Data Protection · GDPR Art. 13/14 · TTDSG § 25 Datenschutz · DSGVO Art. 13/14 · TTDSG § 25

Privacy Policy Datenschutzerklärung

Last updated: May 2026 · Governing law: Germany / EU GDPR · Applies globally to all users

Plain Language Summary

AlmaA is operated by Agape Benjamin, a sole trader (Einzelunternehmen) with registered legal correspondence address in Hamburg, Germany. We collect only what we need to run the service. We do not sell, rent, or share your data with third parties for commercial purposes. No advertising profiles. No data brokers. This policy tells you exactly what we collect, on which legal basis, who sees it, how long we keep it, every right you have worldwide, and what every regulation we reference actually means.

1. Controller — Verantwortliche Stelle

Agape Benjamin, operating as AlmaA (Einzelunternehmen)
c/o IP-Management #10131, Ludwig-Erhard-Straße 18, 20459 Hamburg, Germany
E-mail: legal@thealmaa.com

For all data protection requests write to legal@thealmaa.com with subject "Data Rights Request." We respond within 30 days (GDPR Art. 12). For complex requests we may extend by 60 days with notice. No separate Data Protection Officer (DPO) is required at this scale; all data protection matters are handled directly by Agape Benjamin.

2. What Laws Apply and What They Mean

The Global Legal Framework — Explained Simply

Because AlmaA is accessible worldwide and sells to international customers, multiple data protection laws apply simultaneously depending on where you are located. Here is what each one means and what it requires of us:

EU/EEA — GDPR (General Data Protection Regulation)

The GDPR is the EU's data protection law (Regulation 2016/679, in force since 25 May 2018). It is the world's strictest data protection standard and applies to any business — regardless of where it is located — that processes the personal data of people in the EU. Because AlmaA is registered in Germany (an EU member state), GDPR applies as our primary law. Key GDPR principles we follow: lawfulness (every piece of data processing must have a legal basis); purpose limitation (data collected for one purpose cannot be used for another); data minimisation (collect only what is necessary); accuracy (keep data correct); storage limitation (keep data only as long as needed); integrity and confidentiality (protect data with appropriate security); and accountability (we can demonstrate compliance). GDPR gives you eight fundamental rights explained in Section 7.

Germany — TTDSG § 25 / TDDDG (2024)

Germany's Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG), updated in 2024 as the TDDDG, implements the EU ePrivacy Directive in Germany. It specifically governs cookies and local storage — requiring prior consent for any non-essential storage on a user's device. This is stricter than GDPR alone and is why our cookie banner appears before any analytics load.

UK — UK GDPR + Data Protection Act 2018

After Brexit, the UK retained GDPR as "UK GDPR" through the Data Protection Act 2018. It is substantively identical to EU GDPR. UK residents have the same rights as EU residents. The supervisory authority is the Information Commissioner's Office (ICO, ico.org.uk). The UK Consumer Contracts (Information, Cancellation and Additional Charges) Regulations 2013 also apply to purchases made by UK consumers.

Switzerland — nDSG (revised Federal Data Protection Act)

Switzerland's revised Data Protection Act (nDSG/revDSG) came into force 1 September 2023. It modernises Swiss data protection to a standard comparable to GDPR. Swiss residents have equivalent rights to EU residents under our policy. The supervisory authority is the Federal Data Protection and Information Commissioner (FDPIC, edoeb.admin.ch).

Israel — Privacy Protection Law 5741–1981

Israel's Privacy Protection Law and the Privacy Protection Regulations (Data Security) 5777–2017 apply to processing of Israeli residents' personal data. We apply GDPR-equivalent standards as the baseline. Israeli residents may exercise their data rights by writing to legal@thealmaa.com. The supervisory authority is the Privacy Protection Authority (PPA, gov.il/en/departments/the_privacy_protection_authority).

California, USA — CCPA / CPRA

The California Consumer Privacy Act (CCPA), as amended by the California Privacy Rights Act (CPRA), applies to businesses that collect personal data from California residents. AlmaA does not meet the CCPA's mandatory applicability thresholds (annual gross revenue over $25M, or data on over 100,000 consumers, or over 50% of revenue from selling data), but we voluntarily comply with CCPA rights as a matter of good practice. We do not sell personal information. See Section 11 for specific CCPA rights.

Brazil — LGPD (Lei Geral de Proteção de Dados)

Brazil's General Data Protection Law (Law 13,709/2018) applies to processing of Brazilian residents' data regardless of where the processor is located. It is structurally similar to GDPR with equivalent rights to access, correction, deletion, portability, and objection. As a sole trader operating below the threshold requiring appointment of a formal Data Protection Officer (Encarregado) under LGPD Art. 41, Agape Benjamin (legal@thealmaa.com) acts as the contact for all LGPD requests. Complaints may be directed to the Autoridade Nacional de Proteção de Dados (ANPD, gov.br/anpd).

Canada — PIPEDA (Personal Information Protection and Electronic Documents Act)

Canada's PIPEDA applies to private sector organisations that collect, use, or disclose personal information in the course of commercial activity. It requires: a designated privacy officer (Agape Benjamin, legal@thealmaa.com); collection limited to what is necessary; meaningful consent; secure storage; and the ability for individuals to access and correct their data. For complaints that cannot be resolved internally, Canadian residents may contact the Office of the Privacy Commissioner of Canada (priv.gc.ca).

Australia — Privacy Act 1988 (Australian Privacy Principles)

Australia's Privacy Act 1988 and its thirteen Australian Privacy Principles (APPs) apply to organisations that collect personal information from Australians, including overseas organisations with an Australian link or that target the Australian market. We apply GDPR-equivalent standards as the baseline for Australian residents. The APP principles require: open and transparent management of personal information; anonymity where practicable; limited collection; notification at the time of collection; use and disclosure only for the primary purpose; and secure storage. Complaints may be directed to the Office of the Australian Information Commissioner (OAIC, oaic.gov.au).

UAE — Federal Decree-Law No. 45 of 2021 (PDPL)

The United Arab Emirates Personal Data Protection Law (PDPL), Federal Decree-Law No. 45 of 2021 (in effect September 2023), applies to processing of UAE residents' personal data by entities outside the UAE that offer goods or services to UAE residents. Key requirements we satisfy: lawful processing basis; purpose limitation; data minimisation; security; and individual rights to access, correction, and deletion. We apply GDPR-equivalent standards for UAE residents. Data transfers from the UAE are governed by our Standard Contractual Clauses. For PDPL requests, contact legal@thealmaa.com.

Is GDPR as a Global Baseline Legal?

Yes — This Is Both Legal and Best Practice

Applying GDPR standards as a global baseline is entirely legal. It is not possible to "over-comply" with data protection law. GDPR is widely recognised as the world's most comprehensive data protection standard. By applying it globally, we ensure that every user — regardless of country — receives the highest level of protection. Many countries (Israel, UK, Canada, Australia, Switzerland) have been granted "adequacy decisions" or equivalence recognition by the EU precisely because their laws are compatible with GDPR. For countries that have not yet enacted comprehensive data protection law, applying GDPR standards gives those users meaningful rights. This approach is used by many international businesses, recommended by the EDPB (European Data Protection Board), and is explicitly better than applying the minimum required in each jurisdiction.

3. What Data We Collect, Why, and On What Legal Basis

a) Server and Access Logs — Vercel Inc. (Hosting)

Our hosting provider Vercel Inc. (340 Pine Street Suite 701, San Francisco, CA 94104, USA) automatically processes technical data when you access thealmaa.com: anonymised IP address (truncated to /24 level), browser type and version, operating system, referring URL, date and time of request, HTTP status code, and data volume. Legal basis: Art. 6(1)(f) GDPR — legitimate interest in operating a secure, functioning website. Is providing this data mandatory? Yes — your browser sends this automatically with every request; without it the page cannot be served. Data transfer to USA: Standard Contractual Clauses (SCCs, Art. 46(2)(c) GDPR) via Vercel's DPA. Retention: 30 days, then automatically deleted.

b) Contact and Enquiry Forms

When you contact us via any form or email: name, email address, and message content. Transmitted to our Google Apps Script email engine and stored in a private Google Sheet. Legal basis: Art. 6(1)(b) GDPR (pre-contractual measures or contract performance) or Art. 6(1)(f) (legitimate interest in responding to enquiries). Is providing this data mandatory? Providing name and email is required to receive a response; the message content is required to action your enquiry. Without this data we cannot respond. Retention: 3 years from last contact.

c) Purchase Data via Stripe

All payments are processed exclusively by Stripe, Inc. (354 Oyster Point Blvd, South San Francisco, CA 94080, USA). AlmaA does not store, access, or process any payment card data. After a completed transaction we receive: name, email address, amount paid, currency, product purchased, and Stripe session ID. Legal basis: Art. 6(1)(b) GDPR — necessary for performance of the purchase contract. Is providing this data mandatory? Yes — without your name and email the order cannot be confirmed or fulfilled. Data transfer: SCCs and Stripe DPA. Stripe's privacy policy: stripe.com/privacy. Retention: 10 years under § 257 HGB and § 147 AO (German statutory commercial and tax retention obligation — this cannot be shortened).

d) Ambassador Program Data

If you join the Ambassador Program: name, email address, unique referral code, commission balance, transaction history, withdrawal requests, and ambassador level. Stored in Supabase (EU — Frankfurt, AWS eu-central-1). Legal basis: Art. 6(1)(b) GDPR — contract performance. Is providing this data mandatory? Yes — without name and email the ambassador account cannot be created or operated. Retention: Until account deletion + 3 years (transaction records) + 10 years where tax/commercial law requires.

e) Newsletter and Email Marketing

If you subscribe: email address and, if provided, first name. We use double opt-in — you must click a confirmation link before being added. Required under § 7 Abs. 2 Nr. 3 UWG (German anti-spam law) and GDPR. Legal basis: Art. 6(1)(a) GDPR — freely given consent. Is providing this data mandatory? No — subscribing is entirely voluntary. Withdrawal: Unsubscribe at any time via the link in every email or by writing to hello@thealmaa.com. Retention: Until unsubscribe + 30 days. Consent record (timestamp + confirmation) retained 3 years as proof of compliance.

f) Google Analytics (Consent Only)

Only loaded after you actively click "Accept All" on the cookie banner. Provider: Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Ireland). Collects: anonymised usage data, page views, session duration, approximate geographic region (country level), device type, referral source. IP anonymisation enabled — your full IP is never stored. Legal basis: Art. 6(1)(a) GDPR — consent. Is providing this data mandatory? No — declining analytics has no effect on your ability to use the site. Withdrawal: Click "Essential Only" in cookie settings at any time. Retention: 14 months. Data transfer: SCCs for any US processing by Google LLC.

g) Vercel Analytics (Consent Only)

Only loaded after consent. Provides aggregate, anonymised traffic statistics. No cookies set. No individual user is identifiable. Legal basis: Art. 6(1)(a) — consent. Not mandatory; declining has no effect on site use.

h) Google Translate Widget

When you select a language in the translate widget, a googtrans session cookie is set. This responds to your explicit action and is classified as functional. Legal basis: TTDSG § 25 Abs. 2 Nr. 2 — technically necessary in response to a service explicitly requested by you. No consent required for this specific cookie as it is set only when you actively choose a language.

i) Booking Data (Creative Mentoring)

Name, email, session type, preferred date/time, session goals. Processed via Google Apps Script booking engine and Google Calendar. Legal basis: Art. 6(1)(b) — contract performance. Mandatory? Name and email are required to confirm and communicate about the booking. Retention: 3 years from session date.

j) Letters to Life Submissions

Name, chosen theme, and letter text. Published with your explicit consent. Legal basis: Art. 6(1)(a) — consent; Art. 6(1)(b) — contract performance. Retention: Published letters retained indefinitely (as part of the AlmaA publication, with your consent); unpublished/declined letters deleted after 12 months.

4. All Data Processors and International Transfers

Recipient	Role	Service	Location	Safeguard	Privacy Policy
Vercel Inc.	Processor	Web hosting, serverless functions	USA + global CDN	SCCs + DPA	vercel.com/legal/privacy-policy
Stripe, Inc.	Processor	Payment processing	USA	SCCs + DPA	stripe.com/privacy
Google Ireland Ltd / LLC	Processor	Analytics (consent), Translate, Apps Script email, Calendar booking	EEA / USA	SCCs + DPA	policies.google.com/privacy
Supabase Inc.	Processor	Database — ambassador accounts, orders	EU — Frankfurt (AWS eu-central-1)	DPA	supabase.com/privacy
PayPal (Europe) Sarl et Cie SCA	Processor (where used)	Alternative payment processing	Luxembourg / USA	SCCs + DPA	paypal.com/privacy

We do not sell, rent, broker, or share personal data with any third party for their own commercial or marketing purposes. We do not use data for automated profiling with legal or significant effects (GDPR Art. 22).

5. International Data Transfers

Where data is transferred to countries outside the European Economic Area (EEA), we use one or more of the following GDPR Art. 46 safeguards: (1) Standard Contractual Clauses (SCCs, Commission Implementing Decision 2021/914); (2) the EU–U.S. Data Privacy Framework certification where applicable; or (3) an EU adequacy decision. All processors have signed Data Processing Agreements (DPAs). You may request copies of applicable safeguards by writing to legal@thealmaa.com.

6. Data Retention Schedule

Data Category	Retention Period	Legal Basis for Retention
Server / access logs	30 days	Legitimate interest (security)
Contact form data	3 years from last contact	Legitimate interest
Order and invoice data	10 years	§ 257 HGB / § 147 AO — statutory obligation
Ambassador account data	Until deletion request + 3 years (transaction records)	Contract performance
Newsletter subscriptions	Until unsubscribe + 30 days	Consent
Consent records (newsletter/cookies)	3 years from date of consent	Legal obligation (proof of compliance)
Booking data	3 years from session date	Contract performance / legitimate interest
Google Analytics data	14 months	Consent
Letters to Life — published	Indefinite	Consent + contract
Letters to Life — unpublished	12 months	Legitimate interest

7. Your Rights — Explained in Full

Under GDPR and equivalent laws, you have the following rights. To exercise any of them, write to legal@thealmaa.com with subject "Data Rights Request — [right you are exercising]." We respond within 30 days at no charge.

Right of access (GDPR Art. 15 / UK GDPR Art. 15 / LGPD Art. 18 / APP 12): You may request a complete copy of all personal data we hold about you, along with information on: why we hold it, the legal basis, how long we keep it, who we share it with, and whether we transfer it internationally. We will provide this within 30 days.
Right to rectification (Art. 16): If any personal data we hold about you is inaccurate or incomplete, you may request correction. We will update it without undue delay.
Right to erasure / "right to be forgotten" (Art. 17): You may request deletion of your personal data where: it is no longer necessary for its original purpose; you withdraw consent; you object and there is no overriding legitimate interest; or it was unlawfully processed. Exception: we cannot delete data we are legally required to retain (e.g. invoice data for 10 years under § 257 HGB).
Right to restriction (Art. 18): You may request that we restrict (store but not use) your data while: you contest its accuracy; you have objected to processing; the processing is unlawful but you prefer restriction to deletion; or we no longer need the data but you need it for legal claims.
Right to data portability (Art. 20): For data you provided to us that we process by automated means on the basis of consent or contract, you may receive it in a structured, commonly used, machine-readable format (JSON or CSV) and request that we transfer it directly to another controller where technically feasible.
Right to object (Art. 21): You may object at any time to processing based on legitimate interest (Art. 6(1)(f)). We will cease processing unless we can demonstrate compelling legitimate grounds that override your interests, or the processing is for legal claims. You may always object to processing for direct marketing; we will comply immediately.
Right to withdraw consent (Art. 7(3)): Where we process your data based on consent, you may withdraw that consent at any time. Withdrawal does not affect the lawfulness of processing before withdrawal. To withdraw: unsubscribe from emails via the link in any email; change cookie preferences via the cookie banner; or write to legal@thealmaa.com.
Right not to be subject to automated decisions (Art. 22): AlmaA does not use solely automated processing to make decisions that significantly affect you. No profiling with legal effects is used.

8. Right to Lodge a Complaint

You have the right to complain to a supervisory authority if you believe we have processed your data unlawfully. You may contact the authority in your country of habitual residence, place of work, or where the alleged infringement occurred.

Jurisdiction	Authority	Website
Germany (AlmaA's primary authority)	Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach	lda.bayern.de
EU/EEA (your country)	Your national data protection authority	edpb.europa.eu/about-edpb/about-edpb/members_en
United Kingdom	Information Commissioner's Office (ICO)	ico.org.uk
Switzerland	Federal Data Protection and Information Commissioner (FDPIC)	edoeb.admin.ch
Israel	Privacy Protection Authority (PPA)	gov.il/en/departments/the_privacy_protection_authority
Canada	Office of the Privacy Commissioner of Canada	priv.gc.ca
Australia	Office of the Australian Information Commissioner (OAIC)	oaic.gov.au
UAE	UAE Data Office	uaedataoffice.gov.ae
Brazil	Autoridade Nacional de Proteção de Dados (ANPD)	gov.br/anpd
California, USA	California Privacy Protection Agency (CPPA)	cppa.ca.gov

9. Technical and Organisational Security Measures (TOMs)

AlmaA implements the following technical and organisational measures under GDPR Art. 32 to protect personal data against accidental loss, destruction, alteration, or unauthorised disclosure and access. These measures are reviewed and updated continuously.

IMPLEMENTED TECHNICAL MEASURES

Encryption in transit: All data between your browser and thealmaa.com is encrypted via HTTPS/TLS (minimum TLS 1.2). HTTP Strict Transport Security (HSTS) with a 2-year max-age and preload flag is enforced via response headers, preventing any unencrypted connection.
Security response headers: Every page is served with Content Security Policy (CSP), X-Frame-Options: DENY (clickjacking prevention), X-Content-Type-Options: nosniff, Referrer-Policy: strict-origin-when-cross-origin, and Permissions-Policy restricting camera, microphone and geolocation access.
Bot protection: All public forms are protected by Cloudflare Turnstile (invisible CAPTCHA). Server-side rate limiting is applied per IP address (max 8 requests/minute) and per email address (max 3 submissions/hour). Large payloads (over 20 KB) are rejected at the API layer.
API proxy architecture: Form submissions never contact backend services directly from the browser. All requests pass through a Vercel serverless proxy that validates, sanitises, and forwards them — keeping backend URLs and credentials entirely server-side.
Row-level security (RLS): Supabase Row Level Security policies ensure each ambassador account can only read and modify its own data. No ambassador can access another user's records at the database level, regardless of client-side behaviour.
Webhook signature verification: All incoming Stripe webhook events are verified against a cryptographic signature before processing. Unsigned or tampered payloads are rejected with a 400 error.
No payment card data stored: AlmaA never stores, processes, or accesses raw payment card data. All payment processing is handled exclusively by Stripe, Inc. and PayPal (Europe) S.à r.l., both PCI-DSS Level 1 certified. The only payment data AlmaA receives after a completed transaction is: customer name, email address, amount, currency, product purchased, and a Stripe session ID or PayPal transaction reference.
Secret management: All credentials, API keys, and connection strings are stored exclusively in Vercel Environment Variables or Google Apps Script Script Properties — never in source code, HTML, or version-controlled files. A GitHub Actions workflow scans every push to the main branch for accidentally committed secrets.
Team access control: Administrative team areas (/team/*) are protected by server-side Edge Middleware. Access requires a session token set by a rate-limited authentication endpoint (max 5 attempts per 10 minutes per IP). The password list is stored in GAS Script Properties, not in any deployed file.

ORGANISATIONAL MEASURES

Data minimisation: We collect only the data strictly necessary for each stated purpose. No data is collected speculatively or "just in case". Every field in every form has a documented legal basis and retention period.
Processor agreements (DPAs / AVV): All data processors — Vercel, Stripe, PayPal, Google, Supabase, and Cloudflare — provide Data Processing Agreements (DPAs / Auftragsverarbeitungsverträge, AVV) under GDPR Art. 28. These are accepted during account setup for each service. You may request confirmation of any specific DPA by writing to legal@thealmaa.com.
Access controls: All administrative accounts (Vercel, Supabase, Stripe, Google, Cloudflare) are secured with strong unique passwords (minimum 20 characters, generated and stored in a password manager) and two-factor authentication (2FA/TOTP) where the platform supports it.
Breach notification procedure: In the event of a personal data breach (GDPR Art. 4(12)), AlmaA will: (1) document the breach internally within 24 hours of discovery; (2) notify the HmbBfDI (Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, datenschutz.hamburg.de) within 72 hours where the breach is likely to result in a risk to individuals' rights and freedoms (GDPR Art. 33); (3) notify affected individuals without undue delay where the breach is likely to result in a high risk (GDPR Art. 34). Affected individuals will be notified directly by email to the address on record.
Retention and deletion: Data is deleted or anonymised at the end of its documented retention period (see Section 6). Requests for early deletion are handled within 30 days (see Section 7).

10. Cookies and Local Storage

For full details see the Cookie Policy. In summary: essential storage (consent record, music position, language preference) requires no consent; analytics cookies require your prior active consent under TTDSG § 25 / TDDDG.

11. California Residents — CCPA / CPRA Rights

If you are a California resident, the CCPA as amended by CPRA provides the following additional rights:

Right to know: What personal information we collect, the purposes for use, and with whom we share it.
Right to delete: Request deletion of your personal information (subject to legal retention exceptions).
Right to correct: Request correction of inaccurate personal information.
Right to opt out of sale / sharing: AlmaA does not sell personal information and does not share it for cross-context behavioural advertising. No opt-out needed.
Right to non-discrimination: You will not be treated differently for exercising CCPA rights.
Right to limit use of sensitive personal information: AlmaA does not collect sensitive personal information as defined under CPRA.

To exercise CCPA rights: email legal@thealmaa.com, subject "CCPA Request." We respond within 45 days.

12. Australian Residents — Privacy Act 1988 (APPs)

AlmaA complies with the Australian Privacy Principles (APPs) under the Privacy Act 1988 (Cth) as applicable to overseas organisations collecting data from Australians. Key commitments: we notify you of collection at the time it occurs (via this policy); we collect only what is reasonably necessary; we do not use or disclose personal information for a secondary purpose without consent; we take reasonable steps to keep your information secure; you may access and correct your information; and we do not adopt government-related identifiers as your identifier. Complaints: first contact legal@thealmaa.com. If unresolved, escalate to the OAIC (oaic.gov.au).

13. UAE Residents — PDPL

For residents of the United Arab Emirates, we comply with the UAE Personal Data Protection Law (Federal Decree-Law No. 45 of 2021) to the extent applicable to our activities. We process UAE residents' data on the basis of: performance of a contract (purchases, bookings); legitimate interest (site operation); or consent (analytics, newsletter). You have the right to access, correct, delete, and object to processing of your personal data. Requests: legal@thealmaa.com. We do not transfer personal data of UAE residents to countries without adequate protections unless SCCs or equivalent safeguards are in place.

14. Israeli Residents — Privacy Protection Law

For residents of Israel, we comply with the Privacy Protection Law 5741–1981 and the Privacy Protection Regulations (Data Security) 5777–2017. You have the right to access personal data held about you and to request correction of inaccurate data. Requests: legal@thealmaa.com. The supervisory authority is the Privacy Protection Authority (PPA).

15. Children's Privacy

AlmaA does not knowingly collect personal data from persons under 16 years of age. The platform is not directed at children. If you are under 16, do not use the platform or submit any personal data. If we discover that data of a person under 16 has been collected without appropriate consent, we will delete it promptly. Contact legal@thealmaa.com if you believe a minor has submitted data.

16. Changes to This Privacy Policy

AlmaA may update this Privacy Policy at any time. The current version is always published at this URL with the "Last updated" date shown at the top. AlmaA does not undertake to notify you individually of changes. The updated "Last updated" date is your signal that something has changed. It is your responsibility to review this policy periodically.

Where a change materially affects how your personal data is processed, we will update the policy date and — where technically feasible — display a notice on the website. However, we do not guarantee individual email notification. If you have serious concerns about a change, you are encouraged to contact us at legal@thealmaa.com before continued use.

Continued use of thealmaa.com after any update constitutes your acceptance of the revised Privacy Policy.

Kurzzusammenfassung

AlmaA wird betrieben von Agape Benjamin, Einzelunternehmen mit Geschäftskorrespondenzadresse in Hamburg, Deutschland. Wir erheben nur die Daten, die für den Betrieb des Dienstes unbedingt erforderlich sind. Wir verkaufen, vermieten oder vermitteln Ihre Daten nicht an Dritte zu kommerziellen Zwecken. Keine Werbeprofilerstellung. Keine Datenvermittler. Diese Erklärung erläutert genau, was wir erheben, auf welcher Rechtsgrundlage, wer Zugriff hat, wie lange wir die Daten aufbewahren, alle Ihre Rechte weltweit und was jedes Gesetz, auf das wir uns beziehen, tatsächlich bedeutet.

1. Verantwortliche Stelle

Agape Benjamin, tätig als AlmaA (Einzelunternehmen)
c/o IP-Management #10131, Ludwig-Erhard-Straße 18, 20459 Hamburg, Deutschland
E-Mail: legal@thealmaa.com

Für alle Datenschutzanfragen schreiben Sie an legal@thealmaa.com mit dem Betreff „Datenschutzanfrage." Wir antworten innerhalb von 30 Tagen (Art. 12 DSGVO). Kein gesonderter Datenschutzbeauftragter (DSB) ist bei diesem Betriebsumfang erforderlich; alle Datenschutzangelegenheiten werden direkt von Agape Benjamin bearbeitet.

2. Anwendbare Gesetze und deren Bedeutung

Der globale Rechtsrahmen — einfach erklärt

Da AlmaA weltweit zugänglich ist und an internationale Kunden verkauft, gelten je nach Standort des Nutzers gleichzeitig mehrere Datenschutzgesetze. Nachfolgend werden diese Gesetze und ihre Anforderungen erläutert:

EU/EWR — DSGVO (Datenschutz-Grundverordnung)

Die DSGVO (Verordnung 2016/679, in Kraft seit 25. Mai 2018) ist das Datenschutzgesetz der EU und gilt weltweit als strengster Standard. Sie gilt für jedes Unternehmen — unabhängig von seinem Sitz — das personenbezogene Daten von Personen in der EU verarbeitet. Da AlmaA in Deutschland ansässig ist, ist die DSGVO unser primäres Gesetz. Wesentliche DSGVO-Grundsätze: Rechtmäßigkeit (jede Datenverarbeitung braucht eine Rechtsgrundlage); Zweckbindung (für einen Zweck erhobene Daten dürfen nicht für andere Zwecke verwendet werden); Datensparsamkeit (nur das Notwendige erheben); Richtigkeit; Speicherbegrenzung; Integrität und Vertraulichkeit; und Rechenschaftspflicht. Die DSGVO gewährt Ihnen acht Grundrechte — siehe Abschnitt 7.

Deutschland — TTDSG § 25 / TDDDG (2024)

Das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG), 2024 als TDDDG aktualisiert, setzt die EU-ePrivacy-Richtlinie in Deutschland um. Es regelt Cookies und lokalen Speicher und verlangt eine vorherige Einwilligung für alle nicht-essentiellen Speicherungen. Dies ist strenger als die DSGVO allein und der Grund, warum unser Cookie-Banner erscheint, bevor Analytics geladen werden.

Vereinigtes Königreich — UK-DSGVO + Data Protection Act 2018

Nach dem Brexit hat das UK die DSGVO als „UK-DSGVO" durch den Data Protection Act 2018 beibehalten. Sie ist inhaltlich identisch mit der EU-DSGVO. Nutzer aus dem UK haben dieselben Rechte wie EU-Nutzer. Zuständige Behörde: Information Commissioner's Office (ICO, ico.org.uk). Zusätzlich gelten die UK Consumer Contracts Regulations 2013 für Käufe britischer Verbraucher.

Schweiz — revDSG (revidiertes Datenschutzgesetz)

Das revidierte Schweizer Datenschutzgesetz (revDSG/nDSG, in Kraft seit 1. September 2023) modernisiert den Schweizer Datenschutz auf ein mit der DSGVO vergleichbares Niveau. Schweizer Nutzer haben gleichwertige Rechte. Zuständige Behörde: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB, edoeb.admin.ch).

Israel — Datenschutzgesetz 5741–1981

Das israelische Datenschutzgesetz und die Datensicherheitsverordnungen 5777–2017 gelten für die Verarbeitung personenbezogener Daten israelischer Nutzer. Wir wenden DSGVO-Äquivalenzstandards als Mindestmaßstab an. Zuständige Behörde: Privacy Protection Authority (PPA, gov.il).

Kalifornien, USA — CCPA / CPRA

Der California Consumer Privacy Act (CCPA) gilt für Unternehmen, die personenbezogene Daten von Einwohnern Kaliforniens erheben. AlmaA erfüllt die obligatorischen Anwendungsschwellen nicht (Jahresumsatz über $25 Mio., Daten von über 100.000 Verbrauchern oder über 50 % Umsatz aus Datenverkauf), erfüllt aber freiwillig die CCPA-Rechte. Wir verkaufen keine personenbezogenen Daten. Siehe Abschnitt 11.

Brasilien — LGPD

Das brasilianische Datenschutzgesetz (Lei 13.709/2018) gilt für die Verarbeitung von Daten brasilianischer Nutzer unabhängig vom Standort des Verarbeiters. Als Einzelunternehmen unterhalb der Schwelle, die die Ernennung eines Datenschutzbeauftragten (Encarregado) nach LGPD Art. 41 erfordert, ist Agape Benjamin (legal@thealmaa.com) Ansprechpartner für alle LGPD-Anfragen. Zuständige Behörde: ANPD (gov.br/anpd).

Kanada — PIPEDA

Kanadas PIPEDA gilt für Organisationen, die im Rahmen gewerblicher Tätigkeit personenbezogene Daten erheben, nutzen oder offenbaren. Es verlangt einen benannten Datenschutzbeauftragten (Agape Benjamin, legal@thealmaa.com), auf das Notwendige begrenzte Erhebung, sinnvolle Einwilligung und sicheren Speicher. Beschwerden, die intern nicht gelöst werden können: Office of the Privacy Commissioner of Canada (priv.gc.ca).

Australien — Privacy Act 1988 (Australian Privacy Principles)

Australiens Privacy Act 1988 und seine dreizehn Australian Privacy Principles (APPs) gelten für Organisationen, die Daten von Australiern erheben. Die APPs verlangen: transparentes Datenschutzmanagement; Datenminimierung; Benachrichtigung bei Erhebung; Nutzung nur für den ursprünglichen Zweck; sicheren Speicher; sowie Zugangs- und Korrekturrechte. Beschwerden: zunächst legal@thealmaa.com, dann OAIC (oaic.gov.au).

VAE — Bundesgesetz Nr. 45 von 2021 (PDPL)

Das Datenschutzgesetz der Vereinigten Arabischen Emirate (PDPL, Bundesgesetz Nr. 45 von 2021, in Kraft seit September 2023) gilt für die Verarbeitung von Daten ansässiger Personen in den VAE durch Stellen außerhalb der VAE, die Waren oder Dienstleistungen für VAE-Einwohner anbieten. Wesentliche Anforderungen: Rechtmäßige Verarbeitungsgrundlage; Zweckbindung; Datensparsamkeit; Sicherheit; individuelle Rechte auf Zugang, Berichtigung und Löschung. Anfragen: legal@thealmaa.com.

Ist DSGVO als globaler Mindeststandard rechtlich zulässig?

Ja — dies ist rechtlich zulässig und entspricht Best Practice

Die Anwendung von DSGVO-Standards als globalen Mindeststandard ist vollkommen rechtlich zulässig. Eine „Übererfüllung" des Datenschutzes ist nicht möglich. Die DSGVO gilt weltweit als umfassendster Datenschutzstandard. Viele Länder (Israel, UK, Kanada, Australien, Schweiz) haben von der EU eine „Angemessenheitsentscheidung" erhalten, weil ihre Gesetze mit der DSGVO vereinbar sind. Für Länder ohne umfassendes Datenschutzrecht gewährt die Anwendung des DSGVO-Standards denjenigen Nutzern sinnvolle Rechte. Dieser Ansatz wird vom Europäischen Datenschutzausschuss (EDPB) empfohlen und ist explizit besser als die bloße Einhaltung des jeweiligen nationalen Minimums.

3. Erhobene Daten, Zweck und Rechtsgrundlage

a) Server- und Zugriffslogs — Vercel Inc. (Hosting)

Unser Hosting-Anbieter Vercel Inc. (USA) verarbeitet bei jedem Seitenabruf automatisch: anonymisierte IP-Adresse (auf /24-Ebene gekürzt), Browsertyp und -version, Betriebssystem, Referrer-URL, Datum/Uhrzeit, HTTP-Statuscode, Datenvolumen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse am sicheren Betrieb. Pflicht zur Angabe? Ja — Ihr Browser sendet diese Daten automatisch mit jeder Anfrage; ohne sie kann die Seite nicht ausgeliefert werden. USA-Transfer: SCC nach Art. 46 Abs. 2 lit. c DSGVO via Vercel-AVV. Aufbewahrung: 30 Tage, dann automatisch gelöscht.

b) Kontaktformular und E-Mail

Bei Kontaktaufnahme: Name, E-Mail-Adresse, Nachrichteninhalt. Übermittlung an unser Google-Apps-Script-E-Mail-System und Speicherung in einem privaten Google Sheet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen oder Vertragserfüllung) oder lit. f (berechtigtes Interesse). Pflicht zur Angabe? Name und E-Mail sind für eine Antwort erforderlich; ohne diese Daten können wir nicht antworten. Aufbewahrung: 3 Jahre ab letztem Kontakt.

c) Kaufdaten über Stripe

Zahlungsabwicklung ausschließlich durch Stripe, Inc. (USA). AlmaA speichert keine Zahlungskartendaten. Nach einer abgeschlossenen Transaktion erhalten wir: Name, E-Mail-Adresse, Betrag, Währung, gekauftes Produkt, Stripe-Session-ID. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung. Pflicht zur Angabe? Ja — ohne Name und E-Mail kann die Bestellung nicht bestätigt oder erfüllt werden. Datentransfer: SCC + Stripe-AVV. Aufbewahrung: 10 Jahre gemäß § 257 HGB / § 147 AO (gesetzliche Aufbewahrungspflicht — nicht verkürzbar).

d) Ambassador-Programm-Daten

Bei Beitritt zum Ambassador Program: Name, E-Mail-Adresse, Empfehlungscode, Provisionsguthaben, Transaktionshistorie, Abhebungsanträge, Botschafterstufe. Gespeichert in Supabase (EU — Frankfurt, AWS eu-central-1). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Pflicht zur Angabe? Ja — ohne Name und E-Mail kann kein Konto erstellt werden. Aufbewahrung: Bis zur Löschanfrage + 3 Jahre (Transaktionsdaten) + 10 Jahre wo steuer-/handelsrechtlich vorgeschrieben.

e) Newsletter und E-Mail-Marketing

Bei Anmeldung: E-Mail-Adresse und ggf. Vorname. Wir verwenden Double-Opt-In — Sie müssen einen Bestätigungslink anklicken, bevor Sie aufgenommen werden. Gesetzlich vorgeschrieben nach § 7 Abs. 2 Nr. 3 UWG und DSGVO. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — freiwillig erteilte Einwilligung. Pflicht zur Angabe? Nein — die Anmeldung ist vollständig freiwillig. Widerruf: Jederzeit über den Abmelde-Link in jeder E-Mail oder schriftlich an hello@thealmaa.com. Aufbewahrung: Bis zur Abmeldung + 30 Tage; Einwilligungsnachweis 3 Jahre.

f) Google Analytics (nur mit Einwilligung)

Nur geladen nach aktivem Klick auf „Alle akzeptieren". Anbieter: Google Ireland Limited (Dublin). Erhebt: anonymisierte Nutzungsdaten, Seitenaufrufe, Sitzungsdauer, ungefähre geographische Region (Länderebene), Gerätetyp, Herkunftsquelle. IP-Anonymisierung aktiviert — Ihre vollständige IP-Adresse wird niemals gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — Einwilligung. Pflicht zur Angabe? Nein — Ablehnung von Analytics hat keine Auswirkung auf die Nutzbarkeit der Website. Widerruf: „Nur Essentielle" in den Cookie-Einstellungen. Aufbewahrung: 14 Monate. USA-Transfer: SCC.

g) Vercel Analytics (nur mit Einwilligung)

Nur nach Einwilligung. Liefert aggregierte, anonymisierte Verkehrsstatistiken. Setzt keine Cookies. Keine individuelle Nutzeridentifizierung. Rechtsgrundlage: Art. 6 Abs. 1 lit. a — Einwilligung. Nicht verpflichtend; Ablehnung hat keine Auswirkung auf die Website-Nutzung.

h) Google-Translate-Widget

Wenn Sie im Übersetzungs-Widget eine Sprache auswählen, wird ein googtrans-Sitzungs-Cookie gesetzt. Dies reagiert auf Ihre ausdrückliche Handlung und gilt als funktional. Rechtsgrundlage: TTDSG § 25 Abs. 2 Nr. 2 — technisch notwendig als Reaktion auf einen ausdrücklich angeforderten Dienst. Keine Einwilligung für diesen Cookie erforderlich.

i) Buchungsdaten (Creative Mentoring)

Name, E-Mail, Sitzungstyp, bevorzugter Termin, Sitzungsziele. Verarbeitet über Google-Apps-Script-Buchungsengine und Google Kalender. Rechtsgrundlage: Art. 6 Abs. 1 lit. b — Vertragserfüllung. Pflicht zur Angabe? Name und E-Mail sind zur Buchungsbestätigung und Kommunikation erforderlich. Aufbewahrung: 3 Jahre ab Sitzungsdatum.

j) Letters to Life — Einreichungen

Name, gewähltes Thema, Brieftext. Veröffentlichung nur mit ausdrücklicher Einwilligung. Rechtsgrundlage: Art. 6 Abs. 1 lit. a — Einwilligung; lit. b — Vertragserfüllung. Aufbewahrung: Veröffentlichte Briefe unbegrenzt (mit Einwilligung); unveröffentlichte/abgelehnte Briefe nach 12 Monaten gelöscht.

4. Alle Auftragsverarbeiter und internationale Transfers

Empfänger	Rolle	Dienstleistung	Standort	Schutzmaßnahme	Datenschutzerklärung
Vercel Inc.	Auftragsverarbeiter	Hosting, Serverfunktionen	USA + globales CDN	SCC + AVV	vercel.com/legal/privacy-policy
Stripe, Inc.	Auftragsverarbeiter	Zahlungsabwicklung	USA	SCC + AVV	stripe.com/privacy
Google Ireland Ltd / LLC	Auftragsverarbeiter	Analyse (Einwilligung), Übersetzen, Apps-Script-E-Mail, Kalender	EWR / USA	SCC + AVV	policies.google.com/privacy
Supabase Inc.	Auftragsverarbeiter	Datenbank — Ambassador-Konten, Bestellungen	EU — Frankfurt (AWS eu-central-1)	AVV	supabase.com/privacy
PayPal (Europe) Sarl et Cie SCA	Auftragsverarbeiter (bei Nutzung)	Alternative Zahlungsabwicklung	Luxemburg / USA	SCC + AVV	paypal.com/privacy

Wir verkaufen, vermieten, vermitteln oder teilen personenbezogene Daten nicht mit Dritten für deren eigene kommerzielle oder Marketingzwecke. Wir verwenden keine automatisierte Entscheidungsfindung mit rechtlichen oder erheblichen Auswirkungen (Art. 22 DSGVO).

5. Internationale Datentransfers

Für Transfers in Länder außerhalb des EWR verwenden wir: (1) Standardvertragsklauseln (SCC, Durchführungsbeschluss 2021/914); (2) das EU-US Data Privacy Framework wo anwendbar; oder (3) einen EU-Angemessenheitsbeschluss. Mit allen Auftragsverarbeitern bestehen Auftragsverarbeitungsverträge (AVV). Kopien der anwendbaren Schutzmaßnahmen können unter legal@thealmaa.com angefordert werden.

6. Aufbewahrungsfristen

Datenkategorie	Aufbewahrungsfrist	Rechtsgrundlage
Server-/Zugriffslogs	30 Tage	Berechtigtes Interesse (Sicherheit)
Kontaktformulardaten	3 Jahre ab letztem Kontakt	Berechtigtes Interesse
Bestell- und Rechnungsdaten	10 Jahre	§ 257 HGB / § 147 AO — gesetzliche Pflicht
Ambassador-Kontodaten	Bis zur Löschanfrage + 3 Jahre (Transaktionen)	Vertragserfüllung
Newsletter-Anmeldungen	Bis zur Abmeldung + 30 Tage	Einwilligung
Einwilligungsnachweise	3 Jahre ab Einwilligung	Rechtliche Verpflichtung (Compliance-Nachweis)
Buchungsdaten	3 Jahre ab Sitzungsdatum	Vertragserfüllung / berechtigtes Interesse
Google-Analytics-Daten	14 Monate	Einwilligung
Letters to Life — veröffentlicht	Unbegrenzt	Einwilligung + Vertrag
Letters to Life — unveröffentlicht	12 Monate	Berechtigtes Interesse

7. Ihre Rechte — vollständig erklärt

Gemäß DSGVO und gleichwertigen Gesetzen stehen Ihnen folgende Rechte zu. Zur Ausübung schreiben Sie an legal@thealmaa.com mit dem Betreff „Datenschutzanfrage — [auszuübendes Recht]." Wir antworten innerhalb von 30 Tagen kostenlos.

Auskunftsrecht (Art. 15 DSGVO / APP 12 / LGPD Art. 18): Sie können eine vollständige Kopie aller über Sie gespeicherten personenbezogenen Daten sowie Informationen zu Verarbeitungszweck, Rechtsgrundlage, Aufbewahrungsdauer, Empfängern und internationalen Transfers anfordern. Wir stellen diese innerhalb von 30 Tagen bereit.
Berichtigungsrecht (Art. 16): Sind über Sie gespeicherte personenbezogene Daten unrichtig oder unvollständig, können Sie deren Korrektur verlangen. Wir aktualisieren diese unverzüglich.
Löschungsrecht / „Recht auf Vergessenwerden" (Art. 17): Sie können die Löschung Ihrer personenbezogenen Daten verlangen, wenn: sie für den ursprünglichen Zweck nicht mehr benötigt werden; Sie die Einwilligung widerrufen; Sie Widerspruch einlegen und kein vorrangiges berechtigtes Interesse besteht; oder die Verarbeitung unrechtmäßig war. Ausnahme: Daten, die wir gesetzlich aufbewahren müssen (z.B. Rechnungsdaten 10 Jahre gem. § 257 HGB), können nicht gelöscht werden.
Einschränkungsrecht (Art. 18): Sie können die Einschränkung der Verarbeitung verlangen, wenn: Sie die Richtigkeit der Daten bestreiten; Sie Widerspruch eingelegt haben; die Verarbeitung unrechtmäßig ist, Sie aber keine Löschung wünschen; oder wir die Daten nicht mehr benötigen, Sie sie aber für die Geltendmachung von Rechtsansprüchen brauchen.
Datenübertragbarkeitsrecht (Art. 20): Sie können Daten, die Sie uns bereitgestellt haben und die wir auf Basis von Einwilligung oder Vertrag automatisiert verarbeiten, in einem strukturierten, maschinenlesbaren Format (JSON oder CSV) erhalten und die direkte Übertragung an einen anderen Verantwortlichen verlangen, soweit technisch möglich.
Widerspruchsrecht (Art. 21): Sie können jederzeit der Verarbeitung aufgrund berechtigten Interesses widersprechen. Wir stellen die Verarbeitung ein, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen. Widerspruch gegen Direktwerbung: wir kommen dem unverzüglich nach.
Widerruf der Einwilligung (Art. 7 Abs. 3): Soweit wir Ihre Daten auf Basis einer Einwilligung verarbeiten, können Sie diese jederzeit widerrufen. Der Widerruf berührt nicht die Rechtmäßigkeit der Verarbeitung vor dem Widerruf. Möglichkeiten: Abmelde-Link in jeder E-Mail; Cookie-Einstellungen ändern; oder schriftlich an legal@thealmaa.com.
Recht gegen automatisierte Entscheidungen (Art. 22): AlmaA verwendet keine ausschließlich automatisierte Verarbeitung für Entscheidungen, die Sie erheblich beeinflussen. Keine profilbasierte Entscheidungsfindung mit Rechtswirkung.

8. Beschwerderecht — Zuständige Behörden

Sie können sich bei der zuständigen Datenschutzbehörde beschweren, wenn Sie der Ansicht sind, dass wir Ihre Daten rechtswidrig verarbeiten.

Zuständigkeit	Behörde	Website
Deutschland (zuständig für AlmaA — Sitz Hamburg)	Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI), Ludwig-Erhard-Str. 22, 20459 Hamburg	datenschutz.hamburg.de
EU/EWR (Ihr Land)	Nationale Datenschutzbehörde Ihres Landes	edpb.europa.eu/about-edpb/members_en
Vereinigtes Königreich	Information Commissioner's Office (ICO)	ico.org.uk
Schweiz	Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)	edoeb.admin.ch
Israel	Privacy Protection Authority (PPA)	gov.il
Kanada	Office of the Privacy Commissioner of Canada	priv.gc.ca
Australien	Office of the Australian Information Commissioner (OAIC)	oaic.gov.au
VAE	UAE Data Office	uaedataoffice.gov.ae
Brasilien	Autoridade Nacional de Proteção de Dados (ANPD)	gov.br/anpd
Kalifornien, USA	California Privacy Protection Agency (CPPA)	cppa.ca.gov

9. Technische und organisatorische Maßnahmen (TOM) — Art. 32 DSGVO

AlmaA trifft die folgenden technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO zum Schutz personenbezogener Daten vor Verlust, Vernichtung, Veränderung oder unberechtigtem Zugriff:

TECHNISCHE MAßNAHMEN

Verschlüsselung im Transit: Alle Daten zwischen Ihrem Browser und thealmaa.com werden über HTTPS/TLS (mindestens TLS 1.2) verschlüsselt übertragen. HTTP Strict Transport Security (HSTS) mit 2-Jahres-max-age und Preload-Flag wird via Response-Header erzwungen.
Sicherheits-Response-Header: Jede Seite wird mit Content Security Policy (CSP), X-Frame-Options: DENY (Clickjacking-Schutz), X-Content-Type-Options: nosniff, Referrer-Policy: strict-origin-when-cross-origin und einer Permissions-Policy, die Kamera-, Mikrofon- und Standortzugriff einschränkt, ausgeliefert.
Bot-Schutz und Rate Limiting: Alle öffentlichen Formulare sind durch Cloudflare Turnstile (unsichtbares CAPTCHA) gesichert. Serverseitiges Rate Limiting wird pro IP-Adresse (max. 8 Anfragen/Minute) und pro E-Mail-Adresse (max. 3 Einreichungen/Stunde) angewendet.
API-Proxy-Architektur: Formulareinreichungen kontaktieren Backend-Dienste niemals direkt aus dem Browser. Alle Anfragen werden über einen Vercel-Proxy geleitet, der sie validiert, bereinigt und weiterleitet — Backend-URLs und Zugangsdaten verbleiben ausschließlich serverseitig.
Supabase Row Level Security (RLS): Datenbankrichtlinien stellen sicher, dass jedes Botschafter-Konto ausschließlich die eigenen Datensätze lesen und ändern kann. Kein Nutzer kann auf die Daten eines anderen Nutzers zugreifen — auf Datenbankebene erzwungen.
Webhook-Signaturverifizierung: Alle eingehenden Stripe-Webhook-Events werden vor der Verarbeitung gegen eine kryptografische Signatur geprüft. Nicht signierte oder manipulierte Payloads werden mit einem 400-Fehler abgelehnt.
Keine Zahlungskartendaten: AlmaA speichert, verarbeitet oder hat keinen Zugriff auf Zahlungskartendaten. Die gesamte Zahlungsabwicklung erfolgt ausschließlich über Stripe, Inc. und PayPal (Europe) S.à r.l., beide PCI-DSS Level 1 zertifiziert. AlmaA erhält nach einer abgeschlossenen Transaktion ausschließlich: Name, E-Mail-Adresse, Betrag, Währung, gekauftes Produkt und eine Stripe-Session-ID bzw. PayPal-Transaktionsreferenz.
Secret Management: Alle Zugangsdaten und API-Schlüssel werden ausschließlich in Vercel Environment Variables oder GAS Script Properties gespeichert — niemals im Quellcode, in HTML-Dateien oder in versionskontrollierten Dateien. Ein GitHub-Actions-Workflow scannt jeden Push auf den Main-Branch auf versehentlich committete Secrets.

ORGANISATORISCHE MAßNAHMEN

Datensparsamkeit: Es werden ausschließlich die für den jeweiligen Zweck unbedingt erforderlichen Daten erhoben. Keine Daten werden spekulativ oder "auf Vorrat" gesammelt. Jedes Formularfeld verfügt über eine dokumentierte Rechtsgrundlage und Aufbewahrungsfrist.
Auftragsverarbeitungsverträge (AVV): Mit allen Auftragsverarbeitern — Vercel, Stripe, PayPal, Google, Supabase und Cloudflare — bestehen Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO, die bei der Kontoeinrichtung des jeweiligen Dienstes akzeptiert werden. Auf Anfrage kann die Bestätigung jedes einzelnen AVV unter legal@thealmaa.com angefordert werden.
Zugriffskontrollen: Alle administrativen Konten (Vercel, Supabase, Stripe, Google, Cloudflare) sind mit starken, einzigartigen Passwörtern (mindestens 20 Zeichen, generiert und in einem Passwort-Manager gespeichert) und Zwei-Faktor-Authentifizierung (2FA/TOTP) gesichert, soweit die jeweilige Plattform dies unterstützt.
Verfahren bei Datenschutzverletzungen: Bei einer Datenschutzverletzung (Art. 4 Nr. 12 DSGVO) wird AlmaA: (1) den Vorfall intern innerhalb von 24 Stunden nach Entdeckung dokumentieren; (2) die Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI, datenschutz.hamburg.de) innerhalb von 72 Stunden benachrichtigen, sofern die Verletzung voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt (Art. 33 DSGVO); (3) betroffene Personen ohne unnötige Verzögerung benachrichtigen, sofern ein hohes Risiko wahrscheinlich ist (Art. 34 DSGVO). Betroffene Personen werden direkt per E-Mail an die gespeicherte Adresse informiert.
Aufbewahrung und Löschung: Daten werden am Ende der dokumentierten Aufbewahrungsfrist gelöscht oder anonymisiert (siehe Abschnitt 6). Anträge auf vorzeitige Löschung werden innerhalb von 30 Tagen bearbeitet.

10. Cookies und lokaler Speicher

Vollständige Details in der Cookie-Richtlinie. Zusammenfassung: Essentieller Speicher (Einwilligungsnachweis, Musikposition, Spracheinstellung) erfordert keine Einwilligung; Analyse-Cookies erfordern Ihre vorherige aktive Einwilligung gemäß TTDSG § 25 / TDDDG.

11. Nutzer aus Kalifornien — CCPA / CPRA

Wenn Sie in Kalifornien ansässig sind, bietet der CCPA in der Fassung des CPRA folgende zusätzliche Rechte:

Auskunftsrecht: Welche personenbezogenen Daten wir erheben, zu welchem Zweck und an wen wir sie weitergeben.
Löschungsrecht: Löschung Ihrer personenbezogenen Daten (vorbehaltlich gesetzlicher Aufbewahrungspflichten).
Berichtigungsrecht: Korrektur unrichtiger personenbezogener Daten.
Opt-out aus Verkauf/Weitergabe: AlmaA verkauft personenbezogene Daten nicht und gibt sie nicht für verhaltensbasierte Werbung weiter. Kein Opt-out erforderlich.
Nichtdiskriminierungsrecht: Sie werden nicht anders behandelt, weil Sie CCPA-Rechte ausüben.

Für CCPA-Anfragen: legal@thealmaa.com, Betreff „CCPA-Anfrage." Wir antworten innerhalb von 45 Tagen.

12. Nutzer aus Australien — Privacy Act 1988 (APPs)

AlmaA erfüllt die Australian Privacy Principles (APPs) nach dem Privacy Act 1988 (Cth) soweit anwendbar. Wesentliche Zusagen: Wir benachrichtigen Sie bei der Erhebung (über diese Richtlinie); wir erheben nur das vernünftigerweise Notwendige; wir verwenden oder offenbaren personenbezogene Daten nicht für einen Sekundärzweck ohne Einwilligung; wir treffen angemessene Sicherheitsmaßnahmen; Sie können auf Ihre Daten zugreifen und sie korrigieren. Beschwerden: zunächst legal@thealmaa.com, dann OAIC (oaic.gov.au).

13. Nutzer aus den VAE — PDPL

Für Nutzer aus den Vereinigten Arabischen Emiraten erfüllen wir das VAE-Datenschutzgesetz (Bundesgesetz Nr. 45 von 2021) soweit auf unsere Tätigkeiten anwendbar. Verarbeitungsgrundlagen: Vertragserfüllung (Käufe, Buchungen); berechtigtes Interesse (Website-Betrieb); Einwilligung (Analytics, Newsletter). Sie haben das Recht auf Zugang, Berichtigung, Löschung und Widerspruch. Anfragen: legal@thealmaa.com. Wir übermitteln personenbezogene Daten von VAE-Nutzern nicht in Länder ohne angemessenen Schutz, es sei denn, SCC oder gleichwertige Schutzmaßnahmen sind vorhanden.

14. Nutzer aus Israel — Datenschutzgesetz

Für israelische Nutzer erfüllen wir das israelische Datenschutzgesetz 5741–1981 und die Datensicherheitsverordnungen 5777–2017. Sie haben das Recht, auf über Sie gespeicherte personenbezogene Daten zuzugreifen und unrichtige Daten berichtigen zu lassen. Anfragen: legal@thealmaa.com. Zuständige Behörde: Privacy Protection Authority (PPA, gov.il).

15. Datenschutz für Kinder

AlmaA erhebt wissentlich keine personenbezogenen Daten von Personen unter 16 Jahren. Das Angebot richtet sich nicht an Kinder. Falls bekannt wird, dass Daten eines Minderjährigen ohne angemessene Einwilligung erhoben wurden, werden diese unverzüglich gelöscht. Mitteilung an legal@thealmaa.com, falls Sie der Ansicht sind, dass ein Minderjähriger Daten übermittelt hat.

16. Änderungen dieser Erklärung

Wesentliche Änderungen, die sich auf die Verarbeitung Ihrer Daten auswirken, werden registrierten Nutzern mindestens 14 Tage vor Inkrafttreten per E-Mail mitgeteilt. Die aktuelle Version mit ihrem Gültigkeitsdatum ist stets unter dieser URL verfügbar. Die weitere Nutzung nach Inkrafttreten von Änderungen gilt als Zustimmung.