Produktbilddateien ausdrücklich nicht. Sie entziehen die Anzeige-/Lesefreigabe bis zu einer neuen erfolgreichen Berechtigungs- und Bestandsprüfung. Auch die 3D-Karte verwendet diese Bilder. Eine Kontolöschung entfernt nicht pauschal den gemeinsamen Produktbildcache. App-Entfernung oder Löschen der App-Daten durch den Geräteinhaber kann lokale Dateien entfernen. Benutzer-/filialbezogene Entwürfe, Filter und lokale Importdaten werden getrennt bereinigt. Android-Sitzungen liegen verschlüsselt im Android Keystore; App-Sicherungen/Geräteübertragung sind ausgeschlossen. Im Browser wird die Sitzung im Browserspeicher verwaltet.
Aufbewahrung und Löschung: sieben getrennte Bereiche
Für Konten, optionale Beobachtungen, Geschäftsaudit, Uploads, Anbieterprotokolle, Sicherungen und Datenschutzanfragen sind getrennte Regeln vorgesehen. Die vorgeschlagenen Zwecke, Zeiträume, Ausnahmen und Verantwortlichen stehen in der folgenden Tabelle. Keine dieser Regeln ist bereits kundenseitig genehmigt; automatische Beobachtungslöschung ist derzeit deaktiviert. Bestehende Daten werden daher nicht allein wegen Ablauf eines vorgeschlagenen Zeitraums automatisch gelöscht. Dies ist eine offen zu klärende Grenze und keine Zusage unbegrenzter notwendiger Speicherung. Nur separat genehmigte optionale Beobachtungen können nach expliziter Aktivierung täglich in begrenzten 500er-Durchläufen gelöscht werden. Vorschau-/Genehmigungsschutz sowie globale und personenbezogene Aufbewahrungsvorbehalte bleiben bestehen. Geschäftsdaten, Bilder, Anbieterprotokolle und Sicherungen werden durch diesen Auftrag nicht gelöscht.
| Kategorie / Category | Vorschlag / Proposal |
|---|---|
| Konten / Accounts | Kontolaufzeit; Löschprüfung binnen 30 Tagen nach bestätigter Schließung / Account lifetime; deletion review within 30 days of confirmed closure |
| Beobachtungen / Observations | Vorschlag: 30 Tage ab Ereignis; Erfassung und Bereinigung aus / Proposed 30 days from event; collection and cleanup off |
| Geschäftsaudit / Business audit | Vorschlag: 365 Tage, dann Prüfung / Proposed 365 days, then reviewed deletion/de-identification |
| Uploads | Vorschlag: 30 Tage nach Abschluss/Abweisung; Produktbilder ausgenommen / Proposed 30 days after completion/rejection; product pictures excluded |
| Anbieterprotokolle / Provider logs | Ziel: 30 Tage; tatsächliche Anbieterfristen ungeprüft / Target 30 days; effective provider periods unverified |
| Sicherungen / Backups | Vorschlag: rollierend 30 Tage; Umsetzung separat / Proposed rolling 30 days; separate implementation |
| Datenschutzanfragen / Rights requests | Vorschlag: 3 Jahre ab Jahresende des Abschlusses / Proposed 3 years from year-end of closure |
Ausnahmen: dokumentierte Aufbewahrungsvorbehalte, offene Anfragen/Vorfälle und separat erforderliche Geschäftsunterlagen. Vorläufig verantwortlich: Kamen Plamenov für BlueBear Berlin. / Exceptions: documented holds, open requests/incidents and separately necessary business records. Interim responsible person: Kamen Plamenov for BlueBear Berlin.
Kamera, Mikrofon und KI
Kamera und Mikrofon erfordern die Geräteberechtigung. Die Sprachfunktion erfasst Eingaben während gedrückter Sprechtaste, vermittelt WebRTC über Supabase zu OpenAI und hält begrenzten Gesprächskontext im Arbeitsspeicher. Autorisierte Produkt-/Bestands- und veröffentlichte Wissensinhalte können zur Beantwortung übermittelt werden. BioBot speichert keine Sprachaufnahmen oder Transkripte im Backend; technische Kontingentdaten enthalten Konto- und zufällige Anfragekennungen. Anbieteraufbewahrung bleibt getrennt zu prüfen. Bildverarbeitung übermittelt Produktzuschnitte, keine Nutzerporträts. Keine Beschäftigten-/Kundendaten in KI-Funktionen eingeben, solange deren Freigabe und Empfänger-/Transferprüfung ausstehen.
Rechte und Kontakt
Anfragen auf Auskunft, Berichtigung, Einschränkung oder Löschung können in Einstellungen → Your privacy requests oder über die obige Kontaktadresse gestellt werden. Nach angemessener Identitätsprüfung werden die betroffenen Datenorte und begründete Ausnahmen geprüft. Die direkte Kontolöschung verlangt zwei Bestätigungen und die Eingabe BioBot; sie entfernt die Anmeldeidentität und persönliche Verzeichnisdaten, nicht sämtliche Geschäftshistorie, Sicherungen oder gemeinsamen Produktbilder. Je nach Rechtsgrundlage und Voraussetzungen bestehen außerdem Rechte auf Datenübertragbarkeit, Widerspruch und Widerruf einer Einwilligung sowie Beschwerde bei der zuständigen Datenschutzaufsicht, etwa der Berliner Beauftragten für Datenschutz und Informationsfreiheit. Keine Passwörter, MFA-Geheimnisse oder Wiederherstellungsschlüssel versenden.
Scope and responsible operator
This notice covers the closed BioBot beta. Responsible operator: BlueBear Berlin, Scharnweberstr. 109, 13405 Berlin. Contact: Kamen Plamenov; privacy requests: hello@bluebear.berlin. This does not designate BIO COMPANY as an already confirmed controller for employee deployment. Controller/processor roles, lawful bases, recipients, contracts and workplace arrangements must be established before that deployment. This notice is not approval for employee monitoring.
Data and purposes
Account email/profile names, roles, store assignments, authentication, session and optional MFA data support sign-in and authorized access. Products, barcodes, batches, quantities, expiry dates and shelf locations support inventory operations. Necessary stock/admin records retain timestamps and account/store references for traceability and security. These account-linked records remain personal data. Providers may process IP addresses, device/browser details and technical errors. The concrete beta participation arrangement and necessary security purposes govern beta use; the company controller must confirm the specific lawful bases and employee information before workplace deployment.
No individual scores or usage rankings
Optional page-view, session and settings observations are disabled. Historical observations remain protected pending separately approved cleanup. The store league uses combined quantities and inventory measures for participating active stores. League payloads include no employee names, account IDs or individual scores, and publish no individual rankings or confidential purchasing costs. Necessary operational change records remain accessible to authorized roles. Store aggregates are not guaranteed anonymous, especially for small teams, and must not serve as individual performance assessments. The company must review remaining processing and involve its works council where applicable before employee deployment.
Sign-in and recipients
Google sign-in remains enabled for the closed beta. Newly admitted Google accounts receive a read-only Tester role in the configured test store; no corporate-domain restriction is promised. The later enterprise release is intended to disable Google admission server-side and use administrator-created accounts; that later switch has not happened. Supabase provides authentication, database and storage; the active database region is eu-west-1. IONOS hosts bluebear.berlin/biobot/app/. Google processes optional sign-in and operator-enabled Drive backup copies. OpenAI processes contents of actively used voice/image features. Promotion imports retrieve public BIO COMPANY offers for review. A database region or store:false setting is not a promise that every provider flow stays in Germany or has a particular retention period. Contracts, subprocessors and any international transfers require review before confidential company use.
Product images and device catalog
Product images show goods, not user portraits. Image storage requires authorized sign-in; stored image URLs are object locators, not public access grants. The first authorized load stores permitted catalog pictures locally. Unchanged versions are reused across process restarts and later logins; new/changed images are fetched during requested catalog synchronization. Logout, MFA changes and lost access do not delete product image bytes. They revoke display/read grants until fresh authorization and inventory checks succeed. The 3D map reuses the same images. Account deletion does not blanket-delete the shared product-image cache. Uninstalling the app or clearing its data can remove local files. User/store drafts, filters and local import data have separate cleanup. Android sessions use encrypted Keystore storage and exclude app backup/device transfer; browser sessions use browser storage.
Retention and deletion: seven separate categories
Accounts, optional observations, business audit, uploads, provider logs, backups and rights requests have separate proposed rules in the table below. None is customer-approved; automatic observation cleanup is currently disabled. Existing data is not automatically deleted merely because a proposed period has elapsed. This unresolved limit is not a claim that indefinite retention is necessary. Only separately approved optional observations can be deleted after explicit activation in daily batches of at most 500, with preview/approval and global/subject hold protections. That job cannot delete business records, pictures, provider logs or backups.
| Kategorie / Category | Vorschlag / Proposal |
|---|---|
| Konten / Accounts | Kontolaufzeit; Löschprüfung binnen 30 Tagen nach bestätigter Schließung / Account lifetime; deletion review within 30 days of confirmed closure |
| Beobachtungen / Observations | Vorschlag: 30 Tage ab Ereignis; Erfassung und Bereinigung aus / Proposed 30 days from event; collection and cleanup off |
| Geschäftsaudit / Business audit | Vorschlag: 365 Tage, dann Prüfung / Proposed 365 days, then reviewed deletion/de-identification |
| Uploads | Vorschlag: 30 Tage nach Abschluss/Abweisung; Produktbilder ausgenommen / Proposed 30 days after completion/rejection; product pictures excluded |
| Anbieterprotokolle / Provider logs | Ziel: 30 Tage; tatsächliche Anbieterfristen ungeprüft / Target 30 days; effective provider periods unverified |
| Sicherungen / Backups | Vorschlag: rollierend 30 Tage; Umsetzung separat / Proposed rolling 30 days; separate implementation |
| Datenschutzanfragen / Rights requests | Vorschlag: 3 Jahre ab Jahresende des Abschlusses / Proposed 3 years from year-end of closure |
Ausnahmen: dokumentierte Aufbewahrungsvorbehalte, offene Anfragen/Vorfälle und separat erforderliche Geschäftsunterlagen. Vorläufig verantwortlich: Kamen Plamenov für BlueBear Berlin. / Exceptions: documented holds, open requests/incidents and separately necessary business records. Interim responsible person: Kamen Plamenov for BlueBear Berlin.
Camera, microphone and AI
Camera/microphone features require device permission. Push-to-talk captures speech while pressed, connects through Supabase to OpenAI WebRTC and keeps bounded conversation context in memory. Authorized product/inventory and published knowledge content may be sent to answer a request. BioBot does not store recordings or transcripts in its backend; technical quota records contain account/random request IDs. Provider retention requires separate review. Image processing uses product crops, not user portraits. Do not supply employee/customer data to AI features until the relevant processing and transfer review is approved.
Rights and contact
Use Settings → Your privacy requests or the contact above for access, correction, restriction or erasure requests. Requests receive appropriate identity verification and review of each data location and justified exception. Direct account deletion requires two confirmations and typing BioBot; it removes sign-in identity and personal directory data, not all business history, backups or shared product images. Depending on the applicable conditions, rights also include portability, objection, withdrawal of consent and complaint to the competent supervisory authority, such as the Berlin data protection authority. Do not send passwords, MFA secrets or recovery keys.