Healing Humans GmbH

I. Verantwortlicher Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO), des Bundesdatenschutzgesetzes (BDSG) sowie weiterer datenschutzrechtlicher Bestimmungen ist:

Healing Humans GmbH Waldstraße 31 85598 Vaterstetten Deutschland

Vertreten durch den Geschäftsführer: Andreas Eichmeier E-Mail: andi@healing-humans.de

II. Betroffenenrechte Betroffene Personen haben folgende Rechte hinsichtlich der sie betreffenden personenbezogenen Daten:

1. Recht auf Auskunft gemäß Art. 15 DSGVO 2. Recht auf Berichtigung gemäß Art. 16 DSGVO 3. Recht auf Löschung gemäß Art. 17 DSGVO 4. Recht auf Einschränkung der Verarbeitung gemäß Art. 18 DSGVO 5. Recht auf Datenübertragbarkeit gemäß Art. 20 DSGVO 6. Recht auf Widerspruch gegen die Verarbeitung gemäß Art. 21 DSGVO 7. Recht auf Beschwerde bei einer Aufsichtsbehörde gemäß Art. 77 DSGVO

Erteilte Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.

III. Verarbeitung personenbezogener Daten beim Besuch der Website Beim rein informatorischen Besuch unserer Website, ohne dass Nutzer aktiv Informationen übermitteln, werden automatisch folgende personenbezogene Daten erfasst und in sogenannten Server-Logfiles gespeichert:

• IP-Adresse des zugreifenden Systems • Datum und Uhrzeit des Zugriffs inkl. Zeitzone • Inhalt der Anfrage (konkrete Unterseite) • Zugriffsstatus / HTTP-Statuscode • jeweils übertragene Datenmenge • Website, von der die Anfrage kommt (Referrer) • Browsertyp, Version und verwendetes Betriebssystem • Hostname des zugreifenden Rechners • Name und URL der abgerufenen Datei • Protokollversion

Diese Daten sind technisch erforderlich, um die Website funktionsfähig anzuzeigen, die Stabilität und Sicherheit zu gewährleisten sowie Cyberangriffe nachverfolgen zu können.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

Speicherdauer: Die Speicherdauer richtet sich nach den Vorgaben unseres Hosting-Anbieters (ALL-INKL.COM – https://all-inkl.com). Eine längere Speicherung erfolgt ausschließlich in anonymisierter Form.

IV. Einsatz von Cookies und ähnlichen Technologien (TDDDG) Wir verwenden Cookies und ähnliche Technologien (z. B. Local Storage, Session Storage, Pixel). Diese Technologien dienen:

• zur Gewährleistung der Funktionsfähigkeit der Website • zur Nutzeridentifikation bei Accountnutzung • zur statistischen Analyse • zur Reichweitenmessung • zur Bereitstellung externer Inhalte • zu Marketing- und Advertising-Zwecken (personenbezogene Werbung nur nach Einwilligung)

1. Technisch notwendige Cookies Diese Cookies sind für den Betrieb der Website erforderlich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO i. V. m. § 25 Abs. 2 Nr. 2 TDDDG. 2. Cookies / Tracking mit Einwilligung Hierunter fallen insbesondere:

• Analyse-Cookies • Marketing-/Werbe-Cookies • Cookies von Vimeo • Pixel von Meta, TikTok, Google • Cookies für Zahlungsdienstleister • Cookies für externe Tools (Jotform, Kalenderanbieter etc.)

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG. Einwilligungen erfolgen über unseren Cookie-Banner und können dort jederzeit widerrufen werden.

V. Kontaktaufnahme (Formular / E-Mail) Bei Kontaktaufnahme über ein Kontaktformular oder per E-Mail werden verarbeitet:

• Name • E-Mail-Adresse • übermittelte Inhalte • Metadaten der E-Mail • technische Logdaten (Mailserver)

Zwecke: Bearbeitung der Anfrage und Archivierung bei gesetzlichen Aufbewahrungspflichten. Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung/Vertrag) • Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)

Speicherdauer: Daten werden gelöscht, sobald die Anfrage abschließend geklärt ist, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

VI. Einbettung von Vimeo-Videos Wir binden Videos über die Plattform Vimeo Inc., 555 West 18th Street, New York, NY 10011, USA ein.

Dabei werden folgende Daten an Vimeo übermittelt:

• IP-Adresse • Datum und Uhrzeit des Zugriffs • besuchte Seite • technische Daten (Browser, Betriebssystem) • ggf. Cookie-Daten (falls im Cookie-Banner zugestimmt)

Vimeo kann Daten über die Nutzung des Videos einem Nutzerprofil zuordnen, sofern Sie dort eingeloggt sind.

Vimeo setzt zudem Cookies und Tracking-Technologien, sofern Sie im Cookie-Banner zugestimmt haben.

Rechtsgrundlagen: • Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Darstellung und Funktion) • Art. 6 Abs. 1 lit. a DSGVO (Einwilligung in Cookies/Tracking)

Vimeo übermittelt Daten in die USA auf Grundlage der EU-Standardvertragsklauseln (SCC).

VII. Einsatz von Jotform Wir verwenden Formularfunktionen des Dienstleisters Jotform Inc. Für Nutzer aus der EU erfolgt die Datenverarbeitung über Server innerhalb der Europäischen Union.

Verarbeitete Daten: • Name • E-Mail-Adresse • Telefonnummer (falls abgefragt) • Inhalte der Eingaben • technische Metadaten (IP-Adresse, Browser, Zugriffszeit)

Zwecke der Verarbeitung:

• Erhebung von Buchungs-, Kontakt- oder Bewerbungsinformationen • Formularabwicklung • Dokumentation von Eingaben

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung/-durchführung) • Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Formularverarbeitung) • Art. 6 Abs. 1 lit. a DSGVO (wenn freiwillige Angaben oder Marketing-Einwilligungen übermittelt werden)

Jotform agiert im Rahmen eines Auftragsverarbeitungsverhältnisses gemäß Art. 28 DSGVO. Datenschutzerklärung von Jotform: https://www.jotform.com/privacy/

VIII. Einsatz von Calendly Zur Terminvereinbarung nutzen wir „Calendly“, bereitgestellt durch: Calendly LLC, 115 E Main St Ste A1B, Buford, GA 30518, USA Verarbeitete Daten:

• Name • E-Mail-Adresse • Datum und Uhrzeit des Termins • freiwillige Zusatzangaben • technische Daten (IP-Adresse, Browserinformationen)

Zwecke: Planung, Organisation und Durchführung von Terminen. Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO (Termin im Zusammenhang mit Vertrag) • Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Terminverwaltung) • Art. 6 Abs. 1 lit. a DSGVO (Einwilligung bei freiwilligen Zusatzangaben)

Calendly kann Daten in die USA übertragen; Grundlage sind Standardvertragsklauseln (SCC). Datenschutzerklärung: https://calendly.com/privacy

IX. Einsatz von YouCanBook.me Wir nutzen zusätzlich Terminbuchungsfunktionen des Anbieters: YouCanBook.me Ltd. Bedford i-Lab, Stannard Way, Priory Business Park, Bedford, MK44 3RZ, United Kingdom

Verarbeitete Daten:

• Name • E-Mail-Adresse • Terminwünsche • zusätzliche Eingabefelder • technische Daten (IP-Adresse, Zeitzone etc.)

Rechtsgrundlagen: • Art. 6 Abs. 1 lit. b DSGVO • Art. 6 Abs. 1 lit. f DSGVO • Art. 6 Abs. 1 lit. a DSGVO (bei freiwilligen Angaben)

Datenschutzerklärung: https://youcanbook.me/privacy

X. Einsatz von iClosed (Terminbuchung) Für die Vereinbarung und Durchführung von Beratungs- und Verkaufsterminen nutzen wir den Terminbuchungsdienst iClosed.

Anbieter: You Scale LLC, Miami, Florida, USA (iclosed.io). Verarbeitete Daten:

• Name • E-Mail-Adresse • Telefonnummer • Antworten auf Vorabfragen (z. B. Interesse an einer Ausbildung, Zahlungswünsche) • Datum und Uhrzeit des Termins • Zeitzone

Zwecke: Planung, Organisation und Durchführung von Beratungs- und Verkaufsterminen sowie Vorqualifizierung von Interessenten.

Rechtsgrundlagen: • Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung/Termin im Zusammenhang mit Vertrag) • Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Terminverwaltung) • Art. 6 Abs. 1 lit. a DSGVO (Einwilligung bei freiwilligen Zusatzangaben)

iClosed verarbeitet die über unsere Buchungsseiten, Scheduling-Links und eingebetteten Formulare erhobenen Daten in unserem Auftrag als Auftragsverarbeiter; es besteht ein Auftragsverarbeitungsvertrag (Data Processing Agreement) gemäß Art. 28 DSGVO. Da der Anbieter seinen Sitz in den USA hat, kann eine Übermittlung in ein Drittland erfolgen; diese stützt sich auf die EU-Standardvertragsklauseln (SCC) bzw. geeignete Garantien.

Datenschutzerklärung des Anbieters: https://www.iclosed.io/privacy-policy

XI. Einsatz von WebinarJam (Webinare) Zur Durchführung von Online-Webinaren setzen wir die Plattform WebinarJam ein. Über WebinarJam erfolgen die Anmeldung zu Webinaren, die Teilnahme sowie die Interaktion während der Veranstaltung (z. B. Chat).

Anbieter: Genesis Digital, LLC, 4730 S. Fort Apache Rd., Suite 300, Las Vegas, NV 89147, USA (webinarjam.com).

Verarbeitete Daten: • Name • E-Mail-Adresse • Anmeldedatum und -uhrzeit • IP-Adresse • Teilnahmedaten (Zeitpunkt und Dauer der Teilnahme) • im Webinar-Chat übermittelte Nachrichten und Eingaben • technische Daten (Browser, Betriebssystem, Gerät) Zwecke: Anmeldung, Bereitstellung und Durchführung von Webinaren, Kommunikation mit Teilnehmern sowie Dokumentation der Teilnahme.

Rechtsgrundlagen: • Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Teilnahme am Webinar) • Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung und Auswertung von Webinaren) • Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, soweit erforderlich)

WebinarJam verarbeitet die im Rahmen der Webinar-Anmeldung und -Teilnahme erhobenen Daten in unserem Auftrag als Auftragsverarbeiter; es besteht ein Auftragsverarbeitungsvertrag (Data Processing Agreement) gemäß Art. 28 DSGVO. Da der Anbieter seinen Sitz in den USA hat, kann eine Übermittlung in ein Drittland erfolgen; diese stützt sich auf die EU- Standardvertragsklauseln (SCC) bzw. geeignete Garantien.

Datenschutzerklärung des Anbieters: https://webinarjam.com/privacy-policy/

XII. Einsatz von Zapier (Datenübermittlung zwischen Systemen) Zur automatisierten Übermittlung von Daten zwischen den von uns eingesetzten Systemen (z. B. von Formular- und Buchungstools an unser CRM oder unser E-Mail-System) nutzen wir den Automatisierungsdienst Zapier.

Anbieter: Zapier, Inc., 548 Market St #62411, San Francisco, CA 94104, USA. Zapier dient ausschließlich als Übermittlungswerkzeug und speichert die durchgeleiteten Daten nicht dauerhaft als eigenen Datenbestand. Übermittelt werden jeweils die Daten, die für die Weitergabe zwischen den angebundenen Systemen erforderlich sind, insbesondere: • Name • E-Mail-Adresse • Telefonnummer (falls vorhanden) • Anmelde-, Kontakt- und Vertragsdaten

Zwecke: Automatisierte und fehlerarme Übertragung von Daten zwischen unseren Systemen sowie Vermeidung manueller Doppelerfassung.

Rechtsgrundlagen: • Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher und vertraglicher Maßnahmen) • Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter und fehlerarmer Datenverarbeitung)

Zapier verarbeitet die durchgeleiteten Daten in unserem Auftrag als Auftragsverarbeiter; es besteht ein Auftragsverarbeitungsvertrag (Data Processing Agreement) gemäß Art. 28 DSGVO. Da der Anbieter seinen Sitz in den USA hat, kann eine Übermittlung in ein Drittland erfolgen; diese stützt sich auf die EU-Standardvertragsklauseln (SCC) bzw. geeignete Garantien.

Datenschutzerklärung des Anbieters: https://zapier.com/privacy

XIII. Google-Dienste Wir setzen Google-Dienste ein, bereitgestellt durch: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Dabei können Daten an Google-Server in den USA übertragen werden, basierend auf Standardvertragsklauseln (SCC). 1. Google Analytics (falls eingesetzt)

Google Analytics verwendet Cookies, um Nutzungsdaten zu erfassen, darunter: • IP-Adresse (gekürzt/anonymisiert) • Nutzungsverhalten • besuchte Seiten • Geräteinformationen • Browserdaten • Interaktionen mit Inhalten

Wir verwenden Analytics mit IP-Anonymisierung („anonymizeIP“) aktiviert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über Cookie-Banner).

Zwecke: Statistische Analyse, Optimierung der Website, Reichweitenmessung.

Speicherdauer: Google speichert Daten bis zu 14 Monaten – je nach Konfiguration.

2. Google Tag Manager Der Tag Manager selbst verarbeitet keine personenbezogenen Daten, ermöglicht aber das Laden weiterer Tracking-Tags.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an wirtschaftlichem Betrieb der Website).

3. Google Ads / Conversion Tracking Falls eingesetzt, verwendet Google Ads Cookies zur Erfolgsmessung von Werbeanzeigen.

Verarbeitete Daten: • Interaktionen mit Anzeigen • Conversion-Daten • Cookie-Identifier • IP-Adresse (verkürzt) • Browserdaten

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

4. Google Web Fonts Zur einheitlichen Darstellung nutzen wir Google Web Fonts. Beim Aufruf unserer Website lädt Ihr Browser Web Fonts von Google-Servern. Daten: • IP-Adresse • angefragte Schriftartdateien Zweck: Technisch notwendige Darstellung von Schriftarten. Seite 7 von 15 Healing Humans GmbH Datenschutzerklärung Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. XIV. Newsletterversand Wir versenden Newsletter mit werblichen Inhalten nur auf Grundlage einer ausdrücklichen Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO oder — bei Bestandskunden — gemäß § 7 Abs. 3 UWG. 1. Double-Opt-In • Anmeldung erfolgt mit E-Mail-Adresse • Bestätigungs-E-Mail (Double-Opt-In) • Protokollierung von Anmeldedatum, IP-Adresse, Einwilligungstext 2. Verarbeitung Bei Newsletterversand verarbeiten wir: • E-Mail-Adresse • Name (optional) • Öffnungsraten • Klickverhalten • technische Versanddaten 3. Versanddienstleister: ActiveCampaign Für den Versand und die Analyse unserer Newsletter nutzen wir ActiveCampaign. Anbieter ist die ActiveCampaign, Inc., 1 N Dearborn, 5th Floor, Chicago, Illinois 60602, USA. Die zum Zwecke des Newsletterbezugs eingegebenen Daten werden auf Servern von ActiveCampaign in den USA gespeichert. Mit Hilfe von ActiveCampaign können wir unsere Newsletter-Kampagnen analysieren – etwa, ob eine Nachricht geöffnet und welche Links angeklickt wurden, sowie ob nach dem Anklicken bestimmte Aktionen (z. B. ein Kauf) erfolgt sind (Conversion-Tracking). Zudem können Empfänger zur besseren Zielgruppenansprache in Kategorien unterteilt werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Einwilligung ist jederzeit widerrufbar. Die Datenübertragung in die USA wird auf die EU-Standardvertragsklauseln (SCC) gestützt. ActiveCampaign verfügt zudem über eine Zertifizierung nach dem EU-US Data Privacy Framework (DPF). Es besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO. Nach der Abmeldung wird die E-Mail-Adresse ggf. in einer Sperrliste (Blacklist) gespeichert, um künftige Mailings zu verhindern (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Datenschutzerklärung von ActiveCampaign: https://www.activecampaign.com/privacy-policy Hinweis zum Double-Opt-In: Soweit die Eintragung in einzelne Verteiler automatisiert (z. B. über eine Schnittstelle/API) erfolgt, ist im Einzelfall sicherzustellen, dass eine wirksame Einwilligung der betroffenen Person vorliegt. Widerruf der Einwilligung Abmeldung jederzeit über den Link in jeder E-Mail. Seite 8 von 15 Healing Humans GmbH Datenschutzerklärung XV. Marketing- und Tracking-Technologien (Meta Pixel, TikTok Pixel, Google Ads Remarketing) Wir nutzen datenbasierte Werbesysteme ausschließlich auf Grundlage einer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und § 25 TDDDG. 1. Meta (Facebook/Instagram) Pixel Bereitgestellt durch Meta Platforms Ireland Ltd. Erfasste Daten: • IP-Adresse • Cookie-ID • Interaktionen • besuchte Seiten • Pixel-Ereignisse (z. B. PageView, Lead, Purchase) Keine Datenübertragung ohne Einwilligung. Meta nutzt SCC für Übermittlungen in die USA. 2. TikTok Pixel Erfasst ähnliche Daten wie Meta Pixel. Verantwortlicher: TikTok Technology Limited (EU). Auslandsübertragung über SCC. Verarbeitung nur mit Einwilligung. 3. Google Ads Remarketing Erlaubt zielgerichtete Werbung basierend auf Nutzerverhalten. Verarbeitung nur mit Cookie-Einwilligung. XVI. Social-Media-Unternehmensseiten Wir betreiben Unternehmenspräsenzen auf: • Facebook • Instagram • TikTok • YouTube • LinkedIn • X (ehemals Twitter) Bei Besuch solcher Seiten erfolgt eine gemeinsame Verantwortlichkeit gemäß Art. 26 DSGVO zwischen uns und dem jeweiligen Plattformanbieter. Plattformen verarbeiten u. a.: • IP-Adresse • Gerätedaten • Interaktionen • Profilinformationen (falls eingeloggt) Seite 9 von 15 Healing Humans GmbH Datenschutzerklärung Wir erhalten lediglich aggregierte Statistiken („Insights“). Datenschutzrichtlinien: • Meta: https://www.facebook.com/privacy/explanation • TikTok: https://www.tiktok.com/legal/page/eea/privacy-policy • YouTube/Google: https://policies.google.com/privacy • LinkedIn: https://www.linkedin.com/legal/privacy-policy • X (ehemals Twitter): https://x.com/de/privacy Social-Media-Elemente auf unserer Website werden, soweit eingesetzt, über die datenschutzfreundliche Shariff-Lösung eingebunden. Dabei wird eine direkte Verbindung zum jeweiligen Anbieter erst hergestellt, wenn Sie das Element aktiv anklicken. Anbieter von X ist die Twitter International Unlimited Company (Dublin, Irland) bzw. die X Corp. (USA). Für die US- Anbieter (Meta, X, Google) wird die Datenübertragung in die USA auf EU- Standardvertragsklauseln gestützt; diese Anbieter sind zudem nach dem EU-US Data Privacy Framework (DPF) zertifiziert. XVII. Zahlungsdienstleister und Bestellabwicklung (Stripe, PayPal, Klarna, Copecart, Ablefy) Zur Abwicklung von Bestellungen, Buchungen und Zahlungen setzen wir verschiedene Zahlungs- und Vertragsabwicklungsdienstleister ein. Dabei werden personenbezogene Daten verarbeitet, die zur Durchführung des Vertrags, zur Bereitstellung digitaler Inhalte oder zur Zahlungsabwicklung erforderlich sind. Verarbeitete Daten können insbesondere sein: • Name • Rechnungs- und Lieferadresse • E-Mail-Adresse • Zahlungsart • Transaktionsdaten • Bestell- und Vertragsdaten • IP-Adresse • Zeitpunkt der Bestellung • Geräte- und Browserdaten • Bankverbindung (maskiert), Kreditkarteninformationen (tokenisiert) Die Daten werden ausschließlich verarbeitet, soweit dies zur Abwicklung des Vertragsverhältnisses erforderlich ist. 1. Stripe Zahlungen können über den Zahlungsanbieter Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland, erfolgen. Stripe verarbeitet: • Zahlungsdaten • Rechnungsinformationen • technische Daten zur Betrugsprävention • Informationen über die Zahlungsberechtigung Seite 10 von 15 Healing Humans GmbH Datenschutzerklärung Stripe kann Daten zur Risikoprüfung in die USA übertragen. Die Übermittlung erfolgt auf Grundlage von Standardvertragsklauseln (SCC). Datenschutz von Stripe: https://stripe.com/privacy Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). 2. PayPal Für bestimmte Zahlungsarten nutzen wir PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg. PayPal verarbeitet: • Zahlungsdaten • Identitätsdaten • Bonitätsdaten (wenn erforderlich) • Bank- oder Kreditkartendaten PayPal kann Bonitätsprüfungen durchführen. Datenübermittlung in Drittländer erfolgt auf Basis geeigneter Garantien (SCC). Datenschutz von PayPal: https://www.paypal.com/de/webapps/mpp/ua/privacy-full Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. 3. Klarna Wir können Zahlungsarten der Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Schweden bereitstellen. Klarna verarbeitet u. a.: • Identitätsdaten • Anschrift • Zahlungsdaten • Historische Zahlungsausfälle • Bonitätsinformationen Klarna nimmt eine Bonitätsprüfung vor, wenn erforderlich. Datenschutz von Klarna: https://www.klarna.com/de/datenschutz/ Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (erforderlich für Zahlungsabwicklung). 4. Copecart Einige Produkte verkaufen wir über CopeCart GmbH, Ufnaustraße 10, 10553 Berlin. Copecart übernimmt: • Vertragsabwicklung • Rechnungsstellung • Zahlungsabwicklung • Bereitstellung von Kaufbelegen • technische Abwicklung der Bestellstrecke Seite 11 von 15 Healing Humans GmbH Datenschutzerklärung Copecart fungiert bei Nutzung als eigenständig Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Datenschutz Copecart: https://copecart.com/privacy Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. 5. Ablefy Für digitale Buchungsstrecken, Vertragsunterlagen, Self-Checkout-Prozesse und Zugänge zu digitalen Produkten nutzen wir Ablefy (Anbieter gemäß Angaben des Dienstleisters). Ablefy verarbeitet Daten in unserem Auftrag (Auftragsverarbeitung gemäß Art. 28 DSGVO). Verarbeitete Daten umfassen u. a.: • Bestelldaten • Vertragsunterlagen • Zahlungsstatus • digitale Zugangsberechtigungen • Identitäts- und Kontaktangaben Wir haben mit Ablefy einen Auftragsverarbeitungsvertrag (AVV) abgeschlossen. Rechtsgrundlage für alle Zahlungsdienstleister: • Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) • Art. 6 Abs. 1 lit. f DSGVO (Betrugsprävention, Sicherheit) • Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungspflichten) XVIII. Vertragsabwicklung, Widerruf und vertragsbezogene Erklärungen Wir verarbeiten personenbezogene Daten zur Durchführung und Abwicklung von Vertragsverhältnissen. Dies umfasst insbesondere Stammdaten wie Name und Anschrift, Kontaktdaten wie E-Mail-Adresse und Telefonnummer, Vertrags- und Bestelldaten wie Bestellnummer, Vertragsgegenstand und Vertragslaufzeit, Zahlungsdaten sowie Kommunikationsdaten. Die Verarbeitung erstreckt sich dabei auch auf die Bearbeitung von Widerrufen über unsere elektronische Widerrufsfunktion (Widerrufsbutton) gemäß § 356a BGB, die Abwicklung gesetzlicher Gewährleistungsrechte sowie sonstige vertragsbezogene Erklärungen und Anfragen. Im Rahmen der elektronischen Widerrufsfunktion verarbeiten wir insbesondere: • den Namen des Verbrauchers, • Angaben zur Identifizierung des Vertrags oder des zu widerrufenden Vertragsteils (z. B. Bestell- oder Vertragsnummer), • das von Ihnen angegebene elektronische Kommunikationsmittel (z. B. E-Mail-Adresse) zur Übermittlung der Eingangsbestätigung, • technisch notwendige Daten wie IP-Adresse und Zeitstempel zur Dokumentation des Zugangs der Widerrufserklärung, • sowie – sofern von Ihnen freiwillig angegeben – einen optionalen Widerrufsgrund. Es gilt der Grundsatz der Datenminimierung. Die Angabe eines Widerrufsgrundes ist freiwillig und keine Voraussetzung für die Wirksamkeit des Widerrufs. Seite 12 von 15 Healing Humans GmbH Datenschutzerklärung Rechtsgrundlagen: • Art. 6 Abs. 1 lit. b DSGVO (Durchführung und Rückabwicklung des Vertragsverhältnisses) • Art. 6 Abs. 1 lit. c DSGVO (Erfüllung gesetzlicher Verpflichtungen, insbesondere nach § 356a BGB, sowie Dokumentation des Widerrufs) • Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, z. B. bei optionaler Angabe eines Widerrufsgrundes) Speicherdauer: Daten im Zusammenhang mit einem Widerruf werden für die Dauer der Vertragsabwicklung und anschließend im Rahmen der gesetzlichen Aufbewahrungs- und Verjährungsfristen gespeichert (siehe Abschnitt „Speicherdauer“). XIX. eRecht24 Widerrufsbutton Wir haben auf unserer Website einen Widerrufs-Button eingebunden, um den gesetzlichen Vorgaben des Verbraucherrechts (§ 356a BGB) nachzukommen. Der Widerrufsbutton wird von der eRecht24 GmbH & Co. KG, Lietzenburger Straße 93-95, 10719 Berlin, Deutschland (nachfolgend „eRecht24“) bereitgestellt. eRecht24 verarbeitet die eingehenden Widerrufe ausschließlich in unserem Auftrag und verwendet die Daten nicht für eigene Zwecke. Ein Vertrag zur Auftragsverarbeitung (AVV) mit eRecht24 wurde abgeschlossen. Als Subunternehmer setzt eRecht24 den Cyber-Security-Dienst Friendly Captcha GmbH, Am Anger 3–5, 82237 Wörthsee, Deutschland, zur Absicherung des Widerrufsformulars sowie den Mailing-Dienstleister MailPace Ltd., Unit G32, 111 Power Rd, Chiswick, London W4 5PY, Vereinigtes Königreich, für den Versand der Bestätigungs-E-Mails ein. eRecht24 hat mit beiden Dienstleistern einen Vertrag zur Auftragsverarbeitung abgeschlossen. Rechtsgrundlagen: • Art. 6 Abs. 1 lit. c DSGVO (Erfüllung einer gesetzlichen Pflicht) • Art. 6 Abs. 1 lit. b DSGVO (Vertrag) XX. Audio- und Videokonferenzen (Zoom, Google Meet) Für die Kommunikation mit Interessenten und Kunden setzen wir Online-Konferenz-Tools ein. Wenn Sie mit uns per Video- oder Audiokonferenz kommunizieren, werden Ihre personenbezogenen Daten von uns und dem Anbieter des jeweiligen Tools verarbeitet. Verarbeitete Daten: • Name, E-Mail-Adresse und/oder Telefonnummer • Beginn, Ende und Dauer der Teilnahme • Anzahl der Teilnehmer und sonstige Metadaten • technische Daten (IP-Adresse, Geräte-IDs, Gerätetyp, Betriebssystem, Client-Version, Verbindungsart) • ggf. geteilte Inhalte (Chat-Nachrichten, hochgeladene Dateien, Aufzeichnungen, soweit aktiviert) Zwecke und Rechtsgrundlagen: Die Tools dienen der Kommunikation mit angehenden oder bestehenden Vertragspartnern (Art. 6 Abs. 1 lit. b DSGVO) sowie der Vereinfachung und Beschleunigung der Kommunikation (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Soweit eine Einwilligung abgefragt wurde, erfolgt der Einsatz auf Grundlage dieser Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Seite 13 von 15 Healing Humans GmbH Datenschutzerklärung 1. Zoom Anbieter ist die Zoom Communications Inc., 55 Almaden Boulevard, 6th Floor, San Jose, CA 95113, USA. Die Datenübertragung in die USA wird auf EU-Standardvertragsklauseln gestützt; Zoom ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert. Es besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO. Datenschutzerklärung von Zoom: https://www.zoom.com/de/trust/privacy/privacy-statement/ 2. Google Meet Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert. Es besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO. Datenschutzerklärung von Google: https://policies.google.com/privacy?hl=de XXI. Einsatz von Google Drive Wir haben Google Drive auf unserer Website eingebunden. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google Drive ermöglicht es uns, einen Uploadbereich auf unserer Website bereitzustellen, in dem Sie Inhalte hochladen können. Hochgeladene Inhalte werden auf den Servern von Google Drive gespeichert. Beim Aufruf der Website wird zudem eine Verbindung zu Google Drive aufgebaut. Rechtsgrundlagen: • Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem zuverlässigen Uploadbereich) • Art. 6 Abs. 1 lit. a DSGVO (sofern eine Einwilligung abgefragt wurde) Google ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert. Es besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO. XXII. Speicherdauer Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Bestimmungen dies verlangen. Insbesondere gelten folgende Fristen: • Rechnungs- und Buchhaltungsdaten: 10 Jahre (gem. § 147 AO, § 257 HGB) • Vertragsdaten: bis zum Ablauf gesetzlicher Verjährungsfristen (regelmäßig 3 Jahre) • Marketingdaten: bis zum Widerruf der Einwilligung • Server-Logfiles: gemäß Hoster-Richtlinie, i. d. R. 7–14 Tage • Newsletterdaten: bis zum Widerruf der Einwilligung • Support-/Kontaktanfragen: nach Erledigung und Ablauf möglicher Aufbewahrungsfristen Wenn der Zweck entfällt und keine gesetzlichen Pflichten entgegenstehen, werden die Daten gelöscht. XXIII. Datensicherheit Wir ergreifen umfangreiche technische und organisatorische Maßnahmen (TOMs) zum Schutz Ihrer personenbezogenen Daten, insbesondere gegen: Seite 14 von 15 Healing Humans GmbH Datenschutzerklärung • Verlust • unbefugten Zugriff • Manipulation • Offenlegung • Zerstörung Zu unseren Maßnahmen gehören u. a.: • SSL-/TLS-Verschlüsselung der gesamten Website • verschlüsselte Datenübertragung zu externen Dienstleistern • Zugriffsbeschränkungen (Role-based Access Control) • regelmäßige Sicherheitsaudits • AV-Verträge mit allen Auftragsverarbeitern • verschlüsselte Backups • Firewalls und Intrusion Detection Systeme Die Sicherheit wird entsprechend der technologischen Entwicklung fortlaufend verbessert. XXIV. Änderungen dieser Datenschutzerklärung Wir behalten uns vor, diese Datenschutzerklärung anzupassen, insbesondere: • bei neuen gesetzlichen Vorgaben, • bei Änderungen unserer Dienste, • bei Erweiterung unserer technischen Systeme, • oder bei Nutzung neuer Dienstleister. Es gilt stets die auf dieser Website veröffentlichte aktuelle Fassung. XXV. Schlussklausel Sollten einzelne Bestimmungen dieser Datenschutzerklärung unwirksam sein oder werden, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. Die unwirksame Bestimmung wird durch eine solche ersetzt, die dem Sinn der ursprünglichen Bestimmung am nächsten kommt. Seite 15 von 15