Datenschutzerklärung

Stand: 8. November 2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

2. Welche Daten wir erheben

2.1 Kontodaten

Bei der Registrierung erheben wir: E-Mail-Adresse, optional ein Name und ein Passwort. Das Passwort wird nicht im Klartext gespeichert, sondern als bcrypt-Hash mit Cost-Faktor 12. Zusätzlich speichern wir den Verifikationsstatus deiner E-Mail-Adresse.

2.2 Lern- und Übungsdaten

Wenn du Übungsfälle bearbeitest oder die Prüfungssimulation nutzt, speichern wir deinen Fortschritt sowie die Inhalte deiner Übung — insbesondere die Transkripte des Arzt-Patienten-Gesprächs, der Patientenvorstellung, deine Doku-Entwürfe sowie die KI-Bewertung (Punktzahl, Feedbacktext). Diese Daten sind ausschließlich für dich sichtbar und werden zur Wiederaufnahme deiner Übungen und zur Anzeige deiner Bewertung verwendet.

2.3 Sicherheitsbezogene Daten

Zur Abwehr von Brute-Force-Angriffen und Bot-Registrierungen speichern wir pro Login-Versuch einen Eintrag mit Zeitstempel, der verwendeten E-Mail-Adresse (in Kleinschreibung als Schlüssel) und einem gehashten IP-Indikator (sha256(ip + salt)) — die rohe IP-Adresse wird nicht gespeichert. Diese Einträge werden nach spätestens 30 Tagen automatisch gelöscht.

2.4 Technische Daten (Server-Logs)

Beim Zugriff auf die Website werden technische Daten in den Server-Logs unseres Reverse-Proxies erfasst: IP-Adresse, Browsertyp, Betriebssystem, Datum/Uhrzeit und aufgerufene Seiten. Diese Logs werden maximal 30 Tage aufbewahrt und dienen ausschließlich der Systemsicherheit (Fehler-Diagnose, Missbrauchsabwehr).

3. Zweck und Rechtsgrundlage der Verarbeitung

4. Eingesetzte Drittanbieter

4.1 MailerSend (E-Mail-Versand)

Für transaktionale E-Mails (Konto-Verifikation, Wiederherstellung, Hinweise zu Anmeldeversuchen) nutzen wir MailerSend (Anbieter: MailerSend Limited, Malta, EU). Übertragen werden E-Mail-Adresse, optional der Name des Empfängers sowie der Inhalt der jeweiligen Nachricht. Datenschutzerklärung: mailersend.com/legal/privacy-policy

4.2 Cloudflare Turnstile (Bot-Schutz)

Zum Schutz des Registrierungsformulars vor automatisierten Zugriffen setzen wir Cloudflare Turnstile (Anbieter: Cloudflare, Inc., USA) ein. Turnstile sammelt Verhaltenssignale deines Browsers (z. B. Mausbewegungen, Hardware-Eigenschaften) und stellt unserem Server ein Bot-Bewertungs-Token bereit. Im Gegensatz zu klassischen Captcha-Lösungen werden keine Cookies gesetzt und keine personalisierten Profile gebildet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Plattformsicherheit). Übermittlung in die USA auf Basis der EU-Standardvertragsklauseln. Datenschutzerklärung: cloudflare.com/de-de/privacypolicy

4.3 Google Gemini (KI-Dialog und Bewertung)

Für die Prüfungssimulation (KI-Patient, KI-Oberarzt und KI-Bewertung) übermitteln wir die Inhalte deines Übungsdialogs an die Gemini-API (Anbieter: Google Ireland Limited / Google LLC, USA). Dabei werden je nach Übung übertragen: dein Übungstext, deine Doku-Entwürfe sowie der Fall-Kontext. Es werden keine Kontodaten (E-Mail, Name) übermittelt. Die Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework. Google hat gemäß seinen Geschäftsbedingungen zugesichert, API-Daten nicht zum Modelltraining zu verwenden. Datenschutzerklärung: policies.google.com/privacy

4.4 Sprachausgabe (Text-to-Speech)

Für die Sprachausgabe der KI-Patienten- und Oberarzt-Stimmen in der Prüfungssimulation wird je nach Konfiguration einer der folgenden Dienste eingesetzt:

• ElevenLabs (ElevenLabs Inc., USA). Datenschutz: elevenlabs.io/privacy-policy
• Google Cloud Text-to-Speech (Google Ireland Limited / Google LLC, USA). Datenschutz: policies.google.com/privacy

Übermittelt wird der zu sprechende Text (kein Klartext deiner Kontodaten). Sollte der Sprach-Dienst nicht erreichbar sein, fällt der Browser stillschweigend auf die lokale Browser-Sprachausgabe (Web Speech Synthesis API) zurück, bei der keine externe Übertragung stattfindet. Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln.

Spracheingabe im Browser: Wenn du in einer Sprachübung (Prüfungssimulation, Aufklärungsgespräch, Aussprache-Trainer) per Mikrofon antwortest, wandelt die Spracherkennung deines Browsers (Web Speech API) deine Sprache in Text um. Wir erhalten dabei keine Audiodaten, sondern nur den erkannten Text, der wie eine getippte Eingabe verarbeitet wird. Je nach Browser findet die Erkennung beim Browser-Hersteller statt; in Google Chrome etwa wird die Aufnahme an Google übertragen (Datenschutz: policies.google.com/privacy), in Safari an Apple. Das Mikrofon wird erst nach deiner Freigabe im Browser genutzt; du kannst jederzeit stattdessen tippen.

4.5 Have I Been Pwned (Passwort-Sicherheits-Check)

Beim Anlegen oder Ändern eines Passworts prüfen wir mit Have I Been Pwned (Anbieter: Superlative Enterprises Pty Ltd, Australien), ob dein Passwort in bekannten Datenleaks aufgetaucht ist. Aus Datenschutzgründen wird dein Passwort dabei niemals an Have I Been Pwned übertragen: lokal wird ein SHA-1-Hash gebildet, und nur die ersten 5 Zeichen dieses Hashes verlassen unseren Server (k-Anonymität-Verfahren). Der tatsächliche Hash deines Passworts kann daraus nicht rekonstruiert werden. Datenschutzerklärung: haveibeenpwned.com/PrivacyPolicy

4.6 Google Ads (Reichweiten- und Conversion-Messung)

Zur Messung des Erfolgs unserer Werbeanzeigen setzen wir Google Ads mit dem Dienst „Google-Tag" (gtag.js) ein (Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Damit können wir nachvollziehen, ob ein Besuch über eine unserer Anzeigen zustande kam und ob anschließend eine gewünschte Aktion (z. B. eine Registrierung) erfolgt ist. Dabei werden Cookies gesetzt und Daten wie deine gekürzte IP-Adresse, Geräte- und Browserinformationen sowie die aufgerufenen Seiten an Google übermittelt; die Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework.

Das Google-Tag wird erst geladen, nachdem du im Cookie-Banner aktiv eingewilligt hast. Ohne deine Einwilligung wird kein Google-Script geladen und kein entsprechendes Cookie gesetzt. Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — über den Link „Cookie-Einstellungen" im Seitenfuß. Datenschutzerklärung: policies.google.com/privacy

4.7 Stripe (Zahlungsabwicklung)

Für die Abwicklung des Abos setzen wir Stripe ein (Anbieter: Stripe Payments Europe, Ltd., Irland, bzw. Stripe, Inc., USA). Der Bezahlvorgang läuft direkt über die von Stripe gehostete Checkout-Seite — Karten- und Rechnungsdaten laufen damit nicht über unsere Server. Wir übermitteln an Stripe deine E-Mail-Adresse; Stripe erhebt darüber hinaus die von dir dort eingegebenen Zahlungs- und ggf. Rechnungsdaten (z. B. Kartendaten, Name, Adresse). In unserer Datenbank speichern wir ausschließlich die von Stripe vergebenen Referenz-Kennungen (Kunden-, Abo-, Zahlungs- und Sitzungs-ID), keine Kartendaten. Zweck ist die Abwicklung des Abos und die Rechnungsstellung. Stripe ist nach eigenen Angaben unter dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die EU-Standardvertragsklauseln als Grundlage der Übermittlung in die USA. Datenschutzerklärung: stripe.com/de/privacy

4.8 Telegram (Übungsbot)

Wer ein aktives Abo hat, kann optional sein Konto über /konto mit unserem Telegram-Übungsbot verknüpfen, um Gesprächssimulationen direkt in Telegram zu üben. Die Verknüpfung ist freiwillig und jederzeit widerrufbar. Dabei speichern wir deine Telegram-Nutzer- und Chat-ID zur Zuordnung deines Kontos. Nutzt du den Bot, laufen deine gesprochenen oder getippten Übungsdialoge (bei Sprachnachrichten inkl. serverseitiger Umwandlung in Text) sowie die Antworten des simulierten Gesprächspartners (Text, teils als Sprachnachricht) über die Telegram-Bot-API und werden als Gesprächsverlauf gespeichert, um die Sitzung fortzuführen und die Bewertung anzuzeigen — technisch analog zu Abschnitt 2.2. Anbieter ist Telegram FZ-LLC / Telegram Messenger Inc. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, da du die Verknüpfung aktiv herstellst und die Funktion auf deinen Wunsch bereitstellt wird. Datenschutzerklärung: telegram.org/privacy

4.9 YouTube (Videos auf der Startseite)

Auf unserer Startseite binden wir Videos von YouTube ein (Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Wir nutzen dafür den erweiterten Datenschutzmodus (youtube-nocookie.com). Solange du das Video nicht startest, wird keine Verbindung zu YouTube aufgebaut — angezeigt wird nur ein Vorschaubild von unserem eigenen Server. Erst wenn du auf „Abspielen" tippst, lädt dein Browser den YouTube-Player; dabei werden deine IP-Adresse, Geräte- und Browserinformationen sowie die Information, welches Video du ansiehst, an Google übermittelt, und YouTube kann Daten in deinem Browser speichern. Die Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework. Rechtsgrundlage ist deine Einwilligung durch das Starten des Videos (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Datenschutzerklärung: policies.google.com/privacy

5. Hosting und Serverstandort

Die Plattform wird in einem Rechenzentrum innerhalb der Europäischen Union betrieben. Alle Nutzerdaten (Konto, Übungen, Sicherheitsprotokolle) werden ausschließlich auf diesem Server in einer PostgreSQL-Datenbank gespeichert.

6. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist:

• Kontodaten: bis zur Löschung des Nutzerkontos.
• Übungsfortschritt, Prüfungssimulations-Transkripte und Doku-Entwürfe: bis zur Löschung durch dich oder zum Wegfall des Kontos.
• Telegram-Verknüpfung und -Gesprächsverläufe: bis zur Entkoppelung deines Kontos vom Bot bzw. zum Wegfall des Kontos.
• Verifikations-Tokens: 24 Stunden (technische TTL).
• Login-Versuche, Rate-Limit-Buckets: maximal 30 Tage.
• Server-Logs des Reverse-Proxies: maximal 30 Tage.
• Gesetzliche Aufbewahrungspflichten bleiben unberührt.

7. Deine Rechte

Du hast uns gegenüber folgende Rechte hinsichtlich deiner personenbezogenen Daten:

• Auskunftsrecht (Art. 15 DSGVO): Auskunft über die zu deiner Person gespeicherten Daten.
• Berichtigungsrecht (Art. 16 DSGVO): Berichtigung unrichtiger Daten.
• Recht auf Löschung (Art. 17 DSGVO): Löschung deiner Daten, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Recht auf Einschränkung (Art. 18 DSGVO): Einschränkung der Verarbeitung in bestimmten Fällen.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Bereitstellung deiner Daten in einem maschinenlesbaren Format.
• Widerspruchsrecht (Art. 21 DSGVO): Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen.

Dein Konto kannst du jederzeit selbst löschen — im Web unter „Konto" und in der Android-App unter „Konto → Konto löschen". Was dabei gelöscht wird und was aufgrund gesetzlicher Pflichten bleibt, steht unter fspkurs.de/datenloeschung.

Zur Ausübung deiner Rechte wende dich per E-Mail an info@fspkurs.de.

8. Beschwerderecht bei der Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung deiner personenbezogenen Daten zu beschweren. Zuständige Aufsichtsbehörde für unseren Sitz ist:

9. Cookies und lokale Speicherung

Technisch notwendige Speicher-Mechanismen setzen wir ohne deine Einwilligung ein; Marketing-Cookies (Google Ads) nur, wenn du im Cookie-Banner zugestimmt hast:

• Auth-Cookie (Session-JWT, HttpOnly, Same-Site): erforderlich, damit du nach dem Login als angemeldeter Nutzer erkannt wirst. Wird beim Logout gelöscht.
• Turnstile-Cookie: Cloudflare Turnstile setzt beim Bot-Schutz auf der Registrierungsseite kurzzeitig technisch notwendige Anti-Missbrauchs-Daten, jedoch keine Tracking-Cookies.
• Einwilligungs-Speicher (lokaler Browser-Speicher, Schlüssel gads-consent): speichert technisch notwendig deine Cookie-Entscheidung, damit der Banner nicht bei jedem Besuch erneut erscheint.
• Sprach-Cookie (fspk_locale, Laufzeit 1 Jahr): speichert die von dir gewählte Sprache der Bedienoberfläche, damit die Seite bei jedem Besuch in dieser Sprache erscheint. Er wird ausschließlich gesetzt, wenn du die Sprache aktiv umschaltest oder eine sprachspezifische Adresse (z. B. /ru) aufrufst, und ist deshalb technisch notwendig im Sinne des § 25 Abs. 2 TDDDG. Er enthält nur das Sprachkürzel, keine Kennung deiner Person, und wird nicht für Analyse oder Werbung ausgewertet.
• Google-Ads-Cookies (Marketing): werden nur nach deiner Einwilligung gesetzt und dienen der Reichweiten- und Conversion-Messung (siehe Abschnitt 4.6). Du kannst deine Einwilligung jederzeit über „Cookie-Einstellungen" im Seitenfuß widerrufen.

10. Android-App

Für die Android-App „FSPkurs" gilt diese Datenschutzerklärung ebenso. Die App ist ein Zugang zu derselben Plattform: Sie kommuniziert ausschließlich mit unserem Server unter fspkurs.de, und alle oben genannten Verarbeitungen (Konto, Übungsdaten, KI-Dialog, Sprachausgabe) laufen dort wie im Web. Ergänzend gilt:

• Mikrofon: Die App fragt die Mikrofon-Berechtigung erst an, wenn du eine Sprachübung nutzt (Prüfungssimulation, Aufklärungsgespräch, Aussprache-Trainer). Das Mikrofon ist nur aktiv, solange du sprichst bzw. die Sprachbedienung eingeschaltet hast. Wir speichern keine Audioaufnahmen.
• Spracherkennung: Die Umwandlung deiner Sprache in Text übernimmt der Spracherkennungsdienst deines Geräts (Android SpeechRecognizer, auf den meisten Geräten ein Dienst von Google). Die Audiodaten gehen dabei an diesen Dienst, nicht an uns; uns erreicht nur der erkannte Text, der wie eine getippte Eingabe verarbeitet wird. Für die Verarbeitung durch den Erkennungsdienst gelten die Datenschutzbestimmungen seines Anbieters (bei Google: policies.google.com/privacy).
• Lokale Speicherung auf dem Gerät: Die App speichert im eigenen, für andere Apps nicht zugänglichen Speicher den Anmelde-Cookie (damit du angemeldet bleibst), heruntergeladene Lerninhalte für die Offline-Nutzung sowie einen Zwischenspeicher für Lehrer- und Patientenvideos. Eine Sicherung dieser Daten in die Cloud ist abgeschaltet. Beim Abmelden wird der Anmelde-Cookie gelöscht; beim Deinstallieren der App alle lokalen Daten.
• Kein Tracking: Die App enthält keine Werbung, keine Analyse- oder Tracking-Werkzeuge und liest keine Werbe-ID aus.
• Meldungen und Feedback: Wenn du in der App eine KI-Antwort meldest oder Feedback sendest, übermitteln wir deine Nachricht, die gemeldete Antwort, die Kennung der Übung und deine Konto-E-Mail per E-Mail an unser Team (Versand über MailerSend, siehe 4.1), damit wir die Meldung prüfen und dir antworten können.
• Konto löschen: In der App unter „Konto → Konto löschen" oder wie unter fspkurs.de/datenloeschung beschrieben.

11. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Änderungen der Plattform oder der Rechtslage anzupassen. Die jeweils aktuelle Version findest du stets unter fspkurs.de/datenschutz.