Datenschutz.

Anbieter: Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland), mit Verarbeitung auch durch Google LLC (USA). Wir nutzen Firebase für die Anmeldung und Kontoverwaltung (Authentication), zum Speichern von Profil-, Community- und Interaktionsdaten (Firestore), für hochgeladene Medien und Dokumente (Storage), für serverseitige Logik (Cloud Functions) sowie für Push-Nachrichten (Cloud Messaging/FCM).

Datenkategorien: Konto- und Anmeldedaten (E-Mail, Authentifizierungs-Token), Profil- und Inhaltsdaten, Nachrichten, technische Geräte- und Nutzungsdaten, Push-Token. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsverhältnisses) sowie Art. 6 Abs. 1 lit. f DSGVO (sicherer und stabiler Betrieb). Drittlandübermittlung in die USA über DPF und/oder Standardvertragsklauseln.

Anbieter: Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland), mit Verarbeitung auch durch Google LLC (USA). Um die direkten Datenbankabfragen unserer Website vor automatisierten Zugriffen und Missbrauch zu schützen, sichern wir sie über Firebase App Check ab. App Check bestätigt mithilfe von Google reCAPTCHA Enterprise, dass eine Abfrage tatsächlich von unserer Website und nicht von einem Bot oder einem gefälschten Zugriff stammt; reCAPTCHA läuft dabei unsichtbar im Hintergrund, ohne dass du ein Rätsel lösen musst. Geladen wird dieser Schutz ausschließlich auf der Seite „Galerie“, auf der wir Community-Bilder direkt aus unserer Datenbank abrufen – auf den übrigen Seiten der Website kommt reCAPTCHA nicht zum Einsatz.

Datenkategorien: IP-Adresse sowie Geräte-, Browser- und Nutzungsinformationen, die reCAPTCHA zur Unterscheidung von menschlichen und automatisierten Zugriffen auswertet und für die Informationen auf deinem Endgerät gespeichert und ausgelesen werden können. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Abwehr von Bots und Missbrauch sowie am sicheren und stabilen Betrieb unserer Dienste). Drittlandübermittlung in die USA über DPF und/oder Standardvertragsklauseln.

Anbieter: Google Ireland Limited bzw. Google LLC (USA). In der App stellen wir Karten über Google Maps dar, etwa um geteilte Standorte in Chats und Event-Orte anzuzeigen.

Über die Places API von Google lösen wir außerdem Ortseingaben in Adressen und Koordinaten auf: wenn du beim Anlegen eines Treffens nach einem Ort suchst, wenn du im Shop bei einem persönlichen Produkt deinen Geburtsort eingibst und wenn wir intern Veranstaltungsorte pflegen. Dabei wird deine Sucheingabe an Google übermittelt.

Datenkategorien: IP-Adresse, Geräte- und Nutzungsdaten, angefragte Kartenausschnitte, deine Ortseingaben sowie Standortdaten, soweit du sie aktiv teilst. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Funktion) sowie Art. 6 Abs. 1 lit. f DSGVO. Drittlandübermittlung in die USA über DPF und/oder Standardvertragsklauseln.

Anbieter: Expo (650 Industries, Inc., USA). Unsere App basiert auf dem Expo-Framework. Beim Einrichten der Benachrichtigungen registriert deine App einmalig ein Push-Kennzeichen bei Expo; dabei werden Geräte- und Verbindungsdaten an Expo übertragen.

Der eigentliche Versand der Benachrichtigungen läuft nicht über Expo: Push-Nachrichten senden wir direkt über Firebase Cloud Messaging von Google (auf iOS von dort weiter über Apples Push-Dienst APNs), und die Signalisierung eingehender Anrufe geht direkt an Apples Dienst. Inhalte deiner Benachrichtigungen erhält Expo dadurch nicht.

Datenkategorien: Push-Kennzeichen deines Geräts, technische Geräte- und Verbindungsdaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO. Drittlandübermittlung in die USA über DPF und/oder Standardvertragsklauseln.

Anbieter: Eden AI SAS (Paris, Frankreich) als Auftragsverarbeiter, der den Abgleich technisch über Amazon Rekognition (Amazon Web Services, Inc., USA) als Unterauftragnehmer ausführt. Wenn du dein Profil verifizierst, übermitteln wir dein Profilbild und das dabei aufgenommene Live-Selfie an diesen Dienst, der beide Aufnahmen automatisiert miteinander vergleicht und uns nur einen Ähnlichkeitswert zurückgibt.

Dieser Abgleich wertet Gesichtsmerkmale aus, um festzustellen, ob es sich um dieselbe Person handelt. Damit verarbeiten wir biometrische Daten zur eindeutigen Identifizierung – eine besondere Kategorie personenbezogener Daten nach Art. 9 Abs. 1 DSGVO. Ausführlich dazu im Abschnitt „Verifizierung“ weiter unten.

Datenkategorien: Profilbild, Live-Selfie, der daraus errechnete Ähnlichkeitswert. Rechtsgrundlage: deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO. Ohne diese Einwilligung findet der Abgleich nicht statt. Drittlandübermittlung in die USA über das Data Privacy Framework und/oder Standardvertragsklauseln.

Anbieter: Google Ireland Limited bzw. Google LLC. Wir setzen das Sprachmodell Gemini über Google Vertex AI ein, um Texte automatisch auf Verstöße gegen unsere Regeln zu prüfen und um dir beim Formulieren von Veranstaltungstexten zu helfen. Die Verarbeitung ist auf die Region Frankfurt (europe-west3) festgelegt und findet damit innerhalb der EU statt.

Geprüft werden: Profiltexte und Veranstaltungstexte sowie die erste Nachricht an einen neuen Kontakt. Diese erste Nachricht wird vor dem Zustellen im Wortlaut an den Dienst übermittelt – das ist der Preis dafür, dass niemand hier mit Belästigung oder Werbung angeschrieben wird. Der weitere Nachrichtenverlauf zwischen euch wird nicht geprüft und nicht übermittelt.

Datenkategorien: die jeweiligen Texte im Wortlaut, bei Veranstaltungen zusätzlich Titel, Beschreibung, Ort und Datum. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Funktion) sowie Art. 6 Abs. 1 lit. f DSGVO (Schutz der Mitglieder vor Belästigung, Spam und Missbrauch).

Anbieter: Google Ireland Limited bzw. Google LLC (USA). Bilder, die du hochlädst – Profilbilder und in Chats verschickte Bilder –, prüfen wir automatisiert darauf, ob sie ein Gesicht zeigen und ob sie problematische Inhalte enthalten. Dabei wird auch Text erkannt, der im Bild selbst steht, damit niemand Werbung oder Kontaktdaten am Regelwerk vorbei ins Bild schreibt.

Datenkategorien: das jeweilige Bild sowie die daraus abgeleiteten Erkennungsmerkmale. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz der Gemeinschaft vor unzulässigen Inhalten) sowie Art. 6 Abs. 1 lit. b DSGVO. Drittlandübermittlung in die USA über DPF und/oder Standardvertragsklauseln.

Anbieter: RevenueCat, Inc. (USA). RevenueCat verwaltet für uns den Status der freiwilligen Premium-Förderbeiträge und In-App-Käufe und gleicht Kaufbelege mit den App-Stores ab.

Datenkategorien: pseudonyme Nutzer-/App-Kennung, Kauf- und Abostatus, Transaktions- und Geräteinformationen (keine vollständigen Zahlungsdaten – diese verbleiben bei den App-Stores). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Verwaltung der gebuchten Leistung). Drittlandübermittlung in die USA über DPF und/oder Standardvertragsklauseln.

Anbieter: Stripe Payments Europe, Ltd. (Dublin, Irland), mit Verarbeitung auch durch Stripe, Inc. (USA). Stripe wickelt Zahlungen für kostenpflichtige Veranstaltungen und Retreats ab.

Datenkategorien: Name, E-Mail, Zahlungsmittel- und Transaktionsdaten, Betrag, IP-Adresse und Betrugspräventionsdaten. Vollständige Zahlungsdaten verarbeitet Stripe als eigenständig Verantwortlicher. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Abwicklung der Buchung) sowie Art. 6 Abs. 1 lit. f DSGVO (Betrugsprävention). Drittlandübermittlung in die USA über DPF und/oder Standardvertragsklauseln.

Anbieter: Resend (USA). Über Resend versenden wir transaktionale E-Mails wie Bestätigungen, Benachrichtigungen und sicherheitsrelevante Mitteilungen.

Datenkategorien: E-Mail-Adresse, Name, Inhalt und Zustell-/Statusinformationen der E-Mail. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO (zuverlässige Kommunikation). Drittlandübermittlung in die USA über DPF und/oder Standardvertragsklauseln.

Anbieter: Mistral AI (Paris, Frankreich). Schreibst du unserem Support in der App, übermitteln wir den Inhalt deiner Anfrage an Mistral AI und antworten dir mit dem Ergebnis unmittelbar im selben Gespräch – die Nachricht ist als KI gekennzeichnet und kommt vom Absender „Principium Assistent (KI)“. Ebenso lassen wir uns Antworten auf Bewertungen entwerfen, die du im App Store oder bei Google Play zu unserer App hinterlässt; diese Entwürfe gibt immer ein Mensch frei. Die Verarbeitung erfolgt innerhalb der EU.

Datenkategorien: Inhalt deiner Anfrage sowie des bisherigen Gesprächsverlaufs im Support, bei Bewertungen der von dir veröffentlichte Bewertungstext. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bearbeitung deiner Anfrage) sowie Art. 6 Abs. 1 lit. f DSGVO (effizienter Support, Antwort auf öffentliche Bewertungen). Kommt der Assistent nicht weiter, übergibt er das Gespräch an unser Team; ebenso kann jederzeit ein Mensch übernehmen, und du kannst jederzeit darum bitten. Über Verwarnungen, Sperren oder Ausschlüsse entscheidet der Assistent nicht.

Anbieter: PostHog, Inc. (USA); wir nutzen ausschließlich die EU-Cloud (eu.i.posthog.com), die Verarbeitung findet damit innerhalb der EU statt. PostHog setzen wir nur in der App ein, um zu verstehen, welche Funktionen genutzt werden und wo Menschen hängen bleiben – auf der Website läuft es nicht. Sitzungsaufzeichnungen sind abgeschaltet.

Datenkategorien: pseudonyme Nutzungs- und Ereignisdaten (welcher Bildschirm, welche Aktion), Geräteinformationen, deine pseudonyme Nutzerkennung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem verständlichen, funktionierenden Produkt).

Betrieb: Wir nutzen Umami als selbst gehostete, datensparsame Analyse-Software, um zu verstehen, welche Inhalte unserer Website genutzt werden. Die Software läuft auf unserer eigenen Instanz in der Infrastruktur von Vercel (siehe „Hosting durch Vercel“); eine Weitergabe der Statistikdaten an Dritte zu deren eigenen Zwecken findet nicht statt.

Datenkategorien: aggregierte, anonyme Nutzungsdaten wie aufgerufene Seiten, Verweisquelle (Referrer), ungefähre Herkunft auf Länder-/Regionsebene sowie Geräte- und Browsertyp. Umami setzt keine Cookies und legt keine wiedererkennbaren Kennungen auf deinem Endgerät ab. Deine IP-Adresse wird nicht gespeichert; sie geht nur in einen täglich wechselnden, nicht umkehrbaren Prüfwert ein, mit dem Umami Besuche desselben Tages zusammenfasst – spätestens am Folgetag ist auch dieser Bezug verloren. Eine geräteübergreifende Wiedererkennung oder ein Profiling findet nicht statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datensparsamen Reichweitenmessung). Da hierbei keine Informationen in deinem Endgerät gespeichert oder ausgelesen werden, ist keine Einwilligung nach § 25 TDDDG erforderlich.

Wenn du einen Link zu Principium öffnest – eine Einladung in einen Zirkel, einen geteilten Event, einen QR-Code von einer Karte – halten wir diesen Aufruf in unserer eigenen Datenbank fest. Kein Dienstleister ist beteiligt, es wird kein Attributions-SDK eingesetzt, und es entsteht keine Kennung, die dich über Geräte oder Anbieter hinweg wiedererkennbar macht.

Datenkategorien beim Öffnen eines Links: welcher Link geöffnet wurde, die Kennung der Kampagne, die Verweisquelle, dein Land, die Browserkennung (User-Agent), der Zeitpunkt und eine zufällige Kennung für genau diesen Klick. Deine IP-Adresse speichern wir dabei nicht, und es wird nichts auf deinem Endgerät gespeichert oder ausgelesen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Dass du an dem Ort ankommst, zu dem der Link zeigt, ist zudem der Zweck, für den du ihn angetippt hast (§ 25 Abs. 2 Nr. 2 TDDDG).

Wenn du danach ein Konto anlegst, speichern wir an deinem Konto, worüber du gekommen bist: den Kanal, die Kampagne, gegebenenfalls einen Einladungs-, Zirkel- oder Partner-Code und die Klick-Kennung von oben. Diese dauerhafte Zuordnung stützen wir auf unser berechtigtes Interesse an einer verständlichen Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO). Du kannst ihr jederzeit mit Wirkung für die Zukunft widersprechen (Art. 21 DSGVO).

Auf Android-Geräten fragt die App beim allerersten Start einmalig beim Google Play Store ab, über welchen Link die Installation ausgelöst wurde („Install Referrer“). Das ist ein Text, den Google uns mitgibt – keine Gerätekennung. Auf iPhones gibt es keine solche Möglichkeit, und wir gleichen das ausdrücklich nicht durch ein Wiedererkennungsverfahren aus.

Deine Zwischenablage lesen wir ausschließlich dann, wenn du selbst auf „Einladung einfügen“ tippst – nie beim Start der App und nie im Hintergrund.

Im Abschluss der Anmeldung fragen wir dich außerdem: „Wie bist du zu uns gekommen?“ Diese Frage ist freiwillig und überspringbar. Wenn du sie überspringst, ändert das nichts daran, wo du landest.

Speicherdauer: Die einzelnen Klick-Ereignisse löschen wir nach 14 Monaten automatisch; danach bleibt nur eine Tagesstatistik ohne Personenbezug. Die Herkunftsangabe an deinem Konto besteht so lange wie dein Konto.

Anbieter: Functional Software, Inc. (Sentry, USA); wir nutzen fest die EU-Region (de.sentry.io), die Verarbeitung findet damit innerhalb der EU statt. Sentry erfasst technische Fehler- und Absturzberichte, damit wir Probleme erkennen und beheben können. E-Mail-Adressen, Telefonnummern und IP-Adressen entfernen wir vor dem Senden.

Datenkategorien: Fehler- und Stacktrace-Daten, Geräte-, Browser- und App-Versionsinformationen, gekürzte IP-Adresse, pseudonyme Kennungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Stabilität und Sicherheit unseres Angebots). Drittlandübermittlung in die USA über DPF und/oder Standardvertragsklauseln.

Anbieter: Algolia SAS (Paris, Frankreich) mit Infrastruktur auch außerhalb der EU. Algolia stellt die Such- und Findefunktionen für Mitglieder und Events bereit.

Datenkategorien: deine Suchanfragen sowie die Profilangaben, die andere Mitglieder ohnehin sehen – Name und Benutzername, Profilbild, Über-mich-Text, Beruf und Arbeitsort, Alter, Geschlecht, Interessen, Werte, Eigenschaften, Sprachen, Ziele, Ort und Region – dazu Veranstaltungsdaten und technische Zugriffsdaten. Wenn du in den Privatsphäre-Einstellungen deine Region ausblendest, werden Ort und Umkreisangaben nicht mitindexiert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Suchfunktion) sowie Art. 6 Abs. 1 lit. f DSGVO. Soweit eine Verarbeitung außerhalb der EU/des EWR erfolgt, geschieht dies auf Basis der Standardvertragsklauseln.

Anbieter: Agora Lab, Inc. (USA). Agora stellt die technische Infrastruktur für Echtzeit-Audio und -Video bereit: für Anrufe zwischen zwei Mitgliedern und für die Räume, in denen unsere Online-Treffen stattfinden. Die Räume erreichst du aus der App oder über einen persönlichen Link im Browser; für beide Wege gilt dasselbe.

Datenkategorien: Verbindungs- und Sitzungsdaten (z. B. Kanal- und Session-Kennungen, IP-Adresse, Geräte- und Netzwerkinformationen) sowie die in Echtzeit übertragenen Audio- und Videoinhalte. Gegenüber Agora trittst du dabei nur unter einer pseudonymen Kennung auf – dein Name und dein Profilbild werden nicht an Agora übermittelt, sondern erst bei uns zugeordnet. Die Gesprächsinhalte werden ausschließlich zur Übertragung verarbeitet, nicht aufgezeichnet und von uns nicht dauerhaft gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Anruf- und Raumfunktion). Drittlandübermittlung in die USA über DPF und/oder Standardvertragsklauseln.

Anbieter: Lulu Press, Inc. (Morrisville, North Carolina, USA) mit europäischen Druckpartnern. Bestellst du in unserem Shop ein gedrucktes Buch, geben wir den Auftrag direkt an Lulu weiter, wo er gedruckt und an dich versandt wird.

Datenkategorien: dein Name, deine vollständige Lieferanschrift und deine Telefonnummer (letztere verlangt der Versanddienstleister für die Zustellung). Deine E-Mail-Adresse geben wir nicht weiter – als Kontakt hinterlegen wir unsere Vereinsadresse. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung deiner Bestellung). Drittlandübermittlung in die USA über DPF und/oder Standardvertragsklauseln.

Anbieter: Shirtigo GmbH, Vitalisstraße 202, 50827 Köln. Bestellst du in unserem Shop ein Kleidungsstück, geben wir den Auftrag an Shirtigo weiter, wo er bedruckt und an dich versandt wird.

Datenkategorien: dein Vor- und Nachname sowie deine Lieferanschrift. Deine E-Mail-Adresse und deine Telefonnummer geben wir nicht weiter. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung deiner Bestellung). Gedruckt und versandt wird in Deutschland; eine Übermittlung in ein Drittland findet nicht statt.

Anbieter: Slack Technologies Limited (Dublin, Irland), Teil von Salesforce, mit Verarbeitung auch in den USA. Unser Team bekommt betriebliche Meldungen in einem internen Slack-Kanal, damit dringende Fälle nicht liegen bleiben.

Datenkategorien: bei Meldungen von Inhalten oder Personen der Name der meldenden und der gemeldeten Person sowie ein kurzer Auszug des beanstandeten Inhalts; bei weitergeleiteten Support-Anfragen dein Name, der Betreff und ein Auszug deiner Nachricht; in der täglichen Übersicht die Anzeigenamen neu beigetretener Mitglieder. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (zügige Bearbeitung von Meldungen und Anfragen, Sicherheit der Gemeinschaft). Drittlandübermittlung in die USA über DPF und/oder Standardvertragsklauseln.

Anbieter: BunnyWay d.o.o. (Ljubljana, Slowenien). Videos auf unserer Website und in der App liefern wir über das Content-Delivery-Netzwerk von Bunny aus, damit sie schnell und stabil laden.

Datenkategorien: IP-Adresse, Geräte- und Verbindungsdaten sowie die abgerufene Videodatei. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (schnelle und zuverlässige Auslieferung unserer Inhalte). Der Anbieter sitzt in der EU.

Anbieter: Railway Corp. (San Francisco, USA). Für unsere gedruckten Einladungskarten erzeugt ein von uns betriebener Dienst auf dieser Infrastruktur das fertige Kartenmotiv.

Datenkategorien: dein Vorname, deine Rollenbezeichnung, dein persönlicher Einladungscode und dein Profilbild. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO bzw. Art. 6 Abs. 1 lit. b DSGVO, soweit du die Karte selbst angefordert hast. Drittlandübermittlung in die USA über Standardvertragsklauseln.

Anbieter: Google Ireland Limited bzw. Google LLC (USA). Über den Tag Manager steuern wir, welche Analyse-Skripte auf unserer Website geladen werden. Der Tag Manager selbst legt keine Cookies an und wertet dein Verhalten nicht aus; er lädt erst nach deiner Einwilligung und gibt dabei deine Entscheidung an die von ihm verwalteten Dienste weiter (Google Consent Mode). Ohne Einwilligung sind Analyse- und Werbespeicher ausdrücklich auf „abgelehnt“ gesetzt.

Datenkategorien: IP-Adresse sowie Geräte- und Browserinformationen, die beim Laden des Skripts anfallen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über das Consent-Banner) in Verbindung mit § 25 Abs. 1 TDDDG. Drittlandübermittlung in die USA über DPF und/oder Standardvertragsklauseln.

Im Rahmen einer Vereinsmitgliedschaft verarbeiten wir Bestands- und Kontaktdaten (z. B. Name, Anschrift, E-Mail, ggf. Geburtsdatum), Mitgliedsdaten sowie Beitrags- und Zahlungsdaten. Rechtsgrundlage ist der Mitgliedschaftsvertrag in Verbindung mit unserer Satzung (Art. 6 Abs. 1 lit. b DSGVO), die Erfüllung rechtlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO) sowie unsere berechtigten Interessen an einer effizienten Verwaltung (Art. 6 Abs. 1 lit. f DSGVO). Die Nutzung der App ist von einer formellen Vereinsmitgliedschaft unabhängig.

Spenden und wiederkehrende Förderbeiträge (Principium mittragen) kannst du direkt auf unserer Website leisten; eine App-Anmeldung ist dafür nicht erforderlich. Die Zahlung wickeln wir über Stripe ab (siehe Abschnitt Zahlungsverfahren). Wir verarbeiten die zur Abwicklung, zur Ausstellung der Zuwendungsbestätigung und zur Erfüllung steuer- und spendenrechtlicher Pflichten erforderlichen Daten (insbesondere Name, Anschrift, E-Mail-Adresse, Betrag, Verwendungszweck und Zahlungsreferenz). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Abwicklung der Zuwendung), Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflichten, u. a. § 50 EStDV, § 147 AO) sowie unser berechtigtes Interesse an der Mittelbeschaffung für unsere gemeinnützige Arbeit (Art. 6 Abs. 1 lit. f DSGVO).

Für jede Zuwendung stellen wir automatisch eine Zuwendungsbestätigung aus und senden sie dir per E-Mail. Die zugehörigen Unterlagen bewahren wir entsprechend den steuer- und handelsrechtlichen Aufbewahrungsfristen (in der Regel zehn Jahre) auf.

Auf unserer Website zeigen wir einen öffentlichen Spendenstand (aggregierte Summen je Verwendungszweck sowie die Zahl der Unterstützer, ohne Namen). Eine namentliche Nennung als Unterstützer – ausschließlich mit deinem Vornamen – erfolgt nur, wenn du dem beim Spenden ausdrücklich zustimmst. Rechtsgrundlage ist dann deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit mit Wirkung für die Zukunft widerrufen kannst (z. B. per E-Mail an verein@principium.one).

In unserem Web-Shop kannst du digitale Inhalte (z. B. Audio-Sets) und gedruckte Produkte als Gast kaufen; ein Nutzerkonto ist dafür nicht erforderlich. Wir verarbeiten dabei deine E-Mail-Adresse (Zustellung des Zugangs-Links bzw. der Bestellbestätigung), den gewählten Betrag und die Zahlungsreferenz sowie bei gedruckten Produkten deinen Namen und deine Lieferanschrift für Herstellung und Versand. Die Zahlung wickeln wir über Stripe ab (siehe Abschnitt Zahlungsverfahren). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO (steuer- und handelsrechtliche Pflichten).

Für personalisierte Produkte (z. B. das Astro-Komplettset oder das Meisterbuch) fragen wir zusätzlich dein Geburtsdatum, deine Geburtszeit und deinen Geburtsort ab. Diese Angaben verwenden wir ausschließlich, um deine astrologischen Konstellationen zu berechnen und dir die zu deinem Chart gehörenden Inhalte bereitzustellen bzw. das bestellte Werk für dich zu erstellen; sie werden zusammen mit deiner Bestellung gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Bei der Suche nach deinem Geburtsort wird deine Eingabe zur Auflösung der Ortskoordinaten an Google (Places API) übermittelt; die Berechnung deines Charts selbst erfolgt auf unseren Servern.

Der Zugriff auf digitale Käufe erfolgt über einen persönlichen, nicht erratbaren Zugangs-Link, den wir dir per E-Mail senden. Bestell- und Zahlungsunterlagen bewahren wir entsprechend den gesetzlichen Aufbewahrungsfristen (in der Regel zehn Jahre) auf und löschen sie anschließend.

Auf unserer Website kannst du dich eintragen, um zu hören, wenn das nächste Retreat feststeht – und getrennt davon, wenn es beim Seminarhaus echte Schritte gibt. Wir verarbeiten dafür deine E-Mail-Adresse, den Zeitpunkt und die Seite, auf der du dich eingetragen hast, sowie die Liste, für die du dich entschieden hast. Der Eintrag wird erst wirksam, wenn du in einer Bestätigungsmail auf den Link klickst (Double-Opt-in); ohne diesen Klick löschen wir ihn. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Wir merken uns außerdem, über welche Retreats wir dich schon informiert haben, damit dieselbe Nachricht dich nicht zweimal erreicht.

Ist ein bestimmtes Retreat ausgebucht, kannst du dich dafür auf die Warteliste setzen. Dann speichern wir zusätzlich, auf welches Retreat du wartest, seit wann und ob wir dich schon benachrichtigt haben – mehr nicht. Wird dort ein Platz frei, bekommst du eine Mail; ob überhaupt einer frei wird, können wir dir nicht versprechen. Sagst du uns umgekehrt auf der Seite eines Retreats, dass der Termin dir nicht passt, merken wir uns nur, dass du dieses eine Retreat schon kennst, damit wir es dir nicht noch einmal ankündigen. Rechtsgrundlage ist auch hier deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); mit dem Abmeldelink fällt beides zusammen mit deiner Adresse weg.

Nach der Bestätigung stellen wir dir zwei freiwillige Fragen: in welcher Gegend du wohnst (Postleitzahl oder Ort genügt), wie weit du für ein Retreat fahren würdest und wie oft du dir das vorstellen könntest. Wir nutzen das ausschließlich, um zu erkennen, wo unsere Retreats stattfinden sollten und ob ein eigenes Haus für genug Menschen erreichbar wäre – ausgewertet wird die Gegend, nicht die genaue Adresse. Jede der Fragen kannst du überspringen; ohne Antwort bleibst du genauso auf der Liste. Rechtsgrundlage ist auch hier deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

In der Mail zu einem neuen Retreat findest du außerdem einen Link „Passt diesmal nicht?“. Klickst du ihn, kannst du uns mit einem Tipp sagen, woran es liegt – Termin, Preis, Anreise, gerade kein Kopf dafür oder doch nicht dein Thema. Wir speichern dazu nur deine Auswahl, das betreffende Retreat und den Zeitpunkt; ein Freitextfeld gibt es dort bewusst nicht. Die Angabe ist freiwillig, du bleibst ohne sie genauso auf der Liste, und wir nutzen sie ausschließlich, um kommende Retreats besser zu planen. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Jede Mail enthält einen Abmeldelink. Meldest du dich ab, löschen wir deine E-Mail-Adresse und alle freiwilligen Angaben; zurück bleibt nur ein verkürzter Prüfwert deiner Adresse mit dem Vermerk der Abmeldung, damit wir dich nicht versehentlich erneut anschreiben. Du kannst dich jederzeit wieder eintragen. Deine Einwilligung kannst du außerdem formlos per E-Mail an verein@principium.one widerrufen; was bis dahin geschehen ist, bleibt rechtmäßig.

Stornierst du eine Buchung, fragen wir dich danach freiwillig, woran es lag – zur Auswahl stehen Termin, Finanzen, Anreise, etwas Privates oder ein anderer Grund. Du kannst die Frage einfach wegtippen; auf deine Stornierung und deine Erstattung hat das keinerlei Einfluss, beide sind zu diesem Zeitpunkt bereits abgeschlossen. Wir speichern nur deine Auswahl und den Zeitpunkt und nutzen sie, um zu verstehen, woran Buchungen scheitern. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Buchst du ein mehrtägiges Retreat, verarbeiten wir zusätzlich zu den üblichen Anmeldedaten die Angaben, die eine Unterbringung und Verpflegung braucht: Name, E-Mail-Adresse, gewählte Beitragsstufe und Zahlungsreferenz, deine Anreise sowie einen Notfallkontakt für den Fall, dass dir vor Ort etwas zustößt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung deiner Buchung). Das gemeinsame Teilnehmer-Telefonbuch eines Retreats löschen wir wenige Tage nach dem Ende automatisch; Buchungs- und Zahlungsbelege bewahren wir nach den steuerlichen Fristen auf.

Im Anmeldebogen fragen wir dich außerdem zwei freiwillige Fragen: was du erleben möchtest und worauf wir bei dir achten sollen. Beide kannst du leer lassen. Was du dort schreibst, lesen ausschließlich der Vorstand und die Menschen aus unserem Team, die das Retreat vorbereiten und leiten – es steht in keiner Teilnehmerliste, die andere Gäste sehen, und es fließt nicht in die Teilnahmevereinbarung ein.

Im selben Bogen fragen wir dich außerdem, ob es gesundheitlich etwas gibt, das wir wissen sollten – bei körperlich intensiven Formaten wie Atemarbeit gezielt, weil die Übung sonst nicht zu verantworten ist. Antwortest du darauf, oder schreibst du etwas Gesundheitliches in das Feld „Worauf sollen wir bei dir achten?“ – etwa eine Schwangerschaft, Medikamente, eine Herz-Kreislauf-Erkrankung, Epilepsie oder eine psychische Belastung –, verarbeiten wir Gesundheitsdaten und damit eine besondere Kategorie nach Art. 9 Abs. 1 DSGVO. Wir tun das allein zu einem Zweck: das Retreat für dich sicher zu gestalten – Übungen anzupassen, dich von einzelnen auszunehmen oder im Notfall richtig zu reagieren. Rechtsgrundlage ist deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, die du mit dem Ausfüllen genau dieser Felder erteilst; wir weisen dich unmittelbar daneben darauf hin. Die Angabe ist freiwillig – ohne sie kannst du genauso teilnehmen, wir wissen dann nur weniger über dich.

Weil dieser Zweck mit deiner Abreise endet, steht deine Gesundheitsangabe nicht in der Teilnahmevereinbarung, die du unterschreibst: Ein Vertrag bleibt, dieser Grund nicht. Sie liegt neben der Vereinbarung, ist nur für die Menschen sichtbar, die dein Retreat vorbereiten und leiten, und verschwindet aus dieser Ansicht, sobald das Retreat vorbei ist. Deinen Notfallkontakt behandeln wir dabei genauso.

Deine Antworten und deine Gesundheitsangabe löschen wir wenige Tage nach dem Ende des Retreats automatisch – zusammen mit dem gemeinsamen Teilnehmer-Telefonbuch und ohne dass du etwas tun musst. Was du dort geschrieben hast, überdauert die Tage also nicht, für die du es geschrieben hast. Bis dahin kannst du die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen und uns bitten, die Angaben früher zu löschen – eine formlose Nachricht an verein@principium.one genügt. Was bis dahin geschehen ist, bleibt rechtmäßig.

Im selben Bogen entscheidest du außerdem, was mit Foto- und Videoaufnahmen von dir geschehen darf. Diese Wahl behandeln wir anders als die Angaben oben: Sie wird nicht mitgelöscht, sondern bleibt bestehen, solange wir Aufnahmen von dir verwenden – sonst könnten wir nicht belegen, dass wir durften. Was sie im Einzelnen bedeutet, steht gleich im nächsten Abschnitt.

Bei unseren Treffen entstehen Fotos und kurze Videos – bei einem Retreat halten wir die Tage bewusst fest, weil sie die Arbeit des Vereins zeigen, und oft fotografiert ihr auch untereinander. Nicht aufgenommen wird in Schlaf- und Sanitärbereichen, in Runden, in denen persönlich geteilt wird, und in Momenten, die außer den Beteiligten niemanden etwas angehen. Und wenn du gerade nicht auf ein Bild willst, sag Bescheid – jederzeit und ohne Begründung.

Buchst du ein Retreat, fragen wir dich vorher, was mit Aufnahmen von dir geschehen darf: gar keine Aufnahmen, nur intern (für die geschlossene Gruppe deines Retreats und die Dokumentation im Verein) oder auch öffentlich (Website und unsere Social-Media-Kanäle). Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO; sie deckt zugleich die Verbreitung deines Bildnisses (§ 22 KUG). Die Wahl ist freiwillig und keine Bedingung für deine Teilnahme, und du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen – eine formlose Nachricht an verein@principium.one genügt. Damit wir belegen können, dass eine Verwendung gedeckt war, bleibt deine Wahl gespeichert, solange wir Aufnahmen von dir verwenden.

In der App hat jedes Treffen eine Galerie. Was dort hochgeladen wird, sehen die anderen Teilnehmenden desselben Treffens, der Gastgeber und unsere Moderation – sonst niemand. Gespeichert werden neben dem Bild oder Video der Zeitpunkt, das zugehörige Treffen sowie Name und Profilbild der Person, die es hochgeladen hat. Die Standortdaten, die in einem Foto stecken können (EXIF), übernehmen wir nicht.

Veröffentlichen ist ein zweiter, getrennter Schritt: Wir sichten die Aufnahmen nach einem Treffen, und nur ein kleiner Teil geht überhaupt nach draußen. Freigeben können eine Aufnahme nur der Vorstand und die Menschen aus unserem Team mit Zugang zum Vereins-Cockpit, und nur dann, wenn beim Hochladen die Freigabe für die öffentliche Verwendung gesetzt war. Freigegebene Aufnahmen erscheinen auf principium.one/galerie – dort ohne Konto für alle sichtbar – sowie in der Galerie der App; einzelne veröffentlichen wir auf Instagram, wodurch sie an Meta Platforms Ireland Ltd. übermittelt werden.

Teilst du eigene Aufnahmen vom Treffen mit uns, darf der Verein sie im selben Rahmen verwenden – öffentlich allerdings nur, soweit alle darauf abgebildeten Personen das so gewählt haben. Die Rechte an deinen Bildern bleiben bei dir, und du kannst uns die Nutzung jederzeit für die Zukunft wieder entziehen.

Für Aufnahmen gibt es keine feste Löschfrist: Sie bleiben, bis die hochladende Person, der Gastgeber oder unsere Moderation sie löscht oder bis du widerrufst. Nach einem Widerruf verwenden wir sie nicht weiter und nehmen veröffentlichte Aufnahmen von der Website und aus unseren Kanälen. Bist du auf einer Gruppenaufnahme zu sehen, lässt sich das nicht immer vollständig rückgängig machen – etwa wenn andere den Beitrag schon geteilt haben.

Für Planung, Durchführung und Nachbereitung von Veranstaltungen verarbeiten wir Teilnehmer- und Anmeldedaten. Im Rahmen unserer Öffentlichkeitsarbeit (z. B. Berichte, Newsletter, Social-Media-Beiträge) verarbeiten wir Inhalts- und Kontaktdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO; soweit dabei Foto- oder Videoaufnahmen von Personen veröffentlicht werden, stützen wir dies auf deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) – wie das im Einzelnen abläuft, steht oben unter „Fotos und Videos bei Treffen und Retreats“.