Datenschutz

8. Formulare, Kommunikation, Newsletter

Kontaktformular (Wix): Name, E-Mail, Sprache, Freitext. Zweck: Bearbeitung Ihrer Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertraglich) oder lit. f DSGVO. Speicherdauer: Vorgangsbezogen, Löschung nach 12 Monaten Abschluss, sofern keine Aufbewahrungspflichten entgegenstehen.

Newsletter (Substack, Double-Opt-In): E-Mail, Sprache, Zeitstempel; Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; § 7 UWG). Widerruf jederzeit über Abmeldelink. Empfänger: Substack; ggf. Drittlandtransfer via EU-Standardvertragsklauseln (SCC).
Mailing-System (Wix + Brevo): Transaktions- und Service-E-Mails; Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
 

9. Checkout und Zahlungen (Stripe/RevenueCat)

ChangePath wickelt Zahlungen je nach genutzter Plattform über unterschiedliche Kanäle ab:

Web-App (Stripe): Wenn Sie über die Web-App ein Abonnement abschließen oder einen Kauf tätigen, wird die Zahlung über Stripe Payments Europe, Ltd. (Dublin, Irland) abgewickelt.
Daten: Name, E-Mail, Rechnungsadresse, Zahlungs-Token, Maskierte Kartendaten, Zahlungsverlauf, Betrugsindikatoren.
Zwecke: Zahlungsabwicklung, Betrugsprävention, Erfüllung steuerlicher Pflichten.
Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. c DSGVO, Art. 6 Abs. 1 lit. f DSGVO.
Empfänger/Verantwortlichkeit: Für die technische Zahlungsabwicklung und die Weiterleitung Ihrer Zahlungsdaten an Ihr Kreditinstitut agiert Stripe Payments Europe, Ltd. (Dublin, Irland) als Auftragsverarbeiter von ChangePath auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO. Für eigene Verarbeitungszwecke (insbesondere Betrugserkennung, Erfüllung regulatorischer Pflichten nach PSD2 und Geldwäschegesetzgebung) agiert Stripe als eigener Verantwortlicher. Die Datenschutzerklärung von Stripe finden Sie unter https://stripe.com/de/privacy.
Speicherdauer: Steuer-/Handelsrecht 6 bzw. 10 Jahre (HGB/AO).

Mobile App – iOS (Apple In-App Purchase): Wenn Sie über die iOS-App ein Abonnement abschließen oder einen Kauf tätigen, wird die Zahlung von Apple Inc. als eigenem Verantwortlichen abgewickelt. ChangePath erhält von Apple eine Transaktionsbestätigung, eine pseudonyme Transaktionskennung, das erworbene Produkt, den Abonnementstatus und das Kaufdatum. ChangePath erhält keine Angaben zu Ihrem Zahlungsmittel. Die Verarbeitung durch Apple richtet sich nach der Datenschutzerklärung von Apple.

Mobile App – Android (Google Play Billing): Wenn Sie über die Android-App ein Abonnement abschließen oder einen Kauf tätigen, wird die Zahlung von Google LLC als eigenem Verantwortlichen abgewickelt. ChangePath erhält von Google ein Purchase-Token, das erworbene Produkt, den Abonnementstatus und das Kaufdatum. ChangePath erhält keine Angaben zu Ihrem Zahlungsmittel. Die Verarbeitung durch Google richtet sich nach der Datenschutzerklärung von Google.

Abonnementverwaltung (RevenueCat): ChangePath verwendet RevenueCat, Inc. (San Francisco, USA) als Abonnementverwaltungs- und Analyseschicht. RevenueCat erhält pseudonyme Nutzer-IDs, Purchase-Token, den Abonnementstatus, Produktkennungen und Plattforminformationen. RevenueCat handelt als Auftragsverarbeiter von ChangePath auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO.
Drittlandtransfer: RevenueCat, Inc. hat ihren Sitz in den Vereinigten Staaten. Die Übermittlung ist über Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO abgesichert.
Speicherdauer: RevenueCat speichert Abonnementdaten für die Dauer des aktiven Abonnementverhältnisses und im Anschluss gemäß dem Löschkonzept von ChangePath.“

Rechtsgrundlage für alle Zahlungsvorgänge: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); Art. 6 Abs. 1 lit. c DSGVO (steuer- und handelsrechtliche Aufbewahrungspflichten); Art. 6 Abs. 1 lit. f DSGVO (Betrugsprävention).“
 

10. Produkt-Metriken und AI-Observability (Posthog, Langfuse)

Datenkategorien: Pseudonyme IDs, Events, Feature-Nutzung, technische Metadaten, Fehlermeldungen, Latenzen; falls erforderlich, stark minimierte Prompt-/Antwort-Metadaten ohne Klardaten.
Zwecke: Produktverbesserung, Fehleranalyse, Stabilität.
Rechtsgrundlagen: Einwilligung für nicht notwendige Analysen; berechtigtes Interesse für zwingend notwendige Telemetrie zur Fehlerbehebung/IT-Sicherheit.
Empfänger: Posthog, Langfuse.
Serverstandort: Posthog Cloud EU/Langfuse Cloud EU laufen auf AWS in Frankfurt; Soweit PostHog und Lanfuse von ihrem Sitz in den USA aus administrativ auf die in Frankfurt gehostete Infrastruktur zugreift, ist dieser Zugriff über die im Auftragsverarbeitungsvertrag vereinbarten Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO abgesichert.
Speicherdauer: Standard 14 Monate für Analysedaten; Rohdaten kürzer.
 

11. Referral-Programm (GrowSurf)

Datenkategorien: E-Mail-Adresse, Name (sofern angegeben), eindeutige Referral-ID, Referral-Links, Status der Empfehlung (z. B. eingeladen, registriert, qualifiziert), IP-Adresse und Geräte-/Browserinformationen der geworbenen Person beim Klick auf den Referral-Link, Prämien- und Einlösestatus.
Zwecke: Durchführung des Referral-Programms, Zuordnung von Empfehlungen zu werbenden Nutzern, Prämienvergabe, Betrugserkennung und Missbrauchsprävention.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), da die Teilnahme auf einer gesonderten Einwilligung beruht. Für die Verarbeitung von Geräte-/Browserinformationen der geworbenen Person beim Klick auf den Referral-Link: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Zuordnung der Empfehlung und Betrugserkennung); für den Zugriff auf Endgeräteinformationen § 25 Abs. 1 TTDSG, sofern nicht technisch unbedingt erforderlich.
Empfänger/Verarbeiter: GrowSurf, Inc. (USA). GrowSurf handelt als Auftragsverarbeiter von ChangePath auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO.“
Drittlandtransfer: GrowSurf, Inc. hat ihren Sitz in den Vereinigten Staaten. Die Übermittlung ist über Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO abgesichert.
Speicherdauer: Referral-Daten werden für die Dauer der Teilnahme am Referral-Programm gespeichert. Nach Beendigung der Teilnahme oder Löschung des Nutzerkontos werden die Daten gemäß dem allgemeinen Löschkonzept (Abschnitt C.13) gelöscht, sofern keine steuer- oder handelsrechtlichen Aufbewahrungspflichten entgegenstehen.
 

12. Minderjährige
Die App richtet sich an Nutzer ab 16 Jahren; Coaching-Leistungen sind ab 18 Jahren verfügbar. ChangePath erhebt bei der Registrierung eine Altersangabe im Rahmen einer Selbstauskunft. ChangePath verarbeitet wissentlich keine personenbezogenen Daten von Personen unter 16 Jahren. Erlangt ChangePath Kenntnis davon, dass ein Nutzer unter 16 Jahre alt ist, werden die entsprechenden Daten unverzüglich gelöscht.
 

13. Zeitraum der Datenspeicherung (Allgemeines Löschkonzept)
 

• Account-Daten: Löschung nach Vertragsende, sofern keine Aufbewahrungspflichten entgegenstehen.

• Inaktive Accounts: Löschung oder Anonymisierung nach 36 Monaten Inaktivität.

• Nutzereingaben/Insights (Convex): Löschung mit Account-Löschung oder auf Ihr Verlangen.

• Support-Kommunikation: Löschung 12 Monate nach Vorgangsabschluss.

• Marketing/Analytics-Rohdaten: in der Regel 14 Monate; aggregiert länger ohne Personenbezug.

• Steuer/Handelsrecht: Löschung nach 6 bzw. 10 Jahre. 

• Wix-Nutzerkonfiguration: Löschung nach 12 Monaten.
   

14. Datensicherheit

ChangePath setzt angemessene technische und organisatorische Maßnahmen ein (Verschlüsselung, Zugriffskontrollen, Protokollierung, Rollenkonzepte, Backups) und passt sie fortlaufend an den Stand der Technik und das Risiko an. Nähere Informationen erhalten Sie auf Anfrage.

 

15. Keine automatisierte Entscheidungsfindung mit Rechtswirkung

ChangePath trifft keine automatisierten Entscheidungen, die rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen. Personalisierung und Profilbildung dienen ausschließlich der inhaltlichen Anpassung der App.

 

16. Zweckänderung

ChangePath verwendet Daten nur für die beschriebenen Zwecke. Bei abweichenden Zwecken informiert ChangePath vorab und holt erforderliche Einwilligungen ein.

 

D. Verantwortlichkeit und Kontakte

​

1. Verantwortlicher
   ChangePath – Bonanso Change Collective GmbH
   Lohmühlenstraße 65, 12435 Berlin, Deutschland
   Telefon: +49 15127001257
   E-Mail: annsophie@changepath.ai
    

2. Datenschutzbeauftragte*r / Datenschutz-Kontakt
   ChangePath ist derzeit nach § 38 Abs. 1 BDSG nicht zur Benennung eines Datenschutzbeauftragten verpflichtet, da regelmäßig weniger als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Eine Benennungspflicht nach Art. 37 Abs. 1 lit. b oder c DSGVO (umfangreiche Verarbeitung besonderer Kategorien oder systematische Überwachung) besteht ebenfalls nicht.
   
   Für Datenschutzanfragen wenden Sie sich bitte an: annsophie@changepath.ai.
    

3. Datenerhebung bei Kontaktaufnahme
   Wenn Sie ChangePath per E-Mail oder Formular kontaktieren, werden Ihre Angaben zur Bearbeitung der Anfrage verarbeitet und nach Abschluss gemäß C.11 gelöscht oder verarbeitet beschränkt aufbewahrt.

​​

E. Datenverarbeitung durch Dritte

​

1. Auftragsverarbeitung und sonstige Empfänger
   ChangePath setzt sorgfältig ausgewählte Dienstleister ein und schließt Auftragsverarbeitungsverträge nach Art. 28 DSGVO.
   Kategorien von Empfängern: Hosting/CMS (Wix), Hosting (Sevalla/Kinsta), Datenbank (Convex), Authentifizierung (Clerk), Workflow (n8n), AI-Provider (OpenAI), Analytics/Ads (Google, Meta, TikTok, LinkedIn, Wix Analytics), Tag-Management (Google Tag/GTM), Newsletter (Substack), Mailing (Wix, Brevo), Produktmetriken (Posthog), Observability (Langfuse), Payment (Stripe, Apple, Google, RevenueCat), Referral- Programm (GrowSurf), IT-Sicherheit und Support. Darüber hinaus können gesetzliche Empfängerstellen (Behörden, Gerichte) betroffen sein.
    

2. Drittlandübermittlungen
   Soweit Daten außerhalb des EWR verarbeitet werden, stellt ChangePath ein angemessenes Datenschutzniveau sicher, etwa durch EU-Standardvertragsklauseln und zusätzliche technische Maßnahmen, sowie – soweit einschlägig – durch das EU-US Data Privacy Framework bei zertifizierten Anbietern.
   
   Bei den folgenden Auftragsverarbeitern erfolgt die Verarbeitung der Anwendungsdaten ausschließlich auf Servern innerhalb der Europäischen Union: Sevalla (Frankfurt am Main, Google Cloud Platform europe-west3), Posthog Cloud EU (Frankfurt am Main, AWS eu-central-1), Langfuse Cloud EU (Frankfurt am Main, AWS) sowie n8n Cloud (EU-Region). Langfuse und n8n werden zudem von Gesellschaften mit Sitz in der Europäischen Union betrieben (Langfuse GmbH, Deutschland; n8n GmbH, Berlin). Sevalla und Posthog werden von Gesellschaften mit Sitz in den Vereinigten Staaten betrieben (Kinsta, Inc. bzw. PostHog Inc.); ein administrativer Fernzugriff durch diese Gesellschaften aus den USA ist im Rahmen von Wartung und technischem Support möglich und über die im jeweiligen Auftragsverarbeitungsvertrag vereinbarten Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO abgesichert.
   
   Bei den folgenden Empfängern findet eine Übermittlung personenbezogener Daten in die Vereinigten Staaten statt:

 

Als Auftragsverarbeiter von ChangePath: Convex (Convex, Inc.) zur Speicherung der Anwendungsdaten, OpenAI (OpenAI, L.L.C.) zur KI-gestützten Auswertung pseudonymisierter Nutzungsdaten, Clerk (Clerk, Inc.) zur Authentifizierung, RevenueCat (RevenueCat, Inc.) zur Abonnementverwaltung der Mobile App und GrowSurf (GrowSurf, Inc.) zur Durchführung des Referral-Programms.

​

Als eigene Verantwortliche: Apple Inc. im Rahmen des Apple App Store und der In-App-Käufe unter iOS sowie Google LLC im Rahmen des Google Play Store und der In-App-Käufe unter Android.Die Übermittlung in die Vereinigten Staaten ist wie folgt abgesichert: Für Clerk, OpenAI, Apple und Google liegt eine Zertifizierung unter dem EU-US Data Privacy Framework vor; die Übermittlung beruht insoweit auf dem Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (Beschluss (EU) 2023/1795). 

​

Für Convex, RevenueCat und GrowSurf erfolgt die Absicherung über Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO in Verbindung mit dem jeweiligen Auftragsverarbeitungsvertrag, ergänzt durch technische und organisatorische Schutzmaßnahmen, insbesondere Verschlüsselung der Daten im Ruhezustand und während der Übertragung.

Weitere Informationen stellt ChangePath auf Anfrage bereit. 

 

3.     Gesetzliche Übermittlungspflichten

ChangePath kann zur Übermittlung rechtmäßig verarbeiteter Daten an öffentliche Stellen verpflichtet sein, wenn eine Rechtsnorm dies vorsieht.
 

F.  Ihre Rechte

Sie haben gegenüber ChangePath folgende Rechte: 

• Auskunft (Art. 15 DSGVO), 

• Berichtigung (Art. 16), 

• Löschung (Art. 17), 

• Einschränkung (Art. 18), 

• Datenübertragbarkeit (Art. 20), 

• Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen oder zu Direktmarketing (Art. 21) sowie 

• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3). 

​​

Zur Ausübung wenden Sie sich an die oben angegebenen Kontaktdaten. Sie haben zudem das Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde, insbesondere bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit (www.datenschutz-berlin.de). 

​

G. Ort der Einholung von Einwilligungen und Bestätigung der Hinweise

​

ChangePath stellt diese Datenschutzhinweise in der App bereit. Einwilligungen für nicht notwendige Technologien sowie – falls erforderlich – für bestimmte Verarbeitungen werden elektronisch eingeholt, protokolliert und können jederzeit widerrufen werden.