Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze der Mitgliedsstaaten sowie sonstiger datenschutzrechtlicher Bestimmungen ist:

IWK GmbH
vertreten durch den Geschäftsführer Andreas Keller
Institut Wellness
Brockensklee 34
33154 Salzkotten
Telefon: +49 5258 9387882
E-Mail: info@institut-wellness.de

Bei Fragen zur Verarbeitung Ihrer personenbezogenen Daten oder zur Geltendmachung Ihrer Rechte wenden Sie sich bitte direkt an die oben genannte E-Mail-Adresse.

2. Allgemeine Grundsätze der Datenverarbeitung

Wir nehmen den Schutz Ihrer persönlichen Daten sehr ernst und behandeln Ihre personenbezogenen Daten vertraulich und entsprechend der gesetzlichen Datenschutzvorschriften sowie dieser Datenschutzerklärung.

Personenbezogene Daten werden von uns nur erhoben, verarbeitet und genutzt, soweit dies zur Bereitstellung unserer Leistungen erforderlich ist oder eine gesetzliche Grundlage besteht. Die Datenverarbeitung erfolgt stets nach dem Grundsatz der Datensparsamkeit – wir erheben nur Daten, die für den jeweiligen Zweck tatsächlich notwendig sind.

Hinweis: Diese Website und die dahinterliegenden Systeme werden auf Servern innerhalb der Europäischen Union betrieben. Eine Übermittlung Ihrer Daten in Drittstaaten erfolgt nur, sofern dies in dieser Erklärung ausdrücklich beschrieben ist.

3. Datenerhebung beim Online-Buchungsprozess

Im Rahmen der Online-Buchung unserer Leistungen (Salzgrotte, Solegrotte, PMR-Kurs, Bier-Spa, Milon & five, Slimyonik) erheben wir folgende personenbezogene Daten:

• Vor- und Nachname
• Telefonnummer (zur Terminerinnerung und Kontaktaufnahme)
• E-Mail-Adresse (zur Buchungsbestätigung und Kommunikation)
• Buchungsdetails (Datum, Uhrzeit, Leistungsart, Personenanzahl)
• Zahlungsmethode und Zahlungsstatus
• Bestätigung der Datenschutzerklärung und AGB mit Zeitstempel

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erforderlichkeit zur Vertragserfüllung). Soweit Sie uns im Buchungsprozess eine ausdrückliche Einwilligung erteilen, gilt zusätzlich Art. 6 Abs. 1 lit. a DSGVO.

Ihre im Buchungsprozess angegebene Einwilligung zur Datenschutzerklärung sowie die Zustimmung zu den AGB werden mit Zeitstempel protokolliert und gespeichert. Dies dient sowohl der Dokumentation unserer gesetzlichen Pflichten als auch dem Nachweis Ihres Vertragsschlusses.

4. CRM und Kundendatenverwaltung

Zur Verwaltung von Buchungen und Kundenbeziehungen setzen wir ein internes Customer-Relationship-Management-System (CRM) ein. Bei Ihrer Erstbuchung wird automatisch ein Kundendatensatz angelegt, der Ihre Kontaktdaten sowie die gebuchten Leistungen enthält. Bei Folgebuchungen wird Ihr bestehender Datensatz anhand Ihrer E-Mail-Adresse identifiziert und aktualisiert – es wird kein Duplikat angelegt.

Gespeichert werden im CRM insbesondere:

• Name, E-Mail-Adresse, Telefonnummer
• Buchungshistorie (Datum, Leistungsart, Anzahl der Besuche)
• Zahlungshistorie und Umsatzdaten (für interne Buchhaltungszwecke)
• Interne Vermerke und Notizen (z. B. bei Stornierungen oder Sonderwünschen)
• Marketing-Einwilligungen und deren Zeitstempel

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Kundenverwaltung und Qualitätssicherung).

Die CRM-Daten sind ausschließlich für interne Zwecke bestimmt und werden nicht an Dritte weitergegeben. Der Zugriff ist auf autorisiertes Personal des Instituts beschränkt. Kunden haben keinen direkten Zugriff auf das interne CRM-System.

5. PMR-Kurs-Anmeldung und Warteliste

Bei der Anmeldung zu einem PMR-Kurs oder der Eintragung in die Warteliste erheben wir zusätzlich zu den allgemeinen Buchungsdaten Ihre ausdrückliche Einwilligung zur Kontaktaufnahme per E-Mail und Telefon bezüglich des Kursangebots. Diese Einwilligung ist freiwillig und kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

6. Kontaktformular und Kursanfragen

Wenn Sie uns über ein Kontaktformular oder die PMR-Kurs-Anfrage-Seite kontaktieren, werden Ihre Angaben (Name, E-Mail-Adresse, Telefonnummer, Anfragetext) zur Bearbeitung Ihrer Anfrage gespeichert. Diese Daten werden nicht ohne Ihre Einwilligung an Dritte weitergegeben. Die Daten werden gelöscht, sobald die Anfrage abschließend bearbeitet wurde und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung von Kundenanfragen).

7. Zahlungsabwicklung

Für die Online-Zahlung nutzen wir folgende externe Zahlungsdienstleister:

• Stripe: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Bei Zahlungen über Stripe werden Ihre Zahlungsdaten direkt an Stripe übermittelt. Stripe verarbeitet diese gemäß eigener Datenschutzerklärung (stripe.com/de/privacy). Wir speichern keine vollständigen Kreditkarten- oder Kontodaten.
• PayPal: PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg. Bei Zahlung per PayPal werden Sie auf die PayPal-Plattform weitergeleitet. Die Verarbeitung erfolgt gemäß der PayPal-Datenschutzerklärung (paypal.com/de/webapps/mpp/ua/privacy-full).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

8. Externe Dienstleister und Auftragsverarbeiter

Für den Betrieb unserer Website und die Erbringung unserer Dienste arbeiten wir mit folgenden externen Dienstleistern als Auftragsverarbeiter (Art. 28 DSGVO) bzw. verantwortlichem Empfänger:

• Hosting & Plattform (Base44): Die Website und die zugrunde liegende Buchungsplattform werden über die Server unseres Plattformbetreibers (Base44 / Supabase Inc., EU-Server) gehostet. Die Verarbeitung erfolgt auf Servern innerhalb der Europäischen Union. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO.
• Brevo (E-Mail-Marketing & Transaktions-E-Mails): Brevo GmbH, Köpenicker Str. 126, 10179 Berlin, Deutschland. Wir nutzen Brevo für den Versand von Buchungsbestätigungen, Terminerinnerungen und ggf. Newslettern. Brevo verarbeitet Ihre E-Mail-Adresse und E-Mail-Inhalte gemäß der Brevo-Datenschutzerklärung (brevo.com/legal/privacypolicy). Mit Brevo besteht ein AVV gemäß Art. 28 DSGVO. Newsletter versenden wir ausschließlich auf Basis Ihrer ausdrücklichen Einwilligung (Double-Opt-In).

Mit allen oben genannten Dienstleistern bestehen Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO, die eine datenschutzkonforme Verarbeitung gewährleisten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO (Vertragserfüllung und berechtigtes Interesse am sicheren Betrieb).

9. E-Mail- und SMS-Kommunikation

Wir nutzen Ihre E-Mail-Adresse und Telefonnummer zur Übermittlung von:

• Buchungsbestätigungen
• Terminerinnerungen (24 Stunden und 1 Stunde vor dem Termin)
• Stornierungsbestätigungen und wichtigen buchungsbezogenen Mitteilungen

Diese Kommunikation ist zur Vertragserfüllung notwendig und erfolgt auch ohne gesonderte Einwilligung (Art. 6 Abs. 1 lit. b DSGVO). Werbliche Mitteilungen oder Newsletter versenden wir nur auf Grundlage Ihrer ausdrücklichen und protokollierten Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Diese Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

10. Cookies, Cookie-Banner, technische Daten und Schriftarten

Diese Website verwendet technisch notwendige Cookies und vergleichbare Technologien, die für den Betrieb der Website erforderlich sind. Darüber hinaus werden beim Aufruf unserer Website automatisch folgende technische Daten verarbeitet: IP-Adresse (anonymisiert), Browsertyp und -version, Betriebssystem, Referrer-URL sowie Datum und Uhrzeit des Zugriffs.

Cookie-Banner und Einwilligung: Beim ersten Aufruf unserer Website erscheint ein Cookie-Banner. Dienste, die nicht technisch notwendig sind (Kategorien „Statistik & Analyse“ und „Marketing“), werden erst geladen, nachdem Sie im Banner Ihre Einwilligung erteilt haben. Ohne Einwilligung findet kein Kontakt zu den Servern dieser Drittanbieter statt. Ihre Auswahl wird lokal in Ihrem Browser gespeichert (Local Storage, Eintrag „iw_cookie_consent_v2“) und bleibt bis zu einer Änderung bzw. bis zum Löschen Ihrer Browserdaten bestehen. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft ändern oder widerrufen – über den Link „Cookie-Einstellungen“ im Seitenfuß.

Schriftarten: Die auf dieser Website verwendeten Schriftarten (Inter und Cormorant Garamond) werden lokal gehostet und zusammen mit der Website von unserem Hosting-Anbieter (siehe Abschnitt 8) ausgeliefert. Es wird keine Verbindung zu Servern von Google (Google Fonts) aufgebaut; Ihre IP-Adresse wird dadurch nicht an Google übertragen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und stabilen Betrieb der Website); für die Speicherung Ihrer Cookie-Auswahl § 25 Abs. 2 Nr. 2 TDDDG (technisch erforderlich).

11. Google Tag Manager und Google Analytics 4

Diese Website verwendet Google Analytics 4 (GA4) zur Analyse des Nutzerverhaltens. Der Google Tag Manager (GTM) ist technisch vorbereitet, wird derzeit aber nicht geladen; Google-Ads-Conversion-Tracking oder Remarketing ist nicht eingerichtet. Sollten wir den Tag Manager oder Google-Ads-Tags künftig einsetzen, geschieht dies ausschließlich nach Ihrer Einwilligung in die jeweilige Kategorie („Statistik & Analyse“ bzw. „Marketing“). Dienstanbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Laden erst nach Einwilligung: Die hierfür erforderlichen Google-Skripte sind nicht fest in die Website eingebunden, sondern werden erst nach Ihrer Einwilligung im Cookie-Banner nachgeladen: Google Analytics 4 (gtag.js) wird erst geladen, wenn Sie der Kategorie „Statistik & Analyse“ zugestimmt haben. Vor dieser Einwilligung findet keine Verbindung zu Google-Servern statt und es werden keine Daten an Google übertragen.

Google Analytics erfasst pseudonymisierte Daten über Ihre Nutzung unserer Website, wie z. B. Seitenaufrufe, Verweildauer und Klickpfade. Die erzeugten Informationen (einschließlich Ihrer gekürzten IP-Adresse) werden an Server von Google übertragen. Die IP-Adresse wird von Google vor der Speicherung innerhalb der EU gekürzt.

Consent Mode v2: Zusätzlich haben wir den Google Consent Mode v2 implementiert. Standardmäßig sind alle Analyse- und Marketing-Funktionen auf „verweigert“ (denied) gesetzt. Erst wenn Sie im Cookie-Banner Ihre Einwilligung zu „Statistik & Analyse“ erteilen, wird Google Analytics 4 geladen und ausschließlich im Umfang Ihrer Einwilligung aktiviert. Sie können Ihre Einwilligung jederzeit über „Cookie-Einstellungen“ im Seitenfuß mit Wirkung für die Zukunft widerrufen; die zugehörigen Cookies (_ga, _ga_*, _gid, _gcl_au) werden dabei gelöscht und die Seite wird ohne die abgewählten Dienste neu geladen.

• Google Analytics 4: Websiteanalyse, Seitenaufrufe, Nutzerverhalten – nur nach Einwilligung zu „Statistik & Analyse“ (Speicherdauer: bis zu 14 Monate)
• Google Tag Manager: derzeit nicht im Einsatz; würde nur nach Einwilligung zu „Statistik & Analyse“ geladen (setzt selbst keine Cookies)
• Google Ads: derzeit nicht im Einsatz; ein späteres Conversion-Tracking würde nur nach Einwilligung zu „Marketing“ aktiviert (Speicherdauer: bis zu 90 Tage)
• Cookies: _ga, _ga_[Property-ID], _gid (Google Analytics – zur Benutzerunterscheidung) sowie _gcl_au (Google Ads)

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung via Cookie-Banner). Weitere Informationen und Datenschutzhinweise von Google finden Sie unter policies.google.com/privacy sowie Google Analytics Nutzungsbedingungen.

Datenübermittlung: Google verarbeitet die Daten grundsätzlich auf Servern innerhalb der Europäischen Union. Eine Übermittlung in die USA kann nicht vollständig ausgeschlossen werden. Google stützt sich hierbei auf Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO sowie auf das EU-US Data Privacy Framework. Da die Google-Skripte erst nach Ihrer jeweiligen Einwilligung geladen werden, werden vor Ihrer Einwilligung keine Daten an Google übermittelt.

12. Google Maps

Auf unserer Kontaktseite binden wir eine Karte des Dienstes Google Maps ein. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Laden erst nach Klick: Die Karte wird aus Datenschutzgründen nicht automatisch geladen. Beim Aufruf der Kontaktseite sehen Sie zunächst nur einen Platzhalter. Erst wenn Sie aktiv auf „Karte laden“ klicken, wird die Karte von Google nachgeladen. Mit diesem Klick wird eine Verbindung zu Servern von Google aufgebaut und es werden Daten – insbesondere Ihre IP-Adresse sowie Informationen zu Ihrem Browser und zur aufgerufenen Seite – an Google übertragen. Google kann diese Daten auch auf Servern in den USA verarbeiten; Google stützt sich hierbei auf Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO sowie auf das EU-US Data Privacy Framework. Wir haben keinen Einfluss auf die weitere Verarbeitung durch Google. Alternativ bieten wir einen Link „In Google Maps öffnen“ an, der die Adresse direkt auf der Website von Google öffnet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Ihren aktiven Klick auf „Karte laden“). Die Einwilligung gilt nur für den jeweiligen Seitenaufruf; beim nächsten Aufruf der Kontaktseite wird die Karte erneut erst nach Klick geladen. Weitere Informationen finden Sie in der Datenschutzerklärung von Google unter policies.google.com/privacy.

13. Meta Pixel

Diese Website verwendet den Meta Pixel (ehemals Facebook Pixel). Anbieter ist die Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, D04 X2K5, Irland („Meta“).

Laden erst nach Einwilligung: Der Meta Pixel ist nicht fest in die Website eingebunden, sondern wird ausschließlich geladen, wenn Sie im Cookie-Banner Ihre Einwilligung zur Kategorie „Marketing“ erteilt haben. Vor dieser Einwilligung findet keine Verbindung zu Servern von Meta statt und es werden keine Daten an Meta übertragen.

Zweck: Mit dem Meta Pixel messen wir, ob Besucher nach dem Klick auf eine unserer Facebook- oder Instagram-Anzeigen eine Buchung oder Anfrage abgeschlossen haben (Conversion-Messung), und können Besuchern unserer Website auf Facebook und Instagram interessenbezogene Anzeigen ausspielen (Remarketing). Dabei werden insbesondere Ihre IP-Adresse, Informationen zu Ihrem Browser, die aufgerufene Seite sowie eine Cookie-Kennung (_fbp, ggf. _fbc) an Meta übermittelt. Sind Sie bei Facebook oder Instagram eingeloggt, kann Meta den Besuch Ihrem Nutzerkonto zuordnen. Auf die weitere Verarbeitung durch Meta haben wir keinen Einfluss.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über den Cookie-Banner) sowie § 25 Abs. 1 TDDDG.

Datenübermittlung: Meta verarbeitet die Daten auch auf Servern in den USA. Die Übermittlung stützt sich auf das EU-US Data Privacy Framework sowie auf Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO.

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen“ im Seitenfuß widerrufen. Der Meta Pixel wird dann nicht mehr geladen und die gesetzten Cookies (_fbp, _fbc) werden gelöscht. Weitere Informationen finden Sie in der Datenschutzrichtlinie von Meta unter www.facebook.com/privacy/policy.

14. KI-Chat-Assistent

Auf unserer Website steht Ihnen ein Chat-Assistent zur Verfügung, der Fragen zu unseren Angeboten, Preisen und Öffnungszeiten beantwortet. Die Nutzung ist freiwillig: Daten werden erst verarbeitet, wenn Sie den Chat öffnen und eine Nachricht senden.

Verarbeitung: Ihre Eingaben werden zur Beantwortung zusammen mit dem bisherigen Verlauf des jeweiligen Chats an ein KI-Sprachmodell übermittelt, das über unseren Plattformanbieter Base44 (siehe Abschnitt 8) bereitgestellt wird. Eine Übermittlung an Server außerhalb der Europäischen Union kann dabei nicht ausgeschlossen werden.

Keine Speicherung, keine Profilbildung: Der Chatverlauf wird ausschließlich für die Dauer Ihres Seitenbesuchs im Arbeitsspeicher Ihres Browsers gehalten und beim Neuladen oder Schließen der Seite verworfen. Wir speichern Chatverläufe nicht in unseren Systemen und nutzen sie nicht zur Profilbildung.

Bitte beachten Sie: Geben Sie im Chat keine Gesundheitsdaten oder andere sensiblen Daten im Sinne von Art. 9 DSGVO ein. Der Assistent erteilt keine medizinischen Auskünfte; bei gesundheitlichen Fragen wenden Sie sich bitte an Ihre Ärztin oder Ihren Arzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch die aktive Nutzung des Chats) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer schnellen Beantwortung von Anfragen).

15. Ihre Rechte als betroffene Person

Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

• Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft über die von uns gespeicherten Daten verlangen.
• Berichtigungsrecht (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
• Löschungsrecht (Art. 17 DSGVO): Sie können unter bestimmten Voraussetzungen die Löschung Ihrer Daten verlangen.
• Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie können Ihre Daten in einem strukturierten, gängigen Format erhalten.
• Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung auf Basis berechtigter Interessen widersprechen.
• Widerrufsrecht: Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Geltendmachung Ihrer Rechte wenden Sie sich bitte per E-Mail an: info@institut-wellness.de
Wir bearbeiten Ihre Anfrage innerhalb von 30 Tagen gemäß Art. 12 DSGVO.

16. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Verarbeitungszweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen:

• Buchungsdaten und Rechnungen: 10 Jahre gemäß § 147 AO (steuerrechtliche Aufbewahrungspflicht)
• CRM-Kundendaten: Für die Dauer der Geschäftsbeziehung, danach bis zu 3 Jahre nach letztem Kontakt
• Einwilligungsnachweise (Newsletter, Marketing): Bis zum Widerruf + 3 Jahre für Nachweiszwecke
• Kontaktanfragen: 6 Monate nach abschließender Bearbeitung

17. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten durch uns zu beschweren. Die zuständige Aufsichtsbehörde für Nordrhein-Westfalen ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit NRW (LDI NRW)
Kavalleriestraße 2–4
40213 Düsseldorf
Website: www.ldi.nrw.de

18. Aktualität und Änderungen

Diese Datenschutzerklärung ist aktuell gültig und hat den Stand Oktober 2026. Durch die Weiterentwicklung unserer Website oder aufgrund geänderter gesetzlicher bzw. behördlicher Vorgaben kann es notwendig werden, diese Datenschutzerklärung zu ändern. Die jeweils aktuelle Datenschutzerklärung kann jederzeit auf dieser Seite abgerufen werden.