Datenschutzerklärung gemäß Art. 12 ff. DSGVO

1 — Verantwortliche Stelle

Verantwortliche im Sinne der DSGVO ist die HuntingtonMod GmbH, Maximilianstraße 34, 80539 München, Germany, HRB 285 741 (Amtsgericht München), vertreten durch die Geschäftsführerin Andrea Weiss. Kontakt: support@huntingtonmod.org, +49 89 24 22 07 90. HuntingtonMod ist not affiliated with, endorsed by or connected to Huntington Bancshares Incorporated, Huntington National Bank, or Huntington Investment Company.

2 — Datenschutzbeauftragte

Die betriebliche Datenschutzbeauftragte gemäß Art. 37 DSGVO ist Frau Dr. Katarina Vollmer. Sie erreichen sie unter dpo@huntingtonmod.org oder per Post an die Anschrift der Verantwortlichen mit dem Zusatz „Datenschutzbeauftragte — persönlich/vertraulich".

3 — Aufsichtsbehörde

Zuständige Aufsichtsbehörde ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 27, 91522 Ansbach. Registriernummer: BY-DSA-2024-08417. Ihnen steht das Recht zu, sich jederzeit bei der BayLDA oder bei der Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsortes zu beschweren.

4 — Verarbeitete Datenkategorien

Wir verarbeiten folgende Datenkategorien: (a) Identitätsdaten — Vor- und Nachname, Wohnsitzland (Vereinigte Staaten sind ausgeschlossen); (b) Kontaktdaten — E-Mail-Adresse, optional Mobiltelefonnummer; (c) Zahlungsdaten — SEPA-Zahlerkennung, IBAN, BIC, ggf. Umsatzsteuer-Identifikationsnummer; (d) Workspace-Inhalte — Tagebucheinträge, Ausgabenzeilen, Habit-Häkchen, Stimmungs-Dots, Belegfotos, Abonnementeinträge, Lese-Log-Einträge, Dankbarkeitskarten, Weekly-Review-PDFs; (e) technische Daten — Zeitstempel der Magic-Link-Ausstellung, Absender-E-Mail-Domain, anonyme First-Party-Aggregationszähler.

5 — Zwecke und Rechtsgrundlagen

Die Verarbeitung erfolgt zu folgenden Zwecken und auf folgenden Rechtsgrundlagen: (i) Vertragsabwicklung und Bereitstellung des Workspaces — Art. 6 Abs. 1 lit. b DSGVO; (ii) Erfüllung gesetzlicher Aufbewahrungspflichten (HGB, AO) — Art. 6 Abs. 1 lit. c DSGVO; (iii) Missbrauchs- und Betrugsprävention im Magic-Link-Verfahren — Art. 6 Abs. 1 lit. f DSGVO; (iv) First-Party-Reichweitenmessung ohne Nutzeridentifikation — Art. 6 Abs. 1 lit. f DSGVO; (v) Bearbeitung freiwilliger Support-Anfragen — Art. 6 Abs. 1 lit. b DSGVO.

6 — Ort der Datenspeicherung

Sämtliche Workspace-Inhalte werden im dedizierten Speicher-Bucket des Kunden bei der Hetzner Online GmbH gespeichert — primär im Rechenzentrum FSN1 in Falkenstein (Sachsen), mit Hot-Standby-Replikation im Rechenzentrum NBG1 in Nürnberg (Bayern). Kundeninhalte verlassen die Europäische Union zu keinem Zeitpunkt und werden zu keinem Zeitpunkt an eine Stelle in den Vereinigten Staaten übermittelt. Backups werden mit AES-256 im GCM-Modus verschlüsselt und dreißig (30) Tage aufbewahrt.

7 — Keine Übermittlung in Drittländer

Es findet keine Übermittlung personenbezogener Daten in Drittländer außerhalb der Europäischen Union statt. Alle Auftragsverarbeiter sind in der EU niedergelassen. Bei Anbietern mit globalen Netzen ist der von uns verwendete Mandant vertraglich auf EU-Rechenzentren fixiert und wird vierteljährlich durch die Datenschutzbeauftragte überprüft.

8 — Auftragsverarbeiter

Aktuelle Auftragsverarbeiter: Hetzner Online GmbH, Gunzenhausen (Workspace-Hosting); Wildbit LLC / Postmark EU-Shard, Dublin (Transaktions-E-Mail); Fastmail Pty Ltd / EU-Shard, Amsterdam (Support-Postfach); HypoVereinsbank München (SEPA-Clearing). Die vollständige Liste steht im Data Processing Agreement.

9 — Speicherdauer

Workspace-Inhalte werden während der Vertragslaufzeit zuzüglich sechzig (60) Tagen Gnadenfrist zuzüglich sechzig (60) Tagen Archiv aufbewahrt. Buchhaltungsunterlagen werden zehn (10) Jahre gemäß §147 AO aufbewahrt. Server-Protokolle werden vierzehn (14) Tage aufbewahrt und danach gelöscht. Magic-Link-Datensätze werden dreißig (30) Minuten nach Ausstellung verworfen.

10 — Betroffenenrechte

Sie haben das Recht auf: (a) Auskunft (Art. 15 DSGVO); (b) Berichtigung (Art. 16); (c) Löschung (Art. 17); (d) Einschränkung der Verarbeitung (Art. 18); (e) Datenübertragbarkeit in einem maschinenlesbaren Format (Art. 20); (f) Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21); (g) Beschwerde bei der BayLDA oder bei der Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsortes. Anträge richten Sie kostenfrei an dpo@huntingtonmod.org. Die Bearbeitung erfolgt binnen eines Kalendermonats.

11 — Keine automatisierte Entscheidungsfindung

Wir führen keine automatisierten Entscheidungen im Einzelfall einschließlich Profiling gemäß Art. 22 DSGVO durch. Insbesondere finden weder Kredit-Scoring noch Betrugs-Scoring noch Preis-Diskriminierung noch inhaltliche Filterung von Workspace-Inhalten statt.

12 — Keine Nutzung von Workspace-Inhalten für ML-Trainingszwecke

Wir verpflichten uns vertraglich und technisch, Workspace-Inhalte — insbesondere Tagebucheinträge, Belegfotos, Stimmungs-Dots und Dankbarkeitskarten — nicht für das Training von Modellen des maschinellen Lernens zu verwenden, weder für eigene noch für Fremdmodelle. Diese Zusage wird auf Bucket-Ebene über eine Zugriffskontrollliste erzwungen, die den Lesezugriff auf den Kunden und die diensthabende Incident-Response-Ingenieurin beschränkt.

13 — Cookies & Analyse

Die Website setzt einen technisch notwendigen Session-Cookie ha_session sowie einen anonymen First-Party-Zähler ein. Vollständige Liste und Widerrufsmöglichkeiten siehe Cookies. Es werden keine Google-Analytics-, Meta-Pixel-, LinkedIn-Insight- oder sonstige Drittanbieter-Skripte geladen.

14 — Zahlungsdaten

SEPA-Überweisungen werden über die HypoVereinsbank München verarbeitet. Wir sehen ausschließlich Zahlerkennung, Betrag, Referenznummer und Zeitstempel. Es werden keine Kartendaten (es gibt keine) und keine sonstigen Bankbewegungen an uns übermittelt. Die Bank bewahrt die Transaktion zehn (10) Jahre gemäß deutschem Handelsrecht auf.

15 — Sicherheit der Verarbeitung

Wir setzen dem Stand der Technik entsprechende technische und organisatorische Maßnahmen ein: AES-256-Verschlüsselung im Ruhezustand, TLS 1.3 für sämtlichen Datenverkehr, mit Ed25519 signierte Magic Links, Zwei-Personen-Prinzip bei privilegierten Datenbankaktionen, dokumentierter Incident-Response-Ablauf, jährlicher externer Penetrationstest. Details siehe Security-Whitepaper.

16 — Minderjährige

Unser Angebot richtet sich ausschließlich an Personen ab dem vollendeten sechzehnten (16.) Lebensjahr. Erlangen wir Kenntnis, dass ein Workspace ohne nachweisbare elterliche Einwilligung von einer minderjährigen Person eröffnet wurde, löschen wir den Workspace und erstatten etwaige Beträge binnen zehn Werktagen.

17 — Meldung von Datenschutzvorfällen

Im Falle einer meldepflichtigen Verletzung des Schutzes personenbezogener Daten benachrichtigen wir die BayLDA binnen zweiundsiebzig (72) Stunden nach Kenntnisnahme. Betroffene werden gemäß Art. 34 DSGVO ohne unangemessene Verzögerung per E-Mail informiert, sofern ein hohes Risiko für ihre Rechte und Freiheiten besteht.

18 — Änderungen dieser Erklärung

Wesentliche Änderungen kündigen wir mindestens dreißig (30) Tage im Voraus per E-Mail an und dokumentieren sie oben auf dieser Seite mit Datum. Die vollständige Änderungshistorie wird in einem Git-Repository geführt und kann auf Anfrage übersandt werden.

19 — Widerspruchsrecht

Sie haben jederzeit das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, gegen die Verarbeitung Sie betreffender personenbezogener Daten, die aufgrund von Art. 6 Abs. 1 lit. f DSGVO erfolgt, Widerspruch einzulegen. Wir verarbeiten die personenbezogenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen.

20 — Kontakt bei Datenschutzfragen

Bei allen Fragen und Anträgen zum Datenschutz erreichen Sie unsere Datenschutzbeauftragte unter dpo@huntingtonmod.org. Zur Wiederholung: HuntingtonMod is not affiliated with, endorsed by or connected to Huntington Bancshares Incorporated, Huntington National Bank, or Huntington Investment Company; Anfragen zu US-Bankdaten können hier nicht bearbeitet werden.