Gemeinsame Verantwortlichkeit (Art. 26 DSGVO)

KiEPhub ist eine webbasierte Lern- und Verwaltungsplattform, die von mehreren Unternehmen genutzt wird. Gemaess Art. 26 DSGVO besteht eine gemeinsame Verantwortlichkeit zwischen dem Plattformbetreiber und dem jeweiligen Unternehmen, ueber das Sie auf KiEPhub zugreifen.

Plattformbetreiber (KiEPhub) ist verantwortlich fuer:

• Technische Infrastruktur, Hosting und Serverbetrieb
• Cookies, Sitzungsverwaltung und Plattform-Sicherheit
• Plattformweite Dienste (Matrix-Server, H5P Hub, OCR-Verarbeitung)
• OAuth 2.0 / OpenID Connect Authentifizierungssystem

Unternehmens-Verantwortlicher ist zusaetzlich verantwortlich fuer:

• Kundenstammdaten, Profildaten und Kontaktdaten
• Bestellungen, Zahlungen und Rechnungen
• Terminbuchungen und -verwaltung
• Lernplattform-Inhalte und Kurseinschreibungen
• Unternehmensspezifische Integrationen (EasyVerein, Lexware, Moodle)
• Aktivitaetsverfolgung (Time-Tracking)

Die wesentlichen Inhalte der Vereinbarung ueber die gemeinsame Verantwortlichkeit sind beim Plattformbetreiber einsehbar. Unabhaengig von der internen Aufgabenteilung koennen Sie Ihre Rechte gegenueber jedem der Verantwortlichen geltend machen.

Cookies und Sitzungsverwaltung

Technisch notwendige Cookies

KiEPhub verwendet ausschliesslich technisch notwendige Cookies:

Cookie-Eigenschaften

Alle Cookies sind mit folgenden Sicherheitsmassnahmen versehen:

• HttpOnly: Ja – Cookies sind nicht per JavaScript auslesbar
• SameSite: Lax – Schutz vor CSRF-Angriffen
• Secure: Ja (bei HTTPS-Betrieb) – Uebertragung nur ueber verschluesselte Verbindung

Keine Tracking-Cookies

KiEPhub verwendet keine Tracking-Cookies, Analyse-Cookies oder Werbe-Cookies. Es werden keine Cookies von Drittanbietern gesetzt. Google Analytics, Facebook Pixel oder vergleichbare Tracking-Dienste werden nicht eingesetzt.

Da ausschliesslich technisch notwendige Cookies verwendet werden, ist keine gesonderte Cookie-Einwilligung nach § 25 TDDDG (ehem. TTDSG) erforderlich.

Sitzungsspeicherung

Sitzungsdaten werden in der Datenbank gespeichert und enthalten:

• Authentifizierungsstatus
• CSRF-Token
• Nutzereinstellungen fuer die aktuelle Sitzung

Sitzungen laufen nach 120 Minuten Inaktivitaet automatisch ab.

Datensicherheit

Technische Massnahmen

• Verschluesselung bei Uebertragung: Alle Verbindungen werden ueber TLS/HTTPS verschluesselt
• Passwort-Hashing: Passwoerter werden als Einweg-Hash (bcrypt) gespeichert und koennen nicht zurueckgerechnet werden
• Zwei-Faktor-Authentifizierung: Optional verfuegbar (TOTP-Verfahren)
• API-Authentifizierung: OAuth 2.0 mit verschluesselten Zugangstoken (Laravel Passport)
• Verschluesselte Speicherung: API-Schluessel und Zugangsdaten fuer externe Dienste werden verschluesselt in der Datenbank gespeichert
• CSRF-Schutz: Alle Formulare und zustandsaendernden Anfragen sind gegen Cross-Site-Request-Forgery geschuetzt
• HttpOnly-Cookies: Session-Cookies sind nicht per JavaScript auslesbar

Organisatorische Massnahmen

• Mandantentrennung: Unternehmensdaten werden durch eine mehrstufige Mandantenarchitektur strikt getrennt (Tenant-Middleware)
• Rollenbasierte Zugriffskontrolle: Zugriff auf Daten wird durch Rollen (Super-Admin, Unternehmens-Admin, Mitglied, Lernender etc.) gesteuert
• Prinzip der Datenminimierung: Es werden nur die fuer den jeweiligen Zweck erforderlichen Daten erhoben
• Lokale Datenverarbeitung: OCR und KI-Verarbeitung erfolgen ausschliesslich lokal auf dem Server, ohne Uebermittlung an externe Cloud-Dienste

Dateispeicherung

• Private Dateien werden in einem nicht oeffentlich zugaenglichen Verzeichnis gespeichert
• Oeffentlich zugaengliche Dateien (z. B. Profilbilder) sind nur ueber gesicherte Pfade erreichbar
• Hochgeladene Dokumente werden ausschliesslich serverseitig verarbeitet

OpenID Connect und API-Zugang

OAuth 2.0 / OpenID Connect

KiEPhub stellt einen OAuth 2.0-Autorisierungsserver mit OpenID-Connect-Unterstuetzung bereit. Dieser ermoeglicht es angebundenen Anwendungen, sich mit den KiEPhub-Zugangsdaten anzumelden (Single Sign-On).

Uebermittelte Daten bei OIDC-Authentifizierung:

• Nutzer-ID (sub)
• E-Mail-Adresse und Verifizierungsstatus
• Vor- und Nachname
• Unternehmens-ID und Rolle (KiEPhub-spezifisch)

Die Freigabe dieser Daten erfolgt nur nach ausdruecklicher Zustimmung des Nutzers im Rahmen des OAuth-Autorisierungsablaufs.

API-Endpunkte

KiEPhub bietet API-Endpunkte, die per Bearer-Token (OAuth 2.0) geschuetzt sind. Die folgenden Bereiche (Scopes) sind definiert:

• openid, profile, email – Standard-OIDC-Bereiche
• time-tracking – Zugriff auf die Zeiterfassungs-API
• archive-write – Schreibzugriff auf das Entwicklungsarchiv

Token koennen jederzeit vom Nutzer widerrufen werden.

Externe Plattform-Dienste

H5P Hub

Beim Abruf der verfuegbaren Inhaltstypen fuer die Lernplattform kontaktiert der Server den H5P Hub (h5p.org):

• Uebermittlung einer anonymen Server-Kennung (site_uuid)
• Abruf von Metadaten zu verfuegbaren Inhaltstypen

Es werden keine personenbezogenen Nutzerdaten uebertragen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an aktuellen Lerninhalten). Anbieter: H5P Group, Norwegen.

Matrix-Kommunikation

KiEPhub ist an einen selbst gehosteten Matrix-Server (Synapse) angebunden:

• Automatische Erstellung eines Matrix-Benutzerkontos bei Erstanmeldung
• Zuordnung zu Unternehmens-Chatraeumen
• Login-Token fuer Single-Sign-On (SSO)

Die Kommunikation erfolgt ueber den selbst gehosteten Synapse-Server. Nachrichten werden Ende-zu-Ende-verschluesselt uebertragen, sofern die beteiligten Clients dies unterstuetzen.

Archivierungsfunktion (geplant): Ueber das Signalwort #notiert koennen Chat-Threads im KiEPhub archiviert werden. Bei privaten Chats wird ausschliesslich die eigene Zusammenfassung des Nutzers gespeichert – nicht der vollstaendige Chatverlauf des Gegenueber (DSGVO-konform). Mit #vergessen kann eine Archivierung rueckgaengig gemacht werden.

Zweck: Interne Kommunikation, Teamkollaboration. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. f DSGVO.

Dokumentenverarbeitung und OCR

Nutzer koennen Dokumente (PDF, Bilder) hochladen, die lokal verarbeitet werden:

• Originaldateiname, Dateipfad, MIME-Typ, Dateigroesse
• Per OCR (Tesseract) extrahierter Text
• Per KI (Ollama) strukturiert extrahierte Daten (z. B. Rechnungsdaten)
• Verarbeitungsstatus

Wichtig: Die gesamte Dokumentenverarbeitung (OCR und KI-Extraktion) erfolgt ausschliesslich lokal auf dem Server. Es werden keine Dokumente oder deren Inhalte an externe Cloud-Dienste uebertragen. Die eingesetzte KI (Ollama) laeuft vollstaendig lokal und DSGVO-konform.

Zweck: Automatisierte Belegerfassung und -zuordnung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. f DSGVO.

Videokonferenzen (BigBlueButton)

Fuer Videokonferenzen wird BigBlueButton eingesetzt:

• Gastlinks mit Token-basiertem Zugang
• Teilnahmeprotokollierung (Gast-Eintraege)
• Analyserueckrufe (Teilnehmermetriken, Umfrageergebnisse)

Zweck: Durchfuehrung von Online-Meetings und Schulungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

E-Mail-Versand

Fuer den Versand transaktionaler E-Mails (Kontoverifizierung, Terminbestaetigungen, Bestellbestaetigungen, Passwort-Zuruecksetzung) wird ein E-Mail-Dienstleister eingesetzt. Je nach Konfiguration koennen folgende Dienste verwendet werden:

• SMTP-Server (selbst gehostet oder externer Provider)
• Postmark (Wildbit LLC, USA)
• Amazon SES (Amazon Web Services, Inc., USA)
• Resend (Resend, Inc., USA)

Bei Nutzung von US-Diensten erfolgt die Datenuebermittlung auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Uebermittelte Daten: E-Mail-Adresse, Name des Empfaengers, Nachrichteninhalt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Keine Weitergabe an Dritte zu Werbezwecken

Es findet keine Weitergabe personenbezogener Daten an Dritte zu Werbe- oder Marketingzwecken statt. Es werden keine Daten an Adresshaendler, Datenbroker oder aehnliche Unternehmen verkauft.

Drittlandsuebermittlung

Eine Uebermittlung personenbezogener Daten in Drittlaender (ausserhalb des EWR) findet nur dann statt, wenn einer der folgenden Dienste eingesetzt wird:

• Zoom (USA) – fuer Videokonferenzen
• Telegram (VAE) – fuer Bot-Integration
• Postmark / Amazon SES / Resend (USA) – fuer E-Mail-Versand (je nach Konfiguration)
• Bezahldienste der jeweiligen Firma (zum Beispiel Stripe, PayPal, Apple Pay, Google Pay, Klarna) – für Bezahlvorgänge

In diesen Faellen ist die Uebermittlung durch Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und/oder einen Angemessenheitsbeschluss (Art. 45 DSGVO, EU-US Data Privacy Framework) abgesichert.

Die Kern-Datenverarbeitung (Datenbank, Dateispeicherung, OCR, KI) findet ausschliesslich auf Servern innerhalb des EWR statt.

Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung oder Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Die eingesetzte KI (Ollama) dient ausschliesslich der Unterstuetzung bei der Datenextraktion aus Dokumenten und der Chat-Funktion und trifft keine rechtlich relevanten Entscheidungen ueber betroffene Personen.

Rechte der betroffenen Personen

Betroffene Personen haben gemaess der DSGVO folgende Rechte:

Auskunftsrecht (Art. 15 DSGVO)

Sie haben das Recht, eine Bestaetigung darueber zu verlangen, ob personenbezogene Daten verarbeitet werden. Im Falle einer Verarbeitung haben Sie das Recht auf Auskunft ueber die verarbeiteten Daten sowie weitere Informationen (Verarbeitungszwecke, Kategorien, Empfaenger etc.).

Recht auf Berichtigung (Art. 16 DSGVO)

Sie haben das Recht, die Berichtigung unrichtiger personenbezogener Daten zu verlangen. Die Aktualisierung von Profildaten kann jederzeit selbststaendig in den Kontoeinstellungen unter „Profil" vorgenommen werden.

Recht auf Loeschung (Art. 17 DSGVO)

Sie haben das Recht, die Loeschung Ihrer personenbezogenen Daten zu verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. In den Kontoeinstellungen steht eine Funktion zur Kontoloeschung zur Verfuegung, die das Benutzerkonto und die zugehoerigen Daten dauerhaft entfernt.

Einschraenkung: Daten, die steuerlichen oder handelsrechtlichen Aufbewahrungspflichten unterliegen (z. B. Rechnungen, Zahlungsdaten), koennen erst nach Ablauf der gesetzlichen Fristen geloescht werden.

Recht auf Einschraenkung der Verarbeitung (Art. 18 DSGVO)

Sie haben das Recht, unter bestimmten Voraussetzungen die Einschraenkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen.

Recht auf Datenuebertragbarkeit (Art. 20 DSGVO)

Sie haben das Recht, die Sie betreffenden personenbezogenen Daten in einem strukturierten, gaengigen und maschinenlesbaren Format zu erhalten. Bitte wenden Sie sich hierzu an den Verantwortlichen unter der oben genannten Kontaktadresse.

Widerspruchsrecht (Art. 21 DSGVO)

Sie haben das Recht, aus Gruenden, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) beruht, Widerspruch einzulegen.

Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO)

Sofern die Verarbeitung auf einer Einwilligung beruht, haben Sie das Recht, diese Einwilligung jederzeit zu widerrufen. Die Rechtmaessigkeit der bis zum Widerruf erfolgten Verarbeitung wird davon nicht beruehrt.

Beschwerderecht bei einer Aufsichtsbehoerde (Art. 77 DSGVO)

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehoerde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstoesst.

Aenderungen dieser Datenschutzerklaerung

Wir behalten uns vor, diese Datenschutzerklaerung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Aenderungen an unseren Diensten umzusetzen. Fuer Ihren erneuten Besuch gilt dann die neue Datenschutzerklaerung.

Erhobene Daten und Zwecke der Verarbeitung

Registrierung und Benutzerkonto

Bei der Registrierung und Nutzung eines Benutzerkontos werden folgende Daten erhoben:

Die E-Mail-Adresse wird durch einen Verifizierungslink bestaetigt. Passwoerter werden nie im Klartext gespeichert, sondern ausschliesslich als Einweg-Hash (bcrypt).

Erweiterte Profildaten (Personen)

Nutzer koennen freiwillig zusaetzliche Profildaten hinterlegen:

• Anrede, Titel, Zweitname, Namenszusatz, Pseudonym
• Geschlecht
• Geburtsdatum
• Profilbild
• Telefonnummer(n) und weitere E-Mail-Adressen
• Postanschrift(en) inkl. Angaben zur Verwendung (Brief, Paket, Rechnung)
• Persoenliche Notizen

Zweck: Verwaltung von Kontaktdaten, Zuordnung zu Unternehmen und Kursen, Kommunikation, Rechnungsstellung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchfuehrung), bei freiwilligen Angaben Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Geburtsdatum als Pflichtangabe: Bei einer Vereinsmitgliedschaft, einem Schul- oder Ausbildungsvertrag und bei Vertraegen mit laufenden Zahlungen (Abonnement) ist das Geburtsdatum Pflicht. Wer sich zu laufenden Zahlungen verpflichtet, braucht als Minderjaehriger die Zustimmung seiner Eltern (§§ 106 ff. BGB); zudem fuehrt das Mitgliederverzeichnis das Geburtsdatum. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Fuer den Chat wird das Geburtsdatum beim ersten Oeffnen abgefragt (siehe Abschnitt „Chat“). Bei einmaligen Kaeufen und kostenlosen Angeboten fragen wir es nicht ab.

Unternehmensdaten

Fuer die Zuordnung zu Unternehmen und die Mandantenfaehigkeit werden Unternehmensdaten verarbeitet:

• Unternehmensname, Rechtsform, Gruendungsdatum
• Steuernummer, USt-IdNr., Handelsregisterdaten
• Website, Logo, Favicon, Primaerfarbe (Branding)
• Kontaktdaten und Bankverbindungen (IBAN, BIC)

Zweck: Mandantentrennung, Rechnungsstellung, rechtliche Anforderungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung, z. B. steuerliche Aufbewahrungspflichten).

Zahlungsdaten

Fuer die Abwicklung von Bestellungen und Zahlungen werden folgende Daten verarbeitet:

• SEPA-Lastschrift: Kontoinhaber, IBAN, BIC, Mandatsnummer, Mandatsdatum
• PayPal: E-Mail-Adresse des PayPal-Kontos
• Kreditkarte: Ausschliesslich die letzten 4 Ziffern, Karteninhaber, Ablaufdatum (keine vollstaendige Kartennummer)
• Bankueberweisung: Transaktionsdaten (Datum, Betrag, Verwendungszweck, Gegenpartei IBAN/Name)

Zweck: Zahlungsabwicklung, Rechnungsstellung, Buchhaltung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchfuehrung), Art. 6 Abs. 1 lit. c DSGVO (steuerliche Aufbewahrungspflichten).

Bestellungen und E-Commerce

Bei Bestellungen ueber den integrierten Shop werden verarbeitet:

• Bestellnummer, Bestelldatum, Bestellstatus
• Bestellte Artikel mit Preisen, Mengen, Mehrwertsteuer
• Lieferadresse und Rechnungsadresse (vollstaendige Anschrift)
• Zahlungsstatus und -methode
• Sendungsverfolgungsnummer und Versanddienstleister
• Ggf. Verzicht auf das Widerrufsrecht mit Zeitstempel

Zweck: Vertragserfuellung, Versand, Buchhaltung, gesetzliche Aufbewahrungspflichten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. c DSGVO.

Lernplattform und H5P-Inhalte

Im Rahmen der Lernplattform werden folgende Daten verarbeitet:

• Kurseinschreibungen und Teilnehmerzuordnungen
• Erstellte H5P-Lerninhalte (Titel, Autor, Lizenz, Inhalt, Beschreibung)
• Kursbereiche, Kurs-Tags und Kursfortschritt
• Zuordnung von Inhalten zu Nutzern und Unternehmen

Zweck: Bereitstellung von Lerninhalten, Kursverwaltung, Fortschrittsverfolgung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchfuehrung).

H5P-Inhalte werden lokal auf dem Server gespeichert.

Terminverwaltung

Fuer die Terminbuchung und -verwaltung werden verarbeitet:

• Name, E-Mail, Telefonnummer des Buchenden
• Termin-Zeitraum (Start/Ende), Termintyp
• Gastgeber und Buchender (Nutzerzuordnung)
• Nachricht des Buchenden
• Ort und ggf. Zoom-Meeting-Daten (Meeting-ID, Beitritts-URL)
• Stornierungsdaten (Zeitpunkt, Stornierungsgrund)
• Erinnerungsstatus

Zweck: Terminkoordination, Erinnerungen, Stornierungsverwaltung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Termine koennen als ICS-Datei exportiert und in Kalenderanwendungen (z. B. Google Calendar) importiert werden.

Aktivitaetsverfolgung (Time-Tracking)

Sofern aktiviert, werden im Rahmen der Aktivitaetsverfolgung folgende Daten erfasst:

• Anwendungsname und Fenstertitel der genutzten Applikation
• Aufgerufene URL
• Aktiv-/Inaktiv-Status
• Zeitstempel der Erfassung (Heartbeat)

Die Erfassung erfolgt ueber eine API-Schnittstelle und ist regelbasiert konfigurierbar (z. B. getrennte Regeln fuer berufliche und private Nutzung). Taeglich werden aggregierte Zusammenfassungen erstellt.

Zweck: Zeiterfassung, Produktivitaetsanalyse, Arbeitszeitdokumentation. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchfuehrung im Rahmen eines Beschaeftigungsverhaeltnisses), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Arbeitgebers).

KI-Chat

Die Plattform bietet eine KI-Chat-Funktion, bei der folgende Daten verarbeitet werden:

• Chat-Sitzungen (Titel, zugeordneter Nutzer und Unternehmen)
• Chat-Nachrichten innerhalb der Sitzungen
• Verwendetes KI-Modell

Zweck: Unterstuetzung bei Aufgaben durch KI-basierte Textverarbeitung. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktive Nutzung), Art. 6 Abs. 1 lit. f DSGVO.

Protokoll der Verwaltung (Simulation, Anmelden als, Freigaben)

Personen mit Verwaltungsrechten können sich ansehen, wie die Plattform für ein anderes Konto aussieht (Simulation); Lernbegleitungen und Eltern können das für die von ihnen betreuten Schülerinnen und Schüler bzw. ihre Kinder. Zur Fehlersuche können sich Plattform-Administratoren außerdem als ein anderes Konto anmelden. Und sie legen fest, wer welche Bereiche der Plattform sehen darf (Freigaben). Damit diese Zugriffe nachvollziehbar bleiben, protokollieren wir:

• wer wann die Ansicht welches Kontos geöffnet oder beendet hat (Kontonummern, Zeitpunkt, IP-Adresse),
• bei der Anmeldung als ein anderes Konto zusätzlich die E-Mail-Adressen beider Konten und die Kennung des verwendeten Browsers,
• wer wann welche Freigabe erteilt oder entzogen hat (Kontonummer, Zeitpunkt, Bereich und Freigabe).

Inhalte des betrachteten Kontos werden dabei nicht gespeichert.

Zweck: Nachvollziehbarkeit von Verwaltungszugriffen, Schutz vor Missbrauch, Nachweis der vergebenen Zugriffsrechte. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und nachvollziehbaren Verwaltung).

Externe Dienste und Datenweitergabe

Lexware Office (Buchhaltung)

Bei aktivierter Integration werden Kontakt- und Rechnungsdaten mit Lexware Office synchronisiert.

Uebermittelte Daten: Kundendaten, Rechnungsinformationen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. c DSGVO. Anbieter: Haufe-Lexware GmbH & Co. KG, Deutschland.

Odoo (abgeschaltetes Archiv)

Bis zum 15.10.2026 haben wir Buchungs- und Kundendaten zusätzlich in einer selbst betriebenen Odoo-Installation auf unserem Server in Deutschland gespiegelt. Diese Anbindung ist beendet. Die gespiegelten Kopien liegen seitdem nur noch als abgeschaltetes Archiv auf unserem Server, ohne Zugriff von außen; wir löschen sie, sobald wir sie als Sicherung nicht mehr benötigen.

Nextcloud

Bei aktivierter Nextcloud-Integration wird der Nextcloud-Benutzername in den Kontaktdaten gespeichert, um die Verknuepfung mit dem Dateisystem zu ermoeglichen.

Uebermittelte Daten: Benutzername. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Telegram

KiEPhub bietet eine Telegram-Bot-Integration:

• Speicherung des Telegram-Benutzernamens und der Chat-ID in den Kontaktdaten
• Empfang von Nachrichten ueber einen Webhook

Uebermittelte Daten: Telegram-Benutzername, Chat-ID. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Verknuepfung). Anbieter: Telegram FZ-LLC, Dubai, VAE. Es gelten die Datenschutzbestimmungen von Telegram.

Zoom (Videokonferenzen)

Fuer bestimmte Termine kann eine Zoom-Integration genutzt werden:

• Meeting-ID, Beitritts-URL und Start-URL werden gespeichert
• Die Videokonferenz selbst wird ueber Zoom-Server abgewickelt

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Anbieter: Zoom Video Communications, Inc., USA. Es gelten die Datenschutzbestimmungen von Zoom. Die Datenuebermittlung in die USA erfolgt auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Aufbewahrungsfristen

Ergänzung für Textono

Datenschutzerklärung für Textono

Stand: November 2026

Diese Datenschutzerklärung gilt für die Website textono.de, für den Kauf von Textono im Online-Shop der KiEP Akademie und für die Nutzung des Programms Textono samt Diktatdienst. Für Ihr Benutzerkonto auf der Plattform KiEPhub (kiepakademie.kiephub.de) gilt ergänzend die dort einsehbare Datenschutzerklärung der Plattform.

1. Verantwortlicher

KiEP Akademie UG (haftungsbeschränkt) & Co. KG Gartenstraße 7 68789 St. Leon-Rot Deutschland E-Mail: info@kiepakademie.de Telefon: 06227 8419202

Vertreten durch die KiEP Verwaltungs UG (haftungsbeschränkt), diese vertreten durch die Geschäftsführer Richard Kandlin und Ludger Feuerstein.

Einen Datenschutzbeauftragten haben wir nicht benannt; in Datenschutzfragen erreichen Sie uns unter den oben genannten Kontaktdaten.

2. Das Wichtigste vorab

• Diktate werden nicht gespeichert. Ihre Aufnahme wird in Text umgewandelt und danach verworfen — weder der Ton noch der erkannte Text werden auf unseren Servern gespeichert oder protokolliert, und nichts davon wird zum Training von KI-Modellen verwendet.
• Alle Server stehen in Deutschland. Website, Konto, Kasse und Spracherkennung laufen auf Servern in deutschen Rechenzentren.
• Bildschirmausschnitte werden nur auf Ihren ausdrücklichen Wunsch gespeichert. Beim „Erfassen per Screenshot" wird der Ausschnitt zum Abschreiben an unseren Server übertragen und dort sofort wieder verworfen. Nur wenn Sie den Haken „Bildschirmausschnitt mitspeichern" setzen, wird er in Ihrem Konto als Beleg zum Eintrag aufbewahrt — und verschwindet mit dem letzten Eintrag, der aus ihm entstand.
• Kein Tracking. Die Website textono.de nutzt keine Analyse- oder Werbedienste, keine Cookies, die eine Einwilligung erfordern, und bindet keine Schriften oder Inhalte von fremden Servern ein.
• Nur für die Zahlung arbeiten wir mit Zahlungsdienstleistern zusammen (Abschnitt 5).

3. Website textono.de

3.1 Hosting und Server-Protokolle

Die Website läuft auf einem von uns betriebenen Server im Rechenzentrum der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland (Auftragsverarbeitung nach Art. 28 DSGVO). Bei jedem Aufruf speichert der Webserver in einem Protokoll: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, übertragene Datenmenge, Browser und Betriebssystem (User-Agent) sowie die zuvor besuchte Seite (Referrer), soweit Ihr Browser sie übermittelt.

Zweck: sicherer und stabiler Betrieb, Abwehr von Angriffen, Fehlersuche. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb). Speicherdauer: Die Protokolle werden täglich gewechselt und nach 14 Tagen gelöscht.

3.2 Cookies

Die Website setzt keine Cookies und legt auch sonst nichts in Ihrem Browser ab — auch das Kontaktformular funktioniert ohne Cookies. Es werden keine Analyse-, Werbe- oder Drittanbieter-Cookies gesetzt; eine Einwilligung ist deshalb nicht nötig.

3.3 Keine Inhalte von Drittservern

Schriften, Bilder und die Vorführung auf der Startseite liegen auf unserem eigenen Server. Beim Besuch der Website wird keine Verbindung zu Google, sozialen Netzwerken oder anderen fremden Servern aufgebaut. Die Website enthält Verweise (Links) auf den Online-Shop und die Registrierung der KiEP Akademie; erst wenn Sie einem solchen Verweis folgen, verlassen Sie textono.de.

4. Benutzerkonto und kostenlose Nutzung

4.1 Für Textono brauchen Sie ein Benutzerkonto bei der KiEP Akademie auf der Plattform KiEPhub. Bei der Registrierung verarbeiten wir Vor- und Nachname, E-Mail-Adresse und Passwort (nur als Einweg-Hash). Die E-Mail-Adresse bestätigen Sie über einen Link. Alles Weitere zum Konto steht in der Datenschutzerklärung der Plattform KiEPhub.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag beziehungsweise Nutzungsverhältnis).

4.2 Für das kostenlose Freikontingent (2000 Wörter je Woche) zählen wir je Konto und Kalenderwoche die Zahl der Wörter, die Sie diktieren oder vorlesen, umformulieren, übersetzen, prüfen oder aus einem Bild abschreiben lassen. Gespeichert wird nur diese Zahl, nie der Text. Der Zähler dient allein der Wortgrenze.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis zur Löschung Ihres Kontos.

5. Kauf und Zahlung

5.1 Bestellung

Beim Kauf eines Passes im Online-Shop der KiEP Akademie verarbeiten wir: Rechnungsadresse, bestelltes Produkt, Preis, Umsatzsteuer, Bestellnummer und -datum, Zahlungsart und Zahlungsstatus, eingelöste Gutscheincodes sowie — falls Sie den sofortigen Beginn verlangt haben — den Zeitpunkt dieses Verlangens (Nachweis für einen Wertersatz im Fall des Widerrufs, § 357a BGB).

Zweck: Vertragserfüllung, Rechnungsstellung, Nachweis, Buchhaltung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Aufbewahrungspflichten). Speicherdauer: zehn Jahre nach Ablauf des Geschäftsjahres (§ 147 AO, § 257 HGB).

5.2 Zahlungsdienstleister

Zahlungen per Kreditkarte, SEPA-Lastschrift und den übrigen angezeigten Zahlungsarten wickelt die Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland, ab. Ihre Karten- oder Kontodaten geben Sie in einem von Stripe bereitgestellten Formular ein; sie werden direkt an Stripe übermittelt und erreichen unsere Server nicht. Wir erhalten von Stripe nur die für die Zuordnung nötigen Angaben (zum Beispiel die letzten vier Ziffern der Karte, den Zahlungsstatus und eine Vorgangsnummer). Stripe verarbeitet Daten teilweise auch bei der Stripe, LLC in den USA; die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, dem Stripe angeschlossen ist, sowie auf Standardvertragsklauseln. Näheres: https://stripe.com/de/privacy

Was schon beim Öffnen der Kasse geschieht: Unsere Kasse lädt ein Programm von Stripe. Es wertet zur Betrugserkennung Merkmale Ihres Browsers und Geräts sowie Ihre Aktivität auf der Seite aus, zum Beispiel Mausbewegungen, und sendet sie an Stripe. Das geschieht unabhängig davon, womit Sie am Ende bezahlen.

Sobald das Zahlungsfeld erscheint: Das Programm von Stripe lädt dann außerdem Bestandteile von Google Pay von Servern von Google und bindet den Dienst hCaptcha der Intuition Machines, Inc. (USA) ein, den Stripe zur Abwehr automatisierter Zugriffe einsetzt. Google und hCaptcha erhalten dabei technisch bedingt Ihre IP-Adresse und Angaben zu Ihrem Browser, auch wenn Sie nicht mit Google Pay bezahlen.

Weitere Zahlungsarten: Je nach Gerät, Browser und Land zeigen das Zahlungsfeld und die Bezahlseite von Stripe neben der Karte weitere Zahlungsarten. Wählen Sie eine davon, kommen die folgenden Stellen hinzu; für diesen Schritt gelten zusätzlich deren Bedingungen und Datenschutzbestimmungen.

• Apple Pay: Sie bestätigen die Zahlung auf Ihrem Apple-Gerät; Apple erhält dafür verschlüsselte Zahlungsinformationen. Anbieter ist die Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland. Näheres: https://www.apple.com/de/legal/privacy/data/de/apple-pay/
• Google Pay: Sie bestätigen die Zahlung in Ihrem Google-Konto. Google kann dabei unter anderem Datum, Uhrzeit und Betrag der Zahlung, den Zahlungsempfänger, die Zahlungsmethode sowie Ihren Namen und Ihre E-Mail-Adresse erheben. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Näheres: https://payments.google.com/payments/apis-secure/get_legal_document?ldo=0&ldt=privacynotice&ldl=de
• Klarna: Klarna wickelt die Zahlung ab und erhält dafür Ihre Kontakt- und Zahlungsangaben sowie Angaben zum Kauf und zu Ihrem Gerät; je nach Zahlungsart kann Klarna Auskünfte von Kreditauskunfteien einholen. Anbieter ist die Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Schweden. Näheres: https://www.klarna.com/de/datenschutz/
• Link: Ein Dienst von Stripe, mit dem Sie Zahlungsangaben speichern und bei weiteren Händlern wiederverwenden können. Nutzen Sie Link, speichert Stripe in Ihrem Link-Konto unter anderem Ihren Namen, Ihre Kontaktdaten, Ihre Anschrift und Ihre Zahlungsangaben. Näheres: https://link.com/de/privacy
• Andere Zahlungsarten: Bei Zahlungsarten wie EPS, Bancontact, BLIK, MobilePay, Amazon Pay oder Samsung Pay leitet Stripe Sie an Ihre Bank oder den jeweiligen Anbieter weiter oder übergibt die dafür nötigen Angaben.

Von all diesen Stellen erhalten wir nur die Angaben, die wir zur Zuordnung der Zahlung brauchen, nie Ihre vollständige Kartennummer. Übermittlungen außerhalb der EU sichert Apple durch Standardvertragsklauseln ab, Google und hCaptcha durch das EU-US Data Privacy Framework und Standardvertragsklauseln, Klarna vorrangig durch Standardvertragsklauseln.

Bei Zahlung mit PayPal wickelt die PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg, die Zahlung ab. Näheres: https://www.paypal.com/de/legalhub/paypal/privacy-full

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für das Laden des Stripe-Programms, die Betrugserkennung und die Einbindung der Zahlungsarten Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und funktionierenden Bezahlvorgang).

5.3 Banküberweisung

Zahlen Sie per Überweisung, verarbeiten wir die Umsatzdaten unseres Bankkontos (Datum, Betrag, Verwendungszweck, Name und IBAN des Auftraggebers), um die Zahlung Ihrer Bestellung zuzuordnen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO.

5.4 Rechnung, Buchhaltung, Steuerberatung

Rechnungen erstellen wir mit Lexware Office (Haufe-Lexware GmbH & Co. KG, Munzinger Straße 9, 79111 Freiburg, Deutschland; Auftragsverarbeitung nach Art. 28 DSGVO). Buchungsdaten übermitteln wir an unsere Steuerberatung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO, Art. 6 Abs. 1 lit. b DSGVO.

5.5 E-Mails

Bestell- und Zahlungsbestätigungen, Rechnungen und Hinweise zum Pass senden wir an die E-Mail-Adresse Ihres Kontos. Der Versand läuft über den Mailserver unseres Hosting-Anbieters mit Rechenzentrum in Deutschland (Auftragsverarbeitung nach Art. 28 DSGVO). Werbe-E-Mails senden wir nur mit Ihrer Einwilligung.

6. Nutzung des Programms Textono

6.1 Geräteschlüssel

Jedes Gerät erhält einen Geräteschlüssel, den Sie in Ihrem Konto erzeugen. Dazu speichern wir: eine von Ihnen oder vom Programm vergebene Bezeichnung des Geräts, eine Prüfsumme des Schlüssels (nicht den Schlüssel selbst), das Ablaufdatum (180 Tage) und den Zeitpunkt der letzten Nutzung. Sie können jeden Schlüssel im Konto jederzeit löschen.

Zweck: Zugangsschutz, Zuordnung von Diktaten zu Ihrem Konto für die Wortgrenze und den Pass, Erkennen verlorener oder nicht mehr genutzter Geräte. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. f DSGVO (Sicherheit). Speicherdauer: bis zur Löschung durch Sie oder bis zur Löschung des Kontos.

6.2 Diktieren

Wenn Sie die Sprechtaste drücken, nimmt Textono Ton auf und hält ihn nur im Arbeitsspeicher Ihres Rechners. Beim Loslassen wird die Aufnahme über eine verschlüsselte Verbindung (TLS) an unseren Server übertragen und von dort an den Spracherkennungs-Server weitergereicht, den unser IT-Dienstleister ausschließlich in unserem Auftrag im Rechenzentrum der Hetzner Online GmbH in Falkenstein, Deutschland, betreibt (Auftragsverarbeitung nach Art. 28 DSGVO). Dort wird der Ton in Text umgewandelt; der Text geht denselben Weg zurück und wird in das Programm eingefügt, in dem Sie schreiben.

Weder der Ton noch der erkannte Text werden gespeichert oder protokolliert — nicht auf unserem Server, nicht auf dem Erkennungs-Server. Es findet kein Training von Erkennungs- oder Sprachmodellen mit Ihren Daten statt. Gespeichert wird allein die Anzahl der erkannten Wörter (Abschnitt 4.2). Mit jedem Diktat sendet das Programm Ihr persönliches Wörterbuch als Hinweis für die Erkennung mit; es bleibt auf Ihrem Rechner und wird auf dem Server nicht gespeichert.

Tritt ein technischer Fehler auf, protokollieren wir ihn ohne Inhalt: Art des Fehlers, Zeitpunkt, Länge der Aufnahme — nie den Ton, nie den Text.

Zweck: Erbringung des Diktatdienstes. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Soweit Sie Personen nahestehende Dinge diktieren, liegt die Verantwortung für den Inhalt bei Ihnen (Abschnitt 10.2 der AGB).

6.3 Vorlesen, Umformulieren, Übersetzen, Übungen

Bei diesen Funktionen sendet das Programm den markierten oder gesprochenen Text (bei den Übungen auch kurze Aufnahmen) auf demselben Weg an unsere KI-Server beim genannten IT-Dienstleister in Deutschland. Dort wird die Antwort — Ton, übersetzter Text, Umformulierung oder eine Rückmeldung zur Aussprache — erzeugt und zurückgeschickt. Die Inhalte werden nur für die Erzeugung der Antwort verarbeitet und nicht dauerhaft gespeichert; Fehlerprotokolle enthalten nur Textlängen und Fehlerart. Es werden ausschließlich selbst betriebene KI-Modelle eingesetzt; eine Übermittlung an KI-Anbieter wie OpenAI, Google oder Anthropic findet nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

6.4 Erfassen per Screenshot

Mit dieser Funktion ziehen Sie einen Rahmen über einen Teil Ihres Bildschirms — etwa über einen Elternbrief, eine Einladung oder eine Rechnung — und Textono schlägt daraus einen Termin, eine Frist oder eine Aufgabe für Ihren Kalender auf der Plattform KiEPhub vor. Das geschieht in zwei Schritten:

1. Abschreiben. Der Ausschnitt wird über eine verschlüsselte Verbindung (TLS) an unseren Server und von dort an unseren KI-Server beim in Abschnitt 6.2 genannten IT-Dienstleister in Deutschland weitergereicht. Dort liest ein selbst betriebenes Bildmodell den Text ab (höchstens 5000 Zeichen) und schickt ihn zurück. Das Bild wird dabei nirgends gespeichert — nicht als Datei, nicht in einer Datenbank, nicht in einem Zwischenspeicher. In ein Fehlerprotokoll kommt nur, dass etwas schieflief, und die Größe in Kilobyte; nie das Bild, nie der abgelesene Text, nicht einmal die Abmessungen des Ausschnitts.
2. Einordnen. Der abgelesene Text geht auf demselben Weg an ein selbst betriebenes Sprachmodell, das Art, Titel, Datum und Uhrzeit vorschlägt. Auch dieser Text wird nicht gespeichert und nicht protokolliert.

Was daraus entsteht, sehen Sie zuerst in einer Vorschau und können es ändern. Gespeichert wird nur, was Sie bestätigen. Die bestätigten Einträge legt die Plattform KiEPhub in Ihrem Kalender und in Ihrer Aufgabenliste an; dafür gilt die Datenschutzerklärung der Plattform. Sind Sie bei mehreren Mandanten freigeschaltet, wählen Sie vor dem Speichern, in welchem die Einträge entstehen.

Wahlweises Speichern des Ausschnitts. Setzen Sie den Haken „Bildschirmausschnitt mitspeichern", wird das Bild zusätzlich in Ihrem Konto aufbewahrt, damit Sie später nachsehen können, woraus ein Eintrag entstand. Es liegt dann auf einem nicht öffentlichen Speicher unseres Servers und wird ausschließlich an Ihr eigenes Konto ausgeliefert; andere Mitglieder, Kolleginnen und Kollegen oder Verwalterinnen und Verwalter Ihres Mandanten können es nicht abrufen. Der Haken ist standardmäßig nicht gesetzt und wird nach dem Beenden von Textono wieder vergessen — ein Ausschnitt kann ein Kontoauszug sein, deshalb fragt das Programm jedes Mal neu.

Löschen. Das Bild hat genau einen Zweck: als Beleg neben den Einträgen zu stehen, die aus ihm entstanden. Löschen Sie den letzten dieser Einträge, wird das Bild sofort mitgelöscht. Zusätzlich räumt ein nächtlicher Lauf alles weg, was an diesem Weg vorbeiging — etwa nach einer Sammellöschung im Kalender oder nach dem Löschen eines Kontos. Sie können ein Bild also jederzeit entfernen, indem Sie die zugehörigen Einträge löschen.

Zweck: Erbringung der Erfassungs-Funktion; das wahlweise gespeicherte Bild dient allein als Beleg zum Eintrag. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag beziehungsweise Nutzungsverhältnis); für das Speichern des Ausschnitts zusätzlich Ihre Entscheidung im Programm. Soweit der Ausschnitt Angaben über andere Personen enthält, liegt die Verantwortung für den Inhalt bei Ihnen (Abschnitt 10.2 der AGB). Speicherdauer: Ausschnitt und abgelesener Text werden für die Verarbeitung selbst nicht gespeichert; ein mitgespeichertes Bild bleibt, bis der letzte daraus entstandene Eintrag gelöscht ist.

6.5 Aktualisierungen

Das Programm fragt bei unserem Server ab, ob eine neue Fassung vorliegt. Dabei werden Programmversion und Betriebssystem übermittelt; der Aufruf erscheint mit IP-Adresse und Zeitpunkt im Server-Protokoll (Abschnitt 3.1, 14 Tage). Aktualisierungen sind signiert; das Programm prüft die Signatur vor der Installation.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Aktualisierungspflicht nach § 327f BGB), Art. 6 Abs. 1 lit. f DSGVO (Sicherheit).

6.6 Was auf Ihrem Rechner bleibt

Einstellungen, Wörterbuch, Übungsstände und der Geräteschlüssel werden auf Ihrem Rechner gespeichert. Sie unterliegen Ihrer Kontrolle und werden beim Deinstallieren des Programms mit entfernt beziehungsweise können von Ihnen gelöscht werden.

Zur Übung „Morsen lesen lernen“ führt das Programm außerdem ein Übungsbuch: je Kalendertag die geübte Zeit, die geübten Zeichen und die Zahl richtiger und nicht gewusster Antworten — keine Uhrzeiten, keine gesprochenen Inhalte. Das Übungsbuch wird ausschließlich auf Ihrem Rechner gespeichert und nie an uns oder Dritte übertragen. Sie können es in der Übung jederzeit abschalten und löschen.

7. Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur weiter, soweit es in dieser Erklärung beschrieben ist:

• Hetzner Online GmbH, Gunzenhausen — Rechenzentrum für unsere Server (Auftragsverarbeitung)
• unser IT-Dienstleister mit Sitz in Deutschland — Betrieb der Spracherkennungs- und KI-Server in unserem Auftrag (Auftragsverarbeitung)
• Stripe Payments Europe, Limited, Dublin — Zahlungsabwicklung (eigenverantwortlich als Zahlungsdienstleister)
• die in Abschnitt 5.2 genannten Anbieter von Zahlungsarten — nur, wenn Sie diese Zahlungsart wählen; Google und hCaptcha beim Öffnen des Zahlungsfelds (eigenverantwortlich beziehungsweise im Auftrag von Stripe)
• Haufe-Lexware GmbH & Co. KG, Freiburg — Rechnungsstellung (Auftragsverarbeitung)
• unser Hosting- und E-Mail-Anbieter mit Rechenzentrum in Deutschland — E-Mail-Versand (Auftragsverarbeitung)
• unsere Steuerberatung — Buchhaltungsdaten (gesetzliche Verpflichtung)

Eine Übermittlung in Länder außerhalb der EU findet nur im Rahmen der Zahlungsabwicklung statt (Abschnitt 5.2).

8. Speicherdauer im Überblick

9. Ihre Rechte

Sie haben gegenüber uns das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Wenden Sie sich dazu an info@kiepakademie.de oder an die oben genannte Anschrift.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart, https://www.baden-wuerttemberg.datenschutz.de

10. Keine automatisierten Entscheidungen

Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten (Art. 22 DSGVO). Die Wortgrenze des Freikontingents ist eine reine Zählung ohne Bewertung Ihrer Person.

11. Pflicht zur Bereitstellung

Für den Kauf eines Passes brauchen wir die in Abschnitt 5 genannten Daten; ohne sie können wir den Vertrag nicht erfüllen. Für die kostenlose Nutzung brauchen wir ein Konto mit bestätigter E-Mail-Adresse. Alle anderen Angaben sind freiwillig.

12. Änderungen

Wir passen diese Erklärung an, wenn sich Textono, unsere Dienstleister oder die Rechtslage ändern. Die jeweils aktuelle Fassung finden Sie unter textono.de/datenschutz. Bei wesentlichen Änderungen informieren wir Kundinnen und Kunden mit laufendem Pass per E-Mail.

Lernplattform Moodle

Dieses Unternehmen nutzt die Open-Source-Lernplattform Moodle (erreichbar unter https://lernen.mykiep.de) fuer die Bereitstellung von Lerninhalten, Kursen und Lernfortschrittsverfolgung.

Verarbeitete Daten: Vor- und Nachname, Benutzername, E-Mail-Adresse, Kurszuordnungen, Kursfortschritt, Teilnahmeprotokolle, hochgeladene Aufgaben/Abgaben, Forenbeitraege, Bewertungen und Kommentare innerhalb der Kurse, Anmelde-Zeitstempel.

Datenuebermittlung KiEPhub → Moodle: Sobald Sie ueber KiEPhub Zugang zu Moodle-Kursen erhalten - etwa mit der Freigabe Ihres Zugangs oder nach dem Kauf eines Kurses -, werden Benutzername, E-Mail, Vor- und Nachname sowie Kurseinschreibungen automatisiert von KiEPhub an die Moodle-Instanz uebertragen, damit Sie sich mit Ihrem KiEPhub-Konto in Moodle anmelden koennen (Single-Sign-On). Die Kommunikation erfolgt ueber eine verschluesselte API-Verbindung. Der API-Zugangsschluessel wird verschluesselt gespeichert.

Hosting: Die genutzte Moodle-Instanz wird auf einem von uns kontrollierten Server innerhalb der Europaeischen Union betrieben. Es findet keine Uebermittlung an externe Cloud-Dienste oder Drittlaender statt. Wir sind als Betreiber der Moodle-Instanz selbst Verantwortlicher im Sinne der DSGVO; eine separate Auftragsverarbeitung durch Dritte erfolgt nicht.

Software-Hersteller: Die eingesetzte Software ist Moodle™ — eine Open-Source-Software, entwickelt von Moodle Pty Ltd, Perth, Australien. Da die Software lokal auf unserem Server laeuft, findet keine Datenuebermittlung an den Software-Hersteller statt.

Cookies in Moodle: Moodle setzt eigene technisch notwendige Sitzungs-Cookies (MoodleSession) zur Authentifizierung. Diese verbleiben auf unserer Moodle-Domain und werden nicht an Dritte uebermittelt.

Zweck: Bereitstellung von Lerninhalten, Kursverwaltung, Fortschrittsverfolgung, Bewertung von Aufgaben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchfuehrung — Bereitstellung der Lernplattform), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer einheitlichen Lern- und Verwaltungsumgebung).

Aufbewahrung: Kursinhalte und Lernfortschritte werden bis zur Loeschung des Benutzerkontos oder bis zum Ende des jeweiligen Kurses aufbewahrt. Auf Wunsch werden Daten in der Moodle-Instanz frueher geloescht (Art. 17 DSGVO).

Chat (Matrix)

Dieses Unternehmen nutzt einen unternehmensinternen Chat auf Basis der Open-Source-Software Matrix (Chat-Server: https://matrix.kiepcloud.de). Der Chat ist Bestandteil von KiEPhub selbst und wird unmittelbar im Browser bedient; eine zusaetzliche Anwendung ist dafuer nicht erforderlich. Er dient der verschluesselten Kommunikation zwischen Mitgliedern, Mitarbeitenden und gegebenenfalls zugeordneten Kontakten innerhalb der Plattform.

Verarbeitete Daten: Vor- und Nachname, Anzeigename (Display Name), interne Matrix-Benutzer-ID, Geraete-Identifikatoren (Device IDs) zum Zweck der Ende-zu-Ende-Verschluesselung, Profil-Bild (sofern hinterlegt), Sitzungs-Tokens, Inhalte gesendeter Nachrichten und versandter Dateien sowie Zeitstempel und Lese-Status. Mitgliedschaften in Raeumen, gesendete Reaktionen und Anwesenheits-Status.

Geburtsdatum: Ist auf Ihrer Karteikarte bei diesem Unternehmen noch kein Geburtsdatum hinterlegt, fragt der Chat beim ersten Oeffnen einmal danach und speichert es auf der Karteikarte. Daran erkennen wir, ob in einem Gespraech Erwachsene und Minderjaehrige zusammentreffen, und wenden dafuer besondere Schutzregeln an; so ist etwa die Handy-App (Element) nur Volljaehrigen freigegeben. Andere Chat-Teilnehmende sehen Ihr Geburtsdatum nicht. Fuer Kinder, die von ihren Eltern betreut werden, tragen die Eltern das Geburtsdatum ein. Rechtsgrundlage ist unser berechtigtes Interesse, Kinder und Jugendliche im Chat zu schuetzen (Art. 6 Abs. 1 lit. f DSGVO). Das Geburtsdatum bleibt gespeichert, solange Ihre Karteikarte besteht.

Ende-zu-Ende-Verschluesselung: Nachrichten in Raeumen werden standardmaessig Ende-zu-Ende-verschluesselt (Megolm/Olm). Der Server-Betreiber kann Nachrichteninhalte technisch nicht mitlesen. Zur Wiederherstellung des Nachrichtenverlaufs auf neuen Geraeten wird ein Wiederherstellungsschluessel (Recovery Key) je Benutzer erzeugt.

Speicherung des Wiederherstellungsschluessels: Damit Sie bei Geraetewechsel oder Geraeteverlust nicht den gesamten Chatverlauf verlieren, wird Ihr Wiederherstellungsschluessel verschluesselt in der KiEPhub-Datenbank abgelegt. Die Verschluesselung erfolgt symmetrisch mit dem anwendungsweiten Verschluesselungsschluessel (Laravel APP_KEY); im Klartext wird der Schluessel nicht gespeichert. Der Schluessel kann von Ihnen jederzeit ueber die Funktion „Schluessel anzeigen“ im Chat-Bereich von KiEPhub abgerufen werden. Jeder Selbst-Abruf wird intern protokolliert (Zeitstempel, Benutzer-ID, IP-Adresse). Wenn Sie den Schluessel ausschliesslich selbst aufbewahren moechten, koennen Sie ihn nach dem Anlegen aus der KiEPhub-Datenbank loeschen lassen (Anfrage an den Plattformbetreiber).

Handy-App (Element): Der Chat kann zusaetzlich in der Open-Source-App „Element“ genutzt werden. Die App verbindet sich direkt mit unserem Chat-Server. Fuer Benachrichtigungen auf dem Handy nutzt sie jedoch den Push-Dienst der Matrix.org Foundation (Vereinigtes Koenigreich) sowie Firebase Cloud Messaging (Google, USA) bzw. den Apple Push Notification Service (Apple, USA). Dabei werden ausschliesslich technische Kennungen uebertragen — die Kennung des Ereignisses und des Raumes sowie die Anzahl ungelesener Nachrichten —, keine Nachrichteninhalte. Diese Benachrichtigungen koennen in der App abgeschaltet werden; wenn Sie den Chat nur im Browser nutzen, findet diese Uebermittlung nicht statt.

Hosting: Die genutzte Matrix-Server-Instanz (Synapse) sowie die Chat-Oberflaeche in KiEPhub werden auf von uns bzw. dem Plattformbetreiber kontrollierten Servern innerhalb der Europaeischen Union betrieben. Abgesehen von den Push-Benachrichtigungen der Handy-App (siehe oben) findet keine Uebermittlung an externe Cloud-Dienste oder Drittlaender statt. Wir bzw. der Plattformbetreiber sind als Betreiber der Matrix-Instanz selbst Verantwortlicher im Sinne der DSGVO; eine separate Auftragsverarbeitung durch Dritte erfolgt nicht.

Software-Hersteller: Als Server-Software kommt Matrix Synapse zum Einsatz, eine Open-Source-Software aus dem Matrix-Projekt (Matrix.org Foundation). Die Bedienoberflaeche des Chats ist Bestandteil von KiEPhub und wurde vom Plattformbetreiber selbst entwickelt; eine Chat-Oberflaeche eines Drittanbieters wird nicht eingesetzt. Da die Server-Software auf unserem eigenen Server laeuft, findet keine Datenuebermittlung an den Hersteller statt.

Cookies: Der Chat wird als Teil von KiEPhub ausgeliefert und nutzt dieselben technisch notwendigen Sitzungs-Cookies wie die uebrige Plattform; zusaetzliche Cookies eines Drittanbieters werden nicht gesetzt. Im Browser-internen Speicher (localStorage, IndexedDB) legt der Chat Ihre Anzeige-Einstellungen sowie die Verschluesselungs-Schluessel, die Sitzungs-Identifikatoren und eine lokale Kopie kuerzlich gelesener Nachrichten ab. Diese Daten verbleiben auf Ihrem Geraet und werden nicht an Dritte uebermittelt.

Zweck: Sichere interne Kommunikation, Austausch von Lern- und Verwaltungsinformationen, optionale Gruppenchats nach Bereichen oder Klassen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchfuehrung — Bereitstellung der Kommunikationsplattform), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer einheitlichen Kommunikationsumgebung; fuer das Geburtsdatum: Schutz Minderjaehriger, siehe oben).

Aufbewahrung: Nachrichteninhalte verbleiben verschluesselt auf dem Matrix-Server, bis Sie diese im Chat loeschen oder Ihr Konto ausser Betrieb genommen wird. Auf Antrag werden Ihr Konto und ein gespeicherter Wiederherstellungsschluessel vollstaendig geloescht (Art. 17 DSGVO). Die Inhalte Ihrer Nachrichten werden dabei in den Raeumen entfernt, denen Sie zum Zeitpunkt der Loeschung angehoeren; in Raeumen, die Sie vorher verlassen haben, ist das technisch nicht moeglich. Die geleerte Nachricht bleibt als Platzhalter mit Ihrer Chat-Kennung als Absender stehen, Anzeigename und Profilbild werden entfernt. Nachrichten anderer Teilnehmender bleiben erhalten.

Videokonferenzen und Aufzeichnungen (Jitsi Meet)

Wir nutzen die Open-Source-Konferenzsoftware Jitsi Meet (erreichbar unter https://jitsi.kiepcloud.de) fuer Online-Unterricht, Lernraeume, Beratungen und Besprechungen. Die Software laeuft auf einem von uns angemieteten Server in Deutschland. Es findet keine Uebermittlung an externe Cloud-Dienste oder in Drittlaender statt. An den Hersteller der Software werden keine Daten uebermittelt.

Verarbeitete Daten waehrend einer Konferenz: angezeigter Name, bei angemeldeten Personen die Verknuepfung mit dem Benutzerkonto, Audio- und Video-Datenstroeme, ein geteilter Bildschirm, Chat-Nachrichten im Konferenzraum, Beitritts- und Verlassenszeitpunkte sowie die IP-Adresse waehrend der Sitzung.

Aufzeichnungen

Was aufgezeichnet wird: Einzelne Lernstunden werden aufgezeichnet. Nicht jede Stunde wird aufgezeichnet. Welche Stunden aufgezeichnet werden, entscheiden wir. Eine aufgezeichnete Stunde ist vorher als solche gekennzeichnet, und die Anleitung sagt zu Beginn der Stunde an, dass aufgezeichnet wird.

Was in der Aufzeichnung enthalten ist: Kamerabild und Ton aller Teilnehmenden, die angezeigten Namen, ein geteilter Bildschirm und der Chat des Konferenzraums. Es entsteht eine einzelne Videodatei. Eine einzelne Stimme oder ein einzelnes Kamerabild laesst sich daraus nicht entfernen. Unser Whiteboard und die Unterlagen auf der Lernbuehne sind nicht in der Videodatei enthalten, ausser jemand teilt sie ueber den Bildschirm.

In unseren Stunden gilt Kamerapflicht — auch in Stunden, die aufgezeichnet werden. Ein Ausblenden einzelner Teilnehmender aus einer Aufzeichnung bieten wir nicht an, weil unsere Konferenztechnik das nicht verlaesslich leisten kann.

Zwecke:

1. Nachbereitung: Wer in der Stunde war, kann sie spaeter noch einmal ansehen.
2. Aufklaerung: Wird der Vorwurf erhoben, in einer Stunde sei etwas vorgefallen, koennen wir nachpruefen, was geschehen ist. In unseren Stunden leiten teils aeltere Kinder juengere Kinder an. Die Aufzeichnung schuetzt in einem solchen Fall das betroffene Kind ebenso wie eine zu Unrecht beschuldigte Anleitung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an den beiden genannten Zwecken. Wir haben dazu eine schriftliche Abwaegung erstellt und dabei besonders gewichtet, dass es um Kinder geht. Sie koennen diese Abwaegung bei uns anfordern. Wir stuetzen die Aufzeichnung ausdruecklich nicht auf eine Einwilligung.

Ihr Widerspruchsrecht (Art. 21 DSGVO): Sie koennen der Aufzeichnung aus Gruenden widersprechen, die sich aus Ihrer besonderen Situation oder der Ihres Kindes ergeben. Formlos und ohne Kosten; eine Nachricht an uns genuegt. Wir pruefen jeden Widerspruch einzeln und antworten schriftlich. Ehrlich dazu: Ein Ausblenden einzelner Teilnehmender aus einer Aufzeichnung koennen wir nicht anbieten. Koennen wir einem Widerspruch deshalb nicht entsprechen, besprechen wir gemeinsam mit Ihnen, ob und wie die Teilnahme fortgesetzt werden kann.

Wer Zugriff hat: die Anleitung der Stunde; bei Lernstunden die Personen, die nachweislich in dieser Stunde anwesend waren; bei Kursen, Lerngruppen und Versammlungen die Personen, die zu diesem Konferenzraum gehoeren; sowie unsere Konferenz-Verwaltung. Jeder Zugriff der Verwaltung auf eine fremde Stunde wird protokolliert. Fuer den Zweck Aufklaerung wird eine Aufzeichnung nur bei einem konkreten Anlass geoeffnet; auch das wird protokolliert. Ein Durchsehen auf Verdacht findet nicht statt. Aufzeichnungen werden nicht veroeffentlicht und nicht an Dritte weitergegeben.

Aufbewahrung: Wir loeschen Aufzeichnungen ein Jahr nach der Stunde.

Gaeste: Externe Personen koennen im Einzelfall ueber einen Gastzugang teilnehmen. Da sie keinen Vertrag mit uns geschlossen haben und diesen Hinweis nicht kennen, fragen wir sie vor dem Eintritt ausdruecklich, ob sie mit einer moeglichen Aufzeichnung einverstanden sind. Wer nicht zustimmt, nimmt an dieser Stunde nicht teil. Verarbeitet werden dabei der selbst eingegebene Anzeigename, der Beitrittszeitpunkt und die IP-Adresse waehrend der Sitzung. Eine Identitaetspruefung findet nicht statt.

Ihre weiteren Rechte: Auskunft (Art. 15), Berichtigung (Art. 16), Loeschung (Art. 17), Einschraenkung der Verarbeitung (Art. 18) und Beschwerde bei der Aufsichtsbehoerde (Art. 77). Nach einem berechtigten Widerspruch koennen Sie auch die Loeschung bereits vorhandener Aufzeichnungen verlangen.

Spam-Erkennung in unseren E-Mail-Postfächern durch eine eigene KI

Was geschieht: Markiert jemand bei uns eine E-Mail als Spam oder ausdrücklich als „kein Spam", berechnet eine KI, die auf eigenen Servern betrieben wird, aus Betreff, Absender und dem Anfang des Textes einen sogenannten Fingerabdruck: eine Reihe von Zahlen, die den Inhalt grob beschreibt. Neu eingehende E-Mails bekommen ebenfalls einen solchen Fingerabdruck. Ähnelt er gelerntem Spam, wird die E-Mail bei uns als „Spam-Verdacht" angezeigt. Sie wird dabei weder verschoben noch gelöscht; das entscheidet ein Mensch.

Was gespeichert wird: Nur der Fingerabdruck der als Spam oder als „kein Spam" markierten E-Mails und bei einem Verdacht die Nummer der E-Mail im Postfach. Der Text der E-Mail wird dafür nicht gespeichert. Es wird kein externer KI-Dienst genutzt; die Inhalte werden nicht an Dritte übermittelt und nicht zum Training von KI-Modellen verwendet.

Zweck und Rechtsgrundlage: Schutz unserer Postfächer vor unerwünschten und betrügerischen E-Mails; berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer: Je Art (Spam, kein Spam) bleiben die neuesten 500 Fingerabdrücke erhalten, ältere werden gelöscht. Ein Verdacht verschwindet, sobald über die E-Mail entschieden ist oder das Postfach gelöscht wird.

Stand bei der Freigabe

Wird eine Anmeldung oder ein Benutzerkonto freigegeben, durch die Verwaltung oder in bestimmten Fällen automatisch, etwa nach einem Kauf, halten wir fest, welche Angaben dabei vorlagen. So bleibt nachvollziehbar, worauf die Entscheidung beruhte.

Welche Daten: Name, E-Mail-Adresse, Geschlecht, Geburtsdatum und Anschrift, der Stand des Anmeldebogens mit Ihren freien Angaben, Art und Bezeichnung Ihrer Dokumente ohne die Dateien selbst sowie Name, Geburtsdatum und E-Mail-Adresse Ihrer Kinder.

Wie lange: Diese Aufzeichnung wird nachträglich nicht angepasst, auch wenn Sie Angaben berichtigen oder Dateien löschen. Wir löschen sie spätestens 12 Monate nach der Freigabe. In unseren Datensicherungen kann sie danach noch rund ein Jahr enthalten sein, dort wird sie nicht einzeln gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es, Entscheidungen über Anmeldungen nachvollziehen zu können.

Zahlungsdienstleister

Wenn Sie bei diesem Unternehmen etwas bestellen und bezahlen, verarbeiten wir die dafür nötigen Angaben. Je nach gewählter Zahlungsart sind folgende Stellen beteiligt:

PayPal: Bei Zahlung mit PayPal wickelt PayPal die Zahlung ab; Sie melden sich dazu bei PayPal an oder zahlen dort ohne Konto. Anbieter ist die PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg. PayPal erhält Betrag, Währung und Bestellnummer sowie – soweit für die Zahlung nötig – Name, E-Mail-Adresse und Anschrift und verarbeitet diese Daten als eigener Verantwortlicher. Näheres in der Datenschutzerklärung von PayPal: paypal.com/de/legalhub/privacy-full

Stripe (Kartenzahlung und SEPA-Lastschrift): Zahlungen per Karte oder Lastschrift wickelt die Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland, ab. Karten- und Kontodaten geben Sie in ein Eingabefeld von Stripe ein; sie gehen direkt an Stripe, bei uns wird keine vollständige Kartennummer gespeichert. Stripe erhält außerdem Betrag, Bestellnummer, Name und E-Mail-Adresse und prüft Zahlungen zum Schutz vor Betrug. Näheres in der Datenschutzerklärung von Stripe: stripe.com/de/privacy

Was schon beim Öffnen der Kasse geschieht: Unsere Kasse lädt ein Programm von Stripe. Es wertet zur Betrugserkennung Merkmale Ihres Browsers und Geräts sowie Ihre Aktivität auf der Seite aus, zum Beispiel Mausbewegungen, und sendet sie an Stripe. Das geschieht unabhängig davon, womit Sie am Ende bezahlen. Das Laden dieses Programms, die Betrugserkennung und die Einbindung der angebotenen Zahlungsarten stützen wir auf unser berechtigtes Interesse an einem sicheren und funktionierenden Bezahlvorgang (Art. 6 Abs. 1 lit. f DSGVO).

Sobald das Zahlungsfeld erscheint: Das Programm von Stripe lädt dann außerdem Bestandteile von Google Pay von Servern von Google und bindet den Dienst hCaptcha der Intuition Machines, Inc. (USA) ein, den Stripe zur Abwehr automatisierter Zugriffe einsetzt. Google und hCaptcha erhalten dabei technisch bedingt Ihre IP-Adresse und Angaben zu Ihrem Browser, auch wenn Sie nicht mit Google Pay bezahlen.

Weitere Zahlungsarten: Je nach Gerät, Browser und Land zeigen das Zahlungsfeld und die Bezahlseite von Stripe neben der Karte weitere Zahlungsarten. Wählen Sie eine davon, kommen die folgenden Stellen hinzu; für diesen Schritt gelten zusätzlich deren Bedingungen und Datenschutzbestimmungen.

• Apple Pay: Sie bestätigen die Zahlung auf Ihrem Apple-Gerät; Apple erhält dafür verschlüsselte Zahlungsinformationen. Anbieter ist die Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland. Näheres: apple.com/de/legal/privacy/data/de/apple-pay
• Google Pay: Sie bestätigen die Zahlung in Ihrem Google-Konto. Google kann dabei unter anderem Datum, Uhrzeit und Betrag der Zahlung, den Zahlungsempfänger, die Zahlungsmethode sowie Ihren Namen und Ihre E-Mail-Adresse erheben. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Näheres: Datenschutzhinweis von Google Payments
• Klarna: Klarna wickelt die Zahlung ab und erhält dafür Ihre Kontakt- und Zahlungsangaben sowie Angaben zum Kauf und zu Ihrem Gerät; je nach Zahlungsart kann Klarna Auskünfte von Kreditauskunfteien einholen. Anbieter ist die Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Schweden. Näheres: klarna.com/de/datenschutz
• Link: Ein Dienst von Stripe, mit dem Sie Zahlungsangaben speichern und bei weiteren Händlern wiederverwenden können. Nutzen Sie Link, speichert Stripe in Ihrem Link-Konto unter anderem Ihren Namen, Ihre Kontaktdaten, Ihre Anschrift und Ihre Zahlungsangaben. Näheres: link.com/de/privacy
• Andere Zahlungsarten: Bei Zahlungsarten wie EPS, Bancontact, BLIK, MobilePay, Amazon Pay oder Samsung Pay leitet Stripe Sie an Ihre Bank oder den jeweiligen Anbieter weiter oder übergibt die dafür nötigen Angaben.

Von all diesen Stellen erhalten wir nur die Angaben, die wir zur Zuordnung der Zahlung brauchen, nie Ihre vollständige Kartennummer.

Übermittlung in Drittländer: Die oben genannten Stellen können personenbezogene Daten auch außerhalb der Europäischen Union verarbeiten, insbesondere in den USA. Als Garantie dafür geben sie an (Art. 46 DSGVO):

• PayPal: verbindliche unternehmensinterne Datenschutzvorschriften (Binding Corporate Rules) und Standardvertragsklauseln der EU-Kommission.
• Stripe: das EU-US Data Privacy Framework und Standardvertragsklauseln der EU-Kommission.
• Apple: Standardvertragsklauseln der EU-Kommission.
• Google: das EU-US Data Privacy Framework und, soweit nötig, Standardvertragsklauseln der EU-Kommission.
• Klarna: vorrangig Standardvertragsklauseln der EU-Kommission, daneben Angemessenheitsbeschlüsse, das EU-US Data Privacy Framework und verbindliche unternehmensinterne Datenschutzvorschriften.
• hCaptcha (Intuition Machines, Inc.): das EU-US Data Privacy Framework und Standardvertragsklauseln der EU-Kommission.

Zweck und Rechtsgrundlage: Abwicklung der Zahlung zu Ihrer Bestellung (Art. 6 Abs. 1 lit. b DSGVO). Zahlungs- und Buchungsbelege bewahren wir nach den gesetzlichen Fristen auf (Art. 6 Abs. 1 lit. c DSGVO).

Druck und Versand von Lernmaterial im Auftrag anderer Schulen

Dieses Unternehmen druckt und versendet die Lernhefte der DiDi-Lernplattform auch für andere Bildungseinrichtungen (KiEP Freunde e.V., KiEP-Lajen). Dabei handelt es als Auftragsverarbeiter nach Art. 28 DSGVO: Verantwortlich für die Daten der Lernenden bleibt die jeweilige Einrichtung; dieses Unternehmen verarbeitet sie nur nach deren Weisung und nutzt sie nicht für eigene Zwecke.

Welche Daten: Der Vorname des Kindes (soweit die Einrichtung ihn auf das Heft drucken lässt), die Liste der Hefte und eine Bestellnummer; beim Direktversand zusätzlich Name und Postanschrift des Empfängers, bei der Sammellieferung nur die Anschrift der Einrichtung.

Unterauftragsverarbeiter: DHL Paket GmbH / Deutsche Post AG, Bonn – Paketversand (Name und Anschrift des Empfängers, Sendungsnummer).

Speicherdauer: Name, Anschrift und Vorname auf der Sendung sowie die zugehörigen Druckdateien werden 60 Tage nach dem Versand automatisch gelöscht beziehungsweise unkenntlich gemacht. Danach bleiben nur Stückzahlen und Bestellnummern für die Abrechnung.