1. Datenschutz auf einen Blick

Die folgenden Hinweise geben einen Überblick darüber, was mit personenbezogenen Daten beim Besuch unserer Websites und der Web-App geschieht. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können. Ausführliche Informationen entnehmen Sie dieser Datenschutzerklärung.

2. Verantwortliche Stelle

Verantwortlich für die Datenverarbeitung ist:

JK Digitale Medien GmbH & Co. KG Holbeinstraße 18 45883 Gelsenkirchen, Deutschland

Telefon: +49 209 51959716 E-Mail: mail@ocdandme.com

Vertreten durch die persönlich haftende Gesellschafterin JK Digitale Medien Verwaltungs- und Geschäftsführungsgesellschaft mbH, diese vertreten durch den Geschäftsführer Justin Keirath.

3. Hosting

Unsere Websites werden gehostet bei: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in einem deutschen Rechenzentrum

Im Rahmen des Hostings werden technische Daten (IP-Adresse, Logfiles) zur Sicherung eines stabilen Betriebs verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

4. Datenerfassung auf unseren Websites

Server-Log-Dateien

Der Provider speichert automatisch in Logfiles: Browsertyp und -version, Betriebssystem, Referrer-URL, Hostname des zugreifenden Rechners, Uhrzeit der Serveranfrage sowie die IP-Adresse. Eine Zusammenführung mit anderen Datenquellen findet nicht statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherer Bereitstellung).

Cookies

Unsere Websites und die Web-App verwenden Cookies und ähnliche Technologien. Wir unterscheiden vier Kategorien: notwendige Cookies, Funktionalitäts-Cookies, Analyse-Cookies und Marketing-Cookies. Notwendige Cookies sind für den Betrieb der Website erforderlich; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an technischer Funktionalität) bzw. § 25 Abs. 2 TTDSG. Funktionalitäts-, Analyse- und Marketing-Cookies werden nur nach Ihrer Einwilligung gesetzt; Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TTDSG. Einzelheiten zu den eingesetzten Analyse- und Marketing-Diensten finden Sie in Abschnitt 5. Ein Widerruf ist jederzeit über den Cookie-Banner bzw. die Cookie-Einstellungen möglich.

Kontaktformular

Angaben aus dem Kontaktformular werden zur Bearbeitung der Anfrage und möglicher Anschlussfragen gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

Bewerbungen über die Karriereseite

Auf unserer Karriereseite (/karriere/) können Sie sich über ein Formular auf ausgeschriebene Stellen oder initiativ bewerben. Verarbeitet werden dabei: die gewählte Stelle, Ihr Name, Ihre E-Mail-Adresse, optional Ihre Telefonnummer, ein Link zu einem beruflichen Profil und Angaben zu Studiengang, Hochschule und gewünschtem Praktikumszeitraum sowie Ihre Nachricht. Ihre Bewerbung wird ausschließlich per E-Mail an unser Bewerbungspostfach übermittelt und nicht in Datenbanken unserer Website gespeichert; den Eingang bestätigen wir per E-Mail. Zur Missbrauchsabwehr protokollieren wir lediglich den Zeitpunkt, die gewählte Stelle und einen Prüfwert (Hash) Ihrer IP-Adresse. Zweck: Durchführung des Bewerbungsverfahrens und Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder einer freien Mitarbeit. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertragsverhältnisses); bei Bewerbungen auf ein Beschäftigungsverhältnis zusätzlich § 26 Abs. 1 BDSG. Speicherdauer: Wir löschen Bewerbungen spätestens sechs Monate nach Abschluss des jeweiligen Bewerbungsverfahrens, sofern keine gesetzlichen Pflichten entgegenstehen. Sollen wir Ihre Bewerbung darüber hinaus für künftige Positionen berücksichtigen, tun wir das nur mit Ihrer gesonderten Einwilligung. Bitte übermitteln Sie in Ihrer Bewerbung keine besonderen Kategorien personenbezogener Daten (z. B. Gesundheitsdaten), soweit diese nicht erforderlich sind.

OCD-Selbsttest auf der Website

Überblick. Wir bieten einen kostenlosen OCD-Selbsttest an. Die Datenverarbeitung erfolgt unter Beachtung der Datenminimierung durch technische Trennung von Identitäts- und Inhaltsdaten (Zwei-Datenbank-Architektur).

Welche Daten werden verarbeitet?

Datenart	Zweck	Speicherdauer
Testantworten	Berechnung des persönlichen Ergebnisses	Max. 24 Stunden nach Bestätigung
E-Mail-Adresse (verschlüsselt)	Zustellung des Testergebnisses per Double-Opt-In	Max. 24 Stunden nach Bestätigung
IP-Adresse (gehasht)	Missbrauchsschutz, Rate-Limiting, DOI-Nachweis	Max. 24 Stunden bzw. bei Newsletter dauerhaft als Hash
Sprache (de/en)	Sprachauswahl für E-Mails	Wie die zugehörigen Daten

Double-Opt-In-Verfahren. Zum Erhalt des Testergebnisses muss die E-Mail-Adresse bestätigt werden. Gespeichert werden: verschlüsselte E-Mail-Adresse (AES-256-GCM), Zeitpunkt der Einwilligung, Zeitpunkt der Bestätigung sowie die gehashte IP-Adresse als Nachweis. Nach erfolgreicher Bestätigung erhält der Nutzer einen zeitlich begrenzten Link zum Ergebnis. Testantworten werden niemals mit der E-Mail-Adresse verknüpft gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

Automatische Löschung. Aus Datenschutzgründen werden alle mit dem Test verbundenen Daten (Testantworten und berechnetes Ergebnis, E-Mail-Adresse, Verifizierungsnachweis) automatisch 24 Stunden nach Bestätigung unwiderruflich gelöscht. Eine Wiederherstellung ist technisch nicht möglich.

Newsletter (optional). Während der E-Mail-Eingabe kann freiwillig eingewilligt werden, gelegentlich hilfreiche Informationen zu Zwangsstörungen per E-Mail zu erhalten. Diese Einwilligung ist vollständig optional und hat keinen Einfluss auf die Zustellung des Testergebnisses (keine Kopplung gemäß Art. 7 Abs. 4 DSGVO). Bei Einwilligung werden gespeichert: verschlüsselte E-Mail-Adresse, Sprachpräferenz, Zeitpunkt der DOI-Bestätigung sowie die gehashte IP-Adresse als Einwilligungsnachweis. Diese Daten werden nicht automatisch gelöscht, da sie für den Newsletter-Versand benötigt werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Der Widerruf ist jederzeit möglich (Abmelde-Link in jeder E-Mail oder per E-Mail an mail@ocdandme.com). Nach Widerruf wird die E-Mail-Adresse für den Newsletter-Versand gesperrt; der Einwilligungsnachweis wird gemäß Dokumentationspflichten noch 3 Jahre aufbewahrt.

Gesundheitsdaten. Der OCD-Selbsttest erfragt Informationen zu psychischen Symptomen, die als Gesundheitsdaten im Sinne von Art. 9 DSGVO gelten können. Die Verarbeitung erfolgt ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), erteilt durch Absenden des Tests. Besondere Schutzmaßnahmen: technische Trennung von Identitäts- und Inhaltsdaten, Verschlüsselung aller personenbezogenen Daten, automatische Löschung nach 24 Stunden, kein Zugriff durch Dritte.

Empfänger der Daten. Für die Zustellung der Bestätigungs- und Ergebnis-E-Mails des Selbsttests nutzen wir SMTP-Dienste des Hosting-Anbieters ALL-INKL.COM. Es besteht ein Vertrag zur Auftragsverarbeitung. Eine Übermittlung in Drittländer findet dabei nicht statt. Für den Versand des Newsletters und der E-Mail-Kurse setzen wir dagegen Amazon SES ein, siehe Abschnitt „Newsletter und E-Mail-Kurs".

Newsletter und E-Mail-Kurs

Versanddienstleister. Für den Versand unseres Newsletters und unserer E-Mail-Kurse nutzen wir Amazon Simple Email Service (SES) der Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg. Die Verarbeitung erfolgt in der AWS-Region Europa (Frankfurt, eu-central-1). Mit Amazon Web Services besteht ein Auftragsverarbeitungsvertrag (AWS Data Processing Addendum). Da Amazon Web Services zu einem US-amerikanischen Konzern gehört, lässt sich ein Zugriff durch US-Behörden nicht vollständig ausschließen; die Übermittlung ist durch die EU-Standardvertragsklauseln und ergänzende technische Maßnahmen abgesichert.

E-Mail-Kurs „Verstehen in 5 Kapiteln". Sie können sich freiwillig für einen kostenlosen E-Mail-Kurs anmelden. Er besteht aus fünf aufeinander aufbauenden Kapiteln, die über etwa zwei Wochen verteilt zugestellt werden. Die Anmeldung erfolgt ausschließlich im Double-Opt-In-Verfahren: Erst nach Bestätigung über einen Link in einer Prüf-E-Mail beginnt der Versand. Gespeichert werden Ihre verschlüsselte E-Mail-Adresse, die Sprachpräferenz, der Zeitpunkt der Einwilligung und der Bestätigung sowie Ihre gehashte IP-Adresse als Einwilligungsnachweis. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

Messung der Interaktion (Klick-Tracking). Die Links in den Kurs-E-Mails sind so gestaltet, dass wir nachvollziehen können, ob und wann eine bestimmte Empfängerin oder ein bestimmter Empfänger einen Link angeklickt hat. Diese Auswertung ist personenbezogen. Sie dient ausschließlich der Steuerung des Kurses und nicht der Werbeaussteuerung:

• Erfolgt innerhalb von 48 Stunden nach einem Kapitel kein Klick, senden wir dazu einmalig eine kurze Erinnerung.
• Bleibt eine Reaktion über zwei aufeinanderfolgende Kapitel hinweg aus, beenden wir den Kurs automatisch, damit Sie keine E-Mails erhalten, die Sie nicht lesen möchten.

Gespeichert werden dabei der Zeitpunkt des Klicks, die angeklickte Ziel-Adresse und technische Zustellinformationen. Ein Rückschluss auf Inhalte Ihrer Gedanken oder auf Testergebnisse findet nicht statt.

Kein Öffnungs-Tracking. Wir setzen in diesen E-Mails bewusst keine Zählpixel ein und messen nicht, ob eine E-Mail geöffnet wurde.

Zustellinformationen. Zur Sicherstellung der Zustellbarkeit verarbeiten wir Rückmeldungen von Amazon SES über Zustellungen, Unzustellbarkeiten (Bounces), Spam-Beschwerden und Abmeldungen. Adressen, die dauerhaft unzustellbar sind oder über die eine Spam-Beschwerde eingegangen ist, sperren wir für den weiteren Versand. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionierenden und rechtskonformen E-Mail-Versand).

Widerruf. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, über den Abmelde-Link am Ende jeder E-Mail oder per Nachricht an mail@ocdandme.com. Nach Widerruf wird Ihre Adresse für den Versand gesperrt; der Einwilligungsnachweis wird gemäß Dokumentationspflichten noch 3 Jahre aufbewahrt.

Speicherdauer. Interaktions- und Zustellereignisse speichern wir für 12 Monate und löschen sie anschließend automatisch.

WhatsApp-Kurs „Verstehen in 5 Kapiteln"

Überblick. Sie können unseren kostenlosen Kurs „Verstehen in 5 Kapiteln" alternativ per WhatsApp erhalten. Die Anmeldung geht immer von Ihnen aus und erfolgt zweistufig: Sie schreiben uns zunächst selbst eine Nachricht (z. B. „START"). Daraufhin erhalten Sie eine Aufklärung über den Kurs und die Datenverarbeitung und bestätigen die Teilnahme aktiv per Knopfdruck. Erst mit dieser Bestätigung beginnt der Kurs; bis dahin senden wir Ihnen ausschließlich diese Aufklärung.

Welche Daten werden verarbeitet? Ihre Mobilfunknummer (bei uns ausschließlich verschlüsselt gespeichert, AES-256-GCM), der Inhalt Ihrer eingehenden Nachrichten einschließlich Button-Antworten, Zeitpunkt und Zustellstatus der Kursnachrichten sowie der Nachweis Ihrer Einwilligung (Zeitpunkt, Nachrichten-Kennung und Wortlaut Ihrer Anmeldung und Bestätigung).

Zwecke und Kurssteuerung. Wir verarbeiten diese Daten, um Ihnen die Kurskapitel zuzustellen und den Kursablauf zu steuern: Jedes Kapitel starten Sie selbst per Knopfdruck. Reagieren Sie nicht, erinnern wir Sie je Kapitel höchstens zweimal. Bleibt eine Reaktion über zwei aufeinanderfolgende Kapitel aus, beenden wir den Kurs automatisch, damit Sie keine Nachrichten erhalten, die Sie nicht lesen möchten. Ein Öffnungs- oder Lese-Tracking über die Zustellbestätigungen von WhatsApp hinaus findet nicht statt; eine Übermittlung an Werbenetzwerke findet nicht statt.

Krisenhinweise. Eingehende Textnachrichten werden automatisch auf Hinweise auf eine akute Krise geprüft. Schlägt diese Prüfung an, senden wir Ihnen automatisch Kontaktdaten von Hilfsangeboten (u. a. Telefonseelsorge), und eine Mitarbeiterin oder ein Mitarbeiter von uns wird benachrichtigt und sieht sich Ihre Nachricht an. Dies ist der einzige Fall, in dem ein Mensch Nachrichten aus diesem Chat liest.

Rechtsgrundlage. Bereits die Teilnahme an dem Kurs kann auf ein Gesundheitsthema schließen lassen. Die Verarbeitung erfolgt deshalb ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO), die wir vor Kursbeginn einholen. Die Teilnahme ist freiwillig.

Empfänger. Für den technischen Versand nutzen wir die seven communications GmbH & Co. KG, Willestr. 4-6, 24103 Kiel (Auftragsverarbeitung nach Art. 28 DSGVO). WhatsApp ist ein Dienst der Meta Platforms Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland. Meta kann erkennen, dass Ihre Rufnummer mit uns kommuniziert; daneben gilt für Ihre Nutzung von WhatsApp die Datenschutzrichtlinie von WhatsApp. Dabei kann es zu einer Übermittlung personenbezogener Daten in die USA kommen; Meta ist unter dem EU-US Data Privacy Framework zertifiziert, ergänzend stützen wir die Übermittlung auf Standardvertragsklauseln (vgl. Abschnitt 5.8).

Widerruf. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie im Chat „STOPP" schreiben oder uns an mail@ocdandme.com schreiben. Der Widerruf wirkt sofort; Sie erhalten danach keine weiteren Kursnachrichten.

Speicherdauer. Melden Sie sich an, bestätigen die Teilnahme aber nicht, löschen wir Ihre Rufnummer und alle zugehörigen Daten automatisch nach 7 Tagen. Inhalte eingehender Nachrichten löschen wir automatisch nach 30 Tagen; danach verbleiben nur inhaltslose technische Ereignisdaten. Nach einem Widerruf stellen wir den Versand sofort ein und löschen Ihre Rufnummer und die Kursdaten umgehend. Für 30 Tage verbleibt lediglich ein Prüfwert (Hash) Ihrer Rufnummer, um späte Zustellberichte zuzuordnen und Ihren Abmeldewunsch technisch sicherzustellen; anschließend wird auch dieser gelöscht.

5. Webanalyse und Marketing

5.0 Grundsätze unseres Trackings (besonderer Schutz unserer Zielgruppe)

ocd&me richtet sich an Menschen mit Zwangsstörungen. Informationen über eine (mögliche) psychische Erkrankung sind Gesundheitsdaten und damit besonders sensible Daten im Sinne von Art. 9 DSGVO. Für unser Analyse- und Werbe-Tracking gelten deshalb die folgenden Grundsätze:

• Keine Symptom-, Diagnose- oder Testdaten an Werbenetzwerke. Ihre Antworten aus dem Selbsttest, dessen Auswertung, Ihre Eingaben in der App und vergleichbare Inhalte werden zu keinem Zeitpunkt an Google oder Meta übermittelt. An Meta gehen ausschließlich generische, gesundheits-neutrale Ereignisse (z. B. „Registrierung abgeschlossen").
• Umfang bei Google Ads. Nach Ihrer Einwilligung in die Kategorie „Marketing" übermittelt ein Google-Tag Ihre Seitenaufrufe einschließlich der aufgerufenen Adresse (URL) auf allen Seiten dieser Website. Da ein Teil unserer Inhalte Zwangsstörungen behandelt, lässt sich daraus ein Interesse an diesem Thema ableiten. Einzelheiten und Rechtsgrundlage finden Sie in Abschnitt 5.5.
• Keine personenbezogenen Klartext-Daten an Werbenetzwerke. Es werden keine E-Mail-Adressen, Namen oder sonstigen unmittelbar identifizierenden Daten an Google oder Meta weitergegeben („Advanced Matching" bzw. „Enhanced Conversions" sind deaktiviert). Etwaige sensible Felder werden serverseitig entfernt, bevor Daten weitergeleitet werden.
• Meta-Tags nur auf Funnel-Seiten. Die Werbe-Tags von Meta werden ausschließlich auf gesundheits-neutralen Seiten ausgelöst, nämlich der Startseite und der Registrierungs-Bestätigungsseite, nicht auf dem Selbsttest und nicht auf symptombezogenen Inhaltsseiten.
• Selbsttest nur anonym und aggregiert gemessen. Zum Verlauf des Selbsttests erfassen wir ausschließlich tagesbezogene Zählwerte in unserem eigenen System (z. B. „Test begonnen", „Test abgeschlossen"), ohne IP-Adresse, ohne Kennung und ohne Ergebnis. Diese Zahlen verlassen unsere Systeme nicht.
• Einwilligung als Grundlage. Mit Ausnahme der unter „Google Consent Mode v2" beschriebenen anonymen, cookielosen Signale werden Analyse- und Marketing-Dienste erst geladen bzw. aktiviert, nachdem Sie über unseren Cookie-Banner eingewilligt haben.
• Abgrenzung zum E-Mail-Kurs. Haben Sie sich zusätzlich für unseren Newsletter oder einen E-Mail-Kurs angemeldet, werten wir Klicks in diesen E-Mails personenbezogen aus. Das geschieht ausschließlich innerhalb unserer eigenen Systeme, dient allein der Steuerung der Zusendungen (Erinnerung, automatisches Beenden) und wird nicht an Werbenetzwerke übermittelt. Einzelheiten finden Sie im Abschnitt „Newsletter und E-Mail-Kurs".

5.1 Einwilligungsverwaltung (Cookie-Consent-Tool)

Zur Verwaltung Ihrer Einwilligungen setzen wir das Tool CookieConsent (Open-Source-Lösung, lokal von unserem Server ausgeliefert) ein. Beim ersten Besuch erhalten Sie einen Cookie-Banner, über den Sie den Einsatz der Kategorien Funktionalität, Analyse und Marketing getrennt zulassen oder ablehnen können. Technisch notwendige Cookies sind immer aktiv und nicht abwählbar.

Ihre Auswahl wird in einem Cookie (cc_cookie) auf Ihrem Endgerät gespeichert, damit der Banner nicht bei jedem Seitenaufruf erneut erscheint. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen (Link im Banner bzw. in der Fußzeile) ändern oder widerrufen. Rechtsgrundlage für den Einsatz des Consent-Tools ist die Erfüllung unserer rechtlichen Verpflichtung zur Einwilligungseinholung (Art. 6 Abs. 1 lit. c DSGVO) sowie unser berechtigtes Interesse an einer rechtskonformen Steuerung von Cookies (Art. 6 Abs. 1 lit. f DSGVO).

5.2 Google Tag Manager

Zur Verwaltung und zentralen Auslieferung unserer Tracking- und Marketing-Tags nutzen wir den Google Tag Manager (GTM) der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Der Google Tag Manager ist selbst ein „Tag-Verwaltungssystem": Er setzt keine eigenen Cookies und erhebt selbst keine personenbezogenen Daten, sondern steuert das Ausspielen der nachfolgend beschriebenen Dienste. Die über den Tag Manager eingebundenen Dienste werden erst nach Ihrer Einwilligung aktiv; bis dahin gelten die im Google Consent Mode hinterlegten „denied"-Standardeinstellungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TTDSG.

5.3 Google Consent Mode v2

Wir setzen den Google Consent Mode v2 im erweiterten Modus („advanced") ein. Dieser steuert, ob und in welchem Umfang die Google-Dienste auf Cookies und Identifikatoren zugreifen dürfen. Solange Sie nicht eingewilligt haben, sind alle einwilligungspflichtigen Speicher- und Werbefunktionen standardmäßig deaktiviert („denied").

In diesem Zustand sendet der Consent Mode an Google anonyme, cookielose Signale (sog. Consent-Pings), also ohne das Setzen von Cookies und ohne Identifikatoren, mit denen Sie persönlich identifiziert werden könnten. Diese Signale dienen ausschließlich der statistischen, modellierten Schätzung von Conversions und Reichweiten. Erst nach Ihrer Einwilligung in die Kategorie „Marketing" bzw. „Analyse" werden die jeweiligen Funktionen (inkl. Cookies) vollständig aktiviert. Rechtsgrundlage für die cookielosen Pings ist unser berechtigtes Interesse an einer datenschonenden, aggregierten Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO); für alle einwilligungspflichtigen Funktionen Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TTDSG.

5.4 Google Analytics 4 (server-seitig ausgeliefert)

Unsere Websites nutzen Google Analytics 4 (Mess-ID G-DB1V25JRB4; Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Google Analytics dient der Analyse des Nutzungsverhaltens, um unser Angebot zu verbessern. Dabei werden u. a. gekürzte/anonymisierte Geräte- und Nutzungsdaten sowie eine pseudonyme Nutzerkennung verarbeitet.

Die Auslieferung erfolgt server-seitig über unsere eigene first-party Subdomain tag.ocdandme.com (siehe Abschnitt 5.7). Dadurch werden Messdaten zunächst auf einem von uns kontrollierten, in der EU gehosteten Server verarbeitet, bevor sie (in reduziertem Umfang) an Google weitergeleitet werden. An Werbenetzwerke werden ausschließlich gesundheits-neutrale Ereignisse übermittelt; Gesundheits-/Sonderkategoriendaten oder Klartext-Identifikatoren werden nicht übertragen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TTDSG (Einwilligung über den Cookie-Banner, Kategorie „Analyse"). Eine Datenübermittlung in die USA kann stattfinden (siehe Abschnitt 5.8).

5.5 Google Ads (Conversion-Tracking & Remarketing)

Zur Erfolgsmessung unserer Werbeanzeigen und für Remarketing nutzen wir Google Ads (Conversion-ID AW-18223728613; Anbieter: Google Ireland Limited bzw. Google LLC).

Nach Ihrer Einwilligung in die Kategorie „Marketing" wird auf allen Seiten dieser Website ein Google-Tag geladen. Dabei werden Ihre Seitenaufrufe an Google übermittelt, einschließlich der aufgerufenen Adresse (URL), des Zeitpunkts, der verweisenden Seite sowie allgemeiner Geräte- und Browserangaben, und mit einer Werbe-Kennung in einem Cookie verknüpft. Diese Daten dienen der Reichweiten- und Conversion-Messung und dazu, Ihnen später Werbung von uns anzuzeigen (Remarketing).

Hinweis zu Gesundheitsbezug: Ein Teil unserer Inhalte behandelt Zwangsstörungen und angrenzende Themen. Da sich das Thema einer Seite bereits aus ihrer Adresse ergeben kann, lässt die Übermittlung insoweit Rückschlüsse auf ein entsprechendes Interesse zu. Diese Verarbeitung findet ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung statt und unterbleibt vollständig, wenn Sie die Kategorie „Marketing" ablehnen.

Nicht übermittelt werden Klartext-Identifikatoren wie Name, E-Mail-Adresse oder Telefonnummer. „Enhanced Conversions" sind deaktiviert. Ihre Antworten aus dem Selbsttest, Eingaben in der App und sonstige von Ihnen erfassten Inhalte werden zu keinem Zeitpunkt an Google übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a und, soweit die Verarbeitung Rückschlüsse auf Gesundheitsdaten zulässt, Art. 9 Abs. 2 lit. a DSGVO sowie § 25 Abs. 1 TTDSG (Einwilligung über den Cookie-Banner, Kategorie „Marketing"). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen widerrufen. Eine Datenübermittlung in die USA kann stattfinden (siehe Abschnitt 5.8).

5.6 Meta Pixel und Meta Conversions API (Facebook/Instagram)

Für die Messung und Optimierung unserer Werbung auf Facebook und Instagram nutzen wir den Meta Pixel sowie die Meta Conversions API (CAPI) (Pixel-/Dataset-ID 1500116794816295; Anbieter: Meta Platforms Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland).

Die Datenerhebung erfolgt sowohl browserseitig (Meta Pixel) als auch serverseitig (Conversions API über unseren Server, siehe Abschnitt 5.7). Beide Wege übermitteln dasselbe Ereignis mit einer gemeinsamen Ereignis-Kennung, damit Meta doppelte Übermittlungen erkennt und entfernt („Deduplizierung"). Es werden ausschließlich gesundheits-neutrale Ereignisse übertragen; „Advanced Matching" ist deaktiviert, sodass keine Klartext-Identifikatoren (z. B. E-Mail-Adressen) und keine Gesundheits-/Sonderkategoriendaten an Meta übermittelt werden. Die Werbe-Tags von Meta werden ausschließlich auf gesundheits-neutralen Funnel-Seiten ausgelöst, nicht auf dem Selbsttest oder symptombezogenen Inhaltsseiten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TTDSG (Einwilligung, Kategorie „Marketing"). Hinsichtlich der Verarbeitung durch Meta gehen wir von einer gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO für die Erhebung und Übermittlung der Daten aus. Eine Datenübermittlung in die USA kann stattfinden (siehe Abschnitt 5.8). Weitere Informationen finden Sie in der Datenrichtlinie von Meta: https://www.facebook.com/privacy/policy.

5.7 Server-Side-Tagging über TAGGRS (tag.ocdandme.com)

Die unter 5.4 bis 5.6 genannten Dienste werden (soweit möglich) über ein server-seitiges Tag-Management verarbeitet und an die jeweiligen Anbieter weitergeleitet. Hierfür nutzen wir den Dienst TAGGRS (Anbieter: TAGGRS B.V., K.R. Poststraat 131, 8448 EB Heerenveen, Niederlande). Die Verarbeitung läuft über unsere eigene first-party Subdomain tag.ocdandme.com, deren Server-Infrastruktur ausschließlich in der EU gehostet wird.

Vorteil dieser Architektur: Tracking-Daten werden zunächst auf einem von uns kontrollierten Server in der EU entgegengenommen, dort verarbeitet und bereinigt (insbesondere werden sensible Felder entfernt), bevor reduzierte, gesundheits-neutrale Daten an Google bzw. Meta weitergeleitet werden. In diesem Zusammenhang kann ein server-seitig gesetztes first-party Cookie (FPID) verwendet werden. Soweit TAGGRS hierbei als Auftragsverarbeiter tätig wird, erfolgt die Verarbeitung auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO. Rechtsgrundlage richtet sich nach dem jeweils weitergeleiteten Dienst (in der Regel Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TTDSG).

5.8 Datenübermittlung in die USA (Drittlandtransfer)

Bei der Nutzung von Google- und Meta-Diensten kann es zu einer Übermittlung personenbezogener Daten an Google LLC bzw. Meta Platforms Inc. in den USA kommen. Beide Anbieter sind unter dem EU-US Data Privacy Framework (DPF) zertifiziert, das ein angemessenes Datenschutzniveau gewährleisten soll. Ergänzend bzw. soweit erforderlich stützen wir die Übermittlung auf Standardvertragsklauseln (SCCs) der EU-Kommission. Trotz dieser Maßnahmen kann bei einer Übermittlung in die USA nicht ausgeschlossen werden, dass US-Behörden zu Überwachungszwecken auf Daten zugreifen. Mit Ihrer Einwilligung in die entsprechenden Cookie-Kategorien willigen Sie zugleich in eine mögliche Datenübermittlung in die USA gemäß Art. 49 Abs. 1 lit. a DSGVO ein.

5.9 Eingesetzte Cookies und Technologien (Auswahl)

Nach Ihrer Einwilligung können insbesondere folgende Cookies bzw. Technologien zum Einsatz kommen:

Name	Anbieter	Zweck	Kategorie	Speicherdauer (max.)
cc_cookie	ocd&me	Speichert Ihre Cookie-Einwilligung	Notwendig	6 Monate (182 Tage)
_ga, _ga_*	Google	Analyse/Statistik (Unterscheidung von Besuchern)	Analyse	2 Jahre
_gcl_*	Google	Conversion-Messung Google Ads	Marketing	90 Tage
FPID	ocd&me (server-seitig)	First-party Kennung für server-seitiges Tagging	Analyse/Marketing	2 Jahre
_fbp	Meta	Identifikation des Browsers für Werbezwecke	Marketing	90 Tage
_fbc	Meta	Speichert Klick-Kennung aus Meta-Anzeigen	Marketing	90 Tage

Die angegebenen Speicherdauern sind Maximalwerte; tatsächlich können Cookies früher ablaufen oder von Ihnen jederzeit über die Cookie-Einstellungen bzw. Ihren Browser gelöscht werden. Für die anbieterseitigen Cookies (_ga, _gcl_*, _fbp, _fbc) sind im Zweifel die jeweils aktuellen Angaben der Anbieter maßgeblich.

6. Nutzung der ocd&me-Web-App (app.ocdandme.com)

Bei der Nutzung der App werden zusätzlich folgende Daten verarbeitet:

• Registrierungsdaten (E-Mail-Adresse; bei Premium ggf. Zahlungsinformationen)
• Inhaltsdaten, die der Nutzer selbst eingibt (z. B. Angaben zu Zwangsgedanken, Expositionsübungen, Protokolle)

Da es sich hierbei um Gesundheitsdaten im Sinne von Art. 9 DSGVO handeln kann, erfolgt die Verarbeitung nur auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Diese Einwilligung kann jederzeit in den Kontoeinstellungen mit Wirkung für die Zukunft widerrufen werden. Die Löschung der Gesundheitsdaten erfolgt, sobald das Nutzerkonto gelöscht oder eine Löschung angefordert wird, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

7. Zahlungsabwicklung

Die Zahlungsabwicklung erfolgt über Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland. Stripe verarbeitet Zahlungsdaten (z. B. Kreditkartennummer, Bankverbindung). Eine Datenübertragung in die USA kann stattfinden (Standardvertragsklauseln). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

8. Vertragswiderruf (Widerrufsbutton)

Über den Widerrufsbutton können Sie einen über die ocd&me-Web-App abgeschlossenen Vertrag (Premium-Abonnement) ohne Anmeldung widerrufen (§ 356a BGB). Im Rahmen dieses Vorgangs verarbeiten wir:

• Ihren Namen,
• Ihre E-Mail-Adresse (zur Identifikation Ihres Vertrags und für die Eingangsbestätigung),
• optional und freiwillig einen von Ihnen angegebenen Grund für den Widerruf,
• den Zeitpunkt des Eingangs sowie (aus technischen Sicherheitsgründen) Ihre auf das Netzwerk gekürzte (anonymisierte) IP-Adresse und die Browserkennung (User-Agent).

Aus Ihrer E-Mail-Adresse leiten wir eine Vertragsnummer sowie einen Prüfwert (Hash) ab, um Ihren Widerruf Ihrem bestehenden Vertrag zuzuordnen. Den Eingang Ihres Widerrufs bestätigen wir Ihnen unverzüglich automatisiert per E-Mail (dauerhafter Datenträger) mit Datum, Uhrzeit und dem Wortlaut Ihrer Erklärung.

Zweck: Entgegennahme, Nachweis und Bearbeitung des Widerrufs sowie Rückabwicklung des Vertrags (Beendigung des Abonnements und etwaige Rückerstattung). Empfänger: internes Kundenserviceteam; zur Beendigung des Abonnements und für Rückerstattungen der Zahlungsdienstleister Stripe (siehe Abschnitt „Zahlungsabwicklung"). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. -rückabwicklung) sowie Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflicht nach § 356a BGB einschließlich Nachweispflicht). Speicherdauer: Aufbewahrung zu Nachweiszwecken bis zum Ablauf möglicher gesetzlicher Verjährungsfristen (in der Regel drei Jahre), anschließend Löschung; abrechnungsrelevante Daten gemäß den gesetzlichen Aufbewahrungsfristen.

9. Therapeuten-Verzeichnis

Einträge im Verzeichnis (Information für gelistete Therapeuten nach Art. 14 DSGVO)

Auf ocdandme.com betreiben wir ein Verzeichnis von Psychotherapeuten mit Schwerpunkt Zwangsstörungen. Hierfür verarbeiten wir ausschließlich berufsbezogene Daten der gelisteten Therapeuten: Name, Titel/Berufsbezeichnung, Praxisname und -anschrift, berufliche Kontaktdaten (Telefon, E-Mail, Website), Angaben zu Behandlungsschwerpunkten, Therapieverfahren, Sprachen und Abrechnungsarten sowie ggf. Angaben zum beruflichen Werdegang. Die Daten stammen aus öffentlich zugänglichen Quellen (u. a. Praxis-Websites sowie öffentliche Therapeuten- und Kammerverzeichnisse); die Herkunft dokumentieren wir je Eintrag. Zweck: Betroffenen das Auffinden spezialisierter Behandler zu erleichtern. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem fachlich kuratierten Verzeichnis; verarbeitet werden ausschließlich berufsbezogene, von den Therapeuten selbst veröffentlichte Angaben). Speicherdauer: solange der Eintrag gelistet ist. Gelistete Therapeuten können der Verarbeitung jederzeit widersprechen (Art. 21 DSGVO) sowie Korrektur oder Entfernung ihres Eintrags verlangen: mail@ocdandme.com. Entfernungswünsche setzen wir dauerhaft um.

Anfragen an Therapeuten (Anfrageformular auf Profilseiten)

Auf Profilseiten mit Premium-Eintrag können Sie über ein Anfrageformular direkt Kontakt zur jeweiligen Praxis aufnehmen. Verarbeitet werden dabei: Ihr Name, Ihre E-Mail-Adresse, optional Ihre Telefonnummer, die gewünschte Terminart sowie Ihre Nachricht. Ihre Anfrage wird ausschließlich per E-Mail an die von der Praxis hinterlegte Adresse weitergeleitet; den Inhalt Ihrer Anfrage speichern wir nicht auf unseren Systemen. Zur Missbrauchsabwehr protokollieren wir lediglich den Zeitpunkt, das angefragte Profil und einen Prüfwert (Hash) Ihrer IP-Adresse. Da Ihre Nachricht Gesundheitsdaten enthalten kann (bereits die Kontaktaufnahme mit einem auf Zwangsstörungen spezialisierten Therapeuten kann Rückschlüsse auf Ihren Gesundheitszustand zulassen), erfolgt die Verarbeitung nur mit Ihrer ausdrücklichen Einwilligung, die Sie im Formular erteilen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen; da wir den Inhalt nicht speichern, betrifft der Widerruf die weitere Verarbeitung durch uns. Für die Verarbeitung Ihrer Anfrage nach Zustellung ist die jeweilige Praxis datenschutzrechtlich eigenständig verantwortlich.

Premium-Eintrag: Bestellung und Verwaltung (für Therapeuten)

Bestellen Sie als Therapeutin oder Therapeut einen kostenpflichtigen Premium-Eintrag, verarbeiten wir die im Bestellformular angegebenen Daten (Name, Praxisname, Rechnungsanschrift, E-Mail-Adresse, optional Telefonnummer und Anmerkungen) zur Vertragsanbahnung, Vertragsdurchführung und Abrechnung; den Eingang der Bestellung bestätigen wir per E-Mail. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Aufbewahrung von Rechnungs- und Buchungsunterlagen zusätzlich Art. 6 Abs. 1 lit. c DSGVO i. V. m. den handels- und steuerrechtlichen Aufbewahrungspflichten (§ 257 HGB, § 147 AO: sechs bzw. zehn Jahre). Zur Selbstverwaltung des Eintrags versenden wir auf Anforderung einen zeitlich begrenzten, signierten Bearbeitungslink an die bei der Bestellung hinterlegte E-Mail-Adresse (kein Passwort erforderlich). Die über das Bearbeitungsformular vorgenommenen Profil-Änderungen einschließlich hochgeladener Profilbilder speichern wir in unserem Content-Management-System und veröffentlichen sie nach redaktioneller Prüfung. Für hochgeladene Bilder sichern Sie zu, über die erforderlichen Nutzungsrechte zu verfügen.

10. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie dies für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen. Gesundheitsdaten in der App können jederzeit vom Nutzer gelöscht werden.

11. Ihre Rechte

Nach der DSGVO haben Sie folgende Rechte:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Ihnen steht zudem ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu. Die für uns zuständige Aufsichtsbehörde ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) Kavalleriestraße 2-4, 40213 Düsseldorf https://www.ldi.nrw.de

12. Datensicherheit

Unsere Websites und die App nutzen eine SSL-/TLS-Verschlüsselung. Eingegebene Daten werden nur verschlüsselt übertragen.

13. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung oder ein Profiling im Sinne des Art. 22 DSGVO findet nicht statt.