Datenschutzerklärung

Informationen zur Verarbeitung personenbezogener Daten gemäß Art. 13 und 14 Datenschutz-Grundverordnung (DSGVO) bei der Nutzung von lemungo.com.

1. Verantwortlicher

Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO:
Markus Schön
Hüvener Straße 6
49774 Lähden
Deutschland
E-Mail: kontakt@lemungo.com

2. Grundsätze

LeMungo ist ein Reisebegleiter für private Gruppen. Wir verarbeiten nur die Daten, die für den Betrieb der App nötig sind, geben sie nicht zu Werbezwecken weiter und setzen keine Analyse-Cookies und kein Tracking durch Dritte ein. Zur Verbesserung der App werten wir die Nutzung pseudonym und datensparsam aus (siehe Abschnitt 3 f) — dem kannst du jederzeit widersprechen. Beträge, Termine und Inhalte deiner Trips bleiben innerhalb deiner Gruppe.

Mindestalter: LeMungo richtet sich an Erwachsene und Jugendliche ab 16 Jahren. Wer jünger als 16 Jahre ist, darf die App nur mit Einwilligung der Sorgeberechtigten nutzen (Art. 8 DSGVO).

3. Welche Daten wir verarbeiten

a) Konto & Anmeldung

Zur Registrierung und Anmeldung verarbeiten wir deine E-Mail-Adresse und deinen Anzeigenamen. Du kannst dich wahlweise mit E-Mail und Passwort oder passwortlos über einen per E-Mail zugesandten Anmelde-Link (Magic-Link) anmelden. Bei der Passwort-Anmeldung speichern wir dein Passwort ausschließlich als kryptografischen Hash, niemals im Klartext. Zur Bestätigung deiner E-Mail-Adresse und zum Zurücksetzen des Passworts senden wir dir Links per E-Mail. Zweck ist die Bereitstellung und Absicherung deines Nutzerkontos. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Angabe von E-Mail-Adresse und Anzeigename ist für die Erstellung und Nutzung eines Kontos erforderlich; ohne sie ist keine Registrierung möglich. Alle weiteren Angaben (z. B. Ernährungshinweise, Fotos) sind freiwillig.

b) Trip-Inhalte

Innerhalb deiner Trips verarbeiten wir die von dir und deiner Gruppe eingegebenen Inhalte: Terminvorschläge und Abstimmungen, Unterkunfts-Vorschläge und Votes, Anwesenheiten, Kostenpositionen samt hochgeladener Belege/Quittungen, Einkaufs-, Mitbring- und Packlisten sowie Vor-Ort-Touren und gesetzte Karten-Punkte. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO (Vertragserfüllung bzw. berechtigtes Interesse an der gemeinsamen Trip-Organisation).

Besondere Kategorien (Ernährungsprofil): Optional kannst du in deinem Profil Allergien und Ernährungsformen (z. B. vegetarisch, halal, koscher) hinterlegen. Beides sind besondere Kategorien nach Art. 9 Abs. 1 DSGVO (Allergien als Gesundheitsdaten; bestimmte Ernährungsformen können religiöse oder weltanschauliche Überzeugungen offenbaren). Wir verarbeiten diese Angaben ausschließlich auf Grundlage deiner ausdrücklichen Einwilligung (Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO), die du beim Speichern separat erteilst. Sie dienen allein dem Diät-Abgleich im Mahlzeitenplaner und sind für die Mitglieder deiner Trips sichtbar. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem du die Angaben in deinem Profil löschst; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

c) Standortbezogene Funktionen

Für Karten, Routen und Vor-Ort-Vorschläge werden Orts- und Koordinatenangaben verarbeitet, die du eingibst oder auswählst. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

d) Server-Logs & technischer Betrieb

Beim Aufruf der App fallen technisch notwendige Daten an (u. a. IP-Adresse, Zeitpunkt, User-Agent), die zur Auslieferung, Sicherheit und Stabilität verarbeitet werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).

e) Cookies & lokaler Speicher

Wir verwenden ausschließlich technisch notwendige Cookies: ein Session-Cookie für deine Anmeldung, ein Cookie zum Speichern deiner Sprachauswahl sowie — nur während des Verbindens deiner Foto-Cloud (z. B. Dropbox) — ein kurzlebiges Cookie (dbx_oauth), das den OAuth-Vorgang gegen Manipulation absichert und direkt danach gelöscht wird. Diese sind für den Betrieb erforderlich; eine Einwilligung ist hierfür nicht nötig (§ 25 Abs. 2 TDDDG). Es werden keine Marketing- oder Tracking-Cookies gesetzt.

Zusätzlich speichert die App einzelne rein funktionale Merker im lokalen Speicher deines Browsers (localStorage, verlässt dein Gerät nie) — z. B. ob du eine Einführungstour oder einen Hinweis schon gesehen hast, oder deine zuletzt gewählte Kartenansicht. Auch dafür ist keine Einwilligung nötig; es handelt sich nicht um Tracking.

f) Nutzungsanalyse (Produkt-Verbesserung)

Um zu verstehen, welche Funktionen genutzt werden und an welchen Stellen es hakt, erfassen wir einzelne Nutzungs-Ereignisse (z. B. „Trip angelegt“, „Beleg hinzugefügt“, „KI-Chat genutzt“). Diese Auswertung ist bewusst datensparsam: Wir speichern dazu lediglich einen pseudonymen Nutzer-Bezug, die Art des Ereignisses und einen Zeitstempel — keine IP-Adresse, keinen User-Agent, keine Inhalte deiner Trips und keine Cookies. Die Daten werden nicht an Dritte weitergegeben und nach spätestens 90 Tagen automatisch gelöscht; löschst du dein Konto, wird der Personenbezug sofort entfernt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung der App). Du kannst dieser Auswertung jederzeit ohne Angabe von Gründen widersprechen — über den Schalter „Nutzungsanalyse“ in den Einstellungen.

g) Freiwillige In-App-Umfragen

Gelegentlich blenden wir eine kurze, freiwillige Umfrage ein (z. B. „Wie lief die Abrechnung?“), um die App gezielt zu verbessern. Die Teilnahme ist freiwillig — du kannst jede Umfrage ohne Nachteil schließen oder dauerhaft ablehnen. Beantwortest du sie, speichern wir deine Antworten zusammen mit einem pseudonymen Nutzer-Bezug und einem Zeitstempel; Freitext-Felder sind ausdrücklich optional. Rechtsgrundlage: deine Einwilligung durch das Absenden (Art. 6 Abs. 1 lit. a DSGVO) sowie unser berechtigtes Interesse an der Produkt-Verbesserung (lit. f). Ob Umfragen überhaupt erscheinen, steuert derselbe Schalter „Nutzungsanalyse“ in den Einstellungen — widersprichst du, werden dir keine Umfragen mehr angezeigt. Löschst du dein Konto, wird der Personenbezug der Antworten entfernt.

h) Schutz vor automatisiertem Zugriff (Sicherheit)

Zum Schutz des Dienstes vor automatisiertem Auslesen (Scraping durch Bots/Agenten) und Missbrauch setzen wir technische Signale ein. Erfasst wird dabei ausschließlich, dassein solches Signal ausgelöst wurde (z. B. der Abruf eines für Menschen unsichtbaren „Köder"-Links), zusammen mit einem pseudonymen Nutzer-Bezug und einem Zeitstempel — keine IP-Adresse, keinen User-Agent und keine Inhalte deiner Trips. Diese Signale dienen allein der Sicherheit; es erfolgt keine automatisierte Sperrung und keine Profilbildung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren, integren Betrieb). Die Daten werden nicht an Dritte weitergegeben und nach spätestens 90 Tagen automatisch gelöscht; löschst du dein Konto, wird der Personenbezug sofort entfernt.

4. Empfänger & Auftragsverarbeiter

Zur Bereitstellung der App setzen wir sorgfältig ausgewählte Dienstleister ein. Soweit personenbezogene Daten in ein Drittland (außerhalb der EU/des EWR) übermittelt werden, erfolgt dies auf Grundlage geeigneter Garantien (insb. EU-Standardvertragsklauseln) bzw. eines Angemessenheitsbeschlusses.

Hosting: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland — Server-Betrieb und Datenbank (Standort EU/Deutschland).
E-Mail (Infomaniak): Empfang und Versand unserer E-Mails – einschließlich der Magic-Link-Anmeldemails – über Infomaniak (Schweiz). Übermittelt wird deine E-Mail-Adresse. Die Schweiz verfügt über einen Angemessenheitsbeschluss der EU-Kommission; ein Auftragsverarbeitungsvertrag (AVV) liegt vor.
KI-Verarbeitung (Groq, Inc., USA): Für die automatische Auswertung von Belegen/Quittungen (OCR) und – sofern ein Manager den KI-Trip-Chat freigeschaltet hat – für dessen Antworten werden die dafür nötigen Inhalte an Groq, Inc. übermittelt. Beim KI-Chat sind das die zur Beantwortung erforderlichen Trip-Daten (z. B. Anzeigenamen, Anwesenheiten, Unterkunftsdaten wie Adresse/Telefon, geplante Touren, Mahlzeiten sowie aggregierte Kosten/Salden). Bewusst ausgenommen sind sensible Angaben: Schlüsselkasten-Codes, Beleg-Bilder und OCR-Rohdaten werden nicht an die KI gesendet. Groq speichert die zur Verarbeitung übermittelten Inhalte nach eigenen Angaben standardmäßig nicht dauerhaft und verwendet sienicht zum Training von KI-Modellen. Drittlandübermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln (Art. 46 DSGVO; Auftragsverarbeitungsvertrag liegt vor). Lade dennoch keine Belege mit Daten hoch, die Dritte nicht preisgeben möchten.
Karten & Routing: Kartenkacheln von OpenStreetMap und Routenberechnung über OpenRouteService; Orts-Suche über OpenStreetMap/Overpass.
Google Maps / Places (optional, USA): Sofern aktiviert, werden im Bereich „Vor Ort“ Orts-/Standortangaben zur Anreicherung an Google LLC (USA) übermittelt. Drittlandübermittlung; Google ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss). Ohne aktivierten Dienst findet keine Übermittlung an Google statt.
Wetter (OpenWeather Ltd., Vereinigtes Königreich): Für wetterbezogene Hinweise werden Ortsangaben deines Trips an den Wetterdienst übermittelt. Drittlandübermittlung ins Vereinigte Königreich auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission für das UK (2021) — kein zusätzlicher Schutzmechanismus erforderlich.
Trip-Fotos (Cloud, z. B. Dropbox): Fotos und Videos für den Rückblick werden in eurer eigenen verbundenen Cloud gespeichert, nicht auf unseren Servern; bei uns liegen nur Metadaten. Es gelten zusätzlich die Datenschutzbestimmungen deines Cloud-Anbieters. Dropbox, Inc. (USA) ist unter dem EU-US Data Privacy Framework zertifiziert. Lade nur Aufnahmen hoch, für die du das Einverständnis der abgebildeten Personen hast (Recht am eigenen Bild, §§ 22, 23 KunstUrhG); innerhalb des Trips sind sie für alle Mitglieder sichtbar.

5. Speicherdauer

Konto- und Trip-Daten speichern wir, solange dein Konto besteht bzw. solange es für die genannten Zwecke erforderlich ist. Anmelde-Sitzungen (inkl. der dabei gespeicherten IP-Adresse und Browser-Kennung) werden mit Ablauf der Sitzung bzw. beim Abmelden entfernt; Anmelde-/Bestätigungs-Links verfallen nach spätestens einer Stunde. Löschst du dein Konto, wird deine Identität anonymisiert; in gemeinsamen Abrechnungen verbleibende Beiträge werden ohne deinen Namen geführt, damit die Salden der übrigen Mitglieder korrekt bleiben. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

6. Deine Rechte

Dir stehen die Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) zu. Auskunft und Datenübertragbarkeit kannst du jederzeit selbst über den Daten-Export in den Einstellungen ausüben; dort kannst du dein Konto auch löschen. Für alle weiteren Anliegen erreichst du uns unter kontakt@lemungo.com. Wir antworten innerhalb von 30 Tagen.

7. Beschwerderecht

Unbeschadet anderer Rechtsbehelfe steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu, insbesondere in dem Mitgliedstaat deines Aufenthaltsorts. Zuständige Behörde für den Verantwortlichen: Die Landesbeauftragte für den Datenschutz Niedersachsen (LfD Niedersachsen), 30159 Hannover.

8. Datensicherheit

Die Übertragung erfolgt verschlüsselt über HTTPS (TLS). Wir treffen geeignete technische und organisatorische Maßnahmen, um deine Daten gegen Verlust und unbefugten Zugriff zu schützen.

9. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage oder unsere Verarbeitung ändert. Es gilt die jeweils hier veröffentlichte Fassung.

Stand: 25. Juli 2026.