Datenschutzerklärung

Hier erfährst du, welche personenbezogenen Daten wir verarbeiten, wenn du unsere Website besuchst und unser Prüfungs- und Zertifikatssystem nutzt: zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange.

1. Verantwortlicher
2. Hosting und Server-Logfiles
3. Cookies
4. Registrierung und Nutzerkonto
5. E-Mails
6. Kontoschutz und Aktivitätsprotokoll
7. Prüfungen und Prüfungsaufsicht
8. Zertifikate und Verifizierung
9. Öffentliches Profil und Profilbild
10. LinkedIn und externe Links
11. Kontakt- und Supportanfragen
12. Empfänger und Auftragsverarbeiter
13. Deine Rechte
14. Datensicherheit
15. Änderungen

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

[Name bzw. Firma mit Rechtsform]
[Straße und Hausnummer]
[PLZ und Ort]
Deutschland

E-Mail: [E-Mail-Adresse]

2. Hosting und Server-Logfiles

Unsere Website wird betrieben bei: [Hoster mit Anschrift]. Der Hoster verarbeitet Daten ausschließlich in unserem Auftrag und nach unseren Weisungen; mit ihm besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Bei jedem Seitenaufruf protokolliert der Webserver automatisch Angaben, die dein Browser übermittelt:

• IP-Adresse
• Datum und Uhrzeit der Anfrage
• aufgerufene Adresse, HTTP-Methode, Statuscode und übertragene Datenmenge
• zuvor besuchte Seite (Referrer), soweit übermittelt
• Browsertyp und Betriebssystem (User-Agent)

Außerdem protokollieren wir technische Fehler, zum Beispiel einen fehlgeschlagenen E-Mail-Versand mit der Empfängeradresse, um Störungen zu beheben.

Zweck und Rechtsgrundlage: Bereitstellung, Stabilität und Sicherheit der Website sowie das Erkennen und Abwehren von Angriffen (Art. 6 Abs. 1 lit. f DSGVO).
Speicherdauer: Die Logfiles werden nach spätestens 14 Tagen gelöscht, es sei denn, ein konkreter Sicherheitsvorfall muss aufgeklärt werden.

3. Cookies

Wir setzen ausschließlich ein technisch notwendiges Cookie:

Name

ifw_sid

Zweck

Sitzungskennung: hält dich angemeldet und schützt Formulare vor Missbrauch (CSRF-Schutz). Die zugehörigen Sitzungsdaten liegen auf unserem Server.

Speicherdauer

höchstens 8 Stunden; nach 120 Minuten ohne Aktivität wirst du automatisch abgemeldet

Das Cookie ist für die Nutzung der Website unbedingt erforderlich. Rechtsgrundlage für das Speichern ist § 25 Abs. 2 Nr. 2 TDDDG, für die weitere Verarbeitung Art. 6 Abs. 1 lit. b und f DSGVO. Eine Einwilligung ist dafür nicht nötig, deshalb gibt es bei uns kein Cookie-Banner. Tracking-, Analyse- oder Werbe-Cookies verwenden wir nicht.

4. Registrierung und Nutzerkonto

Für Prüfungen und Zertifikate brauchst du ein Nutzerkonto. Dabei verarbeiten wir:

• Vor- und Nachname (erscheint auf deinen Zertifikaten)
• E-Mail-Adresse
• Passwort, gespeichert ausschließlich als sicherer Hash (Argon2id), nie im Klartext
• Zeitpunkt der Registrierung und deiner Zustimmung zu den Teilnahmebedingungen
• Geburtsdatum, um die Altersgrenzen unserer Prüfungsordnung einzuhalten. Es erscheint weder auf Zertifikaten noch im Profil
• bei 13- bis 17-Jährigen: E-Mail-Adresse der Erziehungsberechtigten und Zeitpunkt ihrer Einwilligung
• Zeitpunkt der letzten Anmeldung und der letzten Passwortänderung
• einen automatisch erzeugten Benutzernamen für die Adresse deines optionalen öffentlichen Profils

Deine E-Mail-Adresse bestätigst du über einen Link, den wir dir zusenden. So stellen wir sicher, dass niemand mit einer fremden Adresse ein Konto anlegt. Bestätigungs- und Passwort-Links sind nur begrenzt gültig; wir speichern sie nur als Hash und löschen sie kurz nach Ablauf.

Minderjährige: Unter 13 Jahren ist keine Registrierung möglich, Daten werden dann nicht gespeichert. Von 13 bis 17 Jahren schicken wir den Erziehungsberechtigten einen Link zur Einwilligung, sobald die eigene E-Mail-Adresse bestätigt ist. Ihre Zustimmung speichern wir mit Zeitpunkt und IP-Adresse im Aktivitätsprotokoll.

Name, E-Mail-Adresse, Passwort und Geburtsdatum sind erforderlich, ohne sie können wir dir kein Konto bereitstellen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag nach unseren Teilnahme- und Prüfungsbedingungen); für Geburtsdatum und Einwilligung der Erziehungsberechtigten zusätzlich Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an wirksamen Verträgen mit Minderjährigen und am Nachweis der Einwilligung).
Speicherdauer: bis zur Löschung deines Kontos.

5. E-Mails

Wir senden dir nur E-Mails, die zu deinem Konto gehören:

• Bestätigung deiner E-Mail-Adresse, auch bei einer Änderung
• Link zum Zurücksetzen deines Passworts
• Sicherheitshinweise, etwa bei einer vorübergehenden Kontosperre, einer Passwort- oder E-Mail-Änderung oder einem Registrierungsversuch mit deiner bereits registrierten Adresse
• Benachrichtigung über ein ausgestelltes Zertifikat
• Entscheidungen zu deinen Prüfungen nach der Prüfungsordnung: Nachteilsausgleich, Annullierung, Prüfungssperre oder Aberkennung von Zertifikaten
• bei Minderjährigen: die Bitte um Einwilligung an die angegebene Adresse der Erziehungsberechtigten und die Bestätigung an dich, wenn sie zugestimmt haben
• Bestätigung der Kontolöschung
• Eingangsbestätigung und Antworten auf deine Kontaktanfragen (auch ohne Konto)

Newsletter oder Werbe-E-Mails versenden wir nicht. Der Versand erfolgt über den Mailserver unseres Hosters als Auftragsverarbeiter.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Sicherheitshinweise Art. 6 Abs. 1 lit. f DSGVO (Schutz deines Kontos).

6. Kontoschutz und Aktivitätsprotokoll

Zum Schutz vor unbefugten Zugriffen und automatisierten Angriffen zählen wir fehlgeschlagene Anmeldeversuche. Nach 5 Fehlversuchen wird das Konto für 15 Minuten gesperrt, und du erhältst eine E-Mail. Außerdem begrenzen wir zu viele Anmelde- und Registrierungsversuche aus demselben Netzwerk anhand der IP-Adresse; bei unbekannten E-Mail-Adressen speichern wir nur einen Hashwert der Adresse. Diese Zähler werden nach spätestens zwei Tagen gelöscht.

Sicherheits- und kontorelevante Ereignisse speichern wir mit Zeitpunkt und IP-Adresse in einem Aktivitätsprotokoll, zum Beispiel:

• Anmeldungen, fehlgeschlagene Anmeldungen und Kontosperren
• Passwort- und E-Mail-Änderungen (mit alter und neuer Adresse) sowie Profiländerungen
• Datenexporte und Kontolöschungen
• Start und Abschluss von Prüfungen sowie ausgestellte Zertifikate
• Maßnahmen unserer Administratoren, etwa die Annullierung eines Versuchs oder der Widerruf eines Zertifikats

Deine letzten Anmeldungen kannst du selbst unter „Konto → Sicherheit“ einsehen.

Zweck und Rechtsgrundlage: Schutz deines Kontos, Erkennen von Missbrauch und Täuschung sowie Nachvollziehbarkeit von Änderungen (Art. 6 Abs. 1 lit. f DSGVO). Unser berechtigtes Interesse liegt in der Sicherheit des Systems und der Verlässlichkeit der ausgestellten Zertifikate.
Speicherdauer: IP-Adressen werden nach 90 Tagen aus dem Protokoll entfernt, die Einträge selbst nach 365 Tagen gelöscht. Diese Fristen gelten auch nach einer Kontolöschung, damit sich zum Beispiel die Löschung selbst nachweisen lässt.

7. Prüfungen und Prüfungsaufsicht

Zu jedem Versuch einer Probeklausur oder Abschlussprüfung speichern wir:

• Prüfung, Start- und Endzeitpunkt sowie den Bearbeitungsstand
• die dir gestellten Fragen, deine Antworten und Markierungen
• Punktzahl, Ergebnis und ob du bestanden hast
• IP-Adresse und Browserkennung (User-Agent) beim Start
• bei Abschlussprüfungen den Zeitpunkt, zu dem du die Geheimhaltungserklärung akzeptiert hast
• einen gewährten Zeitzuschlag (Nachteilsausgleich)
• ggf. freigegebene Zusatzversuche mit Vermerk, die Annullierung eines Versuchs mit Begründung und ob ein vorläufiges Ergebnis geprüft und bestätigt wurde

Nachteilsausgleich: Beantragst du mehr Bearbeitungszeit, erfahren wir dadurch Angaben zu deiner Gesundheit (Art. 9 DSGVO). Wir verarbeiten sie nur auf Grundlage deiner ausdrücklichen Einwilligung, die du mit dem Antrag erteilst (Art. 9 Abs. 2 lit. a DSGVO). Die Nachweise, die du im Konto hochlädst, speichern wir außerhalb des öffentlich erreichbaren Bereichs unseres Servers. Nur unsere Administratoren können sie öffnen, jeder Abruf wird protokolliert. Nachweise und deine Anmerkung zum Antrag löschen wir, sobald über den Antrag entschieden ist oder du ihn zurückziehst. Danach speichern wir nur den beantragten und den gewährten Zeitzuschlag, Datum und Status des Antrags, eine eventuelle Begründung der Entscheidung und einen Vermerk ohne Diagnose. Den Zuschlag sehen nur du und unsere Administratoren, er erscheint nicht auf Zertifikaten. Du kannst die Einwilligung jederzeit widerrufen, indem du den Antrag zurückziehst oder den Nachteilsausgleich in deinem Konto beendest. Dann entfällt der Zuschlag für künftige Prüfungen.

Prüfungssperre: Verhängen wir nach der Prüfungsordnung eine Prüfungssperre, speichern wir Beginn, Ende und Begründung. Nach Ablauf der Sperre wirkt sie nicht mehr. Die Angaben bleiben bis zur Löschung deines Kontos gespeichert, damit sich die Entscheidung nachvollziehen lässt.

Prüfungsaufsicht: Für faire Prüfungsbedingungen zählen wir während eines Versuchs, wie oft das Prüfungsfenster verlassen wurde (z. B. durch einen Tab- oder Fensterwechsel), wie oft Kopieren oder Drucken blockiert wurde und wie oft ein Versuch unterbrochen und fortgesetzt wurde. Gespeichert werden nur diese Anzahlen: keine Bildschirminhalte, keine Tastatureingaben und keine Inhalte deiner Zwischenablage. Kamera und Mikrofon werden nicht verwendet. Während der Prüfung wird deine E-Mail-Adresse als Wasserzeichen eingeblendet, damit Prüfungsinhalte nicht unbemerkt weitergegeben werden.

Automatisierte Bewertung: Deine Antworten werden automatisch anhand des hinterlegten Lösungsschlüssels bewertet. Das ist für die Durchführung der Prüfung erforderlich (Art. 22 Abs. 2 lit. a DSGVO). Die Aufsichtsdaten führen nicht automatisch zu Konsequenzen: Erreichen sie bei einer bestandenen Abschlussprüfung eine festgelegte Schwelle, bleibt das Ergebnis nur so lange vorläufig, bis eine Person es geprüft hat. Ob ein Versuch wegen Täuschung annulliert, eine Sperre verhängt oder ein Zertifikat widerrufen wird, entscheiden unsere Administratoren im Einzelfall. Du kannst verlangen, dass eine Bewertung von einem Menschen überprüft wird, und deinen Standpunkt darlegen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Prüfung nach den Teilnahme- und Prüfungsbedingungen); für Prüfungsaufsicht, IP-Adresse und Browserkennung zusätzlich Art. 6 Abs. 1 lit. f DSGVO (Integrität der Prüfungen).
Speicherdauer: Versuche und Ergebnisse speichern wir, solange dein Konto besteht, weil sich zum Beispiel erlaubte Versuche und Wartezeiten danach richten. IP-Adresse und Browserkennung werden nach 90 Tagen entfernt.

8. Zertifikate und Verifizierung

Für eine bestandene Abschlussprüfung stellen wir ein Zertifikat aus. Dazu speichern wir deinen Namen zum Zeitpunkt der Ausstellung, die Prüfung, dein Ergebnis in Prozent, Ausstellungs- und ggf. Ablaufdatum, eine eindeutige Zertifikats-ID sowie einen eventuellen Widerruf mit Begründung.

Wer die Zertifikats-ID kennt, kann auf unserer Verifizierungsseite die Echtheit prüfen. Angezeigt werden dein Name, die Bezeichnung des Zertifikats, Ausstellungs- und Ablaufdatum, die Zertifikats-ID und der Status (gültig, abgelaufen oder widerrufen). Das gilt unabhängig davon, ob du das Zertifikat in deinem Profil veröffentlicht hast. Dein Prüfungsergebnis wird dort nicht angezeigt. Die Verifizierungsseite ist für Suchmaschinen gesperrt. Die Zertifikats-ID gibst du selbst weiter, etwa an Arbeitgeber oder über LinkedIn.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, weil die Überprüfbarkeit wesentlicher Bestandteil des Zertifikats ist.
Speicherdauer: solange dein Konto besteht. Wenn du dein Konto löschst, werden auch deine Zertifikate gelöscht und Verifizierungslinks funktionieren nicht mehr.

9. Öffentliches Profil und Profilbild

Dein Profil ist standardmäßig privat. Nur wenn du es selbst veröffentlichst, ist es unter /profil/benutzername für alle sichtbar, und zwar mit Name, Profilbild, Kurzbeschreibung, Ort, Über-mich-Text, deinen Links (Website, LinkedIn, GitHub) und den Zertifikaten, die du einzeln freigegeben hast. Alle Angaben außer dem Namen sind freiwillig.

Suchmaschinen dürfen dein Profil nur indexieren, wenn du das zusätzlich erlaubst; sonst ist die Seite mit „noindex“ gekennzeichnet. Bitte beachte: Suchmaschinen können Inhalte noch eine Weile anzeigen, nachdem du die Freigabe beendet hast. Darauf haben wir keinen Einfluss.

Profilbild: Hochgeladene Bilder schneiden wir auf 400 × 400 Pixel zu und speichern sie neu. Dabei entfallen eingebettete Metadaten wie Kamera- oder Standortangaben (EXIF). Das Bild ist über eine zufällige, nicht erratbare Adresse abrufbar.

Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, indem du dein Profil oder einzelne Zertifikate wieder auf privat stellst oder Angaben löschst.
Speicherdauer: bis du die Angaben entfernst oder dein Konto löschst.

10. LinkedIn und externe Links

Die Schaltflächen „Zum LinkedIn-Profil hinzufügen“ und „Auf LinkedIn teilen“ sind einfache Links. Wir binden keine LinkedIn-Plugins oder -Skripte ein; beim Aufruf unserer Seiten werden also keine Daten an LinkedIn übertragen.

Erst wenn du auf eine der Schaltflächen klickst, wirst du zu LinkedIn weitergeleitet. Dabei werden Bezeichnung, Ausstellungs- und ggf. Ablaufdatum, Zertifikats-ID und Verifizierungslink des Zertifikats übergeben, damit du sie in dein Profil übernehmen oder teilen kannst. Für die weitere Verarbeitung ist LinkedIn verantwortlich (LinkedIn Ireland Unlimited Company, Wilton Place, Dublin 2, Irland); es gilt die Datenschutzrichtlinie von LinkedIn.

Dasselbe gilt für Links zu anderen Websites, etwa in öffentlichen Profilen: Daten werden erst übertragen, wenn du den Link aufrufst.

11. Kontakt- und Supportanfragen

Wenn du uns über das Kontaktformular oder per E-Mail schreibst, verarbeiten wir deinen Namen, deine E-Mail-Adresse, das gewählte Thema, den Betreff, einen angegebenen Bezug (zum Beispiel Bestellnummer oder Zertifikats-ID) und deine Nachricht. Bist du beim Absenden angemeldet, ordnen wir die Anfrage deinem Konto zu. Unsere Antworten speichern wir beim Vorgang.

Du bekommst eine Eingangsbestätigung mit Vorgangsnummer und unsere Antwort per E-Mail; zusätzlich geht eine Benachrichtigung an unser Support-Postfach. Die IP-Adresse speichern wir zu Anfragen nicht. Zum Schutz vor Missbrauch zählen wir nur, wie viele Nachrichten aus demselben Netzwerk gesendet werden; diese Zähler werden nach spätestens zwei Tagen gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn deine Anfrage dein Konto, eine Prüfung oder eine Bestellung betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse, Anfragen zu beantworten).
Speicherdauer: Wir löschen Anfragen samt Antworten automatisch 365 Tage nach der letzten Bearbeitung, auch nach einer Kontolöschung, damit wir bei Rückfragen den Verlauf kennen. Auf Wunsch löschen wir früher, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

12. Empfänger und Auftragsverarbeiter

Bei uns haben nur Personen mit Administratorrechten Zugriff auf Konten, Prüfungsversuche (einschließlich Antworten und Aufsichtsdaten), Kontaktanfragen und das Aktivitätsprotokoll, und zwar nur, soweit sie das für Betreuung, Prüfungsverwaltung und Sicherheit brauchen.

Externe Dienstleister setzen wir nur als Auftragsverarbeiter nach Art. 28 DSGVO ein: für das Hosting und den E-Mail-Versand. Darüber hinaus geben wir deine Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind. Wir verkaufen keine Daten. Eine Übermittlung in Länder außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums findet durch uns nicht statt.

13. Deine Rechte

Du hast das Recht auf:

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Vieles kannst du direkt selbst erledigen: Unter „Konto → Profil“ änderst du deine Angaben. Unter „Konto → Daten & Konto“ lädst du deine Konto- und Profildaten, Prüfungsversuche, Zertifikate, Bestellungen, Kontaktanfragen und dein Aktivitätsprotokoll als JSON-Datei herunter oder löschst dein Konto. Für alles Weitere schreib uns an [E-Mail-Adresse] oder über das Kontaktformular.

Beschwerderecht: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem EU-Mitgliedstaat, in dem du wohnst oder arbeitst oder in dem der mutmaßliche Verstoß stattgefunden hat.

14. Datensicherheit

Wir schützen deine Daten mit technischen und organisatorischen Maßnahmen, unter anderem mit verschlüsselter Übertragung (HTTPS), Passwörtern und Einmal-Links nur als Hash, Schutz vor Anmeldeangriffen, automatischen Sitzungs-Timeouts und der Möglichkeit, alle anderen Sitzungen abzumelden.

15. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unser Angebot oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.