Datenschutzerklärung

Stand: 30.09.2026

1. Verantwortlicher

Wir verarbeiten personenbezogene Daten nur, soweit es für den Betrieb dieser Website, die Durchführung Ihres Vertrags und die gesetzlichen Pflichten erforderlich ist. Analyse- und Werbedienste (Google Analytics und den Meta-Pixel) setzen wir nur mit Ihrer Einwilligung ein (Nr. 11a bis 11c). Ohne Einwilligung zählen wir Besuche nur anonym und ohne Cookies (Nr. 2a).

2. Aufruf der Website

Beim Aufruf der Website verarbeitet unser Hosting-Dienstleister technisch notwendige Verbindungsdaten, etwa IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Referrer sowie Browser- und Systemangaben. Das dient der sicheren und stabilen Bereitstellung der Website. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Die Übertragung ist durch TLS verschlüsselt.

2a. Reichweitenmessung ohne Cookies

Um zu sehen, wie viele Menschen unsere Seiten besuchen und über welche Wege (zum Beispiel eine Anzeige auf Instagram, eine Suchmaschine oder einen Link) sie zu uns finden, zählen wir Seitenaufrufe auf unseren öffentlichen Seiten und in der Kasse selbst, ohne Dienste Dritter. Gespeichert wird nur ein täglicher Zähler je Seite, Quelle (aus den Kampagnenangaben im Link, sonst aus der Adresse der verweisenden Website, zum Beispiel „instagram“ oder „google“), Kampagne und Ereignis (Seitenaufruf, Kassenstart, Kauf mit Betrag, Anfrage, Newsletter-Anmeldung, Anmeldelink). Wir speichern dabei weder Ihre IP-Adresse noch Angaben zu Browser oder Gerät noch eine Kennung, setzen keine Cookies und legen nichts im Speicher Ihres Browsers ab; ein Bezug zu Ihrer Person ist nicht möglich. Damit ein Kauf seiner Quelle zugeordnet werden kann, hängen wir die Quelle als kurzen Zusatz „q=“ an die Links innerhalb unserer Website und speichern sie mit der Bestellung. Automatische Aufrufe (Suchmaschinen, Bots) erkennen wir an der Browserkennung und zählen sie nicht; zum Schutz vor Missbrauch begrenzen wir die Zahl der Meldungen je IP-Adresse für eine Minute anhand eines verschlüsselten Prüfwerts, den wir nicht in unserer Datenbank speichern. Patientenseiten, Kundenkonto und eingebettete Animationen zählen wir nicht. Rechtsgrundlage ist unser berechtigtes Interesse, unser Angebot und unsere Werbung bedarfsgerecht zu gestalten (Art. 6 Abs. 1 lit. f DSGVO). Die Tageszähler löschen wir nach 25 Monaten.

3. Kundenkonto, Bestellung und Lizenz

Für Bestellung und Kundenkonto verarbeiten wir Ihre Angaben: ob Sie als Privatperson oder als Unternehmen bestellen, Name bzw. Praxis-, Firmen- oder Einrichtungsname, Anschrift, E-Mail-Adresse, bei Unternehmen die Umsatzsteuer-Identifikationsnummer und, falls angegeben, Ihre Bestellnummer oder Kostenstelle, sowie Vertrags- und Lizenzdaten (gekaufte Produkte, Laufzeiten, freigeschaltete Domains, Rechnungen). Bei Privatpersonen speichern wir außerdem den Zeitpunkt Ihrer Zustimmung bzw. Ihres Verlangens zum sofortigen Beginn der Vertragsausführung und die Fassung der Widerrufsbelehrung, um die Folgen für das Widerrufsrecht nachweisen zu können. Zu jeder Bestellung speichern wir, welcher Fassung der AGB und Lizenzbedingungen Sie wann zugestimmt haben; den Wortlaut jeder Fassung bewahren wir auf und senden ihn Ihnen mit der Bestellbestätigung. Die Anmeldung erfolgt über einen Link, den wir an Ihre E-Mail-Adresse senden; dabei legen wir ein Kundenkonto an, auch wenn Sie noch nichts kaufen. Rechtsgrundlagen sind die Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO) und unsere gesetzlichen Aufbewahrungs- und Nachweispflichten (Art. 6 Abs. 1 lit. c DSGVO). Ohne diese Angaben können wir keinen Vertrag schließen.

Prüfung der USt-IdNr.: Bestellen Sie als Unternehmen aus einem anderen EU-Land ohne Umsatzsteuer (Reverse Charge), prüfen wir Ihre Umsatzsteuer-Identifikationsnummer über das Mehrwertsteuer-Informationsaustauschsystem (VIES) der Europäischen Kommission. Dabei übermitteln wir Ihre USt-IdNr. und unsere eigene. Vor jeder Verlängerung eines Vertrags ohne Umsatzsteuer prüfen wir die Nummer erneut. Das Ergebnis, den Zeitpunkt, die Abfragenummer sowie den von VIES gemeldeten Namen und die Anschrift speichern wir mit der Bestellung bzw. dem Vertrag als Nachweis gegenüber dem Finanzamt. Rechtsgrundlage ist unsere gesetzliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 18e UStG).

3a. Kündigung ohne Anmeldung

Kündigen Sie über unsere Seite „Verträge hier kündigen“, verarbeiten wir Ihren Namen bzw. den Namen Ihrer Praxis oder Firma, Ihre E-Mail-Adresse, die Vertragsnummer (falls angegeben), Art und gewünschten Zeitpunkt der Kündigung, bei einer außerordentlichen Kündigung den Grund, Ihre Anmerkung sowie Datum und Uhrzeit des Eingangs. Damit ordnen wir die Kündigung Ihrem Vertrag zu und bestätigen sie Ihnen per E-Mail. Zum Schutz vor Missbrauch begrenzen wir die Zahl der Kündigungen je IP-Adresse und E-Mail-Adresse; dafür verwenden wir beides nur als verschlüsselten Prüfwert, den wir nach einem Tag löschen. Den Eingang bewahren wir sechs Jahre als Nachweis auf. Rechtsgrundlagen sind die Vertragsdurchführung und unsere gesetzliche Pflicht zur Bestätigung (Art. 6 Abs. 1 lit. b und c DSGVO, § 312k BGB).

3b. VIP-Zugang

Laden wir Sie mit einem persönlichen Code zu einem kostenlosen VIP-Zugang ein, speichern wir zu dem Code, für wen er bestimmt ist (Name bzw. kurze Notiz), die Laufzeit sowie wann und mit welcher E-Mail-Adresse er eingelöst wurde. Den Code selbst speichern wir nur als verschlüsselten Prüfwert. Beim Einlösen verarbeiten wir Ihre Angaben wie bei einer Bestellung (Nr. 3), aber ohne Zahlungsdaten. Kurz vor dem Ende des Zugangs erinnern wir Sie per E-Mail. Zum Schutz vor dem Ausprobieren fremder Codes begrenzen wir die Versuche je IP-Adresse; dafür verwenden wir sie nur als verschlüsselten Prüfwert, den wir nach einem Tag löschen. Rechtsgrundlagen sind die Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse, Einladungen zuzuordnen und vor Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO).

3c. Widerruf über „Vertrag widerrufen“

Widerrufen Sie einen Vertrag über unsere Widerrufsfunktion „Vertrag widerrufen“, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, Ihre Angaben zum Vertrag sowie Datum und Uhrzeit des Eingangs; sind Sie dabei angemeldet, außerdem den Vertrag, den Sie ausgewählt haben. Damit bestätigen wir Ihnen den Eingang per E-Mail, ordnen den Widerruf Ihrem Vertrag zu und wickeln ihn ab, zum Beispiel mit der Erstattung Ihrer Zahlung. Zum Schutz vor Missbrauch begrenzen wir die Zahl der Widerrufe je IP-Adresse und E-Mail-Adresse; dafür verwenden wir beides nur als verschlüsselten Prüfwert, den wir nach einem Tag löschen. Ohne Anmeldung prüfen wir das Formular außerdem mit Cloudflare Turnstile (Nr. 4a); einen Widerruf nehmen wir auch ohne erfolgreiche Prüfung an. Die Erklärung bewahren wir sechs Jahre ab Eingang als Nachweis auf, den abgewickelten Widerruf mit Wertersatz und Erstattung wie Rechnungen. Rechtsgrundlagen sind die Vertragsdurchführung und unsere gesetzliche Pflicht, den Eingang zu bestätigen (Art. 6 Abs. 1 lit. b und c DSGVO, § 356a BGB).

4. Lizenzschutz und Missbrauchsschutz

Damit Lizenzen nur im vereinbarten Umfang genutzt werden, verarbeiten wir folgende Daten:

• Downloads: Konto, Lizenz, Datei, Format und Zeitpunkt. Je Konto sind Downloads auf 100 je Stunde und 400 je Tag begrenzt; bei Auffälligkeiten, etwa Zugriffen aus vielen verschiedenen Netzen an einem Tag, begrenzen wir sie vorübergehend weiter und erhält unsere Verwaltung einen Hinweis.
• Kennzeichnung der Dateien: Heruntergeladene Dateien enthalten in den Metadaten einen Urheber- und Lizenzhinweis mit einer zufälligen Lizenz-Kennung; Standbilder und Videos enthalten dieselbe Kennung zusätzlich unsichtbar im Bild (digitaler Fingerabdruck). Die Kennung enthält weder Ihren Namen noch Ihre Kundennummer. Nur wir können sie über unsere Datenbank Ihrer Lizenz und damit Ihrem Kundenkonto zuordnen, etwa wenn eine Datei außerhalb der Lizenz auftaucht. Die Kennung bleibt in der Datei, auch wenn Sie diese veröffentlichen.
• Einbettungsprüfungen: aufrufende Domain, Animation und Ergebnis der Prüfung, zusammengefasst als tägliche Zähler ohne IP-Adressen.
• Anmeldungen und Zugriffe: zum Schutz vor Missbrauch, etwa wiederholten Anmeldeversuchen oder geteilten Konten, die IP-Adresse beziehungsweise ihr gekürzter Netzbereich ausschließlich als verschlüsselter Prüfwert, nie im Klartext.

Rechtsgrundlagen sind die Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse am Schutz unserer Inhalte und unseres Dienstes vor Missbrauch und unerlaubter Weitergabe (Art. 6 Abs. 1 lit. f DSGVO).

4a. Schutz vor Missbrauch (Cloudflare Turnstile)

Die Formulare für den Anmeldelink, den Newsletter, Animationswünsche ohne Konto, VIP-Codes, die Kündigung ohne Anmeldung und die Widerrufsfunktion schützen wir mit Cloudflare Turnstile vor automatisierten Anfragen (Spam, Programme). Erst wenn Sie ein solches Formular benutzen, lädt Ihr Browser dafür ein Prüfprogramm von Cloudflare (challenges.cloudflare.com). Dabei verarbeitet Cloudflare Ihre IP-Adresse sowie Browser- und Geräteinformationen (etwa Browserkennung, technische Merkmale der Verbindung und die aufrufende Seite), um Menschen von Programmen zu unterscheiden. Meist geschieht das unsichtbar, nur in Zweifelsfällen bitten wir Sie um eine kurze Bestätigung. Wir erhalten von Cloudflare nur das Ergebnis der Prüfung; bei einer Kündigung oder einem Widerruf ohne Anmeldung speichern wir es zusammen mit der Erklärung. Eine Kündigung und einen Widerruf nehmen wir auch ohne erfolgreiche Prüfung an.

Rechtsgrundlage ist unser berechtigtes Interesse, unseren Dienst und die Postfächer Dritter vor missbräuchlichen, automatisierten Anfragen zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Cloudflare handelt dabei als unser Auftragsverarbeiter (Nr. 9). Turnstile setzt keine Cookies zu Werbe- oder Analysezwecken; was das Prüfprogramm auf Ihrem Gerät ablegt oder ausliest, ist für den von Ihnen gewünschten Versand des Formulars unbedingt erforderlich, eine Einwilligung ist dafür nicht nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Cloudflare nutzt die Angaben nur zur Erkennung von Programmen und nicht, um Sie zu identifizieren; wie lange Cloudflare sie dafür speichert, richtet sich nach den Datenschutzbestimmungen von Cloudflare zu Turnstile.

5. Zahlung

Die Zahlung wickelt die Mollie B.V., Amsterdam, Niederlande, ab. Dafür übermitteln wir die zur Zahlung erforderlichen Daten (zum Beispiel Name, Betrag, Rechnungsbezug). Ihre Zahlungsdaten gibt Mollie direkt ein und verarbeitet sie in eigener Verantwortung. Einzelheiten stehen in den Datenschutzhinweisen von Mollie. Rechtsgrundlage ist die Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO).

6. E-Mail-Versand

Anmeldelinks, Bestätigungen, Vertragsmitteilungen (zum Beispiel die Ankündigung einer Abbuchung) und den Newsletter versenden wir über den Dienst Resend der Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA. Verarbeitet werden Ihre E-Mail-Adresse und der Inhalt der Nachricht. Rechtsgrundlage ist die Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO), beim Newsletter Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).

Der Versand läuft über die EU-Region des Dienstes. Das Unternehmen sitzt jedoch in den USA; ein Zugriff aus den USA auf Ihre Daten ist daher möglich, es handelt sich um eine Übermittlung in ein Drittland. Sie ist abgesichert durch den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), unter dem der Anbieter zertifiziert ist, und zusätzlich durch die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), die Teil des Auftragsverarbeitungsvertrags des Anbieters sind. Die Zertifizierung können Sie in der Liste des US-Handelsministeriums unter dataprivacyframework.gov einsehen.

Ob eine Mail vom Versanddienst angenommen wurde, halten wir in einem Versandprotokoll fest, ohne E-Mail-Adresse und ohne Inhalt, nur mit Art der Mail, Bezug (zum Beispiel Bestellung) und Zeitpunkt. So können wir gesetzlich vorgeschriebene Bestätigungen nachweisen und erneut senden, wenn der Versand fehlgeschlagen ist (Art. 6 Abs. 1 lit. b und c DSGVO). Im Testbetrieb vor dem Verkaufsstart stellen wir keine Mails zu.

7. Newsletter

Wenn Sie unseren Newsletter abonnieren, verwenden wir Ihre E-Mail-Adresse, um Ihnen Neuigkeiten zur Bibliothek, neue Animationen und Angebote zu senden. Pflichtangabe ist nur die E-Mail-Adresse. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG).

Wir nutzen das Double-Opt-in-Verfahren: Nach der Anmeldung erhalten Sie eine E-Mail mit einem Bestätigungslink, der 48 Stunden gültig ist. Erst nach der Bestätigung tragen wir Sie in den Verteiler ein. Zum Nachweis Ihrer Einwilligung speichern wir den Zeitpunkt der Anmeldung und der Bestätigung, den Wortlaut der Einwilligung und das Formular, über das Sie sich angemeldet haben, sowie für 30 Tage einen verschlüsselten Prüfwert Ihrer IP-Adresse (nie die IP-Adresse im Klartext).

Nach der Bestätigung erhalten Sie einen persönlichen Rabattcode über 10 %. Damit je E-Mail-Adresse nur ein Code ausgegeben wird, speichern wir zu dem Code einen verschlüsselten Prüfwert Ihrer E-Mail-Adresse, den Gültigkeitszeitraum und gegebenenfalls die Bestellung, in der er eingelöst wurde. Den Code selbst speichern wir nur in verschlüsselter Form.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, über den Abmeldelink in jeder Mail oder per Nachricht an info@niklaspape.de. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Der Versand erfolgt über den unter Nr. 6 genannten Dienst; wir werten nicht aus, ob oder wann Sie eine Mail öffnen oder Links anklicken.

Speicherdauer: Unbestätigte Anmeldungen löschen wir nach 30 Tagen. Nach einer Abmeldung bewahren wir E-Mail-Adresse, Zeitpunkte und Wortlaut der Einwilligung noch drei Jahre auf, um nachweisen zu können, dass eine Einwilligung vorlag (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO), und nutzen sie in dieser Zeit nicht für den Versand. Einen nicht eingelösten Rabattcode samt Prüfwert löschen wir drei Jahre nach Ende seiner Gültigkeit; einen eingelösten Code bewahren wir mit der Bestellung auf (Nachweis des Rabatts).

8. Einbettung auf Websites unserer Kundschaft

Praxen können Animationen aus „Physio-Animationen“ auf ihren Websites einbetten. Beim Aufruf einer solchen Seite lädt der Browser das Einbettungs-Skript und die Animation von unseren Servern und fragt ab, ob die Animation für die aufrufende Domain freigeschaltet ist. Dabei werden technisch IP-Adresse, Zeitpunkt, die aufrufende Domain sowie Browser- und Systemangaben verarbeitet, ausschließlich zur Auslieferung und zur Lizenzprüfung. Gespeichert wird davon nur ein täglicher Zähler je Domain, Animation und Ergebnis, ohne IP-Adresse; zur Begrenzung von Missbrauch zählen wir Aufrufe außerdem kurzzeitig je verschlüsseltem Prüfwert der IP-Adresse (höchstens einen Tag). Die Einbettung setzt keine Cookies, speichert nichts im Browser und erstellt keine Nutzungsprofile. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren Auslieferung und der Prüfung der Lizenz (Art. 6 Abs. 1 lit. f DSGVO).

Für das Erheben und Übermitteln dieser Daten beim Aufruf der Praxis-Website sind die Praxis und wir gemeinsam verantwortlich (Art. 26 DSGVO). Wir haben vereinbart, dass wir über unsere Verarbeitung hier informieren und Anfragen dazu beantworten; die Praxis informiert in ihrer Datenschutzerklärung über die Einbindung. Sie können Ihre Rechte bei beiden Verantwortlichen geltend machen. Die weitere Verarbeitung nach der Übermittlung verantworten wir allein.

Textvorschlag für die Datenschutzerklärung Ihrer Praxis: „Auf dieser Website binden wir Animationen von Niklas Pape, Mengstraße 40, 23552 Lübeck („Physio-Animationen“) ein. Beim Laden einer Seite mit Animation übermittelt Ihr Browser technisch Ihre IP-Adresse, den Zeitpunkt, die aufgerufene Seite sowie Browser- und Systemangaben an den Anbieter. Er verwendet diese Daten ausschließlich zur Auslieferung und zur Prüfung unserer Lizenz, setzt keine Cookies und erstellt keine Nutzungsprofile. Für die Übermittlung sind wir und der Anbieter gemeinsam verantwortlich (Art. 26 DSGVO). Rechtsgrundlage ist unser berechtigtes Interesse an einer anschaulichen Darstellung unserer Leistungen (Art. 6 Abs. 1 lit. f DSGVO). Weitere Informationen: physio-animationen.de/datenschutz/#einbettung“

8a. Patientenlinks (Übungspläne für Patientinnen und Patienten)

Praxen können in ihrem Kundenkonto Übungspläne anlegen und als Link an ihre Patientinnen und Patienten schicken. Dafür speichern wir den Titel des Plans, die ausgewählten Übungen und die Hinweise, die die Praxis dazu eingibt, außerdem einen zufälligen Code für den Link, die Zeitpunkte der Erstellung und Änderung und den Zugang, mit dem der Plan angelegt wurde. Die Praxis wird beim Anlegen ausdrücklich gebeten, keine Namen oder Gesundheitsdaten einzutragen. Für die Inhalte eines Plans ist die Praxis verantwortlich, die ihn erstellt hat. Rechtsgrundlage ist die Vertragsdurchführung mit der Praxis (Art. 6 Abs. 1 lit. b DSGVO).

Beim Aufruf eines Patientenlinks verarbeitet unser Hosting-Dienstleister die technisch notwendigen Verbindungsdaten wie unter Nr. 2 beschrieben. Enthält ein Plan Übungsvideos, verarbeiten wir beim Abspielen wie bei jedem Seitenaufruf technisch Ihre IP-Adresse und den Abruf. Zum Schutz vor Missbrauch, etwa dem massenhaften Ausprobieren von Links, begrenzen wir die Zahl der Aufrufe je IP-Adresse; dafür verwenden wir die IP-Adresse nur als verschlüsselten Prüfwert, nie im Klartext, und löschen ihn spätestens nach einem Tag. Die Patientenseite setzt keine Cookies, bindet keine Dienste Dritter ein und erstellt keine Nutzungsprofile; im Speicher des Browsers legt sie nur bei Plänen mit Passwort einen Freischalt-Eintrag ab (siehe „Passwortschutz“). Wir zählen nur, wie oft ein Plan insgesamt und je Tag aufgerufen wurde, ohne Bezug zu Personen; die Praxis sieht die Gesamtzahl. Bei ungewöhnlich vielen Aufrufen eines Links erhält unsere Verwaltung einen Hinweis. Wird die Seite auf dem Startbildschirm abgelegt, speichert allein Ihr Gerät die Verknüpfung. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren Auslieferung der Übungen, die Ihre Praxis Ihnen bereitstellt (Art. 6 Abs. 1 lit. f DSGVO).

Passwortschutz: Praxen können einen Plan zusätzlich mit einem Passwort schützen. Das Passwort speichern wir nie im Klartext, sondern nur als nicht umkehrbaren Prüfwert (Hash mit zufälligem Salz und einem gesondert verwahrten Schlüssel); weder die Praxis noch wir können es später einsehen. Nach der richtigen Eingabe legt die Patientenseite im Speicher Ihres Browsers einen Freischalt-Eintrag für diesen Plan ab: mit „Auf diesem Gerät merken“ (voreingestellt) im Local Storage für 90 Tage, damit Sie das Passwort nicht bei jedem Aufruf eingeben müssen, sonst im Session Storage nur bis zum Schließen des Tabs. Die Seite sendet ihn nur bei Anfragen zu diesem Plan an uns, damit wir die Freischaltung prüfen können; er enthält weder das Passwort noch Angaben zu Ihrer Person. Sie können ihn jederzeit in den Browsereinstellungen löschen; ändert die Praxis das Passwort, wird er ungültig. Zum Schutz vor dem Durchprobieren zählen wir falsche Eingaben je Plan und je verschlüsseltem Prüfwert der IP-Adresse (nie die IP-Adresse im Klartext) und sperren die Eingabe nach mehreren Fehlversuchen vorübergehend; diese Zähler löschen wir spätestens zwei Tage nach dem letzten Fehlversuch. Bei sehr vielen Fehlversuchen an einem Tag erhalten unsere Verwaltung und die Praxis einen Hinweis ohne IP-Adresse. Rechtsgrundlage ist unser berechtigtes Interesse und das der Praxis an einem geschützten Zugang zum Übungsplan (Art. 6 Abs. 1 lit. f DSGVO); der Freischalt-Eintrag ist für den von Ihnen gewünschten Zugang unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Logo, Praxisname und Kontakt: Lädt eine Praxis ein Logo hoch oder hinterlegt sie einen Praxisnamen, eine Telefonnummer oder eine Website, speichern wir diese Angaben und zeigen sie auf ihren Patientenseiten. Beim Logo prüfen wir Dateityp und Größe und nehmen nur PNG, JPEG und WebP an.

8b. Praxis-Team

Die Inhaberin bzw. der Inhaber eines Kundenkontos und die Praxis-Admins können Personen, die für die Praxis tätig sind, per E-Mail in das Team einladen. Dafür verarbeiten wir die angegebene E-Mail-Adresse und die vorgesehene Rolle (Mitarbeitende oder Praxis-Admin) und senden eine Einladung mit einem Link, der sieben Tage gültig ist. Nach der Annahme speichern wir zu jedem Team-Zugang die E-Mail-Adresse, die Rolle, die Zeitpunkte von Einladung, Annahme und letzter Anmeldung sowie wie unter Nr. 4 Downloads und verschlüsselte Prüfwerte zum Netzbereich; Grenzen und Hinweise auf geteilte Zugänge gelten je Person. Die Inhaberin bzw. der Inhaber und die Praxis-Admins sehen im Konto, wer zum Team gehört, mit welcher Rolle und wann sich jemand zuletzt angemeldet hat; bei Patientenlinks sieht das Team, wer sie angelegt hat. Rechtsgrundlagen sind die Vertragsdurchführung mit der Praxis (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse, Zugänge einer Praxis zuzuordnen und vor Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Wer aus einem Team entfernt wird, behält einen leeren Zugang ohne Praxis; auf Wunsch löschen wir ihn.

8c. Planverkauf

Nutzt eine Praxis den Planverkauf, verarbeiten wir im Auftrag der Praxis je Übungsplan nur Preis, Zahlungsanbieter, Zahlungsnummer, Zahlungsstatus, Zeitpunkte und Betrag. Namen, E-Mail-Adressen und Zahlungsdaten der Patientinnen und Patienten erhebt allein der Zahlungsdienst der Praxis. An ihn übermitteln wir nur den Betrag und die neutrale Bezeichnung „Übungsplan“ mit Plan-Nummer, dazu technisch die Adresse, auf die er nach der Zahlung zurückleitet. Die API-Schlüssel der Praxis speichern wir verschlüsselt. Für die Belege der Praxis speichern wir deren Steuerangaben (Art der Umsatzsteuerbehandlung, auf Wunsch Steuernummer, USt-IdNr. und Hinweistext) und die Beauftragung mit Textfassung, Zeitpunkt und Person. Je Verkauf erstellen wir im Namen der Praxis einen Beleg mit fortlaufender Nummer, Datum, Betrag, Steuer und Plan-Nummer, ohne Angaben zur Patientin oder zum Patienten. Die Patientin bzw. der Patient kann ihren bzw. seinen Beleg über einen nicht erratbaren Link abrufen. Nicht bezahlte Zahlungsvorgänge löschen wir nach 90 Tagen, bezahlte wegen handels- und steuerrechtlicher Pflichten nach zehn Jahren, Belege bis zum Ablauf von zehn Jahren nach dem Ende des Ausstellungsjahres (Belege aus dem Testmodus nach 90 Tagen). Ist eine Rechnung für die Gebühren des Planverkaufs überfällig, senden wir der Inhaberin bzw. dem Inhaber Erinnerungen per E-Mail und pausieren neue Verkäufe; dazu nutzen wir Rechnungs- und Zahlungsdaten (Art. 6 Abs. 1 lit. b DSGVO). Zu jedem Patientenlink speichern wir das Datum des letzten Aufrufs und die Zahl der Aufrufe je Tag (ohne IP-Adresse oder andere Personenbezüge). Tageszähler löschen wir nach 90 Tagen. Pläne, die zwölf Monate lang weder aufgerufen noch geändert wurden, archivieren wir automatisch. Die Praxis kann sie jederzeit wiederherstellen oder löschen.

Auftragsverarbeitung: Mit der Aktivierung des Planverkaufs verarbeiten wir zusätzlich Zahlungsstatusdaten zu Übungsplänen im Auftrag der Praxis (Art. 28 DSGVO): Plan-Nummer, Betrag, Zahlungsanbieter, Zahlungsnummer, Status und Zeitpunkte. Gesundheitsdaten, Plantitel und Namen übermitteln wir nie an Zahlungsdienste. Der Zahlungsdienst (Mollie oder Stripe) ist kein Unterauftragsverarbeiter von uns. Die Praxis beauftragt ihn selbst und schließt mit ihm eigene Verträge. Technische Maßnahmen: verschlüsselte Speicherung der API-Schlüssel mit gesondertem Schlüssel, Anzeige nur der letzten vier Zeichen, Zugriff nur für die Inhaberin bzw. den Inhaber, Protokoll der Freischaltungen von Hand.

9. Hosting, Datenbank und Speicher

Website, Kundenkonto, Datenbank und Dateien betreiben wir bei der Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. Personenbezogene Daten in Datenbank und Dateispeicher liegen in Rechenzentren in Europa. Mit Cloudflare besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Für die Fehlersuche speichert Cloudflare technische Protokolle der Anwendung (Zeitpunkt, aufgerufene Adresse, Statuscode, Fehlermeldungen, keine Inhalte Ihrer Eingaben und keine Inhalte von E-Mails) höchstens sieben Tage.

10. Kontakt

Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, sonst unser berechtigtes Interesse an der Beantwortung (Art. 6 Abs. 1 lit. f DSGVO).

10a. Feedback aus dem Kundenkonto

Über „Feedback geben“ im Kundenkonto können Sie uns Rückmeldungen schicken. Wir speichern Ihren Text, die gewählte Kategorie und Animation, falls angegeben, Ihr Kundenkonto und den Zeitpunkt und leiten die Rückmeldung per E-Mail an uns weiter. Bitte schreiben Sie keine Angaben zu Patientinnen und Patienten oder zu Ihrer Gesundheit hinein. Wir nutzen Rückmeldungen, um die Bibliothek zu verbessern, und löschen sie nach zwei Jahren. Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO).

10b. Animation anfragen

Über „Animation anfragen“ können Sie uns mitteilen, welche Animation Ihnen fehlt, auf unserer Website ohne Kundenkonto oder im Kundenkonto. Wir speichern den Text Ihrer Anfrage (Titel und Beschreibung), die gewählte Körperregion und Art, falls angegeben, sowie Datum und Uhrzeit und den Bearbeitungsstand. Ohne Kundenkonto speichern wir weder Ihren Namen noch Ihre E-Mail-Adresse noch Ihre IP-Adresse; zum Schutz vor Missbrauch begrenzen wir die Zahl der Anfragen je IP-Adresse und verwenden sie dafür nur als verschlüsselten Prüfwert, den wir nach einem Tag löschen. Stellen Sie die Anfrage im Kundenkonto, ordnen wir sie Ihrer Praxis und Ihrem Zugang zu; Sie und Ihr Praxis-Team sehen dort den Stand, und wenn die Animation fertig ist, können wir Ihnen eine E-Mail schicken. Bitte tragen Sie keine Namen oder Gesundheitsdaten von Patientinnen und Patienten ein. Wir nutzen die Anfragen, um zu entscheiden, welche Animationen wir neu zeichnen, und fassen ähnliche Wünsche zusammen. Umgesetzte und abgelehnte Anfragen löschen wir 24 Monate nach der Erledigung. Rechtsgrundlage ist unser berechtigtes Interesse, unser Angebot nach dem Bedarf unserer Kundschaft weiterzuentwickeln (Art. 6 Abs. 1 lit. f DSGVO), bei Anfragen aus dem Kundenkonto auch die Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO).

11. Cookies und Speicher im Browser

Ohne Ihre Einwilligung verwenden wir ausschließlich ein technisch notwendiges Cookie: das Anmelde-Cookie „pa_sitzung“, das Sie nach der Anmeldung im Kundenkonto angemeldet hält. Es bleibt bis zu 30 Tage gespeichert, bis Sie sich abmelden oder die Sitzung abläuft; es enthält nur einen zufälligen Wert, den wir bei uns verschlüsselt speichern. Dafür ist keine Einwilligung erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Cookies für Statistik und Werbung setzen die unter Nr. 11b und 11c genannten Dienste nur mit Ihrer Einwilligung (Nr. 11a). Die Patientenseite (Nr. 8a) setzt gar keine Cookies.

Im Speicher Ihres Browsers (Local Storage bzw. Session Storage) legen wir nur ab, was Sie selbst auslösen und was für die von Ihnen gewünschte Funktion nötig ist. Dafür ist keine Einwilligung erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Die Angaben verlassen Ihren Browser nicht, wir übermitteln sie nicht an uns oder Dritte. Einzige Ausnahme ist der Freischalt-Eintrag eines Übungsplans mit Passwort, den die Patientenseite bei Anfragen zu diesem Plan an uns sendet, damit wir die Freischaltung prüfen können (Nr. 8a). Sie können alle Einträge jederzeit in den Browsereinstellungen löschen. Einträge im Session Storage verschwinden mit dem Schließen des Tabs.

11a. Einwilligung und Widerruf (Cookie-Einstellungen)

Beim ersten Aufruf unserer öffentlichen Seiten fragen wir, ob Sie Google Analytics und den Meta-Pixel erlauben. „Alle akzeptieren“ und „Nur notwendige“ sind gleichwertig; unter „Einstellungen“ können Sie Statistik (Google Analytics) und Marketing (Meta-Pixel) einzeln wählen. Vor Ihrer Einwilligung laden wir nichts von Google oder Meta. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft über den Link „Cookie-Einstellungen“ unten auf jeder Seite widerrufen oder ändern; beim Widerruf löschen wir die Cookies der Dienste, soweit der Browser das zulässt, und laden die Seite neu. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Ihre Entscheidung speichern wir im Browser (Nr. 11) und fragen nach 12 Monaten erneut. Auf Patientenseiten, im Kundenkonto und in eingebetteten Animationen binden wir diese Dienste nie ein.

11b. Google Analytics 4 (Statistik)

Mit Ihrer Einwilligung nutzen wir Google Analytics 4 der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“), um zu verstehen, wie unsere Seiten genutzt werden, und um den Erfolg unserer Werbung zu messen. Google setzt dafür Cookies („_ga“, „_ga_…“, bei uns höchstens 12 Monate) und verarbeitet Angaben zu Ihrem Besuch: aufgerufene Seiten und deren Titel, Herkunft (verweisende Seite, Kampagnenangaben im Link), Zeitpunkt, ungefährer Standort, Browser, Betriebssystem und Gerät sowie Ereignisse wie Kassenstart, Kauf (Bestellnummer, Betrag), Anfrage und Anmeldung. Nach Angaben von Google werden IP-Adressen von Nutzenden in der EU nicht gespeichert, sondern nur zur Ableitung des ungefähren Standorts verwendet und danach sofort gelöscht. Wir übermitteln keine Namen, E-Mail-Adressen oder Inhalte von Formularen und senden Adressen ohne Zusätze wie Codes oder Tokens. Google-Signale und personalisierte Werbung sind ausgeschaltet; Werbesignale geben wir nur weiter, wenn Sie zusätzlich „Marketing“ erlauben. Die Daten bewahrt Google 14 Monate auf.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Google verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO). Dabei ist eine Übermittlung an die Google LLC in den USA möglich; sie ist durch den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework abgesichert (Art. 45 DSGVO), unter dem Google LLC zertifiziert ist. Mehr in der Datenschutzerklärung von Google.

11c. Meta-Pixel (Marketing)

Mit Ihrer Einwilligung nutzen wir den Meta-Pixel der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland („Meta“), um zu messen, ob unsere Anzeigen auf Instagram und Facebook zu Besuchen, Anfragen und Käufen führen. Dabei lädt Ihr Browser ein Skript von Meta, setzt Cookies („_fbp“, bei Aufruf über eine Anzeige auch „_fbc“, jeweils 90 Tage) und übermittelt an Meta die aufgerufene Seite, Zeitpunkt, Browser- und Geräteangaben, Ihre IP-Adresse sowie Ereignisse wie Kassenstart, Kauf (Betrag), Anfrage und Anmeldung. Meta kann diese Angaben Ihrem Konto bei Instagram oder Facebook zuordnen, wenn Sie dort angemeldet sind. Einen automatischen Abgleich weiterer Daten (etwa E-Mail-Adressen) nutzen wir nicht.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Für die Erhebung der Daten auf unserer Website und ihre Übermittlung an Meta sind wir und Meta gemeinsam verantwortlich (Art. 26 DSGVO); die Einzelheiten regelt der Zusatz für Verantwortliche von Meta. Danach informieren wir Sie über die gemeinsame Verarbeitung, Meta beantwortet Anfragen zur weiteren Verarbeitung; Sie können Ihre Rechte bei beiden geltend machen. Für die weitere Verarbeitung nach der Übermittlung ist Meta allein verantwortlich. Meta übermittelt Daten auch an die Meta Platforms, Inc. in den USA; das ist durch den Angemessenheitsbeschluss zum EU-US Data Privacy Framework abgesichert (Art. 45 DSGVO), unter dem Meta Platforms, Inc. zertifiziert ist. Mehr in der Datenrichtlinie von Meta.

12. Empfänger und Drittländer

Unsere Dienstleister verarbeiten Daten in unserem Auftrag und nach unseren Weisungen; Mollie handelt bei der Zahlung als eigenständiger Verantwortlicher. Rechnungs- und Buchungsdaten erhalten außerdem unsere Steuerberatung und, soweit gesetzlich vorgeschrieben, die Finanzbehörden. Für die Prüfung der USt-IdNr. (Nr. 3) übermitteln wir diese an die Europäische Kommission (VIES).

Soweit Daten in die USA gelangen können, erfolgt dies auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO) oder der EU-Standardvertragsklauseln (Art. 46 DSGVO).

13. Speicherdauer

Wir speichern Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist:

14. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Einer Verarbeitung auf Grundlage unseres berechtigten Interesses können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen (Art. 21 DSGVO). Eine formlose Nachricht an info@niklaspape.de genügt.

Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein, Holstenstraße 98, 24103 Kiel.