Somlora Sleep AI — Datenschutzerklärung

Stand: August 2025

1. Einleitung & Verantwortlicher

Diese Datenschutzerklärung informiert Sie darüber, wie die AMoCha GmbH (im Folgenden „wir“ oder „Somlora“) Ihre personenbezogenen Daten im Rahmen der Nutzung unseres KI-gestützten Audio-Meditationsdienstes Somlora Sleep AI verarbeitet.

Wir handeln nach dem Grundsatz Privacy by Design: Wir speichern keine sensiblen Gesundheitsdaten, erfassen nur die nötigsten Informationen und setzen moderne Sicherheits- und Datenschutzstandards ein. Wir betreiben Somlora cookie-less (keine Marketing-/Tracking-Cookies).

• Verantwortlicher: AMoCha GmbH, Kolschitzkygasse 23, 1040 Wien, Österreich
  
• E-Mail für Datenschutzanfragen: [email protected]
  
• **Datenschutzbeauftragte*r:** nicht benannt
  
• Serverstandort: EU (Deutschland, Hetzner)

Unsere Datenschutzpraxis richtet sich primär nach der Datenschutz-Grundverordnung (DSGVO) und erfüllt ergänzend die Anforderungen des österreichischen DSG, der UK GDPR, des Schweizer DSG, des California Consumer Privacy Act (CCPA) sowie des kanadischen PIPEDA.

2. Welche Daten wir verarbeiten

2.1 Stammdaten

• E-Mail-Adresse (Identifikation, Kommunikation)
  
• Passwort-Hash (bcrypt, sichere Authentifizierung)
  
• Vor- und Nachname (optional, Personalisierung)
  
• User-ID (UUID, interne Zuordnung)
  
• Provider/Provider-ID (nur bei OAuth-Anmeldung, falls genutzt)

2.2 Audio-bezogene Daten

• Audio-Metadaten (Dateiname, Größe, Dauer, Voice-Preset/ID, Status)
  
• Generierte Audio-Dateien (gespeichert bis zur Kontolöschung)
  
• Wichtig: Wir speichern keine Prompt-Texte (weder Original noch „reframed“).

2.3 Prompt-Verarbeitung (Privacy by Design)

• Zweck: Sanitization & Reframing Ihres eingegebenen Textes (Prompt) mittels KI, anschließend TTS-Audioerzeugung aus dem reframed Text.
  
• Verlauf: Empfangen → Sanitize → Reframe → TTS-Erzeugung → Löschung der Prompt-Inhalte.
  
• Speicherung: Original- und Reframed-Prompts werden nur temporär für die Dauer der Generierung verarbeitet (einige Minuten) und nicht persistent gespeichert.

2.4 Vertrags- & Zahlungsdaten

• Subscription-Tier (Free/Basic/Premium)
  
• Stripe Customer ID
  
• Stripe Webhook-Events (Zahlungsverarbeitung)

2.5 Technische/Audit-Daten (Minimalprinzip)

• IP-Adresse & User-Agent bei Authentifizierungs-/Sicherheitsereignissen
  
• Timestamps (aller relevanten Aktionen)
  
• Event-Typen (z. B. Login, Audio-Generierung)
  
• Auditdaten zu sicherheitsrelevanten Nutzereingaben (nur bei erkannten Kategorien wie „selfharm“, „violence“, „abuse“ – inkl. Prompt-Kategorie, Zeitstempel, pseudonymisierter User-ID, optional: IP)

2.6 Consent-Management

• Consent-Records (Version, Typ, IP, Zeitstempel, User-Agent)
  
• E-Mail-Verifikations-Token (24 h gültig)

3. Zwecke und Rechtsgrundlagen

Wir verkaufen oder „teilen“ personenbezogene Daten nicht im Sinne des CCPA („No Sale or Share“). Sollte sich dies künftig ändern (z. B. bei Marketing/Analytics), werden wir vorab informieren und Opt-Out anbieten.

4. Privacy by Design — unser USP

• Keine Speicherung sensibler Gesundheitsdaten.
  
• Keine Prompt-Speicherung: Original- und Reframed-Prompts werden sofort nach Generierung gelöscht.
  
• Cookie-less Service: keine Marketing-/Tracking-Cookies; nur technisch notwendige Web-Speicher (z. B. Browser Session Storage).
  
• Datenminimierung: wir speichern nur Audio (Ergebnis) + notwendige Metadaten.

> Hinweis: Bei sicherheitskritischen Prompts (z. B. Gewalt/Selbstgefährdung) speichern wir aus Gründen der Sicherheit nur die Klassifikation und pseudonymisierte Metadaten – nicht den Textinhalt selbst. Dies erfolgt im Einklang mit Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

5. Internationale Drittanbieter & Datentransfers

OpenAI (USA)

• Zweck: Temporäre Prompt-Sanitization & Reframing
  
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO
  
• Datentransfer: EU-Standardvertragsklauseln (SCCs) und — sofern der Anbieter zertifiziert ist — EU-US Data Privacy Framework (DPF)
  
• Speicherung: Keine Speicherung der Prompts durch uns; Übermittlung nur temporär zur Verarbeitung.

ElevenLabs (UK/EU)

• Zweck: Text-to-Speech-Audioerzeugung aus reframed Prompt
  
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, UK GDPR
  
• Transfergarantien: EU↔︎UK Angemessenheitsbeschluss bzw. SCCs (falls erforderlich)

Stripe (Irland/USA)

• Zweck: Zahlungsabwicklung, Abo-Management
  
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO
  
• Datentransfer: EU-Infrastruktur (Stripe Technology Europe) mit möglichen Übermittlungen in die USA auf Basis von SCCs und ggf. DPF; PCI-DSS-konform.

Hetzner (Deutschland/EU)

• Zweck: Server-Hosting (Datenbank/Dateispeicher)
  
• Rechtsgrundlage: Art. 28 DSGVO (Auftragsverarbeitung)
  
• Standort: Deutschland (EU) — keine Drittlandübermittlung.

Google Fonts (USA)

• Zweck: Darstellung der Website-Schriftarten
  
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der technischen Darstellung)
  
• Datentransfer: EU-Standardvertragsklauseln (SCCs) und EU-US Data Privacy Framework (DPF)
  
• Übertragene Daten: IP-Adresse und User-Agent (automatisch bei Seitenaufruf)
  
• Weitere Informationen: Google Privacy Policy

Hinweis zu US-Transfers: Trotz Einsatzes von SCCs/DPF besteht in den USA potenziell ein weitergehender behördlicher Zugriff. Wir minimieren Risiken durch Datenminimierung, Transportverschlüsselung, strikte Zugriffskontrollen und die Nicht-Speicherung von Prompt-Inhalten.

6. Speicherdauer und Löschung

Bei Account-Löschung entfernen wir personenbezogene Daten unverzüglich, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

7. Ihre Rechte als betroffene Person (international)

EU/EWR (DSGVO)

• Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21).
  
• Antwort innerhalb von 30 Tagen (verlängerbar um bis zu 2 Monate bei komplexen Anfragen; Sie werden informiert).

Kalifornien (CCPA/CPRA)

• Right to Know, Right to Delete (45 Tage), Right to Correct, Right to Opt-Out von „Sale/Share“ (wir verkaufen/teilen keine Daten), Right to Limit Nutzung sensibler Daten (wir verarbeiten keine sensiblen Daten im CCPA-Sinne).
  
• Kategorien personenbezogener Daten, die wir verarbeiten:
  • Kennungen: E-Mail, User-ID, Stripe-Kundenkennung, IP
    
  • Kommerzielle Informationen: Abos/Transaktionen über Stripe
    
  • Internet-/Netzwerkaktivität: begrenzte Nutzungs-/Sicherheitslogs (IP, UA, Events)
    
  • Audio-Inhalte: von Somlora generierte Audiodateien, die Ihrem Account zugeordnet sind
    
  • Keine präzisen Geodaten, keine sensiblen/schutzbedürftigen Gesundheitsdaten, kein Profiling zu Marketingzwecken.

Kanada (PIPEDA)

• Recht auf Zugriff und Berichtigung; Verarbeitung auf Basis von Zweckbindung und Einwilligung/Vertrag; Datenminimierung und angemessene Sicherheitsmaßnahmen.

UK & Schweiz

• Rechte analog zur EU (UK GDPR/Schweizer DSG); wir setzen die entsprechenden Garantien bei Übermittlungen um.

Kontakt für Rechteausübung: [email protected] — wir beantworten Anfragen spätestens innerhalb von 30 Tagen.

8. Datensicherheit & technische Maßnahmen

• TLS-verschlüsselte Übertragung
  
• bcrypt-Passworthashing mit Salt
  
• Least-Privilege-Zugriff, Rollen & Protokollierung
  
• Rate-Limiting & CORS-Protection
  
• Kein serverseitiges Session-Tracking (nur Browser Session Storage)
  
• Regelmäßige Backups und Wiederherstellungs-Prozesse
  
• Sicherheits-Reviews bei Änderungen an Prompt-/TTS-Pipelines

9. Internationale Compliance

Somlora erfüllt die Anforderungen von: - DSGVO (EU)
- UK GDPR (UK)
- Schweizer DSG (CH)
- CCPA/CPRA (Kalifornien, USA) — No Sale/Share
- PIPEDA (Kanada)

Marketing/Analytics (künftig): Falls eingeführt, erfolgt dies nur mit Rechtsgrundlage (Einwilligung oder berechtigtes Interesse, je nach Region) und mit Opt-Out/Do-Not-Sell/Share-Mechanismen, wo erforderlich.

10. Kontakt & Beschwerderecht

Verantwortlicher:
AMoCha GmbH
Kolschitzkygasse 23, 1040 Wien, Österreich
E-Mail: [email protected]

Zuständige Datenschutzaufsicht (Auszug):
- Österreich: Datenschutzbehörde – https://www.dsb.gv.at
- Deutschland: jeweilige Landesdatenschutzbehörde – https://www.datenschutzkonferenz-online.de/datenschutzaufsichtsbehoerden.html
- Schweiz: EDÖB – https://www.edoeb.admin.ch
- UK: ICO – https://ico.org.uk
- USA (Kalifornien): Office of the Attorney General – https://oag.ca.gov/privacy/ccpa
- Kanada: Office of the Privacy Commissioner – https://www.priv.gc.ca

11. Automatisierte Entscheidungsfindung & Profiling

• Einsatz von KI: Somlora nutzt KI ausschließlich zur Sanitization & Reframing Ihrer Texteingaben (Prompts) und zur anschließenden TTS-Audioerzeugung.
  
• Keine automatisierten Einzelentscheidungen mit Rechtswirkung oder ähnlich erheblicher Beeinträchtigung.
  
• Kein umfassendes Profiling: Wir erstellen keine Persönlichkeitsprofile.
  
• Personalisierung erfolgt nur auf Basis Ihrer direkten Eingaben und gewählter Voice-Presets (keine Stimm-Biometrie, keine Ableitung sensibler Merkmale).

12. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung zu aktualisieren. Maßgeblich ist stets die zum Zeitpunkt der Nutzung veröffentlichte Version. Über wesentliche Änderungen informieren wir in geeigneter Form.

Kurzüberblick (non-binding)

• Keine Prompt-Speicherung, keine sensiblen Gesundheitsdaten, keine Cookies für Marketing.
  
• EU-Hosting (Hetzner), SCCs/DPF für notwendige US-Transfers.
  
• CCPA/PIPEDA integriert, No Sale/Share.
  
• Rechteausübung: [email protected] (Antwort i. d. R. ≤ 30 Tage).