Stand: 12. August 2026
1. Wer verantwortlich ist
Georgios Sidiropoulos, 28Solutions, Harbigstraße 3, 71032 Böblingen. E-Mail: info@28solutions.ai. An diese Adresse richten Sie auch alle Anfragen zum Datenschutz, eine formlose E-Mail genügt.
2. Kurz gesagt
Diese Plattform setzt kein Analyse-Werkzeug ein, bindet keine fremden Inhalte ein und lädt keine Schriften oder Skripte von Dritten. Es gibt genau ein Cookie, das für Ihre Anmeldung. Die Plattform läuft auf einem Server in Deutschland. Die verschlüsselten Sicherungskopien liegen zusätzlich bei einem Dienstleister innerhalb der Europäischen Union. Wir verkaufen keine Daten. Weiter geben wir sie nur an die Dienstleister, die für uns den Betrieb erbringen (Punkt 11), und beim Kauf eines Kurses an den Zahlungsdienstleister, der die Bezahlung abwickelt.
3. Welche Daten wir speichern und warum
Ihr Konto: Name, E-Mail-Adresse und ein Passwort-Hash. Das Passwort selbst können auch wir nicht lesen. Dazu die Laufzeit Ihres Kurszugangs, der Zeitpunkt Ihrer letzten Anmeldung und ein Zähler für Fehlanmeldungen, der Ihr Konto nach acht Fehlversuchen für 15 Minuten sperrt.
Ihr Lernstand: welche Lektionen Sie geöffnet und abgeschlossen haben, Ihre Quiz-Ergebnisse sowie jeder Versuch der Abschlussprüfung mit den gezogenen Fragen, Ihren Antworten, dem Ergebnis und den Zeitpunkten.
Ihr Zertifikat: Name, Kurs, Ausstellungsdatum und Prüfnummer. Die PDF-Datei liegt zusätzlich auf demselben Server, damit Sie sie jederzeit erneut herunterladen können.
Unser E-Mail-Protokoll: welche System-E-Mail (Zugangslink, neues Passwort, Zertifikat) wann an welche Adresse ging, mit Betreff, Zustellstatus, der Zahl der Zustellversuche, der Annahmebestätigung unseres Postausgangsservers und, falls es scheiterte, der technischen Fehlermeldung. Den Text dieser E-Mails speichern wir nicht. Eine Ausnahme gilt für die Bestätigung Ihrer Bestellung: Von dieser einen E-Mail bewahren wir den vollständigen Text auf, weil sie zugleich Ihre Vertragsbestätigung ist und wir nachweisen können müssen, was darin stand. Wie lange, steht unter „Bestellung und Zahlungsabwicklung". Bei allen anderen System-E-Mails speichern wir den Text nicht; einen darin enthaltenen Zugangslink machen wir vor dem Protokollieren unkenntlich.
Unser Ereignisprotokoll: knappe technische Einträge zu Ihrer Nutzung, zum Beispiel "Anmeldung", "Lektion geöffnet", "Prüfung begonnen", "Zertifikat ausgestellt", jeweils mit Zeitpunkt und Ihrer Nutzerkennung.
Rechtsgrundlage ist die Durchführung des Kursvertrags (Art. 6 Abs. 1 lit. b DSGVO). Hat Ihr Arbeitgeber den Kurs für Sie gebucht, besteht der Vertrag mit ihm; dann stützen wir die Verarbeitung auf unser berechtigtes Interesse, die gebuchte Schulung ordnungsgemäß durchzuführen und nachweisen zu können (Art. 6 Abs. 1 lit. f DSGVO). Ihre Daten haben wir in diesem Fall von Ihrem Arbeitgeber erhalten, und zwar Name und E-Mail-Adresse. Wir sind dabei eigenverantwortlich und handeln nicht im Auftrag Ihres Arbeitgebers: Ihre Prüfungsergebnisse im Einzelnen geben wir ihm nicht weiter.
4. Bestellung und Zahlungsabwicklung
Wenn Sie einen Kurs bei uns kaufen, verarbeiten wir zusätzlich zu den Angaben aus Punkt 3 die Daten Ihrer Bestellung.
Was wir dabei speichern: Ihre Bestellnummer, Ihren Namen, Ihre E-Mail-Adresse, Ihr Land, die freiwilligen Angaben zur Rechnungsanschrift, soweit Sie sie gemacht haben, die Angabe, ob Sie als Verbraucher oder als Unternehmen bestellen, den gekauften Kurs, den Betrag und die Zeitpunkte der einzelnen Schritte. Dazu kommt Ihre Rechnung als PDF-Datei.
Was wir zusätzlich festhalten, und warum das mehr ist als üblich: Wir speichern den Wortlaut der beiden Erklärungen, die Sie vor dem Absenden Ihrer Bestellung angehakt haben, die Zeitpunkte dieser Häkchen, die Fassungen unserer Geschäftsbedingungen und unserer Widerrufsbelehrung, die Ihnen dabei angezeigt wurden, sowie die Beschriftung des Bestellknopfes und den Ihnen angezeigten Preis. Ebenso bewahren wir den vollständigen Text der Bestellbestätigung auf, die Sie von uns bekommen haben. Diese Angaben sind unser Nachweis darüber, was Ihnen beim Kauf tatsächlich angezeigt wurde und worüber wir Sie informiert haben. Sie schützen im Streitfall beide Seiten. Rechtsgrundlage ist unsere rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) sowie die Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO).
Wie die Zahlung abläuft: Für die Bezahlung arbeiten wir mit der Stripe Payments Europe, Limited in Irland zusammen. Sie geben Ihre Zahlungsdaten ausschließlich auf einer Seite ein, die Stripe selbst betreibt. Ihre Kartennummer und Ihre Kartenprüfnummer erreichen unseren Server zu keinem Zeitpunkt und werden von uns nicht gespeichert. Von Stripe erhalten wir zurück, dass und wann Ihre Zahlung erfolgreich war, mit welchem Zahlungsverfahren Sie bezahlt haben, sowie die Kennungen des Vorgangs. Rechtsgrundlage ist die Durchführung des Kaufvertrags (Art. 6 Abs. 1 lit. b DSGVO).
Stripe handelt dabei in zwei verschiedenen Rollen, und das ist für Ihre Rechte wichtig: Soweit Stripe die Zahlung in unserem Auftrag abwickelt, handelt Stripe weisungsgebunden für uns; dafür besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Soweit Stripe eigene Prüfungen zur Betrugsabwehr und zur Erfüllung eigener gesetzlicher Pflichten durchführt, etwa nach dem Geldwäscherecht, entscheidet Stripe darüber selbst und ist dafür eigenständig verantwortlich. Für diesen Teil richten Sie Auskunfts- und Löschwünsche unmittelbar an Stripe; wie Stripe mit Ihren Daten umgeht, steht in der Datenschutzerklärung von Stripe.
Übermittlung in die USA: Stripe übermittelt Daten an die Stripe, LLC in den Vereinigten Staaten. Diese Übermittlung ist durch einen Vertragszusatz abgesichert, der die Standardvertragsklauseln der Europäischen Kommission einbezieht (Art. 46 Abs. 2 lit. c DSGVO); ergänzend stützt sie sich auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO). Eine Kopie dieser Garantien können Sie bei uns anfordern, eine formlose E-Mail genügt.
Was Sie uns nicht geben müssen: Pflicht sind Ihr Name, Ihre E-Mail-Adresse und Ihr Land. Straße, Postleitzahl, Ort und Firma sind freiwillig; ohne sie können wir Ihre Bestellung genauso ausführen, und Ihre Rechnung ist auch ohne sie vollständig. Darüber hinaus fragen wir nichts ab.
Wie lange wir das aufbewahren: Bestelldaten, Rechnungen, die oben genannten Nachweisangaben und den Text der Bestellbestätigung bewahren wir zehn Jahre auf, gerechnet ab dem Ende des Jahres, in dem die Bestellung entstanden ist. Dazu sind wir nach Handels- und Steuerrecht verpflichtet (§ 147 Abgabenordnung, § 257 Handelsgesetzbuch). Diese Aufbewahrung ist von Ihrem Kurskonto getrennt: Wenn wir Ihr Konto und Ihren Lernstand nach Punkt 10 löschen, bleiben die Bestell- und Rechnungsdaten davon unberührt, weil wir sie aufbewahren müssen. Von der Zahlungsmeldung des Zahlungsdienstleisters speichern wir von vornherein nur die Angaben, die wir als Beleg brauchen, und nicht den vollständigen technischen Datensatz. Eine Bestellung, bei der Sie den Bezahlvorgang nie begonnen haben, löschen wir nach 24 Stunden; haben Sie ihn begonnen und nicht abgeschlossen, löschen wir sie nach 30 Tagen, weil eine Zahlung auch verspätet noch eintreffen kann.
Was wir nicht tun: Wir führen keine Bonitätsprüfung durch, wir bewerten Sie nicht automatisiert, und wir treffen keine automatisierte Entscheidung über Sie. Wer bezahlt, bekommt seinen Zugang. Die Betrugsprüfung des Zahlungsdienstleisters ist davon zu unterscheiden; sie führt Stripe in eigener Verantwortung durch.
5. Anmeldung und Cookie
Wenn Sie sich anmelden, setzen wir ein einziges Cookie. Es enthält nur eine verschlüsselte Sitzungskennung, ist für Skripte unlesbar (HttpOnly), wird nur über eine gesicherte Verbindung übertragen (Secure) und nicht an fremde Seiten mitgeschickt (SameSite). Es ist technisch notwendig, damit die Anmeldung funktioniert, und braucht deshalb keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Es läuft spätestens nach 30 Tagen ab, beim Abmelden sofort.
6. Server-Protokolle
Beim Aufruf jeder Seite fallen auf dem ausliefernden Webserver technisch notwendige Protokolldaten an (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung). Sie dienen dem Betrieb und der Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO) und werden spätestens nach 30 Tagen gelöscht. Auf der öffentlichen Seite zur Zertifikatsprüfung merken wir uns Ihre IP-Adresse zusätzlich für höchstens eine Minute im Arbeitsspeicher, damit niemand Prüfnummern automatisiert durchprobieren kann. Gespeichert wird sie dabei nicht.
7. E-Mail-Versand
System-E-Mails (Zugangslink, neues Passwort, Zertifikat) erzeugt die Plattform selbst und übergibt sie unmittelbar an den Postausgangsserver unseres E-Mail-Anbieters, den wir unter Punkt 11 nennen. Die Übergabe ist verschlüsselt, ein weiterer Dienst ist dazwischen nicht beteiligt. Übertragen werden dabei Ihr Name, Ihre E-Mail-Adresse und der Text der Nachricht, beim Zertifikat auch die PDF-Datei. Nimmt der Postausgangsserver die Nachricht nicht an, versucht die Plattform es erneut und vermerkt den Verlauf in dem unter Punkt 3 beschriebenen E-Mail-Protokoll. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
8. Öffentliche Zertifikatsprüfung
Jedes Zertifikat trägt eine Prüfnummer. Wer diese Nummer kennt, etwa weil Sie ihm Ihr Zertifikat vorgelegt haben, kann unter der aufgedruckten Adresse prüfen, ob es echt ist. Angezeigt werden dabei Ihr Name, der Kurs und das Ausstellungsdatum, also genau das, was ohnehin auf dem Zertifikat steht. Mehr nicht, und die Nummer ist zufällig vergeben, damit niemand fremde Zertifikate durchprobieren kann. Das ist der Zweck des Zertifikats und damit Teil unserer Leistung (Art. 6 Abs. 1 lit. b DSGVO); wurde der Kurs von Ihrem Arbeitgeber gebucht, stützen wir es auf unser berechtigtes Interesse an einem überprüfbaren Nachweis (Art. 6 Abs. 1 lit. f DSGVO). Wenn Sie das nicht möchten, sagen Sie uns Bescheid: wir setzen Ihr Zertifikat auf ungültig, die Prüfseite zeigt es dann nicht mehr an.
9. Sicherungskopien
Von der Datenbank der Kursplattform werden mehrmals täglich Sicherungskopien auf demselben Server in Deutschland erstellt. Sie werden nach 14 Tagen automatisch gelöscht. Zusätzlich wird der Datenbestand täglich verschlüsselt bei dem unter Punkt 11 genannten Sicherungsdienstleister aufbewahrt; diese verschlüsselten Kopien führen wir in einer festen Rotation von 30 täglichen und 6 monatlichen Ständen. Wenn wir Daten auf Ihren Wunsch löschen, sind sie aus dem laufenden Betrieb sofort verschwunden; aus bereits erstellten Sicherungskopien fallen sie heraus, sobald der jeweilige Stand abgelaufen ist. Wann ein abgelaufener Stand beim Sicherungsdienstleister endgültig entfernt wird, hängt von dessen Aufräumlauf ab; den aktuellen Stand nennen wir Ihnen auf Anfrage. Sicherungskopien verwenden wir ausschliesslich, um nach einem technischen Ausfall den Betrieb wiederherzustellen.
10. Wie lange wir speichern
Ihr Konto, Ihr Lernstand und Ihre Prüfungsversuche bleiben gespeichert, solange Ihr Kurszugang besteht. Haben Sie kein Zertifikat erworben, löschen wir Konto und Lernstand spätestens zwölf Monate nach Ablauf Ihres Zugangs.
Haben Sie ein Zertifikat erworben, bleiben Konto und Zertifikatsdaten darüber hinaus bestehen, damit Ihre Prüfnummer prüfbar bleibt. Diese Daten hängen technisch zusammen: Wenn wir Ihr Konto löschen, werden Lernstand, Prüfungsversuche und Zertifikatsdaten mitgelöscht, und Ihre Prüfnummer ist danach ungültig. Ihr bereits heruntergeladenes PDF behalten Sie natürlich, es lässt sich dann nur nicht mehr über unsere Prüfseite bestätigen.
Auf Ihren Wunsch löschen wir die hier beschriebenen Daten auch vor Ablauf dieser Fristen. Wir erledigen das unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO), und sagen Ihnen vorher, dass die Prüfnummer damit ungültig wird. Das E-Mail-Protokoll und das Ereignisprotokoll zu Ihrem Konto löschen wir zusammen mit dem Konto.
Ausgenommen sind Unterlagen, die wir nach dem Gesetz aufbewahren müssen, etwa zu Vertrag und Rechnung. Solche Unterlagen verwenden wir nach Ihrem Löschverlangen nur noch für den Zweck, zu dem wir sie aufbewahren müssen, und löschen sie nach Ablauf der gesetzlichen Frist.
Bestell- und Rechnungsdaten folgen einer eigenen Frist und hängen nicht an Ihrem Konto. Wenn wir Ihr Konto und Ihren Lernstand löschen, bleiben sie erhalten, solange wir sie nach Handels- und Steuerrecht aufbewahren müssen. Die Einzelheiten stehen unter „Bestellung und Zahlungsabwicklung".
11. Wer die Daten für uns verarbeitet
Hetzner Online GmbH, Deutschland: Betrieb des Servers, auf dem die Plattform und ihre Datenbank laufen, sowie Postausgang für unsere E-Mails. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
BorgBase / Peakford Ltd, Malta, Rechenzentrum in der Europäischen Union: Aufbewahrung der verschlüsselten Sicherungskopien (Punkt 9). Die Sicherungen werden bereits auf unserem Server verschlüsselt, der Dienstleister kann sie nicht lesen. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
Über die genannten Dienstleister hinaus setzen wir für den Kursbetrieb keine weiteren ein. Kaufen Sie einen Kurs, kommt für die Bezahlung der unter „Bestellung und Zahlungsabwicklung" genannte Zahlungsdienstleister hinzu; dort steht auch, welche Daten dabei in die Vereinigten Staaten übermittelt werden und wie diese Übermittlung abgesichert ist. Eine darüber hinausgehende Übermittlung Ihrer Daten in Länder ausserhalb der Europäischen Union findet nicht statt.
12. Ihre Rechte
Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine E-Mail an info@28solutions.ai genügt, ein Formular brauchen Sie nicht.
Soweit wir Daten auf unser berechtigtes Interesse stützen (Punkte 3, 6 und 8), können Sie dieser Verarbeitung jederzeit aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben. Wir stellen sie dann ein, sofern wir keine zwingenden schutzwürdigen Gründe nachweisen können.
Sie können sich ausserdem bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg in Stuttgart.
13. Änderungen
Ändert sich etwas an der Plattform oder an den eingesetzten Diensten, passen wir diese Erklärung an. Massgeblich ist die jeweils hier veröffentlichte Fassung mit dem Stand oben.