Datenschutzerklärung

1. Verantwortlicher und Kontakt

Verantwortlich ist:

Für Datenschutzanliegen nutzen Sie diese E-Mail- oder Postadresse. Nennen Sie die betroffene Funktion und, wenn vorhanden, Ihre Konto-E-Mail-Adresse. Zusätzliche Identitätsnachweise verlangen wir nur, soweit erforderlich.

2. Website, Hosting und Sicherheit

Beim Abruf verarbeiten beteiligte Server IP-Adresse, Zeitpunkt, angeforderte Adresse, HTTP-Status, Browser- und Betriebssystemangaben. Eine übermittelte Herkunftsadresse kann in technischen Protokollen enthalten sein. Dies dient Auslieferung, Fehlerbehebung, Sicherheit und Missbrauchsabwehr.

Empfänger sind Vercel und bei Aufrufen von Kontofunktionen, Daten oder Dateien Supabase. Grundlage ist Art. 6 Abs. 1 lit. f DSGVO: unser Interesse an einem sicheren, funktionsfähigen Angebot; für angeforderte vertragliche Funktionen zusätzlich Art. 6 Abs. 1 lit. b DSGVO.

Erkannte Suchmaschinen- und KI-Crawler werden auf öffentlichen Seiten serverseitig beobachtet. An TractionScout können normalisierte Crawler-Kategorie, Zeitpunkt, Methode, Host, Status, öffentliche Routenklasse und eine gehashte Anfragenkennung übertragen werden. Rohe IP-Adresse, vollständiger User-Agent, Referrer, Cookies und Suchparameter werden dabei nicht weitergegeben. Browser-Speicher werden dafür nicht ausgelesen. Zweck ist die Beobachtung der technischen Auffindbarkeit (Art. 6 Abs. 1 lit. f DSGVO).

Schriftdateien werden von unserer eigenen Website ausgeliefert. Dafür wird keine Verbindung zu Google Fonts aufgebaut.

3. Konto, Anmeldung und Konto-E-Mails

Bei Registrierung und Anmeldung verarbeiten wir E-Mail-Adresse, gegebenenfalls Benutzername, Kontokennung, Authentifizierungsdaten, Bestätigungsstatus, Zeitstempel und Sitzungstoken. Supabase Auth verarbeitet Passwörter; sie liegen nicht als Klartext im Nutzerprofil.

Einrichtung, Verwaltung und Sicherung Ihres Kontos dienen der Bereitstellung angeforderter Funktionen (Art. 6 Abs. 1 lit. b DSGVO). Erforderliche Missbrauchsprüfungen beruhen auf Art. 6 Abs. 1 lit. f DSGVO und unserem Interesse, missbräuchliche Registrierungen zu verhindern.

Die Hauptregion unseres direkt verwendeten Supabase-Projekts ist Schweden (Stockholm, eu-north-1). Bestätigung und Passwortzurücksetzung sind über Supabase Auth vorgesehen. Verfügbarkeit und E-Mail-Versand hängen von der tatsächlichen Auth-Konfiguration ab. Ein zusätzlicher SMTP-Dienst ist noch nicht bestätigt; vor Aktivierung sind Dienst und Verarbeitung zu ergänzen.

4. Lernfortschritt und Einstellungen

Beim Lernen verarbeiten wir ausgewählte Antworten, Richtig-/Falsch-Ergebnisse, Versuche, Zeitpunkte, Fragemarkierungen, Trainingssitzungen, Lernpläne, Fehlercluster, persönliche Notizen und Einstellungen. Bestätigte Antwortvorgänge und technische Empfangsbelege ermöglichen verlässliche Fortschrittszählung, ohne wiederholte Speicherversuche doppelt zu zählen.

Dies ermöglicht Training, Wiederholung, Fortschrittsanzeige und Synchronisierung zwischen Geräten (Art. 6 Abs. 1 lit. b DSGVO). Kontobezogene Daten liegen in Supabase; Gaststände und lokale Sitzungsdaten im Browser. Eine Übernahme von Gastdaten in ein Konto kann angeboten werden.

Lernempfehlungen bewerten Übungsantworten. Sie sind keine medizinische Diagnose und entscheiden nicht über Zulassung oder Ergebnis einer behördlichen Überprüfung.

5. Medizinischer Lernzweck und sensible Angaben

Die Plattform ist ein Lernangebot zur Heilpraktikerüberprüfung und zur auf Psychotherapie beschränkten Überprüfung. Für das Training fordern wir keine Patientenakten, Diagnosen, Krankengeschichte oder persönlichen Gesundheitsangaben an. Antworten auf Übungsfragen sind keine Angaben über Ihre eigene Gesundheit.

Geben Sie in Notizen, Community, Kontaktanfragen und andere Freitextfelder keine identifizierbaren Patientenfälle oder Gesundheitsdaten anderer Personen ein. Verwenden Sie anonymisierte Übungsfälle. Diese Funktionen sind keine Patientenakte.

Unaufgefordert übermittelte sensible Angaben prüfen wir gesondert; Zugriff und Speicherung sind auf das erforderliche Maß zu begrenzen. Die allgemeinen Rechtsgrundlagen dieser Erklärung ersetzen keine zusätzlich erforderliche Voraussetzung nach Art. 9 DSGVO.

6. Cookies und Browser-Speicher

Local Storage, Session Storage, Sitzungstoken und der Cache der installierbaren Webanwendung dienen etwa Anmeldung, Gasttraining, lokalen Lernständen, aktiven Sitzungen, Offline-Bereitstellung und Datenschutzentscheidung. Unbedingt erforderliche Zugriffe beruhen auf § 25 Abs. 2 Nr. 2 TDDDG; für anschließende personenbezogene Verarbeitung gelten die jeweils genannten Grundlagen nach Art. 6 DSGVO.

Optionale Komfortspeicherung, etwa für Theme, ausgeblendete Hinweise und eingeklappte Ansichten, wird über „Präferenzen“ gesteuert. Grundlage ist Ihre Einwilligung nach § 25 Abs. 1 TDDDG und, soweit personenbezogene Daten betroffen sind, Art. 6 Abs. 1 lit. a DSGVO.

Lokale Gast- und Sitzungsdaten können nach dem Abmelden vorhanden sein. Abmelden und serverseitige Kontolöschung entfernen Browserdaten nicht automatisch. Sie können Website-Daten in den Browsereinstellungen löschen; dabei gehen lokale Lernstände und Entscheidungen verloren. Beachten Sie dies auf gemeinsam verwendeten Geräten.

Datenschutz-Einstellungen können Sie jederzeit öffnen und Ihre Auswahl ändern.

7. Community und öffentliche Inhalte

Community-Funktionen verarbeiten Beiträge, Kommentare, Bewertungen, Benachrichtigungen, Zeitpunkte und deren Kontozuordnung. Öffentliche Beiträge und Anzeigenamen können andere Personen und gegebenenfalls Suchmaschinen lesen. Die Konto-E-Mail-Adresse gehört nicht zum vorgesehenen öffentlichen Profil.

Die Bereitstellung beruht auf Art. 6 Abs. 1 lit. b DSGVO. Meldungen und verhältnismäßige Moderation beruhen zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO und unserem Interesse, Rechtsverletzungen und Missbrauch zu bearbeiten. Bei Löschanfragen prüfen wir auch Beiträge und Kennungen; eine weitere Aufbewahrung benötigt eine gesonderte Rechtsgrundlage.

8. Kontakt und freiwillige E-Mail-Informationen

Bei E-Mail-Kontakt verarbeiten wir Absenderadresse, Inhalt, gegebenenfalls Namen und Anhänge sowie Zustellinformationen. Vertragsbezogene Anfragen beruhen auf Art. 6 Abs. 1 lit. b DSGVO, sonstige Anfragen auf Art. 6 Abs. 1 lit. f DSGVO und unserem Interesse, Ihr Anliegen zu beantworten. GMX stellt das hier angegebene Kontaktpostfach bereit.

Bei Registrierung können Sie gesondert und freiwillig E-Mail-Neuigkeiten und Angeboten zustimmen. Gespeichert werden Ihre Auswahl und, soweit erfasst, der Zeitpunkt. Werbung setzt Ihre Einwilligung voraus (Art. 6 Abs. 1 lit. a DSGVO); sie ist keine Voraussetzung für das Lernen.

Für eine freiwillige Interessen-Vormerkung zum Wiedereinstieg können Sie E-Mail-Adresse und Prüfungsweg hinterlegen. Dazu werden Vormerkungsart, Zeitpunkt, Einstiegs- bzw. Rückkehrseite und zugehörige Kontextangaben in Supabase gespeichert. Dies erfolgt aufgrund Ihrer gesonderten freiwilligen Vormerkung (Art. 6 Abs. 1 lit. a DSGVO), erstellt kein Konto und ist keine Newsletter-Anmeldung. Sie können diese Einwilligung über die Kontaktadresse widerrufen und die Löschung anfordern.

In der geprüften Fassung ist kein aktiver Newsletter-Versanddienst eingebunden. Eine gespeicherte Marketingeinwilligung können Sie trotzdem per E-Mail widerrufen. Vor einem späteren Versand sind Anbieter, Einwilligungsnachweis, einfache Abmeldung und Löschverfahren festzulegen und diese Erklärung anzupassen.

9. Seitenzählung und freiwillige Nutzungsanalyse

Wenn die Analysefunktion aktiviert ist, zählt TractionScout Seitenaufrufe auch vor einer Auswahl und nach Ablehnung optionaler Analyse. Diese Zählung enthält nur die Website, eine festgelegte Seitenkategorie und den Zeitpunkt. Sie verwendet keine Besucher- oder Sitzungskennung, liest oder schreibt keine Analysekennung im Browser und verbindet Aufrufe nicht zu Besucherprofilen. Herkunftsadressen, Suchparameter, Browser- und Geräteangaben sowie Lernereignisse sind davon ausgeschlossen. Beim Verbindungsaufbau empfängt der Server technisch die IP-Adresse; für diese Seitenzählung wird daraus keine Kennung abgeleitet und sie wird nicht in den Analysedatensätzen gespeichert. Do Not Track unterbindet auch diese Zählung.

Nur nach Ihrer gesonderten Zustimmung in den Datenschutz-Einstellungen speichert TractionScout eine zufällige Besucherkennung im Local Storage und eine zeitlich begrenzte Sitzungskennung im Session Storage. Dadurch können Besuche und Wiederkehr in diesem Browser erkannt werden. Bei einer aktiven Anmeldung wird die Besucherkennung mit einer pseudonymen Kontokennung verbunden. Diese wird per SHA-256 aus der zufälligen internen Kontokennung und dem Analyseprojekt abgeleitet; die ursprüngliche Kennung wird nicht an den Analysedienst übermittelt. Mit dieser projektbezogenen Kennung lassen sich einwilligungsbasierte Besuche und Registrierung bzw. Anmeldung verbinden, auch bei späterer Anmeldung mit Zustimmung auf einem anderen Gerät. TractionScout und Vercel Web Analytics verarbeiten zusätzlich ausgewählte Funktionsereignisse und grobe technische Fehlerkategorien. Zweck ist, Nutzung und technische Qualität des Lernangebots auszuwerten.

Nach Einwilligung können öffentliche Seitenpfade bzw. Routenklassen ohne Suchparameter oder Fragmente, Zeitpunkt und technische Browser- und Geräteangaben verarbeitet werden. Als Herkunft erfassen wir nur die Ursprungsdomain einschließlich Protokoll und gegebenenfalls Port sowie die Kategorie „direkt“, „intern“ oder „Verweis“. Pfad, Zugangsdaten, Suchparameter, Fragmente und freie Kampagnenparameter werden verworfen. Dienste empfangen technisch die IP-Adresse beim Verbindungsaufbau. Zufällige Kennungen können Ereignisse einer Sitzung zuordnen. Über diese Einbindung übermitteln wir keine Konto-E-Mail-Adressen, ursprünglichen Kontokennungen, Benutzernamen, Einzelantworten, Freitexte, Gesundheitsangaben, vollständigen Fehlermeldungen oder Zahlungsreferenzen.

Ausgewählte Ereignisse können beispielsweise Prüfungsweg, Trainingsart, Anzahl beantworteter Aufgaben, genutzte Gast-Erklärungen, Limitanzeigen, deren Schaltflächen, Registrierungsbeginn oder den Klick auf eine Premium-Kaufschaltfläche enthalten. Beim Kaufinteresse erfassen wir den Einstiegsbereich, den gewählten Tarif und den Checkout-Modus sowie diesen Kontext bei einer anschließenden Registrierung. Die derzeitige kostenlose Launch-Freischaltung zählt nicht als Zahlung. Im vorbereiteten entgeltlichen Ablauf wird eine bezahlte Freischaltung nur aus dem gespeicherten Stripe-Abonnementstatus abgeleitet; dies ist kein Zahlungsbeleg. Historische Konto- und Lernaktivitäten werden nicht nachträglich übertragen; Sitzungsaufzeichnungen bleiben deaktiviert. Abmelden bzw. ein Kontowechsel setzt die Analysekennung in diesem Browser zurück, damit nachfolgende Besuche nicht dem vorigen Konto zugeordnet werden.

TractionScout ist ein Analysedienst desselben Verantwortlichen, Leander Melms, unter tractionscout.com; zur Infrastruktur gehört UpCloud. Vercel Web Analytics wird über Vercel bereitgestellt und kann technische Verbindungsdaten und zusammengefasste Herkunftsinformationen verarbeiten. Optionale Angaben zur Einstiegsroute und zur Vermeidung doppelter Ereignisse liegen im Session Storage des jeweiligen Tabs und werden bei Ablehnung oder Widerruf entfernt. Ein Betrieb ohne dauerhafte Analyse-Cookies bedeutet nicht, dass sämtliche Verarbeitung anonym oder einwilligungsfrei ist.

Die optionale Analyse beruht auf Art. 6 Abs. 1 lit. a DSGVO und für nicht erforderliche Endgerätezugriffe auf § 25 Abs. 1 TDDDG. Sie können ebenso einfach ablehnen oder widerrufen; dies verhindert die normalen Lernfunktionen nicht. Widerruf stoppt weitere optionale Analyseereignisse, verwirft ausstehende optionale Ereignisse und entfernt die Besucherkennung sowie optionale lokale Analysedaten. Die Seitenzählung ohne Besucherkennung bleibt aktiv. Die Rechtmäßigkeit bis zum Widerruf bleibt unberührt.

Personenbezogene Altereignisse sind nach Widerruf zu löschen, soweit keine andere Rechtsgrundlage oder gesetzliche Ausnahme greift. Tatsächliche serverseitige Fristen und vollständige Löschverfahren sind noch zu bestätigen; eine automatische Löschung nach einer bestimmten Tageszahl wird nicht behauptet.

10. Freischaltungen, Zahlungen und vorbereitete Zusatzdienste

Für Aktionsfreischaltungen verarbeiten wir Kontokennung, Produkt, Zeitraum und Status zur Bereitstellung des Zugangs (Art. 6 Abs. 1 lit. b DSGVO).

Stripe-Checkout, Zahlungsportal und Webhooks sind vorbereitet. Wenn entgeltliche Angebote aktiviert werden und Sie einen Checkout aufrufen, können E-Mail-Adresse, Produkt-, Vertrags- und Zahlungsstatusdaten an Stripe gelangen. Zahlungsdaten geben Sie unmittelbar bei Stripe ein. Stripe verarbeitet Geräte- und Betrugspräventionsdaten teilweise in eigener Verantwortung. Vertragsdaten beruhen auf Art. 6 Abs. 1 lit. b DSGVO; gesetzlich aufzubewahrende Belege auf Art. 6 Abs. 1 lit. c DSGVO. Eine kostenlose Freischaltung erfordert nicht allein deshalb eine Stripe-Zahlung.

Erklärungen werden aus gespeicherten Lerninhalten abgerufen. Das Lesen sendet in der geprüften Fassung weder Ihr Konto noch individuelle Lernantworten an OpenAI. Redaktioneller KI-Code kann Prüfungsfragen, Antwortmöglichkeiten, Lösungen und vorhandene Kommentare an OpenAI bzw. einen konfigurierten Verarbeitungsdienst senden. Ein redaktioneller Ablauf darf keine identifizierbaren Patientenfälle oder sonstigen unzulässigen personenbezogenen Inhalte weitergeben.

Die geprüfte Lernoberfläche bietet keinen allgemeinen PDF-Upload und keinen aktiven Push-Dienst. Vor Aktivierung neuer Zahlungs-, Upload-, KI- oder Push-Verarbeitung sind tatsächliche Anbieter, Daten, Rechtsgrundlagen, Fristen und erforderliche Freigaben zu ergänzen. Vorbereiteter Backend-Code ist kein Nachweis einer aktiven Übermittlung.

11. Dienstleister und Empfänger

Diese Übersicht nennt festgestellte Anbieter und Aufgaben. Ein eingebautes, aber nicht verwendetes Entwicklungspaket macht einen Anbieter allein noch nicht zum Empfänger Ihrer Daten.

• Vercel Inc., USA: Hosting, Auslieferung, Betriebs- und Sicherheitsdaten; optionale Web Analytics. Datenschutz, Auftragsverarbeitung, Unterauftragnehmer.
• Supabase Pte. Ltd., Singapur: Auth, Datenbank, Dateiablage und Backend-Infrastruktur; Hauptregion Schweden (Stockholm, eu-north-1). Datenschutz, Auftragsverarbeitung, Unterauftragnehmer.
• TractionScout / Leander Melms, Deutschland: Seitenzählung ohne Besucherkennung, optionale Analyse und beschriebene Crawler-Beobachtung unter derselben Verantwortlichkeit. Datenschutz. UpCloud Oy, Finnland: zugehörige Serverinfrastruktur. Datenschutz, Vertrag und Auftragsverarbeitung.
• 1&1 Mail & Media GmbH, Deutschland (GMX): das angegebene Kontaktpostfach. Datenschutz.
• Namecheap, Inc., USA: Domain- und DNS-Infrastruktur. DNS-Abfragen können Domain, Zeitpunkt und Angaben des anfragenden Resolvers enthalten; Lernstände werden darüber nicht übertragen. Datenschutz.
• Stripe Payments Europe, Limited und Stripe Technology Europe, Limited, Irland: bei aktivierter Zahlungsnutzung, gegebenenfalls mit verbundenen Unternehmen und Zahlungsstellen je nach Methode. Datenschutz und zuständige Gesellschaft, Datenverarbeitungsvereinbarung.

Weitere Empfänger können zuständige Behörden und beruflich zur Verschwiegenheit verpflichtete Berater für konkret erforderliche Rechts- oder Abrechnungsfragen sein. Öffentliche Beiträge sind auch für andere Besucher zugänglich.

12. Internationale Verarbeitung

Vercel, Supabase, Namecheap und bei Zahlungsnutzung Stripe sind internationale Anbieter. Trotz europäischer Datenbankregion können Support, Administration, Sicherheitsdienste, Sicherungen und Unterauftragnehmer außerhalb des Europäischen Wirtschaftsraums verarbeiten, unter anderem in den USA oder Singapur.

Übermittlungen erfordern die Voraussetzungen der Art. 44 ff. DSGVO. Je nach Empfänger kommen ein einschlägiger Angemessenheitsbeschluss oder vereinbarte EU-Standardvertragsklauseln mit erforderlichen Zusatzmaßnahmen in Betracht. Das EU-US Data Privacy Framework gilt nur für aktuell zertifizierte Unternehmen und erfasste Übermittlungen.

Ob die verlinkten Mechanismen für unsere konkreten Konten, Tarife und Übermittlungen wirksam vereinbart sind, bleibt Teil der offenen Betreiberprüfung. Informationen und Kopien geltender Garantien können Sie beim Verantwortlichen anfordern.

13. Speicherdauer und Löschung

• Konto und Lernstände: grundsätzlich für die Dauer des Kontos und der angeforderten Funktionen. Vollständige Löschung können Sie in den Einstellungen oder per E-Mail anfordern.
• Lokale Daten: bis zur Entfernung der Website-Daten, funktionsbedingten Ersetzung oder Browserlöschung; keine allgemeine feste Ablaufzeit.
• Datenschutzentscheidung: Auswahl, Kategorien, Version und Zeitpunkt bis zur erneuten Entscheidung oder Entfernung der Website-Daten. Eine geänderte Einwilligungsfassung erfordert eine neue Auswahl.
• Kontakt, Marketingnachweise und Community: nach Erforderlichkeit für Anliegen, Einwilligungsnachweis, Widerruf, Löschanfrage und konkret bestehende Rechtsverteidigung. Verbleibende Daten sind auf diesen Zweck zu beschränken.
• Abrechnung: ausschließlich gesetzlich aufbewahrungspflichtige Daten für die einschlägige Frist; dies rechtfertigt nicht das Behalten sämtlicher Lerndaten.
• Analyse, Crawler, Protokolle und Sicherungen: konkrete Fristen, Löschläufe und Verhalten bei Wiederherstellung sind noch verbindlich festzulegen und hier zu ergänzen.

Supabase beschreibt Sicherungen und Protokollaufbewahrung als tarif- und konfigurationsabhängig. Dies sind ohne Bestätigung unseres Tarifs und etwaiger Zusatzsicherungen keine verifizierten Projektfristen.

Bei Löschanfragen prüfen wir auch Freischaltungen, Marketingnachweise, freistehende Kontozuordnungen, gegebenenfalls gesetzliche Ausnahmen und Bereinigungen bei Auftragsverarbeitern.

14. Ihre Rechte, Widerruf und Beschwerde

Nach den gesetzlichen Voraussetzungen haben Sie Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18) und Datenübertragbarkeit (Art. 20). Die Ausübung ist grundsätzlich kostenlos. Wir beantworten Anfragen grundsätzlich innerhalb eines Monats; eine gesetzlich zulässige Verlängerung erläutern wir rechtzeitig.

Widerspruch: Gegen Verarbeitung aufgrund berechtigter Interessen können Sie aus Gründen Ihrer besonderen Situation nach Art. 21 DSGVO widersprechen; gegen Direktwerbung jederzeit ohne Begründung.

Widerruf: jederzeit mit Wirkung für die Zukunft; für Analyse und Präferenzen über die Datenschutz-Einstellungen, für Marketing und andere Anliegen über die Kontaktadresse.

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere im Mitgliedstaat Ihres Aufenthalts, Arbeitsplatzes oder des vermuteten Verstoßes. Für unseren Sitz ist der Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit zuständig.

15. Erforderliche Angaben und Änderungen

Verbindungsdaten sind für den Abruf erforderlich; E-Mail-Adresse und Authentifizierungsdaten für ein Konto. Ohne diese Angaben ist kein Konto möglich. Ein gegebenenfalls angebotener Gastmodus benötigt kein Konto; seine Verfügbarkeit ergibt sich aus dem aktuellen Angebot. Optionale Analyse, Komfortspeicherung und Werbung sind freiwillig.

Es erfolgen keine ausschließlich automatisierten Entscheidungen im Sinne von Art. 22 DSGVO mit rechtlicher oder ähnlich erheblicher Wirkung. Lernempfehlungen dienen der Orientierung beim Training.

Neue Datenflüsse und Zwecke erläutern wir vor einer wesentlich neuen Verarbeitung. Eine neue Fassung ersetzt keine erforderliche Einwilligung und schafft keine rückwirkende Rechtsgrundlage.