Datenschutzerklärung

Wer verantwortlich ist

Verantwortlicher für die hier beschriebene Verarbeitung ist der im Impressum, 14.1 genannte Anbieter — Metropolitan Digital, Potočani 278, Tešanj, Bosna i Hercegovina — erreichbar unter amir@ultimamemoria.ba.

Datenschutzbeauftragter: nicht benannt — keine gesetzliche Pflicht.

Was wir verarbeiten

• A Kontodaten — Anrede und Titel, Vor- und Nachname, Geburtsdatum, E-Mail-Adresse, Telefonnummer, Postanschrift, Land, Benutzername, Registrierungsdatum, letzte Anmeldung.
• B Anmeldedaten — das Passwort, ausschließlich als kryptografischer Hash und niemals in lesbarer Form gespeichert, samt Tokens für E-Mail-Bestätigung und Passwortzurücksetzung.
• C Lerndaten — Antworten und Punktwerte des Einstufungstests, das zugeordnete Programm (S2/200, S3/300, S10/1000), die aktuell fällige Phase und Aufgabe, Fristen, Ergebnisse jedes zeitgemessenen Tests in den vier gemessenen Dimensionen, Fortschritt in den Übungsmodulen sowie die auf einem Zertifikat gedruckten Angaben.
• D Zahlungsdaten — die Tatsache und der Status einer Zahlung, der Betrag und die vom Zahlungsdienstleister zurückgegebene Referenz. Das Kartenformular an der Kasse ist Stripes eigenes, in unsere Seite eingebettet: Kartennummern gelangen unmittelbar zu Stripe und werden von unseren Servern nie empfangen oder gespeichert.
• E Kommunikationsdaten — der Inhalt von Nachrichten, die über das Kontaktformular oder per E-Mail gesendet werden, und der anschließende Schriftwechsel.
• F Technische Daten — Sitzungskennung, IP-Adresse, Datum und Uhrzeit der Anfrage, die aufgerufene Seite, Browser und Betriebssystem nach Angabe des Browsers sowie Fehleraufzeichnungen.

Die Angabe der Daten unter A und B ist zur Anlage eines Kontos erforderlich; ohne sie kann der Dienst nicht erbracht werden. Die Daten unter C entstehen durch die Teilnahme selbst.

Wozu — und auf welcher Rechtsgrundlage

• A Bereitstellung der Plattform, des Kontos, der Tests, der Übungsmodule und des Zertifikats — Erfüllung des Vertrags mit der lernenden Person GDPR Art. 6(1)(b).
• B Zahlungsabwicklung, Rechnungsstellung und Buchführung — Vertragserfüllung und rechtliche Verpflichtung Art. 6(1)(b), (c).
• C E-Mail-Bestätigung, Passwortzurücksetzung, Servicenachrichten zu einem laufenden Kurs — Vertragserfüllung Art. 6(1)(b).
• D Beantwortung von Anfragen — Vertragserfüllung oder berechtigtes Interesse an einer Antwort Art. 6(1)(b), (f).
• E Sicherheit, Missbrauchsverhinderung, Fehleranalyse, Stabilhaltung des Dienstes — berechtigtes Interesse Art. 6(1)(f).
• F Newsletter oder andere freiwillige Nachrichten, sofern angeboten — Einwilligung, jederzeit widerruflich Art. 6(1)(a).
• G Werden Ergebnisse für die Weiterentwicklung der Methode genutzt, so geschieht dies ausschließlich in anonymisierter, zusammengefasster Form, ohne Namen und ohne Rückführbarkeit auf eine Person — Art. 6(1)(f).

Lernergebnisse werden nicht für automatisierte Entscheidungen mit rechtlicher Wirkung verwendet. Die Zuordnung eines Programms nach dem Einstufungstest ist eine regelbasierte Empfehlung und kann jederzeit mit uns besprochen werden.

Cookies und Serverprotokolle

Die Plattform setzt ein einziges, unbedingt erforderliches Cookie, das eine Sitzungskennung enthält, damit eine angemeldete lernende Person von Seite zu Seite wiedererkannt wird. Es ist als httpOnly gekennzeichnet, wird im Livebetrieb über eine verschlüsselte Verbindung übertragen und läuft automatisch ab. Der Sitzungsdatensatz selbst liegt auf unserem eigenen Datenbankserver, nicht im Browser. Für ein Cookie dieser Art ist kein Einwilligungsbanner erforderlich; ohne es kann der Dienst nicht erbracht werden.

Die Hosting-Infrastruktur führt Zugriffsprotokolle mit den unter 15.2 F beschriebenen Daten. Sie dienen der Sicherheit und Stabilität des Dienstes und werden gelöscht oder anonymisiert nach 30 Tagen.

Es sind keine Tracking- oder Werbeinhalte eingebunden. Gleichwohl werden beim Anzeigen einer Seite drei fremde Quellen vom Browser kontaktiert, die dadurch jeweils die IP-Adresse der Besucherin oder des Besuchers erhalten: Google Fonts (fonts.googleapis.com, fonts.gstatic.com) für die Schriften und das Auslieferungsnetz jsDelivr (cdn.jsdelivr.net) für den Symbolsatz. An der Kasse wird auf dieselbe Weise Stripe kontaktiert. Alles Übrige — Stilvorlagen, Skripte, Bilder, Audio und Video — wird von unserer eigenen Domain ausgeliefert, und die Sicherheitsrichtlinie der Website blockiert jedes Skript außerhalb der hier genannten Quellen.

Wer die Daten sonst noch sieht

• A Hosting und Datenbank — Cloudflare, Inc., USA, betreibt die Server, auf denen die Plattform und ihre Datenbank laufen.
• B Zahlungsdienstleister — Stripe, der Kartenzahlungen, Erstattungen und Zahlungsmitteilungen verarbeitet. Kartendaten werden unmittelbar bei Stripe eingegeben und sind für uns nicht sichtbar. Stripes eigene Datenschutzhinweise: stripe.com/privacy.
• C E-Mail-Versand — Cloudflare, Inc., USA, genutzt für Bestätigung, Passwortzurücksetzung, Zahlungsbestätigung und Servicenachrichten.
• D Schriften und Symbole — Google (Google Fonts) und jsDelivr, die die IP-Adresse des eine Seite anfordernden Browsers erhalten, wie in 15.4 beschrieben. Konto- oder Lerndaten erhalten sie nicht.
• E Berufliche Berater und Behörden — Steuerberater, Prüfer oder öffentliche Stellen, soweit eine rechtliche Verpflichtung besteht.

Personenbezogene Daten werden nicht verkauft und nicht zu Werbezwecken an Dritte weitergegeben. Verarbeitet ein Dienstleister Daten außerhalb des Europäischen Wirtschaftsraums, so wird die Übermittlung abgesichert durch Standardvertragsklauseln.

Wie lange Daten gespeichert bleiben

• A Konto- und Lerndaten — für die Dauer des Kontos und für 12 Monate danach, damit ein Zertifikat neu ausgestellt und ein abgeschlossenes Programm nachgewiesen werden kann.
• B Rechnungen und Zahlungsbelege — 10 Jahre.
• C Schriftwechsel — 3 Jahre.
• D Serverprotokolle — 30 Tage, siehe 15.4.

Wird ein Konto gelöscht, so werden die unter A genannten Daten gelöscht oder anonymisiert, es sei denn, es besteht eine Aufbewahrungspflicht nach B; solche Unterlagen werden dann für die weitere Nutzung gesperrt.

Ihre Rechte

• A Auskunft — Bestätigung, ob Daten verarbeitet werden, und eine Kopie davon.
• B Berichtigung — Korrektur unrichtiger und Vervollständigung unvollständiger Daten.
• C Löschung — Löschung, wenn die Daten nicht mehr benötigt werden und keine Aufbewahrungspflicht besteht.
• D Einschränkung — begrenzte Verarbeitung, solange ein Streit über Richtigkeit oder Rechtmäßigkeit geklärt wird.
• E Übertragbarkeit — die von Ihnen bereitgestellten Daten in einem strukturierten, maschinenlesbaren Format.
• F Widerspruch — gegen eine auf berechtigtem Interesse beruhende Verarbeitung, aus Gründen Ihrer besonderen Lage.
• G Widerruf der Einwilligung — jederzeit, mit Wirkung für die Zukunft.
• H Beschwerde — bei einer Aufsichtsbehörde, insbesondere der an Ihrem Wohnort: Agencija za zaštitu ličnih/osobnih podataka u Bosni i Hercegovini, Sarajevo.

Ersuchen richten Sie an die Kontaktadresse in 15.1 oder über das Kontaktformular. Betrifft ein Ersuchen ein Konto, können wir eine Bestätigung der Identität verlangen.

Sicherheit und Änderungen dieser Erklärung

Der Verkehr zwischen Browser und Server ist im Livebetrieb verschlüsselt. Passwörter werden ausschließlich als Hashes gespeichert. Der Zugriff auf Lernendendaten ist auf die Konten beschränkt, die ihn zum Betrieb des Dienstes benötigen; Lernmaterialien werden nur an eine angemeldete lernende Person ausgeliefert, deren Zugang bezahlt ist. Die Website erzwingt eine Inhaltssicherheitsrichtlinie, die externe Skripte blockiert, und Verwaltungsfunktionen sind von den Funktionen der Lernenden getrennt.

Keine Übertragung über das Internet kann als absolut sicher gewährleistet werden. Kommt es zu einer Datenschutzverletzung, die voraussichtlich ein hohes Risiko für die betroffenen Personen zur Folge hat, werden diese unverzüglich benachrichtigt und die zuständige Aufsichtsbehörde wie vorgeschrieben unterrichtet.

Diese Erklärung kann geändert werden, wenn sich der Dienst oder die Rechtslage ändert. Maßgeblich ist die hier veröffentlichte Fassung mit dem im Kopf angegebenen Datum; wesentliche Änderungen, die registrierte Lernende betreffen, werden per E-Mail angekündigt.