Datenschutzhinweise nachweis.bfmps.de

Stand 01.10.2026. Diese Hinweise gelten für die Nachweisplattform unter nachweis.bfmps.de. Für die Website www.bfmps.de gelten die dortigen Hinweise.

1. Verantwortlicher

bfmps Ingenieurbüro für Sicherheit GmbH, Matthiasstraße 16, 50226 Frechen, E-Mail info@bfmps.de. Geschäftsführer: Stefan Martini.

Für Einweisungen, Benennungen und Unterweisungen, die eine Betreiber- oder Herstellerorganisation über die Plattform dokumentiert, ist diese Organisation Verantwortliche im Sinne der DSGVO; bfmps verarbeitet die Daten dann als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO). Für Nachweise aus eigenen Kursen von bfmps ist bfmps Verantwortlicher.

2. Was die Plattform tut

Die Plattform stellt Nachweise über Qualifikationen aus (Kursurkunden, Geräteeinweisungen nach § 11 MPBetreibV, Benennungen beauftragter Personen, Unterweisungen nach § 12 ArbSchG), versieht sie mit einem elektronischen Siegel und macht sie über einen Prüfcode prüfbar. Nachweise gehören der Person, auf die sie ausgestellt sind, und bleiben ihr auch nach einem Arbeitgeberwechsel zugänglich.

3. Welche Daten wir verarbeiten

Konto: Name, E-Mail-Adresse, Passwort (als Hash), auf Wunsch Geburtsdatum und Geburtsort zur eindeutigen Zuordnung, Einstellungen zur Zwei-Faktor-Anmeldung (TOTP-Geheimnis, Passkey-Schlüssel), Zeitpunkte von Anmeldungen, Fehlversuche.
Nachweise: Name, gegebenenfalls Geburtsdatum, Bezeichnung und Datum der Qualifikation, ausstellende Stelle, unterweisende oder einweisende Person, bei Geräteeinweisungen Gerätetyp und Softwarestand, Inhalte der Unterweisung, Bestätigungszeitpunkte, das erzeugte PDF und das Siegel.
Organisationen: Mitgliedschaften (Rolle, Funktion, Einheit), Benennungen, Einladungen.
Protokoll: Ein revisionssicheres Ereignisprotokoll (Audit-Log) hält fest, wer wann welchen Nachweis angelegt, bestätigt, widerrufen oder geprüft hat. Es ist hash-verkettet und wird täglich verankert.
Technisch: Server-Logs mit IP-Adresse, Zeitpunkt, aufgerufener Adresse und Browserkennung, kurzzeitig zur Störungs- und Angriffserkennung.

4. Zwecke und Rechtsgrundlagen

Ausstellen, Speichern und Prüfen von Nachweisen sowie der Kontobetrieb: Vertrag mit der Person oder der Organisation (Art. 6 Abs. 1 lit. b DSGVO). Für Betreiber und Arbeitgeber zusätzlich die Erfüllung rechtlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 4 Abs. 3, § 11, § 13 MPBetreibV und § 12 ArbSchG, § 4 DGUV Vorschrift 1). Ereignisprotokoll, Zwei-Faktor-Anmeldung, Sperren nach Fehlversuchen und Server-Logs: berechtigtes Interesse an Sicherheit und Nachvollziehbarkeit (Art. 6 Abs. 1 lit. f DSGVO). Fristmeldungen per E-Mail: Vertrag beziehungsweise berechtigtes Interesse der Organisation an der Einhaltung von Unterweisungsfristen.

5. Prüfseite und Siegel

Wer den Prüfcode eines Nachweises kennt (aufgedruckt und im QR-Code), sieht auf der Prüfseite Name der Person, Bezeichnung und Datum des Nachweises, ausstellende Stelle und Gültigkeitsstatus. Der Code ist zufällig und nicht erratbar; die Prüfseite wird nur angezeigt, wenn der Code vollständig eingegeben oder gescannt wird. Jede Prüfung wird im Ereignisprotokoll vermerkt. Das PDF selbst ist nur für die Person und die berechtigten Organisationen abrufbar.

6. Empfänger

Die Server stehen bei der Hetzner Online GmbH in Falkenstein (Deutschland), mit der ein Auftragsverarbeitungsvertrag besteht. E-Mails (Nachweise, Bestätigungslinks, Fristmeldungen) versenden wir über Microsoft 365 (Microsoft Ireland Operations Ltd., Rechenzentren in der EU) auf Grundlage der Microsoft-Datenschutzbestimmungen für Produkte und Dienste. Innerhalb der Plattform sehen Organisationen nur die Nachweise ihrer eigenen Mitglieder sowie Nachweise, die eine Person ihnen ausdrücklich vorgelegt hat; Hersteller sehen die Einweisungen, die ihre befugten Personen erteilt haben. Eine Weitergabe an Dritte findet darüber hinaus nicht statt. Eine Übermittlung in Drittländer findet nicht statt.

7. Speicherdauer

Nachweise bleiben gespeichert, solange das Konto besteht; sie sind Belege, die Betreiber nach MPBetreibV und Arbeitgeber nach ArbSchG aufbewahren müssen. Wird ein Konto gelöscht, werden Name und Zugangsdaten pseudonymisiert; die Nachweise bleiben unter dem Prüfcode für die ausstellende Organisation erhalten, ohne Personenbezug für Dritte. Nachweise für Personen ohne Konto (Schattenkonten) werden nach 24 Monaten ohne Übernahme pseudonymisiert. Anmeldesitzungen enden spätestens nach 12 Stunden oder mit der Abmeldung, Bestätigungslinks nach 7 und Einladungslinks nach 14 Tagen; Server-Logs werden durch Rotation nach kurzer Zeit überschrieben. Das Ereignisprotokoll bleibt aus Gründen der Revisionssicherheit erhalten (Art. 17 Abs. 3 lit. b DSGVO); es enthält Kennungen und Zeitpunkte, bei Kontolöschung wird der Name der Person in den Stammdaten pseudonymisiert.

8. Cookies und Reichweitenmessung

Die Plattform setzt ein einziges, technisch notwendiges Sitzungs-Cookie für die Anmeldung. Es gibt keine Tracking- oder Marketing-Cookies und keine Einbindung externer Dienste.

Zur Verbesserung der Plattform zählen wir Seitenaufrufe mit der Open-Source-Software Plausible Analytics, die wir selbst auf unserem Server in Deutschland betreiben (stats.bfmps.de). Plausible setzt keine Cookies, speichert keine IP-Adressen und bildet keine Profile; Besuche werden nur über einen täglich wechselnden, nicht rückrechenbaren Hashwert gezählt. Übermittelt wird nicht die tatsächlich aufgerufene Adresse, sondern nur die Seitenart (zum Beispiel „Prüfseite“ statt des Prüfcodes), außerdem Herkunftsseite, Browser, Betriebssystem, Gerätetyp und Land. Rechtsgrundlage ist unser berechtigtes Interesse an einer bedarfsgerechten Weiterentwicklung (Art. 6 Abs. 1 lit. f DSGVO).

9. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15 bis 21 DSGVO). Ihre Nachweise können Sie jederzeit unter „Meine Nachweise“ einsehen und als PDF herunterladen; Ihr Konto können Sie unter „Konto“ selbst löschen. Für alles Weitere schreiben Sie an info@bfmps.de. Sie haben außerdem das Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde, für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

10. Sicherheit

Übertragung ausschließlich verschlüsselt (TLS), Passwörter als Argon2-Hash, Zwei-Faktor-Pflicht für Rollen mit Zugriff auf Daten anderer Personen, Zugriffsschutz auf Datenbankebene je Organisation, tägliche Sicherungen auf Servern in Deutschland, signierte Nachweise mit veröffentlichtem Prüfschlüssel.