Datenschutzerklärung

Innenstark® ist eine Meditations-App. Wir verarbeiten so wenige Daten wie möglich und nutzen keine Tracking- oder Analyse-Dienste Dritter und keine Werbe-Cookies. Audio-Inhalte liefern wir über kurzlebige, signierte Links aus; Auswertungen für Partner sind ausschließlich anonyme Summen ab einer Mindestgröße. Diese Erklärung beschreibt, welche Daten beim Nutzen der App anfallen.

Verantwortlicher & Datenschutz-Kontakt

MHP-Business Consulting GmbH
Michael Hoffmann (Geschäftsführer)
Dieselstraße 5, 86356 Neusäß, Deutschland
E-Mail (Datenschutz): hallo@innenstark.de · vollständige Angaben im Impressum.

Einen Datenschutzbeauftragten haben wir derzeit nicht bestellt; für Datenschutzanfragen erreichst du uns unter hallo@innenstark.de.

Besondere Kategorien (Gesundheitsbezug, Art. 9 DSGVO)

Meditationen können sich auf Themen wie Schlaf, Stress, innere Ruhe, Selbstwert oder Ängste beziehen. Welche Themen du hörst und was du im Feedback schreibst, kann Rückschlüsse auf dein Wohlbefinden bzw. deine Gesundheit zulassen. Soweit ein solcher Gesundheitsbezug besteht, verarbeiten wir diese Daten ausschließlich auf Grundlage deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a i. V. m. Art. 6 Abs. 1 lit. a DSGVO). Die rein technische Bereitstellung des Dienstes (z. B. Abspielen, Speichern deiner Einstellungen) stützen wir auf die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b). Auswertungen für Partner/Sponsoren erfolgen nur als anonyme Aggregate ab mindestens 5 Personen (k-Anonymität) und nie mit Themen oder Inhalten; Einzeldaten erhalten Partner nie. Deine Einwilligungen und deinen Widerspruch verwaltest du jederzeit unter Einwilligungen & Datenschutz.

Konto, Anmeldung & Zugangs-Wiederherstellung

Für den Zugang verarbeiten wir deine E-Mail-Adresse und ein Zugangs-Cookie (Rechtsgrundlage: Erfüllung des Nutzungsverhältnisses, Art. 6 Abs. 1 lit. b; in der Beta-Phase deine Einwilligung über den bestätigten Eintrag auf innenstark.com, lit. a). Zu deinem Konto gehören eine pseudonyme Nutzer-ID, deine Sprachwahl sowie — falls du über einen Partner-/Gastgeber- oder Einladungslink kommst — eine Zuordnung zu diesem Partner. Kommst du über den Link oder Code eines Empfehlungspartners zu Innenstark, vermerken wir an deinem Konto, welchem Empfehlungspartner du zugeordnet bist (Kennung des Partners und Datum). Das brauchen wir, um die Vergütung des Partners richtig abzurechnen (berechtigtes Interesse, Art. 6 Abs. 1 lit. f). Der Partner erfährt weder deinen Namen noch deine E-Mail-Adresse, er sieht nur Zahlen. Verwaltungs-, Coach- und Sponsor-Konten melden sich mit persönlichem Passwort an (Authentifizierung über Supabase); für deren Zugangs-Wiederherstellung versenden wir auf Anforderung einen zeitlich begrenzten Wiederherstellungslink per E-Mail. Zum Schutz vor Brute-Force/Missbrauch verarbeiten wir dabei nur flüchtig im Arbeitsspeicher einen Hash deiner IP-Adresse (längstens rund eine Stunde; berechtigtes Interesse an IT-Sicherheit, Art. 6 Abs. 1 lit. f). Kommst du über einen Link unserer Website zur Registrierung, speichern wir an deiner Anmeldung, über welchen Link du gekommen bist. Das ist ein für alle gleicher Vermerk wie „wissen-schlaf“, kein Cookie und keine Kennung. So sehen wir, welche unserer Seiten zu Anmeldungen führen (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Widersprichst du der Nutzungsstatistik, zählt auch dieser Vermerk in unseren Auswertungen nicht mit.

Cookies & lokale Speicherung

Wir setzen nur technisch notwendige bzw. funktionale Cookies — keine Tracking- oder Werbe-Cookies:

• is_test — technisch notwendiges, signiertes Login-Cookie (Konto-Session), Laufzeit bis 90 Tage.
• is_sponsor — merkt sich den Partner/Gastgeber für das Co-Branding (Logo, Farbe, Begrüßung), bis 90 Tage.
• is_ref — merkt sich einen Einladungs-/Empfehlungscode, bis 90 Tage.
• nachricht_hinweis — funktionales Cookie: merkt sich auf deinem Gerät, dass wir dich auf neue Nachrichten in deinem Postfach bereits hingewiesen haben (zwei Zeitpunkte und ein Zähler, keine Inhalte), damit der Hinweis nicht doppelt erscheint. Laufzeit 90 Tage.
• pwa_install_spaeter — funktionales Cookie: merkt sich sieben Tage, dass du den Hinweis „Innenstark als App auf dein Handy“ weggeklickt hast (nur ein Zeitpunkt, keine Inhalte). Laufzeit 7 Tage.
• geteilt_frei — funktionales Cookie, wenn dir jemand eine Meditation geteilt hat: merkt sich signiert, welche Meditationen du sieben Tage ohne Konto hören darfst, und eine zufällige Kennung für die Tagesquote (keine Inhalte, kein Personenbezug). Laufzeit 7 Tage.
• anlass_frei — funktionales Cookie beim Einstieg über einen Anlass-Code (z. B. Pausenraum): merkt sich signiert den freigegebenen Inhalt und eine zufällige Kennung für die Tagesquote. Laufzeit 24 Stunden.
• geschenk_g — funktionales Cookie, wenn du über den Teilen-Link einer Person zu einem Partner mit befristetem Vollzugang kommst: merkt sich signiert, über welchen Link du gekommen bist, damit wir dein Geschenk nach der Bestätigung deiner E-Mail-Adresse einlösen können (keine Inhalte, kein Personenbezug). Laufzeit bis 30 Tage.
• is_partner — funktionales Cookie, wenn du den Link oder Code eines Empfehlungspartners aufrufst: merkt sich nur den Partnercode, damit dein Vorteil an der Kasse gilt und wir die Vergütung des Partners richtig abrechnen (keine Inhalte, kein Personenbezug; nur der Server liest es). Laufzeit bis 180 Tage.

Im Browser gespeichert (localStorage, verlässt dein Gerät nicht): is-completed-sessions (Zähler abgeschlossener Meditationen) und pwa-install-dismissed (ob du den Installations-Tipp weggeklickt hast) — beide steuern nur den App-Installations-Hinweis.

Das Speichern/Auslesen unbedingt erforderlicher bzw. für den gewünschten Dienst erforderlicher funktionaler Cookies (is_test, nachricht_hinweis, pwa_install_spaeter, geteilt_frei, anlass_frei, geschenk_g, is_partner) erfolgt nach § 25 Abs. 2 TDDDG ohne Einwilligung. is_partner merkt sich bis zu 180 Tage den Empfehlungspartner, dessen Link oder Code du selbst aufgerufen hast, damit dein Vorteil an der Kasse gilt. Für is_sponsor/is_ref prüfen wir vor dem öffentlichen Launch die Einordnung nach § 25 TDDDG.

Nutzung der Meditationen

Wenn du eine Meditation startest, speichern wir das gewählte Thema, deine Stimm-/Ausklang-/Musik-Wahl, den Zeitpunkt und ggf. den zugeordneten Partner sowie ob du sie zu Ende gehört hast (Höraktivität). Die technische Bereitstellung stützen wir auf Art. 6 Abs. 1 lit. b; soweit die Themenauswahl einen Gesundheitsbezug hat, gilt zusätzlich deine Einwilligung (siehe Abschnitt „Besondere Kategorien“). Deine Voreinstellungen (Stimme, Ausklang, Musik, Lautstärke, Sprache, zuletzt Gehörtes) und deine Favoriten/Merkliste speichern wir, damit die App komfortabel bleibt. Audio-Dateien liegen privat im Speicher und werden nur über kurzlebige, signierte Links (rund 1 Stunde gültig) ausgeliefert.

Nutzungsstatistik

Zur Produktverbesserung und um Partnern zusammengefasste Nutzungskennzahlenbereitzustellen, erheben wir server-seitige Nutzungs-Ereignisse: App-Start, Start und Fortschritt einer Wiedergabe (mit dem gehörten Inhalt — dafür gilt das oben im Abschnitt „Nutzung der Meditationen“ Gesagte einschließlich der Einwilligung bei Gesundheitsbezug), das Scannen eines Aufsteller-QR-Codes, das Öffnen der App über einen Link unserer Website mit einem Herkunftsvermerk (zum Beispiel „wissen-kopf“; dieser Vermerk ist für alle Besucher gleich und keine Kennung; ohne Konto ist ein solcher Aufruf mit keiner Person verknüpfbar), Klicks auf Angebote des Hauses sowie das Faktum einer E-Mail-Bestätigung. In der Nutzungsstatistik selbst verarbeiten wir keine IP-Adresse und setzen kein Fingerprinting ein; unsere Hosting-Dienstleister verarbeiten IP-Adressen ggf. kurzzeitig zur technischen Bereitstellung (Art. 28 DSGVO). Die Zuordnung erfolgt über eine pseudonymisierte Kennung — die Daten bleiben damit personenbezogen (Art. 4 Nr. 5 DSGVO), sind aber nicht ohne Weiteres einer Person zuzuordnen. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Du kannst der Einbeziehung deiner Nutzung jederzeit unter Einwilligungen & Datenschutz widersprechen (Art. 21 DSGVO); dann zählt sie weder in unseren Auswertungen noch in den Zahlen für Partner mit. Im monatlichen Bericht für Hotels sehen Partner ausschließlich zusammengefasste Werte, personenbezogene Kennzahlen erst ab einer Mindestgruppe von 7 Personen — nie Einzeldaten; Scan-Zählungen an Aufstellern sind nicht mit Personen verknüpfbar. Roh-Ereignisse löschen wir nach 24 Monaten automatisch.

Zusätzlich speichern wir je Kalendertag, an dem dein Konto die App benutzt, einen Eintrag aus Konto-Kennung und Datum („Nutzungstag“) — ohne Uhrzeit, ohne Inhalt und ohne Ort. Anders als die übrigen Nutzungs-Ereignisse ist dieser Eintrag deinem Konto unmittelbar zugeordnet, nicht nur pseudonym. Wir nutzen ihn für zwei Zwecke: erstens zur Ermittlung der belegten Plätze einer Partner-Lizenz (Erfüllung des Nutzungsverhältnisses, Art. 6 Abs. 1 lit. b DSGVO, sowie unser berechtigtes Interesse an der korrekten Abrechnung der Partner-Lizenzen, Art. 6 Abs. 1 lit. f), zweitens zur internen Auswertung der Nutzungshäufigkeit zur Produktverbesserung (Art. 6 Abs. 1 lit. f). Nutzungstage löschen wir wie die übrigen Nutzungs-Ereignisse nach 24 Monaten automatisch; sie sind in deiner Datenauskunft enthalten und werden bei einer Konto-Löschung entfernt. Einsehen kann sie ausschließlich Innenstark: Partner sehen daraus nur die Zahl der belegten Plätze, nie einzelne Tage und keine Kennzahlen zu einzelnen Personen.

Feedback & Bewertungen

Nach einer Meditation kannst du freiwillig bewerten (Skala) und in Freitext angeben, was dir gefallen hat bzw. was du dir wünschst. Die Erfassung des freiwilligen Feedbacks stützen wir auf Art. 6 Abs. 1 lit. b. Da Freitexte gesundheitsbezogene Angaben enthalten können, verarbeiten wir solche Inhalte nur auf Grundlage deiner Einwilligung (Art. 9 Abs. 2 lit. a). Bitte gib in Freitexten nicht mehr preis, als nötig.

Co-Branding, Partner/Sponsoren & Empfehlungen

Kommst du über einen Partner (z. B. Hotel, Arbeitgeber, Studio), zeigen wir dessen Logo, Farbe und Begrüßung an und ordnen dein Konto diesem Partner zu (Art. 6 Abs. 1 lit. b DSGVO). Partner erhalten zur Erfolgsmessung ausschließlich anonyme Summen (z. B. aktive Personen, Wiedergaben, Anteil zu Ende gehörter Meditationen), erst ab mindestens 5 Personen und nie mit Themen oder Inhalten. Einzel- oder Rohdaten gibt es für Partner nie. Rechtsgrundlage ist unser berechtigtes Interesse und das deines Partners an der Erfolgsmessung (Art. 6 Abs. 1 lit. f DSGVO); widersprichst du, fließen deine Daten sofort nicht mehr ein. Zahlen zur Nutzung von KAYA erhalten nur Partner, die Unternehmen sind, und nur über Personen, die darin eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO). Bei privaten Gastgebern (z. B. Arbeitgeber) gilt dieselbe Mindestgröße; niemand sieht, ob oder was du einzeln hörst. Kommst du über einen Empfehlungslink, speichern wir die Zuordnung zur empfehlenden Person (Empfehlungs-Tracking, berechtigtes Interesse, lit. f); bei privaten/geschlossenen Partnern wird diese Zuordnung nicht weitervererbt.

Nutzung über einen Partner-Link (gesponserter Zugang)

Wenn du dich über einen Partner-Link oder Registrierungscode eines unserer Kooperationspartner (z. B. Coach, Therapeut, Studio, Arbeitgeber oder Hotel) registrierst, verarbeitet Innenstark diese Information, um dir den vom Partner bereitgestellten Vollzugang freizuschalten und die App im Partner-Design (Branding) darzustellen. Wir schützen deine Daten dabei nach dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO):

• Der Partner erhält keinen Zugriff auf deinen Namen, deine Kontaktdaten oder dein persönliches Profil.
• Der Partner erfährt zu keinem Zeitpunkt, welche Meditationen, Programme oder Übungen du nutzt, zu welchen Zeiten du hörst oder welche Favoriten du speicherst.
• Statistiken und Kennzahlen für Partner (2-Säulen-Prinzip):
  • Allgemeine Nutzungszahlen (ab 5 Personen): Der Partner sieht, wie viele Plätze seines Kontingents belegt sind, wie viele gesponserte Zugänge in den nächsten Tagen enden und wie viele Personen bei vollem Kontingent nicht aufgenommen wurden (jeweils nur Zahlen). Zudem sieht er ab einer Mindestanzahl von fünf (5) Nutzern rein zusammengefasste Gruppenstatistiken über die Gesamtnutzung (z. B. wie viele Meditationen von seiner Gruppe im Vormonat beendet wurden). Rückschlüsse auf dein individuelles Verhalten sind technisch ausgeschlossen. Du kannst dieser Einbeziehung jederzeit unter „Einwilligungen & Datenschutz“ widersprechen.
  • KAYA-Statistiken (nur mit Einwilligung): Ob und in welchem Umfang Klienten den KI-Begleiter KAYA nutzen oder weiterführende Impulse annehmen, sieht der Partner aggregiert ab fünf (5) Personen ausschließlich dann, wenn du dem gesondert unter „Einwilligungen & Datenschutz“ zugestimmt hast.

Rechtsgrundlagen: Die technische Zuordnung zu deinem Partner und die Bereitstellung des gesponserten Zugangs erfolgen zur Erfüllung unseres Vertrages mit dir (Art. 6 Abs. 1 lit. b DSGVO). Die Bereitstellung rein statistischer, zusammengefasster Kennzahlen der allgemeinen App-Nutzung an den Partner erfolgt auf Grundlage unseres berechtigten Interesses sowie des berechtigten Interesses deines Partners an der Erfolgsmessung des bereitgestellten Kontingents (Art. 6 Abs. 1 lit. f DSGVO); hiergegen steht dir ein jederzeitiges Widerspruchsrecht zu. Die Bereitstellung von KAYA-spezifischen Gruppenstatistiken erfolgt ausschließlich auf Grundlage deiner freiwilligen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit mit Wirkung für die Zukunft unter „Einwilligungen & Datenschutz“ widerrufen kannst.

Dauer der Zuweisung und des Vollzugangs: Die Zuweisung zum Partner bleibt bestehen, solange die Partnerschaft zwischen Innenstark und dem Partner fortgilt. Bei Partnern mit Platzkontingent (z. B. Studio, Praxis, Coach) ist dein gesponserter Vollzugang befristet; die Dauer legt der Partner fest (Standard: 90 Tage), wir zeigen sie dir beim Beitritt an. Nach Ablauf bleibt deine Zuweisung bestehen und dein Konto wechselt in das kostenfreie Grundangebot. Um die Dauer einzuhalten, die Plätze deines Partners zu zählen und eine Verlängerung zu ermöglichen, speichern wir Beginn und Ende deines Vollzugangs, die Weitergabe-Kette, über die du gekommen bist, und ob er verlängert wurde (Rechtsgrundlage: Erfüllung unseres Vertrages mit dir, Art. 6 Abs. 1 lit. b DSGVO). Dein Partner sieht davon nur Zahlen, nie deinen Namen oder deine E-Mail-Adresse; verlängert er deinen Zugang, gibt er dafür die E-Mail-Adresse ein, die du ihm selbst mitgeteilt hast, und erfährt von uns nicht, ob sie bei uns bekannt ist. Diese Angaben löschen wir mit deinem Konto. Bei Partnern ohne Platzkontingent (z. B. Beherbergungsbetrieb, Arbeitgeber) bleibt dein gesponserter Vollzugang für die Dauer der Partnerschaft erhalten, auch wenn du die App längere Zeit nicht nutzt. Endet die Partnerschaft, verbleibt dein Konto dauerhaft kostenfrei im Grundangebot.

Coaches & Vermittlung

Im Coach-Verzeichnis zeigen wir freigegebene Coach-Profile (Name, Region, Schwerpunkte, Kurzprofil). Gibt ein Coach es selbst frei, kommen Kontaktwege hinzu: ein Link auf seinen Terminkalender, seine Telefonnummer, WhatsApp oder seine E-Mail-Adresse. Terminkalender und WhatsApp sind Dienste Dritter; tippst du darauf, verlässt du unsere App, und es gelten die Datenschutzhinweise des jeweiligen Anbieters. Wir übermitteln dabei keine Angaben über dich. Fragst du einen Coach an, übermitteln wir deine Anfrage samt deiner optionalen Nachricht und holen dazu deine ausdrückliche Einwilligung zur Kontaktweitergabe ein (Art. 6 Abs. 1 lit. a). Die Anfrage ist einseitig (nur du kannst einen Coach anschreiben). Der angefragte Coach ist hinsichtlich der Kontaktaufnahme eigenständig Verantwortlicher und verarbeitet deine übermittelten Daten in eigener Verantwortung. Auf Wunsch löschen wir deine Anfragen inklusive Freitext vollständig.

Hinweis auf einen Menschen im KAYA-Gespräch

Ist dein kostenloses KAYA-Kontingent aufgebraucht, fragt KAYA dich, wie du weiterarbeiten möchtest, und zeigt dir dabei den Coach oder Anbieter, über den du zu Innenstark® gekommen bist. Das ist ein Hinweis an dich: Wir geben dabei nichts aus deinem Gespräch weiter, und dein Anbieter erfährt nicht, dass oder wann dir dieser Hinweis gezeigt wurde. Ob du dich meldest, entscheidest allein du, und die Kontaktaufnahme läuft dann außerhalb der App.

Damit dieser Hinweis nicht zu häufig erscheint und wir seine Wirkung beurteilen können, speichern wir zu deinem Konto, wann er gezeigt wurde und welchen Weg du gewählt hast, ohne jeden Inhalt aus dem Gespräch. Diese Einträge löschen wir automatisch nach 180 Tagen. Gesamtzahlen daraus zeigen wir nur Partnern, die Unternehmen sind, erst ab fünf Personen und nur über Konten, die darin eigens eingewilligt haben. Alle anderen Anbieter sehen daraus nichts.

Stress-Check

Der Stress-Check ist ein freiwilliger Fragebogen mit zehn Aussagen zu den letzten 14 Tagen (zum Beispiel zu Belastung, Anspannung, Schlaf, Erholung und Zuversicht). Deine Antworten sind Gesundheitsdaten. Wir speichern sie, den daraus berechneten Wert und das Profil nur mit deiner ausdrücklichen Einwilligung(Art. 9 Abs. 2 lit. a i. V. m. Art. 6 Abs. 1 lit. a DSGVO), die du vor dem ersten Check mit vollem Wortlaut gibst; den angezeigten Wortlaut, Zeitpunkt, Sprache, eine gekürzte IP-Adresse und einen gekürzten Fingerabdruck deines Browsers (Hash) halten wir als Nachweis fest. Zweck ist allein, dir dein Ergebnis und deinen Verlauf zu zeigen. Nur du siehst deine Werte: Coaches, Anbieter, Unternehmen und Partner erhalten keine Einzelwerte und auch keine Anzahl deiner Checks. Der Check ist eine Orientierung, kein Diagnoseverfahren; es findet keine automatisierte Entscheidung statt. Die Daten bleiben, solange deine Einwilligung besteht. Widerrufst du sie (unter Einwilligungen & Datenschutz), löschen wir sofort alle deine Checks und beenden die Erinnerung daran; bei einer Kontolöschung ebenso. Den Nachweis über Erteilung und Widerruf (ohne deine Antworten) bewahren wir wie alle Einwilligungsnachweise rund drei Jahre auf.

Erinnerungen

Wenn du dir eine Erinnerung einrichtest (etwa an die Wiederholung des Stress-Checks), speichern wir dafür Zweck, Tag, Uhrzeit, Zeitzone, Abstand, die gewählten Wege und ein Protokoll, wann welche Erinnerung zugestellt wurde. Rechtsgrundlage für die Erinnerung in der App ist die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO). Per E-Mail erinnern wir dich nur mit deiner Einwilligung (Art. 6 Abs. 1 lit. a); jede Erinnerungs-Mail nennt nur den Anlass, nie Inhalte oder Werte, und enthält einen Link zum Abbestellen. Versendet werden die Mails über unseren E-Mail-Dienstleister (siehe „E-Mail-Versand“). Kalendereinträge, die du dir herunterlädst oder in Google oder Outlook anlegst, liegen danach in deinem Kalender und außerhalb unserer Verantwortung; beendest du die Erinnerung in der App, löschen wir sie dort nicht. Erinnerungen und ihr Protokoll bleiben, solange du sie nutzt; bei Beenden bleibt die Einstellung zum Wiedereinschalten stehen, bei Kontolöschung wird beides gelöscht.

Erinnerungen und Push-Mitteilungen (Web Push)

Auf deinen Wunsch kannst du dich von Innenstark an deine Übungen erinnern lassen. Wir versenden Mitteilungen ausschließlich dann, wenn du diese in der App selbst aktiv eingerichtet hast:

• an deine persönliche Meditationspraxis in einer von dir frei gewählten Frequenz („Dein Moment“), und/oder
• an die Wiederholung deines persönlichen Stress-Checks.

Hierfür nutzen wir die Web-Push-Dienste deines Browser- oder Betriebssystemherstellers (z. B. Apple Inc. für APNs, Google LLC für FCM, Mozilla Corporation oder Microsoft Corporation). Bei Aktivierung der Push-Funktion weist dein Browser deinem Endgerät eine gerätespezifische Push-Token-Adresse (einen pseudonymen Identifikator) zu. Beim Auslösen einer Erinnerung sendet unser Server diese verschlüsselt an das Gateway des jeweiligen Betriebssystems, welches die Mitteilung auf dein Gerät leitet. Der Inhalt der Mitteilung wird dabei transportverschlüsselt übertragen.

Rechtsgrundlage für die Speicherung der Push-Adresse und den Versand der Erinnerungen ist deine freiwillige Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Einfacher Widerruf: Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen:

1. direkt in der App auf den Seiten „Erinnerungen“ oder „Einwilligungen & Datenschutz“ per Schalter, oder
2. über die Benachrichtigungseinstellungen deines Browsers bzw. Betriebssystems.

Sobald du Push-Mitteilungen in der App deaktivierst, werden deine Push-Token-Adressen unverzüglich und vollständig aus unseren Systemen gelöscht.

Die Betreiber der Push-Gateways (Apple, Google, Microsoft) haben ihren Hauptsitz in den USA. Die Übermittlung von Routing-Tokens erfolgt auf Grundlage des EU-U.S. Data Privacy Frameworks (DPF) bzw. vereinbarter Standardvertragsklauseln der EU-Kommission.

Mitteilungen, Postfach & Werbung

In deinem Postfach erhältst du Hinweise von deinem Gastgeber (Partner) und von Innenstark®. Zu jeder zugestellten Mitteilung speichern wir, wer sie erhalten hat und ob/wann sie gelesen wurde (Zustell- und Lesestatus), um Doppelzustellungen und Frequenzgrenzen umzusetzen. In-App-Hinweise deines Partners(z. B. Veranstaltungen, Angebote) gehören zur Nutzung der von ihm bereitgestellten App und sind streng frequenzbegrenzt; möchtest du sie nicht erhalten, kannst du die App-Nutzung beenden (Konto löschen). Dein Partner sieht dabei keine persönlichen Daten (weder Name noch E-Mail). Wichtige transaktionale Hinweise (z. B. zum Konto) bekommst du immer.

E-Mails deines Partners erhältst du nur mit deiner ausdrücklichen Einwilligung (Opt-in) und kannst sie jederzeit abbestellen (Ein-Klick-Abmeldelink in jeder Mail; Widerruf nach Art. 7 Abs. 3 DSGVO). Häufigkeitsgrenzen und die Sicherheitsprüfung von Links stützen wir auf unser berechtigtes Interesse an Spam-/Phishing-Schutz (Art. 6 Abs. 1 lit. f).

Veranstaltungen

Wenn du dich für eine Veranstaltung anmeldest, verarbeiten wir die dafür nötigen Daten (z. B. E-Mail, Veranstaltung, Slot) und versenden Bestätigungs-/Wartelisten-Mails (Art. 6 Abs. 1 lit. b). Veranstalter/Gastgeber können zu einzelnen Gästen interne Freitext-Notizen führen (Mini-CRM, berechtigtes Interesse an der Teilnehmerverwaltung, lit. f); diese werden je Veranstaltung geführt und bei Kontolöschung entfernt.

E-Mail-Versand

Transaktionale E-Mails (Beta-Bestätigung, Veranstaltungs- und Zugangs-/Konto-Mails) versenden wir über Strato (smtp.strato.de). Werbliche bzw. Postfach-Mitteilungen per E-Mail folgen zu einem späteren Zeitpunkt. Unsere Mails enthalten keine Zählpixel und kein Tracking.

Hosting & Server-Logs

Die App wird bei der Hostinger International Ltd. auf Servern in Deutschland betrieben. Beim Aufruf verarbeitet der Hoster technisch notwendige Daten (u. a. IP-Adresse, Zeitpunkt, abgerufene Ressource, Browser-Typ) in Server-Logfiles, um die App auszuliefern und sicher zu betreiben (Art. 6 Abs. 1 lit. f). Die Übertragung erfolgt verschlüsselt (HTTPS).

Datenbank & Audio-Speicher (Supabase, Frankfurt)

Konto-, Nutzungs- und Inhaltsdaten sowie die Audio-Dateien liegen bei Supabase in der Region Frankfurt am Main (EU, eu-central-1). Audio bleibt privat und wird nur über kurzlebige signierte Links ausgeliefert.

Kontaktverwaltung & CRM (Bitrix24)

Anmelde-/Kontaktdaten übermitteln wir an unser Kundenverwaltungssystem Bitrix24 (Hosting in einem EU-Rechenzentrum), um deine Anfrage zu bearbeiten und dich über den Beta-Start zu informieren (Art. 6 Abs. 1 lit. a, bei Unternehmens-Anfragen zusätzlich lit. f). Löschst du dein Konto, veranlassen wir die Löschung auch in unserem CRM (Art. 17 Abs. 2 DSGVO).

Vertriebskontakte und Anfragen

Wenn Sie uns über ein Formular auf unserer Website schreiben oder wenn wir mit Hotels, Unternehmen, Schulen, Coaches oder anderen Anbietern über eine Zusammenarbeit sprechen, verarbeiten wir die dienstlichen Kontaktdaten der jeweiligen Ansprechpersonen: Name, Funktion, Organisation, dienstliche E-Mail-Adresse und Telefonnummer. Dazu kommen Ihre Nachricht, Notizen zu unseren Gesprächen, vereinbarte Wiedervorlagen und Termine, der Stand der Gespräche, die E-Mails, die wir Ihnen schicken, und Ihre Einwilligungen samt Zeitpunkt und Wortlaut. Die Angaben stammen von Ihnen selbst (Formular, Terminbuchung, Telefonat, E-Mail) oder aus öffentlich zugänglichen Quellen wie der Website Ihres Hauses oder Unternehmens. Anfragen über unsere Website legen wir automatisch in unserer Kundenverwaltung an; schreiben Sie uns erneut mit derselben E-Mail-Adresse, ordnen wir die Anfrage Ihren vorhandenen Angaben zu.

Wir nutzen diese Angaben, um Ihre Anfrage zu beantworten, eine Geschäftsbeziehung anzubahnen und zu pflegen, Gespräche vorzubereiten und nachzuverfolgen und Ihnen Unterlagen zu schicken. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Sie uns angefragt haben oder ein Vertrag angebahnt wird, im Übrigen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die geschäftliche Ansprache und Betreuung möglicher Partner. Soweit Sie uns eine Einwilligung zur Kontaktaufnahme geben, ist Art. 6 Abs. 1 lit. a DSGVO die Grundlage.

Die Angaben liegen in unserer Datenbank bei Supabase in der Region Frankfurt am Main. E-Mails versenden wir über Strato in Deutschland. Beide arbeiten für uns als Auftragsverarbeiter. Eine Kopie jeder Vertriebs-E-Mail geht an unser internes Postfach. Wir geben die Angaben nicht an Dritte weiter. Daten aus der Innenstark-App, etwa zur Nutzung oder zu Gesprächen mit KAYA, fließen nie in unsere Vertriebsdaten.

Wir speichern die Angaben, solange wir Ihre Anfrage bearbeiten, eine Zusammenarbeit anbahnen oder sie besteht. Kommt keine Zusammenarbeit zustande oder widersprechen Sie, löschen wir die Angaben, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

Sie können eine Einwilligung jederzeit widerrufen und der Verarbeitung zu Zwecken der Direktwerbung jederzeit widersprechen (Art. 21 Abs. 2 DSGVO), formlos an hallo@innenstark.de. Wir vermerken den Widerspruch und schicken Ihnen danach keine Vertriebs-E-Mails mehr. Ihre übrigen Rechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Beschwerde bei einer Aufsichtsbehörde) gelten wie im Abschnitt zu Ihren Rechten beschrieben.

Gespräche, die Sie über unsere Terminbuchung vereinbaren oder die wir mit Ihnen vereinbaren, legen wir in unserem Google-Kalender (Google Workspace, Google Ireland Limited) an; Videogespräche führen wir über Google Meet. E-Mails an Vertriebskontakte tragen in der Fußzeile einen Link zu dieser Datenschutzerklärung.

Zahlungsabwicklung (Stripe)

Wenn du einen kostenpflichtigen Zugang oder Zusatzdienste (z. B. Jahreszugang oder KAYA) erwirbst, wickeln wir die Zahlung über den Zahlungsdienstleister Stripe ab. Anbieter für den europäischen Raum ist die Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland.

Zur Abwicklung der Transaktion, zur Betrugsprävention und zur Erfüllung steuerrechtlicher Nachweispflichten verarbeitet Stripe deine Zahlungsdaten (z. B. Name, Rechnungsanschrift, Zahlungsart, IBAN/Kreditkartennummer, Transaktionsbetrag, IP-Adresse und Kaufzeitpunkt). Wir selbst speichern zu keinem Zeitpunkt vollständige Kreditkarten- oder Bankdaten, sondern erhalten von Stripe lediglich eine Bestätigung über die erfolgreiche Zahlung und eine Transaktionskennung.

Rechtsgrundlage für die Datenverarbeitung ist die Erfüllung unseres Vertrages mit dir (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an einer sicheren und reibungslosen Zahlungsabwicklung (Art. 6 Abs. 1 lit. f DSGVO).

Soweit Daten durch Stripe an die Muttergesellschaft Stripe, Inc. in die USA übertragen werden, erfolgt dies auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission für das EU-U.S. Data Privacy Framework (DPF), unter dem Stripe zertifiziert ist, sowie ergänzender Standardvertragsklauseln (SCCs). Weitere Informationen findest du in der Datenschutzerklärung von Stripe.

KI-Dialogbegleiter KAYA (Amazon Web Services / Bedrock)

Wenn du unseren Dialogbegleiter KAYA nutzt, verarbeiten wir deine Chat-Eingaben, um dir passende Impulse, Reflexionen und Antworten bereitzustellen.

Die technische Bereitstellung und Ausführung der Sprachmodelle erfolgt über den Dienst Amazon Bedrock der Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg (Muttergesellschaft: Amazon.com, Inc., USA). Die Datenverarbeitung erfolgt ausschließlich in der europäischen AWS-Region Stockholm (eu-north-1).

Die von dir im Rahmen des KAYA-Dialogs eingegebenen Texte werden verschlüsselt an die Server übertragen, ausschließlich zur Generierung der Antwort verarbeitet und nicht für das Training öffentlicher KI-Modelle durch AWS verwendet. Rechtsgrundlage für die Bereitstellung von KAYA ist die Erfüllung unseres Vertrages mit dir (Art. 6 Abs. 1 lit. b DSGVO). Soweit du im Dialog sensible oder gesundheitsbezogene Aspekte thematisierst, erfolgt dies auf Grundlage deiner ausdrücklichen, jederzeit widerruflichen Einwilligung (Art. 6 Abs. 1 lit. a i. V. m. Art. 9 Abs. 2 lit. a DSGVO).

Eine Übermittlung von Metadaten an die US-Muttergesellschaft Amazon.com, Inc. kann aus administrativen und sicherheitstechnischen Gründen nicht vollständig ausgeschlossen werden. AWS ist nach dem EU-U.S. Data Privacy Framework (DPF) zertifiziert; zudem haben wir mit AWS Standardvertragsklauseln (SCCs) abgeschlossen.

Auftragsverarbeiter & Dienstleister

• Supabase — Datenbank, Authentifizierung, Audio-Speicher (EU/Frankfurt).
• Hostinger International Ltd. — Hosting/Server-Logs (Deutschland).
• Strato — E-Mail-Versand (Deutschland).
• Bitrix24 — CRM/Kontaktverwaltung (EU).
• Amazon Web Services (Amazon Bedrock) — KI-Dienst für KAYA (Region Stockholm, EU).
• sevDesk / Lexoffice — Buchhaltung/Belegerstellung (EU) — betrifft nur Geschäftspartner (Coaches/Partner), keine Endnutzer-Konten.

Mit diesen Dienstleistern schließen wir Auftragsverarbeitungsverträge nach Art. 28 DSGVO ab; den Stand je Dienstleister prüfen wir vor dem öffentlichen Launch.

Sicherheit

Wir schützen Daten u. a. durch verschlüsselte Übertragung (HTTPS), signierte/kurzlebige Audio-Links, datensparsame Missbrauchs-Erkennung (gehashte IP-Adressen), strenge Zugriffsregeln in der Datenbank (Row-Level-Security) sowie ein internes Protokoll sicherheits-/datenschutzrelevanter Aktionen (Audit-Log). Rechtsgrundlage ist unser berechtigtes Interesse an IT-Sicherheit und Nachweisbarkeit (Art. 6 Abs. 1 lit. f i. V. m. Art. 5 Abs. 2 und Art. 32 DSGVO).

Speicherdauer

Wir speichern personenbezogene Daten nur, solange es für den Zweck nötig ist. Konto-, Nutzungs- und Postfach-/Zustelldaten bleiben für die Dauer deines Kontos; bei Löschung werden sie gelöscht bzw. anonymisiert (deine Höraktivität und Bewertungen verlieren den Personenbezug, Lead-Anfragen werden gelöscht). Inaktive Konten löschen/anonymisieren wir nach einem festzulegenden Zeitraum ohne Aktivität. Einwilligungs- und Lösch-Nachweise bewahren wir aus Nachweisgründen rund 3 Jahre auf. Sicherheits-/ Datenschutz-Protokolle (Audit-Log) können pseudonyme Kennungen enthalten und überdauern eine Kontolöschung als Erfüllungsnachweis. Abrechnungs- und steuerrelevante Belege (z. B. Rechnungen bei Coaches, Partnern und Käufen) unterliegen den gesetzlichen Aufbewahrungsfristen (GoBD, § 147 AO, bis zu 10 Jahre). Sie bleiben in dieser Zeit unverändert erhalten, weil das Gesetz es so verlangt, und werden nach Ablauf der Frist gelöscht.

Einwilligungen & Widerruf

Erteilte Einwilligungen (z. B. Stress-Check, Erinnerungen per E-Mail, KAYA-Zahlen für dein Unternehmen, Marketing-Mails, E-Mails deines Gastgebers, Kontaktweitergabe an Coaches) kannst du jederzeit mit Wirkung für die Zukunft widerrufen, am einfachsten unter Einwilligungen & Datenschutz in der App. Dort widersprichst du auch der Einbeziehung deiner Nutzung in die zusammengefassten Statistiken (Art. 21 DSGVO). Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO).

Keine automatisierte Entscheidung

Es findet kein Profiling und keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO statt.

Ort der Datenverarbeitung und Übermittlung in Drittländer

Wir verarbeiten deine personenbezogenen Daten grundsätzlich auf Servern innerhalb der Europäischen Union (EU) und des Europäischen Wirtschaftsraums (EWR).

Soweit wir für bestimmte technische Funktionen externe Dienstleister (z. B. Zahlungsdienstleister, Cloud-Infrastruktur oder Push-Zustelldienste) einbinden, deren Mutterkonzerne ihren Sitz in einem Drittland außerhalb der EU/des EWR haben (insbesondere in den USA), stellen wir ein angemessenes Datenschutzniveau sicher. Dies geschieht:

• auf Grundlage eines förmlichen Angemessenheitsbeschlusses der Europäischen Kommission gemäß Art. 45 DSGVO (wie dem EU-U.S. Data Privacy Framework für US-Unternehmen, die entsprechend zertifiziert sind), und/oder
• durch Abschluss der von der Europäischen Kommission erlassenen Standardvertragsklauseln (Standard Contractual Clauses – SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO, verbunden mit technischen Schutzmaßnahmen (z. B. End-to-End-Verschlüsselung, europäische Serverstandorte).

Deine Rechte

• Auskunft, Berichtigung, Löschung, Einschränkung (Art. 15–18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)

Diese Rechte übst du am einfachsten direkt in der App aus: Einwilligungen im Datenschutz-Center, einen Datenexport kannst du dort beantragen (wir stellen ihn dir anschließend bereit), Konto-/Daten­löschung unter Abmelden & Daten löschen. Oder schreib uns an hallo@innenstark.de. Zuständige Aufsichtsbehörde ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA).

Stand: 29. September 2026 (Version 1.3)