Datenschutzerklärung

Legal texts are available in German only. The German version is binding.

Kurz gesagt: Kein Tracking, keine Werbung, keine Analyse-Dienste, keine Schriften oder Skripte von fremden Servern. Unser Server steht in Deutschland. Für die Antworten des Bots nutzen wir die KI von xAI (USA). Daten verkaufen wir nie.

1. Wer verantwortlich ist

David Tyutyunov
Wachenheimer Straße 12
67433 Neustadt an der Weinstraße
E-Mail: david.tyu@protonmail.com

Einen Datenschutzbeauftragten haben wir nicht, weil wir dazu nicht verpflichtet sind. Schreib bei allen Fragen zum Datenschutz an die E-Mail-Adresse oben.

2. Zwei Rollen

Wir sind verantwortlich für alles, was wir für uns selbst verarbeiten: die Website, die Demo, dein Konto, deine Rechnungen, das Partnerprogramm und den Schutz vor Missbrauch. Darum geht es in dieser Erklärung.
Wir arbeiten im Auftrag unserer Kundinnen, wenn ihr Bot mit ihren Kunden schreibt. Für diese Chats ist die Kundin verantwortlich, wir verarbeiten sie nur nach ihrer Weisung. Das regelt der Auftragsverarbeitungsvertrag. Mehr dazu in Abschnitt 15.

3. Website und Server

Unser Server steht in einem Rechenzentrum der OVH GmbH (Saarbrücken) in Limburg, Deutschland. OVH verarbeitet die Daten als unser Auftragsverarbeiter.

Bei jedem Aufruf speichert der Server kurz ein Protokoll: IP-Adresse, Zeitpunkt, aufgerufene Adresse und Ergebnis. Wir brauchen das, um Fehler zu finden und Angriffe abzuwehren (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle werden nach 14 Tagen gelöscht. Zum Schutz vor Missbrauch zählen wir Anfragen je IP-Adresse (z. B. Registrierungen, Anmeldeversuche); diese Zähler werden nach 24 Stunden gelöscht.

Die Verbindung ist immer verschlüsselt (HTTPS). Schriften und Skripte liefern wir selbst aus – dein Browser lädt nichts von Google oder anderen fremden Servern.

4. Cookies und Speicher im Browser

Wir verwenden keine Cookies oder ähnliche Techniken für Werbung, Statistik oder Tracking. Darum gibt es auch kein Cookie-Banner. Gespeichert wird nur, was für den Dienst, den du ausdrücklich nutzt, unbedingt nötig ist (§ 25 Abs. 2 Nr. 2 TDDDG):

Name	Wo	Wofür	Wie lange
buhu-sprache, buhu-sprache-gewaehlt	localStorage	deine gewählte Sprache	bis du sie löschst
buhu-18	localStorage	dass du bestätigt hast, mindestens 18 zu sein – damit die Abfrage nicht jedes Mal kommt	bis du sie löschst
anmeldung, buhu-freundin	sessionStorage	Registrierung nach dem Neuladen fortsetzen, Einladungscode	bis der Tab geschlossen wird
buhu-partner	localStorage	du bleibst im Partnerbereich angemeldet	bis du dich abmeldest, höchstens 30 Tage gültig
chatbot-token	localStorage	du bleibst in deiner App angemeldet	bis du dich abmeldest
buhu_g	Cookie (buhu.app und Unterseiten) und localStorage	Geräte-Kennung gegen doppelte Testphasen (Abschnitt 7). Wird erst gesetzt, wenn du dich registrierst, dich als Partner anmeldest oder deine App öffnest – nicht beim bloßen Besuch.	2 Jahre
Service Worker, Push-Anmeldung	Browser	deine App funktioniert wie eine App und bekommt Push-Nachrichten	bis du Push ausschaltest oder die App entfernst

5. Die Demo auf der Startseite

In der Demo schreibst du mit dem echten Bot. Deine Nachrichten schicken wir zum Antworten an die KI von xAI (USA, siehe Abschnitt 13). Der Gesprächsverlauf liegt nur im Arbeitsspeicher und wird nach 45 Minuten ohne Nachricht vergessen. Zusätzlich landen die Nachrichten in einem technischen Protokoll, das sich selbst überschreibt (höchstens 8 MB, ältere Einträge fallen heraus). Um Missbrauch zu begrenzen, zählen wir Nachrichten je IP-Adresse für 24 Stunden.

Rechtsgrundlage ist unser berechtigtes Interesse, den Dienst vorzuführen (Art. 6 Abs. 1 lit. f DSGVO). Schreib in der Demo bitte keine echten Namen, Nummern oder Adressen. Die Demo ist nur für Erwachsene.

6. Registrierung und Konto

Für dein Konto speichern wir: E-Mail-Adresse, Passwort (nur als scrypt-Hash, nie im Klartext), gewähltes Paket und Laufzeit, Sprache, angemeldete Geräte (Browser-Kennung, z. B. „Chrome auf Android“), Passkeys (nur der öffentliche Schlüssel) sowie Datum und Fassung der AGB, denen du zugestimmt hast. Einen Klarnamen brauchen wir zum Start nicht.

Rechtsgrundlage ist der Vertrag mit dir (Art. 6 Abs. 1 lit. b DSGVO). Weil buhu für Sexarbeit gedacht ist, lässt schon dein Konto Rückschlüsse auf deine Tätigkeit zu – das sind besonders geschützte Daten. Dafür holen wir bei der Registrierung deine ausdrückliche Einwilligung ein (Art. 9 Abs. 2 lit. a DSGVO). Du kannst sie jederzeit per E-Mail widerrufen; ohne sie können wir den Dienst aber nicht erbringen, der Vertrag endet dann.

7. Schutz vor doppelten Testphasen

Die kostenlose Testphase gibt es je Telefonnummer und Gerät nur einmal. Dazu verarbeiten wir:

die Geräte-Kennung buhu_g (eine Zufallszahl, Abschnitt 4),
Gerätemerkmale (Browser, Sprache, Zeitzone, Bildschirm, Grafikkarte, Darstellung einer Testgrafik). Daraus berechnet schon dein Browser einen Prüfwert (SHA-256), die Merkmale selbst verlassen dein Gerät nicht,
das Netz, aus dem du kommst (gekürzte IP-Adresse),
die Telefonnummer, die du mit dem Bot verbindest.

Wir speichern davon nur verschlüsselte Prüfwerte (HMAC), keine Klarwerte. Gleiche Kennung oder gleiche Nummer heißt: keine neue Testphase, kaufen geht trotzdem. Ähnliche Merkmale im selben Netz lösen nur einen Hinweis an uns aus – ein Mensch entscheidet. Wenn du meinst, dass du zu Unrecht keine Testphase bekommen hast, schreib uns; wir prüfen das von Hand.

Rechtsgrundlage ist unser berechtigtes Interesse, die kostenlose Testphase vor Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Die Prüfwerte löschen wir 3 Jahre nach ihrer Erfassung, aber nicht, solange dein Konto noch läuft – auch nach dem Löschen deines Kontos, damit eine Nummer die Testphase nicht ein zweites Mal bekommt.

8. Deine App und dein Bot

Damit der Bot in deinem Namen antworten kann, speichern wir, was du in der Einrichtung und der App angibst: deinen Namen im Chat, Ort bzw. Stadtteil, Adresse für Termine, Preise, Angebot, Tabus, Zeiten, Zahlungswege für deine Kunden, deine Teaser-Bilder und deine Sprachnachricht. Aus Bildern entfernen wir Standort- und Kameradaten, bevor ein Kunde sie bekommt.

Telegram und WhatsApp: Der Bot meldet sich mit deiner eigenen Nummer an. Dafür speichern wir die Sitzung auf unserem Server. Bei Telegram legen wir dazu in deinem Namen einen Zugang auf my.telegram.org an. Telegram (Telegram FZ-LLC, Dubai) und WhatsApp (WhatsApp Ireland Ltd.) verarbeiten deine Nachrichten nach ihren eigenen Datenschutzbestimmungen – du nutzt dort dein eigenes Konto.
KI: Damit der Bot antwortet, schicken wir die Nachrichten deiner Kunden zusammen mit deinen Angaben (Preise, Angebot, Zeiten usw.) an xAI (USA, Abschnitt 13).
Sprachnachrichten deiner Kunden schreiben wir auf unserem eigenen Server in Text um – sie gehen dafür an niemanden sonst.
Push-Nachrichten (z. B. Terminanfragen) laufen über den Push-Dienst deines Browsers (bei Chrome Google, bei Safari Apple, bei Firefox Mozilla). Der Inhalt ist Ende-zu-Ende verschlüsselt, der Push-Dienst sieht nur, dass eine Nachricht kommt.
Eigene IP-Adresse: Dein Bot verbindet sich über eine eigene IP-Adresse mit Telegram und WhatsApp.

Rechtsgrundlage ist der Vertrag mit dir (Art. 6 Abs. 1 lit. b DSGVO) und deine Einwilligung für Angaben zu deiner Tätigkeit (Art. 9 Abs. 2 lit. a DSGVO).

9. Rechnungen und Zahlung

Wir speichern deine Rechnungen und Zahlungen. Du zahlst per Überweisung oder Krypto direkt an uns – ohne Zahlungsdienstleister. Bei einer Überweisung sehen wir die Angaben, die deine Bank mitschickt (Name, IBAN, Verwendungszweck). Bei Krypto prüfen wir den Zahlungseingang über öffentliche Blockchain-Dienste (mempool.space, Solana); dabei geht nur die Empfangsadresse dorthin, nichts über dich.

Rechtsgrundlage ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO) und die gesetzliche Aufbewahrungspflicht für Rechnungen (Art. 6 Abs. 1 lit. c DSGVO, § 147 AO, § 14b UStG).

10. Partnerprogramm

Wer buhu weiterempfiehlt, bekommt eine Provision (Teilnahmebedingungen). Dafür verarbeiten wir:

Partnerkonto, wenn du keine Kundin bist: E-Mail-Adresse, Sprache, Anlegedatum und den Prüfwert deiner Geräte-Kennung (Abschnitt 7) – damit niemand sich selbst wirbt. Du meldest dich mit einem Code per E-Mail an, die Sitzung gilt 30 Tage. Als Kundin nutzt du dein bestehendes Konto.
Zuordnung: welches Konto sich über deinen Link oder mit deinem Code registriert hat. Zugeordnet wird nur bei der Registrierung – ohne Tracking-Cookie. Wird dein Partnerkonto gelöscht, bleibt beim geworbenen Konto nur deine Partner-Kennung (ohne Name oder E-Mail) stehen; es fließt keine Provision mehr.
Provisionen: Rechnungsnummer und Konto der Geworbenen, Nettobetrag, Satz, Provision, Datum, Status.
Auszahlung: vollständiger Name, Anschrift und IBAN oder Krypto-Adresse; zu jeder Auszahlung eine Gutschrift mit Nummer.

Bei einer Überweisung gehen Name, IBAN und Betrag an unsere Bank. Eine Krypto-Auszahlung ist wie jede Blockchain-Überweisung öffentlich sichtbar (Empfangsadresse und Betrag). E-Mails zum Partnerprogramm (Code, Auszahlung) verschicken wir über Resend (Abschnitt 13).

Rechtsgrundlage ist die Vereinbarung über die Teilnahme (Art. 6 Abs. 1 lit. b DSGVO), die Aufbewahrungspflicht für Gutschriften und Buchungsbelege (Art. 6 Abs. 1 lit. c DSGVO, § 147 AO, § 14b UStG) und unser berechtigtes Interesse, Selbstwerbung zu verhindern (Art. 6 Abs. 1 lit. f DSGVO).

11. E-Mails

Wir schicken dir nur E-Mails, die zum Dienst gehören: Bestätigungs- und Anmeldecodes, Rechnungen, Erinnerungen. Keine Werbung. Versendet werden sie über Resend (Resend Inc., USA, Versand aus Irland, Abschnitt 13). Rechnungen per E-Mail kannst du in der App abschalten.

12. Sicherungen

Damit nichts verloren geht, sichern wir den Server jede Nacht. Die Sicherungen liegen 14 Tage auf dem Server und zusätzlich 30 Tage auf einem Rechner des Anbieters in Deutschland, danach werden sie automatisch gelöscht.

13. Empfänger und Übermittlung in Drittländer

Empfänger	Wofür	Ort, Schutz
OVH GmbH, Saarbrücken	Server	Deutschland, Auftragsverarbeitung
X.AI LLC (xAI), Palo Alto	KI für die Antworten des Bots und der Demo	USA, Auftragsverarbeitung mit EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Nach Angaben von xAI werden Daten aus der Schnittstelle nicht zum Training verwendet.
Resend Inc., San Francisco	Versand von E-Mails	USA, zertifiziert nach dem EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO)
unsere Bank	Überweisungen (Rechnungen, Auszahlungen im Partnerprogramm)	EU
Push-Dienst deines Browsers (Google, Apple, Mozilla)	Push-Nachrichten, Inhalt verschlüsselt	USA/EU, je nach Browser
Telegram, WhatsApp	dein eigenes Messenger-Konto, mit dem der Bot schreibt	nach deren Bestimmungen

Behörden geben wir Daten nur, wenn ein Gesetz uns dazu verpflichtet.

14. Wie lange wir Daten speichern

Was	Wie lange
Server-Protokolle	14 Tage
Zähler je IP-Adresse	24 Stunden
Demo-Gespräch	45 Minuten nach der letzten Nachricht (Protokoll: siehe Abschnitt 5)
angefangene Registrierung ohne bestätigten Code	1 Stunde
Konto, Einstellungen, Bilder, Chats	bis zum Ende des Vertrags, dann gelöscht (Sicherungen: höchstens 30 Tage später)
Prüfwerte gegen doppelte Testphasen	3 Jahre nach Erfassung, nicht solange das Konto läuft
Rechnungen	8 Jahre (gesetzliche Pflicht)
Partnerkonto (E-Mail, Sprache, Prüfwert der Geräte-Kennung)	bis du es löschen lässt – eine laufende Auszahlung wird vorher abgeschlossen, noch nicht ausgezahlte Beträge zahlen wir aus oder sie verfallen, wenn du das ausdrücklich willst; sonst 2 Jahre nach deiner letzten Anmeldung, wenn nichts mehr offen ist
gespeicherte Auszahlungsangaben (Name, Anschrift, IBAN/Krypto-Adresse)	bis du sie änderst oder dein Partnerkonto endet (als Kundin: nach dem Ende deines Abos, sobald nichts mehr offen ist)
Provisionen, Auszahlungen und Gutschriften (mit den Angaben zum Zeitpunkt der Auszahlung)	8 Jahre nach Ende des Kalenderjahres der Auszahlung bzw. Buchung (gesetzliche Pflicht)
Zustimmung zu AGB und Einwilligung (Zeitpunkt, Fassung)	bis 3 Jahre nach Vertragsende (Nachweis)

15. Für Menschen, die einer Kundin von buhu schreiben

Schreibst du einer Person, die buhu nutzt, verarbeiten wir deine Nachrichten in ihrem Auftrag: Wir speichern den Chatverlauf, lassen die Antwort von der KI von xAI (USA) erstellen und schreiben Sprachnachrichten auf unserem Server in Text um. Verantwortlich ist die Person, der du schreibst – an sie richtest du Fragen und Anträge zu deinen Daten. Wir unterstützen sie dabei. Nach Ende ihres Vertrags mit uns löschen wir die Chats.

16. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung kannst du jederzeit für die Zukunft widerrufen (Art. 7 Abs. 3). Schreib dafür einfach an david.tyu@protonmail.com.

Widerspruchsrecht (Art. 21 DSGVO): Wo wir Daten wegen unseres berechtigten Interesses verarbeiten (Abschnitte 3, 5, 7 und 10), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel in dem Bundesland, in dem du wohnst, oder dort, wo wir unseren Sitz haben.

17. Musst du Daten angeben?

Für die Website und die Demo nicht. Für ein Konto brauchen wir eine E-Mail-Adresse und ein Passwort, für den Bot deine Angaben aus der Einrichtung – ohne sie können wir den Dienst nicht erbringen. Eine Entscheidung, die dich rechtlich erheblich betrifft, treffen wir nie allein automatisch.

18. Änderungen

Ändert sich der Dienst, passen wir diese Erklärung an. Die aktuelle Fassung steht immer unter /datenschutz.