Datenschutzerklärung
Stand: 22. Oktober 2026
Noch nicht anwaltlich geprüft.
Diese Fassung beschreibt, wie Puka Cloud tatsächlich arbeitet, wurde aber noch nicht von einer Anwältin oder einem Anwalt geprüft.
Hier steht, welche personenbezogenen Daten wir verarbeiten, wenn du unsere Website besuchst oder Puka Cloud nutzt, auf welcher Rechtsgrundlage, wie lange, und welche Rechte du nach der Datenschutz-Grundverordnung (DSGVO) hast.
1. Verantwortlicher
Verantwortlich ist die Puka GmbH, Industriezeile 47, 4020 Linz, Österreich, E-Mail office@puka.studio. Eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten haben wir nicht bestellt, weil wir dazu nicht verpflichtet sind. Datenschutzanfragen beantworten wir unter derselben Adresse.
Für die Daten der Hörerinnen und Hörer von Podcasts, die auf Puka Cloud liegen, ist die jeweilige Podcasterin oder der jeweilige Podcaster verantwortlich; wir verarbeiten sie in deren Auftrag (siehe Punkt 10 und den Auftragsverarbeitungsvertrag).
2. Wo deine Daten liegen
Puka Cloud läuft auf eigenen Servern in unserem Büro in Linz, Österreich: die Anwendung, die Datenbank und der Speicher für Audio, Video und Bilder. Diese Daten verlassen Österreich nicht, außer an die in Punkt 12 genannten Dienstleister. Die Verbindung ins Internet stellt ein österreichischer Telekommunikationsanbieter bereit, der die Daten nur durchleitet.
3. Besuch der Website
Wenn du puka.cloud aufrufst, verarbeitet unser Server die technisch nötigen Verbindungsdaten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser und Betriebssystem. Wir brauchen sie, um die Seite auszuliefern und Angriffe abzuwehren (Art. 6 Abs. 1 lit. f DSGVO). Server-Protokolle löschen wir, sobald sie dafür nicht mehr nötig sind.
Auf der Website messen wir mit PostHog (EU-Cloud), welche Seiten aufgerufen werden. Dafür setzen wir keine Cookies und speichern nichts in deinem Browser; die Messung gilt nur für den einzelnen Seitenaufruf. Rechtsgrundlage ist unser berechtigtes Interesse, die Website zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Die Statusanzeige auf der Website lädt der Browser direkt bei Better Stack; dabei erhält Better Stack deine IP-Adresse.
4. Konto und Anmeldung
Für dein Konto verarbeiten wir Name, E-Mail-Adresse, ein Profilbild (wenn du eines hochlädst), dein Passwort als sicheren Hash, deine Spracheinstellung und Angaben aus dem Onboarding (wofür du Puka Cloud nutzt, wie du von uns erfahren hast). Bei jeder Anmeldung speichern wir die Sitzung mit IP-Adresse und Browser, damit du deine Sitzungen in den Einstellungen sehen und beenden kannst. Nutzt du die Zwei-Faktor-Anmeldung oder Passkeys, speichern wir die dafür nötigen Schlüssel und Sicherungscodes. Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO).
Meldest du dich mit Google an, erhalten wir von Google deinen Namen, deine E-Mail-Adresse und dein Profilbild sowie Zugangsschlüssel, die wir für die Anmeldung speichern. Google erfährt dabei, dass du dich bei uns anmeldest.
In einer Organisation sehen die anderen Mitglieder deinen Namen, deine E-Mail-Adresse, dein Profilbild und deine Rolle. Lädst du jemanden ein, verarbeiten wir dessen E-Mail-Adresse, um die Einladung zu schicken.
5. Podcasts und Inhalte
Wir speichern, was du hochlädst und eingibst: Audio, Video, Bilder, Titel, Beschreibungen und Einstellungen deiner Shows. Was du veröffentlichst, ist öffentlich: über deinen RSS-Feed, die Website deiner Show und Podcast-Verzeichnisse. Dazu gehören auch der Autorenname und die E-Mail-Adresse, die du für deine Show angibst; Apple und andere Verzeichnisse verlangen sie im Feed. Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO).
Importierst du eine bestehende Show, rufen wir deren öffentlichen Feed ab und suchen sie über die Schnittstellen von Apple Podcasts und Podcast Index; dabei übermitteln wir nur Titel und Kennungen der Show. Um sicherzugehen, dass dir die Show gehört, schicken wir einen Code an die E-Mail-Adresse, die im Feed steht. Das liegt in unserem und deinem berechtigten Interesse, fremde Shows vor einem Import zu schützen (Art. 6 Abs. 1 lit. f DSGVO).
6. Zahlungen
Bezahlte Tarife und Archivierungen wickelt Stripe ab. Stripe erhält den Namen deiner Organisation, die E-Mail-Adresse der bezahlenden Person, Land, gegebenenfalls deine UID-Nummer und die Zahlungsdaten. Kartendaten gibst du direkt bei Stripe ein; sie erreichen unsere Server nie. Wir speichern nur die Kennungen bei Stripe, deinen Tarif und den Status. Rechtsgrundlagen sind die Erfüllung des Vertrags und unsere gesetzlichen Pflichten (Art. 6 Abs. 1 lit. b und c DSGVO). Rechnungen bewahren wir nach § 132 BAO sieben Jahre auf.
7. E-Mails
E-Mails, die zum Betrieb gehören, verschicken wir über Resend: Bestätigung der E-Mail-Adresse, Passwort-Reset, Anmeldecodes, Einladungen, Hinweise zu Testphase, Kontingenten und Abrechnung sowie Meldungen zu deinen Uploads und Importen. Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Werbe-Newsletter verschicken wir nicht. Trägst du dich auf die Warteliste ein, speichern wir deine E-Mail-Adresse, bis wir dich einladen oder du uns um Löschung bittest (Art. 6 Abs. 1 lit. a DSGVO).
8. Nutzungsanalyse im Dashboard
Im Dashboard messen wir nur mit deiner Einwilligung, wie Puka Cloud genutzt wird (Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021). Mit Einwilligung erfasst PostHog Seitenaufrufe, genutzte Funktionen und Sitzungsaufnahmen, in denen deine Eingaben in Formularfeldern ausgeblendet sind, verknüpft mit deiner Nutzer-ID, deinem Namen, deiner E-Mail-Adresse und deiner Organisation. So finden wir Fehler und verstehen, was wir verbessern sollen. Ohne Einwilligung speichert PostHog nichts in deinem Browser und erfasst nichts. Du kannst die Einwilligung jederzeit in deinem Profil unter „Nutzungsanalyse“ widerrufen.
Feedback, das du über das Feedback-Formular schickst, erreicht uns über PostHog; das ist daher nur mit Einwilligung in die Nutzungsanalyse möglich. Ohne Einwilligung kannst du uns per E-Mail schreiben.
Tritt auf unserem Server ein Fehler auf, senden wir einen Fehlerbericht an PostHog: Fehlermeldung, aufgerufene Adresse, deine Nutzer-ID und deine Organisation, aber nicht deine E-Mail-Adresse. Damit finden und beheben wir Fehler, und wir können eine Fehlernummer, die du uns nennst, deinem Fall zuordnen (Art. 6 Abs. 1 lit. f DSGVO).
9. Kontakt per E-Mail
Schreibst du uns, verarbeiten wir deine Nachricht und deine Kontaktdaten, um deine Anfrage zu beantworten (Art. 6 Abs. 1 lit. b oder f DSGVO), und löschen sie, wenn die Anfrage erledigt ist und keine Aufbewahrungspflicht besteht.
10. Hörerinnen und Hörer
Lädt jemand eine Episode herunter oder spielt sie ab, zählen wir den Abruf für die Statistik der Show. Dabei speichern wir einen Hash der IP-Adresse (nicht die IP-Adresse selbst), die Kennung der Podcast-App bzw. des Browsers, das daraus erkannte Land und App sowie den Zeitpunkt. Daraus berechnen wir täglich zusammengefasste Zahlen ohne Personenbezug. Die einzelnen Abrufe löschen wir nach 13 Monaten, die zusammengefassten Zahlen behalten wir.
Websites und Player der Shows setzen keine Cookies zur Analyse und laden keine Analysewerkzeuge. Verantwortlich für diese Verarbeitung ist die jeweilige Podcasterin oder der jeweilige Podcaster; wir handeln als Auftragsverarbeiter.
11. Cookies und Speicher im Browser
| Name | Zweck | Dauer | Grundlage |
|---|---|---|---|
| better-auth.session_token, better-auth.session_data, Zwei-Faktor-Cookie | Hält dich angemeldet und schützt die Anmeldung | 7 Tage ab der letzten Nutzung, bis zur Abmeldung | Technisch notwendig |
| locale | Merkt sich die gewählte Sprache | 1 Jahr | Technisch notwendig |
| puka_marketing_preview | Zeigt angemeldeten Personen die Website statt des Dashboards | Bis zum Schließen des Browsers | Technisch notwendig |
| theme, panel-width, puka-setup-dock-open (Local Storage) | Merkt sich Darstellung und Layout im Dashboard | Bis du sie im Browser löschst | Technisch notwendig |
| __stripe_mid, __stripe_sid | Betrugsprävention bei der Zahlung, gesetzt von Stripe auf den Zahlungsseiten | 1 Jahr bzw. 30 Minuten | Technisch notwendig |
| ph_*_posthog (Cookie und Local Storage) | Nutzungsanalyse und Sitzungsaufnahmen im Dashboard | 1 Jahr | Nur mit deiner Einwilligung |
12. Empfänger und Übermittlung in Drittländer
Folgende Dienstleister verarbeiten personenbezogene Daten in unserem Auftrag. Mit allen haben wir Verträge zur Auftragsverarbeitung. Wo Daten in die USA gehen, stützen wir uns auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, sonst auf die Standardvertragsklauseln der EU-Kommission.
| Anbieter | Zweck | Daten | Ort und Garantie |
|---|---|---|---|
| Stripe Payments Europe, Ltd. (Irland) und Stripe, Inc. (USA) | Zahlungsabwicklung, Abonnements, Rechnungen, Umsatzsteuerberechnung (Stripe Tax) | Name der Organisation, E-Mail-Adresse, Land, UID-Nummer, Zahlungsdaten | Irland, USA; EU-US Data Privacy Framework, EU-Standardvertragsklauseln |
| Resend (Plover, Inc.) | Versand von E-Mails (Bestätigung, Passwort, Einladungen, Hinweise zu Konto und Abrechnung) | E-Mail-Adresse, Name, Inhalt der E-Mail | USA; EU-Standardvertragsklauseln |
| PostHog, Inc. (EU Cloud) | Nutzungsanalyse und Sitzungsaufnahmen nach Einwilligung, Fehlerberichte | Nutzer-ID, Seitenaufrufe, Interaktionen, Sitzungsaufnahmen ohne Eingaben, Fehlerdaten | EU (Frankfurt am Main); Verarbeitung in der EU, EU-Standardvertragsklauseln |
| Google Ireland Ltd. und Google LLC (USA) | Anmeldung mit Google (optional) | Name, E-Mail-Adresse und Profilbild aus deinem Google-Konto bei der Anmeldung | Irland, USA; EU-US Data Privacy Framework, EU-Standardvertragsklauseln |
| Better Stack, Inc. | Statusanzeige auf der Website | IP-Adresse und Browserdaten beim Laden der Statusanzeige | USA, EU; EU-Standardvertragsklauseln |
Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind, etwa an Behörden oder Gerichte.
13. Wie lange wir Daten speichern
- Konto: bis du es löschst. Mit dem Konto löschen wir sofort deine Anmeldedaten, Sitzungen, Mitgliedschaften und dein Profilbild sowie Organisationen, in denen du allein bist, samt deren Shows. Die Mediendateien dieser Shows entfernen wir binnen 31 Tagen von unserem Speicher.
- Organisationen mit weiteren Mitgliedern oder laufender Zahlung musst du vor dem Löschen deines Kontos übergeben oder beenden; sie bleiben für die übrigen Mitglieder bestehen.
- Gelöschte Shows: Mediendateien binnen 31 Tagen, Abrufdaten sofort. Bei einzelnen gelöschten Episoden löschen wir die Abrufdaten sofort; ihre Mediendateien entfernen wir derzeit zusammen mit der Show.
- Nicht verwendete Uploads: nach 30 Tagen.
- Einzelne Abrufe von Episoden: 13 Monate.
- Rechnungen und Buchhaltungsunterlagen: sieben Jahre (§ 132 BAO).
- Nutzungsanalyse bei PostHog: bis zum Widerruf, höchstens zwölf Monate.
14. Deine Rechte
Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit (Art. 15 bis 20 DSGVO). Einer Verarbeitung auf Grundlage unseres berechtigten Interesses kannst du widersprechen (Art. 21 DSGVO). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Schreib uns dazu an office@puka.studio; wir antworten binnen eines Monats. Auf Wunsch schicken wir dir eine Kopie deiner Daten und Inhalte in einem gängigen Format.
Du kannst dich außerdem bei der österreichischen Datenschutzbehörde beschweren: Barichgasse 40–42, 1030 Wien, www.dsb.gv.at.
15. Sonstiges
Für den Vertrag brauchen wir die Angaben aus Punkt 4; ohne sie können wir kein Konto anlegen. Alle anderen Angaben sind freiwillig. Automatisierte Entscheidungen im Sinn von Art. 22 DSGVO treffen wir nicht. Ändern wir diese Erklärung, veröffentlichen wir die neue Fassung hier; bei wesentlichen Änderungen informieren wir dich zusätzlich per E-Mail.