Datenschutzerklärung

Hier erfährst du, welche Daten wir verarbeiten, wenn du www.hipteens.at besuchst, dich zu einem Gratis-Abend anmeldest, einen Kurs kaufst oder unsere Kursplattform nutzt — wofür, auf welcher Rechtsgrundlage und wie lange. Wir verwenden nur, was wir für den jeweiligen Zweck brauchen.

1. Verantwortlicher und Kontakt

Verantwortlich für die Datenverarbeitung ist:

HappyStay GmbH
Alliiertenstraße 1/28
1020 Wien, Österreich
Firmenbuchnummer FN 581562p, Handelsgericht Wien
UID ATU78239238
Geschäftsführer: Michael Kunz

HipTeens ist eine Marke der HappyStay GmbH.

E-Mail für alle Fragen zum Datenschutz: [email protected], oder über das Formular auf der Seite Kontakt.

2. Zugriffsdaten und Server-Protokolle

Wo die Website läuft: Die Website liegt auf einem Server der Hetzner Online GmbH (Industriestraße 25, 91710 Gunzenhausen, Deutschland) im Rechenzentrum Nürnberg, Deutschland. Vor der Website steht Cloudflare (Cloudflare, Inc., USA): Cloudflare leitet jede Anfrage an unseren Server weiter, liefert die Seite schneller aus und schützt sie vor Angriffen. Dabei verarbeitet Cloudflare deine IP-Adresse und die technischen Daten deiner Anfrage.

Was dabei protokolliert wird: Bei jedem Aufruf speichert unser Webserver ein Zugriffsprotokoll mit: vollständiger IP-Adresse, Datum und Uhrzeit, aufgerufener Adresse, Statuscode, übertragener Datenmenge, der Seite, von der du kommst (Referrer), sowie Browser und Betriebssystem (User-Agent). Weil Cloudflare davor steht, enthält das Protokoll die Adresse des Cloudflare-Servers und — in den mitprotokollierten Angaben der Anfrage — auch deine eigene IP-Adresse.

Zweck: sichere und stabile Auslieferung der Website, Fehlersuche, Abwehr von Angriffen.

Rechtsgrundlage: unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer: Die Protokolle werden täglich gewechselt und nach 14 Tagen automatisch gelöscht. Brauchen wir einen Eintrag zur Aufklärung eines Angriffs, behalten wir ihn bis zum Abschluss.

Übergangszeit: Bis zur Abschaltung unserer alten WordPress-Seite (Cloudways Ltd., Malta, auf Servern der DigitalOcean, LLC in Frankfurt am Main) leitet unser Server zwei Arten von Anfragen dorthin weiter: einzelne Bilddateien, die noch nicht umgezogen sind, und eine technische Schnittstelle unseres Kundenverwaltungs-Systems. Mit der Abschaltung der alten Seite fällt das weg.

3. Cookies und Speicher im Browser

Unsere Website setzt Cookies und ähnliche Techniken über die Analyse- und Werbedienste in Abschnitt 4 (zum Beispiel _ga von Google Analytics, _fbp und _fbc von Meta, _clck und _clsk von Microsoft Clarity). Sie dienen dazu, Besuche zu zählen, die Wirkung unserer Anzeigen zu messen und die Seite zu verbessern. Die Laufzeit legt der jeweilige Anbieter fest (bei Google Analytics bis zu 2 Jahre, bei Meta bis zu 3 Monate, bei Clarity bis zu 1 Jahr).

Danke-Seiten nach einer Anmeldung: Für das zeitlich begrenzte Angebot (Abschnitt 9) speichert dein Browser zwei Einträge im lokalen Speicher: ht_oto_v1 (wann das Angebot endet) und ht_lead_fired_v1 (damit eine Anmeldung nur einmal gezählt wird). Sie bleiben, bis du den Browser-Speicher löschst.

Weitere Cookies können durch Inhalte anderer Anbieter entstehen, etwa unsere Anmeldeformulare (Abschnitt 6). Podcast- und Video-Player laden wir erst, wenn du sie anklickst (Abschnitt 11).

Du kannst Cookies in deinem Browser jederzeit löschen oder blockieren. Einzelne Formulare oder Player funktionieren dann eventuell nicht.

4. Analyse und Marketing

Wir möchten wissen, wie unsere Seite genutzt wird und welche Anzeigen zu Anmeldungen und Käufen führen. Dafür setzen wir folgende Dienste ein:

• Google Tag Manager (Google Ireland Ltd., Irland; Google LLC, USA): lädt die übrigen Dienste. Er selbst wertet nichts aus.
• Google Analytics 4 (Google Ireland Ltd., Irland; Google LLC, USA): zählt Seitenaufrufe, Herkunft (zum Beispiel Suchmaschine oder Anzeige), Gerät, ungefährer Ort (aus der IP-Adresse, die Google nicht speichert) und Ereignisse wie Anmeldungen und Käufe — mit einer zufälligen Kennung, ohne Namen.
• Meta-Pixel (Meta Platforms Ireland Ltd., Irland; Meta Platforms, Inc., USA): meldet Seitenaufrufe, Anmeldungen und begonnene Käufe an Meta, damit wir sehen, ob unsere Anzeigen auf Facebook und Instagram wirken, und Anzeigen an passende Gruppen ausspielen können. Bist du bei Facebook oder Instagram angemeldet, kann Meta das deinem Konto zuordnen.
• Microsoft Clarity (Microsoft Ireland Operations Ltd., Irland; Microsoft Corporation, USA): zeichnet Klicks, Scrollen und Mausbewegungen auf, ohne Eingaben in Formularfelder, damit wir Stellen finden, an denen die Seite nicht gut funktioniert.

Messung auf unserem Server: Wenn du einen Kurs über Stripe bezahlst (Abschnitt 9) oder dich über eines unserer Formulare anmeldest, meldet unser Server das zusätzlich an

• Meta über die „Conversions API“: Art des Ereignisses (z. B. Kauf), Betrag, Währung, die Klick-Kennung aus einer Facebook- oder Instagram-Anzeige, falls du über eine Anzeige gekommen bist, und deine E-Mail-Adresse in verschlüsselter Form (Hashwert);
• Google Analytics über den europäischen Server: Art des Ereignisses und Betrag, mit einer zufälligen Kennung — ohne Namen, ohne E-Mail-Adresse.

Rechtsgrundlage: unser berechtigtes Interesse, unsere Website und unsere Werbung zu messen und zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Für die Erhebung über das Meta-Pixel sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO); Meta ist für die weitere Verarbeitung allein verantwortlich.

Widerspruch: Du kannst dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO) — formlos an [email protected]. Zusätzlich kannst du die Messung selbst verhindern: Cookies im Browser blockieren oder löschen, Google Analytics mit dem Browser-Zusatz unter https://tools.google.com/dlpage/gaoptout abschalten, Werbung von Meta unter https://www.facebook.com/adpreferences einstellen.

5. Kontaktformular und E-Mail

Wenn du uns über das Kontaktformular auf der Seite „Kontakt“ oder per E-Mail schreibst, verarbeiten wir deine E-Mail-Adresse, deinen Namen (falls angegeben) und den Inhalt deiner Nachricht, um deine Anfrage zu beantworten. Das Kontaktformular stellt unser Kundenverwaltungs-System HighLevel bereit (Abschnitt 12): Deine Nachricht wird dort als Kontakt mit Nachrichtenverlauf gespeichert, und wir bekommen eine Benachrichtigung per E-Mail. Vor dem Absenden prüft Cloudflare Turnstile, ob ein Mensch das Formular ausfüllt.

Rechtsgrundlage: Vorbereitung oder Erfüllung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO), sonst unser berechtigtes Interesse, Anfragen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO).

Unser E-Mail-Postfach liegt bei Rackspace US, Inc. (USA, Abschnitt 12).

Speicherdauer: bis zu 14 Monate nach der letzten Nachricht, länger nur, wenn die Anfrage zu einem Vertrag gehört (dann siehe Abschnitt 13).

6. Anmeldung zu Gratis-Abenden und Workshops (HighLevel, Zoom)

Anmeldung: Für unsere Gratis-Abende und Info-Abende meldest du dich über ein Formular an. Es stammt von HighLevel, Inc. („GoHighLevel“, USA), unserem System für Kundenverwaltung und E-Mails, und ist in unsere Seite eingebunden; ein Formular für den Info-Abend liegt auf unserem eigenen Server (everbill.me, Hetzner). Wir verarbeiten: Vorname, E-Mail-Adresse, freiwillig das Alter deines Kindes und was dich gerade beschäftigt, den gewählten Termin, die Seite und Anzeige, über die du gekommen bist, und ob du das Datenschutz-Häkchen gesetzt hast. Das Formular ist mit Cloudflare Turnstile gegen Spam geschützt (Cloudflare, Inc., USA).

Was danach passiert: Du bekommst per E-Mail den Zoom-Link und Erinnerungen zum Termin. Nach dem Abend schicken wir dir eine Zusammenfassung und Informationen zu unserem Kurs.

Durchführung über Zoom: Die Abende finden über Zoom statt (Zoom Communications, Inc., USA). Zoom verarbeitet den Namen, den du beim Beitreten angibst, deine IP-Adresse, Geräte-Daten, Zeitpunkt des Beitritts und Austritts sowie — wenn du sie einschaltest — Bild und Ton und deine Chat-Nachrichten. Deine Kamera darf aus bleiben, einen Fantasienamen darfst du verwenden.

Teilnahme-Auswertung: Nach dem Abend gleichen wir die Teilnehmerliste von Zoom mit den Anmeldungen ab und vermerken bei deinem Kontakt „teilgenommen“ oder „nicht teilgenommen“. So schicken wir dir die passende Nachricht (z. B. die Aufzeichnung, wenn du nicht dabei sein konntest).

Aufzeichnung: Wir zeichnen die Abende in der Zoom-Cloud auf, samt Chat, und lassen den Vortrag in Text umwandeln. Wir verwenden das für Teilnehmende, die nicht dabei sein konnten, und um unsere Inhalte zu verbessern. Wir behalten Aufzeichnung und Chat, solange wir sie dafür brauchen, und löschen sie danach.

Rechtsgrundlage: Durchführung der Veranstaltung, zu der du dich angemeldet hast (Art. 6 Abs. 1 lit. b DSGVO). Die E-Mails nach dem Abend zu unseren Kursen schicken wir im Zusammenhang mit deiner Anmeldung (Art. 6 Abs. 1 lit. f DSGVO, § 174 Abs. 4 TKG 2021); du kannst ihnen jederzeit widersprechen, über den Abmeldelink in jeder E-Mail. Aufzeichnung und Teilnahme-Auswertung: unser berechtigtes Interesse, die Abende nachzubereiten und zu verbessern (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer: Hast du dich für unsere E-Mails angemeldet, bis zu deiner Abmeldung; sonst löschen wir deine Anmeldedaten 6 Monate nach dem Abend.

7. Start-Fragebogen zur „Familien-Wende“

Wenn du den Kurs „Die Familien-Wende“ gebucht hast, bitten wir dich auf der Seite /willkommen/ um Angaben zu deinem Kind und zu eurer Familiensituation, damit Verena die Kursabende vorbereiten kann.

Welche Daten: Vorname und E-Mail-Adresse der erziehungsberechtigten Person sowie Alter, Geschlecht, Größe, Gewicht, Motivation und Belastungen des Kindes, bisherige Erfahrungen, Ziele und weitere Freitext-Angaben.

Rechtsgrundlage: Vorbereitung und Durchführung des gebuchten Kurses (Art. 6 Abs. 1 lit. b DSGVO). Größe, Gewicht, Motivation und Belastungen deines Kindes sind Gesundheitsdaten (Art. 9 DSGVO). Alle Felder sind freiwillig; du kannst jedes leer lassen, ohne Nachteil. Füllst du sie aus, willigst du ausdrücklich in ihre Verarbeitung ein (Art. 9 Abs. 2 lit. a DSGVO). Du kannst diese Einwilligung jederzeit formlos an [email protected] widerrufen; was bis dahin verarbeitet wurde, bleibt rechtmäßig.

Empfänger: Verena Kunz. Technisch laufen die Antworten über unseren Server bei der Hetzner Online GmbH (Deutschland) zu Airtable (Formagrid Inc., USA, Abschnitt 12), wo sie gespeichert werden.

Speicherdauer: bis zu 14 Monate ab Eingang, danach löschen wir sie.

8. Quiz, Ratgeber-Downloads und Newsletter (Double-Opt-In)

Quiz: Das Quiz unter /quiz/ wertet deine Antworten in deinem Browser aus. Die Antworten selbst werden nicht übertragen und nicht gespeichert. Willst du dein Ergebnis per E-Mail, schicken wir Vorname (freiwillig), E-Mail-Adresse und den Ergebnis-Typ (z. B. „Bewegungsenthusiast“) an unseren Server (everbill.me, Hetzner), der daraus einen Kontakt in HighLevel anlegt. Im Quiz fragen wir keine Gesundheitsdaten wie Größe oder Gewicht deines Kindes ab.

Ratgeber-Downloads und Newsletter: Wenn du einen kostenlosen Ratgeber, ein Kochbuch oder unseren Newsletter anforderst, verarbeiten wir Vorname, E-Mail-Adresse, was du angefordert hast und den Zeitpunkt deiner Zustimmung. Je nach Formular läuft das über HighLevel oder über Brevo (Sendinblue SAS, Paris, Frankreich); bei einzelnen Ratgeber-Downloads tragen wir dich in beiden ein.

Double-Opt-In: Du bekommst zuerst eine E-Mail mit einem Bestätigungslink. Erst nach dem Klick schicken wir dir den Inhalt und weitere E-Mails. Wir speichern Zeitpunkt der Anmeldung und der Bestätigung als Nachweis.

Inhalt der E-Mails: Tipps rund um Essen, Bewegung und Familienalltag mit Teenagern, Termine unserer Abende und Angebote zu unseren Kursen.

Erfolgsmessung: Unsere E-Mails enthalten Zählpixel und personalisierte Links. Damit sehen wir, ob eine E-Mail geöffnet und welcher Link angeklickt wurde. Willst du das nicht, schalte in deinem E-Mail-Programm das Nachladen von Bildern aus oder melde dich ab.

Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 174 TKG 2021). Du kannst sie jederzeit widerrufen: über den Abmeldelink in jeder E-Mail oder per Mail an [email protected]. Der Widerruf gilt für die Zukunft.

Speicherdauer: bis zu deinem Widerruf. Danach behalten wir deine E-Mail-Adresse in einer Sperrliste, damit du keine E-Mails mehr bekommst (Art. 6 Abs. 1 lit. f DSGVO).

9. Kauf eines Kurses und Zahlung (Stripe)

Vertragspartner ist die HappyStay GmbH (Abschnitt 1).

Was wir verarbeiten: Name, E-Mail-Adresse, Rechnungsadresse (soweit abgefragt), gekauftes Produkt, Preis, Zahlungsart, bei Ratenzahlung den Ratenplan, Datum und Zahlungsstatus.

Zahlung über Stripe: Die Zahlung läuft über Stripe (Stripe Payments Europe, Ltd., Irland; Stripe, LLC, USA). Deine Kartendaten oder Kontodaten gibst du direkt bei Stripe ein, wir sehen sie nicht. Stripe prüft Zahlungen auch auf Betrug und ist für diese Prüfung teilweise selbst verantwortlich.

Nach dem Kauf: Unser Server bekommt von Stripe die Kaufbestätigung und vermerkt den Kauf bei deinem Kontakt in HighLevel. Dadurch bekommst du automatisch deinen Zugang zur Kursplattform (Abschnitt 10) und die E-Mails zum Kurs. Zur Messung siehe Abschnitt 4.

Angebot auf der Danke-Seite: Auf den Danke-Seiten nach einer Anmeldung zeigen wir ein zeitlich begrenztes Angebot. Dafür stellt unser Server (everbill.me, Hetzner) einen signierten Zeit-Nachweis aus und protokolliert Zeitpunkt, IP-Adresse und Browser-Kennung von Start und Bestellung; dieses Protokoll löschen wir nach 14 Tagen. Dein Browser merkt sich den Zeit-Nachweis im lokalen Speicher (Abschnitt 3), damit die Uhr beim Neuladen nicht von vorne beginnt.

Rechtsgrundlage: Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO); gesetzliche Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO); Betrugsprüfung und Missbrauchsschutz: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer: Rechnungen und Buchungsbelege 7 Jahre (§ 132 BAO), danach länger nur, wenn ein Verfahren läuft.

10. Kursplattform (HipTeens Academy)

Kurse, Aufzeichnungen und die Gruppe für Teilnehmende findest du in der HipTeens Academy unter academy.hipteens.at. Die Plattform wird von HighLevel, Inc. (USA) betrieben.

Was wir verarbeiten: Name, E-Mail-Adresse, deine Kurse und dein Zugang, Anmeldezeitpunkte, dein Lernfortschritt (welche Lektionen du angesehen hast) und — wenn du in der Gruppe schreibst — deine Beiträge und Kommentare. Beiträge in der Gruppe sehen alle Teilnehmenden derselben Gruppe. Die Gruppe ist privat, von außen nicht sichtbar.

Anmeldung: per Zugangslink oder Passwort, das du per E-Mail bekommst.

Bitte beachte: Schreib in der Gruppe keine Gesundheitsdaten deines Kindes (z. B. Gewicht, Diagnosen). Die Gruppe ist ein Kursraum für alle, keine Einzelberatung.

Rechtsgrundlage: Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO).

Speicherdauer: solange dein Zugang läuft (siehe AGB, Punkt 5), danach 6 Monate für Rückfragen; Rechnungsdaten siehe Abschnitt 9.

11. Eingebettete Inhalte (Podcast, Videos, Formulare)

Auf einzelnen Seiten binden wir Inhalte anderer Anbieter ein. Podcast- und Video-Player laden wir erst, wenn du auf sie klickst. Vorher fließen keine Daten an den Anbieter. Mit dem Klick baut dein Browser eine Verbindung zum Anbieter auf; der Anbieter erhält dabei mindestens deine IP-Adresse, die Seite, auf der du bist, und Daten zu Browser und Gerät, und kann Cookies setzen. Es gelten die Datenschutzhinweise des jeweiligen Anbieters.

Links zu Apple Podcasts, Spotify, Facebook, Instagram und Google Maps sind normale Links: Daten fließen erst, wenn du sie anklickst.

Rechtsgrundlage: Player: deine Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO; bei Anbietern in den USA ohne Zertifizierung zugleich für die Übermittlung, Art. 49 Abs. 1 lit. a DSGVO). Formulare: Durchführung deiner Anmeldung (Art. 6 Abs. 1 lit. b DSGVO).

12. Auftragsverarbeiter und Übermittlung in Drittländer

Für Website und Kurse setzen wir Dienstleister ein, die Daten in unserem Auftrag verarbeiten (Auftragsverarbeiter nach Art. 28 DSGVO). Mit ihnen haben wir Verträge zur Auftragsverarbeitung geschlossen.

Weitere Empfänger: Google (Analytics, Tag Manager) und Microsoft (Clarity) verarbeiten die Daten nach ihren Nutzungsbedingungen; Meta ist für die Erhebung über das Pixel mit uns gemeinsam und danach allein verantwortlich (Abschnitt 4). Google LLC, Microsoft Corporation und Meta Platforms, Inc. sind nach dem EU-US Data Privacy Framework zertifiziert. Die Anbieter eingebetteter Player sind eigenständig verantwortlich (Abschnitt 11).

Übermittlung in die USA: Für die USA gibt es seit 10.07.2023 einen Angemessenheitsbeschluss der EU-Kommission (EU-US Data Privacy Framework, Art. 45 DSGVO). Er gilt nur für Unternehmen, die nach diesem Rahmen zertifiziert sind. Bei allen anderen stützen wir uns auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Ein Zugriff durch US-Behörden lässt sich auch dann nicht ganz ausschließen.

13. Speicherdauer im Überblick

Laufen gesetzliche Fristen oder ein Rechtsstreit, speichern wir so lange wie dafür nötig.

14. Deine Rechte

Du hast das Recht auf

• Auskunft, welche Daten wir über dich verarbeiten (Art. 15 DSGVO),
• Berichtigung falscher Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf unserem berechtigten Interesse beruhen (Art. 21 DSGVO) — gegen Werbung jederzeit und ohne Begründung,
• Widerruf einer Einwilligung jederzeit für die Zukunft (Art. 7 Abs. 3 DSGVO).

Schreib dafür formlos an [email protected]. Wir antworten innerhalb eines Monats.

Beschwerde: Wenn du meinst, dass wir deine Daten nicht richtig verarbeiten, kannst du dich bei der Aufsichtsbehörde beschweren. In Österreich ist das die Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, [email protected], www.dsb.gv.at.

Wir treffen keine automatisierten Entscheidungen über dich, die dir gegenüber rechtliche Wirkung haben (Art. 22 DSGVO).

15. Stand

Stand: Oktober 2026. Wenn sich unsere Website oder unsere Dienste ändern, passen wir diese Erklärung an. Es gilt die jeweils hier veröffentlichte Fassung.

---