Datenschutzerklärung

Stand: 4. Oktober 2026

Diese Datenschutzerklärung informiert darüber, wie HebaMama personenbezogene Daten verarbeitet, wenn Du die Website, die Registrierung, die Login-Funktionen, die Mama- und Hebammen-Dashboards, die Such-, Anfrage-, Kurs-, Buchungs-, Dokumenten- und Sicherheitsfunktionen nutzt. HebaMama ist eine Plattform zur Vermittlung und Organisation von Kontakten zwischen Mamas und Hebammen. Die Plattform ist kein Notfall- oder Akutdienst.

1. Verantwortlicher und Datenschutzkontakt

Verantwortlich für die Datenverarbeitung ist:

HebaMama GbR
Mondstraße 28
81543 München
Deutschland
E-Mail: info@hebamama.com

Datenschutzanfragen können an die oben genannte E-Mail-Adresse gerichtet werden. Sofern ein Datenschutzbeauftragter gesetzlich erforderlich ist oder benannt wird, werden die entsprechenden Kontaktdaten in dieser Erklärung ergänzt.

2. Geltungsbereich

Diese Erklärung gilt für alle unter HebaMama bereitgestellten Webfunktionen, insbesondere öffentliche Seiten, Registrierung, Login, E-Mail-Verifizierung, Passwort- und E-Mail-Änderung, Mama-Profile, Hebammenprofile, Mama-Anfragen, Hebammenkurse, Kursbuchungen, tägliche Info-Mails, Dokumenten-Uploads, Admin-Prüfungen, die öffentliche Widerrufsfunktion, Support- und Sicherheitsfunktionen.

3. Grundsätze und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, soweit dies für die Bereitstellung, Sicherheit, Verwaltung und Weiterentwicklung der Plattform erforderlich ist oder eine gesetzliche Pflicht, Einwilligung oder ein berechtigtes Interesse besteht.

• Art. 6 Abs. 1 lit. b DSGVO: Vertragserfüllung und vorvertragliche Maßnahmen, insbesondere Registrierung, Konto, Profil, Vermittlung, Anfragen, Buchungen und Plattformkommunikation.
• Art. 6 Abs. 1 lit. a DSGVO: Einwilligungen, insbesondere soweit freiwillige besondere Kategorien personenbezogener Daten verarbeitet werden oder eine Einwilligung gesetzlich erforderlich ist.
• Art. 6 Abs. 1 lit. c DSGVO: Erfüllung gesetzlicher Pflichten, etwa handels-, steuer-, nachweis- oder auskunftsbezogener Pflichten.
• Art. 6 Abs. 1 lit. f DSGVO: berechtigte Interessen an IT-Sicherheit, Missbrauchsverhinderung, Fehleranalyse, Rechtsdurchsetzung, Plattformadministration und Verbesserung des Betriebs.

Soweit Mamas oder Hebammen freiwillig Angaben machen, die Gesundheitsdaten, Schwangerschaft, Geburt, Wochenbett, Stillen, Kinddaten oder vergleichbar sensible Informationen betreffen, können besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO betroffen sein. Die Verarbeitung erfolgt nur zur Bereitstellung der ausdrücklich gewünschten Plattformfunktionen und, soweit erforderlich, auf Grundlage einer ausdrücklichen Einwilligung gemäß Art. 9 Abs. 2 lit. a DSGVO. Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Der Widerruf kann dazu führen, dass einzelne Plattformfunktionen nicht mehr bereitgestellt werden können.

4. Hosting, Auslieferung der Website und Server-Logfiles

Die Website wird auf Servern der Hetzner Online GmbH betrieben. Die Server befinden sich innerhalb der Europäischen Union. Zur technischen Auslieferung der Website und zur Absicherung des Betriebs werden Server- und Proxy-Logfiles verarbeitet.

Dabei können insbesondere folgende Daten verarbeitet werden:

• IP-Adresse des anfragenden Geräts,
• Datum und Uhrzeit des Zugriffs,
• aufgerufene URL, HTTP-Methode, Statuscode und übertragene Datenmenge,
• Referrer-URL, soweit vom Browser übermittelt,
• Browser-, Geräte- und Betriebssysteminformationen, soweit vom Browser übermittelt.

Zweck der Verarbeitung ist die Bereitstellung der Website, Fehleranalyse, Missbrauchs- und Angriffserkennung sowie die Sicherstellung der Verfügbarkeit. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Server-Logfiles werden grundsätzlich nur so lange gespeichert, wie dies für diese Zwecke erforderlich ist; die derzeitige betriebliche Regelfrist beträgt maximal 14 Tage, sofern keine sicherheitsrelevante Prüfung oder gesetzliche Pflicht eine längere Speicherung erfordert.

5. Registrierung, Nutzerkonto und Authentifizierung

Bei der Registrierung und Verwaltung eines Nutzerkontos verarbeiten wir insbesondere:

• Vorname und Nachname,
• E-Mail-Adresse,
• Rolle des Kontos, insbesondere Mama, Hebamme oder Admin,
• Passwort-Hash; das Passwort wird nicht im Klartext gespeichert,
• Kundenreferenz, Verifizierungsstatus, Registrierungszeitpunkt, Aktualisierungszeitpunkt und Löschstatus,
• Zeitpunkte und technische Zustände von Login, letzter Aktivität und Session,
• Annahme von AGB und Datenschutzhinweisen mit Zeitpunkt,
• Sicherheits-Tokens für E-Mail-Verifizierung, Passwort-Reset, Passwortänderung, E-Mail-Änderung und Admin-OTP.

E-Mail-Adressen, Namen und weitere Profilinhalte werden nach dem technischen Schutzkonzept verschlüsselt gespeichert; zusätzlich wird ein Hash der E-Mail-Adresse für die eindeutige Anmeldung und Suche verwendet. Passwörter werden mit einem Passwort-Hashverfahren gespeichert. Verifizierungs- und Reset-Tokens werden nur als Hash gespeichert und sind zeitlich begrenzt. Derzeit gelten 15 Minuten für E-Mail-Verifizierungs- und Passwort-Reset-Links sowie 5 Minuten für OTP-Codes zur Kontoänderung und Admin-Anmeldung. Zugriffstokens sind zeitlich begrenzt; Refresh-Tokens sind technisch auf 7 Tage begrenzt und werden zusätzlich durch den konfigurierten Inaktivitäts-Timeout eingeschränkt.

Zweck ist die Einrichtung, Sicherung und Verwaltung des Kontos. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für Sicherheits- und Missbrauchsschutz ergänzend Art. 6 Abs. 1 lit. f DSGVO.

6. Mama-Profil und Kinddaten

Wenn Du die Plattform als Mama nutzt, verarbeiten wir die von Dir eingegebenen Profil- und Kontaktdaten, insbesondere:

• Adresse, Telefonnummer, bevorzugter Suchradius und Sprachen,
• Geburtsdatum der Mama, Anzahl der Schwangerschaften, Anzahl geborener Kinder und Angabe zu Mehrlingsschwangerschaften,
• freiwillige Freitextangaben über Dich und Deine Situation,
• Angaben zum Kind, insbesondere Vorname, errechneter Geburtstermin, Geburtsdatum und freiwillige Hinweise,
• Geokoordinaten Deiner Adresse, soweit zur Umkreissuche erforderlich.

Diese Daten werden genutzt, damit Hebammen passende Anfragen prüfen, Dich kontaktieren und Leistungen oder Kurse organisieren können. Wenn Du Kinddaten eingibst, bestätigst Du, dass Du zur Bereitstellung dieser Daten berechtigt bist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für besondere Kategorien personenbezogener Daten zusätzlich Art. 9 Abs. 2 lit. a DSGVO, soweit eine Einwilligung erforderlich ist.

7. Hebammenprofil und Berufsnachweise

Wenn Du die Plattform als Hebamme nutzt, verarbeiten wir insbesondere:

• private Kontakt- und Adressdaten, Telefonnummer, Suchradius und Sprachen,
• Praxisdaten, sofern angegeben, einschließlich Praxisadresse, Praxis-E-Mail, Praxistelefon, Website und IK-Nummer,
• berufliche Informationen, Freitexte, Website-, Social-Media- und Informationslinks,
• Geokoordinaten privater Adresse und Praxisadresse, soweit für die Umkreissuche erforderlich,
• hochgeladene Dokumente wie Ausweisdokumente, Berufsurkunde, Informationsmaterial und Behandlungsvertrag,
• Status der Profilvollständigkeit, Bestätigungsstatus und Admin-Prüfvermerke,
• Einstellung, ob die tägliche Info-Mail zu offenen Mama-Anfragen im gespeicherten Suchradius gewünscht ist, einschließlich gespeicherter Sprache und letztem Verarbeitungstag.

Dokumente werden serverseitig auf Schadsoftware geprüft und anschließend verschlüsselt gespeichert. Ausweisdokumente und Berufsnachweise dienen insbesondere der Prüfung und Freigabe des Hebammenprofils. Nach erfolgreicher Identitätsprüfung werden die hochgeladenen Ausweisdateien gelöscht. Gespeichert bleibt ein datenminimierter Prüfvermerk zu geprüfter Seite, Prüfer, Prüfzeitpunkt und Löschung der Quelldatei; die Oberfläche zeigt danach nur einen statischen, nicht personenbezogenen Prüfmarker und sperrt einen erneuten Upload bis zu einer dokumentierten Re-Verifikation. Behandlungsvertrag und Informationsmaterial können Mamas angezeigt werden, wenn hierfür nach dem Plattformmodell ein berechtigter Zugriff besteht, etwa nach angenommener Anfrage oder Kursbuchung. Ausweis- und Berufsurkunden werden Mamas nicht als Download bereitgestellt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für Prüf-, Sicherheits- und Missbrauchszwecke zusätzlich Art. 6 Abs. 1 lit. f DSGVO.

8. Anfragen, Vermittlung, Kurse und Buchungen

Für Mama-Anfragen, Hebammenleistungen, Kurse und Buchungen verarbeiten wir insbesondere:

• Anfragetyp, Phase, Leistungsart, Beschreibung, Wunschdatum und freiwillige Notizen,
• Status der Anfrage, insbesondere offen, angenommen, abgebrochen oder abgerechnet,
• Zuordnung zu einer Hebamme, Annahmezeitpunkt, Abbruchzeitpunkt und Abrechnungsstatus,
• Kursdaten der Hebamme, insbesondere Kursart, Phase, Ort oder Videolink, Startzeit, Dauer, Wiederholung, Teilnehmerzahl, Kostenhinweise, Zusatzinformationen und Anreisehinweise,
• Buchungsstatus, insbesondere gebucht, Warteliste, storniert oder beendet.

Offene Mama-Anfragen können Hebammen innerhalb der Such- und Filterlogik angezeigt werden. Wenn eine Hebamme die tägliche Info-Mail aktiviert, können offene Mama-Anfragen im gespeicherten Suchradius außerdem einmal täglich per E-Mail tabellarisch zusammengefasst werden. Diese Info-Mail enthält keine E-Mail-Adresse und keine Telefonnummer der Mama. Sobald eine Anfrage angenommen, eine Kursbuchung erstellt oder eine Behandlung angebahnt wird, können die hierfür erforderlichen Kontakt-, Profil-, Anfrage- und Kursdaten zwischen den jeweils beteiligten Mamas und Hebammen sichtbar werden. Zweck ist die Vermittlung, Organisation, Kommunikation, Durchführung und Dokumentation der angefragten Leistungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für Nachweis-, Sicherheits- und Missbrauchszwecke zusätzlich Art. 6 Abs. 1 lit. f DSGVO.

Die Abrechnung einer Hebammenleistung erfolgt ausschließlich zwischen der beteiligten Hebamme und der Mama. HebaMama ist an dieser Abrechnung nicht beteiligt und speichert dafür keine Rechnungsreferenz.

9. Standort, Umkreissuche, Geocoding und Karten

Für die Umkreissuche verarbeitet HebaMama Adressen, Postleitzahlen, Suchradien und daraus abgeleitete Geokoordinaten. Bei der Suche können auch temporäre Suchwerte wie Radius und Postleitzahl in der Session gespeichert werden, ohne das dauerhaft gespeicherte Profil zu ändern.

Zur Adresssuche und Geocodierung nutzt die Plattform Nominatim auf Basis von OpenStreetMap. Dabei werden die eingegebene Adresse oder Postleitzahl, technische Anfragedaten und ein anwendungsbezogener User-Agent an den Nominatim-Dienst übermittelt. Wir übermitteln dabei keine Namen, Passwörter oder Profiltexte an Nominatim. Wenn eine Adresse eine private Adresse ist, kann aber bereits die Adresse selbst personenbezogen sein.

Karten werden über OpenStreetMap-Kacheln dargestellt. Beim Laden einer Karte kann Dein Browser technische Daten wie IP-Adresse, Browserinformationen, Referrer und die angeforderten Kartenkacheln an OpenStreetMap-Server übermitteln. Rechtsgrundlage für Geocoding und Kartendarstellung ist Art. 6 Abs. 1 lit. b DSGVO, soweit dies für die gewünschte Suche und Anzeige erforderlich ist, sowie Art. 6 Abs. 1 lit. f DSGVO zur nutzerfreundlichen und sicheren Plattformdarstellung.

10. E-Mail-Versand und Plattformkommunikation

HebaMama versendet transaktionale E-Mails, insbesondere zur Registrierung, E-Mail-Verifizierung, Passwortzurücksetzung, Kontoänderung, Admin-OTP, rechtlichen Informationen, systembezogenen Hinweisen und, sofern von der Hebamme aktiviert, zur täglichen Info-Mail über offene Mama-Anfragen im gespeicherten Suchradius. Dafür verarbeiten wir E-Mail-Adresse, Name, Sprache, E-Mail-Inhalt, Versandzeitpunkt und technische Versanddaten.

Der Versand erfolgt über Mailjet by Sinch, einen E-Mail-Zustell- und SMTP-Dienst für transaktionale E-Mails. An Mailjet werden insbesondere Empfängeradresse, Absenderdaten, Betreff, Nachrichteninhalt, gegebenenfalls PDF-Anhänge sowie technische Versand-, Zustell- und Fehlerdaten übermittelt. Dazu können auch Ereignisse wie Bounce-, Blocked- oder Spam-Beschwerde-Meldungen gehören, soweit dies für die sichere Zustellung, Fehleranalyse und Sperrung unzustellbarer Empfängeradressen erforderlich ist. Mailjet wird ausschließlich für transaktionale Plattform-E-Mails eingesetzt, nicht für Werbetracking.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für vertrags- und kontobezogene E-Mails sowie Art. 6 Abs. 1 lit. f DSGVO für Sicherheits-, System- und Zustellbarkeits-Hinweise. Mit Mailjet bestehen, soweit erforderlich, vertragliche Datenschutzregelungen zur Auftragsverarbeitung nach Art. 28 DSGVO. Nach den Sicherheits- und Datenschutzangaben von Mailjet werden Daten in Rechenzentren in Frankfurt (Deutschland) und Saint-Ghislain (Belgien) gespeichert.

Öffentliche elektronische Widerrufsfunktion

Für einen elektronischen Vertragswiderruf verarbeiten wir den vollständigen Namen, die E-Mail-Adresse, das ausgewählte Produkt, das Kauf- oder Vertragsdatum und, soweit angegeben, eine Vertrags- oder Kundennummer. Zusätzlich speichern wir Eingangszeitpunkt, Vorgangsnummer, Bearbeitungsstatus und Zustellstatus der Eingangsbestätigung. Ein Login ist nicht erforderlich. Die Angaben werden verschlüsselt gespeichert; ein nicht umkehrbarer HMAC dient der Deduplizierung und sicheren internen Zuordnung. CSRF-Schutz und begrenzte, nicht dauerhaft gespeicherte Rate-Limit-Schlüssel schützen das Formular vor Missbrauch.

Zweck ist die Entgegennahme, Zuordnung, Bestätigung und Bearbeitung des Widerrufs sowie der Nachweis seines Inhalts und Eingangs. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und c DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO für Missbrauchsschutz und Rechtsnachweis. Die vollständige Eingangsbestätigung wird über Mailjet an die angegebene E-Mail-Adresse gesandt.

11. hCaptcha zum Schutz vor Missbrauch

Zum Schutz von Registrierungs- und Login-Funktionen vor automatisiertem Missbrauch kann HebaMama hCaptcha einsetzen. Anbieter ist Intuition Machines, Inc., USA. Beim Laden und Lösen eines hCaptcha können technische Daten wie IP-Adresse, Browser- und Geräteinformationen, Interaktionsdaten, Referrer und das Ergebnis der Challenge an hCaptcha übermittelt werden.

Zweck ist die Unterscheidung zwischen menschlicher Nutzung und automatisierten Angriffen sowie der Schutz von Nutzerkonten und Infrastruktur. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Soweit hCaptcha eine Einwilligung erfordert, ist Art. 6 Abs. 1 lit. a DSGVO die Rechtsgrundlage.

12. Cookies, Sessiondaten und lokale Browserdaten

HebaMama verwendet technisch notwendige Cookies und Sessiondaten. Dazu gehören insbesondere:

• Session-Cookie für CSRF-Schutz und serverseitige Formularsicherheit,
• Access- und Refresh-Token-Cookies für eingeloggte Nutzer,
• OTP-Pending-Cookie während der Admin-Anmeldung,
• Sprach-Cookie zur Speicherung der ausgewählten Sprache,
• temporäre Sessionwerte wie Suchradius und Postleitzahl für aktuelle Suchansichten.

Authentifizierungs-Cookies werden als HTTP-only und mit SameSite=Lax gesetzt; in entsprechend konfigurierten Umgebungen werden sie zusätzlich als Secure-Cookies gesetzt. Technisch notwendige Cookies und Sessionwerte sind erforderlich, um die ausdrücklich gewünschten Plattformfunktionen bereitzustellen, Logins zu schützen, CSRF-Angriffe zu verhindern und Spracheinstellungen zu merken. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO und Art. 6 Abs. 1 lit. f DSGVO. Der Zugriff auf Endeinrichtungen erfolgt für unbedingt erforderliche Funktionen gemäß § 25 Abs. 2 TDDDG ohne gesonderte Cookie-Einwilligung.

HebaMama setzt nach aktuellem Stand keine Webanalyse-, Marketing- oder Tracking-Cookies ein.

13. Admin-Prüfung, Moderation, Support und Audit-Logs

Für die Plattformadministration können berechtigte Admins Daten einsehen und bearbeiten, soweit dies für Prüfung, Freigabe, Support, Missbrauchsbekämpfung, Rechtsdurchsetzung oder technische Fehlerbehebung erforderlich ist. Bei der Freigabe oder Ablehnung von Hebammenprofilen können Prüfentscheidungen, Admin-ID, Kommentare und Zeitpunkte in Audit-Logs gespeichert werden. Diese Nachweise einschließlich Freitext bleiben für die aktive Laufzeit des Hebammenkontos erhalten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Plattformbereitstellung erforderlich ist, Art. 6 Abs. 1 lit. f DSGVO für Sicherheits-, Support- und Nachweisinteressen sowie Art. 6 Abs. 1 lit. c DSGVO, soweit gesetzliche Pflichten betroffen sind.

14. Empfänger und Weitergabe von Daten

Personenbezogene Daten werden nur weitergegeben, soweit dies für die Plattformfunktionen, technische Bereitstellung, Sicherheit, rechtliche Pflichten oder Durchsetzung von Rechten erforderlich ist.

• Mamas und Hebammen erhalten jeweils nur solche Daten der anderen Seite, die nach Anfrage-, Buchungs-, Behandlungs- oder Vertragsstatus erforderlich und im System freigegeben sind.
• Berechtigte Admins erhalten Zugriff, soweit dies für Prüfung, Support, Moderation und Sicherheit erforderlich ist.
• Hosting-, Infrastruktur-, Mailjet-/SMTP- und Sicherheitsdienstleister erhalten Daten im Rahmen ihrer technischen Aufgaben.
• OpenStreetMap/Nominatim und hCaptcha erhalten die in den jeweiligen Abschnitten genannten technischen Daten.
• Behörden, Gerichte, Rechtsberater oder sonstige Stellen können Daten erhalten, wenn eine gesetzliche Pflicht besteht oder Ansprüche geltend gemacht, ausgeübt oder verteidigt werden müssen.

Mit Auftragsverarbeitern werden, soweit erforderlich, Verträge nach Art. 28 DSGVO geschlossen.

15. Übermittlungen in Drittländer

Grundsätzlich betreiben wir die Kernplattform innerhalb der Europäischen Union. Der E-Mail-Versand über Mailjet erfolgt nach dessen Sicherheits- und Datenschutzangaben über Rechenzentren in Frankfurt (Deutschland) und Saint-Ghislain (Belgien). Bei der Zustellung von E-Mails an Empfängerpostfächer kann gleichwohl eine Übermittlung an Server außerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums stattfinden, wenn das jeweilige Empfängerpostfach oder dessen Maildienst dort betrieben wird. Auch bei einzelnen Diensten, insbesondere hCaptcha, OpenStreetMap/Nominatim oder im Rahmen einzelner Support-, Betriebs- oder Sicherheitsprozesse von Dienstleistern, kann ein Drittlandbezug nicht vollständig ausgeschlossen werden. Soweit erforderlich, erfolgt eine solche Übermittlung auf Grundlage eines Angemessenheitsbeschlusses, von EU-Standardvertragsklauseln oder anderer geeigneter Garantien gemäß Art. 44 ff. DSGVO.

16. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungs-, Nachweis- oder Verjährungsfristen bestehen.

• Server-Logfiles werden grundsätzlich maximal 14 Tage gespeichert, sofern keine sicherheitsrelevante Prüfung oder gesetzliche Pflicht eine längere Speicherung erfordert.
• Registrierungs-, Konto-, Profil-, Anfrage-, Kurs-, Buchungs- und Dokumentendaten werden grundsätzlich für die Dauer der Nutzung gespeichert und nach Kontolöschung oder berechtigtem Löschverlangen gelöscht oder eingeschränkt, soweit keine gesetzlichen Pflichten oder berechtigten Nachweisinteressen entgegenstehen.
• Verifizierungs-, Reset- und OTP-Tokens sind zeitlich begrenzt und werden nach Ablauf, Nutzung oder Ersetzung ungültig.
• Sessiondaten werden grundsätzlich nur für die aktuelle Nutzung beziehungsweise bis zum Ablauf der Session oder Token-Gültigkeit verarbeitet.
• Backups werden zur Betriebs- und Wiederherstellungsfähigkeit erstellt und nach den betrieblichen Sicherungsfristen überschrieben oder gelöscht.
• Ausweisoriginale werden nach erfolgreicher Identitätsprüfung unmittelbar gelöscht. Der datenminimierte Prüfvermerk bleibt während des aktiven Hebammenkontos erhalten.
• Admin-Prüfaudits einschließlich Freitext sowie Vermerke über vorübergehende Kontosperren, Reaktivierungen und dauerhafte Kontoschließungen einschließlich internem Grund bleiben während des aktiven Hebammenkontos erhalten. Während einer vorübergehenden Sperre oder nach einer dauerhaften Schließung ist technisch derzeit eine Löschung nach drei vollständigen Kalenderjahren ab Ende des Jahres der Kontoaktion vorgesehen; eine Reaktivierung vor Fristablauf entfernt den noch nicht vollzogenen Löschtermin. Ein dokumentierter Legal Hold kann die Löschung befristet verschieben. Diese Frist wird noch rechtlich final geprüft.
• Elektronische Widerrufserklärungen werden bis zum Abschluss der Bearbeitung und anschließend nur so lange gespeichert, wie gesetzliche Aufbewahrungs-, Nachweis- oder Verjährungsinteressen dies erfordern. Technisch ist derzeit eine Löschung nach acht vollständigen Kalenderjahren ab Ende des Eingangsjahres vorbereitet; diese Frist wird vor dem bezahlten Produktivbetrieb rechtlich final geprüft.

17. Sicherheitsmaßnahmen

HebaMama setzt technische und organisatorische Maßnahmen ein, um personenbezogene Daten zu schützen. Dazu gehören insbesondere HTTPS, Sicherheitsheader, CSRF-Schutz, HTTP-only-Cookies, rollenbasierte Zugriffskontrollen, Inaktivitäts-Timeouts, Hashing von Passwörtern und Tokens, Verschlüsselung sensibler Profildaten und Dokumente, Virenscans bei Uploads, Zugriffsbeschränkungen für Admin-Funktionen, Protokollierung sicherheitsrelevanter Vorgänge und regelmäßige Datensicherungen.

18. Deine Rechte

Du hast nach Maßgabe der DSGVO insbesondere folgende Rechte:

• Auskunft nach Art. 15 DSGVO,
• Berichtigung nach Art. 16 DSGVO,
• Löschung nach Art. 17 DSGVO,
• Einschränkung der Verarbeitung nach Art. 18 DSGVO,
• Datenübertragbarkeit nach Art. 20 DSGVO,
• Widerspruch nach Art. 21 DSGVO,
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft nach Art. 7 Abs. 3 DSGVO.

Zur Ausübung Deiner Rechte kannst Du Dich an info@hebamama.com wenden. Zur Bearbeitung kann es erforderlich sein, Deine Identität zu prüfen.

19. Widerspruch und Widerruf

Wenn wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, kannst Du aus Gründen, die sich aus Deiner besonderen Situation ergeben, jederzeit Widerspruch einlegen. Wenn wir Daten auf Grundlage einer Einwilligung verarbeiten, kannst Du diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

20. Beschwerderecht bei einer Aufsichtsbehörde

Du hast das Recht, Dich bei einer Datenschutzaufsichtsbehörde zu beschweren. Zuständig kann insbesondere die Datenschutzaufsichtsbehörde Deines Aufenthaltsorts, Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes sein. Für Bayern ist dies regelmäßig das Bayerische Landesamt für Datenschutzaufsicht, sofern keine andere Behörde zuständig ist.

21. Pflicht zur Bereitstellung von Daten

Die Bereitstellung bestimmter Daten ist für Registrierung, Login, Profilvollständigkeit, Suche, Vermittlung, Anfragen, Kursbuchungen oder Dokumentenprüfung erforderlich. Ohne diese Daten können einzelne Funktionen nicht oder nur eingeschränkt genutzt werden. Freiwillige Angaben sind als solche nur erforderlich, wenn Du die damit verbundene Funktion nutzen möchtest.

22. Automatisierte Entscheidungen und Sortierung

HebaMama trifft keine ausschließlich automatisierten Entscheidungen mit rechtlicher Wirkung oder vergleichbar erheblicher Beeinträchtigung im Sinne von Art. 22 DSGVO. Such- und Tabellenansichten können nach Kriterien wie Radius, Ort, Status, Zeitpunkt, Profil- oder Kursmerkmalen gefiltert und sortiert werden. Admin-Freigaben erfolgen nicht ausschließlich automatisiert.

23. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung anpassen, wenn sich technische Funktionen, gesetzliche Anforderungen, Dienstleister oder Verarbeitungsprozesse ändern. Die jeweils aktuelle Fassung ist auf der Website abrufbar.