Informationen nach Art. 13 und 14 DSGVO für die Nutzung der Schulungsplattform
Betreiberin dieser Plattform ist:
FPS IT & Data Privacy GmbH
Kurfürstendamm 220
10719 Berlin
E-Mail: mail@fps-dp.de
Verantwortlicher für Ihre Schulungsdaten ist Ihr Arbeitgeber. Er legt Ihr Konto an, entscheidet, welche Schulungen Sie absolvieren müssen, und sieht Ihren Abschluss-Status. Wir betreiben die gesamte Plattform in seinem Auftrag als Auftragsverarbeiterin (Art. 28 DSGVO), einschließlich der automatisierten Ausstellung Ihres Teilnahme-Zertifikats und der Möglichkeit, dessen Echtheit online prüfen zu lassen. Für Auskünfte, Berichtigungen oder Löschungen rund um Ihre Schulungsteilnahme wenden Sie sich daher bitte zuerst an Ihren Arbeitgeber (siehe Ziffer 9); wir unterstützen ihn dabei.
Nur für die Verwaltung unserer Vertragsbeziehung zu Ihrem Arbeitgeber (Ansprechpartner-Kontaktdaten, Abrechnung) und für die rein technische Bereitstellung der öffentlich zugänglichen Seiten (z.B. Anmelde- und Verifikationsseite) gegenüber bloßen Besuchern sind wir selbst Verantwortliche.
Ein Datenschutzbeauftragter ist nicht benannt; eine Benennungspflicht nach Art. 37 DSGVO / § 38 BDSG besteht nicht.
Diese Plattform stellt Datenschutz-Pflichtschulungen für Beschäftigte unserer Kundenunternehmen bereit. Die Plattform dokumentiert die Durchführung der Schulung und stellt nach erfolgreichem Abschluss ein Zertifikat aus. Es dient als Nachweis für die Schulungs- und Rechenschaftspflichten Ihres Arbeitgebers (Art. 5 Abs. 2, Art. 32, Art. 39 DSGVO).
Konto-Stammdaten: E-Mail-Adresse, Name (optional), Rolle, Unternehmens-Zugehörigkeit sowie, sofern Ihr Arbeitgeber sie pflegt, Personalnummer, Eintrittsdatum und Vorgesetzte:r. Diese Daten erhalten wir nicht von Ihnen, sondern von Ihrem Arbeitgeber (Art. 14 DSGVO), der Ihr Konto anlegt.
Anmeldung: Es gibt keine Passwörter. Zum Anmelden senden wir Ihnen eine E-Mail mit einem 6-stelligen Einmal-Code und einem Einmal-Link. Beide sind 15 Minuten gültig. Der Code wird nur als kryptografischer Hash gespeichert; je Code sind höchstens fünf Eingabeversuche möglich. Der Link enthält Ihre E-Mail-Adresse nicht. Abgelaufene Codes und Links werden 24 Stunden nach Ablauf automatisch gelöscht (nächtlicher Lauf). Geben Sie im Anmeldeformular eine Adresse ein, zu der kein Konto besteht, wird auch diese Adresse bis zu dieser automatischen Löschung gespeichert; ob zu einer Adresse ein Konto besteht, gibt die Seite nicht preis.
Schutz vor Missbrauch: Um die Zahl der Anmeldeversuche und der Abfragen auf der Verifikationsseite je Netzwerkverbindung zu begrenzen, speichern wir für 24 Stunden einen Zähler unter einem pseudonymen Schlüssel. Der Schlüssel wird aus Ihrer IP-Adresse und einem geheimen Wert berechnet und lässt sich nicht in die IP-Adresse zurückrechnen; die Adresse selbst speichern wir nicht. Erfolgreiche Anmeldungen und Anmeldungen, die nach fünf Fehleingaben des Codes gesperrt wurden, protokollieren wir ohne IP-Adresse für 90 Tage. Solche Einträge entstehen nur zu bestehenden Konten.
Schulungsfortschritt: Je Kapitel speichern wir die nachweislich angesehene Videodauer, den Bestanden-Status der Verständnisfragen, den Abschluss-Zeitpunkt und den Zeitpunkt der letzten Lernaktivität. Der Zeitpunkt der letzten Lernaktivität dient allein der technischen Fortschrittssicherung; Ihrem Arbeitgeber wird er nicht angezeigt. Ihre einzelnen Quiz-Antworten werden nicht personenbezogen gespeichert, Fehlversuche werden gar nicht erst gezählt. Ihr Arbeitgeber sieht je Pflichtschulung nur, ob Sie sie nicht begonnen, in Bearbeitung oder abgeschlossen haben, ob eine Frist überschritten ist, das Abschlussdatum und das Zertifikat; dazu die Stammdaten, die er selbst gepflegt hat. Er sieht keine Antworten, keine Fehlversuche, keine Sekunden- oder Prozentwerte und auch nicht den Zeitpunkt Ihrer letzten Anmeldung oder Lernaktivität.
Zertifikate: Gespeichert werden Zertifikatsnummer, Ausstellungsdatum, Schulung, Inhaltsstand (Version) und das Ende der empfohlenen Gültigkeit. Die PDF-Datei wird bei der Ausstellung einmal erzeugt, gespeichert und mit einer Prüfsumme gesichert, damit sie sich später nicht unbemerkt verändern lässt. Auf Weisung Ihres Arbeitgebers können wir ein Zertifikat widerrufen; Zeitpunkt und Grund des Widerrufs werden gespeichert, der Grund bleibt intern. Die öffentliche Verifikationsseite zeigt nur die Zertifikatsnummer, die Schulung mit Inhaltsstand, den Namen Ihres Arbeitgebers, das Ausstellungsdatum, das Ende der empfohlenen Gültigkeit, die Prüfsumme der PDF-Datei und, falls einschlägig, das Datum eines Widerrufs. Angaben zu Ihrer Person, auch Ihr Name, Ihre Initialen oder Ihre E-Mail-Adresse, werden dort nicht angezeigt.
Audit-Log: Bestimmte verwaltende Vorgänge werden mit Zeitpunkt und auslösendem Konto protokolliert: Rollenänderung, Sperre und Entsperrung eines Kontos, Löschung eines Kontos oder eines Mandanten, Ausstellung und Widerruf eines Zertifikats, Auskunfts-Export sowie Anmeldeereignisse (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO). Die Einträge lassen sich nachträglich nicht mehr ändern oder löschen. Wird Ihr Konto gelöscht, ersetzen wir Ihre E-Mail-Adresse und Ihre Kennung in älteren Einträgen durch ein Kürzel, aus dem sich Ihre Person nicht mehr ableiten lässt.
Sperre Ihres Kontos: Ihr Arbeitgeber kann Ihr Konto über uns sperren lassen, etwa wenn Sie aus dem Unternehmen ausscheiden. Eine Anmeldung ist dann nicht mehr möglich; Ihre Daten bleiben bis zu einer Löschung unverändert erhalten. Zeitpunkt und ein optionaler Grund der Sperre werden gespeichert.
Server-Logs: Die Anwendung selbst speichert keine IP-Adressen. Der vorgeschaltete Proxy verarbeitet Verbindungsdaten nur, soweit das für die Auslieferung der Seiten nötig ist; dauerhafte Zugriffsprotokolle werden nicht geführt. Meldungen der Sicherheitsrichtlinie Ihres Browsers (Content-Security-Policy) nehmen wir ohne IP-Adresse und ohne Browserkennung entgegen; vermerkt werden nur die betroffene Regel, der Ursprung der beanstandeten Adresse und der Pfad der meldenden Seite. In unserer Datenbank werden diese Meldungen nicht gespeichert.
Die Verarbeitung Ihrer Schulungsdaten stützt sich auf das Beschäftigungsverhältnis zu Ihrem Arbeitgeber (§ 26 BDSG, Art. 6 Abs. 1 lit. b und c i.V.m. Art. 5 Abs. 2, Art. 32, Art. 39 DSGVO für Schulungs- und Nachweispflichten). Wir verarbeiten dabei ausschließlich in seinem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO). Für die Verwaltung der Vertragsbeziehung zu Ihrem Arbeitgeber stützen wir uns auf die Vertragsdurchführung und unser berechtigtes Interesse (Art. 6 Abs. 1 lit. b und f DSGVO).
Gegenüber bloßen Besuchern der öffentlich zugänglichen Seiten stützt sich die kurzzeitige technische Verarbeitung von Verbindungsdaten (siehe Ziffer 3, „Server-Logs") auf unser berechtigtes Interesse an einer sicheren und funktionsfähigen Bereitstellung der Website (Art. 6 Abs. 1 lit. f DSGVO). Auf dieselbe Grundlage stützen wir den Schutz vor Missbrauch der Anmeldung: die Begrenzung der Anfragen je Netzwerkverbindung, die Speicherung einer im Anmeldeformular eingegebenen Adresse bis zur automatischen Löschung und die Protokollierung der Anmeldeereignisse (siehe Ziffer 3). Auf eine Einwilligung stützen wir keine dieser Verarbeitungen.
Wir setzen ausschließlich Dienstleister mit Verarbeitung in der EU ein:
Mit beiden Dienstleistern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO.
Ihr Arbeitgeber erhält den Abschluss-Status, das Abschlussdatum, das Zertifikat und das Kennzeichen einer Sperre. Auf seine Anforderung stellen wir ihm außerdem einen strukturierten Export Ihrer bei uns gespeicherten Daten bereit, damit er Ihre Rechte auf Auskunft und Datenübertragbarkeit erfüllen kann (Art. 15 und 20 DSGVO). Quiz-Antworten erhält er nicht. Eine Übermittlung Ihrer Daten in Drittländer außerhalb der EU/des EWR findet nicht statt.
Darüber hinaus geben wir personenbezogene Daten nur weiter, wenn wir gesetzlich dazu berechtigt oder verpflichtet sind, etwa gegenüber Strafverfolgungsbehörden oder aufgrund einer gerichtlichen Anordnung.
Die Plattform verwendet ausschließlich technisch zwingend erforderliche Cookies; sie sind nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig. Im Einzelnen:
__Secure-authjs.session-token: hält Ihre Anmeldung aufrecht, Laufzeit 12 Stunden.__Host-authjs.csrf-token: schützt Formulare davor, von fremden Seiten aus abgeschickt zu werden; wird beim Schließen des Browsers gelöscht.__Secure-authjs.callback-url: merkt sich die Seite, auf die Sie nach der Anmeldung zurückkehren; wird beim Schließen des Browsers gelöscht.Die Namenszusätze __Secure- und __Host- sind technische Kennzeichnungen: Der Browser sendet diese Cookies dann nur über verschlüsselte Verbindungen und nur an unsere eigene Adresse.
Es gibt keine Analyse- oder Marketing-Tools, keine Tracker und keine Einbindung von Drittanbieter-Inhalten zur Laufzeit. Die Schriftarten werden von unserem eigenen Server geladen. Videos und Schulungsunterlagen werden ausschließlich aus unserem eigenen Dateispeicher geladen; externe Adressen lassen sich in der Verwaltung gar nicht erst hinterlegen, und eine Sicherheitsrichtlinie (Content-Security-Policy) hindert Ihren Browser zusätzlich daran, Videos, Bilder oder Datenabrufe von fremden Servern zu laden. Deshalb benötigt diese Seite keinen Cookie-Banner.
Alle Daten werden ausschließlich auf Servern in der Europäischen Union verarbeitet: Hosting und Dateispeicher in Deutschland, der E-Mail-Versand in Frankreich. Sämtliche Verbindungen sind transportverschlüsselt (TLS). Die Anmeldung erfolgt ohne Passwörter über kurzlebige Einmal-Codes, die nur als kryptografischer Hash gespeichert werden. Wir sichern die Plattform durch dem Stand der Technik entsprechende technische und organisatorische Maßnahmen gegen Verlust, Zerstörung, Veränderung und unbefugten Zugriff. Dazu gehören ein abgestuftes Rollen- und Rechtekonzept, die strikte Trennung der Daten verschiedener Kundenunternehmen, tägliche Datensicherungen, die vor der Ablage verschlüsselt und dort für 30 Tage gegen Löschung und Veränderung gesperrt werden, ein Protokoll verwaltender Vorgänge, das sich nachträglich nicht mehr verändern lässt, und eine laufende Überwachung der Erreichbarkeit.
Sie haben nach Maßgabe der Art. 15 bis 20 DSGVO das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Für Anliegen rund um Ihre Schulungsverwaltung (Konto, Pflichtzuweisungen, Abschluss-Daten) ist Ihr Arbeitgeber der richtige Ansprechpartner; wir unterstützen ihn dabei und leiten Anliegen, die uns direkt erreichen, unverzüglich an ihn weiter. Für alles Übrige erreichen Sie uns unter den oben genannten Kontaktdaten.
Für Auskunft und Datenübertragbarkeit stellen wir Ihrem Arbeitgeber auf Anforderung einen vollständigen, maschinenlesbaren Export Ihrer bei uns gespeicherten Daten bereit. Eine Einschränkung der Verarbeitung setzen wir technisch durch die Sperre Ihres Kontos um (siehe Ziffer 3).
Widerspruchsrecht (Art. 21 DSGVO): Soweit eine Verarbeitung auf berechtigte Interessen gestützt wird (Art. 6 Abs. 1 lit. f DSGVO), haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen.
Sie haben außerdem das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), z.B. bei der für uns zuständigen Behörde: Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59 bis 61, 10555 Berlin (datenschutz-berlin.de).
Die Anlage Ihres Kontos erfolgt durch Ihren Arbeitgeber im Rahmen Ihres Beschäftigungsverhältnisses. Ohne die genannten Daten kann die Schulung nicht durchgeführt und nachgewiesen werden. Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.
Wir passen diese Datenschutzerklärung an, wenn sich die Plattform oder die Rechtslage ändert. Es gilt die jeweils an dieser Stelle veröffentlichte Fassung (Stand siehe unten). Über wesentliche Änderungen informieren wir über die Plattform bzw. über Ihren Arbeitgeber.
Stand: 8. September 2026