hackatoll
Zur Lernplattform

Datenschutzerklärung

Stand: 11.10.2026

Diese Datenschutzerklärung informiert dich darüber, welche personenbezogenen Daten wir beim Besuch und bei der Nutzung von hackatoll (hackatoll.com einschließlich der Lab-Ziele) verarbeiten, zu welchem Zweck und auf welcher Rechtsgrundlage. Begriffe wie „personenbezogene Daten“ oder „Verarbeitung“ sind in Art. 4 DSGVO definiert.

1. Verantwortlicher

Volker Golbig (machwert)
Elchdamm 67a, 13503 Berlin
Telefon: 030 48815735
E-Mail: datenschutz@machwert.de

2. Das Wichtigste in Kürze

3. Hosting und Server-Protokolle

hackatoll läuft auf einem Server der netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, in Deutschland. netcup verarbeitet die Daten ausschließlich in unserem Auftrag und nach unseren Weisungen (Art. 28 DSGVO).

Beim Aufruf einer Seite übermittelt dein Browser technisch notwendige Daten, darunter deine IP-Adresse. Wir brauchen sie, um die Verbindung aufzubauen und die Seite auszuliefern (Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer, funktionierender Betrieb). Unser Webserver protokolliert aufgerufene Adresse, Datum und Uhrzeit, Statuscode, übertragene Datenmenge, zuvor besuchte Seite (Referrer) sowie Browser und Betriebssystem, nicht aber deine IP-Adresse.

4. Konto und Anmeldung per E-Mail

Zum Anmelden gibst du deine E-Mail-Adresse ein. Wir schicken dir eine E-Mail mit einem 6-stelligen Code, der 10 Minuten gültig und nur einmal verwendbar ist. Gespeichert wird davon nur eine nicht umkehrbare Prüfsumme (Hash). Eingelöste und abgelaufene Codes löschen wir. Bei der ersten Anmeldung legen wir dein Konto an. Gespeichert werden deine E-Mail-Adresse, der Zeitpunkt der Anlage und der letzten Anmeldung.

Authenticator (freiwillig): Richtest du eine Authenticator-App ein, speichern wir den dafür nötigen geheimen Schlüssel, mit dem wir deine Codes prüfen, sowie Prüfsummen deiner Recovery-Codes.

Cookies: Damit du nach der Anmeldung angemeldet bleibst, setzt hackatoll ein Cookie __Host-htsess mit einer zufälligen Kennung. Es läuft sieben Tage nach deiner letzten Nutzung ab; mit „Abmelden“ beendest du die Sitzung sofort. Nach der Anmeldung kommt ein zweites Cookie ht_lab hinzu, das dir Zugang zu den Lab-Zielen gibt (Abschnitt 6). Es gilt für hackatoll.com und deren Subdomains, enthält deine Nutzernummer, einen Ablaufzeitpunkt und eine Signatur und läuft nach 12 Stunden ab. Beide Cookies enthalten keine weiteren Angaben über dich. Speichern und Auslesen sind für die von dir gewünschte Anmeldung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Rechtsgrundlage für Konto und Anmeldung ist die Durchführung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Deine E-Mail-Adresse nutzen wir nur für die Anmeldung und für Nachrichten zu deinem Konto, nicht für Werbung.

5. Lernfortschritt

Löst du eine Challenge, speichern wir, welche Challenge du wann gelöst hast. Daraus berechnen wir deine Punkte und deinen Fortschritt (Art. 6 Abs. 1 lit. b DSGVO). Was du bei der Erfolgsprüfung eingibst, schickt unser Server zur Prüfung an das Lab-Ziel; gespeichert wird die Eingabe nicht. Bestehst du ein Wissens-Quiz (Abschnitt 7), speichern wir, welche Lektion du wann bestanden hast und wie viele Fehlversuche es dabei gab. Andere Nutzer sehen deinen Fortschritt nicht; die übrigen Einträge der Rangliste sind Beispieldaten.

6. Lab-Ziele

Die Lab-Ziele (z. B. fakarava.hackatoll.com und rangiroa.hackatoll.com) sind absichtlich verwundbare TYPO3-Installationen, die sich alle Teilnehmenden teilen. Was du dort eingibst, etwa Gästebucheinträge oder Formularinhalte, ist für andere Teilnehmende sichtbar oder für sie auslesbar, denn genau das ist der Zweck der Übungen. TYPO3 protokolliert dort technisch bedingt unter anderem Anmeldeversuche mit IP-Adresse. Die Lab-Ziele sind nur für angemeldete Nutzer erreichbar. Wir setzen sie jede Nacht auf ihren Ausgangszustand zurück; dabei werden alle dort eingegebenen Daten und Protokolle gelöscht. Bitte gib in den Lab-Zielen deshalb keine echten persönlichen Daten ein.

7. Wissens-Quiz (Qwissit)

Auf einzelnen Wissensseiten kannst du nach der Anmeldung ein kurzes Quiz machen. Es stammt von Qwissit, einem Angebot desselben Betreibers (Volker Golbig, siehe Abschnitt 1), und wird von www.qwissit.com geladen. Qwissit läuft auf Servern der netcup GmbH in Deutschland. Nicht angemeldeten Besuchern zeigen wir das Quiz nicht; dann wird auch nichts von Qwissit geladen.

Beim Quiz lädt dein Browser Skripte von www.qwissit.com und überträgt dabei technisch bedingt deine IP-Adresse, außerdem die von dir gewählten Antworten und einen zufälligen Einmal-Code, den wir für jedes Quiz erzeugen. Name oder E-Mail-Adresse erfährt Qwissit nicht. Das Quiz setzt keine Cookies und nutzt keinen Speicher in deinem Browser. Qwissit bewertet die Antworten auf seinem Server und speichert sie nicht; beim Hoster fallen übliche Server-Protokolle an.

Hast du alle Fragen richtig beantwortet, stellt Qwissit eine signierte Bestätigung aus. Unser Server schickt sie zur Prüfung an Qwissit und vermerkt danach in deinem Lernfortschritt, dass du die Lektion bestanden hast (Abschnitt 5). Rechtsgrundlage ist die Durchführung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO); das Quiz ist freiwillig. Weitere Informationen: Datenschutzerklärung von Qwissit (Abschnitt zum Quiz-Widget).

8. E-Mail-Versand über Brevo

Anmelde-E-Mails verschicken wir über den Dienst Brevo (Sendinblue SAS, 17 rue de Salneuve, 75017 Paris, Frankreich). Brevo verarbeitet dafür deine E-Mail-Adresse, den Inhalt der Mail und den Zustellstatus in unserem Auftrag (Art. 28 DSGVO), auf Servern in der EU. Brevo zählt, ob eine Mail geöffnet wird; dafür enthält die Mail einen unsichtbaren Zählpunkt (ein kleines, aus Brevos Netz nachgeladenes Bild). Diese Zählung erfolgt anonymisiert, also ohne Bezug zu deiner Person. Den Anmelde-Code schicken wir als reinen Text und ohne Link, damit er nicht über Brevo läuft. Brevo protokolliert Empfängeradresse, Zeitpunkt und Zustellstatus und löscht diese Protokolle nach einem Monat; Kopien oder Vorschauen der Mail-Inhalte werden nicht aufbewahrt. Rechtsgrundlage ist die Durchführung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Weitere Informationen: Datenschutzerklärung von Brevo.

9. Lokaler Speicher im Browser

Wählst du zwischen hellem und dunklem Design, merkt sich dein Browser die Auswahl im lokalen Speicher (ht-theme). Dieser Wert wird nicht an uns übertragen. Du kannst ihn löschen, indem du die Website-Daten für hackatoll in deinem Browser entfernst.

10. Kontakt per E-Mail

Wenn du uns schreibst, verarbeiten wir deine Angaben, um deine Anfrage zu beantworten (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Wir geben sie ohne deine Einwilligung nicht an Dritte weiter und löschen sie, wenn sie nicht mehr benötigt werden und keine Aufbewahrungspflicht besteht.

11. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck nötig ist. Dein Konto mit allen zugehörigen Daten (E-Mail-Adresse, Lernfortschritt, Authenticator- und Recovery-Daten) bleibt bestehen, bis du es löschen lässt. Schreib dazu an datenschutz@machwert.de von der Adresse, mit der du dich anmeldest; wir löschen es dann vollständig.

12. Deine Rechte

Du hast gegenüber uns das Recht auf

Wende dich dazu an datenschutz@machwert.de. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der für uns zuständigen Berliner Beauftragten für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin.

13. Keine automatisierte Entscheidungsfindung

Wir treffen keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO und erstellen keine Profile.

14. Änderungen

Wenn sich hackatoll oder die Rechtslage ändern, passen wir diese Datenschutzerklärung an. Es gilt die jeweils hier veröffentlichte Fassung.