1. Allgemeine Hinweise und Geltungsbereich
Diese Erklärung informiert nach Art. 13 und 14 DSGVO über die Verarbeitung personenbezogener Daten beim Besuch von lonvie.app und bei Nutzung der Formulare auf dieser Website. Verarbeitungsvorgänge, die noch nicht umgesetzt sind, sind entsprechend gekennzeichnet.
2. Verantwortlicher
Verantwortlicher im Sinne der DSGVO ist [RECHTSTRÄGER / VOLLSTÄNDIGER NAME], [LADUNGSFÄHIGE ANSCHRIFT], E-Mail [E-MAIL-ADRESSE]. Weitere Angaben im Impressum. Ein Datenschutzbeauftragter ist bestellt, sofern gesetzlich erforderlich: [DATENSCHUTZBEAUFTRAGTE PERSON, FALLS ERFORDERLICH].
3. Hosting und Server-Logs (Cloudflare)
Die Website wird als Cloudflare Worker über die Infrastruktur der Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA) betrieben. Beim Aufruf verarbeitet Cloudflare technisch notwendige Verbindungsdaten (u. a. IP-Adresse, angefragte URL, Zeitpunkt, Referrer, User-Agent), um die Seite auszuliefern und Sicherheit und Verfügbarkeit zu gewährleisten.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen, sicheren Betrieb). Da Cloudflare ein US-Anbieter ist, kann eine Verarbeitung in einem Drittland stattfinden; die Übermittlung wird auf die EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework gestützt. Einzelheiten und Aufbewahrungsdauer der Cloudflare-Logs: [VERTRAGS-/DPA-GRUNDLAGE UND LOG-AUFBEWAHRUNG CLOUDFLARE].
4. Schriftarten
Die verwendeten Schriften (Space Grotesk, Inter, JetBrains Mono) werden mit next/font beim Build selbst gehostet und von unserem eigenen Server ausgeliefert. Es findet keine Verbindung zu Google Fonts oder einem anderen Drittanbieter-CDN statt; dabei werden keine zusätzlichen personenbezogenen Daten an Dritte übermittelt.
5. Partner-Anfragen
Über das Partner-Formular kannst du eine unverbindliche Anfrage stellen. Verarbeitet werden die von dir angegebenen Daten: Betriebsname, Ansprechpartner:in, E-Mail, optional Telefonnummer, Adresse/Stadt, Kategorien und Freitext. Ergänzend speichern wir technische Metadaten (Quelle/Referrer, UTM-Parameter, User-Agent) zur Zuordnung und Missbrauchsvermeidung.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines möglichen Vertragsverhältnisses) sowie Art. 6 Abs. 1 lit. f DSGVO (Bearbeitung und Missbrauchsvermeidung). Die Angabe ist freiwillig; ohne die notwendigen Angaben können wir die Anfrage nicht bearbeiten.
6. Städte-Warteliste
Über die Warteliste kannst du uns deine Stadt und deine E-Mail-Adresse mitteilen, um informiert zu werden, wenn Lonvie dort startet. Verarbeitet werden Stadt und E-Mail sowie technische Metadaten (Quelle/Referrer, UTM-Parameter, User-Agent). Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO; du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen (z. B. per E-Mail an den Verantwortlichen).
7. Datenbank (Supabase)
Die Formulardaten werden in einer bei Supabase gehosteten PostgreSQL-Datenbank gespeichert (Supabase, Inc., USA; Region [SUPABASE-REGION]). Supabase handelt als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags. Bei einer Verarbeitung außerhalb der EU wird die Übermittlung auf die EU-Standardvertragsklauseln gestützt. Der Zugriff auf gespeicherte Anfragen erfolgt ausschließlich intern; über die Website ist nur das Anlegen neuer Einträge möglich, kein Lesen.
8. IP-Hash zur Missbrauchsvermeidung
Sofern serverseitig aktiviert, wird zu einer Formularübermittlung keine IP-Adresse im Klartext gespeichert, sondern ausschließlich ein mit einem geheimen Schlüssel gesalzener SHA-256-Hash. Ist die Funktion nicht aktiviert, wird gar keine IP-Information gespeichert. Zweck ist allein die Eindämmung von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).
9. E-Mail-Benachrichtigung
Eingehende Partner-Anfragen können intern per E-Mail benachrichtigt werden. Dieser Versand ist vorbereitet und nur aktiv, wenn der E-Mail-Dienst (Resend, Inc., USA) konfiguriert ist; andernfalls findet kein Mailversand statt und die Anfrage wird ausschließlich in der Datenbank gespeichert. Ist der Versand aktiv, werden die Anfragedaten zum Zweck der Bearbeitung an den E-Mail-Dienst übermittelt (Art. 6 Abs. 1 lit. f DSGVO); die Grundlage des Drittlandtransfers ist dann zu dokumentieren: [DPA / TRANSFERGRUNDLAGE RESEND, FALLS AKTIV].
10. Partner-Login und Partner-Portal
Für den Zugang zum Partner-Portal bieten wir eine passwortlose Anmeldung per E-Mail-Code an. Du gibst deine E-Mail-Adresse ein; der einmalige Anmeldecode wird über den Authentifizierungsdienst von Supabase (Supabase, Inc., USA) an diese Adresse versandt. Der Versand erfolgt über Supabase, nicht über den unter Ziffer 9 genannten Dienst. Verarbeitet werden dabei deine E-Mail-Adresse und technische Anmeldedaten (Zeitpunkt, Gültigkeit des Codes).
Nach erfolgreicher Anmeldung setzen wir zwei technisch notwendige Sitzungs-Cookies (sb-partner-access, sb-partner-refresh). Sie sind httpOnly (für Skripte im Browser nicht auslesbar) und dienen allein dazu, deine angemeldete Sitzung aufrechtzuerhalten. Ohne diese Cookies ist der geschützte Bereich nicht nutzbar.
Der Zugang zum Portal setzt eine von uns freigeschaltete Mitgliedschaft voraus. Dazu verarbeiten wir die Zuordnung deines Kontos zu einer Partnerorganisation, deine Rolle und den Status der Mitgliedschaft. Eine bloße Anmeldung schaltet keinen Portalzugang frei. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung bzw. Anbahnung des Partnerverhältnisses) sowie Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb des geschützten Bereichs).
10a. Warteliste mit Tages-Challenge
Vor dem Start kannst du dich auf die Lonvie-Warteliste eintragen. Dafür gibst du deine E-Mail-Adresse ein; wie beim Partner-Login verschickt der Authentifizierungsdienst von Supabase einen einmaligen Code, und mit dessen Eingabe entsteht ein Konto bei diesem Dienst. Zur Warteliste speichern wir deine E-Mail-Adresse, den Zeitpunkt des Beitritts, deine Punkte samt deren Herkunft (Tages-Challenge, Tic-Tac-Toe oder Empfehlung) und Datum, deine Züge und Ergebnisse im Tic-Tac-Toe, deinen persönlichen Empfehlungscode und – wenn du über einen Empfehlungslink gekommen bist – wer dich empfohlen hat. Dein Platz auf der Liste wird aus diesen Punkten berechnet; deine E-Mail-Adresse sehen andere Teilnehmende nie (was das Ranking zeigt, steht unten). Damit ein Postfach nur einmal auf der Liste steht, vergleichen wir deine Adresse in einer vereinheitlichten Schreibweise (Kleinschreibung, ohne »+Zusatz«, bei Gmail ohne Punkte) mit den vorhandenen Einträgen.
Anmeldung mit Google oder Apple. Statt des Codes kannst du dich – sofern angeboten – mit deinem Google- oder Apple-Konto anmelden. Dann leiten wir dich zum jeweiligen Anbieter (Google Ireland Ltd. bzw. Apple Distribution International Ltd.) weiter; dort meldest du dich an und entscheidest, was weitergegeben wird. Der Authentifizierungsdienst von Supabase erhält vom Anbieter deine E-Mail-Adresse (bei Apple gegebenenfalls eine Weiterleitungsadresse), die Bestätigung, dass sie geprüft ist, eine Kennung deines Kontos beim Anbieter und – soweit der Anbieter sie übermittelt – Name und Profilbild; er speichert diese Angaben als verknüpfte Identität deines Kontos, zusammen mit Anmeldezeitpunkten. Auf die Warteliste selbst übernehmen wir nur die E-Mail-Adresse. Für die Dauer der Weiterleitung setzen wir einen technisch notwendigen, für Skripte nicht lesbaren Cookie mit einem Einmalwert (wl-pkce, höchstens zehn Minuten), der sicherstellt, dass die Rückkehr zu deiner Anmeldung gehört. Steht die Adresse bereits auf der Warteliste oder bricht die Anmeldung ab, beenden wir die Sitzung; das beim Anmeldedienst angelegte Konto löschen wir in regelmäßigen Abständen, sofern kein Wartelisten-Eintrag dazu entstanden ist. Für die Verarbeitung durch Google bzw. Apple gelten deren Datenschutzhinweise; eine Übermittlung in die USA ist dabei nicht auszuschließen. [DRITTLANDTRANSFER UND LÖSCHRHYTHMUS RECHTLICH PRÜFEN]
Vorname im Ranking und Fragen zum Start. Für das Ranking der Warteliste kannst du einen Vornamen wählen – ein Spitzname geht auch, und du kannst ganz ohne Namen teilnehmen. Er wird anderen Teilnehmenden im Ranking zusammen mit Platz und Punkten angezeigt – deine E-Mail-Adresse nie. Nach der ersten Wahl kannst du ihn einmal sofort korrigieren, danach höchstens alle 72 Stunden ändern. Ganz zurückziehen kannst du einen gewählten Namen jederzeit über eine Datenschutz-Anfrage; wir entfernen ihn dann, und du erscheinst wieder als »Mitglied« – ohne Namen erscheinst du dort ohnehin als »Mitglied«. Trägt deine E-Mail-Adresse offensichtlich einen Vornamen (etwa »lena.mueller@…«), schlagen wir ihn dir im Namensfeld vor; der Vorschlag wird nicht gespeichert, nur dir angezeigt und erst veröffentlicht, wenn du ihn speicherst. Die Namen des Lonvie-Startfelds im Ranking sind erfunden und gehören zu keiner Person. Beim Start fragen wir außerdem, was dich interessiert und was du am ehesten nutzen würdest; die Angaben sind freiwillig, wir speichern sie zu deinem Eintrag, um das Angebot zu planen, und löschen sie mit deinem Wartelisten-Eintrag. [VORNAME UND ONBOARDING-ANGABEN RECHTLICH PRÜFEN]
Tages-Challenge. Jeden Tag gibt es eine kleine Aufgabe (etwa »Entweder oder« oder eine Frage zu Hamburg). Wenn du antwortest, speichern wir dein Konto, den Tag, die Aufgabe, deine gewählte Antwort und die dafür vergebenen Punkte. Diese Antworten bewahren wir am Tag der Antwort und am Folgetag auf (Berliner Zeit). Danach werden sie gelöscht, spätestens mit dem ersten Abruf der Tages-Challenge an einem späteren Tag; ruft an einem Tag niemand die Challenge ab, bleiben sie bis zum nächsten Abruf gespeichert. Die Punkte bleiben – ohne die gewählte Antwort – in deinem Punktekonto, bis dein Eintrag gelöscht wird. Wer selbst geantwortet hat, sieht ab 20 Antworten, wie die Community insgesamt gewählt hat – nur gerundet (in 5-%-Schritten, die Anzahl nur als Stufe wie »50+«) und ohne Bezug zu einzelnen Personen.
Zum Schutz vor Missbrauch (automatisierte Anmeldungen, das Ausprobieren von Codes, mehrfach gezählte Empfehlungen) verarbeiten wir zusätzlich: eine gesalzene Prüfsumme deiner IP-Adresse (bei IPv6 des Anschlussbereichs) und deiner E-Mail-Adresse zur Begrenzung von Anfragen (gezählt in Fenstern von 15 bis 60 Minuten; die Zähler werden nach etwa einem Tag gelöscht), sowie eine mit einem geheimen Schlüssel gebildete Prüfsumme deiner E-Mail-Adresse, damit ein Postfach nur einmal als Empfehlung zählt. Diese Prüfsumme bleibt auch nach einer Löschung deines Wartelisten-Eintrags bestehen, damit eine erneute Anmeldung nicht erneut als Empfehlung gezählt wird. Vor dem Absenden prüft Cloudflare Turnstile, ob die Anfrage von einem Menschen stammt; dabei verarbeitet Cloudflare technische Daten deines Browsers.
Solange du angemeldet bist, setzen wir technisch notwendige, für Skripte nicht lesbare Cookies für die Sitzung (sb-wl-access, sb-wl-refresh), einen Cookie mit der gerade eingegebenen Adresse – und, falls du über einen Empfehlungslink gekommen bist, dessen Code – für die Dauer der Code-Eingabe (wl-ausstehend, höchstens zehn Minuten) und einen Cookie für die Begrüßung direkt nach dem Beitritt (wl-willkommen, zwei Minuten) sowie bei der Anmeldung über Google/Apple wl-pkce (siehe oben). Auf lonvie.app tragen diese Cookies die Vorsilbe __Host- (etwa __Host-sb-wl-access). Hältst du die Bewegung des Hintergrundbilds über »Bewegung anhalten« an, merken wir uns das in einem Cookie (lonvie-bewegung, ein Jahr), den du mit »Bewegung fortsetzen« wieder entfernst; er enthält nur diese Einstellung.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Teilnahme an der Warteliste einschließlich Tages-Challenge und – auf deinen Wunsch – der Anmeldung über Google oder Apple) sowie Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch und faire Vergabe der Plätze). Austragen und Löschen kannst du jederzeit über die Datenschutz-Anfrage verlangen. [RECHTLICHE PRÜFUNG VOR DEM START]
12. Karten und Adressvervollständigung
Eine Karten- und Adressvervollständigungsfunktion (Google Maps / Google Places) ist derzeit nicht aktiv und wird auf der Website nicht geladen. Vor einer Aktivierung werden diese Erklärung um einen eigenen Abschnitt und – soweit erforderlich – um einen Einwilligungsmechanismus ergänzt sowie der Drittlandtransfer bewertet.
13. Externe Links (App Store u. a.)
Die Website verlinkt auf externe Angebote, etwa den App Store. Beim Anklicken gelten die Datenschutzhinweise des jeweiligen Anbieters; auf deren Verarbeitung haben wir keinen Einfluss.
14. Speicherdauer
Wir speichern personenbezogene Daten für die Dauer, die zur Bearbeitung des jeweiligen Anliegens erforderlich ist, sowie im Rahmen gesetzlicher Aufbewahrungspflichten. Konkrete Löschfristen für Partner-Anfragen und Wartelisten-Einträge werden als interne Richtlinie festgelegt: [KONKRETE LÖSCH-/AUFBEWAHRUNGSFRISTEN — OFFENE ENTSCHEIDUNG].
15. Deine Rechte
Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).
Zudem besteht ein Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO), etwa der für den Sitz des Verantwortlichen zuständigen Landesdatenschutzbehörde. Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.