Datenschutzerklärung
Stand: 14. Oktober 2026
1. Verantwortliche Stelle
1.1Verantwortlich für die Verarbeitung deiner personenbezogenen Daten auf siljajanina.com, im Kursportal und in der Silja-Janina-App ist die Freytag - Müller GbR, vertreten durch die Gesellschafter Xaver Freytag und Silja Janina Müller, Kopenhagener Straße 9, 10437 Berlin, Telefon: 0178 5779471, E-Mail: hello@siljajanina.com.
1.2Bei allen Fragen zum Datenschutz, zu deinen Rechten oder zu dieser Erklärung erreichst du uns unter derselben E-Mail-Adresse. Ein Datenschutzbeauftragter ist nicht bestellt, weil die gesetzlichen Voraussetzungen dafür nicht vorliegen.
2. Grundsätze
2.1Wir verarbeiten nur die Daten, die für den jeweiligen Zweck nötig sind. Unsere Server für Konten, Kursinhalte und Kaufdaten stehen in der Europäischen Union. Wir verkaufen keine Daten. Unsere Anzeigen auf Instagram und Facebook messen wir nur, wenn du in die Kategorie „Marketing“ einwilligst; dann nutzen wir das Pixel und die Conversions API von Meta (Abschnitt 5a). Ohne diese Einwilligung erhält Meta über unsere Website und unseren Checkout keine Daten von dir.
2.2Unsere Kurse behandeln Sexualität, Körper und Beziehung. Welche Kurse du kaufst und nutzt, behandeln wir deshalb besonders vertraulich: Diese Daten liegen in einer zugriffsbeschränkten Datenbank und werden nur an die Dienstleister weitergegeben, die für Zahlung, Zugang und Vertragsmails zwingend nötig sind, und nur mit deiner Einwilligung in „Marketing“ in der in Abschnitt 5a beschriebenen Form an Meta. Was du im Kursportal tust, etwa dein Lernfortschritt, werten wir nicht für Werbung aus; dort laden wir das Meta Pixel auch mit Einwilligung nicht. Den Kurs nennen wir Meta dabei nur mit einer neutralen Kennnummer, nie mit dem Namen oder Thema des Kurses. Das Pixel überträgt allerdings technisch bedingt die Adressen der Seiten, die du auf unserer Website aufrufst; aus der Adresse einer Kursseite kann sich ergeben, welchen Kurs du dir ansiehst (Abschnitt 5a.2). Wir fragen keine Angaben zu Gesundheit, Sexualleben oder Beziehungsstatus ab und bitten dich, solche Angaben auch in Kontaktnachrichten nicht zu machen.
2.3Unser Angebot richtet sich an Erwachsene. Wir erheben wissentlich keine Daten von Personen unter 18 Jahren.
3. Hosting und Server-Protokolle
3.1Die Website wird bei Vercel Inc., USA, gehostet. Beim Aufruf einer Seite verarbeitet Vercel technisch notwendig deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, die übertragene Datenmenge, den Browsertyp und die Seite, von der du kommst. Diese Protokolle dienen dem sicheren Betrieb, der Abwehr von Angriffen und der Fehleranalyse.
3.2Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb. Mit Vercel besteht ein Auftragsverarbeitungsvertrag. Die Protokolle werden nach kurzer Zeit automatisch gelöscht.
Basis: Art. 6 Abs. 1 lit. f DSGVO; Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework und der EU-Standardvertragsklauseln
3.3Schriften laden wir von unserem eigenen Server. Beim Seitenaufruf werden keine Verbindungen zu Schriftanbietern wie Google Fonts aufgebaut.
4. Cookies und Einwilligung
4.1Technisch notwendige Cookies und Einträge im Browser-Speicher setzen wir ohne Einwilligung: das Anmelde-Cookie deines Kontos (einschließlich des Sicherungs-Cookies für die Anmeldung mit Google oder Apple, Abschnitt 6.8), die Spracheinstellung, Sicherheits-Token gegen Fremdzugriff, das Cookie „sj_consent“, das deine Cookie-Entscheidung für zwölf Monate speichert, und die zwei Einträge der Anmeldeseite aus Abschnitt 6.8.
Basis: § 25 Abs. 2 TDDDG
4.2Alles Weitere laden wir erst, wenn du im Cookie-Dialog zustimmst. Die Kategorien sind „Statistik“ (Reichweitenmessung, Abschnitt 5), „Medien“ (Video-Wiedergabe über unseren Medienanbieter, Abschnitt 8), „Zahlung“ (Skripte der Zahlungsanbieter im Checkout, Abschnitt 7) und „Marketing“ (Messung unserer Anzeigen mit dem Pixel und der Conversions API von Meta, Abschnitt 5a). Du kannst jede Kategorie einzeln erlauben, alle ablehnen oder deine Entscheidung jederzeit über den Link „Cookie-Einstellungen“ am Seitenende ändern. Impressum und Datenschutzerklärung sind ohne Zustimmung erreichbar.
Basis: § 25 Abs. 1 TDDDG; Art. 6 Abs. 1 lit. a DSGVO
4.3Jede Entscheidung im Cookie-Dialog speichern wir als Nachweis: eine zufällige Einwilligungs-ID aus dem Cookie, deine Auswahl je Kategorie, die Fassung des angezeigten Textes, Datum und Uhrzeit, den Browsertyp und eine gekürzte IP-Adresse (die letzten Stellen werden entfernt). Wenn du eingeloggt bist, wird der Nachweis deinem Konto zugeordnet; bei Kontolöschung wird diese Zuordnung entfernt. Nachweise bewahren wir drei Jahre nach der jeweiligen Entscheidung auf.
Basis: Art. 7 Abs. 1 DSGVO (Nachweis der Einwilligung)
5. Reichweitenmessung
5.1Nur mit deiner Einwilligung in die Kategorie „Statistik“ nutzen wir Vercel Web Analytics und Vercel Speed Insights (Vercel Inc., USA). Beide arbeiten ohne Cookies und ohne seitenübergreifende Kennung. Verarbeitet werden Seitenaufrufe, Ladezeiten, Gerätetyp, Browser, Land und die verweisende Seite; die IP-Adresse wird nur zur Ableitung dieser Werte verwendet und nicht gespeichert.
Basis: Art. 6 Abs. 1 lit. a DSGVO; § 25 Abs. 1 TDDDG
5.2Ohne Einwilligung wird kein Messskript geladen. Deine Einwilligung kannst du jederzeit über „Cookie-Einstellungen“ widerrufen.
5a. Messung von Anzeigen mit Meta
Meta Pixel
5a.1Wir schalten Anzeigen auf Instagram und Facebook. Um zu messen, ob diese Anzeigen zu Käufen führen, und um ihre Auslieferung zu verbessern, nutzen wir nur mit deiner Einwilligung in die Kategorie „Marketing“ das Meta Pixel der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland („Meta“). Die Einwilligung ist freiwillig; Kauf und Zugang zu deinen Kursen hängen nicht davon ab. Ohne diese Einwilligung laden wir das Pixel nicht. Im Kursportal (Lernbereich und Übersicht deines Kontos) und auf der Seite, auf der du über einen persönlichen Link dein Passwort festlegst, laden wir es auch mit Einwilligung nie.
Basis: § 25 Abs. 1 TDDDG; Art. 6 Abs. 1 lit. a DSGVO
5a.2Das Pixel meldet Meta den Aufruf einer Seite, den Aufruf einer Kursseite mit Kaufmöglichkeit, den Klick auf den Kaufknopf und den abgeschlossenen Kauf auf der Bestätigungsseite. Zu Kursseite, Kaufknopf und Kauf übermitteln wir den Preis beziehungsweise den gezahlten Betrag, die Währung und eine zufällig vergebene Kennnummer des Kurses, aus der sich weder Name noch Thema des Kurses ablesen lassen; zum Kauf außerdem die Kennnummer des Bezahlvorgangs bei Stripe, damit Meta denselben Kauf nicht doppelt zählt (Abschnitt 5a.5). Technisch bedingt erhält Meta mit jeder Meldung deine IP-Adresse, Angaben zu Browser und Gerät, den Zeitpunkt, die Adresse der aufgerufenen Seite und die Adresse der Seite, von der du kommst. Aus der Adresse einer Kursseite kann sich ergeben, welchen Kurs du dir ansiehst. Die automatische Auswertung von Seiteninhalten durch das Pixel haben wir abgeschaltet, und im Browser übermitteln wir Meta weder deinen Namen noch deine E-Mail-Adresse.
5a.3Das Pixel speichert in deinem Browser das Cookie „_fbp“ mit einer zufälligen Kennung deines Browsers und, wenn du über eine Anzeige zu uns kommst, das Cookie „_fbc“ mit der Klick-Kennung dieser Anzeige. Die Cookies „_fbp“ und „_fbc“ gehören zu unserer Domain; nach Angaben von Meta bleiben sie bis zu 90 Tage gespeichert. Bist du bei Facebook oder Instagram angemeldet oder hast du dort Cookies gespeichert, liest Meta bei den Meldungen des Pixels auch eigene Cookies seiner Domains aus (zum Beispiel „fr“) und kann deinen Besuch so deinem Konto zuordnen. Damit ein Kauf auch beim erneuten Laden der Bestätigungsseite nur einmal gemeldet wird, legt dein Browser im lokalen Speicher zusätzlich einen Eintrag an, dessen Name mit „sj_meta_purchase:“ beginnt und die Kennnummer des Bezahlvorgangs enthält. Er bleibt, bis du ihn in den Einstellungen deines Browsers löschst.
Basis: § 25 Abs. 1 TDDDG; Art. 6 Abs. 1 lit. a DSGVO
5a.4Deine Einwilligung kannst du jederzeit über „Cookie-Einstellungen“ am Seitenende widerrufen. Ab dann sendet das Pixel keine weiteren Meldungen, und ab dem nächsten Laden einer Seite wird es nicht mehr geladen. Die Cookies „_fbp“ und „_fbc“ und den Eintrag zum Kauf entfernt der Widerruf nicht; du kannst sie in den Einstellungen deines Browsers löschen. Wie ein Widerruf auf den Server-Weg wirkt, steht in Abschnitt 5a.7.
Basis: Art. 7 Abs. 3 DSGVO
Conversions API
5a.5Weil Browser und Werbeblocker Meldungen des Pixels häufig verhindern, melden wir einen Kauf zusätzlich direkt von unserem Server an Meta (Conversions API). Das tun wir nur, wenn du beim Klick auf den Kaufknopf in die Kategorie „Marketing“ eingewilligt hattest, und nur für Einmalkäufe, die über den Bezahlvorgang bei Stripe laufen. Abos, Mietkauf und Zusatzangebote, die du direkt auf der Bestätigungsseite kaufst, melden wir nicht vom Server. Pixel und Server melden denselben Kauf mit derselben Kennnummer des Bezahlvorgangs, sodass Meta ihn nur einmal zählt.
Basis: § 25 Abs. 1 TDDDG; Art. 6 Abs. 1 lit. a DSGVO
5a.6Beim Klick auf den Kaufknopf speichern wir dafür in einer eigenen, zugriffsgeschützten Tabelle unserer Datenbank (Supabase, Irland): die Werte der Cookies „_fbp“ und „_fbc“ (oder die Klick-Kennung aus der Adresse, mit der du über eine Anzeige gekommen bist), deine IP-Adresse, die Kennung deines Browsers (User-Agent), die Adresse unserer Website ohne den Pfad der aufgerufenen Seite, die Fassung des Cookie-Textes, dem du zugestimmt hast, und die Kennnummer des Bezahlvorgangs. Diese Angaben geben wir nicht an Stripe weiter. Sobald Stripe uns die Zahlung bestätigt und wir den Kauf verbucht haben, übermitteln wir Meta das Ereignis „Kauf“, den Zeitpunkt, den gezahlten Betrag und die Währung, die zufällig vergebene Kennnummer des Kurses, die Kennnummer des Bezahlvorgangs, die Adresse unserer Website ohne Pfad, deine IP-Adresse, den User-Agent, die Werte von „_fbp“ und „_fbc“ sowie die E-Mail-Adresse aus deinem Kauf als SHA-256-Prüfsumme. Die Prüfsumme bildet unser Server; deine E-Mail-Adresse im Klartext, deinen Namen, deine Telefonnummer und den Namen des Kurses erhält Meta nicht. Meta kann die Prüfsumme mit den Prüfsummen der E-Mail-Adressen seiner Nutzerinnen und Nutzer abgleichen und den Kauf so einem Instagram- oder Facebook-Konto zuordnen.
Basis: § 25 Abs. 1 TDDDG; Art. 6 Abs. 1 lit. a DSGVO
5a.7Nach erfolgreichem Versand an Meta löschen wir die gespeicherten Angaben sofort. Kommt kein Kauf zustande oder scheitert der Versand, löscht ein täglicher Bereinigungslauf sie, sobald sie älter als sieben Tage sind. Maßgeblich ist deine Einwilligung beim Klick auf den Kaufknopf: Klickst du ohne Einwilligung erneut auf den Kaufknopf und führt dich das zu demselben, noch offenen Bezahlvorgang, löschen wir die dafür gespeicherten Angaben, und für diesen Bezahlvorgang wird nichts vom Server gemeldet. Widerrufst du deine Einwilligung erst nach dem Klick, ohne erneut zu klicken, kann dieser eine Kauf noch an Meta gemeldet werden. Dasselbe gilt, wenn du später einen anderen, mit Einwilligung begonnenen und noch offenen Bezahlvorgang abschließt, etwa in einem noch geöffneten Fenster: Dessen Angaben bleiben bis zum Kauf oder bis zur Bereinigung nach sieben Tagen gespeichert.
Gemeinsame Verantwortlichkeit mit Meta
5a.8Für das Erheben der Daten mit dem Pixel und der Conversions API und für ihre Übermittlung an Meta sind wir und Meta gemeinsam verantwortlich. Die Vereinbarung darüber ist Teil der Nutzungsbedingungen für die Meta Business Tools, denen wir bei der Einrichtung des Pixels zugestimmt haben (Zusatz für Verantwortliche, „Controller Addendum“): https://www.facebook.com/legal/controller_addendum. Danach sind wir dafür zuständig, dich über die gemeinsame Verarbeitung zu informieren und deine Einwilligung einzuholen. Meta ist für die Sicherheit seiner Werkzeuge zuständig und erfüllt deine Rechte nach Art. 15 bis 20 DSGVO für die Daten, die Meta nach der Übermittlung speichert. Du kannst deine Rechte bei uns und bei Meta geltend machen; betrifft deine Anfrage Daten bei Meta, leiten wir sie an Meta weiter.
Basis: Art. 26 DSGVO
5a.9Was Meta nach der Übermittlung mit den Daten tut, verantwortet Meta allein. Meta nutzt sie nach eigenen Angaben, um Anzeigen auszuliefern, zu messen und zu verbessern, und kann sie mit deinem Instagram- oder Facebook-Konto verbinden, wenn du eines hast, auch um dir personalisierte Werbung zu zeigen. Weitere Informationen, auch zur Speicherdauer bei Meta: https://www.facebook.com/privacy/policy/.
Übermittlung in die USA
5a.10Meta kann die Daten an die Meta Platforms, Inc., USA, übermitteln. Meta Platforms, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert; zusätzlich stützt Meta die Übermittlung auf die EU-Standardvertragsklauseln.
Basis: Art. 45 Abs. 3 DSGVO (EU-US Data Privacy Framework); Art. 46 Abs. 2 lit. c DSGVO (EU-Standardvertragsklauseln)
6. Nutzerkonto und Kursportal
6.1Für den Zugang zu gekauften Kursen brauchst du ein Nutzerkonto. Dafür verarbeiten wir deine E-Mail-Adresse, ein Passwort, sofern du eines festlegst (nur als Prüfsumme gespeichert), optional deinen Namen, die gewählte Sprache sowie Zeitpunkt der Registrierung und der Anmeldungen. Anmeldung, Passwort-Zurücksetzen und Sitzungsverwaltung laufen über Supabase (Supabase Inc.; unsere Datenbank liegt in einem Rechenzentrum in Irland).
Basis: Art. 6 Abs. 1 lit. b DSGVO
6.2Im Kursportal speichern wir, welche Kurse dir zugeordnet sind (Kauf, Abo oder Zugang aus einem früheren Kauf), deinen Lernfortschritt je Lektion (abgeschlossen, Position in Audio oder Video, Zeitpunkt der letzten Nutzung) und welche Lektionen du zum Offline-Hören heruntergeladen hast. Diese Daten brauchen wir, um dir den Kurs an der richtigen Stelle wieder zu öffnen und deinen Zugang nachzuweisen.
Basis: Art. 6 Abs. 1 lit. b DSGVO
6.3Die Silja-Janina-App für iPhone und iPad greift auf dasselbe Konto und dieselben Daten zu. Für die Bereitstellung der App über den App Store und TestFlight geben wir keine Kontodaten an Apple weiter; dafür gilt die Datenschutzerklärung von Apple. Wenn du dich mit Apple anmeldest, gelten die Abschnitte 6.5 und 6.6. In der App kannst du dein Konto in den Einstellungen selbst löschen.
6.4Dein Konto und die Portaldaten bleiben gespeichert, solange das Konto besteht. Nach einer Löschung entfernen wir Konto, Fortschritt und Zuordnungen; Kauf- und Vertragsdaten bleiben nur so lange erhalten, wie gesetzliche Aufbewahrungspflichten es verlangen (Abschnitt 7.5).
Anmeldung mit Google, Apple oder Passkey
6.5Wo wir es anbieten, kannst du dich statt mit E-Mail-Adresse und Passwort mit deinem Google-Konto oder deiner Apple-ID anmelden, in der App mit deiner Apple-ID. Im Profil kannst du Google oder Apple auch mit einem bestehenden Konto verbinden. Gibt es noch kein Konto, legen wir eines an; gibt es bereits ein Konto mit derselben bestätigten E-Mail-Adresse, wird die Anmeldung damit verbunden. Dafür leiten wir dich zur Anmeldeseite des Anbieters weiter, in der App öffnet sich das Anmeldefenster von Apple; dort meldest du dich an und bestätigst die Weitergabe. Dein Passwort beim Anbieter erfahren wir nicht. Über Supabase erhalten wir eine Kennung deines Kontos beim Anbieter, deine E-Mail-Adresse mit der Angabe, ob sie bestätigt ist, und, soweit der Anbieter ihn übermittelt, deinen Namen; von Google außerdem die Adresse deines Profilbilds. Bei Apple kannst du deine E-Mail-Adresse verbergen; wir erhalten dann eine von Apple weitergeleitete Adresse. E-Mails an diese Adresse, auch Vertragsbestätigungen mit dem Namen des Kurses, leitet Apple an dich weiter. Diese Angaben speichern wir mit dem Zeitpunkt der Verbindung und der letzten Anmeldung und nutzen sie nur, um dich anzumelden und dein Konto zu führen.
Basis: Art. 6 Abs. 1 lit. b DSGVO
6.6Für ihren Anmeldedienst sind Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, und Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland, jeweils eigene Verantwortliche. Sie verarbeiten bei der Anmeldung nach ihren eigenen Regeln unter anderem deine IP-Adresse, Angaben zu Gerät und Browser, den Zeitpunkt und dass du dich bei uns anmeldest, und können Daten dabei an ihre Muttergesellschaften in den USA (Google LLC und Apple Inc.) übermitteln. Weitere Informationen: https://policies.google.com/privacy und https://www.apple.com/legal/privacy/. Die Verbindung kannst du im Profil trennen, solange danach ein anderer Weg zur Anmeldung bleibt (Passwort, Passkey oder der andere Anbieter). Dann löschen wir die Verbindung; Angaben, die dabei in dein Konto übernommen wurden (E-Mail-Adresse, Name, Kennung beim Anbieter und gegebenenfalls die Adresse deines Profilbilds), bleiben bis zur Löschung des Kontos (Abschnitt 6.4). Ohne Trennen speichern wir die Verbindung bis zur Löschung deines Kontos. Die Freigabe für uns entfernst du in den Einstellungen deines Google- oder Apple-Kontos.
Basis: Art. 6 Abs. 1 lit. b DSGVO; Übermittlung in die USA durch die Anbieter auf Grundlage des EU-US Data Privacy Framework
6.7Wenn dein Browser es unterstützt, kannst du dich auch mit einem Passkey anmelden. Einen Passkey legst du im Profil an; dein Gerät oder dein Passwort-Manager erzeugt dabei ein Schlüsselpaar. Bei Supabase speichern wir nur den öffentlichen Schlüssel, die Kennung des Passkeys, technische Angaben dazu (etwa die Art des Authentifikators und einen Nutzungszähler), gegebenenfalls eine Bezeichnung sowie das Datum der Einrichtung und der letzten Nutzung. Auf deinem Gerät oder in deinem Passwort-Manager wird zum Passkey deine E-Mail-Adresse und unsere Domain gespeichert. Der private Schlüssel verlässt dein Gerät oder deinen Passwort-Manager nicht. Fingerabdruck, Gesichtserkennung oder Geräte-PIN prüft nur dein Gerät; wir erhalten keine biometrischen Daten. Ein Passkey gilt nur für unsere Domain. Wenn dein Passwort-Manager Passkeys zwischen deinen Geräten abgleicht (etwa iCloud-Schlüsselbund oder Google Passwortmanager), gelten dafür die Regeln dieses Anbieters. Einen Passkey kannst du im Profil entfernen, solange danach ein anderer Weg zur Anmeldung bleibt; sonst löschen wir ihn mit deinem Konto.
Basis: Art. 6 Abs. 1 lit. b DSGVO
6.8Die Anmeldeseite zeigt dir, welchen Weg du auf diesem Gerät zuletzt genutzt hast. Dafür speichert dein Browser nach einer erfolgreichen Anmeldung im lokalen Speicher den Eintrag „sj_last_auth_provider“ mit der Art des Wegs (E-Mail, Apple, Google oder Passkey). Damit nur eine Anmeldung zählt, die du in diesem Tab begonnen hast, merkt sich der Browser-Tab während einer Anmeldung mit Google oder Apple im Sitzungsspeicher unter „sj_oauth_pending“, welchen Anbieter du gewählt hast; dieser Eintrag wird beim nächsten Laden einer Seite gelesen und gelöscht, spätestens beim Schließen des Tabs. Beide Einträge enthalten weder Namen noch E-Mail-Adresse und werden nicht an uns übertragen. Sie gehören zur Anmeldeseite, die du aufrufst, und wir setzen sie wie die Spracheinstellung ohne Einwilligung (Abschnitt 4.1). Der Eintrag im lokalen Speicher bleibt, bis du ihn in den Einstellungen deines Browsers löschst; Abmelden oder die Löschung deines Kontos entfernen ihn nicht. Für den Rückweg vom Anbieter legt Supabase zusätzlich ein technisch notwendiges Cookie an, das die Anmeldung absichert. Es bleibt bis zum Abschluss der Anmeldung; brichst du sie ab, bis zur nächsten Anmeldung mit Google oder Apple.
Basis: § 25 Abs. 2 Nr. 2 TDDDG
6a. Konten für bestehende Kundinnen (Umzug der Kursplattform)
6a.1Kurse, die vor dem Start dieser Website über unsere frühere Kursplattform gekauft wurden, stellen wir im neuen Kursportal weiter bereit. Dafür legen wir für jede Kundin einmalig ein Nutzerkonto an und ordnen ihr die gekauften Kurse zu. Die Daten dafür stammen aus unseren eigenen Verkaufsunterlagen der bisherigen Systeme (ThriveCart, PayPal, Stripe und der bisherige Mitgliederbereich): Name, E-Mail-Adresse, gekaufter Kurs, Kaufdatum und gezahlter Betrag.
Basis: Art. 6 Abs. 1 lit. b DSGVO; Art. 14 DSGVO (Information bei Daten aus anderer Quelle)
6a.2Die Konto-Anlage dient allein dazu, den bereits bezahlten Kurszugang weiter zu erfüllen. Betroffene Kundinnen informieren wir per E-Mail über das neue Konto und den Weg, ein eigenes Passwort zu setzen. Wer den Zugang nicht mehr möchte, kann das Konto jederzeit löschen lassen (Abschnitt 15).
6a.3Die für den Umzug exportierten Verkaufslisten bewahren wir verschlüsselt und getrennt vom Portal auf, bis der Umzug abgeschlossen und geprüft ist, längstens drei Monate nach dem Start des neuen Portals. Danach löschen wir sie; Rechnungs- und Zahlungsdaten unterliegen weiterhin den steuerlichen Aufbewahrungsfristen (Abschnitt 7.5).
7. Kauf, Zahlung und Vertragsunterlagen
7.1Beim Kauf eines Kurses verarbeiten wir deine E-Mail-Adresse, den gewählten Kurs und das Preismodell, deine Einwilligung zur sofortigen Bereitstellung digitaler Inhalte (§ 356 Abs. 6 BGB), den Zahlungsstatus, den Betrag und die Referenznummer der Zahlung. Zahlungsdaten wie Kartennummern gibst du ausschließlich beim Zahlungsanbieter ein; sie erreichen unsere Server nicht. Hattest du beim Klick auf den Kaufknopf in „Marketing“ eingewilligt, nutzen wir Betrag, Währung, Zeitpunkt und Referenznummer der Zahlung und deine E-Mail-Adresse als Prüfsumme außerdem für die Kaufmeldung an Meta; den Kurs nennen wir dabei nur mit einer neutralen Kennnummer (Abschnitt 5a.5 bis 5a.7).
Basis: Art. 6 Abs. 1 lit. b DSGVO; für die Kaufmeldung an Meta Art. 6 Abs. 1 lit. a DSGVO
7.2Kartenzahlungen und Abos wickeln wir über Stripe ab (Stripe Payments Europe, Ltd., Irland, und Stripe, Inc., USA). Stripe verarbeitet deine Zahlungsdaten, E-Mail-Adresse, den Betrag und technische Merkmale zur Betrugsprävention als eigener Verantwortlicher. Bei Abos verwaltet Stripe außerdem deine laufende Zahlung und erstellt die Belege. Wenn du mit Karte bezahlst, speichert Stripe deine Karte, damit du ein Angebot direkt nach dem Kauf mit einem Klick dazunehmen kannst. Wir selbst sehen nur Kartenart und die letzten vier Ziffern.
Basis: Art. 6 Abs. 1 lit. b DSGVO; Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework und der EU-Standardvertragsklauseln
7.3Wenn du mit PayPal zahlst, übernimmt PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg, die Zahlung als eigener Verantwortlicher. Wir erhalten von PayPal die Bestätigung der Zahlung, die Transaktionsnummer und die dort hinterlegte E-Mail-Adresse.
Basis: Art. 6 Abs. 1 lit. b DSGVO
7.4Nach dem Kauf senden wir dir die gesetzliche Vertragsbestätigung mit dem Vertragsinhalt, den AGB und der Widerrufsbelehrung per E-Mail. Für den Versand dieser und aller anderen Transaktions-Mails (Zugang, Passwort, Eingangsbestätigungen) nutzen wir Brevo (Sendinblue GmbH, Berlin; Server in der EU). Brevo erhält dafür deine E-Mail-Adresse und den Mailinhalt und verarbeitet sie ausschließlich in unserem Auftrag.
Basis: § 312f BGB; Art. 6 Abs. 1 lit. c DSGVO
7.5Kauf- und Rechnungsdaten sowie die Vertragsbestätigungen bewahren wir zehn Jahre ab Ende des Kalenderjahres auf, in dem der Vertrag geschlossen wurde. Die technischen Benachrichtigungen der Zahlungsanbieter (Webhook-Daten) löschen oder anonymisieren wir, sobald sie für Abgleich und Nachweis nicht mehr nötig sind, spätestens mit der Kontolöschung.
Basis: § 147 AO, § 14b UStG; Art. 6 Abs. 1 lit. c DSGVO
7.6Außerdem zählen wir anonym, wie oft das Angebot auf der Danke-Seite gezeigt, angeklickt und gekauft wird: ohne Cookies, ohne IP-Adresse und ohne Bezug zu deiner Person.
Basis: Art. 6 Abs. 1 lit. f DSGVO
8. Kursmedien: Video, Audio und Downloads
8.1Videos, Audios, Bilder und Arbeitsblätter (PDF-Dateien) der Kurse liefern wir über das Content Delivery Network der BunnyWay d.o.o., Cesta komandanta Staneta 4A, 1215 Medvode, Slowenien („Bunny“) aus, die dafür als Auftragsverarbeiterin nach Art. 28 DSGVO für uns tätig ist. Jeder Abruf läuft über einen kurzlebigen, signierten Link, den nur dein eingeloggtes Konto erhält. Dabei verarbeitet Bunny deine IP-Adresse und technische Verbindungsdaten; das ist für die Bereitstellung der gebuchten Inhalte erforderlich und dient zugleich der Erkennung von Missbrauch. Weitere Informationen: https://bunny.net/privacy.
Basis: Art. 6 Abs. 1 lit. b DSGVO
8.2Der Videoplayer wird in die Seite eingebettet und kann dazu Speicher in deinem Browser nutzen. Deshalb starten wir ihn erst, wenn du der Kategorie „Medien“ zugestimmt hast. Ohne Zustimmung siehst du an der Stelle einen Hinweis und kannst die Zustimmung dort direkt erteilen.
Basis: § 25 Abs. 1 TDDDG; Art. 6 Abs. 1 lit. a DSGVO
9. Newsletter und Wartelisten
9.1Den Newsletter erhältst du nur, wenn du dich anmeldest und die Anmeldung über den Link in unserer Bestätigungs-Mail bestätigst (Double-Opt-in). Bis zur Bestätigung ist die Adresse nur vorgemerkt; ein unbestätigter Eintrag verfällt nach 48 Stunden. Dasselbe Verfahren nutzen wir für Wartelisten zu Kursen und Retreats; dabei speichern wir zusätzlich, für welches Angebot du dich eingetragen hast.
Basis: Art. 6 Abs. 1 lit. a DSGVO; § 7 Abs. 2 Nr. 2 UWG
9.2Als Nachweis deiner Einwilligung speichern wir Vorname bzw. Name, E-Mail-Adresse, Zeitpunkt von Anmeldung und Bestätigung, den Wortlaut der Einwilligung und die Seite, auf der du dich eingetragen hast. Versand und Verwaltung der Liste laufen über Brevo (Sendinblue GmbH, Berlin; Server in der EU) in unserem Auftrag. Brevo misst, ob ein Newsletter geöffnet und welche Links angeklickt wurden; wir nutzen diese Werte nur, um unsere Inhalte zu verbessern, nicht für Einzelprofile.
Basis: Art. 7 Abs. 1 DSGVO
9.3Du kannst dich jederzeit über den Link am Ende jeder Newsletter-Mail oder per E-Mail an uns abmelden. Nach der Abmeldung bleibt der Einwilligungsnachweis drei Jahre gespeichert, damit wir die frühere Einwilligung belegen können; danach löschen wir ihn.
9.4Wer den Newsletter bereits vor dem Start dieser Website abonniert hatte, bleibt mit der damals erteilten Einwilligung eingetragen. Die zugehörigen Nachweise haben wir aus dem früheren Newsletter-System übernommen. Auch hier gilt: Abmeldung jederzeit.
Basis: Art. 6 Abs. 1 lit. a DSGVO
9.5Wenn du bei uns einen Kurs gekauft hast, dürfen wir dir ohne gesonderte Einwilligung E-Mails zu unseren eigenen, ähnlichen Angeboten schicken, solange du dem nicht widersprichst. Wir nutzen dafür nur die E-Mail-Adresse aus deinem Kauf. Jede dieser E-Mails enthält einen Abmeldelink; ein Widerspruch per E-Mail an hello@siljajanina.com genügt ebenfalls und wirkt sofort.
Basis: § 7 Abs. 3 UWG; Art. 6 Abs. 1 lit. f DSGVO
10. Kontaktformular, E-Mail und App-Beta-Bewerbung
10.1Wenn du uns über das Kontaktformular oder per E-Mail schreibst, verarbeiten wir deinen Namen, deine E-Mail-Adresse, den gewählten Betreff und deine Nachricht, um die Anfrage zu beantworten. Formularnachrichten speichern wir in unserer Datenbank (Supabase, Irland) und leiten sie per Brevo an unser Postfach weiter. Wir löschen sie zwölf Monate nach Abschluss der Anfrage, sofern kein Vertrag daraus entstanden ist.
Basis: Art. 6 Abs. 1 lit. b und f DSGVO
10.2Für die Testphase unserer App kannst du dich über ein Formular bewerben. Dabei fragen wir Name, E-Mail-Adresse, optional dein Instagram-Profil, seit wann du Siljas Angebote kennst, welche Kurse du bereits gemacht hast, dein Gerät mit iOS-Version und deine Motivation ab. Wir nutzen diese Angaben nur, um Testerinnen auszuwählen und dich über Apple TestFlight einzuladen. Die Einladung selbst verschickt Apple an die von dir genannte E-Mail-Adresse; Apple verarbeitet dabei deine Apple-ID und Gerätedaten nach eigenen Regeln. Bewerbungen löschen wir spätestens drei Monate nach Ende der Testphase.
Basis: Art. 6 Abs. 1 lit. a DSGVO
10.3Bitte schreibe uns in Kontaktnachrichten und Bewerbungen keine Angaben zu Gesundheit, Sexualleben oder anderen besonders sensiblen Themen. Solche Angaben sind für die Bearbeitung nicht nötig; wir speichern sie nicht länger als die Anfrage selbst.
11. Kündigung und Widerruf
11.1Abos kannst du ohne Anmeldung über die Kündigungsseite unter https://siljajanina.com/de/cancel kündigen. Dabei speichern wir Name, E-Mail-Adresse, die von dir genannte Vertrags- oder Bestellnummer, deine Nachricht, die Art der Kündigung, den Kündigungsgrund und den gewünschten Beendigungszeitpunkt, den Zeitpunkt des Eingangs und eine Vorgangsnummer und senden dir eine Eingangsbestätigung per E-Mail.
Basis: § 312k BGB; Art. 6 Abs. 1 lit. c DSGVO
11.2Einen Widerruf kannst du online unter https://siljajanina.com/de/withdrawal-request erklären. Dabei speichern wir Name, E-Mail-Adresse, die von dir genannte Vertrags- oder Bestellnummer und deine Nachricht und bestätigen den Eingang mit Datum und Uhrzeit per E-Mail.
Basis: § 356a BGB; Art. 6 Abs. 1 lit. c DSGVO
11.3Kündigungs- und Widerrufsvorgänge bewahren wir als Vertragsunterlagen auf, solange Ansprüche aus dem Vertrag geltend gemacht werden können, mindestens drei Jahre ab Ende des Jahres der Erklärung; bei steuerlicher Relevanz gelten die Fristen aus Abschnitt 7.5.
12. Podcast
12.1Unseren Podcast hosten wir bei Podigee (Podigee GmbH, Berlin). Die Folgenliste auf unserer Website lesen wir von unserem Server aus dem Podigee-Feed; dabei werden keine Daten von dir übertragen. Wenn du eine Folge auf unserer Seite abspielst, lädt dein Browser die Audiodatei direkt von Podigee. Podigee verarbeitet dabei deine IP-Adresse und Abrufdaten, um die Datei auszuliefern und die Abrufzahlen anonym zu zählen.
Basis: Art. 6 Abs. 1 lit. f DSGVO
12.2Die Links zu Spotify, Apple Podcasts und anderen Plattformen führen auf deren Seiten; dort gelten die Datenschutzregeln des jeweiligen Anbieters.
13. Fehlerüberwachung und Schutz vor Missbrauch
13.1Um technische Fehler zu erkennen, nutzen wir Sentry (Functional Software, Inc., USA) mit Datenspeicherung in der EU. Tritt ein Fehler auf, wird ein Bericht mit Zeitpunkt, aufgerufener Seite, Browsertyp, Betriebssystem, gekürzter IP-Adresse und dem technischen Fehlerablauf übermittelt. Inhalte von Formularen oder Passwörter sind darin nicht enthalten. Berichte löschen wir nach 90 Tagen.
Basis: Art. 6 Abs. 1 lit. f DSGVO; Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework und der EU-Standardvertragsklauseln
13.2Formulare und Checkout schützen wir gegen automatisierte Massenanfragen. Dafür zählen wir Anfragen je IP-Adresse für kurze Zeit in einem Zwischenspeicher bei Upstash (Upstash, Inc., USA; Datenbank in Frankfurt am Main). Die Zähler verfallen automatisch nach wenigen Minuten.
Basis: Art. 6 Abs. 1 lit. f DSGVO
14. Empfänger und Übermittlung in Drittländer
Deine Daten erhalten nur die in dieser Erklärung genannten Dienstleister und Partner, jeweils beschränkt auf ihren Zweck: Vercel (Hosting, Reichweitenmessung), Supabase (Datenbank und Konten, Irland), Bunny.net (Kursmedien, EU), Brevo (E-Mail-Versand und Newsletter, EU), Stripe und PayPal (Zahlung), Podigee (Podcast, EU), Sentry (Fehlerberichte, Speicherung in der EU), Upstash (Missbrauchsschutz, Datenbank in Frankfurt), Apple (App-Verteilung und, wenn du ihn nutzt, Anmeldedienst), Google (Anmeldedienst, wenn du ihn nutzt) und Meta (Messung unserer Anzeigen, nur mit deiner Einwilligung in „Marketing“). Mit Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Google und Apple sind für ihren Anmeldedienst eigene Verantwortliche (Abschnitt 6.6). Mit Meta sind wir für das Erheben und Übermitteln der Daten mit Pixel und Conversions API gemeinsam verantwortlich (Abschnitt 5a.8); für die weitere Verarbeitung ist Meta allein verantwortlich (Abschnitt 5a.9).
Soweit ein Anbieter seinen Sitz in den USA hat, stützt sich die Übermittlung auf die Zertifizierung nach dem EU-US Data Privacy Framework oder auf die EU-Standardvertragsklauseln; die Datenspeicherung selbst haben wir, wo möglich, in der EU verankert. Meta kann Daten an die Meta Platforms, Inc. in den USA übermitteln; dafür gilt Abschnitt 5a.10. Behörden oder Gerichte erhalten Daten nur, wenn wir gesetzlich dazu verpflichtet sind.
15. Deine Rechte
15.1Du hast das Recht auf Auskunft über die zu dir gespeicherten Daten, auf Berichtigung, auf Löschung, auf Einschränkung der Verarbeitung, auf Datenübertragbarkeit und auf Widerspruch gegen Verarbeitungen, die wir auf ein berechtigtes Interesse stützen. Schreib uns dafür an hello@siljajanina.com. Dein Konto kannst du außerdem selbst in der App löschen oder uns die Löschung per E-Mail auftragen.
Basis: Art. 15 bis 21 DSGVO
15.2Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen: Cookies, Reichweitenmessung und Messung von Anzeigen über „Cookie-Einstellungen“ (zur Wirkung bei Meta Abschnitt 5a.4 und 5a.7), den Newsletter über den Abmeldelink, alles andere per E-Mail.
Basis: Art. 7 Abs. 3 DSGVO
15.3Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59-61, 10555 Berlin.
Basis: Art. 77 DSGVO
16. Datensicherheit, Speicherdauer und Änderungen
16.1Alle Verbindungen sind verschlüsselt (TLS). Kurs-, Kauf- und Kontodaten sind in der Datenbank durch Zugriffsregeln geschützt, die jeder Kundin nur ihre eigenen Daten zeigen. Kursmedien sind nur über signierte, zeitlich begrenzte Links erreichbar.
Speicherdauer im Überblick
Server-Protokolle: wenige Tage. Cookie-Nachweise: drei Jahre. Konto und Lernfortschritt: bis zur Löschung des Kontos. Verbindung zu Google oder Apple und Passkeys: bis zum Trennen oder Entfernen, sonst bis zur Löschung des Kontos. Eintrag „zuletzt genutzt“ im Browser: bis du ihn dort löschst. Kauf-, Rechnungs- und Vertragsdaten: zehn Jahre. Newsletter: bis zur Abmeldung, Nachweis danach drei Jahre. Kontaktanfragen: zwölf Monate nach Abschluss. App-Beta-Bewerbungen: drei Monate nach Ende der Testphase. Kündigungen und Widerrufe: mindestens drei Jahre. Fehlerberichte: 90 Tage. Missbrauchsschutz-Zähler: Minuten. Exportlisten des Plattform-Umzugs: längstens drei Monate nach Portalstart. Cookies „_fbp“ und „_fbc“ von Meta: nach Angaben von Meta bis zu 90 Tage. Eintrag zur Kaufmeldung im Browser: bis du ihn dort löschst. Angaben für die Kaufmeldung an Meta auf unserem Server: bis zum Versand, sonst Löschung im täglichen Lauf, sobald sie älter als sieben Tage sind. Daten bei Meta: nach den Regeln von Meta (Abschnitt 5a.9).
16.2Wir treffen keine automatisierten Entscheidungen mit rechtlicher Wirkung und erstellen selbst keine Profile über dich. Wenn du in „Marketing“ einwilligst, kann Meta die Daten aus Pixel und Conversions API mit anderen Daten verbinden und für Werbung Profile bilden; das verantwortet Meta allein (Abschnitt 5a.9).
16.3Wir passen diese Erklärung an, wenn sich unsere Dienste oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung; das Datum steht am Anfang der Seite.
Verantwortliche Stelle und Kontakt: Abschnitt 1. Cookie-Einstellungen: Link am Seitenende.