Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website ist:

CÉCILE GmbH
Knesebeckstraße 56-58
10719 Berlin

Telefon: +49 30 35182-9879
E-Mail: hello@cecilestudios.com

Geschäftsführerinnen: Caroline Jander, Caroline Schweitzer
Registergericht: Amtsgericht Charlottenburg, HRB 278203 B

Veranstaltungsort, etwa für das Teacher Training, ist unser Studio in der Lietzenburger Straße 93, 10719 Berlin.

2. Überblick der Verarbeitungen

Diese Datenschutzerklärung gilt für die Website cecilestudios.com.

Die Website zeigt öffentliche Inhalte wie Startseite, Methode, Mitgliedschaften, Journal, Training, Warteliste, Gutscheine und Karriereseite auf Deutsch und Englisch. Sie können sich in unsere Warteliste eintragen, sich bewerben, einen Platz in unserem Teacher Training buchen und bezahlen, eine Mitgliedschaft im Members Club abschließen oder einen Gutschein kaufen und einlösen. Verträge können Sie über die Website auch widerrufen und kündigen. Zusätzlich betreiben wir Kampagnen-Kurzlinks unter cecilestudios.com/go. Es gibt keine Nutzerkonten und kein Login.

Die folgenden Abschnitte erklären, welche Daten bei welcher Gelegenheit anfallen, zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange wir sie speichern.

3. Hosting und Server-Logs

Unsere Website wird bei Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA, gehostet. Anfragen laufen über den Edge-Standort Frankfurt, die Verarbeitung kann aber auch in den USA stattfinden.

Bei jedem Aufruf speichert Vercel automatisch IP-Adresse, Datum und Uhrzeit, aufgerufene URL, Referrer, Browser, Betriebssystem, HTTP-Status und technische Anfrage-Kennungen. Diese Log-Daten werden spätestens nach 30 Tagen gelöscht, ohne Weitergabe an Dritte. Auch unsere eigenen Fehlerprotokolle liegen bei Vercel, bei technischen Fehlern können darin interne Kennungen wie Buchungs- oder Stripe-Vorgangsnummern erscheinen, jedoch keine Namen oder E-Mail-Adressen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an sicherer, zuverlässiger Bereitstellung der Website. Es findet eine Übermittlung in die USA statt, Vercel ist DPF-zertifiziert, ergänzend gelten Standardvertragsklauseln.

4. Cookies und Reichweitenmessung

Unsere Website setzt ein einziges Cookie: NEXT_LOCALE, Wert „de“ oder „en“, zum Merken Ihrer Sprache für die Weiterleitung zwischen den deutschen und englischen Seiten. Es ist ein Sitzungscookie ohne festes Ablaufdatum, SameSite lax, gesetzt bei jedem Seitenaufruf. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG, da unbedingt erforderlich, sowie Art. 6 Abs. 1 lit. f DSGVO. Für dieses Cookie ist keine Einwilligung erforderlich.

Zusätzlich nutzen wir Vercel Web Analytics zur Reichweitenmessung. Das Skript kommt von unserer eigenen Domain (/_vercel/insights/script.js) und erfasst Zeitpunkt, aufgerufene Seite, Referrer, gefilterte URL-Parameter, aus der Anfrage abgeleitetes Land, Region und Stadt, Betriebssystem, Browser, Gerätetyp und Skriptversion. Es setzt keine Cookies, nutzt keinen lokalen Speicher. Besucherinnen und Besucher werden über einen aus der Anfrage gebildeten Hash erkannt, der nach 24 Stunden verworfen wird, danach liegen nur zusammengefasste Statistiken vor. Es findet kein Tracking über Websites hinweg statt, keine Werbung, keine Erfassung einzelner Klicks.

Empfänger ist Vercel Inc. (siehe Abschnitt 3), USA, DPF-zertifiziert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an anonymisierter Reichweitenmessung. Sie können nach Art. 21 DSGVO widersprechen, siehe Abschnitt 20.

Außerdem nutzen wir Plausible Analytics, ebenfalls zur Reichweitenmessung. Das Skript wird von plausible.io geladen und erfasst aufgerufene Seite, Referrer, Browser, Betriebssystem, Gerätetyp sowie aus der IP-Adresse abgeleitetes Land, Region und Stadt. Plausible setzt keine Cookies und nutzt keinen lokalen Speicher. Ihre IP-Adresse wird nicht gespeichert, sondern zusammen mit Browserkennung und einem täglich wechselnden Zufallswert zu einer Tageskennung verrechnet, die nach 24 Stunden nicht mehr zuzuordnen ist. Anbieter ist Plausible Insights OÜ, Västriku tn 2, 50403 Tartu, Estland. Die Daten werden ausschließlich in der EU verarbeitet, auf Servern in Deutschland und Finnland, ein Drittlandtransfer findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an anonymisierter Reichweitenmessung, Widerspruch nach Art. 21 DSGVO, siehe Abschnitt 20.

Google Analytics, Meta-Pixel, TikTok-Pixel oder vergleichbare Werkzeuge setzen wir nicht ein.

5. Schriftarten

Wir verwenden DM Sans, Alta und Cormorant Garamond, alle drei von unserem eigenen Server ausgeliefert. DM Sans und Alta liegen als lokale Dateien vor, Cormorant Garamond wird beim Erstellen der Website heruntergeladen und danach ebenfalls selbst gehostet. Beim Besuch entsteht dadurch keine Verbindung zu Google oder anderen Schriftanbietern. Auch unsere E-Mails laden keine Schriftarten von Google.

6. Kartenausschnitt

Im Footer der meisten Seiten zeigen wir einen Platzhalter für einen Kartenausschnitt mit unserer Studio-Adresse. Vor einem Klick findet keine Verbindung zu Google statt. Erst nach Klick auf „Karte laden“ laden wir den Kartenausschnitt als eingebettetes Element von maps.google.com. Dabei erhält Google Ihre IP-Adresse und Browserdaten und kann eigene Cookies setzen, die Adresse unserer Seite wird dabei nicht als Referrer übermittelt.

Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Eine Übermittlung an Google LLC in die USA ist möglich, Google ist DPF-zertifiziert.

Rechtsgrundlage ist Ihre Einwilligung durch den Klick, Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie widerrufen, indem Sie die Seite neu laden und die Karte nicht erneut aufrufen. Zusätzlich gibt es den gewöhnlichen Link „In Maps öffnen“ zu google.com/maps, der unsere Website verlässt.

7. Externe Links und Social Media

Unsere Website verlinkt auf Instagram (instagram.com/cecile.studios), TikTok (tiktok.com/@cecile.studios), YouTube (youtube.com/@cecilestudios) und unseren WhatsApp-Kanal. Es sind ausschließlich Links, keine eingebetteten Plug-ins, Pixel oder Feeds. Beim reinen Besuch fließen deshalb keine Daten an diese Plattformen, erst ein Klick verlässt unsere Website.

Wir haben keinen Einfluss auf die Datenverarbeitung der sozialen Netzwerke, eine Übermittlung Ihrer Daten in Drittstaaten ist nicht ausgeschlossen. Prüfen Sie deshalb sorgfältig, welche Informationen Sie uns dort mitteilen, und nutzen Sie im Zweifel unsere anderen Kontaktmöglichkeiten. Für das Verhalten der Betreiber und ihrer Mitglieder übernehmen wir keine Haftung.

Kommunizieren Sie mit uns über unsere Social-Media-Präsenzen, verarbeiten wir die uns dazu zugänglich gemachten Informationen, etwa Namen, Profilseite und Nachrichteninhalt, entsprechend dem Zweck Ihrer Mitteilung. Wir löschen diese Daten, sobald die Speicherung nicht mehr erforderlich ist, oder schränken die Verarbeitung bei gesetzlichen Aufbewahrungspflichten ein. Bei öffentlichen Beiträgen entscheiden wir im Einzelfall, ob und wann wir sie dort löschen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a, lit. b sowie lit. f DSGVO, unser berechtigtes Interesse an funktionierendem Kundenkontakt. Die Anbieter können dabei eigene Cookies setzen, auf die wir keinen Einfluss haben.

WhatsApp-Kanal

Über einen Link können Sie unserem WhatsApp-Kanal beitreten, einer Eins-zu-viele-Kommunikation, keiner Gruppe. Follower können nicht in den Kanal schreiben, sondern nur mit Emojis reagieren und an Umfragen teilnehmen.

Anbieter für den EWR ist WhatsApp Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland, Datenschutzrichtlinie unter whatsapp.com/legal/privacy-policy-eea. Es findet eine Übermittlung in die USA statt, gestützt auf Standardvertragsklauseln.

Wenn Sie dem Kanal folgen, verarbeitet WhatsApp in eigener Verantwortung Ihre Telefonnummer, Profilinformationen und Nutzungsdaten. Uns als Betreiber zeigt WhatsApp Ihren Profilnamen und, je nach Ihren Datenschutz-Einstellungen, Ihr Profilbild sowie Ihre Reaktionen und Stimmabgaben. Ihre Telefonnummer sehen wir nicht, es sei denn, Sie sind bereits in unseren Kontakten gespeichert.

Zweck ist Information über und Werbung für unser Angebot. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO, der Beitritt ist freiwillig. Sie beenden die Verarbeitung jederzeit, indem Sie den Kanal verlassen.

8. Warteliste

Auf unserer Startseite und unter /waitlist können Sie sich in unsere Warteliste eintragen. Pflichtfelder sind Vorname und E-Mail, auf der Startseite zusätzlich Nachname, sowie eine leer startende Einwilligungs-Checkbox. Auf /waitlist ist der Nachname freiwillig. Automatisch erfassen wir Ihre Sprache, die Quelle der Eintragung und den Zeitpunkt Ihrer Einwilligung. Während der Eingabe prüft die Seite live gegen unseren eigenen Server, ob Ihre E-Mail bereits eingetragen ist, ohne Speicherung und ohne Beteiligung Dritter.

Der Text der Checkbox lautet: „Ich möchte Updates zu CÉCILE Studios erhalten, zum Beispiel zur Eröffnung.“

Zweck ist die Information über die Studio-Eröffnung, Launch-Ankündigungen und Angebote per E-Mail, also Werbung. Rechtsgrundlage ist Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO. Sie widerrufen jederzeit per E-Mail an hello@cecilestudios.com.

Wir speichern Ihre Angaben bei Supabase, siehe Abschnitt 17. Ihre E-Mail ist eindeutig, doppelte Eintragungen werden ignoriert. Sie erhalten über Brevo eine Bestätigungsmail mit Vornamen, eine interne Benachrichtigung erfolgt nicht. Wir speichern Ihre Daten, bis Sie widerrufen oder bis wir die Warteliste nicht mehr benötigen, danach löschen wir sie.

9. Bewerbungen

Über unsere Karriereseite (/hiring) können Sie sich bewerben. Pflichtfelder sind die Position (Lagree Instructor, Hot Strength Instructor oder Shake Bar Barista), Vorname, Nachname, E-Mail, Erfahrung, Motivation, Verfügbarkeit sowie eine Einwilligungs-Checkbox. Die Telefonnummer ist freiwillig, ein Datei-Upload nicht vorgesehen. Automatisch erfassen wir Sprache und Zeitpunkt der Einwilligung.

Der Text der Checkbox lautet: „Ich willige ein, dass CÉCILE Studios meine Bewerbungsdaten zur Prüfung meiner Bewerbung verarbeitet.“

Zweck ist die Durchführung des Bewerbungsverfahrens. Rechtsgrundlage ist § 26 Abs. 1 BDSG in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO, mit der Checkbox bestätigen Sie zusätzlich Ihre Einwilligung. Eine Nutzung zu Werbezwecken findet nicht statt.

Ihre Angaben speichern wir bei Supabase. Über Brevo versenden wir zwei E-Mails: eine an unser Team mit allen Angaben, eine Eingangsbestätigung an Sie mit einem Link zu dieser Erklärung und zum Impressum. Einsicht hat im internen Bereich nur, wer mit der Bearbeitung befasst ist.

Wir löschen Ihre Bewerbungsdaten spätestens sechs Monate nach Eingang, die Frist läuft ab Eingang, nicht ab einer Absage. Ausgenommen sind eine Einstellung, dann übernehmen wir die Daten in die Personalverwaltung, oder Ihre Einwilligung in eine längere Speicherung.

10. Buchung des Teacher Trainings

10.1 Anmeldung

Über unsere Trainingsseite können Sie einen Platz buchen. Pflichtfelder sind Vorname, Nachname, E-Mail, Telefonnummer, Land, beruflicher Hintergrund, Erfahrung mit Lagree, Motivation und die Anzahl der Plätze (ein bis vier). Hinzu kommt eine Pflicht-Checkbox zu Trainingsbedingungen und Stornierungs-Policy mit Verweis auf unsere AGB. Freiwillig sind Instagram-Handle und eine zweite, leer startende Checkbox: „Schick mir ab und zu Neuigkeiten zu Trainings und zum Studio.“ Zusätzlich speichern wir automatisch Ihre Spracheinstellung und den Zeitpunkt Ihrer Zustimmung.

Zweck ist Anbahnung und Durchführung des Trainingsvertrags samt Abrechnung und gesetzlicher Aufbewahrung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Für die Aufbewahrung gilt zusätzlich Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB. Für freiwillige Updates ist die Rechtsgrundlage Art. 6 Abs. 1 lit. a DSGVO. Ohne Pflichtangaben ist keine Buchung möglich. Wir speichern Ihre Buchung bei Supabase, mit Status (offen, bezahlt, abgelaufen, erstattet), Zeitstempeln, Stripe-Vorgangsnummer und Buchungsreferenz.

10.2 Zahlung über Stripe

Nach dem Formular leiten wir Sie zu einer von Stripe gehosteten Bezahlseite (checkout.stripe.com) weiter. Wir übergeben E-Mail, Anzahl der Plätze, Sprache und Buchungsnummer. Direkt bei Stripe geben Sie Rechnungsadresse, Zahlungsdaten und optional Ihre Umsatzsteuer-ID ein. Stripe berechnet die Steuer, erstellt die über einen Link abrufbare Rechnung und legt einen Kundendatensatz an.

Anbieter ist Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland, Datenschutzerklärung unter stripe.com/privacy. Eine Übermittlung an Stripe, Inc. in die USA ist möglich, Stripe ist DPF-zertifiziert, ergänzend gelten Standardvertragsklauseln. Für Zahlungsabwicklung und Betrugsprävention handelt Stripe teils eigenverantwortlich, für Vorgänge wie die Rechnungserstellung teils in unserem Auftrag.

Stripe zeigt je nach Land, Gerät und Währung eine Auswahl der in unserem Konto aktivierten Zahlungsarten an: Kartenzahlung, Apple Pay, Amazon Pay, Link, PayPal, Samsung Pay, Klarna sowie regionale Verfahren wie Bancontact, BLIK, EPS, MB WAY, Pix, Kakao Pay, Naver Pay und PAYCO. Je nach gewählter Zahlungsart erhält der jeweilige Zahlungsdienstleister, zum Beispiel PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg, die dafür nötigen Daten und verarbeitet sie eigenverantwortlich. Wir speichern selbst keine Zahlungsdaten, sondern erhalten von Stripe nur Zahlungsstatus, Betrag, Rechnungslink und Vorgangsnummern.

Stripe prüft jede Zahlung automatisiert auf Betrugsverdacht (Stripe Radar) und kann sie automatisch ablehnen. Das ist eine automatisierte Entscheidung nach Art. 22 DSGVO, auf die wir keinen Einfluss haben und von der wir nicht unmittelbar erfahren. Wird Ihre Zahlung abgelehnt, wenden Sie sich bitte an uns, wir suchen dann gemeinsam einen anderen Weg. Rechtsgrundlage für die Zahlungsabwicklung ist Art. 6 Abs. 1 lit. b und lit. c DSGVO.

10.3 Bestätigung und Ticket

Nach Zahlungseingang senden wir über Brevo eine Bestätigungsmail mit Vorname, Anzahl der Plätze, bezahltem Betrag, Trainingsdatum und -ort, Buchungsreferenz, Rechnungslink, Widerrufsbelehrung und Impressumsangaben. Als Anhänge erhalten Sie ein PDF-Ticket und eine Kalenderdatei.

Intern speichern wir zusätzlich eine zufällige Ticketkennung, die für eine spätere Einlasskontrolle vorgesehen ist. Unser Team kann die Bestätigung im Admin-Bereich erneut senden.

10.4 Speicherdauer

Bleibt eine Buchung unvollständig, weil die Bezahlseite verlassen wird oder die Zahlung fehlschlägt, prüfen wir 48 Stunden nach Erstellung bei Stripe, ob gezahlt wurde. Steht fest, dass nicht gezahlt wurde, anonymisieren wir sofort Name, E-Mail, Telefonnummer, Land, Instagram-Handle, Beruf, Erfahrung und Motivation. Der anonymisierte Rest wird 90 Tage nach Erstellung endgültig gelöscht. Diese Prüfung läuft täglich.

Bei vollständiger Erstattung anonymisieren wir ebenso sofort und löschen den Rest ebenfalls nach 90 Tagen. Steuerlich relevante Belege wie Rechnung und Gutschrift verbleiben bei Stripe.

Für bezahlte, durchgeführte Buchungen bewahren wir die Daten auf, solange dies für Durchführung und Nachbereitung erforderlich ist, darüber hinaus gesetzliche Aufbewahrung, in der Regel zehn Jahre für steuerrelevante Unterlagen.

10.5 Interne Benachrichtigungen

Bei Auffälligkeiten, etwa Zahlung ohne Buchung, Rückbuchung, Streitfall oder technischer Störung, erhält unser Team automatisch eine E-Mail über Brevo mit Buchungsnummer, Status, Stripe-Vorgangsnummern und Beträgen. Nur bei einer Rückbuchung enthält sie zusätzlich Ihre E-Mail. Empfänger ist hello@cecilestudios.com oder eine hinterlegte Team-Adresse. Regelmäßig gleichen wir zudem die Zahlungen der letzten Tage bei Stripe mit unseren Buchungen ab, anhand von Vorgangsnummern und Beträgen.

11. Mitgliedschaft im Members Club

11.1 Abschluss

Über unsere Mitgliedschaftsseite können Sie eine Mitgliedschaft im Members Club abschließen. Pflichtangaben sind die gewählte Stufe, die Zahlweise (monatlich oder jährlich im Voraus), Vorname, Nachname und E-Mail-Adresse. Hinzu kommen zwei Pflicht-Checkboxen: die Bestätigung, dass Sie mindestens 18 Jahre alt sind, und die Zustimmung zu den Mitgliedschaftsbedingungen und zur Widerrufsbelehrung. Freiwillig ist eine dritte, leer startende Checkbox für gelegentliche Updates zum Members Club und zu CÉCILE Studios. Zusätzlich speichern wir automatisch Ihre Spracheinstellung, den Zeitpunkt Ihrer Zustimmung und Ihrer Altersbestätigung sowie die Fassung der Bedingungen, der Sie zugestimmt haben. Telefonnummer, Anschrift, Geburtsdatum und Gesundheitsangaben fragen wir auf der Website nicht ab.

Die zwei Fragen auf der Mitgliedschaftsseite, aus denen die Seite eine passende Stufe vorschlägt, werden ausschließlich in Ihrem Browser ausgewertet. Ihre Antworten werden weder an uns übertragen noch gespeichert.

Zweck ist Anbahnung und Durchführung des Mitgliedschaftsvertrags samt Abrechnung und gesetzlicher Aufbewahrung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Für die Aufbewahrung gilt zusätzlich Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB. Für freiwillige Updates ist die Rechtsgrundlage Art. 6 Abs. 1 lit. a DSGVO. Ohne Pflichtangaben ist kein Abschluss möglich.

Mit dem Absenden des Formulars speichern wir Ihre Bestellung bei Supabase und reservieren Ihnen für 36 Minuten einen der 30 Plätze, noch bevor Sie Ihre Karte hinterlegt haben. Je E-Mail-Adresse gibt es höchstens eine Reservierung und eine Mitgliedschaft, dafür gleichen wir Ihre Adresse mit den vorhandenen Bestellungen ab. Wir speichern außerdem Status, Zeitstempel, die Eckdaten Ihres Vertrags (Stufe, Zahlweise, Beträge, Laufzeit) und Ihre Vertragsreferenz. Die Anzeige der freien Plätze auf der Website ist eine reine Zählung ohne personenbezogene Daten.

11.2 Karte hinterlegen und Abbuchung über Stripe

Nach dem Formular leiten wir Sie zu einer von Stripe gehosteten Seite (checkout.stripe.com) weiter. Dort hinterlegen Sie eine Kredit- oder Debitkarte und geben Ihre Rechnungsadresse sowie optional Ihre Umsatzsteuer-ID ein. Bei Vertragsschluss wird nichts abgebucht. Wir übergeben an Stripe Ihren Namen, Ihre E-Mail-Adresse, Ihre Sprache, unsere Bestellnummer, Stufe und Zahlweise.

Stripe legt einen Kundendatensatz an, speichert das Zahlungsmittel und bucht die vereinbarten Beiträge zu den vereinbarten Terminen ab: erstmals nach den beitragsfreien Monaten nach der Eröffnung des Studios und danach wiederkehrend, solange die Mitgliedschaft läuft. Stripe berechnet die Steuer und erstellt die Rechnungen. Scheitert eine Abbuchung oder verlangt Ihre Bank eine Bestätigung, versucht Stripe den Einzug nach eigenen Regeln erneut und kann Ihnen dazu E-Mails mit einem Link schicken.

Wir selbst speichern keine Kartendaten. Von Stripe erhalten und speichern wir Kennungen (Kundennummer, Kennung des hinterlegten Zahlungsmittels, Nummern von Zahlplan und Abonnement, Vorgangsnummer), den Status und den Link zur ersten Rechnung. Für Mitgliedschaften bieten wir als Zahlungsmittel nur Karten an. Zu Anbieter, Übermittlung in die USA, Rolle von Stripe und zur automatisierten Betrugsprüfung gilt Abschnitt 10.2 entsprechend. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. c DSGVO.

11.3 Bestätigung und weitere E-Mails

Sobald Ihre Karte hinterlegt ist, senden wir Ihnen über Brevo eine Bestätigung mit Vorname, Stufe, Zahlweise, Laufzeit, Beträgen, dem Termin der ersten Abbuchung, Vertragsreferenz, Widerrufsbelehrung und Impressumsangaben. Als Anhang erhalten Sie die Vertragsunterlagen als PDF. Während der Mitgliedschaft schreiben wir Ihnen aus vertraglichem Anlass: wenn der Eröffnungstermin feststeht oder sich ändert, einige Tage vor der ersten Abbuchung, nach einem Widerruf oder einer Kündigung und falls der Vorverkauf aufgehoben wird. Unser Team kann die Bestätigung im Admin-Bereich erneut senden.

Die Seite, die Sie nach dem Abschluss sehen, zeigt Stufe, Zahlweise, Beträge und Ihre Vertragsreferenz, aber weder Ihren Namen noch Ihre E-Mail-Adresse.

11.4 Speicherdauer

Schließen Sie den Vorgang nicht ab, verfällt die Reservierung von selbst. 48 Stunden nach Erstellung entfernen wir aus einer nicht abgeschlossenen Bestellung Vorname, Nachname und E-Mail-Adresse. Übrig bleiben Angaben ohne Personenbezug wie Stufe, Zahlweise, Beträge, Zeitstempel und Status. Die Daten einer abgeschlossenen Mitgliedschaft bewahren wir für die Dauer des Vertrags auf, darüber hinaus gesetzliche Aufbewahrung, in der Regel zehn Jahre für steuerrelevante Unterlagen. Rechnungen verbleiben bei Stripe.

11.5 Interne Benachrichtigungen

Über jede neue Mitgliedschaft und über Auffälligkeiten, etwa eine gescheiterte Abbuchung oder ein beendetes Abonnement, erhält unser Team automatisch eine E-Mail über Brevo mit Stufe, Zahlweise, Bestellnummer, Stripe-Kennungen, Beträgen und Status. Mitteilungen zu einem Widerruf oder einer Kündigung enthalten zusätzlich Ihren Namen und Ihre E-Mail-Adresse, damit unser Team Ihre Erklärung bearbeiten kann. Regelmäßig gleichen wir zudem Zahlpläne und Abonnements bei Stripe mit unseren Bestellungen ab.

11.6 Zugang zum Buchungssystem

Zur Eröffnung des Studios richten wir für Mitglieder den Zugang zu unserem Buchungssystem (CÉCILE Studios App) ein. Dafür werden wir Name, E-Mail-Adresse, Stufe und die Kennung Ihres Abonnements dorthin übernehmen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Über die Datenverarbeitung in der App informieren wir Sie dort gesondert.

12. Gutscheine

12.1 Kauf

Auf unserer Gutscheinseite können Sie einen Gutschein kaufen. Pflichtangaben sind der Betrag, der Name der beschenkten Person („Für“), Ihr Name („Von“) und Ihre E-Mail-Adresse. Hinzu kommt eine Pflicht-Checkbox für die Gutscheinbedingungen und die Widerrufsbelehrung. Freiwillig sind eine persönliche Nachricht (höchstens 160 Zeichen), die E-Mail-Adresse der beschenkten Person und ein Versanddatum. Zusätzlich speichern wir Ihre Spracheinstellung, den Zeitpunkt Ihrer Zustimmung und die Fassung der Bedingungen, der Sie zugestimmt haben.

Zweck ist Abschluss und Durchführung des Gutscheinvertrags samt Abrechnung und gesetzlicher Aufbewahrung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Für die Aufbewahrung gilt zusätzlich Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB. Ohne Pflichtangaben ist kein Kauf möglich.

Name und E-Mail-Adresse der beschenkten Person verarbeiten wir, damit der Gutschein sie erreicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse und das der kaufenden Person an der Zustellung des Geschenks. Bitte geben Sie diese Angaben nur an, wenn Sie davon ausgehen dürfen, dass die beschenkte Person damit einverstanden ist.

Ihre Angaben speichern wir bei Supabase, siehe Abschnitt 17, zusammen mit dem Code des Gutscheins, dem Betrag, dem Status, Zeitstempeln und den Vorgangsnummern von Stripe.

12.2 Zahlung über Stripe

Nach dem Formular leiten wir Sie zu einer von Stripe gehosteten Bezahlseite (checkout.stripe.com) weiter. Wir übergeben Ihre E-Mail-Adresse, den Betrag, die Sprache und eine interne Kennung des Gutscheins. Stripe berechnet beim Gutschein keine Umsatzsteuer und erstellt keine Rechnung, weil beim Kauf eines Mehrzweckgutscheins keine Umsatzsteuer anfällt. Ihren Beleg schicken wir Ihnen selbst per E-Mail.

Zu Anbieter, Zahlungsarten, Übermittlung in die USA, Rolle von Stripe und zur automatisierten Betrugsprüfung gilt Abschnitt 10.2 entsprechend. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

12.3 Versand per E-Mail

Nach der Zahlung senden wir Ihnen über Brevo eine Bestätigung mit Betrag, Code, Gültigkeit, Ihren Angaben zu „Für“, „Von“ und Nachricht, dem Gutschein als PDF und den Gutscheinunterlagen. Haben Sie eine E-Mail-Adresse der beschenkten Person angegeben, erhält sie eine E-Mail mit dem PDF, sofort oder am gewählten Tag um 8 Uhr Berliner Zeit. Für den Versand am gewählten Tag prüft unser System stündlich, welche Gutscheine fällig sind.

Unser Team erhält über jeden verkauften Gutschein eine interne E-Mail mit Betrag, Code, den Namen aus „Für“ und „Von“ und dem Versandweg, ohne E-Mail-Adressen.

12.4 Einlösen

Wenn Sie einen Code auf unserer Website prüfen oder beim Abschluss einer Mitgliedschaft einlösen, gleichen wir ihn mit unserer Datenbank ab. Um das Durchprobieren von Codes zu begrenzen, zählen wir dabei die Anfragen je IP-Adresse, siehe Abschnitt 14.

Beim Einlösen für eine Mitgliedschaft verknüpfen wir den Gutschein mit dieser Mitgliedschaft und schreiben den Betrag dem Kundenkonto der Mitgliedschaft bei Stripe als Guthaben gut. Stripe verrechnet es mit den nächsten Abbuchungen. Wer den Gutschein gekauft hat, erfährt davon nichts. Die Person, die ihn einlöst, erfährt über die kaufende Person nichts außer den Angaben auf dem Gutschein. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

12.5 Speicherdauer

Gutscheine samt Kauf- und Einlösedaten speichern wir bis zum Ende ihrer Gültigkeit, darüber hinaus gesetzliche Aufbewahrung, in der Regel zehn Jahre für steuerrelevante Unterlagen. Die persönliche Nachricht und die E-Mail-Adresse der beschenkten Person entfernen wir sechs Monate nach dem Versand an sie. Gibt es keine beschenkte Person, entfernen wir die Nachricht sechs Monate nach dem Versand an Sie.

Bei abgebrochenen Käufen ohne Zahlung prüfen wir 48 Stunden nach dem Start bei Stripe, ob doch gezahlt wurde. Steht fest, dass nicht gezahlt wurde, entfernen wir Namen, Nachricht und E-Mail-Adressen.

13. Widerruf und Kündigung über die Website

13.1 Vertrag widerrufen

Über die Seite „Vertrag widerrufen“ können Sie einen mit uns geschlossenen Vertrag online widerrufen (§ 356a BGB). Pflichtangaben sind Ihr Name und Ihre E-Mail-Adresse. Hinzu kommen die Vertragsreferenz oder eine Beschreibung des Vertrags und, freiwillig, ein Grund. Wir speichern Ihre Erklärung mit dem Zeitpunkt des Eingangs und Ihrer Spracheinstellung bei Supabase und ordnen sie anhand der Referenz oder Ihrer E-Mail-Adresse Ihrem Vertrag zu. Sie erhalten über Brevo sofort eine Eingangsbestätigung mit dem Inhalt Ihrer Erklärung sowie Datum und Uhrzeit des Eingangs. Unser Team wird per E-Mail informiert, prüft die Erklärung und meldet sich bei Ihnen.

13.2 Vertrag kündigen

Über die Seite „Verträge hier kündigen“ können Sie eine Mitgliedschaft online kündigen (§ 312k BGB). Wir erheben die Art der Kündigung (ordentlich oder außerordentlich), Ihren Namen, Ihre E-Mail-Adresse, die Vertragsreferenz oder eine Beschreibung des Vertrags, den gewünschten Zeitpunkt und bei einer außerordentlichen Kündigung den Grund. Speicherung, Zuordnung und Eingangsbestätigung erfolgen wie beim Widerruf. Bei einer ordentlichen Kündigung nennt die Bestätigung das Vertragsende, sobald es feststeht.

13.3 Erklärung von einer anderen E-Mail-Adresse

Geht ein Widerruf oder eine Kündigung von einer anderen E-Mail-Adresse ein als der im Vertrag hinterlegten, informieren wir die im Vertrag hinterlegte Adresse darüber, dass zu diesem Vertrag eine Erklärung eingegangen ist. Diese Nachricht enthält weder den Namen noch die E-Mail-Adresse noch den Grund der erklärenden Person. Sie schützt davor, dass jemand in fremdem Namen einen Vertrag beendet.

13.4 Rechtsgrundlage und Speicherdauer

Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 356a und § 312k BGB sowie Art. 6 Abs. 1 lit. b DSGVO, soweit wir Ihre Erklärung zur Abwicklung des Vertrags verarbeiten. Die gespeicherten Erklärungen dienen als Nachweis ihres Zugangs. Wir bewahren sie auf, solange das für die Abwicklung des Vertrags und für den Nachweis erforderlich ist, in der Regel bis zum Ablauf der gesetzlichen Verjährungsfristen, darüber hinaus nur, soweit gesetzliche Aufbewahrungspflichten bestehen.

14. Schutz vor Missbrauch

Unsere Formulare für Warteliste, Bewerbung, Trainingsbuchung, Mitgliedschaft, Gutscheinkauf, Widerruf und Kündigung sowie die Prüfung von Gutscheincodes sind gegen massenhafte automatisierte Anfragen geschützt. Dazu zählen wir, wie oft innerhalb kurzer Zeit von einer IP-Adresse aus ein Formular abgeschickt oder ein Code geprüft wird. Die IP-Adresse wird dafür zusammen mit dem Zählerstand für höchstens wenige Stunden bei unserem Dienstleister Upstash gespeichert und danach automatisch gelöscht. In unserer Datenbank speichern wir sie nicht.

Zusätzlich enthalten die Formulare ein für Menschen unsichtbares Feld. Wird es ausgefüllt, verwerfen wir die Anfrage, ohne sie zu speichern.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse daran, die Website und die begrenzten Plätze vor Missbrauch zu schützen. Anbieter ist Upstash, Inc., USA. Die Daten liegen in einem Rechenzentrum in Frankfurt am Main. Upstash ist nach dem EU-U.S. Data Privacy Framework zertifiziert, ergänzend gelten Standardvertragsklauseln.

15. E-Mail-Versand

Alle Transaktions-E-Mails, also Bestätigungen für Warteliste, Bewerbung, Buchung, Mitgliedschaft und Gutscheinkauf, Gutscheine an beschenkte Personen, Nachrichten zu Widerruf und Kündigung sowie interne Hinweise, versenden wir über Brevo. Die Absenderadresse ist hello@cecilestudios.com.

Anbieter ist die Brevo GmbH, Köpenicker Straße 126, 10179 Berlin. Die Server stehen in der EU, in Deutschland und Frankreich, Datenschutzrichtlinie unter brevo.com/legal/privacypolicy.

Übermittelt werden Empfängeradresse, Vorname, Mailinhalt und etwaige Anhänge. Wir setzen in unseren E-Mails kein Öffnungs- oder Klick-Tracking ein. Rechtsgrundlage ist je nach Anlass Art. 6 Abs. 1 lit. b oder lit. a DSGVO, Brevo verarbeitet die Daten als unser Auftragsverarbeiter.

16. Kampagnen-Kurzlinks

Für Plakate und QR-Codes verwenden wir Kurzlinks unter cecilestudios.com/go. Der Aufruf wird serverseitig an unser internes Admin-System weitergereicht, das ihn zählt und Sie an das jeweilige Ziel weiterleitet.

Gezählt werden ausschließlich Kurzlink-Kennung und Zeitpunkt, weder IP-Adresse noch Browser, weder Referrer noch Cookie oder Gerätekennung. Diese Zähldaten enthalten keinen Personenbezug.

Der Aufruf selbst erzeugt wie jeder Seitenaufruf einen gewöhnlichen Server-Log bei Vercel, siehe Abschnitt 3. Ziele sind Seiten unserer Website oder externe Angebote, etwa unser WhatsApp-Kanal, dort gilt jeweils die Datenschutzerklärung des Anbieters.

17. Empfänger und Dienstleister

Wir setzen folgende Dienstleister ein (DPF: EU-U.S. Data Privacy Framework, SCC: Standardvertragsklauseln):

Mit unseren Dienstleistern bestehen, soweit gesetzlich erforderlich, Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

18. Speicherdauer im Überblick

• Server-Logs bei Vercel: spätestens nach 30 Tagen gelöscht.
• Cookie NEXT_LOCALE: endet mit dem Schließen Ihres Browsers.
• Analytics-Kennungen (Vercel, Plausible): nach 24 Stunden verworfen, danach nur zusammengefasste Statistik.
• Warteliste: bis zum Widerruf oder bis wir sie nicht mehr benötigen.
• Bewerbungen: spätestens sechs Monate nach Eingang, außer bei Einstellung oder längerer Einwilligung.
• Unvollständige Buchungen: Anonymisierung nach 48 Stunden, endgültige Löschung nach 90 Tagen.
• Erstattete Buchungen: Anonymisierung sofort nach vollständiger Erstattung, endgültige Löschung nach 90 Tagen.
• Bezahlte, durchgeführte Buchungen: solange für Durchführung und Nachbereitung erforderlich, darüber hinaus gesetzliche Aufbewahrung, in der Regel zehn Jahre für steuerrelevante Unterlagen.
• Nicht abgeschlossene Bestellung einer Mitgliedschaft: Name und E-Mail-Adresse werden nach 48 Stunden entfernt.
• Mitgliedschaften: für die Dauer des Vertrags, darüber hinaus gesetzliche Aufbewahrung, in der Regel zehn Jahre für steuerrelevante Unterlagen.
• Gutscheine: bis zum Ende der Gültigkeit, darüber hinaus gesetzliche Aufbewahrung, in der Regel zehn Jahre für steuerrelevante Unterlagen.
• Persönliche Nachricht und E-Mail-Adresse der beschenkten Person: sechs Monate nach dem Versand entfernt.
• Abgebrochener Gutscheinkauf ohne Zahlung: Namen, Nachricht und E-Mail-Adressen werden nach 48 Stunden entfernt, sobald feststeht, dass nicht gezahlt wurde.
• Widerrufs- und Kündigungserklärungen: solange für Abwicklung und Nachweis erforderlich, in der Regel bis zum Ablauf der gesetzlichen Verjährungsfristen.
• IP-Adresse für den Schutz vor Missbrauch: höchstens wenige Stunden.
• E-Mails über Brevo: entsprechend dem jeweiligen Zweck, siehe Abschnitte zu Warteliste, Bewerbung, Buchung, Mitgliedschaft und Gutscheinen.

19. Ihre Rechte

Ihnen stehen die Rechte aus Art. 15 bis 21 DSGVO zu: Auskunft über Ihre bei uns gespeicherten Daten, Berichtigung unrichtiger Daten, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch.

Zur Ausübung wenden Sie sich an hello@cecilestudios.com oder per Post an die Anschrift in Abschnitt 1.

20. Widerrufs- und Widerspruchsrecht

Sie haben das Recht, gemäß Art. 7 Abs. 3 DSGVO eine erteilte Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO jederzeit zu widerrufen. Wir führen die darauf gestützte Verarbeitung dann für die Zukunft nicht fort. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten, haben Sie das Recht, gemäß Art. 21 DSGVO aus Gründen Ihrer besonderen Situation jederzeit Widerspruch einzulegen. Richtet sich der Widerspruch gegen Verarbeitung zu Zwecken der Direktwerbung, gilt ein generelles Widerspruchsrecht, das wir auch ohne Angabe von Gründen umsetzen.

Für Widerruf oder Widerspruch genügt eine formlose Mitteilung an die Kontaktdaten in Abschnitt 1.

21. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über unsere Verarbeitung zu beschweren. Für uns zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59-61, 10555 Berlin, Telefon +49 30 13889-0, E-Mail mailbox@datenschutz-berlin.de, datenschutz-berlin.de. Sie können sich auch an jede andere Aufsichtsbehörde wenden.

22. Pflicht zur Bereitstellung, automatisierte Entscheidungen, Datensicherheit

Die als Pflichtfeld gekennzeichneten Angaben sind vertraglich oder für die Bearbeitung erforderlich. Ohne sie ist keine Buchung, keine Mitgliedschaft, kein Gutscheinkauf, keine Bewerbung und keine Eintragung möglich. Freiwillige Felder sind entsprechend gekennzeichnet.

Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO findet bei uns nicht statt, mit Ausnahme der automatisierten Betrugsprüfung durch Stripe, siehe Abschnitte 10.2, 11.2 und 12.2.

Wir schützen Ihre Daten durch TLS-Verschlüsselung, Zugriff auf unsere Datenbank ausschließlich über unsere Server sowie einen passwortgeschützten Admin-Bereich, auf den nur zuständige Mitarbeitende Zugriff haben.

23. Änderungen dieser Erklärung, Aktualität

Wir passen diese Erklärung an, wenn sich die Website oder die zugrunde liegende Verarbeitung ändert. Es gilt jeweils die aktuell veröffentlichte Fassung.

Stand dieser Datenschutzerklärung: Oktober 2026. Diese Fassung ersetzt die Fassung von September 2026.