Datenschutzerklärung

Stand: 18. Juli 2026

Diese Datenschutzerklärung gilt für die Website phallushape.com einschließlich des Mitgliederbereichs unter /app. Sie erklärt, welche personenbezogenen Daten wir verarbeiten, zu welchem Zweck, auf welcher Rechtsgrundlage und welche Rechte du hast.

1. Verantwortlicher

2. Grundsätze: sparsam und ohne Namen

PhalluShape ist bewusst datensparsam aufgebaut. Für die Nutzung genügt eine E-Mail-Adresse; einen Namen fragen wir nicht ab und zeigen ihn nirgends an. Es gibt kein öffentliches Profil und keine Community-Funktionen, bei denen andere Nutzer deine Daten sehen könnten. Wir verkaufen keine Daten. Werbe-Messdienste (Abschnitt 7) laufen ausschließlich mit deiner ausdrücklichen Einwilligung; ohne sie wird kein Marketing-Dienst geladen.

3. Hosting und Auslieferung der Website

Beim Aufruf der Website verarbeitet der Webserver technisch notwendige Daten (IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browser-Kennung) in Server-Logdateien. Diese Daten benötigen wir, um die Website auszuliefern, Störungen zu erkennen und Angriffe abzuwehren. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Logdaten werden nach spätestens 14 Tagen gelöscht oder anonymisiert.

Der Website ist das Content-Delivery-Netzwerk von Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA) vorgeschaltet. Cloudflare verarbeitet dabei deine IP-Adresse und technische Verbindungsdaten, um Inhalte auszuliefern und Angriffe abzuwehren. Cloudflare ist unter dem EU-U.S. Data Privacy Framework zertifiziert; zusätzlich bestehen Standardvertragsklauseln.

4. Schriften und Medien

Die verwendeten Schriftarten sind lokal auf unserem Server eingebunden. Beim Laden der Seite wird dafür keine Verbindung zu Google oder anderen Font-Diensten aufgebaut.

5. Cookies und Einwilligungsverwaltung

Technisch notwendige Cookies und lokale Speicherung (etwa die Sitzung im Mitgliederbereich und die Speicherung deiner Cookie-Auswahl selbst) setzen wir ohne Einwilligung ein (§ 25 Abs. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO). Alle nicht notwendigen Cookies und vergleichbaren Technologien — derzeit die Nutzungsanalyse mit Microsoft Clarity (Abschnitt 6) sowie die Werbe-Messdienste von Reddit und Google (Abschnitt 7) — werden erst gesetzt, nachdem du im Cookie-Banner eingewilligt hast (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Analyse und Marketing kannst du dabei getrennt entscheiden.

Zur Einwilligungsverwaltung nutzen wir eine selbst gehostete Open-Source-Lösung (vanilla-cookieconsent); dabei werden keine Daten an Dritte übertragen. Deine Auswahl speichert der Browser bis zu sechs Monate im Cookie ps_cc. Du kannst sie jederzeit über den Link „Cookie-Einstellungen" im Seitenfuß ändern oder widerrufen — der Widerruf wirkt für die Zukunft.

6. Webanalyse (Umami, Microsoft Clarity)

Zur Reichweitenmessung nutzen wir die Analyse-Software Umami auf einer selbst betriebenen Instanz. Umami arbeitet ohne Cookies und ohne persistente Kennungen: Es entstehen aggregierte Statistiken (aufgerufene Seiten, Herkunftsland, Browsertyp), aus denen sich einzelne Besucher nicht wiedererkennen lassen; die IP-Adresse wird nicht gespeichert. Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung des Angebots (Art. 6 Abs. 1 lit. f DSGVO).

Nur mit deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG) nutzen wir zusätzlich Microsoft Clarity (Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland; Mutterkonzern Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA). Clarity zeichnet auf, wie diese Seite bedient wird — Klicks, Mausbewegungen, Scrollverhalten und Seitenaufrufe — und stellt daraus Heatmaps und Sitzungswiedergaben zusammen. Damit finden wir Stellen, an denen die Seite hakt. Ohne Einwilligung wird Clarity nicht geladen.

Verarbeitet werden dabei Angaben zu deinem Besuch (aufgerufene Seiten, Verweildauer, Interaktionen), gekürzte IP-Adresse, Browser-, Geräte- und Bildschirmangaben, ungefährer Standort auf Länder-/Regionsebene sowie eine Cookie-Kennung (_clck, _clsk, CLID), die dich über mehrere Seitenaufrufe hinweg wiedererkennt. Eingaben in Formulare (z. B. deine E-Mail-Adresse im Registrierungsfenster) werden maskiert und nicht übertragen. Microsoft ist für die Verarbeitung im Rahmen von Clarity eigenständig mitverantwortlich und verarbeitet die Daten auch in den USA; Microsoft Corporation ist unter dem EU-U.S. Data Privacy Framework zertifiziert, ergänzend bestehen EU-Standardvertragsklauseln. Details in der Datenschutzerklärung von Microsoft.

Der Mitgliederbereich (Konto, Trainings- und Messdaten) ist von Clarity ausgenommen — dort läuft keine Aufzeichnung. Deine Einwilligung kannst du jederzeit über „Cookie-Einstellungen" im Seitenfuß mit Wirkung für die Zukunft widerrufen.

7. Werbe-Messdienste (Reddit Ads, Google Ads)

Nur mit deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG) setzen wir Werbe-Messdienste ein, um zu messen, ob unsere Anzeigen zu Besuchen, Registrierungen oder Käufen führen, und um Anzeigen effizienter auszusteuern. Ohne Einwilligung wird keiner dieser Dienste geladen.

Reddit Ads (Reddit, Inc., 1455 Market Street, San Francisco, CA 94103, USA):

Das Reddit-Pixel setzt dazu ein Cookie (_rdt_uuid) und verarbeitet Angaben zu deinem Besuch (aufgerufene Seiten, Ereignisse wie Registrierung, Browser-Kennung, IP-Adresse, ggf. eine Klick-ID aus der Anzeige). Ergänzend übermitteln wir dieselben Ereignisse serverseitig über die Reddit Conversions API; dabei geben wir die IP-Adresse ausschließlich SHA-256-gehasht weiter. Beide Wege sind über eine zufällige Ereignis-ID gegeneinander dedupliziert. Schließt du nach einer Registrierung mit Marketing-Einwilligung einen Kauf ab, übermitteln wir serverseitig ein Kauf-Ereignis (Bestellnummer gehasht, Bestellwert, Klick-ID) mit der SHA-256-gehashten E-Mail-Adresse an Reddit, um die Conversion der Anzeige zuzuordnen. Klarnamen oder lesbare E-Mail-Adressen übermitteln wir nicht an Reddit.

Reddit verarbeitet diese Daten in den USA; Reddit, Inc. ist unter dem EU-U.S. Data Privacy Framework zertifiziert, ergänzend bestehen EU-Standardvertragsklauseln. Reddit kann die Daten mit dem Reddit-Konto des Besuchers verknüpfen und ist dafür eigenständig Verantwortlicher; Details in der Datenschutzerklärung von Reddit.

Google Ads Conversion-Tracking (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Mutterkonzern Google LLC, USA): Nach Einwilligung lädt der Google-Tag (gtag.js), setzt Conversion-Cookies (_gcl_*) und verarbeitet Angaben zu deinem Besuch (aufgerufene Seiten, Ereignisse wie Registrierung oder Kauf, Browser-Kennung, IP-Adresse, ggf. eine Klick-ID aus der Anzeige), um Anzeigenkontakte Conversions zuzuordnen. Wir übermitteln dabei den Einwilligungsstatus an Google (Consent Mode); ohne Einwilligung findet keine Übertragung an Google statt. Soweit Daten in die USA gelangen, ist Google LLC unter dem EU-U.S. Data Privacy Framework zertifiziert; Details in der Datenschutzerklärung von Google.

Deine Einwilligung kannst du jederzeit über „Cookie-Einstellungen" im Seitenfuß mit Wirkung für die Zukunft widerrufen.

8. Registrierung und Konto

Für den Mitgliederbereich benötigst du ein Konto. Dabei verarbeiten wir deine E-Mail-Adresse, ein Passwort (verschlüsselt gespeichert) sowie Zeitpunkt und Version deiner Zustimmung zu AGB und Datenschutzerklärung. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Konto- und Anwendungsdaten werden bei Supabase, Inc. (970 Toa Payoh North #07-04, Singapur) gespeichert. Das Datenbank- und Auth-Projekt wird in der Region eu-central-1 (Frankfurt am Main, Deutschland) auf Servern von Amazon Web Services betrieben. Mit Supabase besteht ein Auftragsverarbeitungsvertrag.

Zur Sitzungsverwaltung speichert der Browser technisch notwendige Daten (Session-Token, Einwilligungs-Nachweis) im lokalen Speicher (localStorage). Marketing-Cookies setzen wir nur nach Einwilligung ein (Abschnitte 5 und 7).

9. Trainings- und Messdaten (Gesundheitsdaten)

Kern der Plattform ist dein Fortschritts-Tagebuch: Körpermaße (z. B. Länge und Umfang), Selbsteinschätzungen zur Erektionsqualität, Trainingsprotokolle und gegebenenfalls gemeldete Beschwerden. Diese Angaben sind Gesundheitsdaten im Sinne von Art. 9 DSGVO.

Wir verarbeiten sie ausschließlich auf Grundlage deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die wir vor der ersten Erfassung einholen. Die Daten sind nur mit deinem Konto (E-Mail-Adresse) verknüpft, nicht mit einem Namen. Sie werden nicht an Dritte weitergegeben und nicht zu Werbezwecken ausgewertet. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen; in diesem Fall löschen wir die erfassten Trainings- und Messdaten.

10. Zahlungsabwicklung über Digistore24

Kostenpflichtige Zugänge werden über die Digistore24 GmbH (St.-Godehard-Straße 32, 31139 Hildesheim, Deutschland) verkauft. Digistore24 tritt als Wiederverkäufer (Reseller) auf und ist für die im Bestellvorgang erhobenen Daten (Name, Rechnungsanschrift, Zahlungsdaten) eigenständig datenschutzrechtlich verantwortlich. Es gilt die Datenschutzerklärung von Digistore24.

Nach einem Kauf übermittelt Digistore24 uns die für die Freischaltung notwendigen Daten (E-Mail-Adresse, gekauftes Produkt, Bestell- und Transaktionsnummer, Zahlungsstatus). Zahlungsdaten wie Kreditkartennummern erhalten wir nicht. Rechtsgrundlage der Verarbeitung bei uns ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); Abrechnungsdaten bewahren wir auf, solange gesetzliche Aufbewahrungspflichten bestehen.

11. E-Mail-Versand

System-E-Mails (Registrierungsbestätigung, Passwort-Zurücksetzen, wichtige Konto- und Vertragsinformationen) versenden wir über Amazon Web Services EMEA SARL (38 Avenue John F. Kennedy, L-1855 Luxemburg) mit dem Dienst Amazon SES aus der Region Frankfurt am Main. Dabei werden E-Mail-Adresse, Inhalt der Nachricht und Zustellinformationen verarbeitet. Mit AWS besteht ein Auftragsverarbeitungsvertrag. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Werbliche E-Mails erhältst du nur, wenn du gesondert eingewilligt hast (Art. 6 Abs. 1 lit. a DSGVO). Du kannst dich jederzeit über den Abmeldelink in jeder Nachricht oder per E-Mail an support@phallushape.com abmelden.

12. Übungsvideos

Die Übungsvideos im Mitgliederbereich werden über BunnyWay d.o.o. (Cesta komandanta Staneta 4A, 1215 Medvode, Slowenien, EU) ausgeliefert („bunny.net"). Beim Abspielen verarbeitet bunny.net deine IP-Adresse und technische Verbindungsdaten, um den Videostream bereitzustellen. Die Videoadressen sind signiert und zeitlich begrenzt gültig; Rückschlüsse auf deine Tagebuch-Daten sind für bunny.net nicht möglich. Mit BunnyWay besteht ein Auftragsverarbeitungsvertrag.

13. Übermittlung in Drittländer

Verantwortlicher ist eine US-amerikanische Gesellschaft; einzelne Dienstleister (Cloudflare, bei Einwilligung Microsoft, Reddit und Google) haben ihren Sitz in den USA. Soweit Daten in die USA übermittelt werden, stützen wir das auf Zertifizierungen unter dem EU-U.S. Data Privacy Framework oder auf EU-Standardvertragsklauseln. Die eigentliche Daten-Speicherung (Konto, Trainings- und Messdaten) erfolgt in Frankfurt am Main.

14. Speicherdauer und Löschung

Kontodaten und Tagebuch-Daten speichern wir, solange dein Konto besteht. Du kannst dein Konto jederzeit selbst löschen: über die Lösch-Funktion auf deiner Profilseite oder per E-Mail an support@phallushape.com. Mit der Löschung entfernen wir alle gespeicherten Daten einschließlich der Trainings- und Messdaten, soweit keine gesetzlichen Aufbewahrungspflichten (etwa für Abrechnungsdaten) entgegenstehen. Die Löschung ist endgültig: auch erworbene Zugänge gehen dabei unwiderruflich verloren und können nicht wiederhergestellt werden. Server-Logs werden nach spätestens 14 Tagen gelöscht oder anonymisiert.

15. Deine Rechte

Dir stehen nach der DSGVO folgende Rechte zu:

• Auskunft über die zu dir gespeicherten Daten (Art. 15),
• Berichtigung unrichtiger Daten (Art. 16),
• Löschung (Art. 17) und Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20),
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3).

Zur Ausübung genügt eine formlose E-Mail an support@phallushape.com. Daneben hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), etwa bei der Aufsichtsbehörde deines gewöhnlichen Aufenthaltsorts.

16. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage, unsere Dienste oder die eingesetzten Dienstleister ändern. Die jeweils aktuelle Fassung findest du auf dieser Seite; das Datum oben zeigt den Stand.