Datenschutzerklärung

Stand: Oktober 2026 · Version 1.11

Mit dieser Datenschutzerklärung informieren wir Sie nach Art. 13 und 14 DSGVO über die Verarbeitung personenbezogener Daten im Zusammenhang mit der Bereitstellung und dem Betrieb unserer Software zur Kursverwaltung und Teilnehmererfassung (nachfolgend „Plattform"). Sie richtet sich an die Nutzerinnen und Nutzer, die sich an der Plattform anmelden (Dozenten, Administratoren), an Kursteilnehmerinnen und -teilnehmer, die sich über die Plattform zu einem Kurs anmelden, an Ansprechpartner der Einrichtungen, an Interessenten, die einen Zugang einrichten, sowie an Besucherinnen und Besucher dieser Seiten.

1. Verantwortlicher für den Plattformbetrieb

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für den technischen Betrieb der Plattform ist:

Geiger & Pauly GbR
vertreten durch die Gesellschafter Michael Geiger und Haiyan Pauly
Hindenburgstr. 1
72631 Aichtal
Deutschland

E-Mail:

2. Ansprechpartner für den Datenschutz

Für Fragen zum Datenschutz und zur Ausübung Ihrer Rechte stehen Ihnen unsere Ansprechpartner Michael Geiger und Haiyan Pauly unter den in Ziffer 1 genannten Kontaktdaten zur Verfügung. Zur Bestellung einer/eines Datenschutzbeauftragten sind wir gesetzlich nicht verpflichtet.

3. Rollenverteilung: Verantwortlicher und Auftragsverarbeiter

Wir sind Verantwortlicher für die Verarbeitungen, die mit dem Betrieb der Plattform, der Einrichtung und Verwaltung der Nutzerkonten und Zugänge, der Anmeldung, dem Vertragsverhältnis und der technischen Sicherheit zusammenhängen (Ziffern 4.1 bis 4.9).

Die Kurs- und Teilnehmerdaten — insbesondere die Angaben, die Kursteilnehmerinnen und -teilnehmer bei der Selbstregistrierung machen (Name, Titel, Geburtsdatum, E-Mail-Adresse, eigenhändige Unterschrift), die daraus erstellten Teilnahmebescheinigungen und Teilnehmerlisten sowie das Kursfeedback — verarbeiten wir ausschließlich im Auftrag und nach Weisung des jeweiligen Kursanbieters (unseres Kunden, der die Plattform unter seiner Domain betreibt). Für diese Daten ist der Kursanbieter Verantwortlicher; wir handeln insoweit als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines gesonderten Auftragsverarbeitungsvertrags (AVV). Für die Verarbeitung dieser Daten ist die Datenschutzinformation des jeweiligen Kursanbieters maßgeblich (Ziffer 4.10).

4. Verarbeitungen, Zwecke und Rechtsgrundlagen

4.1 Bereitstellung der Plattform und Nutzerkonten

Zur Bereitstellung der Plattform verarbeiten wir die Stammdaten der Nutzerkonten (insbesondere Vor- und Nachname, E-Mail-Adresse, Rolle/Berechtigung), auf Wunsch eine hinterlegte Unterschrift für Teilnahmebescheinigungen sowie Nutzungsdaten. Zwecke sind die Einrichtung, Verwaltung und Bereitstellung der Zugänge. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungs- bzw. Vertragsverhältnisses) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb).

Herkunft der Daten. Wird ein Konto von einem Administrator des Kursanbieters eingeladen, erhalten wir Vorname, Nachname und E-Mail-Adresse nicht von der betroffenen Person selbst, sondern von diesem Administrator (Information nach Art. 14 DSGVO).

Änderung der Anmeldeadresse. Die E-Mail-Adresse, mit der Sie sich anmelden, können nur Sie selbst ändern. Bestätigt wird mit Ihrem Passwort und einem Code aus Ihrer Authenticator-App — ist diese seit weniger als 7 Tagen oder gar nicht eingerichtet, stattdessen mit einem Code, den wir an Ihre bisherige Adresse schicken — und mit einem Code an die neue Adresse. Dafür speichern wir den Antrag: die neue Adresse (verschlüsselt), den Bestätigungscode und die Bindung an die Sitzung, in der Sie den Antrag gestellt haben, jeweils nur in nicht rückrechenbarer Form, sowie Zustand und Zeitpunkte. Den Code an die bisherige Adresse halten wir nur in nicht rückrechenbarer Form in Ihrer Sitzung, 15 Minuten lang. An die neue Adresse schicken wir den Code, an die bisherige einen Hinweis; nach der Änderung informieren wir die bisherige Adresse und die übrigen Administratoren Ihres Kursanbieters, diese mit teilweise verdeckter neuer Adresse. Die Anträge löschen wir 30 Tage nach ihrer Anlage. Der vollzogene Wechsel steht mit alter und neuer Adresse im Aktivitäts- und Sicherheitsprotokoll (Ziffer 4.3); Antrag und Abbruch stehen dort ohne Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO (Schutz Ihres Kontos vor Übernahme).

Abruf durch ein Vorsystem des Kursanbieters. Ein Administrator des Kursanbieters kann mit einem Zugangstoken der Programmierschnittstelle die Stammdaten der aktiven Nutzerkonten abrufen: Vor- und Nachname, E-Mail-Adresse, Rolle, ob eine Unterschrift hinterlegt ist (nicht die Unterschrift selbst) und zwei technische Kennungen des Kontos. Zweck ist, Kurse aus einem eigenen System des Kursanbieters, etwa seiner Warenwirtschaft, gleich mit dem richtigen Dozenten anzulegen und dem Dozenten die Unterlagen zu seinem Training zuzusenden. Empfänger ist der Kursanbieter selbst, von dem diese Angaben stammen; für das System, in das er sie übernimmt, ist er verantwortlich (Ziffer 5). Ändern lässt sich die Anmeldeadresse über die Schnittstelle nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO, wie für die Bereitstellung der Zugänge.

4.2 Selbstregistrierung eines Zugangs

Richtet ein Interessent seinen Zugang selbst ein, verarbeiten wir die dabei angegebenen Daten: Vor- und Nachname, E-Mail-Adresse, Passwort (nur als nicht rückrechenbarer Prüfwert), Organisation, die gewünschte Adresse des Zugangs sowie die Bestätigung der Allgemeinen Geschäftsbedingungen. Alternativ ist eine Registrierung über Google möglich (Ziffer 4.4). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Maßnahmen auf Ihre Anfrage vor Vertragsschluss).

Bestätigung und Erinnerung. Eine Registrierung wird erst wirksam, wenn Sie den Bestätigungslink aufrufen, den wir an die angegebene Adresse senden. Bleibt die Bestätigung aus, erinnern wir Sie daran. Nicht bestätigte Registrierungen löschen wir nach Ablauf der Bestätigungsfrist (regelmäßig 24 Stunden); die Daten einer eingerichteten Registrierung löschen wir 90 Tage nach der Einrichtung aus dem Registrierungsdatensatz — im Konto selbst bleiben sie für die Dauer des Nutzungsverhältnisses.

Missbrauchsschutz. Damit nicht massenhaft Zugänge angelegt werden, prüfen wir das Formular auf maschinelle Eingabe, weisen Wegwerf-Adressen ab, prüfen die Erreichbarkeit der angegebenen E-Mail-Domain über eine DNS-Abfrage und begrenzen die Zahl der Einrichtungen je Anschluss. Aus der IP-Adresse bilden wir dafür einen geschlüsselten, nicht rückrechenbaren Kennwert; die IP-Adresse selbst speichern wir nicht. Der Kennwert wird über ein Fenster von 30 Tagen ausgewertet und bleibt über die Löschung der übrigen Registrierungsdaten hinaus am eingerichteten Zugang erhalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Abwehr missbräuchlicher Nutzung).

4.3 Anmeldung, Zwei-Faktor-Authentisierung und Sicherheitsprotokoll

Bei der Anmeldung verarbeiten wir Anmeldedaten und Sicherheitsmerkmale. Zur Absicherung der Konten setzen wir eine Zwei-Faktor-Authentisierung (TOTP) ein — für Administratoren verpflichtend, für Dozenten je nach Konfiguration des Kursanbieters. Zu Sicherheits- und Nachvollziehbarkeitszwecken führen wir ein internes Aktivitäts- und Sicherheitsprotokoll: Darin werden Anmeldungen, abgelehnte Bestätigungen mit Passwort und gegebenenfalls Authenticator-Code, bestimmte sicherheitsrelevante administrative Aktionen (insbesondere die Vergabe und der Entzug von Rechten, das Zurücksetzen der Zwei-Faktor-Authentisierung, Einladungen samt Annahme und Widerruf sowie das Sperren, Entsperren und Umbenennen von Nutzerkonten), der Wechsel der Anmeldeadresse sowie das Einrichten und Entfernen eines Passkeys gespeichert – jeweils mit auslösendem Benutzerkonto, betroffenem Konto, IP-Adresse, Zeitpunkt und Browser-/Gerätekennung (User-Agent). Der Eintrag enthält zur Lesbarkeit zusätzlich Namen und E-Mail-Adressen der beteiligten Konten im Klartext. Das Protokoll ist nur für Berechtigte des jeweiligen Kursanbieters einsehbar und dient ausschließlich der IT-Sicherheit und der Aufklärung von Missbrauch, nicht der Verhaltens- oder Leistungskontrolle. Alle Einträge löschen wir automatisch nach 90 Tagen. Die Einträge über Rechte- und Zugangsänderungen — die genannten administrativen Aktionen, den Wechsel der Anmeldeadresse sowie das Einrichten und Entfernen eines Passkeys — sind zusätzlich so miteinander verkettet, dass eine nachträgliche Änderung oder Löschung erkennbar wird; das Löschen nach Ablauf der Frist wird in dieser Verkettung vermerkt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO (Bereitstellung eines sicheren Zugangs, Schutz vor unbefugtem Zugriff) in Verbindung mit Art. 32 DSGVO.

Anmeldung mit einem Passkey. Statt mit Passwort und Code können Sie sich auch mit einem Passkey anmelden (WebAuthn/FIDO2). Einrichten können Sie ihn nur, während Sie angemeldet sind, und erst nach einer erneuten Bestätigung mit Ihrem Passwort und einem zweiten Code — dem Ihrer Authenticator-App oder einem, den wir an Ihre Anmeldeadresse schicken. Die Anmeldung mit dem Passkey gilt dann selbst als mit dem zweiten Faktor bestätigt.

Ihr Fingerabdruck oder Ihr Gesicht gelangt dabei nicht zu uns. Die Prüfung findet ausschließlich auf Ihrem Gerät statt; an uns übermittelt das Gerät nur die Information, dass sie stattgefunden hat. Auch der geheime Schlüssel verlässt Ihr Gerät nicht — bei uns liegt allein der öffentliche Schlüssel, mit dem sich nichts entsperren lässt.

Gespeichert werden zu jedem Passkey: der öffentliche Schlüssel, eine Kennung des Schlüssels, eine Kennung Ihres Kontos, die weder Ihren Namen noch Ihre Adresse enthält, der Name, den Sie ihm geben, die Internetadresse, für die er gilt, die Angaben, die Ihr Gerät bei der Einrichtung zum Schlüssel übermittelt (etwa den Anbieter des Geräts oder Passwortmanagers und ob der Schlüssel zwischen Ihren Geräten synchronisiert wird), ein Zähler, den Ihr Gerät mitführt, sowie die Zeitpunkte der Einrichtung, der letzten Änderung und der letzten Verwendung. Ein Passkey gilt nur für die Adresse, unter der Sie ihn eingerichtet haben. Sie können ihn jederzeit in Ihren Einstellungen entfernen; beim Zurücksetzen der Zwei-Faktor-Authentisierung und mit dem Löschen Ihres Kontos entfallen alle Passkeys des Kontos. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO in Verbindung mit Art. 32 DSGVO.

Auf öffentlich zugänglichen Demo-Zugängen, deren Anmeldedaten offen ausgeschrieben sind, werden IP-Adresse und Browserkennung gar nicht erst erfasst; im Protokoll steht dort ein Platzhalter beziehungsweise nur eine grobe Geräteangabe.

4.4 Anmeldung über Google (OAuth 2.0)

Optional kann die Anmeldung oder Registrierung über Google (OAuth 2.0) erfolgen. Dabei werden uns Name und E-Mail-Adresse zur Einrichtung und Authentifizierung des Zugangs übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Anbieter ist Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland. Hierbei kann eine Übermittlung von Daten an die Google LLC (USA) erfolgen; diese stützt sich auf geeignete Garantien, insbesondere das EU-US Data Privacy Framework sowie EU-Standardvertragsklauseln (siehe Ziffer 6).

Melden Sie sich mit einem Google-Konto an oder richten Sie Ihren Zugang darüber ein, speichern wir am Konto den Zeitpunkt der letzten Anmeldung über Google, für die Dauer des Kontos. An Ihrer Adresse hängt dann die Anmeldung über Google; Ihre Anmeldeadresse lässt sich deshalb nicht selbst ändern (Ziffer 4.1); eine andere Adresse bekommen Sie nur als neues Konto, zu dem Ihr Administrator Sie einladen kann.

4.5 Vertrags- und Nachweisdaten (AGB und AVV)

Den Abschluss der Allgemeinen Geschäftsbedingungen und des Auftragsverarbeitungsvertrags halten wir revisionssicher fest. Gespeichert werden dabei die Firmierung des Vertragspartners, Name und E-Mail-Adresse der handelnden Person, Zeitpunkt, IP-Adresse und Browser-/Gerätekennung, der vollständige Wortlaut des angenommenen Vertrags sowie Prüfwerte, die nachträgliche Änderungen erkennbar machen. Zweck ist der Nachweis, welcher Text wann von wem angenommen wurde. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung und -durchführung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Nachweisbarkeit, Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO).

Zur Absicherung dieser Prüfwerte lassen wir sie von einem externen Zeitstempeldienst (Time-Stamping Authority) qualifiziert datieren. An diesen Dienst wird ausschließlich der Prüfwert übermittelt — kein Name, keine Adresse, kein Vertragsinhalt. Diese Einträge werden nicht automatisch gelöscht; sie werden für die Dauer der Nachweis- und Verjährungsfristen aufbewahrt (Ziffer 7).

4.6 Abrechnung, Rechnungs- und Nutzungsdaten

Für die Abrechnung des gewählten Tarifs verarbeiten wir die von Ihnen hinterlegten Rechnungsdaten (Firmierung, Rechnungsanschrift, Umsatzsteuer-Identifikationsnummer, Rechnungs-E-Mail-Adresse) sowie Nutzungsdaten, aus denen sich das abgerechnete Volumen ergibt — insbesondere ein fortlaufender Zähler der angelegten Kurse, gebuchte Guthaben und Tarifwechsel. Aus diesen Daten erstellen wir die Abrechnung und versenden Hinweise zu Testphase, Kontingent und Vertragslaufzeit.

Zahlungsabwicklung. Sobald Sie einen kostenpflichtigen Tarif buchen, wickeln wir die Zahlung über den Zahlungsdienstleister Stripe Payments Europe, Limited, Dublin, Irland ab. Sie hinterlegen dort ein Zahlungsmittel — je nach gewählter Zahlungsart eine Bankverbindung für die SEPA-Lastschrift oder eine Zahlungskarte.

Wo Ihre Zahlungsdaten liegen, hängt von der Zahlungsart ab. Kartendaten geben Sie ausschliesslich bei Stripe ein — sie berühren unsere Server nie; wir erhalten von dort nur eine Kennung des Zahlungsmittels, dessen Art und die letzten vier Stellen. Zahlen Sie mit Apple Pay oder Google Pay, verarbeitet der jeweilige Wallet-Anbieter (Apple Distribution International Ltd., Irland; Google Ireland Ltd., Irland) Ihre Daten in eigener Verantwortung nach seinen Datenschutzbestimmungen; wir erhalten auch dann nur Kennung, Art und die letzten vier Stellen des hinterlegten Zahlungsmittels. Bei der SEPA-Lastschrift geben Sie die Bankverbindung in unserem Formular ein; wir übermitteln sie an Stripe zur Ausführung der Lastschrift und bewahren sie zusätzlich verschlüsselt auf, damit ein Wechsel des Zahlungsdienstleisters ohne neues Mandat möglich bleibt. Rechtsgrundlage für diese zusätzliche Aufbewahrung ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Fortführung bestehender Einzugsermächtigungen bei einem Anbieterwechsel — ohne sie müssten wir jeden Kunden um ein neues Mandat bitten. Nach Widerruf oder Ungültigwerden des Mandats bewahren wir nur noch die letzten vier Stellen auf.

Zum Mandat speichern wir ausserdem die Mandatsreferenz, den Wortlaut des Mandatstextes sowie den Zeitpunkt der Erteilung nebst IP-Adresse und Browserkennung, weil wir das Mandat gegenüber der Bank nachweisen können müssen (Art. 6 Abs. 1 lit. f DSGVO). An Stripe übermitteln wir Ihre Rechnungsdaten, den einzuziehenden Betrag und eine Vorgangskennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), für den Mandatsnachweis zusätzlich Art. 6 Abs. 1 lit. f DSGVO (Nachweis einer erteilten Ermächtigung). Für die Ausführung der Zahlung handelt Stripe auf unsere Weisung; für seine eigenen aufsichtsrechtlichen Pflichten — insbesondere Geldwäscheprävention und Betrugsabwehr — ist Stripe eigenständig verantwortlich und unterliegt insoweit nicht unseren Weisungen. Zu den Drittlandsgarantien siehe Ziffer 6.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und, soweit es um Rechnungen und Buchungsbelege geht, Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den handels- und steuerrechtlichen Aufbewahrungspflichten (§ 147 AO, § 257 HGB). Der Kurszähler ist technisch nur fortschreibbar und wird durch das Löschen eines Kurses nicht zurückgesetzt — andernfalls wäre er als Abrechnungsgrundlage wertlos.

4.7 Server- und Anwendungsprotokolle

Beim Aufruf der Plattform werden automatisch Informationen in Server-Logfiles verarbeitet (insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Ressource einschließlich ihrer Aufrufparameter, Browsertyp und -version, Betriebssystem). Daneben schreibt die Anwendung ein technisches Protokoll über Fehler und ausgeführte Vorgänge, das im Einzelfall personenbezogene Angaben wie eine E-Mail-Adresse enthalten kann. Zweck ist die Gewährleistung eines sicheren und störungsfreien Betriebs sowie die Aufklärung von Missbrauch und Sicherheitsvorfällen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das Anwendungsprotokoll wird nach 14 Tagen gelöscht, die Server-Logfiles in der Regel innerhalb von 30 Tagen, sofern sie nicht im Einzelfall zur Aufklärung eines konkreten Sicherheitsvorfalls länger benötigt werden.

4.8 Cookies und Sitzungsdaten

Die Plattform verwendet ausschließlich technisch notwendige Cookies:

ein Sitzungs-Cookie für den passwortgeschützten Zugang sowie ein Cookie zum Schutz vor Manipulationen (CSRF-Schutz) — die Registrierungsseite und die interne Verwaltungsoberfläche verwenden dafür jeweils ein eigenes Sitzungs-Cookie;
auf Wunsch ein Cookie zum Merken vertrauenswürdiger Geräte („Gerät merken", Gültigkeit 30 Tage);
ein kurzlebiges Sicherheits-Cookie während der Google-Anmeldung (Gültigkeit 10 Minuten);
ein kurzlebiges Cookie für die Übergabe vom Registrierungs- zum eigenen Zugang (Gültigkeit 5 Minuten);
ein kurzlebiges Cookie, an dem die Anwendung erkennt, dass ein PDF fertig ausgeliefert wurde (Gültigkeit 1 Minute).

Die Speicherung erfolgt nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung; die anschließende Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. b und lit. f DSGVO. Zu jeder Sitzung speichern wir serverseitig zusätzlich IP-Adresse und Browser-/Gerätekennung — auch zu der eines Besuchers ohne Konto, etwa beim Check-in; auf öffentlichen Demo-Zugängen nicht (Ziffer 4.3). Bei angemeldeten Nutzern bleibt eine Sitzung so an den Browser gebunden, in dem sie begonnen wurde. Diese Angaben gehören zur Sitzung und werden mit ihr gelöscht. Cookies zu Analyse-, Tracking- oder Marketingzwecken setzen wir nicht ein, ebenso wenig binden unsere Seiten Schriftarten, Skripte oder andere Inhalte von fremden Servern ein. Die öffentliche Werbeseite setzt überhaupt kein Cookie.

4.9 E-Mail-Kommunikation und System-E-Mails

Im Rahmen des Betriebs versendet die Plattform system- und kontobezogene E-Mails (z. B. Einladungen, Passwort-Zurücksetzen, Sicherheitshinweise, Hinweise zu Tarif und Vertrag) sowie im Auftrag des Kursanbieters Teilnahmebescheinigungen und Kursunterlagen an Teilnehmer und Ansprechpartner. Zur Nachvollziehbarkeit des Versands protokolliert die Plattform versendete E-Mails mit Empfängeradresse, Betreff, Angaben zu den Anhängen und Versandstatus. Solange ein Versandvorgang aussteht oder noch nicht aufgeräumt ist, wird zusätzlich der vollständige Nachrichtentext verschlüsselt vorgehalten. Die Versandprotokolle werden standardmäßig nach 30 Tagen gelöscht; die verantwortliche Stelle kann diese Dauer in den Einstellungen im Rahmen von 10 bis 3650 Tagen anpassen. Rechtsgrundlage für kontobezogene E-Mails ist Art. 6 Abs. 1 lit. b und lit. f DSGVO; der Versand von Teilnahmebescheinigungen und Kursunterlagen erfolgt im Auftrag des Kursanbieters (Art. 28 DSGVO). Bei Kontaktaufnahme per E-Mail verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage. Für Anfragen über die Support-Funktion der Plattform gilt Ziffer 4.11.

4.10 Verarbeitung im Auftrag des Kursanbieters (Teilnehmer- und Kursdaten)

Die folgenden Verarbeitungen erfolgen ausschließlich im Auftrag des jeweiligen Kursanbieters (Art. 28 DSGVO); Verantwortlicher ist der Kursanbieter:

Teilnehmer-Selbstregistrierung (Check-in): Bei der Anmeldung zu einem Kurs erfassen Teilnehmer Name, ggf. Titel, Geburtsdatum, E-Mail-Adresse und eine eigenhändige Unterschrift. Diese Daten werden feldweise verschlüsselt gespeichert.
Zwischenspeicherung nicht abgesendeter Eingaben: Damit angefangene Angaben beim Zurückkehren auf die Seite nicht verloren sind, werden sie bereits während des Ausfüllens als Entwurf gespeichert — also auch dann, wenn die Anmeldung nie abgesendet wird. Der Kursanbieter kann einen solchen Entwurf einsehen und daraus eine Anmeldung vervollständigen. Entwürfe werden mit dem Kursabschluss gelöscht, spätestens jedoch 30 Tage nach der letzten Änderung.
Kursdaten und Ansprechpartner: Zu jedem Kurs verarbeiten wir Kurstyp, Datum, Ort, Einrichtung sowie Anrede, Titel, Name und E-Mail-Adresse des Ansprechpartners der Einrichtung. Diese Angaben erhalten wir vom Kursanbieter und nicht von der betroffenen Person selbst; legt der Kursanbieter Kurse über die Schnittstelle aus einem eigenen Vorsystem an, stammen sie von dort (Information nach Art. 14 DSGVO).
Teilnahmebescheinigungen und Teilnehmerlisten: Aus den Teilnehmerdaten werden Teilnahmebescheinigungen (PDF/A) und Teilnehmerlisten erstellt und für den Kursanbieter archiviert. Sie werden per E-Mail an die Teilnehmer und an den Ansprechpartner der Einrichtung — häufig den Arbeitgeber der Teilnehmer — versendet. Ob der Kursanbieter Nachweise darüber hinaus weitergibt, etwa zur Abrechnung oder Anerkennung an einen Unfallversicherungsträger, entscheidet und verantwortet er selbst; diese Weitergabe findet außerhalb der Plattform statt.
Echtheitsprüfung per QR-Code: Teilnahmebescheinigungen enthalten einen QR-Code mit einer signierten Prüf-URL. Diese URL enthält Name, Geburtsdatum, Kurstyp, Kursdatum und Kursdauer der Teilnahme. Beim Aufruf der Prüfseite werden diese Angaben zur Anzeige der Echtheitsbestätigung verarbeitet und nicht in die Datenbank übernommen; als Bestandteil der aufgerufenen Adresse stehen sie jedoch im Server-Logfile und werden mit diesem gelöscht (Ziffer 4.7). Wer den QR-Code bzw. Prüflink weitergibt, macht die darin enthaltenen Angaben dem Empfänger zugänglich.
Kursfeedback: Das Feedback zu Kursen wird ohne Namensbezug (anonym) erhoben und ausgewertet. Gespeichert werden allein die Antworten und der Kursbezug — weder eine Teilnehmerkennung noch IP-Adresse oder Browserkennung.
Automatische Löschung: Kurse werden 30 Tage nach dem Kurstag automatisch archiviert und 90 Tage nach dem Kurstag endgültig gelöscht, sofern der Kursanbieter keine abweichenden Aufbewahrungspflichten umsetzt.

Vom Kursanbieter selbst eingerichtete Dienste. Die Plattform bietet dem Kursanbieter an, in seinen Einstellungen eigene Systeme zu hinterlegen: einen eigenen Mailserver für den Versand, einen eigenen Versandserver, auf dem die zu versendenden Unterlagen bis zu ihrer Auslieferung und für längstens 30 Tage danach liegen, ein Archiv (WebDAV) für die Ablage der versendeten Unterlagen, eine Schnittstelle zu einem eigenen Warenwirtschaftssystem (die Plattform meldet ihm von sich aus nur eine Vorgangskennung und einen Ordnernamen; welche Stammdaten der Nutzerkonten es mit einem Zugangstoken abrufen kann, steht in Ziffer 4.1) sowie Zugangstoken für eigene oder fremde Software. Macht er davon Gebrauch, übermittelt die Plattform Daten auf seine Weisung an diese Systeme. Deren Anbieter beauftragt der Kursanbieter selbst; sie sind keine Auftragsverarbeiter von uns, und für die dorthin übermittelten Daten ist der Kursanbieter zuständig.

Für Auskunfts-, Berichtigungs- und Löschbegehren zu Teilnehmer- und Kursdaten wenden Sie sich bitte an den Kursanbieter, bei dem Sie den Kurs besucht haben; wir leiten an uns gerichtete Anfragen erforderlichenfalls weiter.

4.11 Support-Anfragen aus der Plattform

Angemeldete Nutzerinnen und Nutzer können uns aus der Plattform heraus eine Support-Anfrage senden. Dabei verarbeiten wir:

a) Angaben, die immer mitgehen: Kennung und Domain des Zugangs, den gebuchten Tarif, Ihren Namen, Ihre Anmeldeadresse und Ihre Rolle sowie die Seite, von der aus Sie die Anfrage gestellt haben, dazu Kategorie, Betreff und Wortlaut Ihrer Nachricht und von Ihnen beigefügte Dateien. Ohne diese Angaben könnten wir die Anfrage nicht zuordnen und nicht beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

b) Technische Analysedaten — nur mit Ihrer Einwilligung: folgende Angaben gehen zusätzlich mit, wenn Sie zustimmen: der Programmstand, Browserkennung, Fenstergröße, Sprache und Zeitzone Ihres Browsers, die in Ihrem Zugang aktiven Zusatzmodule, der Weg, über den Ihr Zugang E-Mails versendet, sowie Art und Kennnummer des Objekts, dessen Seite Sie zuletzt geöffnet hatten (etwa „Kurs #12"). Teilnehmerdaten, Unterschriften, Bescheinigungen, Feedbacktexte und E-Mail-Inhalte gehören nicht dazu. Vor dem Absenden sehen Sie diese Angaben vollständig und mit den tatsächlichen Werten und entscheiden ausdrücklich, ob sie mitgehen; nichts ist vorausgewählt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung ist freiwillig, und Sie können Ihre Anfrage auch ohne diese Angaben senden.

Ihre Anfrage geht per E-Mail an unser Support-Postfach und wird zusätzlich in unserer internen Verwaltungsoberfläche als Vorgang geführt; Sie erhalten eine Eingangsbestätigung mit Vorgangsnummer. Ein Ticketsystem eines Dritten setzen wir dafür nicht ein. Öffnet eine Beschäftigte oder ein Beschäftigter in der Verwaltungsoberfläche den Wortlaut einer Anfrage oder ruft dort eine beigefügte Datei ab, wird das protokolliert. Im Aktivitätsprotokoll Ihres Zugangs entsteht ein Eintrag mit Vorgangsnummer, Kategorie und der Angabe, ob Analysedaten mitgingen — ohne den Wortlaut. Zeigen beigefügte Dateien Daten aus Ihrem Zugang (etwa ein Bildschirmfoto mit Teilnehmernamen), verarbeiten wir sie auf Ihre Weisung allein zur Bearbeitung der Anfrage (AVV § 12 Abs. 2). Zu den Löschfristen siehe Ziffer 7.

4.12 Suche auf der Hilfe-Seite

Findet die Suche auf der Hilfe-Seite zu einem Begriff keine Antwort, speichern wir den Begriff — vereinheitlicht in Kleinbuchstaben und ohne Satzzeichen — mit der Zahl seiner Vorkommen und dem Tag seines ersten und letzten Auftretens. Wer gesucht hat, zu welchem Zugang die Suche gehörte und von welcher Adresse aus, speichern wir dabei nicht. Wir nutzen die Liste, um fehlende Antworten zu ergänzen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine Hilfe, die die Fragen ihrer Nutzer beantwortet. Bitte geben Sie in die Suche keine Namen ein.

5. Empfänger und Auftragsverarbeiter

Eine Weitergabe Ihrer Daten erfolgt nur, soweit dies zur Bereitstellung der Plattform erforderlich ist oder eine gesetzliche Verpflichtung besteht. Ein Verkauf personenbezogener Daten findet nicht statt. Wir setzen sorgfältig ausgewählte Dienstleister ein, die für uns als Auftragsverarbeiter nach Art. 28 DSGVO tätig und vertraglich gebunden sind:

Hosting / Betrieb des Servers: IT & Eventservice Jonas Pokorny, Markgröninger Straße 29, 70825 Korntal-Münchingen, Deutschland (Serverstandort Deutschland).
Betrieb des zentralen Mailservers: netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland.
Zahlungsabwicklung (nur bei kostenpflichtigen Tarifen): Stripe Payments Europe, Limited, Dublin, Irland — für die Ausführung der Zahlung auf unsere Weisung. Für seine eigenen aufsichtsrechtlichen Pflichten (Geldwäscheprävention, Betrugsabwehr) ist Stripe eigenständig verantwortlich und insoweit nicht unser Auftragsverarbeiter (Ziffer 4.6).

Daneben erhalten Daten, ohne unsere Auftragsverarbeiter zu sein:

Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland bei der optionalen Anmeldung über ein Google-Konto (OAuth 2.0). Google verarbeitet die dabei übermittelten Daten zu eigenen Zwecken und auf eigener Rechtsgrundlage; ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht insoweit nicht (AVV § 6 Abs. 8, Anlage 3). Die Übermittlung erfolgt nur, wenn ein Nutzer diese Anmeldeart wählt (Ziffern 4.4 und 6);
ein Zeitstempeldienst für die Datierung unserer Vertragsnachweise — übermittelt wird ausschließlich ein Prüfwert, keine Klardaten (Ziffer 4.5);
das Domain-Namenssystem bei der Prüfung, ob eine angegebene E-Mail-Domain Post annehmen kann — übermittelt wird nur der Domainteil der Adresse, nicht die Adresse selbst;
die vom Kursanbieter selbst eingerichteten Systeme (eigener Mail- oder Versandserver, Archiv, Warenwirtschaft, eigene Zugangstoken) — für sie ist der Kursanbieter verantwortlich (Ziffern 4.1 und 4.10);
der von Ihnen gewählte Wallet-Anbieter (Apple Pay: Apple Distribution International Ltd., Irland; Google Pay: Google Ireland Ltd., Irland), wenn Sie ein Zahlungsmittel über eine Wallet hinterlegen oder damit zahlen — in eigener Verantwortung nach seinen Datenschutzbestimmungen (Ziffer 4.6).

6. Übermittlung in Drittländer

Die Verarbeitung findet grundsätzlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums statt. Bei Nutzung der optionalen Google-Anmeldung und bei der Zahlungsabwicklung über Stripe (Ziffer 4.6), dessen Konzerngesellschaften auch außerhalb der EU sitzen, kann es zu einer Übermittlung in die USA kommen. Diese ist durch geeignete Garantien abgesichert (EU-US Data Privacy Framework und/oder EU-Standardvertragsklauseln gemäß Art. 46 DSGVO). Eine Kopie der Garantien stellen wir auf Anfrage zur Verfügung.

7. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder wie gesetzliche Aufbewahrungspflichten es verlangen. Kontodaten werden für die Dauer des Nutzungsverhältnisses verarbeitet und nach dessen Beendigung gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Im Einzelnen:

Registrierungsdaten: 24 Stunden ohne Bestätigung, 90 Tage nach der Einrichtung (Ziffer 4.2);
Anmelde- und Aktivitätsprotokolle einschließlich der Einträge über Rechte- und Zugangsänderungen und den Wechsel der Anmeldeadresse: 90 Tage (Ziffer 4.3);
Anträge auf eine neue Anmeldeadresse: 30 Tage nach ihrer Anlage (Ziffer 4.1);
Passkeys: bis Sie sie entfernen, die Zwei-Faktor-Authentisierung Ihres Kontos zurückgesetzt oder Ihr Konto gelöscht wird (Ziffer 4.3);
Anwendungsprotokoll 14 Tage, Server-Logfiles in der Regel 30 Tage (Ziffer 4.7);
Versandprotokolle: standardmäßig 30 Tage, einstellbar (Ziffer 4.9);
die für einen Versand erzeugten Dokumente (Teilnahmebescheinigungen, Teilnehmerlisten) liegen im Ablageverzeichnis des jeweiligen Versandvorgangs, damit ein Nachsenden an einzelne Empfänger dieselben Anlagen verwenden kann; hat der Kursanbieter einen eigenen Versandserver eingerichtet, verlassen sie unseren Server, sobald dieser sie abholt;
Check-in-Entwürfe: mit dem Kursabschluss, spätestens 30 Tage nach der letzten Änderung (Ziffer 4.10);
Kurs- und Teilnehmerdaten: 90 Tage nach dem Kurstag (Ziffer 4.10);
Support-Anfragen: beigefügte Dateien 180 Tage nach Eingang; der Vorgang selbst 730 Tage nach seinem Abschluss, ein nicht abgeschlossener 730 Tage nach Eingang; mit der endgültigen Löschung eines Zugangs auch sofort. Die E-Mails im Support-Postfach löschen wir nach zwei Jahren (Ziffer 4.11);
Suchbegriffe ohne Treffer: 90 Tage nach ihrem letzten Auftreten (Ziffer 4.12);
Vertrags- und Nachweisdaten sowie Rechnungen und Buchungsbelege: für die Dauer der Nachweis- und Verjährungsfristen, bei Rechnungen und Buchungsbelegen nach den handels- und steuerrechtlichen Fristen von sechs bzw. zehn Jahren (Ziffern 4.5 und 4.6).
Mandatsnachweis (Mandatsreferenz, Wortlaut, Zeitpunkt, IP-Adresse und Browserkennung der Erteilung): 14 Monate nach der letzten Einreichung einer Lastschrift. Die Frist folgt dem SEPA-Regelwerk, das dem Gläubiger genau diese Vorlagepflicht auferlegt. Danach entfernen wir IP-Adresse und Browserkennung sowie den Wortlaut; die Referenz und der Zeitpunkt bleiben als Beleg dafür, DASS ein Mandat bestand (Ziffer 4.6);
hinterlegtes Zahlungsmittel: bis zum Widerruf, längstens bis zum Vertragsende zuzüglich der Nachvertragsfrist. Von der Bankverbindung bleiben danach nur die letzten vier Stellen (Ziffer 4.6);
Zahlungsereignisse und Belastungsversuche: als Buchungsbelege zehn Jahre (§ 147 AO). Der von Stripe übermittelte Rohdatensatz wird allerdings bereits nach 400 Tagen auf sein Gerüst gekürzt — Kennung, Art, Betrag, Zustand; Name, Adresse und Gerätemerkmale, die darin vorkommen können, entfallen dann. Die Frist ist länger als jede Rückbuchungsfrist und lang genug, um einen Jahresabschluss zu begleiten (Ziffer 4.6).

8. Datensicherheit

Wir treffen geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören insbesondere eine durchgängige Transportverschlüsselung (TLS), die feldweise Verschlüsselung besonders schützenswerter personenbezogener Felder in der Datenbank — Name, Titel, Geburtsdatum, E-Mail-Adresse und Unterschrift der Teilnehmer, die Kontaktdaten der Ansprechpartner am Kurs, Name, E-Mail-Adresse, Unterschrift und das Geheimnis der Zwei-Faktor-Authentisierung der Nutzer, Name und gespeicherter Schlüssel eines Passkeys sowie die Inhalte ausstehender Nachrichten und die Versandprotokolle (Empfängeradresse und Betreff) —, eine Zwei-Faktor-Authentisierung, ein rollenbasiertes Berechtigungskonzept, die strikte Trennung der Mandantendaten durch separate Datenbanken und separate Verschlüsselungsschlüssel je Mandant sowie regelmäßige Datensicherungen.

Die interne Verwaltungsoberfläche des Betreibers ist so gebaut, dass sie Mandanten verwaltet, aber nicht in deren Daten hineinsieht: Es gibt keine Anmeldung im Namen eines Kunden, keine Kurs- oder Teilnehmerlisten und keine Einsicht in E-Mails. Über diese Oberfläche greift der Betreiber auf eine Mandantendatenbank nur in den folgenden Fällen zu: Er ruft Zählwerte ab (etwa die Anzahl der Kurse, Teilnehmer und Benutzer), er schreibt ein Kurskontingent gut oder nimmt es zurück, oder er macht auf Anforderung des Mandanten ein einzelnes Benutzerkonto wieder anmeldefähig — dann, wenn dessen Inhaber den Zugang dazu verloren hat, etwa seinen zweiten Faktor, und im Mandanten niemand sonst ihm helfen kann. Personenbezogene Daten berührt davon allein das Wiederanmeldefähig-Machen eines Benutzerkontos, und dort nur die Anmeldedaten dieses einen Kontos: etwa der zweite Faktor, die als vertrauenswürdig gemerkten Geräte und die laufenden Sitzungen. Kurse, Teilnehmer und E-Mails bleiben unberührt, Ihre Rolle und Ihre Berechtigungen bleiben, wie sie sind, und einen eigenen Zugang zu Ihrem Konto erhält der Betreiber dadurch nicht. Dieselben Zählwerte erhebt daneben ein regelmäßiger, automatischer Vorgang für die Mandantenübersicht des Betreibers; ihn löst keine Person aus, er liest wie der Abruf über die Oberfläche nur Zahlen und Zeitpunkte, und er wird nicht einzeln protokolliert. Jeder Zugriff über die Oberfläche, der eine Mandantendatenbank öffnet, und jede über sie ausgelöste ändernde Handlung werden beim Betreiber protokolliert — auch ein Abruf, der kein Konto findet, und ohne die dabei abgefragte Adresse. Das bloße Aufrufen einer Übersichtsseite beim Betreiber, die keine Mandantendatenbank öffnet, ist damit nicht gemeint. Ein Eingriff in ein Benutzerkonto steht zusätzlich im Aktivitätsprotokoll des Mandanten, wo seine Administratoren ihn sehen. Betrifft er Ihr Konto, benachrichtigen wir Sie per E-Mail; lässt sich diese Nachricht über Ihren Mandanten nicht versenden, sagen wir das der Stelle, die den Eingriff angefordert hat, damit sie Sie unterrichtet.

9. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt.

10. Ihre Rechte als betroffene Person

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie auf Datenübertragbarkeit (Art. 20 DSGVO). Soweit eine Verarbeitung auf einer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Zur Ausübung Ihrer Rechte genügt eine Nachricht an die in Ziffer 1 genannte Adresse.

Betrifft die Verarbeitung Daten, für die der Kursanbieter verantwortlich ist (Ziffer 4.10), richten Sie Ihr Anliegen bitte an diesen; wir leiten Anfragen erforderlichenfalls weiter. Eine Möglichkeit, die eigenen Daten selbst als Datei abzurufen, bietet die Plattform derzeit nicht — Auskunft und Kopie erteilen wir bzw. der Kursanbieter auf Anfrage.

Beim anonymen Kursfeedback können wir eine Abgabe keiner Person zuordnen und sind dazu auch nicht verpflichtet, zusätzliche Daten zu erheben, nur um eine Zuordnung zu ermöglichen (Art. 11 DSGVO). Eine einzelne Rückmeldung lässt sich deshalb nachträglich weder auskunftsfähig machen noch zurücknehmen.

11. Widerspruchsrecht (Art. 21 DSGVO)

Soweit wir Ihre Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Wir verarbeiten die betroffenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

12. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren (Art. 77 DSGVO). Die für uns zuständige Behörde ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20, 70173 Stuttgart
Telefon: 0711/615541-0 · E-Mail: poststelle@lfdi.bwl.de

13. Pflicht zur Bereitstellung von Daten

Für die Nutzung der Plattform ist die Bereitstellung der zur Einrichtung und Anmeldung des Kontos erforderlichen Daten notwendig. Ohne diese Daten kann kein Zugang bereitgestellt werden. Für die Kursteilnahme entscheidet der Kursanbieter, welche Angaben erforderlich sind.

14. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald Änderungen der Verarbeitung oder der Rechtslage dies erfordern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.