Datenschutzerklärung

Politique de confidentialité (RGPD) · Stand: 3. Juni 2026

Wir nehmen den Schutz deiner persönlichen Daten ernst. Diese Erklärung informiert dich darüber, welche Daten wir verarbeiten, warum, wie lange wir sie speichern und an wen wir sie weitergeben.

1 · Verantwortliche und Kontakt

Verantwortlich im Sinne der DSGVO:
Tanja Kasper, 8 Imp. de la Lauter, 67630 Scheibenhard, Frankreich
E-Mail: kontakt@deinherzblick.de

Ein:e Datenschutzbeauftragte:r ist gesetzlich nicht zwingend zu benennen und wurde für dieses Einzelunternehmen nicht bestellt. Zuständige Aufsichtsbehörde: Commission Nationale de l'Informatique et des Libertés (CNIL), 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, Frankreich, www.cnil.fr.

2 · Welche Daten wir verarbeiten

Login. Die Anmeldung erfolgt über Google-OAuth oder mit E-Mail und Passwort. Ein Passwort speichern wir ausschließlich als scrypt-Hash, niemals im Klartext; wir können es nicht einsehen. Hast du dein Passwort vergessen, schicken wir dir auf Anfrage einen zeitlich begrenzten, nur einmal verwendbaren Link zum Zurücksetzen per E-Mail. Registrierst du dich mit E-Mail und Passwort, senden wir dir einen einmaligen Bestätigungslink an diese Adresse; bis zur Bestätigung sind kostenpflichtige Bestellungen gesperrt (Schutz vor Fremd-Anmeldungen mit deiner Adresse, Art. 6 Abs. 1 lit. f DSGVO). Bei Anmeldung über Google gilt deine Adresse als bestätigt. Möchtest du deine hinterlegte E-Mail-Adresse ändern, richten wir den Wechsel auf deine Anfrage hin ein: Wir senden einen Bestätigungslink an die neue Adresse und aus Sicherheitsgründen eine Hinweis-Mail an die bisherige Adresse; die Umstellung erfolgt erst nach Bestätigung. Bestätigungs-Token für E-Mail-Verifizierung und -Wechsel speichern wir nur als Hashwert und löschen sie nach Ablauf oder Einlösung. Admin-Zugänge sind technisch auf Google beschränkt.

Altersprüfung. Dein Geburtsdatum erheben wir bei der Registrierung, um deine Volljährigkeit zu prüfen — unsere Angebote richten sich ausschließlich an Erwachsene (siehe AGB § 3) — und für deine Geburtstags-Karte. Für Werbezwecke werten wir es nicht aus.

3 · Empfänger, Auftragsverarbeiter, Drittländer

Soweit Dienstleister in unserem Auftrag verarbeiten, bestehen bzw. werden Auftragsverarbeitungsverträge nach Art. 28 DSGVO geschlossen. Übermittlungen in die USA stützen sich, soweit der Anbieter unter dem EU-US Data Privacy Framework (DPF) zertifiziert ist, auf den Angemessenheitsbeschluss der EU-Kommission, andernfalls auf EU-Standardvertragsklauseln.

Interne Benachrichtigungen über Telegram. Damit Tanja Kasper zeitnah auf neue Vorgänge reagieren kann, sendet unser System bei bestimmten Ereignissen (z. B. Support-Anfrage, neuer Kommentar zu einem Seelenbild, neue Terminbuchung, Storno) eine Kurz-Benachrichtigung über einen Telegram-Bot an die Betreiberin. Diese Nachrichten können personenbezogene Daten enthalten: deinen Vor- bzw. Anzeigenamen, bei Support-Anfragen zusätzlich deine E-Mail-Adresse und den von dir geschriebenen Nachrichtentext sowie von dir verfasste Kommentartexte. Telegram betreibt Server auch außerhalb der EU/des EWR; die Übermittlung erfolgt, soweit erforderlich, gestützt auf EU-Standardvertragsklauseln bzw. Art. 49 Abs. 1 lit. b DSGVO (Erforderlichkeit für die Vertrags- und Anfragebearbeitung). Wenn du keine Inhalte über Telegram übermittelt wissen möchtest, vermeide bitte personenbezogene Angaben im freien Textfeld.

Bot-Schutz bei der Anmeldung (Cloudflare Turnstile). Auf den Anmelde- und Passwort-vergessen-Seiten kann ein Captcha-Dienst (Cloudflare Turnstile) zum Einsatz kommen, um automatisierte Angriffe und Spam abzuwehren (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Dabei werden deine IP-Adresse und technische Signale deines Browsers an Cloudflare, Inc. (USA, EU-DPF) übermittelt und ausgewertet, ob die Anfrage von einem Menschen stammt. Es werden keine Cookies zu Werbezwecken gesetzt.

4 · Verarbeitung durch das KI-System (Anthropic / Claude)

Für Karten-Auslegungen, die vorgeschaltete Krisen-Prüfung und die Strukturierung von Seelenbildern nutzen wir das KI-System von Anthropic (Sitz USA).

• 3-Karten-Legung: Übermittelt werden die gezogenen Karten und ihre Positionen, der Zeit-Kontext (z. B. Wochentag), die gewählte Anrede, optional dein gewähltes Hauptthema sowie einige der zuletzt für dich erzeugten Auslegungstexte (zur sprachlichen Abwechslung). Ein optional getipptes „Anliegen" wird vor der Übermittlung bei sensiblen Begriffen durch eine neutrale Formulierung ersetzt und auf 200 Zeichen gekürzt. Dein Klarname wird nicht mitgesendet. Die einfache Tageskarte nutzt keine KI und übermittelt keine Daten an das KI-System.
• Herzfragen: Der vollständige Fragetext wird an das KI-System übermittelt, um eine automatische Sicherheitsprüfung (Krisen-Erkennung) durchzuführen. Es findet vorher keine Anonymisierung des Fragetextes statt. Bitte gib daher keine Angaben in das Fragefeld ein, die du nicht übermitteln möchtest. Dein Fragetext kann besondere Kategorien personenbezogener Daten enthalten (z. B. zu Gesundheit oder religiös-weltanschaulichen Überzeugungen); die Übermittlung erfolgt insoweit auf Grundlage deiner Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die du beim Absenden der Herzfrage erteilst und jederzeit für die Zukunft widerrufen kannst. Tanja beantwortet deine Herzfrage persönlich.

Deine privaten Tagebuch-Texte werden nicht an das KI-System übermittelt. Es findet keine automatisierte Einzelentscheidung mit Rechtswirkung nach Art. 22 DSGVO statt; das System erzeugt ausschließlich Texte zur Reflexion. Eine Nutzung deiner Eingaben zum Training der KI-Modelle findet nicht statt.

5 · Zustellung über WhatsApp / Meta

Die Antwort auf eine Herzbotschaft wird ausschließlich per WhatsApp zugestellt (Sprachnachricht und Foto der Legung). Ohne Angabe einer Telefonnummer ist die Bestellung nicht möglich. Die Zustellung erfolgt manuell über das WhatsApp-Konto von Tanja Kasper (keine automatische Schnittstelle); bei uns wird nur deine Telefonnummer gespeichert, der Nachrichtenversand läuft über die Infrastruktur von Meta (auch in den USA), wobei Meta Metadaten erheben kann.

Herzfragen werden hingegen innerhalb der App beantwortet (Posteingang) und per E-Mail-Eingangsbestätigung begleitet, also ohne WhatsApp. Wenn du WhatsApp meiden möchtest, kannst du daher Herzfragen statt einer Herzbotschaft nutzen.

6 · Speicherdauer

• Server-Logs (z. B. IP-Adresse, Browsertyp, Zeitpunkt, aufgerufene Seite): nur kurzfristig zur technischen Bereitstellung und zum Schutz vor Missbrauch, danach gelöscht.
• Konto-, Tagebuch- und Karten-Daten: bis zur Löschung deines Kontos durch dich.
• Beantwortete Herzbotschaften werden nach 30 Tagen automatisch archiviert (nicht veröffentlicht, für dich im Posteingang nicht mehr aktiv sichtbar).
• Telefonnummern bleiben gespeichert, solange dein Konto besteht — für die Zustellung von Antworten und die Termin-Organisation. Mit der Löschung deines Kontos werden sie entfernt; auf Wunsch löschen wir sie auch jederzeit früher.
• Buchungs-/Rechnungsdaten: gesetzliche Aufbewahrung (in Frankreich i. d. R. 10 Jahre). Termin-Datensätze bleiben für diese Buchhaltung in anonymisierter Form bestehen (Freitexte und Kontaktangaben werden entfernt).
• Newsletter-E-Mail: bis zum Widerruf des Abos.

Konto-Löschung. Bei Löschung deines Kontos werden Konto, private Dateien und abhängige Daten sofort und dauerhaft entfernt, aktive Abos werden gekündigt, und du erhältst eine Bestätigung per E-Mail. Termin- und Seelenbild-Daten bleiben nur in anonymisierter Form bestehen (Freitexte entfernt). Tipp: Lade dir dein Tagebuch vorher selbst herunter („Meine Gedanken" → „Tagebuch exportieren") oder fordere einen vollständigen Datenexport an, bevor du dein Konto löschst.

7 · Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht, eine Einwilligung jederzeit zu widerrufen (Art. 7 Abs. 3). Anfragen richtest du an kontakt@deinherzblick.de (Bearbeitung zügig, gesetzliche Frist 1 Monat). Eine sofortige Löschung erreichst du auch über „Mein Tagebuch → Einstellungen → Konto löschen". Du kannst dich jederzeit bei der CNIL oder deiner örtlichen Datenschutzaufsicht beschweren.

Widerspruch gegen Werbung. Der Verwendung deiner Kontaktdaten für Direktwerbung kannst du jederzeit widersprechen. Einen Newsletter erhältst du nur nach ausdrücklicher Anmeldung; du kannst ihn jederzeit über den Abmelde-Link in jeder Mail oder per Nachricht an uns wieder abbestellen.

8 · Cookies und Tracking

Nicht notwendige Cookies/Tracker setzen wir nur mit deiner vorherigen Einwilligung (Art. 82 Loi Informatique et Libertés, Art. 6 Abs. 1 a DSGVO). Beim ersten Besuch erscheint ein Einwilligungsbanner, in dem du so einfach ablehnen wie zustimmen kannst. Vor deiner Zustimmung werden keine zustimmungspflichtigen Cookies gesetzt. Deine Einwilligung kannst du jederzeit über den Footer-Link „Cookie-Einstellungen" ändern oder widerrufen.

Technisch notwendige Daten (z. B. das Session-Cookie für die Anmeldung, gültig ca. 30 Tage; die lokale Speicherung des Tageskarten-Limits) sind nicht einwilligungspflichtig. Optionale Dienste (Google Analytics 4, Google Ads, ggf. Meta-Pixel) laufen ausschließlich über den Google-Consent-Mode und nur nach deiner Einwilligung. Die konkret eingesetzten Cookies und Dienste siehst du in dieser laufend gepflegten Übersicht:

9 · Sicherheit deiner Daten (Art. 32 DSGVO)

Wir treffen unter anderem folgende Maßnahmen: verschlüsselte Übertragung (TLS/HTTPS); Passwörter werden ausschließlich als scrypt-Hash gespeichert (nie im Klartext), und Links zum Zurücksetzen des Passworts gelten nur zeitlich begrenzt und lassen sich nur einmal verwenden; Zwei-Faktor-Authentifizierung (TOTP) für den Admin-Zugang (Secret AES-256-GCM-verschlüsselt, Recovery-Codes nur als SHA-256-Hash gespeichert); Signaturprüfung und Idempotenz bei Zahlungs-Webhooks (Stripe); Entfernen von Metadaten (EXIF) bei allen Bild-Uploads durch Neukodierung; Schutz vor zu vielen Anfragen (Rate-Limiting, u. a. bei Anmeldung und Passwort-Reset) sowie eine zeitweise Sperre des Passwort-Logins nach mehreren fehlgeschlagenen Anmeldeversuchen; zugriffsgeschützte Auslieferung sensibler Dateien über serverseitige Routen mit Schutz vor Pfad-Manipulation; getrennte Speicherbereiche für private und Plattform-Daten; Sitzungsverwaltung mit Ablauf nach ca. 30 Tagen; Geheimnisse nur aus geschützter Server-Konfiguration. In Vorbereitung sind verschlüsselte Off-Site-Backups und ein Admin-Audit-Log.

10 · Geschenk-Buchungen und anonymer Support

Geschenk-Buchungen. Buchst du eine Leistung für eine andere Person, verarbeiten wir die dafür nötigen Daten dieser Person. Bitte stelle sicher, dass sie einverstanden ist.

Anonymer Support / Bilder ohne Konto. Übermittelst du ohne Konto Bilder zur Bearbeitung, verarbeiten wir diese nur für den angefragten Zweck und löschen sie, sobald sie dafür nicht mehr benötigt werden.

11 · Privacy by Design: deine privaten Inhalte

Deine privaten Tagebuch-Einträge und Legungs-Notizen sind so abgesichert, dass sie für die Betreiberin/Admin nicht einsehbar sind. Tanja sieht nur Konto- und Kontaktdaten, von dir gestellte Herzfragen/Herzbotschaften, deine Buchungen und ihre eigenen Notizen über dich.

12 · Änderungen dieser Erklärung

Wir aktualisieren diese Erklärung, wenn sich technisch oder rechtlich etwas ändert. Wesentliche Änderungen kündigen wir vor dem Inkrafttreten an.

Stand: 3. Juni 2026