Datenschutzerklärung

4.1 Zwecke

• Durchführung und Dokumentation von AVGS-Maßnahmen
• Erfassung und elektronische Signatur von Stundennachweisen durch Coach und Teilnehmer:in
• Versand zeitlich begrenzter Magic Links per E-Mail oder optional per SMS zur Authentifizierung der Teilnehmer:innen für die Signatur
• Elektronische Signatur der Nachweise (einfache elektronische Signatur: Canvas-Unterschrift mit Zeitstempel, IP-Adresse und Audit-Protokoll) und Bereitstellung der finalen Nachweise zur Vorlage bei der Agentur für Arbeit durch den Bildungsträger.
• Erstellung und elektronische Signatur von Kundendokumenten des Bildungsträgers (z. B. Teilnehmervertrag, Strategievereinbarung, Teilnahmebescheinigung)

4.2 Datenkategorien

• Stammdaten der Teilnehmer:innen (Name, E-Mail-Adresse, Kundennummer der Agentur für Arbeit, optional Mobil- und Festnetznummer); für Kundendokumente zusätzlich Anschrift sowie optional Geburtsdatum und Geburtsort
• Maßnahmedaten (Maßnahmentyp, AVGS-Nummer, Bedarfsträger, Zeitraum, bewilligte und geleistete Unterrichtseinheiten, Durchführungsort)
• Termindaten (Datum, Unterrichtseinheiten, Präsenz/Online, Themen-Stichworte), beim Erstgespräch die Eignungsanalyse sowie gegebenenfalls der Vermerk einer krankheitsbedingten Absage (siehe Ziffer 4.6)
• Inhalte der Kundendokumente und Abschlussberichte, einschließlich des Integrationsergebnisses (z. B. Vermittlung mit Datum und Arbeitgeber)
• Daten der Coaches und Mitarbeitenden des Bildungsträgers (Name, E-Mail-Adresse, Rolle, Unterschriftsbild, Anmeldedaten)
• Unterschriftsbilder (Canvas-Eingabe, als Bilddatei gespeichert)
• Signatur-Metadaten (IP-Adresse, Zeitstempel, Rolle) als Audit-Log; diese Metadaten werden zur Beweissicherung der einfachen elektronischen Signatur auch als Audit-Trail auf dem finalen Nachweis-Dokument (PDF) ausgewiesen
• Unterschriftsbilder und finale PDF-Nachweise werden in einem privaten EU-Objektspeicher abgelegt; der Zugriff erfolgt ausschließlich über kurzlebige signierte URLs
• Bei SMS-Zustellung zusätzlich: Mobilnummer (E.164), Vorname zur Anrede, Kursbezeichnung sowie der Magic-Link selbst, als Bestandteil des SMS-Textes an den Versanddienstleister

4.3 Rechtsgrundlagen

Die Verarbeitung erfolgt im Auftrag des Bildungsträgers auf dessen Rechtsgrundlagen, insbesondere:

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche Maßnahmen) für die Durchführung der Maßnahme
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) für die Dokumentations- und Nachweispflichten gegenüber der Agentur für Arbeit

4.4 Gültigkeit und Absicherung der Magic Links

Die zur Signatur versandten Magic Links sind ab Ausstellung 7 Tage gültig und werden danach automatisch ungültig. Die Geltungsdauer ist bewusst an der praktischen Erreichbarkeit der Teilnehmer:innen ausgerichtet und im Sinne der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) auf ein verhältnismäßiges, nicht unnötig langes Fenster begrenzt.

Der Zugriff ist zusätzlich durch geeignete technische Maßnahmen nach Art. 32 DSGVO abgesichert: Der Token wird ausschließlich als kryptographischer Hash (SHA-256) gespeichert – der Klartext ist uns nicht bekannt –, gilt nur für genau einen Kurs und eine:n bestimmte:n Teilnehmer:in, und jede Signatur erfordert eine aktive Bestätigung, die mit Zeitstempel und IP-Adresse im Audit-Protokoll festgehalten wird.

4.5 KI-gestützter ANW-Compliance-Check

Vor der Freigabe eines Nachweises kann der Coach optional einen KI-gestützten Compliance-Check auslösen. Dabei werden die stichwortartigen Termin-Einträge der Anwesenheitsliste auf AZAV-Konformität und inhaltliche Plausibilität geprüft. Zu diesem Zweck werden folgende Daten an unseren Auftragsverarbeiter Microsoft (Azure OpenAI Service, EU-Region) übermittelt:

• der Maßnahmentyp und die Bezeichnung der Bildungsträgerin,
• je Termin: Datum, Anzahl der Unterrichtseinheiten und der vom Coach eingetragene Themen-Stichworttext.

Nicht übermittelt werden Stammdaten der Teilnehmer:innen (Name, E-Mail, Kunden-Nr.), Unterschriftsbilder oder Signatur-Metadaten.

Die Termin-Stichworte werden vor der Übermittlung pseudonymisiert: Name, Anschrift, Geburtsdatum, Kunden-Nummer und Ort der betroffenen Person werden aus dem Text entfernt und durch Platzhalter ersetzt. Die Zuordnung der Platzhalter zu den tatsächlichen Angaben verbleibt ausschließlich bei uns; die Rückübersetzung der Prüf-Ergebnisse erfolgt auf unseren Servern. Vor der Übermittlung läuft zusätzlich eine rein lokale Wortprüfung ohne Netzzugriff, die den Coach auf sensible Inhalte hinweist.

Die Übermittlung erfolgt an ein Rechenzentrum in der EU auf Grundlage eines Auftragsverarbeitungsvertrags mit Microsoft samt EU-Standardvertragsklauseln (vgl. Ziffer 6). Die Prüf-Ergebnisse werden nur temporär zur Anzeige verarbeitet und nicht dauerhaft gespeichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Qualitätssicherung und AZAV-Konformität der Nachweise). Der Check hat rein unterstützenden Charakter; die Entscheidung über den Nachweis trifft stets der Coach.

4.6 Vermerk krankheitsbedingter Absagen (Gesundheitsdaten)

Sagt ein:e Teilnehmer:in einen Termin krankheitsbedingt ab, kann der Coach den Termin als „krankheitsbedingt abgesagt“ vermerken. Der Termin wird dann mit 0 Unterrichtseinheiten ausgewiesen und muss nicht unterschrieben werden; der Vermerk erscheint auch auf dem finalen Nachweis. Weil er Rückschlüsse auf eine Erkrankung zulässt, handelt es sich um ein Gesundheitsdatum im Sinne von Art. 9 DSGVO. Erfasst wird ausschließlich die Tatsache der krankheitsbedingten Absage, keine Diagnose, keine Krankschreibung und keine weiteren Angaben zum Gesundheitszustand.

Rechtsgrundlage ist Art. 9 Abs. 2 lit. b DSGVO i.V.m. § 22 Abs. 1 Nr. 1 lit. a BDSG (Rechte und Pflichten aus dem Recht der sozialen Sicherheit, hier die Dokumentation der Maßnahme gegenüber der Agentur für Arbeit).

5.1 Zwecke

• Automatisierte Prüfung von AVGS-Abschlussberichten gegen Qualitäts- und Formvorgaben der Bildungsträgerin
• Live-Feedback zu verbotenen Begriffen, fehlenden Pflichtangaben und stilistischen Problemen während des Schreibens

5.2 Datenkategorien

• Berichtsinhalte, die im Einzelfall besondere Kategorien personenbezogener Daten i.S.d. Art. 9 DSGVO (Gesundheitsdaten) enthalten können
• Sozialdaten im Kontext der Arbeitsförderung nach SGB III
• Vor der Einreichung werden als sensibel erkannte Stellen (mögliche Angaben besonderer Kategorien) automatisch markiert und müssen entweder entfernt oder, im Fall eines Fehlalarms, mit einer dokumentierten Begründung gekennzeichnet werden; diese Begründung wird der Bildungsträgerin zur inhaltlichen Prüfung angezeigt. Die abschließende Verantwortung für die Freiheit der eingereichten Berichte von Art.-9-Daten liegt beim Coach und der prüfenden Bildungsträgerin.

5.3 Rechtsgrundlagen

• Art. 9 Abs. 2 lit. b DSGVO i.V.m. § 22 Abs. 1 Nr. 1 lit. a BDSG (Pflichten aus dem Recht der sozialen Sicherheit) für den Prüfvorgang selbst
• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für die Speicherung freigegebener Berichte

5.4 Technische und organisatorische Schutzmaßnahmen

Rohtexte von Berichten werden ausschließlich im Browser der bearbeitenden Person sowie auf einer dedizierten Compute-VM bei der IONOS SE in Deutschland verarbeitet. Dort erfolgt eine dreistufige Pseudonymisierung (Mustererkennung, lokales Erkennungsmodell GLiNER, IONOS AI Model Hub): Namen, Anschriften, Datumsangaben und andere identifizierende Angaben werden durch Platzhalter ersetzt. Die Zuordnung der Platzhalter zu den Originalangaben verbleibt im Browser der bearbeitenden Person; sie wird weder an Microsoft übermittelt noch von uns gespeichert.

Erst die pseudonymisierte Fassung wird an Microsoft (Azure OpenAI Service, EU-Region) zur Regelprüfung übermittelt. Weil die Zuordnung technisch wiederhergestellt werden kann, gelten auch pseudonymisierte Texte weiterhin als personenbezogene Daten; die Übermittlung ist deshalb durch den Auftragsverarbeitungsvertrag mit Microsoft abgesichert (vgl. Ziffer 6). Microsoft verwendet die Eingaben nicht zum Training von KI-Modellen. Rohtexte werden nicht dauerhaft gespeichert.

10.1 Cookielose Reichweitenmessung

Zur anonymen Messung der Nutzung (Seitenaufrufe) setzen wir eine selbst betriebene, cookielose Analytik ein, die auf unserer eigenen Hosting-Infrastruktur (Vercel) läuft. Es werden keine Cookies gesetzt, keine geräteübergreifenden Profile gebildet und keine Daten an Werbe- oder Tracking-Netzwerke weitergegeben. Auf den Signatur-Seiten der Teilnehmer:innen (Magic-Link-Bereich) ist die Messung vollständig deaktiviert. Suchbegriffe (z.B. Namen in der Kundensuche) werden nie übertragen. Rechtsgrundlage ist unser berechtigtes Interesse an der bedarfsgerechten Weiterentwicklung der Anwendung (Art. 6 Abs. 1 lit. f DSGVO).

10.2 Bot-Schutz (Cloudflare Turnstile)

Zum Schutz der Registrierungs- und Wartelisten-Formulare vor automatisiertem Missbrauch setzen wir Cloudflare Turnstile ein (Cloudflare, Inc.). Beim Laden dieser Formulare wird eine Verbindung zu Cloudflare aufgebaut; dabei werden technisch bedingt die IP-Adresse und Browser-Informationen an Cloudflare übermittelt, um zwischen menschlichen Nutzer:innen und Bots zu unterscheiden. Turnstile setzt auf unserer Domain keine eigenen Cookies. Rechtsgrundlage ist unser berechtigtes Interesse am Schutz der Plattform vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).