Datenschutzerklärung

Mit dieser Datenschutzerklärung informieren wir Sie transparent darüber, wie wir personenbezogene Daten verarbeiten, wenn Sie unsere Website (www.thekey.academy), unsere Web-Applikation (app.thekey.academy), unser Zertifikatsportal (www.thekey.career) oder unsere mobilen Apps (iOS & Android) nutzen.

Stand: 17. Oktober 2026

1. Verantwortlicher und Datenschutz-Kontakt

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

the key – academy GmbH, Beuthstraße 8, 10117 Berlin. Handelsregister: Amtsgericht Charlottenburg, HRB 229331 B. Vertreten durch die Geschäftsführer Benjamin Wüstenhagen und Jens Läsker. Telefon: +49 (0) 30 83 20 29 88, E-Mail: [email protected].

Kontakt für Datenschutzanfragen: Bei allen Fragen zum Datenschutz sowie zur Ausübung Ihrer Betroffenenrechte erreichen Sie unser Datenschutz-Team und unseren Datenschutzbeauftragten direkt unter [email protected] oder postalisch unter der oben genannten Anschrift mit dem Zusatz „Datenschutz“.

2. Hosting, Content Delivery & Technischer Betrieb (Art. 6 Abs. 1 lit. f DSGVO)

Um unsere Webplattform und unsere Lernumgebung schnell, ausfallsicher und geschützt vor missbräuchlichen Zugriffen (z. B. DDoS- oder Bot-Angriffen) bereitzustellen, setzen wir spezialisierte Cloud- und Infrastruktur-Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO) ein.

Beim bloß informatorischen Besuch unserer Seiten verarbeitet unser System technisch notwendige Verbindungsdaten (IP-Adresse, Datum und Uhrzeit des Abrufs, aufgerufene URL/Datei, HTTP-Statuscode, Referrer-URL sowie Browser- und Betriebssysteminformationen). Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit, Stabilität und Performance unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO; soweit technisch erforderliche Endgeräteinformationen ausgelesen oder Sicherheits-Cookies gesetzt werden, § 25 Abs. 2 Nr. 2 TDDDG).

• Cloudflare (CDN & Web Application Firewall): Die Cloudflare, Inc. liefert unsere Webseiten über ein globales Edge-Netzwerk aus und schützt sie vor automatisierten Angriffen (setzt bei Bedarf technisch notwendige Sicherheits-Cookies wie __cf_bm).

• Cloud-, Applikations- & Datenbank-Hosting: Für den Betrieb unserer Web-App (app.thekey.academy), APIs und Datenbanken nutzen wir Amazon Web Services EMEA SARL (Rechenzentrum Frankfurt/EU), Google Cloud EMEA Ltd. (Rechenzentrum Frankfurt/EU), Heroku / Salesforce, Inc., Netlify, Inc. sowie MongoDB, Inc.

• Storyblok (Headless CMS & Medien-CDN): Redaktionelle Inhalte, Kursbilder und Logos werden über das Content-Management-System der Storyblok GmbH (Peter-Behrens-Platz 2, 4020 Linz, Österreich) und deren Medien-CDN (a.storyblok.com) ausgeliefert. Dabei wird Ihre IP-Adresse technisch bedingt an das CDN übermittelt, um Grafiken direkt in Ihrem Browser darzustellen.

• Lokale Schriftarten (Self-Hosted Web Fonts): Sämtliche Schriftarten sind lokal auf unserer eigenen Infrastruktur eingebunden. Es erfolgt beim Seitenaufruf kein Abruf von externen Font-Servern Dritter (wie Google Fonts).

3. Internationale Datentransfers (EU-US Data Privacy Framework)

Soweit wir Dienstleister mit Sitz oder Muttergesellschaften in den USA einsetzen, stellen wir ein angemessenes Datenschutzniveau gemäß Art. 44 ff. DSGVO sicher:

• Angemessenheitsbeschluss (Art. 45 DSGVO): Unsere US-Dienstleister (insbesondere AWS, Cloudflare, Google inkl. Google Cloud / BigQuery, Meta, HubSpot, Salesforce und MongoDB) sind unter dem EU-US Data Privacy Framework (DPF) aktiv zertifiziert.

• EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO): Ergänzend bzw. sofern ein Dienstleister (wie z. B. OpenAI, Airbyte oder dbt Labs) im Einzelfall nicht unter dem DPF zertifiziert ist, sichern wir die Datenübermittlung über die aktuellen Standardvertragsklauseln der EU-Kommission sowie moderne Verschlüsselungsstandards ab.

4. Einwilligungsverwaltung (Cookiebot)

Zur Verwaltung Ihrer Einstellungen für Cookies und Tracking-Technologien (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO) nutzen wir das Consent-Management-Tool Cookiebot der Cybot A/S (Havnegade 39, 1058 Kopenhagen, Dänemark).

Cookiebot speichert Ihre Auswahl in einem technisch notwendigen Cookie (CookieConsent, Laufzeit: 12 Monate) in Ihrem Browser und protokolliert Ihre Einwilligungs-ID, Zeitstempel sowie eine anonymisierte IP-Adresse. Rechtsgrundlage ist unsere gesetzliche Nachweispflicht (Art. 6 Abs. 1 lit. c DSGVO) sowie unser berechtigtes Interesse an einer rechtssicheren Einwilligungsverwaltung (Art. 6 Abs. 1 lit. f DSGVO).

Sie können Ihre Auswahl jederzeit über unser Cookie-Banner mit Wirkung für die Zukunft ändern oder widerrufen. Wir unterscheiden im Banner zwischen:

• Notwendig (Essentiell): Zwingend erforderlich für Grundfunktionen, Sicherheit und Speicherung Ihrer Cookie-Auswahl.

• Präferenzen / Statistik: Ermöglicht uns die pseudonymisierte Auswertung der Plattformnutzung zur Verbesserung unseres Lehrgangsangebots (Speicherdauer: max. 12–13 Monate).

• Marketing / Externe Medien: Dient der Erfolgsmessung unserer Werbekampagnen auf Drittplattformen sowie der Einbindung interaktiver Medien (Speicherdauer: max. 13 Monate).

5. Produktanalyse, Online-Marketing & Data Warehouse

5.1 Produktanalyse mit PostHog (EU-Cloud: cookielos & mit Einwilligung)

Zur Analyse und Verbesserung unserer Website und Lernplattform nutzen wir PostHog (PostHog Inc.), wobei sämtliche Daten ausschließlich in der europäischen Cloud-Infrastruktur (eu.i.posthog.com, Serverstandort Frankfurt am Main) verarbeitet werden.

• Cookielose Basis-Analyse (ohne Einwilligung): Wenn Sie nicht in Statistik-Cookies einwilligen, arbeitet PostHog in einem rein flüchtigen Arbeitsspeicher-Modus. Es werden keine Cookies und keine Einträge im Local Storage auf Ihrem Endgerät gespeichert. Die temporäre Sitzungs-ID verfällt sofort beim Neuladen oder Schließen der Seite; eine seiten- oder tagesübergreifende Wiedererkennung Ihrer Person findet nicht statt. Rechtsgrundlage dieser datensparsamen Reichweiten- und Fehleranalyse ist unser berechtigtes Interesse an der Optimierung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO). Sie können dieser Verarbeitung jederzeit gemäß Art. 21 DSGVO widersprechen.

• Analyse mit Statistik-Einwilligung: Wenn Sie im Cookie-Banner der Kategorie „Statistik“ zustimmen (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), verwendet PostHog First-Party-Cookies bzw. den Local Storage (Laufzeit: 12 Monate) mit einer dauerhaften pseudonymen Kennung, um wiederkehrende Besuche und Lernverläufe zu analysieren.

5.2 Weitere Web-Analytics- und Marketing-Technologien (nur mit Einwilligung)

Abhängig von Ihrer ausdrücklichen Einwilligung im Cookie-Banner in die Kategorien „Statistik“ bzw. „Marketing“ (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG) setzen wir folgende Dienste ein (maximale Cookie-Speicherdauer: 13 Monate):

• Google Analytics 4 & Firebase (Google Ireland Ltd., Irland): Analysiert das Nutzungsverhalten auf Website und App nach Ihrer Einwilligung. In Google Analytics 4 werden IP-Adressen standardmäßig gekürzt und nicht gespeichert. Firebase unterstützt uns in unseren mobilen Apps zudem bei Stabilitätsanalysen (Crashlytics) und optionalen Push-Mitteilungen.

• Google Tag Manager (Google Ireland Ltd., Irland): Verwaltet unsere Analyse- und Marketing-Skripte technisch und löst diese ausschließlich nach Maßgabe Ihrer im Cookie-Banner erteilten Einwilligung aus.

• Google Ads (Google Ireland Ltd., Irland / Google LLC, USA): Conversion- und Retargeting-Technologien zur Messung der Wirksamkeit unserer Werbeanzeigen.

• Meta Pixel & Conversions API (Meta Platforms Ireland Ltd., Irland / Meta Platforms, Inc., USA).

• TikTok Pixel & Events API (TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, D02 T380, Irland, gemeinsam mit TikTok Information Technologies UK Limited).

• ChatGPT / OpenAI Ads & Kampagnen-Attribution (OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, Irland / OpenAI OpCo, LLC, USA): Zur Erfolgsmessung unserer Werbeanzeigen und gesponserten Empfehlungen auf ChatGPT werten wir nach Ihrer Marketing-Einwilligung Conversion-Signale sowie übergebene Kampagnen-Parameter (z. B. UTM-Parameter) aus.

5.3 Mobile Apps (iOS & Android)

In unseren mobilen Apps setzen wir nach Ihrer Einwilligung zusätzlich folgende Dienste ein, die ausschließlich dort und nicht auf der Website zum Einsatz kommen:

• Adjust (Adjust GmbH, Saarbrücker Str. 37A, 10405 Berlin): Mobile Attribution, also die Zuordnung von App-Installationen und In-App-Ereignissen zu Werbekampagnen.

• Twilio Segment (Twilio Inc., 375 Beale St Suite 300, San Francisco, CA, USA; Niederlassung Berlin, Stresemannstraße 123): Zusammenführung und Weiterleitung von Nutzungsereignissen an die oben genannten Analyse- und Marketingsysteme.

5.4 Data Warehouse, Datenintegration & Business Intelligence

Um unsere Geschäftsprozesse kaufmännisch auszuwerten, die Qualität unserer Lehrgänge zu sichern und plattformübergreifende Berichte zu erstellen, führen wir Nutzungs-, Buchungs- und Betriebsdaten in einer zentralen, gesicherten Dateninfrastruktur zusammen:

• Google BigQuery (Google Ireland Ltd., Irland): Zentrales Cloud-Data-Warehouse, vorrangig auf Servern innerhalb der Europäischen Union.

• Airbyte (Airbyte, Inc., USA): Automatisierte und verschlüsselte Synchronisation von Daten (ETL-Prozesse) zwischen unseren operativen Systemen und unserem Data Warehouse.

• dbt / dbt Cloud (dbt Labs, Inc., USA): Strukturierung, Aggregation, Pseudonymisierung und Transformation der Datenbestände innerhalb von Google BigQuery.

Rechtsgrundlage: Soweit hierbei Vertrags-, Buchungs- und interne Betriebsdaten in aggregierter oder pseudonymisierter Form für kaufmännische Auswertungen und Produktoptimierungen verarbeitet werden, erfolgt dies auf Grundlage unseres berechtigten Interesses an einer datengestützten Unternehmenssteuerung (Art. 6 Abs. 1 lit. f DSGVO). Soweit personenbezogene Web-Analyse- oder Marketing-Daten aus einwilligungspflichtigen Tools einfließen, erfolgt die Weiterverarbeitung auf Grundlage Ihrer im Cookie-Banner erteilten Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Mit sämtlichen Anbietern bestehen Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO.

6. Registrierung, Probelektionen, Lehrgangsbuchung & Förderberatung

6.1 Kostenlose Registrierung und Probelektionen (app.thekey.academy)

Wenn Sie sich mit Ihrer E-Mail-Adresse und Ihrem Namen für kostenlose Probelektionen registrieren, legen wir für Sie ein Nutzerkonto an und synchronisieren Ihren Lernfortschritt geräteübergreifend zwischen Browser, Tablet und Smartphone. Rechtsgrundlage sind vorvertragliche Maßnahmen und die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Übergabe der Einstiegs-URL: Beim Wechsel von einer Lehrgangsseite auf die Registrierungsseite wird die zuvor besuchte Kurs-URL als Parameter übergeben, um Ihnen den gewählten Kurs direkt zuzuordnen (Art. 6 Abs. 1 lit. b und f DSGVO).

6.2 Zahlungsabwicklung, Ratenkauf und Bonitätsprüfung

Bei Buchung eines kostenpflichtigen Lehrgangs verarbeiten wir Ihre Bestell-, Adress-, Geburtsdatums- und Zahlungsdaten zur Vertragsabwicklung (Art. 6 Abs. 1 lit. b DSGVO). Je nach gewählter Zahlungsart übermitteln wir die erforderlichen Daten an den jeweiligen Zahlungsdienstleister:

• Direkt- & Kurzzeit-Ratenzahlung: PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg), Klarna Bank AB (publ) (Schweden) sowie angebundene Kreditkarten- und SEPA-Zahlungsdienstleister (eigenständige Verantwortliche für die Zahlungsdurchführung).

• Kauf auf Rechnung & Langzeit-Ratenzahlung: Gemäß § 5.3.7 unserer AGB übermitteln wir Ihre Daten bei Zahlung auf Rechnung oder monatlicher Ratenzahlung (bis zu 48 Monate) zur Abwicklung und zum Forderungsmanagement an die Danubio Forderungsmanagement GmbH & Co. KG (Bleichstraße 30, 89077 Ulm).

• Bonitätsprüfung: Sofern Sie eine Zahlungsart wählen, bei der wir in Vorleistung treten, holen wir gemäß § 5.3.4 unserer AGB zur Wahrung unseres berechtigten Interesses am Schutz vor Zahlungsausfällen (Art. 6 Abs. 1 lit. f DSGVO) eine Bonitätsauskunft über die Creditreform Berlin Brandenburg Wolfram GmbH & Co. KG (Karl-Heinrich-Ulrichs-Straße 1, 10787 Berlin) oder die Creditreform Boniversum GmbH ein.

6.3 IHK-Leistungsüberprüfung & Zertifikatsverifizierung (thekey.career)

Übermittlung an die IHK: Nach erfolgreichem Abschluss eines IHK-Lehrgangs und bestandener Leistungsüberprüfung (mind. 50 % Punktzahl) übermitteln wir gemäß § 5.4 unserer AGB Ihren Vor- und Nachnamen, Ihre Lieferanschrift sowie Ihr Geburtsdatum an die IHK-Projektgesellschaft mbH Ostbrandenburg (Puschkinstraße 12 b, 15236 Frankfurt (Oder)) zum Zweck der Ausstellung und des postalischen Versands Ihres offiziellen IHK-Zertifikats (Art. 6 Abs. 1 lit. b DSGVO).

Online-Verifizierung über thekey.career: Zusammen mit Ihrem Zertifikat erhalten Sie einen individuellen Verifizierungscode. Wenn Sie diesen Code auf www.thekey.career eingeben, wird eine persönliche Verifizierungs-URL erstellt, über die Sie die Echtheit Ihres IHK-Zertifikats auf eigenen Wunsch gegenüber Arbeitgebern oder auf Plattformen wie LinkedIn nachweisen können (Art. 6 Abs. 1 lit. b DSGVO). Diese Seite ist nur über Ihren individuellen Link abrufbar.

6.4 Förderberatung mit unserem Schwesterunternehmen GPB

Wenn Sie auf unserer Website prüfen möchten, ob Ihre Weiterbildung öffentlich gefördert werden kann (z. B. über einen Bildungsgutschein der Agentur für Arbeit nach § 81 SGB III, das Qualifizierungschancengesetz nach § 82 SGB III oder den Berufsförderungsdienst), führen wir die Förderberatung und Maßnahmebuchung gemeinsam mit unserem Schwesterunternehmen und zugelassenen Träger GPB (Gesellschaft für Personalentwicklung und Bildung mbH) durch. Hierzu geben wir Ihre im Förder-Check, im Chat oder per E-Mail mitgeteilten Angaben zur Prüfung und Beantragung der Förderung an die GPB weiter (Art. 6 Abs. 1 lit. b DSGVO – vorvertragliche Maßnahmen auf Ihre Anfrage).

7. Kommunikation, B2B-Anfragen, Videos & Umfragen

• Kontaktaufnahme & WhatsApp-Beratung: Wenn Sie uns per Kontaktformular, E-Mail oder Live-Chat kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung Ihres Anliegens (Art. 6 Abs. 1 lit. b und f DSGVO). Nutzen Sie freiwillig unsere WhatsApp-Weiterbildungsberatung, erfolgt die Kommunikation über den Dienst WhatsApp der Meta Platforms Ireland Ltd. Dabei werden Ihre Mobilfunknummer sowie Kommunikationsmetadaten von WhatsApp verarbeitet (Art. 6 Abs. 1 lit. a und b DSGVO).

• CRM & Unternehmenskunden (HubSpot): Für die Betreuung von B2B-Kunden, Terminbuchungen und die Verwaltung von Kundenanfragen nutzen wir HubSpot (HubSpot Ireland Ltd. / HubSpot, Inc.) auf Grundlage von Art. 6 Abs. 1 lit. b und f DSGVO.

• Lernvideos (Vimeo): Unsere Lehrgangsvorschauen und Lernmodule binden Videos über den Dienst Vimeo.com, Inc. (555 West 18th Street, New York, NY 10011, USA) ein, um ein ruckelfreies Streaming auf allen Endgeräten zu ermöglichen (Art. 6 Abs. 1 lit. b und f DSGVO).

• Umfragen & Förder-Checks (Typeform): Für interaktive Bedarfs-Checks und freiwillige Feedback-Formulare setzen wir Typeform SL (C/ Bac de Roda 163, 08018 Barcelona, Spanien) ein (Art. 6 Abs. 1 lit. a, b und f DSGVO).

8. Newsletter und E-Mail-Informationen für Lernende

• Newsletter (Double-Opt-In): Wenn Sie unseren Newsletter abonnieren, versenden wir diesen nach Bestätigung Ihrer E-Mail-Adresse im Double-Opt-In-Verfahren auf Basis Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) über unseren Versanddienstleister Mailchimp (Intuit Inc.).

• Hinweise für registrierte Nutzer (§ 7 Abs. 3 UWG): Wenn Sie sich für Probelektionen oder einen Lehrgang registriert haben, informieren wir Sie per E-Mail über Ihren Lernfortschritt sowie über ähnliche eigene Weiterbildungslehrgänge (Art. 6 Abs. 1 lit. f DSGVO i. V. m. § 7 Abs. 3 UWG).

• Widerspruch / Abmeldung: Sie können dem Erhalt von E-Mails jederzeit kostenfrei widersprechen – per Klick auf den Abmeldelink in jeder E-Mail oder per Nachricht an [email protected].

9. Speicherdauer und Ihre Betroffenenrechte

Wir löschen Ihre personenbezogenen Daten, sobald der jeweilige Zweck entfällt (z. B. nach Abschluss einer Anfrage oder Löschung Ihres Nutzerkontos). Soweit wir gesetzlich zur Aufbewahrung verpflichtet sind, speichern wir Vertrags-, Rechnungs- und Buchungsunterlagen gemäß handels- und steuerrechtlichen Vorgaben (§ 257 HGB, § 147 AO) für die Dauer von 6 bzw. 10 Jahren (Art. 6 Abs. 1 lit. c DSGVO).

Ihnen stehen jederzeit folgende Rechte zu:

• Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO) und Löschung (Art. 17 DSGVO)

• Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO)

• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft

• Widerspruchsrecht (Art. 21 DSGVO): Gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, einschließlich der cookielosen PostHog-Basis-Analyse, interner Auswertungen oder Direktwerbung) können Sie jederzeit per E-Mail an [email protected] oder [email protected] Widerspruch einlegen.

• Beschwerderecht (Art. 77 DSGVO): Sie können sich jederzeit an eine Datenschutz-Aufsichtsbehörde wenden, insbesondere an die Berliner Beauftragte für Datenschutz und Informationsfreiheit (Alt-Moabit 59–61, 10555 Berlin).