Privacy Policy

English version below.

Datenschutzerklärung

Stand: Oktober 2026

Personenbezogene Daten (nachfolgend „Daten“) verarbeiten wir nur, soweit dies für einen funktionsfähigen Internetauftritt, unsere Inhalte und unsere Leistungen erforderlich ist.

Im Folgenden informieren wir über Art, Umfang, Zweck, Dauer und Rechtsgrundlage der Verarbeitung, soweit wir allein oder gemeinsam mit anderen darüber entscheiden. Außerdem informieren wir über eingesetzte Dienste, bei denen Dritte Daten in eigener Verantwortung verarbeiten.

I. Informationen über uns als Verantwortliche

Verantwortlich im datenschutzrechtlichen Sinne ist:

Karada House gUG (haftungsbeschränkt)
Weserstr. 75
12059 Berlin
Deutschland
E-Mail: info@karada-house.de

Jugendschutzbeauftragte ist:

Caritia Abell
Weserstr. 75
12059 Berlin
Deutschland
E-Mail: info@karada-house.de

II. Rechte der Nutzer und Betroffenen

Sie haben das Recht

  • auf Bestätigung, ob wir Sie betreffende Daten verarbeiten, auf Auskunft über diese Daten und weitere Informationen zur Verarbeitung sowie auf eine Kopie der Daten (Art. 15 DSGVO);
  • auf Berichtigung oder Vervollständigung unrichtiger oder unvollständiger Daten (Art. 16 DSGVO);
  • auf Löschung der Sie betreffenden Daten (Art. 17 DSGVO) oder, soweit eine weitere Verarbeitung nach Art. 17 Abs. 3 DSGVO erforderlich ist, auf Einschränkung der Verarbeitung (Art. 18 DSGVO);
  • auf Erhalt der von Ihnen bereitgestellten Daten in einem gängigen Format und auf deren Übermittlung an andere Verantwortliche (Art. 20 DSGVO);
  • eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO);
  • auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO). Für uns zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit.

Wir sind verpflichtet, alle Empfänger, denen wir Daten offengelegt haben, über eine Berichtigung, Löschung oder Einschränkung nach Art. 16, 17 Abs. 1 und 18 DSGVO zu unterrichten, sofern dies nicht unmöglich oder unverhältnismäßig ist (Art. 19 DSGVO). Sie haben ein Recht auf Auskunft über diese Empfänger.

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse), können Sie dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Einer Verarbeitung zum Zweck der Direktwerbung können Sie jederzeit ohne Angabe von Gründen widersprechen.

Zur Ausübung Ihrer Rechte genügt eine Nachricht an info@karada-house.de.

III. Informationen zur Datenverarbeitung

Wir löschen oder sperren Ihre Daten, sobald der Zweck der Speicherung entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen, sofern nachfolgend nichts anderes angegeben ist.

Hosting

Unsere Website wird bei Hostinger gehostet: Hostinger operations, UAB, Švitrigailos g. 34, 03230 Vilnius, Litauen. Hostinger verarbeitet in unserem Auftrag alle Daten, die beim Besuch und bei der Nutzung der Website anfallen, und speichert sie auf Servern in Litauen (EU). Mit Hostinger haben wir einen Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO geschlossen. Hostinger setzt Unterauftragsverarbeiter ein, darunter Cloudflare, Inc. mit Sitz in den USA. Grundlage für diese Übermittlung sind die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einer sicheren, schnellen und zuverlässigen Bereitstellung der Website.

Server-Logfiles

Bei jedem Aufruf der Website speichert der Server automatisch Informationen, die Ihr Browser übermittelt:

  • IP-Adresse
  • Datum und Uhrzeit des Zugriffs
  • aufgerufene Seite oder Datei
  • Referrer-URL (zuvor besuchte Seite)
  • Browsertyp und -version, Betriebssystem
  • übertragene Datenmenge und Statuscode

Diese Daten sind technisch erforderlich, um die Website anzuzeigen und ihre Stabilität und Sicherheit zu gewährleisten, etwa zur Abwehr von Angriffen. Eine Zusammenführung mit anderen Datenquellen findet nicht statt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Logfiles werden von Hostinger automatisch nach dessen technischen Vorgaben gelöscht; auf die Speicherdauer haben wir keinen Einfluss.

Cookies und ähnliche Technologien

Unsere Website verwendet Cookies. Das sind kleine Textdateien oder vergleichbare Speichertechnologien, die Ihr Browser auf Ihrem Endgerät ablegt.

Technisch notwendige Cookies: Einige Cookies sind für den Betrieb der Website unbedingt erforderlich, etwa für den Warenkorb und den Bestellvorgang (WooCommerce), die Zahlungsabwicklung (PayPal) sowie zur Speicherung Ihrer Cookie-Auswahl. Rechtsgrundlage für das Speichern und Auslesen ist § 25 Abs. 2 Nr. 2 TDDDG, für die anschließende Verarbeitung Art. 6 Abs. 1 lit. b DSGVO (soweit sie der Vertragsabwicklung dient) bzw. lit. f DSGVO (Funktionsfähigkeit und Sicherheit der Website). Sitzungs-Cookies werden beim Schließen des Browsers gelöscht, andere spätestens nach 12 Monaten.

Einwilligungspflichtige Cookies: Cookies, die nicht unbedingt erforderlich sind, setzen wir nur mit Ihrer Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Derzeit setzen wir keine solchen Cookies ein.

Cookie-Einwilligung (CookieYes): Für die Verwaltung Ihrer Einwilligung nutzen wir das WordPress-Plugin CookieYes. Es speichert Ihre Auswahl in einem Cookie („cookieyes-consent“) für 12 Monate, damit wir Sie nicht bei jedem Besuch erneut fragen müssen. Ihre Einstellungen können Sie jederzeit über den Link zu den Cookie-Einstellungen im Footer unserer Website ändern oder widerrufen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 7 Abs. 1 DSGVO (Nachweis der Einwilligung).

Barrierefreiheits-Widget: Zur besseren Zugänglichkeit bieten wir ein Werkzeug für Schriftgröße, Kontrast und ähnliche Einstellungen an (OneTap). Ihre Auswahl wird nur lokal in Ihrem Browser gespeichert, damit sie beim nächsten Seitenaufruf erhalten bleibt. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG, da die Speicherung auf Ihren ausdrücklichen Wunsch erfolgt.

Ticketkauf, Shop und Vertragsabwicklung

Für den Verkauf von Tickets, Kursen und Gutscheinen nutzen wir WooCommerce mit den Erweiterungen „Event Tickets“, „German Market“ und „WooCommerce Gift Cards“. Bestellungen erfolgen als Gast; ein Kundenkonto wird nicht angelegt. Die Daten werden auf unserem Webserver bei Hostinger gespeichert.

Bei einer Bestellung verarbeiten wir:

  • Name, ggf. ein von Ihnen gewählter Name, E-Mail-Adresse und Rechnungsanschrift sowie Ihre Bestätigung, dass Sie mindestens 18 Jahre alt sind
  • Bestelldaten: gebuchte Veranstaltung, Ticketart, Preis, Datum, Zahlungsart und Zahlungsstatus
  • bei ermäßigten Tickets („Low Income“, „Hardship“) die gewählte Ticketart und Ihre Bestätigung per Checkbox; einen Nachweis verlangen wir nicht
  • ggf. Namen weiterer Teilnehmender, wenn Sie Tickets für andere Personen buchen
  • bei Gutscheinen Name und E-Mail-Adresse der beschenkten Person sowie eine optionale Nachricht

Wir nutzen diese Daten, um den Vertrag abzuwickeln: Bestellbestätigung und Ticket per E-Mail zu versenden, Rechnungen zu erstellen, die Veranstaltung zu organisieren (z. B. Einlass, Kapazitätsplanung, Information bei Ausfall oder Änderungen) und Gutscheine einzulösen. Die Angaben sind für den Vertragsschluss erforderlich.

Freiwillige Angaben zu Gesundheit und Einschränkungen: Bei der Buchung können Sie uns freiwillig Hinweise zu Ihrer Gesundheit oder zu körperlichen Einschränkungen geben, damit wir den Kurs sicher gestalten können. Diese Angaben verarbeiten wir nur mit Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die Sie jederzeit mit Wirkung für die Zukunft widerrufen können. Wir löschen sie 30 Tage nach Kursende.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und, für die Aufbewahrung, Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflicht).

Speicherdauer: Rechnungen und Buchungsbelege bewahren wir nach § 147 AO und § 257 HGB 8 Jahre auf, geschäftliche Korrespondenz zum Vertrag 6 Jahre. Die Frist beginnt mit dem Ende des Kalenderjahres der Bestellung. Danach werden die Daten gelöscht.

E-Mail-Versand: Bestellbestätigungen, Tickets und unsere E-Mail-Korrespondenz versenden wir über Gmail: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Mit Google besteht ein Vertrag zur Auftragsverarbeitung. Dabei können Daten auch an die Google LLC in den USA übermittelt werden (siehe „Datenübermittlung in die USA und andere Drittländer“).

Weitergabe an unsere Steuerberatung: Zur Erfüllung unserer steuerlichen Pflichten übermitteln wir Bestell- und Rechnungsdaten an unsere Steuerberatung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO.

Rechnungsarchiv: Rechnungen übertragen wir zur Buchhaltung und Archivierung an Lexware Office der Haufe Service Center GmbH, Freiburg. Haufe verarbeitet die Daten in unserem Auftrag in Rechenzentren in Deutschland; mit Haufe besteht ein Vertrag zur Auftragsverarbeitung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO.

Zahlungsdienstleister

PayPal: Zahlungen wickeln wir über PayPal ab: PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg. Dabei geben wir die für die Zahlung erforderlichen Daten (z. B. Name, E-Mail-Adresse, Betrag, Bestellnummer) an PayPal weiter. Zahlen Sie per Karte, Lastschrift oder einer anderen von PayPal angebotenen Zahlungsart, gehen Ihre Zahlungsdaten direkt an PayPal; wir sehen keine vollständigen Zahlungsdaten. PayPal verarbeitet Daten auch in eigener Verantwortung, etwa zur Betrugsprävention und zur Erfüllung gesetzlicher Pflichten, und führt bei einzelnen Zahlungsarten ggf. eine Identitäts- oder Bonitätsprüfung durch. Datenschutzhinweise: https://www.paypal.com/de/legalhub/privacy-full

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Betrugsprävention

Zum Schutz vor betrügerischen Bestellungen gleichen wir Bestellungen automatisch mit einer Sperrliste ab (Plugin „Fraud Prevention for WooCommerce“). Geprüft werden E-Mail-Adresse, IP-Adresse und Rechnungsanschrift. Die Prüfung läuft auf unserem eigenen Server. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Schutz vor Zahlungsausfällen und Missbrauch. Einträge auf der Sperrliste löschen wir, sobald sie nicht mehr erforderlich sind, spätestens nach 3 Jahren.

Rope Cards (Karada Rope Curriculum)

Wenn Sie eine Rope Card erwerben, speichern wir Ihre E-Mail-Adresse, die Kartennummer und die Anzahl der bereits eingelösten Slots. So können Sie Ihr Guthaben für Kurse nutzen und wir die Einlösung nachvollziehen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Wir speichern diese Angaben, bis die Karte vollständig eingelöst oder abgelaufen ist, und löschen sie danach nach 12 Monaten. Für die Kaufbelege gelten die Aufbewahrungsfristen unter „Ticketkauf, Shop und Vertragsabwicklung“.

Online-Kurse

Für Online-Kurse nutzen wir Zoom (Zoom Communications, Inc., USA). Dabei werden Ihr Anzeigename, technische Verbindungsdaten und Chatnachrichten verarbeitet sowie Bild und Ton, wenn Sie Kamera oder Mikrofon einschalten. Sie können ohne Kamera und mit einem frei gewählten Namen teilnehmen. Zoom verarbeitet die Daten in unserem Auftrag; mit Zoom besteht ein Vertrag zur Auftragsverarbeitung. Daten können in die USA übermittelt werden (siehe „Datenübermittlung in die USA und andere Drittländer“).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Chats und Meeting-Daten löschen wir spätestens nach 2 Monaten.

Aufzeichnungen: Einige Online-Kurse zeichnen wir auf, damit gebuchte Teilnehmende den Kurs nachbereiten können. Darauf weisen wir zu Kursbeginn hin. Wenn Sie mit Kamera oder Mikrofon teilnehmen, willigen Sie damit in die Aufzeichnung ein (Art. 6 Abs. 1 lit. a DSGVO); ohne Kamera und Mikrofon werden nur Ihr Anzeigename und ggf. Ihre Chatnachrichten erfasst. Die Aufzeichnungen speichern wir in der Zoom-Cloud oder bei Cloudflare Stream (Cloudflare, Inc., USA). Zugriff haben nur gebuchte Teilnehmende. Wir löschen Aufzeichnungen 14 Tage nach Kursende, sofern in der Kursbeschreibung keine andere Frist angegeben ist.

Newsletter

Wenn Sie sich für unseren kostenlosen Newsletter anmelden, verarbeiten wir Ihre E-Mail-Adresse sowie Datum, Uhrzeit und IP-Adresse der Anmeldung und der Bestätigung. Weitere Angaben wie Ihren Namen erheben wir nur, wenn Sie diese selbst eintragen. Nach der Anmeldung erhalten Sie eine E-Mail, in der Sie die Anmeldung bestätigen (Double-Opt-in).

Für den Versand nutzen wir Sender: UAB Sender.lt, Lvivo st. 25, Vilnius, Litauen. Sender verarbeitet die Daten in unserem Auftrag; mit Sender haben wir einen Vertrag zur Auftragsverarbeitung geschlossen. Sender wertet aus, ob Newsletter geöffnet und welche Links angeklickt wurden, damit wir unsere Inhalte verbessern können. Ihre Einwilligung in den Newsletter umfasst auch diese Auswertung.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen, über den Abmeldelink in jedem Newsletter oder per Nachricht an uns.

Speicherdauer: Ihre Daten werden bis zum Widerruf gespeichert und danach gelöscht. Den Nachweis Ihrer Einwilligung (Zeitpunkt und IP-Adresse) bewahren wir bis zu 3 Jahre nach der Abmeldung auf, um eine ordnungsgemäße Einwilligung belegen zu können (Art. 6 Abs. 1 lit. f DSGVO). Abgemeldete Adressen können wir zudem auf einer Sperrliste führen, damit sie nicht versehentlich erneut angeschrieben werden.

Kontaktanfragen

Wenn Sie uns per E-Mail, Kontaktformular oder über soziale Netzwerke kontaktieren, verarbeiten wir die Angaben aus Ihrer Nachricht (z. B. Name, E-Mail-Adresse, Inhalt), um Ihre Anfrage zu bearbeiten und zu beantworten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage mit einem Vertrag zusammenhängt oder auf einen Vertragsschluss gerichtet ist (z. B. Fragen zu einer Buchung). In allen anderen Fällen ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Beantwortung der an uns gerichteten Anfragen.

Speicherdauer: Wir löschen Ihre Anfrage, sobald sie abschließend bearbeitet ist. Abweichend davon speichern wir Korrespondenz,

  • die unsere Angebote, Buchungen oder unsere Tätigkeit betrifft (Geschäftskorrespondenz), nach § 257 HGB und § 147 AO 6 Jahre;
  • soweit sie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist (Art. 17 Abs. 3 lit. e DSGVO), bis zum Abschluss des Vorgangs bzw. bis zum Ablauf der gesetzlichen Verjährungsfristen. Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. f DSGVO.

In diesen Fällen ist die Verarbeitung auf den jeweiligen Zweck beschränkt.

Discord

Für größere Veranstaltungen stellen wir jeweils einen eigenen Discord-Server bereit, z. B. für Austausch, Materialien und Organisatorisches. Die Teilnahme ist freiwillig. Verantwortlich ist für Nutzende im Europäischen Wirtschaftsraum die Discord Netherlands BV, für alle anderen die Discord Inc., USA.

Für die Nutzung benötigen Sie ein Discord-Konto. Discord verarbeitet dabei Ihre Daten (z. B. Kontodaten, IP-Adresse, Gerätedaten, Nachrichten) in eigener Verantwortung und nach seinen eigenen Bestimmungen, auch in den USA. Einzelheiten finden Sie in der Datenschutzerklärung von Discord: https://discord.com/privacy

Wir als Betreiber des Servers sehen Ihren Benutzernamen, Ihr öffentliches Profil, Ihre Rollen auf dem Server, das Beitrittsdatum und Ihre Beiträge. Wir nutzen diese Angaben, um den Server zu moderieren und die Veranstaltung zu organisieren. Rechtsgrundlage ist Ihre Einwilligung durch den freiwilligen Beitritt (Art. 6 Abs. 1 lit. a DSGVO). Soweit Sie in Beiträgen freiwillig Angaben etwa zu Gesundheit oder Sexualleben machen, ist Rechtsgrundlage Art. 9 Abs. 2 lit. a DSGVO. Sie können Ihre Einwilligung jederzeit widerrufen, indem Sie den Server verlassen.

Sie können den Server jederzeit verlassen und Ihre Beiträge selbst löschen. Auf Wunsch entfernen wir Ihre Beiträge, soweit uns das als Administratoren technisch möglich ist. Nach der Veranstaltung bleibt der Server als schreibgeschütztes Archiv für die bisherigen Mitglieder bestehen; neue Einladungen werden nicht mehr ausgegeben. Wir prüfen jährlich, ob das Archiv noch benötigt wird. Für Daten bei Discord gelten dessen Bestimmungen. Moderationsmaßnahmen (z. B. Sperrungen) können wir zum Schutz der Community auch danach dokumentieren.

Awareness und Schutz der Community

Um ein sicheres Miteinander zu gewährleisten, dokumentieren wir gemeldete Vorfälle und Beschwerden sowie daraus folgende Maßnahmen (z. B. Hausverbote). Dabei können auch besonders sensible Angaben verarbeitet werden. Zugriff hat nur unser Awareness-Team. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz der Teilnehmenden, Hausrecht); für sensible Angaben die ausdrückliche Einwilligung der meldenden Person (Art. 9 Abs. 2 lit. a DSGVO) oder Art. 9 Abs. 2 lit. f DSGVO (Rechtsansprüche). Wir löschen die Dokumentation 3 Jahre nach Abschluss des Vorgangs; Hausverbote bewahren wir auf, solange sie gelten.

Unser Auftritt auf Instagram

Wir betreiben eine Präsenz auf Instagram, um über unsere Angebote zu informieren und mit Interessierten zu kommunizieren. Für die Verarbeitung im Zusammenhang mit dieser Präsenz sind wir gemeinsam mit der Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, D04 X2K5, Irland, verantwortlich (Art. 26 DSGVO). Die Vereinbarung über die gemeinsame Verantwortlichkeit ist abrufbar unter: https://www.facebook.com/legal/terms/page_controller_addendum

Meta verarbeitet beim Aufruf unserer Seite Daten der Nutzenden (z. B. IP-Adresse, Gerätedaten, Interaktionen), stellt uns daraus anonymisierte Statistiken zur Verfügung und nutzt die Daten auch für eigene Zwecke wie Werbung und Profilbildung, insbesondere wenn Sie bei Instagram angemeldet sind. Dabei können Daten an die Meta Platforms, Inc. in den USA übermittelt werden.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Kommunikation mit Interessierten und der Bewerbung unserer Angebote. Soweit Meta Ihre Einwilligung einholt, ist Rechtsgrundlage Art. 6 Abs. 1 lit. a DSGVO; den Widerruf richten Sie an Meta.

Nachrichten, die Sie uns über Instagram senden, nutzen wir zur Bearbeitung Ihrer Anfrage; für deren Speicherdauer gilt der Abschnitt „Kontaktanfragen“. Ihre Rechte können Sie bei uns und bei Meta geltend machen. Weitere Informationen: https://privacycenter.instagram.com/policy

Links zu sozialen Netzwerken

Auf unserer Website verlinken wir auf unsere Profile bei:

  • Instagram (Meta Platforms Ireland Ltd., Irland)
  • Bluesky (Bluesky Social, PBC, USA)
  • Telegram (Telegram FZ-LLC, Vereinigte Arabische Emirate)

Die Einbindung erfolgt ausschließlich über einfache Links bzw. Grafiken, die auf unserem Server gespeichert sind. Beim Aufruf unserer Website werden daher keine Daten an diese Netzwerke übertragen. Erst wenn Sie einen Link anklicken, werden Sie zum jeweiligen Netzwerk weitergeleitet, das dann Daten in eigener Verantwortung erhebt (z. B. IP-Adresse, Datum, Uhrzeit, aufgerufene Seite) und sie ggf. Ihrem Konto zuordnet, wenn Sie dort angemeldet sind. Die Verarbeitung kann auch außerhalb der EU stattfinden, insbesondere in den USA und den Vereinigten Arabischen Emiraten.

Datenübermittlung in die USA und andere Drittländer

Einige der genannten Dienste verarbeiten Daten auch in den USA. Für die USA hat die EU-Kommission am 10. Juli 2023 einen Angemessenheitsbeschluss erlassen (EU-US Data Privacy Framework). Übermittlungen an Unternehmen, die nach diesem Rahmen zertifiziert sind (z. B. Meta Platforms, Inc. und Google LLC), sind auf dieser Grundlage zulässig (Art. 45 DSGVO). Soweit ein Unternehmen nicht zertifiziert ist, stützen sich Übermittlungen auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Ob ein Unternehmen zertifiziert ist, können Sie unter https://www.dataprivacyframework.gov/list prüfen.

Privacy Policy


As of: October 2026

We process personal data (“data”) only insofar as this is necessary to provide a functional website, our content and our services.

Below, we inform you about the type, scope, purpose, duration and legal basis of processing, insofar as we decide on it alone or jointly with others. We also inform you about services where third parties process data under their own responsibility.

I. Information about us as the controller

The controller within the meaning of data protection law is:

Karada House gUG (haftungsbeschränkt)
Weserstr. 75
12059 Berlin
Germany
Email: info@karada-house.de

Our Youth Protection Officer is:

Caritia Abell
Weserstr. 75
12059 Berlin
Germany
Email: info@karada-house.de

II. Rights of users and data subjects

You have the right

  • to confirmation as to whether we process data concerning you, to access that data and further information about the processing, and to a copy of the data (Art. 15 GDPR);
  • to rectification or completion of inaccurate or incomplete data (Art. 16 GDPR);
  • to erasure of data concerning you (Art. 17 GDPR) or, where further processing is required under Art. 17(3) GDPR, to restriction of processing (Art. 18 GDPR);
  • to receive the data you have provided in a commonly used format and to have it transmitted to another controller (Art. 20 GDPR);
  • to withdraw any consent given at any time with effect for the future (Art. 7(3) GDPR);
  • to lodge a complaint with a supervisory authority (Art. 77 GDPR). The authority responsible for us is the Berlin Commissioner for Data Protection and Freedom of Information.

We are obliged to notify all recipients to whom we have disclosed data of any rectification, erasure or restriction under Art. 16, 17(1) and 18 GDPR, unless this proves impossible or involves disproportionate effort (Art. 19 GDPR). You have the right to be informed about these recipients.

Right to object (Art. 21 GDPR): Where we process data on the basis of Art. 6(1)(f) GDPR (legitimate interests), you may object to this processing at any time on grounds relating to your particular situation. You may object to processing for direct marketing purposes at any time without giving reasons.

To exercise your rights, simply send a message to info@karada-house.de.

III. Information on data processing

We erase or block your data as soon as the purpose of storage no longer applies and no statutory retention obligations prevent erasure, unless stated otherwise below.

Hosting

Our website is hosted by Hostinger: Hostinger operations, UAB, Švitrigailos str. 34, Vilnius 03230, Lithuania. Hostinger processes all data arising from visiting and using the website on our behalf and stores it on servers in Lithuania (EU). We have concluded a data processing agreement with Hostinger under Art. 28 GDPR. Hostinger uses sub-processors, including Cloudflare, Inc., based in the USA. This transfer is based on the EU Standard Contractual Clauses (Art. 46(2)(c) GDPR).

The legal basis is Art. 6(1)(f) GDPR. Our legitimate interest lies in providing the website securely, quickly and reliably.

Server log files

Each time the website is accessed, the server automatically stores information transmitted by your browser:

  • IP address
  • date and time of access
  • page or file requested
  • referrer URL (previously visited page)
  • browser type and version, operating system
  • amount of data transferred and status code

This data is technically necessary to display the website and to ensure its stability and security, for example to defend against attacks. It is not combined with other data sources.

The legal basis is Art. 6(1)(f) GDPR. Log files are deleted automatically by Hostinger in line with its technical specifications; we have no influence on the retention period.

Cookies and similar technologies

Our website uses cookies. These are small text files or comparable storage technologies that your browser places on your device.

Strictly necessary cookies: Some cookies are essential for operating the website, for example for the shopping cart and checkout (WooCommerce), payment processing (PayPal), and storing your cookie preferences. The legal basis for storing and reading them is Section 25(2) No. 2 TDDDG (German Telecommunications Digital Services Data Protection Act); for subsequent processing it is Art. 6(1)(b) GDPR (where it serves the performance of a contract) or Art. 6(1)(f) GDPR (functionality and security of the website). Session cookies are deleted when you close your browser, others after 12 months at the latest.

Cookies requiring consent: We only set cookies that are not strictly necessary with your consent (Section 25(1) TDDDG, Art. 6(1)(a) GDPR). We currently do not use any such cookies.

Cookie consent (CookieYes): We use the WordPress plugin CookieYes to manage your consent. It stores your choice in a cookie (“cookieyes-consent”) for 12 months so that we do not have to ask you again on every visit. You can change or withdraw your settings at any time via the cookie settings link in the footer of our website. The legal basis is Art. 6(1)(c) in conjunction with Art. 7(1) GDPR (proof of consent).

Accessibility widget: To improve accessibility, we offer a tool for font size, contrast and similar settings (OneTap). Your choices are stored only locally in your browser so they persist on your next visit. The legal basis is Section 25(2) No. 2 TDDDG, as storage takes place at your explicit request.

Ticket purchases, shop and contract processing

We use WooCommerce with the extensions “Event Tickets”, “German Market” and “WooCommerce Gift Cards” to sell tickets, courses and gift cards. Orders are placed as a guest; no customer account is created. The data is stored on our web server at Hostinger.

When you place an order, we process:

  • name, a chosen name where applicable, email address and billing address, and your confirmation that you are at least 18 years old
  • order data: event booked, ticket type, price, date, payment method and payment status
  • for reduced tickets (“Low Income”, “Hardship”), the ticket type selected and your confirmation via checkbox; we do not require any proof
  • names of other attendees where you book tickets for other people
  • for gift cards, the recipient’s name and email address and an optional message

We use this data to perform the contract: sending order confirmations and tickets by email, issuing invoices, organising the event (e.g. admission, capacity planning, informing you of cancellations or changes) and redeeming gift cards. This data is required to conclude the contract.

Voluntary information on health and limitations: When booking, you can voluntarily tell us about your health or physical limitations so that we can run the course safely. We only process this information with your explicit consent (Art. 9(2)(a) GDPR), which you can withdraw at any time with effect for the future. We delete it 30 days after the course ends.

The legal basis is Art. 6(1)(b) GDPR (performance of a contract) and, for retention, Art. 6(1)(c) GDPR (legal obligation).

Retention: We keep invoices and accounting records for 8 years in accordance with Section 147 of the German Fiscal Code (AO) and Section 257 of the German Commercial Code (HGB), and business correspondence relating to the contract for 6 years. The period begins at the end of the calendar year of the order. The data is deleted afterwards.

Email delivery: We send order confirmations, tickets and our email correspondence via Gmail: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland. We have concluded a data processing agreement with Google. Data may also be transferred to Google LLC in the USA (see “Data transfers to the USA and other third countries”).

Disclosure to our tax advisor: To fulfil our tax obligations, we transmit order and invoice data to our tax advisor. The legal basis is Art. 6(1)(c) GDPR.

Invoice archive: We transfer invoices for accounting and archiving to Lexware Office, provided by Haufe Service Center GmbH, Freiburg, Germany. Haufe processes the data on our behalf in data centres in Germany; we have concluded a data processing agreement with Haufe. The legal basis is Art. 6(1)(c) GDPR.

Payment service providers

PayPal: We process payments via PayPal: PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxembourg. We pass the data required for payment (e.g. name, email address, amount, order number) to PayPal. If you pay by card, direct debit or another payment method offered by PayPal, your payment details go directly to PayPal; we never see full payment details. PayPal also processes data under its own responsibility, for example for fraud prevention and to meet legal obligations, and may carry out an identity or credit check for certain payment methods. Privacy information: https://www.paypal.com/de/legalhub/privacy-full

The legal basis is Art. 6(1)(b) GDPR.

Fraud prevention

To protect against fraudulent orders, we automatically check orders against a blocklist (plugin “Fraud Prevention for WooCommerce”). Email address, IP address and billing address are checked. The check runs on our own server. The legal basis is Art. 6(1)(f) GDPR; our legitimate interest lies in protection against payment defaults and misuse. We delete blocklist entries as soon as they are no longer needed, after 3 years at the latest.

Rope Cards (Karada Rope Curriculum)

If you purchase a Rope Card, we store your email address, the card number and the number of slots already redeemed. This allows you to use your credit for courses and lets us track redemptions. The legal basis is Art. 6(1)(b) GDPR. We store this information until the card has been fully redeemed or has expired and delete it 12 months afterwards. Purchase records are subject to the retention periods under “Ticket purchases, shop and contract processing”.

Online courses

We use Zoom (Zoom Communications, Inc., USA) for online courses. Your display name, technical connection data and chat messages are processed, as well as video and audio if you switch on your camera or microphone. You can take part without a camera and under a freely chosen name. Zoom processes the data on our behalf; we have concluded a data processing agreement with Zoom. Data may be transferred to the USA (see “Data transfers to the USA and other third countries”).

The legal basis is Art. 6(1)(b) GDPR. We delete chats and meeting data after 2 months at the latest.

Recordings: We record some online courses so that booked participants can review the course afterwards. We announce this at the start of the course. If you take part with camera or microphone switched on, you thereby consent to the recording (Art. 6(1)(a) GDPR); without camera and microphone, only your display name and any chat messages are captured. We store recordings in the Zoom cloud or on Cloudflare Stream (Cloudflare, Inc., USA). Only booked participants have access. We delete recordings 14 days after the course ends, unless the course description states a different period.

Newsletter

If you subscribe to our free newsletter, we process your email address as well as the date, time and IP address of your subscription and confirmation. We only collect further details such as your name if you enter them yourself. After subscribing, you receive an email asking you to confirm your subscription (double opt-in).

We use Sender to send the newsletter: UAB Sender.lt, Lvivo st. 25, Vilnius, Lithuania. Sender processes the data on our behalf; we have concluded a data processing agreement with Sender. Sender evaluates whether newsletters are opened and which links are clicked so that we can improve our content. Your consent to the newsletter also covers this evaluation.

The legal basis is your consent (Art. 6(1)(a) GDPR). You can withdraw it at any time with effect for the future, via the unsubscribe link in every newsletter or by sending us a message.

Retention: Your data is stored until you withdraw consent and deleted afterwards. We keep proof of your consent (time and IP address) for up to 3 years after unsubscribing in order to demonstrate valid consent (Art. 6(1)(f) GDPR). We may also keep unsubscribed addresses on a blocklist so they are not contacted again by mistake.

Contact requests

If you contact us by email, contact form or via social networks, we process the information in your message (e.g. name, email address, content) to handle and answer your request.

The legal basis is Art. 6(1)(b) GDPR where your request relates to a contract or aims at concluding one (e.g. questions about a booking). In all other cases, the legal basis is Art. 6(1)(f) GDPR; our legitimate interest lies in answering requests addressed to us.

Retention: We delete your request once it has been fully dealt with. By way of exception, we keep correspondence

  • relating to our offerings, bookings or activities (business correspondence) for 6 years under Section 257 HGB and Section 147 AO;
  • where necessary for the establishment, exercise or defence of legal claims (Art. 17(3)(e) GDPR), until the matter is concluded or the statutory limitation periods have expired. The legal basis for this is Art. 6(1)(f) GDPR.

In these cases, processing is limited to the respective purpose.

Discord

For larger events, we provide a dedicated Discord server for each event, e.g. for exchange, materials and organisational matters. Participation is voluntary. For users in the European Economic Area, the controller is Discord Netherlands BV; for everyone else, it is Discord Inc., USA.

You need a Discord account to take part. Discord processes your data (e.g. account data, IP address, device data, messages) under its own responsibility and in accordance with its own terms, including in the USA. For details, see Discord’s privacy policy: https://discord.com/privacy

As server operators, we can see your username, your public profile, your roles on the server, the date you joined and your posts. We use this information to moderate the server and organise the event. The legal basis is your consent given by voluntarily joining (Art. 6(1)(a) GDPR). Where you voluntarily share information in posts, for example about health or sex life, the legal basis is Art. 9(2)(a) GDPR. You can withdraw your consent at any time by leaving the server.

You can leave the server and delete your posts yourself at any time. On request, we will remove your posts insofar as this is technically possible for us as administrators. After the event, the server remains available to its existing members as a read-only archive; no new invitations are issued. We review annually whether the archive is still needed. Data held by Discord is subject to its terms. We may continue to document moderation measures (e.g. bans) to protect the community.

Awareness and community safety

To ensure a safe environment, we document reported incidents and complaints and any resulting measures (e.g. bans from our premises). This may include particularly sensitive information. Only our awareness team has access. The legal basis is Art. 6(1)(f) GDPR (protection of participants, right to exclude); for sensitive information, the explicit consent of the reporting person (Art. 9(2)(a) GDPR) or Art. 9(2)(f) GDPR (legal claims). We delete the documentation 3 years after the matter is closed; bans are kept for as long as they apply.

Our Instagram presence

We operate a presence on Instagram to inform people about our offerings and communicate with interested parties. We are jointly responsible with Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, D04 X2K5, Ireland, for processing in connection with this presence (Art. 26 GDPR). The joint controller agreement is available at: https://www.facebook.com/legal/terms/page_controller_addendum

When you visit our page, Meta processes user data (e.g. IP address, device data, interactions), provides us with anonymised statistics and also uses the data for its own purposes such as advertising and profiling, in particular if you are logged in to Instagram. Data may be transferred to Meta Platforms, Inc. in the USA.

The legal basis is Art. 6(1)(f) GDPR; our legitimate interest lies in communicating with interested parties and promoting our offerings. Where Meta obtains your consent, the legal basis is Art. 6(1)(a) GDPR; please address any withdrawal to Meta.

We use messages you send us via Instagram to handle your request; the section “Contact requests” applies to their retention. You can exercise your rights with us and with Meta. Further information: https://privacycenter.instagram.com/policy

Links to social networks

Our website links to our profiles on:

  • Instagram (Meta Platforms Ireland Ltd., Ireland)
  • Bluesky (Bluesky Social, PBC, USA)
  • Telegram (Telegram FZ-LLC, United Arab Emirates)

These are integrated exclusively as simple links or graphics stored on our server. No data is therefore transmitted to these networks when you visit our website. Only when you click a link are you redirected to the respective network, which then collects data under its own responsibility (e.g. IP address, date, time, page visited) and may link it to your account if you are logged in. Processing may also take place outside the EU, in particular in the USA and the United Arab Emirates.

Data transfers to the USA and other third countries

Some of the services mentioned also process data in the USA. On 10 July 2023, the European Commission adopted an adequacy decision for the USA (EU-US Data Privacy Framework). Transfers to companies certified under this framework (e.g. Meta Platforms, Inc. and Google LLC) are permitted on this basis (Art. 45 GDPR). Where a company is not certified, transfers are based on the European Commission’s Standard Contractual Clauses (Art. 46(2)(c) GDPR). You can check whether a company is certified at https://www.dataprivacyframework.gov/list

In case of discrepancies, the German version prevails.