Privacy Policy
Lounge Surf — Power of Life Labs GmbH
As of: 11 October 2026
Note: This is a courtesy translation. The German version below is legally binding.
With this privacy policy, we, Power of Life Labs GmbH, inform you about the processing of personal data in connection with our platform "Lounge Surf" (app and website).
1. Responsible Entity
Power of Life Labs GmbH
Oberdorfweg 9, 8704 Herrliberg, Switzerland
Email: hello@power-of-life-labs.com
For data protection requests (access, rectification, deletion, portability, objection), please contact the same email address.
2. Personal Data Collected
We process the following personal data that you provide directly or that is generated through your use of our platform:
Account Data: Email address, password (stored encrypted), display name.
Profile Data: Alliance/frequent flyer program, home airport, travel personality, profile picture, biography, social links, "Ask me about" field.
Travel Data: Home airport, travel destinations, flight numbers, flight dates. Used exclusively to enable matches and operate the Travel Card Configurator.
Financial Region: User's banking country. Used exclusively to display credit card offers for which the user is legally eligible.
Usage Data: Offers and requests, matches, chat messages, reviews, Surfs balance, badges, lounge preferences, and status match queries.
Lounge Wallet: The statuses, memberships and card names you add to your lounge wallet (for example "Lufthansa Senator" or "Amex Platinum"). We never ask for or store card numbers or other payment details. Your lounge wallet is private: only you can see it. We use it to show which lounges you can enter and to suggest matches only where a guest entry actually works.
Lounge Check Data: When you use "Which lounges can I enter?", the airport, destination, airline, cabin and statuses you enter are sent to our server to work out the answer. They are not stored unless you choose to save statuses to your lounge wallet.
Travel Card Configurator Data: Home airport, most frequent destination, annual travel frequency, travel party size, and current credit card/ecosystem. Stored both locally on the device (Local Storage) and on our servers to calculate a personalized credit card recommendation.
Verification Data: If you choose the optional identity verification, it is performed by a third-party provider (Didit Identity Inc.). We do not store identity documents or biometric data. Didit's privacy policy applies.
Alliance Verification Data: When using the Alliance Status Verification feature, users may upload a screenshot of their airline or hotel loyalty program status. This image is processed by Google Cloud Vision (Google LLC) for automated text recognition to verify the claimed loyalty tier. The image is stored in our infrastructure.
Push Notification Data: When you enable push notifications, we store your device push token. Tokens are delivered to Apple Push Notification Service (APNs), Google Firebase Cloud Messaging (FCM), or the web Push API to route notifications to your device. Push tokens are not used for profiling or advertising.
Authentication Provider Data: If you sign in with Google or Apple, we receive your name and email from the respective provider (Google Sign-In, Sign in with Apple). No additional data (contacts, calendar, photos) is requested.
Technical Data: IP address, device type, operating system, browser, app version, usage times, crash logs (via Apple/Google platform services).
3. Purpose of Data Processing
Provision and operation of the platform, including user account, matching algorithm, chat function, and review system.
Checking which lounges you can enter against the official rules of airlines and lounges, and suggesting matches only where a guest entry is possible.
Calculation of personalized credit card recommendations in the Travel Card Configurator based on your travel data. This may involve algorithmic analysis using AI-powered services.
Improvement of the platform and user experience. We do not currently use third-party analytics services or tracking tools.
Communication with you, including notifications about matches and messages. Notifications are delivered via push services (Apple APNs, Google FCM, or the browser Push API) upon your explicit consent, and/or via transactional email.
Fulfillment of legal obligations.
4. Legal Basis
Processing of your personal data is based on the following legal grounds under the Swiss Federal Act on Data Protection (FADP) and, where applicable, the EU GDPR:
Contract Performance (Art. 31 para. 2 lit. a FADP / Art. 6(1)(b) GDPR): Processing is necessary for the provision of our services.
Consent (Art. 31 para. 1 FADP / Art. 6(1)(a) GDPR): Where required, we obtain your explicit consent, e.g., for push notifications or identity verification.
Legitimate Interests (Art. 31 para. 2 lit. a FADP / Art. 6(1)(f) GDPR): For improvement and security of our services.
5. Real-Time Location and Matching
When you use the matching function, your selected airport and user profile become temporarily visible to other users at the same airport. Your exact GPS coordinates are not shared — only your selected airport or terminal is displayed. The platform does not request device geolocation permissions.
6. Data Sharing (Sub-Processors)
Your profile data (display name, alliance, rating, badges, travel personality) is visible to other platform users to enable matching. Chat messages are only visible to the matched partners involved.
We share data with the following sub-processors, each acting only on our documented instructions under a data processing agreement:
Supabase Inc. (United States): Hosted authentication, database, file storage, and functions for older app versions that still connect to the hosted project.
Hetzner Online GmbH (Germany): Server infrastructure for the newer app version's self-hosted Supabase backend, operated through Dokploy. Depending on the app version in use, account, profile, chat, match, listing, Surfs, and uploaded-file data may be processed on either backend during the transition.
Didit Identity Inc. (United States): Optional identity verification, only when you start it. Didit's privacy policy applies.
Google LLC / Google Cloud (United States): Cloud Vision API for alliance status text recognition; Firebase Cloud Messaging (FCM) for push notifications on Android and web; Google Sign-In for optional authentication.
Apple Inc. (United States): Apple Push Notification Service (APNs) for iOS push notifications; Sign in with Apple for optional authentication; Apple App Store for app distribution.
Google LLC (United States): Google Play for app distribution on Android.
Affiliate Partners (various): If you apply for a credit card through an affiliate link, you leave our platform. The privacy policies of the respective bank or affiliate network apply.
We do not sell your personal data to third parties, and we do not share personal data for cross-context behavioral advertising.
7. International Data Transfers
Older app versions continue to connect to our hosted Supabase project; the newer app version connects to our self-hosted Supabase backend on Hetzner infrastructure. During this transition, your account and content may be present on both systems. The exact location and retention of self-hosted backups are being verified. Other providers listed above may process data outside the EU when their services are used.
Certain sub-processors are based in the United States and are invoked only for specific user-initiated actions or services you have opted into: app distribution (Apple, Google), push notification delivery (Apple APNs, Google Firebase Cloud Messaging), optional identity verification (Didit), and optional automated text recognition on uploaded status screenshots (Google Cloud Vision). For these US transfers, we rely on the following safeguards: (a) for transfers from Switzerland, the sub-processor is recognized under the Swiss-U.S. Data Privacy Framework where available, or we rely on EU Standard Contractual Clauses supplemented by a Swiss addendum; (b) for transfers from the EU, on EU Standard Contractual Clauses; or (c) your explicit consent where required by law.
8. Data Retention and Deletion
We retain your personal data only for as long as necessary for the stated purposes:
Account Data: until you delete your account, plus up to 30 days for backup rotation.
Chat messages: until you or your match partner delete the conversation, plus up to 30 days for backup rotation.
Match history and listings: up to 12 months after the trip date.
Records of past payments (tax-relevant data): 10 years as required by Swiss tax law (Art. 958f Swiss Code of Obligations).
Server access logs and crash logs: 90 days.
Push tokens: until you revoke notification permission or uninstall the app.
Lounge wallet: until you remove an entry or delete your account.
Reviews: may persist in anonymized form after account deletion to preserve trust signals for other users.
You can delete your account at any time in the app (Settings → Delete Account). Upon deletion, data is removed immediately, except records subject to legal retention obligations or legitimate business interests (e.g., fraud prevention).
9. Your Rights
Under the Swiss FADP and — where you are located in the EU/EEA — the EU GDPR, you have the following rights:
Right of Access: You may request information about the personal data we process.
Right to Rectification: You may request correction of inaccurate data.
Right to Deletion: You may request deletion of your data. You can delete your account at any time directly in the platform settings.
Right to Data Portability: You may request your data in a common electronic format.
Right to Object: You may object to the processing of your data based on legitimate interests.
Right to Withdraw Consent: You may withdraw any consent you have given at any time, without affecting the lawfulness of processing carried out before the withdrawal.
Right to Lodge a Complaint with a Supervisory Authority: If you believe our processing infringes data protection law, you may file a complaint with the competent authority. In Switzerland this is the Federal Data Protection and Information Commissioner (EDÖB, https://www.edoeb.admin.ch). In the EU, you may contact the authority of your country of residence.
To exercise your rights, please contact us at: hello@power-of-life-labs.com
10. Cookies, Local Storage, and Third-Party Services
We use only strictly necessary storage. We do not use any analytics, tracking, advertising, or profiling cookies, and we do not show a consent banner because none is required for the storage we use (Art. 5(3) ePrivacy Directive, §25(2) No. 2 German TDDDG, Art. 31 Swiss FADP). The legal basis under the GDPR is Art. 6(1)(b) GDPR (performance of a contract — for authentication, account management, and identity verification) and Art. 6(1)(f) GDPR (our legitimate interest in providing a functional and secure service — including fraud prevention and automatic platform updates).
a) Local Storage on our domains. We use the browser's Local Storage (not traditional cookies) on app.lounge.surf and lounge.surf to operate features you have actively used:
– Authentication session token (Supabase) — keeps you logged in
– Language preference (EN/DE)
– Onboarding progress
– Travel Card Configurator state and results
– Card Quiz state and results
– Status Match selections
– Your choices in "Which lounges can I enter?" when you are not signed in (kept for up to 24 hours so they can be saved after you sign in)
– Drafts of lounge notes you have not published yet
– Display settings, such as the grid or row view on Flights
– A version identifier that triggers automatic platform updates
This data stays on your device and can be cleared at any time through your browser settings.
b) Third-party services that may set cookies on their own domains, only when you actively use the corresponding feature:
Google LLC (United States): sets session cookies on accounts.google.com when you choose "Sign in with Google".
Apple Inc. (United States): sets session cookies on appleid.apple.com when you choose "Sign in with Apple".
Didit Identity Inc. (United States): sets cookies on their own domain when you start identity verification.
Supabase Inc. (United States): provides authentication and database services to older app versions during the transition. The newer version uses self-hosted Supabase on Hetzner infrastructure.
Firebase Cloud Messaging (Google LLC): uses IndexedDB on your device for push notification delivery; no cookies.
Each of these services is invoked only when you actively initiate the corresponding feature (signing in, verifying, etc.). Their cookies are strictly necessary for that requested service.
You can clear all Local Storage at any time through your browser settings. Doing so will log you out and reset feature state but does not affect your account or data on our servers. You can delete your account entirely as described in Section 15 of the Terms of Service.
11. Children's Privacy (Minimum Age)
The platform is not directed at children. Use of Lounge Surf is restricted to persons aged 18 and over (see Terms of Service §3.3). We do not knowingly collect personal data from children under 18. If you believe a child has provided us with personal data, please contact hello@power-of-life-labs.com and we will delete the data promptly.
For users in the United States, in compliance with the Children's Online Privacy Protection Act (COPPA), we do not knowingly collect information from children under the age of 13. If we learn that we have collected personal data from a child under 13, we will delete it immediately.
12. California Privacy Rights (CCPA / CPRA)
If you are a California resident, you have additional rights under the California Consumer Privacy Act (CCPA) as amended by the California Privacy Rights Act (CPRA):
– Right to Know what personal information we collect, use, disclose, and share.
– Right to Delete personal information we collect.
– Right to Correct inaccurate personal information.
– Right to Opt-Out of the "sale" or "sharing" of personal information.
– Right to Limit Use and Disclosure of sensitive personal information.
– Right to Non-Discrimination for exercising your CCPA rights.
We do not sell personal information, and we do not share personal information for cross-context behavioral advertising. You can exercise all of the above rights by contacting hello@power-of-life-labs.com. We will verify requests before acting on them.
13. Changes to this Privacy Policy
We may update this privacy policy from time to time. The current version is available in the platform and on our website. We will inform you of significant changes through the platform.
Datenschutzerklärung
Lounge Surf — Power of Life Labs GmbH
Stand: 11. Oktober 2026
Mit dieser Datenschutzerklärung informieren wir, die Power of Life Labs GmbH, Sie über die Bearbeitung von Personendaten im Zusammenhang mit unserer Plattform „Lounge Surf" (App und Website).
1. Verantwortliche Stelle
Power of Life Labs GmbH
Oberdorfweg 9, 8704 Herrliberg, Schweiz
E-Mail: hello@power-of-life-labs.com
Für Datenschutzanfragen (Auskunft, Berichtigung, Löschung, Datenherausgabe, Widerspruch) nutzen Sie bitte dieselbe E-Mail-Adresse.
2. Erhobene Personendaten
Wir bearbeiten folgende Personendaten, die Sie uns direkt zur Verfügung stellen oder die bei der Nutzung unserer Plattform anfallen:
Kontodaten: E-Mail-Adresse, Passwort (verschlüsselt gespeichert), Anzeigename.
Profildaten: Allianz/Vielfliegerprogramm, Heimatflughafen, Reisepersönlichkeit, Profilbild, Biografie, Social-Media-Links, „Ask me about"-Feld.
Reisedaten: Heimatflughafen, Reiseziele, Flugnummern, Flugdaten. Diese werden ausschliesslich verwendet, um Matches zu ermöglichen und den Travel Card Configurator zu betreiben.
Finanzregion: Bankland des Nutzers. Wird ausschliesslich verwendet, um Kreditkartenangebote anzuzeigen, für die der Nutzer rechtlich antragsberechtigt ist.
Nutzungsdaten: Angebote und Anfragen, Matches, Chat-Nachrichten, Bewertungen, Surfs-Guthaben, Badges, Lounge-Präferenzen und Status-Match-Suchanfragen.
Lounge-Wallet: Die Status, Mitgliedschaften und Kartennamen, die Sie in Ihrem Lounge-Wallet hinterlegen (zum Beispiel „Lufthansa Senator“ oder „Amex Platinum“). Wir fragen nie nach Kartennummern oder anderen Zahlungsdaten und speichern keine. Ihr Lounge-Wallet ist privat: Nur Sie können es sehen. Wir verwenden es, um anzuzeigen, in welche Lounges Sie kommen, und um Matches nur dort vorzuschlagen, wo ein Gastzutritt tatsächlich möglich ist.
Daten der Lounge-Prüfung: Wenn Sie „In welche Lounges komme ich?“ verwenden, werden Flughafen, Ziel, Airline, Reiseklasse und Status, die Sie angeben, an unseren Server übermittelt, um die Antwort zu berechnen. Sie werden nicht gespeichert, ausser Sie speichern Status bewusst in Ihrem Lounge-Wallet.
Daten des Travel Card Configurators: Heimatflughafen, häufigstes Reiseziel, jährliche Reisehäufigkeit, Reisegruppengrösse und aktuelle Kreditkarte/Ökosystem. Diese Angaben werden sowohl lokal auf dem Gerät (Local Storage) als auch auf unseren Servern gespeichert, um eine personalisierte Kreditkartenempfehlung zu berechnen.
Verifizierungsdaten: Wenn Sie die optionale Identitätsverifizierung nutzen, wird sie durch einen Drittanbieter (Didit Identity Inc.) durchgeführt. Die Betreiberin speichert keine Ausweisdokumente oder biometrischen Daten. Es gelten die Datenschutzbestimmungen von Didit.
Allianz-Verifizierungsdaten: Bei Nutzung der Allianz-Statusverifizierung können Nutzer einen Screenshot ihres Airline- oder Hotel-Treueprogrammstatus hochladen. Dieses Bild wird von Google Cloud Vision (Google LLC) zur automatisierten Texterkennung verarbeitet, um die beanspruchte Statusstufe zu verifizieren. Das Bild wird in unserer Infrastruktur gespeichert.
Push-Benachrichtigungsdaten: Wenn Sie Push-Benachrichtigungen aktivieren, speichern wir Ihren Geräte-Push-Token. Tokens werden an Apple Push Notification Service (APNs), Google Firebase Cloud Messaging (FCM) oder die Web Push-API übermittelt, um Benachrichtigungen an Ihr Gerät zu senden. Push-Tokens werden nicht für Profiling oder Werbung verwendet.
Authentifizierungsdaten von Drittanbietern: Wenn Sie sich mit Google oder Apple anmelden, erhalten wir von dem jeweiligen Anbieter Ihren Namen und Ihre E-Mail-Adresse (Google Sign-In, Sign in with Apple). Es werden keine zusätzlichen Daten (Kontakte, Kalender, Fotos) angefordert.
Technische Daten: IP-Adresse, Gerätetyp, Betriebssystem, Browser, App-Version, Nutzungszeiten, Absturzprotokolle (über Apple/Google-Plattformdienste).
3. Zweck der Datenbearbeitung
Bereitstellung und Betrieb der Plattform, einschliesslich Benutzerkonto, Matching-Algorithmus, Chat-Funktion und Bewertungssystem.
Prüfung, in welche Lounges Sie kommen, anhand der offiziellen Regeln von Airlines und Lounges, sowie Vorschläge für Matches nur dort, wo ein Gastzutritt möglich ist.
Berechnung personalisierter Kreditkartenempfehlungen im Travel Card Configurator basierend auf Ihren Reisedaten. Dabei kann eine algorithmische Analyse unter Einsatz von KI-gestützten Diensten erfolgen.
Verbesserung der Plattform und Nutzererfahrung. Wir verwenden derzeit keine Drittanbieter-Analyse- oder Tracking-Tools.
Kommunikation mit Ihnen, einschliesslich Benachrichtigungen über Matches und Nachrichten. Benachrichtigungen werden nach Ihrer ausdrücklichen Einwilligung über Push-Dienste (Apple APNs, Google FCM oder die Browser-Push-API) und/oder per transaktionaler E-Mail zugestellt.
Erfüllung gesetzlicher Pflichten.
4. Rechtsgrundlagen
Die Bearbeitung Ihrer Personendaten erfolgt auf folgenden Rechtsgrundlagen gemäss dem Schweizer Bundesgesetz über den Datenschutz (DSG) und, soweit anwendbar, der EU-DSGVO:
Vertragserfüllung (Art. 31 Abs. 2 lit. a DSG / Art. 6(1)(b) DSGVO): Die Bearbeitung ist erforderlich für die Bereitstellung unserer Dienste.
Einwilligung (Art. 31 Abs. 1 DSG / Art. 6(1)(a) DSGVO): Soweit erforderlich, holen wir Ihre ausdrückliche Einwilligung ein, z.B. für Push-Benachrichtigungen oder die Identitätsverifizierung.
Berechtigte Interessen (Art. 31 Abs. 2 lit. a DSG / Art. 6(1)(f) DSGVO): Für Verbesserung und Sicherheit unserer Dienste.
5. Echtzeit-Standort und Matching
Wenn Sie die Matching-Funktion nutzen, werden Ihr gewählter Flughafen und Ihr Nutzerprofil temporär für andere Nutzer am selben Flughafen sichtbar. Ihre exakten GPS-Koordinaten werden nicht geteilt — es wird ausschliesslich Ihr gewählter Flughafen bzw. Terminal angezeigt. Die Plattform fordert keine Geolocation-Berechtigungen auf dem Gerät an.
6. Weitergabe von Daten (Auftragsverarbeiter)
Ihre Profildaten (Anzeigename, Allianz, Bewertung, Badges, Reisepersönlichkeit) sind für andere Nutzer der Plattform sichtbar, um das Matching zu ermöglichen. Chat-Nachrichten sind nur für die beteiligten Match-Partner sichtbar.
Wir geben Daten an die folgenden Auftragsverarbeiter weiter, die jeweils nur auf unsere dokumentierten Anweisungen hin und auf Grundlage eines Auftragsverarbeitungsvertrags handeln:
Supabase Inc. (USA): Gehostete Authentifizierung, Datenbank, Dateispeicherung und Funktionen für ältere App-Versionen, die weiterhin das gehostete Projekt nutzen.
Hetzner Online GmbH (Deutschland): Server-Infrastruktur für das selbst betriebene Supabase-Backend der neueren App-Version über Dokploy. Je nach verwendeter App-Version können Konto-, Profil-, Chat-, Match-, Inserat-, Surfs- und Dateidaten während der Übergangszeit auf einem der beiden Backends verarbeitet werden.
Didit Identity Inc. (USA): Optionale Identitätsverifizierung, nur wenn Sie sie starten. Es gelten die Datenschutzbestimmungen von Didit.
Google LLC / Google Cloud (USA): Cloud Vision API für die Texterkennung bei der Allianz-Statusverifizierung; Firebase Cloud Messaging (FCM) für Push-Benachrichtigungen auf Android und Web; Google Sign-In für die optionale Authentifizierung.
Apple Inc. (USA): Apple Push Notification Service (APNs) für iOS-Push-Benachrichtigungen; Sign in with Apple für die optionale Authentifizierung; Apple App Store für den App-Vertrieb.
Google LLC (USA): Google Play für den App-Vertrieb auf Android.
Affiliate-Partner (verschieden): Wenn Sie über einen Affiliate-Link eine Kreditkarte beantragen, verlassen Sie unsere Plattform. Es gelten die Datenschutzbestimmungen der jeweiligen Bank oder des Affiliate-Netzwerks.
Wir verkaufen Ihre personenbezogenen Daten nicht an Dritte und geben keine personenbezogenen Daten für kontextübergreifende verhaltensbasierte Werbung weiter.
7. Datenübermittlung ins Ausland
Ältere App-Versionen nutzen weiterhin unser gehostetes Supabase-Projekt; die neuere App-Version nutzt unser selbst betriebenes Supabase-Backend auf Hetzner-Infrastruktur. Während dieser Übergangszeit können Ihr Konto und Ihre Inhalte in beiden Systemen vorhanden sein. Der genaue Speicherort und die Aufbewahrungsdauer der Backups des selbst betriebenen Backends werden noch geprüft. Weitere oben genannte Anbieter können bei Nutzung ihrer Dienste Daten ausserhalb der EU verarbeiten.
Bestimmte Auftragsverarbeiter haben ihren Sitz in den USA und werden nur für spezifische, von Ihnen initiierte Aktionen oder Dienste eingebunden, für die Sie sich entschieden haben: App-Vertrieb (Apple, Google), Zustellung von Push-Benachrichtigungen (Apple APNs, Google Firebase Cloud Messaging), optionale Identitätsverifizierung (Didit) sowie optionale automatisierte Texterkennung auf hochgeladenen Status-Screenshots (Google Cloud Vision). Bei diesen Übermittlungen in die USA stützen wir uns auf folgende Garantien: (a) bei Übermittlungen aus der Schweiz ist der Auftragsverarbeiter, soweit verfügbar, unter dem Swiss-U.S. Data Privacy Framework anerkannt, oder wir stützen uns auf EU-Standardvertragsklauseln ergänzt durch einen Schweizer Zusatz; (b) bei Übermittlungen aus der EU auf EU-Standardvertragsklauseln; oder (c) auf Ihre ausdrückliche Einwilligung, sofern gesetzlich erforderlich.
8. Datenspeicherung und Löschung
Wir speichern Ihre Personendaten nur so lange, wie es für die genannten Zwecke erforderlich ist:
Kontodaten: bis Sie Ihr Konto löschen, zzgl. bis zu 30 Tagen für Backup-Rotation.
Chat-Nachrichten: bis Sie oder Ihr Match-Partner die Unterhaltung löschen, zzgl. bis zu 30 Tagen für Backup-Rotation.
Match-Historie und Angebote: bis zu 12 Monate nach dem Reisedatum.
Aufzeichnungen früherer Zahlungen (steuerrelevante Daten): 10 Jahre gemäss Schweizer Steuerrecht (Art. 958f OR).
Server-Zugriffsprotokolle und Absturzprotokolle: 90 Tage.
Push-Tokens: bis Sie die Benachrichtigungsberechtigung widerrufen oder die App deinstallieren.
Lounge-Wallet: bis Sie einen Eintrag entfernen oder Ihr Konto löschen.
Bewertungen: können in anonymisierter Form auch nach Kontolöschung bestehen bleiben, um Vertrauenssignale für andere Nutzer zu erhalten.
Sie können Ihr Konto jederzeit in der App löschen (Einstellungen → Konto löschen). Bei Löschung werden Ihre Daten umgehend entfernt, mit Ausnahme der Aufzeichnungen, die gesetzlichen Aufbewahrungspflichten oder berechtigten geschäftlichen Interessen unterliegen (z.B. Betrugsprävention).
9. Ihre Rechte
Sie haben gemäss dem Schweizer DSG und — sofern Sie sich in der EU/EWR befinden — der EU-DSGVO folgende Rechte:
Auskunftsrecht: Sie können Auskunft über die von uns bearbeiteten Personendaten verlangen.
Recht auf Berichtigung: Sie können die Berichtigung unrichtiger Daten verlangen.
Recht auf Löschung: Sie können die Löschung Ihrer Daten verlangen. Sie können Ihr Konto jederzeit direkt in den Einstellungen der Plattform löschen.
Recht auf Datenherausgabe: Sie können die Herausgabe Ihrer Daten in einem gängigen elektronischen Format verlangen.
Widerspruchsrecht: Sie können der Bearbeitung Ihrer Daten auf Grundlage berechtigter Interessen widersprechen.
Recht auf Widerruf der Einwilligung: Sie können eine erteilte Einwilligung jederzeit widerrufen, ohne dass die Rechtmässigkeit der vor dem Widerruf erfolgten Verarbeitung berührt wird.
Recht auf Beschwerde bei einer Aufsichtsbehörde: Wenn Sie der Ansicht sind, dass unsere Verarbeitung gegen das Datenschutzrecht verstösst, können Sie Beschwerde bei der zuständigen Aufsichtsbehörde einreichen. In der Schweiz ist dies der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB, https://www.edoeb.admin.ch). In der EU können Sie sich an die Behörde Ihres Wohnsitzlandes wenden.
Zur Ausübung Ihrer Rechte kontaktieren Sie uns bitte unter: hello@power-of-life-labs.com
10. Cookies, lokale Speicherung und Drittanbieter-Dienste
Wir verwenden ausschliesslich technisch notwendige Speicherung. Wir setzen keine Analyse-, Tracking-, Werbe- oder Profiling-Cookies ein und zeigen kein Einwilligungsbanner, da für die von uns verwendete Speicherung keine Einwilligung erforderlich ist (Art. 5 Abs. 3 ePrivacy-Richtlinie, §25 Abs. 2 Nr. 2 deutsches TDDDG, Art. 31 Schweizer DSG). Rechtsgrundlage nach DSGVO ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — für Authentifizierung, Kontoverwaltung und Identitätsverifizierung) sowie Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einem funktionalen und sicheren Dienst — einschliesslich Betrugsprävention und automatischer Plattform-Aktualisierungen).
a) Lokale Speicherung auf unseren Domains. Wir verwenden den Local Storage des Browsers (keine herkömmlichen Cookies) auf app.lounge.surf und lounge.surf, um Funktionen zu betreiben, die Sie aktiv genutzt haben:
– Authentifizierungs-Sitzungstoken (Supabase) — hält Sie eingeloggt
– Spracheinstellung (EN/DE)
– Onboarding-Fortschritt
– Status und Ergebnisse des Travel Card Configurators
– Status und Ergebnisse des Card Quiz
– Status-Match-Auswahl
– Ihre Auswahl bei „In welche Lounges komme ich?“ ohne Anmeldung (bis zu 24 Stunden, damit sie nach der Anmeldung gespeichert werden kann)
– Entwürfe von Lounge-Notizen, die Sie noch nicht veröffentlicht haben
– Anzeige-Einstellungen, zum Beispiel Raster- oder Reihenansicht bei Flügen
– Eine Versionskennung zur automatischen Aktualisierung der Plattform
Diese Daten verbleiben auf Ihrem Gerät und können jederzeit über die Einstellungen Ihres Browsers gelöscht werden.
b) Drittanbieter-Dienste, die Cookies auf ihren eigenen Domains setzen können — ausschliesslich, wenn Sie die entsprechende Funktion aktiv nutzen:
Google LLC (USA): setzt Sitzungs-Cookies auf accounts.google.com, wenn Sie „Mit Google anmelden" wählen.
Apple Inc. (USA): setzt Sitzungs-Cookies auf appleid.apple.com, wenn Sie „Mit Apple anmelden" wählen.
Didit Identity Inc. (USA): setzt Cookies auf ihrer eigenen Domain, wenn Sie die Identitätsverifizierung starten.
Supabase Inc. (USA): stellt älteren App-Versionen während der Übergangszeit Authentifizierungs- und Datenbankdienste bereit. Die neuere Version nutzt selbst betriebenes Supabase auf Hetzner-Infrastruktur.
Firebase Cloud Messaging (Google LLC): verwendet IndexedDB auf Ihrem Gerät zur Zustellung von Push-Benachrichtigungen; keine Cookies.
Jeder dieser Dienste wird nur aufgerufen, wenn Sie die entsprechende Funktion aktiv initiieren (Anmelden, Verifizieren usw.). Ihre Cookies sind für den jeweils angeforderten Dienst technisch notwendig.
Sie können den Local Storage jederzeit über die Einstellungen Ihres Browsers löschen. Dies meldet Sie ab und setzt den Funktionsstatus zurück, hat aber keine Auswirkungen auf Ihr Konto oder Ihre Daten auf unseren Servern. Sie können Ihr Konto vollständig löschen, wie in Abschnitt 15 der AGB beschrieben.
11. Datenschutz für Kinder (Mindestalter)
Die Plattform richtet sich nicht an Kinder. Die Nutzung von Lounge Surf ist nur Personen ab 18 Jahren gestattet (siehe AGB §3.3). Wir erheben wissentlich keine Personendaten von Kindern unter 18 Jahren. Wenn Sie glauben, dass ein Kind uns Personendaten zur Verfügung gestellt hat, kontaktieren Sie bitte hello@power-of-life-labs.com, und wir werden die Daten umgehend löschen.
Für Nutzer in den Vereinigten Staaten gilt, dass wir in Übereinstimmung mit dem Children's Online Privacy Protection Act (COPPA) keine Informationen von Kindern unter 13 Jahren wissentlich erheben. Sollten wir feststellen, dass wir Personendaten eines Kindes unter 13 Jahren erhoben haben, werden wir diese umgehend löschen.
12. Datenschutzrechte in Kalifornien (CCPA / CPRA)
Wenn Sie in Kalifornien ansässig sind, haben Sie gemäss dem California Consumer Privacy Act (CCPA) in der durch den California Privacy Rights Act (CPRA) geänderten Fassung zusätzliche Rechte:
– Recht auf Auskunft über die von uns erhobenen, verwendeten, offengelegten und weitergegebenen personenbezogenen Informationen.
– Recht auf Löschung der von uns erhobenen personenbezogenen Informationen.
– Recht auf Berichtigung unrichtiger personenbezogener Informationen.
– Recht auf Widerspruch gegen den „Verkauf" oder die „Weitergabe" personenbezogener Informationen.
– Recht auf Einschränkung der Nutzung und Offenlegung sensibler personenbezogener Informationen.
– Recht auf Nichtdiskriminierung bei der Ausübung Ihrer CCPA-Rechte.
Wir verkaufen keine personenbezogenen Informationen und geben keine personenbezogenen Informationen für kontextübergreifende verhaltensbasierte Werbung weiter. Sie können alle oben genannten Rechte ausüben, indem Sie uns unter hello@power-of-life-labs.com kontaktieren. Wir werden Anfragen vor der Bearbeitung verifizieren.
13. Änderungen dieser Datenschutzerklärung
Wir können diese Datenschutzerklärung von Zeit zu Zeit anpassen. Die aktuelle Version ist in der Plattform und auf unserer Website einsehbar. Bei wesentlichen Änderungen werden wir Sie über die Plattform informieren.