Einfache Datenschutzerklärung

Hier finden Sie in Kürze, welche Daten die Plattform von Ihnen verarbeitet, wozu und wer sie zu sehen bekommt. Alle Einzelheiten, Rechtsgrundlagen und Fristen stehen weiter unten in der ausführlichen Datenschutzerklärung.

1.1 Technische Informationen

Bei jedem Aufruf verarbeitet unser Server technische Angaben: die IP-Adresse Ihres Geräts, die Anfrage Ihres Browsers und unsere Antwort darauf, die Seite, von der Sie kommen, Zeitpunkt des Aufrufs, Browser und Betriebssystem sowie Ihren Internetanbieter. Wir brauchen diese Angaben, um die Plattform auszuliefern und zu betreiben, Missbrauch zu erkennen und Störungen zu beheben. Tritt in der Anwendung ein technischer Fehler auf, geht ein Fehlerbericht an unseren eigenen Dienst zur Fehlerprotokollierung.

1.2 Cookies und lokaler Speicher

Wir verwenden technisch notwendige Cookies für die Anmeldung sowie ein Cookie, das sich Ihre gewählte Ansprache („du" oder „Sie") merkt. Einstellungen wie die helle oder dunkle Darstellung und Ihr bevorzugter Anmeldeweg werden im lokalen Speicher Ihres Browsers abgelegt. Keines davon dient der Erstellung von Nutzerprofilen.

1.3 Webanalyse mittels Matomo

Um das Angebot zu verbessern, erstellt die coactum GmbH Nutzungsstatistiken mit der Open-Source-Software Matomo, die auf einem eigenen Server läuft. Personen lassen sich daraus nicht erkennen: Die Daten werden vor dem Speichern anonymisiert und dienen allein der Verbesserung des Angebots. Wie Sie die Erfassung abschalten, steht in der ausführlichen Erklärung.

1.4 Nutzerkonto und Anmeldung

Für die Nutzung der Lernbereiche legen Sie ein Konto an oder werden von Ihrem Unternehmen eingeladen. Die Anmeldung erfolgt über einen Anmeldelink oder einen Anmeldecode, den wir an Ihre E-Mail-Adresse senden, und — falls Sie das einrichten oder Ihr Unternehmen es vorsieht — über einen Benutzernamen mit Passwort. Wir speichern dafür Ihre E-Mail-Adresse, Ihren Vor- und Nachnamen, Ihre Unternehmenszugehörigkeit, Ihre Rolle im Unternehmen (z. B. „Führungskräfte" oder „Mitarbeitende") sowie ggf. ein Profilbild und von Ihrem Unternehmen festgelegte Zusatzangaben wie eine Personalnummer.

1.5 Angaben im Willkommensfragebogen und im Profil

Beim ersten Aufruf bitten wir Sie um einige Angaben: Ihren Namen, Ihre gewünschte Ansprache, eine Selbsteinschätzung Ihrer IT-Vorkenntnisse, Ihre Interessen sowie Angaben zu Ihrem Unternehmen (Name, Branche, Größe). Außerdem legen Sie fest, ob Sie Lernerinnerungen und einen Newsletter erhalten möchten. Außer dem Namen ist keine Angabe verpflichtend; alles lässt sich später im Profil ändern.

1.6 Lerndaten

Die Plattform dient der Fortbildung zur IT-Sicherheit und dem Nachweis Ihrer Qualifikation. Dazu dokumentieren wir Ihren Lernfortschritt, Ihre Antworten in Übungen, Umfragen und Abschlussprüfungen, Ihre Selbsteinschätzungen, Prüfungsergebnisse und Zertifikate, Ihre Antworten auf Fragebögen, Ihre Rückmeldungen zu Lernpfaden sowie die Anzahl Ihrer Lernaktivitäten je Tag. Persönliche Notizen und Gewohnheiten, die Sie sich im Habit-Tracker vornehmen, gehören nur Ihnen.

1.7 Ihr Unternehmen und das Cockpit

Gehören Sie zu einem Unternehmen, ist dieses Unternehmen für Ihre Lerndaten verantwortlich, und wir verarbeiten sie in seinem Auftrag (Abschnitt 1 der ausführlichen Erklärung). Die Unternehmensverwaltung sieht Ihren Lernstand, Ihre Prüfungsergebnisse und Zertifikate. Auswertungen über die Belegschaft erscheinen nur zusammengefasst und erst ab fünf Personen. Ihre persönlichen Notizen, Ihre Gewohnheiten, einzelne Fragebogenantworten und Ihre Aktivität an einzelnen Tagen sieht Ihr Unternehmen nicht.

Unsere Server betreibt die netcup GmbH in Rechenzentren in Deutschland; wir haben sie als Auftragsverarbeiter vertraglich an unsere Weisungen und an den Datenschutz gebunden. E-Mails verschicken wir über einen eigenen Mailserver auf diesen Servern. Die Unternehmensverwaltung Ihres Unternehmens erhält die in Abschnitt 1.7 genannten Daten. Wer die Seriennummer eines Ihrer Zertifikate kennt, kann dessen Echtheit auf unserer Prüfseite bestätigen lassen und sieht dabei die Angaben, die auf dem Zertifikat stehen. An andere Stellen geben wir Ihre Daten nicht weiter.

Sie können Auskunft über Ihre Daten verlangen, ihre Berichtigung, Löschung oder die Einschränkung ihrer Verarbeitung fordern, Ihre Daten in einem gängigen Format erhalten, der Verarbeitung widersprechen und erteilte Einwilligungen widerrufen. Außerdem können Sie sich bei einer Datenschutzaufsichtsbehörde beschweren.

Ihr Anliegen richten Sie bitte an:

coactum GmbH, Neuhäuser Straße 74, 33102 Paderborn, E-Mail: datenschutz@coactum.de.

Ausführliche Datenschutzerklärung

Verantwortlich für die Datenverarbeitung auf dieser Plattform (nachfolgend „Betreiber") ist:

coactum GmbH
Neuhäuser Straße 74
33102 Paderborn
Deutschland
Tel. 0170 7389305
E-Mail: info@coactum.de

Wenn Sie zu einem Unternehmen gehören: Nutzt Ihr Arbeitgeber oder eine andere Organisation die Plattform zur Schulung und sind Sie über deren Einladung dabei, ist diese Organisation für Ihre Konto-, Lern- und Prüfungsdaten verantwortlich. Wir verarbeiten diese Daten dann als Auftragsverarbeiter in ihrem Auftrag und nach ihren Weisungen (Art. 28 DS-GVO); die Einzelheiten regelt ein Vertrag zur Auftragsverarbeitung. Welche Rechtsgrundlage gilt und wen Sie dort ansprechen, teilt Ihnen Ihr Unternehmen mit. Wenden Sie sich mit einem Anliegen an uns, leiten wir es an Ihr Unternehmen weiter. Für die Plattform selbst, für Konten ohne Unternehmen, für die Webanalyse und für die anonymisierte Begleitforschung bleiben wir Verantwortlicher.

2.1 Umfang der Verarbeitung personenbezogener Daten

Personenbezogene Daten verarbeiten wir nur in dem Umfang, den der Betrieb der Plattform und die Bereitstellung ihrer Lerninhalte und Funktionen erfordern. Die Plattform kann auf zwei Wegen genutzt werden: als Einzelperson, die sich selbst registriert (die Plattform führt Sie dann im sogenannten „Standardunternehmen"), oder als Beschäftigte oder Beschäftigter eines Unternehmens, das die Plattform für die Schulung seiner Belegschaft einsetzt.

2.2 Rechtsgrundlage für die Verarbeitung personenbezogener Daten

Auf welche Rechtsgrundlage wir uns stützen, nennen wir bei jeder Verarbeitung einzeln. In Betracht kommen vor allem:

• Ihre Einwilligung (Art. 6 Abs. 1 lit. a Datenschutz-Grundverordnung, DS-GVO),
• die Erfüllung eines Vertrags mit Ihnen oder Schritte vor einem Vertragsschluss, die Sie angefragt haben (Art. 6 Abs. 1 lit. b DS-GVO),
• eine rechtliche Pflicht, der wir unterliegen (Art. 6 Abs. 1 lit. c DS-GVO),
• ein berechtigtes Interesse von uns oder einem Dritten, sofern Ihre Interessen, Grundrechte und Grundfreiheiten nicht überwiegen (Art. 6 Abs. 1 lit. f DS-GVO).

2.3 Datenlöschung und Speicherdauer

Wir löschen oder sperren personenbezogene Daten, sobald der Zweck entfällt, für den wir sie gespeichert haben. Länger bewahren wir sie nur auf, wenn eine gesetzliche Vorschrift das verlangt oder erlaubt, und nur bis zum Ende der dort bestimmten Frist — es sei denn, die Daten werden für den Abschluss oder die Erfüllung eines Vertrags weiterhin gebraucht. Einzelheiten zu Konten und Lerndaten finden Sie in Abschnitt 14.

3.1 Beschreibung, Zweck und Umfang der Datenverarbeitung

Ruft ein Gerät die Plattform auf, erfasst unser Server automatisch folgende Angaben:

• Browser und dessen Version
• Betriebssystem
• Internetanbieter
• IP-Adresse
• Datum und Uhrzeit des Aufrufs
• die Seite, von der aus das Gerät zu uns gelangt ist
• die Seiten, die von unserer Plattform aus aufgerufen werden

Damit wir die Seite an Ihr Gerät ausliefern können, muss die IP-Adresse für die Dauer der Sitzung vorgehalten werden.

Dieselben Angaben landen außerdem in den Protokolldateien (Logfiles) unseres Servers. Sie werden dort nicht mit anderen Daten über Sie zusammengeführt. Einer Person zuordnen lassen sie sich unter Umständen trotzdem — über die IP-Adresse oder wenn eine aufgerufene Adresse selbst persönliche Angaben enthält.

Die Protokolldateien brauchen wir, um die Plattform funktionsfähig und sicher zu halten und sie zu verbessern. Für Werbung oder Marketing werten wir sie nicht aus.

3.2 Rechtsgrundlage für die Datenverarbeitung

Die kurzzeitige Speicherung während der Sitzung und die Protokolldateien stützen sich auf Art. 6 Abs. 1 lit. f DS-GVO; unser berechtigtes Interesse liegt im sicheren und störungsfreien Betrieb.

3.3 Dauer der Speicherung

Für die Auslieferung der Seite gespeicherte Angaben entfallen mit dem Ende der Sitzung. Protokolldateien löschen wir spätestens nach sieben Tagen. Bewahren wir sie ausnahmsweise länger auf, kürzen oder löschen wir zuvor die IP-Adressen, sodass kein Gerät mehr erkennbar ist.

3.4 Widerspruchs- und Beseitigungsmöglichkeit

Ohne diese Angaben lässt sich die Plattform nicht betreiben. Ein Widerspruch ist deshalb hier nicht möglich.

4.1 Beschreibung, Zweck und Umfang der Datenverarbeitung

Cookies sind kleine Textdateien, die Ihr Browser auf Ihrem Gerät ablegt und bei späteren Aufrufen wieder an uns sendet.

Wir verwenden folgende Cookies:

• Anmeldung (technisch notwendig): Enthält eine Kennung Ihrer Sitzung, damit Sie angemeldet bleiben. Ohne dieses Cookie ist eine Anmeldung nicht möglich.
• Ansprache (kmuks_anrede): Merkt sich, ob die Plattform Sie mit „du" oder „Sie" anspricht, damit die Seite schon vor der Anmeldung in der richtigen Form erscheint. Es enthält nur diese Einstellung.
• Wartungsfenster (wartung_frei): Wer während einer Wartung die Zugangs-PIN eingibt, erhält ein Cookie, das den Zugang bis zur Abmeldung freigibt.
• Nur für die Administration (cockpit-perspektive): Merkt sich, aus Sicht welches Unternehmens die Administration das Cockpit gerade betrachtet.

Im lokalen Speicher Ihres Browsers legen wir Einstellungen ab, die nur Ihr Gerät betreffen: die helle oder dunkle Darstellung, Ihren bevorzugten Anmeldeweg und selbst angelegte Übungsszenarien. Diese Angaben verlassen Ihr Gerät nicht.

Aus keinem dieser Cookies bilden wir Nutzungsprofile.

4.2 Rechtsgrundlage für die Datenverarbeitung

Wir setzen nur Cookies und Speichereinträge, die für die von Ihnen gewünschte Nutzung unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG); die damit verbundene Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. f DS-GVO.

4.3 Dauer der Speicherung, Widerspruchs- und Beseitigungsmöglichkeit

Cookies und Einträge im lokalen Speicher liegen auf Ihrem Gerät, Sie behalten also die Kontrolle: In den Einstellungen Ihres Browsers können Sie Cookies sperren, einschränken oder jederzeit löschen, auch automatisch beim Schließen. Ohne das Anmelde-Cookie ist eine Anmeldung allerdings nicht möglich.

Um das Angebot zu verbessern, erstellt die coactum GmbH Nutzungsstatistiken mit der Open-Source-Software Matomo. Matomo läuft auf einem eigenen Server; an Dritte gehen die Daten nicht.

Für die Statistik verarbeitet Matomo:

• die aufgerufene Seite und ihre Adresse
• die gekürzte IP-Adresse
• Datum und Uhrzeit des Aufrufs
• die übertragene Datenmenge
• die Seite oder Suchmaschine, von der Sie gekommen sind (Referrer)
• Browser und Version sowie das Betriebssystem

Vor dem Speichern wird die IP-Adresse gekürzt, sodass sie weder einem Gerät noch einer Person zugeordnet werden kann. Die Statistik dient allein der Verbesserung des Angebots.

Möchten Sie nicht erfasst werden, können Sie widersprechen: Ihr Browser erhält dann ein Cookie, das die Erfassung abschaltet. Löschen Sie dieses Cookie, müssen Sie den Widerspruch erneut erklären.

6.1 Beschreibung, Zweck und Umfang der Datenverarbeitung

Tritt in der Anwendung ein technischer Fehler auf, übermittelt die Plattform einen Fehlerbericht an unseren Fehlerprotokollierungsdienst (Sentry). Der Dienst wird von der coactum GmbH auf einem eigenen Server betrieben. Ein Fehlerbericht enthält die Fehlermeldung, die aufgerufene Seite, Browser und Betriebssystem sowie technische Angaben zum Ablauf, der zum Fehler geführt hat; dabei kann die IP-Adresse übermittelt werden. Gewöhnliche Rückmeldungen wie „Seite nicht gefunden" werden nicht gemeldet. Die Berichte dienen ausschließlich dazu, Fehler zu finden und zu beheben.

6.2 Rechtsgrundlage und Dauer der Speicherung

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DS-GVO; unser berechtigtes Interesse liegt im fehlerfreien und sicheren Betrieb der Plattform. Fehlerberichte werden gelöscht, sobald sie für die Fehlerbehebung nicht mehr benötigt werden.

7.1 Beschreibung, Zweck und Umfang der Datenverarbeitung

Für die Nutzung der Lernbereiche ist ein Konto erforderlich. Es entsteht auf einem der folgenden Wege: durch Selbstregistrierung mit Ihrer E-Mail-Adresse, durch einen Anmeldelink Ihres Unternehmens, durch Anlage durch die Unternehmensverwaltung (auch aus einer Personenliste) oder, für die verantwortliche Person eines Unternehmens, mit der Freigabe der Unternehmensanmeldung.

Die Anmeldung erfolgt über einen Anmeldelink oder -code, den wir an Ihre E-Mail-Adresse senden. Daneben kann ein Benutzername mit Passwort eingerichtet werden; Passwörter werden ausschließlich verschlüsselt (als Hashwert) gespeichert. Legt die Unternehmensverwaltung ein Erstpasswort fest, ist es bis zur Vergabe eines eigenen Passworts für die Verwaltung lesbar, höchstens 14 Tage lang gültig und muss bei der ersten Anmeldung geändert werden. Zum Schutz vor dem Durchprobieren von Passwörtern zählen wir fehlgeschlagene Anmeldeversuche vorübergehend je Benutzername und je Herkunft.

Folgende Daten werden hierbei erhoben:

• E-Mail-Adresse (bei Konten ohne eigenes Postfach eine von uns erzeugte Platzhalteradresse) und ggf. Benutzername
• Vor- und Nachname
• Unternehmenszugehörigkeit
• Rolle im Unternehmen (z. B. „Führungskräfte", „Mitarbeitende")
• Rolle auf der Plattform (Lernende, Unternehmensverwaltung, Administration)
• Zeitpunkt der letzten Anmeldung
• ggf. ein Profilbild (siehe unten)
• ggf. Zusatzangaben, die Ihr Unternehmen führt (z. B. Personalnummer, Bereich, Tätigkeitsschlüssel)

Ein Profilbild können Sie freiwillig in Ihrem Profil hinterlegen. Es wird vor dem Hochladen in Ihrem Browser zugeschnitten und erscheint neben Ihrem Namen sowie in den Personenlisten Ihrer Unternehmensverwaltung. Ihr Unternehmen kann Profilbilder abschalten; vorhandene Bilder werden dann gelöscht.

Zusatzangaben wie eine Personalnummer richtet Ihr Unternehmen ein und pflegt sie; sie dienen dazu, Sie beim Einspielen von Personenlisten eindeutig wiederzufinden.

Registriert sich ein Unternehmen, verarbeiten wir die Angaben aus dem Anmeldeformular: Name, Webseite, Branche, Größe und Standorte des Unternehmens, eine Einschätzung zur Betroffenheit von NIS2 sowie Name, E-Mail-Adresse und ggf. Telefonnummer der für die Schulung verantwortlichen Person. Wir prüfen die Anfrage und legen mit der Freigabe ein Konto für diese Person an.

7.2 Rechtsgrundlage für die Datenverarbeitung

Rechtsgrundlage für Konto, Anmeldung und Stammdaten ist Art. 6 Abs. 1 lit. b DS-GVO (Nutzungsverhältnis bzw. vorvertragliche Maßnahmen bei der Unternehmensanmeldung) sowie Art. 6 Abs. 1 lit. f DS-GVO, soweit Ihr Unternehmen die Plattform für die Schulung seiner Belegschaft einsetzt. Das Profilbild beruht auf Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DS-GVO), die Sie durch Entfernen des Bildes jederzeit widerrufen können.

7.3 Dauer der Speicherung

Siehe Abschnitt 14.

7.4 Widerspruchs- und Beseitigungsmöglichkeit

Name und E-Mail-Adresse sind für die Nutzung der Plattform erforderlich; der Name steht auf Ihren Zertifikaten. Sie können beides im Profil berichtigen. Ein Profilbild können Sie jederzeit entfernen, einen Benutzernamen mit Passwort jederzeit abschalten.

8.1 Beschreibung, Zweck und Umfang der Datenverarbeitung

Beim ersten Aufruf des Lernbereichs bitten wir Sie in einem kurzen Willkommensfragebogen um Angaben, mit denen wir die Inhalte auf Sie zuschneiden. Pflicht ist nur Ihr Name, weil er auf Ihren Zertifikaten steht. Freiwillig sind: die gewünschte Ansprache („du" oder „Sie"), eine Selbsteinschätzung Ihrer IT-Vorkenntnisse, Ihre Interessensschwerpunkte, Angaben zu Ihrem Unternehmen (Name, Branche, Größe) und — wenn Sie keinem Unternehmen angehören — Ihre Rolle. Weitere Fragen kann die Administration ergänzen; sie erscheinen dann an derselben Stelle. Den Fragebogen können Sie überspringen. Konten ohne Unternehmen werden dabei dem Standardunternehmen zugeordnet.

Außerdem legen Sie zwei Kommunikationseinstellungen fest, jeweils mit dem Zeitpunkt der Erteilung:

• Lernerinnerungen: Hinweise per E-Mail, wenn ein Ihnen zugewiesener Lernpfad offen ist (siehe Abschnitt 12).
• Newsletter: neue Inhalte, Veranstaltungen und Lagemeldungen, etwa monatlich. Nur mit Ihrer ausdrücklichen Einwilligung. Lernerinnerungen sind vorausgewählt, der Newsletter nicht.

Für die Begleitforschung des Projekts »KMU.kompetent.sicher.« werten wir Lernergebnisse ausschließlich zusammengefasst und anonymisiert aus: jede Auswertung über mindestens fünf Personen, ohne Namen und so, dass sich weder auf Sie noch auf Ihr Unternehmen schließen lässt. Gehören Sie zu einem Unternehmen, geschieht das nur mit dessen Einverständnis im Vertrag zur Auftragsverarbeitung. Setzt die Administration eine dieser Einstellungen für Sie, wird das als solches vermerkt und nicht als Ihre eigene Erklärung behandelt.

Im Profil können Sie alle Angaben jederzeit einsehen und ändern. Freitextantworten im Willkommensfragebogen werden in Auswertungen nur gezählt, nie aufgelistet.

8.2 Rechtsgrundlage für die Datenverarbeitung

Die freiwilligen Angaben und der Newsletter beruhen auf Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DS-GVO). Lernerinnerungen und die Anonymisierung für die Begleitforschung beruhen auf Art. 6 Abs. 1 lit. f DS-GVO; das berechtigte Interesse liegt im Erfolg der zugewiesenen Schulung bzw. in der wissenschaftlichen Begleitung des geförderten Projekts. Gehören Sie zu einem Unternehmen, legt dieses die Rechtsgrundlage fest (Abschnitt 1).

8.3 Widerspruchs- und Beseitigungsmöglichkeit

Sie können jede Kommunikationseinstellung im Profil jederzeit abwählen und freiwillige Angaben ändern oder entfernen. Ein Widerruf gilt ab diesem Zeitpunkt.

9.1 Beschreibung, Zweck und Umfang der Datenverarbeitung

Die Plattform dient der Fortbildung zur IT-Sicherheit, dem Nachweis von Qualifikationen und der Dokumentation von Schulungen. Dazu wird der Lernfortschritt jeder teilnehmenden Person dokumentiert. Lerndaten werden der Schulungsphase zugeordnet, in der sie entstehen, damit sich Schulungsphasen miteinander vergleichen lassen.

Folgende Daten werden hierbei erhoben:

• Zugewiesene Lernpfade und Schulungsphasen
• Lernfortschritt (bearbeitete und als verstanden markierte Lerneinheiten)
• Antworten und Ergebnisse in Übungen innerhalb der Lerneinheiten, einschließlich Stimmen in Umfragen
• Selbsteinschätzungen innerhalb der Lerneinheiten
• Antworten auf Prüfungsfragen, Prüfungsergebnisse und Prüfungswiederholungen
• Zertifikate über bestandene Abschlussprüfungen (siehe Abschnitt 11)
• Antworten auf Fragebögen vor und nach einer Schulung
• Rückmeldungen zu einem Lernpfad (Sternebewertung und freiwilliger Freitext), sofern Ihr Unternehmen sie erbittet
• Die Anzahl Ihrer Lernaktivitäten je Tag (siehe unten)

Lernaktivität: Wir zählen, wie oft Sie an einem Tag etwas in der Plattform bedienen. Gespeichert wird nur eine Zahl je Tag — keine Uhrzeiten, keine aufgerufenen Seiten. Daraus entsteht der Aktivitätskalender in Ihrem Profil. Ohne Unternehmen können Sie die Aufzeichnung im Profil abschalten; in einem Unternehmen wenden Sie sich dafür an Ihre Unternehmensverwaltung oder an uns. Bereits gezählte Tage bleiben erhalten.

Nur für Sie sind: persönliche Notizen, die Sie in Reflexionsaufgaben festhalten (die Plattform zeigt Ihnen eine Notiz nach sieben Tagen noch einmal), sowie die Gewohnheiten und Haken im Habit-Tracker. Diese Daten sieht weder Ihr Unternehmen noch fließen sie in Auswertungen ein.

Öffentlich zugängliche Demo-Lerneinheiten, die ohne Anmeldung aufgerufen werden, speichern keinen Lernstand.

9.2 Rechtsgrundlage für die Datenverarbeitung

Die Rechtsgrundlage für die Verarbeitung der Lerndaten ist Art. 6 Abs. 1 lit. b DS-GVO, soweit Sie die Plattform als Einzelperson nutzen. Setzt Ihr Unternehmen die Plattform für die Schulung seiner Belegschaft ein, ist es verantwortlich und legt die Rechtsgrundlage fest; wir verarbeiten die Lerndaten in seinem Auftrag (Abschnitt 1).

9.3 Dauer der Speicherung

Siehe Abschnitt 14.

9.4 Widerspruchs- und Beseitigungsmöglichkeit

Die Erfassung der Lerndaten ist erforderlich, um den ordnungsgemäßen Ablauf und die Dokumentation der Schulung zu gewährleisten. Persönliche Notizen und Gewohnheiten können Sie jederzeit selbst löschen.

10.1 Beitritt zu einem Unternehmen

Treten Sie über einen Anmeldelink einem Unternehmen bei, bestätigen Sie, dass Sie zu diesem Unternehmen gehören, und nehmen zur Kenntnis, dass die Unternehmensverwaltung Ihre Lernergebnisse und Zertifikate einsehen kann und zusammengefasste Lernstatistiken erhält. Beide Bestätigungen werden mit Ihrem Konto gespeichert.

10.2 Was Ihre Unternehmensverwaltung sieht

Im Cockpit sieht die Unternehmensverwaltung Ihres Unternehmens:

• Ihren Namen, Ihre E-Mail-Adresse bzw. Ihren Benutzernamen, Ihre Rolle im Unternehmen, ggf. Ihr Profilbild und die Zusatzangaben Ihres Unternehmens
• Ihren Lernfortschritt je Lernpfad sowie, ob Sie einen Fragebogen abgegeben haben
• Ihre Prüfungsergebnisse und Zertifikate
• zusammengefasste Auswertungen über die Belegschaft: Lernfortschritt, Selbsteinschätzung, gemessene Kompetenz, Zertifikatsquote, Lernaktivität als Tagessumme, Antworten auf Prüfungsfragen und Umfragen, Fragebogenergebnisse, Angaben aus dem Willkommensfragebogen und Rückmeldungen zu Lernpfaden. Diese Auswertungen erscheinen erst ab fünf Personen; darunter wird keine Zahl angezeigt. Freitexte erscheinen ohne Namen.

Nicht sichtbar sind für Ihr Unternehmen: Ihre persönlichen Notizen, Ihre Gewohnheiten im Habit-Tracker, Ihre einzelnen Fragebogenantworten, Ihre einzelnen Angaben im Willkommensfragebogen (einschließlich Ihrer Selbsteinschätzung) und Ihre Aktivität an einzelnen Tagen. Auswertungen können als Tabelle oder PDF heruntergeladen werden; es gelten dieselben Regeln.

Die Unternehmensverwaltung kann Konten anlegen und aus Personenlisten einspielen, Rollen vergeben, Erstzugänge zurücksetzen, Konten sperren und in den Papierkorb legen. Sie kann Lernerinnerungen für eine Schulungsphase einrichten.

10.3 Administration

Die Administration der Plattform durch die coactum GmbH kann zur Betreuung und Fehlerbehebung alle Unternehmen einsehen, Angaben berichtigen und sieht zusätzlich den Zeitpunkt der letzten Anmeldung. Für die Übertragung zwischen Installationen können Unternehmensdaten einschließlich der Lerndaten und Zertifikate exportiert und eingespielt werden; Zugangsdaten sind davon ausgenommen.

10.4 Rechtsgrundlage

Für die Daten im Cockpit ist Ihr Unternehmen verantwortlich; wir verarbeiten sie in seinem Auftrag (Art. 28 DS-GVO, siehe Abschnitt 1). Die Rechtsgrundlage für die Schulung und die Einsicht legt Ihr Unternehmen fest; sie richtet sich nach den für das Beschäftigungsverhältnis geltenden Vorschriften.

11.1 Beschreibung, Zweck und Umfang der Datenverarbeitung

Bestehen Sie die Abschlussprüfung eines Lernpfads, stellt die Plattform ein Zertifikat als PDF aus. Es enthält Ihren Namen, den Lernpfad, das Datum der Prüfung, Ihr Ergebnis, eine Seriennummer und ggf. das Logo Ihres Unternehmens. Diese Angaben werden zum Zeitpunkt der Ausstellung festgehalten. Wird ein Zertifikat berichtigt (etwa wegen eines Tippfehlers im Namen), wird es neu ausgestellt und das alte als ersetzt gekennzeichnet.

Auf jedem Zertifikat steht die Adresse unserer Prüfseite. Wer die Seriennummer eingibt, erhält ohne Anmeldung eine Bestätigung mit Namen, Lernpfad, Prüfungsdatum, Ergebnis und Aussteller sowie den Hinweis, ob das Zertifikat ersetzt wurde. So können Sie Ihre Qualifikation gegenüber Dritten nachweisen.

11.2 Rechtsgrundlage und Dauer der Speicherung

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DS-GVO bzw. lit. f DS-GVO (Nachweis der Qualifikation). Zertifikate werden mit Ihrem Konto gelöscht (siehe Abschnitt 14); danach lässt sich die Echtheit nicht mehr bestätigen.

12.1 Beschreibung, Zweck und Umfang der Datenverarbeitung

Wir senden Ihnen E-Mails:

• mit Anmeldelinks und Anmeldecodes, wenn Sie sich anmelden möchten,
• bei der Freigabe einer Unternehmensanmeldung an die verantwortliche Person,
• als Lernerinnerung, sofern Ihr Unternehmen für eine Schulungsphase Erinnerungen eingerichtet hat: eine zum Wochenende und eine kurz vor dem Ende der Schulungsphase, und nur, solange bei Ihnen noch etwas offen ist. Welche Erinnerung wann versandt wurde, wird protokolliert, damit keine doppelt ankommt.
• als Newsletter, nur mit Ihrer Einwilligung.

Den Versand übernimmt ein eigener Mailserver auf unseren Servern bei der netcup GmbH in Deutschland.

12.2 Rechtsgrundlage und Widerspruch

Anmelde- und Freigabe-E-Mails beruhen auf Art. 6 Abs. 1 lit. b DS-GVO, Lernerinnerungen auf Art. 6 Abs. 1 lit. f DS-GVO, der Newsletter auf Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DS-GVO). Lernerinnerungen und Newsletter können Sie jederzeit im Profil abbestellen.

Die Plattform steht auch als App für iPhone und iPad zur Verfügung. Die App zeigt den Lernbereich und verarbeitet dieselben Daten wie die Webseite. Ihre Anmeldung wird im geschützten Schlüsselbund Ihres Geräts gespeichert. Auf Wunsch lässt sich die App biometrisch sperren (etwa mit Face ID); die Prüfung übernimmt Ihr Gerät, biometrische Daten erreichen uns nicht.

Konto, Stammdaten und Lerndaten werden gespeichert, solange Sie die Plattform nutzen.

• Ohne Unternehmen können Sie Ihr Konto im Profil selbst löschen. Vorher sehen Sie, welche Daten davon betroffen sind.
• In einem Unternehmen erfolgt die Löschung durch die Unternehmensverwaltung, weil das Konto Teil einer vom Unternehmen verantworteten Schulung ist; Sie können sich dafür auch an uns wenden. Endet die Nutzung durch Ihr Unternehmen, löschen wir seine Daten nach dem Vertrag zur Auftragsverarbeitung, spätestens 30 Tage nach Vertragsende.
• Konten, die die Unternehmensverwaltung in den Papierkorb gelegt hat, werden nach sechs Monaten ohne Anmeldung endgültig gelöscht.

Mit dem Konto werden Lernfortschritt, Übungs- und Prüfungsdaten, Fragebogenantworten, Notizen, Gewohnheiten, Aktivitätsdaten, das Profilbild und die Zertifikate einschließlich der PDF-Dateien gelöscht. Über jede Löschung führen wir einen Eintrag ohne Namen und E-Mail-Adresse, um die Löschung nachweisen zu können. Auswertungen, die bereits zusammengefasst wurden, enthalten keine personenbezogenen Daten.

Verarbeiten wir personenbezogene Daten von Ihnen, stehen Ihnen gegenüber uns als Verantwortlichem die folgenden Rechte nach der DS-GVO zu. Gehören Sie zu einem Unternehmen, richten sich diese Rechte für die Daten, die wir in dessen Auftrag verarbeiten, an Ihr Unternehmen; wir unterstützen es dabei und leiten Anfragen, die bei uns eingehen, weiter. Um eines davon auszuüben, genügt eine Nachricht an uns mit Ihrem Anliegen.

15.1 Auskunftsrecht

Sie können jederzeit und kostenlos erfahren, ob und welche personenbezogenen Daten wir über Sie verarbeiten, und eine Kopie davon erhalten (Art. 15 DS-GVO). Vieles sehen Sie auch selbst: Ihre Stammdaten, Ihre Angaben aus dem Willkommensfragebogen und Ihren Aktivitätskalender im Profil, Ihre Zertifikate unter „Meine Zertifikate".

15.2 Recht auf Berichtigung

Sind Daten über Sie falsch, können Sie verlangen, dass wir sie unverzüglich korrigieren; sind sie unvollständig, können Sie sie ergänzen lassen, auch durch eine eigene Erklärung (Art. 16 DS-GVO). Viele Angaben können Sie im Profil selbst berichtigen.

15.3 Recht auf Einschränkung der Verarbeitung

Liegt einer der in Art. 18 Abs. 1 DS-GVO genannten Fälle vor — etwa während wir die Richtigkeit Ihrer Daten prüfen —, können Sie verlangen, dass wir die Verarbeitung einschränken.

15.4 Recht auf Löschung

Trifft einer der Gründe aus Art. 17 Abs. 1 DS-GVO zu, löschen wir Ihre Daten auf Ihren Wunsch unverzüglich. Wie Sie Ihr Konto löschen, beschreibt Abschnitt 14.

15.5 Recht auf Datenübertragbarkeit

Daten, die Sie uns selbst bereitgestellt haben, erhalten Sie auf Wunsch in einem strukturierten, gängigen und maschinenlesbaren Format, und Sie dürfen sie einem anderen Verantwortlichen übergeben (Art. 20 DS-GVO). Das gilt, soweit die Verarbeitung automatisiert erfolgt und auf Ihrer Einwilligung oder einem Vertrag beruht. Ihre Zertifikate können Sie jederzeit selbst als PDF herunterladen.

15.6 Widerspruchsrecht

Stützen wir eine Verarbeitung auf ein berechtigtes Interesse (Art. 6 Abs. 1 lit. f DS-GVO) oder auf eine Aufgabe im öffentlichen Interesse (lit. e), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DS-GVO). Wir verarbeiten die Daten dann nicht weiter — außer, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

15.7 Recht auf Widerruf der datenschutzrechtlichen Einwilligungserklärung

Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DS-GVO). Was bis dahin auf ihrer Grundlage geschehen ist, bleibt rechtmäßig. Kommunikationseinstellungen widerrufen Sie direkt in Ihrem Profil.

15.8 Recht auf Beschwerde bei einer Aufsichtsbehörde

Meinen Sie, dass die Verarbeitung Ihrer Daten gegen die DS-GVO verstößt, können Sie sich bei einer Datenschutzaufsichtsbehörde beschweren — insbesondere in dem Mitgliedstaat, in dem Sie wohnen oder arbeiten oder in dem der mutmaßliche Verstoß stattfand (Art. 77 DS-GVO). Andere Rechtsbehelfe bleiben davon unberührt.

Wie wir Ihre Daten schützen und welche Dienstleister wir dafür einsetzen, beschreiben die Anlagen 2 und 3 des Vertrags zur Auftragsverarbeitung. Unternehmen erhalten den Vertrag samt Anlagen beim Abschluss im Cockpit. Allen anderen senden wir die Anlagen auf Anfrage an datenschutz@coactum.de zu. Einziger Unterauftragsverarbeiter ist derzeit die netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, mit Servern in Deutschland.