From 765a6fa4868c385d252b7f1cd0597905731853db Mon Sep 17 00:00:00 2001
From: neodk2004 <barac.daniel@gmail.com>
Date: Wed, 12 Aug 2026 19:12:54 +0200
Subject: [PATCH] fix(legal): add Schrems II third-country transfer safeguards
 to privacy policy
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

Lawyer review flagged that section 4 (third-party processors) named
SCC as the sole basis for transfers to US-based processors (Clerk,
Mux) without mentioning that SCC alone doesn't always guarantee an
adequate protection level per Schrems II — additional technical/
organizational safeguards need to be disclosed too.

Renames the section to explicitly cover Drittlandübermittlungen and
adds a paragraph on the actual safeguards in place (TLS in transit,
role-based admin access controls, ongoing legal-landscape review).
Also fixes a stale "Stand: Juni 2026" footer date that didn't match
the page header's "August 2026".

Note: publishing a new version via /p/[secret]/legal (docType
DATENSCHUTZ) is still needed to trigger the re-acknowledgment banner
for existing owners — that's a deliberate SUPER_ADMIN action, not
done here.
---
 src/app/datenschutz/page.tsx | 15 +++++++++++++--
 1 file changed, 13 insertions(+), 2 deletions(-)

diff --git a/src/app/datenschutz/page.tsx b/src/app/datenschutz/page.tsx
index 8965f30..29af59f 100644
--- a/src/app/datenschutz/page.tsx
+++ b/src/app/datenschutz/page.tsx
@@ -69,7 +69,7 @@ export default function DatenschutzPage() {
         </p>
       </LegalSection>
 
-      <LegalSection number="4" title="Drittanbieter und Auftragsverarbeiter">
+      <LegalSection number="4" title="Drittanbieter, Auftragsverarbeiter und Drittlandübermittlungen">
         <ul className="space-y-2">
           {[
             { name: "Clerk Inc.", detail: "Authentifizierungsdienst (USA) · Datenübertragung auf Basis von EU-SCC" },
@@ -84,6 +84,17 @@ export default function DatenschutzPage() {
             </li>
           ))}
         </ul>
+        <p className="mt-3">
+          Bei der Übermittlung personenbezogener Daten an Dienstleister in Drittländern
+          (insbesondere die USA) reicht der Abschluss von Standardvertragsklauseln (SCC) nach
+          Art. 46 DSGVO allein nicht immer aus, um ein angemessenes Schutzniveau zu gewährleisten:
+          Die SCC binden die Empfänger vertraglich, können aber einen möglichen staatlichen
+          Zugriff im Empfängerland nicht ausschließen. Wir treffen daher zusätzliche technische
+          und organisatorische Maßnahmen — insbesondere die durchgängige Verschlüsselung der
+          Datenübertragung (TLS), rollenbasierte Zugriffsbeschränkungen auf unserer Seite sowie
+          eine regelmäßige Prüfung der Rechtslage im Empfängerland — und passen diese
+          Schutzmaßnahmen bei Bedarf entsprechend an.
+        </p>
       </LegalSection>
 
       <LegalSection number="4a" title="Einwilligung bei Erst-Anlage eines Haustierprofils">
@@ -172,7 +183,7 @@ export default function DatenschutzPage() {
 
       <LegalSection number="10" title="Aktualität dieser Erklärung">
         <p>
-          Stand: Juni 2026. Durch die Weiterentwicklung unserer Plattform kann es notwendig
+          Stand: August 2026. Durch die Weiterentwicklung unserer Plattform kann es notwendig
           werden, diese Erklärung zu ändern. Die jeweils aktuelle Fassung ist stets auf dieser
           Seite abrufbar.
         </p>