Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und weiterer nationaler Datenschutzgesetze ist:

Thomas Raba
Am Hochrain 5
86643 Rennertshofen
Deutschland
E-Mail: [email protected]

2. Rollen bei der Datenverarbeitung

kursbar ist eine Software, mit der Yoga-Trainerinnen und kleine Studios ihre Kurse und Teilnehmenden verwalten. Daraus ergeben sich zwei Rollen:

• Für diese Website und den Zugang der Trainerin ist der oben genannte Verantwortliche datenschutzrechtlich verantwortlich.
• Für die Daten der Kursteilnehmenden, die eine Trainerin in kursbar verwaltet (z. B. Kontaktdaten, Anwesenheit, Teilnahmebescheinigungen, Angaben zur Krankenkasse), ist die jeweilige Trainerin bzw. das Studio Verantwortlicher. Dazu gehört auch der Zugang, mit dem sich Teilnehmende anmelden, samt E-Mail-Adresse: Jeder Zugang einer teilnehmenden Person gehört bei kursbar zu genau einem Studio. kursbar verarbeitet diese Daten ausschließlich als Auftragsverarbeiter auf Grundlage eines Vertrags zur Auftragsverarbeitung gemäß Art. 28 DSGVO und nach Weisung der Trainerin. Die Vertragsbedingungen sind in der Vereinbarung zur Auftragsverarbeitung (AVV) einsehbar.

3. Ihre Rechte als betroffene Person

Ihnen stehen gegenüber dem Verantwortlichen hinsichtlich Ihrer personenbezogenen Daten die folgenden Rechte zu:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Recht auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen das Recht auf Beschwerde bei einer Aufsichtsbehörde zu. Die für uns zuständige Aufsichtsbehörde ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach
https://www.lda.bayern.de

4. Hosting

Diese Website und die Anwendung werden bei der Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA, gehostet. Beim Aufruf der Seiten verarbeitet Vercel technische Verbindungsdaten, um die Auslieferung der Inhalte zu ermöglichen. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und effizienten Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Mit Vercel besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Da eine Verarbeitung in den USA stattfinden kann, ist diese durch geeignete Garantien (EU-Standard­ vertragsklauseln gemäß Art. 46 DSGVO bzw. eine Zertifizierung unter dem EU-US Data Privacy Framework) abgesichert.

Server-Logfiles

Bei jedem Zugriff werden automatisch Informationen in sogenannten Server-Logfiles erfasst, die Ihr Browser übermittelt. Dies sind insbesondere: IP-Adresse, Datum und Uhrzeit der Anfrage, aufgerufene URL, übertragene Datenmenge, Referrer-URL sowie Browser- und Betriebssystem-Angaben. Diese Daten sind technisch erforderlich, um die Website anzuzeigen und ihre Stabilität und Sicherheit zu gewährleisten (Art. 6 Abs. 1 lit. f DSGVO).

Reichweitenmessung (ohne Cookies)

Um zu verstehen, wie unsere Seiten genutzt werden, und um Ladezeiten zu verbessern, setzen wir die Dienste Web Analytics und Speed Insights von Vercel ein. Beim Aufruf einer Seite werden dabei die aufgerufene URL, die Referrer-URL, Geräte- und Browsertyp, Betriebssystem, das aus der IP-Adresse abgeleitete Land sowie bei Speed Insights technische Messwerte zu Ladezeit und Darstellung (sogenannte Web Vitals) verarbeitet.

Dabei werden keine Cookies gesetzt. Wiederkehrende Aufrufe werden nur innerhalb eines Tages über einen Hashwert aus Merkmalen der Anfrage erkannt, der nach 24 Stunden verworfen wird. Eine Zusammenführung über mehrere Tage oder über andere Websites hinweg findet nicht statt. Wir erhalten ausschließlich zusammengefasste Statistiken und können daraus keine einzelnen Personen erkennen.

Rechtsgrundlage ist unser berechtigtes Interesse an einer bedarfsgerechten Gestaltung und technischen Optimierung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO). Vercel ist hierbei als Auftragsverarbeiter tätig; zur Verarbeitung in den USA gelten die oben genannten Garantien. Sie können der Verarbeitung nach Art. 21 DSGVO widersprechen.

5. Datenbank, Authentifizierung und Speicher (Supabase)

Zur Speicherung von Zugangs- und Anwendungsdaten, zur Anmeldung/Authentifizierung sowie zur Ablage von Dateien nutzen wir die Plattform Supabase (Supabase Inc., 970 Toa Payoh North #07-04, Singapur). Das Hosting der Daten erfolgt in der Region EU (Frankfurt am Main, Deutschland); die Daten verbleiben damit im Europäischen Wirtschaftsraum. Mit Supabase besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Verarbeitet werden je nach Funktion z. B. Anmeldedaten, Stammdaten, Kurs- und Teilnehmerdaten. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO) bzw. unser berechtigtes Interesse am sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Der Zugriff auf personenbezogene Daten ist durch Zeilenebene-Sicherheit (Row Level Security) technisch abgesichert, so dass jede Trainerin grundsätzlich nur auf die eigenen Daten und jede:r Teilnehmende nur auf die eigenen Daten zugreifen kann.

6. Zugang und Anmeldung

Für die Nutzung von kursbar ist ein Zugang erforderlich. Trainerinnen registrieren sich selbst; Teilnehmende erhalten ihren Zugang über ihr Studio, per Einladung oder über die Anmeldung auf der Seite des Studios. Die Anmeldung erfolgt in der Regel über einen per E-Mail zugesandten Anmeldelink (Magic Link) oder per Passwort. Wir verarbeiten hierfür die angegebene E-Mail-Adresse und die zur Verwaltung des Zugangs erforderlichen Daten. Für den Zugang der Trainerin ist Rechtsgrundlage die Erfüllung bzw. Anbahnung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Die Zugänge der Teilnehmenden und die Angaben in ihrem Profil (etwa Name, Telefonnummer und Geburtsdatum) verarbeiten wir im Auftrag des Studios (siehe Abschnitt 2); Rechtsgrundlage ist der Kursvertrag mit dem Studio bzw. dessen Anbahnung (Art. 6 Abs. 1 lit. b DSGVO).

Bei Teilnehmenden speichern wir außerdem, wann sie das Portal oder den Check-in ihres Studios zuletzt selbst geöffnet haben (höchstens einmal am Tag aktualisiert). Daran sieht das Studio, ob ein Zugang schon genutzt wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse des Studios ist, den Stand der Zugänge seiner Teilnehmenden anzuzeigen und Einladungen nur dort erneut zu schicken, wo ein Zugang noch nicht genutzt wurde. Für bestehende Zugänge haben wir dafür einmalig den Zeitpunkt der letzten Anmeldung übernommen. Der Zeitpunkt wird mit dem Profil gelöscht.

Beim Absenden der Registrierung eines Studios speichern wir die E-Mail-Adresse, die akzeptierten Fassungen der Nutzungsbedingungen und des Auftragsverarbeitungsvertrags sowie den Zeitpunkt. Zweck ist der Nachweis des Vertragsschlusses. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Abschluss des Nutzungsvertrags) und für den Nachweis Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, den Vertragsschluss belegen zu können. Kommt kein Zugang zustande, löschen wir den Eintrag nach spätestens 30 Tagen. Andernfalls übernehmen wir die Fassungen und den Zeitpunkt in das Studio-Konto und löschen den Eintrag.

Einwilligung der Teilnehmenden zu Gesundheitsdaten

Bei der Anmeldung fragen wir keine Einwilligung ab. Teilnehmende können gegenüber ihrem Studio freiwillig einwilligen, dass ihre Angaben zur Krankenversicherung gespeichert und in den Antragsteil für die Krankenkasse, Teil 2 der Teilnahmebescheinigung, eingetragen werden; kursbar holt die Einwilligung im Auftrag des Studios ein. Das geschieht im Portal unter „Krankenkasse“; diesen Bereich gibt es nur bei Studios, die die Krankenkassen-Funktion nutzen. Maßgeblich ist eine Einwilligung in der Fassung, die seit dem 12. Oktober 2026 gilt. Wer vorher eingewilligt hat, muss einmal neu einwilligen, damit Teil 2 ausgefüllt wird. Widerrufen können Teilnehmende jederzeit im Portal in ihrem Profil. Einzelheiten und die Folgen eines Widerrufs stehen in Abschnitt 9.

Als Nachweis der Einwilligung speichern wir den Zeitpunkt, die Fassung des Einwilligungstexts und statt der IP-Adresse selbst einen daraus errechneten Code. Dieser Code ist nicht anonym: Wer die IP-Adresse kennt, kann ihn ihr zuordnen. Zweck ist die Pflicht des Studios, die Einwilligung nachweisen zu können (Art. 6 Abs. 1 lit. c in Verbindung mit Art. 7 Abs. 1 DSGVO). Den Nachweis bewahren wir auch nach einem Widerruf auf, solange das Studio die Einwilligung nachweisen können muss, längstens drei Jahre nach dem Widerruf. Wird vorher der Zugang oder das Studio gelöscht, löschen wir den Nachweis damit.

7. Cookies

Wir setzen ausschließlich Cookies ein, die für die Bereitstellung der von Ihnen genutzten Funktionen erforderlich sind: Sitzungs-Cookies der Anmeldung, ein Sicherheits-Cookie beim Verbinden eines Zahlungskontos sowie im Verwaltungsbereich ein Cookie, das sich für sieben Tage merkt, ob die Seitenleiste auf- oder zugeklappt ist. Diese Cookies bedürfen nach § 25 Abs. 2 TDDDG keiner Einwilligung. Tracking- oder Marketing-Cookies setzen wir nicht ein. Die cookielose Reichweitenmessung ist in Abschnitt 4 beschrieben.

Daneben legt die Anwendung einzelne Angaben im Speicher Ihres Browsers ab, etwa ob ein Hinweis bereits geschlossen wurde. Diese Angaben bleiben auf Ihrem Gerät. Der Verlauf des KI-Assistenten wird nur für die Dauer der Browser-Sitzung im Browser gehalten, damit er beim Seitenwechsel erhalten bleibt; setzen Sie das Gespräch fort, wird er wie in Abschnitt 11 beschrieben übermittelt.

8. E-Mail-Versand (Resend)

Zum Versand transaktionaler E-Mails (z. B. Anmeldelinks, Einladungen, Buchungs- und Erinnerungs-E-Mails) nutzen wir den Dienst Resend (Resend, Inc., USA). Hierbei werden die E-Mail-Adresse der empfangenden Person sowie die zum Versand erforderlichen Inhalte verarbeitet. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) bzw. unser berechtigtes Interesse an einer zuverlässigen Kommunikation (Art. 6 Abs. 1 lit. f DSGVO). Mit Resend besteht ein Vertrag zur Auftragsverarbeitung; ein Drittlandtransfer in die USA ist durch geeignete Garantien (Art. 46 DSGVO / EU-US Data Privacy Framework) abgesichert.

9. Teilnahmebescheinigungen für Krankenkassen (Gesundheitsdaten)

Ein Kernzweck von kursbar ist die Erstellung von Teilnahmebescheinigungen für die Bezuschussung von Präventionskursen durch die gesetzlichen Krankenkassen (§ 20 SGB V). Verantwortlich für die Bescheinigungen ist das Studio, bei dem Sie den Kurs besuchen; kursbar erstellt sie in dessen Auftrag (siehe Abschnitt 2). Eine Bescheinigung besteht aus zwei Teilen.

Teil 1, die Teilnahmebescheinigung, enthält die Angaben zum Kurs, Ihren Namen und Ihre Anwesenheit. Mit ihr erfüllt das Studio den Kursvertrag mit Ihnen und weist Ihre Teilnahme gegenüber Ihrer Krankenkasse nach. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; eine Einwilligung ist dafür nicht nötig.

Teil 2, der Antrag auf Bezuschussung, enthält Ihren Namen, Ihr Geburtsdatum, Ihre Versichertennummer, Ihre Bankverbindung (IBAN) und Ihre Unterschrift. Wir behandeln diese Angaben vorsorglich wie besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO. Teil 2 wird deshalb nur mit Ihrer ausdrücklichen Einwilligung befüllt (Art. 9 Abs. 2 lit. a DSGVO) und nur zum Zweck der jeweiligen Bescheinigung. Ohne Einwilligung erhalten Sie die Bescheinigung trotzdem; Teil 2 bleibt dann leer, und Sie tragen die Angaben selbst von Hand ein.

Teil 2 wird nur mit einer Einwilligung in der Fassung befüllt, die seit dem 12. Oktober 2026 gilt. Haben Sie vorher eingewilligt, bleibt Teil 2 leer, bis Sie einmal neu einwilligen. Angaben, die Sie früher gespeichert haben, bleiben bis zu Ihrem Widerruf oder Ihrer neuen Einwilligung gespeichert.

Die Einwilligung ist freiwillig. Sie erteilen sie im Portal unter „Krankenkasse“; diesen Bereich gibt es nur bei Studios, die die Krankenkassen-Funktion nutzen. Mit Ihrer Einwilligung speichern wir Ihre Krankenkasse, Ihre Versichertennummer, Ihre IBAN (wenn Sie sie angeben) und Ihre Unterschrift, bis Sie widerrufen oder Ihr Zugang gelöscht wird. Ihr Studio sieht diese Angaben. Ihr Geburtsdatum ist dagegen eine Angabe in Ihrem Profil und wird wie Ihre übrigen Profilangaben verarbeitet (Abschnitt 6). An Ihre Einwilligung gebunden ist nur, dass es in Teil 2 übernommen wird.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, am einfachsten im Portal in Ihrem Profil. Sie können sich dafür auch an Ihr Studio wenden, das für die Daten verantwortlich ist. Nach dem Widerruf löschen wir Ihre Krankenkasse, Ihre Versichertennummer, Ihre IBAN und Ihre Unterschrift, auch die Inhalte dieser Angaben im Änderungsprotokoll. Gespeicherte Bescheinigungen, in denen Teil 2 ausgefüllt ist, entfernen wir; beim nächsten Abruf entstehen sie neu mit leerem Teil 2. Ihr Geburtsdatum bleibt in Ihrem Profil. Bescheinigungen, die bereits heruntergeladen wurden, bleiben bei der Person, die sie heruntergeladen hat, etwa bei Ihnen oder Ihrem Studio; diese Kopien können wir nicht zurückholen. Die Verarbeitung bis zum Widerruf bleibt rechtmäßig. Danach können Sie jederzeit neu einwilligen.

Die Bescheinigungen werden serverseitig als PDF erzeugt; hierfür werden keine zusätzlichen Dritten eingebunden.

10. Zahlungsabwicklung (Mollie)

Sofern eine Zahlungsfunktion genutzt wird, erfolgt die Abwicklung über den Zahlungsdienstleister Mollie B.V. (Keizersgracht 313, 1016 EE Amsterdam, Niederlande). Dabei werden die zur Zahlung erforderlichen Daten (z. B. Betrag, Zahlungsstatus und von Ihnen im Bezahlvorgang angegebene Daten) verarbeitet. Mollie ist hinsichtlich der Zahlungsdaten eigenständig Verantwortlicher; es gelten ergänzend die Datenschutzhinweise von Mollie. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die Verarbeitung findet innerhalb der EU statt. Weitere Informationen: mollie.com/de/privacy.

11. KI-Funktionen

Sofern die Funktionen aktiviert sind, bietet kursbar im Studio-Bereich KI-gestützte Funktionen an: den Assistenten „Barista“, der Fragen zu Ihren Daten innerhalb der Anwendung beantwortet und bei der Einrichtung hilft, eine Spracheingabe für den Assistenten sowie Textvorschläge für die Studio-Seite, für Werbebanner und für die Auswahl im Anfrage-Formular. Die Funktionen stehen nur Studios und ihren Teams zur Verfügung; Teilnehmende nutzen keine KI-Funktion.

Ihre Eingaben sowie die zur Beantwortung erforderlichen Kontextdaten werden über das Vercel AI Gateway (Vercel Inc., USA) an OpenAI, L.L.C. (USA) übermittelt und dort zur Erzeugung der Antwort verarbeitet. Je nach Anfrage können dazu auch Daten von Teilnehmenden gehören, etwa Namen oder Kursbuchungen; für diese Daten handeln wir im Auftrag des Studios (siehe Abschnitt 2). Die KI-Funktionen greifen nicht auf Gesundheits- und Versicherungsdaten zu. Geben Sie solche Daten selbst ein oder diktieren Sie sie, werden sie mit übermittelt.

Bei der Spracheingabe wird Ihre Aufnahme auf demselben Weg zur Umwandlung in Text an OpenAI übertragen. Vor der ersten Aufnahme weisen wir in der Anwendung darauf hin. Dass Sie den Hinweis bestätigt haben, merkt sich Ihr Browser auf Ihrem Gerät. Die Aufnahme selbst speichern wir nicht.

Die übermittelten Daten werden von OpenAI nicht zum Training von KI-Modellen verwendet; das legen wir bei jeder Anfrage fest. Rechtsgrundlage ist die Vertragserfüllung bzw. unser berechtigtes Interesse an einer hilfreichen Bedienung (Art. 6 Abs. 1 lit. b und lit. f DSGVO). Der mit den Funktionen verbundene Drittlandtransfer in die USA ist durch geeignete Garantien (Art. 46 DSGVO / EU-US Data Privacy Framework) abgesichert. Geben Sie in die KI-Funktionen keine Daten ein, die für die Anfrage nicht erforderlich sind.

12. Empfehlungsprogramm

Studios können kursbar an andere Studios weiterempfehlen. Dafür erzeugen wir auf Wunsch einen Empfehlungscode und einen Link. Wird ein Zugang über diesen Link eröffnet, speichern wir die Verknüpfung zwischen dem werbenden und dem geworbenen Studio, den verwendeten Code, den Zeitpunkt sowie den Status der Empfehlung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsvertrags), da sich daraus der Anspruch auf einen kostenfreien Abo-Monat ergibt.

Beim Aufruf des Links wird der Empfehlungscode an die Internetadresse der Registrierungsseite angehängt und mit Ihrer Registrierung übermittelt. Dafür setzen wir kein Cookie und speichern nichts in Ihrem Browser; wie jede Internetadresse erscheint der Code aber im Browserverlauf und in den Server-Logfiles (Abschnitt 4). Dem werbenden Studio zeigen wir ausschließlich die Anzahl und den Status seiner Empfehlungen, nicht aber, welches Studio sich registriert hat. Ein Versand von Einladungen in Ihrem Namen findet nicht statt; der Link wird von Ihnen selbst geteilt.

13. Anfrage-Formular auf Studio-Seiten

Auf den öffentlichen Seiten der Studios kann ein Anfrage-Formular angeboten werden. Verarbeitet werden dabei: das gewählte Anliegen, Name, E-Mail-Adresse, freiwillig die Telefonnummer, die Angabe, wann Sie erreichbar sind, Ihr Wunsch-Zeitfenster für einen Termin sowie Ihre Nachricht.

Zweck ist ausschließlich die Bearbeitung Ihrer Anfrage und die Kontaktaufnahme. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertragsverhältnisses); soweit kein Vertrag angebahnt wird, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

Empfänger ist das jeweilige Studio, an das Sie sich wenden. Für den Versand der E-Mails setzen wir Resend ein (siehe Abschnitt zum E-Mail-Versand).

Löschung: Anfragen werden sechs Monate nach Eingang automatisch gelöscht. Entsteht aus der Anfrage ein Vertragsverhältnis, gelten für die dann erhobenen Daten die Fristen des entsprechenden Abschnitts.

Zum Schutz vor automatisierten Einsendungen enthält das Formular eine einfache Rechenaufgabe. Dabei werden keine Daten an Dritte übermittelt.

14. Eingesetzte Dienste und Unterauftragsverarbeiter

Wir setzen die folgenden Dienste ein. Mit den als Unterauftragsverarbeiter eingebundenen Anbietern besteht jeweils ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO; die Vertragsbedingungen und die jeweils aktuelle Liste finden sich in der Vereinbarung zur Auftragsverarbeitung (AVV).

15. Speicherdauer

Wir verarbeiten und speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder wie es gesetzliche Aufbewahrungspflichten (z. B. handels- und steuerrechtliche Fristen) vorsehen. Nach Wegfall des Zwecks bzw. Ablauf der Fristen werden die Daten gelöscht oder anonymisiert. Zugänge und die zugehörigen Daten werden nach Beendigung der Nutzung bzw. auf Verlangen gelöscht, soweit keine Aufbewahrungspflichten entgegenstehen.

Konkret für Teilnehmende eines Studios: Löscht das Studio Ihre Daten auf Ihr Verlangen (Art. 17 DSGVO), so werden Ihre Angaben zur Krankenversicherung (Krankenkasse, Versichertennummer, Bankverbindung), Ihr Geburtsdatum, bereits ausgestellte Teilnahmebescheinigungen samt Ihrer Unterschrift sowie Ihre Kontaktdaten (Name, Telefonnummer, Profilbild, hinterlegte Kontaktkanäle) entfernt.

Erhalten bleiben dagegen Zahlungs- und Buchungsbelege, insbesondere Betrag, Datum, Verwendungszweck und Zahlungsreferenz, für die Dauer der handels- und steuerrechtlichen Aufbewahrungsfristen (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB). Ebenfalls erhalten bleibt die Kurs- und Anwesenheitshistorie als Nachweis der erbrachten Leistung (berechtigtes Interesse des Studios, Art. 6 Abs. 1 lit. f DSGVO). Ihr Name wird darin durch einen Platzhalter ersetzt. Die Anwesenheitshistorie bewahren wir längstens bis drei Jahre nach Ende des Kalenderjahres auf, in dem Ihr letzter Termin stattfand; so lange können Ansprüche aus dem Kursvertrag geltend gemacht werden (§§ 195, 199 BGB).

Ihr Zugang mit Ihrer E-Mail-Adresse bleibt nur bestehen, solange er für die Belege, die an ihm hängen, nötig ist. Längstens bewahren wir ihn auf, bis die Aufbewahrungsfrist des jüngsten Belegs abgelaufen ist, also acht Jahre ab Ende des Kalenderjahres, in dem die Zahlung erfolgte. In dieser Zeit ist die Verarbeitung eingeschränkt (Art. 18 DSGVO): Ihre E-Mail-Adresse dient nur noch dazu, die Belege Ihnen zuordnen zu können. Das Studio sieht sie weiterhin. Rechtsgrundlage ist dieselbe wie für die Belege (Art. 6 Abs. 1 lit. c DSGVO). Ihr Zugang gehört zu diesem Studio (siehe Abschnitt 2). Wird das Studio vorher bei kursbar gelöscht, löschen wir den Zugang mit.

Anders bei der Löschung eines ganzen Studios: Beantragt die Inhaberin oder eine Admin des Studios die Löschung und bestätigt sie, gilt das als Anweisung des Studios an uns, die in seinem Auftrag verarbeiteten Daten zu löschen (Weisung nach Art. 28 Abs. 3 lit. g DSGVO). Frühestens 14 Tage nach der Bestätigung löschen wir dann alle Daten des Studios bei kursbar. Dazu gehören Kurse, Termine, Anmeldungen, Anwesenheiten, Gesundheits- und Versicherungsdaten, Teilnahmebescheinigungen, Zahlungen, Wertkarten sowie hochgeladene Bilder und Dateien. Mit dem Studio löschen wir auch die Zugänge des Teams und der Teilnehmenden samt E-Mail-Adresse. Teilnehmende und Team erhalten zu Beginn der Wartezeit eine Nachricht per E-Mail, soweit eine Adresse hinterlegt ist.

Nach der Löschung des Studios bewahren wir bei kursbar noch Folgendes auf:

• Rechnungen von kursbar an das Studio mit den darauf stehenden Angaben (Rechnungsnummer, Name und Anschrift des Studios, Tarif, Zeitraum, Betrag). Zweck ist die gesetzliche Aufbewahrungspflicht, Rechtsgrundlage Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 Abs. 3 AO und § 14b Abs. 1 UStG. Wir bewahren sie acht Jahre auf, gerechnet ab dem Ende des Kalenderjahres, in dem die Rechnung bezahlt wurde (bei einer unbezahlten Rechnung ab dem Ende des Jahres, in dem die Zahlung angelegt wurde). Danach löschen wir sie, sofern wir sie nicht ausnahmsweise länger aufbewahren müssen (etwa wegen einer laufenden Außenprüfung).
• Ein internes Protokoll der Löschung mit internen Kennungen, Zeitpunkten und Anzahlen, ohne Namen und Kontaktdaten. Zweck ist der Nachweis, dass und wann wir gelöscht haben (Art. 5 Abs. 2 und Art. 6 Abs. 1 lit. f DSGVO). Den Löschantrag mit den Zeitpunkten der einzelnen Schritte löschen wir zwölf Monate nach der Löschung automatisch. Ein kurzer Eintrag mit denselben Kennungen bleibt in unserem internen Protokoll. Wir bewahren ihn längstens drei Jahre ab Ende des Jahres der Löschung auf; so lange können Ansprüche im Zusammenhang mit der Löschung geltend gemacht werden (§§ 195, 199 BGB).
• Die Adresse der Studio-Seite und eine eigene Domain sperren wir für 90 Tage, damit in dieser Zeit kein anderes Studio unter der alten Adresse auftritt. Gespeichert wird dafür nur die Adresse bzw. Domain mit einer internen Kennung. Nach 90 Tagen löschen wir den Eintrag automatisch. Rechtsgrundlage ist unser berechtigtes Interesse am Schutz vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

Außerhalb der Studio-Daten können weitere Spuren bleiben, die wir nicht oder nicht automatisch löschen:

• Beim Zahlungsdienstleister Mollie (Abschnitt 10) bleiben die Kunden- und Abo-Daten des Studios, etwa Name und Anschrift der Inhaberin und der Verlauf des Abos. Mollie bewahrt sie nach seinen eigenen gesetzlichen Pflichten auf.
• Beim E-Mail-Dienst Resend (Abschnitt 8) bleiben Versandprotokolle der Nachrichten zur Löschung, also Empfängeradresse und Betreff, für die Dauer, die dort eingestellt ist.
• Ältere Einträge in unserem internen Protokoll, etwa zur Verwaltung des Studios, können den Namen des Studios enthalten. Wir bewahren sie ebenfalls längstens drei Jahre ab Ende des Jahres der Löschung auf.
• In unserem internen Postfach können Warnungen zum Löschlauf liegen, mit internen Kennungen und gegebenenfalls dem Namen einer eigenen Domain. Wir löschen sie nach zwölf Monaten.
• Nachrichten, die über die Feedback-Funktion an uns gegangen sind, bleiben ohne Absenderadresse als unsere Korrespondenz erhalten.

Gelöschte Daten können noch für begrenzte Zeit in den Datensicherungen unseres Datenbank-Anbieters (Abschnitt 5) liegen. Dort verschwinden sie, wenn die Sicherungen regulär durch neue ersetzt werden. Das gilt für jede Löschung, die in diesem Abschnitt beschrieben ist.

16. Datensicherheit

Die Übertragung der Daten erfolgt verschlüsselt über TLS (HTTPS). Der Zugriff auf personenbezogene Daten ist durch Zugriffskontrollen und Zeilenebene-Sicherheit (Row Level Security) auf Datenbankebene abgesichert. Wir treffen geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um Ihre Daten vor Verlust, Missbrauch und unbefugtem Zugriff zu schützen.

17. Aktualität und Änderung dieser Datenschutzerklärung

Diese Datenschutzerklärung hat den Stand Oktober 2026. Durch die Weiterentwicklung unseres Angebots oder aufgrund geänderter gesetzlicher bzw. behördlicher Vorgaben kann es notwendig werden, diese Datenschutzerklärung anzupassen. Die jeweils aktuelle Fassung ist stets auf dieser Seite abrufbar.