Datenschutzerklärung
Stand: 3. Oktober 2026
Hier erfährst du, welche personenbezogenen Daten wir auf digitales-gesundheitszeugnis.de verarbeiten, wofür, auf welcher Rechtsgrundlage und wie lange.
1. Verantwortlicher
Clean Slate UG (haftungsbeschränkt)
Kaiser-Wilhelm-Straße 16
20355 Hamburg
E-Mail: info@digitales-gesundheitszeugnis.de
2. Aufruf der Website und Hosting
Unser Shop läuft auf Shopify, unser Vertragspartner ist die Shopify International Limited, Irland. Beim Aufruf der Website werden technisch notwendige Daten verarbeitet, insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, übertragene Datenmenge, Referrer-URL, Browser und Betriebssystem. Diese Daten brauchen wir, um die Website auszuliefern, sie stabil und sicher zu betreiben und Angriffe abzuwehren.
Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und funktionsfähigen Shop (Art. 6 Abs. 1 lit. f DSGVO). Shopify übermittelt Daten auch an die Shopify Inc. in Kanada, für Kanada gibt es einen Angemessenheitsbeschluss der EU-Kommission. Soweit Unterauftragsverarbeiter von Shopify Daten in den USA verarbeiten, geschieht das auf Grundlage des EU-US Data Privacy Framework oder von EU-Standardvertragsklauseln.
3. Bestellung, Kundenkonto und Zahlung
Wenn du einen Kurs kaufst oder ein Kundenkonto anlegst, verarbeiten wir die Angaben aus dem Bestellformular, insbesondere Name, E-Mail-Adresse, Rechnungsdaten, bestellte Produkte und Zahlungsstatus. Pflichtfelder sind gekennzeichnet, ohne diese Angaben können wir den Vertrag nicht abschließen. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
Die Zahlung wickeln je nach Zahlungsart Shopify Payments, PayPal, Klarna oder die jeweiligen Kartenanbieter ab. Diese Anbieter verarbeiten deine Zahlungsdaten teilweise in eigener Verantwortung, dafür gelten zusätzlich deren Datenschutzhinweise. Rechnungen erstellen und verwalten wir mit sevdesk (sevdesk GmbH, Deutschland).
Rechnungen und Buchungsbelege bewahren wir wegen handels- und steuerrechtlicher Pflichten acht Jahre auf, Handelsbriefe sechs Jahre (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB). Die Daten deines Kundenkontos speichern wir, bis du das Konto löschst.
4. Online-Belehrung und Bescheinigung nach § 43 IfSG
Für den Kurs verarbeiten wir Name, E-Mail-Adresse, Kursfortschritt, Testergebnis, Abschlussdatum und deine Erklärung nach § 43 Abs. 1 Nr. 2 IfSG, dass dir keine Tatsachen für ein Tätigkeitsverbot bekannt sind. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die Teilnahme an der Belehrung muss nach § 43 IfSG dokumentiert werden.
Dafür setzen wir folgende Dienstleister als Auftragsverarbeiter ein. Die Lernplattform stellt Tevello (Tevello LLC, USA) bereit. CloudConvert (Lunaweb GmbH, Deutschland) erzeugt die PDF-Bescheinigung aus Vorname, Nachname, Geburtsdatum und Abschlussdatum. Zapier (Zapier Inc., USA) verbindet Shop, Identitätsprüfung, Lernplattform und Bescheinigungserstellung automatisch. E-Mails an dich versenden wir über Microsoft Outlook (Microsoft Ireland Operations Ltd., Irland).
Deine Bescheinigung und die Teilnahmedaten speichern wir, solange dein Kundenkonto besteht, damit du die Bescheinigung jederzeit abrufen kannst.
5. Identitätsprüfung mit Didit
Zweck. Eine Bescheinigung nach § 43 IfSG gilt nur, wenn sie der Person zugeordnet ist, die tatsächlich belehrt wurde. Bevor wir den Kurs freischalten, prüfen wir deshalb deine Identität. Dafür nutzen wir die Didit Identity Spain, S.L., Calle Nápoles 227, 08013 Barcelona, Spanien, als Auftragsverarbeiter.
Ablauf und Daten. Du fotografierst über einen Link dein Ausweisdokument. Didit verarbeitet dabei die Bilder des Ausweises, die daraus ausgelesenen Daten (unter anderem Name, Geburtsdatum, Dokumentart, Dokumentnummer, Ausstellungsstaat, Gültigkeit), technische Daten wie IP-Adresse, Gerät und Browser sowie das Prüfergebnis. Didit prüft die Echtheit des Dokuments und liest Vorname, Nachname und Geburtsdatum aus. Ein Selfie oder ein biometrischer Gesichtsabgleich findet nicht statt.
Rechtsgrundlage. Die Identitätsprüfung dient der Erfüllung unseres Vertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO). Vor dem ersten Foto holen wir zusätzlich deine Einwilligung ein (Art. 6 Abs. 1 lit. a DSGVO). Beim deutschen Personalausweis ist diese Einwilligung zugleich deine Zustimmung zur Ablichtung nach § 20 Abs. 2 PAuswG.
Widerruf. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, eine E-Mail an info@digitales-gesundheitszeugnis.de genügt. Wir veranlassen dann die Löschung deiner Ausweisbilder bei Didit. Die bis dahin erfolgte Verarbeitung bleibt rechtmäßig, ebenso die Verwendung der Angaben auf deiner Bescheinigung, die wir zur Vertragserfüllung brauchen. Ohne Identitätsprüfung können wir keine Bescheinigung ausstellen.
Keine rein automatisierte Ablehnung. Didit bewertet die Aufnahmen automatisch. Kann die Prüfung nicht automatisch bestätigt werden, sieht sich unser Support-Team deinen Fall persönlich an. Eine Ablehnung erfolgt nie allein durch eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO.
Was wir erhalten und speichern. Didit übermittelt uns nur den Status der Prüfung sowie Vorname, Nachname und Geburtsdatum. Diese Angaben, den Prüfstatus und den Link zu deiner Prüfung speichern wir in deinem Kundenkonto, solange es besteht, und verwenden Vorname, Nachname und Geburtsdatum für deine Bescheinigung. Die Ausweisbilder löscht Didit spätestens 90 Tage nach der Prüfung.
Eigene Verarbeitung durch Didit. In begrenztem Umfang verarbeitet Didit Daten aus der Prüfung als eigener Verantwortlicher, um seine Plattform abzusichern, gefälschte Dokumente kundenübergreifend zu erkennen und gesetzliche Pflichten zu erfüllen. Die Nutzung unserer Prüfdaten für das Training von Didits Modellen haben wir deaktiviert. Mehr dazu findest du in der Datenschutzrichtlinie von Didit und im Datenschutzhinweis zur Verifizierung.
Speicherort. Didit verarbeitet die Daten vorrangig im Europäischen Wirtschaftsraum. Soweit Didit oder seine Unterauftragsverarbeiter Daten außerhalb des EWR verarbeiten, geschieht das auf Grundlage von EU-Standardvertragsklauseln.
6. Kontaktaufnahme
Wenn du uns per E-Mail schreibst, verarbeiten wir deine Angaben, um deine Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen Vertrag geht, sonst unser berechtigtes Interesse an der Beantwortung (Art. 6 Abs. 1 lit. f DSGVO). Wir löschen die Korrespondenz, wenn sie erledigt ist und keine Aufbewahrungspflichten bestehen. Für E-Mails nutzen wir Microsoft Outlook (siehe Abschnitt 4).
7. Cookies, Analyse und Werbung
Technisch notwendige Cookies, etwa für Warenkorb, Login und Checkout, setzen wir auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. b bzw. f DSGVO. Alle anderen Cookies und vergleichbaren Technologien setzen wir nur mit deiner Einwilligung über unser Cookie-Banner (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Deine Auswahl kannst du jederzeit ändern oder widerrufen, indem du die Cookies für unsere Seite in deinem Browser löschst und im Banner neu auswählst.
Google Analytics. Mit deiner Einwilligung nutzen wir Google Analytics 4 der Google Ireland Limited, Irland, um die Nutzung unserer Website statistisch auszuwerten. Dabei werden Cookies gesetzt und Nutzungsdaten wie aufgerufene Seiten, Verweildauer, Geräteinformationen und ungefährer Standort verarbeitet.
Google Ads. Mit deiner Einwilligung nutzen wir Google Ads Conversion-Tracking und Remarketing, um den Erfolg unserer Anzeigen zu messen und Besuchern unserer Website auf anderen Seiten Werbung anzuzeigen.
Google kann Daten an die Google LLC in den USA übermitteln, das geschieht auf Grundlage des EU-US Data Privacy Framework. Personalisierte Werbung kannst du zusätzlich in den Google-Anzeigeneinstellungen abschalten.
8. Empfänger im Überblick
| Dienstleister | Zweck | Sitz | Grundlage für Drittland |
|---|---|---|---|
| Shopify International Ltd. | Shop, Hosting, Checkout | Irland | Kanada Angemessenheitsbeschluss, USA DPF bzw. SCC |
| Didit Identity Spain, S.L. | Identitätsprüfung | Spanien | SCC, soweit außerhalb EWR |
| Tevello LLC | Lernplattform | USA | SCC |
| CloudConvert (Lunaweb GmbH) | PDF-Bescheinigung | Deutschland | entfällt |
| Zapier Inc. | Automatisierung | USA | DPF |
| Microsoft Ireland Operations Ltd. | Irland | DPF | |
| sevdesk GmbH | Rechnungen, Buchhaltung | Deutschland | entfällt |
| Google Ireland Ltd. | Analyse, Werbung | Irland | DPF |
Mit allen Auftragsverarbeitern haben wir Verträge nach Art. 28 DSGVO geschlossen. Eine Kopie der jeweiligen Garantien für Drittlandübermittlungen bekommst du auf Anfrage.
9. Deine Rechte
Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Eine E-Mail an info@digitales-gesundheitszeugnis.de genügt.
Widerspruchsrecht nach Art. 21 DSGVO. Soweit wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe nach oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Der Verarbeitung zu Zwecken der Direktwerbung kannst du jederzeit ohne Angabe von Gründen widersprechen.
Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg, mailbox@datenschutz.hamburg.de.
10. Pflicht zur Bereitstellung
Die Angaben zur Bestellung und die Identitätsprüfung sind für den Vertrag erforderlich. Ohne sie können wir den Kurs nicht freischalten und keine Bescheinigung ausstellen.
11. Änderungen
Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Es gilt jeweils die hier veröffentlichte Fassung.