Datenschutzerklärung

Stand: 11.09.2026

1. Verantwortlicher

Verantwortlicher für die Datenverarbeitung auf dieser Website ist:

Atma Nada Yoga
Florencia Di Buduo & Hernán Sendra GbR
Schwetzinger Str. 3
69181 Leimen
Deutschland
Telefon: +49 176 7218 1184
E-Mail: info@atmanadayoga.com

Einen Datenschutzbeauftragten haben wir nicht bestellt. Die Voraussetzungen des Art. 37 Abs. 1 DSGVO und des § 38 Abs. 1 BDSG liegen nicht vor: in unserem Unternehmen sind nicht mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, die Verarbeitung besonderer Datenkategorien ist nicht unsere Kerntätigkeit, und eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist nicht erforderlich. Für alle Fragen zum Datenschutz erreichen Sie uns unter den oben genannten Kontaktdaten.

2. Begriffe und Grundsätze

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung einer funktionsfähigen Website und unserer Leistungen erforderlich ist oder soweit Sie eingewilligt haben.

Diese Erklärung ist in drei Teile gegliedert: die Verarbeitung beim Besuch der Website (Abschnitt 3), bei der Kontaktaufnahme (Abschnitt 4) und im Mitgliederbereich (Abschnitte 5 bis 8). Die Abschnitte 9 bis 14 gelten für alle Verarbeitungen gemeinsam.

3. Besuch unserer Website

3.1 Hosting und Server-Logfiles

Unsere Website wird gehostet von:

Hostinger International Ltd.
Jonavos g. 60C
44192 Kaunas
Litauen

Hostinger verarbeitet personenbezogene Daten ausschließlich in unserem Auftrag als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO (Data Processing Addendum, Bestandteil der Nutzungsbedingungen): https://www.hostinger.com/legal/dpa

Bei jedem Aufruf einer Seite erfasst der Server automatisch Daten in sogenannten Logfiles:

IP-Adresse des anfragenden Geräts
Datum und Uhrzeit des Zugriffs
Name und URL der abgerufenen Datei
übertragene Datenmenge und Meldung über den Erfolg des Abrufs
die zuvor besuchte Seite (Referrer), sofern übermittelt
verwendeter Browser und Betriebssystem

Zweck: Bereitstellung der Website, Gewährleistung der Systemsicherheit und Stabilität sowie Aufklärung von Missbrauch und technischen Störungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und störungsfreien Betrieb der Website.

Speicherdauer: 7 Tage. Danach werden die Logfiles von unserem Hoster automatisch gelöscht.

3.2 Verschlüsselte Übertragung

Diese Website verwendet durchgehend eine TLS-Verschlüsselung. Sie erkennen dies am Schlosssymbol und am Präfix https:// in der Adresszeile Ihres Browsers. Dadurch können die Daten, die Sie an uns übermitteln, nicht von Dritten mitgelesen werden.

3.3 Cookies und ähnliche Technologien

Wir setzen Cookies und vergleichbare Techniken (lokale Speicher Ihres Browsers) ein. Die Speicherung von Informationen auf Ihrem Endgerät und der Zugriff darauf richten sich nach § 25 TDDDG:

Technisch notwendige Speicherung erfolgt ohne Ihre Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Dazu gehören die Speicherung Ihrer Cookie-Entscheidung selbst, die gewählte Sprache, die Anmeldung im Mitgliederbereich und die Wiederherstellung des zuletzt geöffneten Reiters innerhalb einer Seite.
Alle übrigen Zugriffe erfolgen nur mit Ihrer Einwilligung (§ 25 Abs. 1 TDDDG). Die anschließende Verarbeitung der so gelesenen Daten beruht auf Art. 6 Abs. 1 lit. a DSGVO.

Zur Verwaltung Ihrer Einwilligung nutzen wir das Consent-Management-Tool Complianz. Es ist auf unserem eigenen Server installiert und überträgt keine Daten an den Anbieter. Complianz speichert Ihre Entscheidung für 365 Tage in Cookies mit dem Namensbeginn cmplz_.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen oder ändern, ohne Angabe von Gründen und ohne Nachteil — über den Link „Cookie-Einstellungen“ im Fußbereich jeder Seite. Eine vollständige Aufstellung aller eingesetzten Cookies mit Zweck und Speicherdauer finden Sie in unserer Cookie-Richtlinie. Im Widerspruchs- oder Zweifelsfall ist die vorliegende Datenschutzerklärung maßgeblich.

3.4 Schutz vor Spam und automatisierten Zugriffen (Cloudflare Turnstile)

Auf den Seiten Registrierung, Anmelden, Passwort zurücksetzen und im Kontaktformular setzen wir Cloudflare Turnstile ein, um automatisierte Anfragen (Bots, Massenregistrierungen, Spam) von echten Nutzeranfragen zu unterscheiden.

Anbieter: Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, sowie Cloudflare Germany GmbH, Rosental 7, 80331 München.

Beim Laden des Prüfmechanismus werden an Cloudflare übermittelt: IP-Adresse, Informationen über Browser und Betriebssystem, Zeitpunkt des Zugriffs sowie technische Signale über das Verhalten des Endgeräts im Browser. Turnstile verzichtet nach Angaben des Anbieters auf eine Auswertung zu Werbezwecken und auf eine Wiedererkennung über Websites hinweg.

Zweck: Abwehr missbräuchlicher automatisierter Zugriffe auf unsere Anmelde- und Formularfunktionen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im Schutz der Website und der Daten unserer Mitglieder vor automatisierten Angriffen. Ohne diesen Schutz wären Anmeldeformulare dem automatisierten Ausprobieren von Zugangsdaten ungeschützt ausgesetzt.

Drittlandübermittlung: Cloudflare, Inc. hat seinen Sitz in den USA. Die Übermittlung erfolgt auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission vom 10. Juli 2023 zum EU-US Data Privacy Framework, für das Cloudflare, Inc. zertifiziert ist; ergänzend bestehen Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

Weitere Informationen: https://www.cloudflare.com/privacypolicy/

3.5 Schriftarten

Alle auf dieser Website verwendeten Schriftarten sind lokal auf unserem Server gespeichert und werden von dort geladen. Eine Verbindung zu Servern von Google oder anderen Anbietern findet dabei nicht statt.

3.6 Links zu externen Plattformen

Unsere Website enthält Links zu unseren Profilen bzw. zu Angeboten folgender Anbieter:

Instagram
Facebook
WhatsApp
Google Maps

Dies sind ausschließlich Links, keine eingebetteten Inhalte. Beim Besuch unserer Website werden dadurch keine Daten an diese Anbieter übertragen und keine Cookies dieser Anbieter gesetzt. Erst wenn Sie einen solchen Link anklicken, stellt Ihr Browser eine Verbindung zum jeweiligen Anbieter her; ab diesem Zeitpunkt ist für die Datenverarbeitung der jeweilige Anbieter verantwortlich, nicht wir. Bitte beachten Sie dessen Datenschutzhinweise.

4. Kontaktaufnahme

4.1 Kontaktformular

Über unser Kontaktformular erheben wir: Name, E-Mail-Adresse, Betreff und Ihre Nachricht. Vor dem Absenden wird die Anfrage durch Cloudflare Turnstile geprüft (siehe 3.4).

Ihre Anfrage wird nicht in der Datenbank dieser Website gespeichert. Sie wird ausschließlich als E-Mail an unser Studio-Postfach weitergeleitet und dort bearbeitet. Der Versand erfolgt über den Mailserver von Hostinger (siehe 3.1).

Zweck: Bearbeitung Ihrer Anfrage und Rückfragen dazu.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf den Abschluss oder die Durchführung eines Vertrags gerichtet ist; im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

Speicherdauer: Wir löschen Ihre Anfrage, sobald sie abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen, spätestens jedoch nach sechs Monaten.

Wird aus Ihrer Anfrage ein Geschäftsvorgang — etwa eine Anmeldung, eine Reklamation oder eine Absprache über Preise —, gilt sie als Geschäftsbrief und wird nach § 147 Abs. 1 Nr. 2 und Nr. 3, Abs. 3 AO sechs Jahre aufbewahrt und danach gelöscht. Während dieser Zeit ist die Verarbeitung auf die Erfüllung der Aufbewahrungspflicht beschränkt.

Das ist eine andere Kategorie als die Rechnungs- und Buchführungsunterlagen in Abschnitt 6, für die längere Fristen gelten: ein Geschäftsbrief ist weder ein Buchungsbeleg noch ein Buch.

4.2 E-Mail, Telefon und WhatsApp

Wenn Sie uns per E-Mail, telefonisch oder über WhatsApp kontaktieren, verarbeiten wir die dabei übermittelten Daten (je nach Weg: Name, Telefonnummer, E-Mail-Adresse, Inhalt der Nachricht) zur Bearbeitung Ihres Anliegens. Rechtsgrundlage und Speicherdauer entsprechen 4.1.

Bei einer Kontaktaufnahme über WhatsApp verarbeitet zusätzlich WhatsApp Ireland Limited, Merrion Road, Dublin 4, Irland, als eigener Verantwortlicher Verkehrs- und Nutzungsdaten nach ihren eigenen Bestimmungen. Wir haben darauf keinen Einfluss. Wenn Sie das vermeiden möchten, nutzen Sie bitte E-Mail oder Telefon.

5. Mitgliedskonto

5.1 Registrierung und Bestätigung der E-Mail-Adresse

Für die Nutzung des Mitgliederbereichs ist ein Konto erforderlich. Bei der Registrierung erheben wir: Vorname, Nachname, E-Mail-Adresse und ein von Ihnen gewähltes Passwort. Das Passwort wird ausschließlich als kryptografischer Hash gespeichert; es ist für uns nicht lesbar. Ihr Benutzername wird automatisch erzeugt.

Nach der Registrierung senden wir eine E-Mail mit einem Bestätigungslink. Das Konto ist erst nach Bestätigung nutzbar. Damit stellen wir sicher, dass die angegebene Adresse tatsächlich Ihnen gehört.

Zweck: Einrichtung und Verwaltung Ihres Mitgliedskontos, Nachweis der Inhaberschaft der E-Mail-Adresse, Zugang zu Anmeldung und Teilnahmeübersicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsvertrags über den Mitgliederbereich).

5.2 Persönliche Angaben im Mitgliederformular

Im Mitgliederbereich führen wir ein Formular „Meine Daten“. Es ist in vier Abschnitte gegliedert. Die nachfolgende Tabelle nennt jedes Feld, ob eine Angabe erforderlich ist, und die jeweilige Rechtsgrundlage.

Abschnitt 1 — Persönliche Daten

Angabe	Pflicht	Zweck und Rechtsgrundlage
Vorname(n), Nachname(n)	ja	Zuordnung von Anmeldungen, Teilnahme und Rechnungen. Art. 6 Abs. 1 lit. b DSGVO
Geburtsdatum	ja	Eindeutige Zuordnung bei Namensgleichheit; Prüfung der Teilnahmevoraussetzungen. Art. 6 Abs. 1 lit. b DSGVO
Geburtsland	nein	Freiwillige Angabe. Art. 6 Abs. 1 lit. a DSGVO
Adresse, PLZ, Ort, Land	ja	Rechnungsstellung nach § 14 UStG. Art. 6 Abs. 1 lit. b und lit. c DSGVO
Telefon	ja	Erreichbarkeit bei Ausfall oder Änderung einer Stunde. Art. 6 Abs. 1 lit. b DSGVO
Yogaerfahrung	nein	Anpassung des Unterrichts. Art. 6 Abs. 1 lit. a DSGVO
Sprachen	nein	Unterricht in einer Sprache, die Sie verstehen. Art. 6 Abs. 1 lit. a DSGVO

Abschnitt 2 — Gesundheitliche Angaben

Diese Angaben sind Gesundheitsdaten und damit besondere Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO. Sie sind vollständig freiwillig. Wenn Sie sie nicht machen, können Sie den Unterricht gleichwohl besuchen; die Lehrkraft kann den Unterricht dann jedoch nicht auf gesundheitliche Einschränkungen abstimmen, von denen sie nichts weiß.

Angabe	Pflicht	Zweck und Rechtsgrundlage
Hinweis auf Krankheit, Verletzung oder Zustand, und die Erläuterung dazu	nein	Anpassung der Übungen, Vermeidung gesundheitlicher Schäden. Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung) i. V. m. Art. 6 Abs. 1 lit. a DSGVO und § 22 Abs. 1 Nr. 1 lit. a BDSG
Hinweis auf regelmäßige Medikamenteneinnahme, und die Erläuterung dazu	nein	wie vor
Bestätigung der eigenen Teilnahmefähigkeit	ja	Vertragliche Erklärung über Ihre Eigenverantwortung. Die Erklärung selbst ist kein Gesundheitsdatum. Art. 6 Abs. 1 lit. b DSGVO

Indem Sie eine gesundheitliche Angabe eintragen und speichern, erteilen Sie uns Ihre ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, diese Angabe zu den genannten Zwecken zu verarbeiten. Sie können diese Einwilligung jederzeit widerrufen, indem Sie das Feld im Mitgliederbereich leeren oder uns schreiben; bis zum Widerruf erfolgte Verarbeitungen bleiben rechtmäßig. Zur Aufbewahrung nach Beendigung der Mitgliedschaft siehe Abschnitt 7.

Wir treffen für diese Daten besondere Schutzmaßnahmen: sie sind nur für die unterrichtende Lehrkraft und die Studioleitung zugänglich, werden in Benachrichtigungen nie im Inhalt übertragen (siehe 5.5), und jeder Zugriff auf archivierte Angaben wird protokolliert (siehe 7.3).

Abschnitt 3 — Einwilligungen

Jede Angabe in diesem Abschnitt ist freiwillig. Eine verweigerte oder widerrufene Einwilligung hat keine Auswirkung auf Ihre Mitgliedschaft, auf Ihre Anmeldung zu Kursen oder auf die Nutzung des Mitgliederbereichs.

Angabe	Pflicht	Zweck und Rechtsgrundlage
Aufnahme in das Adressbuch des Studios (Microsoft Outlook)	nein	Erreichbarkeit per E-Mail und Telefon. Ohne diese Einwilligung werden Ihre Daten nicht an Microsoft übermittelt (siehe 8.1). Art. 6 Abs. 1 lit. a DSGVO
Aufzeichnung von Online-Kursen (Microsoft Teams / OneDrive)	nein	Dokumentation und spätere Verfügbarkeit einer Stunde. Die Teilnahme an einer Online-Stunde setzt diese Einwilligung nicht voraus (siehe 8.3). Art. 6 Abs. 1 lit. a DSGVO
Teilnahme an WhatsApp-Gruppen	nein	Organisation und kurzfristige Absprachen in der Gruppe. In einer Gruppe sind Ihr Name, Ihr Profilbild und Ihre Rufnummer für die übrigen Mitglieder sichtbar. Ihre Nummer wird außerdem im Adressbuch unseres Studio-Telefons gespeichert; WhatsApp gleicht dieses Adressbuch mit den Servern von Meta ab (siehe 8.2). Art. 6 Abs. 1 lit. a DSGVO
WhatsApp-Nummer	nein	nur bei erteilter Einwilligung zur WhatsApp-Gruppe. Art. 6 Abs. 1 lit. a DSGVO
Newsletter per E-Mail	nein	Versand von Informationen zu unserem Angebot. Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 7 Abs. 2 Nr. 2 UWG
Foto- und Videoaufnahmen	nein	siehe Abschnitt 10. Art. 6 Abs. 1 lit. a DSGVO

Abschnitt 4 — Eigenverantwortung

Angabe	Pflicht	Zweck und Rechtsgrundlage
Bestätigung der Verhaltensregeln im Unterricht	ja	Vertragliche Erklärung. Art. 6 Abs. 1 lit. b DSGVO

5.3 Archiv der Änderungen

Jede gespeicherte Fassung Ihrer Angaben wird archiviert — zusammen mit dem Zeitpunkt und mit dem Wortlaut, den das Formular zu diesem Zeitpunkt hatte. Das ist erforderlich, weil eine Erklärung nur dann etwas beweist, wenn auch feststeht, was Ihnen zum Zeitpunkt der Erklärung vorgelegt wurde; eine später umformulierte Frage würde eine frühere Antwort sonst rückwirkend verändern.

Zweck: Nachweis abgegebener Erklärungen und Einwilligungen (Art. 7 Abs. 1 DSGVO: wir müssen nachweisen können, dass eine Einwilligung erteilt wurde), sowie Abwehr möglicher Rechtsansprüche.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c und lit. f DSGVO; für gesundheitsbezogene Inhalte zusätzlich Art. 9 Abs. 2 lit. f DSGVO.

Speicherdauer: siehe Abschnitt 7.

5.4 Pflicht zur Überprüfung der Angaben

Bevor Sie den Mitgliederbereich erstmals nutzen können, und von Zeit zu Zeit erneut, bitten wir Sie, Ihre Angaben zu bestätigen oder zu aktualisieren. Solange das offen ist, wird der Mitgliederbereich nicht angezeigt; die öffentlichen Seiten dieser Website — Stundenplan, Aktivitäten, Termine — bleiben uneingeschränkt zugänglich.

Nach Art. 13 Abs. 2 lit. e DSGVO weisen wir darauf hin: die als Pflicht gekennzeichneten Angaben sind für die Durchführung des Mitgliedschaftsverhältnisses erforderlich. Ohne sie können wir den Mitgliederbereich nicht bereitstellen. Die in Abschnitt 2 und 3 genannten freiwilligen Angaben sind davon ausdrücklich nicht erfasst: sie können offen bleiben, ohne dass dies den Zugang einschränkt.

5.5 Benachrichtigungen an das Studio

Wenn Sie ein Konto anlegen, Ihre Angaben ändern, sich zu einem Kurs anmelden oder eine Anmeldung stornieren, erhält unser Studio-Postfach eine Benachrichtigung.

Diese Benachrichtigung nennt nur, welche Felder geändert wurden, nie deren Inhalt. Das ist eine bewusste Beschränkung: ein E-Mail-Postfach ist der eine Ort, den unsere Löschfristen nicht erreichen, und Gesundheitsangaben dürfen dort nicht landen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

6. Kursanmeldungen, Teilnahme und Zahlungen

Für die Durchführung Ihrer Mitgliedschaft verarbeiten wir:

Daten	Zweck	Rechtsgrundlage
Anmeldungen zu Aktivitäten und Terminen, Status der Anmeldung	Platzvergabe, Kapazitätsplanung	Art. 6 Abs. 1 lit. b DSGVO
Anwesenheit je Kurstermin	Abrechnung, Nachweis der erbrachten Leistung	Art. 6 Abs. 1 lit. b DSGVO
Zahlungen (Betrag, Datum, Zahlungsweg, offener Betrag)	Abrechnung, Buchführung	Art. 6 Abs. 1 lit. b und lit. c DSGVO
Rechnungen samt Name und Anschrift zum Zeitpunkt der Rechnungsstellung	Erfüllung der Rechnungs- und Aufbewahrungspflichten	Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 14 UStG, § 147 AO

Name und Anschrift werden in die Rechnung als Kopie übernommen. Diese Kopie bleibt auch dann erhalten, wenn Ihr Konto später gelöscht wird — eine Rechnung, deren Empfänger nachträglich entfernt wird, erfüllt die gesetzlichen Anforderungen nicht mehr.

Aufbewahrungsfristen:

Rechnungen und sonstige Buchungsbelege: 8 Jahre (§ 147 Abs. 3 Satz 1 AO, § 14b Abs. 1 UStG, jeweils in der seit 1. Januar 2025 geltenden Fassung).
Bücher, Aufzeichnungen und Jahresabschlüsse: 10 Jahre (§ 147 Abs. 1 Nr. 1, Abs. 3 Satz 1 AO).

Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem der letzte Eintrag erfolgt bzw. die Rechnung ausgestellt wurde. In der Praxis bewahren wir den gesamten Buchhaltungsbestand einheitlich zehn Jahre auf, da Rechnungen und Bücher bei uns nicht getrennt geführt werden und eine Trennung nach acht und zehn Jahren mehr Verarbeitung erfordern würde als sie erspart. Während dieser Zeit ist die Verarbeitung dieser Daten auf die Erfüllung der Aufbewahrungspflicht beschränkt (Art. 18 Abs. 1 lit. b, Abs. 2 DSGVO).

7. Löschung des Kontos und Aufbewahrung der Gesundheitsangaben

7.1 Was gelöscht wird

Sie können Ihr Konto jederzeit selbst löschen. Dabei werden gelöscht: Ihr Benutzerkonto, Ihre Zugangsdaten und sämtliche in Abschnitt 5.2 aufgeführten Angaben, soweit sie in Ihrem Profil gespeichert sind. Ihre Angaben sind damit in allen Ansichten dieser Website — Mitgliederbereich, Lehrkraftansicht, Exporte — nicht mehr vorhanden.

Bestehen zu Ihrer Person keine Zahlungs- oder Rechnungsdaten und keine archivierten Erklärungen, wird alles ohne Ausnahme gelöscht.

7.2 Was aufbewahrt wird, und warum

Zwei Gruppen von Daten werden nicht gelöscht, sondern in der Verarbeitung eingeschränkt (gesperrt):

Rechnungs- und Zahlungsdaten — für die in Abschnitt 6 genannten gesetzlichen Fristen. Rechtsgrundlage: Art. 17 Abs. 3 lit. b DSGVO.

Gesundheitsangaben, Einwilligungen und die zu ihrer Zuordnung erforderlichen Angaben (Name, Geburtsdatum) — für 30 Jahre. Nach § 199 Abs. 2 BGB kann ein Schadensersatzanspruch wegen der Verletzung des Lebens, des Körpers, der Gesundheit oder der Freiheit bis zu 30 Jahre nach dem schädigenden Ereignis geltend gemacht werden. Müssten wir uns gegen einen solchen Anspruch verteidigen, wäre Ihre eigene damalige Erklärung über Ihren Gesundheitszustand und Ihre Teilnahmefähigkeit das entscheidende Beweismittel. Art. 17 Abs. 3 lit. e DSGVO nimmt die Verarbeitung, die zur Verteidigung von Rechtsansprüchen erforderlich ist, ausdrücklich von der Löschpflicht aus; für Gesundheitsdaten liefert Art. 9 Abs. 2 lit. f DSGVO die dafür erforderliche Erlaubnis.

Die Frist läuft ab Ihrer letzten besuchten Stunde — dem letzten Zeitpunkt, zu dem ein solches Ereignis überhaupt eingetreten sein könnte. Danach werden die Daten automatisch und endgültig gelöscht.

7.3 Was „gesperrt“ konkret bedeutet

Während dieser Zeit gilt:

Die Daten werden zu keinem anderen Zweck verwendet als zur Abwehr von Rechtsansprüchen.
Sie sind im normalen Betrieb für Lehrkräfte und Mitarbeitende nicht sichtbar und erscheinen in keiner Liste, keinem Export und keiner Auswertung.
Es gibt genau einen Zugriffsweg, der ausschließlich der Studioleitung offensteht. Jeder Zugriff wird protokolliert — mit Zeitpunkt, zugreifender Person und gesuchtem Namen, auch dann, wenn die Suche nichts gefunden hat. Dieses Protokoll kann nicht geändert und nicht gelöscht werden.
Sie behalten Ihr Auskunftsrecht nach Art. 15 DSGVO auch für diese Daten.

Bevor Sie die Löschung bestätigen, wird Ihnen dieser Sachverhalt noch einmal gesondert angezeigt. Auch diese Anzeige wird in der Fassung archiviert, in der Sie sie gesehen haben.

8. Das Adressbuch des Studios

8.1 Abgleich mit Microsoft Outlook

Wir führen das Adressbuch des Studios in Microsoft Outlook, damit Mitglieder auf dem Gerät erreichbar sind, über das wir die WhatsApp-Gruppen betreuen.

Das geschieht nur mit Ihrer Einwilligung. Ohne die Einwilligung „Aufnahme in das Adressbuch des Studios“ wird zu Ihrer Person nichts an Microsoft übermittelt; widerrufen Sie sie später, wird der bereits angelegte Kontakt gelöscht und nicht nur nicht mehr aktualisiert. Ihr Mitgliedskonto, Ihre Anmeldungen und der gesamte Mitgliederbereich funktionieren davon unabhängig weiter.

Mit Ihrer Einwilligung übertragen wir aus Ihrem Profil:

Vor- und Nachname
E-Mail-Adresse
Telefonnummer nur dann, wenn Sie der Teilnahme an WhatsApp-Gruppen zugestimmt und eine Nummer angegeben haben

Widerrufen Sie diese Einwilligung, wird die Nummer im bestehenden Kontakt gelöscht, nicht nur künftig nicht mehr aktualisiert. Löschen Sie Ihr Konto, wird der Kontakt in Outlook gelöscht.

Die Übertragung erfolgt ausschließlich server-zu-server über die Microsoft Graph-Schnittstelle. Es wird dabei kein Skript in Ihrem Browser geladen und kein Cookie gesetzt.

Empfänger: Microsoft, über ein privates Microsoft-Konto (Outlook.com). Microsoft handelt dabei nicht als unser Auftragsverarbeiter, sondern als eigener Verantwortlicher auf Grundlage des Microsoft-Servicevertrags und der Microsoft-Datenschutzerklärung. Das bedeutet: Microsoft bestimmt selbst, zu welchen weiteren Zwecken es die Daten seiner Dienste verarbeitet — etwa zum Betrieb und zur Verbesserung der Dienste und zur Sicherheit —, und wir können das vertraglich nicht einschränken. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht für dieses Konto nicht.

Wir nennen das hier ausdrücklich, weil Sie es wissen müssen, bevor Sie die Einwilligung erteilen. Wenn Sie das nicht möchten, erteilen Sie sie nicht: Ihr Konto und Ihre Kursanmeldungen funktionieren unverändert weiter, und wir erreichen Sie über die E-Mail-Adresse Ihres Kontos.

Weitere Informationen: https://privacy.microsoft.com/de-de/privacystatement

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Name und E-Mail-Adresse (Durchführung des Mitgliedschaftsverhältnisses), Art. 6 Abs. 1 lit. a DSGVO für die Telefonnummer.

Drittlandübermittlung: Microsoft verarbeitet Daten auch außerhalb der EU. Grundlage sind der Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 zum EU-US Data Privacy Framework, für das die Microsoft Corporation zertifiziert ist, sowie ergänzend Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

8.2 Vom Adressbuch zu WhatsApp

Das Adressbuch aus Abschnitt 8.1 liegt auf dem Telefon, mit dem wir die WhatsApp-Gruppen betreuen. WhatsApp liest das Adressbuch dieses Telefons und gleicht die darin enthaltenen Rufnummern mit den Servern von Meta ab. Das geschieht unabhängig davon, ob Sie tatsächlich einer Gruppe hinzugefügt werden: sobald Ihre Nummer im Adressbuch steht, erhält Meta sie.

Empfänger: WhatsApp Ireland Limited, Merrion Road, Dublin 4, Irland, als eigener Verantwortlicher und nach ihren eigenen Bestimmungen. Darauf haben wir keinen Einfluss.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — Ihre Einwilligung zur Teilnahme an WhatsApp-Gruppen. Ohne diese Einwilligung wird Ihre Nummer gar nicht erst in das Adressbuch übernommen, und WhatsApp erhält sie von uns nicht.

Widerruf: Sie können die Einwilligung jederzeit widerrufen; Ihre Nummer wird dann aus dem Kontakt und damit aus dem Adressbuch entfernt. Was Meta bereits erhalten hat, können wir jedoch nicht zurückholen — dafür gelten allein die Bestimmungen von WhatsApp, an die Sie sich unmittelbar wenden müssen.

Wenn Sie am Unterricht teilnehmen möchten, ohne dass Meta Ihre Nummer erhält, erteilen Sie diese Einwilligung einfach nicht. Sie erreichen uns weiterhin per E-Mail und Telefon, und wir erreichen Sie ebenso.

8.3 Online-Kurse (Microsoft Teams) und Aufzeichnungen (OneDrive)

Online-Kurse und -Besprechungen führen wir über Microsoft Teams durch; die zugehörige Dateiablage ist Microsoft OneDrive.

Rechtsgrundlage für die Durchführung einer Online-Stunde, an der Sie teilnehmen möchten, ist Art. 6 Abs. 1 lit. b DSGVO: Sie haben die Stunde gebucht, und Teams ist das Mittel, mit dem wir sie erbringen. Dafür brauchen wir keine Einwilligung, und wir verlangen auch keine — eine Einwilligung, ohne die Sie die gebuchte Leistung nicht erhalten, wäre nicht freiwillig (Art. 7 Abs. 4 DSGVO).

Rechtsgrundlage für eine Aufzeichnung ist dagegen Art. 6 Abs. 1 lit. a DSGVO — Ihre gesonderte Einwilligung. Sie können an einer Online-Stunde teilnehmen, ohne sie zu erteilen; dann zeichnen wir Sie nicht auf, oder die Aufzeichnung wird nicht verwendet. Der Widerruf gilt für die Zukunft.

Aufzeichnungen können Bild und Ton von Ihnen enthalten. Wir bewahren sie nur so lange auf, wie der Zweck es erfordert, für den sie entstanden sind.

9. Empfänger und interne Werkzeuge

Über die in den Abschnitten 3 bis 8 genannten Stellen hinaus geben wir personenbezogene Daten nur weiter, soweit dies unten aufgeführt ist oder wir gesetzlich dazu verpflichtet sind.

Empfänger	Rolle	Erhält	Drittland
Hostinger International Ltd., Kaunas, Litauen	Auftragsverarbeiter (Hosting, E-Mail-Versand)	Server-Logfiles, sämtliche auf der Website gespeicherten Daten, ausgehende E-Mails	nein (EU)
Cloudflare, Inc., San Francisco, USA	eigener Verantwortlicher bzw. Auftragsverarbeiter für den Bot-Schutz	IP-Adresse, Geräte- und Browsersignale auf den in 3.4 genannten Seiten	ja — EU-US DPF, SCC
Microsoft (privates Microsoft-Konto)	eigener Verantwortlicher, kein Auftragsverarbeiter	Name, E-Mail, ggf. Telefonnummer — nur bei erteilter Einwilligung	ja — EU-US DPF
WhatsApp Ireland Limited, Dublin, Irland	eigener Verantwortlicher	Ihre Rufnummer aus dem Adressbuch unseres Telefons, sowie Name und Profilbild innerhalb einer Gruppe — nur bei erteilter Einwilligung	ja — nach Maßgabe des Anbieters
Steuerberatung und ggf. Finanzbehörden	gesetzliche Pflicht bzw. Auftragsverarbeitung	Rechnungs- und Zahlungsdaten	nein

Zur internen Verwaltung nutzen wir außerdem zwei Microsoft-Dienste: Microsoft Teams für Online-Kurse und Besprechungen und Microsoft OneDrive für die Dateiablage, in der Teams seine Inhalte speichert. Dort verarbeitete personenbezogene Daten sind Kundenstammdaten, Zahlungsinformationen und Fotos. Google Drive und Google Meet werden nicht mehr eingesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für Fotos und Aufzeichnungen Art. 6 Abs. 1 lit. a DSGVO. Auch diese Dienste laufen über dasselbe private Microsoft-Konto; Microsoft ist daher auch hier eigener Verantwortlicher und nicht unser Auftragsverarbeiter, und ein Vertrag nach Art. 28 DSGVO besteht nicht. Für die Übermittlung in die USA gilt der Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 zum EU-US Data Privacy Framework, für das die Microsoft Corporation zertifiziert ist.

Gesundheitsangaben werden in diesen Diensten nicht abgelegt. Sie verbleiben ausschließlich in der Datenbank dieser Website und unterliegen den in 5.2 und 7.3 beschriebenen Beschränkungen. Das gilt auch für Angaben, die uns auf anderem Weg erreichen: Erhalten wir eine gesundheitsbezogene Mitteilung per E-Mail oder Nachricht, wird sie nicht in eine Cloud-Ablage übernommen.

10. Foto- und Videoaufnahmen

Bei unseren Aktivitäten entstehen Fotos und Videos, die wir zur Dokumentation und zur Öffentlichkeitsarbeit verwenden — auf dieser Website, in sozialen Netzwerken und in Informationsmaterial.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Diese Einwilligung ist freiwillig und kann jederzeit für die Zukunft widerrufen werden — per E-Mail an die in Abschnitt 1 genannte Adresse oder durch Entfernen des Hakens im Mitgliederformular. Nach einem Widerruf verwenden wir die betreffenden Aufnahmen nicht weiter und entfernen sie, soweit uns das möglich ist, aus unseren eigenen Veröffentlichungen.

Wer nicht aufgenommen werden möchte, wird nicht absichtlich fotografiert oder gefilmt. Erscheint jemand unbeabsichtigt auf einer Aufnahme, wird diese nicht verwendet oder das Gesicht unkenntlich gemacht.

Wir weisen ausdrücklich darauf hin: bei einer Veröffentlichung in sozialen Netzwerken (Instagram, Facebook) wird die Aufnahme an den jeweiligen Anbieter übertragen und von diesem nach dessen eigenen Bestimmungen verarbeitet, auch außerhalb der EU. Auf die weitere Verbreitung durch Dritte haben wir keinen Einfluss.

11. Speicherdauern im Überblick

Daten	Speicherdauer
Server-Logfiles	7 Tage
Cookie-Einwilligung	365 Tage, Widerruf jederzeit
Kontaktformular und sonstige Anfragen	bis zur Erledigung, spätestens 6 Monate; als Geschäftsbrief 6 Jahre (§ 147 AO)
Mitgliedskonto und Profilangaben	bis zur Löschung des Kontos durch Sie oder bis zum Ende der Mitgliedschaft
Anmeldungen und Anwesenheit	bis zur Löschung des Kontos, sofern keine Zahlungsdaten bestehen
Rechnungen und Buchungsbelege	8 Jahre (§ 147 Abs. 3 AO, § 14b UStG)
Bücher und Jahresabschlüsse	10 Jahre (§ 147 Abs. 1 Nr. 1 AO)
Gesundheitsangaben und Einwilligungen nach Kontolöschung	30 Jahre ab der letzten besuchten Stunde (§ 199 Abs. 2 BGB), in der Verarbeitung eingeschränkt
Protokoll der Zugriffe auf gesperrte Datensätze	unbefristet — es muss die Datensätze überdauern, die es dokumentiert; es enthält selbst keine Gesundheitsdaten

12. Ihre Rechte

Sie haben uns gegenüber folgende Rechte:

Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO), soweit keiner der in Art. 17 Abs. 3 DSGVO genannten Gründe entgegensteht — zu den beiden Fällen, in denen das bei uns zutrifft, siehe Abschnitt 7
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit in einem strukturierten, gängigen und maschinenlesbaren Format (Art. 20 DSGVO)
Widerruf einer Einwilligung jederzeit und mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO). Der Widerruf ist so einfach wie die Erteilung: Haken im Mitgliederformular entfernen oder uns eine E-Mail schreiben. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.
Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)

Wenden Sie sich für die Ausübung dieser Rechte an die in Abschnitt 1 genannten Kontaktdaten. Wir antworten innerhalb eines Monats.

Widerspruchsrecht nach Art. 21 DSGVO

Soweit wir Ihre Daten auf Grundlage eines berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO verarbeiten, haben Sie das Recht, dieser Verarbeitung jederzeit zu widersprechen — aus Gründen, die sich aus Ihrer besonderen Situation ergeben. Wir verarbeiten die Daten dann nicht weiter, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Ein Widerspruch genügt in Textform an die in Abschnitt 1 genannte E-Mail-Adresse; eine Begründung hilft uns bei der Abwägung, ist aber für die Wirksamkeit nicht erforderlich.

Zuständige Aufsichtsbehörde

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit
Baden-Württemberg
Lautenschlagerstraße 20
70173 Stuttgart
Telefon: +49 711 615541-0
E-Mail: poststelle@lfdi.bwl.de
https://www.baden-wuerttemberg.datenschutz.de

Sie können sich unabhängig davon auch an die Aufsichtsbehörde Ihres Wohnsitzes oder Arbeitsplatzes wenden.

13. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung im Einzelfall einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Wir bewerten Sie nicht automatisiert, erstellen keine Nutzungsprofile und setzen keine Werbe- oder Analyse-Technologien ein.

14. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich die beschriebene Verarbeitung ändert. Maßgeblich ist die jeweils hier veröffentlichte Fassung; das Datum oben nennt ihren Stand. Bei Änderungen, die eine Einwilligung betreffen, fragen wir diese erneut ab und verlassen uns nicht auf die frühere.

15. Sprachfassungen

Diese Datenschutzerklärung liegt in deutscher, spanischer und englischer Sprache vor. Rechtlich verbindlich ist ausschließlich die deutsche Fassung.