Skip to content
lexICT Academy

Privacy information

Verantwortliche

Kurz gesagt: Die Academy betreibt die lexICT GmbH. Für den Lernbereich ist in erster Linie die Organisation verantwortlich, die Ihnen den Zugang gegeben hat; Einzelheiten unter „Lernbereich“.

Verantwortliche für die Verarbeitung Ihrer personenbezogenen Daten im Sinne von Art. 4 Nr. 7 DSGVO ist, soweit diese Information nichts anderes sagt:

lexICT GmbH
Eichenbrink 5
30453 Hannover
Telefon +49 511 47 55 58 10
Telefax +49 511 47 55 58 19
E-Mail [email protected]

Verarbeitung beim Aufruf der Academy

Kurz gesagt: Ihr Besuch erzeugt technische Verbindungsdaten. Auf unserem Server werden sie nur für die Auslieferung verarbeitet und nicht protokolliert. Beim vorgeschalteten Schutzdienst fallen sie ebenfalls an und werden dort zur Abwehr von Angriffen ausgewertet.

Beim Aufruf der Academy sendet der Browser Ihres Endgeräts automatisch Informationen an den Server, auf dem die Academy liegt. Verarbeitet werden dabei die für die Übertragung technisch erforderlichen Verbindungsdaten: Ihre IP-Adresse, Datum und Uhrzeit der Anfrage, die aufgerufene Adresse, die übertragene Datenmenge, die Statusmeldung des Servers sowie die von Ihrem Browser übermittelte Kennung mit Angaben zu Browser und Betriebssystem.

Diese Verbindungsdaten fallen an zwei Stellen an. Auf unserem Server werden sie allein für die Dauer der Auslieferung verarbeitet. Wir legen darüber keine Zugriffsprotokolle an und speichern die Daten danach nicht.

Beim vorgeschalteten Netzwerkdienst ist das anders. Er kann schädlichen Verkehr nur erkennen, wenn er die Verbindungsdaten auswertet, und hält sie dafür für eine begrenzte Zeit vor. Diese Verarbeitung ist der Zweck des Dienstes und kein Nebeneffekt; Einzelheiten unter „Auslieferung über Cloudflare“. Die Aussage, dass keine Zugriffsprotokolle geführt werden, bezieht sich deshalb auf unseren eigenen Server und nicht auf diese vorgeschaltete Ebene.

Rechtsgrundlage ist in beiden Fällen Art. 6 Abs. 1 S. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren, störungsfreien Betrieb der Academy. Eine Auswertung zu anderen Zwecken, insbesondere zur Analyse Ihres Verhaltens, findet nicht statt.

Hosting

Kurz gesagt: Die Academy liegt bei Hetzner in einem Rechenzentrum in Deutschland, im Auftrag und nach unserer Weisung.

Die Academy wird für uns von der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, in einem Rechenzentrum in Deutschland betrieben. Dort liegen auch die Datenbank, die abgelegten Dateien (etwa Zertifikate und Rechnungen) und die Datensicherungen. Hetzner verarbeitet die Daten ausschließlich in unserem Auftrag und nach unserer Weisung. Wir haben mit Hetzner einen Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.

Auslieferung über Cloudflare

Kurz gesagt: Jede Anfrage läuft zuerst über Cloudflare, verarbeitet in Rechenzentren in der EU. Dort liegen für kurze Zeit auch die Inhalte Ihrer Eingaben im Klartext, im Lernbereich also auch Ihre Antworten und bei der Anmeldung Ihr Passwort.

Wir nutzen den Dienst der Cloudflare Germany GmbH, Rosental 7, 80331 München, als vorgeschalteten Netzwerkdienst. Alle Anfragen an die Academy laufen zunächst über die Server von Cloudflare und erst von dort an unseren Server. Cloudflare filtert dabei schädlichen Verkehr, wehrt Überlastungsangriffe ab und liefert unveränderliche Inhalte schneller aus.

Cloudflare verarbeitet dazu Ihre IP-Adresse und die Angaben zur Anfrage und hält sie für eine begrenzte Zeit vor, um wiederkehrende Angriffsmuster zu erkennen. Wir haben den Dienst so eingestellt, dass die Verarbeitung in Rechenzentren innerhalb der Europäischen Union stattfindet.

Damit Cloudflare diese Aufgabe erfüllen kann, endet die verschlüsselte Verbindung bei Cloudflare und wird von dort neu aufgebaut. Die Inhalte Ihrer Anfragen liegen dort für die Dauer der Verarbeitung im Klartext vor. Das betrifft alles, was Sie in der Academy eingeben oder abrufen, also auch Ihr Passwort bei der Anmeldung, Ihre Antworten in den Abschlussfragen und die Seiten mit Ihrem Lernstand.

Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Sicherheit und Verfügbarkeit der Academy. Mit Cloudflare besteht ein Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO.

Cloudflare Germany GmbH gehört zur Cloudflare, Inc. mit Sitz in den Vereinigten Staaten. Soweit Daten dorthin übermittelt werden, stützt sich die Übermittlung auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-U.S. Data Privacy Framework, unter dem Cloudflare, Inc. zertifiziert ist. Ergänzend sind die Standardvertragsklauseln der Europäischen Kommission vereinbart, die greifen, falls die Zertifizierung entfällt. Weitere Angaben finden Sie in der Datenschutzerklärung von Cloudflare unter cloudflare.com/privacypolicy.

Cookies und Speicher im Browser

Kurz gesagt: Die Academy setzt nur Cookies, ohne die sie nicht funktioniert, eines, wenn Sie „Angemeldet bleiben“ wählen, und Cloudflare einen Merker, falls Sie eine Sicherheitsabfrage bestehen. Kein Tracking, keine Reichweitenmessung, keine Profilbildung. Deshalb gibt es auch keine Einwilligungsabfrage.

Beim Aufruf setzt die Academy ein Sitzungscookie, dessen Name auf „-session“ endet. Es enthält eine zufällige Kennung, über die der Server Ihre Anfragen einander zuordnet, etwa damit Sie nach der Anmeldung angemeldet bleiben oder Ihr Warenkorb beim nächsten Klick noch da ist. Daneben steht ein Cookie mit dem Namen XSRF-TOKEN. Es schützt Formulare davor, dass eine fremde Website sie in Ihrem Namen absendet.

Beide Cookies verfallen nach 120 Minuten ohne Aktivität. Das Sitzungscookie ist nur über verschlüsselte Verbindungen und nicht für Skripte zugänglich.

Das Speichern ist nach § 25 Abs. 2 Nr. 2 TDDDG unbedingt erforderlich, um den von Ihnen aufgerufenen Dienst bereitzustellen; eine Einwilligung ist dafür nicht erforderlich. Für die damit verbundene Verarbeitung gilt Art. 6 Abs. 1 S. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren Betrieb der Academy.

Setzen Sie bei der Anmeldung im Lernbereich den Haken bei „Angemeldet bleiben“, legen wir ein weiteres Cookie ab, dessen Name mit „remember_web_“ beginnt. Es enthält in verschlüsselter Form eine Kennung Ihres Kontos und einen zufälligen Schlüssel und erspart Ihnen die erneute Anmeldung. Ohne den Haken entsteht es nicht.

Das Cookie läuft nach rund 400 Tagen ab. Es wird gelöscht, wenn Sie sich abmelden, und verliert seine Wirkung, sobald Sie Ihr Passwort ändern. Rechtsgrundlage für das Speichern ist § 25 Abs. 2 Nr. 2 TDDDG, weil Sie die Funktion ausdrücklich wählen, für die Verarbeitung Art. 6 Abs. 1 S. 1 lit. f DSGVO.

Cloudflare stuft jede Anfrage ein, um Angriffe abzuwehren (siehe „Auslieferung über Cloudflare“). Spielt der Dienst dabei eine Sicherheitsabfrage aus, setzt er ein Cookie. Es hält allein fest, dass die Abfrage bestanden wurde, damit Sie sie nicht auf jeder weiteren Seite erneut durchlaufen müssen.

Die Abfrage erscheint, sobald der Dienst eine Anfrage für verdächtig hält. Das kann eine Angriffswelle sein, ebenso aber eine einzelne Anfrage, die ihm ungewöhnlich vorkommt, etwa aus einem Anonymisierungsdienst, über eine auffällige Netzadresse oder aus einer ungewöhnlich eingestellten Browserumgebung. Nach welchen Merkmalen der Dienst das beurteilt, legt er selbst fest und teilt es uns nicht mit. Beim gewöhnlichen Besuch bekommen Sie in aller Regel keine Abfrage zu sehen. Ausschließen können wir es nicht.

Das Speichern ist für den Betrieb unbedingt erforderlich im Sinne von § 25 Abs. 2 Nr. 2 TDDDG; eine Einwilligung ist dafür nicht erforderlich. Für die damit verbundene Verarbeitung gilt Art. 6 Abs. 1 S. 1 lit. f DSGVO, mit dem berechtigten Interesse an der Abwehr von Angriffen.

Ihre Einstellungen

Ihre Wahl der Darstellung (hell, dunkel oder wie das Gerät) und Ihre Sprache speichern wir bei Ihrem Konto und nicht in Ihrem Browser. Wer nicht angemeldet ist, bekommt die Sprache, die sein Browser von sich aus anfragt; gespeichert wird dazu nichts.

Schriften und Videos

Kurz gesagt: Schriften und Symbole kommen vom eigenen Server. Die Videos der Schulungen kommen von Bunny, einem Videodienst mit Sitz in der EU.

Schriften und Symbole

Alle Schriftarten werden von unserem eigenen Server geladen. Es besteht keine Verbindung zu Google Fonts oder einem vergleichbaren Dienst. Die Symbole sind fest in die Seiten eingesetzt und werden nicht nachgeladen.

Videos der Schulungen

Die Videos im Lernbereich liegen bei Bunny Stream, einem Dienst der BunnyWay d.o.o. mit Sitz in Slowenien. Ihr Browser lädt den Videoplayer und das Video unmittelbar von Bunny. Bunny erhält dabei Ihre IP-Adresse und die üblichen Angaben zu Browser und Gerät. Die Adresse eines Videos ist signiert und nur für kurze Zeit gültig; das verhindert, dass ein Video außerhalb der Academy abgespielt wird.

Bunny liefert über ein weltweites Netz von Standorten aus und wählt den Standort, der Ihnen am nächsten liegt. Wer aus Deutschland oder Österreich lernt, wird in aller Regel aus der Europäischen Union beliefert. Halten Sie sich außerhalb der Europäischen Union auf, kann die Auslieferung über einen Standort außerhalb erfolgen. Eine Beschränkung auf Standorte in der EU lässt der Dienst für Videos derzeit nicht zu.

Bunny verarbeitet die Daten in unserem Auftrag; ein Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO besteht. Die Videos selbst enthalten keine Angaben über Sie. Eine automatische Transkription durch Bunny nutzen wir nicht.

Lernbereich

Kurz gesagt: Ihre Organisation entscheidet, wer welche Schulung absolviert, und bekommt den Nachweis. Wir führen den Lernbereich dafür in ihrem Auftrag; die Information dazu steht auf einer eigenen Seite. In eigener Verantwortung sichern wir Ihr Konto, führen ein Änderungsprotokoll und stellen das Zertifikat aus.

Wer wofür verantwortlich ist

Den Zugang zum Lernbereich erhalten Sie in aller Regel über eine Organisation, meist Ihren Arbeitgeber, die Schulungsplätze bei uns oder über einen unserer Vertriebspartner erworben hat. Diese Organisation entscheidet, wer an welcher Schulung teilnimmt, und nutzt die Ergebnisse als Nachweis. Für diese Verarbeitung ist die Organisation verantwortlich. Wir führen den Lernbereich insoweit als Auftragsverarbeiter nach Art. 28 DSGVO, nach ihrer Weisung und auf Grundlage eines Vertrags über die Auftragsverarbeitung.

Was dabei mit Ihren Daten geschieht, beschreibt die Datenschutzinformation für den Lernbereich, die wir im Auftrag Ihrer Organisation bereitstellen. Sind Sie angemeldet, nennt sie Ihre Organisation mit Anschrift und Datenschutzkontakt.

In eigener Verantwortung verarbeiten wir die Daten, die dem Schutz Ihres Kontos und unserer Systeme dienen, das Änderungsprotokoll sowie das Zertifikat und das Register zu seiner Echtheitsprüfung. Für diese Teile ist die lexICT GmbH Verantwortliche, und die folgenden Abschnitte sind insoweit unsere Information nach Art. 13 und 14 DSGVO.

Schutz Ihres Kontos

Wir halten fest, wann sich jemand an Ihrem Konto angemeldet hat und wann eine Anmeldung gescheitert ist, jeweils ohne IP-Adresse. Nach mehreren Fehlversuchen sperren wir das Konto für eine kurze, mit jedem weiteren Versuch wachsende Zeit. Um das massenhafte Ausprobieren von Zugangsdaten und Buchungscodes zu verhindern, begrenzen wir außerdem die Zahl der Anfragen je IP-Adresse und je Netz; die Zähler liegen nur im Arbeitsspeicher und verfallen nach wenigen Minuten.

Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, Ihr Konto und die Academy vor unbefugtem Zugriff zu schützen. Die Anmeldehistorie steht im Änderungsprotokoll und wird mit ihm gelöscht, spätestens aber mit Ihrem Konto.

Änderungsprotokoll

Was darin steht. Wir halten Vorgänge fest, die Konten und Zugänge verändern: die Anlage, Einladung und Freischaltung eines Kontos, die Zuweisung, Verlängerung und Freigabe einer Schulung, die Sperre eines Kontos, die Ausgabe und Sperre von Buchungscodes, die Anmeldungen an einem Konto und gescheiterte Anmeldeversuche sowie Löschungen. Jeder Eintrag sagt, was geschah, wann es geschah, welches Konto oder welche Schulung es betraf und wer es ausgelöst hat: eine Mitarbeiterin oder ein Mitarbeiter von lexICT, ein Ansprechpartner Ihrer Organisation oder ein automatischer Lauf. Bei Änderungen kommt der betroffene Wert hinzu, etwa welche Schulung welchem Konto zugewiesen wurde, und gegebenenfalls ein Grund.

Warum das personenbezogene Daten sind. Ein Eintrag nennt nicht Ihren Namen, wohl aber die Kennung Ihres Kontos. Über diese Kennung lässt sich jeder Eintrag Ihnen zuordnen, solange es Ihr Konto gibt. Damit sind Sie für uns identifizierbar, und das genügt nach Art. 4 Nr. 1 DSGVO. Schon der Vorgang selbst sagt etwas über Sie aus, etwa dass Ihnen eine Schulung entzogen, Ihr Konto gesperrt oder an Ihrem Konto mehrfach ein falsches Passwort eingegeben wurde. Hinzu kommt die handelnde Person: Der Eintrag nennt den Namen der Mitarbeiterin, des Mitarbeiters oder des Ansprechpartners, der den Vorgang ausgelöst hat, und hält damit fest, was diese Person getan hat.

Wird Ihr Konto gelöscht, führt die Kennung zu keinem Konto mehr, und wir entfernen die geänderten Werte aus den Einträgen. Ganz ausschließen lässt sich ein Bezug auf Sie trotzdem nicht. In einer kleinen Organisation können Zeitpunkt und Art eines Vorgangs auf eine bestimmte Person deuten. Wir behandeln die Einträge deshalb bis zu ihrer Löschung weiter als personenbezogen.

Wozu. Das Protokoll beantwortet die Frage, wer wann was an einem Zugang verändert hat. Sie stellt sich, wenn ein Konto missbraucht wurde und zu klären ist, seit wann und von wem, wenn eine Organisation wissen will, wer Zugänge angelegt oder entzogen hat, und wenn über die Plätze eines Vertragsjahres abzurechnen ist. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, Änderungen an Zugängen nachvollziehen und Missbrauch aufklären zu können.

Wie lange. Wir löschen jeden Eintrag zwölf Monate nach seiner Entstehung. Die Frist folgt dem Vertragsjahr: Die Fragen, für die es das Protokoll gibt, stellen sich innerhalb eines Vertragsjahres oder bei seiner Abrechnung, und ein Vertragsjahr dauert zwölf Monate. Eine kürzere Frist ließe Einträge verschwinden, bevor die Fragen dazu gestellt sind. Eine längere brächte für diese Fragen keinen zusätzlichen Erkenntniswert und hielte nur länger fest, wer wann was getan hat.

Zertifikat und Register zur Echtheitsprüfung

Zertifikat. Schließen Sie eine Schulung ab, stellen wir Ihnen ein Zertifikat mit Ihrem Namen, Ihrer Organisation, der Schulung, ihrem Umfang und dem Datum aus und senden es Ihnen als PDF an Ihre E-Mail-Adresse. Ihre Organisation kann es abrufen. Das Zertifikat trägt eine Dokumentnummer und wird von uns unterzeichnet. Wir löschen es zusammen mit Ihrem Konto, also 30 Tage nach dem Ende des Vertragsjahres. Ihre eigene Kopie in Ihrem Postfach bleibt davon unberührt.

Register. Damit wir auch danach beantworten können, ob ein vorgelegtes Zertifikat von uns stammt und unverändert ist, führen wir ein Register. Darin stehen je Zertifikat die Dokumentnummer, eine Prüfsumme der PDF-Datei, das Ausstellungsdatum, die Schulung mit Umfang und Sprache sowie die Organisation. Ihr Name steht nicht darin. Wer uns ein Zertifikat vorlegt, kann es über die Prüfsumme mit dem Register abgleichen lassen. Das Register bewahren wir drei Jahre ab Ausstellung auf und löschen den Eintrag danach.

Rechtsgrundlage für Zertifikat und Register ist Art. 6 Abs. 1 S. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, Ihnen einen Nachweis über die abgeschlossene Schulung auszustellen und dessen Echtheit auf Nachfrage bestätigen zu können.

Herkunft der Daten. Soweit wir Daten in eigener Verantwortung verarbeiten, stammen sie aus Ihrer Nutzung des Lernbereichs und aus den Angaben, die Ihre Organisation, ein Vertriebspartner in deren Auftrag oder Sie selbst bei der Einrichtung Ihres Kontos gemacht haben.

Bestellung im Shop

Kurz gesagt: Der Shop richtet sich an Unternehmen. Für eine Bestellung brauchen wir Firma, Anschrift, Ansprechpartner und Rechnungsadresse. Bezahlt wird bei Stripe; Kartendaten sehen wir nicht.

Bei einer Bestellung erfassen wir Firma und Anschrift, Vorname und Nachname der bestellenden Person, die E-Mail-Adresse für Rechnung und Bestätigung sowie gegebenenfalls die Umsatzsteuer-Identifikationsnummer und eine Bestellreferenz. Dazu halten wir fest, dass und wann Sie bestätigt haben, als Unternehmen zu bestellen und die Informationen zum Lehrgang gelesen zu haben. Der Warenkorb liegt bis zur Bestellung als Entwurf bei uns und ist über das Sitzungscookie Ihrem Browser zugeordnet.

Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO, soweit die Bestellung auf einen Vertrag mit Ihnen gerichtet ist. Bestellen Sie für Ihr Unternehmen, verarbeiten wir Ihre Angaben als dessen Ansprechpartner nach Art. 6 Abs. 1 S. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Abwicklung des Vertrags mit Ihrem Unternehmen.

Zahlung über Stripe

Bezahlt wird über die Bezahlseite von Stripe. Anbieter für Kunden im Europäischen Wirtschaftsraum ist die Stripe Payments Europe, Limited, Irland. Ihre Zahlungsdaten, etwa die Kartennummer, geben Sie dort ein; sie erreichen unsere Systeme nicht. Wir übermitteln an Stripe Firma, Anschrift, Land, Rechnungsadresse, Umsatzsteuer-Identifikationsnummer, die bestellten Positionen und die Bestellnummer. Stripe stellt auf dieser Grundlage auch die Rechnung aus und versendet sie. Von Stripe erhalten wir die Bestätigung der Zahlung, die Zahlart und die Angaben zur Rechnung.

Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO, im Übrigen lit. f mit dem berechtigten Interesse an einer sicheren Zahlungsabwicklung. Stripe verwendet die Daten auch für eigene Zwecke, etwa zur Verhinderung von Betrug, und ist insoweit selbst verantwortlich. Soweit Daten an die Stripe, Inc. in den Vereinigten Staaten übermittelt werden, stützt sich die Übermittlung auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-U.S. Data Privacy Framework; ergänzend gelten die Standardvertragsklauseln. Weitere Angaben finden Sie in der Datenschutzerklärung von Stripe unter stripe.com/de/privacy.

Prüfung der Umsatzsteuer-Identifikationsnummer

Geben Sie eine Umsatzsteuer-Identifikationsnummer aus einem anderen Mitgliedstaat an, lassen wir sie beim Bundeszentralamt für Steuern nach § 18e UStG bestätigen. Dazu übermitteln wir die Nummer zusammen mit Firma, Straße, Postleitzahl und Ort. Das Ergebnis bewahren wir bei der Bestellung auf. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, die umsatzsteuerliche Behandlung der Rechnung abzusichern.

Aufbewahrung

Die Rechnung zu einer Bestellung im Shop stellt Stripe aus (siehe „Zahlung über Stripe“). Rechnungen und die zugehörigen Buchungsbelege bewahren wir nach § 147 Abs. 3 AO und § 257 Abs. 4 HGB acht Jahre auf, Geschäftsbriefe sechs Jahre, jeweils ab dem Ende des Kalenderjahres, in dem sie entstanden sind. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. c DSGVO.

Anfrage an den Vertrieb

Kurz gesagt: Wer mehr Plätze braucht, als der Shop anbietet, schreibt uns über das Anfrageformular. Wir verwenden die Angaben nur für die Antwort.

Über das Anfrageformular erfassen wir Firma, Ihren Namen, Ihre E-Mail-Adresse, freiwillig Ihre Telefonnummer, die Zahl der gewünschten Plätze und Ihre Nachricht, dazu gegebenenfalls den Inhalt Ihres Warenkorbs. Wir speichern die Anfrage in der Academy, um sie zu bearbeiten. Um Missbrauch zu verhindern, begrenzen wir die Zahl der Anfragen je IP-Adresse; die Zähler verfallen nach einer Stunde.

Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO, soweit Ihre Anfrage auf den Abschluss eines Vertrages gerichtet ist, im Übrigen Art. 6 Abs. 1 S. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Beantwortung Ihres Anliegens. Wir löschen die Anfrage, wenn der Zweck entfallen ist, spätestens zum Ende des nachfolgenden Kalenderjahres. Kommt ein Vertrag zustande, gelten für Rechnungen und Buchungsbelege die Fristen aus „Aufbewahrung“.

Bereich für Vertriebspartner

Kurz gesagt: Vertriebspartner haben einen eigenen, mit zweitem Faktor gesicherten Zugang. Hochgeladene Teilnahmelisten liegen höchstens 24 Stunden bei uns.

Für die Personen, die bei einem Vertriebspartner den Partnerbereich nutzen, speichern wir Name, E-Mail-Adresse, das Passwort als nicht umkehrbaren Hashwert, das Geheimnis für den zweiten Faktor in verschlüsselter Form sowie die Zeitpunkte von Einladung und letzter Anmeldung. Zum Partner selbst führen wir Firma, Anschrift, Umsatzsteuer-Identifikationsnummer und Rechnungsadresse.

Lädt ein Partner eine Teilnahmeliste hoch, enthält sie Vorname, Nachname und E-Mail-Adresse der Teilnehmenden und die gewählten Schulungen. Die Datei liegt bis zur Übernahme, höchstens 24 Stunden, auf unserem Server und wird danach gelöscht. Was aus ihr übernommen wird, verarbeiten wir wie unter „Lernbereich“ beschrieben. Den Lernstand und die Zertifikate der Teilnehmenden sieht der Partner nicht.

Die Rechnungen an Partner erstellen wir in Lexware Office, einem Dienst der Haufe-Lexware GmbH & Co. KG. Dorthin gehen die Rechnungsangaben des Partners und die Positionen, bei Verkäufen an einen Kunden des Partners auch dessen Name, nicht aber Angaben über Teilnehmende. Lexware verarbeitet die Daten in unserem Auftrag; ein Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO besteht.

Rechtsgrundlage für die Zugänge ist Art. 6 Abs. 1 S. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Zusammenarbeit mit dem Partner. Zugangsdaten löschen wir, wenn der Zugang endet. Rechnungsangaben bewahren wir nach § 147 Abs. 3 AO und § 257 Abs. 4 HGB acht Jahre auf (Rechtsgrundlage Art. 6 Abs. 1 S. 1 lit. c DSGVO).

E-Mail, Telefon und Telefax

Kurz gesagt: Die Mails der Academy versendet SMTP2GO in der Europäischen Union, unsere Postfächer für den Support liegen bei Microsoft 365. Beide sind Auftragsverarbeiter, beide sehen den Inhalt im Klartext. Ende zu Ende ist das nicht.

Kontakt

Nehmen Sie per E-Mail, Telefon oder Telefax Kontakt auf, verarbeiten wir die dabei anfallenden Angaben zur Bearbeitung Ihres Anliegens. Rechtsgrundlagen sind Art. 6 Abs. 1 S. 1 lit. b und lit. f DSGVO. Wir löschen die Daten nach Zweckfortfall, spätestens zum Ende des nachfolgenden Kalenderjahres, soweit keine gesetzliche Aufbewahrungspflicht besteht.

Versand und Postfächer

Die Mails der Academy, also Einladungen, Zertifikate, Erinnerungen und Bestätigungen, versendet die SMTP2GO Ltd., 40 Bowen Street, Wellington 6011, Neuseeland, über ihre Instanz in der Europäischen Union mit Standort Amsterdam. SMTP2GO verarbeitet dabei Name, E-Mail-Adresse und Inhalt der Mail, beim Zertifikat auch das angehängte PDF, und meldet uns zurück, ob eine Mail zugestellt wurde. SMTP2GO verarbeitet die Daten in unserem Auftrag; ein Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO besteht. Soweit Daten nach Neuseeland übermittelt werden, stützt sich die Übermittlung auf den Angemessenheitsbeschluss der Europäischen Kommission für Neuseeland (2013/65/EU).

Schreiben Sie uns, etwa mit einer Frage zur Academy, oder antworten Sie auf eine Mail der Academy, landet Ihre Nachricht in unseren Postfächern bei der Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Microsoft verarbeitet die Daten in unserem Auftrag; Grundlage ist das Data Protection Addendum von Microsoft nach Art. 28 DSGVO. Die Verarbeitung findet nach den Zusagen von Microsoft für die EU-Datengrenze innerhalb der Europäischen Union statt. Soweit Daten an die Microsoft Corporation in den Vereinigten Staaten übermittelt werden, stützt sich die Übermittlung auf den Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework, unter dem die Microsoft Corporation zertifiziert ist; ergänzend gelten die Standardvertragsklauseln.

Unser Server übergibt die Mails über eine von Beginn an verschlüsselte SMTP-Verbindung an SMTP2GO, mindestens mit TLS 1.2. Ob die Zustellung an Ihren eigenen Anbieter verschlüsselt erfolgt, entscheidet dessen Einstellung, nicht unsere. Eine Ende-zu-Ende-Verschlüsselung leistet der Weg über E-Mail nicht.

Übermittlung von Daten

Kurz gesagt: Über die genannten Dienstleister und Ihre Organisation hinaus geben wir nichts weiter. Ausnahmen nur bei Ihrer Einwilligung, bei einer gesetzlichen Pflicht oder zur Verteidigung von Rechtsansprüchen.

Eine Übermittlung Ihrer personenbezogenen Daten an Dritte findet über die oben genannten Empfänger hinaus grundsätzlich nicht statt. Ausnahmen können sich ergeben, wenn

Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt. Ob Sie eine Abschlussfrage bestanden haben, ergibt sich zwar automatisch aus Ihren Antworten; es entscheidet aber nur über den Fortgang in der Schulung und entfaltet Ihnen gegenüber keine rechtliche Wirkung.

Betroffenenrechte und Beschwerderecht

Kurz gesagt: Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit: Dafür genügt uns gegenüber eine E-Mail. Geht es um den Lernbereich, ist Ihre Organisation die richtige Stelle; wir leiten weiter. Zusätzlich haben Sie das Recht, sich bei einer Aufsichtsbehörde zu beschweren.

Als betroffene Person haben Sie das Recht,

Soweit wir verantwortlich sind, genügt zur Geltendmachung eine E-Mail an [email protected]. Für den Teil des Lernbereichs, den wir im Auftrag Ihrer Organisation führen, richten sich diese Rechte gegen Ihre Organisation. Sie können sich trotzdem an uns wenden; wir leiten Ihr Anliegen dann an sie weiter und unterstützen sie bei der Antwort.

Zudem haben Sie das Recht, nach Art. 77 DSGVO Beschwerde bei einer Aufsichtsbehörde einzulegen. In der Regel können Sie sich an die Aufsichtsbehörde Ihres üblichen Aufenthaltsorts, Ihres Arbeitsplatzes oder unseres Geschäftssitzes wenden. Für unseren Geschäftssitz zuständig ist der Landesbeauftragte für den Datenschutz Niedersachsen, Denis Lehmkemper, Prinzenstraße 5, 30159 Hannover.

Widerspruchsrecht

Kurz gesagt: Gegen Verarbeitungen, die wir auf berechtigte Interessen stützen, können Sie aus Gründen Ihrer besonderen Situation widersprechen.

Soweit wir Ihre personenbezogenen Daten auf Grundlage berechtigter Interessen nach Art. 6 Abs. 1 S. 1 lit. f DSGVO verarbeiten, haben Sie nach Art. 21 DSGVO das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch einzulegen. Richtet sich Ihr Widerspruch gegen Direktwerbung, gilt das Widerspruchsrecht ohne weitere Begründung.

Eine E-Mail an [email protected] genügt.

Datensicherheit

Kurz gesagt: Die Academy ist nur verschlüsselt erreichbar, aber nicht von Ende zu Ende; Cloudflare und der Versanddienst sehen die Inhalte im Klartext. Passwörter liegen nur als Hashwert vor. Unsere Mitarbeiterinnen und Mitarbeiter und die Vertriebspartner melden sich mit zweitem Faktor an.

Verschlüsselte Übertragung. Die Academy ist ausschließlich über HTTPS erreichbar; ein Aufruf über eine unverschlüsselte Verbindung wird auf die verschlüsselte umgeleitet. Ihr Browser wird angewiesen, die Academy ein Jahr lang nur verschlüsselt aufzurufen. Eingesetzt wird TLS in den Fassungen 1.2 und 1.3; ältere Fassungen sind abgeschaltet.

Die Verbindung besteht dabei aus zwei Abschnitten. Zwischen Ihrem Browser und Cloudflare gilt das dort ausgestellte Zertifikat. Zwischen Cloudflare und unserem Server steht ein eigenes, automatisch erneuertes Zertifikat; auch dieser zweite Abschnitt ist verschlüsselt, und die Echtheit unseres Servers wird dabei geprüft. Die Verschlüsselung sichert den Transport, nicht den gesamten Weg von Ende zu Ende: Cloudflare und der Versanddienst verarbeiten die Inhalte jeweils im Klartext.

Zugänge. Passwörter speichern wir nur als nicht umkehrbaren Hashwert. Unsere Mitarbeiterinnen und Mitarbeiter sowie die Vertriebspartner melden sich zusätzlich mit einem zweiten Faktor an. Ändern Sie Ihr Passwort, enden Ihre anderen Sitzungen, auch solche über „Angemeldet bleiben“.

Darüber hinaus treffen wir geeignete technische und organisatorische Maßnahmen, um Ihre Daten gegen Verlust, Zerstörung, Veränderung und unbefugten Zugriff zu schützen. Wir passen diese Maßnahmen fortlaufend an den Stand der Technik an.

Aktualität und Änderung dieser Datenschutzinformation

Kurz gesagt: Stand Oktober 2026. Änderungen erscheinen auf dieser Seite.

Diese Datenschutzinformation hat den Stand Oktober 2026. Durch die Weiterentwicklung der Academy oder aufgrund geänderter rechtlicher Vorgaben kann es notwendig werden, sie zu ändern. Die jeweils aktuelle Fassung können Sie jederzeit auf dieser Seite abrufen. Für den Internetauftritt unter lexict.de gilt die dortige Datenschutzinformation.