Rechtliches
Datenschutzerklärung
Stand: 24. August 2026
Verantwortung und Rechtsgrundlagen
1. Verantwortlicher
Verantwortlich für die Verarbeitung personenbezogener Daten auf der Lernplattform „Du bestehst!“ ist: Dr. Lachhein Consulting GmbH Jägerstraße 48 10117 Berlin Deutschland Geschäftsführer: Dr. Sven Lachhein E-Mail: kontakt@drlc.de Telefon: +49 163 364 9003 Fragen zum Datenschutz und die Ausübung von Datenschutzrechten können an kontakt@drlc.de gerichtet werden.
2. Für wen und wofür diese Erklärung gilt
Diese Erklärung gilt für Besucher unserer Website, registrierte Schüler, zahlende Eltern oder andere Sorgeberechtigte, Teilnehmer am Live-Unterricht, Lehrer, Bewerber sowie Personen, die mit uns kommunizieren. Unser Angebot richtet sich auch an minderjährige Schüler. Kostenpflichtige Verträge für Minderjährige werden grundsätzlich durch einen volljährigen gesetzlichen Vertreter geschlossen. Daten des Schülers bleiben seine eigenen personenbezogenen Daten; Elternrechte und die Datenschutzrechte des Kindes sind deshalb jeweils gesondert zu beachten. Wir erheben grundsätzlich keine Gesundheitsdaten oder anderen besonderen Kategorien personenbezogener Daten. Bitte tragen Sie solche Angaben nicht in Freitextfelder ein, wenn wir nicht ausdrücklich darum bitten und eine passende Rechtsgrundlage erläutern.
3. Allgemeine Rechtsgrundlagen
Je nach Verarbeitung stützen wir uns insbesondere auf: • Art. 6 Abs. 1 Buchstabe b DSGVO, wenn Daten für ein Nutzerverhältnis, eine Buchung, eine Zahlung oder die Durchführung des Unterrichts erforderlich sind; • Art. 6 Abs. 1 Buchstabe c DSGVO, wenn wir gesetzliche Pflichten erfüllen, insbesondere handels- oder steuerrechtliche Dokumentationspflichten; • Art. 6 Abs. 1 Buchstabe f DSGVO, wenn die Verarbeitung für berechtigte Interessen erforderlich ist, etwa für IT-Sicherheit, Missbrauchsabwehr, Organisation des Unterrichts, Rechtsverteidigung oder den sicheren wirtschaftlichen Betrieb, und keine überwiegenden Interessen der betroffenen Person entgegenstehen; • Art. 6 Abs. 1 Buchstabe a DSGVO, wenn wir ausdrücklich um eine freiwillige Einwilligung bitten, etwa für optionale Marketingattribution; • § 26 BDSG und ergänzend Art. 6 Abs. 1 Buchstabe b DSGVO, soweit Bewerbungsdaten für die Entscheidung über ein Beschäftigungs- oder sonstiges Vertragsverhältnis verarbeitet werden. Soweit der Schüler nicht selbst Vertragspartei eines entgeltlichen Vertrags ist, verarbeiten wir die zur Erbringung der für ihn gebuchten Leistung erforderlichen Daten auf Grundlage des mit Einwilligung der Sorgeberechtigten eingerichteten Nutzungsverhältnisses und ergänzend unseres berechtigten Interesses, die ausdrücklich für ihn bestellte Leistung sicher und nachvollziehbar zu erbringen.
Protokolle, Cookies und Sitzungen
4. Aufruf der Website, Hosting und Serverprotokolle
Beim Aufruf der Website werden technisch erforderliche Verbindungsdaten verarbeitet. Dazu können gehören: • IP-Adresse; • Datum und Uhrzeit des Zugriffs; • aufgerufene Adresse und übertragene Datenmenge; • HTTP-Status und Fehlermeldungen; • Referrer, soweit vom Browser übermittelt; • Browser, Betriebssystem, Gerätetyp und User-Agent. Die Verarbeitung ist erforderlich, um die Website auszuliefern, Störungen zu erkennen, Angriffe abzuwehren und die Sicherheit nachzuvollziehen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe f DSGVO. Unser berechtigtes Interesse ist der sichere und stabile Betrieb des Angebots. Die Anwendung wird bei einem technischen Hosting-Dienstleister innerhalb der Europäischen Union betrieben. Der Hosting-Dienstleister verarbeitet die für Bereitstellung, Sicherheit und Wartung erforderlichen Daten in unserem Auftrag und ist nach Art. 28 DSGVO vertraglich gebunden. Serverprotokolle werden nur so lange gespeichert, wie dies für den sicheren und stabilen Betrieb, die Fehleranalyse und die Abwehr von Angriffen erforderlich ist. Bei einem konkreten Sicherheitsvorfall, zur Rechtsverfolgung oder aufgrund gesetzlicher Pflichten können betroffene Protokolle länger aufbewahrt werden.
5. Cookies und ähnliche Technologien
Cookies sind kleine Informationen, die auf dem Endgerät gespeichert oder von dort ausgelesen werden. Für technisch nicht erforderliche Cookies und vergleichbare Speichertechnologien holen wir vorab eine Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 Buchstabe a DSGVO ein. Technisch unbedingt erforderliche Speicherungen stützen wir auf § 25 Abs. 2 Nr. 2 TDDDG.
5.1 Eigene Cookies
Name: du_bestehst_session · Zweck: Anmeldung, Zuordnung einer sicheren Sitzung und Schutz des Kontos · Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG; Art. 6 Abs. 1 Buchstabe b und f DSGVO · Laufzeit: bis zu 30 Tage; beim Logout im Browser gelöscht Name: du_bestehst_first_touch · Zweck: zufällige Kennung zur Zuordnung einer freiwillig erfassten ersten Marketingquelle · Rechtsgrundlage: Einwilligung: § 25 Abs. 1 TDDDG; Art. 6 Abs. 1 Buchstabe a DSGVO · Laufzeit: bis zu 365 Tage oder bis zum Widerruf Das Sitzungscookie ist HttpOnly, wird in Produktion nur verschlüsselt übertragen und ist mit SameSite=Lax konfiguriert. Serverseitig speichern wir nur einen Hash des Sitzungstokens sowie Sicherheitsdaten wie IP-Adresse und User-Agent. Die First-Touch-Attribution wird nur nach einer gesonderten, nicht vorangekreuzten Zustimmung aktiviert. Dabei können Startseite, Herkunftsadresse in gekürzter Form sowie UTM-Parameter wie Quelle, Medium, Kampagne, Inhalt und Suchbegriff gespeichert werden. Die Einwilligung kann jederzeit per E-Mail an kontakt@drlc.de mit Wirkung für die Zukunft widerrufen werden; Cookie und zugehöriger Datensatz werden dann gelöscht.
5.2 Stripe und Zoom auf unserer Website
Stripe wird erst geladen, wenn eine zahlende Person den Bezahlvorgang ausdrücklich startet. Erforderliche Speichertechnologien für Checkout, Authentifizierung sowie Zahlungs- und Betrugssicherheit können dann ohne gesonderte Einwilligung zulässig sein. Komfort-, Analyse- oder Werbefunktionen von Stripe werden nicht vor einer erforderlichen Einwilligung aktiviert. Einzelheiten zu den von Stripe eingesetzten Technologien enthält die unten verlinkte Cookie-Richtlinie von Stripe. Zoom wird auf unserer Website nicht eingebettet. Eine Verbindung zu Zoom entsteht erst, wenn ein Teilnehmer den geschützten Meetinglink öffnet. Für Cookies und andere Technologien auf der Zoom-Seite ist Zoom nach Maßgabe seiner eigenen Datenschutzhinweise verantwortlich. Wir setzen derzeit keine externen Reichweitenanalyse-, Werbe- oder Social-Media-Pixel ein.
Konto, Lernen und Termine
6. Registrierung, Konto und Authentifizierung
Bei Registrierung und Kontonutzung verarbeiten wir je nach Rolle insbesondere: • E-Mail-Adresse, Name und Anzeigename; • Passwort nur als kryptografischen Hash; • Rollen, Kontostatus sowie Verifikations- und Loginzeitpunkte; • gewähltes Lernziel, Klasse oder Jahrgang, Abschlussjahr, Schule, Prüfungstermin und freiwillige Ausgangslage; • bei Minderjährigen die Zuordnung zu einer zahlenden oder sorgeberechtigten Person; • Sitzungs-, Sicherheits- und Missbrauchsdaten, insbesondere Token-Hash, IP-Adresse und User-Agent. Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe b DSGVO. Sicherheitsprotokolle und Maßnahmen gegen Mehrfachregistrierung, Angriffe und Missbrauch stützen wir ergänzend auf Art. 6 Abs. 1 Buchstabe f DSGVO. Verifikationslinks sind bis zu 24 Stunden, Passwort-Reset-Links bis zu einer Stunde und Einladungen für Lehrer bis zu sieben Tage gültig. Die zugrunde liegenden Token werden nur gehasht gespeichert und nach Ablauf beziehungsweise Verwendung technisch zu löschen. Kontodaten werden grundsätzlich für die Dauer des Nutzungsverhältnisses gespeichert. Nach einer Kontolöschung löschen oder anonymisieren wir die nicht mehr erforderlichen Daten grundsätzlich innerhalb von 30 Tagen. Gesetzliche Aufbewahrungspflichten, die Abwehr oder Durchsetzung von Ansprüchen und noch bestehende bezahlte Rechte können eine längere, auf das Erforderliche beschränkte Speicherung rechtfertigen. Besteht ein dauerhaftes Themenrecht, können wir den dafür erforderlichen minimalen Berechtigungs- und Kaufnachweis so lange speichern, wie die berechtigte Person dieses Recht nutzen möchte. Vor einer vollständigen Löschung erläutern wir, ob das Recht auf ein neues verifiziertes Konto übertragen werden kann oder auf Wunsch aufgegeben wird.
7. Diagnostik, Lernprofil und Lernfortschritt
Zur Bereitstellung des Lernangebots verarbeiten wir insbesondere: • ausgewählten Abschluss, Kurs und Themen; • Diagnostikdurchläufe, Aufgaben, Antworten, Ergebnisse und Zeitpunkte; • Kompetenzstände, Fehlermuster, Lernfortschritt und Wiederholungen; • Lernempfehlungen, vorgeschlagene nächste Schritte und Status einzelner Themen; • Unterrichtsteilnahme, kurze pädagogische Zusammenfassungen und nächste Lernschritte. Zweck ist, den Lernstand abzubilden, passende Inhalte vorzuschlagen, Fortschritt über Sitzungen hinweg zu speichern und den Unterricht vorzubereiten. Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe b DSGVO. Soweit Eltern ein Konto für ihr Kind anlegen oder Daten des Kindes mitteilen, stammen die Daten zusätzlich von ihnen; das Kind wird hierüber altersgerecht informiert. Automatisch erzeugte Lernempfehlungen und Prognosen dienen ausschließlich der pädagogischen Orientierung. Sie entfalten keine rechtliche oder vergleichbar erhebliche Wirkung und sind keine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO. Ein bestimmtes Prüfungsergebnis wird daraus nicht abgeleitet oder garantiert. Lern- und Fortschrittsdaten werden grundsätzlich für die Dauer des Kontos gespeichert und anschließend nach den Regeln in Ziffer 6 gelöscht oder anonymisiert. Soweit Unterrichtsnachweise zur Abwicklung eines Vertrags oder zur Rechtsverteidigung erforderlich sind, können die dafür erforderlichen Ausschnitte länger gespeichert werden.
8. Nachfrage, Terminbuchung, Teilnahme und Unterrichtsberichte
Für die Planung und Durchführung von Gruppen- und Einzelunterricht können wir verarbeiten: • gewünschtes Thema, Unterrichtsart, Wochentag und Zeitfenster; • frühestes gewünschtes Datum, Ablaufdatum einer Nachfrage und Benachrichtigungswunsch; • gebuchten Termin, Lehrer, Status, Stornierung und Stornogrund; • Teilnahme, Verspätung, entschuldigte oder unentschuldigte Abwesenheit und Minutenangaben; • freiwillige Hinweise des Schülers; • knappe Unterrichtszusammenfassung und empfohlener nächster Schritt; • Kommunikation zur Verfügbarkeit sowie administrative Auditdaten. Zwecke sind Bedarfsplanung, Buchung, Zugangskontrolle zum Meeting, Durchführung, Guthabenverwaltung und Nachweis der Leistung. Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe b DSGVO; Kapazitätsplanung, Missbrauchsabwehr und die Dokumentation von Störungen stützen wir ergänzend auf Art. 6 Abs. 1 Buchstabe f DSGVO. Lehrer sehen nur die Daten, die sie für die Vorbereitung und Durchführung ihrer Termine benötigen. Andere Teilnehmer eines Gruppentermins können Anzeigename, Bild, Stimme sowie selbst freigegebene Chat-, Bildschirm- oder sonstige Beiträge wahrnehmen. Nicht mehr aktive, personenbezogene Nachfrageeinträge werden spätestens 90 Tage nach ihrem Ablauf gelöscht oder so anonymisiert, dass nur eine statistische Nachfrage verbleibt. Termin-, Storno- und Teilnahmeinformationen werden grundsätzlich bis zum Ende des dritten Kalenderjahres nach dem Termin aufbewahrt, soweit keine längere gesetzliche Pflicht oder ein laufender Streit besteht.
Bestellungen, Guthaben und Stripe
9.1 Von uns verarbeitete Bestell- und Zahlungsdaten
Bei einer Bestellung verarbeiten wir insbesondere: • zahlenden Käufer und begünstigten Schüler sowie deren Zuordnung; • Produkt, Thema, Menge, Preis, Währung und Bestellzeitpunkt; • Bestell-, Zahlungs- und Transaktionskennung; • Zahlungsstatus, verwendete Zahlungsart in begrenzter Form; • Rückerstattungen, Rückbuchungen, Zahlungsstreitigkeiten und zugehörige Kommunikation; • Guthaben, Berechtigungen und deren Nutzung. Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe b DSGVO. Steuer- und handelsrechtliche Dokumentation erfolgt nach Art. 6 Abs. 1 Buchstabe c DSGVO. Betrugs-, Missbrauchs- und Anspruchsabwehr stützen wir auf Art. 6 Abs. 1 Buchstabe f DSGVO.
9.2 Zahlungsdienstleister Stripe
Für die Zahlungsabwicklung nutzen wir Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland, und die für die gewählte Zahlungsmethode beteiligten Stripe-Gesellschaften. Stripe kann insbesondere folgende Daten erhalten: • Name, E-Mail-Adresse und Rechnungsdaten; • Zahlungsart, Karten- oder Bankdaten; • Betrag, Währung, Produkt- und Bestellbeschreibung; • Zahlungs-, Rückerstattungs-, Rückbuchungs- und Streitstatus; • IP-Adresse, Geräte-, Browser- und Standortindikatoren; • interne Kunden-, Bestell- und Transaktionskennungen. Die vollständigen Karten- oder Bankdaten werden in der von Stripe bereitgestellten Zahlungsoberfläche unmittelbar von Stripe erhoben und von uns nicht gespeichert. Wir erhalten insbesondere eine Transaktionskennung, Statusinformationen und begrenzte Angaben zur Zahlungsmethode. Stripe verarbeitet Daten je nach Zweck als unser Auftragsverarbeiter oder in eigener datenschutzrechtlicher Verantwortung. Eigene Zwecke von Stripe können insbesondere die Einbindung von Banken, Kartensystemen und gewählten Zahlungsmethoden, regulatorische Pflichten, Geldwäscheprävention, Betrugs- und Verlustprävention, Sicherheit, Abrechnung und Verbesserung der Zahlungsdienste sein. Stripe kann Daten an Banken, Kartensysteme, Anbieter der gewählten Zahlungsmethode, Identitäts- und Betrugsprüfer, verbundene Unternehmen, Unterauftragsverarbeiter und zuständige Behörden weitergeben. Auch bei einem abgebrochenen Checkout kann Stripe bereits eingegebene Daten nach seinen eigenen Regeln verarbeiten. Weitere Informationen: • Datenschutzerklärung von Stripe: https://stripe.com/de/privacy • Stripe Data Processing Agreement: https://stripe.com/legal/dpa • Stripe-Unterauftragsverarbeiter: https://stripe.com/legal/service-providers • Stripe Cookie Policy: https://stripe.com/de/legal/cookies-policy
9.3 Drittlandübermittlungen durch Stripe
Stripe kann Daten unter anderem an Stripe, LLC in den USA sowie an verbundene Unternehmen und Unterauftragsverarbeiter in weiteren Ländern übermitteln. Für Übermittlungen an zertifizierte US-Empfänger stützt Stripe sich auf das EU-US Data Privacy Framework und die Angemessenheitsentscheidung der Europäischen Kommission. Soweit dies nicht greift, sieht der Stripe-Datentransferzusatz insbesondere die Standardvertragsklauseln der Europäischen Kommission vor. Weitere Informationen: • Stripe Data Transfers Addendum: https://stripe.com/legal/dta • Stripe Data Privacy Framework Policy: https://stripe.com/legal/data-privacy-framework
Live-Termine über Zoom
10.1 Daten und Zwecke
Für Live-Unterricht nutzen wir Zoom, einen Dienst der Zoom Communications, Inc., 55 Almaden Boulevard, Suite 600, San José, CA 95113, USA. Je nach Kontovertrag können verbundene Zoom-Gesellschaften beteiligt sein. Beim Anlegen, Öffnen und Durchführen eines Meetings können insbesondere verarbeitet werden: • Name oder Anzeigename und gegebenenfalls E-Mail-Adresse; • Meetingthema, Termin, Beginn, Ende sowie Beitritts- und Austrittszeit; • IP-Adresse, ungefähre Region, Geräte-, Browser-, Betriebssystem- und Verbindungsdaten; • verwendete Funktionen und Status von Mikrofon, Kamera und Bildschirmfreigabe; • Audio, Video, Chat, Umfragen, Whiteboard, Dateien oder Bildschirm-Inhalte, soweit der Teilnehmer diese Funktionen aktiv nutzt; • Support-, Sicherheits-, Diagnose- und Serverprotokolle. In einem Gruppentermin können Anzeigename, Bild, Stimme und freigegebene Inhalte für den Lehrer und andere Teilnehmer wahrnehmbar sein. Das Mikrofon, die Kamera und Freigabefunktionen werden grundsätzlich durch den Teilnehmer gesteuert. Zweck ist die Durchführung des gebuchten synchronen Unterrichts. Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe b DSGVO. Sicherheits-, Missbrauchs- und Störungsprotokolle stützen wir ergänzend auf Art. 6 Abs. 1 Buchstabe f DSGVO. Zoom verarbeitet Kundendaten grundsätzlich in unserem Auftrag. Für begrenzte eigene Betriebs-, Abrechnungs-, Sicherheits- und Rechtspflichten kann Zoom als eigenständig Verantwortlicher handeln.
10.2 Keine Aufzeichnung, Transkription oder KI-Zusammenfassung
Wir zeichnen Unterrichtsmeetings nicht auf und erstellen keine automatischen Transkripte. Zoom Cloud Recording, automatische Transkription und KI-Zusammenfassungen werden von uns nicht eingesetzt. Automatische Chat-Speicherung und nicht erforderliche Dateifreigaben werden deaktiviert. Sollten wir künftig ausnahmsweise eine Aufzeichnung beabsichtigen, informieren wir alle betroffenen Personen vorab gesondert über Zweck, Rechtsgrundlage, Empfänger und Löschfrist und holen eine erforderliche Einwilligung ein. Ohne diese gesonderte Information findet keine Aufzeichnung statt.
10.3 Minderjährige bei Zoom
Minderjährige unter 16 Jahren müssen für die Teilnahme kein eigenes Zoom-Konto anlegen und nehmen als Gäste über einen geschützten Meetinglink teil. Wir verwenden Warteraum oder Kenncode und stellen Meetinglinks nur angemeldeten beziehungsweise gezielt eingeladenen Personen bereit. Informationen von Zoom für Bildungsangebote an Minderjährige: • Zoom Children’s Educational Privacy Statement: https://www.zoom.com/en/trust/schools-privacy-statement/
10.4 Drittlandübermittlungen durch Zoom
Zoom kann Daten in den USA und weiteren Staaten außerhalb des Europäischen Wirtschaftsraums verarbeiten. Für Übermittlungen an nach dem EU-US Data Privacy Framework zertifizierte US-Empfänger stützt Zoom sich auf die Angemessenheitsentscheidung der Europäischen Kommission. Soweit diese nicht anwendbar ist, sieht der Zoom-Datenverarbeitungszusatz insbesondere die Standardvertragsklauseln der Europäischen Kommission vor. Weitere Informationen: • Zoom Privacy Statement: https://www.zoom.com/en/trust/privacy/privacy-statement/ • Zoom Global Data Processing Addendum: https://media.zoom.com/download/assets/zoom-global-dpa.pdf/dd327ebea27e11efb613d6ba63ed4cee • Zoom-Unterauftragsverarbeiter: https://www.zoom.com/en/trust/subprocessors/ • Zoom und DSGVO: https://www.zoom.com/en/trust/gdpr/
Kommunikation und Lehrerbewerbungen
11. E-Mail, Support und sonstige Kommunikation
Wenn Sie uns schreiben oder wir vertragsbezogene E-Mails senden, verarbeiten wir Absender- und Empfängerdaten, Zeitpunkte, Betreff, Inhalt, Anhänge und technische Versandinformationen. Zwecke sind Bearbeitung der Anfrage, Verifikation, Passwortzurücksetzung, Einladungen, Buchungs- und Zahlungsinformationen sowie sonstige Vertragskommunikation. Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe b DSGVO, bei allgemeinen Anfragen Art. 6 Abs. 1 Buchstabe f DSGVO und bei gesetzlich erforderlicher Kommunikation Art. 6 Abs. 1 Buchstabe c DSGVO. Für den Versand kann ein von uns konfigurierter E-Mail-Dienstleister als Auftragsverarbeiter eingesetzt werden. Dieser erhält nur die für den Versand, die Zustellung und die technische Absicherung der jeweiligen Nachricht erforderlichen Daten und ist nach Art. 28 DSGVO vertraglich gebunden. Allgemeine Korrespondenz wird grundsätzlich bis zum Ende des dritten Kalenderjahres nach Abschluss der Anfrage aufbewahrt. Steuer- oder handelsrechtlich relevante Nachrichten können nach den dafür geltenden längeren Fristen gespeichert werden.
12. Bewerbungen von Lehrern
Bei einer Bewerbung als Lehrer verarbeiten wir insbesondere: • Name und E-Mail-Adresse; • Hintergrund- oder Qualifikationskategorie und eine kurze fachliche Erläuterung; • ungefähre Verfügbarkeit; • Bestätigungen zu Volljährigkeit, Bedingungen und Datenschutzhinweis; • Status, Zeitpunkte und notwendige Auditinformationen. Bitte übermitteln Sie in diesem ersten Schritt keine Zeugnisse, Ausweiskopien, Geburtsdaten, Fotos, Führungszeugnisse, Bank- oder Steuerdaten und keine besonderen Kategorien personenbezogener Daten. Zweck ist die Prüfung einer möglichen Zusammenarbeit. Rechtsgrundlage ist § 26 Abs. 1 BDSG, soweit es um ein Beschäftigungsverhältnis geht, andernfalls Art. 6 Abs. 1 Buchstabe b DSGVO. Zur Abwehr möglicher Ansprüche können Daten nach Abschluss des Verfahrens vorübergehend auf Grundlage von Art. 6 Abs. 1 Buchstabe f DSGVO gespeichert werden. Offene Bewerbungen werden höchstens zwölf Monate gespeichert. Nach Ablehnung oder Einstellung des Verfahrens werden personenbezogene Bewerbungsdaten grundsätzlich spätestens nach sechs Monaten gelöscht. Bei wirksamem Rückzug löschen wir die personenbezogenen Bewerbungsdaten grundsätzlich unverzüglich; ein auf das Erforderliche reduzierter, möglichst personenfreier Auditnachweis kann verbleiben. Kommt eine Zusammenarbeit zustande, werden die erforderlichen Daten in die Vertragsakte übernommen.
Empfänger, Herkunft, Aufbewahrung und Rechte
13. Empfänger und Zugriff innerhalb des Angebots
Zugriff erhalten nur Personen und Stellen, die ihn für ihre Aufgabe benötigen. Dazu können gehören: • Beschäftigte und Administratoren; • die jeweils zuständigen Lehrer; • die zahlende oder sorgeberechtigte Person, soweit dies für Buchung, Zahlung, Zuordnung oder die vereinbarte Begleitung erforderlich ist; • Hosting-, E-Mail-, IT-Sicherheits- und Supportdienstleister; • Stripe und beteiligte Zahlungsstellen; • Zoom und dessen Unterauftragsverarbeiter; • Steuerberatung, Buchhaltung, Rechtsberatung und Versicherer; • Gerichte, Behörden und sonstige Stellen, wenn eine gesetzliche Pflicht besteht oder dies zur Rechtsverfolgung erforderlich ist. Auftragsverarbeiter werden vertraglich nach Art. 28 DSGVO gebunden. Wir verkaufen keine personenbezogenen Daten.
14. Herkunft der Daten
Wir erhalten Daten überwiegend direkt von der betroffenen Person. Bei Minderjährigen können Daten außerdem von Eltern oder anderen Sorgeberechtigten stammen. Buchungs-, Anwesenheits- und Unterrichtsinformationen können von Lehrern oder Administratoren stammen. Zahlungsstatus und begrenzte Zahlungsdaten erhalten wir von Stripe; Meeting- und Störungsdaten können von Zoom stammen.
15. Speicherdauer im Überblick
Wir löschen oder anonymisieren Daten, sobald der Zweck entfällt und keine gesetzliche Pflicht oder ein berechtigter Grund für eine weitere Speicherung besteht. Datenkategorie: Server- und Sicherheitsprotokolle · Vorgesehene Regelfrist: nur so lange wie für Betrieb, Fehleranalyse und Sicherheit erforderlich; länger bei konkretem Vorfall oder gesetzlicher Pflicht Datenkategorie: Sitzungscookie · Vorgesehene Regelfrist: bis zu 30 Tage; Browsercookie beim Logout gelöscht Datenkategorie: Serverseitige Sitzungs- und abgelaufene Authentifizierungsdaten · Vorgesehene Regelfrist: nach Ablauf oder Widerruf zeitnah, spätestens innerhalb von 30 Tagen Datenkategorie: Verifikations-, Reset- und Einladungstoken · Vorgesehene Regelfrist: Gültigkeit 24 Stunden, 1 Stunde beziehungsweise 7 Tage; danach Löschung Datenkategorie: First-Touch-Attribution · Vorgesehene Regelfrist: höchstens 365 Tage oder bis zum Widerruf Datenkategorie: Konto und Lernfortschritt · Vorgesehene Regelfrist: Dauer des Kontos; danach grundsätzlich Löschung oder Anonymisierung innerhalb von 30 Tagen, vorbehaltlich bestehender Rechte und Pflichten Datenkategorie: Personenbezogene Nachfrageeinträge · Vorgesehene Regelfrist: bis 90 Tage nach Ablauf; danach Löschung oder Anonymisierung Datenkategorie: Termin-, Teilnahme-, Storno- und Unterrichtsnachweise · Vorgesehene Regelfrist: grundsätzlich bis Ende des dritten Kalenderjahres nach dem Termin Datenkategorie: Bestell- und Vertragsunterlagen · Vorgesehene Regelfrist: grundsätzlich bis Ende des dritten Kalenderjahres nach Vertragsende; länger bei laufenden Ansprüchen Datenkategorie: Rechnungs-, Buchungs- und steuerrelevante Unterlagen · Vorgesehene Regelfrist: je nach Dokument 6, 8 oder 10 Jahre nach den gesetzlichen Vorgaben Datenkategorie: Zoom-Aufzeichnungen und Transkripte · Vorgesehene Regelfrist: werden von uns nicht erstellt Datenkategorie: Lehrerbewerbungen · Vorgesehene Regelfrist: offene Verfahren höchstens 12 Monate; nach Ablehnung grundsätzlich 6 Monate; bei Rückzug grundsätzlich unverzüglich Datenkategorie: Allgemeine Korrespondenz · Vorgesehene Regelfrist: grundsätzlich bis Ende des dritten Kalenderjahres nach Abschluss Stripe und Zoom speichern Daten für eigene Zwecke nach ihren jeweiligen gesetzlichen und betrieblichen Aufbewahrungskriterien. Einzelheiten ergeben sich aus den oben verlinkten Datenschutzerklärungen. Nach einer Löschung können Daten bis zur turnusmäßigen Überschreibung noch in verschlüsselten, zugriffsbeschränkten Sicherungskopien enthalten sein. Sie werden dort nicht für andere Zwecke verarbeitet und bei einer Wiederherstellung erneut gelöscht.
16. Pflicht zur Bereitstellung
Ohne die als erforderlich gekennzeichneten Konto-, Buchungs- und Zahlungsdaten können wir das Nutzerkonto oder die bestellte Leistung nicht bereitstellen. Kamera, Mikrofon, Chat und Freigabefunktionen bei Zoom werden nur insoweit genutzt, wie dies für den konkreten Live-Termin erforderlich oder freiwillig gewünscht ist. Die Einwilligung in Marketingattribution ist freiwillig. Ihre Ablehnung oder ein späterer Widerruf hat keine Auswirkung auf Registrierung, kostenlose Inhalte, Buchung oder Unterricht.
17. Ihre Rechte
Unter den gesetzlichen Voraussetzungen haben betroffene Personen folgende Rechte: • Auskunft nach Art. 15 DSGVO; • Berichtigung nach Art. 16 DSGVO; • Löschung nach Art. 17 DSGVO; • Einschränkung der Verarbeitung nach Art. 18 DSGVO; • Datenübertragbarkeit nach Art. 20 DSGVO; • Widerspruch nach Art. 21 DSGVO; • Widerruf einer Einwilligung nach Art. 7 Abs. 3 DSGVO mit Wirkung für die Zukunft; • Beschwerde bei einer Datenschutzaufsichtsbehörde nach Art. 77 DSGVO. Widerspruch: Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 Buchstabe f DSGVO verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Gegen Direktwerbung können Sie jederzeit ohne Angabe von Gründen widersprechen. Wir betreiben derzeit keine Direktwerbung auf Grundlage eines berechtigten Interesses. Eine Einwilligung kann ebenso einfach widerrufen werden, wie sie erteilt wurde. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt. Zur Bearbeitung einer Anfrage dürfen wir angemessene Informationen zur Identitätsprüfung verlangen. Bei Minderjährigen berücksichtigen wir Alter, Einsichtsfähigkeit und Vertretungsbefugnis. Das Kind bleibt selbst betroffene Person. Anfragen richten Sie bitte an kontakt@drlc.de.
Beschwerden, Sicherheit, Änderungen und Psychologenbewerbungen
18. Beschwerderecht
Sie können sich bei jeder zuständigen Datenschutzaufsichtsbehörde beschweren. Für unseren Sitz ist insbesondere zuständig: Berliner Beauftragte für Datenschutz und Informationsfreiheit Alt-Moabit 59–61 10555 Berlin E-Mail: mailbox@datenschutz-berlin.de Beschwerde online einreichen: https://www.datenschutz-berlin.de/buergerinnen-und-buerger/beschwerde/einreichen-einer-beschwerde/
19. Sicherheit
Wir treffen angemessene technische und organisatorische Maßnahmen. Dazu gehören insbesondere verschlüsselte Übertragung, gehashte Passwörter und Sitzungstoken, rollenbasierte Zugriffe, Protokollierung administrativer Vorgänge, Zugriffsbeschränkungen, Datensicherung sowie regelmäßige Aktualisierung der eingesetzten Software. Meetinglinks werden nur berechtigten Personen angezeigt.
20. Änderungen dieser Datenschutzerklärung
Wir aktualisieren diese Erklärung, wenn sich Funktionen, Dienstleister oder Rechtslage ändern. Die jeweils aktuelle Fassung ist auf der Website abrufbar. Über wesentliche Änderungen, die ein bestehendes Konto oder eine Einwilligung betreffen, informieren wir zusätzlich in angemessener Form.
20a. Bewerbungen als Psychologe
Für die gemeinsame Kurzbewerbung als Psychologe verarbeiten wir dieselben Kategorien und verwenden dieselben Schutz-, Zugriffs- und Löschregeln wie bei einer Lehrerbewerbung: Name, E-Mail-Adresse, Qualifikationskategorie, kurze fachliche Erläuterung, ungefähre Verfügbarkeit, Bestätigungen, Status, Zeitpunkte und notwendige Auditinformationen. Im ersten Schritt werden keine Zeugnisse, Ausweiskopien, Geburtsdaten, Fotos, Führungszeugnisse, Bank- oder Steuerdaten und keine besonderen Kategorien personenbezogener Daten angefordert. Zweck ist die Entscheidung über ein mögliches Beschäftigungsverhältnis. Es gelten dieselben Rechtsgrundlagen und Regelfristen wie für Lehrerbewerbungen: offene Verfahren höchstens zwölf Monate, nach Ablehnung grundsätzlich sechs Monate und bei wirksamem Rückzug grundsätzlich unverzügliche Löschung der personenbezogenen Bewerbungsdaten. Kommt ein Beschäftigungsverhältnis zustande, werden nur die erforderlichen Daten in die Vertragsakte übernommen.
Vertrauliches Coaching
21.1 Verarbeitete strukturierte Daten
Für Buchung und Durchführung verarbeiten wir nur die hierfür erforderlichen strukturierten Daten: Konto- und Rollenkennung, ausgewählter Coachingbereich, konkretes Angebot, Psychologe, Beginn, Ende, Dauer, Guthaben- und Terminstatus sowie eine technische Zuordnung zum geschützten Zoom-Meeting. Buchungsformulare enthalten keine ungebundenen Freitextfelder für Symptome, Diagnosen, Gesundheitsdaten oder Fallnotizen. Für ein Erstgespräch kann der Teilnehmer getrennt und ausdrücklich in eng begrenzte Angaben zu Altersgruppe, Gesprächsziel und einer freiwilligen Kurzbeschreibung einwilligen. Die Auswahl eines psychologischen Coachingbereichs kann Rückschlüsse auf die geistige Gesundheit oder persönliche Belastung zulassen. Wir behandeln diese Zuordnung deshalb vorsorglich als besonders geschützte Information. Rechtsgrundlage für Vertrag, Buchung und Durchführung ist Art. 6 Abs. 1 Buchstabe b DSGVO; soweit eine besondere Kategorie personenbezogener Daten betroffen ist, verarbeiten wir sie nur auf Grundlage der vorherigen ausdrücklichen Einwilligung nach Art. 9 Abs. 2 Buchstabe a DSGVO. Die Einwilligung kann mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der vorherigen Verarbeitung und gesetzliche Aufbewahrungspflichten bleiben unberührt. Ohne die erforderliche Verarbeitung kann ein künftiger Termin nicht durchgeführt werden.
21.2 Strikte Zugriffstrennung
Zugriff auf Bereich, Terminstatus und Meetingzugang erhalten ausschließlich der angemeldete Teilnehmer und der konkret zugewiesene, fachlich freigegebene Psychologe. Eine Familien-, Eltern- oder Zahlerverknüpfung vermittelt keinen Zugriff auf Coachingdaten. Der Käufer eines Live-1:1-Guthabens sieht nur die neutralen, für Kauf, Guthabenverwaltung und Vertrag notwendigen Angaben und erhält dadurch keinen Meetingzugang. Administratoren erhalten nur die für Freigabe, Abrechnung, Sicherheit und Störungsbehebung unbedingt erforderlichen strukturierten Betriebsdaten.
21.3 Gespräch und Zoom
Das Gespräch findet live statt. Wir erstellen keine Gesprächsaufzeichnung, kein Transkript, keine KI-Zusammenfassung und keine Fallakte. Zoom verarbeitet die während des Meetings freiwillig übertragenen Audio-, Video-, Chat- oder Bildschirmdaten technisch zur Live-Übertragung nach den in Abschnitt 10 beschriebenen Regeln. Meetingthema und Kaufbeschreibung des gemeinsam nutzbaren Live-1:1-Guthabens werden neutral gehalten; Anliegen, Coachingbereich, Symptome oder Diagnosen werden nicht an Stripe, in allgemeine Kalender, E-Mails oder ICS-Dateien übertragen.
21.4 Aufbewahrung und Löschung
Strukturierte Vertrags-, Guthaben-, Zahlungs-, Termin-, Storno- und Abrechnungsnachweise werden nur im gesetzlich oder zur Vertrags- und Anspruchsbearbeitung erforderlichen Umfang aufbewahrt. Meetingzugänge sind nach dem vorgesehenen Zugriffszeitraum nicht mehr abrufbar. Technische Idempotenz- und Auditnachweise enthalten keine Gesprächsinhalte oder freien Fallangaben und bleiben nur so lange personenbezogen, wie dies für Sicherheit, Nachweis oder gesetzliche Pflichten erforderlich ist.