Datenschutzerklärung.

1. Verantwortliche Stelle

Verantwortlich für die Bearbeitung personenbezogener Daten im Zusammenhang mit der Klima Academy ist der im Impressum bezeichnete Anbieter.

Diese Datenschutzerklärung erläutert, welche personenbezogenen Daten im Rahmen der Lernplattform bearbeitet werden und welche Rechte betroffenen Personen zustehen.

2. Anwendbares Datenschutzrecht

Die Datenbearbeitung unterliegt insbesondere dem schweizerischen Datenschutzgesetz und den dazugehörigen Ausführungsbestimmungen.

Soweit die Voraussetzungen erfüllt sind, kann zusätzlich die Datenschutz-Grundverordnung der Europäischen Union Anwendung finden.

Die konkreten gesetzlichen Anforderungen richten sich nach der jeweiligen Verarbeitung und dem betroffenen Personenkreis.

3. Kategorien personenbezogener Daten

Im Rahmen der Registrierung können E-Mail-Adresse, Benutzerkennung, Anzeigename, Kontostatus und technische Authentifizierungsdaten verarbeitet werden.

Bei der Nutzung werden gegebenenfalls Lernfortschritte, Antworten, Aufgabenabschlüsse, Erfahrungspunkte, Wiedereinstiegspositionen und Nutzungszeitpunkte gespeichert.

Im Zahlungsbereich können Kundenzuordnungen, Abonnementstatus, Produktberechtigungen, Zahlungsreferenzen und Rechnungsinformationen verarbeitet werden.

Beim Zugriff auf die Website können technische Daten wie IP-Adresse, Browserinformationen, Zeitpunkte, angeforderte Ressourcen und sicherheitsrelevante Ereignisse anfallen.

4. Zwecke der Bearbeitung

Die Daten werden zur Bereitstellung der Plattform, zur Registrierung und Authentifizierung, zur Verwaltung von Lernfortschritten und zur Erfüllung abgeschlossener Verträge bearbeitet.

Weitere Zwecke sind Zahlungsabwicklung, Kundensupport, IT-Sicherheit, Betrugsprävention, Fehlerbehebung und die Erfüllung gesetzlicher Aufbewahrungs- und Dokumentationspflichten.

Eine zusätzliche Verwendung für Werbung oder Analyse erfolgt nur, wenn dafür die erforderlichen rechtlichen Voraussetzungen erfüllt sind.

5. Rechtsgrundlagen nach der DSGVO

Soweit die DSGVO anwendbar ist, erfolgt die Bearbeitung zur Vertragserfüllung oder Durchführung vorvertraglicher Massnahmen, zur Erfüllung gesetzlicher Pflichten, auf Grundlage berechtigter Interessen oder aufgrund einer Einwilligung.

Berechtigte Interessen können insbesondere im sicheren Betrieb, in der Missbrauchsverhinderung und in der technischen Verbesserung der Plattform liegen.

Einwilligungen können unter den gesetzlichen Voraussetzungen mit Wirkung für die Zukunft widerrufen werden.

6. Registrierung und Authentifizierung

Die Plattform verwendet Supabase für Authentifizierung und zugehörige Datenbankfunktionen.

Im Zusammenhang mit Anmeldung, E-Mail-Bestätigung, Passwortwiederherstellung und Sitzungsverwaltung werden die dafür notwendigen technischen Daten verarbeitet.

Passwörter werden über die Authentifizierungsinfrastruktur verarbeitet; für die Verwaltung von Lernfortschritten ist kein Klartextzugriff auf Passwörter erforderlich.

7. Lernfortschritte und Antwortdaten

Zur Darstellung des persönlichen Lernstands können bearbeitete Aufgaben, Antwortnachweise, Fortschrittspositionen und abgeschlossene Lektionen gespeichert werden.

Bestimmte Lern- und Berechtigungsvorgänge werden serverseitig überprüft, um unberechtigte Freischaltungen und Manipulationen zu verhindern.

Diese Daten sind grundsätzlich dem jeweiligen Benutzerkonto zugeordnet.

8. Zahlungsdaten und Stripe

Für die Zahlungsabwicklung wird Stripe eingesetzt. Stripe kann insbesondere Zahlungs-, Kontakt-, Transaktions- und technische Sicherheitsdaten verarbeiten.

Die Klima Academy verarbeitet zur Zuordnung von Leistungen unter anderem Kundenreferenzen, Zahlungsereignisse, Abonnementstatus und Produktberechtigungen.

Vollständige Kartendaten werden grundsätzlich über die dafür vorgesehene Zahlungsumgebung des Zahlungsdienstleisters eingegeben.

Für die Datenbearbeitung durch Stripe gelten zusätzlich dessen jeweils einschlägige Datenschutzinformationen.

9. Hosting und Cloudflare

Für die Bereitstellung der Webanwendung und technische Infrastruktur wird Cloudflare eingesetzt.

Dabei können Verbindungsdaten, IP-Adressen und sicherheitsrelevante Informationen verarbeitet werden, soweit dies für die Bereitstellung und Absicherung der Anwendung erforderlich ist.

Die tatsächlich verwendeten Cloudflare-Dienste, Einstellungen und Speicherregionen müssen mit der produktiven Konfiguration übereinstimmen.

10. Datenbank und Supabase

Supabase wird für Authentifizierung und Datenbankfunktionen verwendet. Dort können Benutzerkonten, Lernfortschritte und weitere anwendungsbezogene Informationen gespeichert sein.

Zugriffe auf geschützte Daten werden durch technische Berechtigungsmechanismen beschränkt.

Die konkret vereinbarte Datenregion und die eingesetzten Unterauftragsbearbeiter sind anhand der produktiven Konfiguration zu dokumentieren.

11. Weitere Empfänger und Dienstleister

Personenbezogene Daten können an technische Dienstleister weitergegeben werden, soweit dies für Betrieb, Vertragserfüllung, Zahlung oder Sicherheit erforderlich ist.

Eine Weitergabe an Behörden kann erfolgen, wenn eine entsprechende rechtliche Verpflichtung besteht.

Ein Verkauf personenbezogener Kundendaten an Werbetreibende ist nicht Bestandteil des beschriebenen Geschäftsmodells.

12. Datenübermittlung ins Ausland

Durch den Einsatz internationaler Dienstleister können personenbezogene Daten ausserhalb der Schweiz bearbeitet werden.

Soweit das anwendbare Recht dies verlangt, müssen geeignete Garantien wie anerkannte Standardvertragsklauseln oder andere zulässige Schutzmechanismen bestehen.

Die tatsächlich betroffenen Staaten, Datenempfänger und Schutzmassnahmen sind anhand der Dienstleisterverträge und produktiven Einstellungen zu überprüfen.

13. Cookies und Sitzungsinformationen

Die Plattform kann technisch notwendige Cookies oder vergleichbare Speichertechnologien für Anmeldung, Sitzungsverwaltung und Sicherheitsfunktionen verwenden.

Solche Technologien dienen der Bereitstellung der vom Benutzer angeforderten Funktionen.

Sollten zusätzliche Analyse- oder Marketingtechnologien eingesetzt werden, werden die dafür erforderlichen Informationen und gegebenenfalls Einwilligungsmöglichkeiten bereitgestellt.

14. Protokolldaten und IT-Sicherheit

Zur Fehleranalyse, Stabilisierung und Absicherung der Plattform können technische Ereignisse protokolliert werden.

Hierzu können insbesondere Zugriffszeitpunkte, Fehlermeldungen, IP-Adressen und technische Anfragedaten gehören.

Zugriff, Umfang und Aufbewahrung solcher Daten sind auf die erforderlichen betrieblichen Zwecke zu begrenzen.

15. Speicherdauer

Personenbezogene Daten werden grundsätzlich so lange aufbewahrt, wie dies für die beschriebenen Zwecke oder zur Erfüllung gesetzlicher Pflichten erforderlich ist.

Kontodaten und Lernfortschritte können während der Kontonutzung gespeichert bleiben. Nach einer Kontolöschung werden sie nach Massgabe des vorgesehenen Löschverfahrens entfernt.

Geschäfts- und buchhaltungsrelevante Unterlagen können gesetzlichen Aufbewahrungspflichten unterliegen. Für schweizerische Geschäftsbücher und Buchungsbelege gilt grundsätzlich eine zehnjährige Aufbewahrungspflicht, soweit die einschlägigen Vorschriften anwendbar sind.

Technische Protokolle, Sicherungskopien und Löschfristen müssen im produktiven Betrieb verbindlich festgelegt werden.

16. Datensicherheit

Zum Schutz personenbezogener Daten werden angemessene technische und organisatorische Massnahmen eingesetzt.

Dazu gehören insbesondere Authentifizierung, Zugriffsberechtigungen, serverseitige Prüfungen und Sicherheitsmechanismen der eingesetzten Infrastruktur.

Ein absoluter Schutz vor sämtlichen Risiken kann bei internetbasierten Diensten nicht garantiert werden.

17. Rechte betroffener Personen

Betroffene Personen können im Rahmen des anwendbaren Rechts Auskunft über ihre personenbezogenen Daten verlangen und die Berichtigung unrichtiger Angaben beantragen.

Unter den jeweiligen gesetzlichen Voraussetzungen bestehen Rechte auf Löschung, Einschränkung der Bearbeitung, Datenherausgabe beziehungsweise Datenübertragbarkeit sowie Widerspruch.

Zur Bearbeitung eines Antrags kann eine angemessene Identitätsprüfung erforderlich sein.

Gesetzliche Aufbewahrungspflichten und berechtigte entgegenstehende Interessen können einzelne Ansprüche begrenzen.

18. Beschwerden und Aufsichtsbehörden

Betroffene Personen können sich nach Massgabe des anwendbaren Rechts an die zuständige Datenschutzaufsichtsbehörde wenden.

In der Schweiz ist insbesondere der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte für die bundesrechtliche Datenschutzaufsicht zuständig.

Soweit die DSGVO anwendbar ist, können zusätzlich die dort vorgesehenen Beschwerderechte bestehen.

19. Minderjährige

Bei der Nutzung durch Minderjährige sind die gesetzlichen Anforderungen an Vertragsfähigkeit, Einwilligungen und Datenschutz zu beachten.

Die Plattform ist derzeit nicht als speziell für Kinder konzipierter Dienst beschrieben.

Bei einer späteren gezielten Ausrichtung an Minderjährige sind zusätzliche Schutzmassnahmen zu prüfen.

20. Änderungen und Kontakt

Diese Datenschutzerklärung kann bei technischen, organisatorischen oder rechtlichen Änderungen aktualisiert werden.

Datenschutzanfragen können an sandro@joos.gr oder postalisch an die im Impressum angegebene Anschrift gerichtet werden.

Die tatsächlichen Dienstleisterkonfigurationen, Aufbewahrungsfristen und Kontaktkanäle müssen vor der öffentlichen Freigabe abschliessend überprüft werden.