GDPR-fähiges Astrologie-API für EU-Entwickler

Das erste astrologische API mit vollständiger EU-Residenz. Wenn du ein B2C-Produkt für den europäischen Markt entwickelst, stellt sich die Frage der GDPR-Konformität, bevor du die erste Codezeile schreibst. AstroWay löst dies standardmäßig, ohne zusätzliche Gebühren und juristische Akrobatik.

Warum das wichtig ist

Die restlichen astrologischen APIs (DivineAPI, AstrologyAPI, Prokerala) werden in den USA / Indien gehostet. Das bedeutet:

Deine birth.date, birth.time, birth.lat, birth.lon (= PII im GDPR-Sinne) läuft über die USA/Indien.
Subprocessor-Offenlegung für deine Datenschutzerklärung: Du musst deren Gerichtsbarkeit auflisten.
DPA (Data Processing Agreement): Ist entweder nicht verfügbar oder nur für Enterprise-Kunden im Rahmen eines separaten Vertrags.
EU-EUR Datenschutzbehörden-Audit Risiko: Grenzüberschreitende Übertragung ohne SCC = Bußgelder von 10 Mio. €+.

AstroWay im Pro-Tarif (59 $/Monat) bietet dir standardmäßig EU-Residenz: Alle Daten werden bei Hetzner Nürnberg gespeichert und verarbeitet. Wir administrieren diese Maschinen von der Ukraine aus, und die DPA deckt diesen Zugriff durch Standardvertragsklauseln ab, anstatt so zu tun, als gäbe es ihn nicht.

Technischer Stack

Schicht	Standort / Anbieter
Compute	Hetzner, Nürnberg (Deutschland)
Datenbank	EU-resident, im selben Rechenzentrum – Daten verlassen Nürnberg nicht
CDN / DNS	Cloudflare mit EU-Region Cache Rules (Anfragen aus der EU werden von EU-Edges bedient)
Transaktions-E-Mails	Brevo (ehemals Sendinblue), EU-basiert, GDPR-konformer SMTP
Berichtsdateien	Unsere Infrastruktur in Nürnberg: Zugriff nur über einen signierten Link mit begrenzter Gültigkeitsdauer, ohne Replikation außerhalb der EU
Analytik	GA4 mit anonymizeIp + keine personenbezogenen Daten in Ereignissen (Plausible self-hosted auf der Roadmap)
Logs	strukturiertes JSON, nur IP-Hash (keine Roh-IPs), Speicherung 30 Tage

Standardmäßig (für alle Pro+ Schlüssel)

✅ Datenfluss nur innerhalb der EU: Geburtsdaten verlassen Nürnberg niemals
✅ Daten bleiben in der EU, und wir sagen genau, was das bedeutet: Geburtsdaten werden in Nürnberg gespeichert und verarbeitet und nirgendwohin kopiert. Wir administrieren diese Systeme von der Ukraine aus, und Kapitel V der GDPR betrachtet auch Fernzugriff als Übermittlung, selbst wenn nichts physisch die EU verlässt. Daher deckt die DPA diesen Zugriff durch Standardvertragsklauseln ab.
✅ IP-Hashing: In den Logs wird nur ein gesalzener SHA-256-Hash plus die ersten 16 Bit der Adresse gespeichert, wodurch das Netzwerk, aber nicht der Knotenpunkt sichtbar ist. Die Adresse selbst speichern wir nirgendwo: Die Ratenbegrenzung wird im Prozessspeicher berechnet und die Adresse wird ebenfalls nirgendwohin geschrieben.
✅ Log-Speicherung 30 Tage: Danach werden die Logs automatisch gelöscht.
⚠️ Anonymisierte Analytik (GA4): anonymize_ip + keine personenbezogenen Daten in Ereignissen. Plausible self-hosted (ohne Cookies) – auf der Roadmap. Bis zur Migration empfehlen wir ein eigenes Cookie-Banner auf dem B2C-Frontend.
✅ Recht auf Löschung: DELETE /v1/me/account (Bearer JWT, Body {"confirmation": "DELETE"}) deaktiviert sofort alle Schlüssel des Kontos und setzt die Löschung für 30 Tage an. Innerhalb dieser Frist kann die Anfrage über POST /v1/me/account/cancel-deletion widerrufen werden, danach löscht eine tägliche Aufgabe unsere Daten über dich. Das Zeitfenster ist bewusst gewählt: Eine Löschung sollte nicht durch einen einzigen Fehlbefehl irreversibel sein.

Auf Anfrage (Pro+ Abonnenten)

📄 DPA (Data Processing Agreement): Standardvorlage der GDPR Art. 28. Du liest den vollständigen Text, akzeptierst ihn mit einem Button im Dashboard und erhältst sofort ein PDF, das den Akzeptanznachweis enthält: Konto, Version, Datum. Artikel 28 Abs. 9 akzeptiert den Vertrag “in schriftlicher Form, einschließlich elektronischer Form”, sodass du nicht auf eine Unterschrift warten musst. Eine Papierkopie mit Unterschrift erstellen wir auf Anfrage an legal@astroway.info.
📋 Liste der Sub-Prozessoren: Vollständige Liste (Hetzner, Cloudflare, unser SMTP-Anbieter und Zahlungsanbieter) mit den Konformitätsdokumenten jedes einzelnen. Brevo als SMTP-Anbieter ist im DPA-Anhang für Kunden, die ihn unterzeichnet haben, aufgeführt.
🗂️ Beitrag zur DPIA (Datenschutz-Folgenabschätzung): Wenn dein Anwaltsteam eine DPIA für dein Produkt erstellt, stellen wir eine technische Auskunft von unserer Seite zur Verfügung.

Für Enterprise-Kunden (individueller Tarif)

🛡️ SOC 2 Type II: Auf der Roadmap (Wirtschaftsprüfungsgesellschaft noch nicht festgelegt, ETA TBD). Wenn dies deine Integration blockiert – schreib uns an legal@astroway.info, wir sind bereit, eine separate Audit-Zusammenarbeit in Betracht zu ziehen.
🇪🇺 Juristische Person innerhalb der EU: Die aktuelle Rechtsform ist ein ukrainischer Einzelunternehmer (Maxim Burkhan). Wenn deine Einkaufsabteilung eine EU GmbH (Deutschland / Estland) verlangt – besprechen wir dies individuell über legal@astroway.info, der Prozess dauert 4-8 Wochen.
🔐 Dedizierte Infrastruktur auf Wunsch: Separater Server in Nürnberg und isolierte Datenbank
📞 Direkter Sicherheitskanal: security@astroway.info für die Reaktion auf Vorfälle

Vergleich: AstroWay vs. Konkurrenten mit Hosting in den USA

Kritisch für EU-Entwickler	AstroWay Pro 59 $	DivineAPI	AstrologyAPI	Prokerala
Compute in der EU	✅ Hetzner Nürnberg	❌ USA	❌ USA	❌ Indien
Standard-DPA verfügbar	✅ im Pro+	❌ nur Enterprise	❌ nur Enterprise	❌ nur Enterprise
GDPR-Konformität standardmäßig	✅ auf Infrastrukturebene	⚠️ über SCC	⚠️ über SCC	⚠️ über SCC
Analytik ohne Cookies	⚠️ GA4 anonymisiert (Plausible auf der Roadmap)	❌ GA4	❌ GA4	❌ GA4
Garantie des Datenflusses nur innerhalb der EU	✅ schriftlich	❌	❌	❌
Technischer Beitrag zur DPIA	✅ wird bereitgestellt	❌	❌	❌
Endpunkt für das Recht auf Löschung	✅ `DELETE /v1/me/account`	❌ per Ticket	❌ per Ticket	❌ per Ticket

Preis

EU-Residenz, DPA, GDPR auf Infrastrukturebene – alles inklusive im Pro-Tarif für 59 $/Monat. Kein separater Tarif, keine Kontaktaufnahme mit dem Vertrieb, keine individuelle Preisgestaltung.

Dies ist eine bewusste Strategie: Das Hosting bei Hetzner kostet uns nichts zusätzlich (unsere Infrastruktur ist ohnehin in Nürnberg), und die DPA ist eine Standardvorlage, die einmalig per E-Mail unterzeichnet wird. Du musst nicht für Privatsphäre bezahlen, was standardmäßig vorhanden sein sollte.

FAQ

Ja – der Free-Tarif hat dieselbe Infrastruktur (Hetzner Nürnberg), dieselbe anonymisierte Analytik, dieselbe 30-Tage-Log-Speicherung. Die DPA ist im Free-Tarif nicht verfügbar (dies ist ein administrativer Overhead, der sich nur auf kostenpflichtiger Ebene amortisiert), aber technisch werden die Daten gleich verarbeitet.

Wenn dein Anwalt eine unterzeichnete DPA verlangt – der Indie-Tarif (5 $/Monat) bietet diese ebenfalls nicht. Die günstigste Option mit DPA = Pro 59 $.

Was ist mit dem EuGH Schrems II? Ist dein Cloudflare CDN ein US-Unternehmen?

Cloudflare ist ein US-Unternehmen, aber wir nutzen EU-Region Cache Rules (Anfragen von EU-IPs werden von EU-Edges bedient), und der Origin-Server (wo die Daten tatsächlich verarbeitet werden) ist Hetzner Nürnberg. PII (Geburtsdaten) durchlaufen den Cloudflare-Edge im selben Region und werden nicht auf dem Edge gespeichert – nur im Transit.

Für kritisch-sensible Anwendungsfälle (medizinische Anwendungen, B2G) kann Cloudflare über DNS-Routing zum Origin-Server umgangen werden – schreib uns an legal@astroway.info.

Wie schnell erhalte ich die DPA nach dem Pro-Abonnement?

Standard-DPA (unsere Vorlage): sofort. Der Text ist unter /legal/dpa/ einsehbar, wird im Dashboard akzeptiert, das PDF wird dort heruntergeladen und enthält den Akzeptanznachweis.
Individuelle Änderungen von deinem Anwalt: Wir prüfen sie, können aber keine Frist versprechen, da wir keinen Anwalt fest angestellt haben. Die Standardpunkte des Art. 28 verhandeln wir nicht: Sie stammen aus der Vorlage der Europäischen Kommission, gerade um sie nicht diskutieren zu müssen.

Muss ich eine DPA unterzeichnen, wenn ich ein B2B-Entwickler ohne eigene PII bin?

Wenn dein Endprodukt PII verarbeitet (und Geburtsdaten sind PII) – dann ja, dein Anwalt wird höchstwahrscheinlich eine unterzeichnete DPA mit allen Sub-Prozessoren verlangen. Wir stellen sie standardmäßig zur Verfügung. Wenn deine Integration intern ist (nur Mitarbeiter), ist die DPA wahrscheinlich nicht kritisch, aber es ist trotzdem besser, sie zu unterzeichnen.

Was passiert bei AstroWay, wenn ich `DELETE /v1/me/account` ausführe?

API-Schlüssel: sanft gelöscht (Anti-Missbrauch-Cooldown)
Konto-Schlüssel-Verbindung: unterbrochen; Schlüssel kann nicht neu zugewiesen werden
Benutzerprofil: als gelöscht markiert mit Zeitstempel
Nutzungsprotokolle: IP-Hash ist keine PII mehr, bleibt für die Abrechnungsprüfung
Bestellhistorie: wird gespeichert, da dies vom Steuerrecht verlangt wird. Für Einzelunternehmer sind dies 1095 Tage gemäß Art. 44.3 des Steuergesetzbuches, also drei Jahre, nicht sieben: GDPR Art. 17 §3(b) schließt solche Aufzeichnungen ausdrücklich vom Recht auf Löschung aus.
Transaktions-E-Mails: werden von unserem SMTP-Anbieter nach 90 Tagen automatisch gelöscht

Der vollständige Ablauf ist auf Anfrage über legal@astroway.info verfügbar.

Kontakte

Legal/DPA: legal@astroway.info
Security incidents: security@astroway.info
Subprocessor list / DPIA: hello@astroway.info

Hilfreich?

Änderung vorschlagen

Zuletzt aktualisiert: 29.09.2026

// Vorherige Seite

Kosten pro Endpoint

Nächste Seite //

Founders' Lifetime Deal