Datenschutz­erklärung

Verantwortlicher (Art. 13 Abs. 1 lit. a DSGVO)

Verantwortlich für die Verarbeitung deiner Daten ist die Buneno UG (haftungsbeschränkt), Untersbergstr. 90, 81539 München, vertreten durch den Geschäftsführer Ugur Yildirim. Du erreichst uns unter kontakt@buneno.com, weitere Angaben stehen im Impressum. Einen Datenschutzbeauftragten benennen wir, sobald wir gesetzlich dazu verpflichtet sind (Art. 37 DSGVO).

Wo deine Daten liegen

• Datenbank: Supabase (self-hosted), STRATO-Server in Berlin (DE)
• Hosting Web, Admin & API: eigener STRATO-Server in Berlin (DE)
• Clip-Videos und Vorschaubilder: Cloudflare R2, Speicherbereich mit EU-Jurisdiktion, Auslieferung über clips.buneno.com
• Fehler-Monitoring: Sentry, EU-Cloud (de.sentry.io)
• Push-Notifications: Expo Push + Apple/Google APNs/FCM
• Bezahlung: Stripe — keine Kartendaten durchlaufen unsere Server

Support und Anträge

Wenn du dich an unseren Support wendest, sieht ein kleiner Kreis von Mitarbeitenden die Daten deines Kontos, die für die Antwort nötig sind. Diese Zugriffe werden protokolliert.

Notizen

Zu deinem Konto oder zu einem Geschäft, dessen Inhaberin oder Inhaber du bist, kann der Support sachliche Notizen anlegen, also was angefragt und was getan wurde. Notizen sind reiner Text und sollen keine Daten anderer Personen enthalten. Sie stehen in deinem Datenexport, ohne den Namen der Person, die sie geschrieben hat. Wir löschen sie 3 Jahre nach dem Anlegen, früher mit deinem Konto oder mit der Löschung des Geschäfts. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Support als Teil des Dienstes) und lit. f DSGVO (nachvollziehbare Bearbeitung über längere Zeit und mehrere Mitarbeitende, Schutz vor Missbrauch).

Anträge auf Auskunft und Löschung

Zu jedem Antrag, der über den Support läuft, speichern wir Art und Anlass, Eingangstag und Frist, eine Verlängerung, den Stand, die Zeitpunkte, die Zahl der versandten Mails und wer im Support ihn angelegt hat. Solange der Antrag offen ist, speichern wir außerdem eine Prüfsumme (Hash) des Links und deiner Adresse, nie den Link oder die Adresse selbst. Wir löschen den Eintrag 3 Jahre nach Abschluss des Antrags. Wird dein Konto gelöscht, entfernen wir die Konto-ID aus dem Eintrag; der Eintrag bleibt bis zum Ende der Frist als Nachweis, dass wir den Antrag fristgerecht bearbeitet haben. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 12, 15, 17 und 20 DSGVO und mit der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

Team-Änderungen

Bittet ein Geschäft den Support um eine Änderung im Team, kann der Support Rechte sofort einschränken, eine Person aus dem Team entfernen oder eine Einladung zurückziehen. Wir informieren dazu alle Inhaberinnen und Inhaber per Mail an ihre bestätigte Konto-Adresse. Mehr Rechte, eine höhere Rolle oder ein Wechsel der Inhaberschaft wirken in der Regel erst, wenn eine bisherige Inhaberin oder ein bisheriger Inhaber das per Link bestätigt. Kann niemand mehr bestätigen, etwa weil der Zugang verloren ist, prüfen wir die Berechtigung der Person, die Inhaberin oder Inhaber werden soll, gesondert, kündigen die Änderung allen bisherigen Inhaberinnen und Inhabern per Mail an ihre Konto-Adresse an und führen sie frühestens nach 7 Tagen aus, wenn niemand widerspricht.

Dafür speichern wir das Geschäft, die betroffene Person mit ihrer Rolle vor und nach der Änderung, die bestätigende Person, den Anlass und den Stand, solange der Antrag offen ist auch eine Prüfsumme des Links und der Adresse. Wir löschen diese Angaben 3 Jahre nach Abschluss des Antrags. Wird das Konto einer beteiligten Person gelöscht, entfernen wir ihre Konto-ID aus dem Eintrag. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Teamverwaltung) und lit. f DSGVO (Schutz vor der Übernahme eines Geschäfts über den Support).

Datenübermittlung in Drittländer (Art. 13 Abs. 1 lit. f DSGVO)

Einige unserer Dienstleister sitzen außerhalb der EU/des EWR (sogenannte Drittländer, vor allem USA). Übermittlungen dorthin stützen wir auf Standardvertragsklauseln der EU-Kommission (SCCs, Durchführungsbeschluss (EU) 2021/914) und — soweit der Anbieter dort zertifiziert ist — auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (DPF). Den jeweils aktuellen DPF-Zertifizierungsstatus prüfen wir vor Vertragsschluss und fortlaufend.

• Stripe (USA) — Zahlungsabwicklung. SCCs; DPF-Zertifizierung wird geprüft. Übermittelt: E-Mail, Zahlungs-Metadaten.
• Resend (USA): Versand von System-E-Mails, etwa Anmelde-Codes, Bescheide, Links zur Bestätigung einer Auskunft, einer Löschung oder einer Team-Änderung und Mitteilungen an Inhaberinnen und Inhaber eines Geschäfts. SCCs. Übermittelt: E-Mail-Adresse, Inhalt der Mail (bei Bestätigungen ein Einmal-Link, der 72 Stunden gilt) und Versand-Metadaten. Klick- und Öffnungs-Tracking ist ausgeschaltet.
• Expo (EAS) (USA) — App-Builds + Push-Versand. SCCs. Übermittelt: Push-Token, Titel und Text der Mitteilung sowie ein App-Link; für App-Builds Build-Artefakte.
• Apple / Google (USA) — Push-Zustellung (APNs/FCM) + App-Store-Distribution. SCCs; soweit dort zertifiziert, zusätzlich DPF (Status wird geprüft). Übermittelt: Push-Token.
• Anthropic (USA) — KI-Funktionen. SCCs. Anfragen laufen ausschließlich über unsere Server; wir übermitteln keine Kontodaten.
• Cloudflare (USA) — Speicherung der Clip-Videos in einem Speicherbereich mit EU-Jurisdiktion und Auslieferung über clips.buneno.com; beim Abspielen verarbeitet Cloudflare technisch bedingt deine IP-Adresse und kann das Video vorübergehend (einige Stunden) in seinem Netz zwischenspeichern; auch dein Gerät kann eine Kopie zwischenspeichern. Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln (Cloudflare Customer DPA); DPF-Zertifizierung wird geprüft. Außerdem DNS für unsere Domain.

Kein Drittland-Transfer: Sentry (EU-Region, de.sentry.io), Supabase-Datenbank und Backend (STRATO, Berlin) verarbeiten in Deutschland bzw. der EU. Für das Vereinigte Königreich (UK) besteht ein Angemessenheitsbeschluss der EU-Kommission; für die USA gilt: nur via SCCs oder DPF-Zertifizierung.

Mindestalter (Art. 8 DSGVO)

Buneno richtet sich an Personen ab 16 Jahren. Bei der Registrierung bestätigst du, dass du mindestens 16 Jahre alt bist — wir speichern den Zeitpunkt dieser Bestätigung als Nachweis. Ein Geburtsdatum fragen wir bewusst nicht ab (Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO). Unter 16 Jahren ist eine Nutzung nur mit Einwilligung der Erziehungsberechtigten zulässig; ein solches Einwilligungsverfahren bieten wir derzeit nicht an.

Was wir nicht tun

• Kein Tracking durch Drittparteien
• Keine Werbung-Ads-Cookies
• Keine Datenverkäufe
• Kein Profiling außerhalb unserer App-Features

Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77), zum Beispiel beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

Am schnellsten geht es in der App: Als Kundin oder Kunde exportierst du deine Daten im Profil und löschst dort auch dein Konto. Als Inhaberin oder Inhaber eines Geschäfts löschst du dein Konto im Profil; deine Auskunft bekommst du, wenn du uns schreibst. Du kannst uns immer auch formlos schreiben, an kontakt@buneno.com oder auf jedem anderen Weg.

So schützen wir dich, wenn du uns schreibst: Wir schicken dir einen Link an die bestätigte E-Mail-Adresse deines Kontos, nie an eine andere Adresse. Der Link gilt 72 Stunden und nur einmal. Auf deine Anfrage hin entsteht deine Auskunft oder wird dein Konto erst gelöscht, wenn du den Link öffnest und bestätigst. Hast du nichts angefragt, wähle auf der Seite „Das war ich nicht“. Dann ziehen wir die Anfrage zurück und prüfen den Vorgang. Wir fragen dich weder per Mail noch am Telefon nach deinem Passwort oder einem Code.

Wir antworten unverzüglich, spätestens innerhalb eines Monats nach Eingang deiner Anfrage. Ist sie umfangreich oder erreichen uns gerade viele Anfragen, können wir die Frist um bis zu zwei Monate verlängern. Das teilen wir dir innerhalb des ersten Monats mit Grund mit.

Widerspruchsrecht (Art. 21 DSGVO)

Du hast das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit gegen Verarbeitungen zu widersprechen, die auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) beruhen. Gegen Direktwerbung kannst du jederzeit ohne Angabe von Gründen widersprechen (Art. 21 Abs. 2 DSGVO). Schreib uns dafür an kontakt@buneno.com. Wir verarbeiten dann nicht weiter, es sei denn, es liegen zwingende schutzwürdige Gründe vor.