Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher für die Datenverarbeitung im Sinne der DSGVO ist:

2. Erhebung und Verarbeitung personenbezogener Daten

Wir erheben personenbezogene Daten nur, soweit dies für die Erbringung unserer Leistungen erforderlich ist oder Sie uns diese freiwillig mitgeteilt haben.

Beim Besuch unserer Website verarbeiten wir folgende Daten automatisch:

• IP-Adresse (Speicherung in Server-Logfiles, automatische Löschung spätestens nach 14 Tagen)
• Datum und Uhrzeit des Zugriffs
• Aufgerufene Seiten und Verweildauer
• Browsertyp und Betriebssystem

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der technisch fehlerfreien Bereitstellung der Website).

3. Kontaktformular und E-Mail-Kontakt

Wenn Sie uns über das Kontaktformular oder per E-Mail kontaktieren, verarbeiten wir folgende Daten:

• Name
• E-Mail-Adresse
• Telefonnummer (optional)
• Nachricht und Anfragedetails
• Gewünschtes Paket (soweit angegeben)

Zweck: Bearbeitung Ihrer Anfrage und Kontaktaufnahme.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) sowie Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO.

Speicherdauer: Ihre Anfragedaten werden für die Dauer der Geschäftsbeziehung sowie nach deren Ende für 3 Jahre gespeichert, sofern keine gesetzlichen Aufbewahrungspflichten eine längere Speicherung erfordern.

E-Mail-Versand: Zur Bearbeitung Ihrer Anfrage und zum Versand von Bestätigungsnachrichten nutzen wir eigene Mailinfrastruktur. Ihre Daten werden nicht an Dritte für Werbezwecke weitergegeben.

Live-Chat: Wenn Sie unseren Live-Chat nutzen, verarbeiten wir Ihre Chat-Nachrichten, eine Sitzungskennung, die aufgerufene Seite sowie Ihre IP-Adresse, um Ihre Anfrage zu beantworten und Missbrauch zu verhindern. Damit unser Team zeitnah antworten kann, werden die Nachrichten an unsere interne Arbeitsgruppe beim Messenger-Dienst Telegram (Telegram FZ-LLC, Dubai, VAE) weitergeleitet. Für die VAE besteht kein Angemessenheitsbeschluss der EU-Kommission; die Übermittlung erfolgt gestützt auf Art. 49 Abs. 1 lit. b DSGVO. Bitte übermitteln Sie über den Chat keine Ausweisdokumente und keine Gesundheitsdaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO. Chat-Verläufe löschen wir, sobald sie für die Bearbeitung Ihrer Anfrage nicht mehr erforderlich sind, spätestens nach 36 Monaten.

4. Online-Buchung und Zahlungsabwicklung (Stripe)

Für die Buchung und Zahlungsabwicklung nutzen wir den Dienst Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland (nachfolgend Stripe).

Bei einer Buchung verarbeitet Stripe folgende Daten:

• Vor- und Nachname
• E-Mail-Adresse
• Zahlungsdaten (Kreditkartendaten werden ausschließlich von Stripe verarbeitet)
• IP-Adresse und Geräteinformationen

Zweck: Abwicklung von Zahlungen und Betrugsvorbeugung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Datenweitergabe: Stripe kann Daten in die USA übertragen. Die Übertragung erfolgt auf Basis von EU-Standardvertragsklauseln gemäß Art. 46 DSGVO.

Weitere Informationen finden Sie in der Datenschutzerklärung von Stripe: stripe.com/de/privacy

5. Empfänger der Daten

Ihre personenbezogenen Daten werden grundsätzlich nicht an Dritte weitergegeben, außer wenn dies gesetzlich vorgeschrieben oder zur Vertragserfüllung notwendig ist. Im Rahmen des Betriebs unserer Website setzen wir folgende Dienstleister ein:

• Hosting-Dienstleister (Serverstandort in der EU)
• E-Mail-Provider IONOS SE, Berlin (Verarbeitung auf deutschen Servern)
• Stripe Payments Europe, Ltd., Dublin (Zahlungsabwicklung – siehe Abschnitt 4)
• Telegram FZ-LLC, Dubai (VAE) — Zustellung von Live-Chat-Nachrichten an unser Team; siehe Abschnitt 3

Alle Dienstleister sind vertraglich zur Einhaltung der DSGVO verpflichtet (Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO).

6. Cookies, Tracking und Drittdienste

Unsere Website verwendet technisch notwendige Cookies für den sicheren Betrieb der Website (z. B. Sitzungsverwaltung). Diese Cookies sind für den Betrieb unerlässlich und können nicht deaktiviert werden.

Google Analytics 4

Mit Ihrer Einwilligung setzen wir Google Analytics 4 ein, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google Analytics verwendet Cookies und ähnliche Technologien, um die Nutzung unserer Website zu analysieren (z. B. Seitenaufrufe, Verweildauer, Scrolltiefe).

• Zweck: Analyse und Optimierung unserer Website
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Ihre Einwilligung)
• Datenweitergabe: Google LLC, USA (Standardvertragsklauseln gemäß Art. 46 DSGVO)
• Speicherdauer: 14 Monate (Google-Standard)

Weitere Informationen: policies.google.com/privacy

Google Ads (Conversion-Messung)

Mit Ihrer Einwilligung setzen wir Google Ads Conversion-Tracking ein, einen Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Damit messen wir, ob Besucher über eine Google-Anzeige auf unsere Website gelangt sind und dort eine Anfrage gestellt haben.

• Zweck: Messung der Wirksamkeit unserer Werbeanzeigen
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Ihre Einwilligung), § 25 Abs. 1 TDDDG
• Datenweitergabe: Google LLC, USA (EU-Standardvertragsklauseln gemäß Art. 46 DSGVO)

Google reCAPTCHA

Zum Schutz unserer Formulare vor Spam und automatisiertem Missbrauch verwenden wir Google reCAPTCHA (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Der Dienst wird erst geladen, wenn Sie mit dem Kontaktformular interagieren, sowie im Rahmen einer Sicherheitsprüfung bei auffälligem Zugriffsverhalten. Dabei können IP-Adresse, Geräte- und Browserinformationen sowie Interaktionsverhalten an Google übertragen werden.

• Zweck: Schutz vor Spam, Bots und missbräuchlichen Anfragen
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit unserer Website)
• Datenweitergabe: Google LLC, USA (EU-Standardvertragsklauseln gemäß Art. 46 DSGVO)

ProvenExpert (Bewertungs-Widget)

Wir zeigen auf unserer Website Bewertungen des Bewertungsdienstleisters ProvenExpert (Expert Systems AG, Charlottenstraße 4, 10969 Berlin). Die Bewertungsdaten werden von unserem Server abgerufen — beim Besuch unserer Website werden keine Daten aus Ihrem Browser an ProvenExpert übertragen. Erst wenn Sie den Link zu unserem ProvenExpert-Profil anklicken, gilt die Datenschutzerklärung von ProvenExpert.

• Zweck: Anzeige verifizierter Kundenbewertungen
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)

Weitere Informationen: provenexpert.com/datenschutzerklaerung

7. Persönlicher Kundenbereich (my.nexstorya.de)

Nach einer gebuchten Beratungsleistung erhalten Sie Zugang zu unserem persönlichen Kundenbereich unter my.nexstorya.de. Dort verarbeiten wir deutlich mehr und sensiblere Daten als auf dieser Website — insbesondere Ihre Antworten aus dem Aufnahme-Fragebogen und die von Ihnen hochgeladenen Ausweis- und Bildungsdokumente. Diese Verarbeitungen sind in einer eigenen, ausführlichen Datenschutzerklärung des Kundenbereichs beschrieben; im Überblick sind das:

• Kontodaten: E-Mail-Adresse als Login, Passwort ausschließlich als Hash, Sprache, An- und Abmeldezeiten, optional Zwei-Faktor-Authentisierung
• Aufnahme-Fragebogen: Name, Geburtsdatum, Staatsangehörigkeit, Wohnort, Kontaktdaten, Ziele und Sprachkenntnisse (Löschung nach 36 Monaten)
• Hochgeladene Dokumente: z. B. Reisepass, Aufenthaltstitel, Zeugnisse, Finanzierungsnachweise — verschlüsselt gespeichert (AES-256-GCM), auf Schadsoftware geprüft, Löschung nach 24 Monaten mit vorheriger Ankündigung
• Chat im Kundenbereich sowie Zeitpunkt und IP-Adresse sicherheitsrelevanter Kontovorgänge (Sicherheitsprotokoll, 12 Monate)
• Ihre Termine und bestätigten Paketkäufe, die dort lesend aus dem Buchungssystem angezeigt werden

Im Kundenbereich können Sie Ihre gespeicherten Daten jederzeit selbst vollständig exportieren und Ihr Konto samt aller Dokumente selbst löschen.

Zweck: Erfüllung des mit Ihnen bestehenden Beratungsvertrags durch Bereitstellung der gebuchten Werkzeuge sowie Kontosicherheit.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (IT-Sicherheit, Missbrauchsprävention, Protokollierung sicherheitsrelevanter Ereignisse gemäß Punkt 9.7).

Speicherdauer und Löschung: Es gelten die im Kundenbereich genannten Fristen: Fragebogen 36 Monate, hochgeladene Dokumente 24 Monate (verlängerbar), Chat 36 Monate, Sicherheitsprotokoll 12 Monate. Kontodaten bleiben gespeichert, solange Ihr Konto besteht. Ausgenommen sind Daten mit gesetzlicher Aufbewahrungspflicht (z. B. Rechnungs- und Zahlungsdaten nach § 257 HGB / § 147 AO); diese werden getrennt geführt (siehe Punkt 4).

Vollständige Informationen zum Kundenbereich: Datenschutzerklärung des Kundenbereichs (my.nexstorya.de)

8. Ihre Rechte als betroffene Person

Sie haben gemäß DSGVO folgende Rechte:

• Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft über die zu Ihrer Person gespeicherten Daten verlangen.
• Berichtigungsrecht (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
• Löschungsrecht (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine Aufbewahrungspflichten entgegenstehen.
• Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können unter bestimmten Umständen eine Einschränkung der Verarbeitung verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre Daten in einem gängigen Format zu erhalten.
• Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung auf Basis berechtigter Interessen widersprechen.
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO): Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Ausübung Ihrer Rechte wenden Sie sich an: welcome@nexstorya.de

9. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die zuständige Aufsichtsbehörde für Bayern ist:

10. Datensicherheit

Wir setzen technische und organisatorische Sicherheitsmaßnahmen ein, um Ihre Daten gegen zufällige oder vorsätzliche Manipulation, Verlust, Zerstörung oder den Zugriff unberechtigter Personen zu schützen. Im Einzelnen:

• Transportverschlüsselung: Alle Datenübertragungen erfolgen ausschließlich über HTTPS mit TLS 1.2/1.3. Unverschlüsselte HTTP-Anfragen werden automatisch auf HTTPS umgeleitet.
• Verschlüsselung gespeicherter Buchungsdaten: Buchungsdaten (Name, E-Mail, Telefon, Termindetails) werden in einer Datenbank gespeichert, die ausschließlich über das in Punkt 9.3 beschriebene VPN erreichbar ist und nicht öffentlich zugänglich ist. Die Übertragung dorthin erfolgt verschlüsselt (siehe Punkt 9.1).
• Zugriffskontrolle: Der Verwaltungsbereich unserer Website (Redaktionssystem, Analyse-Dashboard, Server-Administration) ist ausschließlich über ein verschlüsseltes VPN (WireGuard) zugänglich; ein direkter Zugriff aus dem Internet ist dort technisch ausgeschlossen. Der persönliche Kundenbereich (my.nexstorya.de) ist demgegenüber bewusst aus dem Internet erreichbar — er ist für Sie bestimmt — und durch Anmeldung mit Passwort, optionale Zwei-Faktor-Authentisierung, Sperren nach Fehlversuchen und Begrenzung der Anfragerate geschützt.
• Dokumentation der Einwilligung: Bei Online-Buchungen werden Zeitpunkt (ISO-Timestamp), IP-Adresse sowie die Version der zum Zeitpunkt gültigen Datenschutzerklärung und AGB gemeinsam mit der Buchung gespeichert. Dies dient dem Nachweis der Einwilligung gemäß Art. 7 Abs. 1 DSGVO und § 312g BGB.
• Automatische Datenlöschung: Abgeschlossene und stornierte Buchungen werden nach Ablauf von 3 Jahren automatisch aus dem System gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten (z. B. nach HGB, AO) entgegenstehen.
• Sicherheitsprotokoll: Sicherheitsrelevante Ereignisse (z. B. fehlgeschlagene reCAPTCHA-Prüfungen, Überschreitung von Anfragelimits) werden in einem internen Protokoll erfasst, das nicht öffentlich zugänglich ist.
• Konto- und Sicherheitsprotokoll des Kundenbereichs: Sicherheitsrelevante Vorgänge im persönlichen Kundenbereich (Registrierung inkl. Zustimmung zu AGB/Datenschutzerklärung, An- und Abmeldungen, Passwort- und 2FA-Änderungen, Kontolöschung) werden mit Zeitpunkt und IP-Adresse für maximal 12 Monate protokolliert und anschließend automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

11. Aktualität und Änderung dieser Datenschutzerklärung

Diese Datenschutzerklärung gilt in der oben genannten Fassung. Durch die Weiterentwicklung unserer Website oder aufgrund geänderter gesetzlicher bzw. behördlicher Vorgaben kann es notwendig werden, sie zu ändern.