Datenschutzerklärung

Verantwortlich für die Verarbeitung deiner personenbezogenen Daten auf Kurplatzradar.de ist die Makro Digital Systems UG (haftungsbeschränkt), Barnimhöhe 15, 16225 Eberswalde, vertreten durch den Geschäftsführer Ronny Makoschey. Telefon: 03334 4279999, E-Mail: kontakt@kurplatzradar.de. Weitere Angaben findest du im Impressum.

Einen Datenschutzbeauftragten müssen wir nicht benennen (Art. 37 DSGVO, § 38 BDSG). Bei allen Fragen zum Datenschutz und für deine Rechte (Abschnitt 18) erreichst du uns direkt unter kontakt@kurplatzradar.de.

So gehen wir mit deinen Daten um:

• Wir verarbeiten nur, was wir für die Platzsuche, dein Konto und die Sofort-Benachrichtigung brauchen.
• Keine Tracking- oder Werbe-Cookies, keine Analyse- oder Marketingdienste, keine Profilbildung zu Werbezwecken, kein Verkauf und keine Weitergabe deiner Daten zu Werbezwecken.
• Von deinen Kindern speichern wir nur Monat und Jahr der Geburt – keine Namen. Diagnosen und den Stand deines Kurantrags fragen wir nicht ab.
• Dein Suchprofil speichern wir nur mit deiner ausdrücklichen Einwilligung. Du kannst dein Konto jederzeit selbst unter „Mein Konto“ löschen und dort auch alle Daten herunterladen.
• Schriftarten und die Klinikkarte liefern wir selbst aus – beim Aufruf unserer Seiten werden keine Daten an Google Fonts oder Kartendienste übertragen.

Wenn du unsere Website oder die App auf dem Startbildschirm aufrufst, überträgt dein Browser technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Referrer, Browsertyp und -version, Betriebssystem sowie übertragene Datenmenge und Statuscode. Ohne diese Daten kann die Seite nicht ausgeliefert werden.

Wir verarbeiten sie, um die Website bereitzustellen, ihre Stabilität und Sicherheit zu gewährleisten und Angriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem sicheren, funktionsfähigen Angebot. Die Daten werden in Server-Protokollen nur kurzzeitig gespeichert und spätestens nach 30 Tagen gelöscht, soweit sie nicht zur Aufklärung eines konkreten Sicherheitsvorfalls länger benötigt werden. Wir führen sie nicht mit anderen Daten zusammen.

Die Website wird über die Plattform Lovable betrieben und über das Netzwerk von Cloudflare ausgeliefert; Datenbank, Anmeldung und Server-Funktionen laufen bei Supabase (Lovable Cloud). Diese Dienstleister verarbeiten die Daten in unserem Auftrag (Art. 28 DSGVO). Details zu ihnen und zu Übermittlungen in Drittländer stehen in den Abschnitten 15 und 16.

Die Verbindung zu unserer Website ist durchgehend per TLS verschlüsselt.

Wir setzen keine Cookies zu Analyse-, Werbe- oder Trackingzwecken. Damit die Website funktioniert, speichern wir aber einige Angaben im lokalen Speicher deines Browsers (Local Storage und Session Storage). Diese Angaben bleiben auf deinem Gerät; an uns übertragen werden sie nur, soweit unten angegeben.

Im Einzelnen:

• deine Anmeldesitzung, solange du angemeldet bist (wird beim Abmelden entfernt);
• der Entwurf deines Fragebogens, bis dein Suchprofil nach der Anmeldung gespeichert ist – vorher übermitteln wir ihn nicht an uns;
• deine Merkliste gemerkter Plätze (bist du angemeldet, auch in deinem Konto, damit sie auf anderen Geräten verfügbar ist);
• ob du Plätze und Kliniken als Kacheln oder als Liste sehen möchtest und welche Ratgeber-Schritte du abgehakt hast;
• im Klinikportal, welche Klinik du zuletzt ausgewählt hast;
• für die Dauer eines Besuchs (Session Storage): die Seite, zu der du nach der Anmeldung zurückkehrst, und welche Plätze in der Platzstatistik schon gezählt sind (Abschnitt 5).

Das Speichern und Auslesen dieser Angaben ist unbedingt erforderlich, damit wir die von dir ausdrücklich gewünschten Funktionen bereitstellen können; eine Einwilligung ist dafür nicht nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Soweit dabei personenbezogene Daten verarbeitet werden, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO (Nutzung deines Kontos) bzw. Art. 6 Abs. 1 lit. f DSGVO (eine bequem nutzbare Website). Du kannst den Speicher jederzeit in den Einstellungen deines Browsers löschen.

Für Push-Nachrichten registriert dein Browser einen Service Worker, der ausschließlich eingehende Benachrichtigungen anzeigt und nichts zwischenspeichert. Er wird erst eingerichtet, wenn du Push-Nachrichten ausdrücklich aktivierst (Abschnitt 8).

Damit Kliniken sehen, wie gefragt ihre Plätze sind, zählen wir, wie oft ein Platz angezeigt wird und wie oft jemand die Telefonnummer oder die Website der Klinik antippt. Wir speichern dabei nur Tagessummen je Platz – keine IP-Adresse, keine Kennung, kein Konto und keinen Verlauf. Damit ein Platz pro Besuch nur einmal gezählt wird, merkt sich dein Browser die schon gezählten Plätze im Session Storage; das wird beim Schließen des Tabs gelöscht.

Aus den Summen lässt sich nicht auf einzelne Personen schließen. Soweit beim Übermitteln technisch kurz deine IP-Adresse verarbeitet wird (Abschnitt 3), ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine datensparsame Erfolgsmessung unseres Angebots für die Kliniken.

Für ein Konto brauchen wir deine E-Mail-Adresse. Du meldest dich über einen Anmeldelink an, den wir dir per E-Mail schicken, auf Wunsch auch mit einem Passwort; das Passwort speichern wir nur als sicheren Hash. Zu deinem Konto speichern wir außerdem Tarif und Laufzeit einer Sofort-Benachrichtigung, deine Einwilligungen mit Version und Zeitpunkt sowie technische Anmeldedaten (Zeitpunkt der Registrierung und der letzten Anmeldung, beim Anmeldedienst protokolliert auch IP-Adresse und Browserkennung).

Damit unser Mailversand nicht missbraucht wird, speichern wir zu jeder verschickten Anmelde- und Kontomail nur einen nicht umkehrbaren Hashwert deiner E-Mail-Adresse mit Zeitpunkt und begrenzen so, wie oft Links angefordert werden können.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag über die Nutzung von Kurplatzradar) und für die Missbrauchsabwehr Art. 6 Abs. 1 lit. f DSGVO. Die Kontodaten speichern wir, bis du dein Konto löschst. Konten, die 24 Monate lang nicht genutzt wurden und keine laufende Sofort-Benachrichtigung haben, dürfen wir nach vorheriger Ankündigung per E-Mail löschen (§ 7 Abs. 4 unserer AGB). Die Hashwerte für den Mailversand löschen wir nach 30 Tagen.

Anmeldung mit Google oder Apple: Wählst du diese Möglichkeit, leiten wir dich zu Google (Google Ireland Limited, Irland) bzw. Apple (Apple Distribution International Limited, Irland) weiter; die Anmeldung wird über den Anmeldedienst unseres Plattformanbieters Lovable vermittelt. Dort meldest du dich mit deinem bestehenden Konto an. Wir erhalten deine E-Mail-Adresse – bei Apple auf Wunsch eine von Apple erzeugte Weiterleitungsadresse – sowie eine Kennung; deinen Namen, Kontakte oder sonstige Daten deines Google- oder Apple-Kontos fragen wir nicht ab. Google und Apple erfahren, dass du dich bei Kurplatzradar anmeldest, und verarbeiten das in eigener Verantwortung nach ihren Datenschutzhinweisen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Anmeldung per E-Mail-Link steht dir immer als Alternative offen.

Im Fragebogen gibst du an, welche Kurart du suchst (zum Beispiel Mutter-Kind- oder Vater-Kind-Kur), in welchen Zeiträumen du anreisen kannst, welche Regionen und Wunschkliniken du möchtest, ob auch Plätze „auf Anfrage“ oder in der Schulzeit in Frage kommen, sowie Monat und Jahr der Geburt der mitreisenden Kinder. Außerdem speichern wir, wie und wann wir dich benachrichtigen dürfen (Kanäle, Ruhezeit) und ob deine Suche aktiv oder pausiert ist.

Wir gleichen diese Angaben automatisch mit den erfassten freien Plätzen ab und speichern die Treffer mit dem Zeitpunkt, zu dem du sie gesehen hast, und deiner optionalen Rückmeldung („passt nicht“ mit Grund, „schon weg“ oder „Platz bekommen“). Der Abgleich ist eine reine Filterung; er führt zu keiner Entscheidung, die dir gegenüber rechtliche Wirkung entfaltet oder dich in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO). Ob du einen Platz bekommst, entscheidet allein die Klinik.

Eine Kur ist eine medizinische Vorsorge- oder Rehabilitationsmaßnahme. Deine Angaben zur Kursuche können deshalb Rückschlüsse auf deine Gesundheit oder die deiner Kinder zulassen und damit Gesundheitsdaten im Sinne von Art. 9 DSGVO sein. Wir speichern und verarbeiten sie nur mit deiner ausdrücklichen Einwilligung, die du vor dem Anlegen des Kontos erteilst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO, für die übrigen Angaben zusätzlich Art. 6 Abs. 1 lit. b DSGVO.

Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem du dein Konto unter „Mein Konto“ löschst oder uns schreibst; ohne Suchprofil können wir dir keine passenden Treffer zeigen. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO). Dein Suchprofil kannst du jederzeit ändern oder pausieren.

Schwerpunkte wie ADHS oder Trauer fragen wir im Fragebogen bewusst nicht ab, und sie fließen nicht in den Abgleich ein. Den Schwerpunkt-Filter in der Platzliste und der Klinikliste speichern wir nicht – weder bei uns noch in deinem Browser oder in der Adresszeile; er gilt nur, solange die Seite offen ist.

Merkliste und Notizen: Gemerkte Plätze und Notizen zu deinen Anrufen bei Kliniken (Ergebnis und freier Text) speichern wir in deinem Konto, damit du sie geräteübergreifend nutzen kannst (Art. 6 Abs. 1 lit. b DSGVO). Bitte schreib in Notizen keine Gesundheitsangaben, die du nicht speichern möchtest.

Suchprofil, Treffer, Merkliste und Notizen speichern wir, bis du sie selbst löschst oder dein Konto löschst; mit dem Konto werden sie vollständig gelöscht.

Mit der Sofort-Benachrichtigung informieren wir dich über neue passende Plätze und Belegungstage per E-Mail und, wenn du es einschaltest, per Push-Nachricht. Im kostenlosen Tarif verschicken wir keine Benachrichtigungen über Plätze. Zu jeder Benachrichtigung protokollieren wir Art, Kanal, Zeitpunkt und Zustellstatus, damit jeder Treffer nur einmal gemeldet wird und wir Zustellfehler erkennen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; das Protokoll löschen wir mit deinem Konto.

E-Mails verschicken wir über Mailjet (Sinch Mailjet SAS, Frankreich) als Auftragsverarbeiter. Dabei verarbeitet Mailjet deine E-Mail-Adresse und den Inhalt der E-Mail. Öffnungs- und Klickverfolgung haben wir ausgeschaltet; Links in unseren E-Mails führen direkt zu uns.

Push-Nachrichten: Erlaubst du sie, erzeugt dein Browser eine Push-Adresse beim Push-Dienst seines Herstellers – etwa Google (Chrome, Android), Apple (Safari, iPhone, iPad), Microsoft (Edge) oder Mozilla (Firefox). Wir speichern diese Adresse mit den zugehörigen Schlüsseln, der Browserkennung deines Geräts und dem Zeitpunkt der letzten erfolgreichen Zustellung. Unsere Nachrichten gehen über diesen Push-Dienst an dein Gerät; ihr Inhalt ist dabei Ende-zu-Ende verschlüsselt, der Dienst sieht nur Adresse, Zeitpunkt und Größe. Der Push-Dienst kann seinen Sitz in den USA haben (Abschnitt 16).

Rechtsgrundlage für Push-Nachrichten ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), die du über die Abfrage deines Browsers erteilst. Du kannst sie jederzeit in deinem Konto oder in den Browser-Einstellungen widerrufen; dann löschen wir die Push-Adresse. Adressen, die der Push-Dienst als ungültig meldet, löschen wir automatisch.

Daneben schicken wir dir E-Mails, die für dein Konto und deinen Vertrag nötig sind – etwa Anmeldelinks, Vertragsbestätigung, Widerrufsbestätigung oder Hinweise auf Änderungen (Art. 6 Abs. 1 lit. b und c DSGVO). Werbe-Newsletter verschicken wir nicht.

Kaufst du die Sofort-Benachrichtigung, leiten wir dich zur Bezahlseite von Stripe weiter (Stripe Payments Europe, Limited, Irland). Stripe verarbeitet deine Zahlungsdaten – etwa Name, E-Mail-Adresse, Zahlungsart, Karten- oder Kontodaten, Rechnungsland und Gerätedaten zur Betrugsprävention – und erstellt die Rechnung. Deine Karten- oder Kontodaten erhalten wir nicht. Stripe ist für die Zahlungsabwicklung und die Erfüllung eigener gesetzlicher Pflichten, etwa zur Geldwäscheprävention, selbst verantwortlich; Näheres in der Datenschutzerklärung von Stripe.

Wir übermitteln an Stripe deine E-Mail-Adresse, deine Kontokennung und die Bestellung und erhalten von Stripe Zahlungsstatus, Betrag, Zeitpunkt und Kennungen der Zahlung sowie die Rechnung. Wir speichern den Kauf mit Laufzeit, deine Zustimmung zum sofortigen Beginn (§ 8 der AGB) und den Zeitpunkt der Vertragsbestätigung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO und für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB. Rechnungen und Buchungsbelege bewahren wir acht Jahre auf, Vertragsbestätigungen und sonstige geschäftliche Korrespondenz sechs Jahre, jeweils ab dem Ende des Kalenderjahres. Diese Daten bleiben auch nach dem Löschen deines Kontos erhalten, sind dann aber nicht mehr mit dem Konto verknüpft und für die Aufbewahrung gesperrt.

Widerrufst du einen Vertrag über „Vertrag widerrufen“, speichern wir deinen Namen, deine E-Mail-Adressen, deine Angaben zum Vertrag, einen freiwillig angegebenen Grund und den Eingangszeitpunkt, schicken dir eine Eingangsbestätigung per E-Mail und erstatten den Betrag über Stripe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit §§ 355 ff. BGB und Art. 6 Abs. 1 lit. b DSGVO. Wir bewahren die Angaben als Teil der Buchungsbelege acht Jahre ab Ende des Kalenderjahres auf.

Mit jeder bezahlten Sofort-Benachrichtigung geben wir einen Geschenkcode an eine Kurberatungsstelle. Zu jedem Code speichern wir die Beratungsstelle, an die er geht, und – wenn er eingelöst wird – das einlösende Konto und den Zeitpunkt, damit jeder Code nur einmal gilt. Die Beratungsstelle erfährt von uns nicht, wer einen Code eingelöst hat. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Mit dem Löschen deines Kontos wird die Verknüpfung zum Konto entfernt.

Schreibst du uns über eines unserer Formulare (Kontakt, Kliniken, Kurberatungsstellen, Widerspruch gegen das Auslesen einer Website) oder per E-Mail, speichern wir deine Angaben – E-Mail-Adresse, Name und Organisation, soweit angegeben, und deine Nachricht – als Anfrage mit Ticketnummer, zusammen mit unseren Antworten. Unsere Antworten versenden wir über Mailjet (Abschnitt 8). Zum Schutz vor Spam prüfen wir ein für Menschen unsichtbares Feld und die Zeit, die das Ausfüllen gedauert hat; IP-Adressen speichern wir dafür nicht.

Meldest du uns, dass ein Platz schon weg ist oder falsche Angaben enthält, speichern wir die Meldung mit dem Platz und – wenn du angemeldet bist – deinem Konto, um die Angaben zu prüfen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit deine Anfrage mit einem Vertrag zusammenhängt oder einen solchen anbahnt, sonst Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist es, Anfragen zu beantworten und unsere Platzangaben richtig zu halten. Bitte schick uns über die Formulare keine Gesundheitsangaben. Wir löschen Anfragen drei Jahre nach dem Ende des Kalenderjahres, in dem sie zuletzt bearbeitet wurden (regelmäßige Verjährungsfrist, § 195 BGB), soweit keine Aufbewahrungspflicht besteht; erledigte Meldungen zu Plätzen löschen wir ein Jahr nach ihrem Eingang.

Mitarbeitende von Kliniken können ein Konto im Klinikportal beantragen. Dafür speichern wir Name, Funktion, dienstliche E-Mail-Adresse und Telefonnummer, die Klinik und den Stand der Prüfung; nach der Freischaltung außerdem die Rolle im Klinikteam und die Änderungen, die über das Portal an Klinikangaben und Plätzen vorgenommen werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Person selbst handelt, und im Übrigen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist es, nur befugten Personen Zugriff auf Klinikangaben zu geben. Den Antrag löschen wir 30 Tage nach dem Ende des Zugangs, abgelehnte Anträge sechs Monate nach der Ablehnung; das Konto selbst bleibt bestehen, bis die Person es löscht.

Lädt ein Mitglied eines Klinikteams eine Kollegin oder einen Kollegen ein, speichern wir die eingegebene dienstliche E-Mail-Adresse bei der Klinik und schicken an sie eine Einladung per E-Mail (Versand über Mailjet, siehe Abschnitt „Empfänger und Auftragsverarbeiter“). Die Einladung nennt nur die Klinik und führt zur Anmeldung; ein Konto entsteht erst, wenn die Person sich selbst anmeldet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, dass Kliniken ihr Team im Portal selbst zusammenstellen können. Das Klinikteam kann eine offene Einladung jederzeit zurückziehen; dann löschen wir sie.

Wir lesen öffentlich zugängliche Websites von Kurkliniken und Klinikträgern automatisiert aus und werten die dort veröffentlichten Termine, freien Plätze und Schwerpunkte (Indikationen) der Kliniken aus, teils mithilfe eines KI-Dienstes, den wir über die Plattform Lovable nutzen. Dabei werden ausschließlich Inhalte dieser Websites verarbeitet, keine Daten unserer Nutzerinnen und Nutzer. Enthalten die Seiten dienstliche Kontaktdaten, etwa der Belegungsabteilung, zeigen wir nur die Kontaktwege, die die Klinik selbst veröffentlicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist es, Familien einen Überblick über veröffentlichte freie Kurplätze zu geben. Kliniken können der Auswertung jederzeit über unser Formular widersprechen.

Innerhalb unseres Unternehmens haben nur die Personen Zugriff auf deine Daten, die ihn für ihre Aufgabe brauchen. Kliniken erhalten von uns keine Daten über dich – sie sehen in der Platzstatistik nur Summen. Ansonsten geben wir deine Daten nur an Dritte weiter, wenn das für die Vertragserfüllung nötig ist, wir gesetzlich dazu verpflichtet sind (etwa gegenüber Finanz- oder Strafverfolgungsbehörden) oder du eingewilligt hast.

Wir setzen folgende Dienstleister ein, die deine Daten in unserem Auftrag und nach unseren Weisungen verarbeiten; mit allen haben wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen:

• Lovable (Lovable Labs Incorporated, USA): Betriebsplattform der Website (Lovable Cloud), Anmeldevermittlung für Google und Apple, KI-Dienst für die Auswertung von Klinik-Websites. Lovable setzt dafür als Unterauftragsverarbeiter insbesondere Supabase (Supabase, Inc., USA) für Datenbank, Anmeldedienst und Server-Funktionen – die Daten liegen in einem Rechenzentrum in der Europäischen Union – und Cloudflare (Cloudflare, Inc., USA) für die Auslieferung der Website und den Schutz vor Angriffen ein;
• Mailjet (Sinch Mailjet SAS, Frankreich): Versand unserer E-Mails, Rechenzentren in der Europäischen Union.

Eigenverantwortlich verarbeiten Daten außerdem Stripe (Abschnitt 9), bei der Anmeldung mit Google oder Apple der jeweilige Anbieter (Abschnitt 6) und die Push-Dienste der Browser-Hersteller (Abschnitt 8).

Einige der genannten Dienstleister haben ihren Sitz in den USA oder können Daten dort verarbeiten, etwa zur Wartung oder für einzelne Netzwerk- und Push-Dienste. Für die USA hat die EU-Kommission einen Angemessenheitsbeschluss erlassen (EU-U.S. Data Privacy Framework, Art. 45 DSGVO); er gilt für Unternehmen, die nach diesem Rahmen zertifiziert sind. Soweit ein Empfänger nicht zertifiziert ist, haben wir mit ihm die Standardvertragsklauseln der EU-Kommission vereinbart (Art. 46 Abs. 2 lit. c DSGVO), ergänzt um zusätzliche Schutzmaßnahmen wie Verschlüsselung. Eine Kopie der Garantien erhältst du auf Anfrage unter kontakt@kurplatzradar.de.

Wir löschen deine Daten, sobald sie für den Zweck, für den wir sie erhoben haben, nicht mehr nötig sind und keine gesetzliche Aufbewahrungspflicht entgegensteht. Im Überblick:

• Konto, Suchprofil, Treffer, Merkliste, Notizen, Einwilligungen, Push-Adressen und Benachrichtigungsprotokoll: bis zur Löschung deines Kontos;
• Server-Protokolle: höchstens 30 Tage;
• Hashwerte zur Begrenzung des Mailversands: 30 Tage;
• Anfragen über Formulare und per E-Mail: drei Jahre nach Ende des Jahres, in dem sie zuletzt bearbeitet wurden;
• erledigte Meldungen zu Plätzen: ein Jahr; Anträge im Klinikportal: sechs Monate nach Ablehnung bzw. 30 Tage nach Ende des Zugangs;
• Käufe, Rechnungen, Erstattungen und Widerrufe: acht Jahre, Vertragsbestätigungen und Geschäftsbriefe sechs Jahre, jeweils ab Ende des Kalenderjahres;
• Angaben im lokalen Speicher deines Browsers: bis du sie löschst, Session Storage bis zum Schließen des Tabs.

Löschst du dein Konto, entfernen wir alle damit verbundenen Daten sofort, mit Ausnahme der Daten, die wir aufbewahren müssen. Diese sperren wir und verwenden sie nur noch für den gesetzlichen Zweck. In Sicherungskopien können gelöschte Daten noch bis zu deren turnusmäßiger Überschreibung enthalten sein.

Du hast gegenüber uns die folgenden Rechte hinsichtlich deiner personenbezogenen Daten:

• Auskunft über die gespeicherten Daten und eine Kopie (Art. 15 DSGVO) – unter „Mein Konto“ kannst du deine Kontodaten jederzeit selbst herunterladen;
• Berichtigung unrichtiger Daten (Art. 16 DSGVO);
• Löschung (Art. 17 DSGVO) – dein Konto kannst du jederzeit selbst löschen;
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit in einem strukturierten, gängigen und maschinenlesbaren Format (Art. 20 DSGVO);
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir deine Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO), kannst du dieser Verarbeitung aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Direktwerbung betreiben wir nicht.

Für alle Anliegen genügt eine formlose Nachricht an kontakt@kurplatzradar.de. Wir antworten innerhalb eines Monats und können dich bitten, deine Identität zu bestätigen – in der Regel durch eine Nachricht von der E-Mail-Adresse deines Kontos.

Beschwerderecht (Art. 77 DSGVO): Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für uns zuständig ist die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg, Stahnsdorfer Damm 77, 14532 Kleinmachnow, www.lda.brandenburg.de.

Du bist weder gesetzlich noch vertraglich verpflichtet, uns personenbezogene Daten bereitzustellen. Die öffentliche Platzliste, die Klinikseiten und den Ratgeber kannst du ohne Konto nutzen. Für ein Konto brauchen wir deine E-Mail-Adresse, für passende Treffer dein Suchprofil mit deiner Einwilligung und für den Kauf der Sofort-Benachrichtigung die Zahlungsdaten bei Stripe – ohne sie können wir diese Leistungen nicht erbringen.

Wir schützen deine Daten mit technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, unter anderem durch verschlüsselte Übertragung, Zugriffsregeln in der Datenbank, nach denen jede Person nur ihre eigenen Daten sehen kann, Rollen mit möglichst geringen Rechten und den Verzicht auf unnötige Daten. Gesundheitsbezogene Angaben fragen wir nur so weit ab, wie es für die Platzsuche nötig ist.

Wir passen diese Datenschutzerklärung an, wenn sich unser Angebot, die eingesetzten Dienste oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung. Ändert sich der Zweck einer Verarbeitung, für die wir deine Einwilligung haben, bitten wir dich vorher erneut um Einwilligung.