Datenschutzerklärung

1. Verantwortlicher

Zuhörakademie / DialogFitness Studio
Inhaber: Jürgen Melmuka
E-Mail Datenschutz: datenschutz@zuhoerakademie.at
Web: www.zuhoerakademie.at

2. Was wir verarbeiten und warum

2.1 Account-Daten

• Was: Name, E-Mail-Adresse, ggf. Telefonnummer, Organisations-Zugehörigkeit, Rolle
• Warum: Vertragserfüllung: Kursteilnahme, Zertifikatsausstellung, Kommunikation
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag)
• Speicherdauer: Solange Ihr Account aktiv ist + 6 Monate. Selbst-Löschung jederzeit über das Datenschutz-Zentrum im Profil.

2.2 Kursfortschritt + Quiz-Antworten

• Was: Welche Lektionen Sie abgeschlossen haben, Ihre Antworten in Quizzen und Reflexionen, Final-Prüfungs-Score
• Warum: Anzeige Ihres Fortschritts, Zertifikatsausstellung
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag)
• Speicherdauer: Wie 2.1; bei Online-Kursen aus Live-Schulungen automatischer Hinweis-Mail-Zyklus nach 6 Monaten Inaktivität (Behalten / Verlängern / Löschen).

2.3 Zertifikate

• Was: Ihr Name + Score + Ausstellungsdatum auf einem PDF-Zertifikat
• Warum: Dauerhafter Bestätigungs-Nachweis Ihrer Teilnahme. Verifizierbar über öffentlichen QR-Code/Link auf dem Zertifikat.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) + Ihr Interesse an einem nachweisbaren Bildungsdokument
• Speicherdauer: Dauerhaft. Auch bei Account-Löschung bleibt das Zertifikat zur Verifizierung erhalten. Sie können aber jederzeit Widerruf bei datenschutz@zuhoerakademie.at beantragen.

2.4 Live-Schulungs-Quiz (öffentlich, ohne Account)

• Was: Name, E-Mail, Quiz-Antworten, IP-Adresse, User-Agent
• Warum: Auswertung des Quiz, Zertifikatsausstellung, Mail-Versand, Spam-Schutz
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Ihre Einwilligung beim Quiz-Start)
• Speicherdauer: 6 Monate Online-Kurs-Zugang, danach automatischer Mail-Hinweis mit Löschoption (90 Tage Frist bis Auto-Löschung). Zertifikat bleibt dauerhaft.

2.5 KI-Coach + KI-Generierung (Anthropic Claude)

• Was: Ihre Eingaben im Lerncoach + der Lektions-Inhalt als Kontext werden an Anthropic übermittelt; KI-generierte Prüfungsfragen werden aus dem Kursinhalt erzeugt
• Warum: Beantwortung Ihrer Lernfragen, dynamische Prüfungsfragen
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag)
• Auftragsverarbeiter: Anthropic, PBC (USA), siehe Abschnitt 4
• Speicherdauer: Anthropic speichert API-Anfragen max. 30 Tage zur Missbrauchskontrolle, danach Löschung (kein Training auf API-Daten).

2.6 Mail-Versand

• Was: Name, E-Mail-Adresse, Mail-Inhalt + Anhänge
• Warum: Zertifikat-Versand, DSGVO-Hinweise, Erinnerungen, Account-Verifizierung
• Auftragsverarbeiter: Resend, Inc. (USA), siehe Abschnitt 4

3. Rechte als betroffene Person

Sie haben jederzeit folgende Rechte:

• Auskunft (Art. 15): JSON-Export aller Ihrer Daten via Datenschutz-Zentrum im Profil oder per Mail-Anfrage
• Berichtigung (Art. 16): direkt im Profil änderbar
• Löschung (Art. 17): Self-Service-Button im Datenschutz-Zentrum oder per Mail-Link in DSGVO-Erinnerungs-Mails
• Einschränkung (Art. 18): auf Anfrage
• Datenübertragbarkeit (Art. 20): JSON-Export im Datenschutz-Zentrum
• Widerspruch (Art. 21): auf Anfrage
• Beschwerde bei der Aufsichtsbehörde (Art. 77): Österreichische Datenschutzbehörde, dsb.gv.at

4. Auftragsverarbeiter (Sub-Dienstleister)

Wir nutzen folgende externe Dienste. Sie verarbeiten personenbezogene Daten ausschliesslich in unserem Auftrag und nach unseren Weisungen (Art. 28 DSGVO); der Auftragsverarbeitungsvertrag des jeweiligen Anbieters ist in der letzten Spalte verlinkt.

Für US-Übermittlungen stützen wir uns auf EU-Standardvertragsklauseln (SCC, 2021/914) + das EU-US Data Privacy Framework, soweit der jeweilige Anbieter dort zertifiziert ist.

4.1 Stripe zusätzlich als eigener Verantwortlicher

Stripe verarbeitet Zahlungsdaten in unserem Auftrag, soweit es um die Abwicklung einer von Ihnen ausgelösten Zahlung geht. Darüber hinaus ist Stripe als Zahlungsdienstleister eigener Verantwortlicher für Zwecke, die ihm das Aufsichtsrecht selbst auferlegt, insbesondere Betrugsprävention und Prüfungen zur Verhinderung von Geldwäsche und Terrorismusfinanzierung.

Für diesen Teil der Verarbeitung können wir Stripe keine Weisungen erteilen, und wir haben darauf keinen Einfluss. Rechtsgrundlage ist dort Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung von Stripe) in Verbindung mit den geldwäscherechtlichen Vorschriften, die für Stripe gelten. Welche Daten Stripe dabei zu eigenen Zwecken verarbeitet und wie lange, beschreibt Stripe in seiner eigenen Datenschutzerklärung: stripe.com/at/privacy.

In der Liste unter Abschnitt 4 bleibt Stripe weiterhin aufgeführt, weil die Zahlungsabwicklung selbst eine Auftragsverarbeitung ist. Die beiden Rollen bestehen nebeneinander; das ist bei Zahlungsdienstleistern der Regelfall und keine Unstimmigkeit.

5. Datenfluss-Übersicht

Schematisch verarbeiten wir Ihre Daten so:

[Sie als Nutzer:in]
    │
    │  Eingaben (Quiz, Reflexion, Coach-Frage)
    ▼
[Vercel Edge / Server (EU)]
    │
    ├─►  [Clerk]                       ← Login + Session
    │
    ├─►  [Supabase / Postgres (EU)]    ← Speicherung Account, Fortschritt, Cert
    │
    ├─►  [Anthropic Claude (USA)]      ← nur KI-Inhalte (Coach + Prueffragen)
    │                                     keine Account-PII automatisch
    │
    ├─►  [Resend (USA)]                ← Mail-Versand (Cert, Hinweise)
    │
    └─►  [Stripe (EU+USA)]             ← nur bei Abo-Zahlung

6. KI-Transparenz (EU AI Act Art. 50)

An folgenden Stellen interagieren Sie mit KI oder sehen KI-generierte Inhalte:

• KI-Lerncoach (Lektions-Sidebar): Anthropic Claude. Hinweis erscheint im Chat-Fenster.
• Final-Prüfungs-Fragen (wenn nicht vom Trainer fest hinterlegt): Anthropic Claude erzeugt aus dem Kursinhalt. Hinweis erscheint auf der Prüfungs-Seite.
• Bibliothek-Analyse, Anforderungssuche, Lernreise (Studio): Anthropic Claude. Hinweise an den jeweiligen Stellen.
• Inhalts-Bereinigung (Admin): Anthropic Claude reformatiert KI-generierten Roh-Content (Markdown, Umlaute). Nur Admin-seitig sichtbar.

Bei allen KI-Verarbeitungen senden wir keine Account-PII automatisch mit. Was Sie selbst in einen KI-Chat schreiben, wird natürlich übermittelt. Bitte geben Sie dort keine sensiblen Personendaten ein (eigene oder von Dritten).

7. Cookies, Reichweiten-Messung und Einwilligung

7.1 Technisch notwendig (immer aktiv)

• Clerk-Session-Cookie: Login-Authentifizierung. Pflicht zur Vertragserfüllung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und § 25 Abs. 2 Nr. 2 TTDSG (technisch notwendig).
• Local Storage: UI-Präferenzen (Tour-Status, Sprache, Audio-Stimme, Cookie-Auswahl). Verbleibt nur im Browser.

7.2 Reichweiten-Messung (Umami, optional, nur nach Einwilligung)

• Anbieter: Umami Software, Inc., Hosting in der EU (Frankfurt). Auftragsverarbeitung nach Art. 28 DSGVO, DPA verfügbar.
• Was verarbeitet wird: Anonyme Aggregat-Statistiken zu Pageviews, Top-Seiten, Geräte-Klasse und ungefährem Standort (Länder-Ebene). Keine Cookies, keine personenbezogenen Daten, kein Cross-Site- oder Cross-Session-Tracking. IP-Adressen werden nicht gespeichert.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Umami wird nur geladen, wenn Sie im Cookie-Banner aktiv auf „Akzeptieren" geklickt haben. Vor Ihrer Entscheidung wird das Script nicht geladen; wir verzichten bewusst auf die im DSGVO-Compliance-Bericht 2026 kritisierte Praxis des Pre-Loadings vor Einwilligung.
• Speicherdauer: Aggregierte Statistiken nach individueller Konfiguration; keine personenbezogenen Daten persistiert.
• Widerruf nach Art. 7 Abs. 3 DSGVO: Klick auf „🍪 Cookie-Einstellungen" im Footer und dort „Ablehnen". Der Widerruf wirkt sofort, ist so einfach wie die Erteilung der Einwilligung.

7.3 Fehler-Monitoring (Sentry)

• Anbieter: Functional Software, Inc. (Sentry), EU-Region Frankfurt. Auftragsverarbeitung nach Art. 28 DSGVO.
• Was verarbeitet wird: Nur bei einem tatsächlich auftretenden technischen Fehler ein Error-Event mit URL, Browser, Stacktrace und der zum Fehlerzeitpunkt verkürzten IP-Adresse. Session-Replays werden ausschließlich bei einem auftretenden Error gestartet, niemals präventiv. Performance-Traces sind auf 10 % der Aufrufe begrenzt und enthalten keine personenbezogenen Inhalte.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Stabilität und Sicherheit). Die Verarbeitung dient ausschließlich der Behebung technischer Probleme und nicht der Profilbildung oder Werbung.

Wir setzen kein Marketing-Tracking, keine Werbe-Cookies, keine Cross-Site-Tracker, keine Google Analytics, kein Facebook-Pixel.

8. Sicherheit

Verschlüsselung in Transit (TLS 1.3) und at Rest (Supabase + Vercel Standard). Zugriff auf Produktions-Datenbank nur per IAM-restriktion.

9. Änderungen dieser Erklärung

Wir aktualisieren diese Datenschutzerklärung bei wesentlichen Änderungen (neue Auftragsverarbeiter, neue Verarbeitungszwecke, neue KI-Module). Stand siehe Datum oben. Bei wesentlichen Änderungen informieren wir Sie per Mail.

Fragen zur Datenverarbeitung? Antworten zumeist innerhalb 48 h:datenschutz@zuhoerakademie.at