Datenschutzerklärung für die Webseite qualifikat.de

Stand: 2026-09-19 · Entwurf, juristisch zu prüfen

Diese Erklärung gilt für die Produktwebseite qualifikat.de — also für den Besuch der Webseite, das Kontaktformular, die Registrierung einer Organisation, die Anmeldung über die Webseite, die öffentliche Prüfung von Bescheinigungen und die Buchung eines Tarifs. Sie gilt außerdem für Supportanfragen und Feedback, die Sie aus dem Dienst heraus an uns richten.

Für die Daten, die eine Organisation im Dienst über ihre Beschäftigten und Mitglieder verarbeitet, ist diese Organisation verantwortlich; wir verarbeiten sie in ihrem Auftrag. Dafür gelten die Datenschutzhinweise zum Dienst und die Informationen Ihrer Organisation.

1. Verantwortlicher

Marc-Philipp Woge Qualifikat Alsterdorfer Str. 389c 22297 Hamburg Deutschland

E-Mail: info@qualifikat.de Telefon: +49 (0) 40 52476248-0

Ein Datenschutzbeauftragter ist ⟨nicht benannt, weil die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG nicht vorliegen⟩. Für Fragen zum Datenschutz erreichen Sie uns unter der oben genannten Adresse.

2. Das Wichtigste in Kürze

- Die Webseite setzt keine Cookies und verwendet keine Analyse-, Tracking- oder Werbewerkzeuge. Es werden keine Schriften, Skripte oder Inhalte von fremden Servern nachgeladen. - Der Webserver führt keine Zugriffsprotokolle mit IP-Adressen. - Die Webseite läuft auf unserem eigenen Server in einem Rechenzentrum in Deutschland. Die Verbindung ist verschlüsselt und endet auf diesem Server; kein vorgeschalteter Dienst liest mit. - Nachrichten aus dem Kontaktformular werden nicht in einer Datenbank gespeichert, sondern per E-Mail an uns weitergeleitet. - Ihr Passwort erreicht den Server der Webseite nie, auch wenn Sie sich über die Webseite anmelden.

3. Hosting und Bereitstellung der Webseite

(1) Die Webseite, der Dienst und alle zugehörigen Datenbanken laufen auf einem virtuellen Server der netcup GmbH, ⟨Daimlerstraße 25, 76185 Karlsruhe⟩, im Rechenzentrum in Nürnberg. Mit netcup besteht ein Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO ⟨vom Datum⟩.

(2) Beim Aufruf der Webseite verarbeitet der Server zwangsläufig Ihre IP-Adresse, die aufgerufene Adresse, Datum und Uhrzeit sowie die technischen Angaben, die Ihr Browser mit jeder Anfrage sendet. Das ist nötig, um die Seite auszuliefern. Diese Angaben werden nicht in Zugriffsprotokollen gespeichert: Der Webserver (Caddy) ist so eingerichtet, dass er keine Zugriffe protokolliert.

(3) Fehler- und Betriebsprotokolle. Tritt bei einer Anfrage an die Schnittstelle ein Fehler auf, protokolliert die Anwendung Zeitpunkt, Anfragemethode, aufgerufenen Pfad einschließlich etwaiger Abfrageparameter, Statuscode und eine zufällige Vorgangskennung — nicht aber Ihre IP-Adresse. Diese Protokolle dienen der Fehlersuche und werden nach ⟨14 Tagen⟩ gelöscht.

(4) Schutz vor Missbrauch. Um Überlastung und automatisierte Angriffe abzuwehren, zählt der Server Anfragen je IP-Adresse in einem kurzen Zeitfenster (höchstens zehn Minuten). Dieser Zähler liegt nur im Arbeitsspeicher und verfällt mit dem Zeitfenster.

(5) Namensauflösung. Die Namensauflösung (DNS) für qualifikat.de betreibt die Cloudflare, Inc. Cloudflare leitet den Datenverkehr der Webseite nicht weiter und erhält keine Inhalte. Bei der Namensauflösung erhält Cloudflare in der Regel nur die Anfrage des DNS-Resolvers Ihres Internetanbieters. Die Zertifikate für die verschlüsselte Verbindung stellt Let's Encrypt aus; dabei werden keine Daten der Besucherinnen und Besucher übermittelt.

(6) Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der sicheren und stabilen Bereitstellung der Webseite.

4. Cookies und Speicher im Browser

(1) Die Webseite setzt keine Cookies. Auch die Sprache wird nicht in einem Cookie gespeichert, sondern steht in der Adresse (`/de`, `/en`).

(2) Organisation merken. Auf der Anmeldeseite der Webseite können Sie ein Kästchen „Organisation merken“ ankreuzen. Nur dann speichert Ihr Browser den Kurznamen Ihrer Organisation im lokalen Speicher (`localStorage`, Schlüssel `qualifikat.organisation`), damit die nächste Anmeldung beim Benutzerfeld beginnt. Der Eintrag verlässt Ihr Gerät nicht von selbst. Entfernen Sie das Häkchen bei der nächsten Anmeldung, wird er gelöscht; Sie können ihn auch über die Einstellungen Ihres Browsers löschen. Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), die Sie mit dem Ankreuzen erteilen und mit dem Entfernen des Häkchens widerrufen.

(3) Sitzungscookie nach der Anmeldung. Melden Sie sich an, setzt die Adresse Ihrer Organisation (z. B. `ihre-organisation.qualifikat.de`) ein Sitzungscookie (`qf_session`). Es enthält nur eine zufällige Kennung; die Sitzung selbst liegt auf dem Server, dort nur als Hash der Kennung. Das Cookie ist für Skripte nicht lesbar (`HttpOnly`), wird nur verschlüsselt übertragen (`Secure`) und nicht an fremde Seiten mitgesendet (`SameSite=Lax`). Es verfällt nach acht Stunden ohne Aktivität, die Sitzung spätestens nach 24 Stunden, und wird beim Abmelden gelöscht. Es ist für die Anmeldung technisch unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG; Art. 6 Abs. 1 lit. b bzw. f DSGVO).

(4) Ein Einwilligungsbanner zeigen wir nicht, weil wir nichts speichern, das über Absatz 2 und 3 hinausgeht.

5. Kontaktformular

(1) Wenn Sie uns über das Kontaktformular schreiben, verarbeiten wir Name, E-Mail-Adresse, Nachricht sowie, wenn Sie sie angeben, Organisation und Telefonnummer, dazu den Zeitpunkt des Eingangs.

(2) Die Angaben werden nicht in einer Datenbank gespeichert. Die Anwendung übergibt sie an einen Hintergrundauftrag, der daraus eine E-Mail an unsere Kontaktadresse erstellt und Ihre Adresse als Antwortadresse einträgt. In der Warteschlange dieses Auftrags liegen die Angaben bis zu einer Stunde nach dem Versand; schlägt der Versand fehl, bis zu sieben Tage, damit wir den Fehler beheben können. Danach werden sie dort automatisch entfernt.

(3) Die E-Mail bearbeiten wir in unserem Postfach bei ⟨Anbieter des Postfachs für info@qualifikat.de, Sitz⟩. Wir löschen Anfragen, wenn sie erledigt sind und keine gesetzliche Aufbewahrungspflicht (etwa für Geschäftsbriefe nach § 257 HGB, § 147 AO) entgegensteht.

(4) Die E-Mail wird über ⟨Anbieter, Sitz⟩ versandt, der als Auftragsverarbeiter nach Art. 28 DSGVO für uns tätig ist.

(5) Um automatisierte Einsendungen abzuwehren, enthält das Formular ein für Menschen unsichtbares Feld und misst, wie lange es geöffnet war. Je IP-Adresse werden höchstens fünf Nachrichten in zehn Minuten angenommen (siehe Ziffer 3 Abs. 4). Diese Angaben werden nicht gespeichert.

(6) Das Absenden setzt voraus, dass Sie der Verwendung Ihrer Angaben zur Beantwortung zustimmen. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); zielt Ihre Anfrage auf einen Vertrag, zusätzlich Art. 6 Abs. 1 lit. b DSGVO. ⟨Kanzlei: Ob lit. f — berechtigtes Interesse an der Beantwortung — als Grundlage vorzuziehen ist, bitte prüfen.⟩ Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, etwa per E-Mail.

6. Registrierung einer Organisation

(1) Wer eine Organisation registriert, gibt Name der Organisation, gewünschten Kurznamen, Name der Ansprechperson und E-Mail-Adresse an und stimmt den Nutzungs- und Lizenzbedingungen und dem Auftragsverarbeitungsvertrag zu. Wir speichern diese Angaben mit den Fassungen der Texte, denen zugestimmt wurde, der IP-Adresse, der Browserkennung und der Sprache als Registrierungsanfrage. An die angegebene Adresse senden wir einen Bestätigungslink; der Link selbst wird nur als Hash gespeichert und gilt 48 Stunden.

(2) Der Kurzname wird während der Eingabe darauf geprüft, ob er noch frei ist, weil er zur öffentlichen Adresse der Organisation wird. Ob eine E-Mail-Adresse bereits bekannt ist, erfährt niemand: Die Antwort auf das Formular ist immer dieselbe.

(3) Nach der Bestätigung wird die Organisation eingerichtet: mit einem Administratorkonto ohne Passwort und einem zweiten Link, mit dem die Ansprechperson ihr Passwort selbst wählt. Die Zustimmungen werden dabei als Nachweis mit Fassung, Zeitpunkt, IP-Adresse, Browserkennung und zustimmender Person festgehalten. Dieser Nachweis ist unveränderlich und wird erst mit der Organisation gelöscht.

(4) Speicherdauer der Registrierungsanfrage: Eine nicht bestätigte Anfrage wird 30 Tage nach Ablauf des Bestätigungslinks gelöscht, eine abgeschlossene 180 Tage nach Abschluss. Danach ist die Organisation selbst der Nachweis ihrer Entstehung.

(5) Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung und Durchführung des Vertrags) und, für IP-Adresse und Browserkennung als Nachweis der Zustimmung, Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, den Vertragsschluss beweisen zu können.

(6) Die Registrierung ist durch dieselben Maßnahmen wie das Kontaktformular gegen automatisierte Einsendungen geschützt (verstecktes Feld, Mindestdauer, höchstens fünf Anfragen je Adresse in zehn Minuten).

7. Anmeldung über die Webseite

(1) Auf der Webseite können Sie sich mit Organisation, Benutzer und Passwort anmelden. An den Server der Webseite wird nur der Name der Organisation übermittelt; er ermittelt daraus die Adresse, unter der Ihre Organisation den Dienst nutzt, und speichert ihn nicht — nur wenn es keine Organisation dieses Namens gibt, erscheint der eingegebene Name als Teil des aufgerufenen Pfads im Fehlerprotokoll (Ziffer 3 Abs. 3). Benutzer und Passwort sendet Ihr Browser anschließend unmittelbar an diese Adresse. Die Felder erhalten erst dann einen Namen, wenn das Ziel feststeht; ein Browser ohne JavaScript sendet das Passwort deshalb gar nicht erst ab.

(2) Mit der Anmeldung nutzen Sie den Dienst Ihrer Organisation. Welche Daten dort verarbeitet werden — etwa Zeitpunkt und IP-Adresse der Anmeldung im Änderungsprotokoll —, beschreiben die Datenschutzhinweise zum Dienst; verantwortlich ist Ihre Organisation.

(3) Rechtsgrundlage für die Ermittlung der Adresse ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, die Anmeldung zu ermöglichen, ohne dass Passwörter über die Webseite laufen.

8. Öffentliche Prüfung von Bescheinigungen

Unter der Adresse, die als QR-Code auf einer Bescheinigung steht, kann jeder ohne Anmeldung prüfen, ob die Bescheinigung echt und gültig ist. Angezeigt werden Qualifikation, Nummer, Ausstellungsdatum, Gültigkeit und gegebenenfalls ein Widerruf; der Name der Inhaberin oder des Inhabers erscheint maskiert (z. B. „M* W*e“), es sei denn, die ausstellende Organisation hat ihn für diese Bescheinigung ausdrücklich freigegeben. Wir protokollieren nicht, wer welche Bescheinigung prüft. Die angezeigten Angaben verarbeiten wir im Auftrag der ausstellenden Organisation; sie ist dafür verantwortlich.

9. Buchung und Bezahlung (Stripe)

(1) Organisationen buchen und bezahlen ihren Tarif über den Zahlungsdienstleister Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Die Buchung beginnt im Dienst; für die Eingabe von Zahlungsdaten werden Sie auf eine Seite von Stripe weitergeleitet. Karten- und Kontodaten erreichen unsere Server nie. Stripe erstellt und versendet auch die Rechnungen, einschließlich Rechnungen zur Zahlung per Überweisung.

(2) An Stripe übermitteln wir die Kennung der Organisation, den gebuchten Tarif und, soweit für die Rechnung erforderlich, Name, E-Mail-Adresse und Anschrift der Rechnungsempfängerin. Von Stripe erhalten wir den Stand des Abonnements sowie Nummer, Betrag, Status und Links der Rechnungen. Benachrichtigungen von Stripe speichern wir nur mit ihren Kennungen, nicht mit ihrem Inhalt.

(3) Stripe verarbeitet die Zahlungsdaten als eigener Verantwortlicher, insbesondere zur Betrugsprävention und zur Erfüllung eigener gesetzlicher Pflichten. Dabei können Daten an die Stripe, Inc. in den USA übermittelt werden; diese ist unter dem EU-US Data Privacy Framework zertifiziert ⟨bitte bei Veröffentlichung prüfen⟩. Näheres: https://stripe.com/de/privacy.

(4) Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Aufbewahrungspflichten, bis zu zehn Jahre).

10. Supportanfragen und Feedback aus dem Dienst

(1) Supportanfragen, die Sie im Dienst absenden, erreichen uns als E-Mail mit Kategorie, Betreff, Nachricht, der Seite, auf der Sie waren, Ihrer Organisation, Ihrem Namen, Ihrer E-Mail-Adresse, ob Sie Administrator sind, und der Kennung Ihres Browsers. Sie werden wie Nachrichten aus dem Kontaktformular behandelt (Ziffer 5 Abs. 2 bis 4) und nicht in der Datenbank gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO gegenüber Ihrer Organisation bzw. Art. 6 Abs. 1 lit. f DSGVO (Beantwortung Ihrer Anfrage).

(2) Feedback. Der Dienst fragt gelegentlich nach Ihrer Meinung. Eine Antwort ist freiwillig; „nicht jetzt“ genügt. Gespeichert werden Bewertung, Ihre Texte, die Seite, ob Sie Administrator sind, die Organisation und das Datum (ohne Uhrzeit) — nicht, wer Sie sind. Ihr Name und Ihre E-Mail-Adresse werden nur gespeichert, wenn Sie ausdrücklich um Rückmeldung bitten. Die Antworten lesen nur wir; Ihre Organisation kann sie nicht einsehen. Wir nutzen sie, um den Dienst zu verbessern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, bei der Bitte um Rückmeldung Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Gespeichertes Feedback löschen wir nach ⟨zwei Jahren; eine automatische Löschung ist noch nicht umgesetzt⟩.

11. Empfänger

Ihre Daten erhalten nur die in dieser Erklärung genannten Dienstleister (netcup, gegebenenfalls der E-Mail-Dienstleister, der Anbieter unseres Postfachs, Stripe) und, verschlüsselt, der Anbieter des Speichers für unsere nächtlichen Sicherungen, ⟨Anbieter, Sitz⟩, der die Inhalte nicht entschlüsseln kann. Eine Liste aller Unterauftragsverarbeiter steht im Dokument Unterauftragsverarbeiter. Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter.

12. Übermittlung in Drittländer

Mit Ausnahme der in Ziffer 9 Abs. 3 genannten Übermittlung durch Stripe findet keine Übermittlung in Länder außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums statt.

13. Ihre Rechte

Sie haben das Recht auf

- Auskunft über die zu Ihnen gespeicherten Daten (Art. 15 DSGVO), - Berichtigung unrichtiger Daten (Art. 16 DSGVO), - Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO), - Datenübertragbarkeit (Art. 20 DSGVO), - Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen, aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO), - Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Wenden Sie sich dafür an info@qualifikat.de. Betrifft Ihr Anliegen Daten, die Ihre Organisation im Dienst verarbeitet, leiten wir es an Ihre Organisation weiter oder nennen Ihnen den Ansprechpartner.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist ⟨der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg⟩.

14. Keine automatisierten Entscheidungen

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt.

15. Änderungen

Wir passen diese Erklärung an, wenn sich die Webseite oder die Rechtslage ändert. Es gilt die auf der Webseite veröffentlichte Fassung.