DSGVO & Daten-Vertrauenscenter

Gültig ab: 1. Januar 2026

Zuletzt aktualisiert: 5. September 2026

Dieses Vertrauens- und Datenblatt ist eine leicht verständliche Ergänzung zu unserer Datenschutzerklärung und unserer Sicherheitsübersicht. Es fasst an einem Ort zusammen, wie Kompunik die EU-Datenschutz-Grundverordnung (DSGVO) einhält: die Rechtsgrundlagen, auf die wir uns stützen, die von uns verarbeiteten Daten, die von uns eingesetzten Auftragsverarbeiter, wie lange wir Ihre Daten aufbewahren und wie Sie Ihre Rechte ausüben können.

Sollte etwas hierin im Widerspruch zur Datenschutzerklärung stehen, hat die Datenschutzerklärung als rechtsverbindliches Dokument Vorrang.

1. Verantwortlicher

Kompunik SAS 6 rue des Moulins, 13570 Barbentane, France

Kontakt für Datenschutz: compliance@kompunik.org
Allgemeiner Support: contact@kompunik.org

Kompunik SAS ist der Verantwortliche für die personenbezogenen Daten, die über die Kompunik-Lernplattform verarbeitet werden. Wir bestimmen die Zwecke und Mittel der Verarbeitung Ihrer personenbezogenen Daten und sind für deren Schutz gemäß der DSGVO verantwortlich.

Für Organisationen (Unternehmen, Universitäten), die ihre Mitglieder anmelden, handelt Kompunik als Auftragsverarbeiter im Auftrag der Organisation für die innerhalb ihres Bereichs erzeugten Lerndaten und als Verantwortlicher für Konto- und Abrechnungsdaten.

1.1 Für Zahlungen gilt ein eigener Verantwortlicher

Persönliche Abonnements werden von Paddle.com Market Limited (Vereinigtes Königreich) als Merchant of Record verkauft. Paddle ist der Verkäufer Ihrer Bestellung — kein Dienstleister, der nach unseren Weisungen handelt.

Das hat eine konkrete Folge für Ihre Daten: Für die Zahlung selbst ist Paddle ein eigenständiger Verantwortlicher und nicht unser Auftragsverarbeiter. Paddle entscheidet selbst über Zwecke und Mittel der Verarbeitung Ihrer Zahlungs- und Steuerdaten, um seinen eigenen Pflichten als Verkäufer nachzukommen (Zahlungsautorisierung, Betrugsprüfung, Ermittlung und Abführung von Umsatzsteuer, Rechnungsstellung und gesetzliche Aufbewahrung). Wir können Paddle hinsichtlich dieser Zwecke keine Weisungen erteilen, und Paddle verarbeitet diese Daten nicht in unserem Auftrag.

In der Praxis:

Für Ihre Konto- und Lerndaten ist Kompunik der Verantwortliche. Richten Sie entsprechende Anfragen an uns.
Für Ihre Zahlungs- und Rechnungsdaten ist Paddle der Verantwortliche. Dafür gilt die Datenschutzerklärung von Paddle, und Betroffenenanfragen zu Zahlungsdaten müssen unter Umständen an Paddle gerichtet werden — siehe paddle.com/legal/privacy. Wir helfen Ihnen, jede Anfrage weiterzuleiten, die uns zuerst erreicht.

Organisationsverträge (Enterprise und Academic) werden direkt von Kompunik SAS in Rechnung gestellt; Paddle ist daran nicht beteiligt. Abschnitt 6 erläutert, welcher Anbieter wo zum Einsatz kommt.

2. Rechtsgrundlagen der Verarbeitung

Jede Kategorie personenbezogener Daten, die wir verarbeiten, stützt sich auf eine der folgenden Rechtsgrundlagen der DSGVO (Artikel 6):

Verarbeitungstätigkeit	Rechtsgrundlage
Erstellung und Verwaltung Ihres Kontos	Erfüllung eines Vertrags (Art. 6 Abs. 1 lit. b)
Bereitstellung von Kursen, Fortschrittsverfolgung, Ausstellung von Zertifikaten	Erfüllung eines Vertrags (Art. 6 Abs. 1 lit. b)
Empfang der Kaufbestätigung, um Ihre Lizenz freizuschalten	Erfüllung eines Vertrags (Art. 6 Abs. 1 lit. b)
Aufbewahrung unserer Finanz- und Abrechnungsunterlagen	Rechtliche Verpflichtung nach französischem Recht (Art. 6 Abs. 1 lit. c)
Versand von Service- und Sicherheits-E-Mails (Verifizierung, MFA, Belege)	Erfüllung eines Vertrags (Art. 6 Abs. 1 lit. b)
Produktanalysen aus Ihrer eigenen Aktivität	Berechtigtes Interesse (Art. 6 Abs. 1 lit. f)
Optionale Community-, öffentliche Profil- und Vergleichsfunktionen	Einwilligung (Art. 6 Abs. 1 lit. a)
KI-gestützte Erkenntnisse (Manager-Pulse, Übersetzungen)	Berechtigtes Interesse, mit Widerspruchsmöglichkeit (Art. 6 Abs. 1 lit. f)
Marketing-E-Mails, sofern zutreffend	Einwilligung (Art. 6 Abs. 1 lit. a)

Sie können Ihre Einwilligung jederzeit widerrufen, wenn die Einwilligung die Grundlage ist, ohne dass dies die bereits erfolgte Verarbeitung berührt.

3. Von uns verarbeitete personenbezogene Daten

Identität & Konto: Name, E-Mail-Adresse, gehashtes Passwort, bevorzugte Sprache, Rolle und Organisationszugehörigkeit.
Authentifizierung: Anmeldezeitstempel, MFA-Einstellungen und SSO-Kennungen von Google Workspace oder Microsoft Entra ID (falls genutzt).
Lerndaten: Kursfortschritt, Antworten aus Quizzen und Selbsteinschätzungen, Diagnoseergebnisse, Taktiken, Playlists und Zertifikate.
Community-Daten (Opt-in): Beiträge, Kommentare, Reaktionen und öffentliche Profilangaben, die Sie freiwillig teilen.
Zahlungsdaten: Rechnungsname, Transaktionsunterlagen und Abonnementstatus. Wir erhalten oder speichern niemals vollständige Kartennummern oder CVVs. Bei persönlichen Abonnements gehen diese direkt an Paddle als Merchant of Record, bei der Abrechnung von Organisationen direkt an Stripe. Zu uns gelangen nur die Kennungen, die wir zur Freischaltung und Verwaltung Ihrer Lizenz benötigen: eine Kunden- und Transaktionsreferenz, der belastete Betrag samt Währung sowie das Verlängerungsdatum.
Technische Daten: anonyme Sitzungskennung, grobe Geräte-/Browser-Informationen und erstanbieterbasierte Seitenanalysen zur Verbesserung des Produkts.

Wir verkaufen keine personenbezogenen Daten, wir verwenden keine Werbe-Cookies von Drittanbietern und wir betreiben keine Tracker von Drittanbietern wie Google Analytics.

4. Ihre Rechte nach der DSGVO

Nach der DSGVO haben Sie das Recht auf:

Auskunft – eine Kopie der über Sie gespeicherten personenbezogenen Daten zu erhalten.
Berichtigung – unrichtige oder unvollständige Daten korrigieren zu lassen.
Löschung („Recht auf Vergessenwerden") – die Löschung Ihres Kontos und Ihrer Daten zu verlangen.
Einschränkung – uns unter bestimmten Umständen zu bitten, die Verarbeitung einzuschränken.
Datenübertragbarkeit – Ihre Daten in einem strukturierten, maschinenlesbaren Format zu erhalten.
Widerspruch – der auf berechtigtem Interesse beruhenden Verarbeitung zu widersprechen.
Widerruf der Einwilligung – für jede auf Einwilligung beruhende Verarbeitung.

So üben Sie diese Rechte aus:

Selbstbedienung: In Ihren Kontoeinstellungen können Sie Ihre personenbezogenen Daten jederzeit exportieren und Ihr Konto direkt löschen.
Per E-Mail: Schreiben Sie an compliance@kompunik.org. Wir beantworten alle Anfragen innerhalb von 30 Tagen, wie von der DSGVO gefordert.

Sie haben außerdem das Recht, bei Ihrer örtlichen Aufsichtsbehörde Beschwerde einzulegen. In Frankreich ist dies die CNIL (Commission Nationale de l'Informatique et des Libertés – cnil.fr).

5. Datenspeicherung

Datenkategorie	Aufbewahrungsdauer
Konto- und Lerndaten	Für die Dauer des Bestehens Ihres Kontos
Daten gelöschter Konten	Gelöscht innerhalb von 30 Tagen nach dem Löschantrag
Finanz- und Rechnungsunterlagen	7 Jahre (rechtliche Verpflichtung nach französischem Recht)
Diagnoseergebnisse	90 Tage (automatischer Ablauf)
Verlauf KI-generierter Erkenntnisse	90 Tage (automatischer Ablauf)
Anonyme Seitenanalysen	Aggregiert; keine langfristigen personenbezogenen Kennungen
Audit-Protokolle	Zu Sicherheits- und Compliance-Zwecken aufbewahrt, dann rotiert

Nach Ablauf einer Aufbewahrungsfrist werden die Daten gelöscht oder unumkehrbar anonymisiert.

6. Auftragsverarbeiter

Wir stützen uns auf eine kleine Anzahl sorgfältig ausgewählter Auftragsverarbeiter, um die Plattform zu betreiben. Jeder verarbeitet personenbezogene Daten nach unseren Weisungen, ist durch einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO gebunden und wendet geeignete Schutzmaßnahmen an. Die Daten werden in der EU (Frankfurt, Germany) gehostet, sofern der Anbieter regionales Hosting anbietet.

Auftragsverarbeiter	Zweck	Datenstandort
MongoDB Atlas	Primäre Datenbank (Konten, Lerndaten)	EU – Frankfurt
DigitalOcean Spaces	Medien-, Zertifikats- und Dateispeicherung	EU-Region, verschlüsselt gespeichert
Vercel	Anwendungshosting und -bereitstellung	EU-Funktionsregion (Frankfurt)
Upstash Redis	Ratenbegrenzung	EU – Frankfurt
Stripe	Zahlungsabwicklung ausschließlich für die Abrechnung von Organisationen (Enterprise und Academic) — PCI-DSS Level 1	EU/US mit SCC
Resend	Versand transaktionaler E-Mails	EU/US mit SCC
Google & Microsoft	Optionale SSO-Anmeldung (OAuth)	EU/US mit SCC
OpenAI	KI-gestützte Manager-Erkenntnisse (Widerspruch möglich)	US mit SCC
DeepL	Inhaltsübersetzung	EU (Germany)
Sentry	Fehlerüberwachung	EU/US mit SCC

Wir führen eine aktuelle Liste der Auftragsverarbeiter. Wenn wir einen Auftragsverarbeiter hinzufügen oder ersetzen, der die Verarbeitung Ihrer Daten wesentlich betrifft, werden wir diese Seite aktualisieren.

6.1 Eigenständige Verantwortliche (keine Auftragsverarbeiter)

Die folgende Partei steht bewusst nicht in der Tabelle oben, weil es unzutreffend wäre, sie als unseren Auftragsverarbeiter zu bezeichnen:

Partei	Rolle	Warum kein Auftragsverarbeiter
Paddle.com Market Limited	Merchant of Record für persönliche Abonnements	Paddle verkauft im eigenen Namen an Sie und bestimmt Zwecke und Mittel der Verarbeitung Ihrer Zahlungs- und Steuerdaten, um eigene gesetzliche Pflichten als Verkäufer zu erfüllen. Paddle ist damit eigenständiger Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO und handelt nicht nach unseren Weisungen.

Soweit Sie in einer direkten Beziehung zu Paddle stehen, gilt für diese Verarbeitung die Datenschutzerklärung von Paddle. Siehe Abschnitt 1.1.

7. Internationale Datenübermittlungen

Unsere Infrastruktur ist darauf ausgelegt, personenbezogene Daten wo immer möglich innerhalb der Europäischen Union zu halten. Sofern ein Auftragsverarbeiter Daten außerhalb der EU verarbeitet (zum Beispiel in den Vereinigten Staaten), ist die Übermittlung durch von der Europäischen Kommission genehmigte Standardvertragsklauseln (SCC) geschützt, zusammen mit ergänzenden technischen Schutzmaßnahmen wie Verschlüsselung bei der Übertragung und im Ruhezustand.

Zahlungsdaten aus persönlichen Abonnements gelangen zu Paddle.com Market Limited im Vereinigten Königreich. Übermittlungen in das Vereinigte Königreich stützen sich auf den Angemessenheitsbeschluss der Europäischen Kommission für das Vereinigte Königreich, solange dieser gilt, und ansonsten auf Standardvertragsklauseln. Da Paddle eigenständiger Verantwortlicher und nicht unser Auftragsverarbeiter ist (Abschnitt 1.1), erfolgt diese Übermittlung im Rahmen der Transfermechanismen von Paddle, nicht der unseren.

8. Sicherheitsmaßnahmen (Zusammenfassung)

Eine vollständige Beschreibung finden Sie in unserer Sicherheitsübersicht. Kurz gefasst:

Verschlüsselung überall: TLS 1.2+ bei der Übertragung; AES-256 im Ruhezustand.
Zugriffskontrolle: rollenbasierte Berechtigungen, MFA und Dienstkonten mit minimalen Rechten.
Signierte URLs: Medien werden über zeitlich begrenzte signierte Links (1 Stunde Gültigkeit) bereitgestellt.
Datenschutz standardmäßig: Profile sind privat, sofern Sie sich nicht dafür entscheiden.
Mandantenisolierung: Die Daten jeder Organisation sind streng voneinander getrennt.
Gehärtete Anwendung: serverseitige Validierung, Inhaltsbereinigung, parametrisierte Abfragen, CSP und Ratenbegrenzung.

9. Meldung von Datenschutzverletzungen

Im Falle einer Verletzung des Schutzes personenbezogener Daten, die voraussichtlich ein Risiko für Ihre Rechte und Freiheiten zur Folge hat, benachrichtigen wir die zuständige Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden und informieren die betroffenen Nutzer unverzüglich, wie es die Artikel 33 und 34 der DSGVO vorschreiben. Unser internes Ziel ist es, innerhalb von 48 Stunden nach Entdeckung mit der Untersuchung und Behebung zu beginnen.

10. Cookies und Tracking

Kompunik verwendet nur die für den Betrieb des Dienstes unbedingt erforderlichen Cookies und den lokalen Speicher (Authentifizierungssitzung, Sicherheit, Spracheinstellung) sowie erstanbieterbasierte, datenschutzfreundliche Analysen. Wir verwenden keine Werbe-Cookies und kein seitenübergreifendes Tracking. Neuen Besuchern wird ein Cookie-Banner angezeigt, und Einzelheiten finden Sie in unserer Datenschutzerklärung.

11. Daten von Kindern

Kompunik richtet sich nicht an Kinder unter 16 Jahren. Wir erheben wissentlich keine personenbezogenen Daten von Kindern. Wenn Sie glauben, dass ein Kind uns personenbezogene Daten übermittelt hat, wenden Sie sich bitte an compliance@kompunik.org, und wir werden diese löschen.

12. Kontakt

Bei Fragen zu Ihren Daten, zu diesem Vertrauens- und Datenblatt oder zur Ausübung Ihrer Rechte nach der DSGVO: