Zuletzt aktualisiert: 13. September 2026
Wir nehmen Datenschutz ernst. Diese Erklärung beschreibt, welche Daten wir erheben, auf welcher Rechtsgrundlage, wie lange wir sie speichern, wer sie in unserem Auftrag verarbeitet und wie Sie Ihre Rechte nach der EU-Datenschutz-Grundverordnung (Verordnung 2016/679, die GDPR) ausüben können.
Verantwortlicher für die über karmogram.com verarbeiteten personenbezogenen Daten ist CyGuru Pharm SRL, eingetragen in Rumänien (Handelsregister registration pending, Steuernummer RO52437696), mit Sitz in Branesti, str. Horia 33c, jud. Ilfov. Allgemeiner Kontakt: karmogram@karmogram.com. Datenschutzanfragen (einschließlich DPO-Postfach): karmogram@karmogram.com. Wir beantworten alle Betroffenenanfragen innerhalb von dreißig (30) Tagen, im Einklang mit GDPR Art. 12(3).
(a) Identifikation + Angaben zur Deutung: vollständiger Name, E-Mail, Geburtsdatum, optional Geburtszeit und -ort, Daten von Partnern oder Teammitgliedern, die Sie eingeben, Ihre schriftliche Frage oder Traumbeschreibung. (b) Biometrische Daten (nur für Handlesen): ein Foto Ihrer Handfläche. (c) Konto/Anmeldung: E-Mail, Magic-Link-Token, Zeitpunkt der letzten Anmeldung. (d) Von Stripe zurückgegebene Zahlungsmetadaten (Kartenmarke, letzte vier Ziffern, Land, Transaktions-ID — die vollständige Kartennummer sehen wir nie). (e) Technische Daten: Ihre IP-Adresse und Ihr User-Agent werden von unserem Hosting-Anbieter (Vercel) vorübergehend verarbeitet, um die Seite auszuliefern und den Dienst vor Missbrauch zu schützen; beim ersten Besuch wird das aus Ihrer IP-Adresse abgeleitete Land nur zur Wahl der Seitensprache genutzt, die Sie jederzeit im Sprachmenü ändern können. Unsere Produktanalyse (PostHog, EU-Region) erhält Ihre IP-Adresse nie und läuft nur, wenn Sie im Cookie-Banner zustimmen; dann erfasst sie Geräteklasse, Sprache, Referrer und UTM-Parameter. (f) Mitteilungen, die Sie uns senden (E-Mail-Text, Anhänge).
Erstellung und Lieferung der Deutung — Erfüllung des Vertrags, den Sie mit Ihrer Bestellung schließen (DSGVO Art. 6(1)(b)). Kontoerstellung und Magic-Link-Anmeldung — Vertragserfüllung (DSGVO Art. 6(1)(b)). Betrugsprävention, Missbrauchsabwehr und Fehlerüberwachung — unser berechtigtes Interesse, den Dienst sicher und funktionsfähig zu halten (DSGVO Art. 6(1)(f)); dabei werden nur vorübergehende technische Daten genutzt und Sie werden nie profiliert. Wahl der Seitensprache beim ersten Besuch anhand des Landes Ihrer IP-Adresse — unser berechtigtes Interesse, Ihnen eine lesbare Seite zu zeigen (DSGVO Art. 6(1)(f)); das Ergebnis wird nur für die Sitzung gespeichert, das Sprachmenü hat Vorrang. Produktanalyse (PostHog) — Ihre Einwilligung, im Cookie-Banner erteilt und jederzeit unter „Cookie-Einstellungen“ in der Fußzeile widerrufbar (DSGVO Art. 6(1)(a); ePrivacy Art. 5(3)); ohne sie läuft keine Analyse. Marketing-Mitteilungen — Ihre ausdrückliche, freiwillige Einwilligung beim Abonnieren des Newsletters, bestätigt über den Link, den wir Ihnen per E-Mail senden (Double-Opt-in) (DSGVO Art. 6(1)(a)), jederzeit widerrufbar über den Abmeldelink in jeder E-Mail oder per Nachricht an karmogram@karmogram.com. Handflächenfotos (Handlesen) — Ihre ausdrückliche Einwilligung zur Verarbeitung biometrischer Daten nach DSGVO Art. 9(2)(a). Steuer- und Buchhaltungsunterlagen — Erfüllung unserer gesetzlichen Pflichten nach rumänischem Steuerrecht (DSGVO Art. 6(1)(c)).
Sitzungs-Cookies (iron-session, signiert): 30 Tage ab letzter Aktivität. Magic-Link-Anmeldetoken: 15 Minuten (einmalig). Interview- und Deutungsdaten (Ihre Angaben und die erzeugte Deutung): 3 Jahre ab Lieferung, danach anonymisiert oder gelöscht, entsprechend der Verjährungsfrist für zivilrechtliche Ansprüche nach rumänischem Recht. Handflächenfotos: 30 Tage ab Upload (im Ruhezustand verschlüsselt, gelöscht durch einen täglichen Bereinigungslauf um 04:00 Europe/Bucharest). E-Mail-Zustellprotokolle (Resend): 30 Tage. Stripe-Transaktionsdaten und Rechnungen: 7 Jahre (vorgeschrieben durch das rumänische Gesetz 227/2015 zur Steuerordnung und Gesetz 82/1991 zur Buchführung). Produktanalyse-Ereignisse (PostHog, EU-Region, nur mit Ihrer Einwilligung): 12 Monate. Fehlerereignisse (Sentry): derzeit nicht aktiviert; falls wir es aktivieren, 90 Tage — und diese Richtlinie wird es sagen. Support-Korrespondenz: bis zu 3 Jahre.
Your reading is generated by an automated natural-language processing system (OpenAI; palm-reading uses Anthropic). The data we send to the system is the interview fields you submitted (name, birth data, your question, partner or team data if relevant) together with our editorial guidelines. Data sent to OpenAI's API is not used to train or improve any model and is retained by OpenAI for up to 30 days for abuse monitoring before deletion; palm-reading is processed by Anthropic. Generation is fully automated, but it does not produce decisions that have a legal or similarly significant effect on you (a Karmogram reading is reflective entertainment, not a legal, medical, financial, employment or insurance decision). You may at any time request human review of a delivered reading by writing to karmogram@karmogram.com; we will respond within 30 days.
We share data only with the processors strictly needed to operate the service. Stripe Payments Europe (Ireland; processing servers in the United States) — payment processing. Transfer mechanism: EU Standard Contractual Clauses 2021/914 plus Stripe's adherence to the EU–US Data Privacy Framework. Resend (United States) — transactional and marketing email delivery. Transfer mechanism: SCC 2021/914 plus EU–US Data Privacy Framework. PostHog (European Union, eu.posthog.com) — product analytics; no international transfer. Sentry (United States, only when enabled) — error tracking. Transfer mechanism: SCC 2021/914 plus EU–US DPF. Vercel Inc. (United States, with EU edge regions) — application hosting. Transfer mechanism: SCC 2021/914 plus EU–US DPF. OpenAI, L.L.C. (United States) — automated natural-language generation of your reading, accessed through our backend; data sent via the OpenAI API is not used to train OpenAI's models and is retained by OpenAI for up to 30 days for abuse monitoring before deletion. Transfer mechanism: SCC 2021/914. Anthropic PBC (United States) — natural-language processing for palm-reading, accessed through our backend. Transfer mechanism: SCC 2021/914 plus EU–US DPF. If you give explicit consent to store your answers, your customer record, purchase and reading are held in a managed PostgreSQL database located in the European Union. We do not sell your data and we do not share it with advertising networks.
Where personal data leaves the European Economic Area (Stripe, Resend, Sentry, Vercel, OpenAI, Anthropic) the transfer is governed by the European Commission's Standard Contractual Clauses (Decision 2021/914) and, where applicable, by the recipient's certification under the EU–US Data Privacy Framework. You may obtain a copy of the safeguards by writing to karmogram@karmogram.com.
Sie haben das Recht auf Auskunft (Art. 15), auf Berichtigung (Art. 16), auf Löschung / Recht auf Vergessenwerden (Art. 17), auf Einschränkung der Verarbeitung (Art. 18), auf Datenübertragbarkeit (Art. 20 — Sie können Ihre Daten in einer strukturierten, maschinenlesbaren JSON-Datei anfordern) und auf Widerspruch (Art. 21). Beruht die Verarbeitung auf einer Einwilligung (Art. 6(1)(a) oder Art. 9(2)(a)), können Sie diese jederzeit widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird. Zur Ausübung eines Rechts nutzen Sie das Formular unter /privacy/erase oder schreiben Sie an karmogram@karmogram.com. Wir antworten innerhalb von 30 Tagen. Sie haben außerdem das Recht, Beschwerde bei der rumänischen Aufsichtsbehörde (ANSPDCP — Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, dataprotection.ro) oder bei der Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts einzulegen.
Handflächenfotos, die Sie für die Handlesen-Deutung hochladen, sind biometrische Daten im Sinne von GDPR Art. 4(14) und Art. 9. Wir verarbeiten sie ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 9(2)(a)) und allein zum Zweck der Erstellung Ihrer Handlesen-Deutung. Wir entfernen EXIF- und Standortmetadaten aus Ihrem Bild sowohl clientseitig (im Browser, vor dem Upload) als auch serverseitig (Defense-in-Depth). Die Dateien werden mit AES-256 verschlüsselt gespeichert, nie über öffentliche URLs zugänglich gemacht, von der Deutungs-Engine nur über kurzlebige signierte URLs (≤ 5 Minuten) abgerufen und innerhalb von 30 Tagen durch einen täglichen Bereinigungslauf gelöscht. Eine sofortige Löschung können Sie unter /privacy/erase oder per E-Mail an karmogram@karmogram.com verlangen.
Standardmäßig setzen wir nur, was die Seite zum Funktionieren braucht: das Anti-CSRF-Token (__Host-csrf, 1 Tag), Ihre 18+-Bestätigung, sobald Sie sie geben (__Host-km_age, 12 Monate), Ihre Cookie-Wahl, sobald Sie sie treffen (km_consent_v1, 180 Tage), und die Seitensprache (NEXT_LOCALE — für die Sitzung, wenn wir sie wählen; 12 Monate nur, wenn Sie selbst eine Sprache wählen); das Anmelde-Cookie (karmogram_session, 30 Tage) nur nach einer Magic-Link-Anmeldung. Analyse-Cookies (PostHog) werden nur gesetzt, wenn Sie im Cookie-Banner zustimmen, und Sie können jederzeit unter „Cookie-Einstellungen“ in der Fußzeile widerrufen. Werbe-Cookies verwenden wir nicht. Das vollständige Verzeichnis — jedes Cookie und jeder Browserspeicher-Schlüssel mit Zweck und Dauer — steht in unserer Cookie-Richtlinie.
Wenn Sie personenbezogene Daten über eine andere Person übermitteln (einen Partner für eine Kompatibilitäts-Deutung, Gründer oder Teammitglieder für eine Team-Kompatibilitäts-Deutung oder jemanden, den Sie in Ihrer Frage nennen), bestätigen Sie, dass Sie diese Person über die Verarbeitung informiert haben und dass Sie eine Rechtsgrundlage haben, uns ihre Daten zu übermitteln. Auf Anfrage einer solchen Person setzen wir deren Rechte nach Artikel 14 der GDPR in gleicher Weise um wie für unsere direkten Nutzer.
Karmogram richtet sich ausschließlich an Erwachsene ab 18 Jahren. Wir verarbeiten wissentlich keine personenbezogenen Daten Minderjähriger. Wenn Sie glauben, dass eine minderjährige Person Daten über den Dienst übermittelt hat, melden Sie dies bitte umgehend an karmogram@karmogram.com; wir löschen die Daten unverzüglich.
Data in transit is protected by TLS 1.2+. The application runs on Vercel's infrastructure; where we store customer records and readings, they are held in a managed PostgreSQL database in the European Union, encrypted in transit. Secrets are managed through the hosting platform's encrypted environment and never committed to source control. Access to production data is restricted to named personnel and logged. We notify the supervisory authority and affected users within 72 hours of becoming aware of a personal-data breach, in line with GDPR Art. 33–34.
Bei wesentlichen Änderungen dieser Erklärung benachrichtigen wir alle Kontoinhaber und kürzlich gewonnenen Kunden mindestens fünfzehn (15) Tage vor Inkrafttreten per E-Mail. Nicht wesentliche Änderungen werden mit aktualisiertem Revisionsdatum oben auf dieser Seite veröffentlicht. Die aktuelle Fassung datiert vom 13. September 2026.
Verantwortlicher: CyGuru Pharm SRL, Branesti, str. Horia 33c, jud. Ilfov. Allgemeines Postfach: karmogram@karmogram.com. Datenschutz-Postfach (DPO): karmogram@karmogram.com. Rumänische Aufsichtsbehörde: ANSPDCP, dataprotection.ro.
Betrieben von CyGuru Pharm SRL (registration pending, CUI RO52437696), Branesti, str. Horia 33c, jud. Ilfov. Vertrag Nr. 1/17.04.2026.
