Datenschutzerklärung

Lyriot („wir“, „uns“) verpflichtet sich zum Schutz Ihrer Privatsphäre. Diese Richtlinie erklärt, wie wir Ihre personenbezogenen Daten erheben, verwenden, weitergeben und schützen – im Einklang mit der Datenschutz-Grundverordnung (DSGVO) und dem geltenden französischen Recht.

Wir erheben die folgenden Datenkategorien:

• Registrierungsdaten: vollständiger Name, E-Mail-Adresse, verschlüsseltes Passwort (bcrypt), Stadt, Land, Geschlecht, Geburtsdatum, Telefonnummer (freiwillig).
• Profildaten: Profilbild (gespeichert bei Cloudflare R2), Kurzbiografie, Interessen.
• Aktivitätsdaten: erstellte und besuchte Veranstaltungen, Warteliste-Eintragungen, verfasste Kommentare, Reaktionen, QR-Code-Check-ins, ausgetauschte Nachrichten (Inhalt und Zeitpunkt), Freundschaften, Lesestatus von Nachrichten (Lesebestätigungen), freigeschaltete Erfolge, Aktivitätsserien, Einladungscode und Liste der geworbenen Personen.
• Gamification-Daten: gesammelte Punkte nach Quelle, aktueller Rang, Ranglistenverlauf, aktive Boosts und deren Ablauf, Guthaben und Verlauf der Punkte-Wallet.
• Zahlungsdaten: Transaktionsverlauf (Abonnements, kostenpflichtige Veranstaltungen, Boosts), aktives Abonnement und Verlängerungsdatum. Bank- und Kartendaten werden ausschließlich von Stripe verarbeitet – wir speichern sie zu keinem Zeitpunkt.
• Veranstalterdaten (Stripe Connect): Bei Veranstaltern, die Zahlungen empfangen, erhebt Stripe die Daten zur Identitätsprüfung direkt: Identität (Name, Geburtsdatum, eingescanntes Ausweisdokument), vollständige Postanschrift, Bankverbindung (IBAN oder Kontonummer) und gegebenenfalls Unternehmensangaben (Firmenname, Steuernummer). Für diese Daten gilt die Datenschutzerklärung von Stripe.
• Standortdaten: GPS-Koordinaten (Breiten- und Längengrad), die beim Erstellen einer Veranstaltung eingegeben werden, um die Karte anzuzeigen und die Umkreissuche zu ermöglichen. Eine fortlaufende Standortverfolgung findet nicht statt. Wenn Sie die Standortfreigabe auf Ihrem Gerät bereits erlaubt haben, wird Ihr auf etwa zehn Kilometer gerundeter Standort auch zum Sortieren der Städtevorschläge verwendet; er wird nicht in Ihrem Konto gespeichert.
• Bewerbungsdaten: Lebenslauf, Anschreiben und LinkedIn-Adresse, die über /careers/apply übermittelt und bei Cloudflare R2 (Bucket „resumes“) gespeichert werden. Die Aufbewahrung beträgt höchstens 2 Jahre.
• Kontaktdaten: Name, E-Mail-Adresse und Inhalt der über das Formular /contact gesendeten Nachrichten.
• Technische Daten: IP-Adresse, Browsertyp, aufgerufene Seiten, Datum und Uhrzeit der Verbindung, Sitzungskennung (NextAuth), Token für Push-Benachrichtigungen (Firebase).

Ihre Daten werden verwendet, um:

• unsere Dienste bereitzustellen, zu betreiben und zu verbessern
• Sie zu authentifizieren und Ihr Konto zu schützen (Anmeldung per E-Mail und Passwort oder über Google OAuth)
• Ihnen die für Sie relevanten Veranstaltungen, Profile und Ranglisten anzuzeigen
• Zahlungen abzuwickeln (Abonnements, kostenpflichtige Veranstaltungen, Boosts) über Stripe
• Veranstaltern kostenpflichtiger Events die Einnahmen über Stripe Connect auszuzahlen
• Benachrichtigungen zu versenden (E-Mail über Resend, Push über Firebase)
• alle 15 Minuten automatisch Punkte über geplante Aufgaben (Cron) zuzuweisen
• die Ränge der Nutzerinnen und Nutzer automatisch zu berechnen und zu aktualisieren
• die Wiederholungen wiederkehrender Veranstaltungen zu erzeugen (wöchentlich, monatlich usw.)
• Zahlungen für Veranstaltungen einzuziehen und an die Veranstalter zu überweisen
• die Wochen-, Monats- und Jahresranglisten regelmäßig zurückzusetzen
• die Voraussetzungen des Empfehlungsprogramms zu prüfen (Missbrauchsvorbeugung)
• Ihren Online-Status und Ihre letzte Aktivität Ihren Kontakten anzuzeigen
• die Moderation von Inhalten und die Bearbeitung von Meldungen zu ermöglichen
• Betrug, Missbrauch und Mehrfachkonten vorzubeugen
• unseren gesetzlichen und buchhalterischen Pflichten nachzukommen

Wir verarbeiten Ihre Daten auf folgenden Rechtsgrundlagen:

• Vertragserfüllung: um Ihnen die von Ihnen in Anspruch genommenen Lyriot-Dienste bereitzustellen (Konto, Veranstaltungen, Zahlungen, Nachrichten)
• Berechtigtes Interesse: um die Plattform zu verbessern, Betrug vorzubeugen, die Sicherheit zu gewährleisten, den Online-Status anzuzeigen und die Ranglisten zu führen
• Einwilligung: für Push-Benachrichtigungen (jederzeit in den Einstellungen widerrufbar) und für freiwillige Werbemitteilungen
• Rechtliche Verpflichtung: um geltendes Recht einzuhalten, insbesondere buchhalterische Pflichten (Aufbewahrung von 5 Jahren) und behördliche Auskunftsersuchen

Wir verkaufen Ihre personenbezogenen Daten niemals. Wir geben sie ausschließlich an unsere technischen Dienstleister weiter, und zwar nur soweit dies für die Erbringung des Dienstes erforderlich ist:

• Stripe: Zahlungsabwicklung (Abonnements, kostenpflichtige Veranstaltungen, Boosts) und Auszahlungen an Veranstalter über Stripe Connect – Datenschutzerklärung von Stripe
• OVH: Hosting der PostgreSQL-Datenbank (VPS, Frankreich); Cloudflare R2: Dateispeicherung (Profilbilder, Lebensläufe)
• Resend: Versand transaktionaler E-Mails (Registrierungsbestätigung, Passwort-Zurücksetzung, Veranstaltungshinweise)
• Mapbox: Darstellung der interaktiven Karten für Veranstaltungsorte und die Umkreissuche
• Photon (komoot) und Nominatim (OpenStreetMap Foundation, Daten im Vereinigten Königreich und in den Niederlanden): Städtevorschläge während der Eingabe; Nominatim wird nur genutzt, wenn Photon nicht antwortet. Unsere Server übermitteln ihnen ausschließlich den eingegebenen Text und, bei Photon, einen ungefähren Standort: die Mitte Ihres Landes oder, wenn Sie die Standortfreigabe bereits erlaubt haben, Ihren auf etwa zehn Kilometer gerundeten Standort. Ihr Name, Ihre IP-Adresse und Ihr Konto werden ihnen nie übermittelt.
• Firebase (Google): Versand von Push-Benachrichtigungen an Ihre Geräte (sofern von Ihnen aktiviert)
• Google OAuth: Wenn Sie sich für die Anmeldung mit Google entscheiden, werden Ihr Name, Ihre E-Mail-Adresse und Ihr Google-Profilbild an Lyriot übermittelt
• Zuständige Behörden: soweit gesetzlich vorgeschrieben, aufgrund einer gerichtlichen Anordnung oder zur Wahrung unserer berechtigten Rechte

Einige Dienstleister haben ihren Sitz außerhalb der Europäischen Union (Firebase/Google, Stripe in den Vereinigten Staaten). Diese Übermittlungen sind abgesichert durch:

• die von der Europäischen Kommission erlassenen Standardvertragsklauseln
• Angemessenheitsbeschlüsse der Kommission (etwa das EU-US Data Privacy Framework für Stripe und Google)
• die geeigneten Garantien nach Artikel 46 DSGVO

Wir bewahren Ihre Daten auf, solange Ihr Konto besteht. Bei Löschung des Kontos werden sie innerhalb von 30 Tagen entfernt, sofern keine gesetzliche Pflicht entgegensteht:

• Transaktionsdaten: 5 Jahre (französische buchhalterische Aufbewahrungspflicht)
• Bewerbungsdaten (Lebensläufe, Anschreiben): höchstens 2 Jahre
• Technische Protokolle: 12 Monate
• Moderations- und Sanktionsverlauf: unbefristet (Sicherheit und Missbrauchsvorbeugung)
• Gelöschte private Nachrichten: Metadaten (Datum, Beteiligte) können auch nach Löschung des Inhalts aufbewahrt werden

Nach der DSGVO stehen Ihnen die folgenden Rechte zu:

• Auskunftsrecht: Einsicht in die Daten, die wir über Sie führen
• Recht auf Berichtigung: Korrektur unrichtiger Daten (direkt in den Einstellungen oder durch Kontaktaufnahme mit uns)
• Recht auf Löschung: Löschung Ihres Kontos über Einstellungen → Sensibler Bereich (Bearbeitung innerhalb von 30 Tagen)
• Recht auf Datenübertragbarkeit: Erhalt einer Kopie Ihrer Daten in einem strukturierten Format
• Widerspruchsrecht: Widerspruch gegen bestimmte Verarbeitungen (etwa Werbemitteilungen oder Online-Status)
• Recht auf Einschränkung: Aussetzung der Verarbeitung in bestimmten Fällen verlangen
• Rechte bei automatisierten Entscheidungen: über automatisierte Verarbeitungen informiert zu werden (Punktevergabe, Rangberechnung, Prüfung von Empfehlungen) und deren Ergebnis anzufechten

Zur Ausübung dieser Rechte: Kontaktformular. Sie können außerdem Beschwerde bei der CNIL einlegen.

Umgesetzte technische und organisatorische Maßnahmen:

• Verschlüsselung aller Übertragungen (HTTPS/TLS)
• Passwörter mit bcrypt verschlüsselt (niemals im Klartext gespeichert)
• Datenzugriff beschränkt nach dem Grundsatz der geringstmöglichen Rechte
• Sichere Dateiablage bei Cloudflare R2 (Zugriff über temporär signierte URL)
• CSRF-Schutz in allen Formularen (NextAuth-Token)
• Protokollierung administrativer Vorgänge
• Regelmäßige Sicherungen der Datenbank
• Im Fall einer Datenschutzverletzung werden die betroffenen Personen gemäß DSGVO innerhalb von 72 Stunden informiert

Wir verwenden technisch notwendige Cookies für den Betrieb der Plattform (Nutzersitzung, CSRF-Schutz). Zusätzlich nutzen wir den lokalen Speicher Ihres Browsers, um Ihre Einstellungen zu behalten (helles oder dunkles Design, Anzeigewährung, Sprache): Diese Daten verlassen Ihr Gerät nicht. Weitere Informationen finden Sie in unserer Cookie-Richtlinie.

Lyriot steht Personen ab 15 Jahren offen, gemäß Artikel 7-1 des französischen Datenschutzgesetzes. In Ländern, deren Recht ein anderes Alter vorsieht (etwa 13 Jahre in den Vereinigten Staaten nach COPPA oder 16 Jahre in bestimmten EU-Mitgliedstaaten), gilt jeweils das strengere Alter. Wir erheben wissentlich keine Daten von Minderjährigen, die das erforderliche Alter nicht erreicht haben. Wenn Sie vermuten, dass ein solcher Minderjähriger ein Konto angelegt hat, wenden Sie sich bitte umgehend an uns.

Über die europäische DSGVO hinaus hält Lyriot je nach Ihrem Wohnsitzland die folgenden Datenschutzvorschriften ein:

• Kalifornien (CCPA/CPRA): Wenn Sie in Kalifornien wohnen, stehen Ihnen nach dem California Consumer Privacy Act und dem California Privacy Rights Act zusätzliche Rechte zu: das Recht zu erfahren, welche personenbezogenen Daten erhoben werden, das Recht auf Löschung, das Recht, dem Verkauf von Daten zu widersprechen (wir verkaufen Ihre Daten nicht), und das Recht, deswegen nicht benachteiligt zu werden. Schreiben Sie uns an contact@lyriot.com, um sie geltend zu machen.
• Vereinigtes Königreich (UK GDPR): Wir halten die nach dem Brexit geltende UK GDPR ein. Aufsichtsbehörde ist das ICO (Information Commissioner's Office). Ihre Rechte entsprechen denen der europäischen DSGVO.
• Brasilien (LGPD): Nach dem Lei Geral de Proteção de Dados Pessoais haben Sie das Recht auf Auskunft, Berichtigung, Löschung, Datenübertragbarkeit und Widerspruch. Zuständige Behörde ist die ANPD (Autoridade Nacional de Proteção de Dados).
• Kanada (PIPEDA + Gesetz 25): Wir halten den Personal Information Protection and Electronic Documents Act (PIPEDA) sowie in Québec das Gesetz 25 (Gesetz zur Modernisierung der Vorschriften über den Schutz personenbezogener Daten) ein. Behörden: OPC (Bund) und CAI (Québec).
• Australien (Privacy Act 1988): Wir halten den Australian Privacy Act und die Australian Privacy Principles ein. Zuständige Behörde ist das OAIC (Office of the Australian Information Commissioner).
• Japan (APPI): Nach dem Gesetz zum Schutz personenbezogener Daten (個人情報の保護に関する法律) erfüllen wir die Pflichten des APPI. Zuständige Behörde ist die PPC (Personal Information Protection Commission / 個人情報保護委員会).
• China (PIPL): Nach dem Gesetz zum Schutz personenbezogener Daten (个人信息保护法) verarbeiten wir Ihre Daten nach den Grundsätzen der Rechtmäßigkeit, der Legitimität und der Erforderlichkeit. Zuständige Behörde ist die CAC (Cyberspace Administration of China / 国家互联网信息办公室).
• Südkorea (PIPA): Nach dem Gesetz zum Schutz personenbezogener Daten (개인정보 보호법) haben Sie das Recht auf Auskunft, Berichtigung, Löschung und Widerspruch. Zuständige Behörde ist die PIPC (Personal Information Protection Commission / 개인정보보호위원회).
• Indien (DPDP Act 2023): Nach dem Digital Personal Data Protection Act 2023 haben Sie das Recht auf Information, Berichtigung und Löschung Ihrer digitalen personenbezogenen Daten. Zuständige Stelle ist das Data Protection Board of India (im Aufbau durch das MeitY).
• Türkei (KVKK): Nach dem Gesetz Nr. 6698 zum Schutz personenbezogener Daten (Kişisel Verilerin Korunması Kanunu) haben Sie das Recht auf Auskunft, Berichtigung und Löschung. Zuständige Behörde ist die KVKK (Kişisel Verileri Koruma Kurumu).
• Indonesien (UU PDP): Nach dem Gesetz Nr. 27/2022 zum Schutz personenbezogener Daten (Undang-Undang Perlindungan Data Pribadi) umfassen Ihre Rechte Auskunft, Berichtigung und Löschung. Zuständige Stelle ist das Kementerian Komunikasi dan Informatika.
• Thailand (PDPA): Nach dem Personal Data Protection Act B.E. 2562 (2019) haben Sie das Recht auf Auskunft, Datenübertragbarkeit, Löschung und Widerspruch. Zuständige Stelle ist das PDPC (Personal Data Protection Committee).
• Saudi-Arabien (PDPL): Nach dem Personal Data Protection Law (نظام حماية البيانات الشخصية) haben Sie das Recht auf Auskunft und Berichtigung. Zuständige Behörde ist die SDAIA (Saudi Data and AI Authority / الهيئة السعودية للبيانات والذكاء الاصطناعي).

Aufsichtsbehörden nach Land :

Wir können diese Richtlinie jederzeit aktualisieren. Bei wesentlichen Änderungen informieren wir Sie per E-Mail oder über eine Benachrichtigung auf der Plattform. Wenn Sie Lyriot nach diesem Hinweis weiter nutzen, gelten die Änderungen als angenommen.

Diese Richtlinie ist in französischer Sprache verfasst. Fassungen in anderen Sprachen sind Übersetzungen, die nur zur Information dienen; bei Abweichungen ist allein die französische Fassung rechtsverbindlich.

Verantwortlicher: Lyriot, Frankreich.

Bei Fragen zu Ihren personenbezogenen Daten, zur Ausübung Ihrer DSGVO-Rechte (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Widerspruch, Einschränkung) oder bei Beschwerden über die Verarbeitung Ihrer Daten: Kontaktformular oder direkt an contact@lyriot.com.

Sie können außerdem Beschwerde bei der zuständigen Aufsichtsbehörde einlegen: Commission Nationale de l'Informatique et des Libertés (CNIL), 3 Place de Fontenoy, 75007 Paris.