Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website und in AdA-Campus ist:
JS-IT, Sebastian Janitzek
Dreiländerstr. 52
85049 Ingolstadt
E-Mail: info@js-it.com

2. Im Überblick: Was wir wirklich speichern

AdA-Campus ist ein Bezahlprodukt mit Login. Wir verarbeiten deshalb mehr als eine reine Informations-Website — aber bewusst nicht mehr, als für Kauf, Login und dein Lern-Erlebnis nötig ist. Konkret:

• Deine E-Mail-Adresse — für den Login (Magic-Link/Anmelde-Code) und die Zuordnung deines Kaufs.
• Deinen Lernfortschritt — abgeschlossene Lektionen, Quiz-Antworten, Karteikarten-Wiederholungsstand, Ergebnisse deiner Prüfungssimulation (schriftlicher Teil).
• Zahlungsdaten — werden von Stripe verarbeitet, nicht von uns gespeichert (siehe Abschnitt 5).
• Inhalte, die du selbst einträgst — z. B. im Unterweisungsentwurf-Builder.
• Für die Sprechübung (praktischer Teil: Unterweisungsprobe, Fachgespräch): deine Spracheingabe bzw. dein Text und die daraus erzeugte Rückmeldung — dazu Abschnitt 6a.
• Optional, nur bei aktiver Nutzung: die Verknüpfung mit Amazon Alexa — dazu Abschnitt 7.

Es gibt kein Werbe-Tracking und aktuell keine Web-Analyse-Software im Einsatz. Sollte sich das ändern, aktualisieren wir diese Erklärung entsprechend und holen, soweit nötig, vorab deine Einwilligung ein.

3. Hosting

AdA-Campus wird bei Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA) über Cloudflare Pages gehostet; die Datenbank (Nutzerkonten, Lernfortschritt, Kauf-Freischaltungen) liegt in Cloudflare D1. Cloudflare verarbeitet dabei technisch bedingt IP-Adressen und Verbindungsmetadaten. Cloudflare ist unter dem EU-U.S. Data Privacy Framework zertifiziert und gewährleistet damit ein angemessenes Datenschutzniveau.

Weitere Informationen: Cloudflare Datenschutzerklärung

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen, sicheren Betrieb der Anwendung).

4. Konto & Login (Magic-Link/Anmelde-Code)

AdA-Campus kommt bewusst ohne Passwort aus. Beim Login gibst du deine E-Mail-Adresse ein; wir schicken dir einen einmaligen Anmelde-Link („Magic-Link") und zusätzlich einen 6-stelligen Anmelde-Code in derselben Mail. Technisch läuft das so ab:

• Der Link enthält ein zufällig erzeugtes Zugangs-Token. In unserer Datenbank speichern wir nicht das Token selbst, sondern nur dessen SHA-256-Hash — aus dem Hash lässt sich das Token nicht zurückrechnen. Für den 6-stelligen Code gilt dasselbe (Hash statt Klartext, max. 5 Fehlversuche).
• Link und Code sind 15 Minuten gültig und können jeweils nur einmal eingelöst werden.
• Nach dem Einlösen setzen wir ein Session-Cookie (ada_session). Es ist httpOnly (per JavaScript nicht auslesbar), im Produktivbetrieb nur über HTTPS gültig (secure) und auf SameSite=Lax beschränkt. Auch hier liegt in der Datenbank nur ein Hash-Wert, kein Klartext-Token. Das Cookie ist 30 Tage gültig oder bis du dich ausloggst.

Dieses Session-Cookie ist technisch notwendig, um dich eingeloggt zu halten und deinen gekauften Zugang zuzuordnen — ohne Einwilligungs-Banner, da es sich um eine unbedingt erforderliche Funktion handelt (§ 25 Abs. 2 Nr. 2 TDDDG).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags — wir können dir ohne Login keinen Zugang zu deinem gekauften Kurs geben).

Die Angabe deiner E-Mail-Adresse ist zur Vertragserfüllung erforderlich — ohne sie können wir dir keinen Zugang zum gekauften Kurs bereitstellen (Art. 13 Abs. 2 lit. e DSGVO).

5. Kauf & Zahlungsabwicklung (Stripe)

Der Kauf von AdA-Campus läuft vollständig über Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irland). Wenn du auf einen „Kaufen"-Button klickst, wirst du zu einer von Stripe gehosteten Checkout-Seite weitergeleitet. Dort gibst du deine Zahlungs- und Rechnungsdaten direkt bei Stripe ein — diese Daten (Kartendaten, vollständige Rechnungsadresse, ggf. USt-IdNr. bei Firmenkäufen) laufen zu keinem Zeitpunkt über unsere eigenen Server.

Nach erfolgreicher Zahlung erhalten wir von Stripe per Webhook nur die für die Freischaltung nötigen Daten: deine E-Mail-Adresse, das gekaufte Produkt, den bezahlten Betrag und eine Session-Kennung. Diese Zuordnung landet als „Enrollment" (Zugangsberechtigung) in unserer Datenbank und wird zusammen mit deinem Nutzerkonto gespeichert.

Stripe erstellt automatisch eine Rechnung inkl. gesetzlicher Umsatzsteuer und sendet sie dir per E-Mail zu (invoice_creation, automatic_tax). Wir sind gesetzlich verpflichtet, Rechnungsdaten für steuerliche Zwecke aufzubewahren (siehe Abschnitt 8).

Weitere Informationen: Stripe Datenschutzerklärung

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Abwicklung deines Kaufs) und Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Aufbewahrungspflichten).

6. Lernfortschritt & Nutzung der Lernplattform

Damit dein Fortschritt geräteübergreifend erhalten bleibt, speichern wir zu deinem Konto:

• welche Lektionen du abgeschlossen hast,
• deine Antworten auf Übungsaufgaben (inkl. richtig/falsch, für die Karteikarten-Wiederholung),
• den Wiederholungsstand deiner Karteikarten (Fälligkeit, Erfolgsquote),
• Ergebnisse deiner Prüfungssimulationen (schriftlicher Teil),
• optional dein Prüfungsdatum, wenn du es einträgst (steuert deinen Lernplan und die Wiederholungsplanung deiner Karteikarten),
• Inhalte, die du im Unterweisungsentwurf-Builder speicherst. Trag hier bitte keine Namen echter Auszubildender oder sonstige Daten Dritter ein, die du nicht verarbeiten darfst — der Entwurf ist ausschließlich für dich als Übung gedacht.

Meldest du über den „Fehler melden"-Button einen Inhalt, speichern wir deine Nachricht und — sofern eingeloggt — deine Nutzer-ID, um Rückfragen stellen zu können.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — das ist die Lernleistung, die du gekauft hast) sowie Art. 6 Abs. 1 lit. f DSGVO für die Fehlermeldungen (berechtigtes Interesse an fehlerfreien Inhalten).

6a. KI-gestützte Übungsfunktionen (Sprechübung: Unterweisungsprobe & Fachgespräch)

Für den praktischen Teil der AEVO-Prüfung kannst du deine Unterweisung bzw. deine Antworten im Fachgespräch als Audioaufnahme einsprechen oder als Text eingeben, und dafür eine strukturierte Rückmeldung erhalten. Dabei werden zwei externe Dienste eingesetzt:

• OpenAI, L.L.C. (San Francisco, USA) — deine Audioaufnahme wird direkt zur Transkription (Umwandlung in Text, „Whisper") an OpenAI übermittelt. Die Aufnahme selbst wird von uns nicht auf unseren Servern gespeichert — sie wird nur zur Transkription weitergereicht, das Transkript kommt zurück, damit ist der Vorgang für uns abgeschlossen.
• Anthropic PBC (San Francisco, USA) — das Transkript (bzw. dein eingetippter Text) wird zur Auswertung an das KI-Modell Claude übermittelt, das dir strukturiertes Feedback nach einem Kammer-orientierten Bewertungsraster gibt (Stärken, Verbesserungsvorschläge, mögliche Nachfragen). Dieses Feedback ist ein Übungswerkzeug für deine eigene Vorbereitung — es ist keine Bestehens-Prognose und ersetzt keine Bewertung durch deine Kammer.

Zweckbindung: Deine Aufnahme, dein Text und das Feedback werden ausschließlich zur Auswertung deiner Übung verwendet. Es findet keine Veröffentlichung und keine Weitergabe an Dritte außer den genannten Verarbeitungsdiensten statt.

Speicherung: Transkript und Feedback werden nicht in unserer Datenbank gespeichert, sondern ausschließlich lokal in deinem Browser (localStorage) abgelegt, damit du deinen letzten Übungsdurchgang wiederfindest — bis du sie löschst, „Neu starten" wählst oder deine Browser-Daten leerst.

Drittlandübermittlung: Sowohl OpenAI als auch Anthropic verarbeiten Daten in den USA. Die Übermittlung erfolgt auf Grundlage von Standardvertragsklauseln bzw., soweit die Anbieter entsprechend zertifiziert sind, des EU-U.S. Data Privacy Framework. Weitere Informationen: OpenAI Datenschutzerklärung · Anthropic Datenschutzerklärung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — die Sprechübung ist Teil der von dir gebuchten Lernleistung für den praktischen Teil) sowie deine aktive Handlung (Aufnahme starten bzw. Text absenden) als konkludente Einwilligung in die Übermittlung an die genannten Dienste.

7. Sprachassistent-Verknüpfung (Amazon Alexa) — optional

Du kannst dein AdA-Campus-Konto freiwillig mit Amazon Alexa verknüpfen, um deinen Lernstand abzufragen oder die Sprechübung per Sprachassistent zu nutzen. Die Verknüpfung läuft über ein Standard-Anmeldeverfahren (OAuth): Du meldest dich mit deiner E-Mail-Adresse und einem Anmelde-Code an und bestätigst die Verknüpfung ausdrücklich, bevor Alexa Zugriff erhält.

Nach deiner Bestätigung erhält Alexa ein zeitlich begrenztes Zugangs-Token zu deinem Konto. Über dieses Token kann Alexa — vermittelt über eine technische Gateway-Komponente von JS-IT — lesend deinen Lernstand abfragen und dieselbe Sprechübungs-Auswertung nutzen wie in Abschnitt 6a beschrieben.

Deine gesprochenen Eingaben an Alexa selbst werden zusätzlich von Amazon nach dessen eigener Datenschutzerklärung verarbeitet — das gilt für alle Alexa-Interaktionen und liegt außerhalb unserer Kontrolle.

Die Verknüpfung ist freiwillig und jederzeit in der Alexa-App wieder trennbar; ohne Verknüpfung ist AdA-Campus vollständig ohne Alexa nutzbar.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (deine ausdrückliche Bestätigung der Kontoverknüpfung).

8. Speicherdauer

Konto- und Lernfortschrittsdaten bewahren wir auf, solange dein Konto besteht bzw. solange du einen aktiven oder abgelaufenen Zugang hattest. Löschst du dein Konto oder forderst die Löschung an (siehe Abschnitt 10), entfernen wir deine personenbezogenen Daten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Rechnungsdaten werden von Stripe im Rahmen handels- und steuerrechtlicher Aufbewahrungsfristen (i. d. R. 10 Jahre, § 147 AO) verarbeitet — diese Frist betrifft die Rechnung, nicht deinen Lernfortschritt. Magic-Link-Tokens und Anmelde-Codes werden nach Ablauf (15 Minuten) bzw. Einlösung wertlos und regelmäßig bereinigt. Eine Alexa-Verknüpfung endet mit Widerruf durch dich (Alexa-App) oder Ablauf des Zugangs-Tokens.

9. Cookies & Tracking

Wir setzen ausschließlich das technisch notwendige Session-Cookie aus Abschnitt 4 — kein Werbe-Tracking, keine Marketing-Cookies und aktuell keine Web-Analyse-Software. Sollten wir künftig eine Analyse-Lösung einsetzen, holen wir vorab deine Einwilligung über ein Cookie-Banner ein und ergänzen diesen Abschnitt entsprechend.

10. Auftragsverarbeiter & Drittanbieter im Überblick

Mit allen eingesetzten Dienstleistern bestehen, soweit erforderlich, Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO bzw. Standardvertragsklauseln.

11. Mailversand

Login- und Kauf-Bestätigungs-Mails versenden wir über Amazon SES (Region Frankfurt, EU) von der Absender-Domain notify.adacampus.de. Empfänger ist ausschließlich die von dir angegebene E-Mail-Adresse selbst — es findet kein Versand an Dritte statt.

12. Deine Rechte

Du hast jederzeit das Recht auf:

• Auskunft über deine gespeicherten personenbezogenen Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung deiner Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)

Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung deiner personenbezogenen Daten zu beschweren — z. B. beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA), das für unseren Sitz in Bayern zuständig ist.

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt — auch das KI-gestützte Feedback aus Abschnitt 6a ist ein Übungswerkzeug ohne Rechtswirkung für dich, keine automatisierte Einzelfallentscheidung.

Für Auskünfte, Löschung oder sonstige Anliegen zum Datenschutz wende dich jederzeit an: info@js-it.com

Stand: September 2026