1. Verantwortlicher & Datenschutz-Ansprechpartner
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (Art. 4 Nr. 7 DSGVO) sowie sonstiger in den Mitgliedstaaten der Europäischen Union geltenden Datenschutzgesetze für die Datenverarbeitung auf dieser Plattform ist:
Community Platform (Inh. Sebastian Stegh)
Vertretungsberechtigt: Sebastian Stegh
Technologiepark 1, 8010 Graz, Österreich
Ansprechpartner für Datenschutzfragen:
2. Rechtsgrundlagen der Datenverarbeitung
Gemäß Art. 13 DSGVO teilen wir Ihnen die Rechtsgrundlagen unserer Datenverarbeitungen mit:
- Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)Dient als Rechtsgrundlage, wenn Sie uns für bestimmte Verarbeitungen (z.B. Web-Push, spezifische Benachrichtigungen) eine gesonderte Einwilligung erteilen.
- Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)Für Verarbeitungen zur Erfüllung des Nutzungsvertrags der Plattform (Bereitstellung des Mitgliederbereichs, Kurs-Fortschritt, Chat, Teilnahme an Live-Events).
- Art. 6 Abs. 1 lit. c DSGVO (Rechtliche Pflicht)Für Verarbeitungen, die zur Erfüllung rechtlicher Pflichten erforderlich sind (z.B. steuerrechtliche Aufbewahrungspflichten nach § 132 BAO bzw. § 147 AO).
- Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse)Für Verarbeitungen zur Wahrung unserer berechtigten Interessen (IT-Sicherheit, Abwehr von DDoS-Angriffen, Betrugsprävention, technische Fehlerüberwachung).
3. Webhosting, Server-Infrastruktur & Logfiles
Beim Aufrufen unserer Plattform erfasst der Webserver automatisch technische Informationen, die von Ihrem Browser an uns übermittelt werden. Dies umfasst:
- IP-Adresse des anfragenden Geräts (anonymisiert oder für max. 14 Tage gespeichert)
- Datum und Uhrzeit der Serveranfrage mit Zeitzone
- Aufgerufene URL, Ressource oder API-Endpunkt
- HTTP-Statuscode (z.B. 200 OK, 404 Not Found)
- Übertragene Datenmenge in Bytes
- Referrer URL (zuvor besuchte Seite, falls vom Browser übermittelt)
- Browsertyp, Version und Betriebssystem des Endgeräts
Zweck & Rechtsgrundlage: Die vorübergehende Speicherung der IP-Adresse durch das System ist notwendig, um eine Auslieferung der Website an den Rechner des Nutzers zu ermöglichen. Die Speicherung in Logfiles erfolgt, um die Funktionsfähigkeit und Sicherheit der Website sicherzustellen, Angriffe abzuwehren und Systemstörungen aufzuklären. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.
Speicherdauer: Die Logfiles werden nach spätestens 14 Tagen gelöscht oder vollständig anonymisiert, sofern keine sicherheitsrelevanten Vorfälle eine längere Aufbewahrung zu Beweiszwecken erfordern.
4. Registrierung, Benutzerkonto & Authentifizierung
Um unsere Community-Funktionen, E-Learning-Kurse und Events nutzen zu können, ist die Erstellung eines persönlichen Benutzerkontos erforderlich. Bei der Registrierung erheben wir folgende Pflichtangaben:
- Vollständiger Name (zur Personalisierung und Darstellung im Profil)
- E-Mail-Adresse (als eindeutige Benutzerkennung und für transaktionale Mitteilungen)
- Passwort (wird ausschließlich in kryptographisch sicher gehashter Form gespeichert)
Passwort-Sicherheit: Passwörter werden niemals im Klartext gespeichert. Wir verwenden modernste kryptographische Salted-Hash-Verfahren (Argon2id bzw. Bcrypt), die ein Auslesen oder Entschlüsseln des Original-Passworts ausschließen.
E-Mail-Verifizierung (Double-Opt-In): Zur Vermeidung von Missbrauch und zur Bestätigung der Inhaberschaft der angegebenen E-Mail-Adresse senden wir nach der Registrierung einen zeitlich befristeten Aktivierungslink. Erst nach Anklicken dieses Links wird das Konto vollständig freigeschaltet.
Session-Management & JWT: Nach dem Login wird die Identität des Nutzers über kryptographisch signierte JSON Web Tokens (Access Token & Refresh Token) authentifiziert. Diese Tokens werden sicher im Browser gespeichert und dienen ausschließlich der Aufrechterhaltung der Sitzung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
5. Community, Spaces, Diskussions-Feed & Medien-Uploads
Die Plattform bietet interaktive Diskussionsbereiche („Spaces“), in denen Mitglieder Beiträge verfassen, kommentieren, Reaktionen (Emojis) vergeben und Dateien (Bilder, Dokumente) hochladen können.
Öffentlichkeit von Beiträgen: Von Ihnen veröffentlichte Beiträge und Kommentare sind für andere autorisierte Mitglieder des jeweiligen Spaces sichtbar. Ihr Profilname und Ihr Avatar werden dabei neben dem Beitrag angezeigt. Sie können eigene Beiträge und Kommentare jederzeit bearbeiten oder löschen.
Medien-Uploads & Speicherung: Hochgeladene Profilbilder, Banner und Dateianhänge werden auf unserem dedizierten S3-kompatiblen Objektspeicher (MinIO) in ISO/IEC-zertifizierten Rechenzentren innerhalb der Europäischen Union gespeichert. Hochgeladene Dateien werden vor der Speicherung validiert und auf zulässige Dateitypen und Größen geprüft. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
6. Echtzeit-Chat & 1:1 Direktnachrichten
Sofern vom jeweiligen Mandanten aktiviert, können Mitglieder untereinander 1:1 Direktnachrichten in Echtzeit austauschen.
Übertragung & Vertraulichkeit: Die Chat-Nachrichten werden über gesicherte WebSocket-Verbindungen (WSS / Socket.io) verschlüsselt übertragen. Der Zugriff auf Direktnachrichten ist strikt auf die beiden beteiligten Chat-Partner beschränkt. Weder andere Community-Mitglieder noch unberechtigte Dritte haben Zugriff auf diese Nachrichtenverläufe.
Rechtsgrundlage ist die Erfüllung des Plattformnutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).
7. E-Learning-Akademie, Lernfortschritt & Video-Streaming
In unserer Akademie können Mitglieder an strukturierten Online-Kursen teilnehmen. Hierbei werden folgende Daten verarbeitet:
- Eingeschriebene Kurse und Module
- Individueller Lernfortschritt (abgeschlossene Lektionen, Quizzes, Zeitstempel)
- Abschlusszertifikate und erreichte Leistungsnachweise
Video-Streaming: Kursvideos werden über datenschutzkonforme Content Delivery Networks (CDN) bzw. adaptive HLS-Video-Streaming-Pipelines (Bunny.net Stream / MinIO) ausgeliefert. Das Streaming erfolgt ohne Werbe-Tracker oder Profiling Dritter.
Rechtsgrundlage ist die Durchführung des Bildungsvertrags gemäß Art. 6 Abs. 1 lit. b DSGVO.
8. Events, Kalender-Synchronisation & Live-Meetings
Bei der Teilnahme an Community-Events verarbeiten wir Ihren RSVP-Status (Zusage, Absage, Interessiert) zur organisatorischen Durchführung des Events.
Kalender-Export: Die Plattform bietet Kalender-Dateien (.ics) zum direkten Import in Ihren persönlichen Kalender (Apple Calendar, Google Calendar, Outlook) an. Dabei werden keine Daten an Dritte übertragen; der Download erfolgt direkt von unserer Plattform.
Live-Calls: Bei externen Live-Calls (z.B. Zoom, Microsoft Teams, Google Meet) leiten wir Sie über gesicherte Links zum jeweiligen Dienstanbieter weiter. Für die Datenverarbeitung während des Videoanrufs gilt die Datenschutzerklärung des jeweiligen Anbieters.
9. Gamification, Aktivitäts-Streaks & Bestenlisten
Zur Steigerung der Lernmotivation und Interaktivität enthält die Plattform ein Gamification-System. Dabei werden Punkte für Community-Aktivitäten (z.B. Lektionsabschluss, Verfassen von Beiträgen) vergeben sowie Level, Badges und Streaks berechnet. Die daraus resultierende Bestenliste zeigt Ihren Profilnamen und Punktestand für andere Mitglieder des jeweiligen Mandanten an. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
10. Zahlungsabwicklung & Monetarisierung
Bei kostenpflichtigen Mitgliedschaften oder Kursbuchungen verarbeiten wir die zur Zahlungsabwicklung erforderlichen Daten.
Zahlungsdienstleister Stripe: Für Kartenzahlungen und Abonnements nutzen wir Stripe Connect (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland). Die Eingabe Ihrer sensiblen Zahlungsdaten (Kreditkartennummer, CVC) erfolgt ausschließlich über gesicherte, direkt von Stripe gehostete Schnittstellen (Stripe Elements). Wir speichern zu keinem Zeitpunkt rohe Kreditkartendaten auf unseren Servern, sondern erhalten lediglich ein anonymisiertes Zahlungstoken sowie Statusmeldungen über erfolgreiche Zahlungen.
Externe Plattformen: Falls Abrechnungen über Digistore24, Copecart oder Elopage erfolgen, verarbeiten wir Bestätigungs-Webhooks der jeweiligen Anbieter, um Ihren Account für die gebuchten Inhalte freizuschalten.
Aufbewahrungspflichten: Rechnungsdaten und Zahlungsbelege unterliegen den gesetzlichen Aufbewahrungsfristen (in Österreich: 7 Jahre nach § 132 BAO; in Deutschland: 10 Jahre nach § 147 AO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO.
11. E-Mail-Kommunikation & Browser-Web-Push
Transaktions-E-Mails: Wir versenden systemrelevante E-Mails (z.B. Willkommens-Mail, E-Mail-Verifizierung, Passwort-Zurücksetzen, Kurs-Zugang). Diese Nachrichten sind zur Erfüllung des Nutzungsvertrags zwingend erforderlich (Art. 6 Abs. 1 lit. b DSGVO) und können nicht abbestellt werden, solange das Konto aktiv ist. Der Versand erfolgt über dedizierte SMTP-Server.
Web-Push Benachrichtigungen (VAPID): Mit Ihrer ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) senden wir Ihnen Push-Nachrichten im Browser bei neuen Beiträgen, Erwähnungen oder anstehenden Events. Hierfür speichert unser Server ein anonymisiertes Push-Subscription-Token Ihres Browsers. Sie können diese Benachrichtigungen jederzeit in den Einstellungen Ihres Browsers oder in Ihren Kontoeinstellungen mit Wirkung für die Zukunft deaktivieren.
13. Datensicherheit & Mandanten-Isolation (RLS)
Wir treffen angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten:
- TLS 1.3 / SSL Transportverschlüsselung: Alle Datenübertragungen zwischen Ihrem Browser und unseren Servern sind durch modernste Verschlüsselungsverfahren geschützt.
- PostgreSQL Row Level Security (RLS): Als echte Multi-Tenant-Plattform gewährleistet unsere Datenbank auf Engine-Ebene durch RLS-Policies, dass Daten unterschiedlicher Mandanten und Organisationen strikt und lückenlos voneinander isoliert bleiben.
- Verschlüsselung ruhender Daten: Sensible Integrationsdaten und Provider-Secrets (wie SMTP-Passwörter) werden mit AES-256-GCM verschlüsselt gespeichert.
- Lückenlose Audit-Logs: Administrative Änderungen werden manipulationssicher protokolliert.
14. Datenübermittlung an Auftragsverarbeiter & Drittländer
Eine Übermittlung Ihrer Daten an externe Dienstleister erfolgt ausschließlich auf Grundlage von strikten Auftragsverarbeitungsverträgen (AVV) gemäß Art. 28 DSGVO. Sämtliche Auftragsverarbeiter wurden sorgfältig ausgewählt und sind an unsere Weisungen gebunden.
Sofern Dienstleister Daten in Drittländern außerhalb des Europäischen Wirtschaftsraums (EWR) verarbeiten (wie z.B. bei der Nutzung von Stripe Connect oder globalen CDN-Knoten), erfolgt dies nur, wenn ein Angemessenheitsbeschluss der EU-Kommission vorliegt (z.B. EU-US Data Privacy Framework) oder Standardvertragsklauseln (Standard Contractual Clauses, SCC) der EU-Kommission vereinbart wurden.
15. Speicherdauer & Kriterien zur Datenlöschung
Personenbezogene Daten werden gelöscht, sobald der Zweck ihrer Verarbeitung entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Nach Kündigung oder Löschung Ihres Benutzerkontos werden Ihre Profildaten unverzüglich gesperrt und nach Ablauf eventueller Nachlauffristen endgültig gelöscht. Gesetzlich aufzubewahrende Abrechnungsdaten werden für die Dauer der steuerrechtlichen Fristen (7 bzw. 10 Jahre) archiviert und für jeden anderen Zugriff gesperrt.
16. Ihre Rechte als betroffene Person (Art. 15–22 DSGVO)
Sie haben gegenüber dem Verantwortlichen folgende gesetzliche Rechte:
Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO): Sie haben das Recht, erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird.
Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt, haben Sie das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts oder des Orts des mutmaßlichen Verstoßes.
In Österreich ist zuständig:
Österreichische Datenschutzbehörde (DSB)
Barichgasse 40–42, 1030 Wien
Telefon: +43 1 52 152-0 • E-Mail: dsb@dsb.gv.at • Web: https://www.dsb.gv.at