Datenschutzerklärung

Wir nehmen den Schutz deiner Daten ernst. Diese Datenschutzerklärung erklärt, welche Daten wir erheben und warum. Vor jedem Abschnitt findest du eine kurze Zusammenfassung.

Rechtlich verbindlich ist immer der vollständige Text – die Zusammenfassungen dienen nur der Orientierung.

1. Verantwortlicher

Nicole Koch & Jan Tammen
Engertstraße 16
04177 Leipzig
E-Mail: [email protected]

Ein Datenschutzbeauftragter ist nicht bestellt, da die Voraussetzungen nach Art. 37 DSGVO nicht vorliegen.

2. Allgemeines zur Datenverarbeitung

Verschlüsselung: Die gesamte Kommunikation zwischen deinem Browser und unseren Servern erfolgt über TLS-verschlüsselte Verbindungen (HTTPS).

Speicherfristen: Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Verarbeitungszweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Konkret:

• Konto- und Profildaten (Name, E-Mail, Profilbild): bis zur Löschung deines Kontos
• Abrechnungs- und Rechnungsdaten (Buchungsbetrag, Zahlungsbelege, Provisionsbelege): bis zu 10 Jahre (steuer- und handelsrechtliche Aufbewahrungspflichten gemäß § 147 AO, § 257 HGB)
• Sonstige Buchungs- und Kommunikationsdaten (Anfragen, Nachrichten, Zusatztexte): in der Regel 24 Monate nach Abschluss der Buchung, anschließend Löschung oder Anonymisierung
• Hochgeladene Inhalte (Profilbilder, Raumbilder, Beschreibungen): bis zur Entfernung durch die Nutzer:in oder Löschung des Kontos
• Zahlungsdaten bei Stripe: gemäß den Aufbewahrungsrichtlinien von Stripe (siehe Stripe Datenschutzerklärung)
• Analysedaten (PostHog): maximal 12 Monate – anonym ohne Einwilligung, mit Personenbezug nach Einwilligung
• Server-Logdaten: maximal 30 Tage

Nach Ablauf der jeweiligen Frist werden die Daten gelöscht oder anonymisiert.

Auftragsverarbeitung: Soweit die nachfolgend genannten Dienstleister personenbezogene Daten in unserem Auftrag verarbeiten, haben wir den Abschluss von Auftragsverarbeitungsverträgen (AVV) gemäß Art. 28 DSGVO sichergestellt. Stripe handelt bei der Zahlungsabwicklung als eigenständig Verantwortlicher – siehe Abschnitt 7.

3. Hosting & Infrastruktur

Server-Hosting (Hetzner): Die luno-Webanwendung wird auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland betrieben. Die Datenspeicherung erfolgt über Supabase (siehe Abschnitt 4).

CDN & Reverse-Proxy (Cloudflare): Zur schnellen und sicheren Auslieferung unserer Inhalte nutzen wir Cloudflare (Cloudflare Inc., 101 Townsend St., San Francisco, CA 94107, USA) als CDN und Reverse-Proxy. Cloudflare verarbeitet dabei technisch notwendige Verbindungsdaten (u. a. IP-Adresse, HTTP-Header) kurzzeitig zur Auslieferung der Inhalte und zum Schutz vor Angriffen. Cloudflare ist unter dem EU-U.S. Data Privacy Framework zertifiziert.

Rechtsgrundlage: Berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO (sichere und performante Bereitstellung unserer Plattform).

Weitere Informationen: Hetzner Datenschutzerklärung · Cloudflare Datenschutzerklärung

4. Datenbank & Authentifizierung (Supabase)

Für die Speicherung von Nutzerdaten (Profile, Buchungen, Bilder) und die Authentifizierung (Anmeldung per E-Mail-Code) nutzen wir Supabase (Supabase Inc., 970 Toa Payoh North #07-04, Singapore 318992). Wir haben Supabase angewiesen, Daten ausschließlich in der AWS-Region eu-central-1 (Frankfurt, Deutschland) zu speichern und zu verarbeiten. Supabase ist SOC 2 Type II zertifiziert.

Erfasste Daten: E-Mail-Adresse, Name, Profilbild, Buchungsdaten, hochgeladene Bilder und Texte (z. B. Raumbeschreibungen, Profilbeschreibungen, Nachrichten). Bei der Anmeldung: E-Mail-Adresse und einmaliger Verifizierungscode (OTP).

Hochgeladene Inhalte (User-Generated Content): Inhalte, die du hochlädst (Profilbild, Raumbilder, Beschreibungen, Nachrichten), werden zur Darstellung auf der Plattform verarbeitet. Du kannst diese Inhalte jederzeit über dein Konto bearbeiten oder entfernen.

Rechtsgrundlage: Vertragserfüllung gemäß Art. 6 Abs. 1 lit. b DSGVO.

Drittlandbezug: Auch wenn die Datenbank in Frankfurt liegt, kann ein Zugriff aus Drittländern (insbesondere Singapur, Sitz von Supabase) im Rahmen von Support-Tätigkeiten nicht vollständig ausgeschlossen werden. Wir haben mit Supabase einen Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln (SCC) abgeschlossen.

Weitere Informationen: Supabase Datenschutzerklärung

5. E-Mail-Versand (Resend)

Für den Versand transaktionaler E-Mails (Buchungsbestätigungen, Stornierungen, Benachrichtigungen) nutzen wir Resend (Resend Inc., 44 Burrows St, San Francisco, CA 94134, USA).

Erfasste Daten: E-Mail-Adresse, Name (im E-Mail-Header), E-Mail-Inhalt.

Kein Marketing-Tracking: Wir setzen für transaktionale E-Mails kein Öffnungs- oder Klick-Tracking ein.

Rechtsgrundlage: Vertragserfüllung gemäß Art. 6 Abs. 1 lit. b DSGVO. Resend ist unter dem EU-U.S. Data Privacy Framework zertifiziert.

Weitere Informationen: Resend Datenschutzerklärung

6. Webanalyse (PostHog)

Wir nutzen PostHog Cloud EU (PostHog Inc., Server in Frankfurt, Deutschland) zur Analyse der Websitenutzung und zur Fehlererkennung. Welche Daten erfasst werden, hängt von deiner Entscheidung im Cookie-Banner ab.

Vor deiner Entscheidung: Es werden keine Daten an PostHog gesendet.

Nach „Ablehnen“: PostHog erfasst anonyme Nutzungsstatistik und technische Fehler – ohne Cookies und ohne lokale Speicherung im Browser. Eine Verknüpfung mit deinem luno-Konto findet nicht statt; Sitzungswiederholungen finden in diesem Modus nicht statt. Technischer Hintergrund: Zur statistischen Unterscheidung verschiedener Besucher:innen erzeugt PostHog serverseitig einen täglich neu generierten Hash aus einem Tages-Salt, IP-Adresse, User-Agent und Host. Die IP-Adresse wird dabei nur in den Hash überführt und nicht gespeichert; das Salt wird täglich verworfen, sodass derselbe Browser am nächsten Tag als anderer anonymer Besucher erscheint.

Nach „Akzeptieren“: Zusätzlich erfasst PostHog Klickverhalten, Geräteinformationen (Browser, Betriebssystem, Bildschirmgröße) und ungefähren Standort. Die Daten werden über Cookies bzw. lokale Speicherung mit deinem Browser verknüpft. Wenn du bei luno eingeloggt bist, verknüpfen wir die Daten zusätzlich mit deiner Konto-Kennung, deinem Namen und deiner E-Mail-Adresse. Außerdem zeichnen wir pseudonymisierte Sitzungswiederholungen auf; alle Formulareingaben werden dabei automatisch maskiert.

Rechtsgrundlage – anonyme Variante: Berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO an der statistischen Auswertung und Fehlerdiagnose unserer Plattform. Die Verarbeitung ist durch täglich rotierende Salts und den Verzicht auf persistente Identifikatoren auf das notwendige Minimum reduziert. Du hast jederzeit das Recht, dieser Verarbeitung gemäß Art. 21 DSGVO zu widersprechen – schreib uns dazu an [email protected].

Rechtsgrundlage – Cookie-basiertes Tracking: Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Du kannst deine Einwilligung jederzeit über den Link „Cookie-Einstellungen“ am Seitenende widerrufen oder ändern. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

Weitere Informationen: PostHog Datenschutzerklärung

7. Zahlungsabwicklung (Stripe)

Bei Studios mit aktivierter Online-Zahlung nutzen wir für die Abwicklung von Zahlungen und Auszahlungen Stripe Technology Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irland. Stripe ist von der Central Bank of Ireland als E-Geld-Institut autorisiert (Ref. C187865). Stripe verarbeitet Zahlungsdaten in eigener datenschutzrechtlicher Verantwortlichkeit für Zwecke der Zahlungsabwicklung, Betrugsprävention und Compliance – nicht als unser Auftragsverarbeiter. Im Direktmodus (Studios ohne Online-Zahlung) werden keine personenbezogenen Daten an Stripe übermittelt.

Erfasste Daten: Name, E-Mail-Adresse, Zahlungsmitteldaten (je nach gewählter Zahlungsart z. B. Kartendaten oder Bankverbindung), IP-Adresse, Geräteinformationen (Browser, Betriebssystem). Zahlungsmitteldaten werden ausschließlich bei Stripe gespeichert – luno hat keinen Zugriff auf vollständige Zahlungsdaten.

Zweck: Abwicklung von Zahlungen und Auszahlungen an Studios (über Stripe Connect), Betrugsprävention, Identitätsprüfung.

Rechtsgrundlage: Vertragserfüllung gemäß Art. 6 Abs. 1 lit. b DSGVO. Für Maßnahmen zur Betrugsprävention zusätzlich berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO.

Datenübermittlung: Stripe verarbeitet Daten primär auf EU-Servern. Für Betrugsprävention können Daten an Stripe, Inc. in die USA übermittelt werden. Stripe ist unter dem EU-U.S. Data Privacy Framework zertifiziert.

Cookies: Stripe.js wird nur dann geladen, wenn du den Buchungs-Checkout aufrufst – nicht bei der allgemeinen Nutzung der luno-Plattform. Im Checkout setzt Stripe.js technisch notwendige Cookies zur Betrugserkennung:

• __stripe_mid – Geräte-Identifikation über Sitzungen hinweg (persistent)
• __stripe_sid – Sitzungsbezogene Interaktions-Verfolgung (30 Minuten)

Diese Cookies werden ausschließlich zur Betrugsprävention eingesetzt, nicht für Werbung. Rechtsgrundlage: Berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO.

Weitere Informationen: Stripe Datenschutzerklärung

8. KI-gestützter Hilfe-Chatbot

Für Studio-Betreibende bieten wir im eingeloggten Dashboard einen KI-gestützten Hilfe-Chatbot. Für die Erzeugung der Antworten setzen wir das Sprachmodell von Anthropic, PBC, San Francisco, USA als Auftragsverarbeiter ein.

Erfasste Daten: deine Freitext-Eingaben im Chat, pseudonyme Kennungen für Studio und Nutzer:in, Zeitstempel.

Zweck und Rechtsgrundlage: Beantwortung deiner Bedienungsfragen – Vertragserfüllung gemäß Art. 6 Abs. 1 lit. b DSGVO im Rahmen deines Studio-Vertrags, hilfsweise berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO.

Kein Training: Anthropic verpflichtet sich vertraglich, mit unseren Inhalten keine Modelle zu trainieren.

Speicherdauer: Anthropic löscht die übermittelten Eingaben und Ausgaben nach maximal 30 Tagen. Wir selbst speichern die Konversationen nicht persistent.

Drittlandübermittlung: Anthropic verarbeitet die Daten in den USA. Anthropic, PBC ist nicht unter dem EU-U.S. Data Privacy Framework selbstzertifiziert. Die Übermittlung stützen wir auf die EU-Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914, Modul 2. Eine Kopie der für diese Verarbeitung geltenden Garantien stellen wir auf Anfrage unter [email protected] bereit. Vor der Übermittlung filtern wir typische personenbezogene Identifikatoren aus der Eingabe.

Keine automatisierte Entscheidung mit Rechtswirkung: Der Chatbot beantwortet Fragen, trifft aber keine Entscheidungen mit Rechtswirkung dir gegenüber.

Weitere Informationen: Anthropic Trust Center

9. Deine Rechte

Du hast jederzeit das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Schreib uns an [email protected].

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir deine Daten auf Grundlage eines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, hast du das Recht, jederzeit Widerspruch einzulegen. Wir verarbeiten deine Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen.

Widerruf der Einwilligung: Soweit die Verarbeitung auf deiner Einwilligung beruht (z. B. Webanalyse), kannst du diese jederzeit widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

Keine automatisierte Entscheidungsfindung: Wir treffen keine ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidungen mit rechtlicher Wirkung gegenüber dir. Maßnahmen wie etwa eine Konto-Einschränkung erfolgen nach menschlicher Prüfung.

Du hast außerdem das Recht, dich bei einer Aufsichtsbehörde zu beschweren. Zuständig ist der Sächsische Datenschutz- und Transparenzbeauftragte.