Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

2. Geltungsbereich

Diese Erklärung beschreibt, welche personenbezogenen Daten wir verarbeiten, wenn Sie die Website www.helmit.org besuchen und die dort angebotenen Funktionen nutzen: Informationsseiten, Blog und Lernbereich, Kontakt- und Supportformulare, Newsletter, Webinare und Veranstaltungen, die Registrierung eines Helmit-Kontos, den Abschluss und die Verwaltung eines Abonnements sowie die Löschung eines Kontos.

Die Verarbeitung innerhalb der Helmit Desktop- und Mobile-App, insbesondere die Analyse von Social-Media-Inhalten und die Kindersicherungsfunktionen, ist nicht Gegenstand dieser Erklärung. Dafür gilt die Datenschutzerklärung der Helmit Apps.

Diese Website richtet sich an Eltern und Erziehungsberechtigte. Sie ist nicht für Kinder bestimmt, und wir erheben über die Website wissentlich keine Daten direkt von Kindern.

3. Hosting, Server-Logfiles und Auslieferung von Inhalten

Die Website wird bei Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA, gehostet. Beim Aufruf einer Seite verarbeitet Vercel in unserem Auftrag technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, Referrer-URL, Browsertyp und Betriebssystem sowie den Status der Anfrage. Diese Daten werden in Server-Logfiles kurzzeitig gespeichert, um die Website auszuliefern, ihre Stabilität und Sicherheit zu gewährleisten und Angriffe abzuwehren. Vercel ist unter dem EU-US Data Privacy Framework zertifiziert; zusätzlich besteht ein Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln.

Redaktionelle Inhalte (Blog, Lernbereich, Veranstaltungen, FAQ) werden aus dem Content-Management-System Sanity (Sanity AS, Oslo, Norwegen) über dessen Content Delivery Network geladen. Dabei erhält Sanity technisch bedingt Ihre IP-Adresse und Browserdaten.

Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und performanten Betrieb der Website (Art. 6 Abs. 1 lit. f DSGVO).

4. Cookies, Einwilligung und Tracking

Beim ersten Besuch der Website können Sie über ein Einwilligungsbanner alle Dienste akzeptieren, alle nicht notwendigen Dienste ablehnen oder je Kategorie wählen. Ihre Wahl wird zusammen mit Datum und der Version der Diensteliste, über die Sie entschieden haben, für höchstens 12 Monate in Ihrem Browser gespeichert (Local Storage, Schlüssel "cookie-consent"). Sie können Ihre Wahl jederzeit über "Cookie-Einstellungen" im Footer ändern oder widerrufen. Der Widerruf wirkt sofort und berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung. Solange Sie keine Wahl getroffen haben oder abgelehnt haben, wird keiner der unter "Analyse" und "Marketing" genannten Dienste geladen.

5. Kontakt- und Supportformular

Wenn Sie uns über das Kontakt- oder Supportformular schreiben, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, den Betreff und Ihre Nachricht sowie die Sprache Ihres Browsers, um Ihre Anfrage zu beantworten. Dazu wird aus Ihrer Anfrage ein Ticket in unserem Support-System Zendesk (Zendesk Inc., San Francisco, USA, Auftragsverarbeiter mit EU-Standardvertragsklauseln) erstellt, und Ihre E-Mail-Adresse wird in Customer.io (siehe Abschnitt 6) hinterlegt, damit wir Ihnen antworten und den Vorgang nachvollziehen können. Unser Team wird zusätzlich intern über Slack (Slack Technologies Ltd., Dublin, Irland) über neue Anfragen benachrichtigt; diese Benachrichtigung enthält Ihre E-Mail-Adresse und den Betreff.

Das Formular enthält ein verstecktes Feld zur Erkennung automatisierter Spam-Einsendungen; es wird von Menschen nicht ausgefüllt und speichert keine Daten über Sie.

Rechtsgrundlage ist die Vertragsanbahnung oder -erfüllung (Art. 6 Abs. 1 lit. b DSGVO), bei allgemeinen Anfragen unser berechtigtes Interesse an der Beantwortung (Art. 6 Abs. 1 lit. f DSGVO). Anfragen werden gelöscht, sobald sie abschließend bearbeitet sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Wenn Sie beim Absenden zusätzlich den Newsletter ankreuzen, gilt Abschnitt 6.

6. Newsletter und E-Mail-Kommunikation

Für den Newsletter und ereignisbezogene E-Mails (zum Beispiel Erinnerungen an Webinare, Tipps nach der Registrierung, Hinweise zum Abonnement) nutzen wir Customer.io (Peaberry Software Inc., Portland, USA). Unser Customer.io-Konto ist auf die EU-Region eingestellt, sodass die Daten in der EU gespeichert werden; es bestehen ein Auftragsverarbeitungsvertrag und EU-Standardvertragsklauseln. Transaktionale E-Mails wie Bestätigungen und Zugangscodes versenden wir über Resend (Resend Inc., USA).

Zur Newsletter-Anmeldung verarbeiten wir Ihre E-Mail-Adresse, die gewählte Sprache, auf Wunsch Ihren Namen sowie den Zeitpunkt der Anmeldung und Bestätigung. Wo wir ein Double-Opt-in-Verfahren einsetzen, wird die Anmeldung erst mit Klick auf den Bestätigungslink wirksam. Customer.io erfasst außerdem, ob eine E-Mail geöffnet und welche Links angeklickt wurden, damit wir die Relevanz unserer Inhalte beurteilen können.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG). Sie können den Newsletter jederzeit über den Abmeldelink in jeder E-Mail, über die Abmeldeseite der Website oder per E-Mail an privacy@helmit.org abbestellen. Nach der Abmeldung speichern wir Ihre E-Mail-Adresse in einer Sperrliste, damit Sie keine weiteren Newsletter erhalten.

7. Webinare, Crash-Kurs, Live-Demo, Warteliste und Angebote für Schulen

Wenn Sie sich für ein Webinar, den Crash-Kurs, eine Live-Demo, die Warteliste eines App-Starts oder ein Angebot für Schulen anmelden, verarbeiten wir die im jeweiligen Formular abgefragten Daten: in der Regel E-Mail-Adresse, Name, Sprache, gegebenenfalls Schule oder Organisation und Ihre Antworten auf freiwillige Fragen. Wir nutzen diese Daten, um Ihre Teilnahme zu bestätigen, Ihnen Zugangsdaten, Kalendereinträge, Erinnerungen und Unterlagen zur Veranstaltung zu senden und Ihre Anmeldung zu verwalten.

Die Daten werden in Customer.io gespeichert, Bestätigungen und Erinnerungen über Resend und Customer.io versendet, und unser Team wird intern über Slack über neue Anmeldungen informiert (siehe Abschnitte 5 und 6). Findet ein Webinar über eine externe Videokonferenzplattform statt, erhalten Sie den Link mit der Bestätigung; für die Verarbeitung durch diese Plattform gilt deren Datenschutzerklärung.

Rechtsgrundlage ist die Durchführung der von Ihnen angeforderten Veranstaltung (Art. 6 Abs. 1 lit. b DSGVO). Weitere Marketing-E-Mails erhalten Sie nur, wenn Sie dem bei der Anmeldung gesondert zugestimmt haben (Art. 6 Abs. 1 lit. a DSGVO, Abschnitt 6). Anmeldedaten werden nach der Veranstaltung gelöscht, soweit keine Einwilligung in weitere Kommunikation vorliegt und keine Aufbewahrungspflichten bestehen.

8. Registrierung, Helmit-Konto und Onboarding

Über die Website können Sie ein Helmit-Konto anlegen und das Onboarding durchlaufen. Dabei verarbeiten wir:

• Kontodaten: E-Mail-Adresse, Passwort (nur als Hash gespeichert) oder alternativ die von Google beziehungsweise Apple übermittelten Anmeldedaten (Name, E-Mail-Adresse, eindeutige Konto-ID), Ihr Name und optional Ihre Telefonnummer.
• Onboarding-Angaben: Anzahl und Alter Ihrer Kinder, die Plattformen, die Ihre Kinder nutzen, Ihre Anliegen und Ziele, wie Sie auf Helmit aufmerksam geworden sind, sowie die gewählten Sprachen. Diese Angaben dienen dazu, Ihr Konto und die App auf Ihre Familie vorzubereiten. Es werden keine Namen oder anderen direkt identifizierenden Daten von Kindern über die Website erhoben.
• Technische Daten: Zeitpunkt der Registrierung, gewählte Sprache, Gerätetyp und, mit Marketing-Einwilligung, die Kampagne, über die Sie zu uns gekommen sind.

Die Kontodaten werden an unser Backend übermittelt und dort gespeichert. Unsere Produktionsinfrastruktur läuft auf der Google Cloud Platform (Google Cloud EMEA Ltd., Dublin, Irland) in der Region europe-west3 (Frankfurt am Main); eine Kopie der Konto- und Abonnementdaten der Website wird in einer Google Cloud SQL-Datenbank in derselben Region gehalten. Ihre E-Mail-Adresse und Ihr Fortschritt im Onboarding werden außerdem in Customer.io hinterlegt, damit wir Ihnen Hinweise zu den nächsten Schritten senden können, und unser Team wird über neue Konten intern per Slack informiert.

Zwischen den Schritten des Onboardings wird Ihr Fortschritt im Local Storage Ihres Browsers gespeichert, damit Sie bei einem Abbruch an derselben Stelle fortsetzen können. Mit Ihrer Einwilligung in Analyse-Cookies wird Ihre E-Mail-Adresse mit Ihrem PostHog-Profil verknüpft; mit Ihrer Einwilligung in Marketing-Cookies werden der Abschluss des Onboardings und eine Zahlung als Conversion an Google Ads und Meta gemeldet (Abschnitt 4).

Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Was mit Ihrem Konto in den Helmit Apps geschieht, insbesondere welche Daten die Apps über Ihre Kinder verarbeiten, beschreibt die Datenschutzerklärung der Helmit Apps.

9. Zahlungen und Abonnements

Abonnements, die Sie über die Website abschließen, werden über Stripe (Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin, Irland) abgewickelt. Ihre Zahlungsdaten (Kartennummer, Ablaufdatum, Prüfziffer oder Daten anderer Zahlungsmethoden) geben Sie direkt in die von Stripe bereitgestellten Eingabefelder ein; sie werden ausschließlich von Stripe verarbeitet und erreichen unsere Server nicht. Wir erhalten von Stripe eine Kunden-ID, den Abonnementstatus, den Zahlungsbetrag, die letzten vier Ziffern des Zahlungsmittels und Rechnungsdaten und speichern diese zusammen mit Ihrem Konto. Stripe verarbeitet zudem Ihre IP-Adresse und Gerätedaten zur Betrugsprävention und kann Daten in die USA übermitteln; Stripe ist unter dem EU-US Data Privacy Framework zertifiziert.

Über die Kontoseiten können Sie Ihr Abonnement verwalten, kündigen, eine Testphase verlängern oder Angebote annehmen; dafür leiten wir Sie teilweise in das Stripe-Kundenportal weiter. Gutschein- und Empfehlungscodes, die Sie eingeben, werden mit Ihrem Konto verknüpft, um den Rabatt zu gewähren und, bei Empfehlungen, die werbende Person zu vergüten.

Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Rechnungs- und Buchungsdaten bewahren wir nach handels- und steuerrechtlichen Vorschriften (§ 257 HGB, § 147 AO) bis zu zehn Jahre auf (Art. 6 Abs. 1 lit. c DSGVO).

10. Kontolöschung

Sie können Ihr Helmit-Konto über die Seite "Konto löschen" auf der Website oder in der App löschen. Dabei verarbeiten wir Ihre Anmeldedaten, um Sie zu identifizieren, und entfernen anschließend Ihr Konto sowie die zugehörigen Profil- und Onboarding-Daten aus unseren aktiven Systemen, in der Regel innerhalb von 30 Tagen. Davon ausgenommen sind Daten, die wir aufgrund gesetzlicher Pflichten länger aufbewahren müssen (Abschnitt 9), sowie die Sperrliste für abbestellte E-Mails (Abschnitt 6).

11. Bewerbungen

Auf unserer Karriereseite verlinken wir offene Stellen. Bewerbungen erreichen uns per E-Mail an die dort genannte Adresse. Wir verarbeiten die von Ihnen übermittelten Unterlagen ausschließlich zur Durchführung des Bewerbungsverfahrens (Art. 6 Abs. 1 lit. b DSGVO, § 26 BDSG). Nach Abschluss des Verfahrens löschen wir Bewerbungsunterlagen spätestens nach sechs Monaten, es sei denn, Sie haben einer längeren Aufbewahrung für künftige Stellen zugestimmt.

12. Links zu sozialen Netzwerken und Drittseiten

Die Website enthält Links zu unseren Profilen auf Instagram, YouTube, LinkedIn, TikTok und anderen Plattformen sowie Schaltflächen zum Teilen von Beiträgen. Es handelt sich um einfache Links ohne eingebettete Plugins; die jeweilige Plattform erhält erst dann Daten von Ihnen, wenn Sie den Link anklicken. Gleiches gilt für Links zum Apple App Store, zu Google Play und zum Microsoft Store (siehe zu den Airbridge-Kurzlinks Abschnitt 4).

13. Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur an die in dieser Erklärung genannten Dienstleister weiter, die sie in unserem Auftrag und nach unseren Weisungen verarbeiten (Art. 28 DSGVO), oder wenn wir gesetzlich dazu verpflichtet sind. Zusammengefasst sind dies: Vercel (Hosting, Web Analytics), Sanity (Inhalte), Google Cloud (Backend und Datenbank), Stripe (Zahlungen), Customer.io und Resend (E-Mails), Zendesk (Support), Slack (interne Benachrichtigungen), PostHog (Produktanalyse), Google (Tag Manager, Analytics, Ads, Anmeldung, YouTube), Meta (Werbung), Airbridge (Attribution), Tally (Abmeldeformular) und Apple (Anmeldung). Google, Meta und Airbridge handeln im Rahmen der Werbe- und Analysedienste teilweise als eigenständige oder gemeinsam Verantwortliche.

14. Datenübermittlung in Drittländer

Soweit möglich verarbeiten wir Daten innerhalb der EU (Backend und Datenbank in Frankfurt, PostHog und Customer.io in der EU-Region). Einige Dienstleister haben ihren Sitz in den USA oder können Daten dort verarbeiten: Vercel, Stripe, Google, Meta, Zendesk, Resend, Customer.io und Apple. Diese Übermittlungen stützen wir auf die Zertifizierung des jeweiligen Anbieters unter dem EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023) und ergänzend auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Für Airbridge (Republik Korea) gilt der Angemessenheitsbeschluss der EU-Kommission für Korea vom 17. Dezember 2021. Eine Kopie der jeweiligen Garantien erhalten Sie auf Anfrage unter privacy@helmit.org.

15. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist: Server-Logfiles kurzzeitig zu Sicherheitszwecken; Ihre Cookie-Wahl höchstens 12 Monate; Analyse- und Marketingdaten gemäß den in den jeweiligen Diensten konfigurierten Aufbewahrungsfristen; Kontaktanfragen bis zur abschließenden Bearbeitung; Newsletter-Daten bis zum Widerruf; Kontodaten bis zur Löschung des Kontos; Rechnungsdaten bis zu zehn Jahre. Danach werden die Daten gelöscht oder anonymisiert.

16. Ihre Rechte

Ihnen stehen in Bezug auf Ihre personenbezogenen Daten folgende Rechte zu:

• Auskunft über die von uns verarbeiteten Daten und eine Kopie davon (Art. 15 DSGVO).
• Berichtigung unrichtiger oder unvollständiger Daten (Art. 16 DSGVO).
• Löschung Ihrer Daten, soweit keine Aufbewahrungspflichten entgegenstehen (Art. 17 DSGVO).
• Einschränkung der Verarbeitung unter den gesetzlichen Voraussetzungen (Art. 18 DSGVO).
• Datenübertragbarkeit in einem strukturierten, gängigen und maschinenlesbaren Format (Art. 20 DSGVO).
• Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO), für Cookies über "Cookie-Einstellungen" im Footer, für E-Mails über den Abmeldelink.
• Widerspruch gegen Verarbeitungen, die wir auf ein berechtigtes Interesse stützen, aus Gründen, die sich aus Ihrer besonderen Situation ergeben; gegen Direktwerbung jederzeit ohne Angabe von Gründen (Art. 21 DSGVO).
• Beschwerde bei einer Datenschutzaufsichtsbehörde (Art. 77 DSGVO). Die für uns zuständige Behörde ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de. Sie können sich auch an die Aufsichtsbehörde Ihres Wohnorts wenden.

Zur Ausübung Ihrer Rechte genügt eine E-Mail an privacy@helmit.org, idealerweise von der bei uns hinterlegten E-Mail-Adresse, damit wir Sie zuordnen können. Wir antworten ohne unangemessene Verzögerung, spätestens innerhalb eines Monats.

17. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich die Website, die eingesetzten Dienste oder die Rechtslage ändern. Die jeweils aktuelle Fassung finden Sie auf dieser Seite; das Datum der letzten Aktualisierung steht am Anfang. Ändert sich die Liste der einwilligungspflichtigen Dienste, fragen wir Ihre Cookie-Wahl erneut ab.