ENTWURF — Rechtsverbindlichkeit erst nach anwaltlicher Prüfung. Dieses Dokument ist ein KI-gestützter, sorgfältig recherchierter Entwurf für die EduKI GmbH. Es ersetzt keine Rechtsberatung. Vor dem Produktivgang ist es durch eine:n in Deutschland zugelassene:n Rechtsanwält:in bzw. eine:n Datenschutzbeauftragte:n zu prüfen und auf die tatsächlichen Verhältnisse der EduKI GmbH anzupassen.

DRAFT — legally binding only after review by qualified counsel. This document is an AI-assisted, carefully researched draft for EduKI GmbH. It is not legal advice. Before production use it must be reviewed by a lawyer admitted in Germany and/or a data protection officer and adapted to EduKI GmbH's actual circumstances.

Dokument / Document: Cookie-Richtlinie & Einwilligung / Cookie Policy & Consent Version: 0.1 (Entwurf / draft) Stand / As of: 2026-06-03 Verantwortlich / Owner: EduKI GmbH

1. Verantwortlicher und Geltungsbereich

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO sowie verantwortliche Stelle für den Einsatz von Cookies und vergleichbaren Speichertechnologien gemäß § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz; vormals TTDSG) ist:

EduKI GmbH {{EduKI GmbH — Anschrift / registered address}} {{Registergericht + HRB-Nr. / register court + commercial-register no.}} Vertreten durch: {{Geschäftsführer:in / managing director(s)}} Telefon: {{Telefon}} E-Mail: {{E-Mail allgemein}} Datenschutzkontakt: {{datenschutz@… / privacy contact e-mail}} Datenschutzbeauftragte:r: {{Datenschutzbeauftragte:r — Name+Kontakt ODER „nicht bestellt"}}

Die EduKI GmbH ist ein eigenständiges IT-Trainingsunternehmen und betreibt die KI-gestützte Betriebsplattform „Educas", über die sie ihre eigenen Geschäftsprozesse als IT-Trainingsanbieter abwickelt. Sie ist für die nachstehend beschriebene Verarbeitung im Rahmen ihres Trainingsbetriebs Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Diese Cookie-Richtlinie gilt für sämtliche von der EduKI GmbH betriebenen Web-Oberflächen der Educas-Plattform, namentlich

• die öffentlichen Landingpages (Marketing-/Kurs-Seiten), und
• die internen Portal-/Mitarbeiteroberflächen (Anmeldebereich für Mitarbeitende und berechtigte Nutzer:innen).

Sie ergänzt die allgemeine Datenschutzerklärung der EduKI GmbH; im Übrigen gelten die dortigen Angaben (insbesondere zu Betroffenenrechten, Aufbewahrung und Empfängern).

2. Was Cookies und lokale Speichertechnologien sind

Cookies sind kleine Textdateien, die beim Aufruf einer Website von Ihrem Browser gespeichert und bei späteren Aufrufen an den Server zurückgesendet werden. Sie ermöglichen es, einen Browser über mehrere Anfragen hinweg wiederzuerkennen — etwa um eine angemeldete Sitzung aufrechtzuerhalten oder ein abgesendetes Formular der zugehörigen Anfrage zuzuordnen.

Daneben können Webanwendungen Informationen im Browser über den lokalen Speicher (localStorage/sessionStorage) ablegen. Anders als Cookies werden diese Daten nicht automatisch bei jeder Anfrage an den Server übermittelt, sondern nur clientseitig durch JavaScript gelesen.

§ 25 Abs. 1 TDDDG erfasst sowohl das Speichern von Informationen in der Endeinrichtung (Ihrem Gerät) als auch den Zugriff auf bereits dort gespeicherte Informationen. Beides ist grundsätzlich nur mit Ihrer Einwilligung zulässig — es sei denn, der Vorgang ist gemäß § 25 Abs. 2 TDDDG ausnahmsweise einwilligungsfrei (siehe § 5).

Hinweis zum lokalen Speicher: Die Educas-Plattform setzt zur Erbringung ihrer Funktionen ausschließlich die in § 3 aufgeführten Cookies ein. Ein darüber hinausgehender Einsatz von localStorage/sessionStorage zu Mess-, Tracking- oder Marketingzwecken findet nicht statt. {{TODO: bestätigen, ob das Frontend localStorage/sessionStorage für rein funktionale Zwecke (z. B. UI-Zustand) nutzt; falls ja, hier als technisch erforderlich benennen.}}

3. Übersicht aller eingesetzten Cookies

Die nachstehende Tabelle führt jedes von der Educas-Plattform gesetzte Cookie auf. Sämtliche Cookies sind Erstanbieter-Cookies (First-Party, ausschließlich von der Domain der EduKI GmbH gesetzt) und werden mit dem Attribut Secure (Übertragung nur über verschlüsselte HTTPS-Verbindungen) ausgeliefert. Das SameSite-Attribut ist cookieabhängig: Die drei Landingpage-Cookies (__Host-lp_visitor, __Host-lp_at, __Host-lp_csrf) werden mit SameSite=Strict (keine Übermittlung bei seitenübergreifenden Anfragen) gesetzt, das Sitzungscookie session_token mit SameSite=Lax (Übermittlung bei der seitenübergreifenden Top-Level-Navigation, damit eine bestehende Anmeldung beim Folgen eines Links in den geschützten Bereich erhalten bleibt). Mit Ausnahme des CSRF-Cookies (siehe § 4) sind alle Cookies zusätzlich HttpOnly (für clientseitiges JavaScript nicht lesbar). Die jeweils genau gesetzten Attribute sind in der Spalte „Attribute" je Cookie ausgewiesen. Die hier genannten Werte geben den aktuell im Code gesetzten Stand wieder; der SameSite-Soll-Wert des Sitzungscookies (Lax vs. Strict) ist vor dem Produktivgang abschließend festzulegen und mit den technisch-organisatorischen Maßnahmen (07-tom.md) abzugleichen ({{confirm: SameSite-Soll-Wert des Sitzungscookies}}).

Die Lebensdauer bezeichnet die maximale Gültigkeitsdauer des jeweiligen Cookies ab dem Setzen; bei einer erneuten Sitzung bzw. einem erneuten Seitenaufruf kann das Cookie neu gesetzt und die Frist neu in Gang gesetzt werden. Sitzungs-/Authentifizierungs-Cookies verlieren spätestens mit Ablauf der konfigurierten Frist ihre Gültigkeit.

4. Hinweis zum CSRF-Cookie __Host-lp_csrf (einzige Ausnahme von HttpOnly)

Das Cookie __Host-lp_csrf ist das einzige Cookie der Educas-Plattform, das nicht mit dem Attribut HttpOnly gesetzt wird. Dies ist technisch zwingend und sicherheitstechnisch beabsichtigt:

Der Schutz des Lead-Formulars vor websiteübergreifender Anfragefälschung (Cross-Site Request Forgery, CSRF) erfolgt nach dem Double-Submit-Verfahren. Dabei muss das clientseitige JavaScript den im Cookie hinterlegten Token auslesen und ihn zusätzlich im Anfragekörper des Formulars mitsenden; der Server akzeptiert das Formular nur, wenn der Wert im Cookie mit dem Wert im Anfragekörper übereinstimmt. Damit das JavaScript den Token lesen kann, darf das Cookie nicht HttpOnly sein.

Die übrigen Schutzmaßnahmen bleiben unberührt: Das Cookie ist weiterhin Secure (Übertragung nur über HTTPS) und SameSite=Strict (keine Übermittlung bei seitenübergreifenden Anfragen). Der __Host--Präfix erzwingt zudem browserseitig, dass das Cookie ausschließlich Secure, mit Path=/ und ohne Domain-Attribut gesetzt sein darf — es ist damit strikt an die ausliefernde Domain gebunden und kann nicht von Subdomains gesetzt oder überschrieben werden.

5. Rechtliche Einordnung nach § 25 TDDDG

5.1 Grundsatz

Nach § 25 Abs. 1 TDDDG ist die Speicherung von Informationen in Ihrer Endeinrichtung sowie der Zugriff auf dort bereits gespeicherte Informationen nur mit Ihrer Einwilligung zulässig. Eine Einwilligung ist nach § 25 Abs. 2 TDDDG ausnahmsweise nicht erforderlich, wenn

1. der alleinige Zweck die Durchführung der Übertragung einer Nachricht über ein Telekommunikationsnetz ist (§ 25 Abs. 2 Nr. 1 TDDDG), oder
2. die Speicherung bzw. der Zugriff unbedingt erforderlich ist, damit der Anbieter einen von Ihnen ausdrücklich gewünschten Telemediendienst zur Verfügung stellen kann (§ 25 Abs. 2 Nr. 2 TDDDG).

5.2 Einwilligungsfreie, unbedingt erforderliche Cookies

Die Cookies session_token, __Host-lp_at und __Host-lp_csrf sind nach Auffassung der EduKI GmbH unbedingt erforderlich im Sinne von § 25 Abs. 2 Nr. 2 TDDDG und bedürfen daher keiner Einwilligung:

• session_token ist erforderlich, um Ihre angemeldete Sitzung im von Ihnen ausdrücklich aufgerufenen geschützten Bereich aufrechtzuerhalten.
• __Host-lp_at ist erforderlich, um eine von Ihnen ausgelöste Formularabsendung zuverlässig der richtigen Seitenauslieferung zuzuordnen und so die Integrität der von Ihnen gewünschten Aktion zu sichern.
• __Host-lp_csrf ist eine Sicherheitsmaßnahme, ohne die das Lead-Formular nicht manipulationssicher betrieben werden kann.

Für diese Cookies wird kein Einwilligungsbanner benötigt.

5.3 Sonderfall __Host-lp_visitor — offene Bewertung

Das Cookie __Host-lp_visitor erfüllt zwei Funktionen:

1. Funktion/Sicherheit (unbedingt erforderlich): Es stabilisiert die A/B-Zuweisung für die angeforderte Landingpage (damit Ihnen bei wiederholtem Aufruf konsistent dieselbe Variante angezeigt wird) und dient der Begrenzung der Anfragerate (Schutz vor Missbrauch).
2. Messung (Bewertung offen): Dieselbe pseudonyme Kennung fließt in die Messung des A/B-Tests ein (Auswertung, welche Variante besser konvertiert).

Ob das Cookie wegen seines Mess-Aspekts als „unbedingt erforderlich" einzustufen ist oder insoweit der Einwilligung bedarf, ist eine Wertungsfrage des § 25 TDDDG. Maßgeblich ist insbesondere, ob die Messung als integraler, vom Nutzer gewünschter Bestandteil des Dienstes oder als eigenständige, primär dem Anbieter dienende Reichweiten-/Erfolgsmessung zu verstehen ist.

Da die EduKI GmbH ihre Leistungen auch Verbraucher:innen anbietet, behandelt sie den Mess-Aspekt des __Host-lp_visitor-Cookies vorsorglich als einwilligungsbedürftig: Eine eigenständige A/B-Erfolgsmessung dürfte regelmäßig nicht „unbedingt erforderlich" im Sinne von § 25 Abs. 2 Nr. 2 TDDDG sein. Der sichere Standard ist daher ein Einwilligungsbanner für den Mess-Aspekt (siehe § 8). Bis zur Einholung der Einwilligung wird der __Host-lp_visitor nur für seine unbedingt erforderlichen Funktionen (Zuordnungs-Stabilität, Rate-Limiting), nicht aber zu Messzwecken genutzt.

{{decision for EduKI/its lawyer}}: Die EduKI GmbH geht für den Verbraucherbereich vom Einwilligungsbedarf des Mess-Aspekts aus und setzt das Einwilligungsbanner aus § 8 ein. Ihre rechtliche Beratung bestätigt diese Einordnung bzw. weicht hiervon nur ab, wenn der Mess-Aspekt ausnahmsweise als unbedingt erforderlich zu bewerten ist; in diesem Fall entfällt das Banner und diese Richtlinie ist entsprechend zu kürzen (§ 8). Vorbehaltlich dieser Bestätigung gilt die einwilligungsbasierte Lösung.

5.4 Keine Drittanbieter-, Werbe- oder Tracking-Cookies

Die EduKI GmbH bestätigt für den Stand dieser Richtlinie (2026-06-03):

• Es werden ausschließlich Erstanbieter-Cookies eingesetzt; keine Drittanbieter-Cookies.
• Es werden keine Werbe-, Marketing- oder geräteübergreifenden Tracking-Cookies gesetzt.
• Es ist kein externer Webanalyse-Dienst (z. B. Google Analytics) und kein externer Tracking-/Tag-Manager eingebunden. Die Messung der Landingpage-Leistung erfolgt ausschließlich erstanbieterseitig und ohne Personenprofile (die A/B-Auswertung ist pseudonym und arm-/variantenbezogen, nicht personenbezogen-profilierend).

6. Ihre Einwilligung verwalten und widerrufen

Für den einwilligungsbedürftigen Mess-Aspekt des __Host-lp_visitor-Cookies (vgl. § 5.3) erfolgt die Einwilligung ausschließlich freiwillig und kann jederzeit mit Wirkung für die Zukunft widerrufen werden, ohne dass für Sie Nachteile entstehen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO).

Aktueller Stand: Da die EduKI GmbH den Mess-Aspekt vorsorglich als einwilligungsbedürftig behandelt (§ 5.3), wird die Einwilligung über das Einwilligungsbanner aus § 8 eingeholt und verwaltet. {{TODO: Konkretes Einwilligungs-Management benennen — eingesetztes Tool bzw. Banner-/CMP-Lösung, Möglichkeit zum erneuten Aufruf der Einstellungen (z. B. „Cookie-Einstellungen"-Schaltfläche) sowie den Speicherungs-/Protokollierungsmechanismus der Einwilligung (Nachweisbarkeit nach Art. 7 Abs. 1 DSGVO).}}

Sie können Ihre Einwilligung — soweit erteilt — wie folgt widerrufen bzw. die betreffenden Cookies entfernen:

• Löschen Sie die gesetzten Cookies in Ihrem Browser (siehe § 7), oder
• wenden Sie sich an den unter § 1 genannten Datenschutzkontakt.

7. Cookies über Ihren Browser steuern

Unabhängig von einer Einwilligung können Sie das Setzen und Speichern von Cookies jederzeit über die Einstellungen Ihres Browsers steuern, einschränken, einzelne oder alle Cookies löschen und das automatische Löschen beim Schließen des Browsers aktivieren. Die Vorgehensweise unterscheidet sich je nach Browser; die Hersteller stellen entsprechende Hilfeseiten bereit (z. B. für Google Chrome, Mozilla Firefox, Microsoft Edge, Apple Safari).

Wichtiger Hinweis: Wenn Sie unbedingt erforderliche Cookies (siehe § 5.2) blockieren oder löschen, können zentrale Funktionen der Plattform beeinträchtigt sein — insbesondere kann die Anmeldung nicht aufrechterhalten oder das Lead-Formular nicht abgesendet werden. Diese Cookies sind nicht über ein Einwilligungsbanner abwählbar, da der Dienst ohne sie nicht bestimmungsgemäß funktioniert.

8. Einwilligungsbanner (Mustertext)

Anwendung: Da die EduKI GmbH den Mess-Aspekt des __Host-lp_visitor-Cookies gegenüber Verbraucher:innen vorsorglich als einwilligungsbedürftig behandelt (§ 5.3), ist der nachstehende Bannertext der maßgebliche Standard und einzusetzen. Das Banner muss eine gleichwertige Ablehnungsmöglichkeit auf der ersten Ebene bieten (echtes „Alle ablehnen"); eine Vorauswahl („Opt-in" voreingestellt) ist unzulässig. Sollte die rechtliche Beratung den Mess-Aspekt ausnahmsweise als unbedingt erforderlich einstufen (§ 5.3), gilt: Werden dann ausschließlich unbedingt erforderliche Cookies eingesetzt, darf kein Einwilligungsbanner mit „Akzeptieren/Ablehnen" erscheinen; ein bloßer Cookie-Hinweis (ohne Einwilligungsabfrage) genügt und ist vorzuziehen.

Deutscher Bannertext (maßgeblicher Standard für den Verbraucherbereich):

Cookies und Messung

Wir verwenden technisch notwendige Cookies, damit diese Website funktioniert (Anmeldung, Formularabsendung, Sicherheit). Diese sind immer aktiv und benötigen keine Einwilligung.

Darüber hinaus möchten wir mit einem erstanbieterseitigen, pseudonymen Cookie messen, welche Variante unserer Landingpages besser funktioniert (A/B-Test). Dafür benötigen wir Ihre Einwilligung. Sie ist freiwillig und jederzeit mit Wirkung für die Zukunft widerrufbar.

[ Alle akzeptieren ] [ Alle ablehnen ] [ Einstellungen ]

Weitere Informationen finden Sie in unserer [Cookie-Richtlinie] und unserer [Datenschutzerklärung].

Englischer Bannertext (zur Konsistenz; identisch zu Abschnitt 8 der englischen Fassung):

Cookies and measurement

We use strictly necessary cookies so that this website works (sign-in, form submission, security). These are always active and do not require consent.

In addition, we would like to use a first-party, pseudonymous cookie to measure which variant of our landing pages performs better (A/B test). This requires your consent. It is voluntary and can be withdrawn at any time with effect for the future.

[ Accept all ] [ Reject all ] [ Settings ]

For more information, see our [Cookie Policy] and our [Privacy Policy].

Hinweise zur Banner-Gestaltung (verbindlich, falls eingesetzt):

• „Alle ablehnen" muss auf der ersten Ebene, gleichwertig und mit demselben Aufwand wie „Alle akzeptieren" erreichbar sein (kein „Dark Pattern", keine Vorauswahl).
• Einwilligungsbedürftige Cookies dürfen erst nach aktiver Zustimmung gesetzt/zu Messzwecken genutzt werden; vor der Entscheidung dürfen nur unbedingt erforderliche Cookies geladen werden.
• Die Einstellungen müssen jederzeit erneut aufrufbar und der Widerruf so einfach wie die Erteilung sein.
• {{TODO: Bei Einführung einer CMP den konkreten Speicher-/Protokollierungsmechanismus der Einwilligung (Nachweisbarkeit nach Art. 7 Abs. 1 DSGVO) ergänzen.}}

9. Änderungen dieser Cookie-Richtlinie

Die EduKI GmbH passt diese Cookie-Richtlinie an, sobald sich die eingesetzten Cookies, ihre Zwecke oder die rechtliche Bewertung ändern — insbesondere, falls künftig ein einwilligungsbedürftiges Cookie, eine Consent-Management-Plattform oder ein externer Dienst hinzukommt. Es gilt jeweils die unter „Stand / As of" genannte Fassung.

10. Kontakt

Bei Fragen zu dieser Cookie-Richtlinie oder zur Ausübung Ihrer Betroffenenrechte (insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Widerruf einer Einwilligung sowie Beschwerde bei einer Aufsichtsbehörde) wenden Sie sich bitte an:

{{datenschutz@… / privacy contact e-mail}} {{Datenschutzbeauftragte:r — Name+Kontakt ODER „nicht bestellt"}}

Sie haben zudem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO): {{zuständige Aufsichtsbehörde / competent supervisory authority (depends on EduKI's seat)}}.