Datenschutzerklärung

Stand: 21. Oktober 2026

Mit dieser Erklärung informieren wir Sie gemäß Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) und dem österreichischen Datenschutzgesetz (DSG) darüber, welche personenbezogenen Daten wir verarbeiten, wenn Sie Verimeda nutzen, also die Website verimeda.com und die Lernanwendung app.verimeda.com, zu welchen Zwecken, auf welcher Rechtsgrundlage und welche Rechte Ihnen zustehen.

1. Verantwortlicher

Ein Datenschutzbeauftragter ist nicht bestellt, da die Voraussetzungen des Art. 37 DSGVO nach unserer Einschätzung nicht vorliegen. [PLATZHALTER: Einschätzung rechtlich bestätigen.]

2. Grundsätze

Wir verarbeiten nur Daten, die für den Betrieb von Verimeda erforderlich sind oder in die Sie eingewilligt haben. Wir setzen keine Tracking-Cookies, keine Werbedienste und keine Social-Media-Plugins ein und verkaufen keine Daten. Daten geben wir nur an die unten genannten Dienstleister weiter. Alle Daten stammen direkt von Ihnen oder entstehen durch Ihre Nutzung; wir beziehen keine Daten aus anderen Quellen.

3. Übersicht der Verarbeitungen

Soweit wir Daten auf Grundlage eines berechtigten Interesses verarbeiten, können Sie dieser Verarbeitung widersprechen (Abschnitt 12).

4. Website verimeda.com

Die Website ist ohne Konto nutzbar. Sie lädt keine Programme Dritter und setzt keine Cookies außer dem Cookie für das Farbschema, wenn Sie es in der Lernanwendung gewählt haben (Abschnitt 8). Die Tafeln und Zahlen auf der Startseite stammen von unserem eigenen Server. Beim Aufruf entstehen nur die Server-Protokolle aus Abschnitt 3.

[PLATZHALTER: Nur aufnehmen, wenn die Reichweitenmessung eingeschaltet wird (Umgebung PLAUSIBLE_DOMAIN): „Zur Messung der Reichweite verwenden wir Plausible Analytics der Plausible Insights OÜ, Estland. Plausible setzt keine Cookies und speichert keine IP-Adressen; aus IP-Adresse und Browser-Kennung wird ein täglich wechselnder Prüfwert gebildet, der keine Wiedererkennung über den Tag hinaus erlaubt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datensparsamen Reichweitenmessung).“ Auftragsverarbeitungsvertrag mit Plausible abschließen und Einordnung nach § 165 Abs. 3 TKG 2021 prüfen.]

5. Warteliste für neue Module

Auf der Startseite können Sie sich eintragen, um über neue Module und Werkzeuge informiert zu werden. Wir verwenden dafür das Double-Opt-in-Verfahren: Nach dem Eintragen schicken wir Ihnen eine E-Mail mit einem Bestätigungslink, der sieben Tage gilt. Erst wenn Sie ihn öffnen, stehen Sie auf der Liste. Ohne Bestätigung senden wir Ihnen nichts weiter.

Gespeichert werden Ihre E-Mail-Adresse, die Herkunft der Anmeldung, die Zeitpunkte von Anmeldung und Bestätigung und der Bestätigungscode, dieser nur als nicht umkehrbarer Prüfwert. Die Bestätigungs-E-Mail versenden wir über Resend; nach der Bestätigung wird Ihre Adresse in eine Empfängerliste bei Resend übernommen, über die wir die Ankündigungen versenden.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen, über den Abmeldelink in jeder Ankündigung oder per E-Mail an uns. [PLATZHALTER: Abmeldelink in den Ankündigungen über Resend einrichten.] Wir speichern Ihre Daten bis zum Widerruf; nicht bestätigte Anmeldungen löschen wir nach [PLATZHALTER: Frist festlegen, z. B. 30 Tage, und technisch umsetzen].

6. Anmeldung und Kontoverwaltung über Clerk

Für Registrierung, Anmeldung, Bestätigung Ihrer E-Mail-Adresse, Zurücksetzen des Passworts und die Verwaltung Ihrer Sitzungen in der Lernanwendung nutzen wir den Dienst Clerk der Clerk, Inc., USA, als Auftragsverarbeiter. Die Formulare sind unsere eigenen; Ihre Eingaben dort, insbesondere Ihr Passwort, überträgt Ihr Browser direkt an Clerk. Unsere Server erhalten Ihr Passwort nicht. Clerk wird nur in der Lernanwendung (app.verimeda.com) geladen, nicht auf der Website verimeda.com.

Clerk verarbeitet dabei folgende Daten:

• E-Mail-Adresse, Name (falls angegeben), Status der E-Mail-Bestätigung sowie Sprache und Zeitzone Ihres Browsers;
• Ihr Passwort, ausschließlich als kryptografischer Hash;
• Zeitpunkte von Registrierung und Anmeldungen sowie zu jeder Sitzung IP-Adresse, Browser- und Gerätetyp und einen daraus abgeleiteten ungefähren Standort (Stadt, Land);
• die Cookies und Sitzungstoken aus Abschnitt 8.

Clerk versendet in unserem Auftrag die E-Mails mit Einmalcodes zur Bestätigung Ihrer E-Mail-Adresse und zum Zurücksetzen des Passworts. Bei der Registrierung prüft ein Bot-Schutz anhand technischer Merkmale Ihres Browsers, ob die Anfrage von einem Menschen stammt. [PLATZHALTER: Anbieter des Bot-Schutzes prüfen – nach unserem Kenntnisstand Cloudflare Turnstile, eingebunden über Clerk – und hier nennen.] In der Lernanwendung lädt Ihr Browser Programmcode von Clerk und fragt den Anmeldestatus ab; dabei erhält Clerk Ihre IP-Adresse und Browser-Kennung, auch wenn Sie nicht angemeldet sind.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; soweit Clerk Anmeldedaten und den Bot-Schutz zur Abwehr von Missbrauch nutzt, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit der Konten). Clerk verarbeitet die Daten in den USA. [PLATZHALTER: Speicherort und Übermittlungsgrundlage laut Clerk-DPA prüfen – EU-US Data Privacy Framework (Art. 45 DSGVO) oder Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); Auftragsverarbeitungsvertrag abschließen und Datum eintragen; Link zur Liste der Unterauftragsverarbeiter.]

Lernstand, Abo-Status und alle übrigen Daten speichert Clerk nicht; sie liegen in unserer Datenbank. Für die Zuordnung speichern wir die Kennung Ihres Clerk-Kontos sowie eine Kopie von E-Mail-Adresse, Bestätigungsstatus und Name.

7. Abo und Zahlung über Stripe

Für den Abschluss und die Abrechnung des Abos nutzen wir Stripe. Vertragspartner für Kundinnen und Kunden im Europäischen Wirtschaftsraum ist die Stripe Payments Europe, Limited, Irland. Wenn Sie einen Plan wählen, leiten wir Sie auf die Bezahlseite von Stripe weiter. Dort geben Sie Name, Rechnungsadresse und Zahlungsdaten direkt bei Stripe ein; wir erhalten keine vollständigen Karten- oder Kontodaten. Stripe berechnet die Umsatzsteuer, stellt die Rechnungen aus und stellt das Kundenportal bereit, in dem Sie kündigen, Zahlungsmittel ändern und Rechnungen abrufen.

Von Stripe erhalten und speichern wir die Kennung Ihres Kundenkontos, des Abos und des Preises, den Status des Abos, das Laufzeitende und ob es gekündigt ist. Damit schalten wir die Einheiten frei. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Aufbewahrung der Rechnungen und Buchungsbelege richtet sich nach Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 132 Bundesabgabenordnung (sieben Jahre).

Stripe verarbeitet Zahlungsdaten zum Teil als eigener Verantwortlicher, etwa zur Betrugsprävention und zur Erfüllung finanzrechtlicher Pflichten; dafür gilt die Datenschutzerklärung von Stripe. Auf der Bezahlseite setzt Stripe eigene Cookies auf seiner Domain. Daten können an die Stripe, Inc., USA, übermittelt werden. [PLATZHALTER: Rollen (Auftragsverarbeiter oder eigener Verantwortlicher), Übermittlungsgrundlage und Datenverarbeitungsvereinbarung von Stripe prüfen und eintragen.]

8. Cookies und Speicher im Browser

Wir setzen keine Tracking-Cookies. Es gibt nur diese Einträge:

Clerk kann zusätzlich kurzlebige Hilfs-Cookies für den Abgleich der Sitzung setzen (Namen beginnend mit __clerk_ sowie __refresh). Die Cookies der Anmeldung sind für den von Ihnen gewünschten Dienst unbedingt erforderlich (§ 165 Abs. 3 TKG 2021); das Cookie theme und der Sitzungsspeicher entstehen nur durch Ihre eigene Bedienung und dienen allein der gewünschten Funktion. Deshalb gibt es kein Cookie-Banner. [PLATZHALTER: Liste nach dem Livegang mit der Produktionsinstanz im Browser prüfen und die Einordnung des Farbschema-Cookies rechtlich bestätigen.]

9. Empfänger und Auftragsverarbeiter

Wir setzen folgende Dienstleister ein, die Daten in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO verarbeiten:

• Hosting und Datenbank: Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland. Server, Datenbank und Sicherungskopien liegen in Rechenzentren in der Europäischen Union [PLATZHALTER: Standort eintragen, z. B. Falkenstein, Nürnberg oder Helsinki]. Die Anwendungen betreiben wir mit der Software Dokploy, die wir selbst auf diesen Servern installiert haben; der Hersteller von Dokploy erhält dabei keine Daten. [PLATZHALTER: bestätigen, dass kein Cloud-Dienst von Dokploy genutzt wird.]
• Anmeldung und Kontoverwaltung: Clerk, Inc., USA (Abschnitt 6).
• Zahlung und Rechnungen: Stripe Payments Europe, Limited, Irland (Abschnitt 7).
• E-Mail-Versand und Warteliste: Resend, Inc., USA. Verarbeitet werden E-Mail-Adresse und Inhalt der E-Mails, die wir selbst versenden, und die Empfängerliste der Warteliste (Abschnitt 5). [PLATZHALTER: Anschrift, Übermittlungsgrundlage (EU-US Data Privacy Framework oder Standardvertragsklauseln) und gewählte Versandregion prüfen.]
• Namensauflösung (DNS): [PLATZHALTER: Cloudflare, Inc., USA, falls die Domain dort verwaltet wird; prüfen, ob Cloudflare nur DNS bereitstellt oder auch den Datenverkehr leitet (Proxy), und dann IP-Adressen und Übermittlungsgrundlage nennen.]

Eine Übermittlung in Drittländer außerhalb der EU erfolgt nur an die genannten Anbieter mit Sitz in den USA und nur auf Grundlage eines Angemessenheitsbeschlusses (Art. 45 DSGVO) oder von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

10. Speicherdauer

• Konto und Lernstand: bis Sie Ihr Konto löschen. Das Konto wird sofort gesperrt, Ihr Konto bei Clerk umgehend gelöscht, alle übrigen Daten innerhalb von 24 Stunden.
• Abo und Zahlung: Status und Kennungen des Abos bis zur Kontolöschung; Rechnungen und Buchungsbelege sieben Jahre (§ 132 BAO), auch über die Kontolöschung hinaus.
• Warteliste: bis zum Widerruf Ihrer Einwilligung; nicht bestätigte Anmeldungen siehe Abschnitt 5.
• Sicherungskopien: 14 Tage. Gelöschte Daten können bis dahin in Sicherungskopien enthalten sein und werden dort nicht mehr verwendet.
• Server-Protokolle mit IP-Adressen: 30 Tage. [PLATZHALTER: Aufbewahrung der Protokolle in Dokploy entsprechend einstellen.]
• Anfragen per E-Mail: bis Ihr Anliegen erledigt ist, längstens drei Jahre, soweit keine Aufbewahrungspflicht besteht.

11. Auskunft und Datenexport

Eine Kopie Ihrer bei uns gespeicherten Daten (Konto, Einstellungen, Lernstand, Abo-Status) erhalten Sie auf Anfrage in einem maschinenlesbaren Format (JSON). Damit setzen wir Ihre Rechte auf Auskunft und Datenübertragbarkeit (Art. 15 und 20 DSGVO) um. Daten, die nur bei Clerk oder Stripe gespeichert sind, etwa Anmeldezeitpunkte oder Rechnungen, sind darin nicht enthalten; Rechnungen finden Sie im Kundenportal.

12. Ihre Rechte

Ihnen stehen gegenüber uns folgende Rechte zu:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO);
• Berichtigung unrichtiger Daten (Art. 16 DSGVO);
• Löschung (Art. 17 DSGVO) – über die Kontolöschung im Konto oder auf Anfrage;
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit (Art. 20 DSGVO);
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO);
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO), etwa für die Warteliste.

Für die Ausübung Ihrer Rechte genügt eine E-Mail an [PLATZHALTER: Datenschutz-Kontakt-E-Mail-Adresse]; weitere Wege stehen auf der Seite Kontakt. Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen Datenschutzrecht verstößt, können Sie sich bei der Aufsichtsbehörde beschweren. In Österreich ist dies die Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, www.dsb.gv.at. Sie können sich auch an die Aufsichtsbehörde Ihres Aufenthaltsorts wenden.

13. Keine automatisierte Entscheidungsfindung

Wir treffen keine automatisierten Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne von Art. 22 DSGVO. Der Wiederholungsplan berechnet lediglich, wann ein Begriff wieder abgefragt wird; Sie können jeden Vorschlag übergehen.

14. Pflicht zur Bereitstellung

Die Website und die Gratis-Einheiten können Sie ohne Angaben nutzen. Für ein Konto benötigen wir eine E-Mail-Adresse und ein Passwort, für ein Abo zusätzlich die Angaben im Bezahlvorgang von Stripe; ohne sie ist die jeweilige Nutzung nicht möglich. Die Angabe eines Namens und die Eintragung in die Warteliste sind freiwillig.

15. Sicherheit

Alle Verbindungen zu Verimeda, zu Clerk und zu Stripe sind verschlüsselt (TLS). Passwörter verwaltet Clerk ausschließlich als kryptografischen Hash; zu schwache und aus bekannten Datenlecks stammende Passwörter werden abgelehnt, und nach wiederholten Fehlversuchen wird die Anmeldung vorübergehend gesperrt. Zahlungsdaten verarbeitet nur Stripe. Anfragen an unsere Server sind begrenzt, und der Zugriff auf Produktivdaten ist auf die für den Betrieb notwendigen Personen beschränkt.

16. Minderjährige

Verimeda richtet sich an Studierende; ein Konto ist für Personen ab 16 Jahren bestimmt. Wir verarbeiten wissentlich keine Daten jüngerer Personen; sollten wir davon erfahren, löschen wir das Konto.

17. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich Verimeda, unsere Dienstleister oder die Rechtslage ändern. Die aktuelle Fassung ist stets unter dieser Adresse abrufbar; das Datum der letzten Änderung steht oben auf dieser Seite. Über wesentliche Änderungen informieren wir Sie per E-Mail.

Dieser Text ist ein Entwurf und wird vor Veröffentlichung rechtlich geprüft.