Datenschutzerklärung

Stand: 12. Oktober 2026

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten bei der Nutzung der Website soulwords.eu, der Soulwords®-App und der zugehörigen technischen Dienste. Funktionen, die bereits eingesetzt werden, und Funktionen, die erst technisch vorbereitet sind, werden ausdrücklich unterschieden.

Übersicht zum Funktionsstand

• Aktiv Website-Hosting bei World4You, PHP-API und getrennte Soulwords- MariaDB sowie tägliche Soulwords und Wochenimpulse.
• Aktiv Supabase als bestehende produktive Datenquelle beziehungsweise technischer Fallback während der kontrollierten Umstellung.
• Aktiv Website-Newsletter über MailerLite und Schutz des Formulars durch Google reCAPTCHA; beide Dienste werden mit der vorgesehenen Veröffentlichung erst nach entsprechender Einwilligung geladen.
• Aktiv bei Auswahl Push-Benachrichtigungen nur nach Aktivierung in der App und Erteilung der Betriebssystemberechtigung.
• Aktiv Externe Digistore24-Checkout-Links, soweit bei einem Klangimpuls ein Kaufangebot hinterlegt und angezeigt wird.
• Vorbereitet / nicht produktiv freigegeben vollständige Digistore24-Webhook-Freischaltung, dauerhafte Kundenidentifikation, Kaufwiederherstellung bei Gerätewechsel und Offline-Speicherung gekaufter Klangimpulse.
• Nicht aktiv YouTube-Einbettungen wurden im geprüften Website- und App-Stand nicht festgestellt.

1. Verantwortlicher

Vertreten durch den Obmann Johannes Gutschi.
E-Mail: office@igeg.eu
Telefon: +43 664 4048454

Der Verein ist Verantwortlicher im Sinne der Datenschutz- Grundverordnung, soweit er über Zwecke und Mittel der beschriebenen Verarbeitungen entscheidet.

Ansprechpartner für Datenschutzfragen:
Johannes Gutschi
für die Interessengemeinschaft für Ernährung und Gesundheit (IGEG) und Soulwords®
Erreichbar unter den oben genannten Kontaktdaten.

2. Allgemeine Grundsätze und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, soweit dies für die Bereitstellung der Website, der App und ihrer Funktionen erforderlich ist oder eine Einwilligung beziehungsweise eine andere gesetzliche Grundlage vorliegt. Je nach Verarbeitung kommen insbesondere folgende Rechtsgrundlagen in Betracht:

• Art. 6 Abs. 1 lit. a DSGVO für freiwillige Einwilligungen, etwa Newsletter und Push-Benachrichtigungen;
• Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche Maßnahmen und die Erfüllung eines Vertrags, insbesondere bei entgeltlich erworbenen Inhalten;
• Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Aufbewahrungs- und Nachweispflichten;
• Art. 6 Abs. 1 lit. f DSGVO für einen sicheren, stabilen und missbrauchsfreien Betrieb, soweit keine überwiegenden Interessen betroffener Personen entgegenstehen.

Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

3. Website, API und Hosting bei World4You

Die Website und die PHP-Schnittstelle unter api.soulwords.eu werden bei World4You betrieben. Die Soulwords-Datenbank ist eine von anderen Projekten getrennte MariaDB-Datenbank.

Bei einem Aufruf können insbesondere verarbeitet werden:

• IP-Adresse;
• Datum und Uhrzeit des Zugriffs;
• aufgerufene Adresse oder Ressource;
• HTTP-Status und übertragene Datenmenge;
• Referrer-Adresse, soweit vom Browser übermittelt;
• Browsertyp, Betriebssystem und Geräteinformationen;
• technische Anfrage- und Fehlerkennungen.

Die Verarbeitung dient der Auslieferung von Inhalten, der Erkennung technischer Fehler, der Abwehr von Angriffen und der Sicherstellung der Verfügbarkeit. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; bei vertraglich geschuldeten Inhalten zusätzlich Art. 6 Abs. 1 lit. b DSGVO. Empfänger beziehungsweise Auftragsverarbeiter ist World4You Internet Services GmbH, Wolfgang-Pauli-Straße 2, BT3, 4020 Linz, Österreich.

4. Nutzung der Soulwords®-App und Inhaltsabrufe

Allgemein verfügbare Inhalte können grundsätzlich ohne persönliches Benutzerkonto abgerufen werden. Hierzu gehören insbesondere tägliche Soulwords und Wochenimpulse. Die Pilotkonfiguration nutzt zuerst die World4You-API und kann bei einem Fehler auf Supabase zurückgreifen. Die produktive Standardkonfiguration verwendet während der Umstellung weiterhin Supabase.

Verarbeitet werden können die gewählte Sprache, angeforderte Inhaltsart, technische Status- und Fehlerdaten sowie eine Anfragekennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit vertraglich geschuldete Inhalte betroffen sind, sonst Art. 6 Abs. 1 lit. f DSGVO.

5. Lokale Speicherung in der App

Die App kann insbesondere folgende Daten lokal auf dem Gerät speichern:

• Sprache, Darstellungsoptionen und abgeschlossener Onboarding-Status;
• Favoriten;
• Benachrichtigungseinstellungen;
• eine zufällig erzeugte Installationskennung;
• ein Push-Gerätetoken, wenn Push aktiviert wurde;
• bei einer Newsletter-Vormerkung E-Mail-Adresse sowie Einwilligungs- und Anmeldestatus.

Lokale Daten können über die App, die Betriebssystemeinstellungen oder durch Deinstallation entfernt werden. Betriebssystem- oder Cloud-Backups richten sich nach den Einstellungen des jeweiligen Geräts und Plattformanbieters.

Geplant Eine dauerhafte Offline-Speicherung gekaufter Klangimpulse ist noch nicht produktiv freigegeben. Vor Aktivierung werden Verschlüsselung, Löschung und Backup-Verhalten dokumentiert.

6. Supabase als bestehende Datenquelle und Fallback

Supabase wird derzeit für Inhaltsdaten und – abhängig von der aktivierten Funktion – für Storage, serverseitige Funktionen, Newsletter-Vormerkungen und die Registrierung von Push-Geräten verwendet. Im World4You-Pilotbetrieb bleibt Supabase als Fallback aktiv.

Hierbei können insbesondere verarbeitet werden:

• IP-Adresse und technische Verbindungsdaten;
• angeforderte Inhalte und Sprache;
• zufällige Installationskennung;
• Push-Gerätetoken, Plattform, Zeitzonenversatz und Benachrichtigungseinstellungen;
• bei Newsletter-Funktionen E-Mail-Adresse, Einwilligungsstatus, Zeitpunkt und Textversion der Einwilligung;
• technische Fehler- und Sicherheitsdaten.

Anbieter ist Supabase, Inc. beziehungsweise die für das konkrete Projekt vertraglich zuständige Supabase-Gesellschaft. Rechtsgrundlage ist je nach Funktion Art. 6 Abs. 1 lit. a, b oder f DSGVO. Supabase wird erst entfernt, wenn die vorgesehenen World4You-Funktionen vollständig geprüft und freigegeben wurden.

7. Push-Benachrichtigungen

Push-Benachrichtigungen sind freiwillig. Eine Verarbeitung erfolgt nur, wenn Push in der App aktiviert und die Betriebssystemberechtigung erteilt wurde. Für Android und iOS ist Firebase Cloud Messaging (FCM) von Google vorgesehen; auf Apple-Geräten ist zusätzlich Apple Push Notification Service (APNs) beteiligt.

Verarbeitet werden können insbesondere:

• FCM- beziehungsweise APNs-Gerätetoken;
• zufällige Installationskennung, Plattform und App-Kennung;
• Sprache, Zeitzonenversatz und gewählte Benachrichtigungskategorien;
• technische Zustell- und Fehlerdaten sowie Art der Benachrichtigung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung kann in der App und in den Systemeinstellungen widerrufen werden. Ungültige oder widerrufene Tokens werden deaktiviert beziehungsweise nach dem festgelegten Löschverfahren entfernt.

8. Newsletter und MailerLite

8.1 Newsletter auf der Website

Auf der Website ist ein MailerLite-Formular für die freiwillige Newsletter-Anmeldung eingebunden. MailerLite und der zugehörige Missbrauchsschutz werden erst nach entsprechender Auswahl in den Datenschutz-Einstellungen geladen.

Verarbeitet werden die eingegebene E-Mail-Adresse, ein freiwillig angegebener Vorname, Einwilligungsdaten sowie technische Anmelde- und Nachweisdaten. MailerLite verarbeitet diese Daten zur Verwaltung der Verteilerliste, zum Versand und zur statistischen Auswertung von Zustellungen und Interaktionen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung kann über den Abmeldelink in jeder E-Mail oder per Nachricht an office@igeg.eu widerrufen werden. Die Newsletterdaten werden bis zum Widerruf beziehungsweise zur Abmeldung verarbeitet; erforderliche Einwilligungs- und Widerrufsnachweise können im Rahmen gesetzlicher Nachweispflichten länger gespeichert werden.

Anbieter für Nutzer im EWR ist nach den Anbieterinformationen MailerLite Limited, 88 Harcourt Street, Dublin 2, D02 DK18, Irland. MailerLite verarbeitet Newsletterdaten als Auftragsverarbeiter und kann weitere Unterauftragsverarbeiter einsetzen.

8.2 Newsletter-Funktion in der App

Noch nicht vollständig produktiv bestätigt Die App enthält eine freiwillige Newsletter-Vormerkung. Dabei können E-Mail-Adresse, Installationskennung, Einwilligungsstatus, Zeitstempel und Textversion der Einwilligung verarbeitet werden. Eine direkte produktive Synchronisation dieser App-Vormerkungen mit MailerLite ist im geprüften Stand nicht abschließend bestätigt.

9. Google reCAPTCHA

Das Newsletter-Formular verwendet Google reCAPTCHA zum Schutz vor automatisierten Eingaben und Missbrauch. reCAPTCHA wird erst nach entsprechender Einwilligung zusammen mit dem Newsletter-Formular geladen.

Dabei können insbesondere IP-Adresse, Browser- und Geräteinformationen, Datum und Uhrzeit, Referrer sowie Maus-, Tastatur- und weitere Interaktionsdaten an Google übermittelt werden. Google kann Daten auch außerhalb des Europäischen Wirtschaftsraums verarbeiten. Die Einwilligung kann jederzeit über „Cookie-Einstellungen“ widerrufen werden.

10. Google Fonts

Die Schriftart „Inter“ kann nach freiwilliger Einwilligung von Google- Servern geladen werden. Dabei wird insbesondere die IP-Adresse zusammen mit technischen Browser- und Anfragedaten an Google übermittelt. Ohne Einwilligung wird eine lokale Systemschrift verwendet. Die Auswahl kann jederzeit über „Cookie-Einstellungen“ geändert werden.

11. Digistore24 und Erwerb von Klangimpulsen

Externe Checkout-Links aktiv Wird ein Kauf angeboten, öffnet sich eine verschlüsselte Digistore24- Checkout-Seite. Zahlungs- und Bestelldaten werden dort unmittelbar von Digistore24 erhoben. Die Soulwords®-App speichert keine vollständigen Kreditkarten- oder sonstigen Zahlungsdaten. Für die Verarbeitung im Checkout gelten die dort bereitgestellten Datenschutzinformationen.

Serverseitige Freischaltung vorbereitet Nach produktiver Aktivierung können Bestell- oder Transaktionskennung, Produktkennung, Kaufstatus, Zeitpunkt, Betrag, Währung und eine Käuferzuordnung verarbeitet werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; gesetzliche Aufbewahrungspflichten beruhen auf Art. 6 Abs. 1 lit. c DSGVO. Webhooks, Rückerstattungen, Kaufwiederherstellung und dauerhafte Berechtigungen sind noch nicht vollständig produktiv freigegeben.

12. Klangimpulse, geschützte Medien und Offline-Nutzung

Für den Zugriff auf Klangimpulse können Inhaltskennung, Zeitpunkt, technische Anfragekennung und – bei gekauften Inhalten – eine pseudonyme Sitzungs- oder Kundenkennung sowie der Berechtigungsstatus verarbeitet werden. Geschützte Dateien sollen über zeitlich begrenzte Zugriffsadressen ausgeliefert werden.

Geplant Dauerhafte Kundenidentifikation, Wiederherstellung bei Gerätewechsel und Offline-Speicherung gekaufter Audiodateien sind noch nicht produktiv freigegeben.

13. Podcasts und YouTube

Der geprüfte App-Code sieht eigene Audio- und Video-Podcastmedien vor. Eine YouTube-Einbettung wurde im geprüften Website- und App-Stand nicht festgestellt. YouTube ist daher derzeit keine aktive Verarbeitung. Vor einer künftigen Einbettung wird diese Erklärung aktualisiert und die erforderliche Einwilligungssteuerung umgesetzt.

14. Kontaktaufnahme

Bei einer Kontaktaufnahme per E-Mail oder Telefon verarbeiten wir die mitgeteilten Kontaktdaten und Inhalte zur Bearbeitung der Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertraglichen oder vorvertraglichen Anliegen, sonst Art. 6 Abs. 1 lit. f DSGVO. Die Daten werden gelöscht, sobald die Anfrage erledigt ist und keine gesetzlichen Aufbewahrungs- oder Nachweispflichten entgegenstehen.

15. Cookies, ähnliche Technologien und Einwilligungsverwaltung

Technisch erforderliche Speichermechanismen werden nur eingesetzt, soweit sie zur Bereitstellung einer ausdrücklich gewünschten Funktion notwendig sind. Nicht erforderliche Dienste werden erst nach einer freiwilligen Auswahl aktiviert.

Die Einwilligungsverwaltung speichert die aktuelle Auswahl, eine Versionsnummer, einen Zeitstempel und eine zufällige Entscheidungs-ID lokal im Browser. Zusätzlich werden die letzten Änderungen lokal dokumentiert. Diese Daten werden nicht allein durch den Consent-Manager an den Soulwords-Server übertragen.

Beim technischen Ersttest wurden keine Soulwords-, Google- oder MailerLite-Cookies und keine First-Party-Einträge in localStorage oder sessionStorage beobachtet. Abhängig von Browser, reCAPTCHA- Challenge und Formularinteraktion können Drittanbieter dennoch Cookies oder ähnliche Technologien einsetzen.

Die Auswahl kann jederzeit über die Schaltfläche Cookie-Einstellungen geändert oder widerrufen werden. Nach einem Widerruf werden betroffene externe Dienste beim automatischen Neuladen nicht mehr eingebunden.

16. Empfänger und Auftragsverarbeiter

Je nach tatsächlich aktivierter Funktion können Daten insbesondere erhalten:

• World4You für Website-Hosting, PHP-API und MariaDB;
• Supabase für bestehende Inhalts-, Storage- und Fallback-Funktionen;
• Google/Firebase und bei iOS Apple für freiwillige Push-Benachrichtigungen;
• MailerLite für Newsletter-Anmeldung und Versand;
• Google für reCAPTCHA und – nach gesonderter Einwilligung – Google Fonts;
• Digistore24 für Checkout und nach Aktivierung für Kaufbestätigungen;
• technische Dienstleister, soweit dies zur Wartung und Absicherung erforderlich und vertraglich geregelt ist.

Eine Weitergabe zu Werbezwecken ohne Rechtsgrundlage findet nicht statt.

17. Internationale Datenübermittlungen

Bei Supabase, Google/Firebase, MailerLite, Digistore24 oder deren Unterauftragsverarbeitern kann eine Verarbeitung außerhalb des EWR nicht immer ausgeschlossen werden. Eine Übermittlung erfolgt nur nach Maßgabe der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses, geeigneter Standardvertragsklauseln mit erforderlichen Zusatzmaßnahmen oder einer gesetzlichen Ausnahme. Informationen zu den eingesetzten Garantien können unter office@igeg.eu angefragt werden.

18. Speicherdauer und Löschung

Personenbezogene Daten werden nur so lange gespeichert, wie dies für den jeweiligen Zweck erforderlich ist. Danach werden sie gelöscht oder anonymisiert, sofern keine gesetzlichen Aufbewahrungs-, Nachweis- oder Verjährungsfristen entgegenstehen. Es gelten insbesondere folgende Kriterien:

• Server- und Sicherheitsprotokolle: bis zum Wegfall des Betriebs- und Sicherheitszwecks beziehungsweise länger bei einem konkreten Sicherheitsvorfall oder einer gesetzlichen Pflicht;
• Newsletterdaten: bis zum Widerruf oder zur Abmeldung; Einwilligungs- und Widerrufsnachweise gegebenenfalls entsprechend den gesetzlichen Nachweisfristen;
• Push-Token: bis zur Deaktivierung, Ungültigkeit oder zum Ablauf der festgelegten Inaktivitätsfrist;
• Kauf- und Berechtigungsdaten: für Vertragsabwicklung, Wiederherstellung und gesetzliche Aufbewahrungspflichten;
• Kontaktanfragen: bis zur Erledigung zuzüglich erforderlicher Nachweisfristen;
• lokale App-Daten: bis zur Löschung in der App, den Systemeinstellungen oder durch Deinstallation, vorbehaltlich Geräte- und Cloud-Backups.

19. Sicherheit

Wir setzen angemessene technische und organisatorische Maßnahmen ein, um Daten vor Verlust, unberechtigtem Zugriff und Veränderung zu schützen. Dazu gehören insbesondere HTTPS, getrennte Datenbanken und Zugangsdaten, beschränkte Zugriffsrechte, serverseitige Geheimnisse und vorbereitete kurzlebige Medienfreigaben. Ein absoluter Schutz kann dennoch nicht garantiert werden.

20. Rechte betroffener Personen

Nach Maßgabe der gesetzlichen Voraussetzungen bestehen insbesondere Rechte auf:

• Auskunft;
• Berichtigung;
• Löschung;
• Einschränkung der Verarbeitung;
• Datenübertragbarkeit;
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen;
• Widerruf einer Einwilligung mit Wirkung für die Zukunft;
• Beschwerde bei einer Datenschutzaufsichtsbehörde.

Anfragen können an office@igeg.eu gerichtet werden. Zum Schutz vor unbefugten Auskünften kann ein angemessener Identitätsnachweis erforderlich sein.

21. Änderungen dieser Datenschutzerklärung

Diese Erklärung wird aktualisiert, wenn sich Funktionen, Dienstleister oder rechtliche Anforderungen ändern. Die aktuelle Fassung wird unter https://www.soulwords.eu/datenschutz.html bereitgestellt. Änderungen, die eine erneute Einwilligung erfordern, werden nicht allein durch eine Textänderung wirksam, sondern über ein geeignetes Einwilligungsverfahren umgesetzt.