Datenschutzerklärung

1. Verantwortlicher und Datenschutzkontakt

Verantwortlicher

[Betreibername oder Firma noch nicht angegeben] · [Rechtsform noch nicht angegeben]

Vertretung

[Vertretungsberechtigte Person noch nicht angegeben]

Anschrift

[Ladungsfähige Anschrift noch nicht angegeben]

E-Mail

[E-Mail-Adresse noch nicht angegeben]

Telefon

[Telefonnummer noch nicht angegeben]

Datenschutzkontakt

[Datenschutzkontakt noch nicht angegeben]

Die tatsächliche verantwortliche Stelle und ein erreichbarer Datenschutzkontakt müssen vor der öffentlichen Freigabe bestätigt und eingetragen werden.

2. Hosting und technische Serverprotokolle

Die Anwendung läuft in einer containerisierten Serverumgebung mit Webserver, PHP-Anwendung und einer nicht öffentlich freigegebenen PostgreSQL-Datenbank. Als Hostinganbieter ist derzeit nur folgender Platzhalter hinterlegt:

[Hostinganbieter noch nicht angegeben]

Bei einem Aufruf können technisch erforderliche Verbindungsdaten anfallen, insbesondere IP-Adresse, Zeitpunkt, HTTP-Methode, aufgerufener Pfad, Antwortstatus und Browser- beziehungsweise User-Agent-Angaben. Der vorgeschaltete Webserver schreibt Zugriffsprotokolle in die Container-Ausgabe; die Anwendung kann Fehler und technische Ereignisse in lokale Anwendungsprotokolle schreiben. Diese Daten dienen dem Betrieb, der Fehleranalyse und der Abwehr von Missbrauch.

Als vorläufige Rechtsgrundlage kommt Art. 6 Abs. 1 Buchst. f DSGVO (Interesse an sicherem und funktionsfähigem Betrieb) in Betracht. Interessenabwägung, konkrete Protokollinhalte, Zugriffsberechtigte und Löschfristen müssen vor dem Produktivbetrieb dokumentiert und rechtlich bestätigt werden.

3. Technisch notwendige Session- und Sicherheitscookies

Laravel setzt einen Session-Cookie und einen CSRF-Schutzwert ein. Sie halten die Sitzung zusammen, schützen Formulare vor gefälschten Anfragen, ermöglichen Login und MFA und speichern beim öffentlichen Fragebogen vorübergehend den Bearbeitungsstand. Der Session-Cookie ist für JavaScript nicht lesbar und standardmäßig mit SameSite=Lax konfiguriert.

Der Code enthält keine Analyse-, Werbe- oder Trackingdienste und keine sonstigen nicht notwendigen Cookies. Deshalb ist derzeit kein Einwilligungsbanner implementiert. Die technisch notwendigen Speicherungen werden vorläufig auf § 25 Abs. 2 Nr. 2 TDDDG und, soweit personenbezogene Daten verarbeitet werden, auf Art. 6 Abs. 1 Buchst. f DSGVO beziehungsweise die für den jeweils angeforderten Dienst einschlägige Grundlage gestützt. Diese Einordnung ist rechtlich zu bestätigen.

4. Login, MFA und Kontoverwaltung

Für Administratoren und Teampartner verarbeitet die Anwendung Name, E-Mail-Adresse, Passwort-Hash, Rolle, Kontostatus sowie Zeitstempel. Bei Teampartnern kommen Vor- und Nachname, Geburtsdatum, Telefonnummer, optional eine Adresse und der Erfahrungsstand hinzu. Passwörter werden nur als Hash gespeichert.

Für die verpflichtende Zwei-Faktor-Authentifizierung werden ein verschlüsseltes TOTP-Geheimnis, verschlüsselte Wiederherstellungscodes und der Bestätigungszeitpunkt gespeichert. Serverseitige Sessions können außerdem Benutzer-ID, IP-Adresse, User-Agent, Sitzungsinhalt und letzte Aktivität enthalten. Login und MFA-Challenge sind rate-limitiert.

Die Daten dienen der Kontoführung, Zugangssicherung und rollenbasierten Bereitstellung des Portals. Ob Art. 6 Abs. 1 Buchst. b DSGVO wegen eines Vertrags oder vorvertraglicher Maßnahmen greift, hängt vom noch zu bestätigenden Betreiber- und Vertragsmodell ab. Ergänzend kann Art. 6 Abs. 1 Buchst. f DSGVO für Zugangs- und Missbrauchsschutz in Betracht kommen. Die endgültige Zuordnung ist offen.

5. Öffentliche Teampartnerregistrierung

Die öffentliche Teampartnerregistrierung ist nur über einen nicht erratbaren Teampartnerlink erreichbar. Die Anwendung ordnet die Upline ausschließlich serverseitig aus diesem Link zu. Gespeichert werden Vorname, Nachname, normalisierte E-Mail-Adresse, Geburtsdatum, Telefonnummer, optional eine frei eingegebene Adresse, der Passwort-Hash, die Upline und der Registrierungsbezug. Das Konto beginnt unbestätigt im Status „ausstehend“.

Eine zeitlich begrenzte signierte E-Mail bestätigt zunächst nur die E-Mail-Adresse. Erst danach kann ein Administrator die Teampartnerregistrierung freigeben oder ablehnen. Bei Freigabe entstehen Kundenlink und Teampartnerlink. Abweichende Upline-Zuordnungen werden mit bisheriger und neuer Upline, handelndem Administrator, Grund und Zeitpunkt protokolliert.

Die Verarbeitung dient der Bearbeitung der selbst angeforderten Registrierung und der späteren Kontoverwaltung. Als mögliche Grundlage kommt Art. 6 Abs. 1 Buchst. b DSGVO in Betracht, wenn dies eine vorvertragliche Maßnahme oder Vertragserfüllung ist; andernfalls muss vor Freigabe eine passende Grundlage festgelegt und transparent beschrieben werden.

6. Teilnehmerlink, Kontaktdaten und Einreichung

Ein nicht erratbarer Kundenlink ordnet den Fragebogen serverseitig einem aktiven Teampartner zu. Der Kundenlink kann dabei von einem Administrator- oder Teampartnerkonto ausgegeben werden. Während der Bearbeitung liegen Linkzuordnung, Fragebogenversion und Antworten vorübergehend in der Sitzung. Beim Absenden speichert die Anwendung Name, E-Mail-Adresse, Telefonnummer, Tagesbudget, Beratungsinteresse, WhatsApp-Zustimmung, Zeitpunkt, Bearbeitungsstatus, verwendete Fragebogenversion, den zuständigen Teampartner und sämtliche Antworten atomar in der Datenbank.

Die Kontaktdaten dienen der Bearbeitung des Vitalchecks und der angeforderten Kontaktaufnahme. Für allgemeine Kontaktdaten und Ablaufdaten muss die Rechtsgrundlage anhand des tatsächlichen Leistungs- und Einwilligungsmodells bestätigt werden; je nach Ausgestaltung kommen Art. 6 Abs. 1 Buchst. a oder b DSGVO in Betracht.

7. Gesundheitsbezogene Antworten und Art. 9 DSGVO

Die Fragen betreffen unter anderem Beschwerden, Allergien, Verdauung, Schlaf, Gewicht, psychisches Befinden und sonstige gesundheitliche Umstände. Diese Antworten können Gesundheitsdaten und damit besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO sein. Der optionale Kinderbereich kann zusätzlich Angaben über ein Kind oder Enkelkind und damit Daten einer weiteren Person erfassen.

Eine tragfähige Ausnahme nach Art. 9 Abs. 2 DSGVO muss vor dem öffentlichen Einsatz festgelegt werden. Soweit die Verarbeitung auf ausdrückliche Einwilligung gestützt werden soll, kommen Art. 6 Abs. 1 Buchst. a und Art. 9 Abs. 2 Buchst. a DSGVO in Betracht; dafür ist eine gesonderte, informierte und ausdrücklich bestätigte Erklärung erforderlich. Gesundheitsbezogene Antworten werden nicht pauschal auf berechtigte Interessen gestützt. Auch Zulässigkeit, Information und Einwilligung bei Angaben über Kinder oder andere Dritte sind gesondert zu prüfen.

8. Zuordnung zum Teampartner, Portalzugriff und Auswertung

Der über den Kundenlink zugeordnete Teampartner und aktive Administratoren können Teilnehmerkontaktdaten, Antworten und Bearbeitungsstatus im geschützten Portal einsehen. Ein Teampartnerkonto sieht ausschließlich die eigenen zugeordneten Einreichungen und seine aktive Downline; Einreichungen über einen Administratorlink erscheinen nicht in einer Teampartneransicht. Nur erfahrene zuständige Teampartner oder Administratoren dürfen eine Auswertung speichern; unerfahrene Teampartner können ihre Einreichungen sehen, aber nicht verbindlich abschließen. Auswertungsnotizen, Bearbeiter und Abschlusszeitpunkt werden gespeichert.

Diese interne Offenlegung ist Bestandteil der angeforderten Bearbeitung. Rollen, Vertraulichkeitspflichten, Berechtigungskonzept und Rechtsgrundlage müssen organisatorisch ergänzt und rechtlich bestätigt werden.

9. E-Mail-Benachrichtigungen

Die Anwendung reiht notwendige Bestätigungs- und persönliche Entscheidungs-E-Mails sowie optionale Ereignis-E-Mails zu Einreichungen, Teampartnerregistrierungen, Freigabeanforderungen und Teampartnerentscheidungen ein. Aktive Administratoren können die optionalen Kategorien für ihr eigenes Konto deaktivieren. Upline, zuständiger Teampartner und Administratoren werden nach Ereignis und Empfänger dedupliziert.

Einreichungs-E-Mails melden nur den Vorgang und verweisen auf den geschützten Login. Sie enthalten weder Teilnehmernamen und Kontaktdaten noch Fragebogenantworten oder Gesundheitswerte. Technische Zustellmetadaten wie Ereignisart, Empfängerkonto, Benachrichtigungsklasse und Einreihungszeitpunkt werden zur Deduplizierung gespeichert.

Die Produktivkonfiguration versendet diese Nachrichten über ein bestehendes Host-Europe-Postfach mittels authentifiziertem, verschlüsseltem SMTP. Dabei verarbeitet der Mailanbieter technisch erforderliche Versanddaten, insbesondere Absender- und Empfängeradresse, Betreff, den datenarmen Nachrichteninhalt sowie Zustellmetadaten. Das SMTP-Passwort und die kontrollierte Testadresse werden in der Anwendung verschlüsselt gespeichert und nicht in der Oberfläche ausgegeben.

Die technische Inbetriebnahme und der kontrollierte Zustellnachweis ersetzen keine rechtliche Freigabe. Auftragsverarbeitungsvertrag, Datenstandorte, Unterauftragnehmer, mögliche Drittlandübermittlungen, Rechtsgrundlagen und Löschfristen müssen weiterhin fachkundig geprüft und in dieser Erklärung abschließend ergänzt werden.

Kontaktformular für persönliche Beratung

Über das Kontaktformular auf der Startseite werden Name und E-Mail-Adresse sowie eine freiwillige Nachricht verarbeitet, um die selbst angefragte persönliche Beratung mit Anja zu ermöglichen. Die Anfrage wird ausschließlich an die dafür bestätigte Empfängeradresse von Anja über den bestehenden Host-Europe-Versandweg gesendet. Die Besucheradresse dient als Antwortadresse; eine automatische E-Mail an den Besucher wird nicht versandt.

Der Versandauftrag wird verschlüsselt in der internen Warteschlange gespeichert. Nach erfolgreicher Verarbeitung wird er entfernt; ausgeschöpfte Versandfehler verbleiben für einen kontrollierten Wiederholungsversuch in der bestehenden Fehlerwarteschlange. Technische Kennungen begrenzen Mehrfachversand. Bei korrigierbaren Formularfehlern bleiben Eingaben vorübergehend in der Sitzung. Eine Annahmebestätigung auf der Website bestätigt die Einreihung, nicht den Eingang im Postfach.

Das Kontaktformular erzeugt weder ein Benutzerkonto noch eine Vitalcheck-Einreichung oder einen persönlichen Teilnehmerlink. Die offenen Festlegungen zu Rechtsgrundlagen und Löschfristen gelten auch für diese Kontaktanfragen und die bei Anja empfangenen Nachrichten.

10. Telefonnummer und WhatsApp-Zustimmung

Am Teilnehmerabschluss ist die Telefonnummer Pflichtfeld. Zusätzlich wird eine nicht vorausgewählte Zustimmung zur Kontaktaufnahme und möglichen Einladung über WhatsApp verlangt und als Ja/Nein-Wert gespeichert. Der endgültige Einwilligungstext und die Verantwortlichkeiten für eine spätere Kontaktaufnahme sind noch festzulegen.

Aktuell ist keine automatische Übertragung an WhatsApp oder die WhatsApp Cloud API implementiert. Die Anwendung versendet keine WhatsApp-Nachrichten und übermittelt Telefonnummern oder Antworten nicht automatisch an WhatsApp. Ein späterer manueller oder automatisierter WhatsApp-Prozess wäre getrennt zu dokumentieren und rechtlich zu prüfen.

11. Empfänger und Auftragsverarbeiter

Nach dem belegbaren Stand erhalten nur folgende Stellen Zugriff beziehungsweise technische Daten:

• der jeweils zuständige Teampartner auf die ihm zugeordneten Einreichungen,
• aktive Administratoren auf Konten, Fragebögen und Einreichungen,
• der noch einzutragende Hostinganbieter im technisch erforderlichen Umfang: [Hostinganbieter noch nicht angegeben],
• Host Europe als technischer Mailanbieter für den Versand der unter Abschnitt 9 beschriebenen Nachrichten.

Die vertragliche Einordnung von Host Europe, konkrete Datenstandorte, Unterauftragnehmer und mögliche Drittlandübermittlungen sind noch zu bestätigen. Es gibt keine automatische WhatsApp-Übertragung, keine externen QR-Dienste, keine extern eingebundenen Schriftarten und keine Tracking- oder Analysedienste. Weitere Empfänger oder Auftragsverarbeiter werden nicht behauptet und müssten vor ihrem Einsatz ergänzt werden.

12. Speicherdauer

Für Konten, Teampartnerprofile, Kundenlinks, Teampartnerlinks, Teampartnerregistrierungen, Upline-Änderungsprotokolle, Benachrichtigungsmetadaten, Einreichungen, Antworten, Auswertungen und Anwendungsprotokolle bestehen noch keine verbindlich festgelegten Aufbewahrungs- und Löschfristen. Der Code enthält derzeit keine fachliche automatische Löschroutine für diese Daten. Sie bleiben deshalb technisch gespeichert, bis eine berechtigte Stelle sie im Rahmen des noch zu erstellenden Löschkonzepts entfernt oder eine gesetzliche Pflicht die Aufbewahrung verlangt.

Die Session-Gültigkeit ist standardmäßig auf 120 Minuten Inaktivität eingestellt; die tatsächliche Entfernung serverseitiger Sitzungsdatensätze erfolgt durch den Framework-Bereinigungsmechanismus und ist im Betrieb zu verifizieren. Für Webserver- und Anwendungsprotokolle ist ebenfalls eine konkrete, kurze Löschfrist festzulegen.

13. Widerruf von Einwilligungen

Eine Einwilligung kann mit Wirkung für die Zukunft über den oben genannten Datenschutzkontakt widerrufen werden. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt. Der aktuelle Code bietet noch keinen automatisierten Widerrufs- oder Löschprozess. Das Verfahren zur Zuordnung, Sperrung und Löschung nach einem Widerruf muss vor der öffentlichen Freigabe festgelegt werden.

Dies betrifft insbesondere die gespeicherte WhatsApp-Zustimmung. Eine gesonderte ausdrückliche Einwilligung für Gesundheitsdaten ist noch nicht implementiert und muss, falls sie als Rechtsgrundlage dienen soll, einen ebenso klaren Widerrufsweg erhalten.

14. Betroffenenrechte und Beschwerderecht

Betroffene Personen können im Rahmen der gesetzlichen Voraussetzungen insbesondere Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch verlangen. Bei einer auf Einwilligung beruhenden Verarbeitung besteht außerdem das Recht zum Widerruf mit Wirkung für die Zukunft.

Anfragen sind an den oben genannten Datenschutzkontakt zu richten. Zudem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Die für den noch zu bestätigenden Betreiber zuständige Behörde ist derzeit:

[Zuständige Datenschutzaufsichtsbehörde noch nicht angegeben]

15. Technische Schutzmaßnahmen

Der Quellcode setzt unter anderem Passwort-Hashing, verschlüsselte MFA-Geheimnisse und Wiederherstellungscodes, CSRF-Schutz, Login- und Formular-Limits, aktive Kontostatus, Rollen- und Zuständigkeitsprüfungen, nicht erratbare Kunden- und Teampartnerlinks sowie eine intern abgeschottete Datenbank ein. QR-Codes entstehen serverseitig ohne Übermittlung an einen QR-Dienst. Benachrichtigungen enthalten keine Gesundheitsantworten.

Diese Maßnahmen reduzieren Risiken, garantieren aber keine vollständige Sicherheit oder Rechtskonformität. Öffentliche Domain und TLS-Betrieb sind technisch eingerichtet; organisatorische Zugriffsregeln, Auftragsverarbeitungsverträge, Löschkonzept und eine abschließende Sicherheits- und Datenschutzprüfung stehen noch aus.

16. Aktualisierung dieser Erklärung

Diese Erklärung wird angepasst, sobald Betreiberdaten, Rechtsgrundlagen, Einwilligungen, Löschfristen, Hosting- oder Mailanbieter und weitere tatsächliche Verarbeitungsvorgänge feststehen. Wesentliche Änderungen müssen vor dem öffentlichen Einsatz erneut technisch und rechtlich geprüft werden.

Stand dieses Entwurfs: 6. September 2026