1. Datenarten
Sosta Talents verarbeitet folgende Daten:
- Konto-Daten: E-Mail, gehashter Magic-Link-Code, bevorzugte Sprache, Zeitstempel der Einwilligung
- Profil-Daten: Anzeigename, Bio, Sprachen, Setcard-Bilder
- Verfügbarkeits-Daten: Zeitfenster, Reise-Stops, Anfragen an Etablissements, Buchungen
- Besondere Kategorien (Art. 9): Daten zur sexuellen Orientierung / zum sexuellen Leben, Gesundheitsdaten, biometrische Daten
- Technische Daten: IP-Adresse (gehasht im Audit-Log nach Hard-Delete), User-Agent, Push-Subscription-Endpoints
2. Rechtsgrundlage (Art. 9 DSGVO)
Die Verarbeitung der besonderen Kategorien personenbezogener Daten erfolgt ausschließlich auf Basis Deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Diese Einwilligung wird im Onboarding explizit erteilt und mit Version und Zeitstempel dokumentiert.
Du kannst Deine Einwilligung jederzeit widerrufen — der Widerruf führt zur Hard-Delete-Pipeline (siehe Abschnitt 6).
3. Cookies und Reichweitenmessung
Sosta setzt nur technisch notwendige Cookies (z. B. zur Anmeldung und Sprachwahl) ein. Es werden keine Werbe- oder Tracking-Cookies verwendet; daher ist kein Cookie-Banner erforderlich (§ 25 Abs. 2 TDDDG). Die Reichweitenmessung erfolgt cookielos und ohne personenbezogene Profile (Umami, selbst betrieben auf EU-Infrastruktur).
4. Auftragsverarbeiter
Wir setzen folgende Auftragsverarbeiter ein — alle mit Sitz bzw. Verarbeitung in der EU/EWR oder, bei Drittland, mit geeigneter Transfer-Grundlage:
- Hostinger Operations UAB — Anwendungs- und Datenbank-Hosting. Litauen (EU); Verarbeitung in der EU.
- MinIO (selbst betrieben) — Objekt-Storage für Bilder (Setcard-/Profil-Fotos). Eigene EU-Infrastruktur; Verarbeitung in der EU, kein Drittland-Transfer.
- Contabo GmbH — Verschlüsselte Backup-Speicherung. Deutschland (EU); Verarbeitung in der EU.
- Plus Five Five, Inc. (»Resend«) — Transaktionale E-Mail-Zustellung. USA; EU-US Data Privacy Framework; EU-Standardvertragsklauseln (SCC Modul 2) als Auffanglösung.
- Mapbox — Karten-Vorschaubilder (Stadt-Hero, Tourenplanung-Vorschau) sowie Auflösung von Ortssuchen und gerundeten Standort-Koordinaten zu Ortsnamen (Geocoding). USA; EU-US Data Privacy Framework mit SCC Modul 2 als Auffanglösung. Geocoding-Anfragen laufen server-seitig über api.sosta.app (keine Endnutzer-IP), Koordinaten vorab auf ~1,1 km gerundet. Die statischen Karten-Vorschaubilder lädt der Browser direkt von api.mapbox.com — dabei wird die Endnutzer-IP übermittelt.
- CARTO — Basemap-Kacheln der interaktiven Verzeichnis- und Talents-Karte. USA / Spanien; EU-Standardvertragsklauseln (SCC).
- OpenStreetMap Foundation (»Nominatim«) — Server-seitige Umwandlung von Etablissement-Adressen in Koordinaten (Geocoding) und umgekehrt. Vereinigtes Königreich; Angemessenheitsbeschluss der EU-Kommission für das Vereinigte Königreich; ausschließlich Server-zu-Server, keine Endnutzer-Daten und keine Endnutzer-IP.
- Umami (selbst betrieben) — Cookielose Reichweiten-Statistik. Eigene EU-Infrastruktur (analytics.alpin-code.de); Verarbeitung in der EU, kein Drittland-Transfer, keine personenbezogenen Profile.
- seven communications GmbH (»seven.io«) — SMS-Versand zur Telefon-Verifizierung (Worker-OTP). Düsseldorf, Deutschland (EU); Verarbeitung in der EU.
- GlitchTip (selbst betrieben) — Technisches Fehler-Monitoring (PII-bereinigt). Eigene EU-Infrastruktur; Verarbeitung in der EU, kein Drittland-Transfer.
- Push-Notifications: Web-Push-Protokoll über den Browser-Anbieter (Apple / Google / Mozilla) — Standard-Web-API.
Der jeweils aktuelle Stand ist transparent unter sosta.app/glass einsehbar.
5. Aufbewahrungsfristen
Daten werden gespeichert, solange Dein Account aktiv ist. Bei Hard-Delete:
- DB-Records: sofortige Löschung
- Bilder im Objekt-Storage: Cascade-Delete inkl. Haus-Kopien
- Audit-Log: bleibt erhalten, Personenbezug wird gehasht
- Backups: Aufbewahrung maximal 30 Tage, danach Rotation
Datenbank-Backups laufen täglich, verschlüsselt, in der EU.
6. Deine Rechte (Art. 15–22 DSGVO)
- Art. 15 — Auskunft: Du kannst alle gespeicherten Daten als JSON-Export herunterladen (Settings → Account → Meine Daten exportieren).
- Art. 16 — Berichtigung: Profil-Felder kannst Du jederzeit selbst editieren.
- Art. 17 — Löschung: Hard-Delete via Settings → Account → Account löschen (Cooling-Off 14 Tage).
- Art. 18 — Einschränkung: Privacy-Toggles in den Profil-Settings.
- Art. 20 — Datenübertragbarkeit: strukturiertes JSON-Export-Format.
- Art. 21 — Widerspruch: jederzeit gegen die Verarbeitung.
- Beschwerderecht: bei der für uns zuständigen Landesdatenschutzbehörde.
7. EU-only Hosting
Alle Daten werden ausschließlich in der EU/EWR verarbeitet und gespeichert. Ein Drittland-Transfer findet nur mit geeigneter Transfer-Grundlage statt (siehe Auftragsverarbeiter, Abschnitt 4).
Kein Tracking durch US-Provider: keine Google Analytics, kein US-CDN, kein Karten-Zahlungsdienstleister.
8. Verantwortlicher / Kontakt
Verantwortlicher im Sinne der DSGVO:
Valerian Huber — Einzelunternehmer, handelnd unter der Geschäftsbezeichnung »Sosta«
Dahlienweg 11, 83109 Großkarolinenfeld
E-Mail: datenschutz@sosta.app