Datenschutzhinweise
Kursportal „Wellenpuls Rückenfrei“ · portal.wellenpuls.de · Stand: 11. Juli 2026
Diese Datenschutzhinweise informieren Sie gemäß Art. 13 und Art. 14 der Datenschutz-Grundverordnung (DSGVO) über die Verarbeitung personenbezogener Daten bei der Nutzung des Kursportals „Wellenpuls Rückenfrei“ unter portal.wellenpuls.de.
1. Verantwortlicher
Verantwortlicher für die in diesen Datenschutzhinweisen beschriebenen Verarbeitungen ist:
Wellenpuls GmbH
Grünewalder Straße 29–31
42657 Solingen
Deutschland
Geschäftsführer: Christian Senfleben
E-Mail: c.senfleben@wellenpuls.de
2. Verantwortlichkeit von Wellenpuls und Ihrem Arbeitgeber
Die Wellenpuls GmbH betreibt das Kursportal als eigenständig Verantwortlicher. Wellenpuls entscheidet insbesondere über Funktionsweise, Datenkategorien, Zugriffsberechtigungen, Speicherdauer, technische Dienstleister und die interne Programmevaluation.
Ihr Arbeitgeber ist eigenständig verantwortlich für die Entscheidung, das Programm anzubieten, Beschäftigte darüber zu informieren und gegebenenfalls Namen und E-Mail-Adressen teilnahmebereiter Personen an Wellenpuls zu übermitteln. Für diese Verarbeitung gilt ergänzend die Datenschutzinformation Ihres Arbeitgebers.
Ihr Arbeitgeber erhält von Wellenpuls keine individuellen Portal-, Nutzungs-, Kommunikations- oder Gesundheitsdaten. Eine gemeinsame Verantwortlichkeit für die Verarbeitung innerhalb des Portals ist nicht vorgesehen.
3. Kategorien personenbezogener Daten
3.1 Registrierungs- und Kontodaten
- •Vor- und Nachname
- •E-Mail-Adresse
- •Unternehmenszugehörigkeit
- •Einladungs-, Registrierungs- und Kontostatus
- •Zeitpunkt der Kontoaktivierung
- •Authentifizierungsdaten; Passwörter werden nicht im Klartext gespeichert.
3.2 Kurs- und Nutzungsdaten
- •freigeschaltete und aufgerufene Kursinhalte
- •Kursfortschritt
- •abgeschlossene Lektionen
- •Ergebnisse reiner Wissensquizze
- •Zeitpunkte portalbezogener Aktivitäten
- •technische Statusinformationen, die für die Bereitstellung des Kurses erforderlich sind.
Soweit ein Quiz persönliche Angaben zu Beschwerden, Gesundheit oder körperlichen Einschränkungen abfragt, behandeln wir die betreffenden Angaben als Gesundheitsdaten nach Abschnitt 3.5 und verarbeiten sie nur nach ausdrücklicher Einwilligung.
3.3 Kommunikationsdaten
Wenn Sie uns kontaktieren oder eine Frage zu einem Kursinhalt übermitteln, verarbeiten wir Ihre Kontaktdaten, den Inhalt Ihrer Nachricht und die zugehörige Kommunikation.
Bitte übermitteln Sie über allgemeine Freitext- oder Supportfelder keine Gesundheitsdaten. Soweit das Portal eine ausdrücklich als solche gekennzeichnete Funktion für gesundheitsbezogene Angaben anbietet, werden diese Angaben nur nach einer gesonderten ausdrücklichen Einwilligung verarbeitet.
3.4 Technische Daten
- •IP-Adresse
- •Datum und Uhrzeit des Zugriffs
- •aufgerufene Adresse oder Ressource
- •übertragene Datenmenge
- •Referrer-Informationen, soweit vom Browser übermittelt
- •Browsertyp und Browserversion
- •Betriebssystem und Gerätetyp
- •technische Fehler-, Sicherheits- und Authentifizierungsdaten.
3.5 Gesundheitsdaten
Gesundheitsdaten werden ausschließlich nach einer gesonderten ausdrücklichen Einwilligung verarbeitet. Hierzu können gehören:
- •Angaben im freiwilligen digitalen Sicherheits- und Eignungscheck
- •das Ergebnis des Sicherheits- und Eignungschecks
- •Angaben zu Rückenbeschwerden und Schmerzintensität
- •Angaben zu Einschränkungen im Alltag oder bei der Arbeit
- •Angaben zu Arbeitsunfähigkeits- oder Fehltagen
- •Angaben zur körperlichen Aktivität, Selbstwirksamkeit und Gerätenutzung
- •freiwillige gesundheitsbezogene Freitextangaben in ausdrücklich dafür vorgesehenen Feldern.
Beim digitalen Sicherheits- und Eignungscheck werden die einzelnen Antworten nur zur unmittelbaren Auswertung des Checks verarbeitet und nicht dauerhaft gespeichert. Ein zusammengefasstes Ergebnis wird nur gespeichert, wenn Sie hierfür zuvor gesondert ausdrücklich eingewilligt haben.
3.6 Sicherheitsbestätigung
Vor der ersten Nutzung des Wellenpuls LWS kann die Bestätigung verlangt werden, dass die Sicherheits- und Kontraindikationshinweise gelesen und verstanden wurden. Diese Bestätigung enthält keine Aussage dazu, ob bei Ihnen eine Kontraindikation vorliegt, und wird daher nicht als Gesundheitsangabe ausgestaltet.
4. Herkunft der Daten
Registrierungsdaten erhalten wir entweder unmittelbar von Ihnen oder von Ihrem Arbeitgeber, nachdem Sie Interesse an der Teilnahme bekundet oder der Übermittlung Ihrer Kontaktdaten zugestimmt haben. Von Ihrem Arbeitgeber erhalten wir ausschließlich die für Einladung und Kontoeinrichtung erforderlichen Angaben.
Kurs-, Nutzungs-, Kommunikations-, technische und Gesundheitsdaten entstehen bei der Nutzung des Portals oder werden unmittelbar von Ihnen angegeben.
5. Zwecke und Rechtsgrundlagen
| Verarbeitung | Zweck | Rechtsgrundlage |
|---|---|---|
| Einladung und vorläufige Kontoeinrichtung | Zugang zum freiwilligen, arbeitgeberfinanzierten Gesundheitsprogramm | Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen von Wellenpuls und Arbeitgeber) |
| Registrierung, Authentifizierung, Kursbereitstellung, Kursfortschritt | Bereitstellung und ordnungsgemäßer Betrieb des Portals | Art. 6 Abs. 1 lit. f DSGVO |
| Erforderliche System- und Programm-E-Mails | Kontoeinrichtung, Sicherheitsinformationen, Freischaltung, notwendige Hinweise | Art. 6 Abs. 1 lit. f DSGVO |
| Serverprotokolle und Sicherheitsdaten | Betrieb, Fehleranalyse, IT-Sicherheit, Missbrauchsabwehr | Art. 6 Abs. 1 lit. f DSGVO |
| Sicherheitsbestätigung ohne Gesundheitsangabe | Dokumentation, dass Sicherheitshinweise bereitgestellt wurden | Art. 6 Abs. 1 lit. f DSGVO |
| Freiwilliger Sicherheits- und Eignungscheck | Individuelle Rückmeldung zu Ausschluss-/Abklärungsgründen | Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO |
| Freiwillige Fragebögen und gesundheitsbezogene Angaben | Programmevaluation, Messung von Veränderungen, Verbesserung | Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO |
| Nicht personenbezogene Nutzungsstatistiken | Interne Qualitätssicherung, Bericht über allgemeine Nutzung | Art. 6 Abs. 1 lit. f DSGVO bis zur wirksamen Anonymisierung |
| Erfüllung rechtlicher Pflichten | Auskunfts-, Nachweis- oder Behördenpflichten | Art. 6 Abs. 1 lit. c DSGVO |
| Rechtsansprüche | Geltendmachung, Ausübung, Verteidigung | Art. 6 Abs. 1 lit. f; bei Gesundheitsdaten zusätzlich Art. 9 Abs. 2 lit. f DSGVO |
Die von uns verfolgten berechtigten Interessen bestehen insbesondere in der sicheren und funktionsfähigen Bereitstellung des freiwilligen Programms, der Verhinderung von Missbrauch, der Behebung technischer Fehler und der datensparsamen Information des Arbeitgebers über die allgemeine Nutzung des finanzierten Angebots.
6. Freiwilligkeit der Gesundheitsdatenverarbeitung
Die Teilnahme an gesundheitsbezogenen Checks und Fragebögen ist freiwillig. Einwilligungen werden getrennt nach Zweck, vor Beginn der jeweiligen Verarbeitung und durch eine eindeutige bestätigende Handlung eingeholt. Eine Einwilligung ist nicht Bestandteil dieser Datenschutzhinweise und wird nicht durch die bloße Nutzung des Portals erteilt.
Sie können die Kursinhalte auch dann nutzen, wenn Sie keine Einwilligung in die Verarbeitung von Gesundheitsdaten erteilen oder eine Einwilligung später widerrufen. Die Verweigerung oder der Widerruf einer Einwilligung wird Ihrem Arbeitgeber nicht mitgeteilt und führt zu keinen arbeitsrechtlichen Nachteilen.
Die Kenntnisnahme der allgemeinen Sicherheits- und Kontraindikationshinweise kann aus Sicherheitsgründen Voraussetzung für die Gerätenutzung sein. Sie müssen Wellenpuls dabei nicht mitteilen, ob bei Ihnen eine Kontraindikation vorliegt.
7. Informationen an den Arbeitgeber
Ihr Arbeitgeber erhält keine personenbezogenen Informationen darüber,
- •ob Sie ein Konto aktiviert haben
- •welche Inhalte Sie aufgerufen oder abgeschlossen haben
- •welche Fragen Sie gestellt haben
- •ob Sie an einem Gesundheitscheck oder Fragebogen teilgenommen haben
- •welche Gesundheitsangaben Sie gemacht haben
- •ob Sie eine Einwilligung erteilt oder widerrufen haben.
Wellenpuls kann dem Arbeitgeber ausschließlich zusammengefasste Statistiken zur allgemeinen Programmnutzung bereitstellen. Eine Übermittlung erfolgt nur, wenn nach den Umständen des jeweiligen Programms keine Person vernünftigerweise identifiziert werden kann. Hierfür gelten insbesondere folgende Schutzmaßnahmen:
- •keine Übermittlung von Einzelwerten oder Rohdaten
- •keine Übermittlung individueller Zeitstempel oder Kursverläufe
- •keine Auswertung von Gesundheitsdaten für den Arbeitgeber
- •keine Anzeige von Gruppen oder Untergruppen mit weniger als fünf Personen
- •Unterdrückung weiterer Auswertungen, wenn trotz Erreichen dieser Mindestgröße ein Rückschluss auf einzelne Personen möglich erscheint.
Kann eine hinreichende Anonymität nicht gewährleistet werden, erhält der Arbeitgeber keine entsprechende Statistik.
8. Empfänger und eingesetzte Dienstleister
Innerhalb der Wellenpuls GmbH erhalten nur Personen Zugriff auf personenbezogene Daten, die diesen Zugriff zur Erfüllung ihrer Aufgaben benötigen. Wir setzen insbesondere folgende Auftragsverarbeiter ein:
| Dienstleister | Zweck | Betroffene Daten |
|---|---|---|
| IONOS SE, Deutschland | Hosting und technische Bereitstellung | technische Daten und Serverprotokolle; ggf. Kontodaten |
| Supabase, Inc. (Projektregion Frankfurt a. M.) | Datenbank, Authentifizierung, Backend-Dienste | Konto-, Nutzungs-, Einwilligungs- und Gesundheitsdaten |
| BunnyWay d.o.o. (bunny.net), Slowenien | Bereitstellung und Auslieferung von Kursvideos | IP-Adresse, Geräte- und Abrufdaten; keine Namen/E-Mails/Fragebogenangaben über Video-URLs |
| Zoho Corporation B.V. und verbundene Unternehmen | Versand erforderlicher System- und Programm-E-Mails | Name, E-Mail-Adresse, Zustell-/Kommunikationsdaten; keine Gesundheitsdaten in E-Mails |
Mit Auftragsverarbeitern werden die erforderlichen Vereinbarungen nach Art. 28 DSGVO geschlossen. Dienstleister dürfen Daten nur nach dokumentierter Weisung, zu den vereinbarten Zwecken und unter Beachtung angemessener Sicherheitsmaßnahmen verarbeiten. Darüber hinaus können personenbezogene Daten offengelegt werden, wenn wir hierzu gesetzlich verpflichtet sind oder die Offenlegung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.
9. Verarbeitung außerhalb des Europäischen Wirtschaftsraums
Die primäre Datenbankregion des Portals befindet sich in Frankfurt am Main. Dennoch kann bei einzelnen Dienstleistern oder deren Unterauftragnehmern ein Zugriff oder eine Verarbeitung aus Staaten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums nicht vollständig ausgeschlossen werden, insbesondere im Rahmen von Support-, Sicherheits- oder Betriebsleistungen.
Soweit für ein Drittland kein Angemessenheitsbeschluss der Europäischen Kommission besteht, stützen wir die Übermittlung insbesondere auf die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO und prüfen, ob ergänzende Schutzmaßnahmen erforderlich sind. Eine Kopie der maßgeblichen Garantien kann unter c.senfleben@wellenpuls.de angefordert werden; Geschäftsgeheimnisse und sicherheitsrelevante Inhalte können dabei geschwärzt werden.
10. Speicherdauer
Wir speichern personenbezogene Daten nur so lange, wie dies für den jeweiligen Zweck erforderlich ist:
- •Nicht aktivierte Einladungsdaten: bis 30 Tage nach Ablauf oder Widerruf der Einladung.
- •Konto- und Kursfortschrittsdaten: bis 90 Tage nach Ende des individuellen Portalzugangs; anschließend Löschung oder wirksame Anonymisierung.
- •Freiwillige Gesundheits- und Fragebogendaten: bis zum Widerruf der Einwilligung, längstens bis zwölf Monate nach Ende des jeweiligen Programms.
- •Technische Server- und Sicherheitsprotokolle: grundsätzlich bis 14 Tage; bei einem konkreten Sicherheitsereignis bis zur Aufklärung, regelmäßig jedoch nicht länger als acht Wochen.
- •Kommunikations- und Supportdaten: grundsätzlich bis zwölf Monate nach abschließender Bearbeitung, soweit keine längere Aufbewahrung zur Rechtsverteidigung erforderlich ist.
- •Nachweise über Einwilligung und Widerruf: bis zum Ablauf von drei Jahren ab Ende des Kalenderjahres, in dem die Einwilligung beendet wurde; bei anhängigen Verfahren bis zu deren rechtskräftigem Abschluss.
Wird eine Einwilligung widerrufen, löschen wir die auf dieser Einwilligung beruhenden Gesundheitsdaten unverzüglich, sofern keine ausnahmsweise einschlägige gesetzliche Grundlage eine weitere Verarbeitung erlaubt. Der auf das erforderliche Minimum beschränkte Nachweis über Erteilung und Widerruf der Einwilligung kann für den vorstehend genannten Nachweiszeitraum gespeichert bleiben.
Gelöschte Daten können bis zur turnusmäßigen Überschreibung noch für höchstens 90 Tage in besonders geschützten Sicherungskopien enthalten sein. Sie werden dort nicht für operative Zwecke verwendet und nur im erforderlichen Wiederherstellungsfall zurückgespielt.
11. Ihre Rechte
Soweit die gesetzlichen Voraussetzungen erfüllt sind, haben Sie insbesondere folgende Rechte:
- •Recht auf Auskunft nach Art. 15 DSGVO
- •Recht auf Berichtigung nach Art. 16 DSGVO
- •Recht auf Löschung nach Art. 17 DSGVO
- •Recht auf Einschränkung der Verarbeitung nach Art. 18 DSGVO
- •Recht auf Datenübertragbarkeit nach Art. 20 DSGVO
- •Recht auf Widerspruch nach Art. 21 DSGVO
- •Recht auf Widerruf erteilter Einwilligungen nach Art. 7 Abs. 3 DSGVO.
Zur Ausübung Ihrer Rechte wenden Sie sich an c.senfleben@wellenpuls.de. Zur Vermeidung unbefugter Auskünfte können wir einen angemessenen Nachweis Ihrer Identität verlangen.
Widerruf einer Einwilligung
Sie können eine Einwilligung jederzeit mit Wirkung für die Zukunft im Portal unter „Meine Einwilligungen“ oder per E-Mail an c.senfleben@wellenpuls.de widerrufen. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt. Die von der Einwilligung erfassten Gesundheitsdaten werden nach dem Widerruf unverzüglich gelöscht, soweit keine andere Rechtsgrundlage ihre weitere Verarbeitung erlaubt.
Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen
Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen eine Verarbeitung Widerspruch einzulegen, die auf Art. 6 Abs. 1 lit. f DSGVO beruht. Wir verarbeiten die betreffenden Daten anschließend nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Soweit bestimmte Konto- oder technische Daten für den sicheren Portalbetrieb zwingend erforderlich sind, kann ein Widerspruch dazu führen, dass das Portal technisch nicht weiter bereitgestellt werden kann. Dies berührt nicht Ihre Freiwilligkeit hinsichtlich der Gesundheitsdatenverarbeitung.
12. Datensicherheit
Wir treffen angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören insbesondere:
- •verschlüsselte Datenübertragung mittels TLS
- •Speicherung von Passwörtern ausschließlich in gehashter Form
- •rollen- und aufgabenbezogene Zugriffsbeschränkungen
- •Trennung von administrativen und regulären Nutzerberechtigungen
- •zeilenbezogene Datenbankberechtigungen
- •Protokollierung sicherheitsrelevanter Zugriffe und Änderungen
- •regelmäßige Aktualisierung und Überprüfung der eingesetzten Systeme
- •Datensicherungen sowie geregelte Wiederherstellungs- und Löschprozesse
- •besondere Zugriffsbeschränkungen für Gesundheitsdaten.
13. Cookies und lokale Speichertechniken
Das Portal verwendet ausschließlich technisch erforderliche Cookies und vergleichbare lokale Speichertechniken, insbesondere für Anmeldung, Sitzungsverwaltung, Sicherheit und die Speicherung notwendiger Portalzustände. Tracking-, Werbe- oder Profiling-Cookies werden nicht eingesetzt.
Das Speichern oder Auslesen technisch erforderlicher Informationen auf Ihrem Endgerät erfolgt auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG. Die damit verbundene Verarbeitung personenbezogener Daten erfolgt nach den in Abschnitt 5 genannten Rechtsgrundlagen.
Technisch erforderliche Sitzungsinformationen werden grundsätzlich mit Abmeldung, Ablauf der Sitzung oder nach dem jeweils technisch vorgesehenen kurzen Sicherheitszeitraum gelöscht.
14. Keine automatisierte Entscheidung mit erheblicher Wirkung
Es findet keine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling statt, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlich erheblicher Weise beeinträchtigt. Ergebnisse freiwilliger Checks oder Fragebögen dienen ausschließlich der unmittelbaren Rückmeldung, der Programmevaluation und der Verbesserung des Angebots.
15. Beschwerderecht
Sie haben nach Art. 77 DSGVO das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Sie können sich insbesondere an die für Wellenpuls zuständige Aufsichtsbehörde wenden:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4
40213 Düsseldorf
Postfach 20 04 44, 40102 Düsseldorf
E-Mail: poststelle@ldi.nrw.de
16. Änderungen dieser Datenschutzhinweise
Wir passen diese Datenschutzhinweise an, wenn sich Rechtslage, Portaltechnik oder Datenverarbeitungen ändern. Die jeweils aktuelle Fassung ist unter portal.wellenpuls.de/datenschutz abrufbar.
Über wesentliche Änderungen, die die Zwecke der Verarbeitung, Empfängerkategorien oder Ihre Rechte betreffen, informieren wir in geeigneter Weise. Eine bestehende Einwilligung wird nicht nachträglich auf neue Zwecke oder zusätzliche Gesundheitsdaten erweitert. Hierfür wird erforderlichenfalls eine neue ausdrückliche Einwilligung eingeholt.