Datenschutz.

Diese Datenschutzerklärung informiert dich über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten auf strain.community. Wir verarbeiten so wenig wie möglich — Cannabis-Konsumdaten sind sensibel, und das nehmen wir ernst.

1. Verantwortliche Stelle

Betreiber von strain.community
Vollständige Anschrift auf Anfrage.
E-Mail: kontakt@strain.community

2. Welche Daten wir erheben

Bei Account-Anlage

• Username (öffentlich), Display-Name (öffentlich)
• E-Mail-Adresse (privat, für Login + ggf. Confirm-Mails)
• Password als bcrypt-Hash (nicht reversibel)

Optional vom User selbst eingetragen

• Bio, Region, Sprache, Mantra, Lieblings-Sorte, Avatar, Cover-Bild
• Konsum-Logs (Tagebuch) — strikt privat, niemand außer dir sieht einzelne Einträge
• Aggregat-Insights (Top-Sorten, Wirkungs-Profil etc.) — Sichtbarkeit pro Feld selbst wählbar (privat / Freunde / öffentlich)
• Streak — Default „Freunde", kann auf „privat" gestellt werden (siehe Settings → Privatsphäre)

Bei Posts + Interaktion

• Posts, Kommentare, Likes, Bookmarks
• Hochgeladene Bilder (via Cloudinary)
• Preistipps (Sorte, Apotheke, Preis) — öffentlich
• Event-RSVPs, Freundschaften

Technisch

• IP-Adresse + User-Agent in Server-Logs (max 30 Tage)
• Session-Token (httpOnly Cookie) zur Authentifizierung
• Optional: Push-Subscription-Endpoint, wenn du Browser-Notifications aktivierst
• Bei Smoke-With-Me: dein gewählter Standort (auf der Karte, kein präzises GPS) — verschlüsselt + automatisch abgelaufen nach 4-48h (du wählst)

3. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Cannabis-Konsumdaten können als Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO einzuordnen sein. Wir behandeln diese Daten besonders schutzbedürftig:

• Konsum-Logs (Tagebuch-Einträge wie Sorte, Konsumform, Wirkung, Stimmung) sind standardmäßig privat und nur dir sichtbar.
• Ein Teilen einzelner aggregierter Insights (z. B. „Top-Sorten dieses Monats") erfolgt nur auf deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO) pro Sichtbarkeits-Stufe (privat / Freunde / öffentlich).
• Posts, Reviews oder Kommentare, die du aktiv öffentlich veröffentlichst, gelten als offenkundig öffentlich gemacht (Art. 9 Abs. 2 lit. e DSGVO) — du entscheidest pro Post.
• Wir verwenden Konsumdaten nicht für automatisierte Entscheidungen, kein Profiling im Sinne von Art. 22 DSGVO.

4. Zwecke der Verarbeitung

• Bereitstellung der Plattform (Anmeldung, Posts, Feed)
• Community-Funktionen (Freundschaften, Events, Notifications)
• Persönliches Konsumtagebuch (privat, nur für dich)
• Anonyme Statistik-Aggregate (k-anonymisiert, erst ab 5 Beitragenden) — opt-in
• Spam/Missbrauch-Erkennung

5. Rechtsgrundlagen (DSGVO)

• Art. 6 Abs. 1 lit. b — Vertragserfüllung (Plattform-Nutzung)
• Art. 6 Abs. 1 lit. a — Einwilligung (Push-Notifications, Aggregat-Sharing)
• Art. 6 Abs. 1 lit. f — berechtigtes Interesse (Spam-Schutz, Server-Logs)
• Art. 9 Abs. 2 lit. a / lit. e — Konsumdaten (siehe Ziff. 3)

6. Datenweitergabe + Hosting (Auftragsverarbeiter / Dritte)

Wir verkaufen keine Daten. Wir nutzen folgende Dienste:

• Hetzner Online GmbH (Deutschland) — Hosting des Servers + PostgreSQL-Datenbank. Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO geschlossen.
• Cloudinary Ltd. (Sitz Israel, EU-Region) — Bilder-Speicher (Avatare, Cover, Post-Bilder). Datenverarbeitung auf Basis von SCC (Standardvertragsklauseln, Art. 46 DSGVO).
• Resend, Inc. (USA) — Transactional-E-Mail (Verifizierung, Passwort-Reset, Notifications). Datenverarbeitung auf Basis von SCC. Übermittelte Daten: E-Mail-Adresse, Nutzername.
• OpenStreetMap Foundation (UK) — Karten-Tiles für Smoke-With-Me. Wird nur geladen wenn du die Karte öffnest. Übermittelt deine IP an OSM.
• Google Fonts (Google Ireland Ltd.) — Web-Fonts (Fraunces, Inter). Anonymisierte IP. Eine selbstgehostete Variante ist auf der Roadmap.
• unpkg.com / Cloudflare — Auslieferung der React-/ReactDOM- Bibliotheken als CDN. Übermittelt deine IP an Cloudflare.
• flagcdn.com / Cloudflare — Auslieferung von Länder-Flaggen-PNGs für Sprach-Anzeigen. Übermittelt deine IP an Cloudflare.
• jsdelivr.net / Cloudflare — nur bei aktivierter Debug-Console (?debug=1) geladen, sonst nicht eingebunden.

7. Lokale Speicherung im Browser

• localStorage: Access-/Refresh-Token (für „eingeloggt bleiben"), UI-Settings (Theme, Akzentfarbe, Sprache).
• Service Worker: Cache der App-Dateien für schnelles Laden und Offline-Verfügbarkeit. Wird beim Logout/Cache-Clear entfernt.
• Push-API: Nur aktiv, wenn du Browser-Benachrichtigungen explizit erlaubst. Endpoint + Public-Keys werden an unseren Server übermittelt.
• Keine Tracking-Cookies, kein Werbe-Pixel, kein Analytics-Tool.

8. Speicherdauer

• Account-Daten: bis zur Löschung deines Accounts
• Konsum-Logs: bis zur Löschung; einzelne Einträge jederzeit löschbar
• Server-Logs: 30 Tage
• Standort-Pins: 4-48h (von dir gewählte TTL)
• Backups: rollend 14 Tage / 8 Wochen / 6 Monate

9. Deine Rechte (DSGVO)

Du hast jederzeit das Recht auf:

• Auskunft über deine gespeicherten Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung (Art. 17) — „Account löschen" in den Einstellungen
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20) — Export aller deiner Daten als JSON
• Widerspruch (Art. 21)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77)

Kontakt zur Ausübung deiner Rechte: kontakt@strain.community

10. Datensicherheit

• Passwörter werden mit bcrypt (cost=12) gehasht — niemals im Klartext gespeichert
• Verbindung ausschließlich über HTTPS (TLS 1.3)
• Datenbank-Backups verschlüsselt
• Konsum-Logs sind technisch nur dem Eigentümer sichtbar — Backend-Endpoints prüfen Auth bei jeder Anfrage

Stand: 26.05.2026 · Diese Datenschutzerklärung wird zur anwaltlichen Prüfung vorbereitet.