Datenschutzerklärung

1. Verantwortliche Stelle

Jeannette Witte

Holistic Momentum

Bölschestraße 99

12587 Berlin

E-Mail: hallo@holistic-momentum.de

2. Hosting & Server-Logs (Vercel)

Diese Website wird bei der Vercel Inc. (USA) gehostet; unsere Serverless-Funktionen werden gemäß Projektkonfiguration in der EU-Region Frankfurt (fra1) ausgeführt. Statische Assets werden über das globale Edge-Netz ausgeliefert. Vercel verarbeitet die Daten in unserem Auftrag und stellt die notwendige Infrastruktur für den Betrieb der Seite bereit.

Beim Aufruf unserer Seiten werden automatisch technisch notwendige Daten verarbeitet, um die Inhalte auszuliefern und die Sicherheit zu gewährleisten:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit der Serveranfrage
• Browsertyp, Browserversion sowie verwendetes Betriebssystem
• URL der abgerufenen Seite und zuvor besuchte Seite (Referrer)
• Grundlegende Fehler- und Leistungsdaten

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, da sie zur sicheren und stabilen Bereitstellung der Website erforderlich ist. Vercel speichert Server-Logs in der Regel für maximal 30 Tage und löscht sie anschließend automatisch.

Wir haben mit Vercel einen Vertrag zur Auftragsverarbeitung einschließlich Standardvertragsklauseln geschlossen. Die Primärverarbeitung erfolgt in der EU-Region Frankfurt; nur in Fehlersituationen oder für Support kann eine Übermittlung in die USA erforderlich sein.

3. Cookies & lokale Speicherung von Einstellungen

Wir verwenden nur wenige Cookies und vergleichbare Technologien, die für den Betrieb der Website oder die Speicherung deiner Einwilligungen notwendig sind. Soweit nicht technisch erforderlich, setzen wir Cookies/Local-Storage nur mit Einwilligung gemäß § 25 TTDSG/TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO ein.

• analytics-consent (Cookie, Laufzeit: 12 Monate): Speichert, ob du der Nutzung von Analyse-Cookies zugestimmt oder widersprochen hast.
• cookie-consent (LocalStorage, ohne automatische Ablaufzeit): Merkt sich lokal in deinem Browser, welche Auswahl du im Cookie-Banner getroffen hast.
• Essenzielle Sitzungs-Cookies zur Anmeldung im Mitgliederbereich (siehe Abschnitt 8). Diese sind HTTP-only, sicher verschlüsselt und werden nach Ende der Sitzung oder nach Ablauf (7 Tage) automatisch entfernt.

Du kannst Cookies jederzeit über die Einstellungen deines Browsers löschen. Deine Einwilligung für optionale Dienste lässt sich jederzeit über das Cookie-Banner widerrufen.

4. Webanalyse und Performance-Monitoring mit Vercel

Soweit du im Cookie-Banner zustimmst, setzen wir Vercel Analytics und Vercel Speed Insights ein, Dienste der Vercel Inc., um die Nutzung der Website auszuwerten, Inhalte zu optimieren und die Performance zu überwachen.

Diese Dienste arbeiten cookielos, pseudonymisieren die Daten jedoch durch Hashing. Erfasst werden insbesondere:

• besuchte Seiten, Klickpfade und Verweildauer
• ungefähre Geolokation (Land/Stadt) und Spracheinstellungen, abgeleitet aus der IP-Adresse
• Geräte- und Browserinformationen
• Referrer-URLs
• Performance-Metriken wie Ladezeiten, Core Web Vitals (LCP, FID, CLS) und Rendering-Geschwindigkeit

Vercel Web Analytics und Speed Insights arbeiten cookielos und mit anonymisierten/aggregierten Kennwerten; es findet keine dauerhafte Speicherung personenbezogener Sitzungsdaten statt.

Wir haben mit Vercel Standardvertragsklauseln abgeschlossen und zusätzliche Schutzmaßnahmen vereinbart.

5. Terminbuchung über Koalendar

Für die Online-Terminvereinbarung binden wir per iFrame den Dienst Koalendar (Koalendar Inc., Montreal, Kanada) ein. Wenn du einen Termin auswählst, werden deine Eingaben direkt an Koalendar übermittelt.

Koalendar verarbeitet je nach Formular insbesondere:

• Name
• E-Mail-Adresse und ggf. Telefonnummer
• Ausgewählter Termin, Zeitzone und organisatorische Hinweise
• freiwillige Nachrichten oder Fragen, die du im Formular angibst

Die Datenverarbeitung dient der Vorbereitung und Durchführung von Beratungen (Art. 6 Abs. 1 lit. b DSGVO) sowie – bei freiwilligen Angaben – deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Übermittlung nach Kanada erfolgt auf Grundlage der Angemessenheitsentscheidung der EU-Kommission (Art. 45 DSGVO). Etwaige Weiterübermittlungen in die USA stützen wir auf EU-Standardvertragsklauseln bzw. – soweit anwendbar – das EU-US Data Privacy Framework.

Du kannst Termine alternativ auch per E-Mail oder Telefon abstimmen, wenn du keine Daten an Koalendar übermitteln möchtest.

6. Kontaktaufnahme per E-Mail oder Telefon

Wenn du uns per E-Mail, Telefon oder über andere Kommunikationswege kontaktierst, verarbeiten wir deine Angaben zur Bearbeitung der Anfrage.

• Name und Anrede (falls angegeben)
• Kontaktinformationen (z. B. E-Mail-Adresse, Telefonnummer)
• Inhalt deiner Nachricht sowie ggf. anhängige Dokumente

Die Verarbeitung erfolgt je nach Anliegen zur Vertragserfüllung oder -anbahnung (Art. 6 Abs. 1 lit. b DSGVO) bzw. auf Grundlage unseres berechtigten Interesses an einer effizienten Kommunikation (Art. 6 Abs. 1 lit. f DSGVO). Korrespondenz wird in der Regel nach Abschluss des Vorgangs und Ablauf gesetzlicher Aufbewahrungsfristen gelöscht.

7. Newsletter & Versanddienstleister (Resend)

Du kannst unseren Newsletter abonnieren, um regelmäßig Impulse und Neuigkeiten zu erhalten. Die Anmeldung erfolgt im Double-Opt-In-Verfahren.

Zu diesem Zweck verarbeiten wir:

• E-Mail-Adresse (Pflichtfeld)
• Vor- und Nachname (optional, zur persönlichen Ansprache)
• Status der Anmeldung (pending/confirmed/unsubscribed)
• Bestätigungs- und Abmeldezeitpunkte sowie ein technisches Bestätigungstoken (Gültigkeit: 48 Stunden)

Die Daten speichern wir in unserer PostgreSQL-Datenbank bei Neon (siehe Abschnitt 10). Der Versand der E-Mails erfolgt über den Dienstleister Resend, Inc.; unsere Instanz läuft im EU-Rechenzentrum (Region eu-west-1, Irland). Resend erhält deine E-Mail-Adresse und (falls angegeben) deinen Namen, um die Aussendungen in unserem Auftrag vorzunehmen.

Rechtsgrundlage ist deine Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Du kannst sie jederzeit per Abmeldelink oder Nachricht an uns widerrufen. Nach dem Widerruf speichern wir Nachweise über die erteilte Einwilligung maximal drei Jahre, um rechtliche Ansprüche nach Art. 6 Abs. 1 lit. f DSGVO nachweisen zu können.

Resend ist zudem nach dem EU-US Data Privacy Framework zertifiziert.

8. Mitgliederbereich & Authentifizierung

Der geschützte Mitgliederbereich nutzt eine selbst-gehostete Authentifizierungslösung (Better Auth) in Kombination mit unserer PostgreSQL-Datenbank bei Neon (EU-Rechenzentrum Frankfurt). Alle Authentifizierungsdaten werden ausschließlich innerhalb der EU verarbeitet und gespeichert.

Für die Anmeldung und Nutzerverwaltung verarbeiten wir:

• E-Mail-Adresse und Name, die du bei der Registrierung angibst
• Passwörter in sicher gehashter Form (Argon2id-Algorithmus) – wir speichern niemals Klartextpasswörter
• Sitzungsinformationen wie Login-Zeitpunkte, IP-Adresse und Browser-Informationen für Sicherheitszwecke
• Berechtigungen und Rollen (z. B. Mitglied, Administrator:in) zur Zugriffskontrolle
• Optionale Profilangaben wie Profilbild, falls du diese hinterlegst

Zur Aufrechterhaltung deiner Sitzung setzen wir essenzielle, sichere Cookies ein (HTTP-only, verschlüsselt). Diese Cookies sind technisch notwendig für die Nutzung des Mitgliederbereichs und enthalten keine personenbezogenen Daten im Klartext.

Die Authentifizierungsinfrastruktur läuft vollständig auf unserer eigenen Vercel-Instanz (EU-Region Frankfurt) und nutzt unsere Neon-Datenbank (ebenfalls EU-Region Frankfurt). Es erfolgt keine Weitergabe von Authentifizierungsdaten an externe Drittanbieter.

Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags) sowie unser berechtigtes Interesse an einer sicheren Authentifizierung (Art. 6 Abs. 1 lit. f DSGVO). Kontodaten werden so lange gespeichert, wie du ein Benutzerkonto bei uns führst; nach Löschung deines Kontos werden alle personenbezogenen Daten innerhalb von 30 Tagen vollständig gelöscht.

9. Bereitstellung von Video- & Audio-Inhalten (Cloudflare Stream & R2)

Video-Lektionen stellen wir über Cloudflare Stream und Audio-Inhalte über Cloudflare R2 bereit. Anbieter ist die Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. Cloudflare handelt als Auftragsverarbeiter und stellt weltweit verteilte Content-Delivery-Netzwerke bereit.

Bei der Nutzung dieser Inhalte verarbeitet Cloudflare insbesondere:

• IP-Adresse, Zeitzone, Browser- und Geräteinformationen für die Auslieferung der Streams
• Sicherheits- und Leistungsdaten (z. B. Fehlercodes, Pufferungsdauer, abgerufene Inhalte)
• Zugriffstoken, die wir serverseitig erzeugen, um Inhalte nur berechtigten Mitgliedern bereitzustellen

Audio-Dateien werden verschlüsselt in Cloudflare R2 (S3-kompatibler Speicher) in EU-Rechenzentren gespeichert. Cloudflare Stream nutzt ein globales Edge-Netz; eine reine EU-Verarbeitung ist nur mit Cloudflares Data Localization Suite/Regional Services (Enterprise) möglich.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der gebuchten Leistungen) sowie Art. 6 Abs. 1 lit. f DSGVO (sichere und effiziente Auslieferung). Wir haben mit Cloudflare ein Data Processing Addendum inklusive Standardvertragsklauseln abgeschlossen.

10. Datenbank & Infrastruktur (Neon)

Unsere Kernanwendungen nutzen eine PostgreSQL-Datenbank, die von Neon Inc. in unserem gewählten EU-Rechenzentrum (AWS Europe Central 1, Frankfurt am Main) betrieben wird.

In dieser Datenbank speichern wir nur die Daten, die für unsere Angebote notwendig sind, z. B.:

• Benutzerkonten mit E-Mail, Namen und verschlüsselten Passwörtern
• Aktive Sitzungen und Sicherheitsinformationen
• Newsletter-Abonnements mit Status- und Zeitstempeln
• Verwaltung von Video- und Meditationsinhalten (Metadaten)
• Administrative Informationen zu Kategorien und Kursinhalten

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (vertragliche Leistungserbringung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer professionellen Infrastruktur). Die Speicherung erfolgt ausschließlich innerhalb der EU; für eventuellen Supportzugriff aus Drittstaaten bestehen EU-Standardvertragsklauseln und strenge Zugriffsbeschränkungen.

11. Eingesetzte Dienstleister & Empfänger

Wir geben personenbezogene Daten nur an Dienstleister weiter, die diese Daten weisungsgebunden für uns verarbeiten. Dazu zählen insbesondere:

• Vercel (EU-Region Frankfurt) – Hosting, Bereitstellung der Webanalyse und Performance-Monitoring
• Neon (EU-Region Frankfurt) – Datenbankhosting für Authentifizierung, Newsletter und Inhaltsdaten
• Cloudflare Inc. (USA/EU) – Video-Streaming, Speicherdienst für Audio
• Resend (EU-Region Irland) – Versand von Newsletter- und System-E-Mails
• Koalendar Inc. (Kanada/USA) – Online-Terminbuchungen

Mit allen Dienstleistern bestehen Verträge zur Auftragsverarbeitung, die den datenschutzkonformen Umgang mit deinen Daten sicherstellen.

12. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für den jeweiligen Zweck erforderlich ist oder wir gesetzlichen Aufbewahrungspflichten unterliegen.

• Vertrags- und Abrechnungsunterlagen: gemäß § 147 AO bzw. § 257 HGB bis zu 10 Jahre
• Kontaktanfragen: bis zur endgültigen Bearbeitung und maximal 12 Monate danach
• Newsletter-Daten: bis zum Widerruf der Einwilligung, Dokumentation der Einwilligung bis zu 3 Jahre
• Server-Logs und Sicherheitsprotokolle: in der Regel maximal 30 Tage
• Authentifizierungs- und Sitzungsdaten: aktive Sitzungen bis zu 7 Tage, abgelaufene Sitzungen werden automatisch gelöscht

Nach Wegfall des jeweiligen Zwecks oder Ablauf der gesetzlichen Fristen werden die Daten gelöscht oder anonymisiert.

13. Deine Rechte

Du hast jederzeit das Recht, folgende Betroffenenrechte geltend zu machen:

• Auskunft über die gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger oder unvollständiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) bzw. Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Datenverarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Datenschutzaufsichtsbehörde (Art. 77 DSGVO)

Schreibe uns gern an hallo@holistic-momentum.de, wenn du eines deiner Rechte wahrnehmen möchtest.

14. Datenübermittlung in Drittstaaten & Schutzmaßnahmen

Einige der genannten Dienstleister haben ihren Unternehmenssitz außerhalb der EU/des EWR. Bei Vercel laufen unsere Serverless-Funktionen in der EU-Region Frankfurt (fra1); die statische Auslieferung erfolgt global über Edge-Standorte. USA-Zugriffe können im Supportfall oder im Rahmen globaler Edge-Caches anfallen. Cloudflare Stream kann ohne Data Localization Suite global verarbeiten. Für entsprechende Datentransfers nutzen wir EU-Standardvertragsklauseln und – soweit anwendbar – das EU-US Data Privacy Framework sowie zusätzliche technische und organisatorische Maßnahmen (u. a. Verschlüsselung, rollenbasierte Zugriffe).

15. Änderung der Datenschutzerklärung

Diese Datenschutzerklärung wird bei Bedarf aktualisiert, insbesondere wenn wir neue Funktionen oder Dienstleister einsetzen. Bitte informiere dich regelmäßig über den aktuellen Stand.

Stand: Oktober 2025