Datenschutzerklärung

Physpass.com – Sinka Tamás E.V.
Stand: 30.07.2026

Einführung

Sinka Tamás E.V. (1142 Budapest, Szatmár utca 49/B.; Steuernummer: 67188293-2-42; Firmennummer: 43986886) (nachfolgend: Dienstleister, Datenverwalter) unterwirft sich der folgenden Erklärung.

Die folgenden Informationen werden gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 95/46/EG (Datenschutz-Grundverordnung) bereitgestellt.

Die vorliegende Datenschutzerklärung regelt die Datenverwaltung der folgenden Seite: https://physpass.com
Die Datenschutzerklärung ist auf der folgenden Webseite abrufbar: https://physpass.com/datenschutz
Die Änderungen der Erklärung treten mit der Bekanntmachung unter dem o.g. Link in Kraft.

Die Kontaktdaten des Datenverwalters:
Name: Sinka Tamás E.V.
Standort: 1142 Budapest, Szatmár utca 49/B.
E-Mail: hello@physpass.com
Telefon: +36 30 545 4180

Begriffserklärungen

1. „Persönliche Daten" sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „Betroffener") beziehen; als identifizierbar gilt eine natürliche Person, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie Name, Kennnummer, Standortdaten, Online-Kennung oder zu einem oder mehreren besonderen Merkmalen (physischer, physiologischer, genetischer, psychischer, wirtschaftlicher, kultureller oder sozialer Art) identifiziert werden kann.

2. „Datenverwaltung": jeder Vorgang bzgl. persönlicher Daten oder Datenbestände, der automatisiert oder nicht automatisiert ausgeführt wird, wie die Sammlung, Festlegung, Strukturierung, Speicherung, Umwandlung oder Änderung, das Abfragen, die Verwendung, Mitteilung, Weiterleitung, Verbreitung oder jede andere Form der Bereitstellung, die Kombination, die Einschränkung, das Löschen oder Vernichten.

3. „Datenverwalter": die natürliche oder juristische Person, Behörde oder Organisation, die die Zwecke und Mittel der Datenverwaltung allein oder gemeinsam mit anderen festlegt.

4. „Datenverarbeiter": die natürliche oder juristische Person, Behörde oder Organisation, die im Namen des Datenverwalters die persönlichen Daten verarbeitet.

5. „Empfänger": die natürliche oder juristische Person, Behörde oder Organisation, der persönliche Daten mitgeteilt werden, unabhängig davon, ob es sich um einen Dritten handelt oder nicht.

6. „Einwilligung des Betroffenen": die freiwillige, eindeutige Willensbekundung des Betroffenen auf Grundlage angemessener Information, mit der er durch eine Erklärung oder eine eindeutige bestätigende Handlung sein Einverständnis mit der Verarbeitung der ihn betreffenden persönlichen Daten zum Ausdruck bringt.

7. „Datenschutzverletzung (Datenpanne)": eine Verletzung der Sicherheit, die unbeabsichtigt oder unrechtmäßig zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von bzw. zum unbefugten Zugang zu übermittelten, gespeicherten oder auf sonstige Weise verarbeiteten persönlichen Daten führt.

Prinzipien für die Verwaltung der persönlichen Daten

Die persönlichen Daten:

1. müssen rechtmäßig, nach Treu und Glauben und für den Betroffenen transparent verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz");
2. werden nur für festgelegte, eindeutige und rechtmäßige Zwecke erhoben und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden („Zweckbindung");
3. müssen dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt sein („Datenminimierung");
4. müssen sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; unrichtige Daten sind unverzüglich zu löschen oder zu berichtigen („Richtigkeit");
5. müssen in einer Form gespeichert werden, die die Identifizierung der Betroffenen nur so lange ermöglicht, wie es erforderlich ist („Speicherbegrenzung");
6. müssen in einer Weise verarbeitet werden, die eine angemessene Sicherheit der persönlichen Daten gewährleistet, einschließlich des Schutzes vor unbefugter oder unrechtmäßiger Verarbeitung sowie vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder Beschädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit").

Der Datenverwalter ist für die Einhaltung der oben genannten Grundsätze verantwortlich und muss deren Einhaltung nachweisen können („Rechenschaftspflicht").

Der Dienst verarbeitet keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO (insbesondere keine Gesundheitsdaten). Prüfungsbezogene Lerninhalte betreffen ausschließlich das Lernmaterial und stellen keine Gesundheitsdaten des Nutzers dar.

Datenverwaltung zum Betrieb der Website

1. Die Tatsache der Datensammlung, der Umfang der verarbeiteten Daten und der Zweck der Datenverwaltung:

Zahlungs- und Rechnungsdaten (einschließlich Rechnungsname und Rechnungsadresse) werden im Rahmen der Zahlungsabwicklung durch Stripe als Merchant of Record verarbeitet; der Diensteanbieter speichert diese Daten nicht. Näheres siehe Abschnitt „Empfänger / Auftragsverarbeiter" sowie „Datenübermittlung in Drittländer".

2. Kreis der Betroffenen: Alle Betroffenen, die auf der Website registriert sind bzw. den Dienst nutzen.

3. Zeitraum der Datenverwaltung, Frist der Löschung der Daten: Mit der Löschung des Kontos werden die Daten sofort gelöscht. Der Datenverwalter informiert den Betroffenen gemäß Artikel 19 DSGVO über die Löschung. Ausgenommen sind die Buchhaltungsunterlagen, die gemäß Artikel 169 (2) des Gesetzes C von 2000 über die Buchhaltung 8 Jahre lang aufbewahrt werden müssen. Hochgeladene PDF-Dateien werden nicht dauerhaft gespeichert: Die Datei wird nur vorübergehend im Arbeitsspeicher verarbeitet, um daraus Text zu extrahieren und Lernkarten zu erstellen, und nach Abschluss der Verarbeitung nicht aufbewahrt. Dauerhaft gespeichert werden lediglich der Dateiname und eine Prüfsumme (Hash-Wert) der Datei – zur Erkennung bereits hochgeladener Dateien – sowie die daraus erzeugten Lernkarten. Der aus der Datei extrahierte Text wird zur Erstellung der Lernkarten an Anthropic übermittelt (siehe Abschnitte „Empfänger / Auftragsverarbeiter" und „Datenübermittlung in Drittländer").

4. Empfänger der Daten: Die persönlichen Daten werden ausschließlich vom Datenverwalter (Einzelunternehmer) selbst verwaltet; es gibt keine Angestellten.

5. Die Betroffenen können vom Datenverwalter Zugang zu ihren persönlichen Daten, deren Berichtigung, Löschung und Einschränkung der Verarbeitung verlangen; sie haben das Recht auf Datenübertragbarkeit und das Recht, ihre Einwilligung jederzeit zu widerrufen.

6. Der Betroffene kann Zugang, Löschung, Änderung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch gegen die Datenverwaltung wie folgt veranlassen:

• per E-Mail: hello@physpass.com

7. Rechtfertigung der Datenverwaltung: Art. 6 Abs. 1 lit. b DSGVO sowie § 13/A Abs. 3 des Gesetzes CVIII von 2001 (Elker-Gesetz). Wird die Rechnung gemäß den Rechnungslegungsvorschriften ausgestellt, gilt Art. 6 Abs. 1 lit. c DSGVO. Bei der Geltendmachung von Ansprüchen aus dem Vertrag beträgt die Verjährungsfrist 5 Jahre gemäß § 6:21 des Gesetzes V von 2013 (BGB).

8. Wir informieren Sie, dass die Datenverwaltung für die Erfüllung des Vertrags benötigt wird, dass Sie zur Angabe der persönlichen Daten verpflichtet sind, damit wir die Bestellung erfüllen können, und dass die Nichtbereitstellung von Daten dazu führt, dass wir Ihre Bestellung nicht bearbeiten können.

Verwaltung von Cookies

1. Bei den für den Betrieb notwendigen Cookies handelt es sich um sogenannte „passwortgeschützte Sitzungscookies" und „Sicherheitscookies", die der vorherigen Zustimmung des Betroffenen nicht bedürfen.

2. Umfang der verarbeiteten Daten: eindeutige Kennung, technische Daten, Zeiten.

3. Kreis der Betroffenen: Alle Personen, die die Website besuchen.

4. Zweck der Datenverwaltung: Identifizierung der Nutzer und Aufrechterhaltung der sicheren, funktionsfähigen Sitzung.

5. Zeitraum der Datenverwaltung, Frist der Datenlöschung:

Konkret eingesetzte Cookies

Notwendige Cookies (First-Party, Domain physpass.com):

• „sb-…-auth-token" (Supabase): Authentifizierung und Aufrechterhaltung der angemeldeten Sitzung. Speicherdauer: Sitzung bzw. bis zum Ablauf/zur Abmeldung. Technisch notwendig, keine Einwilligung erforderlich. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Funktions- und Sicherheits-Cookies im Rahmen der Zahlungsabwicklung (Drittanbieter, gesetzt auf den Domains von Stripe während des Bezahlvorgangs):

• „__stripe_mid" (Stripe, checkout.stripe.com): Betrugsprävention und Zahlungsabwicklung. Speicherdauer: ca. 1 Jahr.
• „__stripe_sid" (Stripe, checkout.stripe.com): Betrugsprävention während der Zahlung. Speicherdauer: ca. 30 Minuten.
• „apay-session-set" (Stripe, b.stripecdn.com): Apple-Pay-Zahlungssitzung. Speicherdauer: ca. 1 Jahr.
• „__cf_bm" (Cloudflare, gesetzt über hCaptcha im Stripe-Checkout, Domain hcaptcha.com): Bot-Erkennung und Sicherheit während des Bezahlvorgangs. Speicherdauer: ca. 30 Minuten.

Diese Zahlungs- und Sicherheits-Cookies werden von Stripe und dessen Dienstleistern beim Aufruf des Stripe-Checkouts gesetzt. Sie sind für die sichere Durchführung der Zahlung erforderlich. Rechtsgrundlage: Art. 6 Abs. 1 lit. f bzw. lit. b DSGVO. Näheres regelt die Datenschutz- bzw. Cookie-Erklärung von Stripe (https://stripe.com/privacy).

6. Mit der Verwendung der notwendigen Cookies verwaltet der Datenverwalter keine darüber hinausgehenden persönlichen Daten zu Analyse- oder Marketingzwecken.

7. Die Betroffenen können die Cookies im Menü „Einstellungen" ihres Browsers unter „Datenschutz" löschen.

8. Rechtfertigung der Datenverwaltung: Die Zustimmung des Betroffenen ist nicht erforderlich, wenn der ausschließliche Zweck der Verwendung von Cookies die Übermittlung einer Nachricht über ein elektronisches Kommunikationsnetz ist oder wenn die Verwendung für die Bereitstellung eines vom Nutzer ausdrücklich gewünschten Dienstes der Informationsgesellschaft unbedingt erforderlich ist.

Datenübermittlung in Drittländer

Im Rahmen der Erbringung unserer Dienstleistungen kann es erforderlich sein, personenbezogene Daten an Dienstleister mit Sitz außerhalb des Europäischen Wirtschaftsraums (EWR), insbesondere in den Vereinigten Staaten von Amerika (USA), zu übermitteln oder diesen den Zugriff auf personenbezogene Daten zu ermöglichen.

Eine solche Übermittlung erfolgt ausschließlich, soweit sie für die Vertragserfüllung erforderlich ist oder auf einer anderen Rechtsgrundlage gemäß Art. 6 DSGVO beruht. Soweit personenbezogene Daten in die USA oder in andere Drittländer übermittelt werden, erfolgt dies ausschließlich unter Einhaltung der Vorgaben der Art. 44 ff. DSGVO, insbesondere auf Grundlage:

• eines Angemessenheitsbeschlusses der Europäischen Kommission (z. B. EU-US Data Privacy Framework), soweit der jeweilige Empfänger entsprechend zertifiziert ist; oder
• der von der Europäischen Kommission genehmigten Standardvertragsklauseln (Standard Contractual Clauses – SCC), sofern kein Angemessenheitsbeschluss anwendbar ist.

Zu den Dienstleistern, bei denen eine Übermittlung personenbezogener Daten in Drittländer erfolgen kann, gehören insbesondere Stripe, Anthropic, Cloudflare, Vercel sowie Google (Gmail), soweit deren jeweilige Leistungen in Anspruch genommen werden. Weitere Informationen zu den eingesetzten Dienstleistern sowie den jeweils getroffenen geeigneten Garantien finden Sie in den Datenschutzinformationen der jeweiligen Anbieter.

Beschwerdemanagement

1. Die Tatsache der Datensammlung, der Kreis der verwalteten Daten und der Zweck der Datenverwaltung:

2. Kreis der Betroffenen: Alle Betroffenen, die den Dienst nutzen und einen Qualitätseinspruch erheben bzw. sich beschweren.

3. Zeitraum der Datenverwaltung: Die Kopien des Protokolls über die Einsprüche, die Niederschrift und die Antworten müssen gemäß Art. 17/A Abs. 7 des Gesetzes CLV von 1997 über den Verbraucherschutz 5 Jahre lang aufbewahrt werden.

4. Empfänger der Daten: Die persönlichen Daten werden ausschließlich vom Datenverwalter (Einzelunternehmer) selbst verwaltet; es gibt keine Angestellten.

5. Die Betroffenen können Zugang, Berichtigung, Löschung oder Einschränkung der Verarbeitung verlangen; sie haben das Recht auf Datenübertragbarkeit und das Recht, ihre Einwilligung jederzeit zu widerrufen.

6. Der Betroffene kann diese Rechte per E-Mail (hello@physpass.com) veranlassen.

7. Die Bereitstellung der persönlichen Daten beruht auf einer vertraglichen und gesetzlichen Verpflichtung; die Angabe ist Voraussetzung dafür, dass Ihre Beschwerde bearbeitet werden kann. Ohne diese Daten kann die Beschwerde nicht bearbeitet werden.

Empfänger, mit denen die persönlichen Daten mitgeteilt werden

„Empfänger": die natürliche oder juristische Person, Behörde oder Organisation, der persönliche Daten mitgeteilt werden, unabhängig davon, ob es sich um einen Dritten handelt oder nicht.

1. Datenverarbeiter (die die Datenverarbeitung im Namen des Datenverwalters ausführen)

Der Datenverwalter nimmt Datenverarbeiter in Anspruch, um seine Datenverarbeitungstätigkeiten zu erleichtern und seine vertraglichen und gesetzlichen Verpflichtungen zu erfüllen. Der Datenverwalter legt großen Wert darauf, ausschließlich solche Datenverarbeiter in Anspruch zu nehmen, die angemessene Garantien für geeignete technische und organisatorische Maßnahmen bieten, um die Einhaltung der DSGVO zu gewährleisten und die Rechte der Betroffenen zu schützen.

Der Auftragsverarbeiter und jede unter der Kontrolle des Datenverwalters oder des Auftragsverarbeiters handelnde Person, die Zugang zu persönlichen Daten hat, darf diese nur gemäß den Anweisungen des Datenverwalters verarbeiten. Für die Tätigkeiten des Datenverarbeiters ist der Datenverwalter rechtlich verantwortlich. Der Auftragsverarbeiter hat keine wesentliche Entscheidungsbefugnis in Bezug auf die Verarbeitung der Daten.

Der Datenverwalter kann für die Bereitstellung des IT-Hintergrunds Hosting- und Infrastrukturanbieter als Auftragsverarbeiter beauftragen.

2. Einige Datenverarbeiter

Webhosting: Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, United States – privacy@vercel.com – vercel.com/legal/privacy-policy; Supabase, Inc., https://supabase.com/contact-us

Supabase, Inc. — Anschrift: 970 Toa Payoh North #07-04, Singapore 318992; Webseite: https://supabase.com; Kontakt: https://supabase.com/contact. Zweck: Benutzerauthentifizierung, PostgreSQL-Datenbank und Dateispeicherung. Dabei werden insbesondere Registrierungsdaten, Profildaten, Lerninhalte sowie weitere im Rahmen der Nutzung anfallende personenbezogene Daten verarbeitet. Die Daten werden in der Projektregion Frankfurt (Deutschland, EU) gespeichert. Mit Supabase wurde ein Auftragsverarbeitungsvertrag (Data Processing Agreement – DPA) abgeschlossen.

Stripe, Inc. / Stripe Payments Europe Ltd. — Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irland; Webseite: https://stripe.com; Datenschutz: https://stripe.com/privacy. Zweck: Zahlungsabwicklung, Abonnementverwaltung sowie Steuerberechnung (Stripe Managed Payments / Merchant of Record). Verarbeitet werden insbesondere Name, E-Mail-Adresse, Zahlungsdaten und Rechnungsinformationen. Eine Datenübermittlung in die USA kann auf Grundlage der Standardvertragsklauseln (SCC) sowie – soweit anwendbar – des EU-US Data Privacy Framework erfolgen. Mit Stripe wurde ein Auftragsverarbeitungsvertrag abgeschlossen.

Anthropic PBC (Claude API) — 548 Market Street, PMB 90375, San Francisco, CA 94104, USA; Webseite: https://www.anthropic.com; Datenschutz: https://www.anthropic.com/legal/privacy. Zweck: KI-gestützte Verarbeitung hochgeladener PDF-Dateien zur Erstellung von Lernkarten und Lernplänen. Verarbeitet werden ausschließlich die aus den PDF-Dateien extrahierten Inhalte sowie die für die Erstellung des Lernplans erforderlichen Angaben. API-Eingaben werden nach Angaben von Anthropic standardmäßig nicht zum Training der Modelle verwendet. Die Übermittlung erfolgt auf Grundlage der Standardvertragsklauseln (SCC). Ein DPA wurde abgeschlossen.

Brevo (Sendinblue SAS) — 106 Boulevard Haussmann, 75008 Paris, Frankreich; Webseite: https://www.brevo.com; Datenschutz: https://www.brevo.com/legal/privacypolicy. Zweck: Versand transaktionaler E-Mails (Registrierung, Authentifizierung, Passwort-Reset usw.). Verarbeitet werden insbesondere Name und E-Mail-Adresse. Die Datenverarbeitung erfolgt innerhalb der Europäischen Union. Ein DPA wurde abgeschlossen.

Cloudflare, Inc. — 101 Townsend Street, San Francisco, CA 94107, USA; Webseite: https://www.cloudflare.com; Datenschutz: https://www.cloudflare.com/privacypolicy. Zweck: DNS-Dienste, technische Infrastruktur, Sicherheitsfunktionen sowie E-Mail-Weiterleitung. Dabei können insbesondere IP-Adressen sowie Verbindungs- und Kommunikationsdaten verarbeitet werden. Soweit Daten in Drittländer übermittelt werden, erfolgt dies auf Grundlage der Standardvertragsklauseln (SCC). Ein DPA wurde abgeschlossen.

Vercel Inc. — 440 N Barranca Avenue #4133, Covina, CA 91723, USA; Webseite: https://vercel.com; Datenschutz: https://vercel.com/legal/privacy-policy. Zweck: Hosting der Website und der Anwendung. Dabei können insbesondere IP-Adressen, Server-Logdaten sowie sämtliche im Rahmen der Nutzung übertragenen Daten verarbeitet werden. Eine Datenübermittlung in Drittländer erfolgt auf Grundlage der Standardvertragsklauseln (SCC). Ein DPA wurde abgeschlossen.

Google LLC (Gmail) — 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA; Webseite: https://www.google.com; Datenschutz: https://policies.google.com/privacy. Eingehende E-Mails an hello@physpass.com werden an das vom Verantwortlichen genutzte Gmail-Postfach weitergeleitet. Google verarbeitet die Inhalte der E-Mails ausschließlich im Rahmen der Bereitstellung des E-Mail-Dienstes.

3. Datenübertragung an einen Dritten

Datenverwalter als Dritte verarbeiten die von uns bereitgestellten persönlichen Daten im eigenen Namen, entsprechend ihrer eigenen Datenschutzerklärung.

Kundenkontakte und andere Datenverwaltungen

1. Sollte der Nutzer während der Nutzung unserer Dienstleistungen Fragen haben oder Probleme feststellen, kann er den Datenverwalter über die auf der Webseite angegebenen Methoden (Telefon, E-Mail) kontaktieren.

2. Der Datenverwalter löscht die eingehenden E-Mails bzw. telefonisch übermittelten Nachrichten mit dem Namen und der E-Mail-Adresse des Interessenten sowie sonstige freiwillig angegebene personenbezogene Daten nach spätestens 2 Jahren ab dem Datum der Mitteilung.

3. Über Datenverwaltungen, die in dieser Mitteilung nicht aufgeführt sind, wird bei der Datenaufnahme Information bereitgestellt.

4. Im Falle einer außergewöhnlichen Aufforderung durch eine Behörde bzw. bei der Anfrage anderer gesetzlich befugter Dienststellen ist der Dienstleister verpflichtet, Auskunft zu geben, Daten zu ermitteln, zu übergeben bzw. die Dokumente zur Verfügung zu stellen.

5. Der Dienstleister gibt in diesen Fällen dem Melder – falls dieser den genauen Zweck und den Kreis der Daten bezeichnet hat – so viele persönliche Daten heraus, wie es für den Zweck der Anfrage unbedingt erforderlich ist.

Rechte der Betroffenen

1. Zugriffsrecht. Sie sind berechtigt, vom Datenverwalter eine Rückmeldung darüber zu erhalten, ob die Verwaltung Ihrer persönlichen Daten stattfindet, und auf die persönlichen Daten sowie die in der Verordnung aufgeführten Informationen zuzugreifen.

2. Berichtigungsrecht. Sie sind berechtigt, die unverzügliche Berichtigung unrichtiger Sie betreffender persönlicher Daten sowie – unter Berücksichtigung des Verwaltungszwecks – die Vervollständigung unvollständiger Daten zu verlangen.

3. Löschungsrecht. Sie sind berechtigt, die unverzügliche Löschung Sie betreffender persönlicher Daten zu verlangen; der Datenverwalter ist unter bestimmten Voraussetzungen zur unverzüglichen Löschung verpflichtet.

4. Recht auf Vergessenwerden. Hat der Datenverwalter die persönlichen Daten öffentlich gemacht und ist er zur Löschung verpflichtet, trifft er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, um andere Verantwortliche über den Löschungsantrag zu informieren.

5. Recht auf Einschränkung der Datenverwaltung. Sie sind berechtigt, die Einschränkung der Verarbeitung zu verlangen, wenn eine der gesetzlichen Bedingungen erfüllt ist (z. B. Bestreiten der Richtigkeit, unrechtmäßige Verarbeitung, Bedarf zur Geltendmachung von Rechtsansprüchen oder Widerspruch).

6. Recht auf Datenübertragbarkeit. Sie sind berechtigt, die Sie betreffenden, dem Datenverwalter bereitgestellten persönlichen Daten in einem strukturierten, gängigen, maschinenlesbaren Format zu erhalten und an einen anderen Datenverwalter zu übermitteln.

7. Einspruchsrecht. Sie sind berechtigt, aus Gründen Ihrer besonderen Situation der Verwaltung Ihrer persönlichen Daten zu widersprechen, einschließlich eines darauf gestützten Profilings.

8. Widerspruch im Fall von Direktgeschäft. Erfolgt die Verwaltung persönlicher Daten zum Zweck der Direktwerbung, sind Sie berechtigt, jederzeit Widerspruch einzulegen; danach dürfen die Daten zu diesem Zweck nicht mehr verwaltet werden.

9. Automatisierte Entscheidungsfindung im Einzelfall, einschließlich Profiling. Sie haben das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt. Der vom Dienst eingesetzte KI-gestützte Prozess dient ausschließlich der Erstellung von Lerninhalten (Lernkarten und Lernplänen) und entfaltet keine solche rechtliche oder ähnlich erhebliche Wirkung. Der vorstehende Absatz gilt zudem nicht, wenn die Entscheidung für den Vertragsabschluss oder die Vertragserfüllung erforderlich, gesetzlich zulässig oder durch Ihre ausdrückliche Einwilligung gedeckt ist.

Maßnahmenfrist

Der Datenverwalter informiert Sie unverzüglich, spätestens jedoch innerhalb eines Monats nach Eingang des Antrags, über die getroffenen Maßnahmen. Diese Frist kann erforderlichenfalls um 2 Monate verlängert werden; über die Verlängerung und deren Gründe werden Sie innerhalb eines Monats informiert. Trifft der Datenverwalter keine Maßnahmen, informiert er Sie unverzüglich, spätestens innerhalb eines Monats, über die Gründe sowie über Ihr Recht, bei einer Aufsichtsbehörde Beschwerde einzureichen und einen gerichtlichen Rechtsbehelf in Anspruch zu nehmen.

Die Sicherheit der Datenverwaltung. Der Datenverwalter und der Datenverarbeiter treffen unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, insbesondere: Pseudonymisierung und Verschlüsselung; Gewährleistung der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme; Fähigkeit zur raschen Wiederherstellung der Verfügbarkeit nach einem Zwischenfall; sowie ein Verfahren zur regelmäßigen Überprüfung und Bewertung der Wirksamkeit dieser Maßnahmen.

Auskunft des Betroffenen über die Datenschutzverletzung. Hat die Datenschutzverletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, informiert der Datenverwalter den Betroffenen unverzüglich. Die Information muss klar und deutlich die Art der Verletzung beschreiben sowie eine Kontaktstelle, die wahrscheinlichen Folgen und die ergriffenen bzw. vorgeschlagenen Maßnahmen enthalten. Der Betroffene muss nicht informiert werden, wenn geeignete Schutzmaßnahmen (z. B. Verschlüsselung) getroffen wurden, wenn nachträgliche Maßnahmen das hohe Risiko unwahrscheinlich machen, oder wenn die Information einen unverhältnismäßigen Aufwand erfordern würde (in diesem Fall erfolgt eine öffentliche Information).

Meldung der Datenschutzverletzung bei den Behörden

Der Datenverwalter meldet die Datenschutzverletzung der zuständigen Aufsichtsbehörde unverzüglich, möglichst innerhalb von 72 Stunden nach Bekanntwerden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Erfolgt die Meldung nicht innerhalb von 72 Stunden, sind die Gründe für die Verzögerung anzugeben.

Überprüfung im Fall einer obligatorischen Datenverwaltung

Ist die Dauer der obligatorischen Verarbeitung oder die regelmäßige Überprüfung ihrer Notwendigkeit nicht durch ein Gesetz, eine kommunale Verordnung oder einen verbindlichen Rechtsakt der Europäischen Union festgelegt, so überprüft der Datenverwalter mindestens alle drei Jahre ab Beginn der Verwaltung, ob die Verarbeitung für die Zwecke der Verwaltung erforderlich ist. Der Datenverwalter dokumentiert die Umstände und Ergebnisse dieser Überprüfung, bewahrt diese Dokumentation zehn Jahre lang auf und stellt sie der nationalen Behörde für Datenschutz und Informationsfreiheit auf Anfrage zur Verfügung.

Beschwerdemöglichkeiten

Beschwerden über mögliche Verstöße des Datenverwalters können bei der nationalen Behörde für Datenschutz und Informationsfreiheit eingereicht werden:

Nationale Behörde für Datenschutz und Informationsfreiheit (NAIH)
1055 Budapest, Falk Miksa u. 9–11.
Postanschrift: 1374 Budapest, Pf.: 603.
Telefon: +36 1 391 1400
Fax: +36 1 391 1410
E-Mail: ugyfelszolgalat@naih.hu

Schlusswort

Bei der Ausarbeitung dieser Informationen wurden insbesondere folgende Rechtsvorschriften berücksichtigt: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung); Gesetz CXII von 2011 über das Recht auf informationelle Selbstbestimmung und Informationsfreiheit (Infotv.); Gesetz CVIII von 2001 über bestimmte Aspekte der Dienste des elektronischen Geschäftsverkehrs und der Informationsgesellschaft (insbesondere Art. 13/A); Gesetz CLV von 1997 über den Verbraucherschutz; Gesetz C von 2000 über die Buchhaltung.