Datenschutzerklärung

Zuletzt aktualisiert: 24. Februar 2026 — Version 2.0

1. Identität des Verantwortlichen

Der Verantwortliche für diese Plattform ist:

• Unternehmen: Crush.lu (in Gründung)
• Adresse: 10 rue des Bons Malades, L-6462 Echternach, Luxemburg
• Datenschutzkontakt: privacy@crush.lu
• Aufsichtsbehörde: Commission nationale pour la protection des données (CNPD), 15 Boulevard du Jazz, L-4370 Belvaux, Luxemburg

Diese Datenschutzrichtlinie gilt für Version 2.0 unserer Bedingungen. Ihre Einwilligungsdatensätze referenzieren diese Versionsnummer zur Nachverfolgbarkeit.

2. Geltungsbereich

Diese Richtlinie umfasst alle personenbezogenen Daten, die über die Crush.lu-Website, Progressive Web App (PWA) und zugehörige Dienste verarbeitet werden.

Crush.lu verwendet eine zweistufige Architektur:

• PowerUp-Konto: Ihre Identitätsebene — E-Mail, Name und Authentifizierungsdaten. Dieses Konto kann mit anderen von uns betriebenen Plattformen geteilt werden.
• Crush.lu-Profil: Ihr Dating-Profil — Fotos, Bio, Interessen, Veranstaltungshistorie und Verbindungen. Diese Daten sind spezifisch für Crush.lu und unterliegen einer separaten Einwilligung.

Jede Stufe erfordert eine separate, ausdrückliche Einwilligung. Sie können Ihr Crush.lu-Profil löschen und Ihr PowerUp-Konto behalten oder alles löschen.

3. Daten, die wir erheben

3.1 Identitätsdaten

Wenn Sie ein Konto erstellen, erheben wir:

• E-Mail-Adresse und Benutzername
• Vor- und Nachname
• Geburtsdatum (zur Überprüfung, ob Sie 18+ sind, und zur Altersanzeige)
• Passwort (als gesalzener Hash gespeichert — wir speichern Ihr Passwort niemals im Klartext)

3.2 Social-Login-Daten

Wenn Sie sich über Google, Facebook, Microsoft oder LinkedIn registrieren oder anmelden, erhalten wir:

• Ihre öffentlichen Profilinformationen (Name, E-Mail, Profilbild)
• Anbieterspezifische Nutzer-ID
• Alle zusätzlichen Informationen, deren Weitergabe Sie dem Anbieter gestatten

Während des OAuth-Ablaufs speichern wir vorübergehend einen OAuthState-Datensatz mit Ihrer IP-Adresse und Ihrem User-Agent zur Sicherheitsüberprüfung. Dieser Datensatz verfällt automatisch nach 10 Minuten.

3.3 Profildaten

Wenn Sie Ihr Crush.lu-Profil erstellen, erheben wir:

• Geschlecht — männlich, weiblich, nicht-binär, andere oder keine Angabe
• Telefonnummer — verifiziert per Firebase-SMS-Einmalpasswort (OTP)
• Standort — Ihre Stadt oder Region in Luxemburg
• Über mich — eine kurze Beschreibung von Ihnen (bis zu 500 Zeichen)
• Interessen — Ihre Hobbys und Interessen
• Sucht nach — Freunde, Dating, beides oder Networking
• Sprachpräferenzen — bevorzugte Oberflächensprache und bei Veranstaltungen gesprochene Sprachen
• Fotos — bis zu 3 Profilfotos, gespeichert in einem privaten Azure Blob Storage-Container mit zeitlich begrenzten Zugriffs-Tokens (siehe Abschnitt 13)
• Datenschutzeinstellungen — Ihre Auswahl für: vollständigen Namen oder nur Vornamen anzeigen, genaues Alter oder Altersspanne anzeigen, Fotos bis zum gegenseitigen Interesse weichzeichnen
• Entwurfsdaten — Wenn Sie ein teilweise ausgefülltes Profil speichern, speichern wir Ihren Fortschritt vorübergehend

3.4 Coach-Überprüfungsdaten

Alle Profile werden von autorisierten Crush Coaches vor der Genehmigung überprüft. Während der Überprüfung werden folgende Daten erstellt:

• Profil-Einreichungsstatus (ausstehend, genehmigt, abgelehnt, Überarbeitung angefordert, Coach erneut kontaktieren)
• Coach-Notizen (intern, für Sie nicht sichtbar)
• An Sie übermitteltes Feedback
• Screening-Anrufprotokolle: ob ein Anruf stattfand, Datum, Notizen und eine strukturierte Checkliste
• Anrufversuchsprotokolle: Datum, Ergebnis (erfolgreich, keine Antwort, Voicemail, falsche Nummer, Nutzer besetzt, geplanter Rückruf) und Notizen
• Coach-Sitzungsprotokolle: Sitzungsart (Onboarding, Feedback, Beratung, Nachverfolgung), Notizen und Terminplanungsinformationen

3.5 Veranstaltungsdaten

Wenn Sie sich für Veranstaltungen registrieren oder daran teilnehmen, erheben wir:

• Registrierungsdetails: Veranstaltung, Status (ausstehend, bestätigt, Warteliste, storniert, teilgenommen, nicht erschienen)
• Barrierefreiheitsbedürfnisse und Ernährungseinschränkungen (falls zutreffend)
• Gastinformationen: ob Sie einen Gast mitbringen, Gastname
• Besondere Wünsche
• Zahlungsstatus und -datum (für kostenpflichtige Veranstaltungen)
• Check-in-Daten: signierter QR-Token und Check-in-Zeitstempel
• Veranstaltungseinladungen: Gast-E-Mail, Name, Einladungsstatus, Coach-Genehmigungsnotizen
• Aktivitätsabstimmungen und Präsentationsbewertungen (Bewertungen sind für andere Nutzer anonym)
• Speed-Dating-Paarungszuweisungen und Rundendaten

3.6 Verbindungs- und Nachrichtendaten

Nach der Teilnahme an einer Veranstaltung können Sie Verbindungsanfragen an andere Teilnehmer senden:

• Verbindungsanfragen: wen Sie angefragt haben, Ihre Nachricht (bis zu 300 Zeichen), Status
• Beidseitige Einwilligungsmerkmale: beide Parteien müssen zustimmen, bevor Kontaktinformationen geteilt werden
• Coach-Vermittlung: zugewiesener Coach, Coach-Notizen, personalisierte Vorstellungsnachrichten
• Nachrichten: Text (bis zu 500 Zeichen), Absender, Zeitstempel, Lesebestätigungen
• Coach-Moderationsmerkmale bei Nachrichten

3.7 Crush-Spark-Daten

Crush Spark ist unsere anonyme Verehrerfunktion. Wenn Sie einen Spark senden oder empfangen, verarbeiten wir:

• Anonyme Beschreibung der Person, die Ihnen gefallen hat (nur Text, von einem Coach überprüft)
• Mediendateien: Fotos (bis zu 5 Diashow-Bilder), Videonachricht, Audiodatei
• Persönliche Nachricht, die erst enthüllt wird, wenn der Empfänger Kapitel 6 der Journey abschließt
• Status und Zeitstempel der Identitätsoffenlegung
• Coach-Zuweisung und Notizen

Die Identität des Absenders bleibt anonym, bis der Empfänger die vollständige Journey abschließt. Nach der Zustellung kann ein Spark nicht zurückgezogen werden.

3.8 Journey- und Adventskalender-Daten

Interaktive Journeys (Wonderland, Adventskalender, individuelle Erlebnisse) umfassen:

• Fortschrittsverfolgung: aktuelles Kapitel, verdiente Punkte, aufgewendete Zeit
• Herausforderungsantworten: Ihre Antworten auf Rätsel, Quizfragen und offene Textaufgaben
• Medienbeiträge: Fotos, Videos und Audiodateien, die als Teil von Herausforderungen hochgeladen werden
• Personalisierungsdaten: Datum des ersten Treffens, Ort des ersten Treffens (vom Journey-Ersteller angegeben)
• Abschlussstatus und Abschlussantwort
• Adventskalender-Fortschritt: geöffnete Türchen, QR-Code-Scans, Besuchszeitstempel

3.9 Wallet- und Treueprogrammdaten

Wenn Sie Ihren Crush.lu-Pass zu Apple Wallet oder Google Wallet hinzufügen:

• Apple Wallet: Pass-Seriennummer, Authentifizierungstoken, Geräte-Bibliothekskennung, APNS-Push-Token
• Google Wallet: Wallet-Objekt-ID, Veranstaltungsticket-Objekt-IDs
• Ihre Wahl, ob Ihr Foto auf dem Wallet-Pass angezeigt werden soll

Wenn Sie an unserem Empfehlungsprogramm teilnehmen:

• Für Ihr Profil generierte Empfehlungscodes
• Empfehlungszuordnungen: IP-Adresse, User-Agent, Landingpage-Pfad, Sitzungs-ID, Konversionsstatus
• Empfehlungspunkte und Mitgliedschaftsstufe (Basic, Bronze, Silber, Gold)

3.10 Benachrichtigungsdaten

Um Benachrichtigungen zuzustellen, erheben wir:

• Push-Benachrichtigungen: Abonnement-Endpunkt-URL, Verschlüsselungsschlüssel (p256dh, auth), Geräte-Fingerabdruck, User-Agent, Gerätename
• E-Mail-Einstellungen: Kategorieweise Opt-in/Opt-out-Flags (Profilaktualisierungen, Veranstaltungserinnerungen, Verbindungen, Nachrichten, Newsletter, Marketing), Abmelde-Token
• Benachrichtigungseinstellungen: welche Arten von Push-Benachrichtigungen Sie erhalten möchten (Nachrichten, Veranstaltungen, Verbindungen, Profilaktualisierungen)

3.11 Geräte- und Aktivitätsdaten

• Aktivitätsverfolgung: Zuletzt-gesehen-Zeitstempel, letzter PWA-Besuch, Gesamtbesuchszahl, Erstmals-gesehen-Zeitstempel
• PWA-Installation: Geräte-Fingerabdruck, Betriebssystem, Formfaktor (Telefon, Tablet, Desktop), Browsername, vollständiger User-Agent-String, Installations- und Letzte-Nutzung-Zeitstempel
• Re-Engagement: zuletzt gesendete Erinnerungs-E-Mail, Gesamtanzahl gesendeter Erinnerungen

3.12 Einwilligungsdatensätze

Wir führen detaillierte Aufzeichnungen über Ihre Einwilligung, wie von der DSGVO gefordert:

• Zweistufige Einwilligung: separate Datensätze für PowerUp-Konto und Crush.lu-Profil, jeweils mit IP-Adresse, Zeitstempel und akzeptierter AGB-Version
• Marketingeinwilligung: separates Opt-in mit Zeitstempel
• Sperrdatensätze: falls zutreffend, Sperrdatum und Grund (Nutzerlöschung, Admin-Aktion, Verstoß gegen die Nutzungsbedingungen)

4. Wie wir Ihre Daten verwenden

Die folgende Tabelle beschreibt, wie wir Ihre Daten verwenden und unsere Rechtsgrundlage gemäß Artikel 6 DSGVO:

5. Automatisierte Entscheidungsfindung (Art. 22)

Unser Speed-Dating-Paarungsalgorithmus verwendet Registrierungsdaten (Geschlecht, Alter), um Rundenpaarungen zu erstellen und Top-Übereinstimmungen basierend auf gegenseitigen Bewertungen zu identifizieren. Diese Verarbeitung erzeugt keine rechtlichen oder ähnlich erhebliche Auswirkungen — sie bestimmt lediglich Gesprächspaarungen innerhalb einer Veranstaltung, an der Sie bereits teilnehmen.

Alle Profilgenehmigungen werden von menschlichen Coaches vorgenommen, nicht von automatisierten Systemen. Wir verwenden kein Profiling für Marketing- oder Werbezwecke.

6. Datenweitergabe

6.1 Mit Crush Coaches

Unsere autorisierten Crush Coaches können zugreifen auf:

• Ihre Profilinformationen, Fotos, Bio und Interessen (zur Überprüfung und Genehmigung)
• Ihre Veranstaltungsregistrierungen und Teilnahmehistorie
• Verbindungsanfragen, die Sie betreffen (zur Vermittlung)
• Über Verbindungen ausgetauschte Nachrichten (zur Moderation)

Coaches können nicht sehen: Ihr Passwort, Ihre rohen IP-Adressen, Ihre Geräte-Fingerabdrücke, Ihre E-Mail-Einstellungen oder Ihre technischen Push-Abonnement-Daten.

6.2 Mit anderen Nutzern

Was andere Nutzer sehen können, wird durch Ihre Datenschutzeinstellungen gesteuert:

• Anzeigename: Ihr vollständiger Name oder nur Ihr Vorname (gesteuert durch Ihre Einstellung „Vollständigen Namen anzeigen“)
• Alter: Ihr genaues Alter oder eine Altersspanne (gesteuert durch Ihre Einstellung „Genaues Alter anzeigen“)
• Fotos: klar oder verschwommen (gesteuert durch Ihre Einstellung „Fotos weichzeichnen“, aufgehoben bei gegenseitigem Interesse)
• Kontaktinformationen werden nur nach beidseitiger Zustimmung und Coach-Genehmigung über unser Verbindungssystem geteilt

Crush-Spark-Beschreibungen sind anonym. Die Identität des Absenders wird erst offengelegt, wenn der Empfänger die vollständige Journey abschließt.

6.3 Auftragsverarbeiter

Wir teilen Daten mit den folgenden Drittanbieter-Dienstleistern:

6.4 Rechtliche Anforderungen

Wir können Ihre personenbezogenen Daten offenlegen, wenn dies gesetzlich vorgeschrieben ist, durch Gerichtsbeschluss oder behördliche Anforderung erforderlich ist oder um die Rechte, das Eigentum oder die Sicherheit von Crush.lu, unseren Nutzern oder anderen zu schützen.

7. Internationale Datenübertragungen

Ihre Daten werden hauptsächlich innerhalb der Europäischen Union auf Microsoft Azure-Servern in der Region Westeuropa (Niederlande) verarbeitet und gespeichert.

Einige Daten werden über folgende Mechanismen in die Vereinigten Staaten übertragen:

• OAuth-Anbieter (Google, Facebook, Microsoft, LinkedIn): EU-US-Datenschutzrahmen (DPF) Angemessenheitsbeschluss
• Apple PassKit und Google Wallet: EU-US-Datenschutzrahmen (DPF) Angemessenheitsbeschluss
• Firebase: DPF-Angemessenheitsbeschluss + Standardvertragsklauseln (SCCs)

Es werden keine Daten in Länder ohne angemessenes Datenschutzniveau übertragen, es sei denn, geeignete Schutzmaßnahmen sind vorhanden.

8. Datenspeicherung

Wir bewahren Ihre Daten für die folgenden Zeiträume auf:

9. Ihre Rechte (Artikel 15–22 DSGVO)

Gemäß DSGVO und luxemburgischem Datenschutzrecht haben Sie die folgenden Rechte:

• Auskunftsrecht (Art. 15): Fordern Sie eine Kopie Ihrer personenbezogenen Daten an. Sie können Ihre Daten direkt über Ihre Kontoeinstellungen exportieren.
• Recht auf Berichtigung (Art. 16): Korrigieren Sie ungenaue oder unvollständige Informationen, indem Sie Ihr Profil bearbeiten.
• Recht auf Löschung (Art. 17): Fordern Sie die Löschung Ihrer Daten an. Sie können nur Ihr Crush.lu-Profil löschen (und Ihr PowerUp-Konto behalten) oder alles löschen. Nutzen Sie die Datenverwaltungsseite in Ihren Kontoeinstellungen.
• Recht auf Einschränkung (Art. 18): Fordern Sie die Einschränkung der Verarbeitung Ihrer Daten an.
• Recht auf Datenübertragbarkeit (Art. 20): Erhalten Sie Ihre Daten in einem strukturierten, maschinenlesbaren JSON-Format über die Datenexportfunktion in Ihren Kontoeinstellungen.
• Widerspruchsrecht (Art. 21): Der Verarbeitung auf Grundlage eines berechtigten Interesses widersprechen.
• Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3): Die Einwilligung für jede einwilligungsbasierte Verarbeitung jederzeit widerrufen, ohne die Rechtmäßigkeit der Verarbeitung vor dem Widerruf zu berühren.

Um eines dieser Rechte auszuüben, kontaktieren Sie uns unter privacy@crush.lu oder nutzen Sie die In-App-Datenverwaltungstools in Ihren Kontoeinstellungen.

Wenn Sie der Meinung sind, dass Ihre Rechte verletzt wurden, haben Sie das Recht, eine Beschwerde bei der CNPD einzureichen:

• Commission nationale pour la protection des données
• 15 Boulevard du Jazz, L-4370 Belvaux, Luxemburg
• Website: https://cnpd.public.lu

10. Cookies und lokaler Speicher

Wir verwenden die folgenden Cookies und Browser-Speicher:

Wir verwenden keine Tracking-Cookies von Drittanbietern. Wir verwenden kein Google Analytics. Unsere serverseitige Überwachung (Application Insights) arbeitet mit einer Stichprobenrate von 5% und erhebt keine personenbezogenen Daten von Ihrem Browser.

Sie können Cookies über Ihre Browser-Einstellungen steuern. Das Deaktivieren erforderlicher Cookies verhindert die Anmeldung.

11. Datenschutz für Kinder

Crush.lu ist ausschließlich für Nutzer ab 18 Jahren bestimmt. Wir überprüfen Ihr Alter anhand Ihres Geburtsdatums bei der Registrierung. Wir erheben wissentlich keine personenbezogenen Daten von Personen unter 18 Jahren.

Wenn wir feststellen, dass ein Nutzer unter 18 Jahre alt ist, werden wir sein Konto und alle zugehörigen Daten sofort löschen. Wenn Sie erfahren, dass ein Minderjähriger ein Konto erstellt hat, kontaktieren Sie uns bitte sofort unter privacy@crush.lu.

12. Benachrichtigung bei Datenschutzverletzungen

Im Falle einer Verletzung des Schutzes personenbezogener Daten werden wir:

• Die CNPD innerhalb von 72 Stunden nach Bekanntwerden des Verstoßes benachrichtigen (Artikel 33 DSGVO)
• Betroffene Nutzer unverzüglich benachrichtigen, wenn der Verstoß voraussichtlich ein hohes Risiko für Ihre Rechte und Freiheiten darstellt (Artikel 34 DSGVO)
• Den Verstoß, seine Auswirkungen und die ergriffenen Abhilfemaßnahmen dokumentieren

13. Fotosicherheit

Ihre Profilfotos erhalten erweiterten Schutz:

• Fotos werden in einem privaten Azure Blob Storage-Container gespeichert — sie sind nicht öffentlich zugänglich
• Der Zugriff erfolgt über zeitlich begrenzte Shared-Access-Signature-Token (SAS), die nach 30 Minuten ablaufen
• Jedes Foto wird unter einem nutzerspezifischen Pfad mit einem zufälligen Dateinamen gespeichert
• Die Weichzeichnungsfunktion ermöglicht es Ihnen, Ihre Fotos bis zum gegenseitigen Interesse unkenntlich zu machen
• Journey- und Crush-Spark-Mediendateien erhalten die gleiche private Speicherbehandlung

14. Änderungen dieser Richtlinie

Wir können diese Datenschutzrichtlinie von Zeit zu Zeit aktualisieren. Bei wesentlichen Änderungen werden wir:

• Mindestens 30 Tage vor Inkrafttreten der Änderungen informieren
• Verlangen, dass Sie Ihre Einwilligung über unsere Einwilligungsmiddleware erneut bestätigen, bevor Sie die Plattform weiter nutzen
• Die Versionsnummer und das Datum „Zuletzt aktualisiert“ oben auf dieser Seite aktualisieren

Ihre fortgesetzte Nutzung von Crush.lu nach erneuter Einwilligung gilt als Akzeptanz der aktualisierten Richtlinie.

15. Kontakt

Wenn Sie Fragen zu dieser Datenschutzrichtlinie haben oder Ihre Datenschutzrechte ausüben möchten:

• Datenschutzkontakt: privacy@crush.lu
• Allgemeiner Support: support@crush.lu
• Adresse: Crush.lu, 10 rue des Bons Malades, L-6462 Echternach, Luxemburg

Aufsichtsbehörde:

• Commission nationale pour la protection des données (CNPD)
• 15 Boulevard du Jazz, L-4370 Belvaux, Luxemburg
• Website: https://cnpd.public.lu

---