docs(legal): address counsel review of Datenschutzerklärung

- clarify pet-only data (breed, weight, health records) is not
  personal data under Art. 4 No. 1 GDPR since GDPR protects only
  natural persons; still handled confidentially per policy
- switch Clerk/Cloudflare/Mux/Stripe from SCC framing to EU-U.S. DPF
  certification (Art. 45 adequacy decision), strengthen the residual
  SCC/Schrems-II fallback clause beyond TLS + access restrictions
- document 30-day retention and rationale for technical error reports

src/app/datenschutz/page.tsx

@@ -33,7 +33,7 @@ export default function DatenschutzPage() {
   ) : <>––</>;
 
   return (
-    <LegalLayout title="Datenschutzerklärung" subtitle="Stand: August 2026 · gemäß DSGVO">
+    <LegalLayout title="Datenschutzerklärung" subtitle="Stand: September 2026 · gemäß DSGVO">
       <LegalSection number="1" title="Verantwortlicher">
         <address className="not-italic space-y-0.5">
           <p className="font-medium text-foreground">{name}</p>
@@ -60,6 +60,16 @@ export default function DatenschutzPage() {
           </li>
           <li>Technische Fehlerdaten (Absturz-/Fehlerberichte inkl. IP-Adresse) zur Störungsbehebung</li>
         </ul>
+        <p className="mt-3">
+          <strong className="text-foreground">Hinweis zu Tierdaten:</strong> Daten, die sich
+          ausschließlich auf Ihr Haustier beziehen (z.&nbsp;B. Tierart, Rasse, Gewicht,
+          Gesundheitsdaten, Fotos des Tieres), stellen mangels Bezugs zu einer natürlichen Person
+          grundsätzlich keine personenbezogenen Daten im Sinne von Art. 4 Nr. 1 DSGVO dar, da die
+          DSGVO ausschließlich natürliche Personen schützt. Wir behandeln diese Daten dennoch mit
+          derselben Sorgfalt und Vertraulichkeit wie personenbezogene Daten: Health-Tracking-Daten
+          sind ausschließlich für Sie als Owner einsehbar; eine Weitergabe erfolgt ausschließlich
+          über die von Ihnen aktiv geteilte, tokenbasierte Health Card.
+        </p>
       </LegalSection>
 
       <LegalSection number="3" title="Rechtsgrundlagen der Verarbeitung">
@@ -79,11 +89,11 @@ export default function DatenschutzPage() {
       <LegalSection number="4" title="Drittanbieter, Auftragsverarbeiter und Drittlandübermittlungen">
         <ul className="space-y-2">
           {[
-            { name: "Clerk Inc.", detail: "Authentifizierungsdienst (USA) · Datenübertragung auf Basis von EU-SCC" },
-            { name: "Supabase Inc.", detail: "Datenbankhosting (AWS EU-West) · AVV abgeschlossen" },
-            { name: "Cloudflare Inc.", detail: "Medienspeicherung und CDN (USA/EU) · AVV abgeschlossen" },
-            { name: "Mux Inc.", detail: "Videoverarbeitung (USA) · SCC-Basis" },
-            { name: "Stripe Inc.", detail: "Zahlungsabwicklung für freiwillige Sponsoring-Beiträge (USA/EU) · SCC-Basis" },
+            { name: "Clerk Inc.", detail: "Authentifizierungsdienst (USA) · zertifiziert unter dem EU-U.S. Data Privacy Framework (DPF)" },
+            { name: "Supabase Inc.", detail: "Datenbankhosting (AWS EU-West) · AVV abgeschlossen, keine Drittlandübermittlung" },
+            { name: "Cloudflare Inc.", detail: "Medienspeicherung und CDN (USA/EU) · zertifiziert unter dem EU-U.S. Data Privacy Framework (DPF)" },
+            { name: "Mux Inc.", detail: "Videoverarbeitung (USA) · zertifiziert unter dem EU-U.S. Data Privacy Framework (DPF)" },
+            { name: "Stripe Inc.", detail: "Zahlungsabwicklung für freiwillige Sponsoring-Beiträge (USA/EU) · zertifiziert unter dem EU-U.S. Data Privacy Framework (DPF)" },
             { name: "GlitchTip", detail: "Fehler- und Absturzberichte (self-hosted, eigene Server-Infrastruktur in der EU) · keine Drittlandübermittlung" },
           ].map((p) => (
             <li key={p.name} className="flex flex-col gap-0.5">
@@ -93,13 +103,26 @@ export default function DatenschutzPage() {
           ))}
         </ul>
         <p className="mt-3">
-          Bei der Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern
-          (insbesondere die USA) treffen wir neben dem Abschluss von Standardvertragsklauseln
-          (SCC) zusätzliche technische und organisatorische Maßnahmen, um ein dem Risiko
-          angemessenes Schutzniveau zu gewährleisten. Hierzu zählen insbesondere die
-          Verschlüsselung der Datenübertragung (TLS) sowie Zugriffsbeschränkungen auf unserer
-          Seite, um die Vertraulichkeit und Integrität Ihrer Daten zu schützen. Wir überprüfen
-          regelmäßig die Wirksamkeit dieser Maßnahmen und passen sie bei Bedarf an.
+          Clerk, Cloudflare, Mux und Stripe sind unter dem EU-U.S. Data Privacy Framework (DPF)
+          zertifiziert. Die Datenübermittlung an diese Anbieter erfolgt auf Grundlage des
+          Angemessenheitsbeschlusses der Europäischen Kommission vom 10. Juli 2023 (Art. 45
+          DSGVO). Da die EU-Kommission damit ein angemessenes Datenschutzniveau festgestellt hat,
+          sind für diese Übermittlungen weder Standardvertragsklauseln (SCC) noch zusätzliche
+          Maßnahmen im Sinne der &bdquo;Schrems&nbsp;II&ldquo;-Rechtsprechung des EuGH (Urteil vom
+          16.07.2020, Rs. C-311/18) erforderlich. Supabase hostet unsere Datenbank ausschließlich
+          in der EU (AWS eu-west), sodass insoweit keine Drittlandübermittlung stattfindet.
+        </p>
+        <p className="mt-3">
+          Sollte ein Auftragsverarbeiter im Einzelfall nicht oder nicht mehr unter dem DPF
+          zertifiziert sein, stützen wir die Übermittlung ersatzweise auf Standardvertragsklauseln
+          (SCC) und ergreifen zusätzlich die nach der Schrems-II-Rechtsprechung erforderlichen
+          technischen und organisatorischen Maßnahmen. Hierzu zählen insbesondere: Verschlüsselung
+          der Daten während der Übertragung und, soweit vom Anbieter unterstützt, im
+          Ruhezustand; vertragliche Verpflichtung des Anbieters, unverhältnismäßige behördliche
+          Zugriffsanfragen zu prüfen und erforderlichenfalls anzufechten sowie uns hierüber zu
+          informieren, soweit rechtlich zulässig; Berücksichtigung der Transparenzberichte des
+          Anbieters zu behördlichen Anfragen; sowie eine regelmäßige Überprüfung der Rechtslage
+          und der Wirksamkeit der getroffenen Maßnahmen.
         </p>
       </LegalSection>
 
@@ -143,6 +166,12 @@ export default function DatenschutzPage() {
           keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Kontodaten werden nach
           Löschung des Kontos innerhalb von 30 Tagen gelöscht.
         </p>
+        <p className="mt-3">
+          Technische Fehlerberichte (Absturz-/Fehlerdaten inkl. IP-Adresse, siehe Abschnitt 2)
+          werden automatisiert nach 30 Tagen gelöscht. Dieser Zeitraum ist nach unserer Erfahrung
+          ausreichend, um wiederkehrende Fehler zu erkennen und zu beheben; für den Zweck der
+          Störungsbehebung ist eine längere Aufbewahrung nicht erforderlich.
+        </p>
       </LegalSection>
 
       <LegalSection number="7" title="Ihre Rechte">
@@ -189,7 +218,7 @@ export default function DatenschutzPage() {
 
       <LegalSection number="10" title="Aktualität dieser Erklärung">
         <p>
-          Stand: August 2026. Durch die Weiterentwicklung unserer Plattform kann es notwendig
+          Stand: September 2026. Durch die Weiterentwicklung unserer Plattform kann es notwendig
           werden, diese Erklärung zu ändern. Die jeweils aktuelle Fassung ist stets auf dieser
           Seite abrufbar.
         </p>