Datenschutzerklärung

1. Datenschutz auf einen Blick

Ich nehme den Schutz Ihrer persönlichen Daten sehr ernst. Ich behandle Ihre personenbezogenen Daten vertraulich und entsprechend der Datenschutz-Grundverordnung (DSGVO), dem Bundesdatenschutzgesetz (BDSG) und dieser Datenschutzerklärung.

2. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist Julius Faubel. Die vollständigen Kontaktdaten finden Sie im Impressum.

3. Hosting und technische Bereitstellung

Diese Website läuft auf einem eigenen Server der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen) in einem Rechenzentrum in Nürnberg, Deutschland. Für Deployment und Betrieb nutze ich die Open-Source-Software Coolify, die ich selbst auf diesem Server betreibe; an den Hersteller von Coolify fließen dabei keine Daten. Beim Aufruf der Website verarbeitet der Server technisch notwendige Verbindungsdaten (IP-Adresse, Datum und Uhrzeit, angefragte Seite, Browsertyp), um die Seiten auszuliefern und Fehler zu erkennen. Diese Daten werden nur kurzfristig in Server-Protokollen vorgehalten und nicht für Auswertungen genutzt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb der Website). Beim Hosting findet keine Übermittlung in Drittländer statt.

4. Datenbank, Authentifizierung und Datei-Speicher (Supabase)

Für Kontaktanfragen, geschützte Bereiche (internes CRM, Kunden-Projekt-Portal) und bestimmte Funktionen setze ich Supabase (Supabase Inc., Hosting in Rechenzentren u. a. in der EU) ein. Verarbeitet werden je nach Nutzung: Lead-Daten, Projekt-Anfragen, Kunden-Account-Daten (Auth-User mit E-Mail-Adresse), Projekt-Inhalte, Nachrichten zwischen mir und Kund:innen sowie hochgeladene Dateien (Supabase Storage, privater Bucket, max. 25 MB pro Datei, beschränkte MIME-Liste). Der Zugriff auf Kunden-Daten und Dateien ist über Row-Level-Security (RLS) auf den jeweils eigenen Account beschränkt; ich selbst habe darüber hinaus Vollzugriff zur Bearbeitung. Dateien sind ausschließlich über zeitlich befristete, signierte URLs abrufbar. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen) und Art. 6 Abs. 1 lit. f DSGVO (Betrieb der Website und interner Geschäftsablauf). Mit Supabase besteht ein Auftragsverarbeitungsvertrag, soweit gesetzlich erforderlich.

5. Kontaktformular und Lead-Erfassung

Wenn Sie das allgemeine Kontaktformular nutzen, werden Ihre Angaben (Name, E-Mail, Nachricht) zur Bearbeitung Ihrer Anfrage verarbeitet. Die Anfrage wird als Lead in der Supabase-Datenbank gespeichert; abhängig vom Formular wird zusätzlich eine Benachrichtigungs-Mail über Resend (siehe unten) und/oder über EmailJS (EmailJS, Inc., USA) versandt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. Art. 6 Abs. 1 lit. f DSGVO bei allgemeinen Anfragen.

6. Projekt-Anfrage und Kunden-Portal

Über das Formular unter /anfrage können Sie strukturiert eine Projekt-Anfrage stellen. Pflichtfelder sind Ansprechpartner:in, E-Mail-Adresse, Projekt-Titel und eine Kurzbeschreibung; alle weiteren Felder (Firma, Website, Telefon, Rolle, Ziele, Anforderungen, Zeitrahmen, Budget-Vorstellung, bevorzugtes Abrechnungsmodell, sonstige Notizen) sind optional und beruhen auf Ihren eigenen Angaben. Die Daten werden in Supabase gespeichert; Sie und ich erhalten jeweils eine Bestätigungs- bzw. Benachrichtigungsmail per Resend. Zur Spam-Abwehr verwende ich ein verstecktes Honeypot-Feld, eine Mindest-Fülldauer von ca. 3 Sekunden und ein IP-basiertes Limit (max. 3 Anfragen pro Stunde); die IP-Adresse wird hierfür kurzzeitig im Funktions-Speicher gehalten und nicht persistent gespeichert. Auf Wunsch kann ich Ihnen einen persönlichen Anfrage-Link der Form /anfrage/<token> bereitstellen, bei dem ich das Formular vorausfülle; Sie ergänzen und senden ab. Der Token ist 24 Byte zufällig und nicht erratbar. Wird aus einer Anfrage ein aktives Projekt, lege ich für Sie einen eigenen Login (Supabase Auth-User) an. Sie erhalten dann per Resend eine Welcome-Mail mit Login-URL (/projekt/login) und einem zufällig generierten Initial-Passwort, das Sie beim ersten Login ändern können. Im Portal pflegen Sie Ihre Anforderungen, haken Checklist-Punkte ab, tauschen Nachrichten mit mir aus und können Dateien hochladen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung und -durchführung); für den Spam-Schutz Art. 6 Abs. 1 lit. f DSGVO.

6a. Unterstützerseiten für eigene Vorhaben (/mitmachen)

Auf Seiten unter /mitmachen/<name> können Sie ein privates Vorhaben von mir (z. B. ein Sport- oder Stadtprojekt) unterstützen. Verarbeitet werden Name, E-Mail-Adresse, optional Wohnort und eine Nachricht sowie Ihre Auswahl, ob die Nachricht öffentlich erscheinen darf, ob Sie Updates per Mail möchten und, falls angegeben, welcher der vorgeschlagenen Standorte Ihr Favorit ist. Gezählt wird Ihre Unterstützung erst nach Bestätigung über einen Link, den ich per Resend an Ihre Adresse schicke (Double-Opt-in); unbestätigte Einträge werden nach 7 Tagen automatisch gelöscht. Öffentlich sichtbar sind nur die Gesamtzahl, die Zahl der Stimmen je Standort (ohne Namen) und, wenn Sie das ausdrücklich angehakt haben, Ihr Vorname, Wohnort und Ihre Nachricht. Ihre E-Mail-Adresse wird nie veröffentlicht. Ich nutze die Angaben, um gegenüber Stadt, Vereinen oder Förderern zu zeigen, wie viele Menschen das Vorhaben unterstützen, und, falls gewünscht, für gelegentliche Updates. Spam-Schutz wie bei der Projekt-Anfrage (Honeypot, Mindest-Fülldauer, IP-Limit im Funktions-Speicher). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), jederzeit widerruflich per Mail an mich; die Daten werden dann gelöscht.

6b. Pumptrack-Lotse (pumptrack.brainmotion.ai)

Anfrage: Wenn Sie über pumptrack.brainmotion.ai/anfrage Kontakt aufnehmen, verarbeite ich Name, E-Mail-Adresse, Ort sowie optional Telefon, Gemeinde/Amt/Verein, Ihre Rolle, Ihr Anliegen und Ihre Nachricht. Wenn Sie es nicht abwählen, sende ich zusätzlich den Stand Ihres Fahrplans, Ihre Kostenschätzung und, falls vorhanden, den Link zu Ihrem gespeicherten Fahrplan mit. Die Anfrage wird als Lead in der Supabase-Datenbank gespeichert; Sie erhalten eine Eingangsbestätigung und ich eine Benachrichtigung per E-Mail (Resend) sowie per Telegram (Telegram Messenger Inc.) mit Name, E-Mail-Adresse, Ort, Rolle und Anliegen. Spam-Schutz: Honeypot-Feld und ein IP-Limit im Arbeitsspeicher des Servers (die IP-Adresse wird nicht gespeichert). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung einer Zusammenarbeit) bzw. lit. f DSGVO bei allgemeinen Anfragen.

Fahrplan und Kostenrechner: Ihr Ortsprofil, abgehakte Schritte und Ihre Eingaben im Kostenrechner werden zunächst nur im Local Storage Ihres Browsers gespeichert und verlassen Ihr Gerät nicht. Erst wenn Sie „Als Link speichern“ wählen, speichere ich in der Supabase-Datenbank das Ortsprofil (Ortsname, Größe, Lage, Ihre Rolle als Bürger/Verein/Verwaltung/Gemeinderat, Fläche, Bundesland, aktuelle Phase) und die Liste der erledigten Schritte. Namen, E-Mail- oder IP-Adressen werden dabei nicht gespeichert. Der Link enthält einen zufälligen Schlüssel, von dem ich nur einen Hash speichere; jede Person mit dem Link kann den Fahrplan ansehen und abhaken. Bei neu gespeicherten Fahrplänen erhalte ich eine Telegram-Nachricht mit Ortsname, Rolle und Phase. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung der gewünschten Funktion). Auf Wunsch lösche ich einen gespeicherten Fahrplan — schicken Sie mir dazu den Link per E-Mail.

6c. brainmotion App (Registrierung, persönlicher Bereich, Abo)

Unter /registrieren können Sie ein Konto für die brainmotion App anlegen. Verarbeitet werden Vorname, E-Mail-Adresse und ein Passwort (nur als Hash bei Supabase gespeichert). Das Konto wird erst nach Bestätigung über einen Link per E-Mail aktiv; ich erhalte dabei eine Benachrichtigung per Telegram mit Vorname und E-Mail-Adresse. Im persönlichen Bereich speichern Sie selbst Inhalte wie Aufgaben, Ziele, Tagebuch- und Traumeinträge, Trainingsdaten und Dokumente. Diese Daten sind per Row-Level-Security ausschließlich Ihrem Konto zugeordnet; andere Nutzer:innen können sie nicht sehen. Der Tresor („Meine Daten") ist Ende-zu-Ende verschlüsselt — der Schlüssel entsteht aus Ihrer Passphrase auf Ihrem Gerät, ich kann diese Inhalte nicht lesen. Tagebuch- und Traumeinträge können besonders sensible Angaben (z. B. zur Gesundheit) enthalten; sie werden nur verarbeitet, weil und soweit Sie sie selbst eintragen. KI-Funktionen (Assistent, Gedächtnis-Suche, Transkription, Schlagwort-Vorschläge) übermitteln Ihre Anfrage und die dafür nötigen eigenen Einträge an Anthropic bzw. OpenAI (siehe Abschnitt 8) — nur wenn Sie eine solche Funktion auslösen. Für die Abrechnung des KI-Guthabens speichere ich je Anfrage Zeitpunkt, Funktion, Token-Anzahl und Kosten, nicht den Inhalt. Für kostenpflichtige Tarife gilt Abschnitt 10. Verbinden Sie freiwillig Strava, werden die Zugangsschlüssel nur Ihrem Konto zugeordnet gespeichert. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag), für besonders sensible Angaben in Ihren Einträgen Art. 9 Abs. 2 lit. a DSGVO (Ihre ausdrückliche Einwilligung durch das Eintragen und Nutzen der Funktionen, jederzeit widerruflich durch Löschen der Einträge). Speicherdauer: bis zur Löschung Ihres Kontos; Export und Löschung können Sie unter „Abo & KI-Guthaben" anfragen, ich erledige das innerhalb von 30 Tagen. Abrechnungsdaten bewahre ich nach den gesetzlichen Fristen (bis zu 10 Jahre) auf.

7. E-Mail-Versand (Resend)

Ausgehende E-Mails (Bestätigungen, Welcome-Mails, CRM-Korrespondenz, Benachrichtigungen aus dem Anfrage- und Projekt-Portal) werden über den Dienst Resend (Resend, Inc., USA) versendet. Verarbeitet werden Empfänger-Adresse, Inhalt und Zustell-Metadaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Für Übermittlungen in die USA werden geeignete Garantien (insb. EU-Standardvertragsklauseln) eingesetzt, soweit erforderlich.

8. KI-Dienste (OpenAI, Anthropic)

Im internen, geschützten Bereich setze ich generative KI-Dienste der Anbieter OpenAI, L.L.C. (USA) und Anthropic, PBC (USA) ein — z. B. für E-Mail-Entwürfe, Dokumenten-Analyse, Audio-Transkription (Whisper), Lead-Recherche und eine Nachrichten-Recherche mit eingebauter Web-Suche. Wenn ich diese Funktionen nutze, werden die jeweils notwendigen Eingaben (z. B. Lead-Daten, Dokumenten-Auszüge, Audio-Dateien, Such-Anfragen) an OpenAI bzw. Anthropic übermittelt und dort zur Bereitstellung der Antwort verarbeitet. Beide Anbieter sichern in ihren API-Bedingungen zu, API-Eingaben nicht zum Training ihrer Modelle zu verwenden. Daten, die Sie über das öffentliche Anfrage-Formular eingeben, werden nicht automatisch an OpenAI oder Anthropic übermittelt — eine KI-Verarbeitung erfolgt nur, wenn ich im internen Bereich eine entsprechende Funktion auslöse. Eine Übermittlung in die USA findet statt; geeignete Garantien (insb. EU-Standardvertragsklauseln) werden eingesetzt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) bzw. Art. 6 Abs. 1 lit. f DSGVO (effiziente Bearbeitung von Geschäftsanfragen).

9. Terminbuchung (Cal.com)

Wenn Sie einen Termin über die eingebettete oder verlinkte Cal.com-Funktion buchen, werden Ihre Angaben durch Cal.com (Cal.com, Inc., USA) zur Terminabwicklung verarbeitet. Es gelten die Datenschutzbestimmungen von Cal.com. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

10. Zahlungsabwicklung (Stripe)

Für kostenpflichtige Buchungen (z. B. AcroYoga-Events) und Abos der brainmotion App (einschließlich der Abrechnung von KI-Mehrverbrauch) wickle ich die Zahlung über Stripe (Stripe Payments Europe, Limited, Irland, sowie Stripe, Inc., USA) ab. Sie geben Ihre Zahlungsdaten (Karten- oder Kontodaten) direkt bei Stripe ein — ich selbst speichere keine Karten- oder Bankdaten. Stripe übermittelt mir den Buchungs- und Zahlungs-Status (z. B. „bezahlt", „erstattet") sowie die zur Auftragsabwicklung notwendigen Angaben. Eigene Verarbeitung durch Stripe: siehe Datenschutzerklärung von Stripe. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Bei Übermittlungen in die USA werden geeignete Garantien eingesetzt.

11. Schriftarten (Self-Hosting)

Die Schriftfamilie Inter wird über dieselbe Domain wie diese Website ausgeliefert (kein Abruf von Schriftdateien bei Google Fonts oder anderen Anbietern zu diesem Zweck). Die Schrift steht unter der SIL Open Font License. Rechtsgrundlage für die lokale Auslieferung: Art. 6 Abs. 1 lit. f DSGVO (einheitliches Erscheinungsbild der Website).

12. Cookies und lokale Speicherung

Es werden technisch notwendige Cookies bzw. Local Storage genutzt, z. B. für die Authentifizierung im geschützten Bereich (Supabase-Session). Die Besucherstatistik (siehe 12a) speichert nichts in Ihrem Browser. Es werden keine rein werblichen Tracking-Cookies eingesetzt.

12a. Besucherstatistik (eigene Auswertung)

Um zu sehen, welche Seiten genutzt werden, zähle ich Seitenaufrufe mit einer eigenen Statistik. Sie kommt ohne Cookies, ohne Speicherung in Ihrem Browser (kein Local oder Session Storage) und ohne externe Analysedienste aus. Gespeichert werden: aufgerufene Seite, verweisende Seite, Kampagnen-Parameter (UTM), Browserkennung (User-Agent) und daraus abgeleiteter Gerätetyp sowie der Zeitpunkt. Um Aufrufe einem Besuch zuzuordnen, bildet der Server aus IP-Adresse, Browserkennung, Datum und einem geheimen Schlüssel einen Hashwert, der nur für den jeweiligen Kalendertag gilt; am nächsten Tag lässt sich derselbe Besucher nicht mehr wiedererkennen. Die IP-Adresse selbst wird nicht gespeichert. Um zu erkennen, ob ein Aufruf aus einem Firmennetz stammt, fragt der Server die IP-Adresse per Reverse-DNS und beim öffentlichen Register-Dienst rdap.org ab und speichert gegebenenfalls Name, Domain und Land des Netz-Inhabers. Bei privaten Internetanschlüssen ist das in der Regel nur der Provider. Damit diese Abfrage nicht bei jedem Aufruf neu nötig ist, merkt sich der Server das Ergebnis zu einem gesalzenen Hash der IP-Adresse für höchstens 30 Tage. Erkannte Firmennamen gleiche ich mit meinen eigenen Geschäftskontakten ab. Die Daten sind nur für mich einsehbar und werden nicht an Dritte weitergegeben. Sendet Ihr Browser „Do Not Track“ oder „Global Privacy Control“, wird nichts erfasst; im eingeloggten Bereich wird ebenfalls nichts gezählt. Die Statistikdaten werden 14 Monate nach dem letzten Aufruf eines Besuchs automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung der Website). Sie können jederzeit per E-Mail widersprechen.

13. Ihre Rechte

Sie haben folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), z. B. der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)

14. Speicherdauer

Ich speichere personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen. Projekt-Anfragen ohne weitere Kontaktaufnahme lösche ich in der Regel nach 24 Monaten; aktive Projektdaten bestehen, solange das Projekt läuft oder Sie Zugriff auf das Portal wünschen. Auf Wunsch lösche ich Daten früher.

15. Änderungen

Ich behalte mir vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen meiner Leistungen abzubilden. Bitte informieren Sie sich regelmäßig über den Inhalt.