// Datenschutz

Datenschutzerklärung

Fassung vom 09.09.2026. Hier steht, welche Daten wir verarbeiten, wozu, auf welcher Rechtsgrundlage und wie lange. Ohne Bandwurmsätze, so weit es geht.

1. Verantwortlicher

KapFixIT
Inhaber: Sebastian Karpala
Hauerstrasse 38
44269 Dortmund
Deutschland
Telefon: 0175 710 75 25
E-Mail: hilfe@kapfixit.de

2. Datenschutzbeauftragter

Wir haben keinen Datenschutzbeauftragten bestellt und sind dazu auch nicht verpflichtet: Bei uns sind nicht mindestens zwanzig Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt (§ 38 BDSG). Fragen zum Datenschutz beantwortet der Verantwortliche selbst, unter der Adresse oben.

3. Was wir nicht tun

Das gehört an den Anfang, weil es die meisten Fragen erledigt:

Keine Werbung, kein Newsletter mit fremden Angeboten, kein Verkauf und keine Weitergabe deiner Daten zu Werbezwecken.
Keine Reichweitenmessung, keine Analysedienste, kein Google Analytics, kein Matomo.
Keine Schriften, Karten, Videos oder Skripte von fremden Servern. Alles, was die Seite lädt, liegt auf unserem eigenen Server. Deshalb verlässt deine IP-Adresse den Server nicht, nur weil du eine Seite aufrufst.
Keine Profilbildung über deine Nutzung hinaus und kein Abgleich mit externen Quellen.
Kein Cookie-Banner, weil es nichts zuzustimmen gibt: Wir setzen nur die beiden Cookies, die für den Betrieb nötig sind. Mehr dazu in Abschnitt 6.

4. Die Verarbeitungen im Einzelnen

Rechtsgrundlagen sind Artikel 6 Absatz 1 DSGVO: b Vertrag, c rechtliche Verpflichtung, f berechtigtes Interesse.

Was	Wozu	Grundlage	Wie lange
Server-Protokolle IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung	Betrieb und Sicherheit der Seite, Abwehr von Angriffen	f	7 Tage, dann automatisch gelöscht
Konto Name, E-Mail, Passwort als Hashwert, Zeitpunkt der Zustimmung zu den Nutzungsbedingungen	Damit du dich anmelden kannst und dein Zugang dir gehört	b	Bis zur Löschung des Kontos
Zweiter Faktor Geheimnis der Authenticator-App, Wiederherstellungscodes als Hashwerte	Absicherung deines Zugangs gegen fremden Zugriff	b, f	Bis du ihn abschaltest oder das Konto löschst
Lernstand Beantwortete Fragen, gewählte Antworten, Wiedervorlage, Zieltermine, Prüfungsläufe	Die eigentliche Leistung: Auswertung, Wiedervorlage, Fehlerbuch, Prüfungsreife	b	Bis zur Löschung des Kontos
Auslieferungsprotokoll Welche Frage wann an welches Konto ging, dazu die IP-Adresse nur als Hashwert	Schutz der Inhalte vor massenhafter Vervielfältigung, Erkennen geteilter Zugänge, Einhaltung des Tageslimits	f	12 Monate
Wasserzeichen Deine E-Mail-Adresse, schwach hinter dem Text auf Seiten mit Kursinhalt	Ein Bildschirmfoto oder Ausdruck bleibt zurechenbar	f	Wird nicht gespeichert, sondern beim Aufruf erzeugt
E-Mails Empfänger, Art der Nachricht, Erfolg oder Fehlermeldung	Bestätigungsmail, Passwort zurücksetzen, Sicherheitshinweise, Wochenmail, Nachvollziehbarkeit bei Zustellproblemen	b, f	12 Monate
Wochenmail Deine Adresse und dein Lernstand für den Inhalt der Nachricht	Erinnerung an Fälliges. Teil des bezahlten Zugangs, jederzeit abbestellbar	b, f	Bis du sie abbestellst
Zahlungen Gekaufter Zugang, Betrag, Bestellnummer von PayPal, Zeitpunkt	Abwicklung des Kaufs und Nachweis gegenüber dem Finanzamt	b, c	Nach den steuerlichen Fristen: acht Jahre für Buchungsbelege, zehn Jahre für Handelsbücher und Abschlüsse (§ 147 AO, § 257 HGB)
Kündigungen Adresse, Art, Zeitpunkt, freiwillig angegebener Grund	Nachweis, dass die Kündigung eingegangen und bestätigt wurde (§ 312k BGB)	c, f	Drei Jahre nach Ende des Vertragsjahres
Kunden und Lizenzen Firmenname, Ansprechadresse, vergebene Codes	Vergabe und Verwaltung von Zugängen, vor allem für Firmen	b, c	Wie bei den Zahlungen
Anfragen und Nachrichten Was du uns schreibst, und die Adresse dazu	Beantwortung deiner Anfrage	b, f	Bis die Sache erledigt ist, danach im Rahmen der gesetzlichen Fristen

5. Warum wir die Auslieferung protokollieren

Das ist die Verarbeitung, bei der du am ehesten fragst, ob das sein muss. Deshalb legen wir die Abwägung offen, die hinter Artikel 6 Absatz 1 Buchstabe f steht.

Unser Interesse: Der Trainer besteht aus Inhalten, die über Monate entstanden sind. Sie sind der ganze Wert des Angebots. Ohne einen Weg, eine massenhafte Vervielfältigung zu erkennen und einem Konto zuzuordnen, könnten wir sie nicht offen zeigen.

Warum es dafür nötig ist: Ein milderes Mittel gibt es nicht. Die Inhalte müssen lesbar sein, sonst taugen sie nicht zum Lernen. Ohne Protokoll lässt sich weder ein Tageslimit durchsetzen noch nachvollziehen, woher ein aufgetauchter Inhalt stammt.

Was wir zu deinem Schutz tun:

Die IP-Adresse wird nicht im Klartext gespeichert, sondern als Hashwert mit einem geheimen Schlüssel. Sie lässt sich daraus nicht zurückrechnen; wir können damit nur erkennen, dass zwei Zugriffe von derselben Verbindung kamen.
Es entsteht kein Profil über deine Nutzung hinaus und kein Abgleich mit fremden Daten.
Auffälligkeiten führen nie zu einer automatischen Sperre. Sie erzeugen einen Hinweis, den ein Mensch ansieht. Erst danach wird gefragt, und erst zuletzt gesperrt.
Nach zwölf Monaten wird das Protokoll gelöscht.

Du kannst dieser Verarbeitung nach Artikel 21 DSGVO widersprechen. Weil ohne sie kein Zugang zu den geschützten Inhalten möglich ist, führt ein Widerspruch praktisch dazu, dass wir dir die kostenpflichtigen Inhalte nicht mehr bereitstellen können. Das sagen wir lieber vorher.

6. Cookies und Speicherung auf deinem Gerät

Wir setzen genau zwei Cookies, beide technisch notwendig im Sinne von § 25 Absatz 2 TDDDG. Deshalb gibt es kein Einwilligungsbanner: Es gäbe nichts, dem du zustimmen könntest.

Name	Zweck	Dauer
`kfx_zert`	Hält deine Sitzung, damit du angemeldet bleibst. Ohne ihn ist keine Anmeldung möglich.	Bis zum Schließen des Browsers
`kfx_theme`	Merkt sich, ob du helles oder dunkles Design gewählt hast. Er entsteht nur, wenn du den Schalter betätigst.	Ein Jahr

Beide Cookies sind auf HttpOnly und SameSite=Lax gesetzt und werden über HTTPS nur verschlüsselt übertragen. Sie enthalten keine Inhalte, sondern eine Kennung beziehungsweise das Wort light oder dark.

7. Empfänger

Deine Daten bleiben bei uns, außer bei diesen drei Stellen, ohne die sich die Seite nicht betreiben lässt:

Hosting: IONOS SE, Elgendorfer Str. 57, 56410 Montabaur. Betreibt die Server, auf denen die Anwendung und die Datenbank laufen. Auftragsverarbeitung nach Artikel 28 DSGVO, Server in Deutschland.
E-Mail-Versand: Microsoft Ireland Operations Limited (Microsoft 365). Versendet die Nachrichten des Systems. Auftragsverarbeitung nach Artikel 28 DSGVO.
Zahlungen: PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg. PayPal ist für die Zahlungsabwicklung eigenständig verantwortlich und verarbeitet deine Zahlungsdaten nach eigenen Bestimmungen. Wir erhalten von PayPal keine vollständigen Zahlungsdaten und speichern keine Kartendaten, sondern nur, dass und wofür bezahlt wurde.

Darüber hinaus geben wir Daten weiter, wenn wir gesetzlich dazu verpflichtet sind, etwa gegenüber Finanzbehörden oder auf richterliche Anordnung.

8. Übermittlung in Drittländer

Die Verarbeitung findet grundsätzlich in der Europäischen Union statt. Bei Microsoft und PayPal lässt sich ein Zugriff aus den Vereinigten Staaten nicht vollständig ausschließen. Beide Unternehmen sind unter dem EU-US Data Privacy Framework zertifiziert; für die Vereinigten Staaten besteht ein Angemessenheitsbeschluss der Europäischen Kommission (Artikel 45 DSGVO). Ergänzend gelten Standardvertragsklauseln.

9. Keine automatisierten Entscheidungen

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Artikel 22 DSGVO statt. Das gilt ausdrücklich auch für die Erkennung ungewöhnlicher Nutzung: Sie erzeugt einen Hinweis für einen Menschen. Kein Konto wird automatisch gesperrt, keine Bewertung entscheidet ohne Beteiligung eines Menschen über deinen Zugang.

10. Deine Rechte

Auskunft (Artikel 15): Was wir über dich gespeichert haben.
Berichtigung (Artikel 16): Falsches richtigstellen.
Löschung (Artikel 17): Weg damit, soweit keine Aufbewahrungspflicht entgegensteht.
Einschränkung (Artikel 18): Ruhen lassen statt löschen.
Datenübertragbarkeit (Artikel 20): Deine Daten in einem gängigen Format.
Widerspruch (Artikel 21): Gegen Verarbeitungen auf Grundlage berechtigter Interessen, insbesondere gegen das Auslieferungsprotokoll.
Widerruf einer Einwilligung (Artikel 7 Absatz 3), sofern eine Verarbeitung darauf beruht. Der Widerruf gilt für die Zukunft.

Eine Mail an hilfe@kapfixit.de genügt. Wir antworten innerhalb eines Monats; für die Auskunft brauchen wir gegebenenfalls einen Nachweis, dass du das Konto bist, um deine Daten nicht an jemand anderen herauszugeben.

Beschwerde bei der Aufsichtsbehörde

Du kannst dich jederzeit bei einer Datenschutzaufsicht beschweren, insbesondere in dem Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
www.ldi.nrw.de

11. Musst du diese Daten angeben?

Für den freien Zugang brauchen wir Name, E-Mail-Adresse und ein Passwort. Ohne sie lässt sich kein Konto anlegen und damit kein Lernstand führen. Für einen bezahlten Zugang kommen die Angaben zur Zahlung dazu. Alles andere ist freiwillig, etwa der Grund bei einer Kündigung oder der Zieltermin einer Prüfung.

12. Löschung deines Kontos

Schreib uns, dann löschen wir dein Konto samt Lernstand. Was aus steuerlichen Gründen aufbewahrt werden muss, etwa Zahlungsbelege, bleibt für die gesetzliche Frist bestehen und wird für nichts anderes verwendet.

13. Änderungen dieser Erklärung

Ändert sich etwas an der Verarbeitung, aktualisieren wir diese Erklärung und schreiben das Datum oben neu. Bei wesentlichen Änderungen informieren wir angemeldete Nutzer zusätzlich per E-Mail.

Diese Erklärung ist mit Sorgfalt geschrieben und beschreibt genau das, was die Anwendung tatsächlich tut. Sie ist nicht anwaltlich geprüft. Vor dem ersten Verkauf gehört sie einmal durch eine Kanzlei, zusammen mit Impressum, Nutzungsbedingungen und Widerrufsbelehrung.