Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Plattform ist:
CREWS & CAPTAINS GmbH, Auguststr. 11, 50733 Köln, Telefon: +49 221 999692-60, E-Mail: datenschutz@crewsandcaptains.com.

Datenschutzbeauftragter: Dr. Kilian Schmidt, Kertos GmbH, Brienner Str. 41, 80333 München, Telefon: +49 151 525 797 93, E-Mail: dsb@kertos.io.

Die nachfolgenden Angaben beschreiben die Verarbeitung im Rahmen dieser Terminbuchungs-Plattform.

2. Überblick

Wir verarbeiten personenbezogene Daten ausschließlich zur Bereitstellung dieser Terminbuchungs-Plattform: zur Durchführung von Terminbuchungen, zur Verwaltung der Backend-Konten (Coaches/Bearbeiter/Administration), zum Versand notwendiger E-Mails sowie zur Gewährleistung der technischen Sicherheit. Eine Nutzung zu Werbe- oder Trackingzwecken findet nicht statt.

3. Hosting und Auftragsverarbeiter

Zum Betrieb setzen wir folgende Dienstleister ein, mit denen Verträge zur Auftragsverarbeitung (Art. 28 DSGVO) bestehen bzw. abzuschließen sind:

• Supabase – Datenbank, Authentifizierung und Datei-Speicher (Region EU/Irland). Verschlüsselte Speicherung der Daten; die E-Mail-Adressen der Buchenden werden zusätzlich anwendungsseitig verschlüsselt und sind für den Dienstleister nicht im Klartext lesbar (siehe Abschnitt 7).
• Vercel – Hosting und Auslieferung der Anwendung.
• Resend – Versand transaktionaler E-Mails (z. B. Terminbestätigungen, Einladungen).
• Cloudflare – DNS-Auflösung und Content-Delivery/Proxy. Verarbeitet dabei Verbindungsdaten (u. a. IP-Adressen).
• Upstash – technischer Missbrauchsschutz (Rate-Limiting); verarbeitet dabei kurzzeitig Zähler, deren Schlüssel vor der Übermittlung kryptografisch pseudonymisiert werden (keine Klartext-IP-Adressen oder E-Mail-Adressen).
• Microsoft (Microsoft 365 / Graph) – nur, wenn ein Coach die optionale Outlook-Kalender-Anbindung aktiviert hat: Gebuchte Termine werden in den Microsoft-365-Kalender des jeweiligen Coaches eingetragen (Terminart, Zeitpunkt, Ort bzw. bei Online-Terminen ein automatisch erzeugter Teams-Besprechungslink); die buchende Person wird dabei mit Name und E-Mail-Adresse als Teilnehmer/in eingeladen und erhält die Kalendereinladung direkt von Microsoft. Die Verarbeitung erfolgt im Microsoft-365-Konto des Coaches bzw. dessen Organisation. Die Zugriffstoken der Verbindung speichern wir ausschließlich verschlüsselt; der Coach kann die Verbindung jederzeit trennen (Token werden gelöscht). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Terminvereinbarung).

Soweit eine Übermittlung in Drittländer (insbesondere die USA, z. B. bei Vercel, Resend, Cloudflare und Upstash) erfolgt, stützen wir diese auf einen Angemessenheitsbeschluss (EU-US Data Privacy Framework) bzw. auf EU-Standardvertragsklauseln nach Art. 46 DSGVO. Die Datenbank und der Datei-Speicher (Supabase) werden in der EU (Irland) betrieben.

4. Welche Daten wir verarbeiten – Zwecke und Rechtsgrundlagen

• Terminbuchung (Kundinnen und Kunden): Vor- und Nachname, E-Mail-Adresse, Telefonnummer (optional), Nachricht (optional) sowie die Termindaten. Zweck: Durchführung und Verwaltung der Buchung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen).
• Backend-Konten (Coaches/Bearbeiter/Admin): Name, E-Mail, Telefon, Rolle, Profilangaben sowie Anmelde-Protokolle (Zeitpunkt, IP/Ort der letzten Anmeldungen). Zweck: Bereitstellung und Sicherheit der Verwaltung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.
• Sicherheits- und Protokolldaten: IP-Adresse zur Begrenzung missbräuchlicher Anfragen (Rate-Limiting) und zur Nachvollziehbarkeit sicherheitsrelevanter Vorgänge. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb).
• E-Mail-Versand: Terminbestätigungen, Stornierungen, Einladungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Optionale Outlook-Kalender-Anbindung (je Coach): Übermittlung der Termindaten (inkl. Name und E-Mail-Adresse der buchenden Person als Kalender-Teilnehmer/in) in den Microsoft-365-Kalender des Coaches – siehe Abschnitt 3. Zusätzlich werden Frei-/Belegt-Zeiten des Coaches abgefragt (nur Zeitfenster, keine Termininhalte), um Überschneidungen auf der Buchungsseite zu vermeiden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5. Cookies

Wir verwenden ausschließlich technisch notwendige Cookies (z. B. für die Anmelde-Sitzung). Diese sind für den Betrieb erforderlich; eine Einwilligung ist hierfür nicht erforderlich (§ 25 Abs. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO). Tracking- oder Marketing-Cookies setzen wir nicht ein.

6. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen es verlangen. Für Kundendaten gilt je Portal eine festgelegte Aufbewahrungsfrist, die ab dem letzten Termin gezählt wird. Nach Ablauf werden die betreffenden Kundendaten automatisch anonymisiert (Name, E-Mail, Telefon und Termin-Notizen werden entfernt); die Termine selbst bleiben nur noch in anonymisierter Form zu Auswertungszwecken erhalten. Auf Anfrage werden Daten auch vorzeitig anonymisiert oder vollständig gelöscht. [Konkrete Frist (z. B. 24 Monate) je nach Portal ergänzen.]

Hinweis zu Protokollen: Versendete E-Mails (z. B. Terminbestätigungen) werden bei unserem E-Mail-Dienstleister sowie technische Betriebs- und Sicherheitsprotokolle (Server-/Fehlerlogs) bei unseren Hosting- und Datenbank-Dienstleistern für eine begrenzte Zeit nach deren jeweiligen Fristen gespeichert und unabhängig von der oben genannten Anonymisierung turnusmäßig gelöscht.

7. Datensicherheit

Die Übertragung erfolgt verschlüsselt über TLS. Die Daten werden beim Hoster verschlüsselt gespeichert (AES-256). Der Zugriff ist über ein Rollen- und Berechtigungssystem (Row-Level-Security) beschränkt; Passwörter werden nur als kryptografischer Hash gespeichert, zusätzlich werden Passkeys (WebAuthn) unterstützt.

Die E-Mail-Adressen der Buchenden werden darüber hinaus anwendungsseitig verschlüsselt gespeichert (AES-256-GCM); für den Abgleich bei der Buchung wird ausschließlich ein kryptografischer Blind-Index (HMAC-SHA256) verwendet. Der zugehörige Schlüssel wird außerhalb der Datenbank in der Anwendungsumgebung verwahrt. Diese Adressen sind dadurch in der Datenbank selbst – auch für den Datenbank-Dienstleister oder bei einem unbefugten Zugriff auf die Datenbank – nicht im Klartext lesbar; die Entschlüsselung erfolgt ausschließlich serverseitig durch die Anwendung (z. B. für den Versand von Terminbestätigungen).

8. Deine Rechte

Du hast nach der DSGVO insbesondere folgende Rechte:

• Auskunft (Art. 15)
• Berichtigung (Art. 16)
• Löschung (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3)

Zur Ausübung genügt eine Nachricht an datenschutz@crewsandcaptains.com. Außerdem steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO).

9. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die Datenverarbeitung oder die Rechtslage ändert. Stand: 11. Juni 2026.