Datenschutzerklärung · Stark im Sturm

Worum es hier geht

Diese Datenschutzerklärung gilt für die Mitgliederplattform des AYL Circle unter ayl.starkimsturm.com (öffnet in neuem Tab). Sie erklärt dir, welche personenbezogenen Daten wir verarbeiten, wenn du eingeladen wirst, ein Konto anlegst, bezahlst und die Plattform nutzt, etwa den Kurs bearbeitest oder an den Lives teilnimmst, warum wir das tun, wie lange wir die Daten aufbewahren und welche Rechte du hast. Für die öffentliche Website www.starkimsturm.com (öffnet in neuem Tab) gilt die dort veröffentlichte Datenschutzerklärung.

Wir sprechen dich in dieser Erklärung mit „du“ an, so wie überall im AYL Circle. An der Verbindlichkeit der Angaben ändert das nichts.

Verantwortlicher

Verantwortlich für die Verarbeitung deiner Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Stark im Sturm
Inhaber: Jens Alsleben
Lange Reihe 15
20099 Hamburg
Telefon: +49 176 27202072
E-Mail: ja@starkimsturm.com

Einen Datenschutzbeauftragten müssen wir nach den gesetzlichen Vorgaben nicht benennen. Bei allen Fragen zum Datenschutz erreichst du uns unter der genannten E-Mail-Adresse.

Hosting und Infrastruktur

Die Anwendung und die Datenbank laufen auf Servern in Frankfurt am Main. Wir nutzen dafür zwei Dienstleister, die in unserem Auftrag Daten verarbeiten (Auftragsverarbeiter nach Art. 28 DSGVO):

Vercel Inc. (USA) betreibt die Anwendung. Die Serverfunktionen laufen in der Region Frankfurt; unveränderliche Dateien wie Bilder und Skripte liefert Vercel über sein weltweites Netz aus, in der Regel von einem Standort in deiner Nähe. Beim Aufruf der Plattform verarbeitet Vercel technisch notwendige Verbindungsdaten wie deine IP-Adresse, die aufgerufene Seite, Zeitpunkt und Browserkennung. Zum Schutz vor Missbrauch begrenzt Vercel auf einigen Seiten die Zahl der Anfragen je IP-Adresse. Mit Vercel besteht ein Vertrag zur Auftragsverarbeitung mit den EU-Standardvertragsklauseln; Vercel ist zudem unter dem EU-US Data Privacy Framework zertifiziert. Datenschutzhinweise: vercel.com/legal/privacy-policy (öffnet in neuem Tab)
Supabase Inc. (USA) stellt die Datenbank, die Anmeldung (Authentifizierung) und den Dateispeicher bereit. Unser Projekt liegt in der Region Frankfurt; deine Daten werden dort gespeichert. Supabase legt täglich Sicherungskopien der Datenbank an. Mit Supabase besteht ein Vertrag zur Auftragsverarbeitung. Datenschutzhinweise: supabase.com/privacy (öffnet in neuem Tab)

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags mit dir) und, was die technischen Verbindungsdaten und den Schutz vor Missbrauch betrifft, Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einem sicheren und stabilen Betrieb).

Einladung, Registrierung und Konto

Den Zugang zum AYL Circle gibt es nicht über einen öffentlichen Verkauf, sondern über eine persönliche Einladung nach einem Aufnahmegespräch. Für die Einladung speichern wir deinen Namen, deine E-Mail-Adresse, den Zeitpunkt der Einladung, ob und wann du den Einladungslink geöffnet hast, ob die Einladung angenommen wurde oder abgelaufen ist, ob und wann sie zurückgezogen wurde und welches Konto du auf der Einladungsseite angelegt hast.

Dein Konto legst du auf der Einladungsseite an, bevor du bezahlst oder einen geschenkten Zugang aktivierst: mit der E-Mail-Adresse, an die die Einladung ging, und einem Passwort, das du dort selbst wählst. Hast du schon ein Konto, meldest du dich dort stattdessen an. Nimmst du die Einladung nicht an, löschen wir die Einladung und das Konto, das du auf der Einladungsseite angelegt hast, 30 Tage, nachdem die Einladung abgelaufen ist oder wir sie zurückgezogen haben. Ist dann eine neue Einladung an deine E-Mail-Adresse offen, bleibt das Konto für sie bestehen; nimmst du auch diese nicht an, löschen wir es 30 Tage nach ihrem Ende. Ein Konto, zu dem eine Mitgliedschaft gehört, löschen wir dabei nicht. Konnten wir ein Konto, das du auf der Einladungsseite angelegt hast, wegen eines technischen Fehlers nicht bei deiner Einladung vermerken, löschen wir es nach 24 Stunden. Ist dann eine Einladung an deine E-Mail-Adresse offen, vermerken wir das Konto stattdessen bei ihr, und es gilt die Frist oben. Ein Konto, zu dem eine Mitgliedschaft gehört, löschen wir auch hier nicht. Dass wir dich eingeladen haben, hält außerdem das Audit-Protokoll mit deiner E-Mail-Adresse fest; dieser Eintrag kann länger bestehen bleiben als die Einladung (siehe „Ereignis- und Audit-Protokoll“).

Wenn du dein Konto anlegst und die Plattform nutzt, verarbeiten wir:

deine E-Mail-Adresse und deinen Namen
dein Passwort, das ausschließlich als kryptografischer Hash bei unserem Anmeldedienst Supabase gespeichert wird (wir kennen dein Passwort nicht); alternativ meldest du dich über einen Link an, den wir dir per E-Mail schicken
das Geheimnis für die Zwei-Faktor-Authentifizierung, falls du sie einrichtest; für Administratoren ist sie Pflicht und wird direkt nach jeder Anmeldung abgefragt
die Zeitpunkte deiner Anmeldungen und die Sitzungen deiner Geräte (Gerät und Browser, IP-Adresse, Zeitpunkt), damit du sehen kannst, wo du angemeldet bist, und dich überall abmelden kannst
dein Profil, soweit du es ausfüllst (zum Beispiel ein Profilbild), sowie deine Einstellungen, etwa zu Benachrichtigungen
deine Mitgliedschaft: Status, Rolle, Beginn deiner Reise im AYL Circle
welche Fassung der AGB du wann angenommen hast
wann du die ersten Schritte nach deiner ersten Anmeldung abgeschlossen und das Willkommensvideo gestartet oder als gesehen markiert hast
wann du die Liste „Dein Einstieg“ auf der Startseite ausgeblendet hast. Diesen Vermerk nutzen wir nur, um zu entscheiden, ob wir dir die Liste zeigen: Sie kommt erst wieder, wenn ein neuer Schritt dazukommt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags mit dir).

Die Administratoren des AYL Circle sehen in der Mitgliederverwaltung deinen Namen, deine E-Mail-Adresse, deinen Status, deinen Zahlungsstatus, deinen letzten Anmeldezeitpunkt, ob dir alle Kursinhalte freigeschaltet sind und ob du den Kurs abgeschlossen hast, dazu die Ereignisse, die die Plattform selbst zu deiner Mitgliedschaft festhält, etwa einen Zahlungseingang, und einen Widerruf deines Vertrags mit dem Stand der Erstattung (siehe „Zahlungen“). Deinen Fortschritt in einzelnen Lektionen, deine Notizen und deine Vermerke zu den Lives sehen sie nicht, weder in der Plattform noch in einem Export: Einen Export deiner Daten, den unser Team für dich anstößt, bekommst nur du (siehe „Datenexport und Löschung deines Kontos“). Für den Support können sie dein Konto in einer reinen Leseansicht so sehen, wie du es siehst; jede dieser Ansichten wird protokolliert.

Kurs, Fortschritt und Notizen

Damit du im Kurs dort weitermachen kannst, wo du aufgehört hast, speichern wir:

welche Lektionen du wann erledigt hast, von Hand oder automatisch, wenn du das Video einer Lektion bis zum Ende angesehen hast
bis zu welcher Stelle du das Video einer Lektion angesehen hast; die Stelle speichern wir während des Abspielens alle zehn Sekunden sowie beim Pausieren und beim Verlassen der Seite
deine Notizen zu einzelnen Lektionen. Sie sind privat: In der Plattform kann sie niemand außer dir sehen, auch unsere Administratoren nicht. Stößt unser Team einen Export deiner Daten für dich an, etwa weil du uns um Auskunft bittest, enthält die Datei auch deine Notizen; den Link dazu bekommst nur du, an deine eigene E-Mail-Adresse, und den Anlass halten wir im Audit-Protokoll fest.
ob du den Kurs abgeschlossen hast. Das hält die Plattform selbst fest, sobald du alle Module erledigt hast; Administratoren können einen Abschluss auch von Hand eintragen und dir alle Kursinhalte vorzeitig freischalten.

Das Erledigen einer Lektion halten wir zusätzlich als Ereignis fest (siehe „Ereignis- und Audit-Protokoll“). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags mit dir). Fortschritt und Notizen gehören zu deinem Datenexport und werden mit deinem Konto gelöscht.

Videos von YouTube

Die Videos der Lektionen und das Willkommensvideo liegen bei YouTube und werden in die Plattform eingebettet. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Solange du ein Video nicht startest, stellt dein Browser keine Verbindung zu YouTube her: Vor dem Klick zeigt dir die Plattform ein eigenes Bild aus unseren eigenen Dateien. Dafür wird nichts bei YouTube abgerufen, weder von deinem Browser noch von unserem Hoster. Erst wenn du auf ein Video klickst, lädt dein Browser den Player von YouTube, im erweiterten Datenschutzmodus (youtube-nocookie.com) und mit einer Programmbibliothek von youtube.com. Dabei erhält Google insbesondere deine IP-Adresse, Angaben zu deinem Browser und Gerät, die Adresse unserer Plattform und Informationen darüber, welches Video du wie lange abspielst. YouTube kann außerdem Informationen auf deinem Gerät speichern oder dort auslesen, etwa im Speicher deines Browsers. Für die weitere Verarbeitung dieser Daten ist Google selbst verantwortlich; Google verarbeitet sie auch für eigene Zwecke und auch in den USA. Die Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert. Datenschutzhinweise: policies.google.com/privacy (öffnet in neuem Tab)

Ein Video von YouTube kann auch im Text einer Lektion stehen. Dort gilt dasselbe: Vor dem Klick zeigt die Plattform ein eigenes Vorschaubild, für das nichts bei YouTube abgerufen wird; nach dem Klick lädt dein Browser den Player von youtube-nocookie.com, aber nicht die Programmbibliothek.

Rechtsgrundlage für die Einbindung ist Art. 6 Abs. 1 lit. b DSGVO, denn die Videos sind Teil des Kurses, den du mit deiner Mitgliedschaft erhältst. Informationen auf deinem Gerät speichert oder liest YouTube erst, wenn du ein Video ausdrücklich startest (§ 25 Abs. 2 Nr. 2 TDDDG). Lässt sich das Video einer Lektion oder das Willkommensvideo nicht abspielen, bieten wir dir einen Link, um es direkt auf youtube.com anzusehen; dort gilt allein die Datenschutzerklärung von Google.

Videos von Vimeo und Loom

In die Texte der Lektionen können wir außerdem Videos einbetten, die bei Vimeo oder bei Loom liegen. Anbieter von Vimeo ist die Vimeo.com, Inc. (USA). Loom gehört zu Atlassian; verantwortlich sind nach den Datenschutzhinweisen von Atlassian die Atlassian Pty Ltd (Australien) und die Atlassian, Inc. (USA).

Solange du ein solches Video nicht startest, stellt dein Browser keine Verbindung zu Vimeo oder Loom her: Die Plattform zeigt dir ein eigenes Vorschaubild, für das nichts vom Anbieter geladen wird, auch nicht über unseren Hoster. Erst wenn du auf das Video klickst, lädt dein Browser den Player des Anbieters. Dabei erhält Vimeo oder Loom insbesondere deine IP-Adresse, Angaben zu deinem Browser und Gerät, die Adresse unserer Plattform und Informationen darüber, welches Video du wie lange abspielst. Vimeo binden wir im Do-not-Track-Modus ein; nach Angaben von Vimeo erfasst der Player dann keine Sitzungsdaten und keine Nutzungsstatistiken. Vimeo und Loom können außerdem Informationen auf deinem Gerät speichern oder dort auslesen, etwa Cookies im Speicher deines Browsers. Für die weitere Verarbeitung dieser Daten sind Vimeo und Atlassian selbst verantwortlich; beide verarbeiten sie auch außerhalb der EU, insbesondere in den USA. Datenschutzhinweise: vimeo.com/legal/privacy (öffnet in neuem Tab) und atlassian.com/legal/privacy-policy (öffnet in neuem Tab)

Bilder und Dateien

Bilder und Dateien zum Herunterladen, die unser Team in die Inhalte der Plattform einfügt, etwa in die Texte der Lektionen, liegen in einem nicht öffentlichen Speicher bei Supabase in Frankfurt (siehe „Hosting und Infrastruktur“). Die Plattform liefert sie über ihre eigene Adresse aus, und nur an angemeldete Mitglieder mit aktivem Zugang; einen Link, über den sie ohne Anmeldung abrufbar wären, gibt es nicht. Bilder speichert die Plattform nach dem Hochladen neu und entfernt dabei die Zusatzdaten, die in ihnen stecken können, etwa den Aufnahmeort oder das Kameramodell. Welche Bilder und Dateien du aufrufst oder herunterlädst, hält die Plattform nicht fest; es entstehen dabei nur die Verbindungsdaten, die unter „Hosting und Infrastruktur“ beschrieben sind.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags mit dir).

Live-Termine (Lives)

Auf der Plattform findest du die Termine der Lives: die wöchentlichen Lives, Termine mit Gästen, Treffen vor Ort und zusätzliche Lives. Zu jedem Termin kannst du eine Kalenderdatei laden. Sie enthält nur den Termin selbst, also Titel, Beschreibung, Zeit, Ort und einen Link zur Seite des Termins in der Plattform, und keine Daten über dich. Was du mit der Datei tust, etwa sie in einen Kalenderdienst übernehmen, liegt bei dir.

Wir halten dazu zwei Vermerke fest, jeweils einmal pro Termin:

dass du über „Jetzt beitreten“ einem Live beigetreten bist. Wir sehen damit nur den Beitritt über die Plattform, nicht, ob und wie lange du teilnimmst.
dass du die Kalenderdatei eines Termins geladen hast. Damit ist der Schritt „Nächsten Live in den Kalender“ der Liste „Dein Einstieg“ erledigt.

Diese Vermerke gehören zum Ereignisprotokoll (siehe „Ereignis- und Audit-Protokoll“). Außer dir kann sie in der Plattform niemand sehen, auch unsere Administratoren nicht; sie sind Teil deines Datenexports, auch wenn unser Team ihn für dich anstößt (den Link bekommst auch dann nur du), und werden bei der Löschung deines Kontos unkenntlich gemacht. Außerdem werten wir sie zusammengefasst aus, zum Beispiel, wie viele Mitglieder über die Plattform einem Termin beigetreten sind oder seine Kalenderdatei geladen haben, um das Programm danach zu planen, wie es genutzt wird. Einzelne Mitglieder werten wir dabei nicht aus.

Rechtsgrundlage für die Termine, den Beitritt, die Kalenderdatei und die Liste ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags mit dir). Rechtsgrundlage für die zusammengefasste Auswertung ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, das Programm nach seiner Nutzung zu planen. Du kannst dieser Auswertung aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben; siehe „Deine Rechte“.

Zoom. Die Online-Lives finden über Zoom statt (Zoom Communications, Inc., USA), im Geschäftskonto von Stark im Sturm (Zoom Workplace Pro). Wenn du auf „Jetzt beitreten“ klickst, prüft die Plattform deinen Zugang und ob der Raum schon offen ist, und leitet dich dann zu Zoom weiter. Die Plattform übermittelt Zoom dabei keine Daten über dich; dein Browser teilt Zoom nur mit, dass du von unserer Plattform kommst, nicht, von welcher Seite. Was Zoom verarbeitet, hängt davon ab, was du dort angibst und freigibst: den Namen, unter dem du teilnimmst, Bild und Ton, wenn du Kamera und Mikrofon einschaltest, Nachrichten im Chat sowie technische Daten wie IP-Adresse, Gerät, Betriebssystem und die Zeiten deiner Teilnahme; dazu die Aufzeichnung des Lives (siehe „Aufzeichnungen“). Zoom verarbeitet diese Daten in unserem Auftrag (Art. 28 DSGVO); mit Zoom besteht ein Vertrag zur Auftragsverarbeitung. Für unser Konto ist bei Zoom die Datenregion EU eingestellt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, denn die Lives sind Teil deiner Mitgliedschaft. Nutzt du die Zoom-App oder ein eigenes Zoom-Konto, gelten dafür zusätzlich die Bedingungen und Datenschutzhinweise von Zoom.

Aufzeichnungen. Wir zeichnen die Lives auf, damit auch die Mitglieder etwas von ihnen haben, die nicht dabei sein konnten. In einer Aufzeichnung sind Jens Alsleben, die Gäste und die Teilnehmenden zu sehen und zu hören, also auch du, wenn du Kamera oder Mikrofon einschaltest, gegebenenfalls mit dem Namen, unter dem du teilnimmst. Zu Beginn jedes Lives weisen wir darauf hin, dass aufgezeichnet wird. Wie du vorkommst, entscheidest du selbst: Du kannst Kamera und Mikrofon ausgeschaltet lassen und deinen Anzeigenamen in Zoom ändern.

Die Aufzeichnung entsteht zunächst in der Cloud von Zoom, in unserem Konto mit der Datenregion EU. Danach schneiden wir sie und laden sie als nicht gelistetes Video bei YouTube hoch (Google Ireland Limited), damit die Plattform sie einbetten kann. Noch stellt die Plattform die Aufzeichnungen nicht bereit. Ein nicht gelistetes Video ist auf YouTube nicht öffentlich auffindbar, etwa über die Suche; wer den direkten Link kennt, kann es aber ansehen. Für die Verarbeitung auf YouTube ist Google selbst verantwortlich, auch in den USA (siehe „Videos von YouTube“). Die Aufzeichnungen sind für alle zahlenden Mitglieder bestimmt. Sobald wir sie in der Plattform bereitstellen, zeigen wir den Link nur dort; beim Abspielen gilt dann, was unter „Videos von YouTube“ steht. Die Plattform selbst zeichnet nichts auf.

Wir bewahren die Aufzeichnungen auf, solange wir sie im Programm anbieten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, die Inhalte der Lives auch den Mitgliedern anzubieten, die nicht dabei sein konnten. Du kannst widersprechen, aus Gründen, die sich aus deiner besonderen Situation ergeben (siehe „Deine Rechte“). Möchtest du in einer Aufzeichnung nicht mehr zu sehen sein, schreib uns: Dann schneiden wir die Stelle heraus oder nehmen die Aufzeichnung offline.

Zahlungen

Die Zahlung für den AYL Circle wickeln wir über Stripe Payments Europe, Ltd. (Irland) ab. Du bezahlst auf einer von Stripe bereitgestellten Seite per Karte, SEPA-Lastschrift oder Überweisung. Stripe erhält dabei deinen Namen, deine E-Mail-Adresse, deine Rechnungsadresse, gegebenenfalls deine Umsatzsteuer-Identifikationsnummer und deine Zahlungsdaten (zum Beispiel Kartendaten oder IBAN). Deine vollständigen Zahlungsdaten erreichen uns nicht; sie werden ausschließlich von Stripe verarbeitet. Stripe erstellt auch die Rechnung in unserem Namen; du erhältst sie per E-Mail, als Datei oder als Link.

Wir selbst speichern deinen Rechnungsnamen, die Rechnungs-E-Mail-Adresse, den Betrag, den gewählten Zahlungsplan (Einmalzahlung oder Ratenzahlung), den Zahlungsstatus, die Zeitpunkte der Zahlung und die Kennungen, mit denen Stripe deine Zahlung führt, bei einer Überweisung außerdem die Überweisungsdaten, die Stripe dafür vergibt. Welche Fassung der AGB beim Start deiner Zahlung veröffentlicht war, halten wir als Kennung dieser Fassung fest: Diese Fassung nimmst du mit dem Kauf an, und die Vertragsbestätigung schickt sie dir als PDF-Datei (siehe „E-Mails“); die Kennung erhält auch Stripe mit den Angaben zur Bezahlseite. Für eine Erstattung, etwa nach einem Widerruf oder im Rahmen der Geld-zurück-Garantie, speichern wir den Betrag, den Anlass, den Stand und wer sie wann beantragt und entschieden hat; ausgeführt wird sie über Stripe. Meldungen von Stripe zu deiner Zahlung (etwa „Zahlung eingegangen“ oder „Lastschrift fehlgeschlagen“) bewahren wir 90 Tage auf, um Zahlungen korrekt zuordnen zu können; sie enthalten auch deine Rechnungsadresse.

Stripe verarbeitet Daten zum Teil auch in den USA; dafür gelten die EU-Standardvertragsklauseln. Stripe ist für die Betrugsprävention und die Einhaltung eigener gesetzlicher Pflichten teilweise selbst Verantwortlicher. Datenschutzhinweise: stripe.com/de/privacy (öffnet in neuem Tab)

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags) und Art. 6 Abs. 1 lit. c DSGVO (steuer- und handelsrechtliche Aufbewahrungspflichten, insbesondere § 147 AO und § 14b UStG).

Widerruf. Widerrufst du deinen Vertrag über „Vertrag widerrufen“ in deinem Konto (siehe die Widerrufsbelehrung in unseren AGB), speichern wir deine Widerrufserklärung so, wie du sie abgeschickt hast: deinen Namen, den Vertrag und die E-Mail-Adresse für die Eingangsbestätigung, dazu den Zeitpunkt ihres Eingangs und den Kauf und die Mitgliedschaft, zu denen sie gehört. An diese E-Mail-Adresse schicken wir dir sofort eine Eingangsbestätigung (siehe „E-Mails“). Danach wickeln wir den Widerruf ab: Was du bezahlt hast, erstatten wir dir über Stripe auf das Zahlungsmittel, mit dem du bezahlt hast; eine angekündigte Überweisung stornieren wir, und weitere Raten zieht Stripe nicht mehr ein. Wer in unserem Team Erstattungen ausführt, erhält deine Erklärung per E-Mail und sieht die Erstattung mit ihrer Frist in der Plattform; die Administratoren sehen in der Mitgliederverwaltung, wann dein Widerruf eingegangen ist und wie es um die Erstattung steht.

Rechtsgrundlage für deine Widerrufserklärung und ihre Eingangsbestätigung ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 356a BGB, für die Erstattung und das Ende des Vertrags Art. 6 Abs. 1 lit. b DSGVO. Deine Widerrufserklärung bewahren wir bis zum Ende des sechsten Kalenderjahres nach dem Jahr ihres Eingangs auf (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 Abs. 1 Nr. 2 und Abs. 3 AO), eine Erklärung vom September 2026 also bis zum 31. Dezember 2032, und löschen sie dann. Löschst du dein Konto vorher, bleibt sie bis dahin bestehen, aber ohne Verbindung zu deinem Konto.

E-Mails

Wir schicken dir E-Mails, die für deine Mitgliedschaft nötig sind: die Einladung, die Begrüßung (mit einem Link zum Setzen deines Passworts nur, wenn du dich bis dahin noch nie angemeldet hast; nach einem Kauf ist sie zugleich deine Vertragsbestätigung), Hinweise zu deiner Zahlung, zu einer Erstattung und zur Wiederfreischaltung deines Zugangs, die Eingangsbestätigung, wenn du deinen Vertrag widerrufst, die Mitteilung über eine wesentliche Änderung unserer AGB oder dieser Datenschutzerklärung, Links zum Zurücksetzen des Passworts, zur Anmeldung ohne Passwort und zum Datenexport, auch wenn unser Team den Export für dich anstößt, sowie Bestätigungen, wenn du dein Konto löschen möchtest oder die Löschung abbrichst. Für den Versand nutzen wir Resend (Resend, Inc., USA) in der EU-Region; der Versand erfolgt über Server in Irland. Mit Resend besteht ein Vertrag zur Auftragsverarbeitung. Datenschutzhinweise: resend.com/legal/privacy-policy (öffnet in neuem Tab)

Vertragsbestätigung. Nach einem Kauf nennt die Begrüßung deinen Vornamen, den Vertrag, den Zahlungsplan, den Betrag, den Tag des Vertragsschlusses und unsere Angaben als Anbieter, dazu, bis wann du widerrufen kannst, mit einem Link zur Widerrufsfunktion. Angehängt ist die Fassung unserer AGB, die du mit dem Kauf angenommen hast, als PDF-Datei, mit der Widerrufsbelehrung und dem Muster-Widerrufsformular. Die Datei erzeugen wir beim Versand aus der gespeicherten Fassung und speichern sie selbst nicht; Resend übermittelt sie mit der E-Mail wie jede andere E-Mail. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO und, weil wir dir den Vertrag auf einem dauerhaften Datenträger bestätigen müssen, Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 312f Abs. 2 BGB und Art. 246a EGBGB. Die Begrüßung eines geschenkten Zugangs enthält keine Vertragsbestätigung.

Eingangsbestätigung deines Widerrufs. Widerrufst du deinen Vertrag über die Widerrufsfunktion, schicken wir dir sofort eine Eingangsbestätigung an die E-Mail-Adresse, die du dabei angegeben hast: mit deinem Namen, dem Vertrag, dieser E-Mail-Adresse, Datum und Uhrzeit des Eingangs und dem, was mit deiner Zahlung geschieht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 356a Abs. 4 BGB.

Mitteilung über geänderte AGB oder eine geänderte Datenschutzerklärung. Ändern wir unsere AGB oder diese Datenschutzerklärung wesentlich, schicken wir dir eine E-Mail mit deinem Vornamen, dem Namen des geänderten Textes, ein paar Sätzen dazu, was sich ändert, und einem Link zur neuen Fassung. Diese E-Mail bekommst du, solange dein Zugang besteht, auch wenn er wegen einer offenen Zahlung oder von uns pausiert ist; nach dem Ende deines Zugangs bekommst du keine Mitteilung mehr, ebenso wenig, solange die Löschung deines Kontos läuft. Für den Versand verwenden wir deine E-Mail-Adresse, deinen Vornamen und den Stand deiner Mitgliedschaft; die Mitteilung selbst, die wir mit der geänderten Fassung aufbewahren, nennt keine Empfänger, nur ihre Zahl. Rechtsgrundlage ist bei den AGB Art. 6 Abs. 1 lit. b DSGVO, denn die AGB sehen die Mitteilung vor (Abschnitt 13), bei dieser Datenschutzerklärung Art. 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse, dich über Änderungen zu informieren, die deine Daten betreffen (Art. 12 DSGVO).

Wir messen nicht, ob du unsere E-Mails öffnest oder Links darin anklickst. Damit wir erkennen, ob eine wichtige E-Mail dich erreicht hat, führen wir ein Zustellprotokoll. Es enthält die Art der E-Mail, den Zustellstatus (zum Beispiel zugestellt, unzustellbar, Beschwerde) und deine E-Mail-Adresse nur in gehashter Form, nie im Klartext. Das Protokoll löschen wir nach 90 Tagen.

Über einige Ereignisse informiert die Plattform unser Team per E-Mail: über ein neues Mitglied (Name, E-Mail-Adresse, Zahlungsplan), über eine fehlgeschlagene Zahlung (Name, E-Mail-Adresse, Betrag, Grund), über eine Problemmeldung (Name, Art, Text und Seite der Meldung) und über einen Widerruf: Wer Erstattungen ausführt, erhält deine Widerrufserklärung (Name, Vertrag, E-Mail-Adresse für die Eingangsbestätigung, Zeitpunkt des Eingangs) mit der Frist für die Erstattung und, ist die Erstattung zehn Tage nach dem Eingang noch offen, eine Erinnerung mit deinem Namen. Diese Nachrichten gehen an die Postfächer unseres Teams, die wir bei Microsoft 365 führen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die E-Mails an dich, soweit in diesem Abschnitt nichts anderes steht, und Art. 6 Abs. 1 lit. f DSGVO für die Benachrichtigungen an unser Team (unser berechtigtes Interesse, Zahlungen, Widerrufe und Anliegen zügig zu bearbeiten) und für das Zustellprotokoll (unser berechtigtes Interesse, Zustellprobleme zu erkennen und zu beheben). Werbung senden wir dir über die Plattform nicht.

Problem melden

Über „Problem melden“ im Menü kannst du uns einen Fehler oder eine Rückmeldung schicken. Wir speichern dazu die Art der Meldung, deinen Text, die Seite, auf der du warst, die Kennung deines Browsers, gegebenenfalls den Fehlercode, den dir die Plattform angezeigt hat, und dass die Meldung von dir stammt. Unser Team erhält die Meldung per E-Mail (siehe „E-Mails“) und bearbeitet sie in der Plattform; bei der Fehlersuche kann uns dabei ein KI-Assistent unterstützen (siehe „Betrieb und Fehlerbehebung“).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Support als Teil deiner Mitgliedschaft) und Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse, Fehler zu beheben und die Plattform zu verbessern). Offene Meldungen bewahren wir bis zur Erledigung auf, erledigte ein Jahr lang; löschst du dein Konto, entfernen wir den Text deiner Meldungen.

Fehler-Monitoring und Verfügbarkeit

Um technische Fehler der Plattform zu erkennen und zu beheben, nutzen wir Sentry (Functional Software, Inc., USA) mit Datenspeicherung in der EU. Übermittelt werden technische Angaben wie Fehlermeldung, betroffene Seite (ohne Parameter aus der Adresse), Browser, Zeitpunkt und in einzelnen Fällen eine interne Kennung deiner Mitgliedschaft, dazu für eine Stichprobe der Seitenaufrufe Messwerte zur Ladezeit. Inhalte deines Kontos, E-Mail-Adressen, Zugangsdaten und Cookies werden vor der Übermittlung entfernt; eine Aufzeichnung deiner Sitzung findet nicht statt. Fehlerberichte aus deinem Browser laufen über eine Adresse unserer Plattform zu Sentry. Tritt ein Fehler auf, zeigt dir die Plattform einen Fehlercode, den du in einer Problemmeldung angeben kannst. Mit Sentry besteht ein Vertrag zur Auftragsverarbeitung. Datenschutzhinweise: sentry.io/privacy (öffnet in neuem Tab)

Ob die Plattform erreichbar ist, prüfen wir mit Better Stack (Better Stack, Inc.). Dieser Dienst ruft lediglich regelmäßig eine technische Statusseite der Plattform auf und erhält Hinweise auf Fehler ohne personenbezogene Daten; personenbezogene Daten von dir werden dabei nicht verarbeitet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einem stabilen, sicheren Betrieb).

Betrieb und Fehlerbehebung

Einen Teil der Verwaltung erledigen wir über eine Betriebsschnittstelle der Plattform. Zugriff darauf haben nur wir, mit Zugangsschlüsseln, die auf bestimmte Aufgaben beschränkt sind; jede Änderung darüber steht im Audit-Protokoll. Auch einen Export deiner Daten können wir darüber für dich anstoßen; den Link bekommst dann ebenfalls nur du (siehe „Datenexport und Löschung deines Kontos“).

Bei der Fehlerbehebung, beim Support und bei diesen Verwaltungsaufgaben unterstützt uns der KI-Assistent Claude von Anthropic (Anthropic, PBC, USA). Claude sieht dabei die Daten, die für die jeweilige Aufgabe nötig sind: zum Beispiel Namen und interne Kennungen von Mitgliedern, die Ereignisse eines Kontos, den Stand von Zahlungen, Erstattungen und eines Widerrufs, Problemmeldungen mit ihrem Text, bei Einladungen die E-Mail-Adresse der eingeladenen Person und Fehlerberichte aus Sentry. Diese Daten werden dazu an Anthropic in den USA übermittelt. Wir nutzen Claude dafür über ein Geschäftskonto zu den geschäftlichen Bedingungen von Anthropic (Commercial Terms). Anthropic verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO); der Vertrag zur Auftragsverarbeitung ist Teil dieser Bedingungen und enthält für die Übermittlung in die USA die EU-Standardvertragsklauseln. Anthropic nutzt die Inhalte nicht zum Training seiner Modelle.

Fehlerkorrekturen verwalten wir bei GitHub (GitHub, Inc., USA). Dorthin gelangen nur zusammengefasste Fehlerbeschreibungen, ohne Namen, ohne wörtliche Zitate aus Meldungen und allenfalls mit einer internen Kennung der Meldung oder des Fehlers.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um deinen Support geht, und im Übrigen Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einem sicheren, stabilen und effizienten Betrieb der Plattform).

Ereignis- und Audit-Protokoll

Die Plattform protokolliert, was in deinem Konto passiert: zum Beispiel Anmeldungen, Änderungen an deinem Profil oder deinen Einstellungen, deine Zustimmung zu den AGB, dein „Verstanden“ zu einem Hinweis auf eine geänderte Datenschutzerklärung, erledigte Lektionen, deine Vermerke zu den Lives, Zahlungsereignisse, einen Widerruf deines Vertrags, Datenexporte und Löschanfragen. Getrennt davon führen wir ein Audit-Protokoll darüber, was Administratoren oder wir über die Betriebsschnittstelle mit deinem Konto tun, etwa eine Deaktivierung, eine Rollenänderung, eine Leseansicht deines Kontos, eine Erstattung oder einen Datenexport, den wir für dich anstoßen, jeweils mit Zeitpunkt, handelnder Person oder Schnittstelle und Begründung; bei einem solchen Export ist das sein Anlass. Auch dass wir dich eingeladen haben, steht dort, mit der E-Mail-Adresse, an die die Einladung ging.

Wählst du bei einem Hinweis auf eine geänderte Datenschutzerklärung „Verstanden“, halten wir zweierlei fest: als Ereignis, wann du welchen Hinweis bestätigt hast, und bei deiner Mitgliedschaft, welche Änderung du damit bestätigt hast. Diesen Vermerk bei der Mitgliedschaft nutzen wir nur, um zu entscheiden, ob wir dir einen Hinweis zeigen; er wird mit deinem Konto gelöscht. Rechtsgrundlage für beides ist Art. 6 Abs. 1 lit. f DSGVO, wie für den Hinweis selbst (siehe „Änderungen dieser Erklärung“).

Diese Protokolle dienen der Sicherheit deines Kontos, der Nachvollziehbarkeit von Eingriffen und der Fehlersuche. Einige Ereignisse nutzen wir außerdem, um dir deinen Fortschritt und die Liste „Dein Einstieg“ zu zeigen, und die Vermerke zu den Lives zusammengefasst, um das Programm zu planen (siehe „Live-Termine (Lives)“). Die Protokolle enthalten keine Passwörter und keine Zugangsschlüssel. Das Audit-Protokoll bewahren wir zwei Jahre auf. Das gilt auch für den Eintrag zu einer Einladung an dich, der deine E-Mail-Adresse nennt: Eine Einladung, die du nicht annimmst, löschen wir 30 Tage nach ihrem Ende (siehe „Einladung, Registrierung und Konto“), der Eintrag bleibt aber zwei Jahre ab der Einladung bestehen. Löschst du dein Konto, werden die auf dich bezogenen Inhalte in den Protokollen unkenntlich gemacht; den Eintrag zu einer Einladung machen wir dabei unkenntlich, solange es die Einladung noch gibt. Der Eintrag zu einer Einladung, die wir schon gelöscht haben, bleibt bis zum Ende der zwei Jahre bestehen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an Sicherheit und Nachvollziehbarkeit) und, soweit wir dir damit Fortschritt und die Liste zeigen, Art. 6 Abs. 1 lit. b DSGVO. Du kannst der Verarbeitung auf Grundlage unseres berechtigten Interesses aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben; siehe „Deine Rechte“.

Cookies

Die Plattform setzt nur Cookies, die für ihre Funktionen nötig sind:

Cookies unseres Anmeldedienstes, die deine Sitzung und den Anmeldevorgang absichern und dich nach der Anmeldung als angemeldet erkennen; sie werden gelöscht, wenn du dich abmeldest oder die Sitzung abläuft
ein Cookie mit deiner Wahl der Darstellung (hell oder dunkel), wenn du sie im Menü triffst; es bleibt ein Jahr auf deinem Gerät. Wählst du „System“, wird es gelöscht, und die Plattform folgt der Einstellung deines Geräts.

Wir setzen keine Cookies zur Reichweitenmessung, zum Tracking oder für Werbung und binden keine Werbenetzwerke ein. Deshalb brauchst du keinem Cookie-Banner zuzustimmen. Rechtsgrundlage für diese Cookies ist § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO. Was YouTube, Vimeo und Loom auf deinem Gerät speichern, wenn du ein Video startest, beschreiben die Abschnitte „Videos von YouTube“ und „Videos von Vimeo und Loom“.

Wie lange wir Daten aufbewahren

Konto- und Mitgliedschaftsdaten, Kursfortschritt und Notizen: bis zur Löschung deines Kontos, zuzüglich der Frist von 30 Tagen (siehe unten)
Rechnungs- und Zahlungsdaten: zehn Jahre ab Ende des Kalenderjahres der Rechnung (§ 147 AO, § 14b UStG), auch nach Löschung des Kontos
Widerrufserklärungen: bis zum Ende des sechsten Kalenderjahres nach dem Jahr ihres Eingangs (§ 147 AO), auch nach Löschung des Kontos, dann ohne Verbindung zu ihm
Audit-Protokoll: zwei Jahre, auch der Eintrag über eine Einladung mit der E-Mail-Adresse, an die sie ging
Ereignisprotokoll, einschließlich der Vermerke zu den Lives: bis zur Löschung deines Kontos, danach unkenntlich gemacht
Problemmeldungen: bis zur Erledigung, danach ein Jahr; bei Löschung deines Kontos wird ihr Text entfernt
Zustellprotokoll für E-Mails: 90 Tage
Zahlungsmeldungen von Stripe: 90 Tage
Fehlerberichte bei Sentry: 90 Tage
Aufzeichnungen der Lives: solange wir sie im Programm anbieten; auf deinen Wunsch schneiden wir eine Stelle heraus oder nehmen die Aufzeichnung offline
Datenexport-Datei: 24 Stunden
Nicht angenommene Einladungen und das Konto, das du auf der Einladungsseite angelegt hast: 30 Tage, nachdem die Einladung abgelaufen ist oder wir sie zurückgezogen haben; ist dann eine neue Einladung an dich offen, bleibt das Konto bis 30 Tage nach deren Ende
Ein Konto, das du auf der Einladungsseite angelegt hast und das wir wegen eines technischen Fehlers nicht bei deiner Einladung vermerken konnten: 24 Stunden; ist dann eine Einladung an dich offen, gilt die Frist für nicht angenommene Einladungen
Sitzungsdaten: bis zur Abmeldung oder zum Ablauf der Sitzung
Cookie mit deiner Wahl der Darstellung: ein Jahr, oder bis du „System“ wählst

Aus den täglichen Sicherungskopien der Datenbank verschwinden gelöschte Daten erst, wenn diese Sicherungen nach Ablauf ihrer Aufbewahrungsfrist überschrieben werden.

Datenexport und Löschung deines Kontos

Datenexport. In den Einstellungen kannst du jederzeit einen Export deiner Daten anfordern. Wir stellen dir dann eine ZIP-Datei mit deinem Profil, deiner Mitgliedschaft, deinen Einstellungen, deinen Ereignissen, deinen Käufen und Erstattungen, deinem Widerruf, falls du deinen Vertrag widerrufen hast, deinen Problemmeldungen, deinem Kursfortschritt, deinen Notizen und deinem Profilbild zusammen und schicken dir per E-Mail einen Link. Der Link und die Datei sind 24 Stunden gültig; danach löschen wir die Datei. Einen neuen Export kannst du alle 24 Stunden anfordern; das gilt auch, wenn unser Team den letzten für dich angestoßen hat. Unser Team kann einen Export für dich anstoßen, etwa wenn du uns per E-Mail um Auskunft bittest, in der Mitgliederverwaltung oder über unsere Betriebsschnittstelle (siehe „Betrieb und Fehlerbehebung“). Auch dann geht der Link an deine eigene E-Mail-Adresse, nie an jemanden aus unserem Team, und die E-Mail sagt dir, dass unser Team den Export angestoßen hat. Die Datei enthält dieselben Daten, auch deine Notizen. Jeder solche Export braucht einen Anlass, den wir mit dem Export im Audit-Protokoll festhalten.

Löschung. In den Einstellungen kannst du die Löschung deines Kontos beantragen; zur Sicherheit fragen wir dabei dein Passwort ab. Hast du die Mitgliedschaft gekauft und kannst du den Vertrag noch widerrufen, bieten dir die Einstellungen an dieser Stelle stattdessen den Widerruf an: Er beendet den Vertrag, und du bekommst zurück, was du bezahlt hast (siehe „Zahlungen“). In den Einstellungen beantragst du die Löschung dann, sobald du den Vertrag nicht mehr widerrufen kannst, solange deine Mitgliedschaft besteht; endet sie mit deinem Widerruf, beantragst du die Löschung per E-Mail. Per E-Mail an uns kannst du die Löschung jederzeit beantragen, auch während der Widerrufsfrist (siehe unten). Sobald die Löschung eingeleitet ist, wird dein Konto gesperrt, und alle Sitzungen werden beendet. Anschließend läuft eine Frist von 30 Tagen. In dieser Zeit kannst du die Löschung jederzeit abbrechen, über den Link in unserer Bestätigungs-E-Mail oder indem du dich auf der Löschseite anmeldest. Nach Ablauf der 30 Tage löschen wir dein Konto endgültig: Profil, Profilbild, Anmeldedaten, Sitzungen, Kursfortschritt und Notizen werden gelöscht, die Protokolleinträge zu deiner Person werden unkenntlich gemacht (zum Eintrag einer Einladung, die wir schon gelöscht haben, siehe „Ereignis- und Audit-Protokoll“), und der Text deiner Problemmeldungen wird entfernt. Rechnungsdaten (Rechnungsname, Rechnungs-E-Mail-Adresse, Betrag, Zeitpunkte) müssen wir aus steuerrechtlichen Gründen weiter aufbewahren; sie werden von deinem Konto getrennt und nur noch dafür genutzt. Ebenso bleibt eine Widerrufserklärung bis zum Ende ihrer Aufbewahrungsfrist bestehen, ohne Verbindung zu deinem Konto (siehe „Zahlungen“). Stripe bewahrt seine eigenen Unterlagen zur Zahlung, darunter die Rechnungen mit deiner Rechnungsadresse, nach seinen gesetzlichen Pflichten auf.

Auch Administratoren können die Löschung deines Kontos einleiten, etwa auf deinen Wunsch per E-Mail. Dann gilt derselbe Ablauf mit derselben Frist.

Deine Rechte

Dir stehen gegenüber uns die folgenden Rechte zu:

Auskunft (Art. 15 DSGVO): Den schnellsten Weg bietet der Datenexport in den Einstellungen. Du kannst dich auch jederzeit per E-Mail an uns wenden.
Berichtigung (Art. 16 DSGVO): Name, Profil und Einstellungen kannst du selbst in deinem Profil ändern; alles andere berichtigen wir auf Anfrage.
Löschung (Art. 17 DSGVO): über die Einstellungen, solange deine Mitgliedschaft besteht – nach einem Kauf, sobald du den Vertrag nicht mehr widerrufen kannst –, oder jederzeit per E-Mail an uns, jeweils mit der oben beschriebenen Frist von 30 Tagen.
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO): Der ZIP-Export enthält deine Daten in einem gängigen, maschinenlesbaren Format.
Widerspruch (Art. 21 DSGVO): Gegen Verarbeitungen, die wir auf unser berechtigtes Interesse stützen, etwa die zusammengefasste Auswertung der Lives oder ihre Aufzeichnungen, kannst du aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben.

Soweit eine Verarbeitung auf deiner Einwilligung beruht, kannst du sie jederzeit mit Wirkung für die Zukunft widerrufen. Für alle Anliegen schreib uns an ja@starkimsturm.com.

Beschwerde bei der Aufsichtsbehörde

Wenn du der Ansicht bist, dass wir deine Daten nicht rechtmäßig verarbeiten, kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit
Ludwig-Erhard-Str. 22
20459 Hamburg
datenschutz-hamburg.de (öffnet in neuem Tab)

Geplante Funktionen (noch nicht aktiv)

Die folgenden Funktionen sind für spätere Ausbaustufen der Plattform vorgesehen und derzeit nicht aktiv. Bevor wir sie einschalten, aktualisieren wir diese Erklärung und informieren dich, soweit deine Einwilligung nötig ist.

Aufzeichnungen, Erinnerungen und Kalender-Abonnement für die Lives: Die Aufzeichnungen der Lives (siehe „Live-Termine (Lives)“) sollen in der Plattform abrufbar sein; auf Wunsch sollst du vor einem Live eine Erinnerung per E-Mail erhalten und die Termine über eine persönliche Adresse in deinem Kalender abonnieren können.
Profile und Teilnahme an Lives: Mitglieder sollen Profile anderer Mitglieder sehen und angeben können, dass sie an einem Live teilnehmen; dann würden Angaben aus deinem Profil für andere Mitglieder sichtbar.
KI-Stimme: Der Begleiter „iJay“ soll mit einer künstlichen Stimme des Anbieters ElevenLabs sprechen und antworten. Dabei würden deine Eingaben zur Verarbeitung an ElevenLabs übermittelt.
KI-gestützte Rückmeldungen: Für Fallstudien und die Berichte zur Stark im Sturm Analyse sollen Entwürfe mit Unterstützung eines KI-Modells (Anthropic) erstellt und vor der Freigabe von uns geprüft werden.
Stark im Sturm Analyse in der Plattform: Ergebnisse wiederkehrender Selbsteinschätzungen sollen dir deine Entwicklung zeigen. Dafür holen wir vor jeder Einschätzung gesondert deine Einwilligung ein und erklären dir, wer die Ergebnisse sehen kann.

Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Plattform, unsere Dienstleister oder die Rechtslage ändern. Die jeweils aktuelle Fassung findest du unter ayl.starkimsturm.com/datenschutz (öffnet in neuem Tab). Über wesentliche Änderungen informieren wir dich per E-Mail und mit einem Hinweis in der App, bis du ihn bestätigst (siehe „E-Mails“). Der Hinweis steht oben in der App; er sagt in ein paar Sätzen, was sich ändert, und verlinkt die neue Fassung; du bestätigst ihn mit „Verstanden“ (siehe „Ereignis- und Audit-Protokoll“). Es zählt nur die jeweils neueste Änderung. Schließt du deine ersten Schritte nach der ersten Anmeldung erst nach einer Änderung ab, bekommst du dazu keinen Hinweis: Bei deinem Einstieg galt die neue Fassung schon. Rechtsgrundlage für den Hinweis ist, wie für die E-Mail, Art. 6 Abs. 1 lit. f DSGVO.