1. Verantwortlicher und Datenschutzkontakt

Oliver Kral ist Verantwortlicher für die hier beschriebenen eigenen Verarbeitungsvorgänge und zugleich Ihre Ansprechperson für Datenschutzfragen. Bitte richten Sie Anfragen zur Auskunft, Berichtigung oder Löschung an die oben angeführte E-Mail-Adresse.

2. Zwecke, Rechtsgrundlagen und Pflichtangaben

Wir unterscheiden nach dem Zweck der jeweiligen Verarbeitung:

• Bereitstellung gebuchter Leistungen: Kontoverwaltung, Bestellabwicklung, Kurszugang, erforderliche Lernstandsverarbeitung und Zertifikatsausstellung beruhen auf Art. 6 Abs. 1 lit. b DSGVO.
• Gesetzliche Pflichten: Für steuerlich erforderliche Belege und andere gesetzlich vorgeschriebene Nachweise gilt Art. 6 Abs. 1 lit. c DSGVO.
• Sicherer und zuverlässiger Betrieb: Die Abwehr von Missbrauch, technische Fehleranalyse und erforderliche Protokollierung beruhen auf Art. 6 Abs. 1 lit. f DSGVO. Unser Interesse ist der Schutz der Plattform und ihrer Nutzer:innen.
• Freiwillige Angebote: Soweit wir eine Einwilligung einholen, etwa für Lern-E-Mails oder optionale Nutzungsanalyse, gilt Art. 6 Abs. 1 lit. a DSGVO. Einwilligungen können für die Zukunft widerrufen werden.

Als erforderlich gekennzeichnete Angaben werden für die jeweilige Funktion benötigt. Ohne notwendige Konto- und Bestelldaten können wir keinen persönlichen Kurszugang und keinen auf Ihre Person ausgestellten Nachweis bereitstellen. Zusätzliche Profilangaben und die Anmeldung zu freiwilligen E-Mails sind nicht Voraussetzung für einen Kurskauf.

Die Themen unserer Fortbildungen betreffen Gesundheitsberufe. Daraus folgt nicht, dass wir medizinische Angaben über Sie benötigen. Bitte übermitteln Sie in Formularen, Nachrichten, Profilen oder Lernaufgaben keine identifizierbaren Patient:inneninformationen oder sonstigen unnötigen sensiblen Daten.

3. Websitebetrieb, Hosting und Sicherheit

Hosting und Domainweiterleitung

Die Website und ihre Datenbank werden im WordPress-Hosting von IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland betrieben. IONOS verarbeitet die Hostingdaten in unserem Auftrag; hierfür besteht eine Auftragsverarbeitungsvereinbarung. Beim Seitenaufruf werden technisch erforderliche Verbindungsdaten verarbeitet, insbesondere IP-Adresse, Zeitpunkt, angeforderte Adresse, Browser- und Geräteinformationen sowie Fehler- und Statusinformationen. Serverprotokolle dienen der Auslieferung der Website, der Fehlerbehebung und der Erkennung von Angriffen.

Zum Hosting gehören technische Sicherungs- und Wiederherstellungsfunktionen. Sicherungskopien sind von der laufend genutzten Website und von den gesondert beschriebenen WhatsApp-Chat-Sicherungen zu unterscheiden.

easyname GmbH, Österreich, stellt die Weiterleitung von pflege-academy.at bereit. Beim Aufruf dieser Domain können zunächst dort technische Zugriffsdaten anfallen; nach der Weiterleitung erfolgt der Abruf bei unserem Websitehoster. easyname ist deshalb nicht pauschal als zweiter Hoster sämtlicher Kurs- und Kundendaten zu verstehen.

Rechtsgrundlage für die technische Bereitstellung und Sicherheitsprotokollierung ist Art. 6 Abs. 1 lit. f DSGVO; bei der Auslieferung Ihrer gebuchten Leistungen zusätzlich Art. 6 Abs. 1 lit. b DSGVO, soweit hierfür erforderlich.

Schutz vor Missbrauch

Wir setzen lokale Sicherheitsfunktionen von All-In-One Security (AIOS), WP Ghost, Ban Hammer und Banhammer ein. Je nach Funktion werden Zugriffe, IP-Adressen, Anmeldeversuche, technische Merkmale und Sperrereignisse verarbeitet, um unerlaubte Zugriffe und Spam abzuwehren. Das bloße Installieren eines Plugins bedeutet nicht, dass dessen Anbieter alle Besucher- oder Kontodaten erhält.

4. Cookies, Browser-Speicher und Einwilligungen

Die Website verwendet Cookies und gegebenenfalls vergleichbare Speichermechanismen, etwa für Anmeldung, Sitzung, Warenkorb, Sicherheitsfunktionen und die Speicherung Ihrer Datenschutzauswahl. Erforderliche Zugriffe auf Ihr Endgerät richten sich nach der Ausnahme für einen ausdrücklich gewünschten Dienst in § 165 Abs. 3 TKG 2021. Personenbezogene Verarbeitungen haben zusätzlich die jeweils in dieser Erklärung beschriebene DSGVO-Rechtsgrundlage.

Optionale Analyse- und andere nicht erforderliche Speicher- oder Auslesevorgänge benötigen eine vorherige Einwilligung. Die bloße weitere Nutzung der Website ist keine Einwilligung. Eine Ablehnung optionaler Zwecke darf die dafür nicht erforderlichen Grundfunktionen nicht verhindern.

WP DSGVO Tools verwaltet die Datenschutzauswahl. Für Zustimmung und Ablehnung ist dort jeweils eine Speicherdauer von einem Tag eingestellt. Sie können Ihre Auswahl über Datenschutzeinstellungen ändern erneut aufrufen. Bei einer als Web-App nutzbaren Website können außerdem Service Worker und lokale Zwischenspeicher zur technischen Auslieferung verwendet werden. Das ist nicht mit einer automatischen Anmeldung zu Push-Nachrichten gleichzusetzen.

Rechtlicher Hintergrund: Informationen der österreichischen Datenschutzbehörde zu Cookies und ähnlichen Technologien.

5. Benutzerkonto, Kurse, Lernfortschritt und Zertifikate

Die Lernplattform verwendet WordPress, WPLMS sowie BuddyPress/VibeBP. Für den persönlichen Zugang verarbeiten wir insbesondere Namen, E-Mail-Adresse, Benutzerkennung, Kontoeinstellungen, zugeordnete Kurse und Zugangsberechtigungen. Anmeldedaten dienen der Authentifizierung; Passwörter werden nicht als Klartext in der WordPress-Benutzerdatenbank gespeichert.

Bei der Bearbeitung eines Kurses können Lektionenstatus, Bearbeitungs- und Abschlusszeitpunkte, Quizantworten, Bewertungen und Versuche mit Ihrem Konto verknüpft werden. So können Sie Ihren Kurs fortsetzen, Ihren Fortschritt sehen und die jeweiligen Abschlussanforderungen erfüllen. Bei lokal eingebundenen H5P-Aufgaben ist die Protokollierung von Ergebnissen angemeldeter Nutzer:innen eingeschaltet; die zusätzliche H5P-Funktion zum Speichern des laufenden Inhaltszustands ist derzeit ausgeschaltet.

Für Fortbildungsnachweise verarbeiten wir Namen, Kursbezeichnung, nachgewiesenen Umfang, Abschlussdatum sowie die jeweilige Zertifikatskennung. PDF-Zertifikate dienen der Bereitstellung Ihrer Nachweise. Die zusätzliche eigene QR-Code-Erweiterung fügt ein beim jeweiligen Kurs hinterlegtes QR-Code-Bild ein; sie ist kein eigenes personenbezogenes Zertifikatsregister. Wenn Sie einen persönlichen Nachweis oder dessen Zugangslink weitergeben, können Empfänger:innen die darin enthaltenen Angaben sehen. Die erforderliche Kurs- und Nachweisverarbeitung beruht auf Art. 6 Abs. 1 lit. b DSGVO.

Quizsysteme können Antworten automatisch auswerten und einen Abschlussstatus berechnen. Das ist von einer KI-Beurteilung Ihrer beruflichen Kompetenz zu unterscheiden. Bei Fragen zu einem Ergebnis oder einem Nachweis wenden Sie sich an unseren Datenschutzkontakt bzw. Kurssupport.

Lernfortschritte werden während des vereinbarten Kurszugangs aufbewahrt. Ausgestellte Zertifikate halten wir fünf Jahre nach Abschluss bereit. Ein Benutzerkonto wird nicht allein wegen fehlender Anmeldung gelöscht, solange noch Kurszugänge oder eine geschuldete Zertifikatsbereitstellung bestehen. Die TinCan/xAPI-Anbindung an einen externen Lernrekorddienst ist derzeit ausgeschaltet.

6. Profile, Nachrichten und öffentliche Beiträge

BuddyPress/VibeBP stellt Profil-, Freundschafts-, Aktivitäts-, Benachrichtigungs- und private Nachrichtenfunktionen bereit. Zusätzliche Profilfelder können beispielsweise Geburtsdatum, Land, Kontaktangaben, berufliche Laufbahn und eine Kurzbiografie enthalten. Diese zusätzlichen Angaben sind nicht automatisch für eine Kursbuchung erforderlich.

Die optionalen Zusatzfelder Geburtsdatum, Adresse und zusätzliche Profil-E-Mail-Adresse sind in BuddyPress auf „Nur mich“ festgelegt. Diese Sichtbarkeit wird erzwungen und kann nicht individuell auf öffentlich umgestellt werden. Die Angaben sind für die betreffende Person und berechtigte Administrator:innen zugänglich, nicht für die öffentliche Darstellung oder andere Mitglieder bestimmt. Ihre Konto-E-Mail-Adresse sowie gegebenenfalls erforderliche Rechnungsdaten werden davon getrennt für Anmeldung, Kursabwicklung und gesetzliche Pflichten verarbeitet. Die Zusatzangaben bleiben freiwillig.

Andere Profilangaben und Aktivitäten können abhängig von der konkreten Oberfläche und Ihren Sichtbarkeitseinstellungen für andere Mitglieder oder öffentlich sichtbar sein. Ein Ausschluss aus Suchmaschinen allein macht eine Profilseite nicht privat. Private Nachrichten sind dagegen für die Kommunikation mit den ausgewählten Empfänger:innen bestimmt; eine notwendige technische Verarbeitung auf der Plattform bleibt damit verbunden.

Bei veröffentlichten Kommentaren oder Rezensionen sind der angezeigte Name und der Beitrag für die jeweilige Leserschaft sichtbar. Wir verarbeiten Inhalt, Veröffentlichungs- und Moderationsdaten, um diese Funktion bereitzustellen und Missbrauch zu verhindern. Die gewählte Kommunikationsfunktion beruht, soweit für die angeforderte Nutzung erforderlich, auf Art. 6 Abs. 1 lit. b DSGVO; Moderation und Missbrauchsschutz auf Art. 6 Abs. 1 lit. f DSGVO. Eine gesondert angebotene freiwillige Veröffentlichung zusätzlicher Angaben benötigt eine passende Rechtsgrundlage und gegebenenfalls eine Einwilligung.

7. Navigator, kostenlose Falltrainings und Punkte-Pilot

Der Fortbildungsnavigator wertet Berufsgruppe, Arbeitsumfeld und Lernziel anhand fester Regeln direkt in der geöffneten Seite aus. Sein eigener Programmcode übermittelt oder speichert diese Antworten nicht; nach dem Neuladen beginnt die Auswahl erneut. Davon getrennt bleiben allgemeine Websitezugriffe und gegebenenfalls eine freiwillig aktivierte Nutzungsanalyse.

Die veröffentlichten kostenlosen Falltrainings können ohne Kurskauf verwendet werden. Ein dort eingeblendeter Rabattcode ist nicht automatisch ein personenbezogenes Punktekonto. Wenn Sie einen Gutschein beim Kauf verwenden, wird seine Anwendung mit der Bestellung verarbeitet, unter anderem zur Einhaltung der jeweiligen Nutzungsbegrenzung.

Für einen privaten Entwicklungs- und Testfall zur Gamification können beim ausdrücklich dafür vorgesehenen Testkonto Abschlussereignisse und Testpunkte verarbeitet werden. Aktuell ist kein allgemeines öffentliches myCred-Punktesystem und keine Punkte-Einlösung in Rabatte freigegeben. Vor einer allgemeinen Einführung werden Zweck, Teilnahmebedingungen, Erfassung, Aufbewahrung und gegebenenfalls die Sichtbarkeit von Patches oder Ranglisten ergänzt.

8. Bestellungen, Rechnungen und Zahlungen

WooCommerce verarbeitet die für einen Kauf erforderlichen Angaben: insbesondere Name, Rechnungsadresse, E-Mail-Adresse, gegebenenfalls erforderliche Kontaktdaten, ausgewählte Kurse, Preis, verwendete Gutscheine, Bestell- und Zahlungsstatus sowie Transaktionsreferenzen. Das Plugin PDF Invoices & Packing Slips for WooCommerce erstellt Rechnungen aus den dafür notwendigen Belegdaten. Checkout-Erweiterungen und die automatische Bestellabschlussfunktion unterstützen die Abwicklung innerhalb der WordPress-Plattform. Erforderliche Abwicklung beruht auf Art. 6 Abs. 1 lit. b DSGVO; die Aufbewahrung steuerlich relevanter Unterlagen auf Art. 6 Abs. 1 lit. c DSGVO.

Eine Bestellung oder Kontoeröffnung gilt nicht automatisch als Anmeldung zu einer Werbe- oder Lern-E-Mail-Serie. Dienstleister erhalten jeweils die für ihre konkrete Aufgabe erforderlichen Informationen.

Stripe und Banküberweisung

Für angebotene Stripe-Zahlarten wird der Dienst Stripe eingesetzt. Im Europäischen Wirtschaftsraum kommen die nach den jeweiligen Stripe-Bedingungen zuständigen irischen Stripe-Gesellschaften in Betracht. Die Zahlungsabwicklung kann Bestellbetrag, Identifikations- und Kontaktdaten, technische Geräte- und Verbindungsdaten sowie Zahlungsinformationen umfassen. Stripe übernimmt daneben eigene gesetzliche, Sicherheits- und Betrugspräventionsaufgaben; nicht jede Verarbeitung erfolgt ausschließlich als unser Auftragsverarbeiter.

Vollständige Karteninformationen und Prüfziffern werden bei den entsprechenden Zahlungsformularen durch den Zahlungsdienst verarbeitet und nicht als solche in unserer WordPress-Bestelldatenbank gespeichert. Dort verbleiben beispielsweise Zahlungsstatus, Referenzen und gegebenenfalls ein Zahlungstoken oder gekürzte Kartenangaben. Bei Banküberweisung verarbeiten wir den Zahlungseingang und erforderliche Zuordnungsdaten; die beteiligten Banken verarbeiten die Überweisung nach ihren eigenen Bedingungen.

Weitere Informationen: Stripe-Datenschutzinformation und Stripe-Datenverarbeitungsbedingungen.

WooPayments

Für tatsächlich über WooPayments angebotene Zahlungswege werden außerdem Automattic/Woo und deren Zahlungsinfrastruktur eingebunden. Das ist nicht allein durch eine Stripe-Erwähnung abgedeckt. Welche Dienstleister eine konkrete Zahlung verarbeiten, richtet sich nach dem an der Kassa gewählten und tatsächlich verfügbaren Zahlungsweg.

Weitere Informationen: WooPayments-Datenschutzinformation und Automattic-Datenschutzinformation.

9. Kontaktanfragen, Team-Anfragen, E-Mail und WhatsApp

Wenn Sie uns kontaktieren, verarbeiten wir Ihre mitgeteilten Kontaktangaben, den Nachrichteninhalt und erforderliche technische bzw. Kommunikationsdaten, um Ihr Anliegen zu beantworten. Eine Anfrage zu einem Kurs oder Teamangebot beruht auf Art. 6 Abs. 1 lit. b DSGVO, soweit sie dem möglichen Vertragsabschluss dient. Andere Anfragen bearbeiten wir auf Grundlage unseres berechtigten Interesses an sinnvoller Kommunikation nach Art. 6 Abs. 1 lit. f DSGVO.

Der technische Versand von Website-E-Mails erfolgt über die vorhandene SMTP-Verbindung zu IONOS mit Kadence Mail. Dazu gehören beispielsweise Kontonachrichten, Bestellinformationen und Supportantworten. Die Protokollierung von Mailereignissen ist derzeit eingeschaltet. Solche Protokolle sind von freiwilligen Marketingstatistiken zu unterscheiden.

Zur Beantwortung von Anfragen verwenden wir WhatsApp Business. Unsere WhatsApp-Verknüpfungen führen zu einem externen Dienst. Wenn Sie diesen Kontaktweg nutzen, verarbeiten wir Telefonnummer, gegebenenfalls Profilnamen und die von Ihnen gesendeten Nachrichten. Für den Dienst im europäischen Raum ist WhatsApp Ireland Limited zuständig. WhatsApp verarbeitet zusätzlich eigene Konto-, Geräte-, Verbindungs- und Nutzungsdaten; dabei können internationale Übermittlungen stattfinden. Sie können uns alternativ per E-Mail kontaktieren und müssen WhatsApp nicht verwenden.

Auf dem für WhatsApp Business verwendeten Smartphone ist der Zugriff auf das Adressbuch erlaubt. Beim dadurch ermöglichten Kontaktabgleich können Kontaktdaten aus dem Adressbuch an WhatsApp übermittelt werden, auch wenn die betreffende Person uns nicht über WhatsApp kontaktiert hat.

Für die WhatsApp-Business-Chats nutzen wir eine Cloud-Sicherung bei Google. Dabei werden Sicherungskopien des Chatverlaufs und der jeweils eingeschlossenen Medien in einem regulären Google-Konto gespeichert; für diese Sicherung wird kein Google-Workspace-Unternehmenskonto verwendet. Der Sicherungsrhythmus ist auf wöchentlich eingestellt. Die Sicherung dient dazu, dass die Kommunikation bei einem Gerätewechsel oder Datenverlust wiederhergestellt werden kann. Für diese Chat-Sicherung ist die Funktion „Ende-zu-Ende-verschlüsseltes Backup“ eingeschaltet. Diese zusätzliche Schutzfunktion für die Sicherungsinhalte ist von der Verschlüsselung laufender Nachrichten und vom Adressbuchabgleich zu unterscheiden. Die Chat-Sicherung ist von den Sicherungskopien unserer WordPress-Website getrennt.

Die Verarbeitung Ihres Anliegens erfolgt auf den oben beschriebenen Rechtsgrundlagen; die bloße Wahl von WhatsApp ist weder eine Einwilligung zu Werbung noch eine pauschale Zustimmung zu beliebigen Drittlandübermittlungen.

Weitere Informationen: WhatsApp-Datenschutzinformation für den europäischen Raum, Datenschutzinformation zur WhatsApp Business App, Vertrags- und Datenschutzbedingungen für WhatsApp Business, WhatsApp-Informationen zur Sicherung im Google-Konto und Google-Datenschutzinformation.

10. Freiwillige Lern-E-Mails und MailerLite

Abschlussnachrichten und freiwillige Serien sind getrennt: Erforderliche Mitteilungen über Kursabschluss, Zertifikat und Kurszugang können automatisch zur Erfüllung des Kursvertrags versendet werden (Art. 6 Abs. 1 lit. b DSGVO). Zusätzliche Lernimpulse und Kursangebote erhalten Sie nur nach gesonderter freiwilliger Zustimmung. Weder eine gewöhnliche Benutzerregistrierung noch ein Kauf oder Kursabschluss allein gilt als Werbeeinwilligung.

Am Ende unserer Online-Fortbildungen können Sie sich über ein verlinktes Formular freiwillig für eine thematisch passende Lern-E-Mail-Serie anmelden. Das jeweilige Formular nennt vor der Anmeldung Thema, Anzahl und Versandabstände der E-Mails sowie etwaige Hinweise auf kostenpflichtige Fortbildungen. Der Versand erfolgt nur im Umfang Ihrer Einwilligung; weitere Serien oder allgemeine Newsletter werden dadurch nicht bestellt.

Neue E-Mail-Adressen müssen zunächst per Double-Opt-in bestätigt werden. Bei bereits aktiven und bestätigten Adressen ist keine erneute Adressbestätigung erforderlich; die gesonderte Anmeldung zur gewählten Serie bleibt notwendig. Die Serie beginnt mit der Formularanmeldung und, soweit erforderlich, deren Bestätigung.

Für den Versand und die Automatisierung verwenden wir MailerLite Limited, Irland. Verarbeitet werden E-Mail-Adresse, gegebenenfalls freiwillige Namensangaben, gewählte Serie, Einwilligungs- und Bestätigungsnachweis sowie Versand-, Zustell- und Abmeldedaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO; zusätzlich gelten die Einwilligungs- und Informationspflichten nach Art. 7 und 13 DSGVO sowie § 174 TKG 2021.

Sie können die freiwilligen E-Mails jederzeit über den Abmeldelink oder eine Nachricht an den Datenschutzkontakt abbestellen. Dadurch verlieren Sie weder Kurszugang noch Zertifikat. Für den Nachweis der Zustimmung und die Beachtung eines Widerrufs dürfen erforderliche minimale Nachweis- bzw. Sperrdaten getrennt von der aktiven Versandliste erhalten bleiben.

Personenbezogene Klickmessung: Bei einer aktivierten Lernserie erfasst MailerLite, welche Links in den E-Mails angeklickt werden. Die Klickinformationen können einzelnen Abonnements und damit Ihrer E-Mail-Adresse zugeordnet werden; es handelt sich nicht um eine anonyme Statistik. Die Auswertung dient dazu, die Nutzung der Lerninhalte zu beurteilen und die E-Mails zu verbessern. Diese Messung ist nur auf Grundlage Ihrer vorherigen freiwilligen und informierten Einwilligung vorgesehen, die ausdrücklich auch die personenbezogene Klickmessung umfasst (Art. 6 Abs. 1 lit. a DSGVO). Der bloße Aufruf dieser Datenschutzerklärung stellt keine Einwilligung dar. Sie können Ihre Zustimmung jederzeit über den Abmeldelink oder den Datenschutzkontakt widerrufen; Ihr Kurszugang und Ihr Zertifikat bleiben davon unberührt.

Keine Öffnungsmessung: Die Öffnungsmessung ist in unseren freiwilligen Lern-E-Mails ausgeschaltet. Normale Linkklicks werden dadurch nicht von der Messung ausgeschlossen. Ein insgesamt trackingfreier E-Mail-Versand wird daher nicht zugesichert. Bestehende Teilnehmer:innen werden nicht automatisch in die Serien aufgenommen.

MailerLite verarbeitet Abonnent:innendaten im Auftrag; die offiziellen Auftragsverarbeitungsbedingungen ergänzen die Nutzungsbedingungen und werden laut Anbieter mit deren Annahme wirksam. Internationale Unterauftragsverarbeitung richtet sich zusätzlich nach den vereinbarten Transfergarantien.

Weitere Informationen: MailerLite-Datenschutzinformation und MailerLite-Auftragsverarbeitungsbedingungen.

11. Videos und externe Medien

Publitio und SmartVideo/Swarmify

Für Medienbereitstellung werden Publitio und SmartVideo/Swarmify verwendet. Beim Abruf eines extern ausgelieferten Videos werden technische Verbindungsdaten wie IP-Adresse, Abrufzeitpunkt, Videoanforderung und Browser-/Geräteinformationen an die jeweilige Medieninfrastruktur übertragen. Abhängig vom Player können auch Wiedergabeereignisse und technische Qualitätsinformationen verarbeitet werden.

Anbieter sind Publitio doo, Serbien, und Swarmify Video LLC, USA. Beide Dienste können weitere Cloud- und CDN-Anbieter einsetzen. Die technisch erforderliche Bereitstellung eines gebuchten Kursvideos kann auf Art. 6 Abs. 1 lit. b DSGVO beruhen. Zusätzliche nicht erforderliche Messungen oder Zugriffe auf das Endgerät benötigen eine gesonderte Prüfung und gegebenenfalls vorherige Einwilligung. Die Verwendung für ein Kursvideo macht nicht automatisch jede Playerfunktion notwendig.

Weitere Informationen: Publitio-Datenschutzinformation, Publitio-Datenverarbeitungsbedingungen, Swarmify-Datenschutzinformation und Swarmify-Datenverarbeitungsbedingungen.

YouTube

Für YouTube-Inhalte wird Infrastruktur von Google/YouTube eingebunden. Im europäischen Raum ist insbesondere Google Ireland Limited zu berücksichtigen. Beim Laden der Einbindung können Verbindungs- und Geräteinformationen an Google übertragen und abhängig von den Einstellungen mit einem Google-Konto verknüpft werden. Die optionale Einbindung wird auf Art. 6 Abs. 1 lit. a DSGVO gestützt; erforderliche Endgeräte-Einwilligungen richten sich zusätzlich nach § 165 Abs. 3 TKG 2021.

Weitere Informationen: Google-Datenschutzinformation.

12. Google Analytics und Site Kit

Google Analytics 4 ist verbunden und in WP DSGVO Tools konfiguriert. Site Kit ist außerdem mit Search Console und PageSpeed Insights verbunden; die Google-Anmeldefunktion ist nicht eingerichtet. Die freiwillige Nutzungsanalyse dient dazu, Seitenaufrufe und Interaktionen zu verstehen, und verarbeitet technische Geräteinformationen und Online-Kennungen. Erweiterte Ereignismessung und pluginbasierte Conversionmessung sind eingeschaltet. Angemeldete Nutzer:innen sind laut Site-Kit-Einstellung von der Analytics-Messung ausgeschlossen. Site Kit fügt derzeit kein zweites Analytics-Snippet ein. Empfänger sind insbesondere Google Ireland Limited und gegebenenfalls Google LLC, USA.

Rechtsgrundlage der optionalen personenbezogenen Nutzungsanalyse ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO; für nicht erforderliche Endgerätezugriffe gilt zusätzlich § 165 Abs. 3 TKG 2021. Diese Einwilligung können Sie über die Datenschutzeinstellungen widerrufen. Online-Kennungen und darauf beruhende Nutzungsdaten sind nicht pauschal anonym. Search Console und PageSpeed Insights unterstützen die Auswertung der Suchsichtbarkeit und technischen Qualität der Website; sie sind nicht mit einer Anmeldung über Google gleichzusetzen.

Weitere Informationen: Google-Datenschutzinformation.

13. Technische Werkzeuge und KI-gestützte Administration

Werkzeuge für Seitengestaltung, Übersetzung, lokale Schriftbereitstellung, SEO und Zwischenspeicherung unterstützen den Betrieb. Dazu zählen insbesondere Elementor, Advanced Custom Fields, FAQ-Verwaltung, lokale Google-Fonts-Bereitstellung, Loco Translate, Yoast, WP Fastest Cache, WP Meteor und Code Snippets. Sie sind nicht allein aufgrund ihrer Installation separate externe Empfänger sämtlicher Nutzerdaten. Extern geladene Medien, Schriften oder aktivierte Cloudfunktionen sind dagegen nach ihrem tatsächlichen Einsatz zu beurteilen.

H5P nutzt den Hub für Inhaltstypen und hat die Übermittlung von Nutzungsstatistiken eingeschaltet. Laut H5P-Dokumentation betreffen diese Statistiken die Installation und Inhaltstypen, nicht E-Mail-Adressen oder individuelle Lernergebnisse. Davon getrennt sind auf unserer Website gespeicherte, kontobezogene H5P-Ergebnisse.

Für die administrative Unterstützung verwenden wir WP Agent (getwpagent.com) zusammen mit OpenAI (ChatGPT/Codex). Bei beauftragten Abfragen werden die ausgewählten Websiteinhalte und Einstellungen über den Connector an den Assistenzdienst übermittelt. Je nach Zugriff können darunter personenbezogene Inhalte, etwa aus einer konkret zu bearbeitenden Anfrage oder einem Testkonto, sein. WP Agent führt Betriebsaufzeichnungen über ausgeführte Aktionen. Die Dienste dienen der Wartung, Fehlerbehebung und redaktionellen Betreuung; unser berechtigtes Interesse an einem sicheren und zuverlässigen Betrieb ist hierfür die Grundlage nach Art. 6 Abs. 1 lit. f DSGVO, soweit personenbezogene Daten erforderlich sind. Eine gegebenenfalls notwendige Auftragsverarbeitung und internationale Übermittlung ist hiervon getrennt zu beurteilen.

Der Zugriff wird auf die jeweilige Aufgabe beschränkt. Nicht erforderliche Teilnehmer:innendaten, identifizierbare Patient:inneninformationen und Zugangsdaten sind nicht als Arbeitsmaterial für KI-Abfragen vorgesehen. Die administrative Assistenz ist von der regelbasierten Auswertung von Kursquizzen und vom Fortbildungsnavigator getrennt. Eine pauschale Zusage, dass jedes verbundene Werkzeug keinerlei personenbezogene Daten verarbeitet oder alle Eingaben unabhängig von Tarif und Kontoeinstellung ausschließlich in der EU bleiben, wird nicht abgegeben.

Weitere Informationen: H5P-Nutzungsstatistik und WP-Agent-Datenschutzinformation sowie offizielle OpenAI-Informationen zu Anmeldung und Datenverarbeitung bei Codex.

14. Empfänger und internationale Übermittlungen

Personenbezogene Daten können im erforderlichen Umfang von Hosting- und Versanddiensten, Zahlungsdiensten, Medienanbietern oder zuständigen Behörden verarbeitet werden. Die konkreten Dienste werden in den jeweiligen Abschnitten genannt. Auch die in Abschnitt 13 beschriebenen technischen Administrationsdienste werden dort gesondert erläutert. Auftragsverarbeiter müssen vertraglich nach Art. 28 DSGVO eingebunden werden; manche Empfänger sind für ihre eigenen gesetzlichen oder geschäftlichen Zwecke selbst verantwortlich.

Bei Empfängern oder Unterauftragnehmern außerhalb des Europäischen Wirtschaftsraums ist zusätzlich eine zulässige Übermittlungsgrundlage erforderlich. Ein Angemessenheitsbeschluss gilt nur für seinen jeweiligen Geltungsbereich. Das EU–US Data Privacy Framework erfasst nicht pauschal jeden US-Anbieter, sondern die dafür wirksam zertifizierten Empfänger und erfassten Daten. Andernfalls kommen insbesondere Standardvertragsklauseln mit erforderlicher ergänzender Prüfung und Schutzmaßnahmen in Betracht.

Informationen zu den für die konkrete Verarbeitung verwendeten Garantien und eine entsprechende Kopie bzw. Bezugsquelle können Sie beim Datenschutzkontakt anfordern. Eine normale Cookie-Einwilligung ist nicht automatisch eine ausreichende Grundlage für sämtliche Drittlandübermittlungen.

Weitere Informationen: Datenschutzbehörde zum EU–US Data Privacy Framework.

15. Aufbewahrung und Löschung

Die Aufbewahrung richtet sich nach dem jeweiligen Zweck. Eine gesetzliche Aufbewahrungspflicht für Rechnungen rechtfertigt nicht, alle Lern-, Profil- oder Kommunikationsdaten ebenso lange zu behalten. Nicht mehr benötigte Daten werden gelöscht oder tatsächlich anonymisiert; bei einer gesetzlichen Pflicht oder einem konkreten Rechtsstreit wird die weitere Verarbeitung auf den erforderlichen Zweck beschränkt.

Konto, Lernstand und Zertifikate

• Lernfortschritte: während des vereinbarten Kurszugangs. Nach dessen Ende werden nicht mehr erforderliche detaillierte Lernstände im Rahmen der Löschprüfung entfernt; notwendige Abschluss- und Nachweisdaten werden davon getrennt behandelt.
• Ausgestellte Zertifikate: fünf Jahre nach Abschluss. Eine längere Speicherung erfolgt nur bei einer gesonderten gesetzlichen Pflicht oder einem konkret erforderlichen Rechtsnachweis, nicht allein zur allgemeinen Vorratshaltung.
• Benutzerkonto: solange es für laufende Kurszugänge oder die geschuldete Zertifikatsbereitstellung erforderlich ist. Fehlende Anmeldung allein beendet diese Ansprüche nicht. Ohne verbleibenden Zweck wird das Konto im Rahmen der Löschprüfung gelöscht.

Die automatische WooCommerce-Kontolöschung nach zwölf Monaten und die Bestell-Anonymisierung sieben Jahre nach Bestelldatum sind ausgeschaltet. Stattdessen ist eine jährliche zweckbezogene Löschprüfung vorgesehen. Das bedeutet keine unbegrenzte Vorratsspeicherung. Berechtigte Lösch- und Widerrufsanfragen bearbeiten wir unabhängig vom jährlichen Prüftermin innerhalb der gesetzlichen Fristen.

Bestellungen und Buchhaltungsbelege

Steuerlich relevante Bücher, Aufzeichnungen und Belege werden grundsätzlich sieben Jahre ab Ende des maßgeblichen Kalenderjahres aufbewahrt; bei anhängigen abgabenrechtlichen Verfahren oder anderen gesetzlichen Gründen länger. Erforderliche Daten zur Durchsetzung oder Abwehr konkreter Rechtsansprüche können bis zum Ende des jeweiligen Verfahrens bzw. der einschlägigen Verjährungsfrist aufbewahrt werden. Das gilt nicht pauschal für alle Daten im Kundenkonto. Grundlage ist insbesondere § 132 BAO sowie Art. 6 Abs. 1 lit. c bzw. f DSGVO.

Ausstehende unbezahlte Bestellungen werden nach der eingestellten WooCommerce-Bereinigung nach zehn Tagen, fehlgeschlagene nach sieben Tagen und stornierte nach einem Tag in den Papierkorb verschoben. Die Verschiebung ist keine sofortige endgültige Löschung. Für steuerrelevante Belege, Rückerstattungen und bestehende Nachweispflichten gelten die gesonderten Aufbewahrungsregeln.

Anfragen ohne Buchung

Reine Anfragen, aus denen keine Buchung entsteht, werden sechs Monate nach abschließender Erledigung gelöscht. Werden Informationen für einen Vertrag, eine gesetzliche Pflicht oder einen konkreten Rechtsstreit benötigt, werden nur die dafür erforderlichen Teile nach den jeweils einschlägigen Regeln weiter aufbewahrt.

Nachweise, Protokolle und Sicherungskopien

Technische Protokolle: Maßgeblich sind der konkrete Betriebszweck, die Erforderlichkeit zur Fehlerbehebung oder Missbrauchsabwehr, notwendige Zustell- und Sicherheitsnachweise sowie gesetzliche Pflichten. Protokolldaten sind nicht allein wegen steuerlicher Belegpflichten sieben Jahre aufzubewahren. Wird ein Protokoll für die Untersuchung eines konkreten Sicherheitsereignisses oder zur Abwehr eines Rechtsanspruchs benötigt, beschränkt sich die weitere Aufbewahrung auf diesen Zweck. Wir prüfen nicht mehr erforderliche eigene Protokolle im Rahmen der Löschprüfung.

Sicherungskopien: Sicherungen dienen der Wiederherstellung bei Datenverlust und sind keine eigenständige Grundlage für die dauerhafte aktive Nutzung gelöschter Daten. Gelöschte Daten können bis zur Ersetzung einer Sicherung noch darin enthalten sein. Bei einer Wiederherstellung sind bereits erfolgte Löschungen und Widerrufe erneut zu berücksichtigen.

Für freiwillige Lern-E-Mails werden aktive Versand- und Klickdaten nur benötigt, solange die jeweilige Einwilligung und der Zweck bestehen. Nach Widerruf endet der freiwillige Versand; nicht mehr erforderliche aktive Versand- und Auswertungsdaten werden im Rahmen der Löschbearbeitung entfernt. Erforderliche Einwilligungsnachweise und minimale Sperrinformationen werden getrennt behandelt und nur so lange aufbewahrt, wie sie zum Nachweis der früheren Zustimmung, zur Beachtung der Abmeldung oder für konkrete Rechtsansprüche erforderlich sind. Ein Widerruf vernichtet nicht automatisch einen zulässigerweise erforderlichen Nachweis über die frühere Zustimmung.

Rechtsquelle: § 132 Bundesabgabenordnung.

16. Ihre Rechte

Nach Maßgabe der DSGVO können Sie Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit verlangen. Löschung kann eingeschränkt sein, wenn gesetzliche Aufbewahrung oder die Sicherung von Rechtsansprüchen die weitere Verarbeitung erforderlich macht.

Eine Einwilligung können Sie jederzeit für die Zukunft widerrufen. Die Rechtmäßigkeit der davor erfolgten Verarbeitung bleibt dadurch unberührt. Bei Verarbeitung aufgrund berechtigter Interessen können Sie aus Gründen Ihrer besonderen Situation Widerspruch einlegen. Gegen Direktwerbung können Sie jederzeit widersprechen.

Für Ihre Anfrage nutzen Sie office@pflege-academy.at. Bei begründeten Zweifeln an der Identität kann eine erforderliche Bestätigung verlangt werden. Wir reagieren grundsätzlich binnen eines Monats; eine gesetzlich zulässige Verlängerung wird begründet mitgeteilt.

Sie haben außerdem das Recht, sich bei einer zuständigen Aufsichtsbehörde zu beschweren. In Österreich ist dies die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, E-Mail dsb@dsb.gv.at, Website dsb.gv.at.

Die besonderen Schutzrechte bei ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung richten sich nach Art. 22 DSGVO.

Weitere Informationen: Ihre Rechte laut Datenschutzbehörde.