Datenschutzerklärung

Diese Datenschutzerklärung gilt für die Website lavum.de (sowie die zugehörigen Domains lavum.app, lavum.io, lavum.eu, lavum.ch — alle redirecten auf lavum.de) und die Mobile-App Lavum (iOS und Android). Sie informiert dich gemäß Art. 13 DSGVO darüber, welche personenbezogenen Daten wir verarbeiten, zu welchem Zweck, auf welcher Rechtsgrundlage und welche Rechte dir zustehen.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne des Art. 4 Nr. 7 DSGVO ist:

Patrick Kornmüller
Pfarrer-Kaiser-Ring 71
83527 Haag in Oberbayern
Deutschland
E-Mail: patrick@kornmueller-consulting.de

Teil I — Website lavum.de

I.1 Zweck dieser Website

Die Website lavum.de kündigt die App Lavum an und bietet einige kostenlose interaktive Werkzeuge (Auswanderer-Typ-Quiz, Kostencheck, Länder-Guides) sowie eine Warteliste. Für die Werkzeug- und Info-Seiten setzen wir eine datenschutzfreundliche Reichweiten-Analyse (PostHog, EU-Hosting) ein und verarbeiten die Daten, die du freiwillig in Formulare eingibst. Details siehe I.5 (Warteliste), I.6 (Quiz & Kostencheck) und I.7 (Web-Analyse). Die reine Startseite lädt keine Analyse-Skripte.

I.2 Server-Logs (Hosting)

Die Website wird bei Vercel Inc. (340 S Lemon Ave #4133, Walnut, CA 91789, USA) gehostet. Bei jedem Aufruf werden technisch erforderliche Daten (Server-Logs) automatisch verarbeitet:

• IP-Adresse (gekürzt durch Vercel)
• Datum und Uhrzeit des Aufrufs
• aufgerufene Seite / Datei
• HTTP-Statuscode
• übertragene Datenmenge
• User-Agent (Browser- und Betriebssystem-Informationen)
• Referrer-URL (zuvor besuchte Seite)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen Betrieb der Website und Schutz vor missbräuchlicher Nutzung). Vercel hat sich dem EU-US Data Privacy Framework unterworfen (Art. 45 DSGVO Angemessenheitsbeschluss). vercel.com/legal/privacy-policy

I.3 Schriftarten (Fontshare, Google Fonts)

Die Website lädt Schriftarten direkt von Fontshare (Indian Type Foundry, Indien) und Google Fonts (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Beim Aufruf wird eine Verbindung zu deren Servern hergestellt, wodurch deine IP-Adresse übermittelt wird.

• Fontshare: fontshare.com/privacy
• Google Fonts: policies.google.com/privacy

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer einheitlichen Darstellung).

I.4 Cookies

Die Startseite setzt keine Cookies. Auf den Werkzeug- und Info-Seiten (Quiz, Kostencheck, Länder-Guides, Methodik) speichert die Reichweiten-Analyse PostHog eine anonyme Kennung im Browser (Cookie bzw. lokaler Speicher), um Besuche grob zu zählen (siehe I.7). Wir setzen keine Werbe- oder Cross-Site-Tracking-Cookies ein.

I.5 Warteliste-Eintragung (E-Mail-Capture)

Auf der Startseite kannst du dich freiwillig in unsere Warteliste eintragen, um eine einmalige Benachrichtigung zu erhalten, sobald die Lavum-App im App Store / Google Play verfügbar ist.

• Erhobene Daten: E-Mail-Adresse, Zeitstempel der Eintragung, Quelle (Hero-Formular oder Final-CTA-Formular auf der Landing-Page)
• Zweck: einmalige Launch-Benachrichtigung sowie ggf. eine Promo-Mail mit dem 30-Tage-Lavum-Plus-Gutschein für die ersten 100 Eintragungen
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktive Eintragung in das Formular)
• Speicherort: Tabelle waitlist_emails in unserer Supabase-Datenbank (EU-Hosting Frankfurt am Main, siehe II.3.c)
• Speicherdauer: bis zum Versand der Launch-Mail bzw. dem Widerruf der Einwilligung, anschließend Löschung innerhalb von 30 Tagen
• Empfänger: keine Weitergabe an Dritte; Versand der Launch-Mail erfolgt über Resend (siehe II.3.g)
• Widerruf: du kannst deine Einwilligung jederzeit per E-Mail an patrick@kornmueller-consulting.de widerrufen. Wir löschen deine Adresse anschließend unverzüglich.

Hinweis: das Formular speichert deine Adresse einmalig. Eine doppelte Eintragung mit derselben Adresse wird stillschweigend ignoriert (kein Cross-Selling, kein Newsletter, keine automatisierten Folge-Mails).

I.6 Interaktive Werkzeuge (Quiz & Kostencheck)

Die Website bietet zwei kostenlose Werkzeuge, die Daten verarbeiten, sobald du sie aktiv nutzt:

• Auswanderer-Typ-Quiz (/quiz): deine Quiz-Antworten und dein Heimatland werden an unsere Edge Function auswanderer-typ-score gesendet, um dein Typ-Ergebnis zu berechnen. Optional kannst du deine E-Mail-Adresse hinterlassen (Warteliste, siehe I.5).
• Kostencheck (/kostencheck): deine Auswahl (Zielland, Lebenssituation, Heimat) wird zur Berechnung des Kostenvergleichs verarbeitet; optional kannst du deine E-Mail-Adresse für die Warteliste hinterlassen.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b/f DSGVO (Durchführung der von dir angefragten Berechnung), bei freiwilliger E-Mail-Angabe zusätzlich Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
• Speicherort: Supabase (EU-Hosting Frankfurt am Main, siehe II.3.c); E-Mail-Adressen in der Tabelle waitlist_emails.
• Empfänger: keine Weitergabe an Dritte.

I.7 Reichweiten-Analyse (PostHog, EU)

Auf den Werkzeug- und Info-Seiten (Quiz, Kostencheck, Länder-Guides unter /auswandern, Methodik) setzen wir PostHog zur datenschutzfreundlichen Reichweiten-Messung ein (z. B. Seitenaufrufe und anonyme Nutzungs-Ereignisse wie „Werkzeug gestartet"). Die Verarbeitung läuft über das EU-Hosting von PostHog (Frankfurt); personenbezogene Profile sind auf identified_only begrenzt und die IP-Verarbeitung ist anonymisiert. Dazu wird eine anonyme Kennung im Browser (Cookie bzw. lokaler Speicher) gesetzt.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Reichweiten-Messung und Verbesserung des Angebots).
• Anbieter/Details: siehe II.3.e (PostHog Inc., EU-Hosting Frankfurt).
• Widerspruch: du kannst die Erfassung jederzeit über einen Script-/Content-Blocker deines Browsers unterbinden.

Teil II — Mobile-App Lavum (iOS + Android)

II.1 Zweck der App

Lavum ist eine Mobile-App, die Nutzer*innen bei der Auswahl und Planung eines Auswanderungsziels unterstützt: durch Match-Engine („Kompass"), Lavum-Plus-Funktionen (Mein Weg, Cost-Snapshot, Smart-Match), Watchlist, News-Feed und kuratierte deutschsprachige Kanäle pro Land.

II.2 Welche Daten erheben wir?

Beim Anlegen eines Accounts und bei der App-Nutzung verarbeiten wir folgende Datenkategorien:

• Account-Daten: E-Mail-Adresse (oder Apple-/Google-Sign-In-Identifier), eindeutige User-ID
• Profildaten: Heimat-Land, Persona-Wahl, Slider-Präferenzen, Smart-Match-Eingaben
• Nutzungsdaten: Match-Runs, Country-Follows (Watchlist), gelesene News-Artikel, Engagement-Milestones, Trigger-Events der Paywall
• Partner-Link-Klicks: ob du einen als Anzeige gekennzeichneten Partner-Hinweis eingeblendet bekommen und angetippt hast (siehe II.9) — als Ereignis ohne Inhalt des Zielangebots
• Subscription-Daten: bei Lavum-Plus-Kauf: Apple-/Google-Subscription-Receipt, Subscription-Status, App-User-ID
• Geräte-Identifier: anonyme Device-ID für Analytics (kein Werbe-Identifier IDFA/GAID)
• Diagnosedaten: Crash-Logs, Performance-Traces und Diagnostic-Breadcrumbs via Sentry (siehe II.3.h) — vor Übermittlung werden E-Mail- und JWT-Patterns clientseitig durch einen Scrubber entfernt; sendDefaultPii=false blockt automatische IP- und Cookie-Erfassung; keine Bindung an User-IDs (Sentry-Events sind anonyme Device-Marker)

Wir erheben keine Standortdaten (weder GPS noch Geo-IP-Lookup — die IP-Adresse wird beim Analytics-Anbieter PostHog vor Speicherung verworfen, siehe II.7), keine Kontakte, keinen Kalender, keine Fotos, kein Mikrofon, keine Werbe-Identifier.

II.3 Auftragsverarbeiter / eingesetzte Dienstleister

Zur Erbringung der App-Funktionalität setzen wir folgende Auftragsverarbeiter ein. Mit allen besteht ein Auftragsverarbeitungsvertrag (DPA) gemäß Art. 28 DSGVO. Datenübermittlung in Drittländer ist mit Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO bzw. Angemessenheitsbeschluss (DPF) nach Art. 45 DSGVO abgesichert.

II.3.a Apple Inc.

• Anbieter: Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA
• Zweck: iOS-Subscription-Verwaltung (Receipt-Validation), App-Distribution über App Store
• Datentypen: Apple-User-Identifier (bei Apple-Sign-In), Subscription-Receipts
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
• Drittland: USA — EU-US Data Privacy Framework (Apple zertifiziert)
• Datenschutz: apple.com/legal/privacy

II.3.b Google LLC / Google Ireland Limited

• Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Hauptverarbeiter EU); Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA
• Zweck: Android-Subscription-Verwaltung (Google Play Billing), Google-Sign-In, Push-Notifications (FCM, geplant)
• Datentypen: Google-Account-Identifier (bei Google-Sign-In), Subscription-Receipts, Push-Token
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO
• Drittland: Datenverarbeitung primär EU; Übermittlung in die USA möglich via Data Privacy Framework
• Datenschutz: policies.google.com/privacy

II.3.c Supabase Inc.

• Anbieter: Supabase Inc., 970 Toa Payoh North #07-04, Singapore 318992 (Holding); Hosting in der EU (Frankfurt am Main, Deutschland)
• Zweck: Auth-Service, Postgres-Datenbank (mit Row-Level-Security), Edge Functions
• Datentypen: E-Mail-Adresse, User-UUID, Auth-Tokens, alle App-Inhaltsdaten (Heimat-Land, Watchlist, Match-History, Plan-Notes)
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO
• Drittland: nein (EU-Hosting)
• DPA + Datenschutz: supabase.com/privacy

II.3.d RevenueCat Inc.

• Anbieter: RevenueCat Inc., 45 Fremont Street, Suite 3300, San Francisco, CA 94105, USA
• Zweck: cross-platform Subscription-State-Management (synchronisiert Apple- und Google-Subscriptions)
• Datentypen: App-User-ID (= Supabase-UUID), Subscription-Receipts, Subscription-Status
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO
• Drittland: USA — Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO
• DPA + Datenschutz: revenuecat.com/privacy

II.3.e PostHog Inc.

• Anbieter: PostHog Inc., 965 Mission St, Suite 1019, San Francisco, CA 94103, USA; EU-Hosting Frankfurt am Main, Deutschland (eu.posthog.com)
• Zweck: Produkt-Analytics (Funnel + Retention + Feature-Usage zur Verbesserung der App)
• Datentypen: anonyme Device-ID, User-UUID nach Login, App-Interaktions-Events, E-Mail-Domain als User-Property (z. B. gmail.com — nicht die volle E-Mail-Adresse)
• IP-Adresse: wird vor Persistierung serverseitig verworfen (Project-Setting "Discard client IP data" aktiv); keine Geo-IP-Anreicherung — die GeoIP-Transformation in der PostHog-Pipeline ist deaktiviert
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Produktverbesserung). Du kannst der Verarbeitung jederzeit per In-App-Toggle widersprechen (Profil → Analytics deaktivieren) — danach werden keine weiteren Events erfasst.
• Drittland: nein (EU-Hosting Frankfurt; Konto-Setup über PostHog US-Holding, aber Daten verbleiben in EU)
• DPA + Datenschutz: posthog.com/privacy

II.3.f DeepSeek (Hangzhou DeepSeek Artificial Intelligence Co., Ltd.)

• Anbieter: Hangzhou DeepSeek Artificial Intelligence Fundamental Technology Research Co., Ltd., Hangzhou, Zhejiang, Volksrepublik China
• Zweck: LLM-basiertes Re-Ranking von Match-Ergebnissen (Smart-Match-Feature)
• Inhalt der Übermittlung: ausschließlich sanitisierte Match-Eingaben (auf max. 2000 Zeichen gekürzt) — kein Name, keine E-Mail, keine User-ID, keine IP-Adresse, keine Geräte-Identifier
• Rechtliche Einordnung: aufgrund der vollständigen Entkopplung von identifizierenden Merkmalen liegt nach unserer Auffassung kein Personenbezug im Sinne von Art. 4 Nr. 1 DSGVO vor — ein Rückschluss auf eine identifizierte oder identifizierbare natürliche Person ist mangels zusätzlicher Daten beim Empfänger praktisch nicht möglich. Hilfsweise stützen wir die Übermittlung auf Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Match-Re-Ranking ist Kernfunktion der Smart-Match-Funktion).
• Drittland: Volksrepublik China — kein Angemessenheitsbeschluss der EU-Kommission. Da nach unserer rechtlichen Einordnung keine personenbezogenen Daten übermittelt werden, sind die besonderen Anforderungen von Kapitel V DSGVO nicht einschlägig. Wir behalten uns vor, mittelfristig zusätzlich einen Auftragsverarbeitungsvertrag und Standardvertragsklauseln (SCC) nach Art. 46 DSGVO mit DeepSeek abzuschließen oder den Anbieter durch einen EU-ansässigen LLM-Dienstleister zu ersetzen.
• Datenschutz: platform.deepseek.com/privacy

II.3.g Resend Inc.

• Anbieter: Resend Inc., 228 Park Ave S, PMB 50111, New York, NY 10003-1502, USA
• Zweck: transaktionaler E-Mail-Versand (Account-Bestätigungen, Passwort-Reset)
• Datentypen: E-Mail-Adresse (Empfänger), Mail-Inhalte (transaktional)
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO
• Drittland: USA — EU-US Data Privacy Framework (Resend zertifiziert)
• Datenschutz: resend.com/legal/privacy-policy

II.3.h Sentry (Functional Software, Inc. / Sentry GmbH)

• Anbieter: Functional Software, Inc., 132 Hawthorne Street, San Francisco, CA 94107, USA (Holding); EU-Niederlassung: Sentry GmbH, Schönhauser Allee 9-10, 10119 Berlin, Deutschland; EU-Hosting: de.sentry.io (Frankfurt)
• Zweck: Crash- und Error-Reporting (Stabilisierung der App), Performance-Tracing zur Diagnose von Latenzen und Backend-Engpässen
• Datentypen: Stacktrace, Event-Type, App-Version, Platform/Device-Type, Session-ID, Diagnostic-Breadcrumbs (UI-Navigation, Network-Calls); keine User-ID, keine E-Mail-Adresse, keine IP-Adresse (durch sendDefaultPii=false + clientseitigen beforeSend-Scrubber für E-Mail- und JWT-Patterns)
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer stabilen, sicheren und performanten App)
• Drittland: Soll-Stand EU-Region (de.sentry.io, Hosting Frankfurt). Bei US-Region-Konfiguration zusätzlich SCC nach Art. 46 DSGVO + Data Privacy Framework (Sentry US-zertifiziert) anwendbar.
• Sample-Rate: Performance-Traces 10 % im Produktionsbetrieb (Crash-Events 100 %)
• Datenschutz: sentry.io/privacy

II.4 Datenübermittlung in Drittländer (Übersicht)

Eine Übermittlung personenbezogener Daten in Drittländer außerhalb der EU/des EWR findet bei folgenden Empfängern statt, jeweils auf Basis Art. 45 DSGVO (Angemessenheitsbeschluss / Data Privacy Framework) oder Art. 46 DSGVO (Standardvertragsklauseln):

• USA: Apple, Google (anteilig), RevenueCat, Resend — DPF / SCC

Bei der Übermittlung an DeepSeek (China, siehe II.3.f) liegen nach unserer rechtlichen Einordnung mangels identifizierender Merkmale keine personenbezogenen Daten vor; die Anforderungen von Kapitel V DSGVO sind daher nicht einschlägig.

II.5 Push-Benachrichtigungen

Push-Benachrichtigungen werden ausschließlich nach deiner ausdrücklichen Opt-In-Bestätigung (System-Permission) versendet. Du kannst sie jederzeit in den Einstellungen deines Geräts oder in der App deaktivieren. Versand-Infrastruktur: Apple Push Notification Service (APNs) bzw. Firebase Cloud Messaging (FCM, Android — geplant).

II.6 Mindestalter

Allgemeine App-Nutzung: Mindestalter 16 Jahre. Hintergrund: nach Art. 8 DSGVO (i.V.m. der nationalen Festlegung in Deutschland) ist die Einwilligung in die Verarbeitung personenbezogener Daten durch Anbieter von Diensten der Informationsgesellschaft erst ab vollendetem 16. Lebensjahr ohne Zustimmung der Erziehungsberechtigten wirksam.

II.7 Account-Löschung

Du kannst deinen Account jederzeit über Profil → Konto löschen in der App löschen. Bei Löschung werden alle in Supabase gespeicherten Daten unwiderruflich entfernt; Apple-/Google-Auth-Tokens werden serverseitig revoziert; die PostHog-Analytics-Identifikation wird zurückgesetzt; aktive Subscriptions müssen separat über das jeweilige App-Store-Konto gekündigt werden (Apple- bzw. Google-Account Settings).

II.8 Speicherdauer

• Account-Daten: bis zur Löschung des Accounts
• Subscription-Receipts: 10 Jahre (gesetzliche Aufbewahrungsfrist § 147 AO)
• PostHog-Analytics-Events: 7 Jahre (PostHog-Default für EU-Projekte; Anonymisierung nach Account-Löschung)
• Vercel-Server-Logs (Website): 30 Tage

II.9 Partner-Links (Affiliate)

An einzelnen Stellen der App zeigen wir dir Hinweise auf Angebote Dritter (z. B. Konten, eSIM-Tarife, Auslands-Krankenversicherungen, Umzugsanbieter, Sprachkurse). Diese Hinweise sind in der App als Anzeige gekennzeichnet. Erhalten wir im Erfolgsfall eine Provision, ändert das für dich nichts am Preis.

Solange du einen solchen Hinweis nur siehst, werden keine Daten an den Anbieter übermittelt. Die Hinweise werden aus unserer eigenen Datenbank geladen; es sind keine Werbe-Skripte, Tracking-Pixel oder iFrames Dritter in der App eingebunden.

Erst wenn du einen Partner-Hinweis antippst, öffnet sich der Link im Browser deines Geräts. Dabei erhält der jeweilige Anbieter — wie bei jedem Aufruf einer Website — technisch notwendige Daten, insbesondere deine IP-Adresse, Angaben zu Browser und Betriebssystem sowie eine Partner-Kennung, über die er die Zuordnung zu Lavum vornimmt. Anbieter setzen hierfür in der Regel Cookies oder vergleichbare Technologien ein, um einen späteren Vertragsabschluss uns zuordnen zu können. Wir haben auf diese Verarbeitung keinen Einfluss; es gilt die Datenschutzerklärung des jeweiligen Anbieters, die du auf dessen Seite findest.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Finanzierung des kostenlosen Angebots). Die Übermittlung findet ausschließlich durch deine bewusste Handlung — den Tap auf den Hinweis — statt. Tippst du nicht, findet sie nicht statt.

Was wir selbst speichern: in unserer eigenen Analytics (PostHog, siehe II.3) halten wir fest, dass ein Hinweis eingeblendet bzw. angetippt wurde, um die Nützlichkeit der Platzierung zu bewerten. Diese Ereignisse enthalten keine Angaben darüber, ob oder was du beim Anbieter abschließt — davon erfahren wir nur eine aggregierte Abschluss-Zahl ohne Personenbezug.

Eine Liste der aktuell eingebundenen Partner findest du jeweils direkt an der Stelle in der App, an der der Hinweis erscheint. Du kannst Partner-Hinweise ignorieren; die Nutzung von Lavum ist davon in vollem Umfang unabhängig.

3. Deine Rechte (gilt für Website + App)

Du hast jederzeit folgende Rechte gegenüber uns als Verantwortlichem:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch (Art. 21 DSGVO)
• Recht auf Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO)
• Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Zur Geltendmachung deiner Rechte genügt eine formlose Mitteilung an patrick@kornmueller-consulting.de.

Zuständige Aufsichtsbehörde: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, lda.bayern.de.

4. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder Änderungen unserer Leistungen widerspiegelt. Für deinen erneuten Besuch oder die weitere App-Nutzung gilt dann die jeweils aktuelle Datenschutzerklärung.

Stand: Juli 2026