01Verantwortlicher
Fosbury Tech GmbH
Weststraße 33
74239 Hardthausen am Kocher
Deutschland
E-Mail: datenschutz@kursnaut.deEinen Datenschutzbeauftragten haben wir derzeit nicht benannt. Datenschutzanfragen erreichen die verantwortliche Stelle unmittelbar unter der oben genannten Adresse.
02Aufruf der Website und Serverprotokolle
Beim Aufruf von Kursnaut verarbeitet die Infrastruktur technisch erforderliche Verbindungsdaten. Die Anwendungsprotokolle enthalten Zeitpunkt, HTTP-Methode, Pfad ohne Query-Parameter, HTTP-Status, Laufzeit sowie zufällige Request- und Korrelations-IDs. Passwörter, Tokens, Cookies, Namen, E-Mail-Adressen, Request-Bodies und Payloads werden aus diesen Anwendungsprotokollen entfernt. Hosting- und Sicherheitskomponenten können zusätzlich IP-Adresse und technische Browserangaben verarbeiten.
Die Verarbeitung dient der sicheren und fehlerfreien Bereitstellung, der Abwehr von Angriffen und der Fehleranalyse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren Betrieb des Dienstes. Protokolldaten werden grundsätzlich nach 14 Tagen gelöscht, sofern ein Sicherheitsvorfall keine längere Aufbewahrung zur Aufklärung oder Beweissicherung erfordert.
03Konto, Anmeldung und Sitzungen
Bei der Registrierung verarbeiten wir Name, E-Mail-Adresse, einen nicht im Klartext gespeicherten Passwortwert, Erstellungs- und Änderungszeitpunkte sowie die Version und den Zeitpunkt der angenommenen AGB. Für angemeldete Sitzungen verarbeiten wir außerdem Sitzungskennung, Ablaufzeitpunkt, IP-Adresse und User-Agent.
Die Verarbeitung ist zur Begründung und Durchführung des Nutzungsvertrags erforderlich (Art. 6 Abs. 1 lit. b DSGVO). Sicherheitsdaten verarbeiten wir zusätzlich auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, um Konten und Plattform vor Missbrauch zu schützen. Ohne die als Pflichtfelder gekennzeichneten Daten kann kein Konto angelegt werden.
04Kurs-, Buchungs- und Teilnehmerdaten
Kunden können in der aktuellen Beta Kurse und Termine verwalten, Kursmedien hochladen und eine öffentliche Kursseite veröffentlichen. Bei einer Gastbuchung verarbeiten wir den angegebenen Namen, die E-Mail-Adresse, den gebuchten Kurs, Buchungsstatus, Zustimmungsstand, die akzeptierte Version der Veranstalter-Dokumente und Zeitpunkte. Bei kostenpflichtigen Kursen kommen Rechnungsanschrift, Zahlungsstatus und Rechnungsdaten hinzu. Diese Daten werden dem Arbeitsbereich des Kursanbieters zugeordnet und in dessen Dashboard angezeigt. Transaktionale Bestätigungs-, Storno- und Wartelistenmails werden über Resend versendet.
Für Buchungs- und Teilnehmerdaten ist grundsätzlich der jeweilige Kunde Verantwortlicher im Sinne der DSGVO; Fosbury Tech verarbeitet sie als Auftragsverarbeiter ausschließlich nach dessen dokumentierter Weisung. Einzelheiten regelt unser Vertrag zur Auftragsverarbeitung. Betroffene Teilnehmer wenden sich vorrangig an den Kursanbieter. Wir unterstützen unsere Kunden bei der Erfüllung von Betroffenenrechten.
Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, etwa Gesundheitsdaten, dürfen nur eingegeben werden, wenn der Kunde hierfür eine tragfähige Rechtsgrundlage hat und die Verarbeitung zuvor mit uns vereinbart wurde.
04bE-Mail-Versand und Resend
Für E-Mail-Bestätigungen, sichere Anmelde- und Wiederherstellungslinks, Workspace-Einladungen sowie den ausdrücklich abonnierten Newsletter setzen wir Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA, ein. Dabei werden insbesondere E-Mail-Adresse, Absender, Betreff, Nachrichteninhalt, Versandzeitpunkt und technische Zustellereignisse verarbeitet. Newsletter-Kontakte werden erst nach abgeschlossenem Double-Opt-in an Resend synchronisiert.
Transaktionale Nachrichten sind zur Vertragsdurchführung oder Kontosicherheit erforderlich (Art. 6 Abs. 1 lit. b und f DSGVO); Newsletter-Versand erfolgt auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Resend verarbeitet Daten in den USA. Resend gibt hierfür eine Zertifizierung unter dem EU-US Data Privacy Framework an; das mit uns geltende Data Processing Addendum bezieht zusätzlich die EU-Standardvertragsklauseln ein. Zustell- und Sperrinformationen bewahren wir so lange auf, wie dies für Nachweis, Sicherheit und die dauerhafte Beachtung einer Abmeldung erforderlich ist.
04cOrbi Assistent
Orbi Assistent ist ausgeschaltet, bis die Workspace-Inhaberin ihn einschaltet. Dann speichern wir Chats, Denkschritte und Entwürfe im Arbeitsbereich. Zur Antwort gehen der Chattext und die für die Anfrage nötigen Kurs-, Kontakt-, Buchungs- und Zahlungsfelder an OpenRouter, Inc. und das in den Einstellungen angezeigte Modell.
Für diese Daten bleibt der Kunde Verantwortlicher; Fosbury Tech verarbeitet sie als Auftragsverarbeiter nach der Einschalt-Weisung. Einzelheiten stehen im Vertrag zur Auftragsverarbeitung. Ausschalten löscht die in Kursnaut gespeicherten Chats und Entwürfe dieses Workspace. OpenRouter kann technische Protokolle nach eigener Vereinbarung behalten.
04dKursmedien und Objektspeicher
Öffentliche Kursbilder und private Dokumente speichert Kursnaut in einem Objektspeicher, den wir selbst auf der Infrastruktur von Hetzner Online GmbH mit der Software MinIO betreiben. Die Dateien bleiben in Deutschland bzw. der EU. MinIO, Inc. erhält diese Daten nicht. Abrufe laufen ausschließlich über unsere API; Browser erhalten keine direkte Adresse des Objektspeichers.
Für diese Dateien bleibt der Kunde Verantwortlicher; Fosbury Tech verarbeitet sie als Auftragsverarbeiter nach dessen Weisung. Einzelheiten stehen im Vertrag zur Auftragsverarbeitung.
04eFeedback an Kursnaut
Angemeldete Nutzer können uns freiwillig Feedback zum Kursnaut-Produkt senden. Dabei verarbeiten wir die gewählte Kategorie, den eingegebenen Nachrichtentext, eine pseudonyme Workspace- und Nutzerkennung, die aktuelle Dashboard-Route ohne Query-Parameter, die Produktversion, den Zeitpunkt und eine zufällige Übermittlungs-ID. Name, E-Mail-Adresse, IP-Adresse, Cookies und Zugangsdaten werden nicht automatisch an den Feedbackvorgang angehängt. Das Formular weist darauf hin, keine Passwörter, Zahlungsdaten oder anderen sensiblen Angaben einzugeben.
Wir verarbeiten diese Angaben zur Bearbeitung der Rückmeldung, zur Fehlerbehebung und zur Verbesserung des vereinbarten Dienstes auf Grundlage von Art. 6 Abs. 1 lit. b und f DSGVO. Unser berechtigtes Interesse liegt in der sicheren, bedarfsgerechten Weiterentwicklung von Kursnaut. Die Rückmeldung wird in der Kursnaut-Datenbank auf unserer Hosting-Infrastruktur gespeichert und nur berechtigten Plattform-Admins zur internen Bearbeitung angezeigt. Sie wird nicht automatisch an ein externes Ticketsystem übertragen. Wir prüfen erledigte Vorgänge regelmäßig und entfernen Zuordnungen oder Inhalte, sobald sie für Bearbeitung, Produktentscheidung oder Missbrauchsnachweis nicht mehr erforderlich sind.
05Zahlungen über Stripe
Für Kurszahlungen setzen wir Stripe, Inc., 354 Oyster Point Boulevard, South San Francisco, CA 94080, USA, über Stripe Connect ein. Dabei können Name, E-Mail-Adresse, Rechnungsanschrift, Kurs, Betrag, Währung sowie technische Transaktions- und Verbindungsdaten an Stripe übermittelt werden. Der Kursanbieter bleibt Verantwortlicher gegenüber Teilnehmenden; Stripe handelt als Zahlungsdienstleister. Vollständige Kartendaten speichern wir nicht.
Für das Kursnaut-Abonnement setzen wir Stripe Billing und Stripe Checkout einschließlich des Stripe-Kundenportals ein. Sobald ein Plan gewählt und ein Zahlungsmittel hinterlegt wird, können Name, E-Mail-Adresse, Rechnungsanschrift, Plan, Betrag, Währung, Zahlungsmittelkennungen sowie technische Transaktionsdaten an Stripe übermittelt werden. Vollständige Kartendaten speichern wir auch hier nicht. Diese Verarbeitung betrifft das Vertragsverhältnis mit uns.
Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für die Vertragsabwicklung und Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Aufbewahrungs- und Steuerpflichten. Stripe kann für eigene gesetzliche Pflichten selbst Verantwortlicher sein. Stripe gibt eine Zertifizierung unter dem EU-US Data Privacy Framework an und bezieht zusätzlich die EU-Standardvertragsklauseln ein. Weitere Informationen finden Sie in der Datenschutzerklärung von Stripe.
06Hosting und Empfänger
Zur technischen Bereitstellung können folgende Dienstleister Daten erhalten:
- Hetzner Online GmbH, Deutschland: Server-, Datenbank-, Objektstorage- und Anwendungsinfrastruktur einschließlich öffentlicher Website, Buchungsseiten, Dashboard, API, Dokumentation und selbst betriebenem MinIO für Kursmedien innerhalb Deutschlands bzw. der EU; Einzelheiten stehen in Abschnitt 04d.
- Stripe, Inc., USA: Kurszahlungen über Stripe Connect und Kursnaut-Abonnements über Stripe Billing; Einzelheiten stehen im vorherigen Abschnitt.
- Plus Five Five, Inc. (Resend), USA: transaktionaler E-Mail- und Newsletter-Versand; Einzelheiten stehen in Abschnitt 04b.
- OpenRouter, Inc., USA: Modellzugriff für Orbi Assistent nach Owner-Opt-in; Einzelheiten stehen in Abschnitt 04c.
Mit Auftragsverarbeitern schließen wir Verträge nach Art. 28 DSGVO. Eine Weitergabe erfolgt darüber hinaus nur bei gesetzlicher Pflicht, zur Rechtsdurchsetzung oder mit einer wirksamen Einwilligung.
07Cookies und lokale Speicherung
Kursnaut setzt keine Drittanbieter-Analyse, keine Werbung und kein Profiling ein. Für Anmeldung, Sitzungen und gewählte Einstellungen speichern wir nur Informationen, die für den ausdrücklich gewünschten Dienst erforderlich sind:
- Anmelde-Cookie
- Hält eine sichere Sitzung aufrecht; HttpOnly, Secure und SameSite geschützt; endet spätestens mit Ablauf oder Abmeldung der Sitzung.
- Theme-Speicher
- Speichert die gewählte Darstellung im Local Storage unter „kursnaut:theme:v1“ und im technisch notwendigen Erstanbieter-Cookie „kursnaut_theme“, damit die Auswahl zwischen öffentlicher Website, Buchung und Dashboard erhalten bleibt. Gespeichert wird nur „light“, „dark“ oder „system“, bis die Einstellung geändert oder der Browserspeicher gelöscht wird.
- Sprach-Speicher
- Speichert die gewählte Sprache im Local Storage unter „kursnaut:locale“, bis die Auswahl geändert oder der Browserspeicher gelöscht wird.
- Onboarding-Speicher
- Speichert vorübergehend im Session Storage, ob direkt ein Kurs angelegt werden soll; endet beim Schließen des Tabs oder nach Ausführung.
Der Zugriff auf die für Anmeldung, Sitzung und Einstellungen erforderlichen Informationen ist nach § 25 Abs. 2 Nr. 2 TDDDG erforderlich, um den von Ihnen ausdrücklich gewünschten Dienst bereitzustellen. Vor dem Einsatz optionaler Technologien holen wir eine Einwilligung ein und aktualisieren diese Erklärung.
08Speicherdauer und Löschung
Kontodaten speichern wir für die Dauer des Vertrags. Nach ordentlicher Vertragsbeendigung ohne Anbieterwechsel stellen wir Daten grundsätzlich noch 30 Tage zum Export bereit. Bei einem Anbieterwechsel beginnt der Abrufzeitraum von mindestens 30 Kalendertagen erst nach Ablauf des vereinbarten Übergangszeitraums. Ein vereinbarter längerer Abrufzeitraum und weitergehende Bereitstellungsrechte bleiben bestehen. Erst nach Ablauf der maßgeblichen Bereitstellungsfrist und, bei einem Anbieterwechsel, nach dessen erfolgreichem Abschluss löschen wir die Daten aus aktiven Systemen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Sicherungskopien werden im Rahmen des turnusmäßigen Überschreibens gelöscht. Gesetzlich aufbewahrungspflichtige Abrechnungs- und Geschäftsdaten können bis zum Ende der jeweils geltenden handels- oder steuerrechtlichen Frist gesperrt aufbewahrt werden. Sitzungseinträge enden mit ihrem Ablauf oder werden bei Abmeldung bzw. Kontolöschung entfernt.
Davon zu unterscheiden ist eine ausdrücklich bestätigte Konto- oder Arbeitsbereichslöschung über die jeweilige Schaltfläche. Die Kontolöschung entfernt die persönliche Anmeldung und die zugehörigen Sitzungen. Die Arbeitsbereichslöschung beendet den Mitgliederzugriff und den öffentlichen Zugang sofort. Benötigte Datenkopien und Exporte sind vorher herunterzuladen; danach steht der jeweilige Zugang nicht mehr zur Verfügung. Gesetzliche und vertragliche Rechte auf Datenübertragung und Bereitstellung bleiben unberührt.
09Ihre Rechte
Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf:
- Auskunft (Art. 15 DSGVO),
- Berichtigung (Art. 16 DSGVO),
- Löschung (Art. 17 DSGVO),
- Einschränkung der Verarbeitung (Art. 18 DSGVO),
- Datenübertragbarkeit (Art. 20 DSGVO) und
- Widerspruch gegen Verarbeitungen nach Art. 6 Abs. 1 lit. e oder f DSGVO (Art. 21 DSGVO).
Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Zur Ausübung Ihrer Rechte genügt eine Nachricht an datenschutz@kursnaut.de. Wir können Informationen anfordern, die zur sicheren Identitätsprüfung erforderlich sind.
10Beschwerderecht und automatisierte Entscheidungen
Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart, poststelle@lfdi.bwl.de.
Eine ausschließlich automatisierte Entscheidungsfindung mit rechtlicher oder ähnlich erheblicher Wirkung sowie Profiling finden bei Kursnaut nicht statt.
11Sicherheit und Änderungen
Wir setzen angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO ein und passen sie an Risiko und Stand der Technik an. Dazu gehören insbesondere Transportverschlüsselung, Zugriffsbeschränkungen, sichere Passwortverarbeitung, Protokollierung sicherheitsrelevanter Vorgänge und Verfahren zur Wiederherstellung.
Wir aktualisieren diese Erklärung, wenn sich Verarbeitung, Dienstleister oder Rechtslage wesentlich ändern. Die aktuelle Fassung ist stets auf dieser Seite abrufbar.
