Soweit diese Dienste Daten in unserem Auftrag verarbeiten, nutzen wir sie in Tarifen, die einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO enthalten. Einige Anbieter handeln teilweise in eigener Verantwortung: Zahlungsanbieter für die Zahlungsabwicklung, Apollo.io für seine eigene Kontaktdatenbank, Trustpilot für die auf seiner Plattform veröffentlichten Bewertungen, Meta für eigene Zwecke nach der Übermittlung der Daten (Punkt 5) und die Social-Media-Plattformen (Punkt 17). Wo der Anbieter das anbietet, schließen wir in den Einstellungen die Nutzung Ihrer Daten zum Training von KI-Modellen aus. Wo ein Anbieter in unserem Tarif eine Speicherung in der EU anbietet, wählen wir sie.

 

4. Website: Hosting, Server-Logfiles und Sicherheit

​

Unsere Website wird über Wix (Wix.com Ltd., 40 Namal Tel Aviv St., Tel Aviv, Israel) betrieben und gehostet. Für Israel besteht ein Angemessenheitsbeschluss der Europäischen Kommission. Wix setzt außerdem Unterauftragsverarbeiter ein, unter anderem in den USA (siehe Punkt 20).

Wenn Sie die Website aufrufen, werden technisch notwendige Daten verarbeitet:

• IP-Adresse

• Datum und Uhrzeit des Zugriffs

• aufgerufene Seiten

• Referrer-URL

• Browser, Betriebssystem und Geräteinformationen

• HTTP-Statuscode

Zweck: sichere und stabile Bereitstellung der Website, Fehleranalyse, Abwehr von Missbrauch.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einem sicheren, funktionsfähigen Webauftritt).
Speicherdauer: Logdaten löscht Wix nach seinen eigenen Fristen.

​

5. Cookies und vergleichbare Technologien

​

Cookie-Banner: Beim ersten Besuch unserer Website fragt unser Cookie-Banner nach Ihrer Auswahl. Es wird von Usercentrics bereitgestellt (Usercentrics GmbH, Sendlinger Str. 7, 80331 München, Deutschland). Usercentrics speichert Ihre Auswahl, Datum und Uhrzeit sowie technische Angaben zu Ihrem Browser und Gerät, damit wir Ihre Auswahl beachten und Ihre Einwilligung nachweisen können (Art. 6 Abs. 1 lit. c und Art. 7 Abs. 1 DSGVO). Sie können zwischen den Kategorien „Essenziell“, „Funktional“, „Analyse“ und „Marketing“ wählen oder alles ablehnen, was nicht essenziell ist.

​

Immer aktiv (ohne Einwilligung):

• Technisch notwendige Cookies von Wix, zum Beispiel für die Sicherheit, die Anmeldung im Mitgliederbereich, den Warenkorb und die Speicherung Ihrer Cookie-Auswahl (§ 165 Abs. 3 TKG 2021; Art. 6 Abs. 1 lit. f DSGVO).

• Trustpilot-Widget (Trustpilot A/S, Pilestræde 58, 1112 Kopenhagen, Dänemark): Auf unseren Seiten zeigt ein kleines Trustpilot-Feld unsere Bewertungen und ermöglicht Ihnen, eine Bewertung abzugeben. Beim Laden verbindet sich Ihr Browser mit den Servern von Trustpilot, die dabei Ihre IP-Adresse sowie technische Browser- und Gerätedaten erhalten. Rechtsgrundlage: unser berechtigtes Interesse, echte Kund:innenbewertungen zu zeigen (Art. 6 Abs. 1 lit. f DSGVO). Schreiben Sie eine Bewertung auf Trustpilot, verarbeitet Trustpilot diese in eigener Verantwortung.

• Stresstests (Punkt 8): Auf den Stresstest-Seiten wird der Test von Quizell bzw. aus unserer Lovable-App geladen. Ihr Browser verbindet sich beim Aufruf der Seite mit deren Servern. Rechtsgrundlage: Bereitstellung des Tests, den Sie nutzen möchten (Art. 6 Abs. 1 lit. b und f DSGVO).

 

Nur mit Ihrer Einwilligung (§ 165 Abs. 3 TKG 2021; Art. 6 Abs. 1 lit. a DSGVO):

• Wix Analytics (Statistik, Kategorie „Analyse“): Wix erfasst, wie unsere Website genutzt wird, etwa aufgerufene Seiten, Verweildauer und Gerätetyp, damit wir sie verbessern können.

• Meta Pixel (Marketing, Kategorie „Marketing“; Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, Irland): Das Pixel erfasst Ihren Besuch und Ihre Aktionen auf unserer Website und übermittelt sie an Meta, damit wir den Erfolg unserer Werbeanzeigen auf Facebook und Instagram messen und Anzeigen passenden Personen zeigen können. Für die Erhebung und Übermittlung dieser Daten sind wir gemeinsam mit Meta verantwortlich (Art. 26 DSGVO); Vereinbarung von Meta: https://www.facebook.com/legal/controller_addendum. Meta verarbeitet die Daten danach in eigener Verantwortung weiter, auch in den USA (Punkt 20).

• Eingebettete YouTube-Videos (Kategorie „Funktional“; Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland): Wo wir YouTube-Videos einbinden, werden sie erst nach Ihrer Einwilligung geladen. YouTube erhält dann Ihre IP-Adresse und Nutzungsdaten und kann Cookies setzen; Daten können in die USA übermittelt werden (Punkt 20).

 

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über die Privatsphäre-Einstellungen unseres Cookie-Banners (Usercentrics) ändern oder widerrufen, die Sie auf der Website jederzeit wieder öffnen können. Außerdem können Sie Cookies in Ihrem Browser löschen.

​

6. Kontaktaufnahme per E-Mail, Telefon oder Formular

​

Wenn Sie uns kontaktieren, verarbeiten wir die Angaben, die Sie uns dabei machen. Das sind etwa Ihr Name, Ihre E-Mail-Adresse, Ihre Telefonnummer, der Inhalt Ihrer Nachricht und gegebenenfalls Ihr Unternehmen. Wir nutzen sie, um Ihre Anfrage zu beantworten und gegebenenfalls einen Vertrag vorzubereiten.

​

• Wo die Daten liegen: E-Mails in Microsoft 365 (Outlook), Formulareingaben in Wix (Anfrageformular für RE:FOCUS AI: Punkt 12). Zur weiteren Bearbeitung legen wir sie gegebenenfalls als Aufgabe in Notion oder Asana an.

• KI-Unterstützung: Antwortentwürfe können von einem KI-Agenten vorbereitet werden. Eine Person aus unserem Team liest und gibt jede persönliche Antwort frei, bevor sie verschickt wird (Punkt 11).

• Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der effizienten Beantwortung von Anfragen).

​

Senden Sie uns von sich aus Angaben zu Ihrer Gesundheit, verarbeiten wir diese nur, um Ihre Anfrage zu beantworten, und bitten Sie in unserer ersten Antwort um Ihre ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Erteilen Sie sie nicht, löschen wir diese Angaben spätestens 30 Tage nach unserer Antwort. Solche Nachrichten bearbeitet Dr. Alexandra Haller persönlich; sie gehen nicht an KI-Agenten. Dafür nutzen wir getrennte Posteingänge bzw. Ordner, auf die die Agenten keinen Zugriff haben.

Bitte senden Sie uns Gesundheitsinformationen nicht per Social-Media-Direktnachricht. Für persönliche Anliegen nutzen Sie bitte E-Mail oder ein Gespräch.

​

7. Terminbuchung, Gratis-Info-Session und Online-Meetings

​

Wenn Sie einen Termin buchen, verarbeiten wir die dafür nötigen Daten, etwa die Gratis-Info-Session, einen AKUT-Call oder einen Mental Performance Check:

• Name

• E-Mail-Adresse

• Telefonnummer (falls angegeben)

• gewünschter Termin

• Ihre Angaben zum Anliegen

• Wo die Daten liegen: im Buchungssystem von Wix und in unserem Microsoft-365-Kalender.

• Unterstützung durch KI: Unser Planungsagent kann Datum und Uhrzeit des Termins (ohne Terminart und ohne Ihre Angaben zum Anliegen) in die Tagesplanung übernehmen (Punkt 11). Ihre Angaben zum Anliegen erhalten die KI-Agenten nicht; diese liest Dr. Alexandra Haller persönlich.

• Online-Gespräche führen wir über Zoom (im Einzelfall über Microsoft Teams). Dabei werden Bild und Ton, Chatnachrichten und technische Verbindungsdaten verarbeitet. Zoom verarbeitet Daten auch in den USA (Punkt 20).

• Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO; für Angaben zu Ihrer Gesundheit im Buchungsformular Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung im Formular).

 

8. Stresstest und Fragebögen zu Belastung und Leistungsfähigkeit

​​

 

Wenn Sie einen unserer Stresstests oder einen vergleichbaren Fragebogen ausfüllen, verarbeiten wir Ihre Antworten. Das sind etwa Angaben zu Stressbelastung, Schlaf, Erschöpfung, Regeneration, Alltag und Zielen sowie Ihre Kontaktdaten, wenn Sie diese eingeben. Wir nutzen sie, um Ihnen eine Auswertung zu geben, Sie auf Wunsch zu kontaktieren und ein mögliches Gespräch vorzubereiten.

​

Diese Angaben können Gesundheitsdaten sein (Art. 4 Z 15 DSGVO). Wir verarbeiten sie nur, wenn Sie vor dem Absenden ausdrücklich einwilligen.

​

• Wo die Daten liegen: Unser 60-Sekunden-Stresstest läuft über Quizell (Quizell Ltd.); unser ausführlicher Stresstest läuft über eine App, die wir mit Lovable (Lovable Labs Incorporated AB, Schweden) gebaut haben; die Antworten werden in einer Datenbank von Supabase Inc. gespeichert. Beide sind in unsere Website eingebettet. Ihre Auswertung wird automatisch nach einem festen Punkteschema erstellt; sie ist keine Diagnose, und es wird keine Entscheidung über Sie darauf gestützt.

• Rechtsgrundlagen: Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO.

• Speicherdauer: Wenn keine Zusammenarbeit entsteht, löschen wir Ihre Antworten spätestens 12 Monate nach dem letzten Kontakt, oder früher, wenn Sie das verlangen oder Ihre Einwilligung widerrufen.

 

9. Coaching, Mentoring, Workshops, Mitgliederbereich und HRV-Analysen

​

Welche Daten: Wenn Sie unsere Leistungen nutzen, verarbeiten wir

• Stamm- und Kontaktdaten,

• Vertrags-, Buchungs- und Rechnungsdaten,

• Termin- und Kommunikationsdaten, und

• Inhalte der Zusammenarbeit, also Ihre Ziele, Herausforderungen, Belastungen, Check-ins, Fragebögen und Fortschritte.

 

Je nach Angebot kommen HRV-, Herzfrequenz-, Schlaf- und Erholungsdaten hinzu, die Sie aus Messungen, Wearables oder Apps bereitstellen.

​

Gesundheitsdaten: Unsere Leistungen sind keine medizinische, psychotherapeutische oder klinisch-psychologische Behandlung. Viele der Inhalte sind dennoch Gesundheitsdaten. Wir verarbeiten sie nur auf Grundlage Ihrer ausdrücklichen Einwilligung, die wir vor Beginn der Zusammenarbeit gesondert einholen (Art. 9 Abs. 2 lit. a DSGVO). Sie können diese Einwilligung jederzeit widerrufen. Ohne sie können wir nur eingeschränkt mit Ihnen arbeiten, weil wir dann keine Notizen zu Ihrem Befinden führen dürfen.

​

Wo die Daten liegen:

• Coaching-Notizen führen wir in einem zugangsgeschützten Bereich (Notion oder Microsoft OneDrive), auf den nur Dr. Alexandra Haller Zugriff hat. Wir verwenden dort ein Kürzel statt Ihres vollen Namens.

• HRV-Berichte und Messdaten speichern wir in Microsoft OneDrive. Messen Sie mit Ihrem eigenen Gerät oder Ihrer eigenen App (z. B. Brustgurt oder Wearable), verarbeitet deren Anbieter diese Daten in eigener Verantwortung nach seiner eigenen Datenschutzerklärung; Sie übermitteln uns nur die Werte oder Berichte, die wir für die Analyse brauchen.

• Mitgliederbereich und Kursinhalte laufen über Wix. Dort verarbeiten wir Ihr Nutzerkonto, Ihren Kursfortschritt und Ihre Beiträge.

• Rechnungen erstellen wir in Wix oder Microsoft 365 und bewahren sie in Microsoft OneDrive und bei unserer Steuerberatung auf (Punkt 14).

​

Workshops für Unternehmen: Ihr Arbeitgeber erhält von uns keine personenbezogenen Auswertungen über einzelne Teilnehmende, es sei denn, Sie willigen ausdrücklich ein. Wir berichten höchstens zusammengefasst und anonym. Als Teilnehmende an Firmen-Workshops erhalten wir Ihre Kontaktdaten in der Regel von Ihrem Arbeitgeber. Rechtsgrundlage dafür ist unser berechtigtes Interesse, den mit Ihrem Arbeitgeber vereinbarten Workshop durchzuführen (Art. 6 Abs. 1 lit. f DSGVO). Gesundheitsbezogene Angaben, die Sie im Workshop machen, verarbeiten wir nur mit Ihrer Einwilligung.

​

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung für Gesundheitsdaten), Art. 9 Abs. 2 lit. f DSGVO (Abwehr von Rechtsansprüchen, Punkt 21), Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungspflichten).

 

10. Aufzeichnung und Transkription von Gesprächen

​

Manche Gespräche zeichnen wir mit Fireflies.ai (Fireflies.AI Corp., USA) auf und lassen sie automatisch transkribieren und zusammenfassen. Das können Erstgespräche, Coaching-Sitzungen, Workshops oder Projektbesprechungen sein. Dabei kommt KI zum Einsatz.

​

• Wir tun das nur, wenn alle Teilnehmenden vorher eingewilligt haben. Wir weisen außerdem zu Beginn jeder Aufnahme darauf hin.

• Für RE:FOCUS-AI-Gespräche (Erstgespräch, Kick-off und Übergabegespräch) geben Sie diese Einwilligung mit einem freiwilligen Häkchen bei der Terminbuchung (Wix Bookings); zu Beginn des Gesprächs fragen wir noch einmal nach. Bitte zeigen Sie während der Aufnahme keine Daten Ihrer Kund:innen am Bildschirm; ist das nötig, unterbrechen wir die Aufnahme. Ohne Häkchen wird Fireflies nicht eingeladen. Nehmen weitere Personen teil, holen wir vor der Aufnahme auch deren Einwilligung ein.

• Die Aufzeichnung ist freiwillig. Gespräch, Coaching und Angebot finden genauso statt, wenn Sie nicht zustimmen.

• Sie können die Einwilligung jederzeit widerrufen, auch während eines Gesprächs. Wir beenden die Aufnahme dann umgehend.

• Zweck: Nachbereitung des Gesprächs, Erstellung von Notizen und Aufgaben, bei RE:FOCUS AI die Ausarbeitung Ihres Angebots.

• Gespräche mit Gesundheitsbezug (Coaching, Mentoring, Gratis-Info-Session, AKUT-Call, Mental Performance Check, HRV-Besprechung): Aufnahme, Transkript und Zusammenfassung legen wir in einem getrennten Bereich ab, auf den nur Dr. Alexandra Haller Zugriff hat. Kein KI-Agent verarbeitet sie weiter.

• Geschäftliche Gespräche (z. B. RE:FOCUS-AI-Erstgespräche, Projektbesprechungen, Workshop-Planung mit Unternehmen): Aus dem Transkript können KI-Agenten eine Zusammenfassung, Aufgaben und einen Angebotsentwurf erstellen und in unserem Arbeitsbereich (Notion) ablegen (Punkt 11). Kommen dabei doch persönliche Gesundheitsangaben vor, entfernen wir diese vor der Weiterverarbeitung.

• Speicherdauer:

  • Coaching-Sitzungen, Erstgespräche (auch RE:FOCUS-AI-Erstgespräche) und sonstige Gespräche: Aufnahme und Transkript löschen wir spätestens 6 Monate nach dem Gespräch.

  • RE:FOCUS-AI-Projektgespräche (Kick-off, Übergabe): Aufnahme und Transkript löschen wir spätestens 6 Monate nach Ende der Fix-Phase, damit Sie und wir bis dahin darauf zurückgreifen können. Auf Wunsch erhalten Sie vorher eine Kopie oder wir löschen früher.

  • Für die daraus erstellten Notizen und Zusammenfassungen gelten die Fristen für Coaching-Notizen bzw. Vertragsunterlagen in Punkt 21.

• Weitergabe: Fireflies verarbeitet die Daten in den USA und setzt dafür Unterauftragsverarbeiter ein, auch Anbieter von KI-Modellen. Fireflies nimmt nur an Gesprächen teil, zu denen wir es einladen, und Zusammenfassungen werden nicht automatisch an Teilnehmende verschickt.

• Rechtsgrundlagen: Art. 6 Abs. 1 lit. a DSGVO; soweit Gesundheitsdaten besprochen werden, Art. 9 Abs. 2 lit. a DSGVO.

 

11. Einsatz von KI-Werkzeugen und KI-Agenten

​

Wir organisieren einen Teil unserer Arbeit mit KI-Agenten. Das sind Programme, die auf einem Sprachmodell beruhen, Aufgaben nach festen Anweisungen erledigen und dabei auf ausgewählte Tools zugreifen. Derzeit nutzen wir dafür vor allem Claude (Anthropic). Die Verbindung zu unseren anderen Tools läuft über n8n (n8n GmbH, Deutschland) und über die Schnittstellen der jeweiligen Tools.

​

Wofür wir KI-Agenten einsetzen:

• Organisation: Tagesplanung, Sortieren von Aufgaben, Notizen und Aufnahmen geschäftlicher Gespräche, Ablage in Notion, Asana und Microsoft OneDrive.

• Anfragen und Termine: Zusammenfassen eingehender Anfragen, Vorbereiten von Erstgesprächen, Entwürfe für Antworten und Angebote.

• Inhalte: Recherche, Ideen, Texte und Grafiken für Social Media, Website, Kurse und Workbooks. Für Instagram nutzen wir dafür Manus. Dort recherchieren KI-Agenten Trends, Mitbewerber:innen und den Markt, entwerfen Beiträge und planen deren Veröffentlichung. Kund:innen- oder Coaching-Daten geben wir nicht an Manus weiter.

• Vertrieb: Recherche öffentlich zugänglicher Informationen über Unternehmen, Entwürfe für Geschäftsnachrichten, Pflege von Kontaktlisten (Punkt 16).

• Administration: Sortieren von Belegen und Dokumenten.

 

Unsere Regeln:

1. Ein Mensch prüft. Alles, was wir Ihnen persönlich schreiben – Antworten und Angebote –, liest und gibt eine Person aus unserem Team frei. Ausgenommen sind automatische Bestätigungen (Eingangs-, Buchungs- und Bestellbestätigungen sowie automatisch erstellte Rechnungen aus dem Online-Shop); nicht bei RE:FOCUS-AI-Anfragen, dort gibt ein Mensch auch die Bestätigung frei (Punkt 12). Beiträge für Social Media geben wir vor der Einplanung frei. Die KI trifft keine Entscheidung über Sie.

​

2. Keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO. Ein Agent kann zum Beispiel eine Anfrage zusammenfassen und nach unseren Kriterien vorsortieren, etwa nach Thema, gewünschtem Umfang oder Dringlichkeit; bei RE:FOCUS-AI-Anfragen auch danach, wie gut gewünschter Umfang und Budget zu unserem Angebot passen (Punkt 12). Ob und wie wir mit Ihnen zusammenarbeiten, entscheidet immer ein Mensch.

​

3. Kein KI-Training mit Ihren Daten, soweit wir das ausschließen können. Für Kund:innendaten nutzen wir kommerzielle Tarife bzw. Schnittstellen, bei denen die Anbieter Ihre Daten nach ihren Vertragsbedingungen nicht zum Training ihrer Modelle verwenden, und schließen mit ihnen Auftragsverarbeitungsverträge. Bei Werkzeugen ohne Kund:innendaten (z. B. Manus für öffentliche Recherche) schalten wir die Trainingsnutzung ab, wo der Anbieter das ermöglicht.

​

4. Datensparsamkeit. Agenten erhalten nur Zugriff auf die Tools und Daten, die sie für ihre Aufgabe brauchen. Wo möglich, arbeiten sie mit Kürzeln statt Namen.

​

5. Keine Gesundheitsdaten in KI-Agenten. Unsere KI-Agenten verarbeiten keine Gesundheitsdaten: keine Inhalte aus Coaching-Gesprächen, keine Gesundheitsangaben aus E-Mails, Buchungen oder Fragebögen und keine HRV-Daten. Aufnahmen und Unterlagen mit Gesundheitsbezug liegen in getrennten Bereichen, auf die die Agenten keinen Zugriff haben (getrennte Ordner und Berechtigungen) (Punkte 6, 7, 9 und 10). Die einzige KI, die Coaching-Gespräche verarbeitet, ist die Transkription und Zusammenfassung durch Fireflies, und nur mit Ihrer Einwilligung (Punkt 10).

​

6. KI-Kennzeichnung. Sprechen Sie mit einem KI-System, ohne dass ein Mensch dazwischen ist, etwa mit einem Chat-Assistenten auf der Website, weisen wir darauf hin (Art. 50 KI-Verordnung).

​

KI-Verordnung (EU) 2024/1689: Für unsere eigene Arbeit sind wir Betreiberin der eingesetzten KI-Systeme. Wir setzen keine verbotenen Praktiken ein (Art. 5 KI-VO), etwa keine Erkennung von Emotionen in Workshops, und keine KI für Hochrisiko-Bereiche wie die Auswahl von Bewerber:innen. Alle, die bei uns mit KI arbeiten, sind dafür geschult (Art. 4 KI-VO). KI-generierte Bilder oder Videos, die echt wirken könnten, kennzeichnen wir (Art. 50 KI-VO). Unsere internen Regeln dazu stehen in unserer KI-Richtlinie, die wir auf Anfrage zur Verfügung stellen.

​

Wo die Daten verarbeitet werden:

• Anthropic: Daten werden auch in den USA verarbeitet (Punkt 20).

• Manus: Daten werden in Singapur und gegebenenfalls in weiteren Ländern verarbeitet (Punkt 20).

• n8n: Die Abläufe laufen auf Servern in der EU.

• Ergebnisse der Agenten (Notizen, Aufgaben, Entwürfe) werden in Notion, Asana oder Microsoft OneDrive abgelegt.

 

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung Ihren Vertrag oder Ihre Anfrage betrifft;

• Art. 6 Abs. 1 lit. f DSGVO für unser berechtigtes Interesse an einer effizienten Organisation unseres Unternehmens.

 

12. RE:FOCUS AI: Anfragen, Erstgespräch und Angebot

​

Wenn Sie sich für ein KI-Agenten-Team interessieren, füllen Sie unser Anfrageformular aus. Wir fragen darin unter anderem:

• Name und Kontaktdaten,

• Unternehmen, Website, Beruf und Teamgröße,

• Ihre Aufgaben und den Zeitaufwand dafür,

• Ihre Tools und Ihre Erfahrung mit KI,

• Ihre Ziele, Ihr Budget und den gewünschten Starttermin.

 

So läuft die Verarbeitung ab:

1. Das Formular läuft über Lovable (Lovable Labs Incorporated AB, Schweden). Ihre Antworten werden in der zugehörigen Datenbank gespeichert (Supabase Inc.; Punkt 20). Über n8n (n8n GmbH, Deutschland) werden sie in eine Excel-Tabelle in Microsoft 365 (Microsoft OneDrive) übertragen; wir erhalten eine Benachrichtigung per Microsoft Outlook.

​

2. KI-Vorabeinschätzung: Ein KI-Werkzeug (Claude, Anthropic, über die Schnittstelle) fasst Ihre Antworten zusammen und schlägt vor, wie gut Ihr Vorhaben, der gewünschte Umfang und Ihr Budget zu unserem Angebot passen („passt gut“, „passt möglicherweise“, „Klärung nötig“). Das ist Profiling (Art. 4 Z 4 DSGVO). Wir übermitteln dafür nur die nötigen Antworten, nicht Ihre Telefonnummer. Der Vorschlag ist keine Entscheidung: Dr. Alexandra Haller liest Ihre Antworten selbst und entscheidet, ob wir Ihnen ein Erstgespräch und ein Angebot anbieten. Keine Anfrage wird automatisch abgelehnt. Das Werkzeug vergleicht Ihre Antworten mit unseren Leistungspaketen und Preisspannen; es beurteilt weder Ihre Kreditwürdigkeit noch Ihre Zahlungsfähigkeit.

​

3. Für jede Anfrage legen wir in Notion eine Seite mit Ihren Antworten, der Vorabeinschätzung, Notizen und Entwürfen unserer E-Mails an Sie an. Den Eingang Ihrer Anfrage bestätigen wir per E-Mail; diese und jede weitere E-Mail an Sie liest und gibt ein Mensch frei, bevor sie versendet wird.

​

4. Das Erstgespräch buchen Sie über Wix Bookings; es findet über Zoom statt. Mit Fireflies wird es nur aufgezeichnet, wenn Sie zustimmen (Punkt 10). Aus den Notizen entwerfen wir eine Zusammenfassung für Sie und Ihr Angebot.

​

5. Um unsere Arbeit zu verbessern, führen wir ein Protokoll mit Erkenntnissen aus unseren eigenen Korrekturen. Es enthält keine Namen oder sonstigen Angaben, die Sie erkennbar machen.

​

Zweck: Bearbeitung Ihrer Anfrage, Vorbereitung des Erstgesprächs, Erstellung eines Angebots.
Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) und Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse, Erstgespräche effizient vorzubereiten und uns auf Anfragen zu konzentrieren, bei denen wir wirklich helfen können). Der KI-Vorabeinschätzung können Sie jederzeit widersprechen (Punkt 23); wir prüfen Ihre Anfrage dann ohne KI.

Speicherdauer: Entsteht kein Auftrag, löschen wir Ihre Anfrage – in der Formular-Datenbank, in der Tabelle, in Notion (samt Vorabeinschätzung und E-Mail-Entwürfen) und die Benachrichtigungs-E-Mail – spätestens 6 Monate nach unserem letzten Kontakt. Aufzeichnungen des Erstgesprächs: Punkt 10. Werden Sie Kund:in, gelten die Punkte 14 und 21.

 

13. RE:FOCUS AI: Daten, die wir für unsere Kund:innen verarbeiten

​

Wenn wir für ein Unternehmen KI-Agenten aufbauen, arbeiten wir im Claude-Arbeitsbereich des Unternehmens und sehen dabei Daten, die das Unternehmen dort ablegt oder uns übermittelt, etwa Texte, Dateien oder Kontakte von Kund:innen. Dabei sind wir Auftragsverarbeiter dieses Unternehmens und handeln nur nach dessen Weisungen, auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO.

​

Verantwortlich für diese Daten ist das jeweilige Unternehmen. Wenn Sie wissen möchten, wie ein Unternehmen, für das wir arbeiten, Ihre Daten verarbeitet, lesen Sie bitte dessen Datenschutzerklärung oder wenden Sie sich direkt an dieses Unternehmen.

​

Die KI-Agenten, die wir für Unternehmen bauen, laufen in deren Konten und unter deren Namen. Das Unternehmen ist Betreiberin im Sinne der KI-Verordnung und für KI-Hinweise gegenüber seinen Kund:innen verantwortlich; wir richten diese Hinweise bei der Einrichtung mit ein.

​

Wir arbeiten dabei nur als eingeladenes Mitglied im Claude-Arbeitsbereich des Unternehmens. Zugangsdaten zu dessen Werkzeugen (etwa E-Mail, Kalender oder Cloud-Speicher) erhalten und speichern wir nicht; diese verbindet das Unternehmen selbst. Unser Zugang endet mit dem Ende der Fix-Phase. Daten, die wir außerhalb des Arbeitsbereichs halten (etwa übermittelte Unterlagen), löschen wir innerhalb von 30 Tagen danach oder geben sie zurück; Aufzeichnungen und Transkripte von Projektterminen spätestens 6 Monate danach (Punkt 10).

​

14. Vertragsabwicklung, Zahlung und Buchhaltung

​

Für Buchungen, Verträge und Rechnungen verarbeiten wir:

• Name, Anschrift und Kontaktdaten,

• Unternehmen und UID-Nummer,

• die gebuchten Leistungen,

• Rechnungs- und Zahlungsdaten.

• Zahlungsabwicklung: über Stripe (Stripe Payments Europe Ltd., Irland), PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg) oder per Banküberweisung über unsere Bank. Die Zahlungsanbieter und die Bank verarbeiten Ihre Zahlungsdaten zum Teil in eigener Verantwortung, nach ihren eigenen Datenschutzbestimmungen.

• Weitergabe: Rechnungsdaten geben wir an unsere Steuerberatung weiter. Sie ist zur Verschwiegenheit verpflichtet und verarbeitet die Daten als eigene Verantwortliche. Bei einer Prüfung gehen sie an die Finanzbehörden.

• Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflichten, insbesondere § 132 BAO).

​

15. Newsletter

​

Wenn Sie sich für unseren Newsletter anmelden, schicken wir Ihnen Impulse, Inhalte und Informationen zu unseren Angeboten.

 

Dafür verarbeiten wir:

• Ihre E-Mail-Adresse und, wenn angegeben, Ihren Namen,

• den Zeitpunkt der Anmeldung und der Bestätigung,

• Ihre IP-Adresse bei der Anmeldung.

• Anmeldung: Sie erfolgt im Double-Opt-in-Verfahren. Sie bestätigen die Anmeldung über einen Link in einer E-Mail, damit niemand Sie ohne Ihr Wissen eintragen kann.

• Versand: über Wix E-Mail-Marketing (Wix.com Ltd., Israel; Punkt 4).

• Auswertung: Wir werten aus, ob ein Newsletter geöffnet und welche Links angeklickt wurden, um unsere Inhalte zu verbessern. Diese Auswertung ist Teil Ihrer Einwilligung bei der Anmeldung (§ 165 Abs. 3 TKG 2021); Sie können sie jederzeit durch Abmeldung widerrufen.

• Abmeldung: jederzeit über den Link in jeder E-Mail oder per E-Mail an uns.

• Rechtsgrundlagen: Art. 6 Abs. 1 lit. a DSGVO und § 174 TKG 2021.

• Speicherdauer: bis zu Ihrer Abmeldung. Den Nachweis Ihrer Einwilligung bewahren wir danach bis zu drei Jahre auf, um ihn bei Bedarf belegen zu können (Art. 6 Abs. 1 lit. f DSGVO).

 

16. Geschäftskontakte und Akquise (B2B)

​

Für unsere Angebote an Unternehmen recherchieren wir passende Unternehmen und Ansprechpersonen, zum Beispiel für Firmen-Workshops oder RE:FOCUS AI.

​

Woher die Daten stammen: Wir nutzen

• öffentlich zugängliche Quellen, etwa Unternehmenswebsites, das Firmenbuch und berufliche Profile auf LinkedIn, und

• die Datenbank von Apollo.io.

​

Ein KI-Agent kann diese Recherche vorbereiten (Punkt 11).

Welche Daten: Name, Funktion, Unternehmen, berufliche E-Mail-Adresse und Telefonnummer, Branche, Unternehmensgröße, Standort, gegebenenfalls Ihr öffentliches Berufsprofil.

​

Wie wir Kontakt aufnehmen:

• Werbeanrufe erfolgen nur mit Ihrer vorherigen Einwilligung (§ 174 Abs. 1 TKG 2021). Werbe-E-Mails erhalten Sie nur mit Ihrer vorherigen Einwilligung (§ 174 Abs. 3 TKG 2021) oder als Kund:in unter den Voraussetzungen des § 174 Abs. 4 TKG 2021. Kaltakquise per E-Mail betreiben wir nicht.

• Bei der ersten Kontaktaufnahme weisen wir Sie auf diese Datenschutzerklärung, die Herkunft Ihrer Daten und Ihr Widerspruchsrecht hin (Art. 14 DSGVO). Ohne Einwilligung kontaktieren wir Sie auf anderem Weg, etwa per Brief oder über eine persönliche Nachricht auf LinkedIn.

• Für den Versand und die Verwaltung von Geschäfts-E-Mails an Kontakte, die eingewilligt haben oder bereits Kund:innen sind, nutzen wir lemlist (lempire SAS, Frankreich). Die Kontakte verwalten wir dort und in einer Kontaktliste in Notion.

 

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, gestützt auf unser berechtigtes Interesse, passende Geschäftspartner:innen zu finden.

​

Speicherdauer: Kommt keine Geschäftsbeziehung zustande, löschen wir Ihre Daten spätestens 12 Monate nach dem letzten Kontakt. Wenn Sie widersprechen, löschen wir sie unverzüglich; wir behalten dann nur einen Sperrvermerk, damit wir Sie nicht erneut kontaktieren.

​

Widerspruch: Sie können dieser Verarbeitung jederzeit widersprechen (Punkt 23).

​

17. Social-Media-Auftritte

​

Wir betreiben Profile auf

• Instagram und Facebook (Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, Irland) und

• LinkedIn (LinkedIn Ireland Unlimited Company, Wilton Place, Dublin 2, Irland).

 

Statistiken: Wenn Sie diese Profile besuchen oder mit ihnen interagieren, erhalten wir von den Plattformen zusammengefasste Statistiken („Insights“). Für diese Verarbeitung sind wir mit der jeweiligen Plattform gemeinsam verantwortlich (Art. 26 DSGVO). Die Plattformen haben die Hauptverantwortung übernommen; deren Vereinbarungen finden Sie unter https://www.facebook.com/legal/terms/page_controller_addendum (Meta) und https://legal.linkedin.com/pages-joint-controller-addendum (LinkedIn). Für alle anderen Verarbeitungen auf den Plattformen gelten deren eigene Datenschutzerklärungen. Die Plattformen übermitteln Daten auch in die USA. Sie können Ihre Rechte sowohl uns als auch der jeweiligen Plattform gegenüber geltend machen (Art. 26 Abs. 3 DSGVO).

​

Ihre Nachrichten: Für Nachrichten und Kommentare, die Sie uns schicken, sind wir selbst verantwortlich. Unser Team und unsere KI-Agenten für Inhalte können Kommentare und öffentliche Beiträge sichten, um Antworten und Inhalte vorzubereiten. Rechtsgrundlage für die Statistiken und für Nachrichten und Kommentare ist unser berechtigtes Interesse an einer wirksamen Kommunikation mit Interessierten und an der Auswertung der Reichweite unserer Profile (Art. 6 Abs. 1 lit. f DSGVO); für Anfragen zu unseren Leistungen Art. 6 Abs. 1 lit. b DSGVO.

​

Recherche und Planung mit Manus: Für unsere Instagram-Arbeit recherchieren KI-Agenten in Manus öffentlich zugängliche Beiträge und Profilangaben anderer Accounts, um Trends, Themen und Formate zu erkennen. Das betrifft vor allem Mitbewerber:innen und Accounts zu unseren Themen. Wir werten dabei Inhalte aus, keine Profile einzelner Privatpersonen. Manus plant und veröffentlicht außerdem unsere eigenen Beiträge über unser Instagram-Konto. Die Agenten lesen und beantworten keine Direktnachrichten. Rechtsgrundlage ist unser berechtigtes Interesse an Marktbeobachtung und einem effizienten Social-Media-Auftritt (Art. 6 Abs. 1 lit. f DSGVO). Sie können dem jederzeit widersprechen (Punkt 23).

​

Kund:innenstimmen: Erfahrungsberichte, Namen oder Fotos von Kund:innen veröffentlichen wir auf Website und Social Media nur mit Ihrer schriftlichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; § 78 UrhG). Nennt der Bericht Belastungen wie Stress oder Burnout, ist dafür Ihre ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO nötig. Sie können jederzeit widerrufen; wir entfernen den Beitrag dann von unseren Kanälen. Bereits gedruckte Materialien oder von Dritten geteilte Inhalte können wir nicht zurückholen.

​

18. Interne Organisation und Zusammenarbeit im Team

​

In unserem Team arbeiten neben Dr. Alexandra Haller weitere Personen, teils als selbständige Auftragnehmer:innen, etwa für Technik und KI, Assistenz, Social Media und Website. Sie erhalten nur Zugriff auf die Daten, die sie für ihre Aufgabe brauchen, und sind zur Verschwiegenheit verpflichtet (§ 6 DSG). Mit Auftragnehmer:innen, die in unserem Auftrag Daten verarbeiten, schließen wir Auftragsverarbeitungsverträge.

​

Werkzeuge: Für die Zusammenarbeit nutzen wir Notion, Asana, Microsoft 365 (Outlook, OneDrive, Excel, Teams) und Canva, siehe die Übersicht in Punkt 3.

​

Datensicherung: Wichtige Dateien sichern wir in Microsoft OneDrive.

​

19. Empfänger:innen und Auftragsverarbeiter

​

Ihre Daten erhalten nur die Stellen, die sie für die genannten Zwecke brauchen:

• die in Punkt 3 genannten Dienstleister, überwiegend als Auftragsverarbeiter (Art. 28 DSGVO), teilweise in eigener Verantwortung (siehe Punkt 3);

• unsere Teammitglieder und Subunternehmer:innen nach Punkt 18;

• unsere Steuerberatung und, bei Prüfungen, die Finanzbehörden;

• Zahlungsanbieter und Banken;

• Gerichte, Behörden oder Rechtsvertreter:innen, wenn wir gesetzlich dazu verpflichtet sind oder um Ansprüche durchzusetzen bzw. abzuwehren;

• Meta, wenn Sie in das Meta Pixel eingewilligt haben (Punkt 5), sowie die Social-Media-Plattformen im Rahmen der gemeinsamen Verantwortung nach Punkt 17.

• ​

Wir verkaufen Ihre Daten nicht.

​

20. Übermittlung in Länder außerhalb der EU/des EWR

​

Einige unserer Dienstleister haben ihren Sitz in Ländern außerhalb der EU bzw. des EWR, oder sie setzen Unterauftragsverarbeiter dort ein. Das betrifft insbesondere die USA, Israel, Singapur und Australien. Wir übermitteln Daten dorthin nur, wenn die Voraussetzungen der Art. 44 ff DSGVO erfüllt sind:

• Israel (Wix): Angemessenheitsbeschluss der Europäischen Kommission.

• USA: Ist der Empfänger nach dem EU-US Data Privacy Framework zertifiziert, stützen wir die Übermittlung auf den Angemessenheitsbeschluss (EU) 2023/1795. Zusätzlich, oder wenn keine Zertifizierung besteht, auf die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914) in den Verträgen mit den Anbietern. Das betrifft etwa Notion, Asana, Fireflies, Anthropic, Supabase (Datenbank unserer Lovable-Apps), Apollo, Zoom, Meta (Meta Pixel, nach Ihrer Einwilligung), Google (YouTube, nach Ihrer Einwilligung) und Unterauftragsverarbeiter von Wix, Microsoft, Lovable, lemlist, Trustpilot und Quizell.

• Australien (Canva): Standardvertragsklauseln.

• Singapur (Manus): Für Singapur besteht kein Angemessenheitsbeschluss. Wir stützen uns auf Standardvertragsklauseln. An Manus geben wir nur unsere eigenen Inhalte und öffentlich zugängliche Informationen weiter, niemals Kund:innendaten.

 

Eine Kopie der jeweiligen Garantien erhalten Sie auf Anfrage an office@mental-health-performance.com.

Gegen den Angemessenheitsbeschluss für die USA ist ein Verfahren beim Europäischen Gerichtshof anhängig (C-703/25 P). Sollte er aufgehoben werden, stützen wir Übermittlungen auf die Standardvertragsklauseln oder wechseln zu Anbietern mit Speicherung in der EU.

​

21. Speicherdauer

 

Wir speichern personenbezogene Daten nur so lange, wie wir sie für den jeweiligen Zweck brauchen oder gesetzlich aufbewahren müssen. Konkret:

​