Datenschutzerklärung

4.1 Zwecke

• Durchführung und Dokumentation von AVGS-Maßnahmen
• Erfassung und elektronische Signatur von Stundennachweisen durch Coach und Teilnehmer:in
• Versand zeitlich begrenzter Magic Links per E-Mail oder optional per SMS zur Authentifizierung der Teilnehmer:innen für die Signatur
• Elektronische Signatur der Nachweise (einfache elektronische Signatur: Canvas-Unterschrift mit Zeitstempel, IP-Adresse und Audit-Protokoll) und Übermittlung an die Agentur für Arbeit. Eine zusätzliche fortgeschrittene Versiegelung (FES) ist in Vorbereitung und derzeit nicht aktiv.

4.2 Datenkategorien

• Stammdaten (Name, E-Mail-Adresse, Kunden-Nr. der Teilnehmer:innen, optional Mobilnummer für SMS-Versand)
• Kurs- und Sitzungsdaten (Termine, Themen, Unterrichtseinheiten)
• Unterschriftsbilder (Canvas-Eingabe, als Bilddatei gespeichert)
• Signatur-Metadaten (IP-Adresse, Zeitstempel, Rolle) als Audit-Log; diese Metadaten werden zur Beweissicherung der einfachen elektronischen Signatur auch als Audit-Trail auf dem finalen Nachweis-Dokument (PDF) ausgewiesen
• Unterschriftsbilder und finale PDF-Nachweise werden in einem privaten EU-Objektspeicher abgelegt; der Zugriff erfolgt ausschließlich über kurzlebige signierte URLs
• Bei SMS-Zustellung zusätzlich: Mobilnummer (E.164), Vorname zur Anrede, Kursbezeichnung sowie der Magic-Link selbst — als Bestandteil des SMS-Textes an den Versanddienstleister

4.3 Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche Maßnahmen) für die Durchführung der Maßnahme
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) für die Dokumentations- und Nachweispflichten gegenüber der Agentur für Arbeit

4.4 FES-Versiegelung (in Vorbereitung)

Derzeit werden die Nachweise mit einer einfachen elektronischen Signatur abgesichert; eine fortgeschrittene elektronische Versiegelung (FES) ist geplant, aber noch nicht aktiv. Sobald sie live geschaltet wird, wird ein Zertifikat eines eIDAS-akkreditierten Vertrauensdiensteanbieters genutzt (geplanter Anbieter: D-Trust GmbH, Berlin — Bundesdruckerei-Gruppe; vor Live-Schaltung bestätigen). Auch dann erhält der Anbieter weder die zu siegelnden Dokumente noch Inhalte daraus; das Siegel wird server-seitig in der Infrastruktur der innosee GmbH auf das fertige PDF angewendet. Im Rahmen der Zertifikats-Ausstellung werden lediglich Unternehmensstammdaten (Handelsregister, Geschäftsführer- Identifizierung) an den Aussteller übermittelt.

4.5 Gültigkeit und Absicherung der Magic Links

Die zur Signatur versandten Magic Links sind ab Ausstellung 7 Tage gültig und werden danach automatisch ungültig. Die Geltungsdauer ist bewusst an der praktischen Erreichbarkeit der Teilnehmer:innen ausgerichtet und im Sinne der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) auf ein verhältnismäßiges, nicht unnötig langes Fenster begrenzt.

Der Zugriff ist zusätzlich durch geeignete technische Maßnahmen nach Art. 32 DSGVO abgesichert: Der Token wird ausschließlich als kryptographischer Hash (SHA-256) gespeichert – der Klartext ist uns nicht bekannt –, gilt nur für genau einen Kurs und eine:n bestimmte:n Teilnehmer:in, und jede Signatur erfordert eine aktive Bestätigung, die mit Zeitstempel und IP-Adresse im Audit-Protokoll festgehalten wird.

5.1 Zwecke

• Automatisierte Prüfung von AVGS-Abschlussberichten gegen Qualitäts- und Formvorgaben der Bildungsträgerin
• Live-Feedback zu verbotenen Begriffen, fehlenden Pflichtangaben und stilistischen Problemen während des Schreibens

5.2 Datenkategorien

• Berichtsinhalte, die im Einzelfall besondere Kategorien personenbezogener Daten i.S.d. Art. 9 DSGVO (Gesundheitsdaten) enthalten können
• Sozialdaten im Kontext der Arbeitsförderung nach SGB III
• Vor der Einreichung werden als sensibel erkannte Stellen (mögliche Angaben besonderer Kategorien) automatisch markiert und müssen entweder entfernt oder — im Fall eines Fehlalarms — mit einer dokumentierten Begründung gekennzeichnet werden; diese Begründung wird der Bildungsträgerin zur inhaltlichen Prüfung angezeigt. Die abschließende Verantwortung für die Freiheit der eingereichten Berichte von Art.-9-Daten liegt beim Coach und der prüfenden Bildungsträgerin.

5.3 Rechtsgrundlagen

• Art. 9 Abs. 2 lit. b DSGVO i.V.m. § 22 Abs. 1 Nr. 1 lit. b BDSG (Pflichten aus dem Recht der sozialen Sicherheit) für den Prüfvorgang selbst
• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für die Speicherung freigegebener Berichte

5.4 Technische und organisatorische Schutzmaßnahmen

Rohtexte von Berichten werden ausschließlich im Browser der bearbeitenden Person sowie auf einer dedizierten Compute-VM bei der IONOS SE in Deutschland verarbeitet. Dort erfolgt eine dreistufige Anonymisierung (Regex, lokales GLiNER-Modell, IONOS AI Model Hub). Erst die anonymisierte Fassung wird an weitere Verarbeiter weitergeleitet. Rohtexte werden nicht persistent gespeichert.

10.1 Cookielose Reichweitenmessung

Zur anonymen Messung der Nutzung (Seitenaufrufe) setzen wir eine selbst betriebene, cookielose Analytik ein, die auf unserer eigenen Hosting-Infrastruktur (Vercel) läuft. Es werden keine Cookies gesetzt, keine geräteübergreifenden Profile gebildet und keine Daten an Werbe- oder Tracking-Netzwerke weitergegeben. Auf den Signatur-Seiten der Teilnehmer:innen (Magic-Link-Bereich) ist die Messung vollständig deaktiviert. Suchbegriffe (z.B. Namen in der Kundensuche) werden nie übertragen. Rechtsgrundlage ist unser berechtigtes Interesse an der bedarfsgerechten Weiterentwicklung der Anwendung (Art. 6 Abs. 1 lit. f DSGVO).

10.2 Bot-Schutz (Cloudflare Turnstile)

Zum Schutz der Registrierungs- und Wartelisten-Formulare vor automatisiertem Missbrauch setzen wir Cloudflare Turnstile ein (Cloudflare, Inc.). Beim Laden dieser Formulare wird eine Verbindung zu Cloudflare aufgebaut; dabei werden technisch bedingt die IP-Adresse und Browser-Informationen an Cloudflare übermittelt, um zwischen menschlichen Nutzer:innen und Bots zu unterscheiden. Turnstile setzt auf unserer Domain keine eigenen Cookies. Rechtsgrundlage ist unser berechtigtes Interesse am Schutz der Plattform vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).