hackatoll
Zur Lernplattform

Datenschutzerklärung

Stand: 14.10.2026

Diese Datenschutzerklärung informiert dich darüber, welche personenbezogenen Daten wir beim Besuch und bei der Nutzung von hackatoll (hackatoll.com einschließlich der Lab-Ziele) verarbeiten, zu welchem Zweck und auf welcher Rechtsgrundlage. Begriffe wie „personenbezogene Daten“ oder „Verarbeitung“ sind in Art. 4 DSGVO definiert.

1. Verantwortlicher

Volker Golbig (machwert)
Elchdamm 67a, 13503 Berlin
Telefon: 030 48815735
E-Mail: datenschutz@machwert.de

2. Das Wichtigste in Kürze

3. Hosting und Server-Protokolle

hackatoll läuft auf einem Server der netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, in Deutschland. netcup verarbeitet die Daten ausschließlich in unserem Auftrag und nach unseren Weisungen (Art. 28 DSGVO).

Beim Aufruf einer Seite übermittelt dein Browser technisch notwendige Daten, darunter deine IP-Adresse. Wir brauchen sie, um die Verbindung aufzubauen und die Seite auszuliefern (Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer, funktionierender Betrieb). Unser Webserver protokolliert aufgerufene Adresse, Datum und Uhrzeit, Statuscode, übertragene Datenmenge, zuvor besuchte Seite (Referrer) sowie Browser und Betriebssystem, nicht aber deine IP-Adresse.

4. Konto und Anmeldung per E-Mail

Zum Anmelden gibst du deine E-Mail-Adresse ein. Wir schicken dir eine E-Mail mit einem 6-stelligen Code, der 10 Minuten gültig und nur einmal verwendbar ist. Gespeichert wird davon nur eine nicht umkehrbare Prüfsumme (Hash). Eingelöste und abgelaufene Codes löschen wir. Bei der ersten Anmeldung legen wir dein Konto an. Gespeichert werden deine E-Mail-Adresse, der Zeitpunkt der Anlage und der letzten Anmeldung sowie Zeitpunkt und Fassung der Nutzungsbedingungen, denen du zugestimmt hast (als Nachweis der Spielregeln für das Lab). Bei der Registrierung wählst du außerdem einen Benutzernamen, der in der Rangliste erscheint; in den Einstellungen kannst du festlegen, dass du dort stattdessen als „Anonym“ geführt wirst.

Passkeys (freiwillig): Richtest du einen Passkey ein, erzeugt dein Gerät bzw. dein Passwortmanager (z. B. iCloud-Schlüsselbund, Google Passwortmanager) ein Schlüsselpaar. Der private Schlüssel bleibt dort und wird durch Fingerabdruck, Gesichtserkennung oder Geräte-PIN geschützt; diese biometrischen Daten erreichen uns nie. Wir speichern nur den öffentlichen Schlüssel, eine Kennung des Passkeys, eine zufällige Kennung deines Kontos für Passkeys, einen Namen für die Anzeige (z. B. „iCloud-Schlüsselbund“ oder Gerät und Browser), einen Zähler sowie Zeitpunkt der Einrichtung und der letzten Nutzung. In der Übersicht unter „Passkeys“ kannst du sie jederzeit entfernen.

Authenticator (freiwillig): Richtest du eine Authenticator-App ein, speichern wir den dafür nötigen geheimen Schlüssel, mit dem wir deine Codes prüfen, sowie Prüfsummen deiner Recovery-Codes.

Cookies: Damit du nach der Anmeldung angemeldet bleibst, setzt hackatoll ein Cookie __Host-htsess mit einer zufälligen Kennung. Es läuft sieben Tage nach deiner letzten Nutzung ab; mit „Abmelden“ beendest du die Sitzung sofort. Nach der Anmeldung kommt ein zweites Cookie ht_lab hinzu, das dir Zugang zu den Lab-Zielen gibt (Abschnitt 6). Es gilt für hackatoll.com und deren Subdomains, enthält deine Nutzernummer, einen Ablaufzeitpunkt und eine Signatur und läuft nach 12 Stunden ab. Beide Cookies enthalten keine weiteren Angaben über dich. Speichern und Auslesen sind für die von dir gewünschte Anmeldung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Rechtsgrundlage für Konto und Anmeldung ist die Durchführung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Ohne deine Einwilligung nutzen wir deine E-Mail-Adresse nur für die Anmeldung und für Nachrichten zu deinem Konto.

Info-Mails (freiwillig): Setzt du bei der Registrierung oder in den Einstellungen das Häkchen „über neue Challenges und Neuigkeiten informieren“, schicken wir dir gelegentlich E-Mails zu neuen Challenges, Wochenturnieren und sonstigen Neuigkeiten von hackatoll. Gespeichert werden dafür deine Einwilligung und ihr Zeitpunkt. Dass die Adresse dir gehört, bestätigst du mit dem Code aus der Anmelde-E-Mail; erst dann wird die Einwilligung wirksam. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, indem du das Häkchen unter „Einstellungen“ entfernst oder uns schreibst; dein Konto bleibt davon unberührt. Info-Mails verschicken wir ebenfalls über Brevo (Abschnitt 8).

5. Lernfortschritt

Löst du eine Challenge, speichern wir, welche Challenge du wann gelöst hast. Daraus berechnen wir deine Punkte und deinen Fortschritt (Art. 6 Abs. 1 lit. b DSGVO). Was du bei der Erfolgsprüfung eingibst, schickt unser Server zur Prüfung an das Lab-Ziel; gespeichert wird die Eingabe nicht. Bestehst du ein Wissens-Quiz (Abschnitt 7), speichern wir, welche Lektion du wann bestanden hast und wie viele Fehlversuche es dabei gab. Andere Nutzer sehen deinen Fortschritt nicht; die übrigen Einträge der Rangliste sind Beispieldaten.

6. Lab-Ziele

Die Lab-Ziele (z. B. fakarava.hackatoll.com und rangiroa.hackatoll.com) sind absichtlich verwundbare TYPO3-Installationen, die sich alle Teilnehmenden teilen. Was du dort eingibst, etwa Gästebucheinträge oder Formularinhalte, ist für andere Teilnehmende sichtbar oder für sie auslesbar, denn genau das ist der Zweck der Übungen. TYPO3 protokolliert dort technisch bedingt unter anderem Anmeldeversuche mit IP-Adresse. Die Lab-Ziele sind nur für angemeldete Nutzer erreichbar. Wir setzen sie jede Nacht auf ihren Ausgangszustand zurück; dabei werden alle dort eingegebenen Daten und Protokolle gelöscht. Bitte gib in den Lab-Zielen deshalb keine echten persönlichen Daten ein.

7. Wissens-Quiz (Qwissit)

Auf einzelnen Wissensseiten kannst du nach der Anmeldung ein kurzes Quiz machen. Es stammt von Qwissit, einem Angebot desselben Betreibers (Volker Golbig, siehe Abschnitt 1). Qwissit läuft auf Servern der netcup GmbH in Deutschland. Nicht angemeldeten Besuchern zeigen wir das Quiz nicht.

Wir liefern das Quiz über unseren eigenen Server aus: Dein Browser lädt die Quiz-Skripte ausschließlich von hackatoll.com und nimmt keine Verbindung zu www.qwissit.com auf. Unser Server holt die Fragen bei Qwissit ab und reicht deine gewählten Antworten sowie einen zufälligen Einmal-Code, den wir für jedes Quiz erzeugen, an Qwissit weiter. Deine IP-Adresse, Cookies, Name oder E-Mail-Adresse erfährt Qwissit dabei nicht; Qwissit sieht nur die Adresse unseres Servers. Das Quiz setzt keine Cookies und nutzt keinen Speicher in deinem Browser. Qwissit bewertet die Antworten auf seinem Server und speichert sie nicht.

Hast du alle Fragen richtig beantwortet, stellt Qwissit eine signierte Bestätigung aus. Unser Server schickt sie zur Prüfung an Qwissit und vermerkt danach in deinem Lernfortschritt, dass du die Lektion bestanden hast (Abschnitt 5). Rechtsgrundlage ist die Durchführung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO); das Quiz ist freiwillig. Weitere Informationen: Datenschutzerklärung von Qwissit (Abschnitt zum Quiz-Widget).

8. E-Mail-Versand über Brevo

Anmelde-E-Mails verschicken wir über den Dienst Brevo (Sendinblue SAS, 17 rue de Salneuve, 75017 Paris, Frankreich). Brevo verarbeitet dafür deine E-Mail-Adresse, den Inhalt der Mail und den Zustellstatus in unserem Auftrag (Art. 28 DSGVO), auf Servern in der EU. Brevo zählt, ob eine Mail geöffnet wird; dafür enthält die Mail einen unsichtbaren Zählpunkt (ein kleines, aus Brevos Netz nachgeladenes Bild). Diese Zählung erfolgt anonymisiert, also ohne Bezug zu deiner Person. Den Anmelde-Code schicken wir als reinen Text und ohne Link, damit er nicht über Brevo läuft. Brevo protokolliert Empfängeradresse, Zeitpunkt und Zustellstatus und löscht diese Protokolle nach einem Monat; Kopien oder Vorschauen der Mail-Inhalte werden nicht aufbewahrt. Rechtsgrundlage ist die Durchführung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO), bei Info-Mails deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, Abschnitt 4). Weitere Informationen: Datenschutzerklärung von Brevo.

9. Lokaler Speicher im Browser

Wählst du zwischen hellem und dunklem Design, merkt sich dein Browser die Auswahl im lokalen Speicher (ht-theme). Dieser Wert wird nicht an uns übertragen. Du kannst ihn löschen, indem du die Website-Daten für hackatoll in deinem Browser entfernst.

10. Freiwillige Unterstützung per PayPal

Auf der Seite hackatoll unterstützen kannst du uns freiwillig einen Betrag zukommen lassen. Der Button dort ist ein einfacher Link: Solange du ihn nicht anklickst, wird nichts an PayPal übertragen, und wir binden keine Skripte von PayPal ein. Erst mit dem Klick wechselst du zu PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, 2449 Luxemburg), das die Zahlung als eigener Verantwortlicher abwickelt; dafür gilt die Datenschutzerklärung von PayPal.

Von PayPal erhalten wir zu jeder Zahlung deinen Namen, deine E-Mail-Adresse bei PayPal, den Betrag, den Zeitpunkt und eine eventuelle Nachricht. Diese Angaben nutzen wir nur, um die Zahlung zu verbuchen, und verknüpfen sie nicht mit deinem hackatoll-Konto. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; wir bewahren die Angaben so lange auf, wie es steuer- und handelsrechtliche Aufbewahrungspflichten verlangen (Art. 6 Abs. 1 lit. c DSGVO, in der Regel zehn Jahre).

11. Kontakt per E-Mail

Wenn du uns schreibst, verarbeiten wir deine Angaben, um deine Anfrage zu beantworten (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Wir geben sie ohne deine Einwilligung nicht an Dritte weiter und löschen sie, wenn sie nicht mehr benötigt werden und keine Aufbewahrungspflicht besteht.

12. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck nötig ist. Dein Konto mit allen zugehörigen Daten (E-Mail-Adresse, Lernfortschritt, Passkey-, Authenticator- und Recovery-Daten) bleibt bestehen, bis du es löschen lässt. Schreib dazu an datenschutz@machwert.de von der Adresse, mit der du dich anmeldest; wir löschen es dann vollständig.

13. Deine Rechte

Du hast gegenüber uns das Recht auf

Wende dich dazu an datenschutz@machwert.de. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der für uns zuständigen Berliner Beauftragten für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin.

14. Keine automatisierte Entscheidungsfindung

Wir treffen keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO und erstellen keine Profile.

15. Änderungen

Wenn sich hackatoll oder die Rechtslage ändern, passen wir diese Datenschutzerklärung an. Es gilt die jeweils hier veröffentlichte Fassung.