Privacy Policy

1. Verantwortlicher
2. Das Wichtigste in Kürze
3. Hosting, Server-Logdateien, Cloudflare
4. Cookies und lokaler Speicher
5. Benutzerkonto
6. Lernen auf Wadyy
7. Schutz vor Missbrauch
8. Kontaktformular und E-Mails
9. Videos und Live-Unterricht
10. Zahlungen und Lehrkräfte
11. Speicherdauer
12. Ihre Rechte

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf wadyy.com im Sinne der Datenschutz-Grundverordnung (DSGVO):

[Vor- und Nachname]
[Straße und Hausnummer]
[PLZ Ort]
Deutschland
E-Mail: [email protected]

2. Das Wichtigste in Kürze

• Wir verwenden keine Werbung, keine Analyse- oder Tracking-Werkzeuge und keine Marketing-Cookies.
• Schriften und Programmbibliotheken liegen auf unserem eigenen Server; beim Seitenaufruf wird nichts von Google Fonts oder ähnlichen Diensten geladen.
• Wir verarbeiten nur die Daten, die für Ihr Konto, Ihre Kurse und die Sicherheit der Seite nötig sind.
• Wir verkaufen keine Daten und geben sie nur an die unten genannten Dienstleister weiter.

3. Hosting, Server-Logdateien und Cloudflare

Hosting

Die Website und die Datenbank liegen bei Hostinger International, Ltd, 61 Lordou Vironos Street, 6023 Larnaca, Zypern. Hostinger verarbeitet die Daten in unserem Auftrag (Auftragsverarbeitung nach Art. 28 DSGVO).

Bei jedem Aufruf werden technisch notwendige Daten verarbeitet: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browser und Betriebssystem, Referrer-URL. Das dient dem sicheren und stabilen Betrieb. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionierenden, sicheren Website). Die Logdateien werden vom Hoster nach [Anzahl Tage laut Hostinger] Tagen gelöscht.

Cloudflare

Wir nutzen das Netzwerk von Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA, zur schnelleren Auslieferung und zum Schutz vor Angriffen. Dabei laufen alle Aufrufe über Server von Cloudflare; Cloudflare verarbeitet dabei insbesondere IP-Adressen und technische Verbindungsdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Sicherheit und Verfügbarkeit). Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert; die Übermittlung in die USA stützt sich auf diesen Angemessenheitsbeschluss (Art. 45 DSGVO) und ergänzend auf Standardvertragsklauseln.

4. Cookies und lokaler Speicher

Wir setzen nur technisch notwendige Speicherungen ein. Eine Einwilligung ist dafür nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

• Sitzungs-Cookie „laiss_sess“: hält Sie angemeldet und schützt Formulare vor Fälschung. Er wird beim Schließen des Browsers bzw. beim Abmelden gelöscht.
• Lokaler Speicher im Browser: Ihre Wahl zwischen hellem und dunklem Design und ob das Kursmenü in Lektionen auf- oder zugeklappt ist. Diese Angaben verlassen Ihr Gerät nicht.

5. Benutzerkonto

Für die Registrierung verarbeiten wir Name, E-Mail-Adresse, Passwort (nur als verschlüsselter Hash gespeichert) und Geschlecht. Das Geschlecht brauchen wir, weil einige Kurse und Live-Klassen nur für Schwestern zugänglich sind; es kann danach nicht geändert werden. Zur Bestätigung der E-Mail-Adresse senden wir einen Code.

Freiwillig können Sie im Profil Geburtsdatum, Land, Zeitzone, Muttersprachen, eine kurze Beschreibung und einen Link zu einem Profilbild angeben. Wenn Sie einen Code Ihrer Lehrkraft einlösen, speichern wir, welcher Code für welchen Kurs verwendet wurde.

Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO), für freiwillige Angaben Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie durch Löschen der Angaben jederzeit widerrufen können.

Hinweis zu besonderen Kategorien: Wir fragen nicht nach Ihrer Religion. Da Wadyy islamische Studien anbietet, kann aber die Teilnahme an Kursen Rückschlüsse auf religiöse Überzeugungen zulassen (Art. 9 DSGVO). Wir verwenden diese Informationen ausschließlich, um Ihnen die gewählten Kurse bereitzustellen, und geben sie an niemanden zur Auswertung weiter. [PRÜFEN: Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO mit Rechtsberatung festlegen]

6. Lernen auf Wadyy

Während Sie lernen, speichern wir: abgeschlossene Lektionen und Abschnitte, Ergebnisse von Quizzen, Unit-Tests und Prüfungen, Erfolge und Zertifikate, Lesezeichen, Ihre persönlichen Notizen, Kommentare unter Lektionen und Nachrichten im Live-Chat. Das ist nötig, um Ihren Fortschritt anzuzeigen und Prüfungen freizuschalten (Art. 6 Abs. 1 lit. b DSGVO).

• Notizen sind privat und nur für Sie sichtbar.
• Kommentare und Chat-Nachrichten sind für andere Teilnehmer sichtbar, Kommentare erst nach Freigabe durch uns.
• Lehrkräfte und Administratoren sehen für ihre eigenen Kurse, wer teilnimmt, den Fortschritt, die Ergebnisse und die letzte Aktivität. Sie sehen dabei Name und E-Mail-Adresse, damit sie Teilnehmenden helfen und Prüfungen freigeben können.
• Zertifikate enthalten Ihren Namen, den Kurs, das Ergebnis und eine Zertifikatsnummer.

7. Schutz vor Missbrauch

Um Spam und Angriffe abzuwehren, speichern wir bei Formularen (Anmeldung, Registrierung, Kontakt, Kommentare) die IP-Adresse und den Zeitpunkt für zwei Stunden. Bei falschen Passwörtern speichern wir für 24 Stunden die IP-Adresse und einen nicht umkehrbaren Hash der E-Mail-Adresse, um ein Konto nach mehreren Fehlversuchen vorübergehend zu sperren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz der Konten und der Website).

Auf einigen Formularen kann Cloudflare Turnstile (Cloudflare, Inc., USA) prüfen, ob ein Mensch das Formular sendet. Dabei werden technische Daten wie IP-Adresse und Browser-Merkmale an Cloudflare übertragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; zur Übermittlung in die USA siehe Abschnitt 3.

8. Kontaktformular und E-Mails

Wenn Sie uns über das Kontaktformular oder per E-Mail schreiben, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse und Ihre Nachricht, um Ihre Anfrage zu beantworten (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO).

E-Mails versenden wir über den E-Mail-Server unseres Hosters Hostinger: Bestätigungscodes, Passwort-Zurücksetzung, Hinweise zu neuen Kursen und Live-Klassen sowie Ankündigungen. Welche Hinweise Sie per E-Mail erhalten möchten, stellen Sie unter Profil, E-Mail-Einstellungen ein; Sie können sie dort jederzeit abbestellen.

9. Videos und Live-Unterricht

Videos werden erst geladen, wenn Sie eine Lektion oder Live-Klasse mit Video öffnen. Dabei erhält der jeweilige Anbieter Ihre IP-Adresse und technische Daten des Abspielens. Je nach Kurs nutzen wir:

• Bunny Stream, BunnyWay d.o.o., Cesta komandanta Staneta 4A, 1215 Medvode, Slowenien (Speicherung und Auslieferung unserer Kursvideos, Auftragsverarbeitung).
• YouTube, Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, soweit möglich im erweiterten Datenschutzmodus. Google kann Daten in die USA übermitteln (EU-US Data Privacy Framework).
• Vimeo, Vimeo.com, Inc., New York, USA, falls eine Lehrkraft ein Vimeo-Video einbindet (EU-US Data Privacy Framework).
• Cloudflare Stream für Live-Übertragungen (siehe Abschnitt 3).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der gebuchten Kursinhalte) bzw. lit. f (ansprechende Darstellung der Inhalte).

10. Zahlungen und Lehrkräfte

Kostenpflichtige Kurse bezahlen Sie über Stripe (Stripe Payments Europe, Ltd. und Stripe Technology Europe, Limited, Dublin, Irland). Die Zahlungsdaten (z. B. Kartendaten) geben Sie direkt bei Stripe ein; wir erhalten sie nicht. Wir erhalten von Stripe den Namen, die E-Mail-Adresse, den Betrag und den Zahlungsstatus. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung von Buchungsbelegen Art. 6 Abs. 1 lit. c DSGVO. Stripe ist für Betrugsprüfung und gesetzliche Pflichten selbst verantwortlich; Informationen: stripe.com/de/privacy.

Für die Mitgliedschaft (Abonnement) legt Stripe ein Kundenkonto an. Wir speichern dessen Kennung, die Kennung des Abonnements, den gewählten Tarif, den Status und das Ende des bezahlten Zeitraums sowie zu jeder Zahlung Betrag, Datum und die Kennungen von Rechnung und Zahlung. Die Zahlungsmittel verwalten Sie auf der Abo-Seite von Stripe („Manage subscription“). Kündigungen über „Verträge hier kündigen“ speichern wir mit Name, E-Mail-Adresse, Angaben zur Kündigung und Eingangszeitpunkt als Nachweis (Art. 6 Abs. 1 lit. b und c DSGVO).

Lehrkräfte, die Kurse verkaufen, erhalten ihren Anteil per Banküberweisung. Dafür speichern wir den Namen des Kontoinhabers, die IBAN und (optional) die BIC, die die Lehrkraft im Lehrkräftebereich angibt, außerdem die Verkäufe ihrer Kurse und die Auszahlungen an sie. Die Bankdaten sehen nur die Lehrkraft selbst und die Administratoren von Wadyy. Lehrkräfte, die ein eigenes Stripe-Konto verbinden (Stripe Connect), werden stattdessen über Stripe ausgezahlt; dann speichern wir die Kennung des Stripe-Kontos, das Land, ob Zahlungen und Auszahlungen freigeschaltet sind und welche Angaben Stripe noch benötigt, und Stripe führt die Identitätsprüfung durch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung von Buchungsbelegen Art. 6 Abs. 1 lit. c DSGVO.

11. Speicherdauer

• Kontodaten, Lernfortschritt, Notizen und Ergebnisse: bis Sie Ihr Konto löschen lassen.
• Kontaktanfragen: bis die Anfrage erledigt ist, höchstens drei Jahre.
• IP-Adressen zum Schutz vor Missbrauch: zwei Stunden bzw. 24 Stunden (siehe Abschnitt 7).
• Zahlungs- und Buchungsbelege: so lange, wie es Steuer- und Handelsrecht vorschreibt (bis zu zehn Jahre).

Um Ihr Konto zu löschen, schreiben Sie an [email protected] von der E-Mail-Adresse Ihres Kontos.

12. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3). Schreiben Sie dazu an [email protected].

Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), zum Beispiel bei der für uns zuständigen Behörde: Die Sächsische Datenschutz- und Transparenzbeauftragte, Maternistraße 17, 01067 Dresden.

Die Angabe Ihrer Daten ist für die Nutzung des Kontos erforderlich, ansonsten freiwillig. Eine automatisierte Entscheidungsfindung oder Profilbildung im Sinne von Art. 22 DSGVO findet nicht statt.

English translation for your convenience. The German version is legally binding.

1. Controller
2. In short
3. Hosting, server logs, Cloudflare
4. Cookies and local storage
5. User account
6. Learning on Wadyy
7. Protection against abuse
8. Contact form and emails
9. Videos and live classes
10. Payments and teachers
11. Retention
12. Your rights

1. Controller

Responsible for data processing on wadyy.com under the General Data Protection Regulation (GDPR):

[Vor- und Nachname]
[Straße und Hausnummer]
[PLZ Ort]
Deutschland
Email: [email protected]

2. In short

• We use no advertising, no analytics or tracking tools and no marketing cookies.
• Fonts and script libraries are stored on our own server; nothing is loaded from Google Fonts or similar services.
• We only process the data needed for your account, your courses and the security of the site.
• We do not sell data and only share it with the service providers named below.

3. Hosting, server logs and Cloudflare

Hosting

The website and database are hosted by Hostinger International, Ltd, 61 Lordou Vironos Street, 6023 Larnaca, Cyprus, which processes data on our behalf (Art. 28 GDPR).

Each visit involves technically necessary data: IP address, date and time, page requested, browser and operating system, referrer URL. This keeps the site secure and stable. Legal basis: Art. 6(1)(f) GDPR (legitimate interest in a working, secure website). Log files are deleted by the host after [number of days per Hostinger] days.

Cloudflare

We use the network of Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA, for faster delivery and protection against attacks. All requests pass through Cloudflare servers, which process IP addresses and technical connection data. Legal basis: Art. 6(1)(f) GDPR (security and availability). Cloudflare is certified under the EU-US Data Privacy Framework; transfers to the USA rely on this adequacy decision (Art. 45 GDPR) and, in addition, on standard contractual clauses.

4. Cookies and local storage

We only use technically necessary storage, which needs no consent (§ 25(2) no. 2 TDDDG).

• Session cookie “laiss_sess”: keeps you logged in and protects forms against forgery. Deleted when you close the browser or log out.
• Browser local storage: your choice of light or dark mode and whether the course menu in lessons is open or closed. This stays on your device.

5. User account

To register we process your name, email address, password (stored only as an encrypted hash) and gender. We need the gender because some courses and live classes are for sisters only; it cannot be changed later. We send a code to confirm your email address.

Optionally you can add your date of birth, country, time zone, native languages, a short bio and a link to a profile picture. When you redeem a code from your teacher, we store which code was used for which course.

Legal basis: performance of the user contract (Art. 6(1)(b) GDPR); for optional details your consent (Art. 6(1)(a)), which you can withdraw at any time by deleting them.

Special categories: We do not ask about your religion. As Wadyy offers Islamic studies, taking part in courses may allow conclusions about religious beliefs (Art. 9 GDPR). We use this only to provide the courses you chose and never pass it on for analysis. [CHECK: legal basis under Art. 9(2) GDPR with legal advice]

6. Learning on Wadyy

While you learn we store: completed lessons and sections, results of quizzes, unit tests and exams, achievements and certificates, bookmarks, your personal notes, comments under lessons and live chat messages. This is needed to show your progress and unlock exams (Art. 6(1)(b) GDPR).

• Notes are private and visible only to you.
• Comments and chat messages are visible to other participants; comments only after we approve them.
• Teachers and administrators see, for their own courses, who takes part, progress, results and last activity, including name and email address, so they can help students and unlock exams.
• Certificates show your name, the course, your result and a certificate number.

7. Protection against abuse

To stop spam and attacks, forms (log in, sign up, contact, comments) store the IP address and time for two hours. After wrong passwords we store the IP address and an irreversible hash of the email address for 24 hours, so an account can be locked temporarily after several failed attempts. Legal basis: Art. 6(1)(f) GDPR (protecting accounts and the website).

On some forms Cloudflare Turnstile (Cloudflare, Inc., USA) may check that a human is sending the form, which transfers technical data such as IP address and browser characteristics to Cloudflare. Legal basis: Art. 6(1)(f) GDPR; for transfers to the USA see section 3.

8. Contact form and emails

If you write to us through the contact form or by email, we process your name, email address and message to answer you (Art. 6(1)(b) or (f) GDPR).

We send emails through the mail server of our host Hostinger: confirmation codes, password resets, notices about new courses and live classes, and announcements. Choose which notices you want under Profile, Email preferences; you can unsubscribe there at any time.

9. Videos and live classes

Videos load only when you open a lesson or live class with a video. The provider then receives your IP address and technical playback data. Depending on the course we use:

• Bunny Stream, BunnyWay d.o.o., Cesta komandanta Staneta 4A, 1215 Medvode, Slovenia (storing and delivering our course videos, processor).
• YouTube, Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland, in privacy-enhanced mode where possible. Google may transfer data to the USA (EU-US Data Privacy Framework).
• Vimeo, Vimeo.com, Inc., New York, USA, if a teacher embeds a Vimeo video (EU-US Data Privacy Framework).
• Cloudflare Stream for live broadcasts (see section 3).

Legal basis: Art. 6(1)(b) GDPR (providing the course content) or (f) (presenting content well).

10. Payments and teachers

Paid courses are paid through Stripe (Stripe Payments Europe, Ltd. and Stripe Technology Europe, Limited, Dublin, Ireland). You enter payment details (e.g. card data) directly with Stripe; we never receive them. Stripe gives us name, email address, amount and payment status. Legal basis: Art. 6(1)(b) GDPR; for keeping accounting records Art. 6(1)(c). Stripe is itself responsible for fraud checks and legal duties: stripe.com/privacy.

For the membership (subscription) Stripe creates a customer record. We store its ID, the subscription ID, the chosen plan, the status and the end of the paid period, and for each payment the amount, date and the IDs of invoice and payment. You manage your payment methods on Stripe's subscription page (“Manage subscription”). Cancellations sent through “Verträge hier kündigen” are stored with name, email address, the cancellation details and time of receipt as proof (Art. 6(1)(b) and (c) GDPR).

Teachers who sell courses are paid their share by bank transfer. For this we store the account holder name, IBAN and (optionally) BIC that the teacher enters in the teacher area, together with the sales of their courses and the payouts made to them. Only the teacher and Wadyy's administrators can see the bank details. Teachers who connect their own Stripe account (Stripe Connect) are paid through Stripe instead; then we store the Stripe account ID, the country, whether payments and payouts are enabled and which details Stripe still needs, and Stripe carries out the identity checks. Legal basis: Art. 6(1)(b) GDPR; for keeping accounting records Art. 6(1)(c) GDPR.

11. Retention

• Account data, progress, notes and results: until you ask us to delete your account.
• Contact requests: until resolved, at most three years.
• IP addresses for abuse protection: two hours or 24 hours (see section 7).
• Payment and accounting records: as long as tax and commercial law require (up to ten years).

To delete your account, write to [email protected] from your account's email address.

12. Your rights

You have the right of access (Art. 15 GDPR), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18), data portability (Art. 20) and to withdraw consent with effect for the future (Art. 7(3)). Write to [email protected].

You may also complain to a data protection supervisory authority (Art. 77 GDPR), for example the authority responsible for us: Die Sächsische Datenschutz- und Transparenzbeauftragte, Maternistraße 17, 01067 Dresden, Germany.

Providing your data is required to use an account and otherwise voluntary. There is no automated decision-making or profiling under Art. 22 GDPR.