Datenschutzerklärung

Stand: 13. Oktober 2026

Diese Datenschutzerklärung informiert dich darüber, welche personenbezogenen Daten auf heinerfischer.de und in der Akademie verarbeitet werden, zu welchem Zweck und auf welcher Rechtsgrundlage. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen.

1. Verantwortlicher

Heiner Fischer
Männerberatung & Prävention
Vom-Bruck-Platz 30
47805 Krefeld
E-Mail: hallo@heinerfischer.de

Ein Datenschutzbeauftragter ist nicht bestellt, weil die gesetzlichen Voraussetzungen dafür nicht vorliegen. Fragen zum Datenschutz richtest du bitte an die genannte Adresse.

2. Allgemeines zur Verarbeitung

Rechtsgrundlagen

Ich verarbeite personenbezogene Daten nur, wenn eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO vorliegt:

• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), etwa für Cookies, Newsletter, Push-Benachrichtigungen oder eingebettete Videos. Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.
• Vertrag oder Vertragsanbahnung (Art. 6 Abs. 1 lit. b DSGVO), etwa beim Kauf des Onlinekurses, bei der Buchung eines Erstgesprächs oder bei der Nutzung der Akademie.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO), etwa steuer- und handelsrechtliche Aufbewahrungspflichten.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), etwa für den sicheren und stabilen Betrieb der Website.

Gesundheitsbezogene Angaben

Der Onlinekurs Stark & Gelassen ist ein Präventionskurs zur Stressbewältigung. Aus deiner Teilnahme, deinen Antworten in Übungen und Quiz sowie aus Nachrichten an mich können sich Angaben zu deiner Gesundheit ergeben (Art. 9 DSGVO). Diese Angaben verarbeite ich nur auf Grundlage deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die du beim Kauf bzw. beim ersten Zugang zur Akademie erteilst, und ausschließlich zur Durchführung des Kurses, zur Ausstellung deiner Teilnahmebescheinigung und zur Beantwortung deiner Fragen. Sie werden nicht an Dritte weitergegeben. Die Teilnahmebescheinigung reichst du selbst bei deiner Krankenkasse ein; ich übermittle keine Daten an Krankenkassen. Entsprechendes gilt für gesundheitsbezogene Angaben im Coaching (Abschnitt 13).

Empfänger und Auftragsverarbeiter

Für einzelne Funktionen setze ich Dienstleister ein, die Daten in meinem Auftrag verarbeiten (Art. 28 DSGVO). Mit jedem dieser Dienstleister besteht ein Vertrag zur Auftragsverarbeitung. Die Dienstleister sind in den jeweiligen Abschnitten benannt.

Übermittlung in Drittländer

Einzelne Dienstleister haben ihren Sitz in den USA oder greifen von dort auf Daten zu. Eine Übermittlung erfolgt nur, wenn der Anbieter nach dem EU-US Data Privacy Framework zertifiziert ist (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO) oder Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) vereinbart sind, ergänzt um zusätzliche Schutzmaßnahmen. Wo eine Übermittlung auf deiner Einwilligung beruht, weise ich vorher darauf hin (Art. 49 Abs. 1 lit. a DSGVO).

Speicherdauer

Ich speichere personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen (in der Regel sechs Jahre nach § 257 HGB und zehn Jahre nach § 147 AO für Buchungsbelege und Rechnungen). Danach werden die Daten gelöscht oder anonymisiert.

3. Hosting und Server-Logfiles

Die Website wird bei der Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern, gehostet. Der Server steht in Deutschland. Mit Hostinger besteht ein Vertrag zur Auftragsverarbeitung.

Bei jedem Aufruf der Website verarbeitet der Server automatisch Daten, die dein Browser übermittelt: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, übertragene Datenmenge, Browsertyp und -version, Betriebssystem, Referrer-URL. Diese Server-Logfiles dienen der Sicherheit und Stabilität des Betriebs, etwa zur Abwehr von Angriffen und zur Fehleranalyse. Rechtsgrundlage ist mein berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Die Logfiles werden nach spätestens sieben Tagen gelöscht.

Die Verbindung zur Website ist per TLS verschlüsselt. Schriften (Archivo, Playfair Display) werden lokal vom eigenen Server geladen; es findet keine Verbindung zu Google Fonts oder anderen Schriftanbietern statt.

4. Cookies und Einwilligungsverwaltung

Diese Website verwendet technisch notwendige Cookies, ohne die einzelne Funktionen nicht arbeiten (Login, Warenkorb, Einwilligungsstatus). Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO. Alle weiteren Cookies und vergleichbaren Technologien, etwa für eingebettete Videos, setze ich nur mit deiner Einwilligung ein (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).

Für die Einwilligung nutze ich Borlabs Cookie (Borlabs GmbH, Rübenkamp 32, 22305 Hamburg). Das Plugin läuft vollständig auf meinem Server; es überträgt keine Daten an Borlabs. Es speichert deine Auswahl in einem Cookie namens „borlabs-cookie“ (Laufzeit sechs Monate) und protokolliert die Einwilligung mit anonymisierter IP-Adresse, Zeitpunkt und Auswahl, damit ich sie nachweisen kann (Art. 7 Abs. 1 DSGVO). Deine Auswahl kannst du jederzeit über den Link „Cookie-Einstellungen“ im Fuß der Website ändern oder widerrufen.

5. Kontaktaufnahme

E-Mail

Wenn du mir eine E-Mail schreibst, verarbeite ich deine Angaben (Absenderadresse, Name, Inhalt) zur Bearbeitung deiner Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, sofern die Anfrage auf einen Vertrag zielt, im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Die Daten lösche ich, sobald die Anfrage abschließend bearbeitet ist und keine Aufbewahrungspflichten entgegenstehen. Mein E-Mail-Postfach liegt bei Microsoft 365 (Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland). Microsoft verarbeitet deine E-Mail in meinem Auftrag; eine Übermittlung an die Microsoft Corporation in den USA ist möglich (EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln).

Kontaktformular

Für Anfragen steht ein Formular bereit (Fluent Forms, WPManageNinja LLC; die Daten bleiben auf meinem Server). Gespeichert werden die von dir eingegebenen Angaben sowie Zeitpunkt und IP-Adresse der Absendung. Zum Schutz vor Spam setze ich Cloudflare Turnstile ein (Cloudflare Inc., 101 Townsend St, San Francisco, CA 94107, USA). Turnstile prüft anhand technischer Merkmale deines Browsers und deiner IP-Adresse, ob ein Mensch das Formular absendet; dabei können Daten an Cloudflare übermittelt werden. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage für den Spam-Schutz ist mein berechtigtes Interesse an einem funktionierenden, missbrauchsfreien Kontaktweg (Art. 6 Abs. 1 lit. f DSGVO).

6. Newsletter

Du kannst dich für meinen Newsletter anmelden. Dafür benötige ich deine E-Mail-Adresse; Vorname und Nachname sind freiwillig. Die Anmeldung läuft im Double-Opt-in-Verfahren: Du erhältst eine E-Mail mit einem Bestätigungslink; erst nach dem Klick ist die Anmeldung wirksam. Ich protokolliere Anmeldung und Bestätigung mit Zeitpunkt und IP-Adresse, um die Einwilligung nachweisen zu können. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Zur Verwaltung und zum Versand nutze ich FluentCRM (WPManageNinja LLC), das auf meinem eigenen Server läuft. Der Versand erfolgt über Amazon Simple Email Service (Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg) mit Servern in der Region Frankfurt. AWS ist nach dem EU-US Data Privacy Framework zertifiziert; mit AWS besteht ein Vertrag zur Auftragsverarbeitung.

Meine Newsletter enthalten eine Erfolgsmessung: Ein Zählpixel und personalisierte Links zeigen mir, ob eine E-Mail geöffnet und welche Links geklickt wurden. Damit verbessere ich Inhalte und Versandzeitpunkte. Diese Messung ist Teil der Einwilligung zum Newsletter. Du kannst den Newsletter jederzeit über den Link am Ende jeder E-Mail abbestellen; damit endet auch die Erfolgsmessung. Nach der Abmeldung speichere ich deine E-Mail-Adresse bis zu drei Jahre in einer Sperrliste, um die frühere Einwilligung nachweisen zu können (Art. 6 Abs. 1 lit. f DSGVO).

Stresstest

Auf der Seite „Stresstest“ kannst du einen kostenlosen Selbsttest machen. Er beruht auf der Stress-Skala des DASS-21 in der deutschen Fassung von Nilges & Essau (2015). Das Formular läuft über Fluent Forms (WPManageNinja LLC); die Daten bleiben auf meinem Server.

Deine Antworten auf die sieben Aussagen können Rückschlüsse auf deine Gesundheit zulassen (Art. 9 DSGVO). Ich verarbeite sie nur, um beim Absenden deine Punktzahl zu berechnen und dir die Auswertung auf dem Bildschirm anzuzeigen. Rechtsgrundlage ist deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Unmittelbar danach wird der gesamte Eintrag mit deinen Antworten und der Punktzahl automatisch gelöscht. Ich speichere deine Antworten und dein Ergebnis nicht, verschicke sie nicht per E-Mail und übernehme sie nicht in den Newsletter.

Die Auswertung erhältst du, wenn du dich für meinen Newsletter anmeldest. Dafür werden deine E-Mail-Adresse und, falls angegeben, dein Vorname im Double-Opt-in-Verfahren in FluentCRM übernommen (siehe oben). Dabei vermerke ich, dass du dich über den Stresstest angemeldet hast, aber nicht dein Ergebnis. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit über den Abmeldelink in jeder E-Mail widerrufen kannst.

Zum Schutz vor Spam-Anmeldungen setze ich auch hier Cloudflare Turnstile ein. Es prüft im Hintergrund beim Absenden, ob ein Mensch das Formular nutzt (Einzelheiten und Rechtsgrundlage in Abschnitt 5).

7. E-Mail-Versand der Website

Alle E-Mails der Website (Bestellbestätigungen, Zugangsdaten, Terminbestätigungen, Benachrichtigungen der Akademie) versende ich über Amazon Simple Email Service (siehe Abschnitt 6). Der Versand wird für 30 Tage protokolliert (Empfänger, Betreff, Inhalt, Zeitpunkt, Zustellstatus; Plugin FluentSMTP, Daten bleiben auf meinem Server), um Zustellprobleme klären zu können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO.

8. Kauf des Onlinekurses

Bestellung und Kundenkonto

Beim Kauf über den Shop (FluentCart, WPManageNinja LLC; die Daten bleiben auf meinem Server) verarbeite ich Name, E-Mail-Adresse, Rechnungsadresse, das gewählte Produkt, den Preis, die Zahlungsart und die Transaktionsdaten des Zahlungsdienstleisters. Mit der Bestellung wird automatisch ein Kundenkonto angelegt, über das du Bestellungen, Rechnungen und deinen Zugang zur Akademie verwaltest. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); Rechnungen bewahre ich nach § 147 AO zehn Jahre auf (Art. 6 Abs. 1 lit. c DSGVO).

Rechnungen. Rechnungen erstelle ich mit Lexware Office (Haufe-Lexware GmbH & Co. KG, Munzinger Straße 9, 79111 Freiburg). Dafür übermittelt die Website nach jeder Zahlung deinen Namen, deine Rechnungsanschrift und E-Mail-Adresse, die gebuchte Leistung, den Betrag sowie Datum, Art und Kennung der Zahlung an Lexware Office. Mit Haufe-Lexware besteht ein Vertrag zur Auftragsverarbeitung. Eine Kopie jeder Rechnung liegt verschlüsselt in einem Speicher bei Amazon Web Services (Amazon S3, Rechenzentrum Frankfurt), damit du sie in deinem Kundenkonto abrufen kannst; auch mit AWS besteht ein Vertrag zur Auftragsverarbeitung. Rechtsgrundlage ist die Vertragserfüllung und die gesetzliche Pflicht zur Rechnungsstellung und Aufbewahrung (Art. 6 Abs. 1 lit. b und c DSGVO).

Zahlungsdienstleister

Zahlungen wickelt Stripe ab (Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland). Stripe erhält die für die Zahlung nötigen Daten (Name, E-Mail, Betrag, Zahlungsmittel) und verarbeitet sie in eigener Verantwortung, unter anderem zur Betrugsprävention; dabei können Daten an die Stripe Inc. in den USA übermittelt werden (EU-US Data Privacy Framework). Kartendaten gibst du direkt bei Stripe ein; sie erreichen meinen Server nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Wenn du beim Bezahlen aktiv zustimmst, kann Stripe dein Zahlungsmittel für künftige Käufe speichern; das ist freiwillig und jederzeit im Kundenkonto widerrufbar.

Alternativ kannst du mit PayPal bezahlen. Dann wickelt PayPal die Zahlung ab (PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxembourg). PayPal erhält die für die Zahlung nötigen Daten (Name, E-Mail-Adresse, Rechnungsanschrift, Betrag, Bestellnummer und die gekauften Artikel) und verarbeitet sie in eigener Verantwortung, unter anderem zur Betrugsprävention. Deine PayPal-Zugangsdaten oder Kartendaten gibst du direkt bei PayPal ein; sie erreichen meinen Server nicht. Für die Zahlung lädt die Kasse Inhalte von PayPal, die zur Abwicklung und Betrugsprävention Cookies setzen können; im Cookie-Dialog ist PayPal deshalb als essenzieller Dienst aufgeführt. PayPal kann Daten auch an verbundene Unternehmen außerhalb der EU übermitteln, etwa in die USA. Einzelheiten und die dafür genutzten Garantien beschreibt PayPal in seiner Datenschutzerklärung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Weitere Zahlungsdienstleister setze ich derzeit nicht ein.

Widerruf und Kundenrechte

Für Widerrufserklärungen und andere Verbraucherrechte steht im Kundenkonto ein Formular bereit. Die dort gemachten Angaben verarbeite ich zur Bearbeitung deines Anliegens (Art. 6 Abs. 1 lit. b und c DSGVO). Einzelheiten zum Widerrufsrecht stehen in der Widerrufsbelehrung.

9. Login und Kontosicherheit

Für Login und Registrierung nutze ich FluentAuth (WPManageNinja LLC, läuft auf meinem Server). Das Plugin protokolliert Anmeldeversuche mit IP-Adresse, Zeitpunkt und Ergebnis, sperrt Adressen nach mehreren Fehlversuchen vorübergehend und bietet eine Zwei-Faktor-Anmeldung per E-Mail-Code an. Rechtsgrundlage ist mein berechtigtes Interesse an der Sicherheit der Nutzerkonten (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle werden nach 30 Tagen automatisch gelöscht.

10. Die Akademie (Mitgliederbereich)

Die Akademie ist ein geschlossener Mitgliederbereich auf Basis von FluentCommunity (WPManageNinja LLC, läuft auf meinem Server). Zugang erhalten nur Teilnehmer des Onlinekurses oder des Coachings; eine öffentliche Registrierung gibt es nicht.

Profil, Beiträge und Nachrichten

In der Akademie verarbeite ich dein Profil (Name, optional Foto und Kurzbeschreibung), deine Beiträge und Kommentare in den Kursräumen und Gruppen sowie Direktnachrichten zwischen dir und mir oder anderen Mitgliedern. Deine Beiträge sind nur für Mitglieder derselben Gruppe sichtbar, nicht öffentlich im Internet. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Du kannst Beiträge und Nachrichten selbst löschen; mit dem Ende deines Zugangs werden Profil und Beiträge gelöscht oder anonymisiert.

Kursfortschritt, Quiz und Teilnahmebescheinigung

Der Kursraum speichert, welche Lektionen du abgeschlossen hast, deine Quiz-Ergebnisse und den Zeitpunkt des Kursabschlusses. Auf dieser Grundlage erstelle ich nach Abschluss aller Module automatisch deine Teilnahmebescheinigung nach den Vorgaben der Zentralen Prüfstelle Prävention (Name, Kurs, Zeitraum, Teilnahmegebühr) und stelle sie dir als PDF im Kursraum und per E-Mail bereit. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die Bescheinigung bewahre ich sechs Monate ab deiner Buchung auf, so lange wie deinen Zugang zur Akademie. So kann ich sie bei Verlust erneut ausstellen.

Push-Benachrichtigungen

Wenn du es im Browser erlaubst, sendet die Akademie Push-Benachrichtigungen (neue Antworten, Nachrichten, Termine). Dafür nutze ich Google Firebase (Firebase Cloud Messaging, Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland). Google erhält dabei eine Geräte-Kennung (Token) und die Benachrichtigung selbst; eine Übermittlung an Google LLC in den USA ist möglich (EU-US Data Privacy Framework). Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du in den Browser- oder Akademie-Einstellungen jederzeit widerrufen kannst.

Datensicherung

Dateien und Medien der Akademie (Kursmaterial, Profilbilder, hochgeladene Anhänge) sichere ich regelmäßig in einem Speicher bei Amazon Web Services (Amazon S3, Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg), Region Frankfurt (eu-central-1). Die Sicherungen sind verschlüsselt und nur für mich zugänglich. Sie dienen der Wiederherstellung nach technischen Störungen. Rechtsgrundlage ist mein berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Mit AWS besteht ein Vertrag zur Auftragsverarbeitung; AWS ist nach dem EU-US Data Privacy Framework zertifiziert.

Live-Termine per Videokonferenz

Die Männerrunde, die Info-Abende, das Erstgespräch und die Coaching-Sitzungen finden per Videokonferenz über Zoom statt (Zoom Communications, Inc., 55 Almaden Blvd, Suite 600, San Jose, CA 95113, USA). Das Meeting legt das Buchungssystem bei deiner Anmeldung an; dabei werden der Termin und deine E-Mail-Adresse an Zoom übermittelt, damit du als eingeladene Person im Meeting eingetragen bist. Während der Sitzung werden dein Anzeigename, Bild- und Tondaten, Chatnachrichten sowie Verbindungs- und Gerätedaten (etwa IP-Adresse, Betriebssystem, Zeitpunkt der Teilnahme) verarbeitet. Zoom verarbeitet diese Daten in meinem Auftrag (Art. 28 DSGVO). Zoom ist nach dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten die Standardvertragsklauseln der EU-Kommission. Die Sitzungen werden nicht aufgezeichnet. Rechtsgrundlage ist die Vertragserfüllung oder die Vertragsanbahnung (Art. 6 Abs. 1 lit. b DSGVO). Du brauchst kein eigenes Zoom-Konto und kannst über die Zoom-App oder den Browser teilnehmen; für die App und ein eigenes Zoom-Konto gelten zusätzlich die Datenschutzhinweise von Zoom. In der Männerrunde ist die Kamera wegen der Vertraulichkeit eingeschaltet; beim Info-Abend entscheidest du selbst, ob du deine Kamera einschaltest.

Für Termine mit Unternehmen nutze ich auf Wunsch Microsoft Teams (Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland). Dabei werden dieselben Arten von Daten verarbeitet. Microsoft verarbeitet sie in meinem Auftrag; eine Übermittlung an die Microsoft Corporation in den USA ist möglich (EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln). Ein eigenes Microsoft-Konto brauchst du nicht.

11. Videos

Kursvideos und einzelne Videos auf der Website sind über Vimeo eingebunden (Vimeo Inc., 330 West 34th Street, New York, NY 10001, USA). Ich nutze den datenschutzfreundlichen Modus („Do Not Track“), in dem Vimeo keine Wiedergabestatistik zu deiner Person führt. Beim Abspielen baut dein Browser dennoch eine Verbindung zu Vimeo auf; dabei erhält Vimeo deine IP-Adresse und technische Daten deines Geräts. Vimeo ist nach dem EU-US Data Privacy Framework zertifiziert. Auf der öffentlichen Website werden Videos erst geladen, wenn du der Kategorie „Externe Medien“ zugestimmt hast (Art. 6 Abs. 1 lit. a DSGVO). Innerhalb der Akademie ist das Abspielen Teil der Kursleistung (Art. 6 Abs. 1 lit. b DSGVO). Der Videoplayer (FluentPlayer) läuft auf meinem Server und erhebt keine Wiedergabestatistik.

12. Terminbuchung

Das kostenlose Erstgespräch buchst du über ein Buchungsformular (FluentBooking, WPManageNinja LLC, läuft auf meinem Server). Verarbeitet werden Name, E-Mail-Adresse, gewählter Termin, optional Telefonnummer und deine Nachricht. Du erhältst eine Bestätigung mit Kalenderdatei per E-Mail. Das Gespräch findet per Zoom statt (siehe „Live-Termine per Videokonferenz“ in Abschnitt 10). Den Termin trage ich mit deinem Namen und deiner E-Mail-Adresse in meinen Kalender bei Microsoft 365 ein (Microsoft Ireland Operations Ltd.; eine Übermittlung an die Microsoft Corporation in den USA ist möglich, EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln); darüber bekommst du zusätzlich eine Kalendereinladung. Damit nur freie Zeiten buchbar sind, gleicht das Buchungssystem die belegten Zeiten in meinem Kalender ab. Rechtsgrundlage ist die Vertragsanbahnung (Art. 6 Abs. 1 lit. b DSGVO). Kommt kein Coaching zustande, lösche ich die Buchungsdaten nach sechs Monaten.

Info-Abende und Männerrunde

Zu Info-Abenden und zur Männerrunde meldest du dich ebenfalls über FluentBooking an. Verarbeitet werden Name, E-Mail-Adresse, der gewählte Termin, deine Bestätigung der AGB und der Datenschutzerklärung (mit Zeitpunkt) und, falls du das Häkchen setzt, dein Wunsch nach dem Newsletter. Rechtsgrundlage ist die Durchführung des Termins (Art. 6 Abs. 1 lit. b DSGVO).

Du erhältst die Bestätigung, den Teilnahmelink, eine Erinnerung am Vortag, Hinweise bei Änderungen und nach dem Termin eine E-Mail zum Inhalt des Termins. Dafür lege ich dich in meinem Kontaktverzeichnis (FluentCRM, läuft auf meinem Server) mit einem Vermerk zum Termin an. Ohne Newsletter-Häkchen bekommst du dort ausschließlich E-Mails zu deinem Termin.

Den Newsletter bekommst du nur mit deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) im Double-Opt-in-Verfahren, siehe Abschnitt 6. Die Männerrunde und Info-Abende finden über Zoom statt; für den Zugangslink übermittelt das Buchungssystem den Termin und deine E-Mail-Adresse an Zoom, siehe „Live-Termine per Videokonferenz“ in Abschnitt 10.

Die Buchungsdaten lösche ich sechs Monate nach dem Termin, soweit keine Aufbewahrungspflicht besteht.

13. Coaching STANDFEST

Für das 1:1-Coaching verarbeite ich deine Daten, um den Coaching-Vertrag mit dir zu erfüllen (Art. 6 Abs. 1 lit. b DSGVO). Angaben, die deine Gesundheit betreffen und die du mir im Coaching anvertraust, verarbeite ich nur auf Grundlage deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die du mit dem Coaching-Vertrag erteilst, und ausschließlich für das Coaching. Diese Angaben gebe ich nicht an Dritte weiter.

Dein Coaching-Bereich

Nach Vertragsschluss richte ich dir in deinem Kundenkonto einen persönlichen Coaching-Bereich ein. Dort findest du deine Termine mit den Links zur Sitzung, den Link zu unserem gemeinsamen Board, deinen Coaching-Vertrag zum Herunterladen und die Möglichkeit, die unterschriebene Fassung hochzuladen. Verarbeitet werden Name, E-Mail-Adresse, Termine, Vertragsunterlagen und meine Hinweise an dich. Die Vertragsdateien liegen verschlüsselt in einem Speicher bei Amazon Web Services (Amazon S3, Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg), Region Frankfurt (eu-central-1); der Abruf läuft über kurzlebige, signierte Links, auf die nur du und ich Zugriff haben. Mit AWS besteht ein Vertrag zur Auftragsverarbeitung. Vertrag und Rechnung bewahre ich für die gesetzlichen Fristen auf (siehe Speicherdauer); Termine, Links und Hinweise im Coaching-Bereich lösche ich spätestens zwölf Monate nach Ende des Coachings.

Sitzungen per Videokonferenz

Die Coaching-Sitzungen finden per Videokonferenz über Zoom statt. Welche Daten dabei verarbeitet werden und welche Schutzmaßnahmen gelten, steht unter „Live-Termine per Videokonferenz“ in Abschnitt 10. Die Sitzungen werden nicht aufgezeichnet. Die Termine vergebe ich über mein Buchungssystem (FluentBooking, läuft auf meinem Server): Es legt für jede Sitzung ein Zoom-Meeting an und trägt den Termin mit deinem Namen und deiner E-Mail-Adresse in meinen Kalender bei Microsoft 365 ein (Microsoft Ireland Operations Ltd.; eine Übermittlung an die Microsoft Corporation in den USA ist möglich, EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln). Für den Vertrag verarbeite ich zusätzlich deine Anschrift und Telefonnummer; den Vertrag bekommst du per E-Mail, die unterschriebene Fassung lädst du in deinem Coaching-Bereich hoch. Bezahlen kannst du das Coaching ebenfalls dort, über die Kasse meines Shops per Kreditkarte (Stripe) oder PayPal; dafür gilt Abschnitt 8. Zahlst du in Raten, speichert der Zahlungsdienstleister dein Zahlungsmittel, damit die weiteren Raten automatisch eingezogen werden können. Sobald der unterschriebene Vertrag geprüft und die erste Zahlung eingegangen ist, bekommst du die Termine mit einer Kalenderdatei per E-Mail, dazu eine Erinnerung am Vortag und Nachrichten bei Terminänderungen. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Gemeinsames Board (Miro)

Im Coaching arbeiten wir auf einem digitalen Whiteboard bei Miro (RealtimeBoard, Inc. dba Miro, 315 Montgomery Street, Suite 900, San Francisco, CA 94104, USA; Vertreter in der EU: RealtimeBoard B.V., Singel 542, 1017 AZ Amsterdam, Niederlande). Ich lege für dich ein eigenes Board an, das nur du und ich sehen können. Du erhältst von mir einen Zugangslink und kannst das Board als Gast im Browser nutzen; ein eigenes Miro-Konto ist dafür nicht nötig. Legst du dennoch ein Miro-Konto an, gelten dafür zusätzlich die Datenschutzhinweise von Miro.

Auf dem Board werden die Inhalte verarbeitet, die wir dort gemeinsam festhalten (Notizen, Skizzen, Übungen, Ziele), außerdem technische Daten wie IP-Adresse, Browser und Zeitpunkt der Nutzung sowie beim Gastzugriff der Name, den du beim Öffnen angibst. Bitte trage auf dem Board nur ein, was du im Coaching teilen möchtest. Miro verarbeitet diese Daten in meinem Auftrag (Art. 28 DSGVO); ein Vertrag zur Auftragsverarbeitung besteht. Eine Übermittlung in die USA ist möglich: Miro ist nach dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten die Standardvertragsklauseln der EU-Kommission. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), für gesundheitsbezogene Inhalte deine Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).

Nach Abschluss des Coachings, also nach der letzten Sitzung, lösche ich das Board endgültig, spätestens 30 Tage danach. Damit sind alle darauf festgehaltenen Inhalte und persönlichen Daten entfernt. Möchtest du die Inhalte behalten, sag mir vorher Bescheid, dann bekommst du eine Kopie als PDF. Du kannst die Löschung des Boards auch jederzeit früher verlangen. Miro kann Kopien in Sicherungen für einen begrenzten Zeitraum vorhalten und löscht diese nach eigenen Angaben anschließend.

14. Support-Anfragen

Anfragen von Teilnehmern zu Zugang, Technik oder Abrechnung bearbeite ich über ein Ticketsystem (Fluent Support, WPManageNinja LLC, läuft auf meinem Server). Gespeichert werden deine Nachricht, Name, E-Mail-Adresse und der Verlauf der Bearbeitung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Abgeschlossene Tickets lösche ich nach zwei Jahren.

15. Krankenkassen-Kostenrechner

Der Kostenrechner auf der Kursseite läuft vollständig in deinem Browser. Deine Auswahl wird weder gespeichert noch an mich oder Dritte übertragen.

16. Podcasts „Mann, Heiner“ und „Vaterzeit“

Die Folgen meines Podcasts „Mann, Heiner“ kannst du auf heinerfischer.de anhören, herunterladen oder in einer Podcast-App abonnieren. Auf heinerfischer.de/vaterzeit/ findest du außerdem das Archiv meines früheren Podcasts „Vaterzeit“ (2019–2021). Für beide Podcasts gilt das Folgende.

Die Audiodateien liegen bei Amazon Web Services (AWS, Anschrift unter „Datensicherung“ in Abschnitt 10) in einem Rechenzentrum in Frankfurt am Main (Amazon S3, Region eu-central-1). Wenn du eine Folge abspielst oder herunterlädst, liefert AWS die Datei an dein Gerät aus und verarbeitet dafür deine IP-Adresse. AWS ist mein Auftragsverarbeiter; mit AWS besteht ein Vertrag zur Auftragsverarbeitung.

Jeder Abruf einer Folge geht zuerst über heinerfischer.de und wird dann zur Datei bei AWS weitergeleitet. Dabei zählt bei „Mann, Heiner“ das Plugin Podlove Podcast Publisher, bei „Vaterzeit“ ein kleines Zählskript; beide laufen auf meinem Server und speichern dieselben Daten. Gespeichert werden: Zeitpunkt, abgerufene Datei, Weg des Abrufs (Website, Player oder Feed), die Kennung deiner App oder deines Browsers (User-Agent) und ein Prüfwert, der aus deiner IP-Adresse und dem User-Agent errechnet wird. Der Prüfwert dient nur dazu, mehrfache Abrufe derselben Folge zu erkennen. Deine IP-Adresse selbst wird nicht gespeichert, ein Standort wird nicht ermittelt, und die Daten gehen an niemanden weiter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse ist zu wissen, wie viele Menschen den Podcast hören. Die Zähldaten lösche ich nach 14 Monaten.

Zusätzlich meldet mein Server jeden Abruf an meine eigene Matomo-Installation unter matomo.heinerfischer.de (siehe Abschnitt 17): Titel der Folge, abgerufene Datei, Weg des Abrufs und die Kennung deiner App oder deines Browsers – ohne deine IP-Adresse und ohne Cookies. Rechtsgrundlage ist auch hier Art. 6 Abs. 1 lit. f DSGVO.

Der Player auf heinerfischer.de wird von meinem eigenen Server geladen, nicht von einem fremden Dienst.

Hörst du den Podcast über eine App oder ein Verzeichnis wie Apple Podcasts oder Spotify, ruft die App den Feed und die Dateien ab. Welche Daten der Anbieter der App dabei verarbeitet, regelt seine eigene Datenschutzerklärung.

17. Reichweitenmessung mit Matomo

Zur Reichweitenmessung nutze ich Matomo, eine Open-Source-Software, die auf einem eigenen Server unter matomo.heinerfischer.de läuft. Es werden keine Daten an Dritte übertragen; Matomo selbst (InnoCraft Ltd.) erhält keine Daten. Erfasst werden aufgerufene Seiten, Verweildauer, Herkunft (Referrer), Browser, Betriebssystem, Bildschirmauflösung, ungefähre Region und eine um die letzten zwei Bytes gekürzte IP-Adresse. Aus der gekürzten IP-Adresse ist keine Person mehr bestimmbar.

Matomo setzt Cookies („_pk_id“, Laufzeit 13 Monate; „_pk_ses“, Laufzeit 30 Minuten; „_pk_ref“, Laufzeit 6 Monate), um wiederkehrende Besuche zu erkennen. Das geschieht nur, wenn du in den Cookie-Einstellungen der Kategorie „Statistik“ zugestimmt hast (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Ohne Zustimmung wird nichts gemessen. Das gilt für die Website; Abrufe des Podcasts zählt Matomo ohne Cookies nach Abschnitt 16. Deine Einwilligung kannst du jederzeit über „Cookie-Einstellungen“ im Fuß der Website widerrufen. Die Statistikdaten bewahre ich in aggregierter Form auf; Rohdaten mit gekürzter IP-Adresse werden nach 180 Tagen gelöscht.

Das Suchmaschinen-Plugin Rank Math erzeugt lediglich technische Angaben für Suchmaschinen und überträgt keine Besucherdaten. Statistiken über erteilte Cookie-Einwilligungen werden anonymisiert und ohne Personenbezug geführt.

18. Deine Rechte

Du hast gegenüber mir folgende Rechte hinsichtlich deiner personenbezogenen Daten:

• Auskunft über die gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen, aus Gründen, die sich aus deiner besonderen Situation ergeben (Art. 21 DSGVO)

Für alle Anliegen genügt eine E-Mail an hallo@heinerfischer.de. Im Kundenkonto kannst du außerdem deine Daten exportieren und die Löschung des Kontos anstoßen.

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig für mich ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de.

19. Datensicherheit und Änderungen

Ich schütze deine Daten durch technische und organisatorische Maßnahmen nach Art. 32 DSGVO, unter anderem TLS-Verschlüsselung, Zugriffsbeschränkungen, regelmäßige Updates und Sicherungen. Diese Datenschutzerklärung passe ich an, wenn sich die Website, die eingesetzten Dienste oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.