Datenschutzerklärung

Stand: November 2026

1. Verantwortlicher

2. Hosting und Verbindungsdaten

Mit dem Betrieb und der Pflege dieser Website und des Teilnehmerportals haben wir die CreativeCinema GmbH, Gundstraße 13a, 91056 Erlangen, als Auftragsverarbeiterin nach Art. 28 DSGVO beauftragt. Website und Portal laufen auf der Infrastruktur der Cloudflare, Inc. (USA), die die CreativeCinema GmbH als Unterauftragsverarbeiterin einsetzt und deren Konto sie führt. Die Datenbank mit Kurs-, Buchungs- und Kontodaten läuft derzeit in Westeuropa; das ist eine Standortvorgabe bei Cloudflare, keine rechtlich bindende Beschränkung auf die Europäische Union.

Auch unsere E-Mails an Sie (Bestätigung der Anmeldung, Einladung zum Teilnehmerportal, Rechnungen mit PDF-Anhang, Hinweise vor der Kurswoche) versenden wir über den E-Mail-Dienst von Cloudflare; dabei werden Ihre E-Mail-Adresse, Betreff und Inhalt der Nachricht verarbeitet. Absender ist info@endoplus-akademie.de; Antworten erreichen uns unter derselben Adresse. Cloudflare hält laut eigener Dokumentation eine Vorschau jeder Nachricht einschließlich Anhängen etwa sieben Tage im Konto vor und führt eine Sperrliste für unzustellbare Adressen und Spam-Beschwerden, deren Einträge unbefristet gelten können.

Rechnungen, Zertifikate und die Prüfungsmappen liegen in einem Dateispeicher von Cloudflare, der auf die Europäische Union festgelegt ist. Das gilt für den Speicherort der Dateien; die Anwendung, die sie entgegennimmt und ausliefert, läuft im weltweiten Netz von Cloudflare. Anmeldesitzungen liegen in einem Speicher ohne Standortbindung. Cloudflare verschlüsselt den Dateispeicher nach eigenen Angaben im Ruhezustand und verwaltet die Schlüssel selbst; eine zusätzliche Verschlüsselung durch die Endoplus Akademie findet nicht statt. Grundlage für die Verarbeitung durch Cloudflare in den USA sind der Datenverarbeitungsvertrag von Cloudflare mit den Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO) und die Zertifizierung von Cloudflare unter dem EU-US Data Privacy Framework.

Beim Abruf einer Seite werden technisch notwendige Verbindungsdaten verarbeitet, unter anderem die IP-Adresse, Datum und Uhrzeit, die angeforderte Adresse und der übermittelte Browsertyp. Ohne diese Daten kann eine Seite technisch nicht ausgeliefert werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im sicheren und störungsfreien Betrieb.

3. Was diese Website nicht tut

Es findet keine Webanalyse statt, es werden keine Profile gebildet, und es sind keine Werbenetzwerke eingebunden. Schriften werden von unserem eigenen Server geladen, es besteht also keine Verbindung zu Google Fonts. Es gibt keine Social-Media-Plugins und keine eingebetteten Inhalte Dritter, die ohne Ihr Zutun geladen werden. Die einzige Ausnahme ist ein Film von YouTube auf der Startseite; er wird erst geladen, wenn Sie ihn anklicken, siehe Abschnitt 4.

Deshalb gibt es auch kein Einwilligungsbanner: Gesetzt werden ausschließlich Cookies, die für den Betrieb unbedingt erforderlich sind. Die Einwilligung für den Film erteilen Sie durch den Klick auf „Film abspielen", nicht über ein Banner.

4. Video von YouTube

Auf der Startseite ist ein Film der Akademie eingebunden, der bei YouTube liegt. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Beim Aufruf der Seite wird keine Verbindung zu YouTube hergestellt: Sie sehen zunächst nur ein Vorschaubild, das auf unserem eigenen Server liegt, und einen Knopf „Film abspielen".

Erst wenn Sie diesen Knopf betätigen, wird der Film von YouTube geladen. Dabei erhält YouTube Ihre IP-Adresse, Angaben zu Browser und Gerät, die Adresse der aufrufenden Seite sowie Datum und Uhrzeit. YouTube kann dann im eingebetteten Player eigene Cookies oder vergleichbare Kennungen auf Ihrem Gerät speichern und auslesen. Sind Sie bei Google angemeldet, kann Google das Abspielen Ihrem Konto zuordnen. Wir nutzen die Einbindung im erweiterten Datenschutzmodus (youtube-nocookie.com); nach Angaben von Google speichert YouTube in diesem Modus keine Informationen über Besucher, bevor das Video abgespielt wird. Auf die Verarbeitung durch Google ab dem Klick haben wir keinen Einfluss.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und, für das Speichern und Auslesen von Informationen auf Ihrem Endgerät, § 25 Abs. 1 TDDDG. Sie erteilen die Einwilligung durch den Klick auf „Film abspielen". Sie gilt nur für die jeweilige Seitenansicht und wird von uns nicht gespeichert. Ohne diesen Klick findet keine Verarbeitung durch Google statt, und Sie können die Website uneingeschränkt nutzen.

Google verarbeitet die Daten auch in den USA. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert; für zertifizierte Unternehmen hat die Europäische Kommission ein angemessenes Datenschutzniveau festgestellt (Angemessenheitsbeschluss vom 10. Juli 2023, Art. 45 DSGVO).

Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie die Seite neu laden oder verlassen, ohne den Film erneut zu starten; der Film wird dann erst nach einem neuen Klick geladen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt (Art. 7 Abs. 3 DSGVO). Einzelheiten zur Verarbeitung durch Google stehen in der Datenschutzerklärung von Google unter policies.google.com/privacy.

5. Cookies

Im öffentlichen Teil der Website setzen wir keine Cookies. Nach dem Start des YouTube-Films auf der Startseite kann YouTube im eingebetteten Player eigene Cookies setzen, siehe Abschnitt 4. Wer sich im Teilnehmerportal anmeldet, erhält ein Sitzungscookie, das die Anmeldung über die Dauer der Sitzung hält. Es ist technisch notwendig im Sinne von § 25 Abs. 2 Nr. 2 TDDDG und wird nicht zu Analysezwecken verwendet.

6. Anmeldung zum Curriculum

Wer das Anmeldeformular nutzt, übermittelt Anrede, Titel, Namen, Praxis, E-Mail-Adresse, Telefonnummer, Anschrift, den gewählten Durchgang, Angaben zu Prüfungswunsch und Ermäßigung, gegebenenfalls eine abweichende Rechnungsanschrift und eine Nachricht. Diese Daten verarbeiten wir, um die Anmeldung zu bearbeiten, den Platz zu reservieren und den Vertrag durchzuführen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Kommt ein Vertrag zustande, werden die Daten für die Abwicklung weiterverwendet und im Rahmen der gesetzlichen handels- und steuerrechtlichen Aufbewahrungsfristen aufbewahrt. Kommt kein Vertrag zustande, bleibt der Vorgang zunächst mit dem Stand „abgelehnt“ gespeichert; auf Anforderung löschen wir ihn, soweit keine Aufbewahrungspflicht entgegensteht. Eine automatische Löschung ist noch nicht eingerichtet.

7. Teilnehmerportal

Mit der Buchung wird ein Zugang zum Teilnehmerportal angelegt. Verarbeitet werden Name, E-Mail-Adresse, der gebuchte Kurs sowie die für die Anmeldung nötigen Sicherheitsmerkmale: ein Passwortnachweis in Form eines Hashwertes und die Daten des zweiten Faktors. Das Passwort selbst wird nicht gespeichert.

Im Portal liegen außerdem Rechnungen, Zertifikate und Kursunterlagen. Die Akademie kann sie einsehen, weil sie sie erstellt und verwaltet. Anmeldungen und sicherheitsrelevante Vorgänge werden protokolliert, um Missbrauch erkennen zu können.

8. Prüfungsmappen: Anonymisierung und Zugriff

Die fünf Fallpräsentationen der Abschlussprüfung enthalten Röntgenbilder, Befunde und Behandlungsdokumentation, also Gesundheitsdaten im Sinne von Art. 9 DSGVO. Für sie gilt ein besonderes Verfahren.

Die fünf Fallpräsentationen werden verschlüsselt übertragen (TLS) und anschließend bei Cloudflare gespeichert (Abschnitt 2). Cloudflare verschlüsselt den Speicher nach eigenen Angaben im Ruhezustand und verwaltet die Schlüssel selbst. Für Personen mit Leserechten am Cloudflare-Konto sind die Dateien damit im Klartext lesbar. Eine zusätzliche Verschlüsselung durch die Endoplus Akademie findet nicht statt.

Im Portal öffnen können eine hochgeladene Datei die einreichende Person selbst und die Verwaltung der Akademie (Sekretariat, Kursleitung, Administration), um sie zu prüfen. Die Verwaltung muss dafür einen Anlass angeben, und jeder Abruf wird protokolliert. Außerhalb des Portals können die Dateien alle lesen, die Leserechte am Cloudflare-Konto haben, in dem der Speicher liegt. Dieses Konto führt die CreativeCinema GmbH als unsere Auftragsverarbeiterin; solche Zugriffe erfasst das Protokoll des Portals nicht.

Der wesentliche Schutz liegt deshalb vor dem Hochladen. Die Mappe wird als eine Datei eingereicht, PDF oder PowerPoint. Bei einem PDF werden auf dem Gerät der Teilnehmerin oder des Teilnehmers die Dokumenteigenschaften (Autor, erzeugendes Programm, XMP-Metadaten) geleert. Komprimierte XMP-Daten bleiben erhalten, das Portal weist dann darauf hin; ein PDF mit Dokumenteigenschaften in einem komprimierten Objekt weist es ab. Eine PowerPoint-Datei wird unverändert eingereicht, ihre Dokumenteigenschaften werden vor dem Hochladen angezeigt. In die Datei eingebettete Bilder werden nicht verändert. Vorgeschrieben ist in jedem Fall eine Sichtprüfung auf erkennbare Angaben in Bild und Text. Personenbezogene Angaben sollen gar nicht erst hochgeladen werden.

Und der Punkt, auf den es dadurch umso mehr ankommt: In die Prüfungsmappe gehören ausschließlich anonymisierte Unterlagen, also Aufnahmen und Befunde ohne Namen, Geburtsdatum oder andere Angaben, die einen Patienten bestimmbar machen. Das Portal leert bei einem PDF die Dokumenteigenschaften und zeigt bei einer PowerPoint-Datei an, welche Eigenschaften darin stehen; es ersetzt nicht die Prüfung durch die einreichende Person. Die Verantwortung nach der DSGVO und die Schweigepflicht nach § 203 StGB bleiben beim behandelnden Zahnarzt.

9. E-Mail-Kontakt

Wer uns schreibt oder anruft, dessen Angaben verarbeiten wir zur Bearbeitung des Anliegens. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b oder lit. f DSGVO. Bitte senden Sie keine Patientendaten per E-Mail; für die Übermittlung von Falldokumentation ist das Teilnehmerportal vorgesehen.

10. Newsletter

Über das Formular unter „Newsletter“ können Sie Informationen zu Kursen, Terminen und Veranstaltungen der Akademie sowie Hinweise aus der Lehre per E-Mail bestellen. Verarbeitet werden Ihre E-Mail-Adresse, auf Wunsch Ihr Name, der Zeitpunkt der Anmeldung und der Bestätigung sowie ein gekürztes Netzpräfix der IP-Adresse, von der die Anmeldung kam; es dient dem Nachweis der Einwilligung und der Abwehr automatisierter Eintragungen. Außerdem protokollieren wir Anfrage, Bestätigung und Abmeldung mit gekürztem Netzpräfix und gekürztem Hash der Browserkennung, auch bei abgewiesenen automatisierten Einsendungen, und zählen Einsendungen je Herkunftsnetz, um Missbrauch zu begrenzen. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Die Anmeldung läuft im Double-Opt-in-Verfahren: Nach dem Absenden erhalten Sie eine E-Mail mit einem Bestätigungslink, der sieben Tage gültig ist. Erst mit der Bestätigung ist die Anmeldung wirksam; ohne Bestätigung erhalten Sie keine Zusendung, und unbestätigte Anfragen werden nach 30 Tagen gelöscht; war die Adresse zuvor abgemeldet, bleibt sie als abgemeldet gespeichert (siehe unten). Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, über den Abmeldelink in jeder Nachricht oder per E-Mail an info@endoplus-akademie.de; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt (Art. 7 Abs. 3 DSGVO).

Nach einem Widerruf speichern wir Ihre E-Mail-Adresse, Ihren Namen, falls angegeben, das gekürzte Netzpräfix und die Zeitpunkte der letzten Anmeldung, Bestätigung und Abmeldung weiter, solange wir die erteilte Einwilligung und ihren Widerruf nachweisen müssen (Art. 7 Abs. 1 DSGVO); dasselbe gilt für die Versandbelege, die festhalten, welche Nachricht wann an Ihre Adresse ging. Eine automatische Löschung nach Ablauf dieser Zeit ist noch nicht eingerichtet. Eine erneute Anmeldung ist nur über das Formular mit neuer Bestätigung möglich.

Die Bestätigungsmail geht über den E-Mail-Dienst von Cloudflare (Abschnitt 2). Rundschreiben versenden wir derzeit noch nicht; über welchen Dienst sie laufen, nennen wir hier, bevor die erste Nachricht hinausgeht. Wir messen nicht, ob und wann Sie eine Nachricht öffnen oder welche Links Sie anklicken; es gibt kein Öffnungs- und kein Klick-Tracking.

11. Empfänger

Personenbezogene Daten geben wir nur weiter, soweit das für den Betrieb dieser Website und des Portals, die Durchführung des Curriculums oder den von Ihnen bestellten Newsletter erforderlich oder gesetzlich vorgeschrieben ist. Das betrifft insbesondere die CreativeCinema GmbH, Erlangen, als Auftragsverarbeiterin für Betrieb und Pflege von Website und Teilnehmerportal und deren Unterauftragsverarbeiterin Cloudflare, Inc. für das Hosting und den E-Mail-Versand einschließlich des Newsletters (Abschnitt 2), die manitu GmbH, St. Wendel, die unsere E-Mail-Postfächer betreibt, die Steuerberatung im Rahmen der Rechnungsstellung und die als Prüfer eingesetzten Referenten, soweit sie eine Fallmappe zur Bewertung erhalten. Google Ireland Limited erhält Daten nur, wenn Sie den Film auf der Startseite starten (Abschnitt 4).

12. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht, einer Verarbeitung auf Grundlage berechtigter Interessen zu widersprechen (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Wenden Sie sich dafür an die oben genannte Anschrift. Unabhängig davon steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu; für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.