Hier steht, welche Daten myTutorium verarbeitet, wozu und wie lange, und welche Rechte du hast. Wir verwenden keine Werbung, keine Analyse- oder Tracking-Werkzeuge und laden keine Inhalte von fremden Servern in die Seite – auch die Schriften liefern wir selbst aus. Die einzige Ausnahme ist ein Video von YouTube, Vimeo, TikTok oder Instagram, das ein Veranstalter auf eine Folie setzt (Abschnitt 11).
1. Verantwortlicher
Laith Philipp Sandouk
Pfalzplatz 3
68163 Mannheim
Deutschland
E-Mail: [email protected]
2. Aufruf der Website
Bei jedem Aufruf verarbeitet unser Server technisch notwendige Angaben: deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, den Statuscode der Antwort und die Kennung deines Browsers (User-Agent). Sie stehen in einem Protokoll, damit wir den Betrieb sichern, Angriffe abwehren und Fehler finden können. Einmalige Zugangscodes und Anmeldedaten schreiben wir nicht ins Protokoll.
Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und funktionierenden Angebot (Art. 6 Abs. 1 lit. f DSGVO). Das Protokoll wird nach spätestens sieben Tagen gelöscht.
Um Missbrauch zu begrenzen, zählen wir außerdem für kurze Zeit, wie viele Anfragen von einer Adresse kommen. Diese Zählung liegt nur im Arbeitsspeicher und verfällt nach höchstens einer Stunde.
3. Hosting
Die Anwendung und ihre Datenbank laufen auf Servern von Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, im Rechenzentrum Falkenstein/Vogtland. Der Anbieter verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO).
4. Cloudflare
Die Website wird über das Netzwerk von Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA, ausgeliefert. Cloudflare schützt sie vor Angriffen und Überlastung und sieht dafür jeden Aufruf einschließlich deiner IP-Adresse. Cloudflare teilt uns außerdem den Ort mit, den es aus deiner IP-Adresse schätzt (Land, Region, Stadt); was wir damit tun, steht in Abschnitt 6. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und erreichbaren Angebot (Art. 6 Abs. 1 lit. f DSGVO).
Cloudflare ist unter dem EU-U.S. Data Privacy Framework zertifiziert; für Übermittlungen in die USA gilt der Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).
5. Teilnahme an einer Veranstaltung
Um teilzunehmen, brauchst du kein Konto. Wir verarbeiten:
- den Namen und das Bild, die du beim Beitreten wählst,
- deine Fragen, deine Stimmen und deine Antworten auf Umfragen,
- eine zufällige Kennung in einem Cookie („voterId“), damit wir deine Stimmen und Antworten dir zuordnen können, ohne zu wissen, wer du bist.
Fragen und Antworten sieht der Raum ohne deinen Namen, solange der Veranstalter die Namen nicht einblendet. Der Veranstalter sieht alles, was in seiner Veranstaltung eingeht.
Rechtsgrundlage ist die Bereitstellung der Teilnahme, die du anfragst (Art. 6 Abs. 1 lit. b DSGVO). Das Cookie ist technisch notwendig und braucht daher keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG); es läuft nach sieben Tagen ab.
Die Inhalte einer Veranstaltung bleiben gespeichert, bis der Veranstalter die Veranstaltung oder eine ihrer früheren Sitzungen löscht oder sein Konto löscht.
6. Konto
Wer Veranstaltungen anlegen will, braucht ein Konto. Dafür speichern wir deine E-Mail-Adresse, deinen Namen, dein Passwort als nicht umkehrbaren Hash, dein Profilbild, wenn du eins hochlädst, deine Rolle und den Zeitpunkt deines letzten Besuchs (auf die Minute; wir verwenden ihn nur für Gesamtzahlen wie „gerade angemeldet“). Schaltest du die Zwei-Faktor-Authentifizierung ein, speichern wir außerdem, welche Art du gewählt hast, den Schlüssel deiner Authenticator-App (verschlüsselt) und deine Wiederherstellungscodes als nicht umkehrbare Hashes; ein Code, den wir dir per E-Mail schicken, bleibt zehn Minuten gespeichert, ebenfalls nur als Hash. Wenn du einen Passkey hinzufügst, speichern wir seinen öffentlichen Schlüssel, eine Kennung für ihn, seinen Signaturzähler, eine zufällige Kennung für dein Konto, den Namen, den du ihm gibst, und wann er hinzugefügt und zuletzt benutzt wurde; Fingerabdruck, Gesicht oder PIN verlassen dein Gerät nie. Dazu kommt alles, was du anlegst: Veranstaltungen, Umfragen, Folien, Ordner, Freigaben und API-Schlüssel.
Außerdem speichern wir, wie dein Konto entstanden ist (mit Passwort, mit Google, Microsoft oder Apple, oder durch eine Einladung), und woher es kommt: das Land, die Region und die Stadt samt den ungefähren Koordinaten der Stadt, so wie Cloudflare sie aus deiner IP-Adresse schätzt. Das geschieht einmal: beim Anlegen des Kontos oder, wo wir den Ort dabei nicht erfassen konnten (bei einem Konto, das per Einladung angelegt wurde oder bevor wir damit begannen), bei der ersten Nutzung des Kontos danach. Deine IP-Adresse speichern wir dafür nicht, und wir halten den Ort nicht auf dem Laufenden, wenn du umziehst oder verreist. Nur die Administratoren der Website sehen diese Angaben, nie andere Nutzer, nie die Teilnehmer einer Veranstaltung. Wir tun das, um zu verstehen, wo der Dienst genutzt wird. Rechtsgrundlage ist unser berechtigtes Interesse daran (Art. 6 Abs. 1 lit. f DSGVO). Du kannst dem jederzeit widersprechen: Schreib uns an die oben genannte Adresse, dann löschen wir den Ort und erfassen ihn nie wieder. Mit deinem Konto wird er ebenfalls gelöscht.
Rechtsgrundlage ist der Nutzungsvertrag (Art. 6 Abs. 1 lit. b DSGVO). Du kannst dein Konto jederzeit in den Kontoeinstellungen löschen; hast du dich mit Google, Microsoft oder Apple angemeldet, legst du vorher über den Link, den wir dir mailen, ein Passwort fest. Dann löschen wir es mit allem, was dazu gehört, sofort; hochgeladene Dateien entfernen wir unmittelbar danach von der Festplatte.
7. Anmeldung mit Google oder Microsoft
Statt mit einem Passwort kannst du dich mit deinem Google- oder Microsoft-Konto anmelden oder eines davon mit deinem Konto verbinden. Dafür leiten wir dich zu Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) oder zu Microsoft (Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland) weiter. Dort meldest du dich an; was der Anbieter dabei verarbeitet, regelt seine eigene Datenschutzerklärung.
Danach schickt uns der Anbieter eine Kennung deines Kontos bei ihm, deine E-Mail-Adresse, ob er sie bestätigt hat, und deinen Namen. Wir speichern die Kennung und die E-Mail-Adresse bei deinem Konto; legen wir dabei ein neues Konto an, übernehmen wir Name und Adresse dafür. Weitere Angaben, etwa ein Profilbild, speichern wir nicht. Während der Anmeldung setzen wir Cookies, die den Vorgang deinem Browser zuordnen und nach höchstens zehn Minuten ablaufen; sie sind technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG).
Rechtsgrundlage ist der Nutzungsvertrag, für den du diese Art der Anmeldung wählst (Art. 6 Abs. 1 lit. b DSGVO). Du kannst die Verbindung in den Kontoeinstellungen trennen, solange dir ein anderer Weg zur Anmeldung bleibt; mit deinem Konto wird sie gelöscht. Google und Microsoft sind unter dem EU-U.S. Data Privacy Framework zertifiziert; soweit Daten in die USA gelangen, gilt der Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).
8. Verbundene KI-Apps
Du kannst eine KI-App, etwa Claude oder ChatGPT, mit deinem Konto verbinden, damit sie in deinem Auftrag mit deinen Veranstaltungen arbeitet. Dafür meldet sich die App bei uns an und nennt uns einen Namen und die Adressen, an die wir dich nach dem Zulassen zurückschicken. Das speichern wir; schließt du die Verbindung nicht innerhalb einer Stunde ab, löschen wir es wieder. Lässt du die App zu, erhält sie einen API-Schlüssel, den wir bei deinem Konto speichern (nur als nicht umkehrbaren Hash) und dir in den Kontoeinstellungen als verbundene App zeigen.
Was die App über unsere Schnittstelle liest, etwa deine Folien, Umfragen, Sprechernotizen, die Fragen und Antworten aus dem Publikum und die Ergebnisse, geben wir an die App und damit an ihren Anbieter weiter, weil du es so veranlasst. Was der Anbieter damit macht, regelt seine eigene Datenschutzerklärung; ob Daten dabei in Länder außerhalb der EU gelangen, hängt von der App ab, die du wählst.
Rechtsgrundlage ist der Nutzungsvertrag, für den du die Verbindung wählst (Art. 6 Abs. 1 lit. b DSGVO). Du trennst die App, indem du ihren Schlüssel in den Kontoeinstellungen löschst. Mit einer Änderung deines Passworts oder deiner E-Mail-Adresse und mit deinem Konto wird er ebenfalls gelöscht.
9. E-Mails
Service-Nachrichten gehen an Inhaber eines Kontos und betreffen die Nutzung des Kontos: eine Begrüßung, Links zum Zurücksetzen des Passworts oder zum Bestätigen einer neuen Adresse, Hinweise auf Änderungen an deinem Konto, Einladungen, Hinweise auf geplante Wartungsarbeiten, Änderungen der Bedingungen oder Preise und – wenn du angemeldet „Problem melden“ nutzt – eine Bestätigung, dass deine Meldung angekommen ist (höchstens eine am Tag je Art). Rechtsgrundlage ist die Erfüllung des Vertrags über dein Konto (Art. 6 Abs. 1 lit. b DSGVO).
Neuigkeiten zu neuen Funktionen und Angeboten schicken wir nur denen, die sie ausdrücklich haben wollten: Du aktivierst sie in den Kontoeinstellungen, wir schicken dir daraufhin eine E-Mail mit einem Bestätigungslink, und erst wenn du darauf klickst, bekommst du Neuigkeiten. Es gibt kein Häkchen bei der Registrierung, und ohne deinen Klick schicken wir nichts. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG). Als Nachweis speichern wir den Zeitpunkt deiner Bestätigung; er bleibt auch nach einem Widerruf gespeichert, als Beleg dafür, dass die Einwilligung bestand, solange sie galt. Jede dieser E-Mails enthält einen Abmeldelink, und du kannst die Einwilligung jederzeit in den Kontoeinstellungen oder über diesen Link widerrufen; der Widerruf gilt sofort, und danach schicken wir dir keine Neuigkeiten mehr. Service-Nachrichten bleiben davon unberührt. Wir zählen weder, ob du E-Mails öffnest, noch, ob du auf Links klickst, und verwenden keine Zählpixel.
Versendet werden sie über Resend (Plus Five Five, Inc., USA), der sie in unserem Auftrag zustellt (Art. 28 DSGVO). Für die Übermittlung in die USA gelten die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).
Schreibst du uns an eine Adresse unter @mytutorium.app, nimmt Cloudflare (Abschnitt 4) die E-Mail in unserem Auftrag entgegen und gibt sie an unseren Server weiter. Dort speichern wir Absender, Empfängeradresse, Betreff, Datum und Text der E-Mail – von Anhängen nur Name und Größe, nie die Dateien –, damit wir sie lesen und dir antworten können. Rechtsgrundlage ist unser berechtigtes Interesse, Anfragen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO), bei Fragen zu einem Vertrag mit uns Art. 6 Abs. 1 lit. b DSGVO. Wir löschen jede E-Mail spätestens nach 180 Tagen.
10. Hochgeladene Folien
Folien (PDF oder Präsentationen) speichern wir auf unserem Server unter einem zufälligen Namen und verschlüsselt (AES-256), jede Datei mit einem eigenen Schlüssel. Wer nur die Festplatte des Servers oder eine Kopie davon hat, kann sie nicht lesen. Sie werden mit ihrer Veranstaltung oder deinem Konto gelöscht.
Präsentationen (.pptx- oder .odp-Dateien) wandelt ein Office-Programm in Seiten um, das auf demselben Server läuft; im Folien-Editor bearbeitest du sie in diesem Programm. Der Editor wird von office.mytutorium.app geladen, einer Adresse dieses Angebots. Die Dateien verlassen dabei unseren Server nicht, und das Programm ruft keine anderen Dienste auf.
11. Videos von YouTube, Vimeo, TikTok und Instagram auf Folien
Ein Veranstalter kann ein Video von YouTube, Vimeo, TikTok oder Instagram auf eine Folie setzen. Wird diese Folie gezeigt, laden der Bildschirm, auf dem die Präsentation läuft, die Moderatorenansicht und die Vorschau des Veranstalters den Player dieses einen Anbieters. Der Anbieter erhält dabei die IP-Adresse und die Kennung des Browsers dieses Geräts. Was er damit tut, regelt seine eigene Datenschutzerklärung.
- YouTube: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Der Player wird im erweiterten Datenschutzmodus geladen (youtube-nocookie.com); Angaben im Browser speichert Google erst, wenn das Video abgespielt wird.
- Vimeo: Vimeo.com, Inc., 330 West 34th Street, 10th Floor, New York, NY 10001, USA. Der Player wird mit Vimeos Einstellung „Do Not Track“ geladen, die Cookies und Nutzungsstatistiken des Players abschaltet.
- TikTok: TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, D02 T380, Irland. TikTok kann Angaben im Browser speichern. Nach eigenen Angaben speichert TikTok Daten auf Servern in den USA, in Malaysia und in Singapur und stützt Übermittlungen in Länder ohne Angemessenheitsbeschluss auf Standardvertragsklauseln (Art. 46 DSGVO).
- Instagram: Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Instagram kann Angaben im Browser speichern.
Auf den Geräten der Teilnehmenden wird kein Video geladen. Der Player wird geladen, weil der Veranstalter das Video in seine Präsentation aufgenommen hat und es zeigen will (Art. 6 Abs. 1 lit. b DSGVO; § 25 Abs. 2 Nr. 2 TDDDG). Google, Vimeo und Meta Platforms, Inc. sind unter dem EU-U.S. Data Privacy Framework zertifiziert; soweit Daten zu ihnen in die USA gelangen, gilt der Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).
12. „Problem melden“
Schickst du uns über „Problem melden“ eine Nachricht, speichern wir sie mit ihrer Art (Fehler, Konto, Datenschutz, Sonstiges) und dem, was du für diese Art eingibst – bei einem Fehler auch die Schritte und was du erwartet hast, bei einer Datenschutzanfrage ihre Art, bei einer Konto- oder Datenschutzanfrage eine E-Mail-Adresse, wenn du eine angibst (wir prüfen sie nicht und schreiben ihr nicht automatisch; nur der Admin liest sie, und sie wird mit der Meldung gelöscht) –, zusammen mit der Seite, auf der du warst (ohne die Teile der Adresse nach „?“ und „#“), der Kennung deines Browsers und – wenn du angemeldet bist – deinem Konto. Deine IP-Adresse speichern wir dabei nicht. Rechtsgrundlage ist unser berechtigtes Interesse, Fehler zu beheben (Art. 6 Abs. 1 lit. f DSGVO). Wir löschen eine Meldung, sobald sie erledigt ist. Löschst du vorher dein Konto, bleibt die Meldung ohne Verbindung zu dir stehen.
13. Speicher im Browser
Die Seite legt in deinem Browser ab, was sie zum Funktionieren braucht: deine Anmeldung (bis du den Tab schließt), dein gewähltes Design, deine Sprache und ein paar Ansichtseinstellungen. Nichts davon wird an Dritte übermittelt. Diese Speicherung ist technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG).
14. Deine Rechte
Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Soweit wir uns auf berechtigte Interessen stützen, kannst du der Verarbeitung aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen (Art. 21). Schreib uns dafür an die oben genannte Adresse.
Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), etwa bei der Behörde deines Wohnorts.
Eine automatisierte Entscheidungsfindung einschließlich Profiling findet nicht statt.
15. Änderungen
Wenn sich ändert, was myTutorium verarbeitet, passen wir diese Erklärung an. Es gilt die Fassung, die hier steht.