Privacy Policy v1.4

Letztes Update: 12. Oktober 2026

1. Wer wir sind

AstroWay API – ein Service für astrologische Berechnungen, der unter api.astroway.info läuft. Die Rechtsordnung des Betreibers – Ukraine. Für GDPR/DPA-Anfragen und andere privacy‑Fragen schreib an api@astroway.info mit dem Betreff “GDPR” oder “DPA”.

2. Welche Daten wir sammeln

2.1 Kontodaten

• E‑Mail‑Adresse (für Registrierung und Kommunikation).
• Gehashtes Passwort.
• Gewählter Tarifplan.

2.2 API‑Anfragedaten

• Anfrageparameter (Datum, Uhrzeit, Koordinaten) werden im Speicher verarbeitet und nicht im Anfrage‑Log gespeichert. Für die Berechnung der Kredite speichern wir nur tägliche Zähler: Schlüssel, endpoint, Tag, Anzahl der Anfragen und Kredite.
• Wir SPEICHERN NICHT Namen, Städte oder irgendwelche identifizierenden Daten der Endnutzer deiner Anwendung. Diese Felder sind optional und werden nur im Speicher verarbeitet.

2.3 AI‑Endpoints (Audit‑Log)

• Für /interpret/* und /horoscope/*: Eingabeparameter (Datum, Koordinaten) und der generierte Text werden 90 Tage lang für das Audit‑Trail und die Service‑Qualität gespeichert.
• IP‑Adressen werden als SHA‑256‑Hash (nicht umkehrbar) gespeichert: für Rate‑Limiting und Anti‑Abuse.

2.4 Technische Daten

• IP‑Adresse (SHA‑256 mit Salt und den ersten 16 Bit), User‑Agent, origin, grobe Standortbestimmung per IP (Land, Stadt, Netzwerk), Anforderungszeit: Anfrage‑Log, Rotation nach 30 Tagen.

3. Wie wir Daten verwenden

• Bereitstellung des Services: Durchführung von Berechnungen, Zählen von Krediten, Rate‑Limiting.
• Qualität des AI‑Inhalts: Analyse des Audit‑Logs zur Verbesserung von System‑Prompts und Safety‑Filtern.
• Kommunikation: Benachrichtigungen über Service‑Änderungen, SLA‑Incidents, Aktualisierung der Bedingungen.
• Anti‑Abuse: Erkennung von Missbrauch des Free‑Tier und von Angriffen.

Wir NICHT:

• Verkaufen deine Daten an Dritte.
• Verwenden deine Daten für zielgerichtete Werbung.
• Weitergeben Berechnungsdaten an andere Nutzer.

4. Speicherung und Schutz

• Daten werden auf einem dedizierten Server in Europa (Deutschland, Hetzner) gespeichert.
• Verbindung zur API: ausschließlich über HTTPS, HTTP wird umgeleitet.
• Passwörter werden mit bcrypt gehasht.
• IP‑Adressen werden als SHA‑256‑Hash mit Salt gespeichert.
• Datenbankzugriff: nur über localhost (nicht extern zugänglich).

5. Datenaufbewahrung (Retention)

Datentyp	Aufbewahrungsdauer
Konto	Bis zur Kontolöschung
Tägliche Nutzungszähler (Schlüssel, endpoint, Anzahl, Kredite)	365 Tage
AI Audit‑Log	90 Tage
Anfrage‑Log (ohne Anfrage‑Parameter)	30 Tage

6. Deine Rechte (GDPR)

Als betroffene Person hast du das Recht:

• Zugriff: Eine Kopie all deiner Daten über das Dashboard oder per E‑Mail anfordern.
• Löschung: Das Konto und alle zugehörigen Daten über das Dashboard oder per E‑Mail löschen.
• Berichtigung: E‑Mail oder Profil über das Dashboard aktualisieren.
• Portabilität: Daten im JSON‑Format exportieren.
• Widerspruch: Der Verarbeitung deiner Daten für Marketing widersprechen (wir machen sowieso kein Marketing).

Um deine Rechte auszuüben, kontaktiere: api@astroway.info. Antwort innerhalb von 30 Tagen.

7. Cookies

AstroWay API verwendet keine Cookies. Das Dashboard verwendet:

• Session‑Token (localStorage): zur Authentifizierung. Wird beim Logout gelöscht.

8. Dritte Parteien

• AI‑Provider: Top‑LLMs des Marktes (Google Gemini, Groq, OpenRouter, Mistral und andere) werden über unser privates AI‑Gateway mit Multi‑Provider‑Failover geroutet. Sie erhalten nur die berechnete Karte (Zeichen, Häuser, Aspekte). Datum, Uhrzeit, Koordinaten, Name oder Geburtsort deiner Anfrage gelangen nicht zu ihnen. Jeder Provider hat seine eigene Datenschutzerklärung.
• Cloudflare: CDN und DDoS‑Schutz. Verarbeitet HTTP‑Anfragen bevor sie zu unserem Server weitergeleitet werden. EU/global edge.
• Hetzner: VPS‑Hosting innerhalb der EU.
• SMTP‑Provider (Brevo für transaktionale E‑Mails): Zustellung von Service‑Mails – Bestätigung, Passwort‑Reset, Nutzungsbenachrichtigung.
• Zahlungs‑Provider: Monobank (AT “Universal Bank”, Ukraine), seit Oktober 2026 auch LiqPay (AT KB “PrivatBank”, Ukraine). Sie erhalten Zahlungsdaten des Kontoinhabers. Geburtsdaten sehen sie nie: Sie haben keinen Bezug zur API.

Die Liste der Unter‑Processoren im DPA ist bewusst kürzer als diese Aufzählung: Sie umfasst nur Hetzner und Cloudflare, also die, über die deine API‑Anfragen laufen. Zahlungs‑ und E‑Mail‑Provider verarbeiten Daten deines Kontos, wobei wir der Verantwortliche sind, nicht du, deshalb gehören sie hierher und nicht in den Auftragsverarbeitungsvertrag.

8.1. Zugriff aus der Ukraine

Daten werden in Deutschland gespeichert und verarbeitet, aber wir administrieren die Systeme aus der Ukraine. Kapitel V der GDPR betrachtet dies als Übermittlung in ein Drittland und Fernzugriff, selbst wenn keine Daten außerhalb der EU kopiert werden, und die Europäische Kommission hat noch keine Angemessenheitsentscheidung für die Ukraine getroffen. Deshalb schreiben wir nicht “keine grenzüberschreitende Übermittlung”: Der Zugriff existiert, er ist vom Betreiber beschränkt, erfolgt über SSH mit Schlüssel, und auf Kundenanfrage unterzeichnen wir die Standardvertragsklauseln der EU.

9. Änderungen

Wesentliche Änderungen dieser Richtlinie werden per E‑Mail 30 Tage im Voraus angekündigt.

10. Kontakt

Fragen zum Datenschutz: api@astroway.info