inState Institute / VAS Change · Stand: 6. Oktober 2026
Verantwortlich für die Datenverarbeitung auf dieser Website ist:
Verena Sager
VAS Change
Rosenheimer Landstr. 139
85521 Hohenbrunn (Riemerling)
Deutschland
E-Mail: info@instateinstitute.com
Website: instateinstitute.com
Die Angebote werden unter der Marke „inState" bzw. „inState Institute" bereitgestellt.
Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung einer funktionsfähigen Website und unserer Inhalte erforderlich ist – regelmäßig nur nach Einwilligung oder soweit eine gesetzliche Grundlage dies gestattet.
Rechtsgrundlagen (Art. 6 Abs. 1 DSGVO):
Soweit besondere Kategorien personenbezogener Daten (z. B. Gesundheits- oder Stimmungsdaten in der App) verarbeitet werden, geschieht dies ausschließlich auf Grundlage der ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.
Diese Website wird gehostet bei:
Netlify, Inc.
512 2nd Street, Suite 200
San Francisco, CA 94107, USA
Netlify verarbeitet in unserem Auftrag technische Zugriffsdaten (siehe Server-Logfiles) sowie die über die Formulare übermittelten Daten (siehe Ziffer 8). Mit Netlify besteht ein Vertrag zur Auftragsverarbeitung (Data Processing Addendum) gemäß Art. 28 DSGVO. Da Daten auch in den USA verarbeitet werden können, liegt eine Drittlandübermittlung vor: Netlify, Inc. ist unter dem EU-U.S. Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission); ergänzend gelten Standardvertragsklauseln.
Die Domain wird über die STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin (Deutschland), verwaltet.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sichere und effiziente Bereitstellung der Website).
Beim Aufruf der Website werden automatisch technische Informationen erfasst, die Ihr Browser übermittelt: angeforderte Seite/Datei, Datum und Uhrzeit, übertragene Datenmenge, Browsertyp und -version, Betriebssystem, Referrer-URL und IP-Adresse. Diese Daten dienen der technischen Bereitstellung, Sicherheit und Stabilität und werden nicht mit anderen Datenquellen zusammengeführt.
Die Logfiles werden gelöscht, sobald sie für die genannten Zwecke nicht mehr erforderlich sind. Eine darüber hinausgehende Speicherung erfolgt nur, soweit dies im Einzelfall zur Aufklärung von Sicherheitsvorfällen notwendig ist; in diesem Fall sind die betroffenen Logfiles bis zur abschließenden Klärung von der Löschung ausgenommen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Diese Website verwendet ausschließlich technisch notwendige Cookies, die für den Betrieb der Seite erforderlich sind. Darüber hinausgehende Cookies werden nicht gesetzt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO bzw. § 25 Abs. 2 TDDDG (technisch notwendige Speicherung).
Diese Website nutzt den Analysedienst Umami (Umami Software, Inc.), um anonymisierte Nutzungsstatistiken zu erheben (z. B. Seitenaufrufe, Verweisquellen). Umami arbeitet vollständig cookielos und ohne Erstellung individueller Nutzerprofile; es werden keine personenbezogenen Daten dauerhaft gespeichert.
Die Datenverarbeitung erfolgt ausschließlich nach vorheriger Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die über das Consent-Banner eingeholt wird. Die erhobenen Daten werden auf Servern innerhalb der EU verarbeitet und nach 6 Monaten automatisch gelöscht. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.
Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über den Link „Datenschutz-Einstellungen“ im Footer widerrufen.
Diese Website verwendet die Schriftart Work Sans, die lokal von unserem Server (Self-Hosting) bereitgestellt wird. Es erfolgt dabei keine Verbindung zu Servern Dritter (z. B. Google Fonts) und keine Übertragung Ihrer IP-Adresse an Dritte.
Auf unserer Website bieten wir Ihnen die Möglichkeit, über ein Formular Kontakt mit uns aufzunehmen bzw. Ihr Interesse an unserer Forschung zu bekunden. Dabei werden die von Ihnen eingegebenen Daten (insbesondere Vor- und Nachname, E-Mail-Adresse, Ihre Angaben zum Interesse sowie der Inhalt Ihrer Nachricht) zum Zweck der Bearbeitung Ihrer Anfrage und der Kontaktaufnahme verarbeitet.
Rechtsgrundlage für die Verarbeitung ist Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO sowie – soweit einschlägig – Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen). Wenn Sie das optionale Feld zur Aufnahme in unseren Informationsverteiler ankreuzen, verarbeiten wir Ihre E-Mail-Adresse zusätzlich auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), um Sie über die inState-Forschung und kommende Angebote zu informieren. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, etwa durch eine formlose Nachricht an uns.
Die Übermittlung und Speicherung der Formulardaten erfolgt über den Dienst „Netlify Forms" unseres Hosting-Anbieters Netlify, Inc. (siehe Ziffer 3). Die abgesendeten Formulareingaben werden in unserem Netlify-Konto gespeichert; Einsendungen mit Personenbezug werden von uns regelmäßig exportiert und anschließend gelöscht. Hinsichtlich der Auftragsverarbeitung gemäß Art. 28 DSGVO sowie der Übermittlung in die USA gelten die Ausführungen unter Ziffer 3 (EU-U.S. Data Privacy Framework und Standardvertragsklauseln). Die Übertragung erfolgt verschlüsselt über das HTTPS-Protokoll.
Für die Anmeldung zu unseren Veranstaltungen (z. B. Sessions und Workshops) verarbeiten wir die im Anmeldeformular angegebenen Daten: Vor- und Nachname, E-Mail-Adresse, Handynummer, die Anzahl der angemeldeten Personen sowie gegebenenfalls Vor- und Nachnamen weiterer angemeldeter Personen, eine freiwillige Nachricht sowie Zeitpunkt und Fassung der akzeptierten Teilnahmebedingungen. Angaben zu Ihrer Gesundheit erheben wir nicht; mit dem Häkchen akzeptieren Sie lediglich die Teilnahmevoraussetzungen. Die Handynummer nutzen wir nur für kurzfristige Absagen oder Änderungen. Zweck ist die Organisation und Durchführung der Veranstaltung, einschließlich kurzfristiger Informationen per E-Mail oder Telefon und der Abwicklung von Stornierungen.
Rechtsgrundlage ist die Durchführung des Teilnahmevertrags bzw. vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO). Wer weitere Personen anmeldet, informiert diese über die Weitergabe ihrer Namen. Gesundheitsdaten fragen wir im Formular nicht ab. Die Übermittlung erfolgt über Netlify Forms (siehe oben). Die Anmeldebestätigung mit Ticket und Rechnung versenden wir über den E-Mail-Dienst Brevo (siehe unten). Rechnungen bewahren wir entsprechend den steuerrechtlichen Aufbewahrungspflichten auf. Für die Teilnehmerliste (Einlass, Zahlungsstatus, Stornierungen) und für Erinnerungs-E-Mails vor der Veranstaltung speichern wir Ihre Anmeldedaten bei unserem Hosting-Anbieter Netlify. Zugriff haben nur die Veranstalterinnen über einen passwortgeschützten Bereich. Die Liste wird drei Monate nach der Veranstaltung automatisch gelöscht. Übrige Anmeldedaten werden nach Abschluss der Veranstaltung und Erledigung etwaiger Abrechnungen gelöscht, spätestens nach sechs Monaten, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Gemeinsam mit uns führt die jeweilige Co-Facilitatorin die Veranstaltung durch und erhält hierfür die Teilnehmerliste.
Über unser inState Portal veröffentlichen auch Facilitatorinnen, mit denen wir zusammenarbeiten, eigene Veranstaltungen unter instateinstitute.com/event/… Verantwortliche für die Anmeldedaten ist jeweils die Veranstalterin, die auf der Anmeldeseite und in den Teilnahmebedingungen genannt ist und die Rechnungen ausstellt. Wir betreiben das Portal technisch und verarbeiten die Daten dabei in ihrem Auftrag (Art. 28 DSGVO). Bei Veranstaltungen von VAS Change, Verena Sager, sind wir selbst verantwortlich.
Aufrufzählung der Anmeldeseiten: Für die Veranstalterinnen zählen wir, wie oft eine Anmeldeseite pro Tag aufgerufen wurde, und ordnen den Aufruf grob einer Herkunft zu (z. B. „Instagram“, „Google“, „direkt“ oder ein Stichwort im Link wie ?q=insta). Dabei werden keine Cookies gesetzt, keine IP-Adressen und keine Kennungen gespeichert und keine Personen wiedererkannt; gespeichert wird nur eine Zahl pro Seite, Tag und Herkunft. Wer sich anmeldet, dessen Buchung wird mit dem groben Herkunfts-Stichwort versehen (ohne Bezug zu Ihrer Person). Rechtsgrundlage ist unser berechtigtes Interesse an einer bedarfsgerechten Gestaltung der Angebote (Art. 6 Abs. 1 lit. f DSGVO).
Warteliste: Ist eine Veranstaltung ausgebucht, können Sie sich mit Ihrer E-Mail-Adresse (und optional Ihrem Namen) auf eine Warteliste setzen lassen. Wir verwenden die Angaben ausschließlich, um Ihnen den Eintrag per E-Mail zu bestätigen und Sie zu informieren, wenn ein Platz frei wird (Art. 6 Abs. 1 lit. b DSGVO, vorvertragliche Maßnahme auf Ihre Anfrage). Ein Platz wird dabei nicht reserviert. Sie können sich jederzeit über den Link in jeder Mail austragen. Die Warteliste wird spätestens nach der Veranstaltung gelöscht.
Die Anmeldedaten (Namen, E-Mail-Adresse, Handynummer für kurzfristige Absagen oder Änderungen, bei Beträgen über 250 € die Rechnungsanschrift, Nachricht, gebuchte Tickets, Teilnahme- und Zahlungsstatus sowie Zeitpunkt und Fassung der akzeptierten Teilnahmebedingungen) werden direkt in einem geschützten Speicher unseres Hosting-Anbieters Netlify abgelegt, nicht über Netlify Forms. Angaben zu Ihrer Gesundheit erheben wir nicht; mit dem Häkchen akzeptieren Sie lediglich die Teilnahmevoraussetzungen. Zugriff haben nur die für die Veranstaltung eingetragenen Facilitatorinnen über einen passwortgeschützten Bereich. Führen mehrere Facilitatorinnen eine Veranstaltung gemeinsam durch, sind sie gemeinsam verantwortlich (Art. 26 DSGVO); Ansprechpartnerin ist die auf der Anmeldeseite genannte Veranstalterin, Sie können Ihre Rechte aber gegenüber jeder von ihnen geltend machen. Bestätigungen, Tickets, Rechnungen und Erinnerungen versenden wir über Brevo (siehe unten); eine Kopie der Belege erhält die Veranstalterin für ihre Buchhaltung. Speicherdauer: Drei Monate nach der Veranstaltung werden Namen und Kontaktdaten automatisch entfernt; die verbleibende Übersicht (Anzahl, Beträge, Rechnungsnummern) ist pseudonymisiert und wird nach zwei Jahren gelöscht. Rechnungen bewahrt die jeweilige Veranstalterin entsprechend den steuerrechtlichen Pflichten auf (in der Regel 8 Jahre, § 147 AO).
Für den Versand von Anmeldebestätigungen zu Veranstaltungen sowie für die Anmeldung zum Integrationsleitfaden (inklusive Double-Opt-in) und – nur mit Ihrer gesonderten Einwilligung – für unseren Newsletter nutzen wir den Dienst Brevo der Sendinblue GmbH, Köpenicker Straße 126, 10179 Berlin, Deutschland. Dabei werden Ihre E-Mail-Adresse, Ihr Name sowie die für den jeweiligen Zweck erforderlichen Angaben (z. B. Anmeldedaten zur Veranstaltung) an Brevo übermittelt und dort in unserem Auftrag verarbeitet. Die Daten werden auf Servern in der EU gespeichert. Mit Brevo besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.
Rechtsgrundlage ist für Anmeldebestätigungen die Durchführung des Teilnahmevertrags (Art. 6 Abs. 1 lit. b DSGVO), für den Integrationsleitfaden und den Newsletter Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit mit Wirkung für die Zukunft widerrufen können, etwa über den Abmeldelink in jeder E-Mail oder per Nachricht an info@instateinstitute.com.
Dieser Abschnitt gilt für die Nutzung der mobilen Anwendung „inState", auf die diese Website verweist.
Je nach genutzter Funktion können verarbeitet werden: Zugangs-/Kontodaten, Check-ins und Stimmungsangaben, Journal-Einträge, Sitzungs- und Nutzungsdaten (Sessions, Statistiken), optionale Angaben zum Menstruationszyklus sowie daraus abgeleitete Auswertungen (Einblicke).
Besondere Kategorien (Art. 9 DSGVO): Stimmungs-, Gesundheits- und Zyklusdaten sind besonders sensibel. Ihre Verarbeitung erfolgt ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die Sie jederzeit mit Wirkung für die Zukunft widerrufen können. Funktionen wie das Zyklus-Tracking sind freiwillig (Opt-in).
Zur Speicherung und Synchronisierung der App-Daten nutzen wir Firebase (insb. Cloud Firestore und Firebase Authentication) von:
Google Ireland Limited
Gordon House, Barrow Street
Dublin 4, Irland
(verbundenes Unternehmen: Google LLC, USA)
Mit Google besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Firebase Data Processing and Security Terms). Die Daten werden in einer Region innerhalb der Europäischen Union gespeichert. Soweit eine Übermittlung in die USA erfolgt, ist Google LLC unter dem EU-U.S. Data Privacy Framework zertifiziert; ergänzend gelten Standardvertragsklauseln.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der App) sowie, für besondere Kategorien, Art. 9 Abs. 2 lit. a DSGVO.
Ihre App-Daten werden gespeichert, solange Ihr Konto besteht bzw. solange dies für die Funktion erforderlich ist; Sie können einzelne Einträge sowie Ihr gesamtes Konto löschen. Eine automatisierte Entscheidungsfindung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt. Die Inhalte ersetzen keine medizinische oder psychotherapeutische Beratung.
Im Rahmen wissenschaftlicher Studien können, ausschließlich nach gesonderter, ausdrücklicher Einwilligung über ein eigenes Informations- und Einwilligungsdokument, zusätzliche Daten erhoben werden. Die Teilnahme ist freiwillig und von der allgemeinen App-Nutzung getrennt. Einzelheiten zu Zweck, Verantwortlichkeit und Datenverarbeitung der jeweiligen Studie werden den Teilnehmenden vor Beginn gesondert mitgeteilt. Diese Datenschutzerklärung nennt die Studien nur und ersetzt das gesonderte Studiendokument nicht.
Unsere Website kann Links zu externen Websites Dritter, insbesondere zu Buchungsplattformen, enthalten. Auf deren Datenverarbeitung haben wir keinen Einfluss. Sobald Sie unsere Website verlassen, gelten ausschließlich die Datenschutzbestimmungen des jeweiligen Anbieters.
Wenn Sie sich bei inState Sessions (inState Portal) für eine kostenpflichtige Veranstaltung anmelden und online bezahlen, wird die Zahlung über den Zahlungsdienstleister Stripe abgewickelt. Zahlungsempfängerin ist die jeweilige Veranstalterin (Stripe Connect, die Zahlung geht direkt auf deren Stripe-Konto). Beim Bezahlen übertragen Sie Ihre Zahlungsdaten (z. B. Kartendaten, Name, E-Mail-Adresse, Zahlungs- und Geräteinformationen zur Betrugsprävention) direkt an Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irland, bzw. Stripe, Inc., USA. Wir und die Veranstalterin erhalten keine vollständigen Zahlungsdaten, sondern nur den Zahlungsstatus und Kennungen der Zahlung. Stripe ist für diese Verarbeitung eigenständig verantwortlich; dessen Datenschutzhinweise finden Sie unter stripe.com/de/privacy. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); Übermittlungen in die USA stützen sich auf das EU-U.S. Data Privacy Framework bzw. Standardvertragsklauseln. Ohne diese Übermittlung ist eine Online-Zahlung nicht möglich; bei Veranstaltungen mit Zahlung vor Ort oder per Zahlungslink entfällt sie.
Über das Meldeformular für Inhalte (Digital Services Act) verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse und Ihre Angaben, um Ihre Meldung zu prüfen und Ihnen die Entscheidung mitzuteilen (Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 16 DSA). Meldungen werden nach spätestens drei Jahren gelöscht.
| Dienstleister | Zweck | Sitz | Transfergrundlage |
| Netlify, Inc. | Website-Hosting, Formularübermittlung (Netlify Forms) und Speicherung der Anmelde- und Teilnehmerdaten | USA | DPF + SCC |
| Google Ireland Ltd. / Google LLC (Firebase) | App-Infrastruktur | Irland / USA | DPF + SCC |
| Sendinblue GmbH (Brevo) | Versand von Anmeldebestätigungen, Tickets, Rechnungen, Erinnerungen und Newsletter | Deutschland / EU | – |
| Stripe Payments Europe, Ltd. / Stripe, Inc. | Online-Zahlung für Veranstaltungen im inState Portal (eigenständig Verantwortlicher) | Irland / USA | DPF + SCC |
| STRATO AG | Domain / DNS | Deutschland | – |
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) sowie auf Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3). Zur Ausübung genügt eine formlose Nachricht an info@instateinstitute.com.
Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist:
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
www.lda.bayern.de
Wir treffen technische und organisatorische Maßnahmen zum Schutz Ihrer Daten, insbesondere eine Transportverschlüsselung (TLS). Die eingesetzten Dienstleister verwenden anerkannte Sicherheitsstandards sowie Verschlüsselung bei Übertragung und Speicherung.
Diese Datenschutzerklärung hat den Stand 7. Oktober 2026. Durch die Weiterentwicklung von Website und App kann eine Anpassung erforderlich werden. Die jeweils aktuelle Fassung ist auf dieser Seite abrufbar.