Datenschutzerklärung

Entwurf: Angaben in [ECKIGEN KLAMMERN] sind Platzhalter; die Liste der Auftragsverarbeiter muss gegen die tatsächlich eingesetzten Dienste geprüft werden. Keine Rechtsberatung - vor Veröffentlichung anwaltlich prüfen lassen.

Kurz gesagt: Wir sammeln so wenig Daten wie möglich, verkaufen nichts weiter und hosten in der EU. Hier steht, was wir wann und warum verarbeiten - ohne Juristendeutsch, aber vollständig.

1. Verantwortlicher

[FIRMENNAME], [STRASSE HAUSNUMMER], [PLZ ORT], Österreich - E-Mail: [DATENSCHUTZ-E-MAIL]. Ein Datenschutzbeauftragter ist nicht bestellt, weil die gesetzlichen Voraussetzungen (Art. 37 DSGVO) nicht vorliegen. [Falls doch bestellt: Kontaktdaten einfügen.]

2. Zwei Rollen: deine Daten und die Daten deiner Mitglieder

• Für die Daten von Studio-Betreiber:innen und ihren Teams (Konto, Rechnung, Support) sowie von Website-Besucher:innen sind wir Verantwortlicher - darum geht es in dieser Erklärung.
• Für die Daten, die ein Studio über seine eigenen Mitglieder speichert (Profile, Buchungen, Gesundheitsangaben, Zahlungen), ist das Studio Verantwortlicher; wir verarbeiten sie nur als Auftragsverarbeiter nach Art. 28 DSGVO auf Weisung des Studios. Bist du Mitglied eines Studios, wende dich für deine Datenschutzrechte bitte an dein Studio.

3. Website-Besuch

• Server-Logs: IP-Adresse, Zeitpunkt, aufgerufene Seite, Referrer, Browser/OS - zur Sicherstellung des Betriebs und zur Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO); Löschung nach [z. B. 14 Tagen]. Hosting: [HOSTING-ANBIETER, Region].
• Web-Analyse: Wir nutzen Plausible Analytics - cookielos, ohne geräteübergreifendes Tracking, gehostet in der EU (Art. 6 Abs. 1 lit. f DSGVO). Es werden keine personenbezogenen Profile gebildet.
• Cookies: Die Website setzt nur technisch notwendige Cookies (z. B. Spracheinstellung, Login-Session). Dafür ist nach § 165 Abs. 3 TKG 2021 keine Einwilligung nötig; einen Cookie-Banner brauchst du hier deshalb nicht wegzuklicken.

4. Konto, Vertrag und Rechnung

Bei Registrierung verarbeiten wir Name, E-Mail, Studioname, Anschrift, Rollen und Login-Daten (Passwörter nur gehasht) zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Rechnungs- und Zahlungsdaten verarbeiten wir zusätzlich zur Erfüllung steuerrechtlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO; Aufbewahrung 7 Jahre nach § 132 BAO).

5. Zahlungen

Zahlungen wickelt die Stripe Payments Europe, Ltd. (Irland) ab. Stripe erhält die dafür nötigen Zahlungsdaten (z. B. IBAN oder Kartendaten) direkt; wir speichern keine vollständigen Zahlungsdaten. Soweit Stripe Daten in die USA überträgt, geschieht das auf Grundlage des EU-US Data Privacy Framework bzw. von Standardvertragsklauseln.

6. Produkt-Analyse und Kommunikation

• In der eingeloggten App messen wir die Nutzung mit PostHog über einen eigenen Proxy (t.studiohero.cloud), um das Produkt zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). [ANALYTICS-DETAILS/Hosting-Region prüfen.]
• Transaktions-E-Mails (z. B. Passwort-Reset, Rechnungen, Buchungsbestätigungen) versenden wir über [E-MAIL-PROVIDER] (Art. 6 Abs. 1 lit. b DSGVO).
• Support-Anfragen (Tickets, E-Mail, Telefonnotizen) verarbeiten wir zur Bearbeitung deines Anliegens (Art. 6 Abs. 1 lit. b bzw. f DSGVO).

7. Empfänger und Auftragsverarbeiter

Wir geben Daten nur an Dienstleister weiter, die wir vertraglich nach Art. 28 DSGVO gebunden haben: [HOSTING-ANBIETER] (Hosting, EU), Stripe Payments Europe Ltd. (Zahlungen), [E-MAIL-PROVIDER] (E-Mail-Versand), Plausible (Web-Analyse, EU), PostHog (Produkt-Analyse) [Liste gegen Live-Setup prüfen]. Ein Verkauf von Daten findet nicht statt. Übermittlungen in Drittländer erfolgen nur mit geeigneten Garantien (Angemessenheitsbeschluss oder Standardvertragsklauseln, Art. 44 ff. DSGVO).

8. Speicherdauer

Wir speichern Daten nur so lange wie nötig: Vertragsdaten für die Dauer des Vertrags plus 90 Tage (Rückkehr-/Exportfenster), Rechnungsdaten 7 Jahre (§ 132 BAO), Server-Logs [z. B. 14 Tage]. Danach löschen oder anonymisieren wir.

9. Deine Rechte

• Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21 DSGVO).
• Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.
• Wende dich dafür formlos an [DATENSCHUTZ-E-MAIL] - ein echter Mensch antwortet.
• Beschwerderecht: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, www.dsb.gv.at.

10. Keine automatisierten Einzelentscheidungen

Wir treffen keine automatisierten Entscheidungen mit rechtlicher Wirkung (Art. 22 DSGVO) und betreiben kein Profiling.

11. Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung; bei wesentlichen Änderungen informieren wir Kontoinhaber:innen per E-Mail.