Datenschutzerklärung für Lumi

Stand: 11. November 2026

1. Worum es geht

Diese Datenschutzerklärung gilt für Lumi, den KI-Assistenten für Betriebe, im Browser und in den Apps für iPhone, iPad, Mac, Android und Windows. Sie sagt, welche Personendaten Lumi bearbeitet, wozu, wo, wie lange und an wen sie gehen, und welche Rechte du hast. Sie richtet sich nach dem Schweizer Datenschutzgesetz (DSG) und, soweit sie anwendbar ist, nach der Datenschutz-Grundverordnung der EU (DSGVO).

Für die Website getlumina.org und die Landingpages gilt deren eigene Datenschutzerklärung. Für die Nutzung von Lumi gelten zudem die Allgemeinen Geschäftsbedingungen (AGB) von Lumi.

2. Wer verantwortlich ist

Verantwortlich ist Lumina Technologies, Binzallee 7, 8055 Zürich, Schweiz („Lumina“). Fragen zum Datenschutz und Anliegen zu deinen Daten schickst du an theodore@getlumina.org.

3. Wofür Lumina verantwortlich ist und wofür der Betrieb

Lumi wird von Betrieben genutzt, etwa Restaurants, Bars und Cafés. Für die Daten der Personen, die Lumi mit einem eigenen Login nutzen (Inhaberinnen, Inhaber und Mitarbeitende), und für den Betrieb des Dienstes ist Lumina verantwortlich.

Die Daten, die ein Betrieb in Lumi bringt oder verbindet, bearbeitet Lumina im Auftrag des Betriebs: E-Mails, Reservationen, Bewertungen, Belege, Dokumente, Termine und alles, was darin über Gäste, Lieferanten oder Mitarbeitende steht. Für diese Daten ist der Betrieb verantwortlich; Lumina ist seine Auftragsbearbeiterin (Art. 9 DSG, Art. 28 DSGVO) und bearbeitet sie nur, um seine Aufträge auszuführen. Der Betrieb sorgt dafür, dass er diese Daten so bearbeiten lassen darf, und informiert seine Gäste darüber (AGB Ziffer 5.1). Gäste und andere Personen, deren Daten so in Lumi gelangen, wenden sich mit Fragen und Anliegen an den Betrieb; Lumina unterstützt ihn dabei.

Wo Lumina Inhalte eines Betriebs einsieht oder in seiner Instanz von einer KI auswerten lässt, um Lumi zu verbessern (Ziffer 7), tut sie das für einen eigenen Zweck und ist dafür selbst verantwortlich. Ein Mensch schaut dafür nur hinein, wenn der Betrieb es erlaubt; die Auswertung durch die KI kann der Betrieb ausschalten (Ziffer 7).

4. Welche Daten Lumi bearbeitet

Konto und Anmeldung: Name, E-Mail-Adresse, Rolle im Betrieb, Datum der Erstellung und die Fassung der AGB, die beim Erstellen galt. Das Passwort speichert Lumi nur als Hash (scrypt), nie im Klartext. Meldest du dich mit Google oder Apple an, speichert Lumi die Kennung deines Kontos bei diesem Anbieter, die E-Mail-Adresse, die er bestätigt, und den Namen, wenn er ihn mitschickt. Ein Konto entsteht über eine Einladung; ein Einladungslink gilt 14 Tage.

Sitzungen: Beim Anmelden entsteht ein zufälliger Schlüssel. Der Server speichert ihn nur als Hash, mit dem Gerätenamen der App (etwa „Lumi · iPhone“) und dem Ablaufdatum: 30 Tage, verlängert, solange du Lumi nutzt. Um das Erraten von Passwörtern zu bremsen, merkt sich der Server die IP-Adresse fehlgeschlagener Anmeldungen 15 Minuten lang im Arbeitsspeicher, nicht in der Datenbank. Der Webserver vor Lumi führt ausserdem ein Zugriffsprotokoll: Zeitpunkt, IP-Adresse, aufgerufene Adresse und ob die Anfrage gelang, ohne Inhalte und ohne Cookies. Es dient dazu, Angriffe zu erkennen und nachzuvollziehen, und wird nach 30 Tagen gelöscht.

Inhalte: was du und die Agenten im Chat schreiben, auch was du per Sprache sagst (als Text), Reaktionen, angehängte Fotos und Dokumente, was die Agenten sich merken (Gedächtnis, Wissen, Skills), Routinen, Erinnerungen, Anrufe (Zeit, Grund, Dauer, Status), Freigaben und Aufträge mit ihrer Spur, also welche Werkzeuge ein Agent mit welchen Angaben aufgerufen hat und was zurückkam. Dazu die Dokumente, die Lumi erstellt, etwa Rechnungen und Offerten als PDF.

Angaben zum Betrieb: Beim Einrichten liest Lumi die Website des Betriebs und öffentliche Angaben aus dem Web (Öffnungszeiten, Adresse, Angebot, Bewertungen) und legt sie als Wissen des Teams ab. Dazu kommen die Einstellungen des Betriebs, etwa Sprache, Freigaben, Anrufregeln, Anrufzeiten und Monatslimit.

Verbundene Dienste: Verbindest du Google (Gmail und Kalender; Docs, Sheets, Slides und Drive mit eigener Zustimmung, dann nur die Dateien, die Lumi dort anlegt oder die du ihm zeigst; bei Verbindungen vor dem 29. Oktober 2026 das ganze Drive), Microsoft 365 (Outlook, Kalender, OneDrive, SharePoint, Word und Excel) oder eine andere App, liest Lumi dort, was die Agenten für ihre Aufträge brauchen, etwa E-Mails mit Absender, Empfängern, Betreff, Inhalt und Anhängen, Termine und Dateien. Lumi fragt nur die Berechtigungen an, die seine Werkzeuge brauchen: E-Mails lesen, Entwürfe anlegen und senden, Termine nur lesen, Dateien lesen und, wenn du Docs, Sheets, Word oder Excel verbindest, dort Dokumente und Tabellen anlegen und ausfüllen, und bei Google, sobald verfügbar, Bewertungen des Unternehmensprofils beantworten. Die Zugangsschlüssel liegen verschlüsselt (AES-256-GCM) auf dem Server; die Agenten sehen sie nie. Trennst du eine Verbindung, löscht Lumi die Zugangsschlüssel und widerruft den Zugang, wo der Anbieter das erlaubt (bei Google und vielen Apps). Bei Microsoft kannst du die Berechtigung zusätzlich in deinem Microsoft-Konto entfernen.

Neue E-Mails: Ist ein Postfach verbunden, schaut Lumi etwa jede Minute nach neuen E-Mails im Posteingang (bei Gmail ohne die Tabs Werbung und Soziale Netzwerke). Für jede neue E-Mail prüft eine KI anhand von Absender, Betreff und einem kurzen Auszug, ob der Betrieb davon wissen oder etwas entscheiden muss, höchstens 200 Mal am Tag. Nur dann bearbeitet der Manager die E-Mail weiter. E-Mails und Antworten auf Bewertungen gehen nur so hinaus, wie es die Freigaben des Betriebs erlauben; standardmässig fragt Lumi vor jedem Versand.

Postfach kennenlernen: Kurz nachdem du ein Postfach zum ersten Mal verbunden hast, liest Lumi einmal eine kleine Auswahl der letzten sechs Wochen: vor allem E-Mails, die du selbst gesendet hast (einige davon ganz, ohne Anhänge), und einen Überblick über eingegangene (Absender, Betreff, kurzer Auszug). Eine KI hält daraus fest, wie du schreibst (Anrede, Gruss, Signatur, Sprachen), welche Anfragen typisch sind und mit welchen Lieferanten und Partnern du zu tun hast, damit Entwürfe nach dir klingen. Diese Notizen stehen im Wissen deines Betriebs; du siehst sie beim Manager unter «Was ich mir gemerkt habe» und kannst jede löschen. Die gelesenen E-Mails selbst speichert Lumi dafür nicht.

Website-Logins: Logins für Websites, bei denen sich die Agenten anmelden sollen (etwa ein Reservationstool oder ein Lieferantenshop), liegen verschlüsselt auf dem Server und im Tresor von Anthropic (Ziffer 6). Das Passwort wird nur in Anfragen an die Website eingesetzt, zu der es gehört; die KI selbst sieht es nie. Einmalcodes speichert Lumi nicht.

Sprache: Beim Diktieren schickt die App die Aufnahme an den Server, der sie zur Umwandlung in Text an OpenAI weitergibt; der Server speichert die Aufnahme nicht. Wo der Server nicht umwandeln kann, erkennt die App die Sprache mit der Spracherkennung des Geräts (bei Apple auf dem Gerät, wo es das unterstützt; bei Android mit dem Dienst, den das Gerät dafür eingerichtet hat, meist von Google). Beim Sprachchat und bei Anrufen von Lumi läuft der Ton verschlüsselt (WebRTC) direkt zwischen deinem Gerät und OpenAI; Lumis Server erhält keinen Ton. Die Sprach-KI bekommt dafür die letzten Nachrichten des Chats. Was du und der Agent im Gespräch sagt, steht danach als Text in seinem Chat (die Abschrift liefert OpenAI), ebenso seine Antworten; so weiss der Agent auch später, was ihr besprochen habt. Für die Fehlersuche speichert der Server zu einem Gespräch technische Angaben zur Verbindung (Dauer, Art des Netzes, Tonqualität).

Mitteilungen: Damit Antworten, Freigaben und Anrufe auch bei geschlossener App ankommen, meldet die App ihr Gerät beim Server an, mit dem Push-Kennzeichen von Apple (Apple Push Notification service, auf dem iPhone für Anrufe zusätzlich PushKit) oder von Google (Firebase Cloud Messaging), der Plattform und der Sprache der App, verknüpft mit deiner Sitzung. Meldest du dich ab, bekommt das Gerät nichts mehr. Eine Mitteilung enthält den Namen des Agenten und den Anfang seiner Nachricht, bei einer Freigabe etwa Empfänger und Betreff einer E-Mail oder Name und Personenzahl einer Reservation, bei einem Anruf den Grund. Sie läuft verschlüsselt über die Server von Apple oder Google, aber nicht Ende-zu-Ende verschlüsselt.

Nutzung und Abrechnung: der Verbrauch der KI pro Auftrag, Sprachchat und Diktat, die Credits und ihre Buchungen (Zahlungen, Geschenke mit Geber und Grund), Plan und Testwoche. Zahlungen laufen über Stripe, auf der Bezahlseite von Stripe im Browser. Lumina erhält von Stripe die E-Mail-Adresse, Firma, Name und Rechnungsadresse, eine Kundennummer, den Stand des Abos und die Beträge und stellt damit die Quittungen aus; Karten- und andere Zahlungsdaten gibst du nur bei Stripe ein. Die Apps verkaufen nichts.

Protokoll: Der Server führt ein Protokoll über Ereignisse des Betriebs, etwa Fehler eines Auftrags, neue Verbindungen, nicht zugestellte Mitteilungen und jede Einsicht durch Lumina (Ziffer 7).

Berechtigungen auf dem Gerät: Kamera (Fotos, etwa von Lieferscheinen), Mikrofon (Diktat, Sprachchat, Anrufe), Mitteilungen sowie Face ID, Touch ID oder Fingerabdruck zum Entsperren und Bestätigen. Die App fragt erst, wenn du die Funktion nutzt. Die biometrische Prüfung macht das Gerät; Lumi erhält keine biometrischen Daten.

Auf deinen Geräten: Die Apps für iPhone, iPad und Mac speichern den Sitzungsschlüssel im Schlüsselbund des Geräts und eine Kopie deines Arbeitsbereichs (Chats, Entwürfe, noch nicht gesendete Nachrichten, Anhänge), damit sie schnell öffnen und auch offline funktionieren. Die Android-App verschlüsselt den Sitzungsschlüssel mit einem Schlüssel aus dem Android Keystore und nimmt ihre Daten von Backups aus. Die Windows-App hält die Sitzung als Cookie in einem eigenen, verschlüsselten Speicher. Im Browser setzt Lumi nur ein technisch nötiges Sitzungs-Cookie und speichert lokal ein paar Einstellungen wie die Sprache. Beim Abmelden löschen die Apps den Sitzungsschlüssel vom Gerät.

Keine Werbung, kein Tracking: Lumi enthält keine Werbe- oder Analysedienste und verfolgt dich nicht über andere Apps oder Websites.

5. Wozu und auf welcher Grundlage

Lumina bearbeitet die Daten, um Lumi bereitzustellen und die Aufträge des Betriebs auszuführen (Vertrag; Art. 6 Abs. 1 Bst. b DSGVO), um zu helfen, wenn etwas nicht klappt, Fehler zu finden, Missbrauch zu verhindern und Lumi zu verbessern (berechtigtes Interesse; Art. 6 Abs. 1 Bst. f DSGVO), sowie um abzurechnen und gesetzliche Pflichten zu erfüllen, etwa die Aufbewahrung von Buchhaltungsbelegen (Art. 6 Abs. 1 Bst. c DSGVO). Die Anmeldung mit Google oder Apple, Mitteilungen, Mikrofon und Kamera nutzt Lumi nur, wenn du sie wählst oder erlaubst.

Lumina verkauft keine Daten, nutzt sie nicht für Werbung und erstellt keine Profile für Werbezwecke. Lumina trifft mit Lumi keine automatisierten Einzelentscheidungen über dich im Sinne von Art. 21 DSG und Art. 22 DSGVO; was die Agenten im Auftrag des Betriebs tun, steuert der Betrieb mit seinen Freigaben.

Daten aus Google-Diensten: Die Nutzung von Informationen, die Lumi von Google-APIs erhält, und ihre Weitergabe an andere Apps halten sich an die Google API Services User Data Policy (https://developers.google.com/terms/api-services-user-data-policy) und die Google Workspace API User Data and Developer Policy (https://developers.google.com/workspace/workspace-api-user-data-developer-policy), einschliesslich der Anforderungen zur eingeschränkten Nutzung (Limited Use). Lumi nutzt E-Mails, Termine und Dateien aus Google nur für Funktionen, die du in Lumi siehst und nutzt: neue E-Mails prüfen und melden, beim ersten Verbinden lernen, wie du schreibst, Antworten entwerfen und nach deiner Freigabe senden, Termine und Dateien nachschauen, wenn du oder ein Agent danach fragt. Für die Antwortzeit an Gäste (Ziffer 7) liest Lumi aus Gmail nur Zeitpunkte und Labels von Mails, keine Inhalte; Lumina sieht davon nur die zusammengefasste Zahl. Die wöchentliche KI-Analyse der Chats (Ziffer 7) liest in der Instanz des Betriebs die Chats mit Lumi, nicht das Postfach. Inhalte aus Google, die darin stehen, verlassen die Instanz nur als anonyme, zusammengefasste Befunde ohne Namen und ohne Wortlaut von E-Mails; Lumina verbessert damit die Funktionen, die du in Lumi siehst und nutzt, und trainiert damit kein KI-Modell. Lumi gibt diese Daten nur mit deiner Zustimmung an die Dienstleister in Ziffer 6 weiter, soweit diese Funktionen es nötig machen, und nie für Werbung, an Datenhändler oder zur Prüfung der Kreditwürdigkeit. Weder Lumina noch die KI-Anbieter nutzen sie, um KI- oder Machine-Learning-Modelle zu erstellen, zu trainieren oder zu verbessern. Menschen bei Lumina lesen solche Daten nur, wenn du ausdrücklich zustimmst und Lumina das festhält (während der Pilotphase vor dem Verbinden von Google für die Einsicht nach Ziffer 7, die du jederzeit ausschalten kannst; sonst für bestimmte Inhalte mit dem Supportzugang), wenn es für die Sicherheit nötig ist (etwa um Missbrauch zu untersuchen) oder wenn das Gesetz es verlangt.

6. Wer die Daten erhält

Lumina gibt Personendaten nur so weit weiter, wie es für Lumi nötig ist. Diese Dienstleister bearbeiten sie im Auftrag von Lumina:

OVHcloud: Server in Zürich, Schweiz. Hier liegen die Datenbank, die Anhänge und die verschlüsselten Zugänge jedes Betriebs, in einer eigenen, getrennten Instanz, und die täglichen Sicherungen.

Anthropic (USA): Claude führt die Agenten aus. Für einen Auftrag erhält Anthropic, was der Agent dafür braucht: Nachrichten, Anhänge, E-Mails und Dateien aus verbundenen Diensten, Wissen und Gedächtnis des Betriebs und die Ergebnisse der Werkzeuge. Die Agenten laufen auf der Plattform von Anthropic in einer abgeschotteten Umgebung mit Browser, Websuche und Zugang zu Websites; dort liegen auch der Verlauf ihrer Sitzungen, hochgeladene Dateien und der Tresor mit den Website-Passwörtern. Claude recherchiert beim Einrichten den Betrieb im Web und beantwortet kurze Prüffragen, wenn OpenAI nicht erreichbar ist.

OpenAI (USA): Sprachchat und Anrufe, Diktat und kurze Prüffragen: wie ausführlich ein Agent auf deine Nachricht antworten soll (dafür der Text der Nachricht), ob eine neue E-Mail wichtig ist (Absender, Betreff, Auszug), ob eine Aktion eine Freigabe braucht und ob ein Anruf angebracht ist. Beim Sprachchat erhält OpenAI eine pseudonyme Kennung deines Logins (einen Hash), um Missbrauch zuordnen zu können.

Nach ihren Bedingungen für Geschäftskunden verwenden Anthropic und OpenAI die Daten nicht zum Training ihrer Modelle und bewahren sie nur begrenzt auf, etwa zur Missbrauchskontrolle.

Stripe (Irland und USA): Zahlungen für Pläne und Zusatznutzung. Stripe bearbeitet Zahlungsdaten auch für eigene Zwecke, etwa gegen Betrug und für gesetzliche Pflichten, nach seiner eigenen Datenschutzerklärung.

Apple: Mitteilungen und Anrufe auf iPhone, iPad und Mac, „Mit Apple anmelden“ und die Spracherkennung als Rückfall beim Diktat.

Google: Mitteilungen und Anrufe auf Android (Firebase Cloud Messaging) und „Mit Google anmelden“.

Dienste, die der Betrieb selbst verbindet (etwa Google, Microsoft, aleno, SumUp, Planday oder WhatsApp Business), und Websites, die die Agenten in seinem Auftrag bedienen, erhalten, was der Auftrag nötig macht. Für sie gelten die Verträge und Datenschutzerklärungen, die der Betrieb mit ihnen hat.

Behörden erhalten Daten nur, wenn das Gesetz es verlangt.

7. Einsicht durch Lumina

Lumina kann die Chats, die Fragen an die Agenten, die Aufträge mit ihrer Spur, den Verbrauch, die Logins (E-Mail-Adresse, letzte Anmeldung, Geräte), die Verbindungen und die Fehler eines Betriebs einsehen, um zu helfen, Fehler zu finden, Missbrauch zu verhindern und Lumi zu verbessern (AGB Ziffer 5.3). Passwörter und Zugangsschlüssel sieht Lumina nicht, von Anhängen nur den Namen. Die Schnittstelle dafür ist nur auf dem Server selbst erreichbar, nicht über das Internet.

Jeder Blick in Chats, Fragen und Aufträge braucht einen Grund und wird beim Betrieb mit Zeit, Name, Grund und dem Vermerk, ob es ein Supportfall war, protokolliert. Der Betrieb sieht das Protokoll in Lumi im Browser und in der Windows-App unter Einstellungen → Datenschutz → „Einsichten durch Lumi“, ebenso jede Änderung von Lumina an seinen Skills, jedes Geschenk von Credits, jeden Einladungslink, jeden Hinweis und jede Rückfrage, die Lumina ihm über Lumi ausrichten lässt, jeden Lauf der KI-Analyse und was er selbst dem Lumi-Team weitergegeben hat.

Lumina schaut in Chats, Fragen und Aufträge mit einem Grund hinein, um zu helfen und Lumi zu verbessern. Der Betrieb kann das an derselben Stelle mit dem Schalter „Einsicht zur Verbesserung erlauben“ jederzeit ausschalten (AGB Ziffer 5.3); dann schaut Lumina nur noch in einem Supportfall hinein. Einen Supportfall gibt der Betrieb selbst frei, dort oder mit einem Tipp auf die Karte, mit der Lumina im Chat darum bittet („Supportzugang“, für eine Woche oder bis er ihn beendet); die Freigabe steht mit Zeit und Name im Protokoll. Jeden anderen Blick lehnt seine Instanz ab. Mit einem verbundenen Google-Konto gilt dasselbe, solange Lumi in der Pilotphase ist: Vor dem Verbinden stimmt der Betrieb der Einsicht zu, das steht im Protokoll, und der Schalter bleibt. Nach der Pilotphase schaut Lumina mit Google nur noch in einem so freigegebenen Supportfall hinein; den Schalter gibt es dann nicht (Ziffer 5).

Unter denselben Bedingungen kann Lumina die App so ansehen, wie eine Person des Betriebs sie sieht: nur lesen, für eine Stunde, mit Zeit, Name und Grund im Protokoll. Beendet der Betrieb den Supportzugang, endet auch diese Ansicht.

Ohne Einsicht sieht Lumina, ob der Pilot dem Betrieb hilft, nur als Zahlen und nie mit Inhalten: wie oft der Betrieb Entwürfe von Lumi freigibt, ändert oder ablehnt, wie viele Freigaben länger als zwei Tage warten und wie schnell Gäste Antwort bekommen. Für die Antwortzeit liest Lumi im verbundenen Postfach nur, wann die Mails einer Unterhaltung kamen und gingen (Zeitpunkte und Ordner, keine Absender, Betreffe oder Texte): einmal für die vier Wochen vor dem Verbinden als Vergleich, danach täglich für die letzten vier Wochen. Gespeichert werden nur die Anzahl Antworten und die mittlere Antwortzeit in Minuten. Dazu kommen Zahlen zur Nutzung pro Woche, ebenfalls ohne Inhalte: wie viele Aufträge Lumi im Chat bearbeitet hat und wie lange sie dauerten, wie viele fehlschlugen oder gestoppt wurden, wie oft jemand kurz nach einer Antwort nachgehakt hat, wie viele Antworten ein 👎 bekamen, wie oft welches Werkzeug und welche allgemeine Anleitung genutzt wurde und wie oft das nicht klappte (selbst geschriebene Anleitungen nur als Zahl, ohne ihren Namen), an wie vielen Tagen jede Rolle Lumi genutzt hat, wie viele Anrufe mit wie vielen Minuten und wie viele Wünsche und Antworten auf Rückfragen weitergegeben wurden.

Wünsche an das Lumi-Team: Geht etwas noch nicht oder klappt etwas nicht, kann Lumi anbieten, es dem Lumi-Team weiterzugeben. Lumi zeigt dir vorher den Text und gibt ihn erst mit deinem Ja weiter, in allgemeinen Worten, ohne Namen von Gästen, Mitarbeitenden oder Lieferanten und ohne Inhalte aus E-Mails. Lumina erhält den Text mit der Art (Wunsch, Problem oder Antwort auf eine Rückfrage), deiner Rolle im Betrieb (nicht deinem Namen) und der Zeit. Der Betrieb sieht alles, was weitergegeben wurde, an derselben Stelle unter „Ans Lumi-Team weitergegeben“.

Rückfragen: Lumina kann die Betriebe über Lumi fragen, ob etwas nützlich wäre, das es noch nicht gibt. Eine Rückfrage weckt Lumi nicht und kommt ohne Mitteilung. Lumi stellt sie in einer Unterhaltung, die du selbst beginnst, wenn es passt, und höchstens einmal; nach zwei Unterhaltungen oder ihrer Frist (meist eine Woche) ist sie vorbei. Pro Betrieb ist höchstens eine offen. Antwortest du, gibt Lumi deine Antwort wie einen Wunsch mit deinem Ja weiter. Jede Rückfrage steht wie ein Hinweis im Protokoll.

Aus den Chats lernen: Einmal pro Woche liest eine KI (Claude von Anthropic, Ziffer 6) in der Instanz des Betriebs die Chats der letzten sieben Tage: was die Personen schreiben und was Lumi und die Agenten darauf antworten, ohne die eigenen Chats von Mitarbeitenden und ohne die Arbeit an E-Mails im Hintergrund. Zeilen mit einer E-Mail-Adresse oder Telefonnummer lässt sie vorher weg. Sie hält in allgemeinen Worten fest, wo Lumi nicht weiterhalf und was sich der Betrieb wünscht, ohne Namen, Gästedaten und Beträge. Nur diese anonymen Befunde verlassen die Instanz; ein Mensch liest dafür keine Chats. Das gilt für alle Betriebe, auch mit verbundenem Google-Konto, und ist eingeschaltet, bis der Betrieb es ausschaltet: im Onboarding im Schritt „Feedback direkt über Lumi“ und unter Einstellungen → Datenschutz („Aus unseren Chats lernen“). Jeder Lauf und jedes Abholen der Befunde steht im Protokoll. Die Kosten trägt Lumina, nicht das Guthaben des Betriebs.

Einsicht hat zurzeit nur der Betreiber von Lumi. Was er bei einem Betrieb liest, kann in den Chat seiner eigenen Lumi-Instanz gelangen, die ebenfalls mit Claude arbeitet. Dort wird es nach 90 Tagen gelöscht, das Protokoll dieser Instanz nach einem Jahr. Wünsche, Antworten auf Rückfragen, die Zahlen und die Befunde holt er einmal pro Woche ab und wertet sie mit Claude Code (ebenfalls Claude von Anthropic) auf seinem Computer aus; Betriebe erscheinen in dem, was daraus entsteht, nur unter einem Pseudonym.

8. Übermittlung ins Ausland

Die Daten der Betriebe liegen in der Schweiz. Anthropic, OpenAI, Stripe, Apple und Google bearbeiten Daten auch in den USA und in weiteren Ländern. Für Unternehmen in den USA, die nach dem Data Privacy Framework zertifiziert sind, gilt der Schutz nach Schweizer und EU-Recht als angemessen. Sonst stützt Lumina die Übermittlung auf die Standardvertragsklauseln der EU-Kommission, die auch der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) anerkennt, mit den für die Schweiz nötigen Anpassungen.

9. Wie lange

Lumina bewahrt die Daten eines Betriebs auf, solange er Lumi nutzt. Einträge im Gedächtnis, Routinen und Erinnerungen, Website-Logins und Verbindungen kann der Betrieb jederzeit in der App löschen oder trennen.

Sitzungen enden 30 Tage nach ihrer letzten Verlängerung oder beim Abmelden. Diktat-Aufnahmen speichert der Server nicht. Die Sicherungen entstehen täglich und werden nach 14 Tagen gelöscht.

Schliesst ein Betrieb sein Konto (Ziffer 10), löscht Lumina seine Daten innert 30 Tagen; aus den Sicherungen verschwinden sie spätestens 14 Tage danach. Belege zu Zahlungen bewahrt Lumina auf, solange das Gesetz es verlangt, in der Schweiz zehn Jahre (Art. 958f OR). Bei Anthropic, OpenAI und Stripe gelten deren Fristen.

10. Konto und Daten löschen

In der App: Einstellungen → Allgemein → Konto löschen, im Browser und in den Apps für iPhone, iPad, Mac, Android und Windows. Dein Login wird sofort gelöscht, mit deinen Sitzungen, deinen persönlichen Einstellungen und den Geräten, die Mitteilungen bekommen.

Bist du die letzte Person mit Zugang zum Betrieb, schliesst Lumina den Betrieb in Lumi: Alle Arbeit stoppt, Google, Microsoft und die verbundenen Apps verlieren ihren Zugang, ein gebuchter Plan endet mit dem laufenden Monat, und Lumina löscht die Instanz mit allen Daten innert 30 Tagen. Aus den Sicherungen verschwinden sie 14 Tage später. Aufbewahrt bleiben nur Zahlungsbelege, soweit das Gesetz es verlangt.

Ohne App: Schreib von der E-Mail-Adresse deines Kontos an theodore@getlumina.org und nenne die Adresse deines Betriebs (etwa muster.getlumina.org). Lumina löscht dein Konto und bestätigt es dir. Soll der ganze Betrieb gelöscht werden, schreib es dazu.

Gäste und andere Personen, deren Daten in E-Mails, Reservationen oder Bewertungen stehen, wenden sich an den Betrieb (Ziffer 3).

11. Sicherheit

Jeder Betrieb hat eine eigene Instanz mit eigener Datenbank und eigener Adresse. Verbindungen laufen verschlüsselt über HTTPS, Passwörter liegen nur als Hash, Zugangsschlüssel und Website-Logins verschlüsselt. Jeder Blick von Lumina in Inhalte wird protokolliert. Ganz sicher ist kein System; meldest du eine Schwachstelle an theodore@getlumina.org, kümmert sich Lumina sofort darum.

12. Deine Rechte

Du kannst Auskunft über deine Daten verlangen, sie berichtigen, löschen oder einschränken lassen, einer Bearbeitung widersprechen, deine Daten in einem gängigen Format erhalten und eine Einwilligung jederzeit widerrufen, im Rahmen des DSG und, wo sie gilt, der DSGVO. Schreib dazu an theodore@getlumina.org; Lumina antwortet innert 30 Tagen und kann dich bitten, nachzuweisen, dass es um dein Konto geht.

Du kannst dich auch beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), Feldeggweg 1, 3003 Bern, oder bei der Datenschutzbehörde deines Landes in der EU beschweren.

13. Kinder

Lumi ist für Betriebe gemacht, nicht für Kinder. Ein Login ist für Erwachsene und Mitarbeitende eines Betriebs gedacht.

14. Änderungen

Lumina passt diese Datenschutzerklärung an, wenn sich Lumi oder das Recht ändert. Die aktuelle Fassung steht unter /datenschutz auf der Adresse deines Betriebs; über wesentliche Änderungen informiert Lumina in der App oder per E-Mail. Diese Erklärung gibt es auf Deutsch, Englisch, Französisch und Italienisch; massgebend ist die deutsche Fassung.