Datenschutzhinweise – Kauf und Nutzung der AEVO-Lernkarten Fassung: aevo-lk-privacy-2026-10-21-v2 1. Verantwortlicher Akademie KoBiCo UG haftungsbeschränkt, Perkerhof 49, 40885 Ratingen, Deutschland, vertreten durch Nicole Geldmacher-Tahery und Falk Leisgen. Kontakt für Datenschutzanfragen: impressum@kobico.de, Telefon 0800 219 00 00. Diese Hinweise betreffen das KoBiCo CRM für den Kauf und den persönlichen KoBiCo Lerncampus unter lernen.akademie-kobico.de für die Lernkarten. Die allgemeine Website-Datenschutzerklärung finden Sie ergänzend unter https://akademie-kobico.de/datenschutz/. 2. Bestell- und Abrechnungsdaten im CRM Zur Vorbereitung und Abwicklung des Vertrags verarbeiten wir insbesondere Name, E-Mail-Adresse, Rechnungsanschrift, gegebenenfalls Firma und USt-ID, Produkt, Preis, Steuer, Bestell- und Rechnungskennung sowie Zahlungsstatus, Zahlungsreferenzen und die geltenden Vertragsfassungen. Eine Telefonnummer ist freiwillig, soweit sie im Formular als optional gekennzeichnet ist. Die Vertragsannahme und der gewünschte sofortige Zugangsstart werden mit ihrem Inhalt, der jeweiligen Fassung und ihrem Zeitpunkt dokumentiert. Dabei wird die vereinbarte volle 14-tägige Widerrufsfrist ohne Nutzungsabzug festgehalten, kein Verzicht auf das Widerrufsrecht. Bei einem Widerruf speichern wir Name, zugeordnete Bestellung, Empfangsadresse, Erklärung, Eingangszeit und Bearbeitungsstand im CRM-Serviceprozess sowie die zugehörige Eingangsbestätigung. Rechtsgrundlagen sind Art. 6 Abs. 1 Buchst. b DSGVO für die Vertragsanbahnung und -durchführung sowie Buchst. c für gesetzliche Nachweis- und Aufbewahrungspflichten. Einwilligungen zu Werbung sind davon getrennt. 3. Konto, Zugriff und Aktivierung Das CRM übermittelt dem Lerncampus die für Ihren persönlichen Zugang nötigen Zuordnungen: CRM-Kundenkennung, Bestell-, Rechnungs-, Produkt- und Berechtigungskennung, Berechtigungsstatus und -revision, bestätigten Laufzeitbeginn und festes Ende sowie bei einer Freischaltung Ihre Kontaktadresse und Ihren Anzeigenamen. Der Lerncampus erhält dadurch keine vollständigen Rechnungsdateien oder Kreditkartendaten. Die Systeme verwenden gesicherte, signierte und gegen wiederholte Anwendung geschützte Nachrichten. Im Lerncampus werden Konto, geschützter Passwortprüfwert, Aktivierungs- und Wiederherstellungsvorgänge, Sitzung und Zugangsrecht verarbeitet. Passwörter werden nicht im Klartext gespeichert oder per E-Mail versendet. Einmalige Aktivierungs- und Wiederherstellungstokens werden nur gehasht gespeichert und sind zeitlich begrenzt. Ihre Nutzung wird dokumentiert. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO; zur Missbrauchsabwehr kommt Buchst. f hinzu. Unser Interesse ist ein verlässlicher persönlicher Zugang, ohne Konten oder Zugangsrechte fremder Personen zu verändern. 4. Persönlicher Lernfortschritt Bei der Nutzung werden insbesondere Kartenkennung, Inhaltsfassung, Lernbewertung, Zeitpunkt und gegebenenfalls Bearbeitungsdauer sowie daraus abgeleitete Wiederholungsstände gespeichert. Sie können deshalb an Ihrem persönlichen Lernstand weiterarbeiten. Die Lernfunktionen berücksichtigen, welche Karten Sie bereits bearbeitet oder als noch zu üben bewertet haben. Dies beeinflusst die Reihenfolge und Gewichtung der Wiederholung, ist aber keine verbindliche Prüfungsbewertung oder automatisierte Entscheidung über eine Prüfung, Zulassung, Beschäftigung oder vergleichbare Rechtsposition. Der Karteninhalt und Ihr Lernfortschritt werden nicht zur Abrechnung einzelner Lernvorgänge verwendet. Das CRM benötigt für die Abrechnung nicht Ihre einzelnen Kartenantworten oder Lernversuche. Für einen Widerruf innerhalb der vollen 14 Tage wird der Lernfortschritt nicht zur Berechnung eines Nutzungsabzugs herangezogen; für dieses Angebot ist kein solcher Abzug vereinbart. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO. 5. Nachrichten Wir verarbeiten Empfänger, Anlass, Inhalt und Versandstatus notwendiger Bestell-, Rechnungs-, Widerrufseingangs-, Aktivierungs-, Sicherheits- und Wiederherstellungsnachrichten. Die kaufmännischen Nachrichten kommen aus dem CRM mit dem Absender Akademie KoBiCo ; die technische Kontoaktivierung kommt aus dem Lerncampus. Rechtsgrundlage ist grundsätzlich Art. 6 Abs. 1 Buchst. b DSGVO, bei rechtlichen Nachweisen auch Buchst. c. Ein Kartenkauf meldet Sie nicht automatisch für Werbung an. Eine gegebenenfalls gesondert erteilte Werbeeinwilligung ist freiwillig und für die Zukunft widerrufbar. Die Verweigerung hat keine Auswirkung auf Ihren bezahlten Lernkartenzugang. 6. Hosting, Betrieb und Empfänger Zum Betrieb werden Hosting- und technische Dienstleister, Anbieter des vertraglichen E-Mail-Transports und gegebenenfalls mit Wartung oder Datensicherung beauftragte Stellen im erforderlichen Umfang eingesetzt. Die IONOS-Hostingumgebung wird durch die IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland, bereitgestellt. Auftragsverarbeiter sind im gesetzlich erforderlichen Umfang vertraglich einzubinden. Rechnungs- und Zahlungsunterlagen können außerdem an unsere mit der Buchhaltung betrauten Stellen sowie an gesetzlich berechtigte Behörden gelangen. Daraus folgt keine allgemeine Weitergabe Ihres persönlichen Lernstands. Bei Auswahl einer Stripe-Zahlung verarbeitet Stripe die zur Abwicklung und Absicherung der Zahlung erforderlichen Daten. Dazu gehören unter anderem Zahlungsdaten, Betrag, Produkt- und Transaktionsbezug sowie technische Informationen. Wir erhalten insbesondere Zahlungsstatus und Zuordnungsreferenzen, nicht die vollständige Kartennummer oder den Kartenprüfcode. Stripe kann abhängig von der jeweiligen Verarbeitung Verantwortlicher oder Auftragsverarbeiter sein. Die zuständige Gesellschaft und zusätzliche Informationen finden Sie im Stripe-Datenschutzcenter: https://stripe.com/de/privacy und https://stripe.com/de/legal/privacy-center. Bei einer Banküberweisung werden Daten auch durch die beteiligten Banken verarbeitet. Die Abwicklung beruht insbesondere auf Art. 6 Abs. 1 Buchst. b DSGVO, gesetzliche Pflichten gegebenenfalls auf Buchst. c und notwendige Betrugsabwehr auf Buchst. f. Eine Zahlung erfolgt nur über die gewählte Methode. 7. Übermittlungen außerhalb des EWR Bei global tätigen Zahlungsdienstleistern und deren Unterauftragnehmern kann eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums stattfinden. Hierfür müssen die Voraussetzungen der Art. 44 ff. DSGVO vorliegen, etwa ein anwendbarer Angemessenheitsbeschluss oder geeignete vertragliche Garantien. Für die konkrete Stripe-Verarbeitung beschreibt Stripe die verwendeten Mechanismen in den oben verlinkten Hinweisen. Es wird keine ausschließliche Speicherung sämtlicher Zahlungsdaten in Deutschland zugesagt. Fragen zu den für Ihre Daten maßgeblichen Empfängern und Schutzmaßnahmen können Sie an die oben genannte Kontaktadresse richten. 8. Technisch notwendige Cookies und Sicherheitsdaten Für Anmeldung und Schutz vor fremden Formularaktionen verwendet das Lernkartenmodul die Cookies kobico_lc_session und kobico_lc_csrf. Die Sitzungslaufzeit beträgt zwölf Stunden; beim Logout werden die Sitzung beendet und die zugehörigen Cookies entfernt. Das Modul setzt diese Cookies für den angeforderten persönlichen Zugang ein, nicht für Werbetracking. Für einen angemeldeten CRM-Kundenzugang kann zusätzlich dessen eigene technisch notwendige Sitzung verwendet werden. Auf der Zahlungsseite gelten ergänzend die technischen Datenschutzhinweise des ausgewählten Anbieters. Notwendige Endgerätezugriffe richten sich nach § 25 Abs. 2 TDDDG, die zugehörige personenbezogene Verarbeitung nach Art. 6 Abs. 1 Buchst. b oder f DSGVO. Zur Fehler- und Missbrauchsabwehr können technische Abruf-, Login-, Sicherheits- und Protokolldaten verarbeitet werden, insbesondere Zeitpunkte, Ergebnis einer Anmeldung, IP-/Verbindungsinformationen und technische Anfragekennungen. Unser berechtigtes Interesse ist der sichere Betrieb. 9. Speicherdauer und Laufzeitende Vertrags- und Abrechnungsunterlagen werden während der Abwicklung und anschließend nach den jeweils einschlägigen gesetzlichen Fristen gespeichert. Buchungsbelege sind nach § 147 AO regelmäßig acht Jahre aufzubewahren; für andere Unterlagen können andere Fristen sowie gesetzliche Verlängerungen gelten. Beginn und Ende einer solchen Frist richten sich nach dem Gesetz. Einzelne Lernversuche werden nicht allein deshalb zu steuerlichen Buchungsbelegen. Konto- und Lernstandsdaten dienen der bezahlten Nutzung und erforderlichen anschließenden Abwicklung, Fehlerklärung und rechtmäßigen Nachweisen. Das Ende der zwölf Monate löscht den Lernstand nicht automatisch. Daten, die für keinen dieser Zwecke und keine rechtmäßige Aufbewahrung mehr benötigt werden, sind zu löschen oder zu anonymisieren. Ein Löschbegehren wird unter Berücksichtigung fortbestehender Pflichten und Rechte geprüft. Sitzungen, Einmaltokens und Replaykennungen besitzen eigene kurze Gültigkeitszeiträume; daraus folgt keine unbegrenzte Nutzbarkeit des Kontos. Sicherungskopien dienen der Wiederherstellung und sind in das betriebliche Aufbewahrungs- und Löschkonzept einzubeziehen. 10. Ihre Rechte Sie können nach Maßgabe der gesetzlichen Voraussetzungen Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit verlangen. Eine erteilte Einwilligung können Sie mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der vorherigen Verarbeitung bleibt unberührt. Gegen Verarbeitungen auf Grundlage berechtigter Interessen können Sie aus Gründen Ihrer besonderen Situation Widerspruch einlegen; gegen Direktwerbung können Sie jederzeit widersprechen. Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am Ort Ihres Aufenthalts, Arbeitsplatzes oder des vermuteten Verstoßes. Für den Sitz in Nordrhein-Westfalen ist dies insbesondere die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen: https://www.ldi.nrw.de. Zur Wahrnehmung Ihrer Rechte genügt eine Anfrage an uns; ein vorheriger Kauf eines zusätzlichen Supportpakets ist nicht erforderlich. 11. Erforderlichkeit der Angaben Die für Bestellung, Rechnung und den persönlichen Zugang gekennzeichneten Pflichtangaben benötigen wir zur Vertragsdurchführung. Ohne sie können wir die betreffende Bestellung oder Bereitstellung nicht ausführen. Freiwillige Angaben oder eine Werbeeinwilligung sind davon getrennt.