Datenschutzerklärung

1. Datenschutz auf einen Blick

Diese Erklärung informiert Sie über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten bei Nutzung des Gartenbau Hub. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Verantwortliche Stelle

Anschrift:
Projekt LifeStories UG (haftungsbeschränkt) vor Gründung, vertreten durch: Lan Pham Thanh, Joachim Loew
Bildungscampus 11
74076 Heilbronn
Deutschland

E-Mail: joalajoala@gmx.de
Telefon: 017662436628

Für Anfragen nach den Art. 15 ff. DSGVO sowie zu Datenschutzthemen verwenden Sie bitte die genannte E-Mail-Adresse mit dem Betreff „Datenschutz“. Die Angaben entsprechen dem Impressum und sind vor dem produktiven Einsatz durch die tatsächlichen Betreiberdaten zu ersetzen.

• Zwecke in Kürze: Bereitstellung der Anwendung, Benutzerkonten und Zugangssteuerung für eingeladene Nutzer, Pflanzenkatalog, Sortiment und Wissensportal, KI-Beratung, Foto-Diagnose und Pflanzendoktor, Beetplanung, Spracheingabe und Vorlesen, Bearbeitung von E-Mail-Bestellungen sowie technischer Betrieb und Sicherheit.
• Dienstleister: Hosting der Anwendung auf Infrastruktur der Hetzner Online GmbH, betrieben durch uns in eigener Verantwortung; Datenhaltung, Authentifizierung und Ablage von Diagnosebildern über Supabase; KI-Texte, Spracheingabe und Vorlesen über OpenAI; Pflanzenerkennung anhand von Fotos über Kindwise; Weiterleitung von E-Mail-Bestellungen über n8n. Einzelheiten zu Drittlandübermittlungen finden Sie unter Abschnitt 3.5.

2. Hosting

Die Anwendung wird auf eigenen Servern betrieben, die wir bei der Hetzner Online GmbH (Deutschland) als Infrastruktur- und Hostinganbieter beziehen und selbst verwalten. Dort werden insbesondere die Bereitstellung der Webanwendung, die Auslieferung an Ihren Browser sowie die serverseitige Ausführung der Anwendungslogik vorgenommen. Die Infrastruktur wird in Rechenzentren innerhalb der Europäischen Union betrieben, soweit dies dem von uns gewählten Leistungsumfang entspricht.

Beim Aufruf und bei der Nutzung werden in der Regel automatisch Informationen in Server- und Zugriffsprotokollen erhoben, insbesondere Browsertyp und -version, Betriebssystem, Referrer-URL, Datum und Uhrzeit der Anfrage sowie die IP-Adresse und technische Status- und Übertragungsinformationen. Dies dient dem sicheren, stabilen Betrieb, der Fehleranalyse und der Missbrauchsprävention.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherer und effizienter Bereitstellung). Liegt ein Nutzungsvertrag vor und ist die Verarbeitung für dessen Durchführung erforderlich, ist Art. 6 Abs. 1 lit. b DSGVO maßgeblich.

Auftragsverarbeitung: Wo eine Auftragsverarbeitung im Sinne von Art. 28 DSGVO vorliegt, schließen wir mit Hetzner die hierfür erforderliche Vereinbarung, soweit dies für die Nutzung der Infrastrukturleistungen erforderlich ist. Ergänzend gelten die Datenschutzhinweise von Hetzner.

Diese Anwendung nutzt aus Sicherheitsgründen eine Transportverschlüsselung (SSL/TLS).

3. Allgemeine Hinweise und Pflichtinformationen

3.1 Verantwortlicher und Datenschutzbeauftragter

Verantwortliche Stelle im Sinne der Art. 4 Nr. 7 DSGVO ist der im Impressum und unter Abschnitt 1 genannte Betreiber.

Datenschutzanfragen und Anliegen nach den Art. 15 ff. DSGVO richten Sie bitte an joalajoala@gmx.de mit dem Betreff „Datenschutz“.

Ein betrieblicher Datenschutzbeauftragter wird nur bestellt, wenn dies nach Art. 37 DSGVO verpflichtend ist. Ist ein Datenschutzbeauftragter bestellt, sind dessen Kontaktdaten dem Impressum oder einer gesonderten Stelle auf dieser Website zu entnehmen.

Wenn nachfolgend nicht ausdrücklich etwas anderes beschrieben ist, erheben wir personenbezogene Daten in der Regel direkt von Ihnen. Bei E-Mail-Bestellungen können uns Inhalte auch über das Postfach des Gartencenters erreichen.

3.2 Rechtsgrundlagen

Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): wenn wir eine Einwilligung einholen und diese als Rechtsgrundlage ausweisen.

Vertrag (Art. 6 Abs. 1 lit. b DSGVO): zur Begründung, Durchführung oder Beendigung des Nutzungsverhältnisses, einschließlich vorvertraglicher Anfragen.

Rechtspflicht (Art. 6 Abs. 1 lit. c DSGVO): bei Verarbeitungen, zu denen wir gesetzlich verpflichtet sind.

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): wenn die Verarbeitung zur Wahrung eines berechtigten Interesses erforderlich ist und Ihre Interessen nicht überwiegen. Ein berechtigtes Interesse liegt insbesondere in der sicheren, stabilen und missbrauchsfreien Bereitstellung des Dienstes.

Endgerätezugriff (TDDDG): Für den Zugriff auf Informationen auf Ihrem Endgerät und für deren Speicherung gelten die Vorgaben des Telekommunikations-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG). Näheres zu Cookies und lokaler Speicherung finden Sie unter Abschnitt 9 und auf der Seite Cookies und Speicherung.

3.3 Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Danach werden Daten gelöscht oder anonymisiert, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

• Konto, Profil und von Ihnen erstellte Inhalte (Beratungsverläufe, Diagnosefälle, Fotos, Beetpläne und zugehörige Metadaten): bis Sie diese löschen oder Ihr Konto gelöscht bzw. beendet wird, zuzüglich eines technischen Nachlaufs von bis zu 30 Kalendertagen für Backups und konsistente Datenhaltung.
• E-Mail-Bestellungen: für die Bearbeitung der Bestellung und danach nur, soweit handels- oder steuerrechtliche Aufbewahrungspflichten das verlangen.
• Protokoll der Cookie-Einwilligung eingeloggter Nutzer: für die Dauer des Kontos, weil der Eintrag mit dem Konto gelöscht wird.
• Server- und Zugriffsprotokolle (Hosting): für einen begrenzten Zeitraum, in der Regel wenige Tage bis Wochen, je nach Konfiguration; danach Löschung oder Anonymisierung.
• Betriebs- und Sicherheitsdaten beim Datenbank- und Authentifizierungsdienst (Supabase): im Rahmen der vertraglichen Laufzeit und der vom Anbieter beschriebenen Aufbewahrungsfristen.
• Anmelde-Cookies bzw. Sitzungsinformationen: für die Dauer der Sitzung bzw. bis zur Abmeldung und gemäß den Laufzeiten des Authentifizierungsdienstes.
• Sprachwahl und Einwilligungsentscheidung im Browser: bis Sie die Auswahl ändern, Website-Daten im Browser löschen oder die vorgesehene Laufzeit endet. Die Sprachwahl läuft nach längstens 12 Monaten ab, sofern Sie sie nicht erneuern.

3.4 Empfänger und Auftragsverarbeitung

Eine Weitergabe erfolgt zur Vertragserfüllung, auf Grundlage einer gesetzlichen Erlaubnis, aufgrund Ihrer Einwilligung oder bei Einsatz von Auftragsverarbeitern.

Im Rahmen des Betriebs können insbesondere folgende Anbieter beteiligt sein:

• Supabase (Authentifizierung, Datenbank, Speicherung von Diagnosebildern);
• Hetzner Online GmbH (Infrastruktur und Hosting der Anwendung auf von uns betriebenen Servern);
• OpenAI (KI-Texte, Umwandlung von Sprache in Text und Vorlesen), wenn Sie die jeweilige Funktion nutzen;
• Kindwise (Erkennung von Pflanzen und Symptomen anhand hochgeladener Fotos), wenn Sie eine Foto-Diagnose starten;
• n8n (Weiterleitung eingehender E-Mail-Bestellungen an die Anwendung), soweit diese Funktion genutzt wird.

Wo eine Auftragsverarbeitung im Sinne von Art. 28 DSGVO vorliegt, schließen wir mit diesen Anbietern die hierfür erforderliche Vereinbarung. Die jeweiligen Datenschutz- und Auftragsverarbeitungsinformationen der Anbieter sind auf deren Websites einsehbar.

3.5 Drittlandübermittlungen

Die in Abschnitt 2 beschriebene Bereitstellung der Anwendung auf der von uns betriebenen, bei der Hetzner Online GmbH angemieteten Infrastruktur ist derzeit so ausgelegt, dass die Anwendung über Rechenressourcen in der Europäischen Union betrieben wird. Mit dieser Hosting-Konfiguration ist eine Übermittlung personenbezogener Daten in ein Drittland im Sinne der Art. 44 ff. DSGVO aus dem bloßen Betrieb dieser Infrastruktur nach dem uns vorliegenden Kenntnisstand nicht beabsichtigt.

Unabhängig hiervon können personenbezogene Daten in Länder außerhalb des Europäischen Wirtschaftsraums (EWR) gelangen, insbesondere in die Vereinigten Staaten von Amerika, wenn Sie KI- oder Sprachfunktionen nutzen, bei denen Inhalte an OpenAI übermittelt werden. Kindwise verarbeitet Foto-Diagnosen als Anbieter mit Sitz in der Europäischen Union; ob im Einzelfall weitere Empfänger beteiligt sind, richtet sich nach den Angaben dieses Anbieters. Hinsichtlich Supabase (Authentifizierung, Datenhaltung und Bildspeicher) richtet sich die Einordnung möglicher Drittlandübermittlungen nach der gewählten Region und den Angaben des Anbieters. Solche Übermittlungen erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

Soweit Übermittlungen in ein Drittland erfolgen, kommen insbesondere ein Angemessenheitsbeschluss der EU-Kommission gemäß Art. 45 DSGVO (einschließlich des EU-US Data Privacy Framework, soweit der Empfänger dort zertifiziert ist) sowie Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO in Betracht. Welche Übermittlungen im Einzelfall erfolgen, hängt von der gewählten Funktion und den zum Zeitpunkt der Nutzung geltenden Vertragsbedingungen des Anbieters ab.

3.6 Kategorien personenbezogener Daten

Je nach Nutzung verarbeiten wir insbesondere Stammdaten zum Konto (z. B. E-Mail-Adresse, Name, Telefon), Inhaltsdaten (Beratungstexte, Diagnoseangaben, Fotos, Beetpläne, Spracheingaben), Bestelldaten aus E-Mails, technische Verbindungsdaten sowie die protokollierte Einwilligungsentscheidung angemeldeter Nutzer.

3.7 Bereitstellung von Daten

Funktionen, die ein Benutzerkonto oder bestimmte Eingaben voraussetzen, erfordern die Bereitstellung der jeweiligen Daten. Ohne diese Daten können wir die betreffenden Funktionen nicht erbringen. Die Registrierung ist auf eingeladene E-Mail-Adressen beschränkt.

3.8 Automatisierte Entscheidungen

Wir verwenden keine ausschließlich automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie erheblich beeinträchtigt. KI-Beratung, Foto-Diagnose und Beetvorschläge sind Assistenzangebote und ersetzen keine fachliche Begutachtung vor Ort.

4. Nutzung der Webanwendung

Beim Aufruf und während der Nutzung werden technische Zugriffsdaten verarbeitet (siehe Abschnitt 2). Katalog, Sortiment und Wissensartikel können ohne Konto angesehen werden, soweit die jeweilige Funktion freigeschaltet ist. Inhalte werden auf Ihrem Endgerät dargestellt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei vertraglicher Nutzung; bei rein informatorischer Nutzung ohne Vertrag Art. 6 Abs. 1 lit. f DSGVO (Interesse an funktionsfähiger Darstellung).

5. Benutzerkonto und Authentifizierung

Für Beratung, Diagnose, Beetplaner und den persönlichen Bereich ist ein Benutzerkonto erforderlich. Registrierung und Anmeldung erfolgen über Supabase. Verarbeitet werden insbesondere Anmeldedaten (E-Mail-Adresse, Passwort in gehashter Form beim Anbieter) und technisch erforderliche Sitzungsinformationen.

Vor der Registrierung prüfen wir, ob Ihre E-Mail-Adresse auf der Einladungsliste steht und nicht gesperrt ist. Dies dient der Zugangssteuerung der geschlossenen Testversion.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; ergänzend Art. 6 Abs. 1 lit. f DSGVO für Maßnahmen zur zuverlässigen Kontoführung und Kontosicherheit.

6. Beratung, Diagnose, Pflanzendoktor und Beetplaner

Wenn Sie diese Funktionen nutzen, speichern wir die von Ihnen eingegebenen Texte, hochgeladenen Fotos, Rückfragen und die erzeugten Ergebnisse in Ihrem Konto. Fotos liegen im Speicher von Supabase. Pflanzenerkennung anhand eines Fotos übermittelt das Bild an Kindwise. Textliche Unterstützung, Einordnung und Produktvorschläge können an OpenAI übermittelt werden. Die Übermittlung erfolgt, wenn Sie die jeweilige Funktion auslösen.

Beetpläne enthalten die von Ihnen gewählten Pflanzen und Standortangaben. Sie dienen der Planung und ersetzen keine Prüfung von Boden und Mikroklima vor Ort.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Bitte geben Sie keine besonders schützenswerten Daten ein, wenn dies für Ihr Anliegen nicht erforderlich ist. Fotos sollten die Pflanze zeigen und keine Personen.

7. KI- und Sprachfunktionen (OpenAI)

Bestimmte Funktionen übermitteln von Ihnen eingegebene oder gespeicherte Inhalte an OpenAI, um Beratungstexte, Diagnosetexte oder Produktvorschläge zu erzeugen. Spracheingabe sendet eine Audioaufnahme zur Umwandlung in Text. Die Vorlesefunktion sendet den vorzulesenden Text und erhält Audio zurück. Vorlese-Audio wird im Arbeitsspeicher des Browsers gehalten und nicht dauerhaft auf Ihrem Endgerät gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn die Funktion zur Erbringung der von Ihnen angeforderten Leistung genutzt wird.

OpenAI wird als externer Dienstleister eingesetzt. Ergänzend gelten die Datenschutzhinweise von OpenAI. Es kann zu einer Übermittlung in die USA kommen; siehe Abschnitt 3.5.

8. E-Mail-Bestellungen

Eingehende Bestell-E-Mails können über n8n an die Anwendung übergeben und dort zur Bearbeitung durch das Team gespeichert werden. Verarbeitet werden insbesondere Absender, Betreff, Inhalt und die daraus gelesenen Bestellpositionen. Eine inhaltliche Aufbereitung kann OpenAI einbeziehen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Bearbeitung der Bestellung; Art. 6 Abs. 1 lit. c DSGVO, soweit Aufbewahrungspflichten bestehen.

9. Cookies und lokale Speicherung (TDDDG)

Wir setzen Cookies und vergleichbare Technologien ein. Zusätzlich kann die Anwendung den LocalStorage des Browsers nutzen. Nach dem TDDDG ist der Zugriff auf gespeicherte Informationen auf Ihrem Endgerät und die Speicherung neuer Informationen grundsätzlich nur zulässig, wenn Sie eingewilligt haben, es sei denn, eine gesetzliche Ausnahme erlaubt die Verarbeitung ohne Einwilligung, insbesondere weil die Speicherung oder der Zugriff unbedingt erforderlich ist, um einen von Ihnen ausdrücklich gewünschten digitalen Dienst bereitzustellen.

Beim ersten Aufruf zeigen wir einen Hinweis mit den Schaltflächen „Alle akzeptieren“ und „Nur notwendige“. Später erreichen Sie denselben Dialog über „Cookies und Speicherung“ im Fußbereich der Anwendung. Mit „Alle akzeptieren“ erteilen Sie die Einwilligung in die unter Abschnitt 9.2 genannte optionale Speicherung. Mit „Nur notwendige“ lehnen Sie diese ab. Ihre Entscheidung selbst speichern wir in jedem Fall, damit der Dialog nicht wiederholt unaufgefordert erscheint.

Widerruf: Eine erteilte Einwilligung können Sie mit Wirkung für die Zukunft widerrufen, indem Sie über „Cookies und Speicherung“ den Hinweis erneut öffnen und „Nur notwendige“ wählen. Dabei wird die gespeicherte Sprachwahl gelöscht. Ergänzend können Sie Website-Daten in Ihren Browser-Einstellungen entfernen.

Die ausführliche Beschreibung der Kategorien steht auch unter Cookies und Speicherung.

9.1 Unbedingt erforderliche Speicherung

Für Anmeldung und Sitzung setzt der Authentifizierungsdienst technisch notwendige Cookies. Für den geschützten Entwicklerbereich kann zusätzlich ein Sitzungs-Cookie gesetzt werden, nachdem das dafür vorgesehene Passwort eingegeben wurde. Rechtsgrundlage für den Endgerätezugriff ist die gesetzliche Erlaubnis nach dem TDDDG für unbedingt erforderliche Vorgänge; Rechtsgrundlage für die Verarbeitung personenbezogener Daten ist Art. 6 Abs. 1 lit. b DSGVO, für den Entwicklerbereich zusätzlich Art. 6 Abs. 1 lit. f DSGVO (Zugangsschutz).

Analyse- oder Werbe-Cookies setzen wir nicht ein.

9.2 Einwilligungsbasierte und sonstige lokale Speicherungen

Unabhängig davon, ob Sie „Alle akzeptieren“ oder „Nur notwendige“ wählen, speichern wir im LocalStorage Ihres Browsers die zu Ihrer Entscheidung gehörende Information unter dem Schlüssel gdhub_cookie_consent_v1, damit der Hinweis nicht erneut eingeblendet werden muss.

Nur wenn Sie „Alle akzeptieren“ wählen, darf zusätzlich die Sprachwahl der Oberfläche im Cookie gh_lang gespeichert bleiben. Ohne diese Einwilligung verwenden wir Deutsch und löschen eine bereits gesetzte Sprachwahl.

Diese optionale Speicherung ist nicht unbedingt erforderlich. Sie erfolgt nur nach Ihrer Einwilligung durch „Alle akzeptieren“ (TDDDG in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO). Die Speicherung Ihrer Wahl zum Hinweis selbst begründen wir mit der gesetzlichen Erlaubnis nach dem TDDDG, soweit sie erforderlich ist, um Ihre Auswahl umzusetzen, sowie – soweit personenbezogene Daten betroffen sind – mit Art. 6 Abs. 1 lit. f DSGVO (nachvollziehbare Dokumentation der Einwilligung). Bei angemeldeten Nutzern speichern wir Zeitpunkt, Wahl und Fassung dieser Erklärung zusätzlich in unserem System.

10. Rechte der betroffenen Personen

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) sowie unter den gesetzlichen Voraussetzungen Widerspruch gegen die Verarbeitung (Art. 21 DSGVO). Liegt eine Einwilligung vor, können Sie diese mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Zur Ausübung Ihrer Rechte kontaktieren Sie uns unter joalajoala@gmx.de mit dem Betreff „Datenschutz“. Wir beantworten berechtigte Anträge in der Regel innerhalb eines Monats nach Eingang (Art. 12 Abs. 3 DSGVO). Eine Verlängerung um bis zu zwei weitere Monate ist in komplexen Fällen möglich; darüber informieren wir Sie unter Angabe der Gründe.

Soweit wir personenbezogene Daten auf Grundlage eines berechtigten Interesses gemäß Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch gegen diese Verarbeitung einlegen (Art. 21 Abs. 1 DSGVO). Legen Sie Widerspruch ein, verarbeiten wir die betroffenen Daten nicht weiter, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Sie haben zudem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO). Eine Übersicht der Behörden finden Sie unter anderem bei der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (www.bfdi.bund.de). Zuständig ist regelmäßig die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Ortes des mutmaßlichen Verstoßes.

11. Externe Links

Die Anwendung kann Links zu Websites Dritter enthalten. Für Inhalte Dritter gelten deren Datenschutzhinweise. Eine Datenübermittlung erfolgt in der Regel erst, wenn Sie aktiv einem Link folgen oder eine Funktion des Drittanbieters nutzen.

12. Stand und Änderungen

Stand dieser Erklärung: 16. Oktober 2026. Wir passen die Erklärung an, wenn sich Rechtslage oder unsere Verarbeitung ändert. Maßgeblich ist die jeweils veröffentlichte deutsche Fassung.