Information nach Art 13 und 14 DSGVO sowie § 165 Abs 3 TKG 2021 · Stand: September 2026

1. Verantwortliche

Verantwortliche für die Datenverarbeitung auf dieser Website und in meiner Shiatsu-Praxis ist:

Eva Maria Krammer (ShiatsuEva)
St. Martin am Wöllmißberg 64, 8580 St. Martin am Wöllmißberg, Österreich
Telefon: +43 664 5755409
E-Mail: shiatsupraxis_eva@gmx.at

Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich und wurde nicht bestellt.

2. Grundsätze

Ich verarbeite personenbezogene Daten nur, soweit dies für den Betrieb dieser Website, die Beantwortung Ihrer Anfragen und die Durchführung von Shiatsu-Behandlungen erforderlich ist. Rechtsgrundlagen sind, je nach Vorgang:

• Art 6 Abs 1 lit a DSGVO (Einwilligung), bei Gesundheitsdaten Art 9 Abs 2 lit a DSGVO (ausdrückliche Einwilligung),
• Art 6 Abs 1 lit b DSGVO (Erfüllung eines Vertrags oder Durchführung vorvertraglicher Maßnahmen, etwa Terminanfragen),
• Art 6 Abs 1 lit c DSGVO (gesetzliche Pflichten, insbesondere steuerliche Aufbewahrung),
• Art 6 Abs 1 lit f DSGVO (berechtigtes Interesse, etwa sicherer und störungsfreier Betrieb der Website).
• Art 9 Abs 2 lit f in Verbindung mit Art 6 Abs 1 lit f DSGVO (Aufbewahrung von Behandlungsaufzeichnungen, soweit sie im Einzelfall zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist).

Ich verkaufe keine Daten und betreibe keine Werbung mit Ihren Daten.

3. Aufruf der Website und Hosting

Diese Website wird mit dem Baukastensystem Webador erstellt und dort gehostet. Anbieter ist JouwWeb B.V. (Webador), Torenallee 20, 5617 BC Eindhoven, Niederlande. Webador verarbeitet die Daten in meinem Auftrag als Auftragsverarbeiter (Art 28 DSGVO).

Beim Aufruf einer Seite verarbeitet der Server automatisch folgende Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, übertragene Datenmenge, Browsertyp und -version, Betriebssystem sowie die zuvor besuchte Seite (Referrer). Diese Daten werden benötigt, um die Website auszuliefern, ihre Sicherheit und Stabilität zu gewährleisten und Missbrauch zu erkennen.

Rechtsgrundlage: Art 6 Abs 1 lit f DSGVO. Speicherdauer: Die Server-Protokolle werden bei Webador gelöscht, sobald sie für Betrieb, Sicherheit und Fehleranalyse nicht mehr benötigt werden; Protokolle, die auf einen Angriff oder Missbrauch hindeuten, werden bis zur Klärung des Vorfalls aufbewahrt. Webador setzt für Hosting und Sicherungskopien Unterauftragsverarbeiter ein; nach Angaben von Webador werden die Daten in der EU (Amazon Web Services, Irland; Google Cloud) gespeichert, Sicherungskopien teilweise in den USA (Backblaze, Inc.). Die Grundlage dieser Übermittlung ist in Abschnitt 9 beschrieben.

Schriftarten (Lato, Merriweather) werden von Webador-Servern ausgeliefert. Es findet dabei keine Verbindung zu Google-Servern statt.

4. Cookies

Beim Aufruf dieser Website wird ein technisch notwendiges Cookie gesetzt: JwStickySession (Anbieter: Webador). Es leitet Ihre Anfragen während eines Besuchs an denselben Server (Lastverteilung), damit die Seite fehlerfrei geladen wird. Es enthält nur eine zufällige Sitzungskennung, kann von Skripten nicht ausgelesen werden (HttpOnly) und wird nur verschlüsselt übertragen. Speicherdauer: 30 Tage.

Dieses Cookie ist unbedingt erforderlich, damit die von Ihnen aufgerufene Website ausgeliefert werden kann, und bedarf daher keiner Einwilligung (§ 165 Abs 3 TKG 2021). Rechtsgrundlage: Art 6 Abs 1 lit f DSGVO.

Weitere Cookies setzt diese Website nicht, auch keine Werbe- oder Tracking-Cookies. Sie können Cookies in Ihrem Browser jederzeit löschen oder blockieren; die Seiten bleiben dann lesbar, das Kontaktformular lässt sich unter Umständen nicht absenden.

5. Reichweitenmessung mit Plausible Analytics

Auf dieser Website ist das Analysewerkzeug Plausible Analytics (Plausible Insights OÜ, Tartu, Estland) eingebunden. Webador betreibt die Messung als mein Auftragsverarbeiter unter seiner eigenen Plausible-Kennung und ordnet die Aufrufe dieser Website über eine Kennnummer zu; die Zahlen sehe ich in meinem Webador-Konto.

Das Skript liest beim Seitenaufruf die Adresse der aufgerufenen Seite, die Adresse der verweisenden Seite und, falls vorhanden, das von Ihnen selbst gesetzte Ausschlusskennzeichen plausible_ignore im Local Storage Ihres Browsers. Übertragen werden Seitenadresse, verweisende Seite und Browserkennung. Plausible setzt keine Cookies und speichert nichts auf Ihrem Endgerät. Die IP-Adresse wird nur kurzzeitig zur Berechnung eines täglich wechselnden, nicht rückführbaren Kennwerts verwendet und nicht gespeichert; erfasst werden daneben Browser- und Gerätetyp sowie das Herkunftsland. Die Verarbeitung erfolgt auf Servern in der Europäischen Union.

Zweck ist zu erkennen, welche Seiten aufgerufen werden, um die Website zu verbessern. Rechtsgrundlage: Art 6 Abs 1 lit f DSGVO. Eine Einwilligung nach § 165 Abs 3 TKG 2021 halte ich für diese Einbindung nicht für erforderlich: Auf Ihrem Endgerät wird nichts gespeichert, ausgelesen wird nur ein Kennzeichen, das Sie selbst gesetzt haben, um die Erfassung zu unterbinden, und Seitenadresse, verweisende Seite und Browserkennung übermittelt Ihr Browser ohnehin bei jedem Seitenaufruf an den Server. Wie Sie der Messung widersprechen, steht in Abschnitt 10.

6. Kontaktformular

Wenn Sie mir über das Kontaktformular schreiben, verarbeite ich Ihren Namen, Ihre E-Mail-Adresse, den Inhalt Ihrer Nachricht sowie Zeitpunkt der Absendung und IP-Adresse. Name, E-Mail-Adresse und Nachricht sind Pflichtfelder; ohne sie lässt sich das Formular nicht absenden. Weitere Angaben fragt das Formular nicht ab. Das Formular wird technisch über Webador abgewickelt und an mein E-Mail-Postfach bei GMX (1&1 Mail & Media GmbH, Karlsruhe, Deutschland) zugestellt.

Gegen automatisierte Eingaben (Spam) ist das Formular durch ein für Sie unsichtbares Prüffeld geschützt, das nur von Programmen ausgefüllt wird. Dabei werden keine Dienste Dritter geladen und keine Daten an Dritte übermittelt.

Zweck ist die Beantwortung Ihrer Anfrage und gegebenenfalls die Terminvereinbarung. Rechtsgrundlage: Art 6 Abs 1 lit b DSGVO (Anfragen im Zusammenhang mit einer Behandlung) beziehungsweise Art 6 Abs 1 lit f DSGVO (sonstige Anfragen). Speicherdauer: Ich lösche Anfragen, sobald sie erledigt sind, spätestens zwölf Monate nach dem letzten Kontakt, sowohl in der Formularablage von Webador als auch in meinem Postfach. Kommt es zu einer Behandlung, gelten die Fristen in Abschnitt 8.

Bitte übermitteln Sie über das Kontaktformular keine Angaben zu Ihrer Gesundheit. Diese besprechen wir persönlich vor der Behandlung.

7. Kontakt per Telefon, E-Mail und WhatsApp

Wenn Sie mich anrufen oder mir eine E-Mail schreiben, verarbeite ich Ihre Kontaktdaten und den Inhalt der Nachricht zur Bearbeitung Ihres Anliegens (Art 6 Abs 1 lit b oder lit f DSGVO). E-Mails werden über meinen Anbieter GMX (1&1 Mail & Media GmbH, Karlsruhe, Deutschland) übermittelt. Ich lösche die Nachrichten, sobald das Anliegen erledigt ist, spätestens zwölf Monate nach dem letzten Kontakt; kommt es zu einer Behandlung, gelten die Fristen in Abschnitt 8.

Die Website enthält einen Link zu WhatsApp. Solange Sie ihn nicht anklicken, werden keine Daten an WhatsApp übermittelt. Wenn Sie den Link anklicken, stellt Ihr Browser eine Verbindung zu WhatsApp her; bereits dabei werden Ihre IP-Adresse und Browserinformationen an WhatsApp Ireland Limited, 4 Grand Canal Square, Dublin 2, Irland, übermittelt, noch bevor sich WhatsApp öffnet oder Sie eine Nachricht senden. Schreiben Sie mir über WhatsApp, verarbeitet WhatsApp Ihre Telefonnummer und Metadaten der Kommunikation (Zeitpunkt, Gerät) und kann diese an Meta Platforms, Inc. in den USA weitergeben; die Nachrichteninhalte sind Ende-zu-Ende-verschlüsselt. Rechtsgrundlage für die Kommunikation ist Art 6 Abs 1 lit b DSGVO; die Nutzung von WhatsApp erfolgt auf Ihren Wunsch. Bitte senden Sie über WhatsApp keine Gesundheitsdaten.

Ihre Telefonnummer speichere ich nur zur Terminabstimmung. Chatverläufe und Ihre Nummer lösche ich, sobald das Anliegen erledigt ist, spätestens zwölf Monate nach dem letzten Kontakt; kommt es zu einer Behandlung, gelten die Fristen in Abschnitt 8.

8. Terminvereinbarung und Behandlung

Für die Vereinbarung und Durchführung von Shiatsu-Behandlungen verarbeite ich:

• Stamm- und Kontaktdaten: Name, Telefonnummer, E-Mail-Adresse, gegebenenfalls Anschrift für die Rechnung;
• Termindaten: Datum, Uhrzeit, Art der Behandlung;
• Abrechnungsdaten: Rechnungsbetrag, Zahlungsart, Zahlungseingang;
• Gesundheitsdaten: Angaben zu Beschwerden, Vorerkrankungen, Medikamenten, Schwangerschaft und zum Verlauf der Behandlungen, soweit Sie mir diese mitteilen und sie für eine sichere Behandlung erforderlich sind.

Gesundheitsdaten sind besonders geschützt (Art 9 DSGVO). Ich verarbeite sie auf Grundlage Ihrer ausdrücklichen Einwilligung (Art 9 Abs 2 lit a in Verbindung mit Art 6 Abs 1 lit a DSGVO), die ich vor der ersten Behandlung schriftlich einhole und die auf die Vorbereitung, Durchführung und Dokumentation Ihrer Shiatsu-Behandlungen beschränkt ist. Sie können die Einwilligung jederzeit widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Ohne diese Angaben kann ich eine Behandlung unter Umständen nicht durchführen. Benötige ich Behandlungsaufzeichnungen nach dem Ende der Behandlungen im Einzelfall zur Geltendmachung, Ausübung oder Abwehr von Rechtsansprüchen, stütze ich die weitere Aufbewahrung auf Art 9 Abs 2 lit f in Verbindung mit Art 6 Abs 1 lit f DSGVO.

Die übrigen Daten verarbeite ich zur Erfüllung des Behandlungsvertrags (Art 6 Abs 1 lit b DSGVO) und zur Erfüllung steuerrechtlicher Pflichten (Art 6 Abs 1 lit c DSGVO).

Speicherdauer:

• Rechnungs- und Buchhaltungsunterlagen bewahre ich sieben Jahre ab dem Ende des Kalenderjahres auf, auf das sie sich beziehen (§ 132 Abs 1 BAO), und darüber hinaus so lange, wie sie für ein anhängiges Abgabenverfahren von Bedeutung sind.
• Stamm-, Kontakt- und Termindaten lösche ich, wenn Sie mir mitteilen, dass Sie keine weiteren Behandlungen wünschen, spätestens zwölf Monate nach der letzten Behandlung, soweit sie nicht Teil der Rechnungs- und Buchhaltungsunterlagen oder der Behandlungsaufzeichnungen sind.
• Behandlungsaufzeichnungen einschließlich Gesundheitsdaten lösche ich drei Jahre nach der letzten Behandlung. Diese Frist habe ich festgelegt; sie orientiert sich an der regelmäßigen dreijährigen Verjährung von Ersatzansprüchen (§ 1489 ABGB). Länger bewahre ich einzelne Aufzeichnungen nur auf, wenn im Einzelfall ein Anspruch geltend gemacht wurde oder konkret zu erwarten ist, und nur bis zu dessen Erledigung.

Widerrufen Sie Ihre Einwilligung, lösche ich Ihre Gesundheitsdaten unverzüglich, soweit nicht eine gesetzliche Aufbewahrungspflicht besteht oder ich die Daten im Einzelfall zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötige (Art 17 Abs 3 lit b und lit e DSGVO).

Empfänger: Gesundheitsdaten gebe ich nicht an Dritte weiter; ausgenommen sind Offenlegungen, zu denen ich gesetzlich verpflichtet bin, und Offenlegungen, die zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind. Behandlungsunterlagen verwahre ich ausschließlich in Papierform beziehungsweise auf eigenen Geräten, die nicht in einen Cloud- oder Online-Sicherungsdienst synchronisiert werden (Abschnitt 12). Abrechnungsdaten können an meine steuerliche Vertretung und das Finanzamt gelangen; bei Überweisungen verarbeitet Ihre und meine Bank die Zahlungsdaten.

9. Empfänger und Übermittlung in Drittländer

• JouwWeb B.V. (Webador), Eindhoven, Niederlande: Hosting, Kontaktformular, Cookie, Einbindung der Reichweitenmessung. Verarbeitung in der EU; Sicherungskopien nach Angaben von Webador teilweise in den USA bei Backblaze, Inc. Für die geeigneten Garantien dieser Übermittlung (Art 46 DSGVO) ist Webador als mein Auftragsverarbeiter zuständig.
• Plausible Insights OÜ, Tartu, Estland: Reichweitenmessung ohne Cookies. Verarbeitung in der EU.
• 1&1 Mail & Media GmbH (GMX), Karlsruhe, Deutschland: E-Mail-Postfach. Verarbeitung in der EU.
• WhatsApp Ireland Limited, Dublin, Irland: Kommunikation, nur wenn Sie WhatsApp nutzen. Verarbeitung in der EU und in den USA (Meta Platforms, Inc.) auf Grundlage des EU-US Data Privacy Framework.
• Steuerliche Vertretung, Finanzamt, Bank: Abrechnung und gesetzliche Pflichten. Verarbeitung in Österreich.

Meta Platforms, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert; für zertifizierte Unternehmen besteht ein Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (Art 45 DSGVO). Die Zertifizierung können Sie unter www.dataprivacyframework.gov/list prüfen. Soweit eine Übermittlung auf die Standardvertragsklauseln der Europäischen Kommission gestützt wird (Art 46 Abs 2 lit c DSGVO), sind diese unter commission.europa.eu abrufbar; eine Kopie der jeweils vereinbarten Klauseln erhalten Sie auf Anfrage bei mir.

10. Ihre Rechte

Ihnen stehen gegenüber mir folgende Rechte zu:

• Auskunft über Ihre gespeicherten Daten (Art 15 DSGVO),
• Berichtigung unrichtiger Daten (Art 16 DSGVO),
• Löschung (Art 17 DSGVO) und Einschränkung der Verarbeitung (Art 18 DSGVO),
• Datenübertragbarkeit (Art 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf Art 6 Abs 1 lit f DSGVO beruhen (Art 21 DSGVO),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art 7 Abs 3 DSGVO).

Widerspruchsrecht

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Ihrer personenbezogenen Daten Widerspruch einzulegen, die ich auf Art 6 Abs 1 lit f DSGVO (berechtigtes Interesse) stütze; das betrifft die Server-Protokolle (Abschnitt 3), das technisch notwendige Cookie (Abschnitt 4), die Reichweitenmessung (Abschnitt 5) und die Bearbeitung allgemeiner Anfragen (Abschnitte 6 und 7). Ich verarbeite die Daten dann nicht mehr, es sei denn, ich kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Art 21 Abs 1 DSGVO). Direktwerbung betreibe ich nicht.

Für die Reichweitenmessung mit Plausible kann ich einzelne Besucherinnen und Besucher nachträglich nicht aus der Statistik entfernen, weil keine Kennung gespeichert wird. Ihr Widerspruch wirkt daher für die Zukunft: Setzen Sie in Ihrem Browser das Ausschlusskennzeichen, indem Sie die Entwicklerwerkzeuge öffnen (meist mit der Taste F12), im Reiter „Konsole“ den Befehl localStorage.plausible_ignore=true eingeben und die Seite neu laden. Das Kennzeichen gilt für diesen Browser und diese Website; eine Anleitung des Anbieters finden Sie unter plausible.io/docs/excluding-localstorage. Wenn Sie dabei Hilfe brauchen, schreiben Sie mir.

Zur Ausübung Ihrer Rechte genügt eine Nachricht an shiatsupraxis_eva@gmx.at oder an die oben genannte Postadresse. Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen das Datenschutzrecht verstößt, können Sie sich bei der Aufsichtsbehörde beschweren (Art 77 DSGVO):

Österreichische Datenschutzbehörde
Barichgasse 40–42, 1030 Wien
Telefon: +43 1 52 152-0
E-Mail: dsb@dsb.gv.at
www.dsb.gv.at

11. Keine automatisierte Entscheidungsfindung

Ich treffe keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen, und erstelle keine Profile im Sinn des Art 22 DSGVO.

12. Datensicherheit

Die Übertragung dieser Website erfolgt verschlüsselt (HTTPS/TLS). Behandlungsunterlagen verwahre ich in Papierform versperrt beziehungsweise auf passwortgeschützten eigenen Geräten, die nicht in einen Cloud- oder Online-Sicherungsdienst synchronisiert werden und zu denen nur ich Zugang habe.

13. Änderungen

Ich passe diese Datenschutzerklärung an, wenn sich die Website, die eingesetzten Dienste oder die Rechtslage ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.