Zum Inhalt springen

Schreib mir

Datenschutzerklärung

Mir ist der Schutz deiner personenbezogenen Daten wichtig. Nachfolgend informiere ich dich gemäß Art. 13 DSGVO darüber, welche Daten beim Besuch dieser Website verarbeitet werden.

Verantwortliche

Heike Rippich
Kopffüßler Keramik & Kreativwerkstatt
Klingerplatz 5, 04319 Leipzig
E-Mail: info@kopffüssler.com
Telefon: +49 173 986 34 34

Eine Datenschutzbeauftragte ist gesetzlich nicht erforderlich und wurde nicht bestellt.

Hosting und Server-Logfiles

Diese Website wird bei einem Dienstleister mit Serverstandort in Deutschland gehostet (Hetzner Online GmbH). Beim Aufruf der Seiten werden automatisch Zugriffsdaten in sogenannten Server-Logfiles gespeichert: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, übertragene Datenmenge, verwendeter Browser und Betriebssystem sowie die zuvor besuchte Seite. Diese Verarbeitung dient dem sicheren und stabilen Betrieb der Website. Rechtsgrundlage ist mein berechtigtes Interesse an einem funktionsfähigen Internetauftritt (Art. 6 Abs. 1 lit. f DSGVO). Mit dem Hoster besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Ich sehe mir diese Protokolle nur an, wenn es eine Störung gibt. Sie werden nicht ausgewertet und nicht mit anderen Daten zusammengeführt. Der Server hält immer nur die jüngsten Protokolle vor und überschreibt ältere.

Verschlüsselung

Diese Website nutzt aus Sicherheitsgründen eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennst du am Schloss-Symbol und an "https://" in der Adresszeile deines Browsers.

Kontaktformular und E-Mail-Kontakt

Das Kontaktformular steht an zwei Stellen: im Aufklappfenster oben im Kopfbereich und unter "Über mich". Beide erheben dasselbe. Schickst du mir darüber oder per E-Mail eine Anfrage, verarbeite ich deinen Namen, deine E-Mail-Adresse und deine Nachricht sowie, wenn du sie angibst, deine Telefonnummer. Zweck ist, deine Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) beziehungsweise Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung deiner Anfrage). Die Übertragung des Formulars erfolgt verschlüsselt.

Aus deiner Anfrage wird bei mir ein Vorgang mit Betreff, deinem Namen, deiner E-Mail-Adresse und dem Text deiner Nachricht. Zusätzlich schicke ich mir selbst eine Benachrichtigung darüber; was dabei protokolliert wird, steht weiter unten unter "Bestätigungen und andere E-Mails".

Schickst du mir dabei ein Foto oder eine Sprachnachricht mit, lege ich die Datei zusammen mit dem Vorgang ab. Ich übernehme dafür Bilder und Tonaufnahmen bis acht Megabyte und höchstens fünf Dateien je Nachricht. Was darüber liegt oder ein anderes Dateiformat hat, vermerke ich nur mit Dateiname und Größe, den Inhalt speichere ich dann nicht. Die Dateien lösche ich nach 90 Tagen, auch wenn der Vorgang selbst länger bestehen bleibt.

Hast du mir unter derselben E-Mail-Adresse schon einmal geschrieben oder bei mir gebucht, verbinde ich deine Anfrage mit dem Eintrag, den es dazu in meiner Kundenkartei schon gibt. Das geht über beide Marken hinweg, denn hinter Kopffüßler und Belly Bowl steht derselbe Betrieb. Ich sehe dann am Vorgang, was wir bisher miteinander zu tun hatten, und muss dich nicht noch einmal nach allem fragen. Rechtsgrundlage dafür ist mein berechtigtes Interesse an einer sinnvollen Bearbeitung (Art. 6 Abs. 1 lit. f DSGVO). Ein neuer Eintrag in der Kundenkartei entsteht durch eine Anfrage nicht.

Ich speichere die Anfrage, bis dein Anliegen abschließend geklärt ist, danach nach den Fristen unter "Speicherdauer und Löschung".

Buchung und Kursanmeldung

Wenn du einen Kurs buchst, verarbeite ich die Angaben, die du im Buchungsformular machst: deinen Namen, deine E-Mail-Adresse, die Anzahl der Personen sowie den gewählten Kurs und den Termin oder die Termine. Freiwillig sind deine Telefonnummer, eine Anmerkung und eine Rechnungsanschrift (Straße, Postleitzahl, Ort). Dazu kommen die Angaben, die bei der Buchung selbst entstehen: Betrag, Zahlungsstand, Zeitpunkt der Buchung, die Fassung der Teilnahmebedingungen, die du dabei bestätigt hast, und ein zufälliger Zugangsschlüssel, über den du deine Buchung später aufrufen und stornieren kannst.

Alles, was du einträgst, wird in die Anmeldung kopiert und bleibt dort stehen, damit ein Beleg sich nicht rückwirkend ändert. Bist du mit deiner E-Mail-Adresse noch nicht in meiner Kundenkartei, entsteht dort zusätzlich ein Eintrag mit denselben Angaben, damit ich bei einer späteren Buchung weiß, dass wir uns kennen. Einen vorhandenen Eintrag ändert eine Buchung über die Website nicht.

Buchst du für mehrere Personen, kannst du freiwillig die Namen der Mitkommenden angeben. Dann steht am Kurstag auf meiner Liste, wer am Tisch sitzt. Ich erhebe dabei ausschließlich den Namen: keine E-Mail-Adresse, keine Telefonnummer, keine Anschrift und kein Geburtsdatum. Wer dort steht, bekommt von mir keine Werbung und keinen Newsletter, wird nicht in meine Kundenkartei aufgenommen und erhält von mir überhaupt keine E-Mail. Eine Einwilligung in Werbung könntest du für andere Menschen ohnehin nicht erteilen, deshalb frage ich erst gar nicht danach. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, denn die Namen dienen der Durchführung des Kurses, den du gebucht hast. Sagst du die Buchung ab oder fällt der Termin aus, lösche ich die Namen sofort; die Buchung selbst bleibt als Beleg bestehen. Sag den anderen bitte kurz Bescheid, dass du sie eingetragen hast.

Das Anmerkungsfeld ist ebenfalls freiwillig, und der Beispieltext darin fragt nach der Zusammensetzung deiner Gruppe ("zwei Erwachsene, zwei Kinder, acht und elf Jahre"). Was du dort einträgst, sind Angaben über andere Personen, die mitkommen, oft auch über Kinder. Ich brauche sie, um den Kurs vorzubereiten, denn Arbeitsplätze, Material und Hilfestellung hängen daran, wer am Tisch sitzt. Trag deshalb bitte nur ein, was dafür nötig ist, also Anzahl und ungefähres Alter, und nichts über Gesundheit. Und sag den anderen bitte kurz Bescheid, dass du diese Angaben für sie gemacht hast.

Minderjährige buchen nicht selbst. Eine Buchung schließt immer eine volljährige Person ab, die die Kinder mit anmeldet und an dem Tag für sie verantwortlich ist; mein Vertragspartner ist diese Person. Die Angaben über die Kinder verarbeite ich ausschließlich, um den gebuchten Kurs durchzuführen, und auf derselben Rechtsgrundlage wie die Buchung.

Zweck ist die Durchführung des Kursvertrags: Platzvergabe, Bestätigung, Kontaktaufnahme bei Änderungen und die Abwicklung der Zahlung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag beziehungsweise vorvertragliche Maßnahmen).

Stornierst du später über den Link in deiner Bestätigung, kannst du freiwillig einen Grund angeben. Er wird zusammen mit dem Zeitpunkt der Stornierung bei deiner Anmeldung gespeichert, damit nachvollziehbar bleibt, warum ein Platz wieder frei wurde.

Nach Art. 13 Abs. 2 lit. e DSGVO weise ich darauf hin: Name, E-Mail-Adresse und Personenzahl sind für den Vertragsschluss erforderlich. Ohne sie kann ich dir keinen Platz zusagen und keine Bestätigung schicken. Alle übrigen Angaben sind freiwillig, und ihr Fehlen hat keine Nachteile außer dem, dass ich dich nicht kurzfristig telefonisch erreichen kann.

Gutscheinkauf

Kaufst du hier einen Gutschein, verarbeite ich den Betrag, den du gewählt hast, deinen Namen und deine E-Mail-Adresse. Freiwillig sind eine Rechnungsanschrift (Straße, Postleitzahl, Ort), der Name und die E-Mail-Adresse der beschenkten Person und deine persönliche Nachricht auf dem Gutschein. Die Anschrift brauche ich nur, wenn du eine Rechnung mit Anschrift möchtest; über 250 Euro schreibt das Steuerrecht sie vor.

Zum Gutschein selbst entstehen weitere Angaben: sein Code, das Guthaben und was davon noch übrig ist, das Datum der Ausstellung, der Zahlungsstand und die Fassung der Gutscheinbedingungen, die du beim Kauf bestätigt hast. Dazu kommt ein zufälliger Schlüssel, über den du deinen Gutschein abrufen, das PDF herunterladen und den Kauf widerrufen kannst. Dieser Schlüssel steht in der Adresse deines Links, der Code selbst nie.

Das Kaufformular hat außerdem ein freiwilliges Feld für deine Telefonnummer. Sie wird mit der Bestellung übertragen und geprüft, danach aber nicht gespeichert: am Gutschein gibt es kein Feld dafür. Wenn ich dich zu deinem Kauf telefonisch erreichen können soll, schreib mir die Nummer bitte kurz per E-Mail.

Zweck ist die Abwicklung des Kaufvertrags: den Gutschein ausstellen, dir zustellen, das Guthaben führen und ihn später einlösen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Für Beleg und Buchhaltung kommt Art. 6 Abs. 1 lit. c DSGVO hinzu, weil das Steuerrecht mich zur Aufbewahrung verpflichtet. Die Angaben zur beschenkten Person verarbeite ich auf Grundlage meines berechtigten Interesses daran, dass ein Geschenk auch als Geschenk ankommt (Art. 6 Abs. 1 lit. f DSGVO); dazu steht gleich ein eigener Abschnitt.

Mit dem Kauf entsteht außerdem ein Eintrag in meiner Kundenkartei, genauso wie bei einer Kursbuchung. Stehst du unter deiner E-Mail-Adresse noch nicht dort, lege ich ihn an, und in ihm stehen dein Name, deine E-Mail-Adresse und der Vermerk, dass er aus einem Gutscheinkauf stammt. Anschrift und Telefonnummer stehen nicht darin, eine Rechnungsanschrift bleibt am Gutschein. Stehst du schon dort, ändert der Kauf deinen Eintrag nicht, er wird ihm nur zugeordnet. Angelegt wird er schon mit der Bestellung und nicht erst mit der Zahlung; brichst du das Bezahlen ab, bleibt er deshalb bestehen, und ein zweiter Anlauf unter derselben Adresse legt keinen zweiten an. So sehe ich an einer Stelle, was zu dir gehört, und muss dich nicht jedes Mal neu nach allem fragen. Rechtsgrundlage dafür ist dieselbe wie für den Kauf, Art. 6 Abs. 1 lit. b DSGVO.

Wenn du jemanden beschenkst: sag ihr oder ihm bitte Bescheid, dass ich Name und E-Mail-Adresse von dir bekommen habe, und gib den Verweis auf diese Seite weiter. Ich selbst schreibe der beschenkten Person nicht von mir aus, der Gutschein geht an dich.

Wenn dir jemand einen Gutschein geschenkt hat

Dann liegen bei mir dein Name, unter Umständen deine E-Mail-Adresse und die Zeilen, die dir jemand auf den Gutschein geschrieben hat. Diese Angaben hast du mir nicht selbst gegeben, sondern ich habe sie von der Person bekommen, die dich beschenkt hat. Für diesen Fall gilt Art. 14 DSGVO, und deshalb steht hier, was du wissen musst.

Verarbeitet werden genau diese drei Angaben, und zwar nur dafür, den Gutschein auf dich auszustellen und einlösen zu können. Rechtsgrundlage ist mein berechtigtes Interesse daran, dass ein Geschenk ankommt (Art. 6 Abs. 1 lit. f DSGVO). Weiter gebe ich nichts, an niemanden, und die Angaben werden nicht ausgewertet.

Von mir aus schreibe ich dir nicht. Der Gutschein geht an die Person, die ihn gekauft hat, und sie gibt ihn dir weiter. Diese Seite ist deshalb der Ort, an dem diese Auskunft für dich steht, und zwar von dem Tag an, an dem der Gutschein entsteht; das Gesetz gibt mir dafür höchstens einen Monat Zeit. Schreibe ich dir doch einmal, weil es um deinen Gutschein geht, weise ich dich in dieser ersten Nachricht darauf hin.

Dir stehen dieselben Rechte zu wie allen anderen, sie stehen weiter unten. Und ganz praktisch: wenn du nicht möchtest, dass dein Name und die Nachricht bei mir stehen, schreib mir. Ich lösche beides aus dem Gutschein heraus, und er behält seinen Wert und bleibt einlösbar.

Widerrufserklärung nach § 356a BGB

Für einen Widerruf gibt es auf dieser Website ein Formular. Wenn du es benutzt, verarbeite ich deinen Namen, deine E-Mail-Adresse und deine Angabe dazu, welchen Vertrag du widerrufst, also zum Beispiel einen Gutscheincode oder eine Bestellnummer. Freiwillig sind der Zeitpunkt des Vertragsschlusses, so wie du ihn angibst, und ein Grund. Der Grund ist und bleibt freiwillig; ohne ihn ist dein Widerruf genauso wirksam.

Nach einer Kontoverbindung frage ich nicht, und du sollst sie auch nirgends eintragen. Erstattet wird auf demselben Weg, auf dem bezahlt wurde.

Gespeichert wird deine Erklärung mit Datum und Uhrzeit ihres Eingangs, weil § 356a BGB genau das für die Bestätigung verlangt, dazu, ob ich sie einem Gutschein zuordnen konnte. Habe ich anhand deiner Angabe den Gutschein gefunden und passt deine E-Mail-Adresse zu der des Kaufs, sperre ich das Restguthaben sofort, damit es in der Zwischenzeit niemand einlöst; auch dieser Zeitpunkt wird vermerkt. Zweck ist, deinen Widerruf zu bearbeiten und belegen zu können, dass und wann er eingegangen ist. Rechtsgrundlage sind Art. 6 Abs. 1 lit. c DSGVO (meine gesetzliche Pflicht aus § 356a BGB) und Art. 6 Abs. 1 lit. b DSGVO (die Rückabwicklung des Vertrags).

Die Eingangsbestätigung bekommst du sofort auf dem Bildschirm zum Herunterladen und zusätzlich per E-Mail an die Adresse, die du angegeben hast.

Bestätigungen und andere E-Mails

Zu einer Buchung, einer Stornierung, einem Gutscheinkauf und zu einer Widerrufserklärung schicke ich dir eine E-Mail an die von dir angegebene Adresse. Dazu kommt eine Erinnerung am Tag vor deinem Kurstermin; sie ist die einzige dieser Nachrichten, die von selbst und ohne dein Zutun hinausgeht. Diese Nachrichten sind Teil der Vertragserfüllung und keine Werbung; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Bei der Bestätigung zum Gutscheinkauf und bei der Eingangsbestätigung zum Widerruf kommt Art. 6 Abs. 1 lit. c DSGVO dazu, denn beide Nachrichten schreibt mir das Gesetz vor.

Über jede dieser Nachrichten führe ich ein Protokoll: an welche Adresse sie ging, mit welchem Betreff, worum es ging, wann das war und ob der Versand gelungen ist. Ging eine Nachricht nicht hinaus, steht im Protokoll zusätzlich ihr vollständiger Text, damit ich sie von Hand nachreichen kann. Das betrifft auch die Benachrichtigung, die mir das Kontaktformular schickt: bei ihr enthält der vollständige Text deinen Namen, deine E-Mail-Adresse, deine Telefonnummer und deine Nachricht. Rechtsgrundlage für dieses Protokoll ist mein berechtigtes Interesse daran, belegen zu können, was tatsächlich verschickt wurde (Art. 6 Abs. 1 lit. f DSGVO).

Für den Versand nutze ich den Postausgang der IONOS SE, Elgendorfer Straße 57, 56410 Montabaur. Deine E-Mail-Adresse und der Inhalt der Nachricht laufen dabei über deren Server. Die stehen in Deutschland, in ein Land außerhalb der Europäischen Union wird nichts übermittelt. IONOS verarbeitet diese Daten nur in meinem Auftrag; dafür besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Rechtsgrundlage ist dieselbe wie für die Nachricht, um die es jeweils geht.

Zahlungsabwicklung

Wenn du hier online bezahlst, wickelt das Stripe für mich ab. Anbieter ist die Stripe Payments Europe, Limited mit Sitz in Dublin, Irland. Bezahlt wird auf einer eigenen Bezahlseite, und die liegt immer bei Kopffüßler, auch wenn du auf babybauch-leipzig.de gekauft hast; hinter beiden Marken steht derselbe Betrieb.

Das Bezahlfeld auf dieser Seite gehört Stripe. Es liegt in einem eigenen Fenster im Fenster, und was du dort einträgst, geht unmittelbar an Stripe. Deine Kartennummer, deine Bankverbindung und alles andere, womit du bezahlst, bekomme ich nie zu sehen und speichere ich nirgends.

An Stripe gebe ich weiter: den Betrag, deine E-Mail-Adresse, die Bezeichnung dessen, was du buchst oder kaufst, also zum Beispiel den Namen des Kurses, eine Vorgangsnummer und die beiden Adressen, auf die du nach der Zahlung zurückkommst. Die E-Mail-Adresse braucht Stripe, um dir den Zahlungsbeleg zu schicken. Zurück bekomme ich, ob bezahlt wurde, wann, welcher Betrag und eine Zahlungskennung, unter der ich die Zahlung später wiederfinde.

Stripe erhebt darüber hinaus selbst, was für eine Zahlung nötig ist, und prüft dabei jede Zahlung automatisch auf Anzeichen von Missbrauch. Dafür sieht Stripe unter anderem deine IP-Adresse, Angaben über dein Gerät und deinen Browser und wie du dich auf der Bezahlseite bewegst. Stripe kann eine Zahlung deshalb ablehnen. Wenn dir das passiert, ist nichts verloren: Dein Platz bleibt reserviert, du kannst es noch einmal versuchen, und du kannst mir jederzeit schreiben.

Rechtsgrundlage für die Zahlung ist Art. 6 Abs. 1 lit. b DSGVO, denn ohne sie kommt der Vertrag über deinen Kurs oder deinen Gutschein nicht zustande. Für die Prüfung auf Missbrauch kommt Art. 6 Abs. 1 lit. f DSGVO hinzu, also mein berechtigtes Interesse daran, dass hier niemand mit einer fremden Karte bezahlt. Stripe ist außerdem selbst gesetzlich verpflichtet, Zahlungen zu prüfen und Aufzeichnungen darüber aufzubewahren.

Stripe gehört zu einem Unternehmen in den Vereinigten Staaten, der Stripe, Inc., und deine Daten können dorthin gelangen. Für diese Übermittlung in ein Land außerhalb der EU stützt sich Stripe auf die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO) und ist zusätzlich nach dem EU-US Data Privacy Framework zertifiziert. Was Stripe mit deinen Daten macht, steht in Stripes eigener Datenschutzerklärung unter stripe.com/de/privacy.

Bei mir bleiben nur der Zahlungsstand, der Betrag und die Zahlungskennung stehen, und zwar an deiner Buchung beziehungsweise an deinem Gutschein. Wie lange das ist, steht weiter unten unter "Speicherdauer und Löschung". Wie lange Stripe die Zahlung selbst führt, bestimme nicht ich, sondern Stripes eigene Pflichten aus dem Geldwäsche- und Steuerrecht; eine Frist dazu erfinde ich hier nicht, sie steht in Stripes Datenschutzerklärung.

Bekommst du Geld zurück, geht es denselben Weg zurück, auf dem es gekommen ist. Dafür schicke ich Stripe den Betrag und die Kennung der ursprünglichen Zahlung. Nach einer Kontoverbindung frage ich dafür nicht, und du sollst sie auch nirgends eintragen.

Die Assistenz im Chatfenster

Unten rechts steht auf jeder Seite ein Knopf, über den du Fragen stellen kannst. Was dort antwortet, ist ein Computerprogramm und kein Mensch. Der Hinweis darauf steht dauerhaft im Kopf des Fensters; vorgeschrieben ist er durch Artikel 50 der KI-Verordnung.

Damit eine Antwort zustande kommt, gehen deine Frage und der bisherige Verlauf des Gesprächs an den Anbieter des Sprachmodells. Das ist Google Cloud EMEA Limited, ein Unternehmen mit Sitz in Irland. Die Verarbeitung findet in Rechenzentren innerhalb der Europäischen Union statt, in ein Land außerhalb der EU wird nichts übermittelt. Mit Google Cloud EMEA Limited besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Für das Training seiner Sprachmodelle verwendet Google diese Daten nicht. Das steht so im Vertrag über die Verarbeitung in meinem Auftrag und ist keine Einstellung, die jemand umlegen könnte. Für den laufenden Betrieb hält Google eine Anfrage bis zu vierundzwanzig Stunden vor, und schlägt die dortige Missbrauchserkennung an, kann der Text bis zu neunzig Tage aufbewahrt werden. Beides bleibt in denselben Rechenzentren innerhalb der Europäischen Union.

Hinaus geht dabei genau das, was du schreibst. Das Chatfenster fragt dich nicht nach deinem Namen und nicht nach deiner E-Mail-Adresse. Fragst du nach deiner eigenen Buchung, bittet dich die Assistenz um die Buchungsnummer aus deiner Bestätigungsmail. Nennst du sie, gehen Kurs, Termin, Personenzahl und Status dieser einen Buchung als Teil des Gesprächs an den Anbieter mit; mehr steht in der Antwort nicht, insbesondere kein Betrag und keine Anschrift. Alles Übrige, was du hineinschreibst, geht ebenfalls mit. Schreib dort deshalb bitte nichts hinein, was niemanden etwas angeht. Für alles Persönliche ist das Kontaktformular der richtige Weg, dort antworte ich dir selbst.

In die andere Richtung kann das Chatfenster nichts über andere Menschen herausgeben. Es hat dafür kein Werkzeug. Nachschlagen kann es Kurse, Termine, freie Plätze und die Antworten aus meiner Wissensablage, und mit deiner Buchungsnummer die eine Buchung, die dazu gehört. Einen Kundenbestand, eine Namensliste oder die Anfragen anderer Leute kann es nicht abrufen, auch dann nicht, wenn jemand es im Gespräch dazu auffordert.

Zweck ist, dir schnell eine Auskunft über Kurse, Termine und den Ablauf zu geben und, wenn du deine Buchungsnummer nennst, über deine eigene Buchung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen sowie die Erfüllung deines Kursvertrags) beziehungsweise Art. 6 Abs. 1 lit. f DSGVO (mein berechtigtes Interesse daran, deine Frage zu beantworten), also dieselbe Grundlage wie bei einer Frage über das Kontaktformular.

Den Verlauf deines Gesprächs führe ich seit dem 31. August 2026 auf meinem Server, damit eine Antwort nur in dem Gespräch gilt, in dem sie gegeben wurde. Gespeichert werden dabei der Wortlaut deiner Fragen und meiner Antworten, ihre Reihenfolge und der Zeitpunkt, und zwar verknüpft mit nichts als der Zufallszahl aus dem Cookie kf_assistenz. Dein Name, deine E-Mail-Adresse und deine IP-Adresse stehen dort nicht; ich kann diese Zeilen keiner Person zuordnen. Rechtsgrundlage ist mein berechtigtes Interesse an einem Gespräch, in das sich keine fremden Sätze legen lassen (Art. 6 Abs. 1 lit. f DSGVO). Wie lange die Zeilen bleiben, steht unter "Speicherdauer und Löschung". Läuft das Cookie ab, ist der Schlüssel zu ihnen fort, und auch ich komme nicht mehr an sie heran. Wie lange die übermittelten Texte beim Anbieter selbst liegen, steht weiter oben in diesem Abschnitt.

Damit niemand das Fenster für maschinelle Massenanfragen benutzt, zähle ich für kurze Zeit, wie viele Fragen von einer IP-Adresse kommen. Das ist dieselbe Zählung wie bei den Formularen, sie steht weiter unten unter "Schutz der Formulare vor Missbrauch". Wird eine Buchungsnummer geprüft, zähle ich zusätzlich für eine Stunde die Versuche zu dieser Nummer, damit sie sich nicht durchprobieren lässt. Gespeichert wird dabei nicht die Nummer, sondern nur eine Prüfsumme daraus.

Die Assistenz in meiner Verwaltung

Dieselbe Technik benutze ich hinter den Kulissen, um Anfragen zu beantworten, im Bestand nachzusehen und Änderungen vorzubereiten. Frage ich sie dabei etwas, das mit dir zu tun hat, geht die Auskunft aus meinem System zusammen mit meiner Frage an denselben Anbieter, also an Google.

Das können sein: dein Name, deine E-Mail-Adresse, deine Telefonnummer, deine Anschrift, deine bisherigen Kurstermine mit Betrag und Zahlungsstand, deine Gutscheine mit Guthaben und Restwert und der Wortlaut dessen, was du mir geschrieben hast. Sehe ich einen bestimmten Gutschein nach, geht sein Code mit, dazu die Namen, die darauf stehen.

Statt zu tippen kann ich der Assistenz auch etwas vorsprechen. Dann geht das Gesagte als Tonaufnahme an denselben Anbieter und wird dort aufgeschrieben. Kommt dein Name darin vor, geht er auf diesem Weg mit. Eine Sprachaufnahme von dir entsteht dabei nicht, es ist meine eigene Stimme. Die Aufnahme selbst speichere ich nicht, sie wird aufgeschrieben und danach verworfen. Was dabei herauskommt, lese ich, bevor ich damit weiterarbeite.

Hast du mir zu deiner Anfrage ein Foto oder eine Sprachnachricht geschickt, geht auch diese Datei an denselben Anbieter, sobald ich die Assistenz an deinen Vorgang lasse. Sie bekommt das Bild als Bild und die Aufnahme als Ton, also mehr als den Text daneben. Beim Eingang deiner Nachricht passiert das noch nicht. Zurück kommt eine Abschrift beziehungsweise eine Beschreibung in Worten, und die bewahre ich am Vorgang auf. Wer auf einem Bild zu sehen ist, lasse ich dabei ausdrücklich nicht bestimmen.

Nicht hinaus gehen deine Rechnungen, die Anmerkungen, die ich mir zu dir notiere, und die zufälligen Schlüssel aus deinen Links, also die, über die du deine Buchung oder deinen Gutschein aufrufst. In der Übersicht zu einer Person ist ein Gutscheincode außerdem bis auf die letzten vier Stellen unkenntlich.

Die Assistenz ändert von sich aus nichts. Was sie vorschlägt, legt sie mir als Karte vor, und erst mein Klick führt es aus. Diese Gespräche bewahre ich auf, damit ich sie wieder aufschlagen kann; steht darin etwas über dich, kannst du verlangen, dass ich sie lösche. Wie viele es sind, wie lange sie liegen und wie ich sie entferne, steht unten unter "Speicherdauer und Löschung".

Zweck und Rechtsgrundlage ändern sich dadurch nicht. Es bleibt bei dem, was für den jeweiligen Vorgang ohnehin gilt, also Art. 6 Abs. 1 lit. b DSGVO bei einer Buchung oder einem Kauf und Art. 6 Abs. 1 lit. f DSGVO bei einer Anfrage. Neu ist allein der Empfänger, und über ihn muss ich dich nach Art. 13 Abs. 1 lit. e DSGVO informieren.

Anmeldung am internen Bereich

Für die Verwaltung der Kurse gibt es einen internen Bereich, den nur ich und die Menschen benutzen, die mit mir arbeiten. Zu einem solchen Zugang speichere ich Name, E-Mail-Adresse, das Passwort ausschließlich als nicht rücklesbare Prüfsumme, die Rolle im Betrieb und den Zeitpunkt der letzten Anmeldung.

Eine Zwei-Faktor-Anmeldung ist dafür vorgesehen, aber nicht eingerichtet. Solange das so ist, entstehen dabei auch kein Geheimnis und keine Wiederherstellungscodes. Wird sie eingerichtet, kämen beide zu den Angaben oben dazu, und dieser Absatz sagt es dann.

Zu jeder angemeldeten Sitzung kommen ein zufälliger Sitzungsschlüssel, die IP-Adresse und die Browserkennung des benutzten Geräts, der Zeitpunkt der letzten Aktion und der Ablauf der Sitzung. IP-Adresse und Browserkennung stehen dort, damit eine fremde Anmeldung auffällt. Rechtsgrundlage ist mein berechtigtes Interesse an einem gesicherten Zugang zu Kunden- und Buchungsdaten (Art. 6 Abs. 1 lit. f DSGVO). Meldet sich jemand erneut an, werden dabei seine abgelaufenen Sitzungen entfernt.

Wer im internen Bereich arbeitet, kann sich auf seinem Gerät benachrichtigen lassen, wenn eine Anfrage wartet. Dafür speichere ich zu jedem angemeldeten Gerät die Zustelladresse, die der Browser dafür vergibt, zwei Schlüssel zum Verschlüsseln der Nachricht, eine grobe Bezeichnung des Geräts wie "Chrome auf Android" und die Zeitpunkte der Anmeldung und der letzten erfolgreichen Zustellung. Der Weg dorthin führt über den Zustelldienst des jeweiligen Browserherstellers, also über Google, Mozilla oder Apple, und deren Server stehen zum Teil außerhalb der Europäischen Union. Der Inhalt der Mitteilung ist dabei so verschlüsselt, dass nur das angemeldete Gerät ihn lesen kann. In der Mitteilung selbst steht ohnehin kein Name und kein Inhalt einer Anfrage, sondern nur, wie viele warten. Rechtsgrundlage ist mein berechtigtes Interesse daran, eine Anfrage nicht liegen zu lassen (Art. 6 Abs. 1 lit. f DSGVO); auf dem Gerät gespeichert wird nur mit der Erlaubnis, die der Browser vorher ausdrücklich abfragt (§ 25 Abs. 1 TDDDG). Wer die Mitteilungen an seinem Gerät wieder abschaltet, dessen Eintrag wird dabei gelöscht.

Schutz der Formulare vor Missbrauch

Um automatisierte Massenanfragen zu unterbinden, zähle ich für kurze Zeit, wie viele Anfragen von einer IP-Adresse und zu einer E-Mail-Adresse eingehen. Gespeichert wird dafür ein aus diesen Angaben gebildeter Schlüssel zusammen mit dem Zeitpunkt. Rechtsgrundlage ist mein berechtigtes Interesse an einem funktionsfähigen und missbrauchssicheren Angebot (Art. 6 Abs. 1 lit. f DSGVO). Diese Zähleinträge verlieren nach wenigen Stunden ihren Zweck und werden beim nächsten Aufräumlauf entfernt. Es findet kein Tracking und keine Profilbildung statt.

Außerdem enthält jedes Formular ein Feld, das kein Mensch sieht und nur maschinelle Absender ausfüllen. Ist es ausgefüllt, wird nichts gespeichert und nichts weitergeleitet; die Antwort sieht trotzdem aus wie eine erfolgreiche Übermittlung, damit ein Programm daraus nichts lernt.

Besucherstatistik

Ich zähle mit, wie oft welche Seite aufgerufen wird. Nicht um dich wiederzuerkennen, sondern um zu sehen, ob die Seiten überhaupt gefunden werden und welche Kurse Leute interessieren. Dafür setze ich kein Cookie, und deshalb fragt dich hier auch nichts nach einer Einwilligung.

Gezählt wird mit Umami, einer Software, die ich selbst betreibe. Sie läuft auf einem Server in Deutschland unter analytics.emit-solution.com, beim selben Dienstleister wie diese Website. Es geht dabei nichts an Google, an Meta oder an sonst jemanden, und es wird nichts für Werbung verwendet.

Erfasst wird je Aufruf: welche Seite du geöffnet hast, von welcher Adresse du gekommen bist, welchen Browser und welches Betriebssystem du benutzt, ob du an einem Telefon oder an einem großen Bildschirm sitzt, deine Bildschirmgröße, deine Spracheinstellung und in welchem Land und in welcher Stadt du ungefähr bist. Deine IP-Adresse wird dafür kurz ausgewertet und nicht gespeichert; aus ihr entsteht zusammen mit den Browserangaben eine Kennung, die täglich neu gebildet wird und mit der sich niemand zurückverfolgen lässt. Dein Name, deine E-Mail-Adresse und alles, was du in ein Formular einträgst, kommen in dieser Zählung nicht vor.

Rechtsgrundlage ist mein berechtigtes Interesse daran, zu erfahren, ob meine Website ankommt und wo sie hakt (Art. 6 Abs. 1 lit. f DSGVO). Dass ich dafür ohne Cookie auskomme und keine Daten weitergebe, ist der Grund, warum dieses Interesse deine Rechte hier nicht überwiegt. Eine Einwilligung nach § 25 TDDDG brauche ich nicht, weil auf deinem Gerät nichts gespeichert und nichts ausgelesen wird.

Du kannst dieser Zählung jederzeit widersprechen (Art. 21 Abs. 1 DSGVO). Am schnellsten geht das über die Einstellung "Do Not Track" deines Browsers: Wird sie gesendet, zählt die Software gar nicht erst. Du kannst mir aber auch einfach schreiben, dann nehme ich dich heraus.

Nachrichten über Instagram

Für meine Werkstatt gibt es ein Instagram-Konto, auf das beide meiner Websites verweisen. Schreibst du mir dort eine Direktnachricht, hole ich sie einmal in der Stunde von Instagram ab und lege sie in derselben Vorgangsverwaltung ab wie eine Anfrage aus dem Kontaktformular oder eine E-Mail. Deine Nachricht steht danach also nicht nur in der Instagram-App, sondern auch bei mir.

Gespeichert werden dabei der Name, unter dem du bei Instagram schreibst, die Kennung, mit der Instagram dein Konto führt, der Wortlaut deiner Nachricht, der Zeitpunkt, zu dem du sie abgeschickt hast, und die Nummer, die Instagram der einzelnen Nachricht gibt. Übernommen wird ausschließlich geschriebener Text. Schickst du mir über Instagram ein Foto oder eine Sprachnachricht, bleibt die Datei dort; bei mir kommt sie nicht an.

Schreibst du mir mehrmals, hängen die weiteren Nachrichten an demselben Vorgang, es entsteht nicht für jede ein neuer. Antworte ich dir aus der Instagram-App statt aus meiner Verwaltung, wird auch meine Antwort dort vermerkt, damit der Gesprächsverlauf vollständig ist und ich dich nicht ein zweites Mal anschreibe.

Ein Instagram-Konto sagt mir von sich aus nicht, wer dahintersteht. Stellt sich im Gespräch heraus, dass du auch in meiner Kundenkartei stehst, verbinde ich den Vorgang von Hand mit deinem Eintrag. Diese Verbindung gilt dann für alle Nachrichten dieses Kontos, auch für künftige, und ich sehe deine Nachrichten neben deinen Buchungen. Von selbst geschieht das nicht, und ein neuer Eintrag in der Kundenkartei entsteht durch eine Instagram-Nachricht auch nicht. Rechtsgrundlage für die Verbindung ist mein berechtigtes Interesse an einer sinnvollen Bearbeitung (Art. 6 Abs. 1 lit. f DSGVO).

Umgekehrt kann ich mir an deinem Eintrag in der Kundenkartei notieren, wie du bei Instagram heißt, so wie ich mir eine Telefonnummer notiere. Das ist eine Kontaktangabe, damit ich weiß, wo ich dich erreiche. Deine Nachrichten ordne ich damit nicht zu, das geschieht allein über die Verbindung aus dem Absatz davor.

Zweck ist, deine Anfrage zu beantworten und sie nicht zu verlieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen), wenn es um eine Buchung oder einen Kauf geht, sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung deiner Anfrage). Wie lange die Nachricht bei mir bleibt, steht unter "Speicherdauer und Löschung".

Meine Assistenz kann diese Vorgänge lesen. Was dabei an den Anbieter des Sprachmodells geht, steht unter "Die Assistenz in meiner Verwaltung".

Deine Nachricht liegt zugleich weiterhin bei Instagram, also bei Meta Platforms Ireland Limited. Ich hole dort nur ab, was du mir ohnehin geschickt hast, und meine Antwort geht denselben Weg zurück. Wie Instagram selbst mit deinen Daten umgeht, kann ich nicht bestimmen; dafür gilt die Datenschutzerklärung von Instagram.

Bewertungen bei Google

Auf meiner Startseite zeige ich Bewertungen aus meinem Google-Unternehmensprofil: den Vornamen, die Zahl der Sterne, den geschriebenen Text und den Monat, in dem sie verfasst wurde. Erhoben habe ich diese Angaben nicht, sie stehen bei Google öffentlich. Einmal in der Nacht liest ein Programm auf meinem Server die öffentliche Profilseite und übergibt das Ergebnis an diese Website. Der Nachname wird dabei auf den Anfangsbuchstaben gekürzt, bevor überhaupt etwas gespeichert wird, aus "Maria Gröschel" wird also "Maria G.".

Gespeichert wird dabei zu jeder Bewertung: der gekürzte Name, die Zahl der Sterne, der Text, Googles eigene Zeitangabe im Wortlaut (etwa "vor vier Tagen"), der Monat, soweit sich aus dieser Angabe einer ergibt, und die Kennung, unter der Google die einzelne Rezension führt. Diese Kennung gehört der Rezension und nicht dem Google-Konto dahinter; sie sorgt dafür, dass ein zweiter Abruf dieselbe Bewertung wiedererkennt, statt sie noch einmal anzulegen. Ein Profilbild und eine Verbindung zum Google-Konto der schreibenden Person übernehme ich nicht.

Beim Anzeigen der Bewertungen wird nichts von Google nachgeladen. Name, Sterne und Text kommen aus meiner eigenen Datenbank, und das Google-Zeichen unter den Karten steckt als Grafik in der Seite selbst. Erst wenn du den Verweis auf alle Bewertungen anklickst, verlässt du meine Seite.

Zweck ist, dass du dir ein Bild davon machen kannst, wie andere meine Kurse fanden. Rechtsgrundlage ist mein berechtigtes Interesse daran, echte Kundenstimmen zu zeigen (Art. 6 Abs. 1 lit. f DSGVO). Die Angaben stammen nicht von der schreibenden Person selbst, sondern aus dem öffentlich einsehbaren Unternehmensprofil bei Google (Art. 14 Abs. 2 lit. f DSGVO).

Ziehst du deine Bewertung bei Google zurück, verschwindet sie dort, meine Kopie bleibt aber stehen: Der nächtliche Abgleich legt nur neue Bewertungen an und nimmt keine zurück. Schreib mir in dem Fall, dann entferne ich sie von der Seite. Dasselbe gilt, wenn du sie bei Google stehen lassen, aber hier nicht mehr lesen möchtest.

Speicherdauer und Löschung

Ich speichere personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck nötig ist oder gesetzliche Pflichten es verlangen. Wie das praktisch abläuft, sage ich dir gleich dazu, denn es läuft hier kein Programm im Hintergrund, das von selbst löscht. Ich gehe den Bestand einmal im Jahr im Januar von Hand durch und entferne, was die folgenden Fristen überschritten hat:

  • Anmeldungen und Kundendaten: drei Jahre nach dem letzten Kontakt. Der Zeitraum orientiert sich an der regelmäßigen Verjährungsfrist, damit Ansprüche aus dem Vertrag beiderseits nachvollziehbar bleiben. Die freiwillig angegebenen Namen der Mitkommenden lösche ich früher, nämlich sofort, sobald die Buchung storniert wird oder der Termin ausfällt. Dafür warte ich nicht bis Januar, das erledigt das System im selben Arbeitsschritt.
  • Angefangene, nicht abgeschickte Buchungen: spätestens nach sieben Tagen ohne weiteren Besuch, in jedem Fall dreißig Tage nach dem Anfang. Das erledigt ein nächtlicher Lauf und nicht der Januar. Gespeichert sind dabei nur der Kurs, die gewählten Termine, die Personenzahl und deine eigenen Angaben aus dem Formular. Die Namen der Mitkommenden bewahre ich hier ausdrücklich nicht auf, ebenso wenig einen Gutscheincode oder die beiden Häkchen unter dem Formular. Sobald du die Buchung abschickst, lösche ich die Angaben aus dieser Zwischenspeicherung sofort; ab da stehen sie in der Anmeldung.
  • Anfragen und Nachrichten, die als Vorgang bei mir liegen, gleich ob aus dem Kontaktformular, per E-Mail oder über Instagram: drei Jahre nach dem letzten Schriftwechsel, aus demselben Grund.
  • Fotos und Sprachnachrichten, die du mir zu einer Anfrage mitschickst: 90 Tage. Der Schriftwechsel selbst bleibt länger, siehe den Punkt davor; die Datei dagegen hat ihren Zweck erfüllt, sobald deine Frage besprochen ist. Danach steht am Vorgang nur noch, dass es sie gab, mit Dateiname und Größe. Das erledigt ein nächtlicher Lauf und nicht der Januar. Eine Abschrift, die ich von einer Sprachnachricht habe machen lassen, bleibt dagegen stehen wie ein getippter Text.
  • Gutscheine: solange noch Guthaben darauf steht, denn nur so kann ich sie einlösen. Danach drei Jahre, weil so lange Ansprüche daraus geltend gemacht werden können. Der Beleg über den Kauf bleibt zehn Jahre, siehe den letzten Punkt dieser Liste. Name und Nachricht der beschenkten Person lösche ich auf Wunsch sofort, ohne dass der Gutschein seinen Wert verliert.
  • Widerrufserklärungen: drei Jahre, gerechnet ab dem Ende des Jahres, in dem sie eingegangen sind. Ich muss belegen können, dass und wann eine Erklärung bei mir war, und der Widerruf gehört zum Vertrag, über den er abgeschlossen wurde.
  • Protokolleinträge über verschickte E-Mails: zusammen mit der Buchung oder Anfrage, zu der sie gehören.
  • Einträge der Missbrauchszählung: sie verlieren nach wenigen Stunden ihren Zweck und werden beim nächsten Aufräumlauf entfernt.
  • Sitzungen des internen Bereichs: mit ihrem Ablauf, spätestens bei der nächsten Anmeldung derselben Person.
  • Auf ein Gerät angemeldete Mitteilungen: ohne Frist. Der Eintrag steht, solange das Gerät angemeldet ist. Er verschwindet, sobald jemand die Mitteilungen an diesem Gerät abschaltet, und er geht mit, wenn der Zugang gelöscht wird, an dem er hängt.
  • Gespräche mit der Assistenz: das ist zweierlei, und die Antwort fällt für die beiden Wege verschieden aus. Vom Chatfenster auf dieser Website liegen der Wortlaut deiner Fragen und meiner Antworten auf meinem Server, verknüpft mit nichts als der Zufallszahl aus dem Cookie kf_assistenz. Zwei Stunden nach dem Gespräch sind sie zum Löschen fällig, und weggeräumt werden sie in der darauffolgenden Nacht, zusammen mit allen anderen Fristen; länger als bis zum nächsten Morgen steht also nichts davon. Nach denselben zwei Stunden läuft auch das Cookie ab, der Schlüssel zu diesen Zeilen fehlt dann ohnehin, und niemand könnte sie noch einem Gespräch oder einem Gerät zuordnen, ich eingeschlossen. Die Assistenz in meiner Verwaltung behält dagegen, was ich mit ihr bespreche, damit ich ein Gespräch wieder aufschlagen kann: rund hundert Stück je Zugang, und zwar ohne Frist. Es fällt erst dann etwas heraus, wenn neue Gespräche dazukommen und das älteste verdrängen. Steht in einer Frage etwas über dich, weil ich zum Beispiel deine Nachricht hineinkopiert habe, um sie beantworten zu lassen, dann steht es dort im Wortlaut. Ich kann jedes Gespräch einzeln löschen und alle auf einmal, die Nachrichten darin gehen dabei mit; verlangst du die Löschung deiner Daten, ist das der Weg, auf dem ich auch diese Gespräche entferne. Spreche ich der Assistenz etwas vor, bewahre ich die Tonaufnahme nicht auf, sie wird aufgeschrieben und danach verworfen; die Abschrift ist dann meine Frage und steht damit im Gespräch. Was ich unabhängig davon ein Jahr lang festhalte, ist eine Änderung, die ich über die Assistenz vornehme: welcher Vorgang wann angefasst wurde und mit welchen Angaben. Das brauche ich, um nachvollziehen zu können, wer etwas veranlasst hat, wenn hinterher etwas nicht stimmt. Den Wortlaut dessen, was dabei geschrieben oder verschickt wurde, halte ich in diesem Vermerk nicht fest.
  • Zahlen der Besucherstatistik: dauerhaft. Sie sind das Einzige, woran ich sehe, ob es dieses Jahr besser läuft als im letzten, und dafür müssen sie stehen bleiben. Ein Name, eine E-Mail-Adresse oder eine IP-Adresse stehen dort nicht; was bleibt, sind Seitenaufrufe und grobe Angaben zu Gerät und Ort. Die tagesaktuelle Kennung, mit der ein Besuch zusammengehalten wird, ist am nächsten Tag gegenstandslos und lässt sich danach niemandem mehr zuordnen.
  • Bewertungen aus meinem Google-Unternehmensprofil: ohne Frist. Sie stehen, solange ich sie zeige. Der nächtliche Abgleich legt nur neue an und nimmt keine zurück; ziehst du deine bei Google zurück, verschwindet meine Kopie deshalb nicht von selbst. Schreib mir, dann entferne ich sie, und dafür musst du nicht bis zum Januar warten.
  • Rechnungen und andere steuerlich relevante Belege: zehn Jahre nach § 147 AO in Verbindung mit § 14b UStG.

Willst du früher gelöscht werden, warte nicht auf den Januar. Schreib mir, dann mache ich es und sage dir Bescheid, wenn es erledigt ist.

Bei den steuerlich aufzubewahrenden Belegen endet ein Löschverlangen: Ich darf sie nicht löschen, solange die Aufbewahrungsfrist läuft (Art. 17 Abs. 3 lit. b DSGVO). In diesen Fällen schränke ich die Verarbeitung stattdessen ein, das heißt, die Daten werden nur noch zur Erfüllung dieser Pflicht vorgehalten und sonst nicht mehr verwendet.

Schriftarten

Diese Website verwendet lokal auf dem eigenen Server eingebundene Schriftarten (Web Fonts). Beim Aufruf der Seiten wird dadurch keine Verbindung zu Servern Dritter (etwa Google) hergestellt, und es werden keine Daten an Dritte übermittelt.

Cookies

Von mir aus setzt diese Website nur technisch notwendige Cookies ein, und es sind genau fünf. Wer sich am internen Bereich anmeldet, bekommt aegis_sitzung; ohne dieses Cookie funktioniert die Anmeldung dort nicht. Wer in der Buchung einen Gutschein- oder Aktionscode prüfen lässt, bekommt kf_codepruefung. Darin steht nichts als eine Zufallszahl, es läuft nach zwei Stunden ab, und es dient allein dazu, die Zahl der Codeprüfungen je Browser zu begrenzen, damit niemand fremde Codes durchprobieren kann. Wer das Chatfenster nutzt, bekommt aus demselben Grund kf_assistenz. Auch darin steht nur eine Zufallszahl, auch es läuft nach zwei Stunden ab, und es begrenzt die Zahl der Anfragen je Browser. Seit dem 31. August 2026 ist es zugleich der Schlüssel zu dem Gesprächsverlauf, den das Chatfenster auf meinem Server hinterlässt: ohne dieses Cookie kommt niemand mehr an diese Zeilen heran, auch ich nicht.

Wer eine Buchung anfängt und dabei unterbrochen wird, bekommt kf_buchungssitzung. Auch darin steht nichts als eine Zufallszahl. Sie ist der Schlüssel zu deiner angefangenen Buchung, damit ich dir beim nächsten Aufruf anbieten kann, dort weiterzumachen, wo du aufgehört hast. Gesetzt wird es erst, wenn du wirklich etwas ausgewählt oder eingetragen hast, nicht schon beim Aufrufen der Buchungsseite. Es läuft nach dreißig Tagen ab, und wenn du auf der Buchungsseite "Von vorn anfangen" wählst, verschwinden das Cookie und die dazugehörige Zwischenspeicherung sofort.

Wer den QR-Code auf einer gedruckten Gutscheinkarte scannt, bekommt kf_kartencode. Darin steht der Code dieser Karte, damit du ihn beim Buchen nicht abtippen musst. Es läuft nach zwei Stunden ab, es verschwindet, sobald der Gutschein in einer Buchung eingelöst ist, und dein Gutschein bleibt davon vollkommen unberührt: ist das Cookie weg, steht das Eingabefeld wieder da und die Karte liegt in deiner Hand.

Beim bloßen Lesen der öffentlichen Seiten wird keines davon gesetzt. Analyse-, Tracking- oder Marketing-Cookies werden nicht eingesetzt. Ich zähle zwar mit, wie oft welche Seite aufgerufen wird, aber diese Zählung kommt ohne Cookie aus und legt auch sonst nichts auf deinem Gerät ab; was sie erfasst, steht oben unter "Besucherstatistik". Rechtsgrundlage für technisch notwendige Cookies ist § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO; eine Einwilligung ist dafür nicht nötig.

Auf der Bezahlseite kommt etwas dazu, das nicht von mir stammt. Das Bezahlfeld dort gehört Stripe, und Stripe legt dabei eigene Einträge auf deinem Gerät ab und liest sie wieder. Sie halten deine Bezahlsitzung zusammen und helfen Stripe, Missbrauch zu erkennen, also zum Beispiel das Durchprobieren gestohlener Karten; ohne sie funktioniert das Bezahlen nicht. Geladen wird Stripe ausschließlich auf dieser einen Seite und erst, wenn du dich fürs Bezahlen entschieden hast, auf den übrigen Seiten dieser Website nicht. Ein einmal abgelegter Eintrag bleibt danach zwar auf deinem Gerät, gelesen wird er aber nur dort, wo Stripe auch geladen wird, also wieder auf der Bezahlseite. Rechtsgrundlage ist auch dafür § 25 Abs. 2 Nr. 2 TDDDG, denn ohne diese Einträge kann ich dir das Bezahlen gar nicht anbieten, das du ausdrücklich willst; eine Einwilligung brauche ich dafür nicht. Welche Einträge Stripe im Einzelnen ablegt und wie lange sie bleiben, bestimmt Stripe und nicht ich. Das steht in Stripes Datenschutzerklärung unter stripe.com/de/privacy, und was dabei an Stripe übermittelt wird, steht oben unter "Zahlungsabwicklung".

Deine Rechte

Dir stehen hinsichtlich deiner personenbezogenen Daten folgende Rechte zu:

  • Auskunft über die gespeicherten Daten (Art. 15 DSGVO)
  • Berichtigung unrichtiger Daten (Art. 16 DSGVO)
  • Löschung (Art. 17 DSGVO)
  • Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Datenübertragbarkeit (Art. 20 DSGVO)
  • Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
  • Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO)

Zur Ausübung deiner Rechte genügt eine formlose Nachricht an die oben genannten Kontaktdaten.

Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung deiner personenbezogenen Daten zu beschweren (Art. 77 DSGVO). Zuständig ist insbesondere die Aufsichtsbehörde des Bundeslandes Sachsen (Die Sächsische Datenschutzbeauftragte, Dresden). Du kannst dich aber auch an jede andere Aufsichtsbehörde wenden.

Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung oder ein Profiling im Sinne des Art. 22 DSGVO findet nicht statt. Die Assistenz antwortet zwar selbsttätig, aber sie entscheidet nichts über dich. Sie bucht keinen Platz, sagt keinen ab, stellt keine Rechnung, setzt keine Preise fest und bewertet dich nicht. Jede Entscheidung, die dich betrifft, trifft am Ende ein Mensch, und das bin ich.

Eines läuft trotzdem selbsttätig, und deshalb steht es hier: Bezahlst du online, prüft Stripe die Zahlung automatisch auf Anzeichen von Missbrauch und kann sie ablehnen. Auch das ist keine Entscheidung über dich als Person. Dein Platz bleibt reserviert, du kannst es noch einmal versuchen, auf einem anderen Weg bezahlen oder mir schreiben, und dann sehe ich mir das an. Was Stripe dafür verarbeitet, steht oben unter "Zahlungsabwicklung".

Stand: 31. August 2026