Datenschutzerklärung

Diese Erklärung gilt für alles unter mbohlen.de: die Website, das Architecture Practice Lab („Archilab“) unter mbohlen.de/archilab/ und, bis es dorthin umgezogen ist, unter archilab.mbohlen.de, meinen E-Mail-Newsletter und offene Seminare, die Sie bei mir buchen. Diese Seite beschreibt, wer verantwortlich ist, was zu welchem Zweck und auf welcher Rechtsgrundlage verarbeitet wird, wer es erhält und welche Rechte Sie haben.

1 Wer verantwortlich ist

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist:

Matthias Bohlen IT-Beratung
Matthias Bohlen
Luise-Albertz-Str. 25
53340 Meckenheim
Deutschland
E-Mail: mbohlen@mbohlen.de
Telefon: +49 (170) 772 8545

Ich bin nicht verpflichtet, einen Datenschutzbeauftragten zu benennen. Mit allen Fragen zu Ihren Daten wenden Sie sich bitte an die obige Adresse.

2 Besuch der Website

2.1 Server-Logs

Jedes Mal, wenn Sie eine Seite aufrufen, sendet Ihr Browser technische Daten an meinen Webserver: Ihre IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, den HTTP-Status, die übertragene Datenmenge, die verweisende Seite und den User-Agent Ihres Browsers. Der Server speichert diese in Logdateien. Ich nutze sie, um die Website auszuliefern, sie sicher zu halten und Fehler zu finden. Rechtsgrundlage ist mein berechtigtes Interesse an einer sicheren, funktionierenden Website (Art. 6 Abs. 1 lit. f DSGVO).

Die Website und Archilab laufen auf Servern, die ich in Deutschland und Spanien betreibe.

Wenn Sie mit dem Sprachumschalter eine Sprache wählen, speichert der Server Ihre Wahl für ein Jahr in einem Cookie namens lang (zum Beispiel lang=de), damit mbohlen.de beim nächsten Mal in dieser Sprache öffnet. Es wird nur gesetzt, wenn Sie den Umschalter benutzen, und enthält nichts außer dem Sprachcode. Die Speicherung ist für eine von Ihnen gewünschte Funktion erforderlich (§ 25 Abs. 2 Nr. 2 Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, TDDDG); Rechtsgrundlage für die Nutzung ist Art. 6 Abs. 1 lit. f DSGVO. Sie können das Cookie jederzeit in Ihrem Browser löschen; die Website richtet sich dann wieder nach der Sprache Ihres Browsers.

2.3 Nutzungsstatistiken

Auf jeder Seite von mbohlen.de, auf der Website wie in Archilab, zähle ich Besuche mit Plausible Analytics (Plausible Insights OÜ, Tartu, Estland). Plausible setzt keine Cookies und speichert keine IP-Adressen. Es erkennt einen Besuch für einen Tag an einem Hash aus IP-Adresse, User-Agent und einem täglich wechselnden Salt und speichert nur Summen: Seiten, verweisende Websites, Länder, Geräte. Daran sehe ich, welche Seiten Menschen weiterhelfen und welche nicht. Plausible verarbeitet die Daten in meinem Auftrag auf Servern in der EU. Rechtsgrundlage ist mein berechtigtes Interesse daran, zu verstehen, wie die Website genutzt wird (Art. 6 Abs. 1 lit. f DSGVO).

2.4 Seitenaufrufe, die mit Ihrem Newsletter-Kontakt verknüpft werden

Die Seiten von mbohlen.de laden außerdem ein Skript meines Newsletter-Systems (Mautic, Open Source), das auf meinen eigenen Servern läuft (dafür werden keine Daten an Dritte übermittelt). Es erfasst, welche Seiten Sie aufrufen, und verknüpft diese Seitenaufrufe mit Ihrem Kontakt, wenn Sie auf meiner Newsletter-Liste stehen und einen Link in einer meiner E-Mails angeklickt haben. So schicke ich Ihnen die E-Mails, die Sie tatsächlich interessieren. Dafür speichert es eine Kennung auf Ihrem Gerät. Sie können Ihre Einwilligung in dieses Tracking jederzeit widerrufen, über den Abmeldelink, der in jeder E-Mail steht, die ich Ihnen schicke, und in den Datenschutzeinstellungen Ihres Benutzerprofils in Archilab. In beiden Fällen beendet Mautic das Tracking.

3 Nutzung von Archilab

3.1 Konto und Anmeldung

Um Archilab zu nutzen, legen Sie ein Konto mit Ihrer E-Mail-Adresse an. Die Anmeldung übernimmt Hanko, ein Authentifizierungsdienst der Hanko GmbH (Kiel, Deutschland), die Ihre Anmeldedaten in meinem Auftrag auf Servern in Deutschland verarbeitet: Ich speichere keine Passwörter. Nach der Anmeldung setzt Hanko ein Sitzungs-Cookie namens hanko, das Sie angemeldet hält. Weil Website und Archilab sich die Adresse mbohlen.de teilen, sendet Ihr Browser dieses Cookie auch bei Aufrufen von Website-Seiten mit; die Website ignoriert es. Das Cookie ist für den von Ihnen gewünschten Dienst technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Die Verarbeitung Ihrer Kontodaten ist erforderlich, um Ihnen Archilab bereitzustellen (Art. 6 Abs. 1 lit. b DSGVO).

3.2 Kurse, Einreichungen und Git-Arbeitsbereiche

Wenn Sie sich in einen Kurs einschreiben, speichert Archilab Ihre Einschreibungen, Ihren Fortschritt, die Arbeiten, die Sie einreichen, und das Feedback, das Sie erhalten. Für jede Übung bekommen Sie ein Git-Repository auf meinem eigenen Git-Server (Gitea), und Archilab liest die Commit-Historie dieses Repositorys, um Ihre Aktivität anzuzeigen. Diese Verarbeitung ist der Dienst selbst (Art. 6 Abs. 1 lit. b DSGVO).

3.3 KI-Review Ihrer Einreichungen

Wenn Sie ein KI-Review anfordern, sendet Archilab den Code und die Notizen Ihrer Einreichung an Anthropic PBC (USA), das das Sprachmodell betreibt, welches das Review schreibt. Ihr Name und Ihre E-Mail-Adresse werden nicht übermittelt. Anthropic verarbeitet diese Daten in meinem Auftrag und nutzt sie nicht zum Training seiner Modelle. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Zur Übermittlung in die USA siehe Abschnitt 7.

Ein KI-Review ist Feedback zu Ihrer Arbeit. Es trifft keine Entscheidung über Sie, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO).

3.4 Zahlungen

Bezahlte Tarife und Kohortenplätze werden über Paddle verkauft (Paddle.com Market Ltd, London, Vereinigtes Königreich). Paddle ist Händler (Merchant of Record): Sie schließen den Kauf mit Paddle ab, und Paddle erhebt Ihre Zahlungs- und Rechnungsdaten und stellt die Rechnung als eigener Verantwortlicher aus, nach seiner eigenen Datenschutzerklärung (paddle.com/legal/privacy). Ihre Karten- oder Bankdaten sehe ich nie. Von Paddle erhalte ich, was ich brauche, um Ihren Tarif freizuschalten: welchen Tarif Sie gekauft haben, wann, und seinen Status. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

3.5 Service-E-Mails

Archilab schickt Ihnen E-Mails, die zum Dienst gehören, etwa die Nachricht, dass ein Review fertig ist, oder die Bestätigung, dass Ihr Konto gelöscht wurde. Sie werden von meinem E-Mail-Anbieter Infomaniak Network SA (Les Acacias, Genf, Schweiz) zugestellt, der sie in meinem Auftrag verarbeitet, und laufen nie über das Newsletter-System. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Zur Übermittlung in die Schweiz siehe Abschnitt 7.

Ich schreibe über weitere Kurse und Trainingstermine. Wer diese E-Mails erhält, hängt davon ab, wie Sie zu mir gekommen sind, und ich halte die beiden Fälle auseinander:

Sie haben bei mir etwas gekauft (ein Training, einen Kohortenplatz oder einen PRO-Tarif): Dann darf ich Sie an die E-Mail-Adresse, die Sie mir bei diesem Kauf angegeben haben, über eigene, ähnliche Kurse informieren. Das erlaubt § 7 Abs. 3 des Gesetzes gegen den unlauteren Wettbewerb (UWG); datenschutzrechtliche Grundlage ist mein berechtigtes Interesse, Kunden über ähnliche Angebote zu informieren (Art. 6 Abs. 1 lit. f DSGVO). Auf Ihr Widerspruchsrecht weise ich Sie in der E-Mail zu Ihrer Buchung und in jedem folgenden Newsletter hin.
In allen anderen Fällen, insbesondere wenn Sie sich nur in einen kostenlosen Kurs eingeschrieben haben, erhalten Sie den Newsletter nur, wenn Sie ihn ausdrücklich angefordert haben (Art. 6 Abs. 1 lit. a DSGVO). Dafür gibt es genau zwei Stellen: den Bestätigungslink in der Willkommens-E-Mail Ihrer ersten Einschreibung und den Schalter in Ihren Archilab-Einstellungen. Keine von beiden ist an die Annahme von Bedingungen oder an eine Einschreibung gekoppelt, und eine kostenlose Einschreibung gilt nie als Einwilligung.

Sie können den Newsletter jederzeit und kostenlos abbestellen: mit dem Abmeldelink in jedem Newsletter (ein Klick auf der Seite, die sich öffnet, ohne Anmeldung), mit dem Schalter in Ihren Archilab-Einstellungen oder indem Sie mir schreiben. Das wirkt sofort. Haben Sie widersprochen oder Ihre Einwilligung widerrufen, wird das gespeichert, und kein automatischer Vorgang macht es je rückgängig, auch keine spätere Buchung. Nur Sie selbst können sich wieder anmelden.

Wie der Newsletter versendet wird. Die Kontaktliste liegt in Mautic, auf meinem eigenen Server in Deutschland. Sie enthält Ihren Namen, Ihre E-Mail-Adresse, Ihre Sprache, in welche meiner Kurse Sie eingeschrieben sind oder welche Sie abgeschlossen haben, und Ihre Newsletter-Einstellung mit Datum und Herkunft jeder Änderung. Zugestellt werden die E-Mails vom E-Mail-Dienst von Amazon Web Services (Amazon SES), der sie in meinem Auftrag in den USA verarbeitet. Nur Ihr Name, Ihre E-Mail-Adresse und die Nachricht selbst gelangen zu Amazon; nichts über Ihre Einreichungen, Reviews oder Ihren Lernfortschritt. Zur Übermittlung siehe Abschnitt 7.

Öffnungen und Klicks. Mautic erfasst, ob Sie einen Newsletter öffnen und welche Links Sie anklicken, und Archilab vermerkt, welche Kampagne Sie zurückgebracht hat. Daran sehe ich, welche E-Mails nützlich sind.

5 Kontakt und Buchung eines offenen Seminars

Wenn Sie mir eine E-Mail schreiben oder mich anrufen, verarbeite ich, was Sie mir mitteilen, und Ihre Kontaktdaten, um Ihnen zu antworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Nachricht einen Vertrag oder eine Buchung betrifft, sonst mein berechtigtes Interesse, Ihnen zu antworten (Art. 6 Abs. 1 lit. f DSGVO). Mein Postfach wird von Infomaniak Network SA in der Schweiz gehostet, die Ihre E-Mails in meinem Auftrag verarbeitet.

Wenn Sie ein offenes Seminar buchen, verarbeite ich Ihre Anmeldedaten (Name, Firma, Rechnungsadresse, E-Mail), um das Seminar durchzuführen und abzurechnen (Art. 6 Abs. 1 lit. b DSGVO), und bewahre die Rechnung auf, wie es das Steuerrecht verlangt (Art. 6 Abs. 1 lit. c DSGVO). Findet ein Seminar mit einem externen Trainer oder in den Räumen eines Partners statt, erhalten diese die Anmeldedaten, die sie für die Durchführung brauchen. Ergebnisse von Tests und Aufgaben in einem Seminar werden nur anonymisiert ausgewertet, nur zur Verbesserung des Trainings, und nie weitergegeben.

6 Wer Ihre Daten erhält

Personenbezogene Daten erhalten von mir nur die in dieser Erklärung genannten Anbieter, jeder nur das, was seine Aufgabe erfordert:

Hanko GmbH, Deutschland – Anmeldung (Auftragsverarbeiter)
Anthropic PBC, USA – KI-Review von Einreichungen (Auftragsverarbeiter)
Paddle.com Market Ltd, Vereinigtes Königreich – Verkauf und Bezahlung bezahlter Tarife (eigener Verantwortlicher)
Infomaniak Network SA, Schweiz – mein Postfach und die Zustellung der Service-E-Mails von Archilab (Auftragsverarbeiter)
Plausible Insights OÜ, Estland – Nutzungsstatistiken für mbohlen.de (Auftragsverarbeiter)
Amazon Web Services EMEA SARL, Luxemburg, mit Verarbeitung in den USA – Zustellung des Newsletters (Auftragsverarbeiter)
Externe Trainer und Veranstaltungsorte – Durchführung eines von Ihnen gebuchten offenen Seminars (eigene Verantwortliche)

Jeder Auftragsverarbeiter arbeitet nur auf meine Weisung und auf Grundlage eines Vertrags zur Auftragsverarbeitung (Art. 28 DSGVO). Mautic, Gitea, die Datenbank und die Webserver gehören mir und gewähren niemand anderem Zugriff. Ich verkaufe oder vermiete keine personenbezogenen Daten. An Behörden gebe ich sie nur weiter, wenn das Gesetz mich dazu verpflichtet.

7 Übermittlungen außerhalb der EU

Zwei der Empfänger verarbeiten Daten in den USA: Anthropic (den Inhalt einer Einreichung, für die Sie ein Review anfordern) und Amazon SES (Name, E-Mail-Adresse und den Newsletter selbst). Beide Übermittlungen sind durch das EU-US Data Privacy Framework abgesichert, für das die Europäische Kommission festgestellt hat, dass das Schutzniveau in den USA für zertifizierte Unternehmen angemessen ist (Art. 45 DSGVO), und zusätzlich durch die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO). Solange Daten in den USA liegen, können US-Behörden möglicherweise darauf zugreifen. Ich habe diese Anbieter bewusst gewählt und halte das, was zu ihnen gelangt, so gering wie möglich.

Für das Vereinigte Königreich, wo Paddle sitzt, und die Schweiz, wo Infomaniak sitzt, besteht jeweils ein Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO).

8 Wie lange Daten gespeichert werden

Ich speichere personenbezogene Daten nur so lange, wie ich sie für den Zweck brauche, zu dem ich sie erhoben habe, oder wie das Gesetz mich verpflichtet, sie aufzubewahren. Danach lösche ich sie. Daten, die noch in einer Datensicherung liegen, sind von jeder weiteren Verarbeitung ausgeschlossen und werden gelöscht, wenn die Sicherung überschrieben wird.

Server-Logs: ein Jahr.
Das Cookie lang: ein Jahr, oder bis Sie es in Ihrem Browser löschen.
Nutzungsstatistiken: Plausible speichert nur Summen, die keine personenbezogenen Daten enthalten.
Seitenaufrufe, die mit Ihrem Newsletter-Kontakt verknüpft werden: Die Kennung auf Ihrem Gerät wird ein Jahr gespeichert; die mit Ihrem Kontakt verknüpften Seitenaufrufe werden zusammen mit dem Kontakt gelöscht.
Ihr Archilab-Konto: Ihre Kontodaten, Einschreibungen, Ihr Fortschritt, Ihre Einreichungen, das Feedback, das Sie erhalten haben, und Ihre Git-Repositorys werden gespeichert, solange Ihr Konto besteht. Wenn Sie Ihr Konto löschen lassen, lösche ich sie, und Ihr Kontakt wird auch aus dem Newsletter-System entfernt.
KI-Reviews: Anthropic erhält den Inhalt einer Einreichung nur, um das Review zu schreiben, und löscht ihn innerhalb von 30 Tagen. Stufen seine automatischen Sicherheitssysteme eine Anfrage als Verstoß gegen seine Nutzungsrichtlinien ein, kann Anthropic sie bis zu zwei Jahre aufbewahren. Das Review selbst gehört zu Ihren Archilab-Daten.
Käufe: Was ich von Paddle über Ihren Tarif erhalte, wird gespeichert, solange Ihr Konto besteht. Ihre Zahlungs- und Rechnungsdaten speichert Paddle nach seiner eigenen Datenschutzerklärung.
Der Newsletter: Ihr Kontakt wird gespeichert, solange Sie den Newsletter erhalten oder ein Archilab-Konto haben. Ihre Newsletter-Einstellung, einschließlich eines Widerspruchs, wird gespeichert, solange Ihr Konto besteht. Das ist gewollt: Ein Widerspruch muss die Kampagne überdauern, die ihn ausgelöst hat, sonst würde ich Ihnen wieder schreiben. Wenn Sie widersprechen und kein Konto haben, speichere ich nur Ihre E-Mail-Adresse und den Widerspruch, damit ich ihn beachten kann.
E-Mails und Anrufe: so lange, wie es dauert, Ihnen zu antworten. Betrifft Ihre Nachricht einen Vertrag oder eine Buchung, bewahre ich sie so lange auf, wie Steuer- und Handelsrecht es verlangen.
Offene Seminare: Ihre Anmeldedaten werden gespeichert, bis das Seminar stattgefunden hat und bezahlt ist. Die Rechnung bewahre ich so lange auf, wie das Steuerrecht es verlangt, derzeit acht Jahre (§ 147 Abgabenordnung, AO).

9 Ihre Rechte

Sie haben das Recht,

zu erfahren, welche Daten über Sie ich verarbeite, und eine Kopie zu erhalten (Art. 15 DSGVO),
falsche Daten berichtigen zu lassen (Art. 16 DSGVO),
Ihre Daten löschen zu lassen (Art. 17 DSGVO), sofern ich sie nicht gesetzlich aufbewahren muss,
ihre Verarbeitung einschränken zu lassen (Art. 18 DSGVO),
die Daten, die Sie mir gegeben haben, in einem gängigen maschinenlesbaren Format zu erhalten (Art. 20 DSGVO),
jede Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht (Art. 21 DSGVO). Soweit ich Ihre Daten auf Grundlage meines berechtigten Interesses verarbeite (Art. 6 Abs. 1 lit. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen; ich höre dann damit auf, es sei denn, ich habe zwingende schutzwürdige Gründe. Dem Newsletter können Sie jederzeit ohne Angabe von Gründen widersprechen; ich schicke Ihnen dann keine Newsletter mehr.

Um eines dieser Rechte auszuüben, schreiben Sie mir an die Adresse in Abschnitt 1. Es kostet Sie nichts.

Außerdem haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), zum Beispiel bei der an Ihrem Wohnort oder bei der für mich zuständigen: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, ldi.nrw.de.

10 Müssen Sie Daten angeben?

Um die Website zu lesen, müssen Sie keine Daten angeben. Um Archilab zu nutzen, brauchen Sie ein Konto mit einer E-Mail-Adresse, und für die Buchung eines Seminars brauche ich Ihre Anmeldedaten; ohne sie kann ich den Dienst nicht erbringen. Alles andere ist freiwillig.