1. Daten & Privatsphäre

Stand: September 2026

Wir sind ein Cyber-Security-Unternehmen. Wenn wir Ihnen erklären, wie man Daten schützt, müssen wir bei unseren eigenen zuerst liefern. Diese Seite sagt in normaler Sprache, was auf hub.agentur-cyberschutz.at mit Ihren Daten passiert – wer sie sieht, wo sie liegen, wie lange sie bleiben.

Die vollständigen Rechtsangaben nach Art. 13 und 14 DSGVO finden Sie in unserer Datenschutzerklärung.

2. Verantwortlich sind wir – nicht der Plattformbetreiber

Verantwortlicher im Sinne der DSGVO ist die Agentur Cyberschutz – Cyber- und IT-Security & Consulting GmbH. Die Lernplattform selbst wird technisch von der courseticket GmbH (Wien) betrieben. Über diesen Betrieb haben wir einen Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO geschlossen: courseticket verarbeitet Ihre Daten ausschließlich auf unsere Weisung und für keinen anderen Zweck.

Fragen zum Datenschutz: datenschutz@agentur-cyberschutz.at

3. Ihre Lerndaten werden nicht ausgewertet und nicht weitergegeben

Das ist der Punkt, der Lernplattformen üblicherweise unterscheidet – und der bei uns vertraglich festgeschrieben ist:

• Unser Plattformbetreiber darf die Daten nicht für eigene Zwecke verwenden – auch nicht anonymisiert für Produktverbesserung, Benchmarking oder Modelltraining.
• Er darf sie nicht inhaltlich analysieren und keine Kopien oder Duplikate ohne unser Wissen erstellen.
• Einsicht in die Datenspeicher nimmt er nur, wenn es technisch notwendig ist, und nur nach ausdrücklicher schriftlicher Freigabe unserer Geschäftsführung.
• Auskünfte an Dritte erteilt er nur nach unserer vorherigen Weisung.

Wir selbst verwenden Lernfortschritte für den Zweck, für den Sie sie erzeugt haben: Kursbetrieb, Teilnahmebestätigungen und – bei Firmenkunden – die Nachweisführung gegenüber Ihrem Arbeitgeber im vereinbarten Umfang. Nicht für Werbeprofile.

4. Speicherung und Verarbeitung erfolgen in der EU

Die Plattform läuft auf Amazon Web Services im Standort Frankfurt, Deutschland. Dort liegen Ihr Konto, Ihre Kursbuchungen und Ihre Lernfortschritte. Vertraglich ist festgelegt, dass die Leistung ausschließlich in der EU bzw. im EWR erbracht wird. Eine Verlagerung in ein Drittland ist nur mit unserer vorherigen Zustimmung möglich und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

Statische Inhalte wie Schriften, Bilder und Skripte werden über ein Content Delivery Network (Amazon CloudFront) ausgeliefert. Dabei wird Ihre IP-Adresse an den Auslieferungsknoten übermittelt – technisch notwendig, damit die Seite bei Ihnen ankommt. [PRÜFEN: Regionsbeschränkung der CloudFront-Distribution von courseticket schriftlich bestätigen lassen, dann hier ergänzen: „Die Auslieferung ist auf Standorte innerhalb der EU/des EWR beschränkt.”]

Der Hosting-Betrieb ist unter anderem nach ISO/IEC 27001, 27017, 27018, 27701, 22301, 20000-1 und 9001 sowie CSA STAR CCM v4.0 zertifiziert. Diese Nachweise können wir von unabhängigen Prüfern jederzeit anfordern – das ist Teil unseres Vertrags, nicht ein Versprechen auf Zuruf.

5. Wer außer uns technisch mit der Plattform zu tun hat

Wir halten die Liste kurz und offen:

Weitere Subunternehmer darf der Plattformbetreiber nur mit unserer Genehmigung einsetzen, und er muss uns Name, Anschrift und Tätigkeit vorher nennen. Die Prüfunterlagen zu diesen Dienstleistern stehen uns auf Anfrage zu.

6. Zahlung: Wir sehen Ihre Kartendaten nicht

Kartenzahlungen und SEPA-Zahlungen laufen über Stripe. Ihre Kartendaten werden direkt bei Stripe eingegeben und verarbeitet – wir erhalten sie nicht. Für Betrugsprävention und die Erfüllung eigener gesetzlicher Pflichten ist Stripe selbst Verantwortlicher und kann Daten auch in die USA übermitteln; dafür gelten die EU-Standardvertragsklauseln. Details in den Stripe-Datenschutzbedingungen.

Wenn Sie das nicht möchten: Sie können bei uns auch auf Rechnung buchen. Dann fällt kein Zahlungsdienstleister an.

7. Was wir messen – und was nicht

Für die Reichweitenmessung nutzen wir Matomo, betrieben als Matomo Cloud durch die InnoCraft Ltd (Wellington, Neuseeland). Gespeichert werden die Daten in europäischen Rechenzentren – Frankfurt, mit Sicherungskopien in Dublin. Mit InnoCraft besteht ein Auftragsverarbeitungsvertrag; er ist fester Bestandteil der Nutzungsbedingungen. Für den Zugriff aus Neuseeland gilt der Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 Abs. 3 DSGVO – zusätzliche Garantien sind dafür nicht erforderlich.

Besucher-IP-Adressen werden gekürzt gespeichert (die letzten zwei Bytes werden maskiert). Die Rohdaten der Reichweitenmessung werden nach 365 Tagen automatisch gelöscht. Aggregierte Auswertungen ohne Personenbezug – etwa Seitenaufrufe pro Monat – bleiben darüber hinaus erhalten.

Und sie kommt ohne Cookies aus: Es wird kein Wiedererkennungsmerkmal auf Ihrem Gerät gespeichert, und Ihre Lernaktivität wird nicht mit Ihrem Benutzerkonto verknüpft. Auch das haben wir am 11.09.2026 nachgemessen.

Performance-Cookies setzen wir nur mit Ihrer Einwilligung; ohne Einwilligung funktioniert die Plattform mit den essenziellen Cookies (Session-Cookie: 30 Tage) vollständig. Das ist durch eine Messung am 07.09.2026 belegt: ohne Einwilligung wurde kein Analyse- oder Werbedienst geladen.

Was auf der Plattform nicht läuft: keine Werbenetzwerke, kein Tracking für Drittanbieter, kein Weiterverkauf von Nutzungsdaten.

Das ist nicht nur behauptet, sondern nachgemessen. Bei einer Überprüfung am 11.09.2026 hat die Plattform genau fünf Adressen kontaktiert: unsere eigene Plattform, das Auslieferungsnetz und die Entwicklungsumgebung unseres Betreibers sowie unsere Reichweitenmessung. Kein Werbenetzwerk, kein Analysedienst Dritter. Unser Plattformbetreiber hat uns zusätzlich schriftlich bestätigt, dass Dienste dieser Art zu keinem Zeitpunkt eingebunden waren.

Für Learning Analytics gilt zusätzlich: protokollierte Lernaktivitäten werden in logisch getrennten Datenspeichern abgelegt und pseudonymisiert, sodass daraus keine unmittelbaren Rückschlüsse auf einzelne Personen möglich sind.

8. Technische Absicherung

• Verschlüsselte Übertragung: der gesamte Datenverkehr über die Plattform ist TLS-verschlüsselt (128/256 Bit), Zertifikate von anerkannten Trustcentern.
• Getrennte Datenhaltung: Daten unterschiedlicher Auftraggeber werden logisch getrennt gespeichert; nur zuständige Projektmitarbeiter erhalten Zugriff. Ihre Daten liegen getrennt von Test- und Entwicklungsdaten.
• Zugriffskontrolle: Identity- und Access-Management, Zugriffskontrolllisten, Berechtigungsvergabe nach Notwendigkeit; administrativer Zugriff auf Netzwerk, Hardware und Monitoring ist auf einen namentlich engen Personenkreis beschränkt.
• Nachvollziehbarkeit: Änderungen an Datenbanken erfolgen nur nach Zustimmung eines zuständigen Mitarbeiters unserer Agentur; über alle Systeme, in denen personenbezogene Daten verarbeitet werden, führen wir ein Verzeichnis der Verarbeitungstätigkeiten.
• Regelmäßige Prüfung: die Wirksamkeit der technischen und organisatorischen Maßnahmen wird mindestens jährlich überprüft und bewertet.

9. Wie lange Ihre Daten bleiben

• Konto- und Kursdaten: grundsätzlich 40 Monate nach Vertragsende, danach Löschung.
• Zahlungs- und Abrechnungsdaten: solange gesetzliche Aufbewahrungsfristen es verlangen.
• Matomo-Auswertungen: 365 Tage.
• Nach Vertragsende: unser Plattformbetreiber ist verpflichtet, sämtliche Daten datenschutzgerecht zu löschen oder zu vernichten – und uns die Löschung schriftlich mit Datum zu bestätigen.

10. Wenn etwas passiert

Unser Plattformbetreiber muss uns Störungen, Verstöße und schon den Verdacht auf eine Datenschutzverletzung unverzüglich melden und uns bei unseren Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO unterstützen. Meldungen an die Behörde oder an Betroffene erfolgen ausschließlich durch uns – damit Sie die Information von der Stelle bekommen, die auch verantwortlich ist.

11. Ihre Rechte

Sie haben jederzeit das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO). Eine erteilte Einwilligung können Sie jederzeit widerrufen.

Schreiben Sie uns dazu an datenschutz@agentur-cyberschutz.at. Wir antworten innerhalb der gesetzlichen Frist von einem Monat.

Wenn Sie mit unserer Antwort nicht zufrieden sind, können Sie sich bei der Aufsichtsbehörde beschweren:

Österreichische Datenschutzbehörde Barichgasse 40–42, 1030 Wien +43 1 52 152-0, dsb@dsb.gv.at

12. Für Unternehmenskunden

Wenn Sie Ihre Beschäftigten über die CYBER-Akademie schulen, verarbeiten wir dabei Daten Ihrer Mitarbeiter. Dafür stellen wir Ihnen einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO samt Verzeichnis der technischen und organisatorischen Maßnahmen und der eingesetzten Subunternehmer zur Verfügung. Anfrage genügt: datenschutz@agentur-cyberschutz.at