Datenschutzerklärung

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten bei Nutzung der Plattform „The Phish Menu“ (nachfolgend „Plattform“). Stand: September 2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

jaeger + haeckerhase gmbh

Pinienstraße 2, 40233 Düsseldorf, Deutschland

Geschäftsführer: Markus Jäger, Denis Häcker, Michael Hasselbusch

Amtsgericht Düsseldorf, HRB 66211 | USt-IdNr. DE278970438

Telefon: +49 211 828075-0 | E-Mail: info@jaeger-haeckerhase.de

Bei Fragen zum Datenschutz erreichen Sie uns unter der vorstehenden Adresse bzw. per E-Mail.

2. Rollen: Verantwortlicher und Auftragsverarbeiter

• Auftragsverarbeiter (im Auftrag des Kunden): alle Daten der Mitarbeitenden des Kunden: Konten (Name, E-Mail, Funktionsrolle), Zugangsdaten (Passwort-Hash, 2FA), Trainings- und Fortschrittsdaten, Abschlüsse und Zertifikate, die Sprachaufnahme in der KI-Demo.
• Eigener Verantwortlicher: Vertrags- und Stammdaten des Kunden und seiner Admin-Ansprechpartner (Firma, Name, E-Mail, freiwillig Telefonnummer, Bestellung), Rechnungs- und Zahlungsdaten (Zahlungsabwicklung über Mollie), Support- und Kontaktkorrespondenz (Postfächer info@, support@, datenschutz@), Sicherheitsprotokolle des Webservers (IP-Adressen, 14 Tage), Fehlerüberwachung (Sentry, ohne Personenbezug), Besucherstatistik der öffentlichen Website (umami, ohne Cookies), Erinnerungs- und Testphasen-Mails an Admins.

3. Verarbeitete Daten und Zwecke

Herkunft der Daten

Wenn Sie von Ihrer Organisation zur Nutzung der Plattform eingeladen wurden, erhalten wir die für die Einrichtung und Durchführung des Trainings erforderlichen personenbezogenen Daten grundsätzlich von Ihrer Organisation

Erforderlichkeit der Breitstellung von Daten

Bestimmte personenbezogene Daten sind erforderlich, um ein Nutzerkonto einzurichten und die Plattform bzw. die vorgesehenen Trainingsfunktionen bereitzustellen. Ohne diese Daten können die entsprechenden Funktionen der Plattform nicht oder nur eingeschränkt genutzt werden.

Soweit Angaben freiwillig sind, weisen wir hierauf gesondert hin.

Dies gilt insbesondere für die KI-Stimmenklon-Funktion gemäß Ziffer 9; deren Nichtnutzung hat keinen Einfluss auf die sonstige Nutzung der Plattform. Ein Nachteil für die Nichtnutzung der KI-Funktion entsteht nicht.

Konto- und Zugangsdaten

Bei der Registrierung und Anmeldung verarbeiten wir Name, E-Mail-Adresse, ein (ausschließlich verschlüsselt gespeichertes) Passwort, die Organisationszugehörigkeit sowie die gewählte Funktionsrolle. Bei der Anmeldung eines Testkontos kann freiwillig eine Telefonnummer angegeben werden; wir nutzen sie nur für Rückfragen zum Test und zum Vertragsverhältnis. Zur Absicherung von Administrator-Konten setzen wir eine Zwei-Faktor-Authentifizierung ein. Zweck: Bereitstellung, Absicherung und Verwaltung des Nutzerkontos. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) bzw. Art. 6 Abs. 1 lit. f DSGVO (Kontosicherheit).

Trainings- und Fortschrittsdaten

Im Rahmen des Trainings verarbeiten wir den Lernfortschritt, absolvierte Module, Ergebnisse interaktiver Übungen sowie Abschluss- und Zertifikatsdaten. Zweck: Durchführung und Nachweis des Sicherheits-Awareness-Trainings. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO im Verhältnis zur Organisation; im Verhältnis zwischen der Organisation und ihren Mitarbeitenden § 26 BDSG (Beschäftigtendatenschutz).

Server-Logdaten

Beim Aufruf der Plattform werden technisch erforderliche Daten (u. a. IP-Adresse, Datum/Uhrzeit, aufgerufene Ressource) verarbeitet, um den Betrieb, die Stabilität und die Sicherheit zu gewährleisten. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO.

3.6 Keine Automatisierte Verarbeitung

Die Plattform ermittelt den Lernfortschritt automatisch (Abschluss von Modulen, Bestehen des Finalen Checks mit mindestens acht von zehn richtigen Antworten, Ausstellung des Zertifikats). Ihrer Organisation werden ausschließlich Status, Anzahl abgeschlossener Module und Abschlussdatum angezeigt, keine einzelnen Antworten oder Punktzahlen. Eine automatisierte Entscheidungsfindung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne von Art. 22 DSGVO findet nicht statt.

4. Hosting

Die Plattform wird bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in einem Rechenzentrum in Deutschland (Nürnberg) gehostet. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer, leistungsfähiger Betrieb).

5. Zahlungsabwicklung

• Mollie: Für die Abwicklung von Zahlungen nutzen wir den Zahlungsdienstleister Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande. Die im Bestellprozess angegebenen Zahlungs- und Rechnungsdaten werden zur Durchführung der Zahlung an Mollie übermittelt. Mollie verarbeitet die Zahlungsdaten als eigener Verantwortlicher bzw. als Auftragsverarbeiter nach Maßgabe seiner Datenschutzhinweise. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Paypal: Die Zahlungsabwicklung erfolgt über Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande (Datenschutzhinweise: https://www.mollie.com/de/privacy). Wählen Sie die Zahlungsart PayPal, werden Ihre Zahlungsdaten zusätzlich von PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg, in eigener Verantwortung verarbeitet (Datenschutzhinweise: https://www.paypal.com/de/legalhub/paypal/privacy-full). Wir erhalten von den Zahlungsdienstleistern nur den Zahlungsstatus und eine Zahlungsreferenz, keine Konto- oder Kartendaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

6. Rechnungsstellung

Zur Erfüllung gesetzlicher Aufbewahrungs- und Nachweispflichten (insbesondere handels- und steuerrechtlicher Art) verarbeiten wir Rechnungsdaten (Firma, Rechnungsanschrift, Land, ggf. USt-IdNr., Leistungs- und Betragsangaben). Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung).

7. Transaktions-E-Mails

Für den Versand notwendiger E-Mails (z. B. Einladungen, Passwort-Zurücksetzung, Bestellbestätigungen) nutzen wir den E-Mail-Dienst Microsoft 365 der Microsoft Ireland Operations Ltd. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

8. Fehler- und Betriebsüberwachung (Sentry)

Zur Erkennung und Behebung von Programmfehlern setzen wir Sentry (Functional Software, Inc., 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA) ein. Übermittelt werden ausschließlich technische Fehlerdaten (Fehlermeldung, betroffene Seite, Browser- und Betriebssystemversion, Zeitpunkt), keine personenbezogenen Daten wie IP-Adresse, Nutzerkennung oder Eingaben. Die Fehlerdaten werden ausschließlich in der EU (Frankfurt) gespeichert und nach etwa 30 Tagen gelöscht. Der Anbieter hat seinen Sitz in den USA; ein Zugriff von dort ist nur zu Supportzwecken möglich und über das EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO) sowie EU-Standardvertragsklauseln abgesichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer und stabiler Betrieb der Plattform).

9. KI-Stimmenklon-Funktion (ElevenLabs) – freiwillig und einwilligungsbasiert

Im Modul „Künstliche Intelligenz“ kann optional eine Demonstration eines KI-Stimmenklons durchgeführt werden. Die Demonstration kann übersprungen werden – ohne, dass für die User ein Nachteil entsteht. Hierbei wird eine kurze Sprachaufnahme der teilnehmenden Person verarbeitet, um beispielhaft eine synthetische Stimme zu erzeugen. Es handelt sich um biometrische bzw. besonders schützenswerte Daten (Art. 9 DSGVO). Die Nichtnutzung der KI-Stimmenklon-Funktion hat keine Auswirkungen auf den Abschluss des Trainings, den Lernfortschritt oder die Ausstellung eines Teilnahme- bzw. Abschlusszertifikats.

• Die Funktion ist freiwillig und wird ausschließlich nach Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a i. V. m. Art. 6 Abs. 1 lit. a DSGVO) ausgeführt. Die Einwilligung ist jederzeit mit Wirkung für die Zukunft widerrufbar.
• Die Verarbeitung erfolgt durch die ElevenLabs Inc. mit Sitz in den USA. Der Datentransfer ist über den EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission) abgesichert, dem ElevenLabs zertifiziert beigetreten ist; ergänzend gelten EU-Standardvertragsklauseln (SCC) und eine Transfer-Folgenabschätzung (TIA).
• Die Sprachaufnahme wird nur für die unmittelbare Demonstration verwendet und nicht dauerhaft zur Weiterverwendung gespeichert

10. Cookies und lokale Speicherung

Wir verwenden ausschließlich technisch notwendige Cookies bzw. vergleichbare Speichertechniken (z. B. Sitzungs-Cookie zur Anmeldung, Spracheinstellung). Wir setzen keine Analyse-, Tracking- oder Marketing-Cookies ein. Rechtsgrundlage: § 25 Abs. 2 TDDDG (technisch erforderlich) bzw. Art. 6 Abs. 1 lit. f DSGVO. Eine Einwilligung ist hierfür nicht erforderlich.

11. Kampagnen-Zuordnung

Rufen Sie unsere Website über eine Werbeanzeige oder einen Kampagnenlink auf, enthält die Adresszeile Kampagnen-Parameter (z. B. „utm_source“, „utm_campaign“) und ggf. eine Klick-Kennung („gclid“). Legen Sie anschließend ein Testkonto an, speichern wir diese Werte einmalig zusammen mit dem Konto, um auszuwerten, über welche Kampagne der Kontakt entstanden ist. Diese Angaben werden nicht an Google oder andere Dritte übermittelt und nicht auf Ihrem Endgerät gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung und Durchführung des Testvertrags); die Angaben werden mit dem Konto gelöscht.

Gleiches gilt für Empfehlungslinks. Nutzerinnen und Nutzer der Plattform können ein Unternehmen über einen persönlichen Link empfehlen. Legt das Unternehmen anschließend ein Konto an, speichern wir den Empfehlungscode einmalig zusammen mit dem Konto, um die Empfehlung zuzuordnen. Die empfehlende Person sieht in ihrer Übersicht den Namen des empfohlenen Unternehmens, das Anmeldedatum, den Kontostatus und weitere für das Empfehlungsprogramm notwendige Angaben, etwa die dem Unternehmen in Rechnung gestellten Beträge. Für die Auszahlung einer Vergütung verarbeiten wir die dafür erforderlichen Daten der empfehlenden Person. Der Empfehlungscode wird nicht auf Ihrem Endgerät gespeichert und nicht an Dritte übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung des Testvertrags bzw. Durchführung der Empfehlungsvereinbarung) und Art. 6 Abs. 1 lit. f DSGVO (Zuordnung der Empfehlung). Die Zuordnung wird mit dem Konto gelöscht; Abrechnungsdaten bewahren wir im Rahmen der gesetzlichen Aufbewahrungsfristen auf.

Bei Veranstaltungen von jaeger + haeckerhase (z. B. Podcast-Aufzeichnungen) können Gäste über einen QR-Code eine Anmeldeseite auf der Plattform aufrufen und dort Vorname, Nachname und E-Mail-Adresse (freiwillig: Unternehmen) hinterlassen, um im Nachgang die Informationen zur Veranstaltung und den Link zur Aufzeichnung per E-Mail zu erhalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Zusendung der angeforderten Informationen). Eine darüber hinausgehende werbliche Nutzung der Adresse erfolgt nicht. Die Anmeldedaten werden nach dem Versand gelöscht.

12. Empfänger / Unterauftragsverarbeiter

Zur Bereitstellung der Plattform setzen wir sorgfältig ausgewählte Dienstleister ein, mit denen jeweils die datenschutzrechtlich erforderlichen Verträge bestehen.

13. Drittlandübermittlung

Personenbezogene Daten werden innerhalb der EU/des EWR verarbeitet. Eine Übermittlung in ein Drittland (USA) findet ausschließlich im Rahmen der optionalen, einwilligungsbasierten KI-Stimmenklon-Demonstration an ElevenLabs Inc. statt (Ziffer 9). Der Anbieter unserer Fehlerüberwachung (Sentry, Ziffer 8) hat seinen Sitz in den USA; die dort verarbeiteten Fehlerdaten enthalten keine personenbezogenen Daten und werden ausschließlich in der EU (Frankfurt) gespeichert, ein Zugriff aus den USA ist nur zu Supportzwecken möglich.

Beide Anbieter sind im EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO); ergänzend gelten EU-Standardvertragsklauseln.

14. Speicherdauer

Wir verarbeiten personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen dies vorschreiben. Konto- und Trainingsdaten werden nach Beendigung des Vertragsverhältnisses bzw. auf Weisung der verantwortlichen Organisation gelöscht; Rechnungsdaten werden entsprechend den gesetzlichen Fristen aufbewahrt.

15. Ihre Rechte

Sie haben im Rahmen der gesetzlichen Voraussetzungen das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21). Zudem besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO); zuständig ist u. a. die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

Soweit wir Ihre personenbezogenen Daten im Auftrag Ihrer Organisation verarbeiten, ist grundsätzlich Ihre Organisation für die Erfüllung Ihrer datenschutzrechtlichen Rechte und Informationsansprüche verantwortlich. Sie können sich daher unmittelbar an Ihre Organisation wenden. Wir unterstützen diese gemäß den gesetzlichen Anforderungen bei der Bearbeitung entsprechender Anfragen.

16. Widerruf Ihrer Einwilligung

Soweit die Verarbeitung Ihrer personenbezogenen Daten auf Ihrer Einwilligung beruht, können Sie Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung bleibt hiervon unberührt.

17. Änderungen

Wir passen diese Datenschutzerklärung an, sobald Änderungen der Verarbeitung oder der Rechtslage dies erfordern.