Datenschutzerklärung – Smoke Off 2.0
Stand: 27. September 2026
1. Verantwortlicher und Kontakt
Elmar Mayerhofer
Donaustadtstraße 44/8/4
1220 Wien, Österreich
E-Mail: support@smokeoffcoach.com
Telefon: +43 664 123 75 35
2. Geltungsbereich und Rechtsgrundlagen
Diese Erklärung beschreibt die Verarbeitung personenbezogener Daten beim Besuch unserer Website, beim Kauf von Smoke Off 2.0, bei der Anmeldung und Nutzung des Mitgliederbereichs sowie bei Supportanfragen. Personenbezogene Daten sind insbesondere Kontakt-, Konto-, Verbindungs- und Transaktionsdaten, die einer Person zugeordnet werden können.
Wir verarbeiten erforderliche Daten zur Vertragsanbahnung und Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO, zur Erfüllung gesetzlicher Pflichten nach Art. 6 Abs. 1 lit. c DSGVO und zur Wahrung berechtigter Interessen nach Art. 6 Abs. 1 lit. f DSGVO. Zu diesen Interessen gehören ein sicherer und zuverlässiger Betrieb, Schutz vor unberechtigtem Zugriff und Missbrauch sowie die Bearbeitung allgemeiner Anfragen. Soweit eine Verarbeitung auf einer Einwilligung beruht, ist Art. 6 Abs. 1 lit. a DSGVO maßgeblich; die Einwilligung kann mit Wirkung für die Zukunft widerrufen werden.
3. Technische Daten beim Websitebesuch
Beim Abruf von Seiten und Dateien werden insbesondere IP-Adresse, Zeitpunkt, angeforderte Adresse, Browser- und Geräteinformationen, gegebenenfalls Referrer sowie technische Verbindungs-, Fehler- und Sicherheitsdaten verarbeitet. Dies dient der Übertragung der angeforderten Inhalte, der Abwehr von Missbrauch und der Fehlerbehebung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; bei der angeforderten Bereitstellung gekaufter Inhalte zusätzlich Art. 6 Abs. 1 lit. b DSGVO.
4. Hosting und technische Kaufverwaltung: Cloudflare Pages, Workers und D1
Für die Auslieferung von Homepage und Mitgliederoberfläche verwenden wir Cloudflare Pages. Cloudflare Workers verarbeiten technische Anfragen, eröffnen den Checkout, prüfen Zahlungsbestätigungen und Zugangsberechtigungen und stellen zeitlich begrenzte Videofreigaben bereit. In Cloudflare D1 speichern wir die dafür benötigten Kauf- und Zuordnungsdaten. Anbieter ist Cloudflare, Inc., USA.
Zu den verarbeiteten Daten gehören technische Abrufdaten, Benutzerkennungen, Checkout- und Transaktionskennungen, Zeitpunkte, Kaufnachweise und die Zuordnung eines Kaufs zum berechtigten Konto. Für die Zuordnung eines zunächst ohne Anmeldung abgeschlossenen Kaufs wird die Zahlungs-E-Mail in einer schlüsselgeschützten Vergleichskennung verarbeitet. Diese Kennung ist pseudonymisiert, nicht anonym. Zur Begrenzung übermäßiger Checkout-Aufrufe wird die vom Netzwerk übermittelte IP-Adresse ebenfalls in eine zeitbezogene, schlüsselgeschützte Kennung umgewandelt; die Anwendung speichert dafür keine Klartext-IP in ihrer Begrenzungstabelle. Dies schließt technische IP-Verarbeitung durch Cloudflare nicht aus.
Die Kauf- und Berechtigungsverwaltung beruht auf Art. 6 Abs. 1 lit. b DSGVO, Schutzmaßnahmen auf Art. 6 Abs. 1 lit. f DSGVO. Weitere Angaben: Cloudflare-Datenschutzinformationen und Cloudflare-Datenschutzvereinbarung.
5. Registrierung und Anmeldung: Supabase Auth
Für Benutzerkonten, E-Mail-Bestätigung und Anmeldung verwenden wir Supabase Auth von Supabase Pte. Ltd., Singapur. Verarbeitet werden insbesondere E-Mail-Adresse, Benutzerkennung, Bestätigungsstatus, Anmelde- und Sitzungsinformationen sowie technische Sicherheits- und Verbindungsdaten.
Die Anmeldung erfolgt über einen an die angegebene Adresse versandten Bestätigungslink. Die Anwendung verwendet lokale Browserspeicherung für die Anmeldesitzung und kann eine bestehende Sitzung erneuern. Eine Anmeldung allein begründet noch keine Kaufberechtigung; diese wird getrennt geprüft. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für den Mitgliederzugang und Art. 6 Abs. 1 lit. f DSGVO für dessen Absicherung.
Weitere Angaben: Supabase-Datenschutzinformationen und Datenschutz und Auftragsverarbeitung bei Supabase.
6. Versand der Anmelde-E-Mails: Resend SMTP
Für den Versand der von Supabase Auth ausgelösten Anmelde- und Bestätigungs-E-Mails verwenden wir Resend als SMTP-Dienst. Anbieter ist Plus Five Five, Inc., USA. Dabei werden insbesondere Empfängeradresse, Absender, Betreff, Nachrichteninhalt einschließlich des zeitlich begrenzten Anmeldelinks sowie Versand-, Zustell- und Fehlerinformationen verarbeitet.
Diese Nachrichten dienen dem angeforderten Login und der Kontosicherheit, nicht der Anmeldung zu einem Werbenewsletter. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und lit. f DSGVO. Bitte geben Sie Anmeldelinks nicht an Dritte weiter.
Weitere Angaben: Resend-Datenschutzinformationen und Resend-Datenschutzvereinbarung.
7. Zahlung: Stripe Checkout
Zur Zahlungsabwicklung leiten wir Sie zu Stripe Checkout weiter. Für europäische Kunden werden Leistungen insbesondere durch Stripe Payments Europe, Limited, Irland, und je nach Zahlungsdienst weitere zuständige Stripe-Gesellschaften erbracht.
Stripe verarbeitet unter anderem E-Mail-Adresse, gegebenenfalls Name und Rechnungsanschrift, Produkt, Betrag, Währung, ausgewählte Zahlungsart, die dafür erforderlichen Zahlungsinformationen sowie technische Daten für Sicherheit und Betrugsprävention. Je nach gewählter Zahlungsart werden Banken, Kartennetzwerke und weitere Zahlungsanbieter beteiligt. Die angebotenen Zahlungsarten können nach Gerät, Standort und Verfügbarkeit variieren.
Vollständige Zahlungskarteninformationen werden nicht in unserer Kursdatenbank gespeichert. Wir erhalten beziehungsweise prüfen die zur Kaufabwicklung und Freischaltung erforderlichen Transaktions-, Zahlungsstatus- und Kontaktdaten sowie gegebenenfalls Erstattungs- oder Rückbuchungsinformationen.
Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für die Zahlung, lit. c für gesetzliche Dokumentationspflichten und lit. f für Zahlungs- und Systemsicherheit. Stripe verarbeitet Daten je nach Zweck als Auftragsverarbeiter oder in eigener datenschutzrechtlicher Verantwortung, insbesondere bei eigenen gesetzlichen Pflichten und bestimmten Sicherheitszwecken. Weitere Angaben: Stripe-Datenschutzinformationen und Stripe-Datenschutzvereinbarung.
8. Automatische Freischaltung nach Zahlung
Nach dem Checkout prüft unsere Anwendung eine von Stripe signierte Zahlungsmitteilung und ruft die maßgeblichen Zahlungsdaten bei Stripe ab. Eine Rückleitung auf eine Erfolgsseite reicht allein nicht für den Kurszugang aus.
Bei einem Kauf ohne vorherige Anmeldung wird der bestätigte Kauf nach der Anmeldung anhand der verifizierten Zahlungs-E-Mail dem passenden Konto zugeordnet. Verarbeitet werden dafür insbesondere Zahlungs-E-Mail beziehungsweise deren geschützte Vergleichskennung, Benutzer-, Checkout- und Transaktionskennungen, Zahlungsstatus und Zugangsberechtigung. Für den Zugang ist dieselbe E-Mail-Adresse wie beim Kauf erforderlich. Bei einer falschen E-Mail-Adresse oder einer Zuordnungsstörung können Sie sich an unseren Support wenden.
Bei der Prüfung des Zugangs können aktuelle Zahlungs-, Erstattungs- und Streitfallinformationen von Stripe abgefragt werden. Die Verarbeitung dient der Erfüllung des Kaufvertrags nach Art. 6 Abs. 1 lit. b DSGVO und dem Schutz vor unberechtigtem Zugriff nach Art. 6 Abs. 1 lit. f DSGVO. Bestehende berechtigte Käufer behalten ihre gültige Kaufzuordnung.
9. Videoauslieferung: Cloudflare Stream und R2
Die geschützten Kursvideos werden über Cloudflare Stream bereitgestellt. Der Kursbereich erteilt nach Prüfung des Zugangs eine zeitlich begrenzte, signierte Wiedergabefreigabe. Öffentlich auf der Homepage bereitgestellte Videodateien werden über Cloudflare R2 und die zugehörige Auslieferungsfunktion abgerufen. Anbieter ist jeweils Cloudflare, Inc., USA.
Dabei werden insbesondere IP-Adresse, Video- beziehungsweise Dateikennung, Abrufzeitpunkt, Browser- und Geräteinformationen, technische Wiedergabe-, Verbindungs-, Qualitäts- und Fehlerdaten sowie die für den Abruf erforderlichen Freigaben verarbeitet. Der Streamingplayer kann die Qualität an die Verbindung anpassen. Technische Auslieferungs- und Wiedergabestatistiken des Anbieters sind von einer zusätzlichen Werbe- oder Besucheranalyse zu unterscheiden.
Die Bereitstellung gekaufter Videos beruht auf Art. 6 Abs. 1 lit. b DSGVO. Die Bereitstellung öffentlicher Inhalte und deren zuverlässige, sichere Auslieferung beruhen auf Art. 6 Abs. 1 lit. f DSGVO. Es gelten die in Abschnitt 4 verlinkten Cloudflare-Datenschutzinformationen.
10. Support und geschäftliche E-Mails: Namecheap Private Email
Für das Support-Postfach support@smokeoffcoach.com verwenden wir Namecheap Private Email von Namecheap, Inc., USA. Wenn Sie uns kontaktieren, verarbeiten wir Ihre E-Mail-Adresse, die von Ihnen mitgeteilten Angaben, Nachrichten und Anhänge sowie technische Versand- und Empfangsdaten. Bei Kauf- oder Zugangsproblemen können notwendige Kontokennungen und Transaktionsnachweise hinzukommen.
Die Verarbeitung dient der Bearbeitung Ihrer Anfrage. Rechtsgrundlage ist bei Vertragsfragen Art. 6 Abs. 1 lit. b DSGVO, bei allgemeinen Anfragen unser berechtigtes Interesse an deren Beantwortung nach Art. 6 Abs. 1 lit. f DSGVO. Gesetzlich aufzubewahrende Bestandteile werden nach Art. 6 Abs. 1 lit. c DSGVO behandelt.
Bitte senden Sie uns keine vollständigen Kartendaten, Passwörter oder Anmeldelinks und keine für Ihre Anfrage unnötigen Gesundheitsinformationen. Weitere Angaben: Namecheap-Datenschutzinformationen und Namecheap-Datenschutzvereinbarung.
11. Cookies und lokale Browserspeicherung
Für ausdrücklich angeforderte Funktionen können technisch notwendige Cookies und vergleichbare Speichertechnologien eingesetzt werden. Dazu gehören insbesondere die Anmeldung und Aufrechterhaltung einer Sitzung, Sicherheitsfunktionen, Zahlungsabwicklung und technische Videowiedergabe. Die Mitgliederanwendung speichert Anmeldedaten zur Sitzung lokal im verwendeten Browser; sie werden nicht allein durch das Schließen eines Tabs gelöscht. Nutzen Sie an gemeinsam verwendeten Geräten die Abmeldefunktion.
Für Speicherung oder Zugriff auf Endgeräteinformationen gilt § 165 Abs. 3 TKG 2021. Eine Ausnahme von der Einwilligung gilt nur, soweit die jeweilige Technologie für die Übertragung oder eine ausdrücklich gewünschte Funktion unbedingt erforderlich ist. Soweit personenbezogene Daten betroffen sind, gelten ergänzend die unter den jeweiligen Zwecken genannten DSGVO-Rechtsgrundlagen. Nicht erforderliche Analyse- oder Werbetechnologien bedürfen, soweit gesetzlich vorgeschrieben, einer vorherigen Einwilligung.
12. Empfänger und Auftragsverarbeitung
Empfänger sind im jeweils erforderlichen Umfang die in dieser Erklärung beschriebenen Anbieter Cloudflare, Supabase, Resend, Stripe und Namecheap sowie die an einer Zahlung beteiligten Finanz- und Zahlungsdienstleister. Je nach Anlass können Steuerberatung, Buchhaltung, Rechtsberatung, zuständige Behörden und technisch unterstützende Dienstleister hinzukommen. Anbieter können Unterauftragnehmer einsetzen; entsprechende Informationen finden sich in ihren Datenschutz- und Vertragsunterlagen.
Soweit ein Anbieter Daten in unserem Auftrag verarbeitet, sind die Anforderungen an Auftragsverarbeitung nach Art. 28 DSGVO maßgeblich. Soweit Anbieter für bestimmte Verarbeitungen selbst verantwortlich sind, erläutern ihre eigenen Datenschutzinformationen diese Zwecke und die Betroffenenrechte.
13. Verarbeitung außerhalb des Europäischen Wirtschaftsraums
Die eingesetzten Anbieter arbeiten teilweise international. Daher können Daten auch außerhalb des Europäischen Wirtschaftsraums, insbesondere in den USA, verarbeitet oder von dort für Support und Betrieb zugänglich sein. Allein die Auswahl einer europäischen Serverregion schließt solche Zugriffe nicht aus.
Für Drittlandübermittlungen sind die Voraussetzungen der Art. 44 ff. DSGVO maßgeblich. Als Grundlage kommen insbesondere ein anwendbarer Angemessenheitsbeschluss oder die Standardvertragsklauseln der Europäischen Kommission mit gegebenenfalls erforderlichen zusätzlichen Maßnahmen in Betracht. Auf das EU-U.S. Data Privacy Framework kann nur zurückgegriffen werden, soweit der konkrete Empfänger aktuell entsprechend zertifiziert und die Verarbeitung davon erfasst ist. Eine pauschale Zertifizierung aller hier genannten Anbieter wird nicht behauptet.
Die Datenschutzvereinbarungen der Anbieter enthalten Informationen zu vorgesehenen Garantien und Unterauftragnehmern. Informationen über die für Ihre Daten einschlägigen Garantien und gegebenenfalls eine Kopie können Sie unter support@smokeoffcoach.com anfordern.
14. Nutzungsanalyse und Werbung
Im derzeitigen eigenen Website- und Mitgliederprogramm sind keine zusätzlichen Werbepixel oder Analyseintegrationen wie Google Analytics, Google Tag Manager, Meta Pixel, Hotjar oder Microsoft Clarity vorgesehen. Dies bedeutet nicht, dass die technischen Anbieter keine Betriebs-, Sicherheits-, Zustell- oder Wiedergabedaten verarbeiten. Solche Verarbeitungen sind in den jeweiligen Abschnitten beschrieben. Aus einem Kauf oder einer Login-Anforderung entsteht keine automatische Einwilligung in Werbe-E-Mails.
15. Aufbewahrung und Löschung
Wir unterscheiden die folgenden Datenzwecke; eine gesetzliche Aufbewahrung von Buchhaltungsunterlagen bedeutet nicht, dass sämtliche Login- und Supportdaten ebenso lange benötigt werden.
- Käuferkonto und lebenslanger Kurszugang: Für die Dauer des vereinbarten Zugangs bleiben das erforderliche Benutzerkonto und die notwendigen Kauf- und Zugangszuordnungen erhalten. Bloße Inaktivität führt nicht zur routinemäßigen Löschung eines berechtigten Käuferkontos. Auch nach Ablauf steuerlicher Fristen bleiben die für den noch bestehenden Kurszugang erforderlichen Nachweise in dem hierfür notwendigen Umfang erhalten. Rechtsgrundlage hierfür ist die fortdauernde Vertragserfüllung, nicht eine pauschal unbegrenzte steuerliche Aufbewahrung.
- Kauf-, Zahlungs- und Rechnungsbelege: Gesetzlich erforderliche Buchhaltungsunterlagen werden grundsätzlich sieben Jahre ab Ende des maßgeblichen Kalenderjahres aufbewahrt. Spezielle längere Pflichten sowie anhängige Abgaben- oder Gerichtsverfahren bleiben vorbehalten. Die Nachweise werden zweckbezogen von nicht mehr benötigten Login- und Supportinformationen unterschieden und nur hierfür verwendet.
- Login-, Sicherheits- und technische Protokolldaten: Diese werden nur so lange benötigt, wie es für die konkrete Sitzung, Fehleranalyse, Sicherheitsprüfung oder Missbrauchsabwehr erforderlich ist. Abgelaufene kurzfristige Kennungen sind kein Grund, Käuferkonten oder Kaufrechte zu löschen. Für durch Anbieter geführte Protokolle sind deren jeweilige vertragliche und technische Aufbewahrungsregeln zusätzlich zu berücksichtigen.
- Abgebrochene Käufe und Konten ohne Berechtigung: Solche Daten sind nach Wegfall des Abwicklungs- oder Sicherheitszwecks und vorbehaltlich offener Anfragen, Ansprüche oder gesetzlicher Pflichten zu löschen oder zu anonymisieren. Vor einer Löschung ist sicherzustellen, dass kein noch zuzuordnender bezahlter Kauf oder bestehender Kurszugang betroffen ist.
- Supportkorrespondenz: Sie wird für die Bearbeitung und erforderliche Nachbereitung einer Anfrage aufbewahrt. Danach wird geprüft, ob einzelne Bestandteile noch für den Kurszugang, als gesetzlicher Beleg oder für konkrete Rechtsansprüche benötigt werden. Nicht mehr erforderliche Inhalte und Anhänge werden gelöscht; nur erforderliche Nachweise werden weiter aufbewahrt.
- Sicherungskopien und Ansprüche: In Sicherungen können gelöschte Daten bis zur regulären Überschreibung fortbestehen; sie sind nicht für gewöhnliche Weiterverwendung bestimmt. Gesetzliche Pflichten und die erforderliche Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen können eine begrenzte weitere Aufbewahrung rechtfertigen.
Diese Erklärung behauptet keine minutengenaue oder bereits eingerichtete automatische Löschroutine. Löschungen können auch kontrolliert manuell erfolgen. Löschanfragen werden nach den gesetzlichen Voraussetzungen geprüft. Wenn die Löschung von Zugangsdaten den weiteren Kurszugang berühren würde, klären wir die Auswirkungen und gegebenenfalls eine datensparsame Alternative mit Ihnen; gesetzliche Rechte bleiben unberührt.
16. Ihre Datenschutzrechte
Sie haben nach Maßgabe der DSGVO insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Bei einer auf Einwilligung beruhenden Verarbeitung können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Eine zuvor rechtmäßige Verarbeitung wird dadurch nicht rückwirkend unrechtmäßig.
Bei einer Verarbeitung aufgrund berechtigter Interessen können Sie aus Gründen Ihrer besonderen Situation widersprechen. Gegen eine Verarbeitung für Direktwerbung können Sie jederzeit ohne Angabe solcher Gründe widersprechen. Wenden Sie sich zur Ausübung Ihrer Rechte an support@smokeoffcoach.com. Zur Vermeidung einer Offenlegung an Unberechtigte kann eine angemessene Identitätsprüfung erforderlich sein.
17. Beschwerderecht
Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am Ort Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des vermuteten Verstoßes. In Österreich ist dies die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien: www.dsb.gv.at.
18. Erforderliche Angaben und automatisierte Prüfungen
Ohne die für Zahlung, E-Mail-Bestätigung und Kaufzuordnung erforderlichen Angaben können wir den Kauf und geschützten Kurszugang nicht zuverlässig bereitstellen. Zusätzliche Angaben in einer Supportanfrage sind freiwillig, soweit sie nicht zur Bearbeitung benötigt werden.
Unser Kursprogramm prüft Zahlungsstatus und Zugangsberechtigung automatisiert. Bei einer fehlerhaften Sperre oder Zuordnung können Sie über den Support eine persönliche Prüfung anfordern. Stripe und gewählte Zahlungsanbieter können daneben eigene automatisierte Sicherheits- und Betrugsprüfungen vornehmen; Informationen dazu enthalten deren Datenschutzhinweise. Ein umfassendes Nutzungs- oder Werbeprofil wird durch die beschriebenen eigenen Berechtigungsprüfungen nicht erstellt.
19. Änderungen
Wir passen diese Erklärung an, wenn sich die eingesetzten Dienste oder Verarbeitungen ändern. Maßgeblich ist die jeweils veröffentlichte Fassung. Eine bloße Aktualisierung dieser Erklärung ersetzt keine erforderliche Einwilligung in eine neue Verarbeitung.