Regelfest.deKI-KompetenzZur Startseite

Datenschutzerklärung

Stand: Juli 2026 · Diese Erklärung informiert über die Verarbeitung personenbezogener Daten gemäß Datenschutz-Grundverordnung (DSGVO).

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:

Frank Nitze
Georgstr. 50B, 30159 Hannover, Deutschland
E-Mail: support@regelfest.de

Ein Datenschutzbeauftragter ist gesetzlich nicht zu bestellen, da die Voraussetzungen des Art. 37 DSGVO bzw. § 38 BDSG derzeit nicht erfüllt sind. Bei allen Fragen zum Datenschutz erreichen Sie uns unter der oben genannten Adresse.

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung einer funktionsfähigen Anwendung sowie unserer Inhalte und Leistungen erforderlich ist. Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), lit. a (Einwilligung), lit. c (rechtliche Verpflichtung) und lit. f (berechtigtes Interesse).

Personenbezogene Daten werden gelöscht, sobald der Zweck der Speicherung entfällt und keine gesetzlichen Aufbewahrungspflichten (z. B. handels- oder steuerrechtliche Fristen von bis zu zehn Jahren) entgegenstehen.

3. Deterministische Verarbeitung: keine KI/LLM auf Ihren Angaben

Die fachliche Auswertung Ihres Firmen-Checks, die Erstellung der Dokumente (Register, Richtlinie, Maßnahmenplan, Berichte), die personalisierten Schulungsinhalte sowie die Bewertung des Abschlusstests erfolgen vollständig regelbasiert und deterministisch auf unseren Servern in der Europäischen Union. Es findet keine Übermittlung Ihrer Eingaben, Check-Antworten, Schulungs- oder Unternehmensdaten an externe KI- oder Sprachmodell-Dienste (z. B. OpenAI) statt. Gleiche Angaben führen zu gleichen Ergebnissen; eine Profilbildung findet nicht statt.

4. Hosting, Server-Logfiles und selbst betriebene Infrastruktur

Unsere Anwendung wird auf Servern innerhalb der Europäischen Union betrieben (Hostinger International Ltd.). Auf dieser Infrastruktur betreiben wir die für den Dienst genutzte Datenbank und Authentifizierung (Supabase) in eigener Verantwortung selbst sowie die selbst gehostete Reichweitenmessung (Plausible). Eine Weitergabe dieser Daten an Dritte zu deren eigenen Zwecken findet nicht statt.

Bei jedem Aufruf werden automatisch Informationen in Server-Logfiles erfasst, die Ihr Browser übermittelt: Browsertyp und -version, verwendetes Betriebssystem, Referrer-URL, Hostname des zugreifenden Rechners, IP-Adresse und Uhrzeit der Serveranfrage. Diese Daten werden nicht mit anderen Datenquellen zusammengeführt. Die Logfiles werden aus Sicherheitsgründen für maximal 7 Tage gespeichert und anschließend gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an einem technisch fehlerfreien und sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

5. Reichweitenmessung (Plausible, selbst gehostet, cookielos)

Zur statistischen Auswertung der Nutzung unserer öffentlichen Seiten setzen wir die selbst gehostete Software Plausible ein. Plausible arbeitet ohne Cookies und ohne Übermittlung personenbezogener Daten an Dritte; es werden keine geräteübergreifenden Profile gebildet und keine IP-Adressen dauerhaft gespeichert. Für die Plausible-Reichweitenmessung selbst ist daher keine Einwilligung erforderlich; für die zusätzlich eingesetzten Analyse- und Werbedienste siehe Abschnitt 7. Rechtsgrundlage ist unser berechtigtes Interesse an einer datensparsamen Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO).

6. Cookies und Einwilligung

Wir verwenden technisch notwendige Cookies sowie (ausschließlich nach Ihrer vorherigen Einwilligung) Cookies für Analyse und Marketing.

Beim Besuch unserer öffentlichen Seiten blenden wir ein Einwilligungsbanner ein (Consent-Management mit der Software Klaro, lokal von uns gehostet). Die in Abschnitt 7 genannten Analyse- und Werbedienste werden erst geladen, nachdem Sie eingewilligt haben (Opt-in); standardmäßig ist nichts ausgewählt. Ihre Einwilligung können Sie jederzeit über den Link „Cookie-Einstellungen" in der Fußzeile mit Wirkung für die Zukunft anpassen oder widerrufen.

Rechtsgrundlage ist für technisch notwendige Cookies § 25 Abs. 2 TDDDG bzw. unser berechtigtes Interesse an einem funktionsfähigen Dienst (Art. 6 Abs. 1 lit. f DSGVO); für einwilligungs- bedürftige Cookies § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO.

Technisch notwendige Cookies:

  • Anmelde-/Session-Cookies (Supabase Auth) halten Ihre Anmeldung im Dashboard aufrecht.
  • Gratis-Check-Cookie (90 Tage) ordnet die Antworten eines begonnenen kostenlosen Checks Ihrem Gerät zu, damit sie bei einem späteren Kauf übernommen werden können. Enthält nur eine zufällige Kennung, keine personenbezogenen Daten.
  • Sprach-Cookie (lang) und Theme-Cookie (theme) speichern Ihre Oberflächen-Einstellungen.
  • Einwilligungs-Cookie (klaro-consent, 1 Jahr) speichert Ihre Cookie-Entscheidung.

Einwilligungsbedürftige Analyse-/Marketing-Cookies werden nur nach Opt-in gesetzt; Einzelheiten je Dienst finden Sie in Abschnitt 7.

7. Einwilligungsbasierte Analyse- und Werbedienste

Die folgenden Dienste binden wir nur ein, wenn Sie zuvor über unser Cookie-Banner eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG). Sie können die Einwilligung jederzeit über „Cookie-Einstellungen" mit Wirkung für die Zukunft widerrufen. Einige Anbieter verarbeiten Daten in den USA; ein angemessenes Schutzniveau wird über die Zertifizierung nach dem EU-US Data Privacy Framework und/oder über Standardvertragsklauseln (SCC) hergestellt. Ein Restrisiko (z. B. Zugriff durch US-Behörden) lässt sich dabei nicht vollständig ausschließen.

Google Analytics 4

Anbieter: Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland (Mutterkonzern: Google LLC, USA). Zweck: statistische Analyse der Seitennutzung (Reichweite, Herkunft, Interaktionen). Verarbeitete Daten: gekürzte (anonymisierte) IP-Adresse, Geräte- und Browser-Informationen, Seitenaufrufe und Ereignisse, pseudonyme Kennungen (_ga-Cookies, bis zu 2 Jahre). Drittland: USA (EU-US Data Privacy Framework / SCC). Widerruf: „Cookie-Einstellungen" oder das Browser-Add-on unter tools.google.com/dlpage/gaoptout. Weitere Informationen: policies.google.com/privacy.

Google Ads (Conversion-Tracking und Remarketing)

Anbieter: Google Ireland Ltd. (Anschrift s. o.). Zweck: Messung des Erfolgs unserer Online-Anzeigen (Conversions) sowie Remarketing. Verarbeitete Daten: Klick- und Conversion-Kennungen (_gcl-/ _gac-Cookies) und Geräte-Informationen. Drittland: USA (Data Privacy Framework / SCC). Widerruf: „Cookie-Einstellungen"; die Personalisierung von Anzeigen können Sie zusätzlich unter adssettings.google.com deaktivieren.

Google Tag Manager

Anbieter: Google Ireland Ltd. (Anschrift s. o.). Zweck: zentrale, einwilligungsabhängige Verwaltung und Auslösung der oben genannten Tags. Der Tag Manager selbst setzt keine Cookies und speichert keine personenbezogenen Daten; er steuert lediglich, welche Dienste nach Ihrer Einwilligung geladen werden. Beim Abruf kann die IP-Adresse an Google übermittelt werden. Drittland: USA (Data Privacy Framework / SCC).

Meta Pixel (Facebook / Instagram)

Anbieter: Meta Platforms Ireland Ltd., 4 Grand Canal Square, Dublin 2, Irland (Mutterkonzern: Meta Platforms, Inc., USA). Zweck: Messung von Conversions und Ausspielung zielgerichteter Werbung (Custom und Lookalike Audiences) auf Facebook/Instagram. Verarbeitete Daten: Der Pixel setzt das _fbp-Cookie und übermittelt Ereignis- und Geräte-Informationen sowie eine pseudonyme Kennung an Meta. Gemeinsame Verantwortlichkeit: Für die Erhebung und Übermittlung der Daten sind wir und Meta gemeinsam Verantwortliche (Art. 26 DSGVO) auf Grundlage einer entsprechenden Vereinbarung; die weitere Verarbeitung durch Meta erfolgt in deren alleiniger Verantwortung. Drittland: USA (EU-US Data Privacy Framework / SCC). Widerruf: „Cookie-Einstellungen" sowie die Werbeeinstellungen in Ihrem Meta-Konto. Weitere Informationen: facebook.com/privacy/policy.

Partner-Zuordnung (Empfehlungsprogramm)

Anbieter: wir selbst (Frank Nitze). Kein Drittanbieter, keine Übermittlung an Dritte, Verarbeitung ausschließlich in der EU. Zweck: Gelangen Sie über den persönlichen Empfehlungslink eines unserer Partner zu regelfest.de, ordnen wir einen späteren Kauf diesem Partner zu, damit dieser seine Vermittlungsprovision erhält. Hierzu setzen wir nur nach Ihrer Einwilligung einen First-Party-Cookie (rf_ref, Laufzeit 60 Tage), der ausschließlich die anonyme Kennung des empfehlenden Partners enthält. Es werden keine personenbezogenen Daten gespeichert und kein geräteübergreifendes Tracking durchgeführt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG. Widerruf: „Cookie-Einstellungen".

8. Registrierung und Nutzerkonto

Für die Nutzung des Dashboards und der Schulung ist ein Nutzerkonto erforderlich. Die Anmeldung erfolgt passwortlos (per Magic-Link-E-Mail, Google-Login oder Microsoft-Login). Bei der Registrierung verarbeiten wir Ihre E-Mail-Adresse, Vor- und Nachnamen, die fachliche Einordnung (Geschäftsführer/Mitarbeiter, ggf. „extern") und optional eine Abteilung. Die Authentifizierung wird über die von uns selbst betriebene Supabase-Auth-Instanz abgewickelt. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Erforderlichkeit der Angaben: Die Bereitstellung der zur Registrierung und Vertragsdurchführung erforderlichen Daten (insbesondere E-Mail-Adresse und Name) ist für den Abschluss und die Durchführung des Vertrags notwendig. Eine gesetzliche Pflicht zur Bereitstellung besteht nicht. Ohne diese Angaben können wir jedoch kein Nutzerkonto bereitstellen, die Schulung nicht durchführen und keine Nachweise/Zertifikate ausstellen.

Bei Kontolöschung bzw. Beendigung des Vertrags kann Ihr Unternehmen wählen, ob die Daten zurückgegeben oder gelöscht werden. Ohne abweichende Weisung stellen wir sie 30 Tage lang im Kundenbereich zum Export bereit: die Audit-Mappe mit den erzeugten Dokumenten und den Zertifikaten aller Teilnehmer sowie die signierten Prüfnachweise als JSON-Dateien. Eine vorzeitige Löschung ist auf Weisung jederzeit möglich.

Nach Ablauf der 30 Tage löschen wir die Daten aus den produktiven Systemen, einschließlich ausgestellter Zertifikate und versiegelter Nachweise. Soweit Daten zu diesem Zeitpunkt noch in technischen Sicherungskopien enthalten sind, werden diese nicht wieder produktiv verwendet und laufen mit der Aufbewahrungsfrist der Sicherungskopien (derzeit sieben Tage) automatisch aus.

Möchte Ihr Unternehmen die durchgeführten Maßnahmen zur Förderung der KI-Kompetenz dauerhaft dokumentieren, kann es die exportierten Nachweise zu eigenen Zwecken aufbewahren; sie bleiben unabhängig von einer Speicherung bei uns eigenständig prüfbar. Unberührt bleiben allein gesetzliche Aufbewahrungspflichten für unsere eigenen Geschäfts- und Rechnungsunterlagen (§ 257 HGB, § 147 AO).

9. Unternehmens-, Check- und Schulungsdaten

Im Rahmen des gekauften Pakets verarbeiten wir:

  • Organisationsprofil: Firmierung, Anschrift, optional USt-IdNr., Branche, Mitarbeiterzahl.
  • Firmen-Check: Ihre Selbstangaben zum KI-Einsatz im Unternehmen. Die Ergebnisse beruhen ausschließlich auf diesen Angaben; deren Vollständigkeit und Richtigkeit liegt in Ihrer Verantwortung.
  • Schulung und Prüfung: Lernfortschritt und gemessene Bearbeitungszeit je Lektion sowie Ergebnis, Punktzahl und Versuchszahl je Teilnehmer. Zu jeder Verständnisfrage und zu jeder Frage des Abschlusstests speichern wir zusätzlich: die gestellte Frage, die angebotenen Antwortmöglichkeiten, die von der Teilnehmerin oder dem Teilnehmer tatsächlich gewählte Antwort, die richtige Antwort und ob die Antwort richtig war. Daraus entstehen das Zertifikat, das Nachweis-Dossier und der versiegelte Prüfnachweis. Der Prüfnachweis enthält dieses Frage-und-Antwort-Protokoll vollständig, denn er soll gerade belegen, welche Inhalte geprüft wurden und wie geantwortet wurde.

Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Automatisierte Auswertung des Abschlusstests (Art. 22 DSGVO): Die Bewertung des Abschlusstests (Bestehen/Nichtbestehen und die Ausstellung des Teilnahmenachweises) erfolgt regelbasiert und deterministisch ohne menschliches Eingreifen und ohne Einsatz künstlicher Intelligenz; eine Profilbildung findet nicht statt. Diese automatisierte Auswertung ist zur Durchführung der vertraglich vereinbarten Schulung erforderlich (Art. 22 Abs. 2 lit. a DSGVO). Der Test kann mehrfach wiederholt werden; auf Wunsch überprüfen wir die Auswertung manuell. Wenden Sie sich hierzu an support@regelfest.de.

Rollen: Hinsichtlich der Daten der von Ihnen eingeladenen Mitarbeiter und externen Teilnehmer ist Ihr Unternehmen Verantwortlicher; wir verarbeiten diese Daten als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags (AVV, Art. 28 DSGVO). Für die Daten des kaufenden Kontoinhabers sind wir Verantwortlicher.

Was Ihr Arbeitgeber über Sie sieht (für Teilnehmerinnen und Teilnehmer): Die Geschäftsführung und die Administratoren des Unternehmens, das Sie eingeladen hat, sehen zu Ihrer Person die zugewiesenen Module und deren Stand, jeden Abschlussversuch mit Datum, geprüftem Umfang und Ergebnis (bestanden oder nicht bestanden samt erreichter Punktzahl), die ausgestellten Zertifikate sowie den Verlauf von der Einladung bis zum Abschluss. Sie können darüber hinaus Ihren versiegelten Prüfnachweis herunterladen. Dieser enthält das vollständige Frage-und-Antwort-Protokoll, also auch die einzelnen Antworten, die Sie gegeben haben. Ihre Testantworten sind gegenüber Ihrem Arbeitgeber damit nicht anonym.

Das ist beabsichtigt: Das Unternehmen muss die durchgeführte Schulung gegenüber Behörden belegen können und ist für diese Daten der Verantwortliche im Sinne der DSGVO. Fragen zur Verarbeitung Ihrer Daten richten Sie deshalb zuerst an Ihren Arbeitgeber.

Qualifizierter Zeitstempel: Der versiegelte Prüfnachweis erhält einen qualifizierten elektronischen Zeitstempel nach eIDAS (D-Trust GmbH, vermittelt über die secrypt GmbH, beide Deutschland). Dafür wird nicht der Nachweis selbst an den Zeitstempeldienst übermittelt, sondern ausschließlich ein kryptografischer Prüfwert (SHA-256-Hash). Aus diesem Prüfwert lassen sich die zugrunde liegenden Daten nicht zurückrechnen; personenbezogene Daten erreichen den Zeitstempeldienst dadurch nicht. Der Zeitstempel belegt den Zeitpunkt und die Unverändertheit der Daten. Er ist keine fachliche Prüfung und keine Anerkennung der Schulungsinhalte durch den Vertrauensdiensteanbieter.

10. Öffentliche Zertifikats-Verifikation

Zur Echtheitsprüfung durch Auditoren oder Geschäftspartner stellen wir unter einer nicht erratbaren Adresse (/verify/{Zertifikats-ID}) eine öffentliche Bestätigungsseite bereit. Diese zeigt ausschließlich: Gültigkeit, Initialen und Nachname der Person, Unternehmen, Datum und Curriculum-Version. Es gibt keine Auflistung und keine Durchsuchbarkeit; der Zugriff ist ratenbegrenzt.

11. Gratis-Check (ohne Registrierung)

Der kostenlose Check zeigt Ihr Kurzergebnis sofort auf dem Bildschirm an. Eine Registrierung oder die Angabe einer E-Mail-Adresse ist dafür nicht erforderlich. Die Auswertung erfolgt regelbasiert (vgl. Abschnitt 3); Ihre Antworten verbleiben, sofern Sie nichts kaufen, lediglich lokal auf Ihrem Gerät (Gratis-Check-Cookie, Abschnitt 6). Eine Erfolgsmessung unserer Werbung findet nur über die einwilligungsbasierten Dienste aus Abschnitt 7 statt.

12. Zahlungsabwicklung

Für kostenpflichtige Pakete nutzen wir den Zahlungsdienstleister Stripe (Stripe Payments Europe, Ltd., Irland). Bei einem Kauf werden die zur Abwicklung erforderlichen Daten (z. B. Firmenname, Anschrift, E-Mail-Adresse, USt-IdNr., Zahlungsmittel) direkt von Stripe verarbeitet. Kartendaten werden ausschließlich bei Stripe eingegeben und gespeichert, nicht bei uns. Die Rechnungsstellung erfolgt elektronisch über Stripe. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

13. E-Mail-Versand

Transaktionale E-Mails (z. B. Anmelde-Links, Einladungen zur Schulung, Erinnerungen, Abschluss- und Kaufbenachrichtigungen) versenden wir über den Dienstleister Brevo (Sendinblue SAS, Frankreich; Rechenzentren innerhalb der EU). Dabei werden die Empfänger-E-Mail-Adresse und der Nachrichteninhalt verarbeitet. Jeder Versand wird zu Nachweiszwecken protokolliert. Rechtsgrundlage ist die Vertragserfüllung bzw. unser berechtigtes Interesse an einer zuverlässigen Kommunikation.

14. Änderungsprotokoll (Audit-Log)

Zur Nachvollziehbarkeit und Sicherheit protokollieren wir administrative Vorgänge (z. B. Löschen eines Teilnehmers, Generieren eines Dokuments). Dabei werden der handelnde Akteur (Nutzerkennung), ein Zeitstempel und die Art der Aktion gespeichert. Rechtsgrundlage ist unser berechtigtes Interesse an der Nachvollziehbarkeit (Art. 6 Abs. 1 lit. f DSGVO) bzw. die Vertragserfüllung.

15. Eingesetzte Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister ein, mit denen jeweils ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO) besteht. Bei Übermittlungen in Drittländer sind geeignete Garantien nach Art. 44 ff. DSGVO (Angemessenheitsbeschluss oder Standardvertrags- klauseln) vereinbart:

  • Hostinger: Server-Hosting innerhalb der EU. Auf dieser Infrastruktur betreiben wir Datenbank und Authentifizierung (Supabase) sowie die Reichweitenmessung (Plausible) selbst.
  • Stripe: Zahlungsabwicklung (EU, Stripe Payments Europe).
  • Brevo (Sendinblue SAS): Versand transaktionaler E-Mails (Frankreich, Rechenzentren im Europäischen Wirtschaftsraum). Etwaige Drittlandübermittlungen durch von Brevo eingesetzte Dienstleister erfolgen ausschließlich unter Beachtung der Art. 44 ff. DSGVO.
  • Google Ireland Ltd.: Webanalyse und Werbung (Google Analytics 4, Google Ads, Google Tag Manager); Übermittlung in die USA (EU-US Data Privacy Framework / Standardvertragsklauseln). Einsatz nur nach Ihrer Einwilligung (Abschnitt 7).
  • Meta Platforms Ireland Ltd.: Reichweiten-/Conversion-Messung und Werbung (Meta Pixel); gemeinsame Verantwortlichkeit nach Art. 26 DSGVO, Übermittlung in die USA (EU-US Data Privacy Framework / Standardvertragsklauseln). Einsatz nur nach Ihrer Einwilligung (Abschnitt 7).
  • secrypt GmbH (Vermittlung) und D-Trust GmbH (Ausstellung, Bundesdruckerei-Gruppe): qualifizierter elektronischer Zeitstempel für die versiegelten Prüfnachweise, beide Deutschland, keine Drittlandübermittlung. Übermittelt wird ausschließlich ein kryptografischer Prüfwert, keine personenbezogenen Daten (siehe Abschnitt 9).

Nicht eingesetzt: Externe KI-/Sprachmodell-Dienste erhalten zu keinem Zeitpunkt Ihre Check-, Schulungs- oder Unternehmensdaten (vgl. Abschnitt 3).

16. SSL-/TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL-/TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie am „https://" in der Adresszeile Ihres Browsers.

17. Ihre Rechte als betroffene Person

Ihnen stehen nach der DSGVO insbesondere folgende Rechte zu:

  • Recht auf Auskunft über die verarbeiteten Daten (Art. 15)
  • Recht auf Berichtigung unrichtiger Daten (Art. 16)
  • Recht auf Löschung (Art. 17)
  • Recht auf Einschränkung der Verarbeitung (Art. 18)
  • Recht auf Datenübertragbarkeit (Art. 20)
  • Recht auf Widerspruch gegen die Verarbeitung (Art. 21)
  • Recht auf Widerruf erteilter Einwilligungen (Art. 7 Abs. 3)

Administratoren können die erzeugten Unterlagen jederzeit selbst herunterladen: die Audit-Mappe mit allen Dokumenten und Zertifikaten sowie die signierten Prüfnachweise als JSON-Dateien. Die Löschung des Kontos und sämtlicher Unternehmensdaten veranlassen Sie formlos per E-Mail an support@regelfest.de; wir führen sie durch und bestätigen sie. Zur Ausübung Ihrer übrigen Rechte genügt ebenfalls eine E-Mail an diese Adresse.

18. Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet anderweitiger Rechtsbehelfe haben Sie das Recht, sich bei einer Datenschutz- Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt. Für uns zuständig ist die Landesbeauftragte für den Datenschutz Niedersachsen.