Für Anbieter / Verträge und Datenschutz
Datenschutzerklärung für deinen Kursbetrieb erstellen
Was in deine eigene Datenschutzerklärung gehört, warum sie die Hinweise von courseplanner ergänzt und wie du sie vorbereitest, prüfen lässt und hinterlegst.
Entwicklungsvorschau: lokal vorbereiteter Hilfeartikel, noch nicht veröffentlicht. Allgemeine Orientierung, keine individuelle Rechtsberatung.
Für Anbieter in Deutschland. Halte deine betrieblichen Abläufe und aktuellen Vertragsunterlagen bereit.
Was ist eine Datenschutzerklärung?
In deiner Datenschutzerklärung erklärst du den Menschen, deren Daten du verarbeitest, wer dafür verantwortlich ist, welche Daten du zu welchen Zwecken verwendest, auf welcher Grundlage das geschieht und welche Rechte sie haben. Für deinen Kursbetrieb betrifft das zum Beispiel Buchungsdaten, Kommunikation zu einem Termin, Anwesenheitsverwaltung und Abrechnung.
Die Erklärung ist eine Information, keine pauschale Einwilligung. Mit einem Text allein wird eine unzulässige Verarbeitung nicht zulässig. Du brauchst für jede Verarbeitung eine passende Rechtsgrundlage und musst die beschriebenen Abläufe tatsächlich einhalten. Auch eine kostenlose Probestunde oder ein kleiner Betrieb kann personenbezogene Daten verarbeiten und Informationspflichten haben.
Dieser Leitfaden richtet sich an Kursanbieter in Deutschland unter der DSGVO. Er hilft dir bei der Vorbereitung, ist aber keine individuelle Rechtsberatung und kein fertiger Mustertext. Für andere Länder, besondere Branchen oder ungewöhnliche Datenverarbeitungen lässt du den konkreten Fall gesondert prüfen.
Warum zusätzlich zu den Datenschutzhinweisen von courseplanner?
courseplanner beschreibt in seinen eigenen Datenschutzhinweisen die Datenverarbeitung der Plattform. Du beschreibst die Verarbeitung, für die dein Unternehmen verantwortlich ist. Die Plattform kann nicht wissen, ob du zusätzlich Listen ausdruckst, Unterlagen an deine Buchhaltung gibst, einen eigenen Newsletter betreibst oder ein externes Videokonferenzwerkzeug nutzt.
Wenn du zusätzlich zu courseplanner eigene Listen oder weitere Systeme verwendest, beschreibe auch diese Verarbeitung in deiner Datenschutzerklärung. Dazu gehören insbesondere Zweck, Zugriffsberechtigungen und Aufbewahrungsdauer.
Für vereinbarte, weisungsgebundene Verwaltungsvorgänge kann courseplanner als Auftragsverarbeiter tätig werden. Das wird im Auftragsverarbeitungsvertrag geregelt. Daraus folgt nicht, dass courseplanner für jede Verarbeitung nur Auftragsverarbeiter ist oder deine eigenen Informationspflichten übernimmt. Prüfe die Rollen anhand der aktuellen Verträge und der tatsächlichen Abläufe.
| Dokument | Wofür es gedacht ist |
|---|---|
| Deine Datenschutzerklärung | Information über die Verarbeitung personenbezogener Daten in deinem Verantwortungsbereich. |
| courseplanner-Datenschutzhinweise | Information über die eigene Datenverarbeitung der Plattform. |
| Auftragsverarbeitungsvertrag (AVV) | Vereinbarung zwischen Verantwortlichem und Auftragsverarbeiter; ersetzt keine Information an Teilnehmende. |
| Eigene Kurs-AGB | Vertragsregeln für deine Leistungen; ersetzen ebenfalls keine Datenschutzerklärung. |
Welche Informationen solltest du zuerst zusammentragen?
Beginne mit deinen Abläufen, nicht mit einem Generator. Gehe eine typische Teilnahme vom ersten Kontakt bis zur letzten Rechnung durch. Erfasse auch Vorgänge außerhalb von courseplanner. Eine eigene Website mit Cookies, Analysewerkzeugen oder Kontaktformularen braucht eine dazu passende Information; ein bloßer Verweis auf die Kursbuchung deckt das nicht ab.
Notiere pro Vorgang: betroffene Personen, benötigte Daten, Zweck, Rechtsgrundlage, Zugriffsberechtigte, Dienstleister, Speicherorte, Löschzeitpunkt und Informationsweg. Die folgende Arbeitsliste ist keine Veröffentlichungsvorlage; sie hilft dir, die richtigen Angaben zu sammeln.
- Liste Kontaktaufnahme, Buchung, Teilnahme, Kursnachrichten, Rechnungen und gegebenenfalls Beschwerden auf.
- Erfasse eigene Werkzeuge: zum Beispiel E-Mail, Buchhaltung, ausgedruckte Listen oder Videokonferenzen. Nenne nur Dienste, die du tatsächlich nutzt.
- Unterscheide buchende Personen, tatsächliche Teilnehmende und gegebenenfalls Eltern beziehungsweise Sorgeberechtigte.
- Prüfe Anbieterunterlagen, AVV, Unterauftragnehmer und mögliche Zugriffe aus Drittländern. Übernimm keine pauschale Aussage „alles bleibt in der EU“, ohne sie zu prüfen.
- Lege fest, wer Anfragen zu Datenschutzrechten bearbeitet und welche erreichbare Kontaktadresse veröffentlicht wird.
Was gehört in deine Datenschutzerklärung?
Nutze diese Punkte als Prüfliste zu Artikel 13 und 14 DSGVO. Welche Angaben im Einzelfall erforderlich sind, hängt von der Verarbeitung ab. Schreibe verständlich und konkret; „Wir verarbeiten Daten nach der DSGVO“ beantwortet die Fragen der Teilnehmenden nicht.
| Thema | Was du beschreiben solltest |
|---|---|
| Verantwortlicher und Kontakt | Vollständiger rechtlicher Name, erreichbare Kontaktdaten und gegebenenfalls Vertreter. Der Markenname allein reicht nicht, wenn er die verantwortliche Person oder Gesellschaft nicht erkennen lässt. |
| Datenschutzbeauftragter | Kontaktdaten, wenn ein Datenschutzbeauftragter benannt ist. Die allgemeine Datenschutz-E-Mail ist nicht automatisch die Kontaktstelle eines förmlich benannten Beauftragten. |
| Zwecke und Rechtsgrundlagen | Getrennt je Vorgang: Was geschieht warum? Bei berechtigten Interessen benennst du auch das konkrete Interesse. Vertrag, gesetzliche Pflicht und Einwilligung sind nicht beliebig austauschbar. |
| Daten und Herkunft | Erkläre verständlich, welche Daten betroffen sind. Bei Daten aus anderen Quellen gehören insbesondere Datenkategorien und Herkunft hinzu. |
| Empfänger | Empfänger oder Empfängerkategorien, etwa beauftragte Dienstleister und tatsächlich beteiligte Stellen. Rollen müssen zur Realität passen. |
| Übermittlungen in Drittländer | Falls vorgesehen: Zielländer beziehungsweise betreffende Übermittlungen, einschlägige Schutzgrundlagen und wie Informationen zu Garantien erhältlich sind. |
| Aufbewahrung | Konkrete Dauer oder nachvollziehbare Kriterien je Datenart. Unterscheide kurz benötigte Kurslisten von Unterlagen mit gesetzlichen Aufbewahrungspflichten. |
| Rechte | Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch, jeweils unter den gesetzlichen Voraussetzungen; außerdem Beschwerde bei einer Aufsichtsbehörde. |
| Einwilligung | Wenn sie Grundlage ist: Möglichkeit zum Widerruf für die Zukunft, ohne die Rechtmäßigkeit der vorherigen Verarbeitung zu berühren. |
| Erforderliche Angaben | Ob Daten gesetzlich oder vertraglich erforderlich sind, ob eine Bereitstellungspflicht besteht und welche Folgen fehlende Angaben haben. |
| Automatisierte Entscheidungen | Soweit einschlägig: Informationen zu automatisierten Entscheidungen einschließlich Profiling, deren Logik und Bedeutung. Behaupte weder ihr Vorliegen noch ihre Abwesenheit ungeprüft. |
Wie wählst du Rechtsgrundlagen und Speicherfristen?
Ordne jedem Zweck eine geprüfte Rechtsgrundlage zu. Die notwendige Durchführung eines Vertrags mit der betroffenen Person kann auf Artikel 6 Absatz 1 Buchstabe b DSGVO beruhen; gesetzliche Dokumentationspflichten können eine andere Grundlage haben. Wenn jemand für eine andere Person bucht, ist diese andere Person nicht automatisch selbst Vertragspartei. Übernimm die Vertragsgrundlage deshalb nicht ungeprüft für alle Beteiligten.
Eine Einwilligung ist keine bequeme Universallösung. Zusätzliche Werbung, Fotos oder andere optionale Nutzungen müssen gesondert geprüft werden. Eine Buchung oder die Veröffentlichung deiner Datenschutzerklärung liefert dafür keine pauschale Erlaubnis. Prüfe bei berechtigten Interessen auch die Interessen und Rechte der Betroffenen.
Versprich keine sofortige Löschung sämtlicher Daten nach einem Kurs, wenn du Rechnungen aufbewahren musst. Versprich umgekehrt keine unbegrenzte Speicherung. Besprich passende Fristen mit Datenschutzberatung und bei steuerlichen Unterlagen mit deiner Steuerberatung. courseplanner-Fristen lassen sich nicht ohne Weiteres auf deine eigenen Exporte oder Papierunterlagen übertragen.
Wie erstellst du eine passende Erklärung?
Eine gute Erklärung beschreibt deinen konkreten Betrieb und ist auch ohne juristisches Vorwissen verständlich. Du kannst einen aktuellen, für deine Tätigkeit geeigneten Ausgangstext verwenden; die Verantwortung für Vollständigkeit und Richtigkeit bleibt bei dir. Kopiere nicht einfach die Erklärung eines anderen Anbieters oder die von courseplanner.
Generatoren und KI können eine Gliederung oder einen Entwurf unterstützen. Sie kennen deine Verträge, Werkzeuge und Prozesse aber nicht zuverlässig. Prüfe Aktualität, Rechtsraum, abgedeckte Vorgänge und Nutzungsrechte einer Vorlage. Lade keine Teilnehmerlisten oder vertraulichen Unterlagen in ein beliebiges Werkzeug. Ein generierter Text ist kein Nachweis einer rechtlichen Prüfung.
- Erstelle die Bestandsaufnahme aus dem vorherigen Abschnitt und schließe offene Fragen zu Dienstleistern und Speicherfristen.
- Gliedere nach Verantwortlichem, Verarbeitungsvorgängen, Empfängern, Aufbewahrung und Rechten. Ein Datum beziehungsweise Versionsstand hilft bei der Pflege.
- Beschreibe jeden tatsächlichen Vorgang knapp und konkret. Streiche unzutreffende Musterbausteine und ergänze fehlende Vorgänge.
- Lass Unsicherheiten zu Rechtsgrundlagen, Auslandsübermittlungen, Kindern oder besonderen Daten fachlich prüfen.
- Gleiche den Text mit den technischen Einstellungen und den tatsächlichen Arbeitsabläufen ab. Eine Formulierung ändert keine Systemkonfiguration.
- Lass eine Person ohne Vorwissen gegenlesen. Prüfe anschließend Links, E-Mail-Adresse, mobile Lesbarkeit und die exportierte PDF.
Wie hinterlegst du die Erklärung in courseplanner?
Eine eigene Datenschutzerklärung ist in courseplanner verpflichtend. Bei der Einrichtung und später in den Anbietereinstellungen unter „Verträge und Datenschutz“ gibst du den vollständigen rechtlichen Firmennamen, die Geschäftsanschrift und eine öffentliche Datenschutz-E-Mail ein. Diese Kontaktangaben sind zur Veröffentlichung bestimmt. Füge keine Teilnehmerdaten, Passwörter oder internen Notizen ein.
Unter „Deine Datenschutzerklärung“ wählst du Text oder PDF. Text muss 100–60.000 Zeichen enthalten. Eine PDF darf höchstens 512 KiB groß sein und muss statisch sowie unverschlüsselt sein, ohne aktive Inhalte oder eingebettete Anhänge. Ein externer Link allein ersetzt den vollständigen Text oder die PDF in diesem Feld nicht. Verwende bei PDFs möglichst auswählbaren Text und eine gut lesbare Struktur statt bloßer Scans.
Du kannst Überschriften, Fett- und Kursivschrift, Unterstreichungen, Aufzählungen, nummerierte Listen und Links verwenden. Die Zeichengrenze bezieht sich auf den sichtbaren Text. Prüfe die Formatierung in „Textvorschau“; nach dem Speichern bleibt sie auch in der veröffentlichten Textansicht erhalten.
Prüfe die Vorschau beziehungsweise deine PDF. Bestätige die Veröffentlichung und die zutreffenden Angaben. Fehlende Anbietervereinbarungen und die Vertretungsberechtigung werden separat bestätigt. „Speichern“ führt die erforderlichen Schritte aus. Nach vollständigem Erfolg gelangst du mit „Weiter“ zum nächsten Schritt. Durch das Speichern der Datenschutzerklärung allein wird dein Anbieterprofil noch nicht veröffentlicht.
Bei späteren Änderungen kannst du eine vorhandene PDF beibehalten und beispielsweise die Kontakt-E-Mail ändern. Eine neue Fassung erfordert eine erneute Veröffentlichungsbestätigung. Firma und Anschrift einer bestehenden Vereinbarung lassen sich nicht stillschweigend umschreiben; dafür ist eine Prüfung durch den Kundenservice vorgesehen.
Im selben Formular pflegst du das verpflichtende Impressum, die optionalen Kurs-AGB und die zu deinen Angeboten passenden Widerrufsinformationen. Die Datenschutzerklärung ersetzt diese Dokumente nicht. Die gemeinsame Übersicht deiner öffentlichen Rechtsdokumente verlinkt die einzelnen Anbieterinformationen und die Dokumente von courseplanner.
Wann und wie müssen Teilnehmende die Informationen erhalten?
Bei direkter Erhebung müssen die Informationen grundsätzlich bei der Datenerhebung verfügbar sein. courseplanner sieht dafür die Erklärung vor der Eingabe von Buchungsdaten vor. Deine eigenen Formulare, E-Mails und Abläufe vor Ort müssen ebenfalls passen; nicht jede Situation ist mit einem irgendwo vorhandenen Website-Link erledigt.
Bucht jemand für eine andere Person, musst du auch deren Information sicherstellen. Bei indirekter Erhebung gelten die Anforderungen aus Artikel 14 DSGVO: grundsätzlich innerhalb einer angemessenen Frist, spätestens innerhalb eines Monats, bei früherer Kommunikation oder Offenlegung bereits zu diesem früheren Zeitpunkt. Ausnahmen sind fallbezogen zu prüfen; die Monatsfrist ist kein pauschaler Aufschub.
Bei Kindern müssen Sprache und Informationsweg altersgerecht sein und die Rolle der Sorgeberechtigten berücksichtigt werden. Eine Nachricht nur an die buchende Person beweist nicht automatisch, dass alle Betroffenen informiert wurden. Dokumentiere deinen Informationsweg.
Mit dem Kontrollkästchen zur Veröffentlichung im Anbieterformular bestätigst du deine Angaben. Sie ist keine Einwilligung der Teilnehmenden. Für eine zusätzliche einwilligungsbedürftige Nutzung brauchst du einen gesonderten geeigneten Ablauf.
Welche Fehler solltest du vermeiden?
Vermeide eine reine Website-Cookie-Erklärung, wenn sie Buchung und Kursbetrieb gar nicht behandelt. Vermeide ebenso einen Katalog fremder Dienste, die du nicht nutzt, pauschale Versprechen zu Datenstandorten und Speicherfristen oder eine Pflicht-Einwilligung für alles.
Veröffentliche keine Namen von Teilnehmenden, Einzelfallbeschreibungen, Diagnosen oder sonstige vertrauliche Daten. courseplanner-Anbieterbedingungen schließen medizinische beziehungsweise krankheitsspezifische Angebote und das Abfragen von Gesundheitsdaten aus. Ein Absatz in der Datenschutzerklärung hebt diese Einschränkung nicht auf.
Nutze Kursnachrichten für den gebuchten Kurs. Eine eigene Datenschutzerklärung erlaubt weder beliebige Werbung noch zweckfremde Nachrichten. Prüfe neue Verarbeitungszwecke vor ihrer Einführung und passe Information und tatsächliche Abläufe rechtzeitig an.
Eine akzeptierte Datei oder ein grüner Speicherstatus prüft technische Voraussetzungen, nicht die rechtliche Vollständigkeit deines Textes.
Wo bekommst du Hilfe?
Für eine auf deinen Betrieb zugeschnittene Prüfung wendest du dich an eine im Datenschutzrecht erfahrene Rechtsanwältin oder einen Rechtsanwalt. Ein vorhandener Datenschutzbeauftragter oder eine qualifizierte Datenschutzberatung kann dich insbesondere bei Bestandsaufnahme, Rollen, Prozessen und Informationspflichten unterstützen; kläre den konkreten Leistungsumfang.
Die Datenschutzkonferenz verlinkt die Aufsichtsbehörden des Bundes und der Länder. Dort findest du offizielle Orientierung und Ansprechpartner für Zuständigkeitsfragen. Bei vielen privaten Kursbetrieben ist eine Landesbehörde zuständig; in Bayern sind öffentlicher und privater Bereich getrennt. Eine Behörde ersetzt keine individuell beauftragte Vertrags- oder Textgestaltung.
Über die BRAK kannst du die anwaltliche Zulassung prüfen und Wege zur Anwaltssuche finden. Das Verzeichnis ist kein Gütesiegel für Datenschutz-Spezialisierung. Frage bei einer Beratung nach Erfahrung mit Kursanbietern, Onlinebuchung und den von dir verwendeten Diensten.
Für Fragen zum Eingabefeld, zum PDF-Format oder zu einem Speicherfehler hilft dir der courseplanner-Kundenservice über den Kontaktlink am Ende dieser Seite. Eine technische Hilfestellung ist keine individuelle rechtliche Freigabe. Nenne bei einer Anfrage den betroffenen Schritt und eine bereinigte Fehlermeldung; schicke keine Teilnehmerdaten.
Prüfliste vor der Veröffentlichung
Gehe diese Punkte nach jeder wesentlichen Änderung erneut durch. Bewahre den geprüften Stand für deine eigene Dokumentation auf und lege fest, wer die Erklärung künftig pflegt.
- Rechtlicher Name, Anschrift und Datenschutzkontakt stimmen und sind erreichbar.
- Alle tatsächlichen Vorgänge, betroffenen Personengruppen und eingesetzten Dienste sind berücksichtigt.
- Zwecke, Rechtsgrundlagen, Empfänger, mögliche Drittlandtransfers und Speicherfristen sind geklärt.
- Rechte und Informationswege, auch für anderweitig angemeldete Personen, sind verständlich beschrieben.
- Text und Einstellungen widersprechen sich nicht; es sind keine vertraulichen Daten enthalten.
- Die Datei ist lesbar und die technische Speicherung erfolgreich. Offene Rechtsfragen sind geklärt, bevor du dich auf den Text verlässt.
Quellen und Stand
Recherche geprüft am 16. Oktober 2026. Maßgeblich sind die geltenden Vorschriften und dein konkreter Sachverhalt. Das verlinkte DSK-Kurzpapier trägt den Stand 16. Januar 2018 und dient als Orientierung; es ist keine aktuelle Einzelfallfreigabe.
Quellenhinweis zur DSK-Orientierung: Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz). Datenlizenz Deutschland – Namensnennung – Version 2.0. Die Erläuterungen auf dieser Seite sind eine eigenständige, auf Kursanbieter bezogene Aufbereitung.