Rechtliches

Datenschutzerklärung

Stand: 26. Juli 2026

1. Verantwortliche Stelle

T. Marbet
6004 Luzern, Schweiz
E-Mail: hallo@aromakompass.ch
Plattform: aromakompass.ch

2. Grundsatz

Aromakompass verarbeitet so wenig personenbezogene Daten wie möglich. Wir verkaufen keine Daten. Tracking-Dienste Dritter (Reichweitenmessung, Marketing-Pixel) setzen wir nur ein, wenn Sie über den Cookie-Banner ausdrücklich zustimmen. Vor Ihrer Zustimmung wird kein Tracking-Script geladen.

3. Welche Daten wir erheben

a) Bei der Registrierung

E-Mail-Adresse (für Login und Kontakt)
Kein Pflichtname, Vorname, Nachname, Ort, Kanton und Betriebsart werden freiwillig im Onboarding angegeben

b) Bei der Nutzung (nur für eingeloggte Nutzer)

Suchverlauf (letzte Suchanfragen, lokal in der App gespeichert)
Gespeicherte Pairings und Kollektionen (auf Wunsch des Nutzers)

c) Technisch notwendige Daten

Session-Cookies für die Authentifizierung (kein Tracking)
Server-Logs (IP-Adresse, Zeitstempel), automatisch nach 7 Tagen gelöscht
Anonymisierte technische Metadaten zur Lizenzkontrolle (Geräte-Fingerabdruck, Sitzungszähler), siehe AGB 8.7

4. Wo Ihre Daten gespeichert werden

Alle personenbezogenen Daten werden ausschliesslich auf Servern in Europa gespeichert und verarbeitet:

Supabase (Datenbank, Authentifizierung, Edge Functions)

Server-Standort: Zürich, Schweiz, Region eu-central-2 (explizit konfiguriert). Anbieter: Supabase Inc., Oakland, CA, USA. Data Processing Agreement (DPA) für EU/DSGVO abgeschlossen. Keine Datenspeicherung ausserhalb der Schweiz / EU.

supabase.com/privacy

Cloudflare Pages (Hosting, CDN)

Hosting explizit auf Cloudflare Pages mit Präferenz Schweiz / Westeuropa konfiguriert. Nächste Edge-Knoten: Zürich und Frankfurt. Anbieter: Cloudflare, Inc., San Francisco, CA, USA. Data Processing Addendum (DPA) für europäische Nutzer liegt vor.

cloudflare.com/privacypolicy

GitHub (Quellcode-Verwaltung)

GitHub verwaltet ausschliesslich den Quellcode des Frontends (kein Nutzerdaten, keine personenbezogenen Informationen). Das Repository ist privat. GitHub hat keinen Zugriff auf Nutzerdaten der Plattform. DPA Europa liegt vor.

docs.github.com/privacy-policies

Stripe (Zahlungsabwicklung)

Für den Kauf von Lifetime Personal und Lifetime Enterprise per Kreditkarte oder TWINT setzen wir den Zahlungsdienstleister Stripe ein. Stripe verarbeitet dabei die zur Zahlungsabwicklung notwendigen Daten (u. a. Zahlungsmittel-, Bestell- und Kontaktdaten) in eigener Verantwortung. Anbieter: Stripe Payments Europe, Ltd., Dublin, Irland (für Kund:innen in der Schweiz/EU). Rechnungskäufe (E-Mail-Anfrage) sowie Schul- und grössere Enterprise-Lizenzen laufen ohne Stripe.

stripe.com/ch/privacy

Weitere Drittanbieter werden nicht eingesetzt. Kein Google Analytics, keine Social-Media-Pixel, keine Werbenetzwerke, keine externen Fonts.

5. Cookies, lokaler Speicher und Tracking

Wir setzen ausschliesslich technisch notwendige Speicherarten ein. Es gibt kein Cross-Site-Tracking, keine Werbe-Cookies und kein Profiling.

a) Was wir aktuell im Browser speichern

Bezeichnung	Art	Zweck	Speicherdauer
sb-*-auth-token	localStorage	Anmeldung / Session (Supabase Auth)	Bis zur Abmeldung
aromakompass_consent_v1	localStorage	Ihre Cookie-Banner-Entscheidung (Essentiell / Statistik / Marketing)	Dauerhaft, bis Widerruf via Footer-Link
fg_pairing_mode	localStorage	Voreinstellung Suchmodus (Aromaprofil / Chemisch)	Dauerhaft, bis Löschung
pendingInviteCode	localStorage	Einladungscode während Registrierung zwischenspeichern	Bis Registrierung abgeschlossen
_ga	Cookie (Google Analytics 4)	Distinct-User-Identifier, IP-anonymisiert. Wird beim ersten Seitenaufruf gesetzt.	2 Jahre
_ga_1YM2NK7LES	Cookie (Google Analytics 4)	Session-State der GA4-Property G-1YM2NK7LES	2 Jahre

b) Was wir serverseitig zur Lizenzkontrolle speichern

Anonymisierte Gerätesignatur (Hash) sowie verkürzter User-Agent. Zweck: Erkennen missbräuchlicher Account-Weitergabe bei Lifetime-Zugängen (AGB 8.7). Speicherdauer: 90 Tage. Rechtsgrundlage: Art. 6 nDSG (berechtigtes Interesse des Betreibers).

c) Was wir NICHT einsetzen

Google Tag Manager (GA4 wird direkt geladen, ohne GTM-Container)
Meta/Facebook Pixel, TikTok-Pixel (nur falls künftig mit Marketing-Consent aktiviert, siehe d)
Werbenetzwerke, Retargeting
Heatmaps (Hotjar, Microsoft Clarity)
Externe Fonts (Bodoni Moda, Space Grotesk und JetBrains Mono werden lokal mit der Plattform ausgeliefert, keine Verbindung zu Google Fonts)
Cross-Site-Tracking jeglicher Art

d) Cookie-Banner und einwilligungsbasierte Dienste

Beim ersten Besuch erscheint ein Einwilligungsbanner mit drei Kategorien. Sie entscheiden granular und können Ihre Wahl jederzeit über den Link „Cookie-Einstellungen" im Footer ändern oder widerrufen.

Essentiell (immer aktiv): Anmeldung, Spracheinstellungen, Lizenzkontrolle. Ohne diese funktioniert die Plattform nicht. Rechtsgrundlage: berechtigtes Interesse (Art. 6 nDSG).
Statistik, Google Analytics 4 (Google Ireland Limited, Measurement-ID G-1YM2NK7LES) wird beim ersten Seitenaufruf geladen und setzt die Cookies _ga und _ga_1YM2NK7LES (2 Jahre Speicherdauer). IP-Anonymisierung aktiv, kein Cross-Site-Tracking, keine Profilbildung über externe Quellen. Pageviews werden manuell bei jedem Navigations-Schritt gesendet (send_page_view: false + expliziter trackPageView). Rechtsgrundlage: Art. 31 nDSG / Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse Reichweitenmessung). Datenübertragung in die USA über EU-Standardvertragsklauseln. Opt-out via Google Analytics Opt-Out Browser-Add-on.
Marketing (opt-in): Erfolgsmessung von Werbekampagnen (Meta-Pixel für Facebook und Instagram). Wird erst geladen, wenn wir tatsächlich Werbung schalten und Sie dem Marketing-Slider zustimmen.

Vor Ihrer Zustimmung werden weder Plausible noch GA4 noch ein Meta-Pixel geladen , kein Drittanbieter-Request, keine IP-Übermittlung in die USA. Die Einwilligung wird ausschliesslich lokal im Browser unter dem Schlüsselaromakompass_consent_v1gespeichert (kein Cookie).

6. Ihre Rechte

Sie haben jederzeit das Recht auf Auskunft, Berichtigung, Löschung und Datenportabilität.

Auskunft über gespeicherte Daten
Berichtigung falscher Daten
Löschung Ihres Accounts und aller Daten
Datenportabilität (Export Ihrer Daten auf Anfrage)
Widerspruch gegen bestimmte Verarbeitungen

Account-Löschung: Unter Einstellungen → Account löschen. Anfragen: hallo@aromakompass.ch

7. Anwendbares Recht

Diese Datenschutzerklärung richtet sich nach dem Schweizer Datenschutzgesetz (nDSG, in Kraft seit 1. September 2023) sowie, soweit anwendbar, der EU-Datenschutz-Grundverordnung (DSGVO/GDPR).

8. Änderungen

Wir informieren bei wesentlichen Änderungen per E-Mail an die hinterlegte Adresse. Die jeweils aktuelle Fassung ist auf der Plattform unter aromakompass.ch/datenschutz abrufbar.