Datenschutzerklärung

Der Schutz deiner personenbezogenen Daten ist uns wichtig. Diese Erklärung informiert dich nach Art. 13 und Art. 14 der Datenschutz-Grundverordnung (DSGVO) darüber, welche Daten wir beim Betrieb dieser Website verarbeiten. Sie ist so aufgebaut, dass du sie in zwei Richtungen lesen kannst: die Abschnitte 1 bis 15 beantworten die allgemeinen Pflichtfragen, die Abschnitte 16 bis 40 beschreiben jede einzelne Verarbeitung, die auf dieser Website tatsächlich stattfindet, mit ihrer eigenen Rechtsgrundlage und ihrer eigenen Frist.

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO). Dazu gehören dein Name und deine E-Mail-Adresse, aber auch technische Angaben wie die IP-Adresse deines Anschlusses.

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO und der ergänzenden nationalen Datenschutzvorschriften ist:

Vitalis Zentrum
Inhaber: Patrick Meyfarth
Einzelunternehmen
Philipp-Hoffmeister-Strasse 18
34270 Schauenburg
Deutschland

E-Mail: vitaliszentrum.contact@gmail.com
Telefon: +49 1573 4486483
Website: https://vitaliszentrum.com

Die vollständigen Anbieterangaben nach § 5 DDG stehen im Impressum. Für alle Anliegen zum Datenschutz, einschließlich der Ausübung der in Abschnitt 8 genannten Rechte, erreichst du uns unter vitaliszentrum.contact@gmail.com oder schriftlich unter der oben genannten Anschrift.

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nicht bestellt, und er ist auch nicht zu bestellen. Der Betrieb ist ein Einzelunternehmen und beschäftigt damit weit weniger als die zwanzig Personen, ab denen § 38 Abs. 1 Satz 1 BDSG eine Benennung verlangt. Auch die Voraussetzungen des Art. 37 Abs. 1 DSGVO liegen nicht vor: es handelt sich nicht um eine Behörde, die Kerntätigkeit besteht nicht in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen, und die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ist weder umfangreich noch Kerntätigkeit. Ebenso wenig werden personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung verarbeitet (§ 38 Abs. 1 Satz 2 BDSG).

Anliegen zum Datenschutz richtest du deshalb unmittelbar an den Verantwortlichen aus Abschnitt 1, per E-Mail an vitaliszentrum.contact@gmail.com oder schriftlich an die dort genannte Anschrift. Eine Anfrage wird dadurch nicht anders behandelt: die Fristen des Art. 12 Abs. 3 DSGVO gelten unverändert.

3. Zwecke und Rechtsgrundlagen im Überblick

Jede Verarbeitung auf dieser Website hat einen benannten Zweck und eine benannte Rechtsgrundlage. Die folgende Übersicht ist die Kurzfassung; die maßgebliche Beschreibung steht jeweils im eigenen Abschnitt.

• Auslieferung der Website, technische Sicherheit und Stabilität des Betriebs: Art. 6 Abs. 1 lit. f DSGVO, Abschnitte 16 bis 19.
• Speichern von Informationen auf deinem Endgerät und Zugriff auf dort bereits gespeicherte Informationen, soweit sie nicht unbedingt erforderlich sind: Einwilligung nach § 25 Abs. 1 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO, Abschnitte 20 und 21. Unbedingt erforderliche Vorgänge stützen sich auf § 25 Abs. 2 Nr. 2 TDDDG.
• Beantwortung einer Anfrage über das Kontaktformular und Abstimmung eines Termins über die Terminanfrage: Art. 6 Abs. 1 lit. b DSGVO, weil die Verarbeitung erforderlich ist, um genau das zu tun, worum du gebeten hast, Abschnitte 23 und 24.
• Gesundheitsbezogene Angaben, die du freiwillig in ein Freitextfeld schreibst, obwohl kein Feld danach fragt: ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, Abschnitt 30.
• Newsletter im Double-Opt-in-Verfahren: Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 7 Abs. 2 Nr. 3 UWG, Abschnitt 25.
• Nachweis einer erteilten Einwilligung: rechtliche Verpflichtung aus Art. 7 Abs. 1 DSGVO, damit Art. 6 Abs. 1 lit. c DSGVO, Abschnitt 25.
• Ausfallsicherheit für eingegangene Anfragen, damit keine Anfrage durch eine technische Störung verloren geht: Art. 6 Abs. 1 lit. f DSGVO, Abschnitt 26.
• Abwehr automatisierter Eingaben und Begrenzung der Übermittlungen je Anschluss: Art. 6 Abs. 1 lit. f DSGVO, Abschnitt 27.
• Bereitstellung der Podcast-Folgen über einen Audioanbieter, ausgelöst durch deinen Klick auf Abspielen: Art. 6 Abs. 1 lit. f DSGVO, Abschnitt 31.
• Reichweitenmessung und Marketing, sobald ein solcher Dienst eingerichtet ist: Einwilligung nach § 25 Abs. 1 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO, Abschnitt 36.
• Erfüllung gesetzlicher Pflichten, insbesondere der handels- und steuerrechtlichen Aufbewahrungspflichten: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 257 HGB und § 147 AO.
• Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen: Art. 6 Abs. 1 lit. f DSGVO, bei besonderen Kategorien zusätzlich Art. 9 Abs. 2 lit. f DSGVO.

4. Berechtigte Interessen im Einzelnen

Art. 13 Abs. 1 lit. d DSGVO verlangt, dass wir dir das berechtigte Interesse ausdrücklich benennen, wo wir uns auf Art. 6 Abs. 1 lit. f DSGVO stützen. Damit du die Abwägung nachvollziehen kannst, steht hier jedes einzelne:

• Server-Logfiles und Bot-Management: der sichere, stabile und angriffsresistente Betrieb der Website. Ohne die Verarbeitung der Verbindungsdaten lässt sich eine Seite technisch nicht ausliefern und ein Angriff weder erkennen noch abwehren.
• Zwischenspeicher für Anfragen: das Interesse daran, eine an uns gerichtete Anfrage nicht durch eine technische Störung zu verlieren. Eine verlorene Terminanfrage ist ein Nachteil für dich, nicht in erster Linie für uns.
• Schutz vor automatisierten Eingaben: die Abwehr von Spam und missbräuchlicher Nutzung der Formulare, verbunden mit dem Interesse, eine irrtümlich abgewiesene echte Anfrage wiederfinden und nachholen zu können.
• Auslieferung der Podcast-Audiodateien: das Interesse, einen Podcast ohne eigenen Medienserver bereitzustellen, verbunden damit, dass die Verbindung erst durch deinen ausdrücklichen Klick auf Abspielen entsteht.
• Auswertung von Meldungen über blockierte Inhalte: das Interesse, eine fehlerhafte oder manipulierte Einbindung auf der eigenen Website zu bemerken. Die Meldungen enthalten keine Angabe zur meldenden Person, siehe Abschnitt 35.
• Rechtsverteidigung: das Interesse, Ansprüche feststellen, geltend machen und abwehren zu können, solange die gesetzlichen Fristen laufen.

Gegen eine Verarbeitung, die auf Art. 6 Abs. 1 lit. f DSGVO beruht, kannst du nach Art. 21 Abs. 1 DSGVO jederzeit Widerspruch einlegen. Wie das geht, steht in Abschnitt 8.

5. Empfänger und Kategorien von Empfängern

Personenbezogene Daten geben wir weiter, wenn du eingewilligt hast (Art. 6 Abs. 1 lit. a DSGVO), wenn die Weitergabe zur Erfüllung oder Anbahnung eines Vertrags erforderlich ist (lit. b), wenn eine gesetzliche Pflicht besteht (lit. c) oder wenn die Weitergabe zur Geltendmachung oder Verteidigung von Rechtsansprüchen erforderlich ist und kein überwiegendes schutzwürdiges Interesse entgegensteht (lit. f). Ein Verkauf von Daten findet nicht statt.

Ein Auftragsverarbeiter nach Art. 28 DSGVO ist kein Dritter im Sinne der Verordnung: er verarbeitet Daten ausschließlich weisungsgebunden für uns. Mit jedem der folgenden Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 Abs. 3 DSGVO.

• Hosting und Auslieferungsnetz: Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA. Eingesetzt werden Cloudflare Pages für die Auslieferung der Seiten und Cloudflare Workers KV als Zwischenspeicher für eingegangene Anfragen. Einzelheiten in den Abschnitten 16, 17 und 26.
• Kundenverwaltung und Formularempfang: LeadConnector LLC, verbundenes Unternehmen der HighLevel Inc., 1801 N. Lamar St., Suite 600, Dallas, Texas 75202, USA. Dort werden Anfragen aus den Formularen entgegengenommen, bearbeitet und nachgehalten. Einzelheiten in Abschnitt 28.

Daneben können Daten an die folgenden Empfänger gelangen, die nicht in unserem Auftrag verarbeiten:

• Der Anbieter der Podcast-Audiodateien, sobald du eine Folge abspielst. Das ist eine eigene Verantwortlichkeit dieses Anbieters, ausgelöst durch deine Handlung, siehe Abschnitt 31.
• Steuerberatung, Bank, Rechtsberatung und Versicherer, soweit eine gesetzliche Pflicht oder die Abwicklung eines Vertragsverhältnisses das erfordert.
• Behörden und Gerichte, soweit wir gesetzlich zur Auskunft verpflichtet sind.

Mit Statistik-Einwilligung nutzen wir HighLevel für die Analyse von Seitenaufrufen, Besuchsdauer und Formularaktionen einschließlich eingegebener Angaben auf allen Seiten. Marketingdienste bleiben ausgeschaltet. Die Einzelheiten stehen in Abschnitt 36.

6. Übermittlung in ein Drittland

Die in Abschnitt 5 genannten Auftragsverarbeiter haben ihren Sitz in den Vereinigten Staaten von Amerika, sodass eine Verarbeitung außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums nicht ausgeschlossen ist. Für jede dieser Übermittlungen besteht eine benannte Grundlage:

• Cloudflare, Inc.: das Unternehmen nimmt am EU-U.S. Data Privacy Framework teil, für das die Europäische Kommission am 10. Juli 2023 einen Angemessenheitsbeschluss nach Art. 45 DSGVO gefasst hat. Ergänzend sind die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO vereinbart. Die Auslieferung der Seiten selbst erfolgt über Rechenzentren im europäischen Netz des Anbieters.
• LeadConnector LLC: das Unternehmen nimmt am EU-U.S. Data Privacy Framework teil. Als zusätzliche Grundlage sind die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO vereinbart.

Wir weisen offen darauf hin, dass in einem Drittland nicht in jedem Fall ein der DSGVO gleichwertiges Schutzniveau besteht. Staatliche Stellen können dort unter Umständen auf Daten zugreifen, und die Rechtsbehelfe dagegen sind begrenzt. Die genannten Mechanismen sollen dieses Risiko vertraglich und organisatorisch abfedern, ohne es vollständig auszuschließen.

Eine Übermittlung an einen Empfänger in einem Drittland, für die weder ein Angemessenheitsbeschluss noch geeignete Garantien noch eine Ausnahme nach Art. 49 DSGVO vorliegt, findet nicht statt. Kommt später ein Empfänger hinzu, wird die konkrete Grundlage an der jeweiligen Stelle dieser Erklärung benannt. Beruht eine Übermittlung ausnahmsweise allein auf deiner Einwilligung nach Art. 49 Abs. 1 lit. a DSGVO, wird dich das Einwilligungsfeld ausdrücklich darauf hinweisen, bevor du zustimmst.

7. Speicherdauer und Löschfristen

Wir speichern personenbezogene Daten so lange, wie es für den jeweiligen Zweck erforderlich ist, und löschen sie danach, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 5 Abs. 1 lit. e DSGVO). Die folgenden Fristen sind technisch hinterlegt und laufen automatisch ab, ohne dass jemand eingreifen muss:

• Eingegangene Anfrage im Zwischenspeicher: 180 Tage ab Eingang, danach automatische Löschung, unabhängig vom Bearbeitungsstand.
• Abgewiesene Formulareingabe aus der Prüfung auf automatisierte Eingaben: 30 Tage.
• Nicht zugestellte Anfrage in der Wiedervorlage: keine automatische Frist, sondern Löschung, sobald die Zustellung gelungen ist. Ein Eintrag ohne Frist ist hier die vorsichtigere Lösung, weil das Verstreichen einer Frist sonst eine unbearbeitete Anfrage vernichten würde.
• Bestätigungslink für den Newsletter: 48 Stunden, dann verfällt der Vorgang von selbst.
• Nachweis einer Newsletter-Einwilligung: 3 Jahre ab der Bestätigung.
• Kampagnenherkunft zu einer Anfrage, sofern Messung eingeschaltet und von dir erlaubt ist: 90 Tage.
• Zähler der Übermittlungsbegrenzung: 60 Sekunden.
• Meldung über einen blockierten Inhalt: 30 Tage.
• Deine Entscheidung im Einwilligungsfeld, gespeichert im lokalen Speicher deines Browsers: 12 Monate, danach wird die Frage neu gestellt.

Für die Verarbeitungen, deren Dauer sich nicht in einer festen Zahl ausdrücken lässt, nennen wir nach Art. 13 Abs. 2 lit. a DSGVO die Kriterien:

• Server-Logfiles: die Daten werden gelöscht, sobald der Sicherheitszweck erreicht ist. Wird kein konkreter Vorfall geprüft, geschieht das im Rahmen der kurzen, beim Hostinganbieter eingerichteten Aufbewahrung; wird ein Vorfall geprüft, mit dessen Abschluss. Eine Verknüpfung dieser Daten mit anderen Quellen findet nicht statt.
• Anfrage im Kundenverwaltungssystem: die Daten bleiben gespeichert, solange sie für die Bearbeitung und für die Anbahnung oder Durchführung einer Zusammenarbeit erforderlich sind, und werden gelöscht, wenn der Vorgang abgeschlossen ist und keine Aufbewahrungspflicht entgegensteht. Ein reiner Erstkontakt ohne weiteren Verlauf wird spätestens mit dem Ablauf des dritten Kalenderjahres nach dem Kontakt gelöscht, weil danach auch die regelmäßige Verjährung nach § 195 BGB abgelaufen ist.
• Unterlagen aus einem zustande gekommenen Vertrag: sechs beziehungsweise zehn Jahre nach § 257 HGB und § 147 AO, gerechnet ab dem Ende des Kalenderjahres, in dem der Vorgang abgeschlossen wurde. Während dieser Zeit ist die Verarbeitung nach Art. 18 Abs. 1 lit. b DSGVO auf die Aufbewahrung beschränkt.

8. Deine Rechte als betroffene Person

Die DSGVO gibt dir die folgenden Rechte. Für jedes steht hier, worauf es sich stützt und wie du es konkret ausübst. Eine formlose Nachricht an vitaliszentrum.contact@gmail.com genügt in jedem Fall; ein Formular, ein bestimmter Wortlaut oder eine Begründung ist nicht nötig, außer wo es unten ausdrücklich steht.

• Auskunft, Art. 15 DSGVO. Du kannst eine Bestätigung verlangen, ob wir Daten über dich verarbeiten, und wenn ja, Auskunft über diese Daten, die Zwecke, die Empfänger, die geplante Dauer, die Herkunft und das Bestehen deiner weiteren Rechte. Auf Wunsch stellen wir dir eine Kopie der verarbeiteten Daten bereit. So geht es: schreibe uns eine E-Mail mit dem Stichwort Auskunft und nenne die E-Mail-Adresse, die Telefonnummer oder den Namen, unter denen du uns geschrieben hast, damit wir die richtigen Datensätze finden.
• Berichtigung, Art. 16 DSGVO. Unrichtige Daten berichtigen wir, unvollständige vervollständigen wir. So geht es: nenne uns den falschen und den richtigen Wert, dann korrigieren wir den Eintrag und informieren, soweit möglich, jeden Empfänger, an den wir den Wert weitergegeben haben (Art. 19 DSGVO).
• Löschung, Art. 17 DSGVO. Du kannst die Löschung verlangen, insbesondere wenn die Daten für den Zweck nicht mehr erforderlich sind, wenn du eine Einwilligung widerrufen hast oder wenn du Widerspruch eingelegt hast und kein vorrangiger Grund entgegensteht. So geht es: eine Nachricht mit dem Stichwort Löschung genügt. Wir löschen dann auch den Eintrag im Zwischenspeicher nach Abschnitt 26 und den Datensatz im Kundenverwaltungssystem nach Abschnitt 28. Wo eine gesetzliche Aufbewahrungspflicht entgegensteht, sagen wir dir das und beschränken die Verarbeitung stattdessen auf die Aufbewahrung.
• Einschränkung der Verarbeitung, Art. 18 DSGVO. Statt einer Löschung kannst du verlangen, dass wir die Daten ausschließlich aufbewahren, etwa während wir die Richtigkeit prüfen oder während ein Widerspruch geprüft wird. So geht es: nenne uns den Vorgang und den Grund, dann sperren wir die Datensätze für jede weitere Verwendung.
• Datenübertragbarkeit, Art. 20 DSGVO. Daten, die du uns bereitgestellt hast und die wir auf Grundlage einer Einwilligung oder eines Vertrags automatisiert verarbeiten, stellen wir dir in einem strukturierten, gängigen und maschinenlesbaren Format bereit, auf Wunsch auch unmittelbar einem anderen Verantwortlichen. So geht es: schreibe uns, welches Format dir passt; ohne Angabe liefern wir eine Datei im Format JSON.
• Widerspruch, Art. 21 Abs. 1 DSGVO. Gegen jede Verarbeitung, die auf Art. 6 Abs. 1 lit. f DSGVO beruht, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, Widerspruch einlegen. Wir verarbeiten die Daten dann nicht weiter, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die deine Interessen überwiegen. So geht es: schildere uns kurz deine Situation, eine lange Begründung ist nicht nötig.
• Widerspruch gegen Direktwerbung, Art. 21 Abs. 2 DSGVO. Diesem Widerspruch geben wir ohne Abwägung und ohne Begründung statt. So geht es: der Abmeldelink am Ende jeder Newsletter-E-Mail genügt, eine formlose Nachricht ebenso.
• Widerruf einer Einwilligung, Art. 7 Abs. 3 DSGVO. Siehe Abschnitt 9.
• Beschwerde bei einer Aufsichtsbehörde, Art. 77 DSGVO. Siehe Abschnitt 10.
• Freiheit von einer automatisierten Entscheidung, Art. 22 DSGVO. Eine solche Entscheidung findet hier nicht statt, siehe Abschnitt 13.

Wir antworten unverzüglich, spätestens innerhalb eines Monats nach Eingang (Art. 12 Abs. 3 DSGVO). Bei besonders komplexen Anliegen kann sich die Frist um zwei weitere Monate verlängern; darüber informieren wir dich dann innerhalb des ersten Monats und nennen den Grund. Die Auskunft ist unentgeltlich. Bei offenkundig unbegründeten oder exzessiven Anträgen dürfen wir nach Art. 12 Abs. 5 DSGVO ein angemessenes Entgelt verlangen oder die Bearbeitung ablehnen; das setzt jeweils eine Begründung von uns voraus.

Bestehen begründete Zweifel an deiner Identität, dürfen wir nach Art. 12 Abs. 6 DSGVO zusätzliche Informationen anfordern, die zur Bestätigung erforderlich sind. Wir fragen dabei so wenig wie möglich ab und verlangen insbesondere keine Ausweiskopie, wenn sich die Zuordnung auch anders herstellen lässt, etwa über die E-Mail-Adresse, unter der du uns geschrieben hast.

9. Widerruf einer Einwilligung

Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen, Art. 7 Abs. 3 DSGVO. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt. Der Widerruf ist so einfach wie die Erteilung:

• Newsletter: über den Abmeldelink am Ende jeder Newsletter-E-Mail oder formlos per Nachricht an vitaliszentrum.contact@gmail.com.
• Optionale Technologien auf deinem Endgerät: über den Punkt Cookie-Einstellungen im Fußbereich jeder Seite. Dort lässt sich jede Kategorie einzeln abwählen. Wird eine Kategorie abgewählt, werden die zugehörigen Einträge auf deinem Gerät entfernt und die zugehörigen Dienste nicht mehr geladen.
• Gesundheitsbezogene Angaben in einer Nachricht: formlos per Nachricht. Wir löschen die betreffende Passage dann aus unseren Aufzeichnungen, siehe Abschnitt 30.

Nach einem Widerruf verarbeiten wir die betroffenen Daten nicht weiter, es sei denn, es besteht eine andere Rechtsgrundlage, etwa eine gesetzliche Aufbewahrungspflicht. Zur Umsetzung einer Abmeldung vom Newsletter speichern wir deine E-Mail-Adresse und den Zeitpunkt der Abmeldung, damit künftige Zusendungen zuverlässig unterbleiben. Diese Speicherung beruht auf Art. 6 Abs. 1 lit. c und lit. f DSGVO.

10. Beschwerde bei einer Aufsichtsbehörde

Unabhängig von jedem anderen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelf kannst du dich nach Art. 77 DSGVO bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere bei der Behörde deines gewöhnlichen Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für den Verantwortlichen aus Abschnitt 1 ist zuständig:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Postfach 3163
65021 Wiesbaden
Website: datenschutz.hessen.de

Eine Beschwerde bei der Aufsichtsbehörde ist an keine Frist gebunden und kostet dich nichts. Du musst dich nicht vorher an uns wenden, auch wenn sich viele Anliegen auf dem kurzen Weg schneller klären lassen.

11. Bereitstellung der Daten und Folgen einer Nichtbereitstellung

Es besteht weder eine gesetzliche noch eine vertragliche Pflicht, uns personenbezogene Daten zu überlassen. Für einzelne Funktionen sind bestimmte Angaben jedoch erforderlich, weil sich die Funktion ohne sie nicht erbringen lässt:

• Kontaktanfrage: Vorname, Nachname und E-Mail-Adresse sowie deine Nachricht. Ohne diese Angaben lässt sich eine Anfrage weder zuordnen noch beantworten.
• Terminanfrage: zusätzlich eine Telefonnummer, weil der Termin telefonisch abgestimmt wird. Eine Terminanfrage ohne Rückrufnummer lässt sich nicht beantworten.
• Newsletter: die E-Mail-Adresse und der Klick auf den Bestätigungslink. Ohne die Bestätigung wird nichts versendet und die Adresse gelangt in keinen Verteiler.

Alle weiteren Felder sind freiwillig. Bleiben sie leer, entsteht dir kein Nachteil, abgesehen davon, dass eine Antwort weniger genau ausfallen kann. Die Auslieferung der Website selbst ist technisch nicht ohne die Verarbeitung der Verbindungsdaten aus Abschnitt 17 möglich; wer das nicht möchte, kann die Website nicht aufrufen, aber uns jederzeit telefonisch unter +49 1573 4486483 erreichen.

12. Herkunft der Daten

Alle personenbezogenen Daten, die wir über diese Website verarbeiten, stammen von dir selbst: entweder aus deiner Eingabe in ein Formular oder aus der technischen Verbindung, die dein Browser beim Aufruf einer Seite aufbaut. Wir kaufen keine Adressdaten zu, reichern keine Profile aus fremden Quellen an und führen keine Daten aus anderen Diensten mit den hier erhobenen zusammen. Kommen Kampagnenmerkmale aus einer Anzeige hinzu (Abschnitt 21), stehen sie in der Adresszeile, mit der du die Seite aufgerufen hast, sind also ebenfalls von dir übermittelt worden.

13. Automatisierte Entscheidungsfindung und Profiling

Eine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung im Sinne des Art. 22 Abs. 1 DSGVO, die dir gegenüber rechtliche Wirkung entfaltet oder dich in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt. Ein Profiling nach Art. 4 Nr. 4 DSGVO findet ebenfalls nicht statt: es wird keine Bewertung persönlicher Aspekte vorgenommen, keine Prognose erstellt und kein Punktwert vergeben.

Die in Abschnitt 27 beschriebene Prüfung auf automatisierte Eingaben ist ein rein technischer Filter. Sie trifft keine Aussage über eine Person, bewertet nichts und hat keine Folge außerhalb dieser einen Übermittlung. Eine irrtümlich abgewiesene Eingabe bleibt 30 Tage auffindbar, damit sie nachgeholt werden kann, statt spurlos verloren zu gehen. Auch die Zuordnung eines Formularfelds zu einem Datensatz im Kundenverwaltungssystem ist eine reine Ablage und keine Entscheidung.

14. Verarbeitung zu einem anderen Zweck

Eine Verarbeitung deiner Daten zu einem anderen als dem Zweck, zu dem sie erhoben wurden, findet nicht statt. Sollte sich das ändern, informieren wir dich vor der Weiterverarbeitung über den neuen Zweck und über alle weiteren nach Art. 13 Abs. 3 DSGVO maßgeblichen Informationen, und wir prüfen zuvor die Vereinbarkeit nach Art. 6 Abs. 4 DSGVO. Beruht die Verarbeitung auf einer Einwilligung, holen wir für den neuen Zweck eine neue Einwilligung ein.

15. Minderjährige

Die Angebote auf dieser Website richten sich an Erwachsene. Wir erheben wissentlich keine Daten von Kindern und Jugendlichen unter 16 Jahren über die Formulare dieser Website. Eine Einwilligung nach Art. 8 Abs. 1 DSGVO, etwa für den Newsletter, ist erst ab dem vollendeten 16. Lebensjahr wirksam; darunter bedarf sie der Zustimmung der Sorgeberechtigten. Erlangen wir Kenntnis davon, dass uns ein Kind ohne diese Zustimmung Daten übermittelt hat, löschen wir sie umgehend.

16. Hosting und Auslieferung der Seiten

Diese Website wird über Cloudflare Pages ausgeliefert, einen Dienst der Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA. Der Anbieter stellt die Serverkapazität und das weltweite Auslieferungsnetz bereit, über das die Seiten, Bilder, Schriftarten und Skripte an deinen Browser gesendet werden, und er betreibt zugleich den in Abschnitt 26 beschriebenen Zwischenspeicher Cloudflare Workers KV.

Zweck: die technische Bereitstellung der Website und ihre Absicherung gegen Überlastung und Angriffe.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse ist der sichere und stabile Betrieb einer Website.
Auftragsverarbeitung: mit dem Anbieter besteht ein Vertrag nach Art. 28 DSGVO.
Drittland: siehe Abschnitt 6.
Datenschutzhinweise des Anbieters: cloudflare.com/privacypolicy.

17. Server-Logfiles

Bei jedem Aufruf einer Seite übermittelt dein Browser technisch notwendige Verbindungsdaten an den Server, die dort in Logfiles verarbeitet werden. Im Einzelnen:

• die IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• Name und Pfad der abgerufenen Datei
• die Seite, von der aus der Zugriff erfolgte (Referrer)
• Typ und Version des Browsers
• das Betriebssystem des Geräts und die eingestellte Sprache
• die übertragene Datenmenge
• die Statusmeldung des Servers, etwa ob der Abruf gelungen ist
• das vom Netz des Anbieters erkannte Herkunftsland der Anfrage

Zweck: der Verbindungsaufbau, die Auslieferung der Inhalte, die Systemsicherheit, die Fehlersuche und die Abwehr von Angriffen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Speicherdauer: siehe die Kriterien in Abschnitt 7.

Diese Daten werden nicht mit anderen Datenquellen zusammengeführt und nicht zur Bildung eines Nutzungsprofils verwendet. Eine Auswertung erfolgt ausschließlich anlassbezogen, wenn ein technischer Fehler oder ein Angriff aufzuklären ist. Die IP-Adresse wird von uns nicht dazu verwendet, dich zu identifizieren, und wir stellen keine Anfrage an einen Anbieter, der das für uns täte.

18. Verschlüsselte Übertragung und Sicherheitskopfzeilen

Die Verbindung zu dieser Website ist durchgehend mit TLS verschlüsselt, zu erkennen am Schlosssymbol in der Adresszeile deines Browsers. Ein Aufruf über unverschlüsseltes HTTP wird auf die verschlüsselte Adresse umgeleitet, und der Server weist deinen Browser über die Kopfzeile Strict-Transport-Security an, diese Domain künftig ausschließlich verschlüsselt anzusprechen. Damit sind die Inhalte, die du überträgst, auf dem Transportweg vor Mitlesen und Veränderung geschützt.

Zusätzlich sendet der Server eine strenge Inhaltssicherheitsrichtlinie (Content-Security-Policy), die festlegt, aus welchen Quellen ein Browser überhaupt etwas laden darf, sowie eine Referrer-Richtlinie, die dafür sorgt, dass beim Wechsel auf eine fremde Website nur die Herkunftsdomain und nicht der vollständige Pfad übertragen wird. Das ist hier bewusst eingestellt: ein Pfad auf dieser Website kann ein Angebot benennen, und ein vollständiger Pfad im Referrer wäre damit ein Hinweis auf dein Interesse, den fremde Server nicht erhalten sollen. Rechtsgrundlage für diese Maßnahmen ist Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO.

19. Bot-Management des Hostinganbieters

Zur Unterscheidung zwischen menschlichen Besucherinnen und Besuchern und automatisierten Zugriffen setzt der Hostinganbieter das Cookie __cf_bm. Es enthält keine Angabe zu deiner Person, dient ausschließlich der Erkennung automatisierter Zugriffe und hat eine kurze Laufzeit von weniger als einer Stunde, nach der es von selbst verfällt.

Zweck: die Abwehr automatisierter Zugriffe und der Schutz der Erreichbarkeit dieser Website.
Rechtsgrundlage für die Speicherung auf deinem Endgerät: § 25 Abs. 2 Nr. 2 TDDDG. Die Speicherung ist unbedingt erforderlich, damit die Website in der Form ausgeliefert werden kann, die du angefordert hast; ohne die Unterscheidung müsste der Anbieter Zugriffe pauschal drosseln.
Rechtsgrundlage für die weitere Verarbeitung: Art. 6 Abs. 1 lit. f DSGVO.

Weil die Speicherung unbedingt erforderlich ist, wird sie nicht über das Einwilligungsfeld abgefragt. Eine Abwahl ist nicht vorgesehen, weil sich die Website ohne den Schutz nicht zuverlässig betreiben lässt. Löschen kannst du das Cookie jederzeit über die Einstellungen deines Browsers.

20. Einwilligungsverwaltung und der Eintrag vzConsent

Diese Website speichert deine Entscheidung über optionale Technologien in deinem eigenen Browser, damit sie auf jeder Seite beachtet wird. Der Eintrag heißt vzConsent und liegt im lokalen Speicher (localStorage) deines Geräts, nicht als Cookie. Er wird deshalb bei keinem Seitenaufruf an einen Server übertragen und verlässt dein Gerät nicht.

Der Eintrag enthält genau vier Angaben:

• eine Formatkennung, damit ein veralteter Eintrag aus einer früheren Fassung erkannt und verworfen wird,
• den Zeitpunkt deiner Entscheidung als Zeitstempel, damit die Zwölfmonatsfrist berechnet werden kann,
• die Fassung dieser Datenschutzerklärung, auf die sich deine Entscheidung bezieht,
• je einen Wahrheitswert für die Kategorien Statistik und Marketing.

Es wird keine Kennung gespeichert, mit der sich dein Gerät oder dein Browser wiedererkennen ließe, und es wird kein Wert an uns oder an einen Dritten gesendet.

Zweck: deine Entscheidung umsetzen und sie nicht bei jedem Seitenwechsel neu abfragen.
Rechtsgrundlage für die Speicherung auf deinem Endgerät: § 25 Abs. 2 Nr. 2 TDDDG. Ohne diese Speicherung ließe sich deine Entscheidung nicht umsetzen, deshalb ist die Kategorie nicht abwählbar und trägt bewusst kein Kontrollkästchen.
Speicherdauer: 12 Monate ab der Entscheidung.

Zwei Ereignisse setzen den Eintrag zurück und führen dazu, dass die Frage neu gestellt wird: der Ablauf der zwölf Monate und eine inhaltliche Änderung dieser Erklärung. Ändert sich, was verarbeitet wird oder wer es empfängt, wird die hinterlegte Fassungskennung hochgezählt, eine ältere Entscheidung gilt als nicht getroffen, und du entscheidest neu über die neue Frage statt an einer Antwort festgehalten zu werden, die sich auf etwas anderes bezog.

Das Einwilligungsfeld erscheint erst, wenn mindestens ein optionaler Dienst eingerichtet ist. Solange nichts eingerichtet ist, gibt es nichts, wofür eine Einwilligung nötig wäre, und ein Feld, das um Erlaubnis für nichts bittet, wäre irreführend. Schließt du das Feld ohne Auswahl, wird nichts aktiviert und nichts gespeichert. Eine getroffene Entscheidung kannst du jederzeit über den Punkt Cookie-Einstellungen im Fußbereich ändern. Die Einzelheiten je Kategorie stehen in der Cookie-Richtlinie.

21. Kampagnenherkunft und der Eintrag vz_attr

Wenn du diese Website über eine Anzeige oder einen gekennzeichneten Link erreichst, stehen in der Adresszeile Merkmale, die die Herkunft beschreiben. Diese Merkmale können in deinem Browser unter dem Eintrag vz_attr im lokalen Speicher abgelegt werden, damit eine spätere Anfrage der richtigen Kampagne zugeordnet werden kann.

Gespeichert werden dabei:

• die Kampagnenmerkmale utm_source, utm_medium, utm_campaign, utm_content und utm_term,
• die Klick-Kennungen fbclid, gclid, ttclid, li_fat_id und msclkid,
• die zuerst aufgerufene Seite, die verweisende Adresse und der Zeitpunkt des ersten Besuchs,
• dieselben Merkmale noch einmal als jüngster Kontakt, damit sich der erste und der letzte Berührungspunkt unterscheiden lassen,
• Zähler für die Zahl der Besuche, die Zahl der aufgerufenen Seiten und die Zahl der Tage seit dem ersten Besuch.

Zweck: nachvollziehen, über welchen Weg eine Anfrage entstanden ist.
Rechtsgrundlage: § 25 Abs. 1 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO. Das ist eine reine Einwilligungsfrage, und sie gilt in beide Richtungen: geschrieben wird der Eintrag erst nach deiner Einwilligung in die Kategorie Statistik, und auch das Zurücklesen eines bereits vorhandenen Eintrags ist ein Zugriff auf Informationen in deinem Endgerät und findet ohne diese Einwilligung nicht statt.

Ohne Einwilligung verlässt trotzdem etwas den Browser, und das sagen wir offen: sendest du ein Formular ab, werden die Kampagnenmerkmale mitgeschickt, die in genau diesem Moment in der Adresszeile stehen. Das Auslesen einer Adresszeile ist kein Zugriff auf gespeicherte Informationen in deinem Endgerät und braucht deshalb keine Einwilligung nach § 25 TDDDG. Ohne diese Angabe erreichte uns eine Anfrage, die direkt aus einer Anzeige stammt, ganz ohne Herkunft, obwohl du sie mit der aufgerufenen Adresse selbst übermittelt hast. Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO, mit dem Interesse, die Wirksamkeit der eigenen Kommunikation beurteilen zu können.

Widerrufst du die Einwilligung, wird der Eintrag vz_attr aus dem lokalen und aus dem Sitzungsspeicher deines Browsers entfernt, zusammen mit jedem weiteren Eintrag, den diese Website angelegt hat. Erhalten bleibt allein vzConsent, weil sonst die Entscheidung verloren ginge, die gerade getroffen wurde.

22. Datenschutzsignale deines Browsers

Sendet dein Browser das Signal Global Privacy Control oder Do Not Track, bleibt der gesamte Messteil dieser Website ausgeschaltet. Es wird kein Einwilligungsfeld gezeigt, keine Entscheidung gespeichert, kein Messeintrag geschrieben und kein Anbieter kontaktiert, unabhängig davon, was aus einem früheren Besuch auf deinem Gerät liegt.

Die übrigen Funktionen der Seite arbeiten dabei unverändert weiter: Navigation, Formulare, Podcast und Anfahrt. Ein Datenschutzsignal ist eine Aussage über Messung, keine Bitte um eine eingeschränkte Website, und deshalb behandeln wir es auch nicht so. Rechtsgrundlage für die Beachtung des Signals ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 25 Abs. 1 TDDDG, soweit man das Signal als Ausdruck einer verweigerten Einwilligung liest, und im Übrigen Art. 6 Abs. 1 lit. f DSGVO.

23. Kontaktformular

Über das Kontaktformular kannst du uns eine Nachricht senden, ohne ein E-Mail-Programm zu öffnen. Übermittelt werden die Angaben, die du selbst einträgst:

• Vorname und Nachname
• E-Mail-Adresse
• das ausgewählte Thema aus einer festen Liste der Angebote, also Inner Growth, Individuelle Beratung, Vitalis Energieanwendung, Ausbildung oder eine andere Frage
• deine Nachricht im Freitextfeld, begrenzt auf 4.000 Zeichen, sowie eine optional angegebene Telefonnummer
• die Bestätigung, dass du diese Datenschutzhinweise zur Kenntnis genommen hast

Technisch fallen bei der Übermittlung zusätzlich an:

• die IP-Adresse des absendenden Anschlusses und die Browserkennung, für die Abwehr automatisierter Eingaben und für die Zuordnung im Eingangsdatensatz,
• der Zeitpunkt des Seitenaufbaus und die verstrichene Zeit bis zum Absenden, ausschließlich für die in Abschnitt 27 beschriebene Prüfung,
• eine zufällig erzeugte Vorgangskennung, damit ein Ereignis später nicht doppelt gezählt wird,
• die Adresse der Seite, von der aus du gesendet hast, sowie die Kampagnenmerkmale nach Abschnitt 21.

Zweck: die Bearbeitung und Beantwortung deiner Anfrage.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, weil die Verarbeitung für die Anbahnung des Gesprächs erforderlich ist, um das du gebeten hast. Für die technisch anfallenden Angaben zur Missbrauchsabwehr zusätzlich Art. 6 Abs. 1 lit. f DSGVO.
Empfänger: der Zwischenspeicher nach Abschnitt 26, das Kundenverwaltungssystem nach Abschnitt 28 und der Versanddienst nach Abschnitt 29.

Das Formular trägt kein Einwilligungshäkchen, und das ist die richtige Antwort, nicht eine Lücke. Die Beantwortung einer Anfrage stützt sich auf Art. 6 Abs. 1 lit. b DSGVO. Eine Einwilligung, die du nicht verweigern kannst, ohne die Leistung zu verlieren, wäre nach Art. 7 Abs. 4 DSGVO nicht freiwillig erteilt und damit unwirksam. Das vorhandene Häkchen bestätigt allein die Kenntnisnahme dieser Hinweise; es ist keine Einwilligung und ersetzt insbesondere keine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, siehe Abschnitt 30.

Nach einer Kontaktanfrage zeigt die Website eine Eingangsbestätigung. Eine automatische E-Mail für allgemeine Kontaktanfragen ist noch nicht eingerichtet.

24. Buchung und Widerruf

Die eigenen Buchungsformulare fragen echte freie Termine serverseitig bei HighLevel ab. Dein Browser kommuniziert dabei mit unserer Website; ein Kalender des Anbieters wird nicht eingebettet. Für die Buchung verarbeiten wir Vorname, Nachname, E-Mail-Adresse, Angebot, Termin und Zeitzone sowie deine Erklärungen zu den Vertragsbedingungen und gegebenenfalls zum frühen Leistungsbeginn. Es gibt kein Feld für Beschwerden, Diagnosen oder andere Gesundheitsangaben.

Wir übergeben die erforderlichen Kontaktdaten und Buchungsangaben an HighLevel. Die Buchung wird dort als Termin mit dem ausgewählten Leistungsumfang und Gesamtpreis gespeichert. Zusätzlich sichern wir den Vorgang einschließlich der bei der Buchung geltenden Bedingungen bei Cloudflare, damit wiederholte Klicks erkannt und technische Störungen geklärt werden können.

Für einen Widerruf benötigen wir deinen Namen, Angaben zum betroffenen Vertrag oder Vertragsteil und eine E-Mail-Adresse für die Eingangsbestätigung. Eine Begründung und ein Kundenkonto sind nicht erforderlich. Die Erklärung wird mit Eingangszeitpunkt gespeichert und zur Bearbeitung an HighLevel übergeben. Sie wird nicht für Werbung oder eine Newsletter-Anmeldung verwendet.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO für Buchung und Vertragsabwicklung; Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Informations- und Bestätigungspflichten; Art. 6 Abs. 1 lit. f DSGVO für Missbrauchsabwehr und die zuverlässige Verarbeitung.

Die technische Kopie abgeschlossener und an den E-Mail-Versand übergebener Vorgänge in Cloudflare KV wird nach 180 Tagen gelöscht. Vorgänge mit ungeklärtem Zustell- oder Buchungsstatus werden bis zur Klärung aufbewahrt und anschließend gelöscht beziehungsweise in die reguläre Aufbewahrung überführt. Vertrags- und Buchungsunterlagen in unserer Kundenverwaltung unterliegen den in Abschnitt 7 beschriebenen gesetzlichen Aufbewahrungs- und Verjährungsfristen.

25. Newsletter im Double-Opt-in-Verfahren

Für den Newsletter gilt das Double-Opt-in-Verfahren, und es ist das einzige Formular auf dieser Website, das ein echtes Einwilligungshäkchen trägt. Der Ablauf im Einzelnen:

• Anmeldung. Du trägst deine E-Mail-Adresse ein, auf Wunsch zusätzlich Vor- und Nachnamen, und setzt das Häkchen. Ohne dieses Häkchen weist der Server die Anmeldung zurück; die Prüfung findet auf dem Server statt und nicht nur im Browser, damit sie sich nicht umgehen lässt.
• Bestätigungsmail. Wir senden dir eine E-Mail mit einem Bestätigungslink. Der Link enthält keine E-Mail-Adresse, sondern ausschließlich eine zufällige Kennung und einen Ablaufzeitpunkt, beide kryptografisch signiert. Das ist Absicht: ein Link erscheint in Serverprotokollen, bei Zwischenstationen und bei jedem, an den die Mail weitergeleitet wird, und eine Adresse in einer Adresszeile wäre an jeder dieser Stellen eine Preisgabe ohne jeden Nutzen.
• Bestätigung. Erst dein Klick auf den Link nimmt die Adresse in den Verteiler auf. Der Link ist 48 Stunden gültig und einmal verwendbar: nach dem Klick wird der Vorgang gelöscht, damit ein zweiter Aufruf, etwa durch einen Linkprüfer oder eine Weiterleitung, keinen zweiten Vorgang auslösen kann. Ohne Bestätigung wird nichts versendet, und der Vorgang verfällt nach 48 Stunden von selbst.
• Willkommensmail. Sie geht erst nach der Bestätigung hinaus, weil vorher keine Einwilligung besteht, auf die sich ein Versand stützen ließe.

Zur Protokollierung der Einwilligung speichern wir getrennt von den Versanddaten: die E-Mail-Adresse, den Zeitpunkt und die IP-Adresse der Anmeldung, den Zeitpunkt und die IP-Adresse der Bestätigung, die Browserkennung sowie die angewandte Rechtsgrundlage. Dieser Nachweis wird 3 Jahre aufbewahrt und danach gelöscht.

Zweck: der Versand des Newsletters mit Impulsen, Angeboten und Veranstaltungsterminen, sowie der Nachweis der Einwilligung.
Rechtsgrundlage für den Versand: Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 7 Abs. 2 Nr. 3 UWG.
Rechtsgrundlage für den Nachweis: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit der Rechenschaftspflicht aus Art. 5 Abs. 2 und Art. 7 Abs. 1 DSGVO, ergänzend Art. 6 Abs. 1 lit. f DSGVO.
Empfänger: der Versanddienst nach Abschnitt 29 und das Kundenverwaltungssystem nach Abschnitt 28.

Der Grund für die getrennte und längere Aufbewahrung des Nachweises ist die Beweislast: nach der deutschen Rechtsprechung muss der Absender einer Werbemail belegen können, dass die Einwilligung tatsächlich von der angeschriebenen Person erteilt wurde. Der Beleg ist der bestätigende Klick mit seinem Zeitpunkt und seiner IP-Adresse, nicht das Häkchen im Formular. Ein Eintrag in einem Kundenverwaltungssystem taugt dafür nicht, weil ihn jede Person mit einem Zugang ändern kann.

Kann die Bestätigungsmail nicht zugestellt werden, gilt die Anmeldung als gescheitert. Die Adresse gelangt dann in keinen Verteiler, und du erhältst eine Fehlermeldung statt einer Aufforderung, auf einen Link zu warten, der niemals ankommt. Die Abmeldung ist jederzeit über den Abmeldelink in jeder Newsletter-E-Mail oder formlos möglich, siehe Abschnitt 9.

26. Zwischenspeicher für Anfragen in Cloudflare Workers KV

Damit keine Anfrage durch eine technische Störung verloren geht, wird jede Formularübermittlung zuerst in einem geschützten Zwischenspeicher der Hostingplattform abgelegt und erst danach an das Kundenverwaltungssystem und an den E-Mail-Versand übergeben. Der Speicher ist ein Namensraum in Cloudflare Workers KV, betrieben von dem in Abschnitt 16 genannten Auftragsverarbeiter. Ohne diese Reihenfolge nähme ein Ausfall des Kundenverwaltungssystems die Anfragen mit, die während des Ausfalls eingehen, und niemand erführe davon.

Der Speicher führt die folgenden Eintragsarten. Jede hat ihre eigene Frist, und die Frist ist technisch hinterlegt, läuft also ohne Zutun ab:

• Eingangsdatensatz, Schlüsselform lead:Zeitstempel:Kennung. Enthält die übermittelten Formularangaben einschließlich des Freitextes, die IP-Adresse, die Vorgangskennung, den Hinweis, ob ohne JavaScript gesendet wurde, die Kampagnenmerkmale, den Zeitpunkt und den Bearbeitungsstand. Speicherdauer 180 Tage.
• Abgewiesene Eingabe, Schlüsselform trapped:Zeitstempel:Kennung. Enthält die eingegebenen Felder, die IP-Adresse, die Browserkennung und den Grund der Abweisung. Speicherdauer 30 Tage, siehe Abschnitt 27.
• Wiedervorlage, Schlüsselform outbox:Zeitstempel:Kennung. Wird ausschließlich angelegt, wenn die Zustellung an das Kundenverwaltungssystem fehlgeschlagen ist, und enthält denselben Datensatz samt Fehlergrund. Dieser Eintrag trägt bewusst keine automatische Frist und bleibt bestehen, bis die Zustellung gelingt; dann wird er sofort gelöscht.
• Offener Bestätigungsvorgang, Schlüsselform doi:Kennung. Enthält die Angaben aus einer Newsletter-Anmeldung, bis der Bestätigungslink geklickt wird. Speicherdauer 48 Stunden, danach automatischer Verfall.
• Einwilligungsnachweis, Schlüsselform einwilligung:E-Mail-Adresse:Zeitpunkt. Enthält das Protokoll aus Abschnitt 25. Speicherdauer 3 Jahre.
• Herkunftsmerkmale zu einer Anfrage, Schlüsselform attr:E-Mail-Adresse. Enthält die Klick-Kennungen und die Telefonnummer zu einer Anfrage und wird ausschließlich angelegt, wenn du in die Messung eingewilligt hast. Speicherdauer 90 Tage.
• Zähler der Übermittlungsbegrenzung, Schlüsselform rl:Namensraum:IP-Adresse. Enthält eine Zahl und verfällt nach 60 Sekunden, siehe Abschnitt 27.
• Meldung über einen blockierten Inhalt. Enthält keine Angabe zur meldenden Person. Speicherdauer 30 Tage, siehe Abschnitt 35.

Zweck: die Ausfallsicherheit für eingegangene Anfragen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse ist es, eine an uns gerichtete Anfrage nicht zu verlieren. Für den Einwilligungsnachweis gilt die in Abschnitt 25 genannte Grundlage.

Der Speicher ist von außen nicht frei abrufbar. Der Zugang zur Ausgabe und zur erneuten Zustellung ist durch ein serverseitig hinterlegtes Geheimnis geschützt, das im Anfragekopf und nicht in der Adresszeile übergeben wird, damit es nicht in Protokolldateien und Verweisketten auftaucht. Ein Löschverlangen nach Art. 17 DSGVO erfasst auch diesen Speicher, siehe Abschnitt 8.

27. Schutz der Formulare vor automatisierten Eingaben

Um Spam abzuwehren, prüft der Server jede Formularübermittlung technisch. Es kommt dabei kein Dienst eines Dritten und kein Captcha zum Einsatz, du musst also keine Bilder anklicken und es wird keine Anfrage an einen fremden Anbieter gestellt. Geprüft wird in dieser Reihenfolge:

• Herkunft der Anfrage. Eine Übermittlung, die nicht von dieser Website stammt, wird abgewiesen.
• Größe der Übermittlung. Eine übergroße Übermittlung wird abgewiesen, bevor sie überhaupt gelesen wird.
• Übermittlungsbegrenzung. Je Anschluss sind sechs Übermittlungen in einem Zeitfenster von 60 Sekunden zulässig. Dafür wird ein Zähler zur IP-Adresse angelegt, der nach 60 Sekunden von selbst verfällt.
• Unsichtbares Zusatzfeld. Der Server prüft, ob ein Feld ausgefüllt wurde, das für Menschen nicht sichtbar ist. Ein automatisiertes Skript füllt es aus, ein Mensch sieht es nicht.
• Mindestzeit. Zwischen dem Aufbau der Seite und dem Absenden müssen mindestens 1,2 Sekunden liegen. Eine schnellere Übermittlung ist maschinell.

Eine von einer der beiden letzten Prüfungen abgewiesene Eingabe wird mit den eingegebenen Feldern, der IP-Adresse und der Browserkennung 30 Tage gespeichert. Das geschieht ausdrücklich auch in deinem Interesse: beide Prüfungen können einen echten Menschen irrtümlich abweisen, etwa wenn ein Passwortmanager das unsichtbare Feld ausfüllt oder die Uhr eines Geräts vorgeht. Ohne diesen Eintrag wäre eine solche Anfrage spurlos verloren, und zwar auf die unangenehmste Art: auf dem Bildschirm stünde eine Bestätigung, und bei uns käme nichts an.

Zweck: die Abwehr von Spam und missbräuchlicher Nutzung sowie die Wiederauffindbarkeit einer irrtümlich abgewiesenen Anfrage.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Speicherdauer: 30 Tage für eine abgewiesene Eingabe, 60 Sekunden für den Zähler.

28. Übermittlung an das Kundenverwaltungssystem

Anfragen aus den Formularen werden in einem Kundenverwaltungssystem bearbeitet und nachgehalten. Anbieter ist die LeadConnector LLC, ein verbundenes Unternehmen der HighLevel Inc., 1801 N. Lamar St., Suite 600, Dallas, Texas 75202, USA.

Übermittelt werden dorthin:

• Vorname, Nachname, E-Mail-Adresse und Telefonnummer,
• Merkmale zur Einordnung der Anfrage, also die Quelle, das Formular und das ausgewählte Anliegen, als Schlagworte und als Felder,
• die Angaben aus dem Formular in einer lesbaren Notiz zum Datensatz, einschließlich deines Freitextes, des Betreffs, des Wunschtermins und der Seite, von der du gesendet hast,
• die Kampagnenmerkmale nach Abschnitt 21, soweit sie vorliegen,
• die Rechtsgrundlage, auf der die Anfrage entgegengenommen wurde, damit sie auch im System nachvollziehbar bleibt.

Zweck: die Bearbeitung, Zuordnung und Nachverfolgung deiner Anfrage und die anschließende Kommunikation.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für eine Kontakt- oder Terminanfrage, Art. 6 Abs. 1 lit. a DSGVO für eine bestätigte Newsletter-Anmeldung.
Auftragsverarbeitung: es besteht ein Vertrag nach Art. 28 DSGVO.
Drittland: das Unternehmen nimmt am EU-U.S. Data Privacy Framework teil; ergänzend sind die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO vereinbart, siehe Abschnitt 6.
Speicherdauer: siehe die Kriterien in Abschnitt 7.

Weil deine Nachricht als Notiz in diesem System landet, ist der Hinweis aus Abschnitt 30 keine Formsache: bitte schreibe in das Freitextfeld nichts über deine Gesundheit. Was dort steht, ist für die Personen lesbar, die mit dem System arbeiten, und es wird dort gespeichert.

29. E-Mail-Versand

Buchungsbestätigungen und Eingangsbestätigungen von Widerrufen versenden wir über HighLevel/LeadConnector. Dafür verarbeitet der Dienst deine E-Mail-Adresse, deinen Namen und die notwendigen Vertrags- beziehungsweise Widerrufsangaben. Buchungsbestätigungen enthalten außerdem die bei der Buchung geltenden Vertragsbedingungen. Der Versand dient der Vertragsabwicklung und der Erfüllung gesetzlicher Pflichten, nicht der Werbung (Art. 6 Abs. 1 lit. b und c DSGVO).

Informationen zum Dienstleister und zur Übermittlung ins Ausland stehen in Abschnitt 28 und den allgemeinen Angaben zu Empfängern. Resend wird derzeit nicht eingesetzt. Allgemeine Kontaktanfragen erhalten eine Rückmeldung auf der Website; die Newsletter-Anmeldung ist noch nicht aktiv.

30. Gesundheitsbezogene Angaben in Freitextfeldern

Die Angebote dieser Website sind Energiearbeit, Beratung, Ausbildungen, Veranstaltungen und ein Podcast. Diese Angebote sind keine Heilbehandlung und ersetzen keine ärztliche, psychotherapeutische oder heilkundliche Behandlung.

Daraus folgt eine datenschutzrechtliche Besonderheit, die auf einer Website mit medizinischem Angebot anders ausfiele. Art. 9 Abs. 2 lit. h DSGVO erlaubt die Verarbeitung von Gesundheitsangaben für Zwecke der Gesundheitsvorsorge und der Behandlung, setzt dafür nach Art. 9 Abs. 3 DSGVO aber voraus, dass die Verarbeitung durch Fachpersonal erfolgt oder unter dessen Verantwortung, das einem gesetzlichen Berufsgeheimnis unterliegt. Diese Voraussetzung ist hier nicht erfüllt: die Tätigkeit ist kein reglementierter Heilberuf, es wird keine gesetzliche Berufsbezeichnung geführt, und es besteht keine Schweigepflicht im Sinne des § 203 StGB.

Als Erlaubnis für gesundheitsbezogene Angaben kommt deshalb realistisch allein deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO in Betracht. Eine solche Einwilligung muss gesondert, für den bestimmten Fall und in Kenntnis der Umstände erteilt werden. Eine allgemeine Kenntnisnahme dieser Hinweise, wie sie das Häkchen unter dem Kontaktformular bestätigt, genügt dafür ausdrücklich nicht.

Die Konsequenz daraus haben wir in die Gestaltung der Formulare gezogen, nicht nur in diesen Text:

• Kein Feld fragt nach deiner Gesundheit. Abgefragt werden Vorname, Nachname, E-Mail-Adresse, bei einer Buchung der Termin und das gewählte Angebot, sowie ein Thema aus einer festen Liste. Diese Liste nennt ausschließlich Angebote, also Inner Growth, Individuelle Beratung, Vitalis Energieanwendung, Ausbildung oder eine andere Frage. Sie enthält keine Beschwerde, kein Symptom und keinen Körperteil.
• Unter dem Nachrichtenfeld steht die ausdrückliche Bitte, dort keine vertraulichen Gesundheitsdaten einzutragen.
• Auch die Eingangsbestätigungen bitten darum, uns keine Gesundheitsangaben per E-Mail zu senden.
• Kein Ereignis, das an eine Werbeplattform ginge, trägt ein Thema oder einen Freitext. Sollte Messung eingeschaltet werden, bleibt das so: übermittelt würde ausschließlich ein allgemeiner Ereignisname, siehe Abschnitt 36.
• Microsoft Clarity maskiert Eingabefeldinhalte nach Anbieterangaben automatisch. Wir verwenden dafür die Maskierung des Anbieters, keine zusätzlichen Maskierungsregeln im Quelltext. Sitzungsaufzeichnungen starten ausschließlich nach Statistik-Einwilligung; Einzelheiten stehen in Abschnitt 36.

Unsere Bitte an dich lautet deshalb: schreibe in ein Webformular nur, was für die Terminabstimmung nötig ist. Was dich bewegt, besprechen wir persönlich, mündlich und ohne dass es in einem Formularfeld steht.

Schickst du dennoch gesundheitsbezogene Angaben, behandeln wir sie zurückhaltend: wir verarbeiten sie ausschließlich zur Beantwortung deiner Anfrage, geben sie nicht an eine Werbeplattform weiter und löschen sie, sobald der Vorgang abgeschlossen ist. Die Übermittlung an das Kundenverwaltungssystem und in den Zwischenspeicher findet dabei statt, weil dein Freitext dorthin gelangt; wir sagen das ausdrücklich, damit du es weißt, bevor du schreibst. Eine erteilte Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO kannst du jederzeit nach Art. 7 Abs. 3 DSGVO widerrufen, und eine Löschung der betreffenden Passage kannst du nach Art. 17 DSGVO verlangen. Eine formlose Nachricht an vitaliszentrum.contact@gmail.com genügt.

31. Podcast und Audiowiedergabe

Die Folgenübersicht, Titel, Beschreibungen, Kapitelmarken, das Coverbild und die Transkripte liegen auf dieser Website und werden von hier ausgeliefert. Auch die Suche innerhalb der Folgen und innerhalb eines Transkripts arbeitet allein in deinem Browser, ohne Anfrage an einen Server und ohne dass jemand erfährt, wonach du gesucht hast.

Die Audiodateien liegen dagegen beim Podcast-Hoster Spotify, ausgeliefert über dessen Plattform Anchor und ein Auslieferungsnetz von Amazon Web Services. Der Player nimmt erst dann Verbindung dorthin auf, wenn du die Wiedergabe startest. Vor dem Klick auf Abspielen wird keine Audioadresse aufgerufen, kein Vorlaufpuffer geladen und keine Verbindung zum Audioanbieter aufgebaut. Mit dem Klick werden an diesen Anbieter übermittelt:

• die IP-Adresse deines Anschlusses,
• die Browserkennung,
• die angeforderte Audiodatei und der angeforderte Abschnitt, wenn du an eine Stelle springst,
• technische Angaben zur Verbindung selbst.

Anders lässt sich eine Audiodatei von einem fremden Server nicht abrufen. Schließt du den Player, endet die Wiedergabe und es werden keine weiteren Audiodaten abgerufen. Springst du im Player zu einer anderen Folge, wird dafür eine neue Verbindung aufgebaut.

Zweck: die Bereitstellung der Podcast-Folgen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, mit dem berechtigten Interesse, den Podcast ohne eigenen Medienserver bereitzustellen. Der Abruf selbst wird durch deine ausdrückliche Handlung ausgelöst.
Empfänger: der Audioanbieter, der insoweit eigener Verantwortlicher ist.
Datenschutzhinweise des Anbieters: spotify.com/de/legal/privacy-policy.

Welche Daten der Anbieter darüber hinaus verarbeitet, liegt außerhalb unseres Einflusses. Wenn du das vermeiden möchtest, höre die Folgen unmittelbar in der App deines Anbieters oder lies stattdessen das Transkript auf dieser Website: das Transkript liegt hier und löst keine Verbindung zu einem Dritten aus.

32. Links zu Spotify und Apple Podcasts

Auf den Podcastseiten findest du Links zu den Folgen bei Spotify und bei Apple Podcasts. Es handelt sich um gewöhnliche Verweise und nicht um eingebettete Inhalte: es wird kein Abspielfenster eines Dritten geladen, kein Skript eines Dritten ausgeführt und keine Verbindung aufgebaut, bevor du klickst. Erst der Klick verlässt diese Website.

Ab diesem Moment gelten die Datenschutzhinweise des jeweiligen Anbieters, Spotify und Apple. Wegen der in Abschnitt 18 beschriebenen Referrer-Richtlinie erfährt der Zielserver dabei nur, dass du von vitaliszentrum.com kommst, nicht von welcher Unterseite.

33. Selbst gehostete Schriften, Bilder und Symbole

Schriftarten, Symbole, Logos und Fotografien werden ausschließlich vom Server dieser Website geladen. Es wird keine Verbindung zu Google Fonts, zu einem Icon-Dienst oder zu einem Bildnetz eines Dritten aufgebaut, und deine IP-Adresse wird dabei an niemanden übertragen. Die verwendeten Schriften liegen als Dateien im Verzeichnis dieser Website und werden wie jedes andere Element von hier ausgeliefert.

Das ist der Grund, warum diese Website für die bloße Darstellung ihrer Inhalte keine Einwilligung benötigt. Rechtsgrundlage für die Auslieferung ist Art. 6 Abs. 1 lit. f DSGVO, mit demselben Interesse wie in Abschnitt 16.

34. Service Worker und Offline-Speicher

Diese Website registriert in deinem Browser einen Service Worker, also ein kleines Programm, das öffentlich zugängliche Seiten und Dateien zwischenspeichert. Damit bleiben Anschrift, Telefonnummer und die wichtigsten Seiten lesbar, wenn die Verbindung unterbrochen ist.

Was dabei gespeichert wird, ist eng begrenzt:

• ausschließlich öffentliche Dokumente und Dateien dieser Website, also Seiten, Stilvorlagen, Skripte, Schriften und Bilder,
• nichts von einem fremden Server: eine Anfrage an eine andere Domain wird durchgereicht und nicht angefasst,
• niemals ein Aufruf der Schnittstellen unter /api/, also des einzigen Wegs, auf dem personenbezogene Daten übertragen werden.

Es wird keine Kennung geschrieben, nichts an einen Server zurückgemeldet und kein Dritter kontaktiert. Die Kopie liegt allein auf deinem Gerät und wir können sie nicht auslesen. Für Seiten wird immer zuerst das Netz befragt und der Speicher nur als Rückfallebene verwendet, damit du nie eine veraltete Fassung zu sehen bekommst.

Rechtsgrundlage für die Speicherung auf deinem Endgerät: § 25 Abs. 2 Nr. 2 TDDDG. Die Speicherung ist unbedingt erforderlich, um den vom Nutzer ausdrücklich gewünschten Dienst, nämlich die Anzeige dieser Seiten, auch bei unterbrochener Verbindung zu erbringen.
Speicherdauer: bis du den Speicher löschst. Das geht jederzeit über die Browsereinstellungen zusammen mit den Websitedaten.

35. Meldungen über blockierte Inhalte

Die in Abschnitt 18 genannte Inhaltssicherheitsrichtlinie kann deinen Browser anweisen, uns zu melden, wenn auf einer Seite etwas geladen werden sollte, das die Richtlinie verbietet. Solche Meldungen sind das Frühwarnsystem gegen eine manipulierte oder fehlerhafte Einbindung.

Gespeichert wird dabei bewusst so wenig wie möglich: die verletzte Regel, die Herkunft des blockierten Inhalts und der Pfad der betroffenen Seite. Adressbestandteile nach dem Pfad werden entfernt, weil eine Adresszeile Suchbegriffe enthalten kann, und es wird keine IP-Adresse, keine Browserkennung und keine sonstige Angabe zur meldenden Person gespeichert. Gleichartige Meldungen werden zusammengefasst, sodass eine Liste unterschiedlicher Fehler entsteht und keine Sammlung von Einzelvorgängen.

Zweck: das Erkennen fehlerhafter oder manipulierter Einbindungen auf der eigenen Website.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO.
Speicherdauer: 30 Tage, danach automatische Löschung, damit ein behobener Fehler nicht als aktueller geführt wird.

36. Reichweitenmessung und Marketing

Aktiv nach deiner Statistik-Einwilligung ist das Website-Tracking von HighLevel auf allen Seiten einschließlich Formulartracking, Ahrefs und Cloudflare Web Analytics sowie Microsoft Clarity auf allen Seiten. Die übrigen hier beschriebenen Analyse- und Marketingdienste bleiben ausgeschaltet. Deine Entscheidung triffst du im Einwilligungsfeld und kannst sie im Fußbereich ändern.

Die folgenden Beschreibungen sagen, was vorbereitet ist und was ab dem Tag gilt, an dem ein Dienst eingerichtet und von dir erlaubt wird. Jeder einwilligungspflichtige Dienst wird ausschließlich nach deiner Zustimmung geladen, § 25 Abs. 1 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO. Diese Erklärung wird an der jeweiligen Stelle um Anbieter, Sitz, Speicherdauer und Drittlandgrundlage ergänzt, und die Fassungskennung aus Abschnitt 20 wird hochgezählt, sodass die Einwilligungsfrage neu gestellt wird.

Erstanbieter-Messpixel

Vorgesehen ist ein eigenes Messpixel, das über die eigene Domain ausgeliefert und angesprochen wird, sodass keine unmittelbare Verbindung zu einem fremden Server entsteht. Erfasst würden Seitenaufrufe und Formularereignisse. Es ist kein Kennzeichen hinterlegt, der Dienst ist nicht im Einsatz.

Google Analytics 4 über eine eigene Weiterleitung

Vorgesehen ist Google Analytics 4 der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Sowohl das Skript als auch die Messdaten liefen über eine Weiterleitung auf der eigenen Domain, sodass im Browser keine direkte Verbindung zu einem Google-Server entsteht. Verarbeitet würden Seitenaufrufe, Angaben zu Gerät und Browser, eine gekürzte IP-Adresse, die verweisende Seite und Interaktionen. Beim Weiterleiten würde die verweisende Seite bewusst nicht mitgesendet, weil ein Pfad auf dieser Website ein Angebot benennen kann. Eine Übermittlung in die Vereinigten Staaten wäre möglich und stützte sich auf die in Abschnitt 6 genannten Grundlagen. Es ist keine Messkennung hinterlegt, der Dienst ist nicht im Einsatz.

Meta Pixel und Conversions API

Vorgesehen ist das Pixel der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland, zusammen mit der serverseitigen Conversions API. Übermittelt würden Seitenaufrufe und Formularereignisse, dabei E-Mail-Adresse, Telefonnummer und Name ausschließlich als nicht umkehrbare SHA-256-Prüfwerte, ergänzt um IP-Adresse, Browserkennung und eine Vorgangskennung, damit das Ereignis aus dem Browser und das Ereignis vom Server nicht doppelt gezählt werden. Das Pixel setzt dabei die Cookies _fbp und _fbc, die einen Browser und einen Anzeigenklick wiedererkennbar machen; beide werden ausschließlich nach einer Einwilligung in die Kategorie Marketing gesetzt und bei einem Widerruf aktiv gelöscht, sowohl auf der aufgerufenen Adresse als auch auf der Hauptdomain. Derzeit sind weder Pixelkennung noch Zugangsschlüssel hinterlegt, der Dienst ist nicht im Einsatz.

Für diesen Dienst gilt eine zusätzliche Schranke, die über die gewöhnliche Einwilligung hinausgeht. Aus einem Ereignis, das besagt, dass eine bestimmte Person bei diesem Anbieter angefragt hat, lässt sich auf die Inanspruchnahme dieses Angebots schließen, und diese Schlussfolgerung ist das Schutzgut, nicht die Frage, was verschlüsselt wurde. Deshalb wird dieser Dienst erst eingeschaltet, wenn eine gesonderte, ausdrückliche Einwilligung eingeholt wird, die den Empfänger benennt. Die Ereignisse tragen unter keinen Umständen ein Anliegen, ein Angebot oder einen Freitext, siehe Abschnitt 30.

Website- und Formulartracking mit HighLevel

Nur mit deiner Statistik-Einwilligung laden wir auf allen Seiten das Script von LeadConnector, einem Dienst von HighLevel, Inc., USA. Es verarbeitet Seitenadresse, Herkunft, Kampagnenparameter, Geräteinformationen, IP-Adresse, Besuchsdauer und Formularaktionen. Bei Formularaktionen können die eingegebenen Angaben, etwa Vorname, Nachname, E-Mail-Adresse, Auswahlfelder und Nachricht, an HighLevel übermittelt und zur Erstellung oder Aktualisierung eines Kontakts sowie zur Zuordnung des Besuchsverlaufs verwendet werden.

Die automatische Erfassung kann bereits beim Betätigen einer Absende-Schaltfläche erfolgen, auch wenn die Formularprüfung anschließend fehlschlägt oder es sich um eine Vorschau handelt. Sie ist von der gesonderten Übermittlung einer Anfrage oder verbindlichen Buchung über unsere API zu unterscheiden. Ein Tracking-Ereignis allein löst keine Buchung und keine Newsletteranmeldung aus. Bitte trage keine Gesundheitsangaben in Webformulare ein.

Rechtsgrundlagen des optionalen Trackings sind § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Das Script setzt einen Sitzungscookie für einen Tag; ersatzweise wird der Sitzungsspeicher des Tabs genutzt. Im lokalen Speicher kann HighLevel unter _ud Kennungen zur Kontaktzuordnung ablegen. Die Aufbewahrung der zugeordneten Kontaktdaten richtet sich nach den in Abschnitt 24 beschriebenen Zwecken und Fristen. Du kannst die Einwilligung über „Cookie-Einstellungen“ widerrufen. Dann entfernen wir diese lokalen Kennungen und laden die Seite ohne Tracking neu.

Online-Terminbuchung und Widerruf

Wir verwenden eigene Formulare und eine serverseitige API-Anbindung an HighLevel. Buchungs- und Widerrufsdaten werden nicht über ein eingebettetes Fremdformular erhoben. Umfang, Rechtsgrundlagen und Speicherdauer stehen in Abschnitt 24, der Bestätigungsversand in Abschnitt 29. Zusätzlich ist auf diesen Seiten nach deiner Statistik-Einwilligung das oben beschriebene HighLevel-Formulartracking aktiv.

Cloudflare Web Analytics: Seitenaufrufe und Ladezeiten

Nach deiner Statistik-Einwilligung laden wir das Analyse-Script von Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA. Es erfasst Seitenaufrufe, Herkunft und technische Messwerte wie Ladezeiten und Layoutverschiebungen, damit wir die Geschwindigkeit und Bedienbarkeit verbessern können. Beim Verbindungsaufbau erhält Cloudflare technisch deine IP-Adresse. Nach Anbieterangaben setzt Web Analytics keine Analyse-Cookies und verwendet weder lokalen Browserspeicher noch Fingerprinting zur Wiedererkennung einzelner Besucher.

Diese optionale Messung ist von der notwendigen Auslieferung der Website durch Cloudflare getrennt. Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und, soweit Geräteinformationen ausgelesen werden, § 25 Abs. 1 TDDDG. Du kannst sie jederzeit über „Cookie-Einstellungen“ widerrufen; die Seite wird dann ohne Analyse-Script neu geladen. Es gelten die Angaben zu Cloudflare und Drittlandübermittlungen in Abschnitt 6 sowie die Aufbewahrungskriterien in Abschnitt 7. Weitere Informationen: Cloudflare Web Analytics und Cloudflares Datenschutzhinweise.

Ahrefs Web Analytics

Nach deiner Statistik-Einwilligung laden wir Ahrefs Web Analytics von analytics.ahrefs.com. Zweck ist die Auswertung von Seitenaufrufen, Herkunft, Geräten, Sprache und Nutzungsereignissen wie Linkklicks. Beim Abruf erhält Ahrefs technisch deine IP-Adresse. Nach Anbieterangaben wird sie zur groben Standortbestimmung und zur täglichen Besucherzählung verarbeitet, aber nicht im Klartext gespeichert. Ahrefs verwendet hierfür keine Cookies oder dauerhaften Gerätekennungen; der für die Besucherzählung verwendete Salt wird täglich erneuert. Wir übergeben keine Formularfeldinhalte als eigene Ereigniseigenschaften.

Grundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Über „Cookie-Einstellungen“ kannst du sie jederzeit für die Zukunft widerrufen. Danach laden wir die Seite ohne das Analyse-Script neu. Weitere Angaben: Datenverarbeitung bei Ahrefs Web Analytics.

Microsoft Clarity: Heatmaps und Sitzungsaufzeichnungen

Nach deiner Einwilligung in Statistik verwenden wir auf allen Seiten Microsoft Clarity von Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA. Heatmaps und Sitzungsaufzeichnungen helfen uns zu verstehen, wie die Website genutzt wird und wo die Bedienung verbessert werden kann. Dabei werden unter anderem Seitenaufrufe, Klicks, Scrollbewegungen, Mausbewegungen, Besuchsdauer, Seitenadressen sowie Geräte- und Browserinformationen verarbeitet. Beim Abruf wird technisch auch deine IP-Adresse an Microsoft übermittelt. Cookie-Kennungen ermöglichen die Zuordnung von Aufrufen zu Besuchen und wiederkehrenden Browsern.

Clarity maskiert nach Anbieterangaben Inhalte von Eingabefeldern und Auswahlfeldern automatisch. Wir setzen keine zusätzlichen Maskierungsregeln im Quelltext. Die weitere Maskierung wird über die Einstellungen bei Clarity gesteuert. Wir übergeben keine Namen, E-Mail-Adressen, Gesundheitsangaben oder eigenen Nutzerkennungen an die Clarity-Schnittstelle als eigene Ereignisse oder Nutzerkennungen. Für außerhalb von Eingabefeldern dargestellte Inhalte gelten die Maskierungseinstellungen des Clarity-Projekts. Die Speicherung für Werbezwecke wird über Microsofts Consent-API nicht freigegeben.

Rechtsgrundlagen sind deine Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Ohne Zustimmung wird das Script nicht geladen; Do Not Track und Global Privacy Control werden berücksichtigt. Du kannst deine Einwilligung jederzeit über „Cookie-Einstellungen“ im Fußbereich widerrufen. Wir löschen dann die Clarity-Cookies unserer Domain und laden die Seite ohne den Recorder neu.

Die Erstanbieter-Cookies _clck (bis zu 1 Jahr) und _clsk (bis zu 1 Tag) dienen der Besucher- und Sitzungszuordnung. Nach Microsofts Dokumentation werden Sitzungsaufzeichnungen 30 Tage aufbewahrt, Heatmap- und Klickdaten 9 Monate. Als Favorit gespeicherte oder gekennzeichnete Aufzeichnungen können ebenfalls 9 Monate aufbewahrt werden.

Eine Verarbeitung in den USA ist möglich. Microsoft erklärt die Teilnahme am EU-US Data Privacy Framework; für davon erfasste Übermittlungen gilt der Angemessenheitsbeschluss nach Art. 45 DSGVO. Weitere Informationen zu Microsofts Verarbeitung und Übermittlungsgrundlagen findest du in der Datenschutzerklärung von Microsoft, zur Maskierung und zur Datenaufbewahrung bei Clarity.

Weitere vorbereitete, nicht eingesetzte Dienste

Die Konfiguration sieht darüber hinaus vor: eine Produktanalyse mit europäischem Eingang (PostHog), ein Chatfenster des Kundenverwaltungssystems aus Abschnitt 28 sowie den Abgleich von Anzeigenklicks mit Google Ads. Für alle gilt derselbe Stand: keine Kennung hinterlegt, kein Skript geladen, nicht im Einsatz.

Die Einzelheiten je Kategorie, einschließlich der Anbieter, Zwecke, Laufzeiten und Drittlandbezüge, stehen in der Cookie-Richtlinie.

37. Eingebettete Karten und externe Medien

Auf dieser Website ist derzeit keine Karte und kein Video eines Drittanbieters eingebettet. Es wird also beim Aufruf einer Seite kein Rahmen eines fremden Anbieters geladen und keine Verbindung zu einem Kartendienst oder einem Videoportal aufgebaut.

Kommt später eine Einbettung hinzu, lädt sie nicht von selbst: sichtbar ist zuerst ein Hinweisfeld mit einer Schaltfläche, und erst dein Klick darauf stellt die Verbindung zum Anbieter her. Diese Erklärung wird an dieser Stelle um den Anbieter, seinen Sitz, die Rechtsgrundlage und die Drittlandgrundlage ergänzt, bevor eine solche Einbettung freigeschaltet wird.

38. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um deine Daten gegen Verlust, Veränderung und den Zugriff Unbefugter zu schützen. Die Maßnahmen richten sich nach dem Stand der Technik, dem Risiko der Verarbeitung und den Kosten der Umsetzung. Im Einzelnen:

• durchgehende Transportverschlüsselung mit TLS und eine HTTP-Strict-Transport-Security-Kopfzeile, siehe Abschnitt 18,
• eine strenge Inhaltssicherheitsrichtlinie ohne eingebetteten ausführbaren Code, verbunden mit einer Meldung über blockierte Inhalte, siehe Abschnitt 35,
• die Beschränkung der Formularziele auf die eigene Domain, sodass ein untergeschobenes Formular seine Eingaben nicht an einen fremden Server senden kann,
• eine Prüfung der Herkunft jeder Formularübermittlung und eine Begrenzung der Übermittlungen je Anschluss, siehe Abschnitt 27,
• Obergrenzen für die Größe jeder entgegengenommenen Übermittlung, damit eine übergroße Anfrage den Dienst nicht beeinträchtigen kann,
• tokengeschützte Verwaltungszugänge, bei denen das Geheimnis im Anfragekopf und nicht in der Adresszeile übergeben wird, verbunden mit einem zeitkonstanten Vergleich,
• die Datensparsamkeit an der Quelle: Felder, die es nicht gibt, können nicht abfließen, siehe Abschnitt 30,
• die Vorgabe, dass personenbezogene Merkmale eine Werbeplattform ausschließlich als nicht umkehrbarer Prüfwert erreichen,
• Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO mit jedem Dienstleister, der in unserem Auftrag verarbeitet,
• der Verzicht auf jede Einbindung eines fremden Servers für Schriften, Symbole und Bilder, siehe Abschnitt 33.

Die Maßnahmen werden überprüft und dem Stand der Technik angepasst. Ein vollständiger Schutz einer Datenübertragung im Internet lässt sich mit diesen Mitteln nicht erreichen, und wir behaupten das auch nicht. Kommt es trotz aller Maßnahmen zu einer Verletzung des Schutzes deiner Daten mit einem voraussichtlich hohen Risiko für dich, benachrichtigen wir dich nach Art. 34 DSGVO unverzüglich und melden den Vorfall nach Art. 33 DSGVO der Aufsichtsbehörde.

39. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich die Website, die eingesetzten Dienste oder die Rechtslage ändern. Maßgeblich ist die jeweils hier veröffentlichte Fassung, abrufbar unter https://vitaliszentrum.com/datenschutz/. Das Datum am Ende dieser Seite nennt den Stand.

Ändert sich, welche Daten erhoben werden oder wer sie empfängt, bleibt es nicht bei einer stillen Textänderung: die in Abschnitt 20 beschriebene Fassungskennung wird hochgezählt, eine zuvor erteilte Einwilligung gilt damit als nicht mehr auf diese Fassung bezogen, und die Frage wird neu gestellt. Eine Einwilligung, die zu einer anderen Erklärung erteilt wurde, trägt die neue nicht.

40. Kontakt in Datenschutzangelegenheiten

Für jede Frage zu dieser Erklärung, für die Ausübung deiner Rechte aus Abschnitt 8 und für den Widerruf einer Einwilligung nach Abschnitt 9 erreichst du uns hier:

Vitalis Zentrum, Inhaber Patrick Meyfarth
Philipp-Hoffmeister-Strasse 18
34270 Schauenburg
E-Mail: vitaliszentrum.contact@gmail.com
Telefon: +49 1573 4486483

Bitte sende uns dabei keine Gesundheitsangaben per E-Mail, siehe Abschnitt 30. Ein Rückruf lässt sich jederzeit vereinbaren.

---

Stand: 27. September 2026

Cookie-Richtlinie · Impressum · Hinweise zu Anfragen · Widerrufsbelehrung · AGB · Barrierefreiheit