Datenschutzerklärung
Stand: 22. September 2026
1. Verantwortliche Stelle
T. Marbet
6004 Luzern, Schweiz
E-Mail: [email protected]
Plattform: aromakompass.ch
2. Grundsatz
Aromakompass verarbeitet so wenig personenbezogene Daten wie möglich. Wir verkaufen keine Daten. Tracking-Dienste Dritter (Reichweitenmessung, Marketing-Pixel) setzen wir nur ein, wenn Sie über den Cookie-Banner ausdrücklich zustimmen. Vor Ihrer Zustimmung wird kein Tracking-Script geladen.
3. Welche Daten wir erheben
- E-Mail-Adresse (für Login und Kontakt)
- Kein Pflichtname, Vorname, Nachname, Ort, Kanton und Betriebsart werden freiwillig im Onboarding angegeben
- Suchverlauf (letzte Suchanfragen, lokal in der App gespeichert)
- Gespeicherte Pairings und Kollektionen (auf Wunsch des Nutzers)
- Welches der 10 Profi-Tools Sie öffnen und wie lange (ohne Cookie, first-party auf unserem Server), ausschliesslich zur internen Auswertung, welche Funktionen genutzt werden
- Ob Sie gerade aktiv eingeloggt sind (kurzes „Heartbeat"-Signal alle 60 Sekunden, first-party über die bestehende Login-Sitzung, kein neues Cookie), damit wir z.B. Wartungsarbeiten nicht mitten in Ihrer Nutzung durchführen
- Session-Cookies für die Authentifizierung (kein Tracking)
- Server-Logs (IP-Adresse, Zeitstempel), automatisch nach 7 Tagen gelöscht
- Zeitpunkt des letzten Logins (Standard-Funktion unseres Auth-Anbieters Supabase, zur Konto- und Sicherheitsübersicht)
- Anonymisierte technische Metadaten zur Lizenzkontrolle (Geräte-Fingerabdruck, Sitzungszähler), siehe AGB 8.7
4. Wo Ihre Daten gespeichert werden
Alle personenbezogenen Daten werden ausschliesslich auf Servern in Europa gespeichert und verarbeitet:
Server-Standort: Zürich, Schweiz, Region eu-central-2 (explizit konfiguriert). Anbieter: Supabase Inc., Oakland, CA, USA. Data Processing Agreement (DPA) für EU/DSGVO abgeschlossen. Keine Datenspeicherung ausserhalb der Schweiz / EU.
supabase.com/privacyHosting explizit auf Cloudflare Pages mit Präferenz Schweiz / Westeuropa konfiguriert. Nächste Edge-Knoten: Zürich und Frankfurt. Anbieter: Cloudflare, Inc., San Francisco, CA, USA. Data Processing Addendum (DPA) für europäische Nutzer liegt vor.
cloudflare.com/privacypolicyGitHub verwaltet ausschliesslich den Quellcode des Frontends (kein Nutzerdaten, keine personenbezogenen Informationen). Das Repository ist privat. GitHub hat keinen Zugriff auf Nutzerdaten der Plattform. DPA Europa liegt vor.
docs.github.com/privacy-policiesFür den Kauf von Lifetime Personal und Lifetime Enterprise per Kreditkarte oder TWINT setzen wir den Zahlungsdienstleister Stripe ein. Stripe verarbeitet dabei die zur Zahlungsabwicklung notwendigen Daten (u. a. Zahlungsmittel-, Bestell- und Kontaktdaten) in eigener Verantwortung. Anbieter: Stripe Payments Europe, Ltd., Dublin, Irland (für Kund:innen in der Schweiz/EU). Rechnungskäufe (E-Mail-Anfrage) sowie Schul- und grössere Enterprise-Lizenzen laufen ohne Stripe.
stripe.com/ch/privacyWeitere Drittanbieter werden nicht eingesetzt. Keine Werbenetzwerke, keine externen Fonts. Google Analytics 4 und Microsoft Clarity werden ausschliesslich nach Einwilligung geladen, siehe Abschnitt „Cookie-Banner und einwilligungsbasierte Dienste" unten.
5. Cookies, lokaler Speicher und Tracking
| Bezeichnung | Art | Zweck | Speicherdauer |
|---|---|---|---|
| sb-*-auth-token | localStorage | Anmeldung / Session (Supabase Auth) | Bis zur Abmeldung |
| aromakompass_consent_v1 | localStorage | Ihre Cookie-Banner-Entscheidung (Essentiell / Statistik / Marketing) | Dauerhaft, bis Widerruf via Footer-Link |
| fg_pairing_mode | localStorage | Voreinstellung Suchmodus (Aromaprofil / Chemisch) | Dauerhaft, bis Löschung |
| pendingInviteCode | localStorage | Einladungscode während Registrierung zwischenspeichern | Bis Registrierung abgeschlossen |
| aromakompass_first_touch | localStorage (first-party, kein Consent nötig, keine Besucher-ID) | Einmaliger Schnappschuss des allerersten Seitenaufrufs (verweisende Seite, Kanal wie Instagram/organische Suche/Direkt, zuerst besuchte Seite), damit bei einer späteren Registrierung sichtbar ist, über welchen Kanal Sie uns gefunden haben. Verlässt den Browser nur, wenn Sie sich tatsächlich registrieren. | Dauerhaft, bis Löschung im Browser |
| aromakompass_visitor_id | localStorage (first-party, nur nach Statistik-Einwilligung) | Zufällige, nicht mit einer Person verknüpfte ID zur Erkennung wiederkehrender anonymer Besucher in unserer internen Tool-Nutzungsstatistik. | Dauerhaft, bis Widerruf via Footer-Link |
| _ga | Cookie (Google Analytics 4) | Distinct-User-Identifier, IP-anonymisiert. Wird beim ersten Seitenaufruf gesetzt. | 2 Jahre |
| _ga_1YM2NK7LES | Cookie (Google Analytics 4) | Session-State der GA4-Property G-1YM2NK7LES | 2 Jahre |
| _clck | Cookie (Microsoft Clarity) | Verknüpft mehrere Seitenbesuche derselben Person zu einer Clarity-Nutzer-ID. | 1 Jahr |
| _clsk | Cookie (Microsoft Clarity) | Verknüpft mehrere Seitenaufrufe innerhalb einer Sitzung zu einer Clarity-Sitzungs-ID. | 1 Tag |
- Anonymisierte Gerätesignatur (Hash) sowie verkürzter User-Agent. Zweck: Erkennen missbräuchlicher Account-Weitergabe bei Lifetime-Zugängen (AGB 8.7). Speicherdauer: 90 Tage. Rechtsgrundlage: Art. 6 nDSG (berechtigtes Interesse des Betreibers).
- Google Tag Manager (GA4 wird direkt geladen, ohne GTM-Container)
- Meta/Facebook Pixel, TikTok-Pixel (nur falls künftig mit Marketing-Consent aktiviert, siehe d)
- Werbenetzwerke, Retargeting
- Weitere Heatmap-/Session-Recording-Anbieter ausser Microsoft Clarity (z.B. Hotjar), siehe d)
- Externe Fonts (Bodoni Moda, Space Grotesk und JetBrains Mono werden lokal mit der Plattform ausgeliefert, keine Verbindung zu Google Fonts)
- Cross-Site-Tracking jeglicher Art
Beim ersten Besuch erscheint ein Einwilligungsbanner mit drei Kategorien. Sie entscheiden granular und können Ihre Wahl jederzeit über den Link „Cookie-Einstellungen" im Footer ändern oder widerrufen.
- Essentiell (immer aktiv): Anmeldung, Spracheinstellungen, Lizenzkontrolle. Ohne diese funktioniert die Plattform nicht. Rechtsgrundlage: berechtigtes Interesse (Art. 6 nDSG).
- Statistik, eigene Besucher-Wiedererkennung (first-party, kein Drittanbieter): wenn Sie hier zustimmen, legen wir eine zufällige ID im Schlüssel
aromakompass_visitor_idan, um zu zählen, ob ein anonymer Besuch bei uns wiederkehrend oder einmalig ist. Diese ID lässt sich zu keinem Zeitpunkt einer Person zuordnen, verlässt unseren Server nicht und wird nur zur internen Auswertung genutzt, welche Tools ausprobiert werden. Rechtsgrundlage: Art. 31 nDSG / Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse Reichweitenmessung), dieselbe Einwilligung wie für die untenstehenden Dienste. - Statistik, Google Analytics 4 (Google Ireland Limited, Measurement-ID
G-1YM2NK7LES) wird beim ersten Seitenaufruf geladen und setzt die Cookies_gaund_ga_1YM2NK7LES(2 Jahre Speicherdauer). IP-Anonymisierung aktiv, kein Cross-Site-Tracking, keine Profilbildung über externe Quellen. Pageviews werden manuell bei jedem Navigations-Schritt gesendet (send_page_view: false+ explizitertrackPageView). Events enthalten zusätzlich, ob Sie zum Zeitpunkt eingeloggt waren oder nicht, damit wir intern zwischen registrierten und anonymen Besuchen unterscheiden können, ohne einzelne Personen zu identifizieren. Rechtsgrundlage: Art. 31 nDSG / Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse Reichweitenmessung). Datenübertragung in die USA über EU-Standardvertragsklauseln. Opt-out via Google Analytics Opt-Out Browser-Add-on. - Statistik, Microsoft Clarity (Microsoft Ireland Operations Limited, Projekt-ID
xmgag2ua8w) zeichnet Mausbewegungen, Klicks und Scroll-Verhalten auf (Session Recordings, Heatmaps), um die Bedienbarkeit der Plattform zu verbessern. Wird erst nach Zustimmung geladen und setzt die Cookies_clck(1 Jahr) und_clsk(1 Tag). Texteingaben in Formularfeldern (u.a. Zahlungsdaten) werden von Clarity standardmässig automatisch maskiert und nicht im Klartext aufgezeichnet. Rechtsgrundlage: Art. 31 nDSG / Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse UX-Optimierung). Mehr dazu in der Microsoft Clarity Datenschutzerklärung. - Marketing (opt-in): Erfolgsmessung von Werbekampagnen (Meta-Pixel für Facebook und Instagram). Wird erst geladen, wenn wir tatsächlich Werbung schalten und Sie dem Marketing-Slider zustimmen.
Vor Ihrer Zustimmung werden weder Plausible noch GA4 noch Microsoft Clarity noch ein Meta-Pixel geladen, kein Drittanbieter-Request, keine IP-Übermittlung in die USA. Die Einwilligung wird ausschliesslich lokal im Browser unter dem Schlüsselaromakompass_consent_v1gespeichert (kein Cookie).
6. E-Mail-Kommunikation
Wir unterscheiden zwei Arten von E-Mails an registrierte Nutzer:
- Konto- und Sicherheits-E-Mails (Registrierungsbestätigung, Passwort zurücksetzen, Ablauf des Testzugangs, Rechnungen): notwendig für den Betrieb Ihres Kontos, werden unabhängig von der Marketing-Einwilligung immer versendet.
- Marketing-E-Mails (Neuigkeiten, Tool-Vorstellungen, Tipps, Angebote): nur mit Ihrer Einwilligung. Beim Onboarding ist die entsprechende Checkbox standardmässig aktiviert (Opt-out): Sie können sie dort direkt abwählen oder die Einwilligung jederzeit unter Profil → E-Mail-Einstellungen widerrufen. Eine Abmeldung wirkt sofort und hat keinen Einfluss auf Ihren Zugang zur Plattform.
Für den Versand nutzen wir unseren E-Mail-Anbieter (Supabase bzw. den dahinterliegenden SMTP-Dienst, siehe Abschnitt 4). Ihre E-Mail-Adresse wird nicht an Dritte für deren eigene Marketingzwecke weitergegeben.
7. Ihre Rechte
Sie haben jederzeit das Recht auf Auskunft, Berichtigung, Löschung und Datenportabilität.
- Auskunft über gespeicherte Daten
- Berichtigung falscher Daten
- Löschung Ihres Accounts und aller Daten
- Datenportabilität (Export Ihrer Daten auf Anfrage)
- Widerspruch gegen bestimmte Verarbeitungen
Account-Löschung: Unter Einstellungen → Account löschen. Anfragen: [email protected]
8. Anwendbares Recht
Diese Datenschutzerklärung richtet sich nach dem Schweizer Datenschutzgesetz (nDSG, in Kraft seit 1. September 2023) sowie, soweit anwendbar, der EU-Datenschutz-Grundverordnung (DSGVO/GDPR).
9. Änderungen
Wir informieren bei wesentlichen Änderungen per E-Mail an die hinterlegte Adresse. Die jeweils aktuelle Fassung ist auf der Plattform unter aromakompass.ch/datenschutz abrufbar.