Datenschutz

Datenschutzerklärung der Deutsches Weiterbildungszentrum GmbH

1. Verantwortlicher

Verantwortlicher für die Datenverarbeitung auf dieser Plattform ist die Deutsches Weiterbildungszentrum GmbH, Franz-Lenze-Str. 69, 47178 Duisburg.

Sie erreichen uns zu allen Datenschutzfragen unter kontakt@dwzentrum.de oder telefonisch unter 0203 – 70 9086 50.

Es wurde kein Datenschutzbeauftragter im Sinne von § 38 BDSG benannt.

2. Wer verarbeitet Ihre Daten — Rollen-Modell

Auf der Plattform treibt nicht immer dieselbe Partei die Verarbeitung Ihrer Daten. Wir unterscheiden zwei Ebenen:

(a) Plattform-Betrieb: Die Deutsches Weiterbildungszentrum GmbH ist Verantwortliche für den Betrieb der Plattform — insbesondere für Ihre Account-Daten, die Sicherheit der Systeme, die Abrechnung und die Plattform-Kommunikation (z. B. Verifizierungs- und Benachrichtigungs-E-Mails).

(b) Weiterbildung durch Ihre Organisation: Für Daten, die Organisationen über ihre Mitglieder und deren Weiterbildung verarbeiten — Verwaltungsdaten, Kurszuweisungen, Lernfortschritt, Prüfungen, Zertifikate und dokumentierte Korrespondenz —, ist die jeweilige Organisation die Verantwortliche. Die Deutsches Weiterbildungszentrum GmbH ist insoweit Auftragsverarbeiter der Organisation. Der Auftragsverarbeitungsvertrag (AVV) wird bei der Registrierung einer Organisation ausdrücklich akzeptiert. Bei Marktplatz-Kursen werden die Verantwortlichkeiten nach Sphären unterschieden: Durchführungsdaten der Weiterbildung (Lernfortschritt, Prüfungsergebnisse, Zertifikate) verantwortet die anbietende Organisation — sie stellt die Zertifikate auch aus (AGB § 7); Mitglieds- und Zuweisungsdaten verantwortet die buchende Organisation; bei internen Kursen verbleiben sämtliche Daten bei der eigenen Organisation.

Für Daten der Kategorie (b) wenden Sie sich bitte primär an Ihre Organisation (z. B. Ihre Personalabteilung oder Ihren Bildungsanbieter). Wir unterstützen die Organisationen bei der Bearbeitung Ihrer Anliegen und beantworten Ihre Fragen gerne koordinierend.

(c) Privatpersonen ohne Organisation: Für Privatpersonen ohne Organisation ist DWZ Verantwortliche für die Account- und Plattformnutzung; die Durchführungsdaten eines gebuchten Marktplatz-Kurses verantwortet auch bei Privatpersonen die anbietende Organisation (vgl. Abschnitt b).

Marktplatz-Konstellation (zwei Verantwortliche): Bei Kursbuchungen über den Marktplatz arbeiten zwei eigenständige Verantwortliche mit gegenseitiger Datenübermittlung zusammen: Die anbietende Organisation ist Verantwortliche für die Durchführung der Weiterbildung einschließlich Lernfortschritt, Prüfungsergebnissen und Zertifikaten; Rechtsgrundlage ist ihr berechtigtes Interesse an der Durchführung des gebuchten Kurses (Art. 6 Abs. 1 lit. f DSGVO), da kein unmittelbarer Vertrag zwischen Anbieter und Teilnehmer besteht. Die buchende Organisation bleibt Verantwortliche für Mitgliederdaten und Kurszuweisung; die Weitergabe an den Anbieter erfolgt auf Grundlage des Buchungsvertrages zwischen beiden Organisationen, und die buchende Organisation informiert ihre Mitglieder über diese Weitergabe. Die Deutsches Weiterbildungszentrum GmbH ist in beiden Sphären Auftragsverarbeiter. Für Privatpersonen ohne Organisation gilt Abschnitt (c).

Abrechnung des Kursverkaufs: Die Rechnung über einen verkauften Marktplatz-Kurs stellt die anbietende Organisation; die Deutsches Weiterbildungszentrum GmbH erzeugt und versendet die Kursrechnung sowie die zugehörigen Storno- und Korrekturbelege im Namen der anbietenden Organisation (AGB § 6). Insoweit und für die Vermittlung der Zahlung über Stripe ist die Deutsches Weiterbildungszentrum GmbH Auftragsverarbeiterin der anbietenden Organisation. Welche Daten dafür verarbeitet werden, beschreibt Abschnitt 3 (Kategorie „Rechnungsstellung im Namen anbietender Organisationen“). Die eigene Provisionsrechnung der Deutsches Weiterbildungszentrum GmbH gegenüber der anbietenden Organisation gehört zur Plattform-Sphäre (a).

3. Welche Daten wir verarbeiten — und zu welchem Zweck

Soweit DWZ Verantwortliche ist, ergibt sich die Rechtsgrundlage wie folgt; die Datenkategorien beschreiben wir im Einzelnen anschließend.

Zweck	Rechtsgrundlage
Account & Nutzungsverwaltung	Art. 6 Abs. 1 lit. b DSGVO
Kursbereitstellung, Lernfortschritt, Prüfungen, Zertifikate (bei Marktplatz-Kursen in der Anbieter-Sphäre — siehe Abschnitt 2)	Art. 6 Abs. 1 lit. b DSGVO
Buchung & Zahlungsabwicklung; für Marktplatz-Verkäufe zusätzlich Rechnungsstellung im Namen anbietender Organisationen (Auftragsverarbeitung, Abschnitt 2)	Art. 6 Abs. 1 lit. b DSGVO; Rechnungen und Belege: lit. c DSGVO
Chat, Benachrichtigungen, Korrespondenz	Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO
Support & Produktverbesserung (nur aggregierte, anonymisierte Betriebsdaten)	Art. 6 Abs. 1 lit. f DSGVO
Sicherheits-Protokollierung & IP-Sperrung	Art. 6 Abs. 1 lit. f DSGVO
Marketing-E-Mails	Art. 6 Abs. 1 lit. a DSGVO (widerruflich) bzw. § 7 Abs. 3 UWG
Fahrerlaubnis-Fotos	Art. 6 Abs. 1 lit. a DSGVO (widerruflich)
Präferenzen & Branding	Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO

Wir verarbeiten die folgenden Datenkategorien:

Stammdaten

Anrede, Vor- und Nachname, E-Mail-Adresse, Telefonnummer, Geburtsdatum (hierbei lässt die Plattform ausschließlich Personen von mindestens 16 Jahren zu), Anschrift, Organisationszugehörigkeit und Rolle (z. B. Teilnehmer, Verwalter). Wir verwenden diese Daten, um Ihren Zugang einzurichten, Sie eindeutig zuzuordnen und die vertragliche Nutzung der Plattform zu ermöglichen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanlage und -durchführung)

Einwilligungs- und Vertragsdokumentation

Einwilligungen (z. B. Foto-Einwilligungen, Marketing-E-Mails) dokumentieren wir mit Zeitpunkt und Inhalt, damit der Nachweis einer wirksamen Einwilligung geführt werden kann. Die Annahme von AGB und Auftragsverarbeitungsvertrag ist Teil der Vertragsannahme; Zeitpunkt und Fassung werden zu Nachweiszwecken dokumentiert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligungen); Annahme von AGB und AVV als Vertragsannahme Art. 6 Abs. 1 lit. b DSGVO, Nachweisbelege lit. c DSGVO

Zugangs- und Sicherheitsdaten

Passwörter speichern wir ausschließlich als bcrypt-Hash — nie im Klartext. Sitzungen werden mit Tokens geführt, die regelmäßig rotiert werden; Refresh-Tokens liegen ausschließlich gehasht gespeichert vor. Zu Sicherheitszwecken protokollieren wir Anmeldungen einschließlich fehlgeschlagener Versuche (bei unbekannter E-Mail-Adresse wird nur die Domain der Adresse protokolliert, nicht die Adresse selbst) sowie IP-Adressen im Sicherheits- und Audit-Log; missbräuchliche Zugriffe sperren wir automatisiert. Technische Hinweise (z. B. Fehler- und Störungsmeldungen) werten wir in aggregierter, anonymisierter Form zur Produktverbesserung aus.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Systemsicherheit, Missbrauchsschutz und Produktverbesserung)

Weiterbildungsdaten

Einschreibungen in Kurse, Lernfortschritt, Prüfungsvorgänge einschließlich der von Ihnen gegebenen Antworten und des Ergebnisses, Kurs-Snapshots (der zum Prüfungszeitpunkt gültige Kursstand) sowie Zertifikate einschließlich deren PDF-/PNG-Ablage. Diese Daten dienen der Durchführung Ihrer Weiterbildung und dem Nachweis erbrachter Leistungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Kommunikation

Chat-Nachrichten einschließlich der von Ihnen übermittelten Bilder, der Kursbezug von Nachrichten, Benachrichtigungen (in-app und per E-Mail) sowie Einzelkorrespondenz und Briefe inklusive Verlauf. Diese Daten dienen der vertraglich gewünschten Kommunikation zwischen Ihnen, Ihrer Organisation und den Kursanbietern.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO

Dokumente und Fahrerlaubnis-Fotos

Die Dokumentenablage (inkl. Ordnerstruktur) dient der vertragsgemäßen Verwaltung Ihrer Unterlagen. Fahrerlaubnis-Fotos werden nur mit Ihrer ausdrücklichen Einwilligung verarbeitet. Diese Einwilligung können Sie jederzeit über die Plattform widerrufen; der Widerruf löscht das Foto.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Fotos ausschließlich auf ausdrücklicher Einwilligung); Dokumentenablage Art. 6 Abs. 1 lit. b DSGVO

Buchungs- und Zahlungsdaten

Kursbuchungen, Rechnungen und Provisionen verarbeiten wir zur Abwicklung der Verträge und zur Erfüllung handels- und steuerrechtlicher Pflichten. Die Zahlungsabwicklung erfolgt über Stripe (Stripe Payments Europe, Ltd.): Kartendaten werden niemals auf unseren Servern gespeichert, sondern ausschließlich bei Stripe erhoben und verarbeitet. Die Datenschutzhinweise von Stripe finden Sie unter stripe.com/de/privacy.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsabwicklung); Rechnungen und Buchungsbelege zusätzlich Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Aufbewahrungspflichten)

Rechnungsstellung im Namen anbietender Organisationen

Für über den Marktplatz verkaufte Kurse erstellen wir die Rechnung im Namen und im Auftrag der anbietenden Organisation (AGB § 6). Hierfür verarbeiten wir die Rechnungsdaten der Käuferseite — Name und Rechnungsadresse der buchenden Organisation oder der kaufenden Privatperson sowie die E-Mail-Adresse für den Belegversand —, ferner Buchungsumfang, Beträge, Zahlungs- und Erstattungsstatus sowie die Belegdaten (Rechnungs-, Storno- und Korrekturbelege einschließlich Nummern). Diese Verarbeitung erfolgt als Auftragsverarbeitung für die anbietende Organisation; die Belege bewahren wir aufgrund handels- und steuerrechtlicher Aufbewahrungspflichten auf. Die Zahlung selbst wird über das verbundene Stripe-Konto der anbietenden Organisation abgewickelt (Abschnitt 4).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vermittlung des Kursverkaufs, AGB § 6); Aufbewahrung der Belege Art. 6 Abs. 1 lit. c DSGVO; Verarbeitung im Auftrag der anbietenden Organisation (Art. 28 DSGVO)

Präferenzen und Branding

Ihre Einstellungen, das Design Ihrer Organisation sowie hochgeladene Logos, Avatare und Briefpapier verarbeiten wir, um die Plattform vertragsgemäß bereitzustellen und Ihre bzw. die Darstellung Ihrer Organisation umzusetzen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO

Marketing

Bei versandten Marketing-Kampagnen speichern wir die Empfängerlisten zum Nachweis des Versands. Abgemeldete E-Mail- Adressen führen wir auf einer Sperrliste, damit Ihre Abmeldung dauerhaft respektiert wird. Sie können sich jederzeit mit einem Klick abmelden (One-Click-Abmeldung nach RFC 8058); eine erteilte Einwilligung widerrufen Sie damit ebenfalls mit Wirkung für die Zukunft. Ausgenommen von Abmeldungen sind allein transaktionale E-Mails (z. B. Passwort-Reset und E-Mail-Verifikation) — diese sind für den Betrieb Ihres Kontos erforderlich und werden immer zugestellt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung — jederzeit mit Wirkung für die Zukunft widerruflich, Art. 7 Abs. 3 DSGVO); alternativ § 7 Abs. 3 UWG (berechtigtes Interesse)

Technische Nutzung (Cookies und lokale Speicherung)

Wir setzen zwei technisch erforderliche Cookies ein: einen Sitzungs-Marker (dwz_session) für das Login-Routing (dauerhaft gespeichert höchstens 7 Tage bei Auswahl von „Angemeldet bleiben“) sowie einen Marker für den Ein-/Ausklapp- Zustand der Seitenleiste. Daneben speichern wir auf Ihrem eigenen Gerät lokale Daten (localStorage) für den Sitzungs- und Token-Zustand. Die Speicherung technisch erforderlicher Daten erfolgt auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG. Analyse-, Tracking- oder Werbe-Cookies verwenden wir nicht; es findet kein Profiling statt und wir binden keine Werbenetzwerke ein — daher benötigen wir auch kein Einwilligungsbanner. Der Zahlungs-Checkout läuft auf einer Stripe-eigenen Domain (dort gelten die Hinweise von Stripe); Stripe.js wird auf unseren Seiten nicht geladen.

Rechtsgrundlage: Technisch erforderlich (§ 25 TDDDG); Datenverarbeitung Art. 6 Abs. 1 lit. f DSGVO

4. Empfänger, Auftragsverarbeiter und Drittländer

Unsere Systeme und Dienstleister im Überblick:

Hosting: eigener Kubernetes-Cluster in Rechenzentren der Hetzner Online GmbH in Deutschland.
Objektspeicher: Hetzner Object Storage (Betreiber Hetzner Online GmbH, EU-Region eu-central-1) für hochgeladene Dateien; der Zugriff erfolgt ausschließlich über kurzzeitig gültige, signierte URLs.
Backups: Hetzner Object Storage, Standort Helsinki/Finnland (EU) — räumlich getrennt vom Primärsystem (Aufbewahrung 30 Tage).
E-Mail-Versand: Resend (Anbieter mit Mutterkonzern in den USA — siehe den Drittländer-Absatz unten).
Zahlungen: Stripe Payments Europe, Ltd. — zur Stripe-Gruppe mit Sitz in den USA (siehe den Drittländer-Absatz unten). Abonnements wickelt DWZ im eigenen Verantwortungsbereich ab; Zahlungen für Marktplatz-Kurse laufen als Direct Charge über das verbundene Stripe-Konto der jeweiligen anbietenden Organisation — insoweit handelt Stripe im Verantwortungsbereich der anbietenden Organisation.
PDF-Erzeugung: selbst gehosteter PDF-Renderer — hierbei werden Ihre Daten nicht an Dritte übermittelt.
externe Meeting-Dienste: Kursanbieter hinterlegen eigene Meeting-Links (z. B. Zoom). Wenn Sie einer Live-Session über einen solchen Link beitreten, gelten die Bedingungen des jeweiligen Anbieters; für diese Dienste sind wir nicht Verantwortliche.
anbietende Organisationen: bei Marktplatz-Kursen erhalten sie die zur Durchführung erforderlichen Daten der gebuchten Teilnehmer (siehe Abschnitt 2).
Postleitzahlen-Daten (GeoNames): statischer, lokal gehaltener Datenbestand — es werden keine Nutzerdaten an GeoNames übermittelt.

Der E-Mail-Versand erfolgt über Plus Five Five, Inc. (Resend), USA. Die Übermittlung erfolgt auf Grundlage derEU-Standardvertragsklauseln (Beschluss 2021/914) sowie ergänzend des EU-US Data Privacy Frameworks; der Auftragsverarbeitungsvertrag von Resend ist unter resend.com/legal/dpa abrufbar.

Zahlungen werden über Stripe Payments Europe, Ltd. (Irland) abgewickelt. Bei Datenübermittlungen in US-amerikanische Stripe-Gesellschaften erfolgen diese auf Grundlage des EU-US Data Privacy Frameworks sowie ergänzend der EU-Standardvertragsklauseln (Data Transfer Addendum von Stripe, stripe.com/en-de/legal/dta).

5. Speicherdauer

Wir speichern Ihre Daten grundsätzlich nur so lange, wie es der jeweilige Zweck erfordert:

Sicherheits- und Protokolldaten (einschließlich IP-Adressen) werden 30 bis 90 Tage, Audit-Einträge 12 Monate gespeichert.
Chat-Nachrichten bleiben gespeichert, bis die Beteiligten sie löschen oder das Vertragsverhältnis endet.
Prüfungsantworten und Lernfortschritt werden bis zum Vertragsende vorgehalten, soweit keine gesetzlichen Nachweispflichten entgegenstehen.
Buchungsbelege werden 8 Jahre aufbewahrt, Handels- und Geschäftsbriefe 6 Jahre (§ 147 AO, § 257 HGB).
Zertifikate werden langfristig zu Nachweiszwecken vorgehalten und im PDF/A-Format archiviert.
Marketing-Abmeldelisten werden bis zum Widerruf der Sperre geführt — sie schützen Ihre Abmeldung dauerhaft.
Bei Löschung Ihres Accounts führen wir eine datenschutzrechtliche Löschung mit Anonymisierung der Stammdaten durch. Gesetzliche Aufbewahrungspflichten und bereits erteilte Zertifikate bleiben unberührt — Zertifikate bestehen als Nachweis fort; erforderlich ist der Mindestbestand des Zertifikatsdokuments selbst (Name, Kursbezeichnung, Ausstellungsdatum, Zertifikatskennung).
Gelöschte Daten können bis zu 30 Tage in Sicherheitskopien (Backups) enthalten und werden mit deren Ablauf endgültig gelöscht.

6. Ihre Rechte

Sie haben gegenüber uns folgende Rechte:

Auskunft (Art. 15 DSGVO)
Berichtigung (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch gegen Verarbeitungen (Art. 21 DSGVO)
Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
Beschwerde bei einer Datenschutzaufsichtsbehörde (Art. 77 DSGVO)

Zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

Widerspruchsrecht (Art. 21 DSGVO)

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die auf Art. 6 Abs. 1 lit. f DSGVO beruht, Widerspruch einzulegen. Dies betrifft insbesondere die Sicherheits- und Protokollierung, die automatisierte IP-Sperrung sowie die Produktverbesserung (Abschnitt 3).

Bei Verarbeitung personenbezogener Daten zu Zwecken der Direktwerbung haben Sie das Widerspruchsrecht nach Art. 21 Abs. 2 DSGVO jederzeit und ohne Angabe von Gründen; im Falle des Widerspruchs werden Ihre Daten nicht mehr für diese Zwecke verarbeitet.

Richten Sie Auskunfts- und andere Begehren an kontakt@dwzentrum.de. Bitte beachten Sie das Rollen-Modell (Abschnitt 2): Für Daten, die Ihre Organisation über Sie verarbeitet, ist Ihre Organisation erste Ansprechpartnerin — wir unterstützen sie bei der Beantwortung Ihres Anliegens.

7. Automatisierte Entscheidungsfindung

Wir treffen keine auf Profiling gestützten automatisierten Entscheidungen mit rechtlicher Wirkung für Sie. Eine Ausnahme bildet die fachnotwendige automatisierte Auswertung von Prüfungen: Sie ist Vertragsbestandteil, das Ergebnis ist für Sie unmittelbar einsehbar, und es bestehen menschliche Rücksetz- und Einspruchsmöglichkeiten über Ihre Organisation bzw. den Kursanbieter.

8. Datensicherheit

Wir schützen Ihre Daten durch technische und organisatorische Maßnahmen: Transportverschlüsselung (TLS), Passwort-Hashing (bcrypt), Rotation von Sitzungs-Tokens, rollenbasierte Zugriffsrechte, privaten Objektspeicher mit kurzzeitig gültigen signierten URLs, Protokollierung sicherheitsrelevanter Ereignisse sowie Schutz vor Missbrauch durch automatisierte IP-Sperrung bei Angriffsmustern.

Datenbank-Backups werden täglich automatisiert erstellt und — räumlich getrennt vom Anwendungssystem — in einem Hetzner Object Storage in Helsinki/Finnland (EU) vorgehalten (Aufbewahrung 30 Tage); die Laufzeitumgebung betreibt Hetzner in Rechenzentren in Deutschland (EU-Region eu-central-1). Alle System- und Backup-Standorte liegen innerhalb der Europäischen Union.

9. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung anpassen, wenn sich unsere Verarbeitung oder die Rechtslage ändert. Bei materiellen Änderungen informieren wir Sie vorab (in-app und/oder per E-Mail). Das Stand-Datum finden Sie stets am Ende dieser Erklärung.

Fassung v1.1 · Rechtsstand: 26.10.2026