Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

KCraft Studio LTD
Limited Company nach zypriotischem Recht
Registrierungsnummer: HE 485092
VAT Number: CY60278644N

Neofytou Nikolaidi & Theod. Kolokotroni
ONISIFOROU CENTER, 2nd floor
Agios Theodoros
8011 Paphos
Cyprus

E-Mail: info@sternova.app
Directors: Kevin Koch, Pegah Koch

Nach unserer derzeitigen Bewertung besteht keine gesetzliche Pflicht zur Benennung eines Datenschutzbeauftragten nach Art. 37 DSGVO. Sollte sich dies ändern, werden wir diese Datenschutzerklärung entsprechend aktualisieren.

Anfragen zum Datenschutz, zur Betroffenenrechte-Ausübung sowie zu dieser Datenschutzerklärung richten Sie bitte an: dpo@sternova.app.

2. Rechtsgrundlagen der Verarbeitung

• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung, z.B. bei optionalen Marketing-/Analyse-Cookies, Push-Benachrichtigungen oder freiwilligen Angaben.
• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung und vorvertragliche Maßnahmen, z.B. Konto, Wallet, Beratungsfunktionen, Zahlungs- und Abrechnungsprozesse.
• Art. 6 Abs. 1 lit. c DSGVO — rechtliche Verpflichtung, z.B. steuerliche Aufbewahrung, VAT-/OSS-Dokumentation, DAC7, KYC-/Zahlungsdienstleisterpflichten, Behördenanfragen.
• Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen, z.B. Sicherheit, Betrugsprävention, Support, Plattformintegrität, Rechtsdurchsetzung, Verbesserung der Stabilität.

3. Kategorien personenbezogener Daten

Registrierungsdaten: E-Mail-Adresse, Name, Zugangsdaten, ggf. Geburtsdatum und sonstige freiwillige Angaben.

Zahlungs- und Wallet-Daten: Zahlungsstatus, Stripe Customer ID, Payment Intent/Charge ID, Wallet-Top-ups, Guthabenstand, Wallet-Transaktionen, Refunds, Chargebacks, Zahlungsbestätigungen und Belegstatus. Wir speichern keine vollständigen Kreditkartennummern.

Beratungs- und Abrechnungsmetadaten: Call-ID, Nutzer-ID, Berater-ID, Startzeit, Endzeit, Dauer, Art des Gesprächs, Brutto-Verbrauch, Customer Country/VAT-Land soweit erforderlich, VAT-Satz, VAT-Betrag, Netto-Abrechnungsbetrag, Berateranteil, KCraft-Anteil, Wallet-Transaktion-ID und Refund-/Chargeback-Status.

App- und Nutzungsdaten: Geräte-ID, Gerätetyp, App-Version, Betriebssystem, IP-Adresse, Logdaten, aufgerufene Seiten/Funktionen, Zeitpunkte, Fehlermeldungen, Sicherheits- und Missbrauchssignale.

Support- und Kommunikationsdaten: Inhalte von Support-Anfragen, E-Mails, Chatnachrichten, Beschwerden, Nachweise und Bearbeitungsstatus.

Berater-Compliance- und Steuerdaten: rechtlicher Name, Künstlername, Anschrift, Geburtsdatum, Steueridentifikationsnummern, Ansässigkeitsstaat, VAT-ID, Auszahlungs- und Finanzkontodaten, Stripe-Account-ID, Identitäts- und Nachweisdokumente, Umsätze, Auszahlungen, Plattformgebühren, Reportable Transactions und DAC7-relevante Angaben.

4. Zwecke der Datenverarbeitung und Rechtsgrundlagen

• Bereitstellung und Betrieb der Plattform, Website und App — Art. 6 Abs. 1 lit. b DSGVO.
• Erstellung und Verwaltung von Nutzer- und Beraterkonten — Art. 6 Abs. 1 lit. b DSGVO.
• Wallet-Verwaltung, Guthabenbuchung, Guthabenverbrauch und Abrechnung kostenpflichtiger Funktionen — Art. 6 Abs. 1 lit. b DSGVO.
• Zahlungsabwicklung, Refunds, Chargebacks, Betrugsprävention und Zahlungsrisikomanagement — Art. 6 Abs. 1 lit. b und lit. f DSGVO (berechtigtes Interesse an Schutz vor Zahlungsbetrug).
• Erstellung von Zahlungsbestätigungen, Belegen, Rechnungen und Abrechnungsübersichten — Art. 6 Abs. 1 lit. b und lit. c DSGVO.
• VAT-/OSS-/steuerliche Dokumentation, Buchhaltung, gesetzliche Aufbewahrungspflichten und Behördenkommunikation — Art. 6 Abs. 1 lit. c DSGVO.
• Erfüllung gesetzlicher Melde-, Sorgfalts- und Dokumentationspflichten, insbesondere DAC7 bei Beratern — Art. 6 Abs. 1 lit. c DSGVO.
• Vermittlung und technische Durchführung von Live-Gesprächen — Art. 6 Abs. 1 lit. b DSGVO.
• KI-gestützte Funktionen — Art. 6 Abs. 1 lit. b DSGVO bzw. lit. a (Einwilligung), soweit erforderlich.
• Speicherung der Pflicht-Bestätigungen zur sofortigen Leistungsausführung und zum Erlöschen des Widerrufsrechts vor jedem Anruf — Art. 6 Abs. 1 lit. c DSGVO (§ 312f BGB).
• Push-Benachrichtigungen für eingehende Anrufe und Status-Updates — Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über das Betriebssystem).
• Fehler- und Crash-Tracking, Stabilität, Sicherheit und Plattformintegrität — Art. 6 Abs. 1 lit. f DSGVO.
• Support, Beschwerden, Qualitätssicherung, Missbrauchsprüfung und Rechtsdurchsetzung — Art. 6 Abs. 1 lit. b und lit. f DSGVO.
• Marketing- und Analysezwecke (z. B. Matomo, Meta-Pixel) — Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), jederzeit widerrufbar.

5. Empfänger und Dienstleister

Wir geben Daten nur weiter, wenn dies rechtlich erlaubt ist, insbesondere zur Vertragserfüllung, aufgrund gesetzlicher Verpflichtung, auf Grundlage berechtigter Interessen oder mit Ihrer Einwilligung.

Stripe (Stripe Payments Europe Ltd., Irland; Stripe Inc., USA): Zahlungsabwicklung, Wallet-Top-ups, Refunds, Chargebacks, KYC und Auszahlungen an Berater über Stripe Connect. Stripe verarbeitet Zahlungs- und Identitätsdaten teils als eigener Verantwortlicher und teils als Dienstleister, abhängig vom konkreten Prozess. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Drittlandsübermittlung in die USA auf Grundlage des EU-US Data Privacy Framework sowie ergänzender Standardvertragsklauseln.

Hosting/Server (Easypanel / VPS-Provider in der EU): technische Bereitstellung, Speicherung, Backups, Logs und Sicherheitsmaßnahmen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO. Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht.

LiveKit Cloud (LiveKit Inc., USA): Echtzeit-Übertragung der Sprach- und Audiodaten während Live-Beratungen (WebRTC-/SFU-Infrastruktur, TURN-Relays). Verarbeitet werden Verbindungsmetadaten, IP-Adresse, Geräte-/Codec-Informationen sowie die Audio-Streams für die Dauer des Gesprächs. Gesprächsinhalte werden von KCraft nicht dauerhaft aufgezeichnet, soweit nicht gesondert ausgewiesen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Drittlandsübermittlung in die USA auf Grundlage des EU-US Data Privacy Framework sowie ergänzender Standardvertragsklauseln.

OpenAI (OpenAI Ireland Ltd., Irland; OpenAI, L.L.C., USA): Verarbeitung von Eingaben bei KI-gestützten Funktionen (z. B. KI-Beratung, Realtime-API). KI-Funktionen werden in der App als solche kenntlich gemacht (Art. 50 EU-KI-Verordnung). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. lit. a (Einwilligung), soweit erforderlich. Drittlandsübermittlung auf Grundlage des EU-US Data Privacy Framework sowie ergänzender Standardvertragsklauseln.

Sentry / GlitchTip (Funktional Software, Inc., USA bzw. selbst-gehostete Instanz): Fehler- und Crash-Tracking für Backend, Mobile-App und Website. Verarbeitet werden pseudonymisierte Fehlermeldungen, Stack-Traces, Geräte- und Browser-Informationen sowie technische Kontextdaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Stabilität und Fehlerbehebung).

Push-Benachrichtigungen (Apple Push Notification Service, Apple Inc., USA; Firebase Cloud Messaging / FCM, Google Ireland Ltd. / Google LLC, USA): Versand von Push-Benachrichtigungen zu eingehenden Anrufen, Statusmeldungen und Wallet-Ereignissen, soweit Sie Push-Benachrichtigungen aktiviert haben. Verarbeitet werden Geräte-Push-Tokens und Benachrichtigungsinhalte. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über das Betriebssystem). Drittlandsübermittlung in die USA auf Grundlage des EU-US Data Privacy Framework sowie ergänzender Standardvertragsklauseln.

Documenso (Documenso, Inc., USA bzw. selbst-gehostete Instanz): elektronische Vertragsunterzeichnung mit Beratern (Beratervertrag, Anlagen). Verarbeitet werden Name, E-Mail, IP-Adresse, Zeitstempel und Signaturdaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Steuerberater, Rechtsberater, Buchhaltung, Behörden und Zahlungsdienstleister: soweit dies für VAT/OSS, Buchhaltung, DAC7, KYC, Rechtsdurchsetzung oder gesetzliche Pflichten erforderlich ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. c und lit. f DSGVO.

6. Datenübermittlung in Drittländer

Im Rahmen bestimmter Dienstleister kann es zu Datenübermittlungen in Drittländer, insbesondere die USA, kommen. Dies betrifft insbesondere Zahlungsabwicklung, KI-Funktionen, Echtzeitkommunikation oder Sicherheitsdienste.

Eine solche Übermittlung erfolgt, soweit erforderlich, auf Grundlage geeigneter Garantien, insbesondere EU-US Data Privacy Framework, Standardvertragsklauseln der Europäischen Kommission und zusätzlicher technischer und organisatorischer Schutzmaßnahmen.

7. Speicherdauer

• Kontodaten: grundsätzlich bis zur Löschung des Accounts, danach Löschung oder Einschränkung, soweit keine gesetzlichen Pflichten entgegenstehen.
• Transaktions-, Wallet-, Beleg-, Buchhaltungs- und Steuerdaten: grundsätzlich bis zu 10 Jahre oder nach jeweils anwendbaren gesetzlichen Aufbewahrungsfristen.
• Gesprächsmetadaten: grundsätzlich bis zu 3 Jahre bzw. länger, soweit dies für Abrechnung, Rechtsverteidigung, Beschwerden, Steuer- oder Aufbewahrungspflichten erforderlich ist.
• Menschliche Gesprächsinhalte: keine dauerhafte Speicherung durch KCraft, sofern nicht ausnahmsweise eine gesonderte Rechtsgrundlage besteht.
• Berater-Compliance-, KYC-, Steuer- und DAC7-Daten: für die Dauer gesetzlicher Nachweis-, Aufbewahrungs- und Meldepflichten.
• Support-Anfragen: grundsätzlich bis zu 3 Jahre nach Abschluss des Vorgangs, soweit keine längeren Aufbewahrungs- oder Verteidigungszwecke bestehen.
• Nutzungs- und Sicherheitslogs: grundsätzlich 90 Tage, danach Löschung oder Anonymisierung, soweit keine Sicherheits-, Missbrauchs- oder Rechtsgründe eine längere Speicherung rechtfertigen.

8. Cookies, Tracking und Marketing

Unsere Website und App können technisch notwendige Cookies, lokale Speichertechnologien und vergleichbare Technologien einsetzen, um Anmeldung, Sicherheit, Session-Verwaltung, Cookie-Einwilligung, Wallet-Funktion, Support und Plattformbetrieb zu ermöglichen.

Marketing- und Analyse-Technologien, insbesondere Matomo, Meta-Pixel oder vergleichbare Tools, setzen wir nur ein, soweit dies nach geltendem Recht zulässig ist und eine erforderliche Einwilligung vorliegt. Sie können Ihre Einwilligung jederzeit über die Cookie-Einstellungen widerrufen.

Betrugsprävention bei der Registrierung: Zur Erkennung und Verhinderung von Mehrfach- und Missbrauchskonten (z. B. mehrfaches Abgreifen des Startguthabens) werten wir ausschließlich serverseitig ohnehin vorliegende Signale aus: Ihre IP-Adresse bzw. deren Netzbereich, die von Ihrem Browser übermittelte Kennung (User-Agent), den bei der Registrierung angegebenen Namen sowie — bei Zahlungen — den von unserem Zahlungsdienstleister bereitgestellten Karten-Fingerabdruck. Es wird kein Geräte-Fingerabdruck in Ihrem Browser erhoben; ein Zugriff auf Informationen Ihres Endgeräts im Sinne des § 25 TTDSG findet nicht statt. Die Verarbeitung dient ausschließlich der Betrugsprävention und Plattformintegrität, beruht auf unserem berechtigten Interesse (Art. 6 Abs. 1 lit. f DSGVO) und wird nicht zu Marketing- oder Analysezwecken verwendet.

9. Ihre Rechte

• Auskunft nach Art. 15 DSGVO.
• Berichtigung nach Art. 16 DSGVO.
• Löschung nach Art. 17 DSGVO.
• Einschränkung der Verarbeitung nach Art. 18 DSGVO.
• Datenübertragbarkeit nach Art. 20 DSGVO.
• Widerspruch nach Art. 21 DSGVO.
• Widerruf erteilter Einwilligungen nach Art. 7 Abs. 3 DSGVO.

Zur Ausübung Ihrer Rechte kontaktieren Sie uns unter info@sternova.app oder support@sternova.app.

10. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die für uns zuständige Aufsichtsbehörde ist das Office of the Commissioner for Personal Data Protection, Cyprus. Sie können sich auch an die Aufsichtsbehörde Ihres Wohnsitzlandes wenden.

11. Datensicherheit

• SSL/TLS-Verschlüsselung für Datenübertragungen.
• Verschlüsselte Audio-/Videoübertragung nach technischer Möglichkeit.
• Passwort-Hashing und Zugriffsbeschränkungen.
• Berechtigungskonzepte, Protokollierung sicherheitsrelevanter Vorgänge und regelmäßige Sicherheitsupdates.
• Backups, Monitoring, Missbrauchs- und Betrugsprävention.

12. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen, technische Änderungen oder neue Funktionen anzupassen. Die aktuelle Version finden Sie stets auf unserer Website und/oder in der App.