1. Datenarten, die wir verarbeiten

• Account-Daten: Vorname, Nachname, E-Mail, gehashtes Passwort, Zwei-Faktor-Geheimnis (verschlüsselt).
• Profil-Daten: Username, Avatar, Bio, Spezialisierungen, Tier-Status, XP, Streaks.
• Coaching-Daten: Chat-Verläufe mit unserer KI, Self-Check-Antworten, Skill-Radar-Werte, Lessons-Learned.
• Telemetrie: User-Agent, IP-Adresse (gekürzt, 24h-Retention), Klick-Events für Funnel-Analyse.
• Billing-Daten: Plan-Stufe, Rechnungsadresse, Stripe-Customer-ID (Stripe-PCI-DSS Level 1 verarbeitet Kartendaten direkt -- wir sehen sie nie).

2. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO -- Erfüllung des Nutzungsvertrags (Account, Coaching-Services).
• Art. 6 Abs. 1 lit. c DSGVO -- gesetzliche Verpflichtung (gesetzliche Aufbewahrungsfrist für Rechnungen).
• Art. 6 Abs. 1 lit. f DSGVO -- berechtigte Interessen (Telemetrie zur Funktions-Verbesserung, Missbrauchs-Erkennung).
• Art. 6 Abs. 1 lit. a DSGVO -- Einwilligung (Marketing-E-Mails, optionale Tracker -- Opt-in via Cookie-Banner).

3. Speicherdauer

• Account-Daten: bis Löschung des Accounts + 30 Tage Wiederherstellungs-Frist.
• Chat-Verläufe: 24 Monate nach letzter Interaktion oder bis User-Löschung.
• Telemetrie: 90 Tage rolling.
• Rechnungsdaten: gesetzliche Aufbewahrungsfrist.
• Backups: 14 Tage in EU-Region, danach kryptografisch unwiederbringlich.

4. Empfänger / Auftragsverarbeiter

Wir nutzen folgende sorgfältig ausgewählte Auftragsverarbeiter (Art. 28 DSGVO):

• Hetzner Online GmbH (DE) -- Hosting, EU-Region, ISO 27001.
• Stripe Payments Europe (IE) -- Payment-Processing, EU-Region.
• OpenAI / Anthropic -- KI-Inferenz (siehe Drittland-Transfer unten). Opt-out via Settings -> Privacy möglich.
• Cloudflare Inc. (US) -- DDoS-Schutz + DNS, EU-Workers-Region.
• Brevo (FR) -- Transactional + Newsletter-Mail.

5. Drittland-Transfer

Für KI-Inferenz nutzen wir Provider mit US-Hauptsitz. Datentransfers basieren auf:

• EU-Standardvertragsklauseln (SCC, Modul 2) iSd Durchführungsbeschluss 2021/914.
• EU-US Data Privacy Framework (DPF) -- Zertifizierung der Anbieter unter dataprivacyframework.gov.
• Optional: lokales Hosting eines EU-Modells (Mistral / Aleph Alpha) ab Enterprise.

6. Betroffenenrechte (Art. 15-22 DSGVO)

• Art. 15 -- Auskunft über gespeicherte Daten.
• Art. 16 -- Berichtigung unrichtiger Daten.
• Art. 17 -- Löschung (Recht auf Vergessenwerden). Innerhalb von 30 Tagen, ausser gesetzliche Aufbewahrungsfristen entgegenstehen.
• Art. 18 -- Einschränkung der Verarbeitung.
• Art. 20 -- Datenübertragbarkeit. Export als JSON via Settings -> Privacy.
• Art. 21 -- Widerspruch gegen Verarbeitung auf Basis berechtigter Interessen.
• Art. 22 -- Keine automatisierte Entscheidung mit Rechtswirkung. Unser KI-Coaching gibt Empfehlungen, keine bindenden Entscheidungen.

Ausübung formlos per Mail an dsb@netcoach.ai. Antwort binnen 30 Tagen.

7. Beschwerderecht

Du hast das Recht auf Beschwerde bei der Aufsichtsbehörde -- in Ungarn: Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH), Budapest.

8. Datenschutzbeauftragter

Datenschutz-Kontakt, erreichbar unter dsb@netcoach.ai.