Datenschutzerklärung

Verantwortlicher

Verantwortlicher für die Datenverarbeitung ist:

Martin Zinner
Oertzweg 43
22307 Hamburg
Deutschland
E-Mail: mail@martinzinner.com

1. Pseudonymisierte Datenerhebung für Website-Analytics

Unsere Website funktioniert pseudonymisiert im Sinne einer faktischen Anonymisierung, da keine Re-Identifikation möglich ist - wir erheben keine personenbezogenen Daten wie Namen, E-Mail-Adressen oder Kontaktdaten für Analytics-Zwecke.

1.1 Welche Daten sammeln wir?

Wir erheben ausschließlich ohne direkten Personenbezug:

• Website-Nutzung: Besuchte Seiten, Verweildauer, Scroll-Verhalten
• Grobe technische Parameter: Browser-Name (z.B. "Firefox"), Betriebssystem (z.B. "macOS"), Bildschirmauflösung (z.B. "1900x1200"), Sprache (z.B. "en-US"), Zeitzone (z.B. "Europe/Berlin"), Geräteart (mobil/desktop)
• Pseudonyme Benutzer-ID / Hash: Zur technischen Analyse erstellen wir aus den groben, nicht eindeutigen Browsermerkmalen (z. B. Sprache, Betriebssystem, Bildschirmauflösung, Zeitzone) sowie User-Agent (z.B. Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:121.0) Gecko/20100101 Firefox/121.0 ) und dem aktuellen Datum einen täglich rotierenden Hash (z.B. "6845e0674aaa2139b4").
  
  Diese Hashes sind nicht rückrechenbar und erlauben keine geräteübergreifende oder Wiedererkennung über mehrere Tage. Es erfolgt keine Speicherung von IP-Adressen, Cookies oder LocalStorage für Analytics-Zwecke. Die Verarbeitung dient ausschließlich der aggregierten Auswertung (Performance, UX, Missbrauchserkennung).
• Zeitstempel: Wann die Website besucht wurde
• Referrer-Daten: Von welcher Website Sie kommen. Referrer-URLs werden vor Speicherung automatisch bereinigt (Entfernung bekannter Tracking-Parameter wie utm_*, gclid, fbclid u. a.).
• Ungefährer Standort (Land/Region): Wird durch unseren Hosting-Provider (Vercel) aus der IP-Adresse abgeleitet (z.B. "DE / HH"); die IP-Adresse selbst wird dabei nicht gespeichert.

Rechtsgrundlage technische Parameter: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit, Stabilität und Optimierung der Website).

1.2 Zwecke der Datenverarbeitung

Die Speicherung erfolgt ausschließlich zur aggregierten technischen Auswertung von Nutzungsmustern, z. B. zur Optimierung der Website-Performance, Benutzerfreundlichkeit und Missbrauchserkennung:

• Verbesserung der Website-Benutzerfreundlichkeit
• Technische Optimierung der Website-Performance
• Missbrauchserkennung
• Technische Sicherheit und Betrieb der Website
• Statistische Analysen (aggregiert, ohne Personenbezug)

Eine Profilbildung, geräteübergreifende Wiedererkennung oder sonstige Form des Trackings findet nicht statt. Dadurch bleibt die Nutzung vollständig anonym im Sinne der aggregierten Statistik.

Profiling/Automatisierte Entscheidungen: Es findet keine automatisierte Entscheidungsfindung / kein Profiling mit rechtlichen Wirkungen gemäß Art. 22 DSGVO statt.

1.3 Rechtsgrundlage für Analytics-Daten

Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse)
Unser berechtigtes Interesse liegt in der Bereitstellung und kontinuierlichen Verbesserung der Website.

Keine Datenzusammenführung: Es findet keine Zusammenführung dieser pseudonymen Daten mit anderen Datenquellen oder personenbezogenen Informationen statt.

2. Terminvereinbarung, Online-Zahlung und Mitgliederbereich

Wenn Sie über unser Online-Terminbuchungsformular einen Termin vereinbaren oder direkten Kontakt aufnehmen, werden folgende Daten verarbeitet:

2.1 Welche Daten sammeln wir bei der Terminbuchung?

• Kontaktdaten: Vor- und Nachname, E-Mail-Adresse, Telefonnummer
• Termindaten: Gewählte Terminart, Datum und Uhrzeit, Dauer
• Nachricht (freiwillig): Ihre Nachricht zum Termin. Das Feld ist optional; Angaben zu Ihrem Anliegen können Gesundheitsdaten im Sinne von Art. 9 DSGVO sein — hierfür holen wir Ihre ausdrückliche Einwilligung ein (Abschnitt 2.3).
• Technische Daten: Zeitstempel der Buchung, Terminverfügbarkeit
• Zahlungsdaten: Gewählte Zahlungsart, fälliger Betrag, ggf. verwendete Guthabenminuten. Kartendaten werden ausschließlich von Stripe verarbeitet (Abschnitt 2.5).
• Interne Notizen zum Termin: Vermerke, die wir zum einzelnen Termin festhalten (z. B. Stornierungs- und Guthabenvermerke, organisatorische Hinweise) — nur für uns sichtbar.

2.2 Zwecke der Datenverarbeitung bei Terminbuchung

• Terminverwaltung: Durchführung und Verwaltung Ihres gebuchten Termins
• Terminbestätigung: Versendung einer Bestätigungsmail mit Termindetails
• Kalenderintegration: Eintragung in den Terminkalender
• Kommunikation: Kontaktaufnahme vor dem Termin (z.B. Zoom-Link)
• Stornierungsmöglichkeit: Bereitstellung von Stornierungslinks

2.3 Rechtliche Grundlage Terminbuchung

Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) - Die Datenverarbeitung ist erforderlich für die Durchführung des Beratungs-/Coaching-Vertrags.

Besondere Kategorien personenbezogener Daten: Angaben zu Ihrer Gesundheit (im Nachrichtenfeld, im Gespräch, in internen Terminnotizen oder in unserer Sitzungsdokumentation) verarbeiten wir auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die wir bei der Buchung bzw. zu Beginn der Zusammenarbeit einholen und die Sie jederzeit mit Wirkung für die Zukunft widerrufen können (mail@martinzinner.com). Bei heilkundlicher Behandlung erfolgt die Verarbeitung zudem zum Zweck der Behandlung und der gesetzlich vorgeschriebenen Dokumentation (Art. 9 Abs. 2 lit. h DSGVO i. V. m. § 22 Abs. 1 Nr. 1 lit. b BDSG, § 630f BGB); wir unterliegen einer Verschwiegenheitspflicht. Soweit gesetzliche Dokumentationspflichten bestehen oder die Angaben zur Geltendmachung oder Abwehr von Rechtsansprüchen erforderlich sind, bewahren wir sie auch nach einem Widerruf bis zum Ende der Aufbewahrungsfrist auf (Art. 9 Abs. 2 lit. f und h, Art. 17 Abs. 3 lit. b und e DSGVO). Ohne diese Angaben ist die Terminbuchung möglich; das Nachrichtenfeld ist freiwillig.

Empfänger Ihrer Nachricht: Ihre Nachricht wird uns per E-Mail zugestellt (Abschnitt 3.1), im Termin-Kalendereintrag hinterlegt (Abschnitt 3.2) und in unserem E-Mail-Postfach archiviert (Abschnitt 3.3).

2.4 Speicherung der Termindaten

Supabase Datenbank: Ihre Termindaten werden sicher in der Supabase Inc. Datenbank gespeichert (siehe Abschnitt 6.2).

Speicherdauer: Termindaten und die zugehörigen internen Terminnotizen bewahren wir 10 Jahre nach Ihrem letzten Termin auf und löschen sie anschließend automatisch. Dieselbe Frist gilt für die Dokumentation der Sitzungen, die wir außerhalb dieser Website führen; sie beginnt mit dem Abschluss der Behandlung bzw. der Zusammenarbeit. Grund: Bei heilkundlicher Behandlung besteht eine gesetzliche Dokumentationspflicht von zehn Jahren (§ 630f Abs. 3 BGB); im Übrigen dient die Aufbewahrung der Geltendmachung und Abwehr von Ansprüchen bis zum Ablauf der gesetzlichen Höchstverjährungsfrist (Art. 6 Abs. 1 lit. f DSGVO, § 199 Abs. 3 und 4 BGB). Stornierte Termine, bei denen keine Zahlung und keine Guthabenbuchung erfolgt ist, löschen wir bereits 3 Jahre nach Ende des Jahres, in dem der Termin lag.

Zahlungs- und Guthabenbuchungen: Aufbewahrung bis zum Ablauf gesetzlicher Aufbewahrungsfristen (bis zu 10 Jahre, Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO, § 14b UStG), Guthabenbuchungen darüber hinaus, solange ein Guthaben besteht; siehe Abschnitt 7.2.

Kalendereinträge und E-Mail-Korrespondenz: Der in unseren Kalender übernommene Termin (Abschnitt 3.2) und die zugehörigen E-Mails werden im Rahmen einer jährlichen Prüfung gelöscht, spätestens 10 Jahre nach dem Termin; eine frühere Löschung ist auf Anfrage möglich.

2.5 Online-Zahlung (Stripe)

Wählen Sie bei der Terminbuchung „online bezahlen" oder kaufen Sie im Mitgliederbereich ein Sitzungspaket bzw. gleichen Sie ein Guthaben aus, erfolgt die Zahlung über Stripe:

• Anbieter: Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland (Teil der Stripe-Gruppe, Muttergesellschaft Stripe, Inc., USA)
• Zweck: Abwicklung der Kartenzahlung, Zahlungsbestätigung, Betrugsprävention
• Verarbeitete Daten: Ihre Kartendaten geben Sie direkt im eingebetteten Zahlungsformular von Stripe ein; sie erreichen unseren Server nicht. Stripe erhält zusätzlich Betrag, Verwendungszweck, Ihre E-Mail-Adresse (für den Zahlungsbeleg) sowie eine Termin- bzw. Paketkennung. Zur Betrugsprävention erhebt Stripe technische Daten (IP-Adresse, Geräte- und Browsermerkmale, Interaktionsmuster im Zahlungsformular) und setzt hierfür eigene Cookies, sobald das Zahlungsformular geladen wird; ggf. wird ein CAPTCHA (hCaptcha) eingebunden. Wir erhalten von Stripe nur Zahlungsstatus, Betrag und Zahlungs-ID.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Zahlungsabwicklung); Betrugsprävention durch Stripe: Art. 6 Abs. 1 lit. f DSGVO; Cookies: § 25 Abs. 2 Nr. 2 TDDDG
• Rolle: Für die Zahlungsabwicklung ist Stripe Auftragsverarbeiter (Art. 28 DSGVO, Stripe DPA); für Betrugsprävention und eigene gesetzliche Pflichten (z. B. Geldwäscherecht) verarbeitet Stripe die Daten als eigenständig Verantwortlicher.
• Internationale Übertragung: Daten können an Stripe, Inc. (USA) übermittelt werden. Stripe ist unter dem EU-U.S. Data Privacy Framework zertifiziert (Angemessenheitsbeschluss, Art. 45 DSGVO); ergänzend gelten EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Restrisiko-Hinweis: Ein Zugriff durch US-Behörden kann nicht vollständig ausgeschlossen werden.
• Speicherdauer: Stripe speichert Transaktionsdaten nach eigenen gesetzlichen Pflichten; bei uns verbleiben Zahlungs-ID und Betrag bis zum Ablauf der Aufbewahrungsfristen (Abschnitt 7.2).
• Datenschutz: Stripe Datenschutzerklärung und Stripe DPA

2.6 Mitgliederbereich (Konto und Guthaben)

Im Mitgliederbereich können Sie ein Konto anlegen, Termine und Guthaben einsehen und Sitzungspakete kaufen:

• Kontodaten: E-Mail-Adresse, Name, Telefonnummer, optional ein Passwort (nur verschlüsselt als Hash gespeichert), Zeitpunkt der Registrierung
• Anmeldung: Per Einmal-Code, den wir an Ihre E-Mail-Adresse senden, oder per Passwort. Die Anmeldung wird über unseren Server beim Authentifizierungsdienst (Supabase, Abschnitt 6.2) abgewickelt; dieser speichert Ihre Anmeldesitzung (Zeitpunkt der Anmeldung und der letzten Nutzung).
• Login-Cookies: Technisch notwendige Cookies („member-session", „member-refresh") halten Sie angemeldet. Ohne die Option „Angemeldet bleiben" werden sie beim Schließen des Browsers gelöscht. Mit dieser Option (zusätzlich Cookie „member-remember") bleiben sie gespeichert bis zum Logout, längstens 90 Tage nach Ihrer letzten Nutzung; § 25 Abs. 2 Nr. 2 TDDDG. Die zugehörige Anmeldesitzung beim Authentifizierungsdienst wird beim Logout, spätestens 90 Tage nach der letzten Nutzung gelöscht.
• Guthabenkonto: Gekaufte, verbrauchte und gutgeschriebene Sitzungsminuten, zugehörige Termine, Paket, Zahlungs-ID, tatsächliche Sitzungsdauer, Stornierungen sowie interne Buchungsnotizen. Im Konto werden alle Termine angezeigt, die mit Ihrer E-Mail-Adresse gebucht wurden.
• E-Mails: Login-Codes und Bestätigungen bei E-Mail-Änderung über Supabase; Kauf- und Buchungsbestätigungen über Brevo (Abschnitt 3.1).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Kontoführung, Guthabenverwaltung, Vertragserfüllung); Aufbewahrung von Zahlungs- und Guthabenbuchungen: Art. 6 Abs. 1 lit. c DSGVO
• Löschung: Auf Anfrage (mail@martinzinner.com) löschen wir Ihre Kontodaten (Name, Telefonnummer, hinterlegtes Passwort) und deaktivieren den Zugang zum Mitgliederbereich. Termindaten, interne Terminnotizen, Sitzungsdokumentation sowie Zahlungs- und Guthabenbuchungen bleiben bis zum Ablauf der gesetzlichen Aufbewahrungs- und Dokumentationsfristen gespeichert (Abschnitt 7.2); für diesen Zeitraum ist das Recht auf Löschung nach Art. 17 Abs. 3 lit. b und e DSGVO eingeschränkt. Danach werden auch diese Daten und die zugehörige Benutzerkennung gelöscht.

3. E-Mail-Versand und Kalenderintegration

3.1 E-Mail-Versand (Brevo)

Für den Versand von Terminbestätigungen und Benachrichtigungen nutzen wir Brevo (ehemals Sendinblue):

• Anbieter: Sendinblue GmbH, Köpenicker Straße 126, 10179 Berlin
• Zweck: Versand von Terminbestätigungen, Erinnerungen, Stornierungslinks sowie Kauf- und Guthabenbestätigungen
• Übermittelte Daten: Name, E-Mail-Adresse, Termindetails (Datum, Uhrzeit, Terminart) bzw. Paket und Betrag
• Server-Standorte: Deutschland und Frankreich (DSGVO-konform)
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
• Datenschutz: Brevo Datenschutzerklärung

Automatische Löschung: E-Mail-Logs werden nach max. 3 Monaten automatisch gelöscht.

3.2 Fastmail Kalenderintegration

Ihre Termine werden automatisch in unseren Fastmail-Kalender eingetragen und Sie erhalten ICS-Kalenderanhänge:

• Anbieter: Fastmail Pty Limited (ABN 31 142 646 580), Australien
  Server-Standorte: USA, Australien und andere Länder gemäß Fastmail DPA
• Zweck:
  • Kalenderverwaltung und Terminorganisation
  • Versendung von ICS-Kalenderanhängen
  • Vermeidung von Doppelbuchungen
• Übermittelte Daten:
  • Termindetails (Datum, Uhrzeit, Dauer, Terminart)
  • Teilnehmerdaten (Name, E-Mail-Adresse)
  • Nachrichten zum Termin
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
• Datenschutz: Fastmail fungiert als Auftragsverarbeiter gemäß Art. 28 DSGVO. Ein Data Processing Addendum (DPA) wurde abgeschlossen.
• Internationale Übertragung: Fastmail verarbeitet Daten in den USA unter Anwendung der EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO. Restrisiko-Hinweis: Für die USA besteht kein mit der EU gleichwertiges Datenschutzniveau. Ein Zugriff durch US-Behörden kann trotz SCC nicht vollständig ausgeschlossen werden.
• Sicherheitsmaßnahmen: Verschlüsselte Datenübertragung und -speicherung

Fastmail DPA: Weitere Details finden Sie im Fastmail Data Protection Addendum

3.3 E-Mail-Archivierung

Gesendete Terminbestätigungen und die Korrespondenz werden in unserem Fastmail-Postfach archiviert für:

• Nachweis der Terminbestätigung
• Kundenservice und Support
• Nachverfolgung bei Terminänderungen oder Stornierungen

E-Mail-Archivierung (Fastmail): Korrespondenz (z. B. Terminbestätigungen, Nachrichten) wird in unserem Mailpostfach zu Zwecken der Dokumentation, Nachweisführung und Kund*innenbetreuung archiviert. Dies dient unserem berechtigten Interesse an der Dokumentation der Geschäftsbeziehung und der ordnungsgemäßen Abwicklung (Art. 6 Abs. 1 lit. f bzw. lit. b DSGVO).

Eine automatisierte Löschung findet nicht statt; wir prüfen den Bestand jährlich und löschen Termin-Korrespondenz spätestens 10 Jahre nach dem Termin (Abschnitt 7.2). Auf Wunsch löschen wir Ihre E-Mail-Korrespondenz, soweit dem keine zwingenden gesetzlichen Aufbewahrungspflichten (z. B. steuer- oder handelsrechtliche Vorgaben) entgegenstehen. Bitte richten Sie Lösch- oder Einschränkungswünsche an mail@martinzinner.com.

4. Kontaktformular

Bei Nutzung des Kontaktformulars auf unserer Website werden folgende Daten verarbeitet:

4.1 Welche Daten sammeln wir?

• Kontaktdaten: Vor- und Nachname, E-Mail-Adresse, Telefonnummer
• Nachricht: Ihre Nachricht/Anfrage
• Technische Daten: Zeitstempel der Anfrage

4.2 Zwecke der Datenverarbeitung

• Anfragenerbearbeitung: Bearbeitung und Beantwortung Ihrer Kontaktanfrage
• E-Mail-Versand: Versendung einer Antwort-E-Mail
• Archivierung: Dokumentation der Korrespondenz

4.3 Rechtliche Grundlage

Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) - Ihre Einwilligung zur Verarbeitung der Kontaktdaten zur Anfragenerbearbeitung.

4.4 E-Mail-Versand (Brevo)

Kontaktanfragen werden über Brevo versendet:

• Anbieter: Sendinblue GmbH, Köpenicker Straße 126, 10179 Berlin
• Zweck: Versand von Antwort-E-Mails auf Ihre Kontaktanfrage
• Übermittelte Daten: Name, E-Mail-Adresse, Telefonnummer, Nachrichteninhalt
• Server-Standorte: Deutschland und Frankreich (DSGVO-konform)
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)
• Automatische Löschung: E-Mail-Logs werden nach max. 3 Monaten automatisch gelöscht.

4.5 E-Mail-Archivierung (Fastmail)

Kontaktanfragen werden in unserem Fastmail-Postfach archiviert:

• Anbieter: Fastmail Pty Limited, Australien
• Zweck: Dokumentation der Korrespondenz und Kundenservice
• Speicherdauer: Regelmäßige Prüfung, Löschung auf Wunsch (mail@martinzinner.com)
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Dokumentation)

5. Direkte Kontaktaufnahme

Bei direkter Kontaktaufnahme über die auf der Website bereitgestellten Kontaktmöglichkeiten (E-Mail-Links, WhatsApp, Social Media) gelten folgende Regelungen:

5.1 E-Mail-Kontakt

Bei direkter E-Mail-Kommunikation (mail@martinzinner.com):

• Verarbeitete Daten: E-Mail-Adresse, Name, Nachrichteninhalt, Zeitstempel
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung)
• Speicherung: E-Mails werden in unserem Fastmail-Postfach gespeichert (siehe 3.3)

5.2 WhatsApp Business

Wenn Sie uns per WhatsApp kontaktieren, werden die Daten an WhatsApp/Meta übermittelt. Bitte beachten Sie, dass bei Nutzung von WhatsApp Daten (inkl. Metadaten) in Drittländer wie die USA übertragen werden, für die kein mit der EU vergleichbares Datenschutzniveau besteht. Die Nutzung erfolgt in eigener Verantwortung. Durch die Nutzung von WhatsApp erklären Sie sich mit dieser Übermittlung einverstanden. Bitte beachten Sie die Datenschutzhinweise von WhatsApp:

• Verarbeitete Daten: Telefonnummer, Name, Nachrichten, Metadaten
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktive Nutzung)
• Drittland: USA
• Datenschutz: WhatsApp Datenschutzerklärung

5.3 Social Media Links

Auf unserer Website finden Sie Links zu unseren Social Media Profilen (Instagram, TikTok). Beim Klick auf diese Links verlassen Sie unsere Website:

• Datenverarbeitung: Erfolgt ausschließlich durch die jeweilige Plattform
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (durch Ihren Klick)
• Hinweis: Wir haben keinen Einfluss auf die Datenverarbeitung der Plattformen

6. Technische Umsetzung und Sicherheit

6.1 Website-Hosting (Vercel)

Diese Website wird über Vercel Inc. gehostet. Vercel speichert technische Logs für den Betrieb der Website:

• Server-Logs: IP-Adressen, Zugriffszeitpunkte, aufgerufene Seiten
• User-Agent: Browser- und Betriebssystem-Informationen
• Performance-Daten: Ladezeiten und technische Metriken
• Request-Parameter: URL-Parameter für die Funktionalität

Zweck: Technischer Betrieb, Fehlerbehebung und Performance-Optimierung

Hinweis: Server-Logs unseres Hosting-Providers (z. B. IP-Adressen) dienen ausschließlich dem technischen Betrieb und werden von uns nicht für die pseudonymisierten Analytics-Auswertungen verwendet. Die IP-Adressen in den Hosting-Logs werden explizit nicht für Analytics-Zwecke genutzt, sondern nur für den sicheren Betrieb der Website. Hosting-Logs werden nach maximal 72 Stunden gelöscht oder rotiert. Die Logs stehen unter einem DPA/SCC-Regime.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb). Die Log-Verarbeitung stützen wir zusätzlich auf Standardvertragsklauseln, Modul 2 (Art. 46 Abs. 2 lit. c DSGVO).

Speicherdauer Logs: max. 72 Stunden, automatische Löschung/Rotation.

Restrisiko-Hinweis: Trotz SCC kann ein staatlicher Zugriff in den USA nicht vollständig ausgeschlossen werden.

Datenverarbeitung: Vercel agiert als Auftragsverarbeiter. Das Data Processing Addendum (DPA) wird automatisch durch die Nutzung der Services aktiviert. Weitere Informationen: Vercel Datenschutzerklärung und Vercel DPA

6.2 Supabase Datenbank

Ihre Website-Analytics-Daten, Termindaten, Mitgliedskonten (inkl. Anmeldung) und Guthabenkonten werden in der Supabase Inc. Datenbank gespeichert:

• Anbieter: Supabase Inc., USA
• Standort: EU-Server (DSGVO-konform). Restrisiko-Hinweis: Da der Anbieter in den USA ansässig ist, kann ein Zugriff durch US-Behörden trotz EU-Serverstandort nicht vollständig ausgeschlossen werden.
• Verschlüsselung: Datenübertragung und -speicherung verschlüsselt
• Zugriff: Nur autorisierte Personen
• Datenverarbeitung: Supabase agiert als Auftragsverarbeiter. Ein Data Processing Addendum (DPA) gemäß Art. 28 DSGVO wurde abgeschlossen
• Datenschutz: Supabase Datenschutzerklärung und Supabase DPA

EU-Server: Datenverarbeitung erfolgt ausschließlich auf EU-Servern in DSGVO-konformen Rechenzentren.

6.3 Kein Tracking

Wir verwenden bewusst:

• ❌ Keine Tracking- oder Analyse-Cookies (technisch notwendige Cookies nur bei Login und Online-Zahlung, Abschnitte 2.5/2.6)
• ❌ Kein Google Analytics oder ähnliche Tracking-Tools
• ❌ Keine Social Media Pixel (Facebook, Instagram, etc.)
• ❌ Kein Cross-Site-Tracking
• ❌ Keine Werbung oder Retargeting

6.4 Kein LocalStorage für Analytics

Wir verwenden derzeit kein LocalStorage oder andere persistenten Endgeräte-Speicher für Analytics. Alle Analytics-Daten werden serverseitig verarbeitet.

7. Speicherdauer

7.1 Website-Analytics-Daten (pseudonymisiert im Sinne einer faktischen Anonymisierung)

Website-Analytics (pseudonymisiert im Sinne einer faktischen Anonymisierung): Die täglich rotierenden Hash-Werte sowie aggregierten Nutzungsdaten werden serverseitig gespeichert, solange dies für die technische Weiterentwicklung und Absicherung der Website erforderlich ist. Diese Daten sind pseudonymisiert im Sinne einer faktischen Anonymisierung, da keine Re-Identifikation möglich ist. Aufgrund der täglichen Rotation und des vollständigen Verzichts auf identifizierende Merkmale (keine IP-Adressen, Cookies oder sonstige Identifikatoren) ist selbst theoretisch keine Re-Identifizierung möglich.

Wir überprüfen regelmäßig (mindestens einmal jährlich), ob die Speicherung noch erforderlich ist; ist dies nicht der Fall, werden die Daten gelöscht.

7.2 Termindaten

Termine und interne Terminnotizen (Supabase): 10 Jahre nach dem letzten Termin (§ 630f Abs. 3 BGB bzw. Art. 6 Abs. 1 lit. f i. V. m. § 199 Abs. 3 und 4 BGB); stornierte Termine ohne Zahlung und ohne Guthabenbuchung: 3 Jahre nach Ende des Terminjahres

Sitzungs- und Behandlungsdokumentation (außerhalb dieser Website geführt): 10 Jahre nach Abschluss der Behandlung bzw. der Zusammenarbeit (§ 630f Abs. 3 BGB bzw. Art. 6 Abs. 1 lit. f i. V. m. § 199 Abs. 3 und 4 BGB)

Mitgliedskonto (Supabase): Bis zur Löschung auf Anfrage, längstens bis zum Ablauf der Aufbewahrungsfristen für die zugehörigen Termin- und Buchungsdaten; Konten ohne Anmeldung, ohne Guthaben und ohne aufbewahrungspflichtige Daten löschen wir im Rahmen einer regelmäßigen, mindestens jährlichen Prüfung

Zahlungs- und Guthabenbuchungen (Supabase, Stripe): Bis zum Ablauf gesetzlicher Aufbewahrungsfristen (bis zu 10 Jahre); Guthabenbuchungen darüber hinaus, solange ein Guthaben besteht (Art. 6 Abs. 1 lit. b DSGVO — Guthaben verfällt nicht)

Kalendereinträge und E-Mail-Korrespondenz (Fastmail): Jährliche Prüfung, Löschung spätestens 10 Jahre nach dem Termin; frühere Löschung auf Anfrage

Login-Sitzung (Browser-Cookies, Supabase): Cookies bis zum Schließen des Browsers, mit „Angemeldet bleiben" längstens 90 Tage nach der letzten Nutzung; Anmeldesitzung beim Authentifizierungsdienst bis zum Logout, spätestens 90 Tage nach der letzten Nutzung (Abschnitt 2.6)

Brevo E-Mail-Logs: Automatische Löschung nach max. 3 Monaten

Vercel Server-Logs: Automatische Löschung nach max. 72 Stunden (für technischen Betrieb der Website)

7.3 Kontaktformular-Anfragen

Kontaktanfragen (E-Mail): Regelmäßige Prüfung, Löschung auf Wunsch

7.4 Vorzeitige Löschung

Sie können jederzeit die sofortige Löschung Ihrer Termindaten, Ihres Mitgliedskontos und Ihrer E-Mail-Korrespondenz verlangen, soweit keine gesetzlichen Aufbewahrungs- oder Dokumentationspflichten oder die Geltendmachung bzw. Abwehr von Rechtsansprüchen entgegenstehen (Art. 17 Abs. 3 lit. b und e DSGVO). Kontaktieren Sie uns unter mail@martinzinner.com mit dem Betreff "Datenlöschung".

8. Ihre Datenschutzrechte

Sie haben folgende Rechte bezüglich Ihrer Daten:

• Auskunft (Art. 15 DSGVO) - Welche Daten haben wir über Sie?
• Berichtigung (Art. 16 DSGVO) - Korrektur falscher Daten
• Löschung (Art. 17 DSGVO) - Vollständige Entfernung Ihrer Daten
• Einschränkung (Art. 18 DSGVO) - Begrenzung der Verarbeitung
• Datenübertragbarkeit (Art. 20 DSGVO) - Export Ihrer Daten
• Widerspruch (Art. 21 DSGVO) - Gegen die Verarbeitung

8.1 Widerspruchsrecht / Auskunft

Die in Abschnitt 1 genannten Analytics-Daten sind so gestaltet, dass ein Personenbezug technisch nicht möglich ist. Dadurch sind Auskunfts-, Berichtigungs- und Löschansprüche (Art. 15–20 DSGVO) für diese anonymisierten Nutzungsdaten technisch nicht anwendbar.

Formales Widerspruchsrecht: Aus rein formalen Gründen weisen wir auf Ihr Widerspruchsrecht nach Art. 21 DSGVO hin, auch wenn bei den in Abschnitt 1 beschriebenen Daten ein Personenbezug technisch ausgeschlossen ist.

Für alle anderen Daten mit Personenbezug (z. B. Termindaten, E-Mail-Korrespondenz) gelten die regulären Betroffenenrechte; Informationen und Anfragen richten Sie bitte an mail@martinzinner.com.

9. Kontakt und Beschwerden

9.1 Datenschutz-Kontakt

Bei Fragen zum Datenschutz kontaktieren Sie uns:
E-Mail: mail@martinzinner.com
Betreff: "Datenschutz - [Ihr Anliegen]"

9.2 Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit
Ludwig-Erhard-Str. 22, 20459 Hamburg
Telefon: 040 42854-4040
E-Mail: mailbox@datenschutz.hamburg.de
Website: datenschutz-hamburg.de

10. Aktualisierung der Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung zu aktualisieren, um sie an geänderte Rechtslage oder Funktionen anzupassen. Die aktuelle Version finden Sie stets auf dieser Seite.

Stand: September 2026