Datenschutz­erklärung

Für die Webseite catarinaplant.de und die App app.catarinaplant.de. Stand: Oktober 2026.

1. Auf einen Blick

Wir verarbeiten nur die Daten, die für Catarina plant nötig sind. Webseite und App setzen keine Werbedienste ein. Die Nutzung messen wir mit Google Analytics, aber nur, wenn du zustimmst: auf der Webseite im Cookie-Banner (Abschnitt 3), in der App beim ersten Öffnen oder im Profil (Abschnitt 4.9). Bei Kind-Konten messen wir nie. Weitere Inhalte von Dritten binden Webseite und App nicht ein (keine externen Schriften, keine Karten, keine Social-Media-Knöpfe). Cookies, die nicht technisch notwendig sind, setzen Webseite und App nur nach deiner Zustimmung.

2. Verantwortlich

Mastlicht Studio UG (haftungsbeschränkt), Frankfurter Landstraße 35, 63452 Hanau, vertreten durch den Geschäftsführer Maximilian Priess. E-Mail: hallo@catarinaplant.de, Telefon: +49 (0) 6181 5032205. Weitere Angaben im Impressum.

Einen Datenschutzbeauftragten haben wir nicht benannt, weil wir dazu nicht verpflichtet sind. Fragen zum Datenschutz richtest du bitte an hallo@catarinaplant.de.

3. Webseite catarinaplant.de

Aufruf der Seiten. Beim Aufruf verarbeitet unser Hosting-Anbieter Hostinger die technisch nötigen Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser) in Server-Protokollen, um die Seite auszuliefern und vor Angriffen zu schützen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb). Die Protokolle löscht Hostinger nach seinen Fristen.

Buchung, Kündigung, Widerruf. Die Formulare auf catarinaplant.de/buchen/ und catarinaplant.de/kuendigen/ schicken deine Angaben direkt an unsere App (app.catarinaplant.de). Die Webseite selbst speichert nichts. Was die App damit macht, steht in Abschnitt 4.

Herkunftscode. Kommst du über einen Link mit Herkunftscode auf die Seite (etwa von einem Flyer oder einem Partnerverein, erkennbar an ?ref= oder utm_source= in der Adresse), merkt sich dein Browser diesen Code für die Dauer des Besuchs (Session Storage) und schickt ihn mit einer Buchung mit. So sehen wir, welche Wege zu Buchungen führen. Der Code enthält keine Angaben über dich; ohne Buchung erfahren wir nichts davon. Rechtsgrundlage ist § 25 Abs. 2 TDDDG und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Auswertung unserer Werbewege).

E-Mail an uns. Schreibst du uns, verwenden wir deine Angaben nur zur Bearbeitung deiner Anfrage (Art. 6 Abs. 1 lit. b bzw. f DSGVO).

Google Analytics (nur mit Einwilligung)

Stimmst du im Cookie-Banner zu, nutzen wir auf catarinaplant.de Google Analytics 4, einen Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“). So sehen wir, welche Seiten gelesen werden, über welche Wege Besucher:innen zu uns finden und wo wir die Seite verbessern sollten. Ohne deine Zustimmung lädt die Webseite nichts von Google. Für die App fragen wir gesondert, siehe Abschnitt 4.9.

Was erfasst wird. Aufgerufene Seiten und Verweildauer, Scrolltiefe und Klicks auf Links zu anderen Seiten, die Seite, von der du kommst, die ungefähre Region (abgeleitet aus der IP-Adresse, die Google nach eigenen Angaben nicht speichert), Gerätetyp, Betriebssystem, Browser und Bildschirmgröße sowie eine zufällige Kennung deines Browsers. Dafür setzt Google Analytics die Cookies _ga und _ga_<Kennung>, deren Laufzeit wir auf 13 Monate begrenzt haben. Google-Signale, personalisierte Werbung und eine Verknüpfung mit Google Ads sind ausgeschaltet. Wir sehen die Auswertungen nur zusammengefasst und führen sie nicht mit Konten der App oder mit Buchungen zusammen.

Speicherdauer. Die einzelnen Ereignisse löscht Google nach 2 Monaten (Einstellung in unserem Analytics-Konto), die Cookies laufen nach spätestens 13 Monaten ab.

Rechtsgrundlage und Widerruf. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, über „Cookie-Einstellungen“ unten auf jeder Seite. Dann löschen wir die Analytics-Cookies in deinem Browser und laden nichts mehr von Google.

Übermittlung in die USA. Google kann Daten auch an die Google LLC in den USA übermitteln. Die Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert; für solche Unternehmen gilt der Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Mit Google besteht ein Vertrag zur Auftragsverarbeitung. Mehr dazu in der Datenschutzerklärung von Google unter policies.google.com/privacy.

Deine Wahl im Browser. Ob du zugestimmt oder abgelehnt hast, speichert dein Browser 12 Monate lang im Local Storage (Eintrag catarina-consent), damit der Banner nicht bei jedem Aufruf erscheint. Danach fragen wir erneut. Dieser Eintrag ist technisch notwendig und braucht keine Einwilligung (§ 25 Abs. 2 TDDDG).

4. App und Abo

4.1 Buchung und Vertrag

Bei der Buchung verarbeiten wir Name, Anschrift, E-Mail-Adresse, auf Wunsch Telefonnummer, gewähltes Paket, Coupon, Kontoinhaber:in, IBAN und gegebenenfalls BIC sowie als Nachweis die Fassung der AGB und des Lastschriftmandats, der du zugestimmt hast, den Zeitpunkt, die IP-Adresse und die Browserkennung, dazu gegebenenfalls den Herkunftscode (siehe Abschnitt 3). Daraus entstehen deine Kundennummer und die Mandatsreferenz. Die IBAN speichern wir verschlüsselt (AES-256-GCM).

Zweck: Abschluss und Durchführung des Vertrags, Abrechnung per SEPA-Lastschrift, Nachweis von Vertragsschluss und Mandat. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), lit. c (Aufbewahrungspflichten) und lit. f (Nachweis und Schutz vor Missbrauch).

4.2 Nutzung der App

Zweck ist die Bereitstellung der App für eure Familie; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit der buchenden Person; für eingeladene Personen die Nutzungsregeln der AGB) und lit. f (Betrieb und Sicherheit).

Angaben über Kinder tragen die Eltern oder von ihnen eingeladene Personen ein. Bitte tragt nur ein, was für die Organisation nötig ist, und nur mit dem Einverständnis der Sorgeberechtigten. Kind-Konten richtet eine sorgeberechtigte Person ein.

Sichtbar sind die Daten nur innerhalb eurer Familie: Alle Mitglieder, auch Helfer:innen und Kind-Konten, sehen die Termine der Familie und den Chat dazu. Terminvorschläge sehen bis zur Freigabe nur die Organisator:innen und wer sie eingestellt hat.

4.3 Kündigung und Widerruf

Über das Formular auf catarinaplant.de/kuendigen/ verarbeiten wir Name, E-Mail-Adresse, Kundennummer, deine Nachricht, Art der Erklärung (Kündigung oder Widerruf), Zeitpunkt und IP-Adresse, um die Erklärung deinem Vertrag zuzuordnen und sie zu bestätigen (Art. 6 Abs. 1 lit. b und c DSGVO).

4.4 Zahlung

Jeden Monat erzeugen wir eine Lastschriftdatei mit Name der Kontoinhaber:in, IBAN, Betrag, Mandatsreferenz und Belegnummer und reichen sie bei unserer Bank ein. Die Bank verarbeitet diese Daten für den Einzug. Geht eine Lastschrift zurück, erhalten wir von der Bank den Grund.

Für die Buchhaltung erstellen wir in Lexware Office (Haufe-Lexware GmbH & Co. KG, Freiburg) eine monatliche Sammelrechnung. Sie enthält keine Daten einzelner Familien, nur die Summe je Paket und Preis. Jede Familie bekommt einen eigenen Beleg per E-Mail.

4.5 E-Mails

Transaktions-E-Mails (Buchung, Belege, Erinnerungen, Kündigung, gewählte Benachrichtigungen) versenden wir über Resend (Resend, Inc., USA) von Servern in der EU (Irland). Mit Resend besteht ein Vertrag zur Auftragsverarbeitung; für den Fall eines Zugriffs aus den USA sind die EU-Standardvertragsklauseln vereinbart (Art. 46 Abs. 2 lit. c DSGVO).

Jede verschickte E-Mail (Empfänger, Betreff, Inhalt, Versandstatus) protokollieren wir für Nachweis und Support. E-Mails mit Zugangslinks protokollieren wir ohne den Link. Die Einträge löschen wir nach 12 Monaten automatisch (Art. 6 Abs. 1 lit. b und f DSGVO).

4.6 Neuigkeiten per E-Mail (nur mit Einwilligung)

Neuigkeiten und Angebote schicken wir nur, wenn du ausdrücklich eingewilligt hast, bei der Buchung per Häkchen oder im Profil mit Bestätigung per E-Mail (Double-Opt-in). Wir speichern E-Mail-Adresse, Vorname, Wortlaut, Zeitpunkt und IP-Adresse der Einwilligung sowie die verschickten Mails. Öffnungen und Klicks messen wir nicht. Du kannst die Einwilligung jederzeit widerrufen: über den Link in jeder Mail, direkt im Mailprogramm oder im Profil. Nach dem Widerruf speichern wir deine Adresse nur noch als Sperrvermerk, damit du nichts mehr bekommst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Nach Vertragsende schreiben wir höchstens 12 Monate lang.

4.7 Cookies

Die App setzt zwei technisch notwendige Cookies: cp_session hält dich angemeldet (30 Tage) und cp_family merkt sich die gewählte Familie (ein Jahr). Außerdem speichert der Browser Programmteile der App zwischen, damit sie schneller startet. Dafür brauchen wir keine Einwilligung (§ 25 Abs. 2 TDDDG). Nur wenn du der Nutzungsanalyse zustimmst, kommen die Cookies von Google Analytics hinzu (Abschnitt 4.9).

4.8 Server und Protokolle

Die App läuft auf einem Server von Hostinger in Frankfurt am Main. Die technischen Protokolle des Servers (etwa Fehlermeldungen, vereinzelt mit IP- oder E-Mail-Adresse) löschen wir nach 14 Tagen automatisch. Zugriffsprotokolle mit IP-Adressen führen wir nicht. Täglich sichern wir die Datenbank; die Sicherungen löschen wir nach 14 Tagen.

4.9 Nutzungsanalyse in der App (nur mit Einwilligung)

Beim ersten Öffnen fragt dich die App, ob wir mitzählen dürfen, welche Bereiche genutzt werden. Stimmst du zu, nutzen wir dafür Google Analytics 4 der Google Ireland Limited (Angaben zu Google, zur Übermittlung in die USA und zur Auftragsverarbeitung wie in Abschnitt 3). So sehen wir, welche Funktionen ankommen und wo die App hakt. Ohne deine Zustimmung lädt die App nichts von Google.

Was Google erfährt und was nicht. An Google geht nicht die tatsächliche Adresse einer Seite, sondern nur ihre Art, zum Beispiel „/app/termine/[id]“ statt der Adresse eines bestimmten Termins. Namen, Termine, Kinder, Nachrichten, deine Familie, deine E-Mail-Adresse oder eine Kundennummer übermitteln wir nicht, und wir verknüpfen die Auswertung nicht mit deinem Konto. Erfasst werden die aufgerufenen Seitenarten und die Verweildauer, die ungefähre Region (abgeleitet aus der IP-Adresse, die Google nach eigenen Angaben nicht speichert), Gerätetyp, Betriebssystem, Browser und Bildschirmgröße sowie eine zufällige Kennung deines Browsers in den Cookies _ga und _ga_<Kennung> (Laufzeit höchstens 13 Monate). Google-Signale, personalisierte Werbung und eine Verknüpfung mit Google Ads sind ausgeschaltet.

Nie bei Kindern. Kind-Konten werden nicht gefragt und nie gemessen, auch dann nicht, wenn auf demselben Gerät vorher ein Erwachsener zugestimmt hat. Anmelde-, Einladungs- und Passwortseiten messen wir ebenfalls nicht.

Speicherdauer, Rechtsgrundlage, Widerruf. Die einzelnen Ereignisse löscht Google nach 2 Monaten. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst sie jederzeit im Profil unter „Nutzungsanalyse“ mit Wirkung für die Zukunft widerrufen; dann löschen wir die Analytics-Cookies und laden nichts mehr von Google. Deine Wahl speichert der Browser 12 Monate lang im Local Storage (Eintrag catarina-analyse, technisch notwendig nach § 25 Abs. 2 TDDDG), danach fragen wir erneut. Die Einwilligung gilt für das jeweilige Gerät und den jeweiligen Browser.

5. Empfänger

Deine Daten sehen nur die Mitglieder deiner Familie (je nach Rolle) und wir, soweit das für Betrieb und Support nötig ist. Dienstleister, die in unserem Auftrag arbeiten und an unsere Weisungen gebunden sind (Art. 28 DSGVO):

Weitere Empfänger: unsere Bank für den Lastschrifteinzug, die Push-Dienste der Browser-Hersteller für Push-Nachrichten und, wenn gesetzlich vorgeschrieben, unser Steuerbüro und Behörden. Wir verkaufen keine Daten und geben sie nicht für Werbung weiter.

6. Speicherdauer

7. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Eine formlose Nachricht an hallo@catarinaplant.de genügt.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa bei der für uns zuständigen: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden, datenschutz.hessen.de.

8. Pflicht zur Angabe

Für Buchung und Abo brauchen wir die als Pflichtfelder markierten Angaben; ohne sie können wir den Vertrag nicht schließen. Eine automatisierte Entscheidungsfindung oder Profilbildung findet nicht statt.

9. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich Catarina plant oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.