Datenschutzerklärung

1. Verantwortlicher und Kontakt

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer datenschutzrechtlicher Bestimmungen ist:

Bei Fragen zum Datenschutz oder zur Ausübung deiner Rechte kannst du dich jederzeit über diese Kontaktdaten an uns wenden.

2. Allgemeine Informationen zur Datenverarbeitung

Umfang der Verarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung dieser Website, zur Durchführung der von dir gebuchten Kurse und zur Erfüllung rechtlicher Pflichten erforderlich ist.

Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO: Verarbeitung zur Erfüllung eines Vertrags (z. B. Kursbuchung, Zugang zum Kurs, Zertifizierung) oder zur Durchführung vorvertraglicher Maßnahmen auf deine Anfrage.
• Art. 6 Abs. 1 lit. c DSGVO: Verarbeitung zur Erfüllung rechtlicher Pflichten, insbesondere handels- und steuerrechtlicher Aufbewahrungspflichten.
• Art. 6 Abs. 1 lit. f DSGVO: Verarbeitung aufgrund berechtigter Interessen, z. B. zum sicheren und stabilen Betrieb der Website.
• Art. 6 Abs. 1 lit. a DSGVO: Verarbeitung aufgrund einer Einwilligung, soweit wir diese im Einzelfall ausdrücklich einholen. Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Empfänger

Eine Weitergabe deiner Daten erfolgt nur, soweit dies für die genannten Zwecke erforderlich ist. Empfänger sind insbesondere der Hosting-Anbieter, der Zahlungsdienstleister PayPal sowie die für deinen Kurs zuständige Ausbildungsorganisation (PADI bzw. ProNRC). Details findest du in den folgenden Abschnitten.

Automatisierte Entscheidungsfindung

Eine ausschließlich automatisierte Entscheidung über den Zugang zur Ausbildung oder die Brevetierung sowie Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Die Bearbeitung und Entscheidung über die Freischaltung und Zertifizierung erfolgen durch den Betreiber.

3. Hosting bei ZAP-Hosting und Serverprotokolle

Diese Website und ihre Datenbank sowie die zugehörigen E-Mail-Dienste werden über ZAP-Hosting bereitgestellt. Der Hostinganbieter verarbeitet bei der Auslieferung der Webseiten und zur Gewährleistung des sicheren Betriebs technische Zugriffsdaten. Dazu können insbesondere folgende Informationen gehören:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit der Anfrage
• angeforderte Seite bzw. Datei und übertragene Datenmenge
• HTTP-Statuscode
• Browsertyp und Betriebssystem (User-Agent)
• zuvor besuchte Seite (Referrer), sofern übermittelt

Zweck: Auslieferung der Website, Gewährleistung von Stabilität und IT-Sicherheit, Abwehr und Aufklärung von Missbrauch.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und funktionsfähigen Betrieb der Website).

Eine Zusammenführung dieser Daten mit anderen Datenquellen zur Erstellung von Nutzerprofilen findet durch uns nicht statt.

4. Kursbuchung und Teilnehmerdaten

Wenn du einen Nitrox-Onlinekurs (PADI Nitrox eLearning oder ProNRC Nitrox eLearning) buchst, verarbeiten wir die von dir im Buchungsformular angegebenen Daten. Je nach Kurs sind dies insbesondere:

• Vor- und Nachname, Geburtsdatum
• E-Mail-Adresse und gegebenenfalls Telefonnummer
• Anschrift, Land und gewählte Kurssprache
• Kursauswahl, Buchungsreferenz, Preis, Zahlungsstatus und Zahlungsdatum
• Angaben zu bestehenden Tauchqualifikationen und gegebenenfalls PADI-Nummer
• Lichtbild, soweit für den gewählten Kurs erforderlich (siehe Abschnitt 5)

Zwecke: Abwicklung der Buchung, Bereitstellung bzw. Freischaltung des Kurses, Kommunikation mit dir, Kurszuweisung und Zertifizierung bei der zuständigen Ausbildungsorganisation, Erfüllung gesetzlicher Aufbewahrungspflichten.
Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO (rechtliche Pflichten).

Erforderlichkeit der Angaben: Die Bereitstellung der als erforderlich gekennzeichneten Daten ist für den Vertragsabschluss und die Zertifizierung notwendig. Ohne diese Angaben können wir den Kurs nicht buchen bzw. kein Brevet beantragen.

5. Verarbeitung und Speicherung von Lichtbildern

Je nach gebuchtem Kurs kann ein Lichtbild zur Identifikation oder Brevetierung erforderlich sein. Bei PADI kann anstelle der PADI-Nummer ein Lichtbild angegeben werden; bei ProNRC ist ein Zertifizierungsfoto vorgesehen. Das Bild wird geschützt im Buchungssystem gespeichert und nur soweit für die Abwicklung oder Zertifizierung erforderlich an die zuständige Ausbildungsorganisation weitergegeben (siehe Abschnitt 9).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Löschung

• Nicht mehr benötigte Lichtbilder sollen grundsätzlich einen Kalendermonat nach dokumentiertem Abschluss der Brevetierung aus unserem eigenen Buchungssystem entfernt werden, soweit keine rechtlichen Gründe entgegenstehen. Maßgeblich ist der tatsächlich dokumentierte Abschluss, nicht das Kaufdatum.
• Die Löschung in unserem eigenen System löscht nicht automatisch Kopien, die bereits an PADI oder ProNRC übertragen wurden. Auch Sicherungskopien können eigenen Löschzyklen unterliegen.

6. PayPal-Zahlungsabwicklung

Für die Bezahlung unserer Kurse verwenden wir PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg. Im Checkout wird das PayPal JavaScript SDK eingebunden; es kann bereits beim Aufruf der Zahlungsseite eine Verbindung zu PayPal herstellen. Dabei kann PayPal technische Daten und eigene Cookies oder ähnliche Technologien verarbeiten. Bestellungen werden über die PayPal REST API erstellt und Zahlungsergebnisse serverseitig überprüft.

An PayPal übermitteln wir die für die Zahlungsabwicklung erforderlichen Bestellinformationen, insbesondere Buchungsreferenz, Kursbeschreibung, Betrag und Währung. Wir erhalten und speichern insbesondere PayPal-Bestell- und Capture-Kennungen, Zahlungsstatus, Betrag und Zeitpunkte. Zugangsdaten deines PayPal-Kontos, vollständige Karten- oder Bankdaten werden von unserem Checkout nicht erhoben.

Zweck: Abwicklung der Zahlung und Zuordnung zur Buchung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

PayPal verarbeitet Daten in eigener datenschutzrechtlicher Verantwortung. Informationen dazu findest du in der Datenschutzerklärung von PayPal.

7. Buchungsbestätigungen und E-Mail-Kommunikation

Im Zusammenhang mit Buchungen und Kursfreischaltungen versenden wir Bestätigungen, Zugangsinformationen und organisatorische Nachrichten. Zur Übermittlung verwenden wir das bei ZAP-Hosting betriebene Postfach nitroxkurs@nitrox.info und den zugehörigen SMTP-Mailserver. Dabei werden insbesondere Absender- und Empfängeradressen, Nachrichteninhalte sowie technische Versand- und Zustellinformationen verarbeitet; der Mailserver führt hierzu Versandprotokolle. Eine Annahme durch den Mailserver bedeutet nicht zwingend die erfolgreiche Zustellung beim Empfänger.

Wenn du uns per E-Mail oder Telefon kontaktierst, verarbeiten wir deine Angaben (z. B. Name, Kontaktdaten, Inhalt der Anfrage), um deine Anfrage zu beantworten und zu bearbeiten.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertragsabwicklung und vorvertragliche Anfragen) sowie, soweit deine Anfrage nicht auf einen Vertrag zielt, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

Hinweis: Eine E-Mail-Übertragung über das Internet kann je nach Konfiguration der beteiligten Mailserver unverschlüsselt erfolgen. Bitte übermittle vertrauliche Informationen nach Möglichkeit nicht unverschlüsselt per E-Mail.

8. Cookies und technisch erforderliche Sitzungsfunktionen

Cookies und vergleichbare Browser-Speichertechnologien dienen unter anderem der Sitzungsverwaltung. Auf den redaktionellen Seiten setzen wir selbst keine Analyse- oder Marketing-Dienste ein. Für Zahlungen wird das PayPal-SDK geladen (siehe Abschnitt 6).

Beim Checkout und bei der geschützten Administration können technisch notwendige Sitzungs-Cookies und browserseitige Sitzungsspeicherfunktionen verwendet werden, um den Ablauf, die Anmeldung und Sicherheitsfunktionen bereitzustellen. Das im Checkout eingebundene PayPal-SDK kann zusätzlich eigene Technologien einsetzen; dazu gelten die Datenschutzinformationen von PayPal (Abschnitt 6).

Rechtsgrundlagen: § 25 Abs. 2 Nr. 2 TDDDG (Zugriff auf Endeinrichtung, soweit unbedingt erforderlich, um einen von dir ausdrücklich gewünschten Dienst zur Verfügung zu stellen) sowie Art. 6 Abs. 1 lit. b und f DSGVO für die nachfolgende Datenverarbeitung. Für technisch notwendige Cookies ist keine Einwilligung erforderlich. Du kannst Cookies in den Einstellungen deines Browsers blockieren oder löschen; dann können einzelne Funktionen eingeschränkt sein.

9. Datenweitergabe an PADI und ProNRC

Je nach gebuchtem Kurs übermitteln wir die für die Kurszuweisung und Zertifizierung erforderlichen Teilnehmerdaten an die jeweils zuständige Ausbildungsorganisation:

• PADI Nitrox eLearning: PADI
• ProNRC Nitrox eLearning: ProNRC

Je nach Vorgang können Name, Kontaktdaten, Geburtsdatum, Ausbildungs- und Zertifizierungsdaten, vorhandene Brevetnummern und gegebenenfalls ein Zertifizierungsfoto über die jeweiligen Kurs- oder Zertifizierungssysteme an die zuständige Organisation übermittelt werden. Die konkreten Angaben richten sich nach den Anforderungen des gebuchten Kurses.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Kurses und Zertifizierung).

Eigene Verarbeitung durch die Organisationen

PADI und ProNRC können die übermittelten Daten in ihren eigenen Systemen speichern und verarbeiten, etwa zur Verwaltung von Zertifizierungen. Für diese weitere, eigenständige Verarbeitung gelten die Datenschutzbestimmungen der jeweiligen Organisation. Wir haben auf diese Verarbeitung keinen unmittelbaren Einfluss.

Unsere Verantwortung als Betreiber von Nitrox.info für die Erhebung der Daten bei dir und für deren Übermittlung an die Organisationen bleibt davon unberührt.

• PADI: Datenschutzrichtlinie von PADI (https://www.padi.com/privacy)
• Für Informationen über die weitere Verarbeitung durch ProNRC können Teilnehmer die zuständige Organisation über ihre jeweilige Zertifizierungsplattform kontaktieren.

10. Internationale Datenübermittlungen und Datenschutzgarantien

Wir nutzen einen deutschen Hostinganbieter sowie international tätige Ausbildungs- und Zahlungsdienstleister. Insbesondere bei PADI und PayPal können personenbezogene Daten auch außerhalb der EU beziehungsweise des EWR verarbeitet werden. Die Einzelheiten und die für die jeweiligen Übermittlungen eingesetzten Schutzmechanismen erläutern diese Anbieter in ihren Datenschutzinformationen (siehe Abschnitte 6 und 9). Für unser Hosting können grenzüberschreitende Zugriffe durch Dienstleister nicht allein aus dem deutschen Firmensitz ausgeschlossen werden.

Für internationale Übermittlungen gelten die Voraussetzungen der Art. 44 ff. DSGVO, beispielsweise Angemessenheitsbeschlüsse oder geeignete Garantien wie Standardvertragsklauseln. Welche Regelung im konkreten Fall einschlägig ist, hängt von der jeweiligen Verarbeitung ab. Wir stellen keine nicht nachgewiesenen Zusicherungen über Standorte oder Garantien von Drittanbietern auf.

11. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Pflichten es verlangen.

• Lichtbilder: Grundsätzlich Entfernung aus unserem Buchungssystem einen Kalendermonat nach dokumentierter Brevetierung, soweit sie nicht mehr benötigt werden und keine andere rechtliche Aufbewahrungspflicht besteht.
• Buchungs- und Zahlungsnachweise: Zahlungskennungen, Beträge und die für gesetzliche Dokumentations- und steuerliche Aufbewahrungspflichten erforderlichen Unterlagen werden für die jeweils geltende Frist aufbewahrt. PayPal-Transaktionskennungen allein sind nicht in jedem Fall ein vollständiger Buchungsbeleg.
• Sonstige Teilnehmerdaten und Kursinformationen: Nach Abschluss der Brevetierung werden nicht mehr erforderliche Daten nach dem vorgesehenen Löschprozess bereinigt. Soweit rechtliche Pflichten oder berechtigte Zwecke eine weitere Aufbewahrung verlangen, bleiben die jeweils erforderlichen Angaben erhalten. E-Mail-Korrespondenz wird nur so lange aufbewahrt, wie sie für die Bearbeitung oder gesetzliche Nachweise erforderlich ist.
• Serverprotokolle: Siehe Abschnitt 3.
• Daten bei PADI, ProNRC und PayPal: Die dortige Speicherdauer richtet sich nach den Bestimmungen der jeweiligen Stelle.

12. Rechte betroffener Personen

Dir stehen nach der DSGVO folgende Rechte zu:

• Auskunft über die zu dir gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung, soweit die Voraussetzungen vorliegen (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen, aus Gründen, die sich aus deiner besonderen Situation ergeben (Art. 21 DSGVO)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO). Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Zur Ausübung deiner Rechte genügt eine Nachricht an nitroxkurs@nitrox.info oder an die oben genannte Postanschrift. Beachte, dass wir bei einer Löschung nur die in unserem Verantwortungsbereich gespeicherten Daten löschen können; zu Daten bei PADI, ProNRC und PayPal siehe die Abschnitte 5, 6 und 9.

13. Beschwerderecht bei der Datenschutzaufsicht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), wenn du der Ansicht bist, dass die Verarbeitung deiner Daten gegen Datenschutzrecht verstößt. Für unser Unternehmen mit Sitz in Bayern ist in der Regel zuständig:

Du kannst dich auch an die Aufsichtsbehörde an deinem Wohnort oder Arbeitsplatz wenden.

14. Datensicherheit

Wir verwenden verschlüsselte HTTPS-Verbindungen für die Website und geschützte Zugänge zur Buchungsverwaltung. Der Administrationsbereich ist passwortgeschützt; für Buchungseingaben und Verwaltungsaktionen werden Zugriffskontrollen eingesetzt. Hochgeladene Lichtbilder werden in einem nicht für den öffentlichen Direktzugriff vorgesehenen Bereich gespeichert. Eine zusätzliche Verschlüsselung sämtlicher gespeicherter Daten oder bestimmte Backup-Löschfristen behaupten wir nicht.

Trotz dieser Maßnahmen kann die Datenübertragung im Internet Sicherheitslücken aufweisen; ein lückenloser Schutz ist nicht möglich.