Datenschutz­erklärung

Verantwortlicher

Verantwortlicher nach Artikel 4 Nummer 7 DSGVO ist:

Torben Maximilian Kossmann Sövener Straße 11 53773 Hennef (Sieg) Deutschland datenschutz@t-maxi.de

Verarbeitungsvorgänge

Aufruf der Website und technischer Betrieb

Google Firebase und Google Cloud verarbeiten bei Seiten- und Funktionsaufrufen insbesondere IP-Adresse, Zeitpunkt, URL oder Funktionsaufruf, Referrer soweit übermittelt, Browser-, Betriebs- und Geräteangaben, HTTP-Status sowie technische Kennungen, Pfade, Laufzeiten und Fehlerdaten. Dies dient der Auslieferung, Fehlerbehebung, Missbrauchsabwehr und IT-Sicherheit. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO; das berechtigte Interesse liegt im sicheren und funktionsfähigen Betrieb der Anwendung.

Firebase Hosting hält IP-Daten nach Anbieterangaben einige Monate, Cloud Functions IP-Adressen vorübergehend. Reguläre Cloud-Logging-Daten (_Default) werden grundsätzlich 30 Tage, verpflichtende Audit-Protokolle (_Required) 400 Tage gespeichert. Bei Sicherheitsvorfällen oder Rechtsansprüchen kann eine längere Aufbewahrung erforderlich sein.

Zum Schutz vor automatisiertem Missbrauch verwendet die Website Firebase App Check mit reCAPTCHA Enterprise. Google bewertet dafür im Hintergrund technische Browser-, Geräte-, Netzwerk- und Interaktionssignale und stellt ein zeitlich begrenztes App-Check-Token aus. Eine sichtbare Bilderaufgabe ist im regulären Betrieb nicht vorgesehen. Zweck und Rechtsgrundlage entsprechen der vorstehend beschriebenen IT-Sicherheit und Missbrauchsabwehr.

Trainerkonten und Zugangsverwaltung

Bei ausgewählten Trainern werden Name, E-Mail-Adresse, Firebase-Nutzerkennung, Authentifizierungs- und Anmeldezeitpunkte, Passwort in der Verantwortung von Firebase Authentication, Rolle, Freigaben, Profileinstellungen und der Status eines aktiven Kurses verarbeitet. Dies dient Anmeldung, Rechteprüfung, Kurs- und Berichtszuordnung sowie Missbrauchsschutz auf Grundlage von Artikel 6 Absatz 1 Buchstabe f DSGVO. Das berechtigte Interesse besteht in einer sicheren, auf freigeschaltete Personen begrenzten Verwaltung.

Ein administrativ berechtigter „Captain“ kann Name, E-Mail-Adresse, Kontobestand, Freigabestatus, Rolle, Methodenberechtigungen und den Status eines aktiven Kurses einsehen sowie Berechtigungen ändern. Nach endgültigem Entzug der Freigabe wird der Zugang sofort gesperrt; die zugehörigen Berechtigungs-, Profil-, Chat- und Authentifizierungsdaten werden grundsätzlich innerhalb von 30 Tagen zur Löschung gebracht. Die Entfernung aus Live- und Sicherungssystemen von Firebase kann danach nach Anbieterangaben bis zu 180 Tage dauern.

Verschlüsselter Trainer-Einzelchat

Freigeschaltete Trainer können den optionalen Einzelchat verwenden. Für die Chatübersicht werden Firebase-Nutzerkennung, Anzeigename, gewählter Avatar, öffentlicher Verschlüsselungsschlüssel und Schlüsselkennung verarbeitet. Firestore speichert zu Nachrichten die Kennungen der beiden Gesprächspartner und ihrer Schlüssel, Sende- und Lesezeitpunkte, verschlüsselten Nachrichteninhalt, Initialisierungswert und die für beide Gesprächspartner jeweils verschlüsselte Nachrichtenschlüsselkopie. Klartext wird bereits im Browser mit AES-256-GCM verschlüsselt; der Nachrichtenschlüssel wird für beide Gesprächspartner mit RSA-OAEP verpackt. Eine private Schlüsselkopie liegt ausschließlich mit dem persönlichen Wiederherstellungsgeheimnis verschlüsselt in Firestore. Dieses Geheimnis wird nicht an Firebase übertragen.

Dadurch können regulär nur die beiden Chatpartner den Inhalt lesen. Google Firebase erhält weiterhin technische Metadaten und Chiffretext; Ende-zu-Ende-Verschlüsselung schützt nicht vor einem entsperrten oder kompromittierten Endgerät, Bildschirmaufnahmen oder einer absichtlichen Weitergabe durch einen Chatpartner. Zweck und berechtigtes Interesse nach Artikel 6 Absatz 1 Buchstabe f DSGVO sind die direkte organisatorische Abstimmung zwischen freigeschalteten Trainern. Der Chat ist nicht für Teilnehmer-, Patienten-, Gesundheits- oder andere besonders sensible Daten bestimmt; die Oberfläche weist darauf hin.

Chatdaten bleiben für die Dauer der benötigten Trainerkommunikation und der beteiligten aktiven Trainerkonten gespeichert. Bei endgültigem Freigabeentzug, einem berechtigten Löschersuchen oder einem ausdrücklich ausgelösten vollständigen Nutzungsdaten-Reset werden Chatprofil, verschlüsselte Schlüsselsicherung, Lesemarker sowie betroffene Unterhaltungen mit ihren Nachrichten zur Löschung gebracht. Ein neuer Sicherheitsschlüssel macht zuvor mit dem alten Schlüssel verschlüsselte Inhalte unlesbar.

Teilnahme, Kurse und Missbrauchsschutz

Beim ersten Teilnehmeraufruf wird, sofern noch keine Anmeldung besteht, ein anonymes Firebase-Auth-Konto mit pseudonymer technischer Nutzerkennung angelegt. Die Anmeldung kann im Browser über eine einzelne Sitzung hinaus gespeichert bleiben. Für die Kursteilnahme werden je nach Methode Kurs-PIN und -zuordnung, frei gewählter Anzeige-, Crew- oder Teamname, Avatar, Beitritt, Anwesenheit, Online-, Aktivitäts- und Tippstatus, Zeitpunkte, Flaschenpost-, Ergänzungs- und Reviewtexte, Autoren- und Reviewerzuordnung, Sortier-, Routing- und Positionsstatus sowie bei „Goldrausch“ Teamzuordnung, Bereitschaft, Fragen, Buzzer-Ereignisse, Gewinner, Spielstand und Punkte verarbeitet.

Zweck ist die Durchführung und Synchronisierung des ausgewählten interaktiven Kurses sowie dessen Schutz vor Fehl- und Mehrfachnutzung. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO; das berechtigte Interesse liegt in einer datensparsamen, störungsfreien und geschützten Kursdurchführung. Die jeweilige Kursleitung sieht die Daten ihres Kurses. Teilnehmende erhalten in der Lobby nur die aggregierte Anzahl aktuell anwesender Personen; fremde Teilnehmerdatensätze sind für sie nicht lesbar. Je nach Methode können sie Anzeige-, Crew- oder Teamnamen, Avatare, Spielstände und Status aus dem gemeinsamen Spielzustand sowie eigene oder ihnen zugewiesene Beiträge einschließlich Inhalt und Zuordnung sehen.

Minderjährige können nur als Teilnehmende in einem begleiteten Kurs mitwirken; ein persönliches Profil oder eine E-Mail-Adresse ist dafür nicht erforderlich. Die Anwendung ist nicht für reale Patienten-, Kontakt-, Gesundheits- oder sonstige besonders sensible Daten bestimmt. Es sollen Pseudonyme verwendet und solche Angaben nicht in Namen oder Freitexte eingetragen werden.

Bei manuellem Kursende werden die Kurs-Rohdaten nach Erstellung des Berichts rekursiv gelöscht. Nicht beendete Kurse werden ab 24 Stunden nach Anlage in einem regelmäßig etwa alle 15 Minuten laufenden Wartungsprozess bearbeitet; Fehler, Ausfälle oder Rückstau können dies verzögern. Das davon getrennte anonyme Auth-Konto wird nicht durch den Kursabschluss gelöscht. Im Produktivprojekt ist dafür die automatische Firebase-Bereinigung aktiviert: Anonyme Konten, die älter als 30 Tage sind, werden zur Löschung vorgesehen. Der konkrete Ausführungszeitpunkt kann abweichen und wird betrieblich kontrolliert; bei Firebase kann die anschließende technische Entfernung bis zu 180 Tage dauern.

Rate-Limit-Datensätze enthalten technische Nutzerkennungen, Zähler und Zeitfenster, jedoch keine Kurs- oder Nachrichteninhalte. Sie erhalten eine Ablaufmarke von 24 Stunden und werden bei erneuter Nutzung zurückgesetzt oder im Rahmen einer mindestens monatlichen Bereinigung entfernt; wegen der technischen Karenz kann die Löschung abgelaufener Datensätze regulär bis zu etwa 61 Tage nach Ablauf dauern. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO; berechtigtes Interesse ist der Missbrauchsschutz.

Freiwillige Kursbewertung

Nach einem manuellen Kursende können Teilnehmende den Kurs freiwillig mit einem bis vier Sternen bewerten oder „Bewertung überspringen“ wählen. Es wird kein Bewertungstext abgefragt. Zur Berechtigungs- und Einmalprüfung verarbeitet die zuständige Cloud Function die anonyme technische Nutzerkennung, Kurskennung und einen daraus abgeleiteten technischen Einmal-Hash. Im trainerseitig lesbaren Kursbericht werden nur Anzahl und Summe der Sternbewertungen gespeichert. Berechtigungs-Hashes und die Verteilung auf ein bis vier Sterne liegen in einem getrennten, für Browser vollständig gesperrten Bewertungszustand. Rohe Teilnehmerkennungen und einzelne Sternwerte werden dort nicht miteinander verknüpft.

Der zugeordnete Trainer sieht das aggregierte Ergebnis ab der ersten Antwort direkt im Berichtsbereich. Bei nur einer oder sehr wenigen Antworten sowie durch die Beobachtung zeitlicher Änderungen können Rückschlüsse auf einzelne Rückmeldungen dennoch möglich sein; eine vollständige Anonymität wird daher nicht zugesichert. Zweck und berechtigtes Interesse nach Artikel 6 Absatz 1 Buchstabe f DSGVO sind die freiwillige Qualitätsrückmeldung und Verbesserung der Kursdurchführung. Die Teilnahme am Kurs hängt nicht von einer Bewertung ab.

Berichtsaggregat und gesperrter Bewertungszustand werden auf vorzeitige Veranlassung des Trainers gemeinsam oder regulär nach 48 Stunden gelöscht. Die Bewertung verändert den bereits zuvor erzeugten PDF-Bericht nicht.

Kursberichte

PDF-Berichte enthalten Kurstitel und -dauer, Aktivitätswerte und -statistiken, bis zu 2.000 im Bericht berücksichtigte Kursbeiträge mit auf Minuten gerundeten Zeiten und kurslokalen Pseudonymen sowie bei „Goldrausch“ die frei gewählten Crew- oder Teamnamen, Rangfolgen und Gewinnerhistorie. Firebase-Nutzerkennungen und Kurs-PIN werden nicht als Berichtsfelder übernommen. Freitexte, Namen oder Kurskontext können dennoch eine Zuordnung ermöglichen; Berichte sind daher pseudonymisiert, nicht zwingend anonym.

Zweck und berechtigtes Interesse nach Artikel 6 Absatz 1 Buchstabe f DSGVO sind die kurzfristige Kursdokumentation und Nachbereitung. Nur der zugeordnete Trainer kann den Bericht 48 Stunden nach Kursende abrufen. Danach wird das aktive Speicherobjekt beim nächsten Wartungslauf gelöscht; Cloud Storage Soft Delete ist für diesen Bucket deaktiviert. Heruntergeladene Berichte sind spätestens 30 Tage nach dem Download durch den Trainer zu löschen, sofern sie nicht früher entbehrlich sind oder ein Rechtsgrund entgegensteht.

Optionale KI-Sortierung

Aktiviert ein Trainer die KI-Sortierung, werden für die laufende Sortierung bis zu 120 Beiträge mit einer nur für diesen Aufruf vergebenen Laufnummer, technischer Spaltenkennung, Spaltenbezeichnung und auf 500 Zeichen gekürztem, normalisiertem Freitext an die OpenAI-API übermittelt. Typische E-Mail-Adressen, Links, lange Telefonnummern und IBAN-ähnliche Kennungen werden vorher ersetzt. Anzeigenamen, Nutzerkennungen, PIN und persistierte Nachrichten-ID werden nicht als eigene Felder übertragen; Namen oder andere Angaben können aber im Freitext verbleiben. Zweck ist ein durch die Kursleitung überprüfbarer Sortiervorschlag. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO; das berechtigte Interesse liegt in der übersichtlichen Kursauswertung.

Anbieter ist OpenAI Ireland Limited. Der API-Aufruf nutzt store: false; dadurch wird kein API-Anwendungszustand gespeichert. API-Daten werden nach Anbieterangaben standardmäßig nicht zum Modelltraining verwendet. Da für das Projekt keine Zero Data Retention oder EU-Datenresidenz bestätigt ist, können Missbrauchsüberwachungsprotokolle, die Ein- und Ausgaben sowie Metadaten enthalten können, grundsätzlich bis zu 30 Tage und insbesondere in den USA verarbeitet werden. Die betriebliche Vorgabe untersagt die Funktion bei Minderjährigen sowie bei möglichen Angaben zu bestimmbaren Personen oder Gesundheitsdaten; dies wird technisch nicht zuverlässig erzwungen. Eine Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung findet nicht statt.

Lotse und Kontakt per E-Mail

Der Lotse im Trainerbereich verwendet keine KI und keine serverseitige Wissensbasis. Er gleicht Eingaben ausschließlich lokal und deterministisch mit einem versionierten Katalog geprüfter Bedienhilfen ab und zeigt eine feste Begrüßung sowie vordefinierte Antworten und Hinweise. Die sichtbare Unterhaltung und ein Entwurf bleiben zunächst nur im laufenden Browser. Lokale Antworten lösen selbst weder einen E-Mail-Versand noch einen anderen Netzwerkaufruf aus. Bei ausgewählten technischen Störungsfällen kann der Lotse nach lokalen Prüfschritten eine freiwillige Übergabe an den Support anbieten. Dasselbe gilt, wenn er eine Frage nicht zuordnen kann oder ausdrücklich Kontakt gewünscht wird. Fachliche Erste-Hilfe-Fragen beantwortet er nicht und bietet dafür keine Übergabe an. Eine E-Mail-Aktion wird nicht nach jeder Nachricht angeboten.

Vor dieser freiwilligen Übergabe wird klar darauf hingewiesen, dass der gesamte bis dahin sichtbare Chatverlauf – einschließlich Begrüßung, Trainertexten und Lotsenhinweisen – zusammen mit der technischen Nutzerkennung und der im angemeldeten Firebase-Auth-Konto hinterlegten Trainer-E-Mail-Adresse verarbeitet wird. Erst der gezielte Klick auf „Chatverlauf ans Team senden“ ruft eine Firebase Cloud Function auf. Diese prüft Trainerfreigabe und ein serverseitiges Limit von fünf Sendeversuchen je zehn Minuten und übermittelt den zur Übergabe bestimmten Chatverlauf und die Trainer-E-Mail über Proton Mail an kontakt@t-maxi.de. Der Nachrichteninhalt wird nicht in Firestore gespeichert; dies gilt für den gesamten Chatverlauf. Er wird auch nicht als serverseitiger Verlauf abgelegt; dort verbleiben nur technische Kennung, Zähler und Zeitfenster des oben beschriebenen Missbrauchsschutzes. Nach der Übergabe liegt der Chatverlauf jedoch als E-Mail im Transport und Supportpostfach. Antworten erfolgen außerhalb der Website per E-Mail. Es sollen keine Angaben zu Kursteilnehmenden, Patientinnen oder Patienten und insbesondere keine Gesundheitsdaten in die Unterhaltung aufgenommen werden.

Das X öffnet vor dem Löschen eine Sicherheitsabfrage. Erst die Bestätigung leert den lokalen Verlauf und schließt den Lotsen; Abbrechen erhält Unterhaltung und Entwurf unverändert. Ohne Proton-Übergabe wird der lokale Verlauf nicht serverseitig gespeichert.

Proton Mail verarbeitet für den Versand und die anschließende E-Mail-Kommunikation Absenderadresse, Empfängeradresse, Betreff, Nachricht und Versandmetadaten. Zweck und berechtigtes Interesse nach Artikel 6 Absatz 1 Buchstabe f DSGVO sind die Bearbeitung von Kontaktanfragen und Fehlerhinweisen. E-Mails werden grundsätzlich spätestens nach sechs Monaten gelöscht, soweit keine rechtliche Pflicht oder ein Rechtsanspruch entgegensteht. Datenschutzanfragen werden zur Erfüllung der Pflichten aus Artikel 12 ff. DSGVO auf Grundlage von Artikel 6 Absatz 1 Buchstabe c DSGVO verarbeitet.

Empfänger und Drittländer

Empfänger sind – jeweils nur im beschriebenen Umfang – der Betreiber, ausgewählte Trainer, der „Captain“, aktive Kursteilnehmende sowie folgende Dienstleister und deren Unterauftragsverarbeiter:

• Google Firebase und Google Cloud (je nach Dienst insbesondere Google Cloud EMEA Limited, Google Ireland Limited und Google LLC): Authentifizierung in den USA, Firestore in nam5, Cloud Functions einschließlich des ausdrücklich ausgelösten Lotsen-Kontaktversands in us-central1, Berichte in US-EAST1 und Hosting über globale Infrastruktur.
• OpenAI Ireland Limited: nur bei aktivierter KI-Sortierung; Verarbeitung kann insbesondere in den USA erfolgen.
• Google Ireland Limited und Google LLC (YouTube): nur nach vollständiger Auswahl eines Videos; Bereitstellung des Players über www.youtube-nocookie.com, wobei eine Verarbeitung insbesondere in den USA möglich ist.
• Proton AG, Schweiz: SMTP-Transport, E-Mail-Postfach und Antwortkommunikation für Lotsen-, Kontakt- und Datenschutzanfragen.

Für die Schweiz besteht ein Angemessenheitsbeschluss nach Artikel 45 DSGVO. Soweit Google oder OpenAI Daten außerhalb von EU und EWR verarbeiten lassen, erfolgt die Übermittlung auf Grundlage der in den jeweiligen Auftragsverarbeitungsverträgen einbezogenen EU-Standardvertragsklauseln nach Artikel 46 Absatz 2 Buchstabe c DSGVO; soweit ein Angemessenheitsbeschluss greift, auf dessen Grundlage. Eine Kopie oder weitere Auskunft zu den Garantien kann über die Datenschutzadresse angefordert werden.

Weitere Informationen: Firebase-Datenschutz, Google Cloud Data Processing Addendum, OpenAI API Data Controls, OpenAI Data Processing Addendum und Proton Data Processing Agreement.

Cookies und Browser-Speicher

Die Anwendung selbst setzt keine Analyse-, Marketing- oder Werbe-Cookies ein. Für den optional geladenen YouTube-Player gelten die nachfolgenden Hinweise. Firebase Authentication speichert die anonyme Teilnehmer- oder Traineranmeldung in IndexedDB oder vergleichbarem Browserspeicher bis zur Abmeldung, Kontolöschung oder lokalen Browserlöschung. sessionStorage enthält den Teilnehmerzugang, Kurscode, Kurszuordnung, vorübergehende Bedienhinweise und nach manuellem Kursende gegebenenfalls die Kurskennung der kurzlebigen Bewertungsfreigabe. Diese Kennung wird bei Abgabe oder „Bewertung überspringen“, spätestens aber am Ende der Browser-Sitzung entfernt. localStorage enthält trainerseitige Goldrausch-Präferenzen sowie – nach Einrichtung des Trainerchats – den persönlichen Wiederherstellungscode bis zur Änderung oder lokalen Löschung. Der Code wird nur lokal zum Entschlüsseln der in Firestore verschlüsselt gesicherten privaten Schlüsselkopie verwendet.

Die optionale Videothek stellt erst nach vollständiger Auswahl eines gültigen Titelcodes eine Verbindung zu www.youtube-nocookie.com her. Dabei verarbeitet Google insbesondere IP-Adresse, Browser-, Geräte- und Abrufdaten. Auswurf, Ansichtswechsel und Abmeldung entfernen die Player-Verbindung; die Auswahl wird nicht in Browser- oder Serverspeichern abgelegt.

Der Zugriff auf die für Anmeldung, Sitzung und gewählte Einstellungen erforderlichen eigenen Endgeräteinformationen erfolgt nach § 25 Absatz 2 Nummer 2 TDDDG. Der nach vollständiger Auswahl ausdrücklich angeforderte YouTube-Player wird auf Grundlage von Artikel 6 Absatz 1 Buchstabe f DSGVO bereitgestellt; das berechtigte Interesse liegt in der Wiedergabe des vom Trainer gewählten Lernvideos. Soweit der Player hierfür Informationen im Endgerät speichert oder ausliest, erfolgt auch dieser Zugriff nach § 25 Absatz 2 Nummer 2 TDDDG. Bei einer Browserlöschung gehen Anmeldung, laufende Sitzung oder Einstellungen verloren.

Betroffenenrechte und Beschwerde

Unter den gesetzlichen Voraussetzungen bestehen Rechte auf Auskunft (Artikel 15 DSGVO), Berichtigung (Artikel 16), Löschung (Artikel 17), Einschränkung der Verarbeitung (Artikel 18) sowie, soweit anwendbar, Datenübertragbarkeit (Artikel 20). Anfragen können an datenschutz@t-maxi.de gerichtet werden. Bei pseudonymen Kursdaten kann zur Zuordnung eine vorhandene Kurs-, Teilnehmer- oder Vorgangskennung erforderlich sein.

Zudem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde, insbesondere am Aufenthaltsort, Arbeitsplatz oder Ort des mutmaßlichen Verstoßes. Für den Betreiber zuständig ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen Kavalleriestraße 2–4 40213 Düsseldorf poststelle@ldi.nrw.de www.ldi.nrw.de

Bereitstellung und automatisierte Entscheidungen

Es besteht keine gesetzliche oder vertragliche Pflicht zur Bereitstellung. Technische Verbindungsdaten sind für den Websiteaufruf erforderlich. Ohne Kurs-PIN, Sitzungskennung und gewählten Anzeigenamen sind Teilnehmerfunktionen nicht nutzbar; Trainer benötigen ein freigeschaltetes Konto. Kursbeiträge, Kursbewertung, Trainer-Einzelchat, KI-Sortierung und die freiwillige Übergabe eines Lotsen-Chatverlaufs sind optional.

Es findet weder Profiling noch eine ausschließlich automatisierte Entscheidung nach Artikel 22 DSGVO statt. Die KI-Sortierung erzeugt nur einen veränderbaren Vorschlag.