Datenschutzerklärung

Verantwortlicher und Datenschutzkontakt

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und, soweit anwendbar, des Schweizer Datenschutzgesetzes (DSG) ist:

Unsere Datenschutzbeauftragte ist Bettina Reifmessner. Sie ist für Datenschutzanfragen unter datenschutz@mail.meineluna.com erreichbar. Allgemeine Supportanfragen richten sich bitte an support@mail.meineluna.com. Der WhatsApp-Chat mit LUNA ist kein offizieller Kanal für Support- oder Datenschutzanfragen.

Worum es bei LUNA geht

LUNA ist ein KI-gestützter Begleitdienst für volljährige Nutzerinnen und Nutzer in Österreich, Deutschland und der Schweiz. Der Dienst wird über die WhatsApp Business Platform bereitgestellt. Du kannst Text- und Sprachnachrichten senden; Sprachnachrichten werden automatisiert transkribiert. LUNA antwortet in Textform.

Du kommunizierst mit einem System künstlicher Intelligenz und nicht mit einem Menschen. LUNA ist kein medizinischer, psychotherapeutischer oder sonstiger professioneller Beratungs- oder Notfalldienst.

Deine Gesprächsinhalte verwenden wir zur Erbringung, Personalisierung und Absicherung des Dienstes. Wir geben sie nicht zu Werbezwecken an Dritte weiter und verwenden sie nicht, um eigene oder allgemeine KI-Modelle zu trainieren. Die technisch erforderliche Verarbeitung durch unsere Dienstleister ist in den Abschnitten 6 bis 10 beschrieben.

Welche Daten wir verarbeiten

Zwecke und Rechtsgrundlagen

• Vertragserfüllung – Art. 6 Abs. 1 lit. b DSGVO: Registrierung, Bereitstellung und Personalisierung von LUNA, Kommunikation, Transkription, Abrechnung, Vertragsverwaltung und Support.
• Einwilligung – Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO: freiwillige Verarbeitung besonderer Kategorien personenbezogener Daten, Marketing sowie optionale Analyse- und Werbetechnologien.
• Berechtigte Interessen – Art. 6 Abs. 1 lit. f DSGVO: IT-Sicherheit, Missbrauchs- und Betrugsprävention, Fehleranalyse, Stabilität des Dienstes und datensparsame Reichweitenmessung. Unsere Interessen bestehen im sicheren und wirtschaftlichen Betrieb sowie in der Verbesserung unseres Angebots.
• Rechtliche Verpflichtungen – Art. 6 Abs. 1 lit. c DSGVO: insbesondere steuer-, unternehmens- und handelsrechtliche Dokumentations- und Aufbewahrungspflichten.

Soweit Schweizer Datenschutzrecht anwendbar ist, bearbeiten wir Personendaten nach den entsprechenden Grundsätzen und Rechtfertigungsgründen des Schweizer DSG.

Gesundheitsdaten und andere besonders sensible Angaben

Wenn du freiwillig Angaben etwa zu Menstruationszyklus, hormonellem Status, Beschwerden, Medikation, Schwangerschaft, Gewicht, Ernährung oder deinem seelischen Wohlbefinden machst, können dies Gesundheitsdaten im Sinne von Art. 9 DSGVO sein.

Vor der Verarbeitung solcher Angaben im Onboarding und in deinen Gesprächen mit LUNA holen wir eine ausdrückliche, von AGB und Marketing getrennte Einwilligung ein. Die Einwilligung ist freiwillig. Ohne sie werden sensible Onboarding-Bereiche übersprungen; alle übrigen Funktionen von LUNA bleiben nutzbar. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft über datenschutz@mail.meineluna.com widerrufen. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

Auf deinen Löschungswunsch löschen wir dein vollständiges LUNA-Datenprofil. Eine verlässliche Löschung nur einzelner gesundheitsbezogener Inhalte ist wegen der Zusammenhänge zwischen Gesprächen, Erinnerungen und Zusammenfassungen nicht möglich.

KI-Verarbeitung und Transkription

Zur Transkription, Einordnung und Beantwortung von Nachrichten nutzen wir derzeit Unternehmens- und API-Dienste von Google (Gemini) und Anthropic (Claude). Soweit diese Anbieter personenbezogene Daten in unserem Auftrag verarbeiten, sind sie vertraglich an unsere Weisungen gebunden. Dabei werden nur die für die jeweilige Aufgabe erforderlichen Nachrichteninhalte, Gesprächszusammenhänge und gegebenenfalls relevante Erinnerungen übermittelt. Deine Telefonnummer und deine direkten Kontaktdaten werden nicht als Bestandteil der KI-Anfrage übermittelt.

Wir verwenden vertraglich abgesicherte API-Zugänge, bei denen Eingaben und Antworten nicht zum Training der allgemeinen KI-Modelle verwendet werden. Eine kurzzeitige Speicherung durch Anbieter kann dennoch zur Missbrauchs- und Sicherheitsprüfung, zur Fehleranalyse oder aufgrund gesetzlicher Pflichten erfolgen. Bei Anthropic gilt derzeit die Standardaufbewahrung für kommerzielle API-Nutzung von grundsätzlich bis zu 30 Tagen. Eine vollständige „Zero Data Retention“ ist derzeit nicht eingerichtet.

Wir dürfen eingesetzte Modelle oder Anbieter austauschen, wenn dies für Qualität, Verfügbarkeit oder Wirtschaftlichkeit sinnvoll ist. Dazu kann künftig auch ein Unternehmens-/API-Dienst von OpenAI gehören. Vor dem erstmaligen Einsatz prüfen wir Datenschutzvertrag, Übermittlungsgrundlage und Sicherheitsmaßnahmen und aktualisieren diese Erklärung, wenn sich die Verarbeitung wesentlich ändert.

Automatisierte Sicherheitsklassifizierung

Eingehende Nachrichten werden automatisiert eingeordnet, beispielsweise als normale Nachricht, sensibles Thema oder mögliche akute Krise. Bei erkannten Krisensituationen kann LUNA statt einer frei generierten Antwort standardisierte Hinweise auf professionelle Hilfsangebote ausspielen. Diese Einordnung dient ausschließlich deiner Sicherheit und der Qualitätssicherung und hat keine rechtliche oder vergleichbar erhebliche Wirkung im Sinne von Art. 22 DSGVO.

Websuche und astrologische Berechnungen

Tavily-Websuche

Wenn eine aktuelle Webrecherche für deine Anfrage erforderlich ist, kann LUNA eine daraus abgeleitete, möglichst datensparsame Suchanfrage an AlphaAI Technologies Inc. d/b/a Tavily in den USA übermitteln. Direkte Identifikatoren sollen dabei nicht Bestandteil der Suchanfrage sein. Tavily kann zur Ergebnisbereitstellung weitere Suchindex-Anbieter einsetzen. Mit Tavily besteht ein Vertrag zur Auftragsverarbeitung; Drittlandübermittlungen werden durch geeignete Garantien abgesichert.

Astrology API

Für optionale astrologische Funktionen übermitteln wir Geburtsdatum, Geburtszeit und Geburtsort ohne Namen oder Kontaktdaten an Procoders OÜ in Estland. Diese Daten sind pseudonymisiert, können aber dennoch personenbezogen sein. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung.

Empfänger und Dienstleister

Mit den als Auftragsverarbeiter eingesetzten Dienstleistern bestehen Verträge gemäß Art. 28 DSGVO. Darüber hinaus erhalten Behörden, Gerichte, Steuerberatung oder andere zur Berufsverschwiegenheit verpflichtete Stellen Daten nur, soweit dies erforderlich oder gesetzlich vorgeschrieben ist.

Datenübermittlungen in Drittländer

Einige Dienstleister verarbeiten Daten in den USA oder ermöglichen dort einen Zugriff. Soweit kein angemessenes Datenschutzniveau durch einen Angemessenheitsbeschluss besteht, verwenden wir insbesondere die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO und ergänzende technische sowie organisatorische Maßnahmen. Soweit ein Anbieter wirksam nach dem EU–U.S. Data Privacy Framework zertifiziert ist, kann die Übermittlung zusätzlich auf den Angemessenheitsbeschluss der Europäischen Kommission gestützt werden.

Eine Kopie der maßgeblichen Garantien kannst du unter datenschutz@mail.meineluna.com anfordern.

Speicherdauer und Löschung

• Chatnachrichten in unserer Datenbank: 30 Tage.
• Erinnerungen, Zusammenfassungen und Profil: während des aktiven Vertrags; Löschung spätestens 30 Tage nach Vertragsende oder früher auf Löschungsantrag.
• Hetzner-Backups: rollierende Sicherungen für sieben Tage. Bereits aus aktiven Systemen gelöschte Daten können bis zum automatischen Überschreiben noch in verschlüsselten Sicherungen vorhanden sein und werden nur zur Wiederherstellung nach einem technischen Ausfall verwendet.
• CRM- und Kontaktdaten: während der Vertragsanbahnung und Vertragsbeziehung. Bei einem vollständigen Löschungsantrag werden diese auch aus HighLevel gelöscht, soweit keine gesetzlichen Pflichten oder zwingenden Rechtsansprüche entgegenstehen.
• Anmelde- und Einwilligungsnachweise: solange sie für die Vertragsabwicklung, den Nachweis einer Einwilligung oder die Abwehr und Durchsetzung von Rechtsansprüchen erforderlich sind. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
• Nachweis der Testphasennutzung: Aus der normalisierten WhatsApp-Nummer bilden wir mit einem geheimen Schlüssel einen nicht rückrechenbaren HMAC-Prüfwert. Die Telefonnummer selbst wird in diesem Nachweis nicht gespeichert. Prüfwert und Zeitpunkt der erstmaligen Testnutzung speichern wir zur Missbrauchsprävention grundsätzlich drei Jahre und löschen sie danach. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und wirtschaftlichen Betrieb gemäß Art. 6 Abs. 1 lit. f DSGVO. Bei einer nachweislich neu vergebenen Telefonnummer kann unser Support den Nachweis prüfen und berichtigen.
• Rechnungs- und Buchhaltungsunterlagen: entsprechend den gesetzlichen Aufbewahrungspflichten, regelmäßig sieben Jahre.
• Website-Reichweitenmessung: grundsätzlich höchstens zwölf Monate; anschließend Löschung oder Aggregation.

Nach Ablauf der jeweiligen Frist werden Daten gelöscht oder so anonymisiert, dass sie keiner Person mehr zugeordnet werden können.

Kontolöschung, Widerruf und Support

Eine Löschung kannst du jederzeit per E-Mail an datenschutz@mail.meineluna.com und künftig zusätzlich über unser Kundenportal verlangen. Wir löschen dein vollständiges LUNA-Konto einschließlich Chat-, Erinnerungs-, Profil- und operativer CRM-Daten grundsätzlich unverzüglich, spätestens innerhalb der gesetzlichen Bearbeitungsfrist. Gesetzlich aufzubewahrende Unterlagen werden gesperrt und nur noch für den vorgeschriebenen Zweck verarbeitet.

LUNA kann im WhatsApp-Chat allgemeine Hinweise geben, etwa wo eine Kündigung möglich ist. Datenschutzanfragen, Kontolöschungen und individueller Support werden jedoch ausschließlich per E-Mail oder – sobald verfügbar – über das Kundenportal bearbeitet. Das Löschen eines Chats auf deinem eigenen Gerät löscht nicht automatisch die bei uns gespeicherten Daten; umgekehrt können wir Nachrichten auf deinem Gerät nicht löschen.

WhatsApp

LUNA wird direkt über die WhatsApp Business Platform von Meta bereitgestellt. Dabei verarbeitet Meta unter anderem Telefonnummern, Nachrichten-Metadaten, Zustellinformationen und technische Daten. Nachrichten werden zur Bearbeitung an unsere Systeme übermittelt. Für die eigenständige Nutzung von WhatsApp, die Speicherung auf deinem Gerät und weitere Verarbeitung durch Meta gelten ergänzend die Datenschutzhinweise von WhatsApp.

Wenn du die Kommunikation mit LUNA beendest, bleiben Nachrichten in deinem persönlichen WhatsApp-Verlauf bestehen, bis du sie dort selbst löschst. Dies ist unabhängig von der Löschung in unseren Systemen.

Website, Formulare und notwendige Technik

Serverzugriff

Beim Aufruf von meineluna.com werden technisch erforderliche Daten wie IP-Adresse, Zeitpunkt, angeforderte Seite, Browser- und Betriebssysteminformationen verarbeitet, um die Website auszuliefern und Angriffe oder Fehler zu erkennen. Die Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Webangebot gemäß Art. 6 Abs. 1 lit. f DSGVO.

Datensparsame Reichweitenmessung

Wir erfassen Seitenaufrufe sowie Klicks auf Anmeldebuttons mit einer zufälligen Sitzungskennung. Hinzukommen Seitenpfad, Geräteklasse, Referrer-Domain und gegebenenfalls Kampagnenparameter. Dabei werden keine Namen, E-Mail-Adressen, Telefonnummern oder Fingerprints gespeichert. Die Messung dient der technischen und wirtschaftlichen Auswertung unseres Angebots auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Die Sitzungskennung liegt nur im Session Storage deines Browsers und wird beim Schließen der Browsersitzung verworfen.

LUNA-Anmeldeformular, HighLevel und E-Mail

Unser Anmelde- und Tarifwahlprozess erfasst zunächst Vorname, Nachname, E-Mail-Adresse und WhatsApp-Nummer. Unmittelbar vor dem kostenpflichtigen Abschluss bestätigst du die Vertrags- und Datenschutzinformationen. Nur wenn du sie freiwillig auswählst, erfassen wir außerdem deine Marketing-Einwilligung. Unser Server übermittelt die Kontaktdaten verschlüsselt an HighLevel/LeadConnector, wo der CRM-Kontakt für Vertragsanbahnung, Onboarding und Vertragskommunikation angelegt oder aktualisiert wird. Den technischen Nachweis deiner Erklärungen speichern wir mit Zeitpunkt, Dokumentversion, gewähltem Tarif und der HighLevel-Kontaktkennung in unseren Systemen. Zahlungsdaten gibst du ausschließlich bei Stripe ein.

Empfehlungs- und Partner-Links

Wenn du über den Empfehlungslink einer Partnerin oder eines Partners zu uns kommst (Adresszusatz ?ref= bzw. ?affiliate=), speichern wir den zugehörigen Partner-Code in einem technisch notwendigen, signierten Erst-Anbieter-Cookie (luna_ref, Laufzeit bis zu 90 Tage). Er dient ausschließlich dazu, eine spätere Anmeldung der vermittelnden Partnerin korrekt zuzuordnen und die vertraglich vereinbarte Vergütung abzurechnen. Es werden dabei keine Namen, Kontaktdaten oder geräteübergreifenden Kennungen verarbeitet, und Partner:innen erhalten ausschließlich anonymisierte, zusammengefasste Auswertungen – keine personenbezogenen Kundendaten. Rechtsgrundlage ist unser berechtigtes Interesse an einer korrekten Vermittlungsabrechnung gemäß Art. 6 Abs. 1 lit. f DSGVO.

Google Tag Manager, Meta Pixel und Hotjar

Wir setzen die folgenden optionalen Technologien ausschließlich ein, nachdem du über das Consent-Banner eingewilligt hast. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit den anwendbaren Telekommunikations- und Cookie-Vorschriften. Ohne Einwilligung werden diese Dienste nicht geladen. Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Google Tag Manager

Der Google Tag Manager von Google dient der kontrollierten Einbindung anderer Website-Tags. Er kann technische Verbindungsdaten wie die IP-Adresse verarbeiten. Welche weiteren Daten verarbeitet werden, hängt von den über ihn aktivierten Diensten ab; auch diese werden durch unsere Einwilligungssteuerung blockiert.

Meta Pixel

Der Meta Pixel von Meta Platforms Ireland Ltd. hilft uns, die Wirkung von Anzeigen zu messen, Zielgruppen zu bilden und Handlungen auf unserer Website Anzeigen zuzuordnen. Dabei können unter anderem URL, Zeitstempel, Browserdaten, Geräteinformationen, IP-Adresse, Cookie- und Werbekennungen sowie Interaktionsdaten an Meta übermittelt und mit einem bestehenden Meta-Konto verknüpft werden. Meta kann Daten auch für eigene Zwecke verarbeiten.

Hotjar

Hotjar von Hotjar Ltd., Malta, hilft uns zu verstehen, wie die Website genutzt wird, beispielsweise anhand von Klicks, Scrollbewegungen, Geräte- und Browserinformationen sowie anonymisierten oder pseudonymisierten Sitzungsdaten. Eingabefelder und sensible Inhalte werden von Aufzeichnungen ausgeschlossen bzw. maskiert. Hotjar darf erst nach deiner Einwilligung Daten erfassen.

Weitere Informationen findest du in den Datenschutzhinweisen von Google, Meta und Hotjar.

Newsletter und Direktmarketing

Werbliche Nachrichten per E-Mail oder WhatsApp senden wir nur nach einer gesonderten Einwilligung. Du kannst diese jederzeit über den Abmeldelink, die dort beschriebene Abmeldemöglichkeit oder per E-Mail widerrufen. Nach Ablauf des 24-Stunden-Fensters der WhatsApp Business Platform verwenden wir für werbliche Nachrichten ausschließlich von Meta genehmigte Nachrichtenvorlagen. Vertrags-, Sicherheits- und Servicenachrichten, die für die Nutzung von LUNA erforderlich sind, sind davon unabhängig.

Deine Datenschutzrechte

Nach Maßgabe der gesetzlichen Voraussetzungen hast du insbesondere das Recht auf:

• Auskunft über deine personenbezogenen Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO) und
• jederzeitigen Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Schreib dazu an datenschutz@mail.meineluna.com. Zur Vermeidung unberechtigter Zugriffe können wir einen geeigneten Identitätsnachweis verlangen. Wir beantworten Anfragen ohne unangemessene Verzögerung und grundsätzlich innerhalb eines Monats.

Beschwerderecht

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere bei der für deinen Wohnort oder unseren Sitz zuständigen Behörde:

• Österreich: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb.gv.at
• Deutschland: die Datenschutzaufsichtsbehörde deines Bundeslandes
• Schweiz: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, edoeb.admin.ch

Datensicherheit

Wir setzen angemessene technische und organisatorische Maßnahmen ein. Dazu gehören insbesondere Transportverschlüsselung (TLS), verschlüsselte oder zugriffsgeschützte Speicherung, rollenbasierte Zugriffsrechte nach dem Need-to-know-Prinzip, Protokollierung sicherheitsrelevanter Vorgänge, getrennte Systemzugänge und regelmäßige Sicherungen. Die Übermittlung von WhatsApp-Nachrichten erfolgt nach den Sicherheitsstandards der WhatsApp Business Platform. Unsere Kernsysteme und Backups werden derzeit auf Hetzner-Infrastruktur in Nürnberg, Deutschland, betrieben.

Kein digitales System kann absolute Sicherheit garantieren. Wir überprüfen und verbessern unsere Maßnahmen deshalb fortlaufend entsprechend Risiko und Stand der Technik.

Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst, eingesetzte Anbieter oder die Rechtslage ändern. Es gilt die auf meineluna.com veröffentlichte Fassung. Über wesentliche Änderungen, die deine Rechte oder die Art der Verarbeitung betreffen, informieren wir dich in geeigneter Weise.