Gemeinsame Verantwortlichkeit (Art. 26 DSGVO)

KiEPhub ist eine webbasierte Lern- und Verwaltungsplattform, die von mehreren Unternehmen genutzt wird. Gemaess Art. 26 DSGVO besteht eine gemeinsame Verantwortlichkeit zwischen dem Plattformbetreiber und dem jeweiligen Unternehmen, ueber das Sie auf KiEPhub zugreifen.

Plattformbetreiber (KiEPhub) ist verantwortlich fuer:

• Technische Infrastruktur, Hosting und Serverbetrieb
• Cookies, Sitzungsverwaltung und Plattform-Sicherheit
• Plattformweite Dienste (Matrix-Server, H5P Hub, OCR-Verarbeitung)
• OAuth 2.0 / OpenID Connect Authentifizierungssystem

Unternehmens-Verantwortlicher ist zusaetzlich verantwortlich fuer:

• Kundenstammdaten, Profildaten und Kontaktdaten
• Bestellungen, Zahlungen und Rechnungen
• Terminbuchungen und -verwaltung
• Lernplattform-Inhalte und Kurseinschreibungen
• Unternehmensspezifische Integrationen (EasyVerein, Lexware, Odoo, Moodle)
• Aktivitaetsverfolgung (Time-Tracking)

Die wesentlichen Inhalte der Vereinbarung ueber die gemeinsame Verantwortlichkeit sind beim Plattformbetreiber einsehbar. Unabhaengig von der internen Aufgabenteilung koennen Sie Ihre Rechte gegenueber jedem der Verantwortlichen geltend machen.

Cookies und Sitzungsverwaltung

Technisch notwendige Cookies

KiEPhub verwendet ausschliesslich technisch notwendige Cookies:

Cookie-Eigenschaften

Alle Cookies sind mit folgenden Sicherheitsmassnahmen versehen:

• HttpOnly: Ja – Cookies sind nicht per JavaScript auslesbar
• SameSite: Lax – Schutz vor CSRF-Angriffen
• Secure: Ja (bei HTTPS-Betrieb) – Uebertragung nur ueber verschluesselte Verbindung

Keine Tracking-Cookies

KiEPhub verwendet keine Tracking-Cookies, Analyse-Cookies oder Werbe-Cookies. Es werden keine Cookies von Drittanbietern gesetzt. Google Analytics, Facebook Pixel oder vergleichbare Tracking-Dienste werden nicht eingesetzt.

Da ausschliesslich technisch notwendige Cookies verwendet werden, ist keine gesonderte Cookie-Einwilligung nach § 25 TDDDG (ehem. TTDSG) erforderlich.

Sitzungsspeicherung

Sitzungsdaten werden in der Datenbank gespeichert und enthalten:

• Authentifizierungsstatus
• CSRF-Token
• Nutzereinstellungen fuer die aktuelle Sitzung

Sitzungen laufen nach 120 Minuten Inaktivitaet automatisch ab.

Datensicherheit

Technische Massnahmen

• Verschluesselung bei Uebertragung: Alle Verbindungen werden ueber TLS/HTTPS verschluesselt
• Passwort-Hashing: Passwoerter werden als Einweg-Hash (bcrypt) gespeichert und koennen nicht zurueckgerechnet werden
• Zwei-Faktor-Authentifizierung: Optional verfuegbar (TOTP-Verfahren)
• API-Authentifizierung: OAuth 2.0 mit verschluesselten Zugangstoken (Laravel Passport)
• Verschluesselte Speicherung: API-Schluessel und Zugangsdaten fuer externe Dienste werden verschluesselt in der Datenbank gespeichert
• CSRF-Schutz: Alle Formulare und zustandsaendernden Anfragen sind gegen Cross-Site-Request-Forgery geschuetzt
• HttpOnly-Cookies: Session-Cookies sind nicht per JavaScript auslesbar

Organisatorische Massnahmen

• Mandantentrennung: Unternehmensdaten werden durch eine mehrstufige Mandantenarchitektur strikt getrennt (Tenant-Middleware)
• Rollenbasierte Zugriffskontrolle: Zugriff auf Daten wird durch Rollen (Super-Admin, Unternehmens-Admin, Mitglied, Lernender etc.) gesteuert
• Prinzip der Datenminimierung: Es werden nur die fuer den jeweiligen Zweck erforderlichen Daten erhoben
• Lokale Datenverarbeitung: OCR und KI-Verarbeitung erfolgen ausschliesslich lokal auf dem Server, ohne Uebermittlung an externe Cloud-Dienste

Dateispeicherung

• Private Dateien werden in einem nicht oeffentlich zugaenglichen Verzeichnis gespeichert
• Oeffentlich zugaengliche Dateien (z. B. Profilbilder) sind nur ueber gesicherte Pfade erreichbar
• Hochgeladene Dokumente werden ausschliesslich serverseitig verarbeitet

OpenID Connect und API-Zugang

OAuth 2.0 / OpenID Connect

KiEPhub stellt einen OAuth 2.0-Autorisierungsserver mit OpenID-Connect-Unterstuetzung bereit. Dieser ermoeglicht es angebundenen Anwendungen, sich mit den KiEPhub-Zugangsdaten anzumelden (Single Sign-On).

Uebermittelte Daten bei OIDC-Authentifizierung:

• Nutzer-ID (sub)
• E-Mail-Adresse und Verifizierungsstatus
• Vor- und Nachname
• Unternehmens-ID und Rolle (KiEPhub-spezifisch)

Die Freigabe dieser Daten erfolgt nur nach ausdruecklicher Zustimmung des Nutzers im Rahmen des OAuth-Autorisierungsablaufs.

API-Endpunkte

KiEPhub bietet API-Endpunkte, die per Bearer-Token (OAuth 2.0) geschuetzt sind. Die folgenden Bereiche (Scopes) sind definiert:

• openid, profile, email – Standard-OIDC-Bereiche
• time-tracking – Zugriff auf die Zeiterfassungs-API
• archive-write – Schreibzugriff auf das Entwicklungsarchiv

Token koennen jederzeit vom Nutzer widerrufen werden.

Externe Plattform-Dienste

H5P Hub

Beim Abruf der verfuegbaren Inhaltstypen fuer die Lernplattform kontaktiert der Server den H5P Hub (h5p.org):

• Uebermittlung einer anonymen Server-Kennung (site_uuid)
• Abruf von Metadaten zu verfuegbaren Inhaltstypen

Es werden keine personenbezogenen Nutzerdaten uebertragen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an aktuellen Lerninhalten). Anbieter: H5P Group, Norwegen.

Matrix-Kommunikation

KiEPhub ist an einen selbst gehosteten Matrix-Server (Synapse) angebunden:

• Automatische Erstellung eines Matrix-Benutzerkontos bei Erstanmeldung
• Zuordnung zu Unternehmens-Chatraeumen
• Login-Token fuer Single-Sign-On (SSO)

Die Kommunikation erfolgt ueber den selbst gehosteten Synapse-Server. Nachrichten werden Ende-zu-Ende-verschluesselt uebertragen, sofern die beteiligten Clients dies unterstuetzen.

Archivierungsfunktion (geplant): Ueber das Signalwort #notiert koennen Chat-Threads im KiEPhub archiviert werden. Bei privaten Chats wird ausschliesslich die eigene Zusammenfassung des Nutzers gespeichert – nicht der vollstaendige Chatverlauf des Gegenueber (DSGVO-konform). Mit #vergessen kann eine Archivierung rueckgaengig gemacht werden.

Zweck: Interne Kommunikation, Teamkollaboration. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. f DSGVO.

Dokumentenverarbeitung und OCR

Nutzer koennen Dokumente (PDF, Bilder) hochladen, die lokal verarbeitet werden:

• Originaldateiname, Dateipfad, MIME-Typ, Dateigroesse
• Per OCR (Tesseract) extrahierter Text
• Per KI (Ollama) strukturiert extrahierte Daten (z. B. Rechnungsdaten)
• Verarbeitungsstatus

Wichtig: Die gesamte Dokumentenverarbeitung (OCR und KI-Extraktion) erfolgt ausschliesslich lokal auf dem Server. Es werden keine Dokumente oder deren Inhalte an externe Cloud-Dienste uebertragen. Die eingesetzte KI (Ollama) laeuft vollstaendig lokal und DSGVO-konform.

Zweck: Automatisierte Belegerfassung und -zuordnung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. f DSGVO.

Videokonferenzen (BigBlueButton)

Fuer Videokonferenzen wird BigBlueButton eingesetzt:

• Gastlinks mit Token-basiertem Zugang
• Teilnahmeprotokollierung (Gast-Eintraege)
• Analyserueckrufe (Teilnehmermetriken, Umfrageergebnisse)

Zweck: Durchfuehrung von Online-Meetings und Schulungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

E-Mail-Versand

Fuer den Versand transaktionaler E-Mails (Kontoverifizierung, Terminbestaetigungen, Bestellbestaetigungen, Passwort-Zuruecksetzung) wird ein E-Mail-Dienstleister eingesetzt. Je nach Konfiguration koennen folgende Dienste verwendet werden:

• SMTP-Server (selbst gehostet oder externer Provider)
• Postmark (Wildbit LLC, USA)
• Amazon SES (Amazon Web Services, Inc., USA)
• Resend (Resend, Inc., USA)

Bei Nutzung von US-Diensten erfolgt die Datenuebermittlung auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Uebermittelte Daten: E-Mail-Adresse, Name des Empfaengers, Nachrichteninhalt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Keine Weitergabe an Dritte zu Werbezwecken

Es findet keine Weitergabe personenbezogener Daten an Dritte zu Werbe- oder Marketingzwecken statt. Es werden keine Daten an Adresshaendler, Datenbroker oder aehnliche Unternehmen verkauft.

Drittlandsuebermittlung

Eine Uebermittlung personenbezogener Daten in Drittlaender (ausserhalb des EWR) findet nur dann statt, wenn einer der folgenden Dienste eingesetzt wird:

• Zoom (USA) – fuer Videokonferenzen
• Telegram (VAE) – fuer Bot-Integration
• Postmark / Amazon SES / Resend (USA) – fuer E-Mail-Versand (je nach Konfiguration)

In diesen Faellen ist die Uebermittlung durch Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und/oder einen Angemessenheitsbeschluss (Art. 45 DSGVO, EU-US Data Privacy Framework) abgesichert.

Die Kern-Datenverarbeitung (Datenbank, Dateispeicherung, OCR, KI) findet ausschliesslich auf Servern innerhalb des EWR statt.

Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung oder Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Die eingesetzte KI (Ollama) dient ausschliesslich der Unterstuetzung bei der Datenextraktion aus Dokumenten und der Chat-Funktion und trifft keine rechtlich relevanten Entscheidungen ueber betroffene Personen.

Rechte der betroffenen Personen

Betroffene Personen haben gemaess der DSGVO folgende Rechte:

Auskunftsrecht (Art. 15 DSGVO)

Sie haben das Recht, eine Bestaetigung darueber zu verlangen, ob personenbezogene Daten verarbeitet werden. Im Falle einer Verarbeitung haben Sie das Recht auf Auskunft ueber die verarbeiteten Daten sowie weitere Informationen (Verarbeitungszwecke, Kategorien, Empfaenger etc.).

Recht auf Berichtigung (Art. 16 DSGVO)

Sie haben das Recht, die Berichtigung unrichtiger personenbezogener Daten zu verlangen. Die Aktualisierung von Profildaten kann jederzeit selbststaendig in den Kontoeinstellungen unter „Profil" vorgenommen werden.

Recht auf Loeschung (Art. 17 DSGVO)

Sie haben das Recht, die Loeschung Ihrer personenbezogenen Daten zu verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. In den Kontoeinstellungen steht eine Funktion zur Kontoloeschung zur Verfuegung, die das Benutzerkonto und die zugehoerigen Daten dauerhaft entfernt.

Einschraenkung: Daten, die steuerlichen oder handelsrechtlichen Aufbewahrungspflichten unterliegen (z. B. Rechnungen, Zahlungsdaten), koennen erst nach Ablauf der gesetzlichen Fristen geloescht werden.

Recht auf Einschraenkung der Verarbeitung (Art. 18 DSGVO)

Sie haben das Recht, unter bestimmten Voraussetzungen die Einschraenkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen.

Recht auf Datenuebertragbarkeit (Art. 20 DSGVO)

Sie haben das Recht, die Sie betreffenden personenbezogenen Daten in einem strukturierten, gaengigen und maschinenlesbaren Format zu erhalten. Bitte wenden Sie sich hierzu an den Verantwortlichen unter der oben genannten Kontaktadresse.

Widerspruchsrecht (Art. 21 DSGVO)

Sie haben das Recht, aus Gruenden, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) beruht, Widerspruch einzulegen.

Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO)

Sofern die Verarbeitung auf einer Einwilligung beruht, haben Sie das Recht, diese Einwilligung jederzeit zu widerrufen. Die Rechtmaessigkeit der bis zum Widerruf erfolgten Verarbeitung wird davon nicht beruehrt.

Beschwerderecht bei einer Aufsichtsbehoerde (Art. 77 DSGVO)

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehoerde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstoesst.

Aenderungen dieser Datenschutzerklaerung

Wir behalten uns vor, diese Datenschutzerklaerung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Aenderungen an unseren Diensten umzusetzen. Fuer Ihren erneuten Besuch gilt dann die neue Datenschutzerklaerung.

Erhobene Daten und Zwecke der Verarbeitung

Registrierung und Benutzerkonto

Bei der Registrierung und Nutzung eines Benutzerkontos werden folgende Daten erhoben:

Die E-Mail-Adresse wird durch einen Verifizierungslink bestaetigt. Passwoerter werden nie im Klartext gespeichert, sondern ausschliesslich als Einweg-Hash (bcrypt).

Erweiterte Profildaten (Personen)

Nutzer koennen freiwillig zusaetzliche Profildaten hinterlegen:

• Anrede, Titel, Zweitname, Namenszusatz, Pseudonym
• Geschlecht
• Geburtsdatum
• Profilbild
• Telefonnummer(n) und weitere E-Mail-Adressen
• Postanschrift(en) inkl. Angaben zur Verwendung (Brief, Paket, Rechnung)
• Persoenliche Notizen

Zweck: Verwaltung von Kontaktdaten, Zuordnung zu Unternehmen und Kursen, Kommunikation, Rechnungsstellung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchfuehrung), bei freiwilligen Angaben Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Unternehmensdaten

Fuer die Zuordnung zu Unternehmen und die Mandantenfaehigkeit werden Unternehmensdaten verarbeitet:

• Unternehmensname, Rechtsform, Gruendungsdatum
• Steuernummer, USt-IdNr., Handelsregisterdaten
• Website, Logo, Favicon, Primaerfarbe (Branding)
• Kontaktdaten und Bankverbindungen (IBAN, BIC)

Zweck: Mandantentrennung, Rechnungsstellung, rechtliche Anforderungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung, z. B. steuerliche Aufbewahrungspflichten).

Zahlungsdaten

Fuer die Abwicklung von Bestellungen und Zahlungen werden folgende Daten verarbeitet:

• SEPA-Lastschrift: Kontoinhaber, IBAN, BIC, Mandatsnummer, Mandatsdatum
• PayPal: E-Mail-Adresse des PayPal-Kontos
• Kreditkarte: Ausschliesslich die letzten 4 Ziffern, Karteninhaber, Ablaufdatum (keine vollstaendige Kartennummer)
• Bankueberweisung: Transaktionsdaten (Datum, Betrag, Verwendungszweck, Gegenpartei IBAN/Name)

Zweck: Zahlungsabwicklung, Rechnungsstellung, Buchhaltung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchfuehrung), Art. 6 Abs. 1 lit. c DSGVO (steuerliche Aufbewahrungspflichten).

Bestellungen und E-Commerce

Bei Bestellungen ueber den integrierten Shop werden verarbeitet:

• Bestellnummer, Bestelldatum, Bestellstatus
• Bestellte Artikel mit Preisen, Mengen, Mehrwertsteuer
• Lieferadresse und Rechnungsadresse (vollstaendige Anschrift)
• Zahlungsstatus und -methode
• Sendungsverfolgungsnummer und Versanddienstleister
• Ggf. Verzicht auf das Widerrufsrecht mit Zeitstempel

Zweck: Vertragserfuellung, Versand, Buchhaltung, gesetzliche Aufbewahrungspflichten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. c DSGVO.

Lernplattform und H5P-Inhalte

Im Rahmen der Lernplattform werden folgende Daten verarbeitet:

• Kurseinschreibungen und Teilnehmerzuordnungen
• Erstellte H5P-Lerninhalte (Titel, Autor, Lizenz, Inhalt, Beschreibung)
• Kursbereiche, Kurs-Tags und Kursfortschritt
• Zuordnung von Inhalten zu Nutzern und Unternehmen

Zweck: Bereitstellung von Lerninhalten, Kursverwaltung, Fortschrittsverfolgung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchfuehrung).

H5P-Inhalte werden lokal auf dem Server gespeichert.

Terminverwaltung

Fuer die Terminbuchung und -verwaltung werden verarbeitet:

• Name, E-Mail, Telefonnummer des Buchenden
• Termin-Zeitraum (Start/Ende), Termintyp
• Gastgeber und Buchender (Nutzerzuordnung)
• Nachricht des Buchenden
• Ort und ggf. Zoom-Meeting-Daten (Meeting-ID, Beitritts-URL)
• Stornierungsdaten (Zeitpunkt, Stornierungsgrund)
• Erinnerungsstatus

Zweck: Terminkoordination, Erinnerungen, Stornierungsverwaltung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Termine koennen als ICS-Datei exportiert und in Kalenderanwendungen (z. B. Google Calendar) importiert werden.

Aktivitaetsverfolgung (Time-Tracking)

Sofern aktiviert, werden im Rahmen der Aktivitaetsverfolgung folgende Daten erfasst:

• Anwendungsname und Fenstertitel der genutzten Applikation
• Aufgerufene URL
• Aktiv-/Inaktiv-Status
• Zeitstempel der Erfassung (Heartbeat)

Die Erfassung erfolgt ueber eine API-Schnittstelle und ist regelbasiert konfigurierbar (z. B. getrennte Regeln fuer berufliche und private Nutzung). Taeglich werden aggregierte Zusammenfassungen erstellt.

Zweck: Zeiterfassung, Produktivitaetsanalyse, Arbeitszeitdokumentation. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchfuehrung im Rahmen eines Beschaeftigungsverhaeltnisses), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Arbeitgebers).

KI-Chat

Die Plattform bietet eine KI-Chat-Funktion, bei der folgende Daten verarbeitet werden:

• Chat-Sitzungen (Titel, zugeordneter Nutzer und Unternehmen)
• Chat-Nachrichten innerhalb der Sitzungen
• Verwendetes KI-Modell

Zweck: Unterstuetzung bei Aufgaben durch KI-basierte Textverarbeitung. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktive Nutzung), Art. 6 Abs. 1 lit. f DSGVO.

Externe Dienste und Datenweitergabe

Lexware Office (Buchhaltung)

Bei aktivierter Integration werden Kontakt- und Rechnungsdaten mit Lexware Office synchronisiert.

Uebermittelte Daten: Kundendaten, Rechnungsinformationen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. c DSGVO. Anbieter: Haufe-Lexware GmbH & Co. KG, Deutschland.

Odoo (ERP-System)

Bei aktivierter Odoo-Integration werden folgende Daten synchronisiert:

• Produktdaten (Preise, Steuerklassen)
• Kundenstammdaten (Name, Adresse, Kontaktdaten)
• Bestellungen und Rechnungen
• Nutzerdaten (E-Mail, Name)

Die Odoo-Instanz wird selbst gehostet. Die Kommunikation erfolgt ueber eine verschluesselte Verbindung. Zugangsdaten werden verschluesselt gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. c DSGVO.

Nextcloud

Bei aktivierter Nextcloud-Integration wird der Nextcloud-Benutzername in den Kontaktdaten gespeichert, um die Verknuepfung mit dem Dateisystem zu ermoeglichen.

Uebermittelte Daten: Benutzername. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Telegram

KiEPhub bietet eine Telegram-Bot-Integration:

• Speicherung des Telegram-Benutzernamens und der Chat-ID in den Kontaktdaten
• Empfang von Nachrichten ueber einen Webhook

Uebermittelte Daten: Telegram-Benutzername, Chat-ID. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Verknuepfung). Anbieter: Telegram FZ-LLC, Dubai, VAE. Es gelten die Datenschutzbestimmungen von Telegram.

Zoom (Videokonferenzen)

Fuer bestimmte Termine kann eine Zoom-Integration genutzt werden:

• Meeting-ID, Beitritts-URL und Start-URL werden gespeichert
• Die Videokonferenz selbst wird ueber Zoom-Server abgewickelt

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Anbieter: Zoom Video Communications, Inc., USA. Es gelten die Datenschutzbestimmungen von Zoom. Die Datenuebermittlung in die USA erfolgt auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Aufbewahrungsfristen

Ergänzung für Textono

Datenschutzerklärung für Textono

Stand: September 2026

Diese Datenschutzerklärung gilt für die Website textono.de, für den Kauf von Textono im Online-Shop der KiEP Akademie und für die Nutzung des Programms Textono samt Diktatdienst. Für Ihr Benutzerkonto auf der Plattform KiEPhub (kiepakademie.kiephub.de) gilt ergänzend die dort einsehbare Datenschutzerklärung der Plattform.

1. Verantwortlicher

KiEP Akademie UG (haftungsbeschränkt) & Co. KG Gartenstraße 7 68789 St. Leon-Rot Deutschland E-Mail: info@kiepakademie.de Telefon: 06227 4819202

Vertreten durch die KiEP Verwaltungs UG (haftungsbeschränkt), diese vertreten durch die Geschäftsführer Richard Kandlin und Ludger Feuerstein.

Einen Datenschutzbeauftragten haben wir nicht benannt; in Datenschutzfragen erreichen Sie uns unter den oben genannten Kontaktdaten.

2. Das Wichtigste vorab

• Diktate werden nicht gespeichert. Ihre Aufnahme wird in Text umgewandelt und danach verworfen — weder der Ton noch der erkannte Text werden auf unseren Servern gespeichert oder protokolliert, und nichts davon wird zum Training von KI-Modellen verwendet.
• Alle Server stehen in Deutschland. Website, Konto, Kasse und Spracherkennung laufen auf Servern in deutschen Rechenzentren.
• Kein Tracking. Die Website textono.de nutzt keine Analyse- oder Werbedienste, keine Cookies, die eine Einwilligung erfordern, und bindet keine Schriften oder Inhalte von fremden Servern ein.
• Nur für die Zahlung per Karte oder Lastschrift arbeiten wir mit einem Zahlungsdienstleister zusammen (Abschnitt 5).

3. Website textono.de

3.1 Hosting und Server-Protokolle

Die Website läuft auf einem von uns betriebenen Server im Rechenzentrum der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland (Auftragsverarbeitung nach Art. 28 DSGVO). Bei jedem Aufruf speichert der Webserver in einem Protokoll: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, übertragene Datenmenge, Browser und Betriebssystem (User-Agent) sowie die zuvor besuchte Seite (Referrer), soweit Ihr Browser sie übermittelt.

Zweck: sicherer und stabiler Betrieb, Abwehr von Angriffen, Fehlersuche. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb). Speicherdauer: Die Protokolle werden täglich gewechselt und nach 14 Tagen gelöscht.

3.2 Cookies

Die Website setzt ausschließlich zwei technisch notwendige Cookies:

Beide sind für die Bereitstellung der Website erforderlich; eine Einwilligung ist dafür nicht nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Es werden keine Analyse-, Werbe- oder Drittanbieter-Cookies gesetzt.

3.3 Keine Inhalte von Drittservern

Schriften, Bilder und die Vorführung auf der Startseite liegen auf unserem eigenen Server. Beim Besuch der Website wird keine Verbindung zu Google, sozialen Netzwerken oder anderen fremden Servern aufgebaut. Die Website enthält Verweise (Links) auf den Online-Shop und die Registrierung der KiEP Akademie; erst wenn Sie einem solchen Verweis folgen, verlassen Sie textono.de.

4. Benutzerkonto und kostenlose Nutzung

4.1 Für Textono brauchen Sie ein Benutzerkonto bei der KiEP Akademie auf der Plattform KiEPhub. Bei der Registrierung verarbeiten wir Vor- und Nachname, E-Mail-Adresse und Passwort (nur als Einweg-Hash). Die E-Mail-Adresse bestätigen Sie über einen Link. Alles Weitere zum Konto steht in der Datenschutzerklärung der Plattform KiEPhub.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag beziehungsweise Nutzungsverhältnis).

4.2 Für das kostenlose Freikontingent (2000 Wörter je Woche) zählen wir je Konto und Kalenderwoche die Zahl der Wörter, die Sie diktieren oder vorlesen, umformulieren, übersetzen oder prüfen lassen. Gespeichert wird nur diese Zahl, nie der Text. Der Zähler dient allein der Wortgrenze.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis zur Löschung Ihres Kontos.

5. Kauf und Zahlung

5.1 Bestellung

Beim Kauf eines Abos im Online-Shop der KiEP Akademie verarbeiten wir: Rechnungsadresse, bestelltes Produkt, Preis, Umsatzsteuer, Bestellnummer und -datum, Zahlungsart und Zahlungsstatus, eingelöste Gutscheincodes sowie — falls Sie dem sofortigen Beginn zugestimmt haben — den Zeitpunkt dieser Zustimmung (Nachweis nach § 312f BGB).

Zweck: Vertragserfüllung, Rechnungsstellung, Nachweis, Buchhaltung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Aufbewahrungspflichten). Speicherdauer: zehn Jahre nach Ablauf des Geschäftsjahres (§ 147 AO, § 257 HGB).

5.2 Zahlungsdienstleister Stripe

Zahlungen per Kreditkarte und SEPA-Lastschrift wickelt die Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland, ab. Ihre Karten- oder Kontodaten geben Sie in einem von Stripe bereitgestellten Formular ein; sie werden direkt an Stripe übermittelt und erreichen unsere Server nicht. Wir erhalten von Stripe nur die für die Zuordnung nötigen Angaben (zum Beispiel die letzten vier Ziffern der Karte, den Zahlungsstatus und eine Vorgangsnummer). Stripe verarbeitet Daten teilweise auch bei der Stripe, Inc. in den USA; die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, dem Stripe angeschlossen ist, sowie auf Standardvertragsklauseln. Näheres: https://stripe.com/de/privacy

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5.3 Banküberweisung

Zahlen Sie per Überweisung, verarbeiten wir die Umsatzdaten unseres Bankkontos (Datum, Betrag, Verwendungszweck, Name und IBAN des Auftraggebers), um die Zahlung Ihrer Bestellung zuzuordnen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO.

5.4 Rechnung, Buchhaltung, Steuerberatung

Rechnungen erstellen wir mit Lexware Office (Haufe-Lexware GmbH & Co. KG, Munzinger Straße 9, 79111 Freiburg, Deutschland; Auftragsverarbeitung nach Art. 28 DSGVO). Die Buchhaltung führen wir in einer selbst betriebenen Odoo-Installation auf unserem Server in Deutschland. Buchungsdaten übermitteln wir an unsere Steuerberatung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO, Art. 6 Abs. 1 lit. b DSGVO.

5.5 E-Mails

Bestell- und Zahlungsbestätigungen, Rechnungen und Hinweise zum Abo senden wir an die E-Mail-Adresse Ihres Kontos. Der Versand läuft über den Mailserver unseres Hosting-Anbieters mit Rechenzentrum in Deutschland (Auftragsverarbeitung nach Art. 28 DSGVO). Werbe-E-Mails senden wir nur mit Ihrer Einwilligung.

6. Nutzung des Programms Textono

6.1 Geräteschlüssel

Jedes Gerät erhält einen Geräteschlüssel, den Sie in Ihrem Konto erzeugen. Dazu speichern wir: eine von Ihnen oder vom Programm vergebene Bezeichnung des Geräts, eine Prüfsumme des Schlüssels (nicht den Schlüssel selbst), das Ablaufdatum (180 Tage) und den Zeitpunkt der letzten Nutzung. Sie können jeden Schlüssel im Konto jederzeit löschen.

Zweck: Zugangsschutz, Zuordnung von Diktaten zu Ihrem Konto für die Wortgrenze und das Abo, Erkennen verlorener oder nicht mehr genutzter Geräte. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. f DSGVO (Sicherheit). Speicherdauer: bis zur Löschung durch Sie oder bis zur Löschung des Kontos.

6.2 Diktieren

Wenn Sie die Sprechtaste drücken, nimmt Textono Ton auf und hält ihn nur im Arbeitsspeicher Ihres Rechners. Beim Loslassen wird die Aufnahme über eine verschlüsselte Verbindung (TLS) an unseren Server übertragen und von dort an den Spracherkennungs-Server weitergereicht, den unser IT-Dienstleister ausschließlich in unserem Auftrag im Rechenzentrum der Hetzner Online GmbH in Falkenstein, Deutschland, betreibt (Auftragsverarbeitung nach Art. 28 DSGVO). Dort wird der Ton in Text umgewandelt; der Text geht denselben Weg zurück und wird in das Programm eingefügt, in dem Sie schreiben.

Weder der Ton noch der erkannte Text werden gespeichert oder protokolliert — nicht auf unserem Server, nicht auf dem Erkennungs-Server. Es findet kein Training von Erkennungs- oder Sprachmodellen mit Ihren Daten statt. Gespeichert wird allein die Anzahl der erkannten Wörter (Abschnitt 4.2). Mit jedem Diktat sendet das Programm Ihr persönliches Wörterbuch als Hinweis für die Erkennung mit; es bleibt auf Ihrem Rechner und wird auf dem Server nicht gespeichert.

Tritt ein technischer Fehler auf, protokollieren wir ihn ohne Inhalt: Art des Fehlers, Zeitpunkt, Länge der Aufnahme — nie den Ton, nie den Text.

Zweck: Erbringung des Diktatdienstes. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Soweit Sie Personen nahestehende Dinge diktieren, liegt die Verantwortung für den Inhalt bei Ihnen (Abschnitt 10.2 der AGB).

6.3 Vorlesen, Umformulieren, Übersetzen, Übungen

Bei diesen Funktionen sendet das Programm den markierten oder gesprochenen Text (bei den Übungen auch kurze Aufnahmen) auf demselben Weg an unsere KI-Server beim genannten IT-Dienstleister in Deutschland. Dort wird die Antwort — Ton, übersetzter Text, Umformulierung oder eine Rückmeldung zur Aussprache — erzeugt und zurückgeschickt. Die Inhalte werden nur für die Erzeugung der Antwort verarbeitet und nicht dauerhaft gespeichert; Fehlerprotokolle enthalten nur Textlängen und Fehlerart. Es werden ausschließlich selbst betriebene KI-Modelle eingesetzt; eine Übermittlung an KI-Anbieter wie OpenAI, Google oder Anthropic findet nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

6.4 Aktualisierungen

Das Programm fragt bei unserem Server ab, ob eine neue Fassung vorliegt. Dabei werden Programmversion und Betriebssystem übermittelt; der Aufruf erscheint mit IP-Adresse und Zeitpunkt im Server-Protokoll (Abschnitt 3.1, 14 Tage). Aktualisierungen sind signiert; das Programm prüft die Signatur vor der Installation.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Aktualisierungspflicht nach § 327f BGB), Art. 6 Abs. 1 lit. f DSGVO (Sicherheit).

6.5 Was auf Ihrem Rechner bleibt

Einstellungen, Wörterbuch, Übungsstände und der Geräteschlüssel werden auf Ihrem Rechner gespeichert. Sie unterliegen Ihrer Kontrolle und werden beim Deinstallieren des Programms mit entfernt beziehungsweise können von Ihnen gelöscht werden.

Zur Übung „Morsen lesen lernen“ führt das Programm außerdem ein Übungsbuch: je Kalendertag die geübte Zeit, die geübten Zeichen und die Zahl richtiger und nicht gewusster Antworten — keine Uhrzeiten, keine gesprochenen Inhalte. Das Übungsbuch wird ausschließlich auf Ihrem Rechner gespeichert und nie an uns oder Dritte übertragen. Sie können es in der Übung jederzeit abschalten und löschen.

7. Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur weiter, soweit es in dieser Erklärung beschrieben ist:

• Hetzner Online GmbH, Gunzenhausen — Rechenzentrum für unsere Server (Auftragsverarbeitung)
• unser IT-Dienstleister mit Sitz in Deutschland — Betrieb der Spracherkennungs- und KI-Server in unserem Auftrag (Auftragsverarbeitung)
• Stripe Payments Europe, Ltd., Dublin — Zahlungsabwicklung (eigenverantwortlich als Zahlungsdienstleister)
• Haufe-Lexware GmbH & Co. KG, Freiburg — Rechnungsstellung (Auftragsverarbeitung)
• unser Hosting- und E-Mail-Anbieter mit Rechenzentrum in Deutschland — E-Mail-Versand (Auftragsverarbeitung)
• unsere Steuerberatung — Buchhaltungsdaten (gesetzliche Verpflichtung)

Eine Übermittlung in Länder außerhalb der EU findet nur im Rahmen der Zahlungsabwicklung durch Stripe statt (Abschnitt 5.2).

8. Speicherdauer im Überblick

9. Ihre Rechte

Sie haben gegenüber uns das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Wenden Sie sich dazu an info@kiepakademie.de oder an die oben genannte Anschrift.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart, https://www.baden-wuerttemberg.datenschutz.de

10. Keine automatisierten Entscheidungen

Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten (Art. 22 DSGVO). Die Wortgrenze des Freikontingents ist eine reine Zählung ohne Bewertung Ihrer Person.

11. Pflicht zur Bereitstellung

Für den Kauf eines Abos brauchen wir die in Abschnitt 5 genannten Daten; ohne sie können wir den Vertrag nicht erfüllen. Für die kostenlose Nutzung brauchen wir ein Konto mit bestätigter E-Mail-Adresse. Alle anderen Angaben sind freiwillig.

12. Änderungen

Wir passen diese Erklärung an, wenn sich Textono, unsere Dienstleister oder die Rechtslage ändern. Die jeweils aktuelle Fassung finden Sie unter textono.de/datenschutz. Bei wesentlichen Änderungen informieren wir Kundinnen und Kunden mit laufendem Abo per E-Mail.

Verarbeitung in Odoo (Buchhaltung)

Dieses Unternehmen nutzt Odoo als selbst betriebene Buchhaltungs-Software auf einem eigenen Server in Deutschland. Bei aktivierter Odoo-Anbindung werden buchhaltungsrelevante Daten aus KiEPhub und gegebenenfalls aus der eingesetzten Mitgliederverwaltungs-Software (z. B. EasyVerein) automatisiert in Odoo gespiegelt, um die gesetzlichen Anforderungen an die doppelte Buchfuehrung zu erfuellen und einen revisionssicheren Datenaustausch mit der Steuerberatung zu ermoeglichen.

Uebermittelte Daten: Anrede, Vor- und Nachname, Postanschrift, Belegnummern, Belegdaten (Datum, Betrag, Steuersatz, Verwendungszweck), Bankverbindung (sofern in der Buchung enthalten), zugeordnetes Sachkonto, Zahlungsstatus.

Zweck: Doppelte Buchfuehrung, Erstellung des Jahresabschlusses, Bereitstellung von Buchungsdaten an die Steuerberatung im DATEV-Format, Erfuellung gesetzlicher Aufbewahrungspflichten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Aufzeichnungs- und Aufbewahrungspflichten gemaess § 257 HGB, §§ 140, 147 AO), Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchfuehrung im Rahmen der Mitgliedschaft bzw. Geschaeftsbeziehung), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer ordnungsgemaessen Buchfuehrung und an der Vermeidung von Medienbruechen bei der Steuerberatung).

Speicherort und Verantwortlicher: Die Daten werden auf einem eigenen, durch das Unternehmen betriebenen Server in Deutschland verarbeitet. Eine Auftragsverarbeitung an einen externen Cloud-Anbieter findet nicht statt. Verantwortlicher fuer die Verarbeitung ist das oben genannte Unternehmen.

Empfaenger: Die im Rahmen der Buchhaltung in Odoo gespeicherten Daten werden im Zuge der Steuerberatung an die mandatierte Steuerberatungs-Kanzlei uebermittelt (Empfaengerin ist die zur jeweiligen Geschaeftsbeziehung mandatierte Kanzlei; ein Auftragsverarbeitungsvertrag gemaess Art. 28 DSGVO besteht). Die Uebermittlung erfolgt im DATEV-Standardformat. Eine Rueckspielung der von der Kanzlei verbuchten Daten in Odoo erfolgt zur Aktualisierung des Buchungsbestandes.

Speicherdauer: Buchhaltungsrelevante Daten werden gemaess §§ 147 AO, 257 HGB fuer mindestens zehn Jahre nach Ablauf des Geschaeftsjahres aufbewahrt, in dem der zugehoerige Beleg entstanden ist.

Software: Odoo Community Edition (Open Source, OEE License Agreement v1.1), bereitgestellt durch die Odoo S.A., Chaussee de Namur 40, 1367 Ramillies, Belgien. Die Bereitstellung beschraenkt sich auf die Software selbst; eine Datenuebermittlung an die Odoo S.A. findet im Rahmen der Buchhaltungsanbindung nicht statt.

Chat (Matrix)

Dieses Unternehmen nutzt einen unternehmensinternen Chat auf Basis der Open-Source-Software Matrix (Chat-Server: https://matrix.kiepcloud.de). Der Chat ist Bestandteil von KiEPhub selbst und wird unmittelbar im Browser bedient; eine zusaetzliche Anwendung ist dafuer nicht erforderlich. Er dient der verschluesselten Kommunikation zwischen Mitgliedern, Mitarbeitenden und gegebenenfalls zugeordneten Kontakten innerhalb der Plattform.

Verarbeitete Daten: Vor- und Nachname, Anzeigename (Display Name), interne Matrix-Benutzer-ID, Geraete-Identifikatoren (Device IDs) zum Zweck der Ende-zu-Ende-Verschluesselung, Profil-Bild (sofern hinterlegt), Sitzungs-Tokens, Inhalte gesendeter Nachrichten und versandter Dateien sowie Zeitstempel und Lese-Status. Mitgliedschaften in Raeumen, gesendete Reaktionen und Anwesenheits-Status.

Ende-zu-Ende-Verschluesselung: Nachrichten in Raeumen werden standardmaessig Ende-zu-Ende-verschluesselt (Megolm/Olm). Der Server-Betreiber kann Nachrichteninhalte technisch nicht mitlesen. Zur Wiederherstellung des Nachrichtenverlaufs auf neuen Geraeten wird ein Wiederherstellungsschluessel (Recovery Key) je Benutzer erzeugt.

Speicherung des Wiederherstellungsschluessels: Damit Sie bei Geraetewechsel oder Geraeteverlust nicht den gesamten Chatverlauf verlieren, wird Ihr Wiederherstellungsschluessel verschluesselt in der KiEPhub-Datenbank abgelegt. Die Verschluesselung erfolgt symmetrisch mit dem anwendungsweiten Verschluesselungsschluessel (Laravel APP_KEY); im Klartext wird der Schluessel nicht gespeichert. Der Schluessel kann von Ihnen jederzeit ueber die Funktion „Schluessel anzeigen“ im Chat-Bereich von KiEPhub abgerufen werden. Jeder Selbst-Abruf wird intern protokolliert (Zeitstempel, Benutzer-ID, IP-Adresse). Wenn Sie den Schluessel ausschliesslich selbst aufbewahren moechten, koennen Sie ihn nach dem Anlegen aus der KiEPhub-Datenbank loeschen lassen (Anfrage an den Plattformbetreiber).

Hosting: Die genutzte Matrix-Server-Instanz (Synapse) sowie die Chat-Oberflaeche in KiEPhub werden auf von uns bzw. dem Plattformbetreiber kontrollierten Servern innerhalb der Europaeischen Union betrieben. Es findet keine Uebermittlung an externe Cloud-Dienste oder Drittlaender statt. Wir bzw. der Plattformbetreiber sind als Betreiber der Matrix-Instanz selbst Verantwortlicher im Sinne der DSGVO; eine separate Auftragsverarbeitung durch Dritte erfolgt nicht.

Software-Hersteller: Als Server-Software kommt Matrix Synapse zum Einsatz, eine Open-Source-Software aus dem Matrix-Projekt (Matrix.org Foundation). Die Bedienoberflaeche des Chats ist Bestandteil von KiEPhub und wurde vom Plattformbetreiber selbst entwickelt; eine Chat-Oberflaeche eines Drittanbieters wird nicht eingesetzt. Da die Server-Software auf unserem eigenen Server laeuft, findet keine Datenuebermittlung an den Hersteller statt.

Cookies: Der Chat wird als Teil von KiEPhub ausgeliefert und nutzt dieselben technisch notwendigen Sitzungs-Cookies wie die uebrige Plattform; zusaetzliche Cookies eines Drittanbieters werden nicht gesetzt. Im Browser-internen Speicher (localStorage, IndexedDB) legt der Chat Ihre Anzeige-Einstellungen sowie die Verschluesselungs-Schluessel, die Sitzungs-Identifikatoren und eine lokale Kopie kuerzlich gelesener Nachrichten ab. Diese Daten verbleiben auf Ihrem Geraet und werden nicht an Dritte uebermittelt.

Zweck: Sichere interne Kommunikation, Austausch von Lern- und Verwaltungsinformationen, optionale Gruppenchats nach Bereichen oder Klassen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchfuehrung — Bereitstellung der Kommunikationsplattform), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer einheitlichen Kommunikationsumgebung).

Aufbewahrung: Nachrichteninhalte verbleiben verschluesselt auf dem Matrix-Server, bis Sie diese im Chat loeschen oder Ihr Konto ausser Betrieb genommen wird. Auf Antrag werden Konto, Inhalte sowie der gespeicherte Wiederherstellungsschluessel vollstaendig geloescht (Art. 17 DSGVO).