Datenschutzerklärung

Informationen zur Verarbeitung personenbezogener Daten.

Verantwortlicher

MHM Digitale Lösungen UG (haftungsbeschränkt)

Sonderfeld 56
45277 Essen
Deutschland

E-Mail: mail@mhm-dl.de

Telefon: +49 (0) 201-85793213

Vertreten durch: Manuel Engelhardt

Verarbeitete Daten

  • Server-Logdaten (Zeitstempel, aufgerufene URL, User-Agent, Referrer) zur technischen Bereitstellung und Sicherheit. Beim Aufruf verarbeitet der Webserver technisch bedingt Ihre IP-Adresse; Zugriffsprotokolle des Webservers und des vorgeschalteten Ingress-Proxys können sie enthalten. Unsere Kontakt-API schreibt die IP-Adresse nicht in ihre Logs oder Datenbank und hält sie nur flüchtig im Arbeitsspeicher, um Missbrauch des Kontaktformulars zu begrenzen (Rate-Limit). Für den Zähl-Endpunkt der aggregierten Besuchszählung ist das Zugriffsprotokoll unseres Webservers abgeschaltet.
  • Kontaktanfragen (Name, E-Mail, Nachrichteninhalt, optionale Telefonnummer) zur Beantwortung von Anfragen. Enthält die Seite, von der aus Sie das Formular aufrufen, UTM-Parameter (utm_source, utm_medium, utm_campaign) in der URL, übernehmen wir diese automatisch und übermitteln sie zusammen mit Ihrer Anfrage an HubSpot, um die Anfrage der richtigen Kampagne bzw. Quelle zuordnen zu können; ohne solche Parameter in der URL entfällt diese zusätzliche Angabe.
  • Anfragen zum Self-Train-Kurs (Vorname, Nachname, E-Mail, Firma, Rechnungsadresse, optional USt-IdNr., optionale Anmerkung sowie die Bestätigung, als Unternehmer im Sinne von § 14 BGB anzufragen) zur Erstellung eines Angebots, zur Vertragsabwicklung und zur Rechnungsstellung.
  • Pseudonyme Nutzungsdaten für Analytics (Google Analytics 4, inkl. Client-ID), sofern Sie zugestimmt haben (Seitenaufrufe, Referrer, technische Merkmale, sowie bei erfolgreicher Kontaktformular-Absendung ein Conversion-Ereignis mit der gewählten Dienstleistungskategorie). Bei erteilter Einwilligung erfassen wir auf dieselbe Weise außerdem Ereignisse zur Anlage eines kostenlosen Basic-Kontos, zum Aufruf der Kursseite eines Kurses mit kostenlos zugänglichem erstem Kapitel, zum Start und zum Ende des kostenlosen ersten Kapitels eines Kurses, zum Klick auf den Haupt-Button innerhalb dieses Kapitels (der je nach Ihrem Mitgliedschaftsstatus zum Abo-Angebot oder zum nächsten Kapitel führt) sowie zum Klick auf den Buchungs-Button für das Flat-Abo. Schließen Sie bei erteilter Einwilligung ein Abo ab, übermittelt unser Server direkt nach erfolgreichem Zahlungsabschluss zusätzlich ein eigenes Mess-Ereignis an Google Analytics 4 (ausgelöst serverseitig, nicht durch Ihren Browser), verknüpft über die in Ihrem Analytics-Cookie `_ga` enthaltene Client-ID; diese Client-ID übermitteln wir dafür zusätzlich an unseren Zahlungsdienstleister Stripe (siehe Abschnitt „Empfänger“). Wird das Google-Analytics-Skript in Ihrem Browser nicht geladen (z. B. durch einen Werbeblocker), sendet Ihr Browser bei erteilter Einwilligung stattdessen dieselbe Art von Seitenaufruf-Daten an unseren Server, der sie an Google Analytics weiterleitet (siehe Abschnitt „Cookies & Consent“).
  • Account-, Login- und Mitgliedschaftsdaten im Mitgliederbereich (E-Mail-Adresse, Passwort als Hash-Wert) sowie der Session-Cookie academy_session zur Anmeldung. Zusätzlich speichern wir den Mitgliedschaftsstatus Ihres Accounts, einschließlich des Datums, zu dem die aktuelle Abrechnungsperiode endet (current_period_end). Diese Daten legen wir bereits bei der Registrierung an, unabhängig davon, ob Sie das Flat-Abo buchen: Ohne gebuchtes Abo bleibt Ihr Mitgliedschaftsstatus „inactive“ (Basic-Konto); Zahlungsdaten erheben wir dafür nicht.
  • Fragen an den KI-Tutor im Mitgliederbereich verarbeiten wir ausschließlich live zur Beantwortung aus den Kursunterlagen; der Fragetext selbst wird nicht in einer Datenbank gespeichert. Dafür übermitteln wir deine Frage sowie den dazu gefundenen Ausschnitt der Kursunterlagen pro Anfrage live an unseren Auftragsverarbeiter Anthropic PBC (USA), der daraus die Antwort erzeugt (siehe Abschnitt „Empfänger“). Für Mitglieder mit aktivem Abo speichern wir zur Einhaltung des monatlichen Nutzungskontingents lediglich einen Zähler je Kalendermonat (Anzahl der gestellten Fragen, verknüpft mit deiner Mitglieder-Kennung), ohne den Fragetext selbst.

Die mit * gekennzeichneten Felder in unseren Anfrageformularen sind Pflichtangaben. Ohne diese Angaben können wir Ihre Anfrage nicht bearbeiten und Ihnen kein Angebot erstellen. Alle übrigen Angaben sind freiwillig.

Zwecke und Rechtsgrundlagen

  • Bereitstellung der Website und IT-Sicherheit (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO).
  • Bearbeitung von Kontaktanfragen (Vertrag/Anbahnung, Art. 6 Abs. 1 lit. b DSGVO).
  • Bearbeitung von Anfragen zum Self-Train-Kurs, also Angebot, Vertragsabwicklung und Rechnungsstellung (Vertrag/Anbahnung, Art. 6 Abs. 1 lit. b DSGVO). Soweit Rechnungsdaten aufbewahrt werden müssen, beruht die Speicherung auf einer rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO).
  • Reichweitenmessung und Verbesserung unseres Angebots durch Analytics-Tracking mit personenbezogenem bzw. pseudonymem Bezug (Google Analytics 4, inkl. Client-ID) nur mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Für das Speichern und Auslesen von Informationen auf Ihrem Endgerät für diese Analyse (die Cookies _ga und _ga_<Container-ID> sowie der Local-Storage-Eintrag cc_ga_client, siehe Abschnitt „Cookies & Consent“) holen wir zusätzlich Ihre Einwilligung nach § 25 Abs. 1 TDDDG ein. Ohne Einwilligung findet dieses Tracking nicht statt.
  • Das Speichern Ihrer Einwilligungsentscheidung im Local-Storage-Eintrag cc_consent ist für die Einwilligungsverwaltung technisch erforderlich. Rechtsgrundlage für den Zugriff auf Ihr Endgerät ist insoweit § 25 Abs. 2 Nr. 2 TDDDG; eine Einwilligung wird dafür nicht eingeholt.
  • Die aggregierte, anonyme Besuchszählung (siehe Abschnitt „Aggregierte Besuchszählung ohne Einwilligung“) speichert nur Pfad, Kalendertag und einen Zähler. Es wird weder eine IP-Adresse noch eine sonstige Kennung gespeichert, und die gespeicherten Zählwerte haben keinen Bezug zu einer Person. Für diese Zählwerte ist daher keine Rechtsgrundlage nach Art. 6 DSGVO einschlägig; die Zählung erfolgt unabhängig von Ihrer Consent-Entscheidung. Die technisch bedingte Verarbeitung der IP-Adresse beim Aufruf (siehe Server-Logdaten) bleibt davon unberührt und beruht auf Art. 6 Abs. 1 lit. f DSGVO.
  • Einrichtung und Verwaltung Ihres Accounts, Anmeldung und Verwaltung Ihrer Mitgliedschaft im Mitgliederbereich, einschließlich der Abwicklung des Flat-Abos (Vertrag, Art. 6 Abs. 1 lit. b DSGVO). Das umfasst auch den kostenlosen Account ohne Abo (Mitgliedschaftsstatus „inactive“, Basic-Konto): Allein mit der Registrierung, ohne Buchung des Flat-Abos und ohne Erhebung von Zahlungsdaten, schalten wir Ihnen das erste Kapitel eines teilnehmenden Kurses kostenlos frei; Rechtsgrundlage ist ebenfalls Art. 6 Abs. 1 lit. b DSGVO (Vertrag über die Nutzung dieses kostenlosen Basisumfangs). Weitere Kapitel bleiben Mitgliedern mit aktivem Abo vorbehalten.
  • Das Speichern und Auslesen des Session-Cookies academy_session ist für die Anmeldung am Mitgliederbereich technisch erforderlich. Rechtsgrundlage für den Zugriff auf Ihr Endgerät ist insoweit § 25 Abs. 2 Nr. 2 TDDDG; eine Einwilligung wird dafür nicht eingeholt.
  • Beantwortung deiner Fragen zu den Kursunterlagen durch den KI-Tutor im Mitgliederbereich sowie Führung des monatlichen Nutzungszählers zur Einhaltung des im Flat-Abo enthaltenen Kontingents (Vertrag, Art. 6 Abs. 1 lit. b DSGVO). Die dafür erforderliche Übermittlung deiner Frage und des gefundenen Kursunterlagen-Ausschnitts an Anthropic PBC (siehe Abschnitt „Empfänger“) ist von derselben Rechtsgrundlage gedeckt, da der KI-Tutor Teil des gebuchten Abos ist.

Empfänger

Dienstleister für Hosting/Cloud und, bei erteilter Einwilligung, Google Ireland Limited (Analytics). Übermittlungen in Drittländer erfolgen, soweit nicht anders angegeben, auf Basis von Standardvertragsklauseln.

Bei Google Analytics kann eine Übermittlung von Daten an Google LLC in den USA stattfinden. Nach Angaben von Google stützt sich Google für die Übermittlung von Daten aus dem EWR in die USA auf das EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission) und greift für bestimmte Übermittlungen auf Standardvertragsklauseln zurück.

Angaben aus Anfragen über das Kontaktformular, darunter Anfragen zum Self-Train-Kurs, übertragen wir an unser CRM-System HubSpot, das wir für die Bearbeitung von Anfragen einsetzen. Soweit es für Angebot, Rechnung und Zahlungsabwicklung erforderlich ist, können außerdem Dienstleister für den E-Mail-Versand, Buchhaltungs- bzw. Steuerberatungsdienstleister und Kreditinstitute Empfänger sein. Soweit HubSpot Daten in die USA übermittelt, stützt sich HubSpot nach seinem Auftragsverarbeitungsvertrag auf das EU-US Data Privacy Framework und ergänzend auf Standardvertragsklauseln der EU-Kommission.

Für die Zahlungsabwicklung im Mitgliederbereich setzen wir Stripe Payments Europe, Ltd. (Irland) als Auftragsverarbeiter ein (Art. 28 DSGVO). Dafür übermitteln wir im Rahmen des Bestellvorgangs die hierfür erforderlichen Daten (u. a. E-Mail-Adresse und Zahlungsbetrag) an Stripe; die eigentlichen Zahlungsdaten (z. B. Karten- oder Kontodaten) geben Sie direkt bei Stripe ein und werden von uns nicht gespeichert. Bei erteilter Analytics-Einwilligung übermitteln wir zusätzlich Ihre Google-Analytics-Client-ID sowie, sofern in Ihrem Link enthalten, die Kampagnenparameter (Quelle, Medium, Kampagnenname) als zusätzliche Angaben zur Buchung an Stripe; diese Kennungen dienen ausschließlich der Zuordnung des serverseitigen Mess-Ereignisses zu Google Analytics 4 (siehe Abschnitt „Verarbeitete Daten“) und enthalten weder Zahlungsdaten noch Ihren Namen oder Ihre E-Mail-Adresse.

Für den KI-Tutor im Mitgliederbereich setzen wir Anthropic PBC (USA) als Auftragsverarbeiter ein (Art. 28 DSGVO). Dafür übermitteln wir pro Frage live deinen Fragetext und den dazu gefundenen Ausschnitt der Kursunterlagen an Anthropic, das daraus die Antwort erzeugt; ein eigenes Nutzerkonto oder eine eigene Datenablage bei Anthropic richten wir dafür nicht ein. Die Übermittlung in die USA stützt sich auf Standardvertragsklauseln der EU-Kommission gemäß Anthropics Auftragsverarbeitungsvertrag.

Speicherdauer

Anfragen über das Kontaktformular und Anfragen zum Self-Train-Kurs, aus denen kein Vertrag zustande kommt, löschen wir im Rahmen einer vierteljährlichen Durchsicht manuell aus HubSpot, sobald seit der letzten Kommunikation mehr als sechs Monate vergangen sind. Kommt es zu einem Vertrag, gelten die gesetzlichen Aufbewahrungsfristen: Rechnungen und Buchungsbelege bewahren wir acht Jahre auf (§ 14b Abs. 1 UStG, § 147 Abs. 3 AO, § 257 Abs. 4 HGB), Handels- und Geschäftsbriefe sechs Jahre (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB). Die Frist beginnt jeweils mit dem Schluss des Kalenderjahres, in dem die Unterlage entstanden ist. Server- und Zugriffsprotokolle bewahren wir höchstens 30 Tage auf, danach werden sie automatisiert gelöscht. Ereignisdaten werden in Google Analytics für die dort eingestellte Dauer gespeichert, höchstens 14 Monate (Höchstwert für Standard-Properties nach Angaben von Google); die Laufzeit der Analytics-Cookies steht im Abschnitt „Cookies & Consent“. Die Zählwerte der aggregierten, anonymen Besuchszählung (Pfad und Kalendertag) werden fortlaufend geführt; eine feste Löschfrist ist dafür derzeit nicht eingerichtet, da es sich um keine personenbezogenen Daten handelt.

Account-, Session- und Mitgliedschaftsdaten sowie der Tutor-Nutzungszähler (tutor_usage) löschen wir drei Jahre nach der endgültigen Beendigung bzw. Kündigung eines zuvor gebuchten Flat-Abos; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit § 195 BGB (Verjährungsfrist für Ansprüche aus dem Vertragsverhältnis). Haben Sie nie ein Abo gebucht und nutzen dauerhaft nur das kostenlose Basic-Konto (Status inactive von der Registrierung an, ohne je gebuchtes Abo), löschen wir Ihre Daten nicht allein wegen dieses Status: Der kostenlose Zugang zum ersten Kapitel ist bewusst als dauerhaftes Angebot angelegt; eine Löschung erfolgt dort erst auf Ihr Verlangen (siehe Abschnitt „Ihre Rechte“) oder wenn Sie Ihren Account selbst kündigen. Der Session-Cookie academy_session läuft davon unabhängig automatisiert ab, sobald seine technisch festgelegte Gültigkeitsdauer (derzeit standardmäßig 30 Tage) erreicht ist. Den Fragetext an den KI-Tutor selbst speichern wir zu keinem Zeitpunkt dauerhaft; er wird ausschließlich live verarbeitet und nach Erzeugung der Antwort bei uns nicht abgelegt, auch nicht in tutor_usage (dort steht nur der Zähler, siehe Abschnitt „Verarbeitete Daten“). Bei Anthropic als unserem Auftragsverarbeiter für den KI-Tutor (siehe Abschnitt „Empfänger“) richtet sich die Aufbewahrung des Fragetexts und des übermittelten Kursunterlagen-Ausschnitts nach dessen eigenen, vertraglich vereinbarten Fristen; eine eigene Speicherung dieser Inhalte findet bei uns daran anschließend nicht statt.

Cookies & Consent

Analytics-Cookies werden nur gesetzt, wenn Sie im Banner zustimmen. Wir setzen folgende Cookies bzw. Browser-Speicher-Einträge (Local Storage) ein:

  • _ga und _ga_<Container-ID> (Google Analytics, nur nach Einwilligung): Laufzeit bis zu 2 Jahre.
  • cc_consent (Local Storage): speichert Ihre Entscheidung (Akzeptieren oder Ablehnen). Der Eintrag wird beim Klick auf eine der beiden Schaltflächen im Banner angelegt und bleibt bestehen, bis Sie ihn über „Cookie-Einstellungen“ zurücksetzen oder selbst löschen.
  • cc_ga_client (Local Storage, nur nach Einwilligung): zufällige Client-Kennung für Analytics.

Nach Angabe von Google werden in Google Analytics 4 IP-Adressen nicht protokolliert oder gespeichert.

Wenn das Google-Analytics-Skript nicht geladen werden kann (z. B. durch einen Werbeblocker) und Sie eingewilligt haben, sendet Ihr Browser Client-Kennung, aufgerufenen Pfad und URL, Seitentitel, Referrer, User-Agent sowie Bildschirmgröße, Sprache und Plattform an unseren Server. Unser Server leitet davon Client-Kennung, Pfad, Seitentitel, Referrer und User-Agent an Google Analytics weiter; Bildschirmgröße, Sprache und Plattform verwenden wir dabei nicht weiter. Diese Daten speichern wir nicht in unserer eigenen Datenbank. Ihre IP-Adresse leiten wir dabei nicht an Google weiter. Ohne Einwilligung wird dieser Weg nicht genutzt.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, und zwar über den Button „Cookie-Einstellungen“ in der Fußzeile jeder Seite. Dabei werden Ihre gespeicherte Entscheidung (cc_consent), die Client-Kennung (cc_ga_client) und die _ga-Cookies gelöscht, die Messung wird für die aktuelle Seite abgeschaltet, die Seite lädt neu und der Banner erscheint erneut. Bereits an Google Analytics übermittelte Daten sind davon nicht betroffen; deren Löschung können Sie per E-Mail verlangen. Auch die Auswahl von „Ablehnen“ löscht die Analytics-Cookies. Alternativ können Sie den Widerruf per E-Mail erklären (siehe Abschnitt „Ihre Rechte“).

Eingebundene YouTube-Trainingsvideos

Auf einzelnen Kursseiten binden wir ergänzende Trainingsvideos von YouTube ein. Diese Videos werden nicht automatisch beim Seitenaufruf geladen: Angezeigt wird zunächst nur ein Platzhalter mit Hinweistext und einem Button „Video laden"; vor einem Klick auf diesen Button baut Ihr Browser keine Verbindung zu YouTube oder Google auf. Wir nutzen dafür den datenschutzfreundlichen Modus (youtube-nocookie.com), den Google für reduziertes Tracking vor einer Wiedergabe-Interaktion vorsieht. Erst mit dem Klick verbinden Sie sich mit Servern von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; dabei können, insbesondere nach Start der Wiedergabe, personenbezogene Daten (u. a. Ihre IP-Adresse und Angaben zu Ihrem Endgerät) an Google übermittelt und auch in den USA verarbeitet werden. Auf Art, Umfang und Zweck dieser Verarbeitung durch Google haben wir keinen Einfluss; Einzelheiten dazu finden Sie in den Datenschutzhinweisen von Google (https://policies.google.com/privacy). Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie durch den Klick auf „Video laden" für diesen einzelnen Aufruf erteilen; ohne diesen Klick findet keine Verbindung zu YouTube statt.

Aggregierte Besuchszählung ohne Einwilligung

Wenn Sie der Analytics-Nutzung nicht zugestimmt haben, erfassen wir dennoch eine rein aggregierte Zählgröße: Pro aufgerufenem Pfad, Kalendertag und Ereignis-Art wird ein Zähler um 1 erhöht (z. B. „Seite X wurde an Tag Y so oft aufgerufen“). Erfasste Ereignis-Arten sind reine Seitenaufrufe sowie, nach demselben Muster und mit denselben Datenfeldern, bestimmte Klick-Ereignisse auf einzelnen Seiten (z. B. Klick auf einen Kontakt-/Interessens-Button), jeweils unabhängig von Ihrer Consent-Entscheidung. Gespeichert werden dabei nur Pfad, Kalendertag, Ereignis-Art und Zähler, keine IP-Adresse, kein User-Agent, kein Referrer und keine sonstige Kennung (z. B. eine Client-ID). Aus den gespeicherten Zählwerten ist ein Rückschluss auf einzelne Besucher oder Personen nicht möglich. Das Zugriffsprotokoll unseres Webservers ist für diesen Zähl-Endpunkt abgeschaltet; die technisch bedingte Verarbeitung der IP-Adresse beim Verbindungsaufbau (siehe „Verarbeitete Daten“) bleibt davon unberührt. Eine Übermittlung dieser Zählwerte an Google Analytics oder andere Dritte findet nicht statt.

Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einlegen (Art. 21 DSGVO). Eine erteilte Einwilligung können Sie jederzeit widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt. Wenden Sie sich dazu an mail@mhm-dl.de.

Sie haben zudem das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO). Sie können sich insbesondere an die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen wenden: Postfach 20 04 44, 40102 Düsseldorf, www.ldi.nrw.de.