Kurzfassung
Hypnuio ist ein Angebot aus der Schweiz. Weil wir uns auch an Nutzer:innen in Deutschland und Österreich richten, wenden wir sowohl das Schweizer Datenschutzgesetz (nDSG) als auch — soweit anwendbar — die europäische Datenschutz-Grundverordnung (DSGVO) an. Wir erheben nur die Daten, die für Konto, App-Funktionen und Abo-Verwaltung nötig sind, verkaufen keine Daten an Dritte und setzen bevorzugt Dienstleister mit Serverstandort in der EU/Schweiz ein.
1. Verantwortliche Stelle
Peter Amrein
Kastanienbaumstr. 66, 6048 Horw, Kanton Luzern, Schweiz
E-Mail: datenschutz@hypnuio.com
2. Anwendbares Recht
- Für Nutzer:innen mit Wohnsitz in der Schweiz gilt primär das Schweizer Datenschutzgesetz (nDSG).
- Für Nutzer:innen mit Wohnsitz in der EU (insb. Deutschland, Österreich) gilt zusätzlich die DSGVO, da wir aktiv Dienstleistungen an sie richten (Art. 3 Abs. 2 DSGVO).
Die inhaltlichen Anforderungen beider Regelwerke überschneiden sich stark; wo es relevante Unterschiede gibt, weisen wir das unten gesondert aus.
3. Welche Daten wir verarbeiten und wofür
| Datenkategorie | Zweck | Rechtsgrundlage (DSGVO) / Grundsatz (nDSG) |
|---|---|---|
| E-Mail-Adresse, Passwort-Hash, Registrierungszeitpunkt | Kontoerstellung, Login | Vertragserfüllung (Art. 6 Abs. 1 lit. b) |
| Zuletzt gehörte Sessions, Favoriten, Wiedergabefortschritt | App-Kernfunktionen | Vertragserfüllung |
| Abo-Status, Zahlungsreferenz | Abo-Verwaltung, Rechnungsstellung | Vertragserfüllung; gesetzliche Aufbewahrung (Art. 6 Abs. 1 lit. c) |
| IP-Adresse, Geräte-/Browserdaten, Log-Daten | Betriebssicherheit, Fehleranalyse | Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) |
| Optionale Nutzungsstatistiken (aggregiert/pseudonymisiert) | Produktverbesserung | Einwilligung oder berechtigtes Interesse, je nach Tool |
| Kontaktanfragen | Support, Beantwortung | Vertragsanbahnung / berechtigtes Interesse |
Nach Schweizer nDSG gilt ergänzend der Grundsatz der Datenbearbeitung nach Treu und Glauben und Verhältnismässigkeit — eine explizite Rechtsgrundlage wie im DSGVO-Katalog ist dafür nicht zwingend erforderlich, wird hier aber aus Gründen der Klarheit für beide Rechtsordnungen einheitlich ausgewiesen.
4. Eingesetzte Dienstleister (Auftragsbearbeiter / Auftragsverarbeiter)
Hosting (Website/PWA): Vercel Inc., Region Frankfurt (fra1).
Backend, Authentifizierung, Datei-Storage: Supabase, Serverregion Zürich (eu-central-2).
Zahlungsabwicklung: Stripe — verarbeitet Zahlungsdaten als eigenständig Verantwortlicher. Details: stripe.com/privacy
Nutzungs-Analytics: PostHog (in Planung — Einführung geplant ab höherem Nutzerstand gemäss interner Analytics-Planung; Ereigniskatalog wird bei Einführung hier ergänzt).
E-Mail-Versand: Novatrend (Schweiz).
Automatisierung: n8n Cloud (n8n GmbH, Berlin), Region EU. Wird u. a. für die Verarbeitung von Stripe-Zahlungsereignissen (Abo-Status-Synchronisation mit Supabase) eingesetzt, sofern dabei personenbezogene Daten (z. B. E-Mail-Adresse, Abo-Status) verarbeitet werden.
5. Cookies und ähnliche Technologien
Technisch notwendige Speichertechnologien (z. B. Login-Status) setzen wir ohne gesonderte Einwilligung ein. Für optionale Analyse-Cookies holen wir vorab eine Einwilligung ein (Consent-Banner), sofern wir sie einsetzen.
6. Datenübermittlung ins Ausland
Da wir teils Dienstleister mit Serverstandorten ausserhalb der Schweiz/EU nutzen können (insbesondere Stripe), stellen wir den Schutz durch geeignete Garantien sicher — insbesondere durch die Standardvertragsklauseln der EU-Kommission, ergänzt um die vom Schweizer EDÖB anerkannten Zusatzklauseln für Übermittlungen aus der Schweiz, oder durch eine Angemessenheitsentscheidung (z. B. EU-US Data Privacy Framework, soweit der jeweilige Anbieter zertifiziert ist). Vercel (Frankfurt) und Supabase (Zürich) sind bewusst auf europäische Serverstandorte gelegt, um diese Frage möglichst gering zu halten.
7. Aufbewahrungsdauer
Wir speichern Daten nur so lange, wie es für den jeweiligen Zweck nötig ist oder gesetzliche Fristen dies verlangen (handels-/steuerrechtliche Aufbewahrung i. d. R. 10 Jahre für Rechnungsunterlagen in der Schweiz). Kontodaten bleiben bis zur Löschung des Kontos gespeichert.
8. Kontolöschung
Konten lassen sich in der App über Profil → Einstellungen → Konto löschen selbst löschen, oder formlos per E-Mail an kontakt@hypnuio.com. Die Löschung erfolgt unverzüglich, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
9. Deine Rechte
Für alle Nutzer:innen (nDSG und DSGVO gleichermassen): Auskunft, Berichtigung, Löschung, Einschränkung der Bearbeitung, Widerspruch gegen bestimmte Bearbeitungen, Widerruf erteilter Einwilligungen.
Zusätzlich für Nutzer:innen mit Wohnsitz in der EU (DSGVO): Recht auf Datenübertragbarkeit (Art. 20) sowie Beschwerderecht bei der für den jeweiligen Wohnsitz zuständigen Landesdatenschutzbehörde.
Für Nutzer:innen mit Wohnsitz in der Schweiz: Beschwerderecht beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), Feldeggweg 1, 3003 Bern.
10. Kontakt
Peter Amrein — datenschutz@hypnuio.com