rebreak-monorepo/apps/marketing/app/pages/datenschutz.vue

<template>
  <div class="min-h-screen bg-default font-sans pb-16 md:pb-0">
    <!-- Header -->
    <div class="pt-10 pb-8 text-center px-4">
      <div
        class="inline-flex items-center gap-2 bg-primary-950/60 border border-primary-800/40 rounded-full px-4 py-1.5 text-sm text-primary-300 mb-6">
        <UIcon name="i-heroicons-lock-closed" class="text-primary-400" />
        Datenschutz
      </div>

      <h1 class="text-3xl md:text-5xl font-extrabold text-highlighted mb-3">
        Datenschutzerklärung
      </h1>
      <p class="text-muted text-sm mb-4">
        Stand: 9. Mai 2026
      </p>

      <!-- Sprach-Toggle DE / EN -->
      <div class="inline-flex items-center gap-1 bg-elevated border border-default rounded-full p-1">
        <span class="px-3 py-1 text-xs font-semibold rounded-full bg-primary-600 text-white">
          DE
        </span>
        <NuxtLink
          to="/privacy-policy"
          class="px-3 py-1 text-xs font-semibold rounded-full text-muted hover:text-highlighted transition-colors">
          EN
        </NuxtLink>
      </div>
    </div>

    <!-- Wichtiger Hinweis (Gesundheitsdaten Art. 9 DSGVO) -->
    <div class="px-4 max-w-3xl mx-auto mb-8">
      <div class="bg-amber-950/40 border border-amber-700/40 rounded-2xl p-5">
        <div class="flex items-start gap-3">
          <UIcon name="i-heroicons-shield-exclamation"
            class="text-amber-400 text-xl shrink-0 mt-0.5" />
          <div class="text-sm text-amber-100 leading-relaxed">
            <p class="font-semibold mb-2 text-amber-200">
              Hinweis zur besonderen Datenkategorie nach Art. 9 DSGVO
            </p>
            <p>
              Die in Rebreak verarbeiteten Daten zu Ihrem Nutzungsverhalten von
              Glücksspielangeboten, Ihre Streak- und Trigger-Logs sowie Ihre Konversationen
              mit dem KI-Coach „Lyra" gelten als <strong>Gesundheitsdaten im Sinne von
              Art. 4 Nr. 15 DSGVO</strong>. Sie unterliegen dem besonderen Schutz nach
              Art. 9 DSGVO und werden ausschließlich auf Grundlage Ihrer ausdrücklichen
              Einwilligung verarbeitet, die Sie jederzeit mit Wirkung für die Zukunft
              widerrufen können.
            </p>
          </div>
        </div>
      </div>
    </div>

    <!-- Inhaltsverzeichnis -->
    <div class="px-4 max-w-3xl mx-auto mb-10">
      <div class="bg-elevated border border-default rounded-2xl p-5">
        <h2 class="text-base font-bold text-highlighted mb-3 flex items-center gap-2">
          <UIcon name="i-heroicons-list-bullet" class="text-primary-400" />
          Inhaltsverzeichnis
        </h2>
        <ol class="text-sm text-muted space-y-1.5 list-decimal list-inside">
          <li><a href="#par1" class="hover:text-primary-400 transition-colors">Verantwortlicher und Kontakt</a></li>
          <li><a href="#par2" class="hover:text-primary-400 transition-colors">Datenschutzbeauftragter</a></li>
          <li><a href="#par3" class="hover:text-primary-400 transition-colors">Begriffsbestimmungen</a></li>
          <li><a href="#par4" class="hover:text-primary-400 transition-colors">Verarbeitete Datenkategorien</a></li>
          <li><a href="#par5" class="hover:text-primary-400 transition-colors">Zwecke und Rechtsgrundlagen der Verarbeitung</a></li>
          <li><a href="#par6" class="hover:text-primary-400 transition-colors">Empfänger und Auftragsverarbeiter</a></li>
          <li><a href="#par7" class="hover:text-primary-400 transition-colors">Datenübermittlung in Drittländer</a></li>
          <li><a href="#par8" class="hover:text-primary-400 transition-colors">Speicherdauer und Löschung</a></li>
          <li><a href="#par9" class="hover:text-primary-400 transition-colors">Cookies, Local Storage und Tracking</a></li>
          <li><a href="#par10" class="hover:text-primary-400 transition-colors">Push-Benachrichtigungen</a></li>
          <li><a href="#par11" class="hover:text-primary-400 transition-colors">Technische und organisatorische Sicherheitsmaßnahmen</a></li>
          <li><a href="#par12" class="hover:text-primary-400 transition-colors">Mail-Schutz / Mail-Agent</a></li>
          <li><a href="#par13" class="hover:text-primary-400 transition-colors">Ihre Betroffenenrechte</a></li>
          <li><a href="#par14" class="hover:text-primary-400 transition-colors">Beschwerderecht bei der Aufsichtsbehörde</a></li>
          <li><a href="#par15" class="hover:text-primary-400 transition-colors">Automatisierte Entscheidungsfindung und KI-Coach „Lyra"</a></li>
          <li><a href="#par16" class="hover:text-primary-400 transition-colors">Änderungen dieser Datenschutzerklärung</a></li>
        </ol>
      </div>
    </div>

    <!-- Inhalt -->
    <article class="px-4 max-w-3xl mx-auto pb-24 text-sm text-muted leading-relaxed space-y-10">

      <!-- § 1 Verantwortlicher -->
      <section id="par1">
        <h2 class="text-xl font-bold text-highlighted mb-3">§ 1 Verantwortlicher und Kontakt</h2>
        <p class="mb-3">
          (1) Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO sowie sonstiger
          datenschutzrechtlicher Bestimmungen für die Verarbeitung personenbezogener Daten
          im Zusammenhang mit der Nutzung der mobilen Anwendung sowie der zugehörigen
          Web-Anwendung „Rebreak" (nachfolgend gemeinsam „App" oder „Rebreak") ist:
        </p>
        <div class="bg-elevated border border-default rounded-xl p-4 mb-3 not-prose">
          <p class="text-highlighted font-semibold mb-1">Chahine Brini</p>
          <p>(natürliche Person, einzelkaufmännisch handelnd)</p>
          <p class="mt-2">Lärchenweg 17</p>
          <p>38368 Grasleben</p>
          <p>Deutschland</p>
          <p class="mt-2">Telefon: <a href="tel:+4915226897875" class="text-primary-400 hover:underline">+49 152 26897875</a></p>
          <p class="mt-1">E-Mail (Datenschutz): <a href="mailto:datenschutz@rebreak.org" class="text-primary-400 hover:underline">datenschutz@rebreak.org</a></p>
        </div>
        <p class="mb-3">
          (2) <strong>Hinweis zur geplanten Vertragsübernahme:</strong> Eine Überführung
          des Geschäftsbetriebs in eine in Gründung befindliche „Raynis GmbH" mit Sitz in
          Deutschland ist geplant. Mit Wirksamwerden der Übernahme wird die Raynis GmbH
          neue verantwortliche Stelle im Sinne des Art. 4 Nr. 7 DSGVO. Sämtliche
          bestehenden Einwilligungen, Verträge zur Auftragsverarbeitung und
          Verarbeitungsverzeichnisse werden im Wege der Universalsukzession bzw. durch
          gesonderte Übertragung auf die GmbH überführt.
        </p>
        <p>
          (3) Rebreak strebt die Listung als <strong>Digitale Gesundheitsanwendung (DiGA)</strong>
          nach § 33a SGB V beim BfArM an. Diese Anbahnungen führen <strong>nicht</strong> zu
          einer Übermittlung personenbezogener Daten der Nutzer.
        </p>
      </section>

      <!-- § 2 DSB -->
      <section id="par2">
        <h2 class="text-xl font-bold text-highlighted mb-3">§ 2 Datenschutzbeauftragter</h2>
        <p class="mb-3">
          Eine gesetzliche Pflicht zur Bestellung eines Datenschutzbeauftragten besteht derzeit
          <strong>nicht</strong>. Bis zur formalen Bestellung richten Sie alle Anfragen an:
        </p>
        <div class="bg-elevated border border-default rounded-xl p-4 not-prose">
          <p>E-Mail: <a href="mailto:datenschutz@rebreak.org" class="text-primary-400 hover:underline">datenschutz@rebreak.org</a></p>
          <p class="mt-1 text-xs text-muted">Betreff: „Datenschutz – Rebreak"</p>
        </div>
      </section>

      <!-- § 3 Begriffsbestimmungen -->
      <section id="par3">
        <h2 class="text-xl font-bold text-highlighted mb-3">§ 3 Begriffsbestimmungen</h2>
        <ul class="list-disc list-inside space-y-1.5">
          <li><strong>Personenbezogene Daten</strong> (Art. 4 Nr. 1 DSGVO): alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.</li>
          <li><strong>Gesundheitsdaten</strong> (Art. 4 Nr. 15 DSGVO): personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit beziehen, einschließlich suchtbezogener Verhaltensweisen.</li>
          <li><strong>Verarbeitung</strong> (Art. 4 Nr. 2 DSGVO): jeder Vorgang im Zusammenhang mit personenbezogenen Daten.</li>
          <li><strong>Auftragsverarbeiter</strong> (Art. 4 Nr. 8 DSGVO): Dritte, die Daten im Auftrag des Verantwortlichen verarbeiten.</li>
          <li><strong>Pseudonymisierung</strong> (Art. 4 Nr. 5 DSGVO): Verarbeitung, bei der Daten ohne Zusatzinformationen nicht mehr zugeordnet werden können.</li>
          <li><strong>Drittland</strong>: ein Staat außerhalb der EU/EWR.</li>
        </ul>
      </section>

      <!-- § 4 Datenkategorien -->
      <section id="par4">
        <h2 class="text-xl font-bold text-highlighted mb-3">§ 4 Verarbeitete Datenkategorien</h2>
        <ul class="list-disc list-inside space-y-2">
          <li><strong>Stammdaten / Account:</strong> E-Mail-Adresse, Pseudonym (Nickname), optional Avatar, Sprache, Zeitzone.</li>
          <li><strong>Authentifizierungsdaten:</strong> Passwort-Hash, OAuth-Identifier, Sitzungs-Token, Geräte-Identifier.</li>
          <li><strong>Demographische Daten (optional):</strong> Geburtsjahr, Geschlecht, Beruf, Ausbildungsgrad, Bundesland. Ausschließlich user-initiated, keine automatische Extraktion.</li>
          <li><strong>Gesundheits- und Verhaltensdaten (Art. 9 DSGVO):</strong> Glücksspielverhalten, Streak-Zähler, Trigger-Logs, Urge-Einträge, SOS-Aktivierungen, Chat mit KI-Coach „Lyra", Lyra-Memories.</li>
          <li><strong>Inhalts- und Community-Daten:</strong> Posts, Kommentare, Reaktionen (unter Pseudonym).</li>
          <li><strong>Filter- und Sperrdaten:</strong> Custom-Domains, Filterstatistik, Cooldown-Konfiguration.</li>
          <li><strong>Mail-Schutz-Daten (opt-in):</strong> OAuth-Tokens, Header-Hashes, Klassifikations-Ergebnis. E-Mail-Inhalte werden nicht dauerhaft gespeichert.</li>
          <li><strong>Zahlungs- und Abonnement-Daten:</strong> Stripe-Customer-ID, Tarif-Status, Trial-Zeitraum.</li>
          <li><strong>Technische Logdaten:</strong> IP (gekürzt), Datum/Uhrzeit, Geräteinformationen.</li>
        </ul>
      </section>

      <!-- § 5 Zwecke + Rechtsgrundlagen -->
      <section id="par5">
        <h2 class="text-xl font-bold text-highlighted mb-3">§ 5 Zwecke und Rechtsgrundlagen der Verarbeitung</h2>
        <div class="overflow-x-auto -mx-4 px-4 mb-3">
          <table class="w-full text-xs border border-default rounded-lg overflow-hidden">
            <thead class="bg-elevated text-highlighted text-left">
              <tr>
                <th class="p-2.5 border-b border-default font-semibold">Zweck</th>
                <th class="p-2.5 border-b border-default font-semibold">Rechtsgrundlage</th>
              </tr>
            </thead>
            <tbody class="text-muted">
              <tr class="border-b border-default/60"><td class="p-2.5">Bereitstellung des Nutzerkontos</td><td class="p-2.5">Art. 6 Abs. 1 lit. b DSGVO</td></tr>
              <tr class="border-b border-default/60"><td class="p-2.5">Selbsthilfe-Funktionen (Streaks, SOS, KI-Coach)</td><td class="p-2.5">Art. 9 Abs. 2 lit. a DSGVO</td></tr>
              <tr class="border-b border-default/60"><td class="p-2.5">Demographische Profilangaben (DiGA-Evidenz)</td><td class="p-2.5">Art. 6 Abs. 1 lit. a / Art. 9 Abs. 2 lit. a DSGVO</td></tr>
              <tr class="border-b border-default/60"><td class="p-2.5">Pro-Trial-Reward für vollständige Profilangaben</td><td class="p-2.5">Art. 6 Abs. 1 lit. b DSGVO</td></tr>
              <tr class="border-b border-default/60"><td class="p-2.5">Domain- und URL-Filterung</td><td class="p-2.5">Art. 6 Abs. 1 lit. b / Art. 9 Abs. 2 lit. a DSGVO</td></tr>
              <tr class="border-b border-default/60"><td class="p-2.5">Mail-Schutz (opt-in)</td><td class="p-2.5">Art. 6 Abs. 1 lit. a / Art. 9 Abs. 2 lit. a DSGVO</td></tr>
              <tr class="border-b border-default/60"><td class="p-2.5">Community-Bereich</td><td class="p-2.5">Art. 6 Abs. 1 lit. a DSGVO</td></tr>
              <tr class="border-b border-default/60"><td class="p-2.5">Zahlungsabwicklung</td><td class="p-2.5">Art. 6 Abs. 1 lit. b DSGVO</td></tr>
              <tr class="border-b border-default/60"><td class="p-2.5">IT-Sicherheit der App</td><td class="p-2.5">Art. 6 Abs. 1 lit. f DSGVO</td></tr>
              <tr><td class="p-2.5">Gesetzliche Aufbewahrungspflichten</td><td class="p-2.5">Art. 6 Abs. 1 lit. c DSGVO</td></tr>
            </tbody>
          </table>
        </div>
        <p class="mb-3">
          (3) <strong>Trennung strukturierter Profilangaben und narrativer Inhalte:</strong>
          Demographische Daten werden ausschließlich aus der Profil-Eingabemaske gewonnen.
          Eine automatische Extraktion durch den KI-Coach „Lyra" findet ausdrücklich nicht statt.
        </p>
        <p class="mb-3">
          (4) <strong>Pro-Trial-Reward:</strong> Free-Nutzer, die ihr demographisches Profil vollständig ausfüllen,
          erhalten als Anerkennung eine einwöchige Pro-Aktivierung. Die Verarbeitung Ihrer Daten ist
          nicht an den Erhalt des Trials gekoppelt; Ablehnung hat keine Auswirkung auf den Free-Tarif.
        </p>
      </section>

      <!-- § 6 Empfänger -->
      <section id="par6">
        <h2 class="text-xl font-bold text-highlighted mb-3">§ 6 Empfänger und Auftragsverarbeiter</h2>
        <div class="overflow-x-auto -mx-4 px-4 mb-3">
          <table class="w-full text-xs border border-default rounded-lg overflow-hidden">
            <thead class="bg-elevated text-highlighted text-left">
              <tr>
                <th class="p-2.5 border-b border-default font-semibold">Anbieter</th>
                <th class="p-2.5 border-b border-default font-semibold">Zweck</th>
                <th class="p-2.5 border-b border-default font-semibold">Sitz</th>
              </tr>
            </thead>
            <tbody class="text-muted">
              <tr class="border-b border-default/60"><td class="p-2.5">Hetzner Online GmbH</td><td class="p-2.5">Hosting, Datenbank, Backups</td><td class="p-2.5">Deutschland (EU)</td></tr>
              <tr class="border-b border-default/60"><td class="p-2.5">Stripe Payments Europe</td><td class="p-2.5">Zahlungsabwicklung</td><td class="p-2.5">Irland (EU); USA – DPF + SCCs</td></tr>
              <tr class="border-b border-default/60"><td class="p-2.5">Groq, Inc.</td><td class="p-2.5">LLM-Inferenz (Lyra, Free/Pro)</td><td class="p-2.5">USA – SCCs + TIA</td></tr>
              <tr class="border-b border-default/60"><td class="p-2.5">Anthropic PBC</td><td class="p-2.5">LLM-Inferenz (Lyra, Legend)</td><td class="p-2.5">USA – SCCs + TIA</td></tr>
              <tr class="border-b border-default/60"><td class="p-2.5">OpenRouter, Inc.</td><td class="p-2.5">LLM-Routing (Fallback)</td><td class="p-2.5">USA – SCCs + TIA</td></tr>
              <tr class="border-b border-default/60"><td class="p-2.5">Cartesia, Inc.</td><td class="p-2.5">Text-to-Speech</td><td class="p-2.5">USA – SCCs + TIA</td></tr>
              <tr class="border-b border-default/60"><td class="p-2.5">ElevenLabs Inc.</td><td class="p-2.5">Text-to-Speech (alternativ)</td><td class="p-2.5">USA – SCCs + TIA</td></tr>
              <tr class="border-b border-default/60"><td class="p-2.5">Deepgram, Inc.</td><td class="p-2.5">Speech-to-Text</td><td class="p-2.5">USA – SCCs + TIA</td></tr>
              <tr class="border-b border-default/60"><td class="p-2.5">Cloudflare, Inc.</td><td class="p-2.5">CDN, DNS, DDoS-Schutz</td><td class="p-2.5">USA – SCCs + DPF</td></tr>
              <tr class="border-b border-default/60"><td class="p-2.5">Apple Inc. (APNs)</td><td class="p-2.5">Push iOS</td><td class="p-2.5">USA – DPF + SCCs</td></tr>
              <tr class="border-b border-default/60"><td class="p-2.5">Google LLC (FCM)</td><td class="p-2.5">Push Android</td><td class="p-2.5">USA – DPF + SCCs</td></tr>
              <tr><td class="p-2.5">Infisical Inc.</td><td class="p-2.5">Secret-Management (keine Nutzerdaten)</td><td class="p-2.5">USA – SCCs</td></tr>
            </tbody>
          </table>
        </div>
      </section>

      <!-- § 7 Drittland -->
      <section id="par7">
        <h2 class="text-xl font-bold text-highlighted mb-3">§ 7 Datenübermittlung in Drittländer</h2>
        <p class="mb-3">
          Soweit personenbezogene Daten an Empfänger in Drittländern (insbesondere USA) übermittelt werden,
          erfolgt dies unter Beachtung der Art. 44 ff. DSGVO. Als Garantien setzen wir
          <strong>Standardvertragsklauseln (SCCs)</strong> der EU-Kommission ein;
          soweit Anbieter unter dem <strong>EU-US Data Privacy Framework</strong> zertifiziert sind,
          stützt sich die Übermittlung zusätzlich auf Art. 45 DSGVO.
        </p>
        <p class="mb-3">
          Ein <strong>Transfer-Impact-Assessment (TIA)</strong> wurde durchgeführt.
          Ergänzende Schutzmaßnahmen: Übermittlung ohne Klarnamen/E-Mail, TLS 1.3 mit Forward Secrecy,
          Datenminimierung, no-training-Zusagen der LLM-Anbieter.
        </p>
      </section>

      <!-- § 8 Speicherdauer -->
      <section id="par8">
        <h2 class="text-xl font-bold text-highlighted mb-3">§ 8 Speicherdauer und Löschung</h2>
        <ul class="list-disc list-inside space-y-2">
          <li><strong>Account- und Stammdaten:</strong> bis zur Konto-Löschung.</li>
          <li><strong>Demographische Daten:</strong> bis zur Löschung durch den Nutzer, spätestens bei Konto-Löschung.</li>
          <li><strong>Chat-Verläufe und Lyra-Memories:</strong> standardmäßig 12 Monate, konfigurierbar.</li>
          <li><strong>Trigger-, Urge- und Streak-Logs:</strong> bis zu 24 Monate, dann Aggregation.</li>
          <li><strong>Community-Inhalte:</strong> bis zur Löschung oder Konto-Löschung.</li>
          <li><strong>Mail-Schutz-Daten:</strong> OAuth-Tokens bis Verbindung getrennt; Header-Hashes 90 Tage.</li>
          <li><strong>Server-Logs:</strong> 14 Tage.</li>
          <li><strong>Rechnungsunterlagen:</strong> 10 Jahre (§§ 147 AO, 257 HGB).</li>
        </ul>
      </section>

      <!-- § 9 Cookies -->
      <section id="par9">
        <h2 class="text-xl font-bold text-highlighted mb-3">§ 9 Cookies, Local Storage und Tracking</h2>
        <p class="mb-3">
          Rebreak setzt <strong>keine Tracking-Pixel und keine Drittanbieter-Analytics-Cookies</strong> ein.
          Wir nutzen ausschließlich technisch erforderliche Speichermechanismen (§ 25 Abs. 2 Nr. 2 TTDSG):
          Authentifizierungs-Cookies, UI-Einstellungen, Filter-Cache.
        </p>
      </section>

      <!-- § 10 Push -->
      <section id="par10">
        <h2 class="text-xl font-bold text-highlighted mb-3">§ 10 Push-Benachrichtigungen</h2>
        <p class="mb-3">
          Mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) versenden wir Push-Benachrichtigungen
          via Apple APNs (iOS) und Google FCM (Android). Sie können den Empfang jederzeit in den
          Systemeinstellungen deaktivieren.
        </p>
      </section>

      <!-- § 11 Sicherheit -->
      <section id="par11">
        <h2 class="text-xl font-bold text-highlighted mb-3">§ 11 Technische und organisatorische Sicherheitsmaßnahmen</h2>
        <ul class="list-disc list-inside space-y-1.5 mb-3">
          <li>TLS 1.3 für alle Verbindungen;</li>
          <li>Festplattenverschlüsselung (Encryption at Rest);</li>
          <li>JWT mit kurzlebigen Access-Tokens und httpOnly-Refresh-Cookies;</li>
          <li>OAuth 2.0 mit PKCE;</li>
          <li>RBAC und Row-Level-Security in PostgreSQL;</li>
          <li>Regelmäßige Backups, verschlüsselt;</li>
          <li>Secret-Management via Infisical (kein Klartext-Speichern);</li>
          <li>Datenminimierung gemäß Art. 5 Abs. 1 lit. c DSGVO.</li>
        </ul>
        <p class="mb-3">
          <strong>Pseudonymisierung gegenüber LLM-Anbietern:</strong> Chat-Inhalte werden ohne
          Klarnamen, E-Mail-Adressen oder Account-IDs übermittelt. Übertragen wird nur der Nickname
          und Gesprächsinhalt. Ab Q3 2026 ist eine NER-Pipeline zur automatischen Maskierung geplant.
        </p>
        <p>
          <strong>Anonymität durch Pseudonym:</strong> Innerhalb der App sind Sie für andere
          ausschließlich unter Ihrem Nickname sichtbar. Klarnamen werden niemals angezeigt.
        </p>
      </section>

      <!-- § 12 Mail-Schutz -->
      <section id="par12">
        <h2 class="text-xl font-bold text-highlighted mb-3">§ 12 Mail-Schutz / Mail-Agent</h2>
        <p class="mb-3">
          Der Mail-Schutz ist ein optionales Opt-in-Modul, das eingehende E-Mails auf
          Glücksspiel-bezogene Inhalte klassifiziert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a und
          Art. 9 Abs. 2 lit. a DSGVO. E-Mail-Inhalte werden nicht dauerhaft gespeichert.
          Sie können den Mail-Schutz jederzeit deaktivieren; die OAuth-Tokens werden dann
          unverzüglich gelöscht.
        </p>
      </section>

      <!-- § 13 Betroffenenrechte -->
      <section id="par13">
        <h2 class="text-xl font-bold text-highlighted mb-3">§ 13 Ihre Betroffenenrechte</h2>
        <ul class="list-disc list-inside space-y-1.5">
          <li><strong>Auskunft</strong> (Art. 15 DSGVO)</li>
          <li><strong>Berichtigung</strong> (Art. 16 DSGVO)</li>
          <li><strong>Löschung</strong> (Art. 17 DSGVO)</li>
          <li><strong>Einschränkung</strong> (Art. 18 DSGVO)</li>
          <li><strong>Datenübertragbarkeit</strong> (Art. 20 DSGVO)</li>
          <li><strong>Widerspruch</strong> (Art. 21 DSGVO)</li>
          <li><strong>Widerruf</strong> einer Einwilligung (Art. 7 Abs. 3 DSGVO)</li>
        </ul>
        <p class="mt-3">
          Anfragen an:
          <a href="mailto:datenschutz@rebreak.org" class="text-primary-400 hover:underline">datenschutz@rebreak.org</a>.
          In der App: Konto-Löschung und Datenexport über die Account-Einstellungen.
        </p>
      </section>

      <!-- § 14 Aufsichtsbehörde -->
      <section id="par14">
        <h2 class="text-xl font-bold text-highlighted mb-3">§ 14 Beschwerderecht bei der Aufsichtsbehörde</h2>
        <p class="mb-3">Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO).</p>
        <div class="bg-elevated border border-default rounded-xl p-4 not-prose">
          <p class="text-highlighted font-semibold mb-1">Die Landesbeauftragte für den Datenschutz Niedersachsen</p>
          <p>Prinzenstraße 5, 30159 Hannover</p>
          <p class="mt-1">Tel: +49 511 120-4500</p>
          <p>E-Mail: <a href="mailto:poststelle@lfd.niedersachsen.de" class="text-primary-400 hover:underline">poststelle@lfd.niedersachsen.de</a></p>
        </div>
      </section>

      <!-- § 15 KI-Coach -->
      <section id="par15">
        <h2 class="text-xl font-bold text-highlighted mb-3">§ 15 Automatisierte Entscheidungsfindung und KI-Coach „Lyra"</h2>
        <p class="mb-3">
          Eine rechtlich erhebliche automatisierte Entscheidungsfindung (Art. 22 DSGVO)
          findet <strong>nicht</strong> statt. Der KI-Coach „Lyra" nutzt je nach Tarif:
        </p>
        <ul class="list-disc list-inside space-y-1.5 mb-3">
          <li><strong>Free und Pro:</strong> Llama-Modelle via Groq (USA)</li>
          <li><strong>Legend:</strong> Claude Haiku 4.5 via Anthropic (USA)</li>
          <li><strong>Fallback:</strong> ergänzende Modelle via OpenRouter (USA)</li>
        </ul>
        <p>
          Die Inhalte sind statistisch generiert und stellen <strong>keine medizinische, therapeutische
          oder rechtliche Beratung</strong> dar. In akuten Krisen: Telefonseelsorge 0800/111 0 111
          oder ärztlicher Notdienst 116 117.
        </p>
      </section>

      <!-- § 16 Änderungen -->
      <section id="par16">
        <h2 class="text-xl font-bold text-highlighted mb-3">§ 16 Änderungen dieser Datenschutzerklärung</h2>
        <p>
          Wesentliche Änderungen werden per E-Mail oder In-App-Mitteilung angekündigt.
          Die aktuelle Fassung ist stets unter dieser URL abrufbar.
        </p>
      </section>

      <section class="pt-6 border-t border-default">
        <p class="text-xs text-muted mb-2">
          <strong class="text-highlighted">Verantwortlicher:</strong> Chahine Brini, Lärchenweg 17, 38368 Grasleben ·
          <a href="mailto:datenschutz@rebreak.org" class="text-primary-400 hover:underline">datenschutz@rebreak.org</a>
        </p>
        <p class="text-xs text-muted"><strong class="text-highlighted">Stand:</strong> 9. Mai 2026</p>
      </section>
    </article>
  </div>
</template>

<script setup lang="ts">
definePageMeta({ layout: "default" });

useHead({
  title: 'Datenschutzerklärung – Rebreak',
  meta: [
    { name: 'description', content: 'Datenschutzerklärung der Rebreak-App nach Art. 13/14 DSGVO. Stand: 9. Mai 2026.' },
    { name: 'robots', content: 'index,follow' },
  ],
});
</script>