1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die Verarbeitung personenbezogener Daten auf den CactusIO-Webseiten und -Diensten ist:

Eine Pflicht zur Benennung eines Datenschutzbeauftragten besteht nicht. Bei allen Fragen zum Datenschutz erreichst du uns direkt unter der oben genannten E-Mail-Adresse.

2. Überblick

CactusIO ist die Dachmarke hinter mehreren Diensten, u. a. der Fitness-App Corely, dem Schulportal für die Grace Hopper Gesamtschule (GHG) und weiteren Web-Angeboten unter cactusio.com. Diese Erklärung beschreibt die Datenverarbeitung, die auf Ebene von CactusIO als Anbieter stattfindet — insbesondere Konto-Infrastruktur, Kontaktanfragen und den Betrieb unserer Webseiten. Für produktspezifische Verarbeitungen (z. B. Gesundheits- und Trainingsdaten in Corely) gelten zusätzlich die jeweiligen produktspezifischen Datenschutzerklärungen, siehe Abschnitt 13.

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Wir verarbeiten solche Daten ausschließlich im Einklang mit der DSGVO und dem Bundesdatenschutzgesetz (BDSG).

3. Welche Daten wir verarbeiten

3.1 Konto- und Registrierungsdaten (CactusID)

Bei der Erstellung eines Kontos verarbeiten wir deine E-Mail-Adresse, deinen Benutzernamen sowie ein verschlüsselt (gehasht) gespeichertes Passwort. Diese Daten bilden deine plattformübergreifende „CactusID“ und werden von der gemeinsamen Konto-Infrastruktur genutzt, die unseren Produkten zugrunde liegt.

3.2 Anmeldung über Drittanbieter (OAuth)

Je nach Produkt kannst du dich mit Apple, Google oder GitHub anmelden. Dabei erhalten wir vom jeweiligen Anbieter eine eindeutige Nutzerkennung sowie – je nach deiner Freigabe – deine E-Mail-Adresse und deinen Namen. Wir erhalten kein Passwort.

3.3 Kontaktanfragen

Schreibst du uns eine E-Mail (z. B. an [email protected]), verarbeiten wir deine Angaben und den Inhalt deiner Nachricht zur Bearbeitung deines Anliegens.

3.4 Nutzungs- und Protokolldaten unserer Webseiten

Beim Aufruf unserer Webseiten fallen technische Protokolldaten an (z. B. IP-Adresse, Zeitpunkt des Zugriffs, aufgerufene Seite, Browser- und Geräteinformationen). Diese Daten dienen der Sicherheit und dem stabilen Betrieb unserer Systeme.

3.5 Bestell- und Zahlungsdaten (Store)

Nutzt du unseren Store, verarbeiten wir die für die Bestellabwicklung nötigen Daten (Kontaktdaten, Bestellinhalt, Zahlungsstatus). Zahlungen selbst werden über spezialisierte Zahlungsdienstleister abgewickelt, an die die hierfür nötigen Daten weitergegeben werden.

4. Zwecke & Rechtsgrundlagen

Wir verarbeiten deine Daten zu folgenden Zwecken auf den jeweils genannten Rechtsgrundlagen:

• Bereitstellung von Konto und Diensten – Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
• Bearbeitung von Kontaktanfragen – Art. 6 Abs. 1 lit. b bzw. f DSGVO.
• Sicherheit, Missbrauchsvermeidung, Stabilität und Verbesserung – Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).
• Schulbezogene Verarbeitung im Rahmen von GHG – Art. 6 Abs. 1 lit. e DSGVO (öffentliche Aufgabe), siehe Abschnitt 5.
• Erfüllung rechtlicher Pflichten – Art. 6 Abs. 1 lit. c DSGVO.
• Einwilligungsbasierte Verarbeitungen (z. B. bestimmte OAuth-Freigaben) – Art. 6 Abs. 1 lit. a DSGVO.

Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

5. Schuldienste (GHG)

6. Dienste & Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister ein, die Daten ausschließlich in unserem Auftrag und weisungsgebunden gemäß Art. 28 DSGVO verarbeiten:

• Cloudflare: Content Delivery Network (CDN), DDoS-Schutz und Tunneling für unsere Webseiten.
• E-Mail-Versand: Zustellung von Systemnachrichten und Antworten auf Kontaktanfragen.
• Anmeldedienste: Apple, Google und GitHub für die optionale Anmeldung.

Eine Weitergabe deiner Daten zu eigenen Zwecken Dritter findet nicht statt; eine Übermittlung an Behörden erfolgt nur, soweit gesetzlich vorgeschrieben.

7. Übermittlung in Drittländer

Einige der eingesetzten Dienste (u. a. Cloudflare, Anmeldedienste) können Daten in den USA verarbeiten. Soweit dabei Daten in ein Drittland übermittelt werden, geschieht dies auf Grundlage geeigneter Garantien, insbesondere der Standardvertragsklauseln der EU-Kommission bzw. eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework).

8. Speicherdauer

• Kontodaten: für die Dauer des Bestehens deines Kontos.
• Kontaktanfragen: bis zur abschließenden Bearbeitung, danach im Rahmen gesetzlicher Aufbewahrungsfristen.
• Protokoll- & Sicherheitsdaten: nur so lange, wie es für Sicherheit und Betrieb erforderlich ist, in der Regel kurzfristig.
• Schulbezogene Daten: entsprechend den Aufbewahrungsrichtlinien der Grace Hopper Gesamtschule, längstens bis zum Ende des Schulbesuchs zzgl. gesetzlicher Fristen.

9. Deine Rechte

Dir stehen nach der DSGVO folgende Rechte zu:

• Auskunft über die zu dir gespeicherten Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung deiner Daten (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch gegen die Verarbeitung (Art. 21)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3)

Zur Ausübung deiner Rechte genügt eine Nachricht an [email protected]. Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren.

10. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um deine Daten zu schützen, darunter Transportverschlüsselung (TLS/HTTPS), gehashte Passwörter und zugriffsbeschränkte Systeme. Trotz aller Sorgfalt kann kein Online-Dienst absolute Sicherheit garantieren.

11. Cookies und ähnliche Technologien

Unsere Webseiten nutzen technisch notwendige Cookies bzw. vergleichbare Speichertechnologien (z. B. für Session-Verwaltung, Sicherheit und Spracheinstellungen wie den DE/EN-Umschalter auf dieser Seite). Wir setzen keine Tracking-Cookies oder Analysedienste Dritter zu Werbezwecken ein.

12. Kinder & Jugendliche

Minderjährige Schüler der Grace Hopper Gesamtschule können die GHG-spezifischen Bereiche im Rahmen des schulischen Unterrichts nutzen; Rechtsgrundlage ist die öffentliche Aufgabe der Schule (Art. 6 Abs. 1 lit. e DSGVO). Für die übrigen Dienste gelten die Altersgrenzen der jeweiligen produktspezifischen Bedingungen.

13. Unsere Produkte

Für die Verarbeitung innerhalb einzelner Produkte gelten deren eigene, ausführlichere Datenschutzerklärungen. Aktuell:

• Corely (Fitness- und Trainings-App) – Datenschutzerklärung von Corely.

14. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Dienste oder die rechtlichen Rahmenbedingungen ändern. Die jeweils aktuelle Fassung ist unter dieser Adresse abrufbar.

15. Kontakt

Bei Fragen zum Datenschutz wende dich an [email protected]. Unsere vollständigen Anbieterangaben findest du im Impressum.

1. Data Controller

The controller responsible for processing personal data on CactusIO's websites and services under the General Data Protection Regulation (GDPR) is:

We are not legally required to appoint a Data Protection Officer. For any privacy-related question you can reach us directly at the email address above.

2. Overview

CactusIO is the holding brand behind several services, including the fitness app Corely, the school portal for Grace Hopper Gesamtschule (GHG), and other web offerings under cactusio.com. This policy describes the data processing that happens at the CactusIO provider level — in particular account infrastructure, contact requests, and the operation of our websites. Product-specific processing (e.g. health and training data in Corely) is additionally governed by that product's own privacy policy, see section 13.

Personal data means any information relating to an identified or identifiable natural person. We process such data solely in accordance with the GDPR and the German Federal Data Protection Act (BDSG).

3. Data We Process

3.1 Account & registration data (CactusID)

When you create an account we process your email address, your username and a securely hashed password. Together these form your cross-platform "CactusID", used by the shared account infrastructure underlying our products.

3.2 Third-party sign-in (OAuth)

Depending on the product, you may sign in with Apple, Google or GitHub. The respective provider then shares a unique user identifier and – depending on your consent – your email address and name. We never receive a password.

3.3 Contact requests

If you email us (e.g. at [email protected]), we process your details and the content of your message in order to handle your request.

3.4 Website usage & log data

Visiting our websites generates technical log data (e.g. IP address, access time, page requested, browser and device information), used to keep our systems secure and stable.

3.5 Order & payment data (Store)

If you use our store, we process the data required to process your order (contact details, order content, payment status). Payments themselves are handled by specialised payment providers, to whom the necessary data is passed on.

4. Purposes & Legal Bases

We process your data for the following purposes on the legal bases stated:

• Providing accounts and services – Art. 6(1)(b) GDPR (performance of a contract).
• Handling contact requests – Art. 6(1)(b) or (f) GDPR.
• Security, abuse prevention, stability and improvement – Art. 6(1)(f) GDPR (legitimate interest).
• School-related processing under GHG – Art. 6(1)(e) GDPR (public task), see section 5.
• Compliance with legal obligations – Art. 6(1)(c) GDPR.
• Consent-based processing (e.g. certain OAuth permissions) – Art. 6(1)(a) GDPR.

You may withdraw any consent at any time with effect for the future.

5. School Services (GHG)

6. Services & Processors

We use carefully selected service providers that process data only on our behalf and under our instructions pursuant to Art. 28 GDPR:

• Cloudflare: content delivery network (CDN), DDoS protection and tunneling for our websites.
• Email delivery: delivery of system messages and replies to contact requests.
• Sign-in services: Apple, Google and GitHub for optional sign-in.

We do not share your data for third parties' own purposes; disclosure to authorities only occurs where legally required.

7. International Transfers

Some of the services used (including Cloudflare and sign-in services) may process data in the United States. Where data is transferred to a third country, this is done on the basis of appropriate safeguards, in particular the EU Commission's Standard Contractual Clauses or an adequacy decision (EU-US Data Privacy Framework).

8. Data Retention

• Account data: for as long as your account exists.
• Contact requests: until your request is resolved, then subject to statutory retention periods.
• Log & security data: only as long as needed for security and operation, usually short term.
• School-related data: in accordance with Grace Hopper Gesamtschule's retention policies, at most until the end of enrolment plus statutory periods.

9. Your Rights

Under the GDPR you have the following rights:

• Access to the data stored about you (Art. 15)
• Rectification of inaccurate data (Art. 16)
• Erasure of your data (Art. 17)
• Restriction of processing (Art. 18)
• Data portability (Art. 20)
• Objection to processing (Art. 21)
• Withdrawal of consent with effect for the future (Art. 7(3))

To exercise your rights, simply email [email protected]. You also have the right to lodge a complaint with a data-protection supervisory authority.

10. Data Security

We use technical and organisational measures to protect your data, including transport encryption (TLS/HTTPS), hashed passwords and access-restricted systems. Despite all care, no online service can guarantee absolute security.

11. Cookies & Similar Technologies

Our websites use technically necessary cookies or comparable storage technologies (e.g. for session management, security, and language preferences such as the DE/EN switch on this page). We do not use third-party tracking cookies or analytics services for advertising purposes.

12. Children

Minor students of Grace Hopper Gesamtschule may use the GHG-specific areas as part of school instruction; the legal basis is the school's public task (Art. 6(1)(e) GDPR). For our other services, the age limits of the respective product-specific terms apply.

13. Our Products

Processing within individual products is additionally governed by that product's own, more detailed privacy policy. Currently:

• Corely (fitness and training app) – Corely's Privacy Policy.

14. Changes to This Policy

We update this Privacy Policy when our services or the legal framework change. The current version is always available at this address.

15. Contact

For privacy questions, contact [email protected]. Our full provider details are available in the imprint.