Die Verarbeitung personenbezogener Daten der Nutzer erfolgt unter strikter Einhaltung der Datenschutz-Grundverordnung (EU) 2016/679 (DSGVO) und der spanischen LOPDGDD 3/2018.
1. Verantwortlicher
- 3W Medical GmbH
- Bretonischer Ring 4-6, 85630 Grasbrunn, Alemania
- USt-IdNr.: DE358283477 — HRB 281297 — Amtsgericht München
- Tel.: +49 (0) 8106 - 890 3997
- Kontakt: über unser Kontaktformular
Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen (Art. 37 DSGVO bzw. § 38 BDSG) nicht vorliegen. Anfragen zum Datenschutz richten Sie bitte über das Kontaktformular an uns.
2. Verarbeitete Daten
- Identifikationsdaten: Vor- und Nachname, DNI/NIE/Reisepass, Geburtsdatum (optional), E-Mail-Adresse, Telefon (optional).
- Kursdaten: Prüfungsergebnisse (Punktzahl, Datum, Versuch), Zertifikatsnummer, Ausstellungs- und Gültigkeitsdatum.
- Zahlungsdaten: Stripe-Session-/Payment-ID, Betrag, Datum. Wir speichern keine Kartendaten — diese werden ausschließlich von Stripe verarbeitet.
- Rechnungsdaten (B2B): Firma, USt-IdNr., Rechnungsanschrift, Rechnungs-E-Mail, Ansprechpartner.
- Technische Daten: IP-Adresse, Server-Logs, Session-Identifier, Sprach-Präferenz — erforderlich für Sicherheit und Funktion der Website.
- Cookie-Einwilligungs-Daten: Wir protokollieren Ihre Auswahl (akzeptieren / ablehnen / konfigurieren) pseudonymisiert (gekürzte IP, Zeitstempel, Kategorien, Textversion) als Nachweis nach Art. 7 Abs. 1 DSGVO.
3. Zwecke und Rechtsgrundlagen
| Zweck | Rechtsgrundlage |
|---|---|
| Ausstellung des Zertifikats und Vertragserfüllung | Art. 6 Abs. 1 lit. b DSGVO |
| Rechnungsstellung und steuer-/handelsrechtliche Pflichten | Art. 6 Abs. 1 lit. c DSGVO |
| Öffentliche QR-Verifizierung (zeigt: Name, Nr., Datum, Gültigkeit) | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Prüfenden) |
| Website-Sicherheit, Missbrauchs-/Betrugsprävention, Server-Logs | Art. 6 Abs. 1 lit. f DSGVO |
| Cookies für Analyse, Marketing und Personalisierung | Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG (Einwilligung) — jederzeit widerrufbar |
| Transaktions-E-Mails (Zertifikat-Versand, technische Hinweise) | Art. 6 Abs. 1 lit. b DSGVO |
4. Speicherdauer
- Zertifikatsdaten: für die Gültigkeitsdauer des Zertifikats (standardmäßig 4 Jahre) sowie für gesetzliche Aufbewahrungs- und Verjährungsfristen.
- Rechnungen / steuerrelevante Unterlagen: 10 Jahre nach § 147 AO bzw. 6 Jahre nach spanischem HGB — die zur Pflichterfüllung erforderlichen Daten werden gesperrt, nicht gelöscht.
- Technische / Sicherheits-Logs: 30 Tage, sofern kein konkreter Sicherheitsvorfall eine längere Speicherung erfordert.
- Cookie-Einwilligungs-Log: 13 Monate (Empfehlung AEPD; deutsche Aufsichten akzeptieren diesen Zeitraum als Nachweis).
- Inaktive Nutzer-Konten: werden nach Ablauf der einschlägigen gesetzlichen Aufbewahrungsfristen gelöscht.
5. Empfänger und Auftragsverarbeiter
Zur Bereitstellung des Dienstes geben wir die strikt erforderlichen Daten an folgende Auftragsverarbeiter weiter. Mit allen wurde ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geschlossen.
| Anbieter | Zweck | Standort / Rechtsgrundlage |
|---|---|---|
| DigitalOcean, LLC 101 Avenue of the Americas, 10th Floor, New York, NY 10013, USA |
Hosting des Webservers (PHP / Anwendung) | Rechenzentrum FRA1 — Frankfurt am Main (Deutschland, EU). EU-Standardvertragsklauseln (2021/914) und DPA von DigitalOcean für etwaige Fernzugriffe aus den USA. |
| Microsoft Ireland Operations Ltd. One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland |
Azure-SQL-Datenbank (Microsoft Azure) | Region Germany West Central — Frankfurt am Main (Deutschland, EU). Microsoft EU Data Boundary + SCC für globalen Support. |
| Stripe Payments Europe, Ltd. 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland |
Zahlungsabwicklung Karte und digitale Wallets | EU/EWR. Mögliche konzerninterne Übermittlungen an Stripe in den USA auf Basis von SCC und ggf. EU-US Data Privacy Framework. |
| SMTP2GO, Inc. 541 Jefferson Ave, Suite 100, Redwood City, CA 94063, USA |
Versand transaktionaler E-Mails (Zertifikat, Benachrichtigungen) | USA. Drittstaaten-Übermittlung gestützt auf EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023) sowie ergänzend EU-Standardvertragsklauseln. |
| Google Ireland Ltd. Gordon House, Barrow Street, Dublin 4, D04 E5W5, Irland |
Google Tag Manager, Google Analytics 4 und Google Ads — nur mit Ihrer Einwilligung über das Cookie-Banner | EU (Verantwortlicher Google Ireland). Konzerninterne Übermittlungen an Google in den USA gestützt auf EU-US Data Privacy Framework und SCC. Verwendung von Consent Mode v2 und IP-Anonymisierung. |
Darüber hinaus geben wir keine Daten an Dritte weiter und verkaufen keine Daten. Eine automatisierte Entscheidung im Einzelfall mit Rechtswirkung i. S. d. Art. 22 DSGVO findet nicht statt.
6. Drittstaatenübermittlung
Einige Auftragsverarbeiter (SMTP2GO; Konzern-Subprozessoren von Google und Stripe in den USA; punktueller Fernzugriff durch DigitalOcean) können Übermittlungen außerhalb des EWR bedingen. Diese erfolgen ausschließlich auf Grundlage von:
- Angemessenheitsbeschluss EU-US Data Privacy Framework (10.07.2023), sofern der Anbieter zertifiziert ist.
- EU-Standardvertragsklauseln der Kommission (Beschluss 2021/914) mit zusätzlichen technischen Maßnahmen (Transport- und Ruheverschlüsselung, Pseudonymisierung wo möglich).
7. Cookies und vergleichbare Technologien
Wir verwenden technisch notwendige Cookies (Session, Sprache, Einwilligungs-Log) sowie — nach Einwilligung — Cookies für Analyse (Google Analytics 4) und Marketing (Google Ads). Sie können Ihre Auswahl jederzeit über das Cookie-Banner ändern oder widerrufen. Details finden Sie in der Cookie-Richtlinie.
Schriftarten: Die Webfonts (Inter, Playfair Display) werden von unserem eigenen Server ausgeliefert; Ihre IP-Adresse wird nicht an Google Fonts übermittelt.
8. Sicherheit
Wir setzen geeignete technische und organisatorische Maßnahmen zum Schutz Ihrer Daten ein: Transportverschlüsselung (HTTPS/TLS), verschlüsselte Speicherung in Azure SQL, Passwort-Hashes mit Argon2id, Admin-Zugriffsschutz (CSRF, Session-Regeneration, Audit-Log), Prepared Statements zur Verhinderung von SQL-Injection und Signatur-Prüfung bei Stripe-Webhooks.
9. Ihre Rechte
Als betroffene Person haben Sie das Recht auf:
- Auskunft (Art. 15 DSGVO)
- Berichtigung (Art. 16)
- Löschung / „Recht auf Vergessenwerden" (Art. 17)
- Einschränkung der Verarbeitung (Art. 18)
- Datenübertragbarkeit (Art. 20)
- Widerspruch, auch gegen Verarbeitungen auf Basis berechtigten Interesses (Art. 21)
- Widerruf einer erteilten Einwilligung jederzeit, ohne dass die Rechtmäßigkeit der bisherigen Verarbeitung berührt wird
- Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden (Art. 22)
Sie können diese Rechte über unser Kontaktformular ausüben. Wir bitten ggf. um Vorlage eines Identitätsnachweises und antworten innerhalb eines Monats.
10. Beschwerderecht bei der Aufsichtsbehörde
Sie können sich unbeschadet anderer Rechtsbehelfe bei einer Datenschutz-Aufsichtsbehörde beschweren. Zuständig sind insbesondere:
- In Spanien (Sitz des Dienstes): Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid — www.aepd.es
- In Deutschland (Sitz des Verantwortlichen Bayern): Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach — www.lda.bayern.de
11. Änderungen dieser Datenschutzerklärung
Wir können diese Datenschutzerklärung anpassen, um Änderungen der Rechtslage oder unseres Dienstes abzubilden. Die jeweils aktuelle Fassung ist auf dieser Seite mit Datum der letzten Aktualisierung abrufbar.