Datenschutzerklärung

Stand: Oktober 2026

Datenschutz ist der Grund, warum es sorahub gibt. Hier steht, welche Daten wir verarbeiten, warum, wie lange und welche Rechte du hast – so konkret wie möglich.

1. Verantwortlicher

[Vor- und Nachname bzw. Firma]
[Straße und Hausnummer]
[PLZ Ort]
Deutschland

E-Mail: info@sorahub.app
Telefon: [Telefonnummer]

Einen Datenschutzbeauftragten müssen wir nicht benennen. Bei Fragen zum Datenschutz schreib uns einfach an info@sorahub.app.

2. Zwei Rollen: Plattform und Bio-Seiten

Für sorahub.app selbst (Startseite, Registrierung, Dashboard, Bezahlung) sind wir Verantwortliche im Sinne der DSGVO. Darum geht es in dieser Erklärung.

Für die Bio-Seiten unserer Nutzer:innen (z. B. sorahub.app/name) ist die jeweilige Person bzw. Firma verantwortlich. Wir verarbeiten die Daten der Besucher:innen dort nur in ihrem Auftrag (Art. 28 DSGVO, siehe unseren AVV). Jede Bio-Seite hat unten einen eigenen Link „Datenschutz“. Abschnitt 10 beschreibt trotzdem kurz, was technisch passiert.

3. Hosting und Server-Logfiles

sorahub läuft ausschließlich auf Servern in Deutschland bei ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland. Mit dem Hoster besteht ein Vertrag zur Auftragsverarbeitung.

Beim Aufruf einer Seite verarbeitet der Webserver technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Browser-Kennung (User-Agent) und ggf. die zuvor besuchte Seite (Referrer). Das ist nötig, um die Seite auszuliefern und Angriffe abzuwehren (Art. 6 Abs. 1 lit. f DSGVO). Die Logfiles werden nach [Speicherdauer laut KAS prüfen, z. B. 7 Tage] gelöscht.

4. Startseite: keine Cookies, keine Fremd-Server

Die Startseite und diese Rechtsseiten laden Schriften und Icons von unserem eigenen Server – es werden keine Daten an Google oder andere Dienste übertragen. Ob du den hellen oder dunklen Modus gewählt hast, merkt sich dein Browser lokal (localStorage, Eintrag site-theme) – für die Website und das Dashboard gemeinsam. Auf Bio-Seiten gilt die Einstellung der Seite; schaltest du dort selbst um, wird das je Seite gemerkt (Eintrag bio-theme:<name>). Diese Angaben verlassen dein Gerät nicht; du hast sie selbst ausgelöst (§ 25 Abs. 2 Nr. 2 TDDDG).

5. Konto und Anmeldung

Für ein Konto speichern wir deine E-Mail-Adresse, deinen Nutzernamen und dein Passwort (nur als sicherer Hash, nie im Klartext) sowie die Inhalte, die du anlegst. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

• Sitzungs-Cookie (technisch notwendig): hält dich eingeloggt, bis du den Browser schließt.
• „Angemeldet bleiben“-Cookie: nur wenn du es anhakst, gültig für 30 Tage. Darin steht ein zufälliger Schlüssel, kein Passwort.
• Geräte-Cookie (technisch notwendig für die Kontosicherheit): eine zufällige Kennung, damit wir dich bei einer Anmeldung von einem neuen Gerät per E-Mail warnen können. Zu deinem Konto speichern wir dafür nur einen Hash dieser Kennung, Browser und Betriebssystem sowie den ungefähren Ort (Stadt/Land, ohne IP-Adresse). Die Liste siehst du unter Profil & Konto › Anmeldung.
• Zwei-Faktor-Anmeldung (freiwillig): Bei der App-Variante speichern wir einen verschlüsselten Schlüssel, bei der E-Mail-Variante schicken wir dir bei jeder Anmeldung einen Code. Ersatzcodes speichern wir nur als Hash-Wert.
• Schutz vor Missbrauch: Fehlgeschlagene Logins zählen wir am Konto mit und sperren nach mehreren Versuchen kurz. Bei Formularen speichern wir für Zähl-Grenzen höchstens 2 Tage einen verschlüsselten Hash-Wert deiner IP-Adresse (nicht die IP selbst).

Anmeldung mit Google oder Apple: Nutzt du diese Option, wirst du zum jeweiligen Anbieter weitergeleitet. Wir erhalten dort nur deine E-Mail-Adresse und eine Kennung, mit der wir dein Konto zuordnen. Anbieter: Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland bzw. Apple Distribution International Ltd., Hollyhill Industrial Estate, Cork, Irland. Dabei kann eine Übermittlung in die USA stattfinden; beide Unternehmen sind unter dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist deine Entscheidung für diese Anmeldeart (Art. 6 Abs. 1 lit. a und b DSGVO).

Löschst du dein Konto, löschen wir deine Daten und Bio-Seiten. Ausgenommen sind Daten, die wir aus steuer- und handelsrechtlichen Gründen aufbewahren müssen (siehe Abschnitt 6).

6. Bezahlung mit Stripe

Buchst du Pro oder Business, wickelt Stripe die Zahlung ab: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Stripe erhält Name, E-Mail, Rechnungsanschrift, ggf. USt-IdNr. sowie deine Zahlungsdaten. Karten- und Kontodaten gibst du direkt bei Stripe ein; wir sehen sie nicht. Stripe kann Daten in die USA übermitteln und ist unter dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Mehr unter stripe.com/de/privacy.

Rechnungen und Buchungsbelege bewahren wir so lange auf, wie es das Gesetz verlangt (§ 147 AO, § 257 HGB – bis zu 10 Jahre; Art. 6 Abs. 1 lit. c DSGVO).

7. E-Mails von uns

Wir schicken dir E-Mails, die zum Konto gehören: Bestätigung der Adresse, Passwort zurücksetzen, Rechnungen, Hinweise zu deinem Tarif und – nur wenn du ihn in den Einstellungen aktiviert hast – einen Wochenbericht mit deinen Statistiken. Der Versand läuft über unseren eigenen Mailserver beim Hoster in Deutschland.

8. Kontakt

Schreibst du uns eine E-Mail, verarbeiten wir deine Angaben, um deine Anfrage zu beantworten (Art. 6 Abs. 1 lit. b bzw. f DSGVO), und löschen sie, wenn die Anfrage erledigt ist und keine Aufbewahrungspflicht besteht.

9. sorahub Transfer (Dateien senden und anfordern)

Mit sorahub Transfer verschickst du Dateien über einen Link oder per E-Mail – auch ohne Konto. Dafür verarbeiten wir, um den Dienst zu erbringen (Art. 6 Abs. 1 lit. b DSGVO):

• Deine E-Mail-Adresse (verschlüsselt gespeichert): für den Bestätigungscode, die Mail „Dein Transfer ist bereit“ und die Nachricht, wenn heruntergeladen wurde. Empfänger:innen sehen sie als Antwort-Adresse in der Mail; auf der Download-Seite steht nur dein Name oder eine gekürzte Adresse.
• Adressen der Empfänger:innen (verschlüsselt): nur, um ihnen den Link zu schicken.
• Dateien, Titel und Nachricht: auf unseren Servern in Deutschland, nicht öffentlich auffindbar, nur über den Link (und ggf. das Passwort) abrufbar.
• Zähler: wie oft ein Transfer heruntergeladen wurde – ohne zu speichern, wer es war. Die IP-Adresse speichern wir nicht; gegen Missbrauch zählen wir Versuche kurzzeitig über einen nicht umkehrbaren Hash.

Löschung: Nach Ablauf (höchstens 3 Tage in Free bis 90 Tage in Business) oder wenn du den Transfer löschst, entfernen wir Dateien, Nachricht, Passwort und alle E-Mail-Adressen sofort bzw. spätestens in der folgenden Nacht. Übrig bleibt für 60 Tage nur, wie groß der Transfer war und wann er angelegt wurde – damit wir das Volumen der letzten 30 Tage berechnen können; bei Transfers ohne Konto zusammen mit einem Hash der E-Mail-Adresse.

Dateien anfordern: Lädt jemand über einen Anfordern-Link Dateien hoch, erhält die Inhaber:in des Links die Dateien, den angegebenen Namen, die E-Mail-Adresse und die Nachricht. Für diese Daten ist dann die Inhaber:in verantwortlich; wir verarbeiten sie in ihrem Auftrag und löschen sie nach Ablauf automatisch. Galerie-Favoriten: Schickt jemand eine Auswahl, erhält die Absender:in den angegebenen Namen und die Dateinamen.

Die Download-Seite setzt nur ein technisch notwendiges Sitzungs-Cookie (damit ein eingegebenes Passwort gilt und ein Download nicht doppelt zählt); es verfällt, wenn du den Browser schließt. Bei Transfers aus Free und Plus steht dort und auf der Upload-Seite ein Hinweis auf sorahub oder eine als „Anzeige“ gekennzeichnete Anzeige eines Partners. Beides liefern wir selbst aus (Bild, Text, Link) – ohne Werbenetzwerke, Skripte, Pixel oder Cookies. Wir zählen nur pro Anzeige, Tag, Seite und Sprache, wie oft sie gezeigt und angeklickt wurde; ein Klick läuft dafür kurz über unseren Server (doppelte Klicks erkennen wir für eine Stunde an einem nicht umkehrbaren Hash der IP-Adresse). Erst nach dem Klick gelangst du auf die Seite des Partners, für die dann dessen Datenschutzerklärung gilt. Gemeldete Transfers prüfen wir und sperren sie bei Verstößen (Art. 16 DSA).

10. Was auf Bio-Seiten technisch passiert

Im Auftrag der jeweiligen Seiteninhaber:innen verarbeiten wir:

• Statistik ohne Cookies: Wir zählen Aufrufe und Klicks (auf Links, Icons und Schaltflächen in Blöcken, z. B. Downloads oder Video-Start). Um Besucher:innen pro Tag nicht doppelt zu zählen, bilden wir aus Datum, IP-Adresse und Browser-Kennung mit einem geheimen Schlüssel einen Hash-Wert, der sich jeden Tag ändert. Die IP-Adresse selbst wird nicht gespeichert. Land und Stadt ermitteln wir auf unserem eigenen Server (ohne externen Dienst), außerdem Gerätetyp, Browser, Herkunft (z. B. „Instagram“) und ggf. eine Kampagnen-Kennung aus dem Link. Statistikdaten löschen wir nach spätestens 25 Monaten.
• Kontaktformular: Name, E-Mail und Nachricht gehen an die Inhaber:in der Seite und werden verschlüsselt gespeichert. Die E-Mail-Adresse bekommt sie nur zu sehen, wenn du das ausdrücklich freigibst. Du erhältst eine Kopie deiner Nachricht per E-Mail.
• Newsletter: deine E-Mail-Adresse (verschlüsselt) sowie Zeitpunkt und Wortlaut deiner Einwilligung, bis du dich abmeldest (Link in jeder Mail). Angemeldet bist du erst nach Bestätigung per E-Mail (Double-Opt-in); unbestätigte Anmeldungen löschen wir nach 7 Tagen. Mit „Privat abonnieren“ sieht die Inhaber:in deine Adresse nicht. In den Tarifen ab Plus laufen Links (Buttons) im Newsletter kurz über sorahub: Gezählt wird nur, wie oft ein Link angeklickt wurde – ohne zu speichern, wer geklickt hat. Ein Öffnungs-Pixel wird nicht verwendet. Abmeldungen zählen wir je Ausgabe nur als Zahl.
• „Seite melden“: Grund, Beschreibung, betroffener Link und – nur wenn du sie angibst – deine E-Mail-Adresse (verschlüsselt), um dir den Eingang und unsere Entscheidung mitzuteilen (Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 16 DSA). Die Inhaber:in der gemeldeten Seite erfährt nicht, wer gemeldet hat. Bearbeitete Meldungen löschen wir nach 12 Monaten.
• Vorschaubild beim Teilen: Für geteilte Bio-Seiten erzeugen wir auf unserem Server ein Vorschaubild aus Profilbild, Name und Bio (öffentliche Angaben der Seite).
• Umfragen: deine Antwort und ein Hash-Wert gegen Mehrfachabstimmung, der nach 30 Tagen gelöscht wird.
• Eingebettete Inhalte (z. B. YouTube, Spotify, TikTok, Twitch) werden erst geladen, wenn du sie anklickst. Daten von Discord und Twitch (Server-Name, Online-Status) ruft unser Server ab; dein Browser hat dabei keinen Kontakt zu diesen Diensten.
• Schriften, Icons und QR-Codes auf Bio-Seiten kommen von unserem eigenen Server. Dein Browser baut dafür keine Verbindung zu Google Fonts, cdnjs oder anderen Anbietern auf.
• Kurzlinks und QR-Codes: Beim Aufruf zählen wir den Klick bzw. Scan wie oben beschrieben und leiten dich weiter.

11. Deine Rechte

Du hast jederzeit das Recht auf

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung (Art. 16), Löschung (Art. 17) und Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20),
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3).

Mit Konto geht vieles direkt im Dashboard unter Profil & Konto › Deine Daten: alle Daten als ZIP herunterladen (Art. 15/20) und das Konto löschen (Art. 17). Ansonsten genügt eine E-Mail an info@sorahub.app. Geht es um eine Bio-Seite, wende dich am besten direkt an deren Inhaber:in – wir leiten Anfragen aber auch weiter.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der für uns zuständigen: [Aufsichtsbehörde deines Bundeslandes, z. B. Bayerisches Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach].

12. Änderungen

Wenn sich sorahub ändert, passen wir diese Erklärung an. Es gilt immer die Fassung auf dieser Seite.