Verantwortlicher im Sinne der DSGVO ist: Lennart Hagen, Claas-Tholen-Straße 19a, 26725 Emden, Deutschland, E-Mail: anfrage@don-leo.de.
Die Website wird bei der STRATO GmbH (Otto-Ostrowski-Straße 7, 10249 Berlin) gehostet. Damit die Seiten an dein Gerät ausgeliefert werden können, muss deine IP-Adresse beim Verbindungsaufbau technisch zwingend verarbeitet werden – ohne sie ist keine Auslieferung möglich (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an der Bereitstellung und Sicherheit der Website).
Nach den Angaben von STRATO gilt darüber hinaus: Die IP-Adressen der Besucher werden zur Erkennung und Abwehr von Angriffen für maximal 7 Tage gespeichert. Die dem Betreiber bereitgestellten Webhosting-Logfiles (mit Angaben wie Datum und Uhrzeit des Zugriffs, aufgerufener Seite bzw. Datei, Referrer, Browsertyp/User-Agent und Statusangaben) reichen 6 Wochen zurück; die IP-Adresse bzw. der Hostname wird darin von STRATO anonymisiert, sodass der Betreiber selbst keine vollständigen Besucher-IP-Adressen einsehen kann. Mit STRATO besteht ein Vertrag zur Auftragsverarbeitung.
Für Nutzerkonten, Beiträge, Bilder und alle Community-Funktionen nutzt Don Leo den Dienst Supabase. Vertragspartner und Auftragsverarbeiter ist die Supabase Pte. Ltd., Singapur. Datenbank, Anmeldedienst (Auth) und Dateispeicher des Projekts werden in der Europäischen Union betrieben (Rechenzentrums-Region Irland). Es besteht ein Vertrag zur Auftragsverarbeitung (Data Processing Addendum) einschließlich EU-Standardvertragsklauseln für Übermittlungen in Drittländer wie Singapur oder die USA. Unterauftragsverarbeiter – etwa die Supabase, Inc. (USA), soweit sie nach der offiziellen Subprozessoren-Liste z. B. für Support eingesetzt wird – ergeben sich aus den offiziellen Supabase-Rechtsdokumenten (Data Processing Addendum und Subprozessoren-Liste), abrufbar auf supabase.com.
Anmelde-Tokens: Nach dem Login speichert dein Browser einen Zugriffs- und einen Erneuerungs-Token (Access-/Refresh-Token) im localStorage, damit du eingeloggt bleibst. Bei jeder angemeldeten Anfrage wird der Zugriffstoken an Supabase übertragen – er dient ausschließlich der Anmeldung und Zugriffssteuerung und wird nicht für Werbung oder Tracking eingesetzt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; die Speicherung im Browser ist technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).
Wichtig: Don Leo ist ein soziales Netzwerk. Folgende Inhalte sind öffentlich und können von allen Besucherinnen und Besuchern eingesehen werden – auch ohne Nutzerkonto (Gast-Ansicht):
Deine E-Mail-Adresse ist niemals öffentlich sichtbar. Bitte lade keine Fotos hoch, auf denen andere Personen erkennbar sind, ohne deren Einwilligung. Eigene Beiträge kannst du jederzeit löschen.
Für die aktive Teilnahme ist ein Konto erforderlich. Verarbeitet werden: E-Mail-Adresse, Passwort und deine freiwilligen Profilangaben. Das von dir eingegebene Passwort wird zur Anmeldung transportverschlüsselt (HTTPS/TLS) an den Anmeldedienst Supabase Auth übertragen; gespeichert wird es dort nicht im Klartext, sondern ausschließlich als kryptografischer Hashwert, der für den Betreiber nicht einsehbar ist. Zur Bestätigung der Registrierung wird eine E-Mail an die angegebene Adresse versendet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Passwörter müssen mindestens 12 Zeichen lang sein. Don Leo richtet sich ausschließlich an Personen ab 18 Jahren; bei der Registrierung bestätigst du dein Mindestalter, und der Zeitpunkt dieser Bestätigung sowie die akzeptierte Fassung der Nutzungsbedingungen werden im Anmeldedatensatz gespeichert. Ein Geburtsdatum wird nicht erhoben.
Gespeichert werden: wem du folgst bzw. wer dir folgt, deine Likes und Kommentare sowie daraus abgeleitete Mitteilungen in der App (z. B. „X gefällt dein Shot“). Ebenfalls gespeichert werden von dir vorgenommene Blockierungen und Stummschaltungen: Diese Listen sind ausschließlich für dich selbst einsehbar; bei einer Blockierung werden Folgen, Direktnachrichten und neue Interaktionen zwischen beiden Konten technisch unterbunden, ohne dass die andere Person Details dazu erfährt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.
Direktnachrichten werden in der Supabase-Datenbank gespeichert. Zugriffsregeln (Row Level Security) beschränken den Lesezugriff über die App auf Absender und Empfänger; andere Nutzer können fremde Nachrichten nicht abrufen. Die Nachrichten sind nicht Ende-zu-Ende-verschlüsselt: Der Betreiber kann als Verantwortlicher der Datenbank technisch auf gespeicherte Nachrichten zugreifen. Ein solcher Zugriff erfolgt nicht anlasslos, sondern nur bei konkreten Anhaltspunkten für Rechtsverstöße (z. B. nach einer Meldung) oder aufgrund gesetzlicher Verpflichtung. Löscht einer der Beteiligten sein Konto, wird die gesamte Konversation gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, bei Missbrauchsprüfung Art. 6 Abs. 1 lit. f DSGVO.
Profilbilder und Shot-Fotos werden vor dem Upload im Browser verkleinert und als JPEG im Supabase-Dateispeicher (Region Irland) abgelegt. Hochgeladene Bilder sind öffentlich abrufbar (siehe Ziffer 4). Für die schnelle Auslieferung nutzt Supabase Storage eine geografisch verteilte CDN-Infrastruktur; Kopien öffentlicher Dateien können dabei vorübergehend auch auf Servern außerhalb Irlands bzw. der EU zwischengespeichert werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Meldest du als angemeldeter Nutzer einen Beitrag in der App, werden Beitrags-ID, dein Konto als meldende Person, Grund und Zeitpunkt gespeichert. Über die öffentliche Seite „Inhalt melden“ kannst du auch ohne Konto melden; dabei werden die von dir eingetragenen Angaben (Art des Inhalts, Link/ID, Grund, Beschreibung sowie freiwillig Name und E-Mail-Adresse) gespeichert. Die Meldungen sind nicht öffentlich, sondern nur für den Betreiber einsehbar und dienen der Prüfung und Moderation (Art. 6 Abs. 1 lit. f DSGVO, Erfüllung der Pflichten aus der Verordnung (EU) 2022/2065 – DSA – nach Art. 6 Abs. 1 lit. c DSGVO). Freiwillige Kontaktangaben werden für Rückfragen, die Eingangsbestätigung und die Mitteilung der Entscheidung verwendet. Gespeichert werden außerdem der Zeitpunkt der Meldung sowie der Bearbeitungsstand bzw. die getroffene Moderationsentscheidung. Meldungen und die zugehörige Dokumentation werden gelöscht, sobald sie für die Bearbeitung und den Nachweis der Entscheidung nicht mehr erforderlich sind.
Bei Nutzung des Kontaktformulars werden Name (freiwillig), E-Mail-Adresse, Nachricht und der Zeitpunkt der Übermittlung verschlüsselt (HTTPS) an die Supabase-Datenbank übertragen, dort gespeichert und vom Betreiber gelesen und beantwortet. Die Anfragen werden gelöscht, sobald ihre Bearbeitung abgeschlossen ist und keine gesetzlichen Aufbewahrungsgründe entgegenstehen. Bei einer E-Mail an anfrage@don-leo.de werden die übermittelten Daten zur Bearbeitung der Anfrage verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.
Der Barista-Coach ist ein regelbasiertes Hilfsmittel: Du wählst ein vorgegebenes Geschmacksproblem aus und erhältst fest hinterlegte Empfehlungen; zusätzlich können öffentliche Community-Beiträge zu deiner Bohne als Vergleich angezeigt werden. Es findet keine Kommunikation mit externen KI-Diensten statt, und deine Auswahl wird nicht gespeichert.
Gespeichert werden ausschließlich: die unter Ziffer 3 beschriebenen Anmelde-Tokens sowie – wenn du im Quicktipp-Fenster „Nicht mehr anzeigen“ wählst – eine Einstellung zum Ausblenden der Anfänger-Tipps. Beides ist technisch erforderlich bzw. von dir ausdrücklich gewünscht (§ 25 Abs. 2 Nr. 2 TDDDG). Es werden keine Cookies und keine Technologien zu Werbe-, Analyse- oder Trackingzwecken eingesetzt.
Alle Icons und JavaScript-Bibliotheken (einschließlich der Supabase-Bibliothek) werden lokal von don-leo.de geladen; die Schriften stammen aus deinem Betriebssystem. Beim normalen Seitenaufruf werden daher keine Inhalte von Drittanbieter-CDNs oder Schriftdiensten (z. B. Google Fonts, Cloudflare/cdnjs, jsDelivr) nachgeladen.
Empfehlungs-Links zu Amazon (Amazon-Partnerprogramm; als Amazon-Partner verdiene ich an qualifizierten Verkäufen) und der freiwillige PayPal-Unterstützungslink sind reine Verlinkungen: Beim Aufruf der Website werden keine Inhalte von Amazon oder PayPal geladen. Erst wenn du bewusst auf einen solchen Link klickst, verlässt du diese Website, und der jeweilige Anbieter verarbeitet Daten in eigener Verantwortung (Amazon EU S.à r.l.; PayPal (Europe) S.à r.l. et Cie, S.C.A.). Es gelten dann deren Datenschutzerklärungen. Zahlungen über den PayPal-Link sind freiwillige Unterstützungen des Projekts und keine steuerbegünstigten Spenden; eine Spendenbescheinigung kann nicht ausgestellt werden. Der Betreiber erhält von PayPal die üblichen Transaktionsangaben (z. B. Name, Betrag, Zeitpunkt) und bewahrt diese auf, soweit es für die Abwicklung und etwaige gesetzliche Pflichten erforderlich ist.
Empfänger deiner Daten sind: die STRATO GmbH (Hosting) und Supabase (Supabase Pte. Ltd. als Auftragsverarbeiter, siehe Ziffer 3 – Datenbank, Anmeldung, Dateispeicher). Datenbank, Anmeldedienst und Dateispeicher werden in der EU betrieben (Region Irland); öffentliche Dateien können über die CDN-Infrastruktur von Supabase vorübergehend auch außerhalb der EU zwischengespeichert werden. Eine Übermittlung in Drittländer (insbesondere Singapur und USA) kann im Rahmen des Vertragsverhältnisses mit Supabase (z. B. Support, technische Dienste, Unterauftragsverarbeiter) stattfinden und erfolgt auf Grundlage von Art. 46 DSGVO (EU-Standardvertragsklauseln im Rahmen des Data Processing Addendums). Weitere Drittanbieter werden beim normalen Seitenaufruf nicht kontaktiert. Eine Weitergabe an sonstige Dritte erfolgt nur bei gesetzlicher Verpflichtung.
Konto- und Community-Daten werden gespeichert, solange dein Nutzerkonto besteht. Eigene Beiträge und Kommentare kannst du jederzeit in der App löschen. Dein gesamtes Konto kannst du direkt in der App löschen (Profil → Konto endgültig löschen); dabei werden Profil, Beiträge, Kommentare, Likes, Follows, Direktnachrichten, hochgeladene Bilder und das Anmeldekonto gelöscht. Alternativ genügt eine formlose E-Mail. Meldungen und Kontaktanfragen werden gespeichert, solange dies zur Bearbeitung und zur Erfüllung rechtlicher Pflichten erforderlich ist, und anschließend gelöscht.
Widerspruchsrecht (Art. 21 DSGVO): Du hast das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit gegen Verarbeitungen zu widersprechen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen. Wende dich dazu an anfrage@don-leo.de.
Beschwerderecht: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, z. B. bei der Landesbeauftragten für den Datenschutz Niedersachsen.
Diese Datenschutzerklärung wird angepasst, wenn sich die Website oder die eingesetzten Dienste ändern. Es gilt die jeweils hier veröffentlichte Fassung.
Stand: August 2026