1. Präambel

Mit dieser Datenschutzerklärung informieren wir Sie, welche personenbezogenen Daten wir zu welchen Zwecken und in welchem Umfang verarbeiten. Sie gilt für unsere Website, unser Online-Programm (Lernplattform), unsere Leistungen sowie unsere Onlinepräsenzen, z. B. in sozialen Netzwerken. Die verwendeten Begriffe sind nicht geschlechtsspezifisch.

2. Verantwortlicher

3. Übersicht der Verarbeitungen

Arten der verarbeiteten Daten: Bestandsdaten, Kontaktdaten, Vertrags- und Zahlungsdaten, Nutzerkonto- und Lerndaten (Fortschritt, Quiz-Ergebnisse, Abgaben), Inhaltsdaten (Formulareingaben, Hausaufgaben), freiwillige Selbsteinschätzungen zu Wohlbefinden und Belastung (Gesundheitsbezug möglich), Nutzungs-, Meta- und Kommunikationsdaten, Protokolldaten.

Betroffene Personen: Teilnehmende des Online-Programms, Kunden und Auftraggeber, Interessenten, Kommunikationspartner, Nutzer der Website, Geschäftspartner.

Zwecke: Durchführung des Online-Programms und Erfüllung vertraglicher Pflichten, Kommunikation, Feedback zu Abgaben, Wirkungsmessung des Programms, Sicherheit, Büro- und Organisationsverfahren, Bereitstellung und Verbesserung des Onlineangebots, Öffentlichkeitsarbeit.

4. Maßgebliche Rechtsgrundlagen

• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Sie haben in die Verarbeitung für bestimmte Zwecke eingewilligt.
• Ausdrückliche Einwilligung bei besonderen Kategorien (Art. 9 Abs. 2 lit. a DSGVO): gilt für Angaben, die Rückschlüsse auf Ihre Gesundheit zulassen können, etwa im MCR Self Assessment (Abschnitt 13).
• Vertrag und vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO): Die Verarbeitung ist für die Erfüllung eines Vertrags oder auf Ihre Anfrage hin erforderlich.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): z. B. steuerrechtliche Aufbewahrungspflichten.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): sofern Ihre Interessen nicht überwiegen.

Zusätzlich gelten nationale Regelungen, insbesondere das Bundesdatenschutzgesetz (BDSG) und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG).

5. Sicherheitsmaßnahmen

Wir treffen geeignete technische und organisatorische Maßnahmen nach dem Stand der Technik, um Vertraulichkeit, Integrität und Verfügbarkeit Ihrer Daten zu sichern. Dazu gehören insbesondere:

• verschlüsselte Übertragung per TLS/SSL (HTTPS),
• passwortgeschützte Nutzerkonten mit Rollen und Rechten,
• ein Sicherheits-Plugin, das Anmeldeversuche und verdächtige Zugriffe protokolliert und abwehrt (dabei werden IP-Adressen kurzzeitig gespeichert),
• regelmäßige Sicherungskopien (Backups) der Website und Datenbank, die geschützt aufbewahrt und nach einer festgelegten Frist überschrieben werden.

6. Speicherung und Löschung

Wir löschen personenbezogene Daten, sobald der Zweck entfällt, eine Einwilligung widerrufen wird oder keine Rechtsgrundlage mehr besteht. Gesetzliche Aufbewahrungspflichten gehen vor (steuerrechtlich in der Regel 10 Jahre, handelsrechtlich 6 Jahre). Für das Online-Programm gelten zusätzlich die Fristen in den Abschnitten 12 bis 16.

7. Ihre Rechte

• Widerspruchsrecht: Sie können jederzeit einer Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO widersprechen.
• Widerrufsrecht: Sie können erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft widerrufen, z. B. per E-Mail an academy@mind-creates-reality.de.
• Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung und Einschränkung (Art. 17, 18), Datenübertragbarkeit (Art. 20).
• Beschwerderecht (Art. 77 DSGVO): Zuständig ist das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD).

8. Geschäftliche Leistungen und Zahlungsabwicklung

Wir verarbeiten Daten unserer Kunden, Teilnehmenden und Geschäftspartner, um Verträge anzubahnen, durchzuführen und abzurechnen. Das sind insbesondere Name, Anschrift, E-Mail, Telefon, Vertrags- und Leistungsdaten, Zahlungs- und Rechnungsdaten sowie Kommunikationsinhalte. Bei Buchungen durch Organisationen verarbeiten wir zusätzlich die Daten der Ansprechpersonen und der angemeldeten Mitarbeitenden.

Bestellung und Zahlung: Bestellungen wickeln wir über unseren Shop (WooCommerce, auf unserem eigenen Server) ab. Online-Zahlungen laufen über Stripe (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland). Dabei werden Name, E-Mail, Betrag und Zahlungsdaten an Stripe übermittelt. Stripe kann Daten auch in den USA verarbeiten; Grundlage ist das EU-US Data Privacy Framework. Alternativ ist ein Kauf auf Rechnung möglich; die Rechnungsdaten verarbeiten wir dann selbst. Kartendaten oder Kontodaten speichern wir nicht selbst.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), lit. c (Aufbewahrungspflichten), lit. f (berechtigte Interessen an einer geordneten Abwicklung).

9. Bereitstellung des Onlineangebots und Webhosting

Um unsere Website und die Lernplattform bereitzustellen, verarbeiten wir die IP-Adressen und Zugriffsdaten der Nutzer. Unser Hosting erfolgt bei STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland. Mit dem Hoster besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Zugriffsdaten werden in Server-Logfiles protokolliert und nach spätestens 30 Tagen gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer und stabiler Betrieb).

10. Cookies und Einwilligungsverwaltung

Technisch notwendige Cookies setzen wir ein, damit die Website und die Lernplattform funktionieren, etwa um Sie nach dem Login angemeldet zu halten (Rechtsgrundlage: § 25 Abs. 2 TDDDG, Art. 6 Abs. 1 lit. b und f DSGVO). Alle anderen Cookies und vergleichbaren Techniken, etwa für Analyse oder eingebettete Inhalte, nutzen wir nur mit Ihrer Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).

Zur Verwaltung Ihrer Einwilligungen setzen wir Real Cookie Banner (devowl.io GmbH, Deutschland; läuft auf unserem eigenen Server) ein. Sie können Ihre Auswahl jederzeit über den Link „Cookie-Einstellungen“ im Fußbereich der Website ändern oder widerrufen.

Um Ihre Entscheidung nachweisen zu können, speichert das Cookie-Banner auf unserem Server eine zufällige Kennung, den Zeitpunkt, die gewählten Einstellungen und Ihre gekürzte IP-Adresse; in Ihrem Browser wird dazu ein technisch notwendiges Cookie gesetzt. Rechtsgrundlage ist unsere gesetzliche Nachweispflicht (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO). Die Daten werden nach Ablauf der Einwilligung, spätestens nach 12 Monaten, gelöscht.

11. Kontakt- und Anfrageverwaltung

Wenn Sie uns kontaktieren, etwa per E-Mail oder Kontaktformular, verarbeiten wir Ihre Angaben (Name, E-Mail-Adresse, Nachricht), um Ihr Anliegen zu bearbeiten. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Anfragen) und lit. f (berechtigte Interessen an der Beantwortung).

12. Online-Programm und Lernplattform

Unser Online-Programm stellen wir über eine Lernplattform bereit, die auf unserem eigenen WordPress-Server läuft (Software: LearnDash). Daten werden dabei nicht an den Hersteller der Software übermittelt.

• Verarbeitete Daten: Benutzername, Vor- und Nachname, E-Mail-Adresse, Passwort (verschlüsselt gespeichert), Einschreibe- und Freischaltdaten, Lernfortschritt, Quiz-Ergebnisse, Abgaben und Zeitpunkte der Nutzung.
• Zwecke: Zugang zum Programm, zeitversetzte Freischaltung der Module, Anzeige Ihres Fortschritts, Bewertung von Quizzen und Feedback zu Abgaben.
• Organisationen als Auftraggeber: Bucht Ihr Arbeitgeber das Programm für Sie, erhält er höchstens zusammengefasste Angaben zur Teilnahme (z. B. ob das Programm abgeschlossen wurde). Ihre Antworten, Selbsteinschätzungen und Hausaufgaben geben wir ohne Ihre ausdrückliche Einwilligung nicht weiter.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag).
• Speicherdauer: für die Dauer Ihres Zugangs und danach 12 Monate, damit Sie Ihre Unterlagen noch abrufen können. Anschließend löschen wir Ihr Konto, sofern keine gesetzlichen Pflichten entgegenstehen. Auf Wunsch löschen wir früher.

13. MCR Self Assessment, Belief-Shift und Fremdbild

Im Programm laden wir Sie zu freiwilligen Selbsteinschätzungen ein: zum Start, in Woche 8 und etwa 90 Tage nach Programmende. Damit machen Sie Ihre Entwicklung sichtbar und wir die Wirkung des Programms.

• MCR Self Assessment: 32 Aussagen auf einer Skala von 1 bis 6, u. a. zu Energie, Schlaf, Bewegung, Belastung und Stressempfinden. Diese Angaben können Rückschlüsse auf Ihre Gesundheit zulassen. Wir verarbeiten sie deshalb nur mit Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO, Art. 6 Abs. 1 lit. a DSGVO), die Sie im Formular per Häkchen erteilen. Es handelt sich nicht um eine Diagnose.
• Belief-Shift: Ihre Einschätzung zu acht Kernaussagen des Programms, zu Beginn und in Woche 8. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Fremdbild: Den Fragebogen geben Sie als PDF selbst an Menschen Ihrer Wahl weiter. Die Antworten bleiben bei Ihnen; wir erhalten sie nicht.
• Auswertung: Ihre Ergebnisse erhalten Sie als PDF per E-Mail. Zur Verbesserung des Programms werten wir die Ergebnisse außerdem zusammengefasst und ohne Namen aus.
• Freiwilligkeit und Widerruf: Die Teilnahme ist freiwillig und keine Voraussetzung für das Programm. Sie können Ihre Einwilligung jederzeit per E-Mail widerrufen; wir löschen dann Ihre Angaben.
• Speicherdauer: bis 12 Monate nach Programmende, damit der Vergleich nach 90 Tagen möglich ist; danach löschen oder anonymisieren wir sie.

14. Hausaufgaben und Angaben zu Dritten

In einigen Hausaufgaben beschreiben Sie Situationen mit Kolleginnen, Kollegen oder Teammitgliedern. Bitte nutzen Sie dabei nur Kürzel, Rollen oder Vornamen und keine vollen Namen. Wir verwenden die Angaben ausschließlich für Ihr persönliches Feedback, geben sie nicht weiter und sprechen im Live-Call höchstens anonymisiert über Muster. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für die Angaben zu Dritten lit. f (berechtigtes Interesse an der Durchführung der Übung). Speicherdauer wie in Abschnitt 12.

15. Formulare, PDF-Erstellung und E-Mail-Versand

Formulare (Fluent Forms) und die daraus erzeugten PDFs (Fluent PDF) werden auf unserem eigenen Server verarbeitet. Bestätigungen, PDFs, Freischalt-Hinweise und programmbezogene Nachrichten versenden wir per E-Mail über den Mailserver von STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland, mit der ein Auftragsverarbeitungsvertrag besteht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

16. Programmbegleitung und Nachbefragung nach 90 Tagen

Für programmbezogene E-Mails nutzen wir ein E-Mail-Werkzeug auf unserem eigenen Server (FluentCRM). Etwa 90 Tage nach Programmende schicken wir Ihnen den Link zu einer letzten Selbsteinschätzung und bitten Sie gegebenenfalls um eine Bewertung.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (die Nachbefragung ist Teil des Programms); für die Bitte um eine Bewertung Art. 6 Abs. 1 lit. f DSGVO.
• Widerspruch: Sie können diesen E-Mails jederzeit über den Abmeldelink oder per E-Mail widersprechen.
• Newsletter: Werbliche Newsletter senden wir nur mit Ihrer gesonderten Einwilligung (Double-Opt-in).

17. Präsenzen in sozialen Netzwerken

Wir unterhalten Profile bei Instagram und LinkedIn, um mit Interessenten zu kommunizieren. Dabei können Daten außerhalb der EU verarbeitet werden.

• LinkedIn: LinkedIn Ireland Unlimited Company, Wilton Plaza, Dublin 2, Irland. Gemeinsame Verantwortlichkeit für Page-Insights (Page Insights Joint Controller Addendum). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Drittlandtransfer: EU-US Data Privacy Framework und Standardvertragsklauseln. Datenschutz: linkedin.com/legal/privacy-policy, Opt-out: LinkedIn Opt-out
• Instagram: Meta Platforms Ireland Limited, 4 Grand Canal Square, Dublin 2, Irland. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Datenschutz: privacycenter.instagram.com/policy

18. Videos über Vimeo

Videos auf der Website und im Online-Programm binden wir über Vimeo ein (Vimeo.com, Inc., New York, USA). Beim Abspielen wird eine Verbindung zu Vimeo aufgebaut; dabei werden u. a. IP-Adresse, Browser- und Gerätedaten übermittelt. Wir nutzen die Einstellung „Do Not Track“, damit Vimeo keine Nutzungsprofile anlegt.

• Auf öffentlichen Seiten: Videos werden erst nach Ihrer Einwilligung geladen (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).
• Im Online-Programm: Die Videos sind Kernbestandteil der gebuchten Leistung (Art. 6 Abs. 1 lit. b DSGVO).
• Drittlandtransfer: USA auf Grundlage des EU-US Data Privacy Framework. Datenschutz: vimeo.com/privacy

19. Schriftarten

Die Schriftarten unserer Website werden lokal von unserem eigenen Server geladen. Eine Verbindung zu Servern von Google findet dabei nicht statt.

20. Webanalyse

Mit Ihrer Einwilligung werten wir aus, wie unsere Website genutzt wird, um sie zu verbessern. Dazu nutzen wir Google Analytics 4 (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland), eingebunden über das Plugin MonsterInsights, mit gekürzten IP-Adressen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG. Drittlandtransfer: EU-US Data Privacy Framework. Sie können die Einwilligung jederzeit in den Cookie-Einstellungen widerrufen. Innerhalb der Lernplattform findet keine Webanalyse statt.

21. Bewertungen und Erfahrungsberichte

Nach Abschluss eines Programms bitten wir Sie gegebenenfalls um eine Bewertung oder einen Erfahrungsbericht. Veröffentlicht wird er nur mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit widerrufen können.

22. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, sobald sich unsere Datenverarbeitungen ändern. Bitte informieren Sie sich regelmäßig über den aktuellen Stand. Stand: 26.10.2026

23. Begriffsdefinitionen

Es gelten die Definitionen des Art. 4 DSGVO, insbesondere:

• Personenbezogene Daten: alle Informationen über eine identifizierte oder identifizierbare natürliche Person.
• Gesundheitsdaten: personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit beziehen und aus denen Informationen über den Gesundheitszustand hervorgehen.
• Verarbeitung: jeder Vorgang mit personenbezogenen Daten, z. B. Erheben, Speichern, Übermitteln oder Löschen.
• Verantwortlicher: wer über Zwecke und Mittel der Verarbeitung entscheidet.
• Auftragsverarbeiter: wer personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.