Datenschutzerklärung

1. Verantwortliche Stelle

Jessica Springob
Yogitrition – Yoga, Meditation und Ernährung
c/o Springob, August-Bebel-Straße 15, 45525 Hattingen
E-Mail: hallo@yogitrition.de
Telefon: +49 175 3217225

2. Hosting

Diese Website wird bei Hostinger International Ltd. gehostet. Beim Aufruf der Seite verarbeitet der Server automatisch technisch notwendige Daten (IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browsertyp). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse an einem sicheren und stabilen Betrieb.

Mit Hostinger besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO (Data Processing Addendum als Bestandteil der Nutzungsbedingungen). Das Hosting erfolgt auf Servern in der Europäischen Union; soweit einzelne Unterauftragsverarbeiter Daten außerhalb des EWR verarbeiten, stellen die EU-Standardvertragsklauseln ein angemessenes Datenschutzniveau sicher.

3. Datenbank und Benutzerkonten (Supabase)

Für Registrierung, Anmeldung und die Speicherung deiner Mitgliedsdaten nutzen wir Supabase. Alle Daten werden ausschließlich in der Region Frankfurt am Main (Deutschland) gespeichert. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Verarbeitet werden:

E-Mail-Adresse, Vor- und Nachname sowie dein verschlüsseltes Passwort
deine Mitgliedschaft (Basis oder Premium) samt Laufzeitende
dein Wiedergabefortschritt bei Videos
dein Lektionsfortschritt in Onlinekursen – zuletzt geöffnete und abgeschlossene Lektionen
dein Fortschritt in Programmen – welche Tage du abgehakt hast
welche Hinweise auf ein laufendes Programm oder einen angefangenen Kurs du auf der Studio-Startseite ausgeblendet hast
deine Übungstage – an welchen Tagen du Videos geöffnet oder Einheiten abgehakt hast, und ob eine Yoga- oder eine Meditationseinheit dabei war
für welche Mandalas wir dir schon gratuliert haben
ob du die Mandala-Sammlung abgeschaltet hast
deine Merkliste

Zum Laufzeitende speichern wir zusätzlich, für welchen Ablauftermin wir dich bereits erinnert haben – damit dieselbe Erinnerung nicht zweimal herausgeht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags).

Aus den Übungstagen entsteht deine Mandala-Sammlung. Sie ist ein Zusatz und keine Leistung, die du bestellt hast – Rechtsgrundlage ist deshalb Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse). Du kannst jederzeit widersprechen: Im Online-Studio unter „Dein Konto“ schaltest du die Sammlung ab. Wir löschen deine Übungstage dann sofort und sammeln keine neuen mehr. Schaltest du sie später wieder ein, fängt die Sammlung von vorn an.

Solange die Sammlung an ist, behalten wir die Übungstage, bis du dein Konto löschst. Früher können wir sie nicht wegwerfen, ohne dir Mandalas zu nehmen, die du schon hast – manche zählen über Jahre.

Damit niemand fremde Passwörter durchprobieren kann, begrenzen wir, wie oft hintereinander eine Anmeldung versucht werden darf. Dafür halten wir deine E-Mail-Adresse und deine IP-Adresse kurzzeitig als nicht umkehrbaren Hashwert im Arbeitsspeicher, längstens eine Stunde. Gespeichert wird beides nicht, und niemand kann daraus deine Adresse zurückrechnen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse daran, dein Konto vor fremdem Zugriff zu schützen).

4. Cookies

Wir setzen ausschließlich technisch notwendige Cookies ein. Eine Einwilligung ist dafür nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Wir setzen keine Werbe- oder Trackingdienste ein und erstellen kein Nutzungsprofil zu Werbezwecken. Was wir zu deinem Konto speichern, steht vollständig in Ziffer 3. Wie wir Seitenaufrufe zählen – ohne Cookie und ohne Kennung –, steht im Abschnitt „Reichweitenmessung“.

Es sind zwei Cookies:

Anmelde-Cookie: hält deine Anmeldung im Online-Studio aufrecht. Es wird gesetzt, sobald du dich anmeldest, und beim Abmelden gelöscht.
yogi_mitglied: speichert ausschließlich die Information, dass eine Anmeldung besteht – damit die Website dich nicht erneut zum Anmelden auffordert. Es enthält weder deinen Namen noch eine Kennung, sondern nur diesen einen Status. Es wird beim Abmelden gelöscht und verliert spätestens nach sieben Tagen seine Gültigkeit.

Rechtsgrundlage der damit verbundenen Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags).

5. Reichweitenmessung

Wir zählen, wie oft die Seiten dieser Website und des Online-Studios aufgerufen werden. Das hilft uns zu erkennen, welche Inhalte gebraucht werden. Ein Analysedienst ist daran nicht beteiligt, und es verlassen keine Daten unseren Server.

Was gespeichert wird: der Tag, bei den öffentlichen Seiten zusätzlich die Stunde, der Bereich (Website oder Online-Studio), eine Kennung der aufgerufenen Seite – etwa die Startseite – und ein Zähler. Keine IP-Adresse, keine Gerätekennung, kein Cookie, kein Wiedererkennungsmerkmal. Wir zählen Aufrufe, keine Besucherinnen und Besucher: Ob zwei Aufrufe von derselben Person stammen, können wir nicht erkennen.

Im Online-Studio halten wir zusätzlich fest, wonach gesucht wurde: den Suchbegriff, den Tag und ob es Treffer gab. Auch das ohne jede Verbindung zu einer Person. Eingaben, die wie eine E-Mail-Adresse oder eine Telefonnummer aussehen, verwerfen wir sofort.

Wie lange: Nach 90 Tagen entfällt die Uhrzeit, nach 14 Monaten bleibt nur noch die Zahl der Aufrufe je Monat und Bereich stehen. Suchbegriffe mit einem einzigen Vorkommen löschen wir nach 90 Tagen, alle übrigen nach 14 Monaten.

Deine IP-Adresse wird beim Aufruf technisch übertragen, wie bei jeder Website. Wir verarbeiten sie ausschließlich vorübergehend, um die Seite auszuliefern und Missbrauch abzuwehren; gespeichert wird sie nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse an einem funktionierenden Angebot und daran, zu wissen, welche Inhalte genutzt werden.

6. Schriftarten

Alle Schriftarten werden von unserem eigenen Server ausgeliefert. Es besteht keine Verbindung zu Servern Dritter.

7. Videos im Online-Studio

Die Videos im Online-Studio werden bei externen Anbietern gehostet. Wir nutzen dafür YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland), Vimeo (Vimeo.com, Inc., 330 West 34th Street, New York, NY 10001, USA) und Mux (Mux, Inc., 88 Stevenson Street, San Francisco, CA 94105, USA). Welcher Anbieter ein Video ausliefert, steht am Video selbst.

Videos bei YouTube und Vimeo werden erst geladen, nachdem du sie aktiv angeklickt hast. Vorher werden keine Daten an den Anbieter übertragen – auch das Vorschaubild nicht: Es wird über unseren eigenen Server ausgeliefert.

Mit dem Klick auf ein solches Video willigst du in die Datenübertragung ein (Art. 6 Abs. 1 lit. a DSGVO). Dabei können deine IP-Adresse und Angaben zu deinem Gerät an den Anbieter übermittelt werden. Die Einwilligung gilt nur für das jeweils angeklickte Video; um sie zu widerrufen, genügt es, das Video nicht erneut zu laden.

Videos in den kostenpflichtigen Bereichen (Mux)

Die Videos zu Zeitpass und Onlinekursen liefern wir über Mux aus. Das Video läuft in unserer eigenen Seite; es wird kein fremder Player eingebettet und kein Skript des Anbieters geladen. Sobald du ein Video startest, werden deine IP-Adresse und technische Angaben zu Gerät und Browser an Mux übermittelt, damit das Video bei dir ankommt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Die Bereitstellung der Videos ist die Leistung, die du gebucht hast. Eine gesonderte Einwilligung ist dafür nicht erforderlich.

Damit je Mitgliedskonto nur ein Video gleichzeitig läuft und wir automatisierte Abrufe erkennen können, merken wir uns kurzzeitig im Arbeitsspeicher unseres Servers, welches Konto wann welches Video gestartet hat (bis zu 48 Stunden) und welches Gerät gerade abspielt (bis zu 90 Sekunden nach dem Ende). Bei Anzeichen automatisierter Abrufe kann das Starten neuer Videos vorübergehend gesperrt werden; Näheres steht in den AGB. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Ein-Video-Regel und Art. 6 Abs. 1 lit. f DSGVO für die Missbrauchserkennung; unser berechtigtes Interesse ist der Schutz vor unbefugter Nutzung.

Die Reichweitenmessung von Mux ist abgeschaltet: kein Cookie von Mux, keine Daten zu deinem Nutzungsverhalten. Der Videoplayer speichert in deinem Browser nur Bedieneinstellungen (Ton stumm, Lautstärke, Untertitelsprache); sie verlassen dein Gerät nicht und lassen sich über die Website-Daten deines Browsers löschen.

Mux verarbeitet die Daten als Auftragsverarbeiter für uns (Vertrag nach Art. 28 DSGVO).

Alle drei Anbieter können Daten in die USA übermitteln. Die Übermittlung stützt sich, soweit der Anbieter dort zertifiziert ist, auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), im Übrigen auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Einzelheiten stehen in den Datenschutzerklärungen der Anbieter: policies.google.com/privacy, vimeo.com/privacy und mux.com/privacy.

8. Formulare auf der Website

Kontaktformular

Deine Angaben aus dem Kontaktformular (Name, E-Mail-Adresse, Betreff, Nachricht) speichern wir zur Bearbeitung deiner Anfrage. Rechtsgrundlage sind deine im Formular erteilte Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) sowie Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Wir löschen die Daten, sobald sie nicht mehr erforderlich sind, spätestens nach Ablauf gesetzlicher Aufbewahrungsfristen.

Kündigungsformular

Über die Schaltfläche „Verträge hier kündigen“ kannst du ohne Anmeldung kündigen (§ 312k BGB). Wir speichern dabei deine Angaben aus dem Formular: Name, E-Mail-Adresse, die Art der Kündigung, eine freiwillige Kunden- oder Bestellnummer, einen freiwilligen Wunschtermin und – nur bei einer außerordentlichen Kündigung – den von dir angegebenen Grund. Dazu kommen der Zeitpunkt des Zugangs und der Zeitpunkt, zu dem wir die Beendigung bestätigt haben.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertrags) sowie Art. 6 Abs. 1 lit. c DSGVO: § 312k Abs. 4 BGB verpflichtet uns, dir den Zugang mit Datum und Uhrzeit zu bestätigen – und damit auch, diesen Zeitpunkt festzuhalten. Ein Einwilligungshäkchen gibt es hier bewusst nicht; eine Kündigung darf nicht daran scheitern, dass jemand es nicht setzt.

Widerrufsformular

Über die Schaltfläche „Vertrag widerrufen“ kannst du ohne Anmeldung widerrufen (§ 356a BGB). Wir speichern deinen Namen, deine E-Mail-Adresse, deine Angabe zur Identifizierung des Vertrags sowie den Zeitpunkt des Zugangs. Mehr fragen wir nicht ab – insbesondere keinen Grund: Ein Widerruf ist begründungsfrei.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. c DSGVO, denn § 356a Abs. 4 BGB verlangt eine Eingangsbestätigung mit Datum und Uhrzeit. Zur Abrechnung eines Widerrufs gleichen wir die angegebene E-Mail-Adresse mit deinen Bestellungen ab.

9. Kauf von Onlinekursen und Zeitpässen, Zahlungsabwicklung

Wenn du einen Onlinekurs oder einen Zeitpass für die Premium-Mitgliedschaft kaufst, verarbeiten wir die zur Vertragserfüllung erforderlichen Daten: die Bezeichnung des Kurses bzw. die Laufzeit des Zeitpasses, den Kaufpreis, bei einem eingelösten Rabattcode zusätzlich den Listenpreis, den Code und den Prozentsatz, den Kaufzeitpunkt, den Status der Bestellung, die Zahlungsart und bei einer Zahlung über PayPal die dort vergebene Vorgangsnummer.

Zusätzlich dokumentieren wir den Zeitpunkt deiner beiden Bestätigungen – die Zustimmung zu den AGB und die ausdrückliche Zustimmung zum Beginn der Vertragsausführung vor Ablauf der Widerrufsfrist. Diese Dokumentation ist gesetzlich vorgeschrieben (§ 356 Abs. 6 BGB beim Onlinekurs, § 356 Abs. 5 in Verbindung mit § 357a Abs. 2 BGB beim Zeitpass) und dient dem Nachweis, dass wir dich ordnungsgemäß belehrt haben.

Gilt ein Rabattcode nur einmal je Mitgliedskonto, gleichen wir dafür bei der Bestellung deine früheren Bestellungen mit diesem Code ab.

Zu jedem bezahlten Kauf erstellen wir eine Rechnung. Sie nennt deinen Namen, deine E-Mail-Adresse, die gekaufte Leistung, den Betrag und den Zeitpunkt der Zahlung; du erhältst sie per E-Mail und findest sie im Online-Studio unter „Deine Bestellungen“ wieder.

Von PayPal übernehmen wir außerdem das Land, in dem dein PayPal-Konto geführt wird, bei einer Überweisung das Land deines Bankkontos. Wir brauchen es, um zu bestimmen, in welchem Staat die Leistung steuerlich erbracht wird; auf der Rechnung steht es nicht.

Damit niemand den Bestellvorgang in einer Schleife auslösen kann, zählen wir kurzzeitig, wie oft dein Mitgliedskonto eine Bestellung beginnt. Die Kennung deines Kontos liegt dafür als nicht umkehrbarer Hashwert im Arbeitsspeicher, längstens zehn Minuten, und wird nicht gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse daran, den Bezahlvorgang vor Missbrauch zu schützen).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Kaufvertrags) sowie Art. 6 Abs. 1 lit. c DSGVO (Erfüllung unserer handels- und steuerrechtlichen Pflichten).

Zahlungsdienstleister PayPal

Die Zahlung wickeln wir über PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg, ab. Zum Bezahlen wirst du auf die Seite von PayPal weitergeleitet.

Wir übermitteln dabei den Kaufbetrag, die Kursbezeichnung und eine Vorgangsnummer an PayPal. Deine Zahlungsdaten – etwa Bankverbindung oder Kreditkartennummer – gibst du ausschließlich bei PayPal ein; sie werden uns zu keinem Zeitpunkt bekannt. Von PayPal erhalten wir zurück, ob die Zahlung erfolgreich war.

Wir binden kein PayPal-Skript in unsere Seiten ein. Solange du den Kauf nicht startest, werden keine Daten an PayPal übertragen.

PayPal kann Daten an verbundene Unternehmen und Dienstleister auch außerhalb der Europäischen Union übermitteln, unter anderem in die USA. Grundlage dafür sind die Standardvertragsklauseln der EU-Kommission. Einzelheiten findest du in der Datenschutzerklärung von PayPal unter paypal.com/de/webapps/mpp/ua/privacy-full.

Überweisung

Zahlst du per Überweisung, sehen wir auf unserem Kontoauszug deinen Namen, deine IBAN, den Betrag, das Datum und den Verwendungszweck. Damit ordnen wir die Zahlung deiner Bestellung zu – und überweisen dorthin zurück, falls wir etwas erstatten. In der Bestellung halten wir nur das Eingangsdatum, den eingegangenen Betrag und das Land deines Kontos fest. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Kaufvertrags).

10. E-Mail-Versand

Zur Bestätigung deiner Bestellung und für Systemnachrichten – etwa zum Zurücksetzen des Passworts – versenden wir E-Mails über den Mailserver unseres Hosting-Anbieters. Verarbeitet werden deine E-Mail-Adresse, dein Name und der Inhalt der Nachricht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; bei der Bestellbestätigung zusätzlich Art. 6 Abs. 1 lit. c DSGVO, da wir zur Bestätigung gesetzlich verpflichtet sind (§ 312i Abs. 1 BGB).

Hast du einen Zeitpass gekauft, erinnern wir dich einmalig etwa eine Woche vor Ablauf deiner Laufzeit per E-Mail daran, dass dein Zugang endet. Das ist eine Information über deinen laufenden Vertrag (Art. 6 Abs. 1 lit. b DSGVO), keine Werbung: Die Nachricht fordert dich nicht zum Nachkauf auf.

Wir versenden keine Werbung per E-Mail und betreiben keinen Newsletter.

11. Speicherdauer

Wir speichern deine Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist:

Kontodaten: bis zur Löschung deines Mitgliedskontos
Kontaktanfragen: bis zur abschließenden Bearbeitung
Bezahlte Bestellungen und Zahlungsdaten: zehn Jahre, aufgrund der gesetzlichen Aufbewahrungspflicht aus § 147 AO
Nicht abgeschlossene Bestellungen, bei denen keine Zahlung erfolgt ist: 48 Stunden, bei Bestellungen per Überweisung vier Wochen
Rechnungen: acht Jahre, aufgrund der gesetzlichen Aufbewahrungspflicht aus § 14b UStG
Nachweis der Widerrufsbelehrung: für die Dauer der gesetzlichen Verjährungsfristen
Kündigungen und Widerrufe: für die Dauer der gesetzlichen Verjährungsfristen – sie belegen, dass eine Erklärung fristgerecht zugegangen ist
Aufrufzahlen: nach 90 Tagen ohne Uhrzeit, nach 14 Monaten nur noch als Summe je Monat und Bereich
Suchbegriffe: Einzelvorkommen nach 90 Tagen, alle übrigen nach 14 Monaten

Nach Ablauf dieser Fristen löschen wir die Daten.

12. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht, einer Verarbeitung zu widersprechen (Art. 21 DSGVO). Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Dein Mitgliedskonto kannst du jederzeit selbst löschen – im Online-Studio unter „Dein Konto“, aus Sicherheitsgründen mit deinem Passwort bestätigt. Profil, Mitgliedschaft, Kursfreischaltungen, Fortschritt, deine Übungstage samt Mandala-Sammlung und Merkliste werden dabei sofort und endgültig entfernt; du erhältst eine Bestätigung per E-Mail. Alternativ genügt weiterhin eine formlose E-Mail an uns. Bestell- und Zahlungsdaten dürfen wir nicht sofort löschen – für sie gelten die Aufbewahrungsfristen aus dem Abschnitt „Speicherdauer“.

Außerdem steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu. Zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.