Datenschutzerklärung

1. Verantwortlicher

Prevly - Boris Hermann
Am alten Wasserwerk 25
31135 Hildesheim
E-Mail: info@prevly.de

2. Allgemeines

Wir verarbeiten personenbezogene Daten ausschließlich im Rahmen der gesetzlichen Bestimmungen (DSGVO, BDSG, TDDDG). Personenbezogene Daten werden nur erhoben, soweit dies zur Bereitstellung unserer zertifizierten Online-Präventionskurse nach § 20 SGB V erforderlich ist.

3. Hosting und Server-Logfiles

Unsere Web-Anwendung wird bei Vercel (Vercel Inc., USA) gehostet (Frontend, Serverless-Funktionen, CDN). Datenbank, Authentifizierung und Datei-Speicher laufen über Supabase mit serverseitiger Verarbeitung in der EU-Region. Beim Aufruf der Seiten werden technisch notwendige Zugriffsdaten (u. a. IP-Adresse, Datum/Uhrzeit, abgerufene Ressource, Browsertyp) verarbeitet, um den sicheren und stabilen Betrieb zu gewährleisten (Art. 6 Abs. 1 lit. f DSGVO).

Kursvideos und Datensicherungen

Die Videos unserer Kurse liefern wir von einem eigenen Server aus, den die Hostinger International Ltd. (Zypern) für uns in einem Rechenzentrum in Frankfurt am Main (Deutschland) bereitstellt. Ein Video lässt sich nur abspielen, wenn du angemeldet bist und den Kurs gebucht hast: Nur dann erzeugt unsere Anwendung einen signierten Link zum Video, der nach wenigen Stunden abläuft.

Beim Abruf eines Videos verarbeitet der Server technisch notwendige Zugriffsdaten: deine IP-Adresse, Datum und Uhrzeit, die abgerufene Videodatei, den Status der Anfrage, die übertragene Datenmenge und die Kennung deines Browsers (Browser, Version, Betriebssystem). In den Protokolldateien speichern wir die IP-Adresse nur gekürzt (bei IPv4 ohne das letzte Zahlenfeld, bei IPv6 nur die ersten beiden Blöcke); die Signatur des Links speichern wir nicht. Die Protokolldateien werden nach 14 Tagen automatisch gelöscht. Die Auslieferung der Videos dient der Erfüllung des Vertrags über deinen Kurszugang (Art. 6 Abs. 1 lit. b DSGVO), die Protokollierung dem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Auf demselben Server speichern wir außerdem tägliche Sicherungskopien unserer Datenbank, um Daten nach einem technischen Fehler wiederherstellen zu können (Art. 6 Abs. 1 lit. f DSGVO i. V. m. Art. 32 DSGVO). Die Sicherungskopien erstellt ein automatisierter Ablauf bei GitHub (GitHub Inc., USA): Die Datenbankinhalte werden dort ausgelesen, sofort verschlüsselt und nur verschlüsselt an unseren Server übertragen; entschlüsseln können nur wir. Soweit du in die Verarbeitung von Gesundheitsdaten eingewilligt hast (Art. 9 Abs. 2 lit. a DSGVO, siehe Abschnitt 5), umfasst die Speicherung auch diese Sicherungskopien.

4. Cookies

Wir verwenden ausschließlich technisch notwendige Cookies für Login und Sitzungsverwaltung (Art. 6 Abs. 1 lit. f DSGVO bzw. § 25 Abs. 2 TDDDG). Es findet keine Analyse, kein Tracking und keine Weitergabe zu Werbezwecken statt. Es werden keine optionalen Marketing- oder Analyse-Cookies gesetzt.

5. Welche Daten wir verarbeiten

Konto-Daten: Name, E-Mail-Adresse, Passwort (nur als Hash gespeichert), ggf. Krankenkasse (siehe unten)
Kursdaten: Buchungen, Kursfortschritt, abgeschlossene Einheiten, Lernkontrollen, Teilnahmebescheinigungen
Rezept-Favoriten und gespeicherte Mealpläne: nur mit deiner Einwilligung, siehe unten
Zahlungsdaten: werden durch unseren Zahlungsdienstleister Stripe verarbeitet, bei Zahlung mit PayPal zusätzlich durch PayPal (siehe Abschnitt 7); vollständige Karten- oder Kontodaten und PayPal-Zugangsdaten werden bei uns nicht gespeichert
Kontraindikations-Bestätigung: Beim Kauf wird die Bestätigung der Teilnahmevoraussetzungen abgefragt; es werden keine gesundheitsbezogenen Detaildaten gespeichert
Technische Daten: siehe Abschnitt 3

Angaben, für die wir dich um Einwilligung bitten

Für die folgenden Angaben fragen wir dich nach deiner ausdrücklichen Einwilligung, weil sie Rückschlüsse auf deine Gesundheit zulassen können. Wir behandeln sie als besondere Kategorien personenbezogener Daten (Art. 9 DSGVO); Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a i. V. m. Art. 9 Abs. 2 lit. a DSGVO). Den Zeitpunkt deiner Einwilligung speichern wir als Nachweis. Die Einwilligung ist freiwillig: Ohne sie kannst du dich genauso registrieren, Kurse buchen und durcharbeiten; du kannst dann lediglich keine Krankenkasse angeben und keine Favoriten oder Pläne speichern. Du kannst eine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt davon unberührt.

Krankenkasse: Ob wir nach deiner Krankenkasse fragen, legen wir in unserer Verwaltung fest. Ist die Abfrage eingeschaltet, kannst du bei der Registrierung oder beim Kauf eines Kurses freiwillig angeben, bei welcher Krankenkasse du versichert bist. Gibst du sie an, setzt du im Formular zusätzlich das Häkchen für die Einwilligung; ohne Häkchen lässt sich die Angabe nicht absenden, und ohne Einwilligung speichern wir sie nicht. Wir verwenden sie ausschließlich im Zusammenhang mit der Erstattung deiner Kursgebühr durch deine Krankenkasse. Bei uns sehen sie nur Administratoren in der Nutzer- und Buchungsverwaltung, die sie auch als CSV exportieren können. Deine Einwilligung kannst du jederzeit in deinem Konto unter „Kontoeinstellungen“ widerrufen oder formlos per E-Mail an die in Abschnitt 12 genannte Kontaktadresse; wir löschen die Angabe dann aus deinem Konto.

Rezept-Favoriten und gespeicherte Mealpläne: Im Rezeptbereich deines Ernährungskurses kannst du Rezepte als Favoriten markieren und Tages- oder Wochenpläne in deinem Konto speichern. Ein gespeicherter Plan enthält seinen Namen, die ausgewählten Rezepte mit Portionen und die Angaben, auf denen er beruht: dein Ziel (Gewicht halten, langsam abnehmen oder Muskeln aufbauen), deinen berechneten täglichen Energiebedarf, deine Ernährungsform und Rezept-Schwerpunkte, ausgeschlossene Allergene und Zutaten, die du nicht magst. Bevor wir erstmals einen Favoriten oder Plan in deinem Konto speichern, fragen wir in einem Dialog nach deiner Einwilligung; sie gilt für Favoriten und Pläne gemeinsam. Wir speichern diese Daten, damit du sie später wieder aufrufen kannst; ausgewählte Favoriten berücksichtigt der Mealplan-Assistent auf deinen Wunsch außerdem beim Erstellen eines Tagesplans. Andere Kursteilnehmende sehen deine Favoriten und Pläne nicht; bei uns haben nur Administratoren Lesezugriff. Widerrufen kannst du jederzeit direkt im Dashboard im Bereich „Meine Favoriten“ oder formlos per E-Mail an die in Abschnitt 12 genannte Kontaktadresse. Mit dem Widerruf löschen wir alle deine gespeicherten Favoriten und Mealpläne; neue kannst du erst nach einer erneuten Einwilligung speichern. Solange dein Ernährungskurs läuft, kannst du einzelne Favoriten und Pläne auch selbst entfernen.

6. Zwecke und Rechtsgrundlagen

Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO) — Konto, Kurszugang, Bescheinigungen, Rechnungen
Rechtliche Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO) — Aufbewahrungspflichten (HGB/AO)
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) — IT-Sicherheit, Missbrauchsprävention
Ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a i. V. m. Art. 9 Abs. 2 lit. a DSGVO) — Krankenkasse, Rezept-Favoriten und gespeicherte Mealpläne (siehe Abschnitt 5). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO)

7. Empfänger / Auftragsverarbeiter

Vercel Inc. (USA) — Hosting der Web-Anwendung (Frontend, Serverless-Funktionen, CDN); Übermittlung auf Grundlage der EU-Standardvertragsklauseln (Art. 46 DSGVO)
Supabase Inc. (Authentifizierung, Datenbank, Datei-Speicher; Verarbeitung in EU-Region) — Muttergesellschaft in den USA; Übermittlung auf Grundlage der EU-Standardvertragsklauseln (Art. 46 DSGVO)
Stripe Payments Europe, Ltd. (Irland) — Zahlungsabwicklung
PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg) — nur wenn du mit PayPal bezahlst: Dafür wirst du im Zahlungsablauf zu PayPal weitergeleitet. PayPal verarbeitet deine Daten für diese Zahlung in eigener Verantwortung nach seiner Datenschutzerklärung
ALL-INKL.COM – Neue Medien Münnich (Deutschland) — Versand transaktionaler E-Mails (Registrierung, Buchungsbestätigung, Bescheinigungen)
Hostinger International Ltd. (Zypern) — Bereitstellung des Servers (Rechenzentrum, Hardware, Netz) für die Auslieferung der Kursvideos und die Speicherung verschlüsselter Datensicherungen; die Daten werden ausschließlich in Deutschland (Frankfurt am Main) gespeichert
GitHub Inc. (USA) — automatisierte Erstellung der verschlüsselten Datensicherungen; Übermittlung auf Grundlage des EU-US Data Privacy Framework (Art. 45 DSGVO) bzw. der EU-Standardvertragsklauseln (Art. 46 DSGVO)

Mit allen Auftragsverarbeitern (PayPal ausgenommen, siehe oben) bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

8. Drittlandübermittlung

Soweit Daten an Empfänger außerhalb der EU/des EWR übermittelt werden (z. B. Vercel Inc., Supabase Inc. und GitHub Inc., USA), erfolgt dies auf Grundlage der EU-Standardvertragsklauseln und ergänzender Schutzmaßnahmen bzw. – soweit der Empfänger zertifiziert ist – des EU-US Data Privacy Framework. Bei Zahlungen mit PayPal richtet sich die Übermittlung in Drittländer nach der Datenschutzerklärung von PayPal.

9. Speicherdauer

Konto- und Kursdaten werden bis zur Löschung des Kontos aufbewahrt. Die Krankenkasse speichern wir, bis du deine Einwilligung widerrufst oder dein Konto löschst. Rezept-Favoriten und gespeicherte Mealpläne speichern wir, bis du sie selbst entfernst, deine Einwilligung widerrufst oder dein Konto löschst. Schließt du deinen Ernährungskurs ab oder wird er storniert, bleiben sie gespeichert; abrufen kannst du sie erst wieder, wenn du erneut einen Ernährungskurs belegst. Buchungs- und Rechnungsdaten unterliegen der gesetzlichen Aufbewahrungsfrist von bis zu 10 Jahren (§ 147 AO, § 257 HGB). Die Zugriffsprotokolle des Video-Servers werden nach 14 Tagen gelöscht, Sicherungskopien der Datenbank in der Regel nach 30 Tagen. Nach einer Löschung deines Kontos oder einem Widerruf können deine Daten daher noch in den verschlüsselten Sicherungskopien enthalten sein, bis diese gelöscht werden – in der Regel bis zu 30 Tage. Dort werden sie nur für eine Wiederherstellung nach einem technischen Fehler genutzt.

10. Deine Rechte

Du hast jederzeit das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO) sowie auf Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO).

Einen Export deiner Daten sowie die Löschung deines Kontos kannst du direkt in deinem Nutzer-Dashboard anstoßen.

11. Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO).

12. Kontakt für Datenschutzanfragen

Für Anfragen zum Datenschutz wende dich bitte an info@prevly.de.

13. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald Änderungen der Verarbeitung oder der Rechtslage dies erfordern. Es gilt die jeweils auf prevly.de veröffentlichte Fassung.