Datenschutzerklärung

Wir nehmen den Schutz deiner Daten ernst. Diese Datenschutzerklärung erklärt, welche Daten wir erheben und warum. Vor jedem Abschnitt findest du eine kurze Zusammenfassung.

Rechtlich verbindlich ist immer der vollständige Text – die Zusammenfassungen dienen nur der Orientierung.

1. Verantwortlicher

Nicole Koch & Jan Tammen
Engertstraße 16
04177 Leipzig
E-Mail: [email protected]

Ein Datenschutzbeauftragter ist nicht bestellt, da die Voraussetzungen nach Art. 37 DSGVO nicht vorliegen.

2. Allgemeines zur Datenverarbeitung

Verschlüsselung: Die gesamte Kommunikation zwischen deinem Browser und unseren Servern erfolgt über TLS-verschlüsselte Verbindungen (HTTPS).

Speicherfristen: Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Verarbeitungszweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Konkret:

• Konto- und Profildaten (Name, E-Mail, Profilbild): bis zur Löschung deines Kontos
• Abrechnungs- und Rechnungsdaten (Buchungsbetrag, Zahlungsbelege, Provisionsbelege): bis zu 10 Jahre (steuer- und handelsrechtliche Aufbewahrungspflichten gemäß § 147 AO, § 257 HGB)
• Sonstige Buchungs- und Kommunikationsdaten (Anfragen, Nachrichten, Zusatztexte): in der Regel 24 Monate nach Abschluss der Buchung, anschließend Löschung oder Anonymisierung
• Hochgeladene Inhalte (Profilbilder, Raumbilder, Beschreibungen): bis zur Entfernung durch die Nutzer:in oder Löschung des Kontos
• Zahlungsdaten bei Stripe: gemäß den Aufbewahrungsrichtlinien von Stripe (siehe Stripe Datenschutzerklärung)
• Analysedaten (PostHog): maximal 12 Monate – anonym ohne Einwilligung, mit Personenbezug nach Einwilligung
• Server-Logdaten: maximal 30 Tage
• Protokoll der KI-Nutzung (Funktion, Modell, Umfang der Anfrage, Kosten, Fehlerart, Kennung deines Kontos und – beim Hilfe-Chatbot – des Studios): 30 Tage
• Versand-Protokoll ausgehender E-Mails (Empfängeradresse, Betreff, Zustellstatus): 12 Monate

Nach Ablauf der jeweiligen Frist werden die Daten gelöscht oder anonymisiert.

Auftragsverarbeitung: Soweit die nachfolgend genannten Dienstleister personenbezogene Daten in unserem Auftrag verarbeiten, haben wir den Abschluss von Auftragsverarbeitungsverträgen (AVV) gemäß Art. 28 DSGVO sichergestellt. Stripe handelt bei der Zahlungsabwicklung als eigenständig Verantwortlicher – siehe Abschnitt 8.

3. Weitergabe an das Studio

luno vermittelt Räume. Der Mietvertrag kommt zwischen dir und dem Studio zustande, nicht mit uns. Damit das Studio deine Anfrage bearbeiten kann, geben wir ihm die folgenden Daten weiter.

Weitergegebene Daten: Name, E-Mail-Adresse, Telefonnummer und deine Nachricht an das Studio. Bei einer Raumanfrage oder Buchung zusätzlich der angefragte Raum, der Zeitraum und die Art der Nutzung. Dazu kommen die Angaben aus deinem Profil, soweit du sie ausgefüllt hast: Über mich, Profilbild, Website und Instagram.

Empfänger: Das Studio, bei dem du einen Raum anfragst oder buchst, und das Studio, mit dem du dich über eine Kontaktanfrage oder einen Einladungslink verbindest. Andere Studios erhalten deine Daten nicht.

Rechtsgrundlage: Vertragserfüllung und vorvertragliche Maßnahmen gemäß Art. 6 Abs. 1 lit. b DSGVO.

Verantwortlichkeit: Ab der Weitergabe verarbeitet das Studio deine Daten in eigener Verantwortung und für eigene Zwecke – etwa zur Durchführung der Vermietung und zur Erfüllung seiner steuerlichen Pflichten. Dafür ist das Studio der Verantwortliche im Sinne der DSGVO, nicht luno. Deine Rechte kannst du uns gegenüber für die bei uns gespeicherten Daten geltend machen und gegenüber dem Studio für die Daten, die dort verarbeitet werden.

4. Hosting & Infrastruktur

Server-Hosting (Hetzner): Die luno-Webanwendung wird auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland betrieben. Die Datenspeicherung erfolgt über Supabase (siehe Abschnitt 5).

CDN & Reverse-Proxy (Cloudflare): Zur schnellen und sicheren Auslieferung unserer Inhalte nutzen wir Cloudflare (Cloudflare Inc., 101 Townsend St., San Francisco, CA 94107, USA) als CDN und Reverse-Proxy. Cloudflare verarbeitet dabei technisch notwendige Verbindungsdaten (u. a. IP-Adresse, HTTP-Header) kurzzeitig zur Auslieferung der Inhalte und zum Schutz vor Angriffen. Cloudflare ist unter dem EU-U.S. Data Privacy Framework zertifiziert.

Rechtsgrundlage: Berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO (sichere und performante Bereitstellung unserer Plattform).

Weitere Informationen: Hetzner Datenschutzerklärung · Cloudflare Datenschutzerklärung

5. Datenbank & Authentifizierung (Supabase)

Für die Speicherung von Nutzerdaten (Profile, Buchungen, Bilder) und die Authentifizierung (Anmeldung per E-Mail-Code) nutzen wir Supabase (Supabase Inc., 970 Toa Payoh North #07-04, Singapore 318992). Wir haben Supabase angewiesen, Daten ausschließlich in der AWS-Region eu-central-1 (Frankfurt, Deutschland) zu speichern und zu verarbeiten. Supabase ist SOC 2 Type II zertifiziert.

Erfasste Daten: E-Mail-Adresse, Name, Profilbild, Buchungsdaten, hochgeladene Bilder und Texte (z. B. Raumbeschreibungen, Profilbeschreibungen, Nachrichten). Bei der Anmeldung: E-Mail-Adresse und einmaliger Verifizierungscode (OTP).

Hochgeladene Inhalte (User-Generated Content): Inhalte, die du hochlädst (Profilbild, Raumbilder, Beschreibungen, Nachrichten), werden zur Darstellung auf der Plattform verarbeitet. Du kannst diese Inhalte jederzeit über dein Konto bearbeiten oder entfernen.

Rechtsgrundlage: Vertragserfüllung gemäß Art. 6 Abs. 1 lit. b DSGVO.

Drittlandbezug: Auch wenn die Datenbank in Frankfurt liegt, kann ein Zugriff aus Drittländern (insbesondere Singapur, Sitz von Supabase) im Rahmen von Support-Tätigkeiten nicht vollständig ausgeschlossen werden. Wir haben mit Supabase einen Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln (SCC) abgeschlossen.

Weitere Informationen: Supabase Datenschutzerklärung

6. E-Mail-Versand (Resend)

Für den Versand transaktionaler E-Mails (Buchungsbestätigungen, Stornierungen, Benachrichtigungen) nutzen wir Resend (Resend Inc., 44 Burrows St, San Francisco, CA 94134, USA).

Erfasste Daten: E-Mail-Adresse, Name (im E-Mail-Header), E-Mail-Inhalt.

Kein Marketing-Tracking: Wir setzen für transaktionale E-Mails kein Öffnungs- oder Klick-Tracking ein.

Versand-Protokoll: Zu jeder ausgehenden E-Mail speichern wir Empfängeradresse, Betreff und Zustellstatus – also ob sie angekommen ist, abgelehnt wurde oder gar nicht erst versendet werden konnte. Den Inhalt speichern wir nicht. Damit können wir belegen, dass wir eine Nachricht versendet haben. Das Protokoll löschen wir nach 12 Monaten. Rechtsgrundlage ist unser berechtigtes Interesse an diesem Nachweis gemäß Art. 6 Abs. 1 lit. f DSGVO.

Rechtsgrundlage: Vertragserfüllung gemäß Art. 6 Abs. 1 lit. b DSGVO. Resend ist unter dem EU-U.S. Data Privacy Framework zertifiziert.

Weitere Informationen: Resend Datenschutzerklärung

7. Webanalyse (PostHog)

Wir nutzen PostHog Cloud EU (PostHog Inc., Server in Frankfurt, Deutschland) zur Analyse der Websitenutzung und zur Fehlererkennung. Welche Daten erfasst werden, hängt von deiner Entscheidung im Cookie-Banner ab.

Vor deiner Entscheidung: Dein Browser sendet keine Daten an PostHog. Ausnahme sind die Meldungen unseres Servers, die unten beschrieben sind.

Nach „Ablehnen“: PostHog erfasst anonyme Nutzungsstatistik und technische Fehler – ohne Cookies und ohne lokale Speicherung im Browser. Eine Verknüpfung mit deinem luno-Konto findet nicht statt; Sitzungswiederholungen finden in diesem Modus nicht statt. Technischer Hintergrund: Zur statistischen Unterscheidung verschiedener Besucher:innen erzeugt PostHog serverseitig einen täglich neu generierten Hash aus einem Tages-Salt, IP-Adresse, User-Agent und Host. Die IP-Adresse wird dabei nur in den Hash überführt und nicht gespeichert; das Salt wird täglich verworfen, sodass derselbe Browser am nächsten Tag als anderer anonymer Besucher erscheint.

Nach „Akzeptieren“: Zusätzlich erfasst PostHog Klickverhalten, Geräteinformationen (Browser, Betriebssystem, Bildschirmgröße) und ungefähren Standort. Die Daten werden über Cookies bzw. lokale Speicherung mit deinem Browser verknüpft. Wenn du bei luno eingeloggt bist, verknüpfen wir die Daten zusätzlich mit deiner Konto-Kennung, deinem Namen und deiner E-Mail-Adresse. Außerdem zeichnen wir pseudonymisierte Sitzungswiederholungen auf; alle Formulareingaben werden dabei automatisch maskiert.

Meldungen unseres Servers: Unabhängig von deiner Entscheidung im Banner meldet unser Server bei jeder Nutzung einer KI-Funktion (Abschnitt 9) Funktion, Modell, Umfang der Anfrage, Kosten, Dauer und gegebenenfalls die Fehlerart an PostHog. Die Meldung enthält weder deine Eingaben noch die Antworten und ist nicht mit deinem Konto verknüpft. Außerdem meldet unser Server technische Fehler, gegebenenfalls mit der Kennung der betroffenen Buchung oder des Studios, damit wir sie beheben können. Rechtsgrundlage ist unser berechtigtes Interesse, die Kosten und die Zuverlässigkeit der Plattform zu überwachen (Art. 6 Abs. 1 lit. f DSGVO).

Rechtsgrundlage – anonyme Variante: Berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO an der statistischen Auswertung und Fehlerdiagnose unserer Plattform. Die Verarbeitung ist durch täglich rotierende Salts und den Verzicht auf persistente Identifikatoren auf das notwendige Minimum reduziert. Du hast jederzeit das Recht, dieser Verarbeitung gemäß Art. 21 DSGVO zu widersprechen – schreib uns dazu an [email protected].

Rechtsgrundlage – Cookie-basiertes Tracking: Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Du kannst deine Einwilligung jederzeit über den Link „Cookie-Einstellungen“ am Seitenende widerrufen oder ändern. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

Weitere Informationen: PostHog Datenschutzerklärung

8. Zahlungsabwicklung (Stripe)

Bei Studios mit aktivierter Online-Zahlung nutzen wir für die Abwicklung von Zahlungen und Auszahlungen Stripe Technology Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irland. Stripe ist von der Central Bank of Ireland als E-Geld-Institut autorisiert (Ref. C187865). Stripe verarbeitet Zahlungsdaten in eigener datenschutzrechtlicher Verantwortlichkeit für Zwecke der Zahlungsabwicklung, Betrugsprävention und Compliance – nicht als unser Auftragsverarbeiter. Im Direktmodus (Studios ohne Online-Zahlung) werden keine personenbezogenen Daten an Stripe übermittelt.

Erfasste Daten: Name, E-Mail-Adresse, Zahlungsmitteldaten (je nach gewählter Zahlungsart z. B. Kartendaten oder Bankverbindung), IP-Adresse, Geräteinformationen (Browser, Betriebssystem). Zahlungsmitteldaten werden ausschließlich bei Stripe gespeichert – luno hat keinen Zugriff auf vollständige Zahlungsdaten.

Zweck: Abwicklung von Zahlungen und Auszahlungen an Studios (über Stripe Connect), Betrugsprävention, Identitätsprüfung.

Rechtsgrundlage: Vertragserfüllung gemäß Art. 6 Abs. 1 lit. b DSGVO. Für Maßnahmen zur Betrugsprävention zusätzlich berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO.

Datenübermittlung: Stripe verarbeitet Daten primär auf EU-Servern. Für Betrugsprävention können Daten an Stripe, Inc. in die USA übermittelt werden. Stripe ist unter dem EU-U.S. Data Privacy Framework zertifiziert.

Cookies: Stripe.js wird nur dann geladen, wenn du den Buchungs-Checkout aufrufst – nicht bei der allgemeinen Nutzung der luno-Plattform. Im Checkout setzt Stripe.js technisch notwendige Cookies zur Betrugserkennung:

• __stripe_mid – Geräte-Identifikation über Sitzungen hinweg (persistent)
• __stripe_sid – Sitzungsbezogene Interaktions-Verfolgung (30 Minuten)

Diese Cookies werden ausschließlich zur Betrugsprävention eingesetzt, nicht für Werbung. Rechtsgrundlage: Berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO.

Weitere Informationen: Stripe Datenschutzerklärung

9. KI-Funktionen für Studios

Im Studio-Dashboard und bei der Einrichtung deines Studios bieten wir diese KI-Funktionen:

• Hilfe-Chatbot: beantwortet Fragen zur Bedienung von luno.
• Belegung importieren: erkennt Termine in eingefügtem Text oder auf einem Screenshot. Eine CSV-Datei liest dein Browser ohne KI direkt aus.
• Verfügbarkeit, Preise und Stornierungsrichtlinie: macht aus deiner Beschreibung in eigenen Worten die passenden Einstellungen.

Die Antworten erzeugt das Sprachmodell von Anthropic, PBC, San Francisco, USA, das wir als Auftragsverarbeiter einsetzen.

Erfasste Daten: deine Eingaben (Text und Bilder) und die Antworten des Modells. Zu jeder Nutzung protokollieren wir außerdem Funktion, Modell, Umfang der Anfrage, Kosten, Fehlerart, Zeitpunkt und die Kennung deines Kontos, beim Hilfe-Chatbot auch die des Studios.

Zweck und Rechtsgrundlage: Wir wollen dir die Einrichtung und Bedienung von luno erleichtern. Rechtsgrundlage ist unser berechtigtes Interesse daran (Art. 6 Abs. 1 lit. f DSGVO). Die KI-Funktionen sind freiwillig: Alles lässt sich auch ohne sie einstellen.

Kein Training: Anthropic verpflichtet sich vertraglich, mit unseren Inhalten keine Modelle zu trainieren.

Speicherdauer: Anthropic löscht die übermittelten Eingaben und Ausgaben spätestens 30 Tage nach Eingang. Stufen die Sicherheitssysteme von Anthropic einen Vorgang als möglichen Verstoß gegen die Nutzungsrichtlinien ein, kann Anthropic Eingaben und Ausgaben bis zu zwei Jahre und die Bewertung selbst bis zu sieben Jahre aufbewahren, länger nur, soweit ein Gesetz es verlangt. Wir selbst speichern weder Chat-Verläufe noch die Texte und Bilder, die du zur Auswertung eingibst. Das Protokoll der Nutzung löschen wir nach 30 Tagen.

Drittlandübermittlung: Anthropic speichert die Daten in den USA. Die Berechnung der Antworten kann Anthropic auch in Rechenzentren in anderen Ländern durchführen, die Anthropic nicht vorab festlegt; die eingesetzten Unterauftragsverarbeiter und ihre Standorte nennt das Anthropic Trust Center. Anthropic, PBC ist nicht unter dem EU-U.S. Data Privacy Framework selbstzertifiziert, und für die USA besteht für Anthropic kein Angemessenheitsbeschluss. Die Übermittlung stützen wir auf die EU-Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914, Modul 2. Eine Kopie der für diese Verarbeitung geltenden Garantien stellen wir auf Anfrage unter [email protected] bereit.

Schutz beim Hilfe-Chatbot: Enthält eine Nachricht an den Hilfe-Chatbot eine E-Mail-Adresse, IBAN oder Telefonnummer, senden wir sie nicht an Anthropic, sondern bitten dich, sie ohne diese Angaben neu zu schreiben.

Keine automatisierte Entscheidung mit Rechtswirkung: Die KI-Funktionen beantworten Fragen und machen Vorschläge. Entscheidungen mit Rechtswirkung dir gegenüber treffen sie nicht.

Wenn du in einem importierten Belegungsplan genannt bist

Belegungspläne enthalten oft die Namen von Personen, die in einem Raum Kurse geben, manchmal auch weitere Angaben zu Personen. Die Angaben stammen vom Studio, das seinen Plan importiert. Was im eingefügten Text oder auf dem Screenshot steht, geht so an Anthropic, damit das Modell die Termine erkennt. Für Anthropic gelten die Speicherdauer und die Drittlandübermittlung wie oben beschrieben.

In die Belegung übernehmen wir Kurstitel und Zeiten, keine Namen von Personen. Einträge aus früheren Importen können den Namen der Kursleitung im Titel enthalten; sie bleiben gespeichert, bis das Studio sie löscht oder sein Konto gelöscht wird. Den eingefügten Text und das Bild selbst speichern wir nicht.

Rechtsgrundlage ist unser berechtigtes Interesse, Studios das Übernehmen eines bestehenden Belegungsplans ohne Abtippen zu ermöglichen (Art. 6 Abs. 1 lit. f DSGVO). Studios verpflichten sich in unseren Nutzungsbedingungen, nur Pläne einzufügen, deren Angaben sie dafür weitergeben dürfen, und keine Kontaktdaten oder Teilnehmerlisten. Deine Kontaktdaten kennen wir nicht; deshalb informieren wir dich nicht einzeln, sondern hier (Art. 14 Abs. 5 lit. b DSGVO). Du kannst dieser Verarbeitung nach Art. 21 DSGVO widersprechen – schreib uns dazu an [email protected].

10. Deine Rechte

Du hast jederzeit das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Schreib uns an [email protected].

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir deine Daten auf Grundlage eines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, hast du das Recht, jederzeit Widerspruch einzulegen. Wir verarbeiten deine Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen.

Widerruf der Einwilligung: Soweit die Verarbeitung auf deiner Einwilligung beruht (z. B. Webanalyse), kannst du diese jederzeit widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

Keine automatisierte Entscheidungsfindung: Wir treffen keine ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidungen mit rechtlicher Wirkung gegenüber dir. Maßnahmen wie etwa eine Konto-Einschränkung erfolgen nach menschlicher Prüfung.

Du hast außerdem das Recht, dich bei einer Aufsichtsbehörde zu beschweren. Zuständig ist der Sächsische Datenschutz- und Transparenzbeauftragte.