Datenschutzerklärung

Stand: Oktober 2026

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung:
The Strength Hack UG (haftungsbeschränkt) i.G., vertreten durch den Geschäftsführer Murk Creusen
Ravenestr. 5, 13347 Berlin, Deutschland
E-Mail: murk@strength-hack.com

Ein Datenschutzbeauftragter ist aufgrund der Unternehmensgröße gesetzlich nicht bestellt (Schwelle gemäß Art. 37 DSGVO, § 38 BDSG nicht erreicht). Anfragen zum Datenschutz richten Sie bitte direkt an die oben genannte E-Mail-Adresse.

2. Verarbeitete Daten und Zwecke

Zugriffsdaten (IP-Adresse*, Datum/Uhrzeit, Browser, Gerät) – zur technischen Bereitstellung und Sicherheit.
Kontodaten (Name, E-Mail) – zur Registrierung, Authentifizierung und Vertragsabwicklung.
Nutzungsdaten (Team-, Profil-, Assessment-Informationen) – zur Funktion und Personalisierung der Plattform.
Zahlungsdaten – werden über den Zahlungsdienstleister Stripe verarbeitet.

*IP-Adressen werden, wo möglich, anonymisiert gespeichert.

3. Rechtsgrundlagen

Art. 6 Abs. 1 lit. b DSGVO – Vertrag / Vertragsanbahnung
Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse (Betrieb und Sicherheit)

4. Dienste & Empfänger

Datenbank / Datenspeicherung: Google Cloud Firestore (Anbieter: Google Ireland Ltd. bzw. Google LLC) — Speicherort: Europäische Union (EU-Multiregion „eur3“, Rechenzentren in Belgien und den Niederlanden). Hier werden Ihre Profil-, Assessment-, Team-, Canvas-, Coaching- und Programmdaten dauerhaft gespeichert. AVV gem. Art. 28 DSGVO liegt vor. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Anmeldung (Firebase Authentication): Google LLC, USA. Für die Anmeldung werden Name, E-Mail-Adresse, Anmeldemethode und technische Anmeldedaten verarbeitet. Google bietet für diesen Dienst keine Wahl des Speicherorts an; die Daten werden in den USA gespeichert. Übermittlung auf Grundlage des EU-US Data Privacy Frameworks (Google LLC ist zertifiziert) sowie der EU-Standardvertragsklauseln. AVV gem. Art. 28 DSGVO liegt vor. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Serverfunktionen und Webanwendung: Google LLC / Firebase (Cloud Functions, App Hosting). Diese Dienste verarbeiten Ihre Daten, um z. B. E-Mails zu versenden, Berichte zu erzeugen oder Zahlungen zu verbuchen, speichern sie aber nicht dauerhaft — dauerhaft gespeichert wird ausschließlich in der oben genannten EU-Datenbank. Die Serverfunktionen laufen derzeit in Rechenzentren von Google in den USA (us-central1, Iowa); die Umstellung auf EU-Rechenzentren ist in Vorbereitung, diese Seite wird danach aktualisiert. Übermittlung auf Grundlage des EU-US Data Privacy Frameworks sowie der EU-Standardvertragsklauseln. AVV gem. Art. 28 DSGVO liegt vor. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Zahlung: Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland. AVV gem. Art. 28 DSGVO liegt vor. Verarbeitete Daten: Zahlungsdaten, E-Mail-Adresse, Transaktionsdaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Kommunikation: Google Ireland Ltd. (Google Workspace), Gordon House, Barrow Street, Dublin 4, Irland. EU-Rechenzentren. AVV gem. Art. 28 DSGVO liegt vor. Verarbeitete Daten: E-Mail-Adressen, Nachrichteninhalte. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.
Webanalyse (nur mit Einwilligung): PostHog Inc., 965 Mission St, San Francisco, CA, USA — EU-Cloud-Instanz (Frankfurt). AVV abgeschlossen. Verarbeitete Daten: Seitenaufrufe, Klick-Events, Nutzer-ID. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
Webanalyse (nur mit Einwilligung): Google LLC (Google Analytics 4) — Serverstandort: USA. Datenübermittlung auf Grundlage des EU-US Data Privacy Frameworks. Verarbeitete Daten: Seitenaufrufe, Events, anonymisierte Nutzer-ID. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

5. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie dies für die Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen. Im Einzelnen:

Kontodaten (Name, E-Mail): Löschung 30 Tage nach endgültiger Account-Löschung.
Zahlungsdaten (Rechnungen, Transaktionen): 10 Jahre gemäß §147 AO und §257 HGB.
Zugriffslogs (IP-Adressen, Zeitstempel): 7 Tage, danach automatische Löschung.
Assessment- und Profildaten (Stärkenprofile, Ergebnisse): Löschung gemeinsam mit dem Account.
Team-Daten (Mitgliedschaften, Canvas, Berichte): Löschung bei Auflösung des Teams oder des letzten Mitglieds-Accounts.

6. Betroffenenrechte

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit
Widerspruch gegen Verarbeitungen gemäß Art. 6 Abs. 1 lit. f DSGVO
Widerruf von Einwilligungen mit Wirkung für die Zukunft
Beschwerderecht bei einer Aufsichtsbehörde (z. B. Berliner Beauftragte für Datenschutz)

7. Cookies & Einwilligung

Wir setzen technisch notwendige Cookies für Login und Session-Management (§25 Abs. 2 TDDDG, keine Einwilligung erforderlich). Darüber hinaus setzen wir Analyse-Cookies (Google Analytics 4, PostHog) nur nach Ihrer ausdrücklichen Einwilligung gemäß §25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung kann jederzeit über den Cookie-Banner oder per E-Mail an murk@strength-hack.com widerrufen werden.

8. Sicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen (z. B. TLS-Verschlüsselung, Zugriffsbeschränkungen), um Ihre Daten vor Verlust oder unbefugtem Zugriff zu schützen.

9. KI-gestützte Funktionen

Die Plattform bietet KI-gestützte Coaching- und Analysefunktionen. Hinweis gemäß Art. 50 EU AI Act: Die Coaching-Texte, Team-Analysen und Feedback-Inhalte werden durch ein KI-System erzeugt.

Anbieter: Google Ireland Ltd. (Gemini API, Modelle: gemini-3.5-flash und gemini-3.1-flash-lite), Gordon House, Barrow Street, Dublin 4, Irland.
Verarbeitete Daten: Stärkenprofile, Assessment-Ergebnisse, Team-Zusammensetzung und Nutzereingaben (z. B. Coaching-Fragen). Personenbezogene Daten werden auf das für die Funktion notwendige Minimum beschränkt.
Kein Modelltraining: Ihre Daten werden nicht zum Training oder zur Verbesserung von KI-Modellen verwendet (gemäß Google Gemini API Terms of Service).
Serverstandort: Die Anfragen an Gemini laufen über die Google Gemini Developer API. Diese nutzt die globale Infrastruktur von Google und ist nicht auf eine Region beschränkt — wir können daher aktuell keinen ausschließlich europäischen (EU/EWR) Verarbeitungsstandort für diesen Verarbeitungsschritt zusichern. Eine Umstellung auf eine EU-Region über Google Cloud Vertex AI ist vorbereitet und wird umgesetzt, sobald die dafür nötige Google-Cloud-Infrastruktur eingerichtet ist; diese Seite wird entsprechend aktualisiert.
Kein Klarname erreicht Google — auch nicht Ihr eigener: Bei allen team-bezogenen KI-Funktionen (Team-Synergie-Report, Team-Personas, Delegation Matrix, Team-Coaching-Chat, Meeting-Vorbereitung) ersetzt unser Server automatisch die Namen aller Teammitglieder — auch in Freitextfeldern wie Team-Canvas-Notizen — durch neutrale Platzhalter (z. B. „Team-Mitglied A“, „Team-Mitglied B“), bevor überhaupt eine Anfrage an Gemini gesendet wird. Google erhält dadurch zu keinem Zeitpunkt die echten Namen Ihrer Kolleginnen und Kollegen. Erst nachdem die KI geantwortet hat, setzt unser Server die Platzhalter serverseitig wieder durch die echten Namen zurück, bevor Ihnen das Ergebnis angezeigt wird — auch bei Antworten, die live Wort für Wort einblendet werden („Streaming“). Bei rein persönlichen KI-Funktionen (persönlicher Report, Wochenfokus, geführtes Onboarding, persönlicher Coaching-Chat) wird auf dieselbe Weise sogar Ihr eigener Name durch einen Platzhalter ersetzt, bevor die Anfrage Google erreicht — Google erhält also zu keinem Zeitpunkt Ihren echten Namen im Klartext, auch nicht bei Anfragen, die nur Ihre eigenen Daten betreffen. Dies ist Pseudonymisierung im Sinne von Art. 4 Nr. 5 DSGVO: Die Zuordnung zwischen Platzhalter und echtem Namen wird für jede Anfrage neu erzeugt und verlässt zu keinem Zeitpunkt unsere Server — sie wird weder an Google übermittelt noch dort gespeichert. Selbst im hypothetischen Fall eines Sicherheitsvorfalls bei Google enthielten die dort verarbeiteten Texte keine echten Namen, die sich einer bestimmten Person zuordnen ließen.
Keine Klartext-Protokollierung auf unseren Servern: Unsere Serverprotokolle enthalten keine Rohinhalte von KI-Anfragen oder -Antworten (also keine Stärkenprofile, Team-Daten oder Coaching-Texte im Klartext) — zur Fehlerdiagnose werden ausschließlich technische Metadaten wie Textlängen protokolliert. Auch unsere eigenen Mitarbeitenden können Inhalte Ihrer KI-Gespräche daher nicht über Server-Logs einsehen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — die KI-Funktionen sind Bestandteil des gebuchten Dienstes).

9a. Team-Check über eine Coach-Praxis

Zertifizierte Coaches können einen öffentlichen Link zu unserem kostenlosen Team-Check teilen. Wenn du über einen solchen Link den Team-Check machst, siehst du Name, Bild und Buchungslink der Coach-Praxis, und auf der Ergebnisseite kannst du die Praxis um Kontakt bitten.

Daten: Bei einer Kontaktanfrage speichern wir deinen Namen, deine E-Mail-Adresse, optional den Namen deines Teams und eine Nachricht sowie den Zeitpunkt und die Fassung deiner Einwilligung. Wir senden dir zuerst eine E-Mail mit einem Bestätigungslink (Double-Opt-in); der Link enthält keine personenbezogenen Daten.
Weitergabe: Erst nach deiner Bestätigung geben wir die Anfrage per E-Mail an die Coach-Praxis weiter, die du angefragt hast. Ohne Bestätigung erfährt die Praxis nichts. Die Coach-Praxis ist für ihre weitere Kontaktaufnahme selbst verantwortlich; wir senden dir in diesem Zusammenhang keine eigenen Werbe-E-Mails.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung); den Versand der Bestätigungs-E-Mail stützen wir auf Art. 6 Abs. 1 lit. b DSGVO (auf deine Anfrage).
Speicherdauer: Nicht bestätigte Anfragen löschen wir nach 7 Tagen, bestätigte nach 12 Monaten.
Widerruf: Du kannst deine Einwilligung jederzeit formlos unter murk@strength-hack.com widerrufen (siehe Abschnitt 6).
Team-Check selbst: Die Antworten des Team-Checks werden wie beim Team-Check ohne Coach-Link verarbeitet. Kommst du über den Link einer Coach-Praxis, erhältst du von uns keine Ergebnis- und Nachfass-E-Mails des normalen Team-Check-Ablaufs.

10. Internationale Datenübermittlungen

Ihre Plattformdaten werden in der Europäischen Union gespeichert. Die Datenbank (Google Cloud Firestore) liegt in der EU-Multiregion „eur3“ mit Rechenzentren in Belgien und den Niederlanden. Das betrifft alle Profil-, Assessment-, Team-, Canvas-, Coaching- und Programmdaten.

In folgenden Fällen werden Daten in die USA übermittelt:

Anmeldung: Firebase Authentication speichert Name, E-Mail-Adresse und Anmeldedaten in den USA. Google bietet für diesen Dienst keine EU-Speicherung an.
Serverfunktionen: Die Cloud Functions laufen derzeit in den USA (us-central1) und verarbeiten dort Daten vorübergehend, ohne sie dauerhaft zu speichern. Die Umstellung auf EU-Rechenzentren ist in Vorbereitung.
KI-Funktionen: siehe Abschnitt 9 — Namen werden vor der Übermittlung durch Platzhalter ersetzt.
Google Analytics (nur mit Einwilligung).

Diese Übermittlungen erfolgen auf Grundlage des EU-US Data Privacy Frameworks(Google LLC und Stripe Inc. sind jeweils zertifiziert) sowie ergänzend auf Basis der EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO. Für Google Analytics gilt zusätzlich die IP-Anonymisierung; für PostHog werden Daten ausschließlich über die EU-Cloud-Instanz (Frankfurt) verarbeitet.

11. Bewerbungsdaten (Coach-Bewerbung)

Wenn du dich über die Seite „Für Coaches“ für unsere Coach-Ausbildung bewirbst, verarbeiten wir die Angaben, die du im Formular machst: Berufserfahrung in Jahren, ob und mit wie vielen Teams in Unternehmen du arbeitest, deinen Schwerpunkt, das Kundenteam, mit dem du das Programm durchlaufen würdest (in Stichworten, ohne Firmennamen), die gewünschte Kohorte, optional die Adresse deines LinkedIn-Profils und deine Motivation – zusammen mit deinem Namen, deiner E-Mail-Adresse und dem Zeitpunkt deiner Einwilligung.

Zweck: Wir prüfen deine Bewerbung und entscheiden über die Aufnahme in die Ausbildung. Dazu informieren wir uns per E-Mail und kontaktieren dich bei Rückfragen; ein Kennenlerngespräch (ca. 20 Minuten) wird nicht aufgezeichnet, Notizen dazu sind intern.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf deine Anfrage).
Empfänger: Nur interne Administrator:innen von The Strength Hack. Die Daten sind für andere Nutzer:innen nicht lesbar und werden nicht an Dritte weitergegeben; die E-Mails verschicken wir über unseren E-Mail-Dienst (siehe Abschnitt 4).
Speicherdauer: Angenommene Bewerbungen bleiben für die Dauer der Ausbildung bzw. Zertifizierung gespeichert. Abgelehnte Bewerbungen löschen wir nach 6 Monaten. Mit der Löschung deines Kontos löschen wir auch deine Bewerbung. Eine abgelehnte Bewerbung kannst du nach 30 Tagen erneuern.
Deine Rechte: Auskunft, Berichtigung und Löschung kannst du jederzeit unter murk@strength-hack.com verlangen (siehe Abschnitt 6).

11a. Webinar-Anmeldung (Coach-Webinar)

Wenn du dich für unser kostenloses Coach-Webinar anmeldest, verarbeiten wir deinen Vornamen, deine E-Mail-Adresse, optional das Thema, das du nennst, und die Version der Einwilligung, die du erteilt hast.

Zweck und Rechtsgrundlage: Durchführung des Webinars und Versand von Zugangslink und Kalendereintrag auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Wir arbeiten mit Double-Opt-in: Erst wenn du den Link in der Bestätigungs-E-Mail anklickst, speichern wir die Anmeldung als bestätigt und senden dir den Zugangslink. Ohne Bestätigung passiert nichts.
Informationen zur Kohorte: Nur wenn du die zweite, optionale Einwilligung ankreuzt, informieren wir dich nach dem Webinar über die Coach-Kohorte. Beide Einwilligungen kannst du jederzeit widerrufen.
Speicherdauer: Unbestätigte Anmeldungen löschen wir nach wenigen Tagen, bestätigte spätestens 90 Tage nach dem Webinar.
Empfänger: Interne Administrator:innen; der Videokonferenz- und der E-Mail-Dienst als Auftragsverarbeiter (siehe Abschnitt 4). Die Aufzeichnung des Webinars ist für Angemeldete eine begrenzte Zeit abrufbar.
Deine Rechte: Auskunft, Berichtigung, Löschung und Widerruf unter murk@strength-hack.com (siehe Abschnitt 6).

11b. Teilnahme an der Coach-Kohorte

Wenn du in eine Coach-Kohorte aufgenommen wirst und deinen Platz bestätigst, verarbeiten wir zur Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) folgende Daten:

Zahlung: Die Zahlung läuft über Stripe (siehe Abschnitt 4). Wir speichern Betrag, Zeitpunkt, Kohorte und die Stripe-Referenzen, nicht deine Zahlungsmittel. Eine Rückerstattung (Rückgaberecht) führt zur Rücknahme des Platzes und der enthaltenen Credits. Zahlungs- und Rechnungsdaten bewahren wir nach den gesetzlichen Aufbewahrungsfristen auf (Art. 6 Abs. 1 lit. c DSGVO); sie sind von einer Kontolöschung insoweit ausgenommen.
Programmdaten: deine Praxis und die gutgeschriebenen Credits, deine Checkliste (automatisch von der Plattform abgehakt oder von dir bestätigt), Prüfungsergebnisse und deine Squad-Zugehörigkeit. Deine Squad-Kolleg:innen sehen deinen Namen und deine Beiträge in der Squad, nicht die Daten deiner Praxis oder deiner Klient:innen.
Beitrittslinks und Materialien sind nur für Teilnehmende mit bezahltem Platz sichtbar.
Empfehlungslink: Wenn du einen Empfehlungslink nutzt, verarbeiten wir Klicks und Abonnements, die dir zugerechnet werden, zur Abrechnung der Gutschrift.
Fotos und Aufzeichnungen (z. B. beim Kickoff-Tag) nur mit gesonderter Einwilligung.
Deine Rechte: siehe Abschnitt 6, unter murk@strength-hack.com.

12. Änderungen

Diese Datenschutzerklärung kann aktualisiert werden, wenn sich unsere Datenverarbeitung ändert. Die aktuelle Fassung finden Sie stets auf dieser Seite.