Datenschutzerklärung

4.1 Zwecke

• Durchführung und Dokumentation von AVGS-Maßnahmen
• Erfassung und elektronische Signatur von Stundennachweisen durch Coach und Teilnehmer:in
• Versand zeitlich begrenzter Magic Links per E-Mail oder optional per SMS zur Authentifizierung der Teilnehmer:innen für die Signatur
• Elektronische Signatur der Nachweise (einfache elektronische Signatur: Canvas-Unterschrift mit Zeitstempel, IP-Adresse und Audit-Protokoll) und Übermittlung an die Agentur für Arbeit.

4.2 Datenkategorien

• Stammdaten (Name, E-Mail-Adresse, Kunden-Nr. der Teilnehmer:innen, optional Mobilnummer für SMS-Versand)
• Kurs- und Sitzungsdaten (Termine, Themen, Unterrichtseinheiten)
• Unterschriftsbilder (Canvas-Eingabe, als Bilddatei gespeichert)
• Signatur-Metadaten (IP-Adresse, Zeitstempel, Rolle) als Audit-Log; diese Metadaten werden zur Beweissicherung der einfachen elektronischen Signatur auch als Audit-Trail auf dem finalen Nachweis-Dokument (PDF) ausgewiesen
• Unterschriftsbilder und finale PDF-Nachweise werden in einem privaten EU-Objektspeicher abgelegt; der Zugriff erfolgt ausschließlich über kurzlebige signierte URLs
• Bei SMS-Zustellung zusätzlich: Mobilnummer (E.164), Vorname zur Anrede, Kursbezeichnung sowie der Magic-Link selbst — als Bestandteil des SMS-Textes an den Versanddienstleister

4.3 Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche Maßnahmen) für die Durchführung der Maßnahme
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) für die Dokumentations- und Nachweispflichten gegenüber der Agentur für Arbeit

4.4 Gültigkeit und Absicherung der Magic Links

Die zur Signatur versandten Magic Links sind ab Ausstellung 7 Tage gültig und werden danach automatisch ungültig. Die Geltungsdauer ist bewusst an der praktischen Erreichbarkeit der Teilnehmer:innen ausgerichtet und im Sinne der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) auf ein verhältnismäßiges, nicht unnötig langes Fenster begrenzt.

Der Zugriff ist zusätzlich durch geeignete technische Maßnahmen nach Art. 32 DSGVO abgesichert: Der Token wird ausschließlich als kryptographischer Hash (SHA-256) gespeichert – der Klartext ist uns nicht bekannt –, gilt nur für genau einen Kurs und eine:n bestimmte:n Teilnehmer:in, und jede Signatur erfordert eine aktive Bestätigung, die mit Zeitstempel und IP-Adresse im Audit-Protokoll festgehalten wird.

4.5 KI-gestützter ANW-Compliance-Check

Vor der Freigabe eines Nachweises kann der Coach optional einen KI-gestützten Compliance-Check auslösen. Dabei werden die stichwortartigen Termin-Einträge der Anwesenheitsliste auf AZAV-Konformität und inhaltliche Plausibilität geprüft. Zu diesem Zweck werden folgende Daten an unseren Auftragsverarbeiter Microsoft (Azure OpenAI Service, EU-Region) übermittelt:

• der Maßnahmentyp und die Bezeichnung der Bildungsträgerin,
• je Termin: Datum, Anzahl der Unterrichtseinheiten und der vom Coach eingetragene Themen-Stichworttext.

Nicht übermittelt werden Stammdaten der Teilnehmer:innen (Name, E-Mail, Kunden-Nr.), Unterschriftsbilder oder Signatur-Metadaten. Anders als beim Abschlussbericht-Checker (Ziffer 5) werden die Termin-Stichworte nicht anonymisiert, da es sich um kurze, sachbezogene Themenangaben ohne Personenbezug handelt; Coaches sind angehalten, in diese Felder keine Klarnamen oder sensiblen Angaben einzutragen. Die Übermittlung erfolgt an ein Rechenzentrum in der EU auf Grundlage eines Auftragsverarbeitungsvertrags mit Microsoft samt EU-Standardvertragsklauseln (vgl. Ziffer 6). Die Prüf-Ergebnisse werden nur temporär zur Anzeige verarbeitet und nicht dauerhaft gespeichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Qualitätssicherung und AZAV-Konformität der Nachweise). Der Check hat rein unterstützenden Charakter; die Entscheidung über den Nachweis trifft stets der Coach.

5.1 Zwecke

• Automatisierte Prüfung von AVGS-Abschlussberichten gegen Qualitäts- und Formvorgaben der Bildungsträgerin
• Live-Feedback zu verbotenen Begriffen, fehlenden Pflichtangaben und stilistischen Problemen während des Schreibens

5.2 Datenkategorien

• Berichtsinhalte, die im Einzelfall besondere Kategorien personenbezogener Daten i.S.d. Art. 9 DSGVO (Gesundheitsdaten) enthalten können
• Sozialdaten im Kontext der Arbeitsförderung nach SGB III
• Vor der Einreichung werden als sensibel erkannte Stellen (mögliche Angaben besonderer Kategorien) automatisch markiert und müssen entweder entfernt oder — im Fall eines Fehlalarms — mit einer dokumentierten Begründung gekennzeichnet werden; diese Begründung wird der Bildungsträgerin zur inhaltlichen Prüfung angezeigt. Die abschließende Verantwortung für die Freiheit der eingereichten Berichte von Art.-9-Daten liegt beim Coach und der prüfenden Bildungsträgerin.

5.3 Rechtsgrundlagen

• Art. 9 Abs. 2 lit. b DSGVO i.V.m. § 22 Abs. 1 Nr. 1 lit. b BDSG (Pflichten aus dem Recht der sozialen Sicherheit) für den Prüfvorgang selbst
• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für die Speicherung freigegebener Berichte

5.4 Technische und organisatorische Schutzmaßnahmen

Rohtexte von Berichten werden ausschließlich im Browser der bearbeitenden Person sowie auf einer dedizierten Compute-VM bei der IONOS SE in Deutschland verarbeitet. Dort erfolgt eine dreistufige Anonymisierung (Regex, lokales GLiNER-Modell, IONOS AI Model Hub). Erst die anonymisierte Fassung wird an weitere Verarbeiter weitergeleitet. Rohtexte werden nicht persistent gespeichert.

10.1 Cookielose Reichweitenmessung

Zur anonymen Messung der Nutzung (Seitenaufrufe) setzen wir eine selbst betriebene, cookielose Analytik ein, die auf unserer eigenen Hosting-Infrastruktur (Vercel) läuft. Es werden keine Cookies gesetzt, keine geräteübergreifenden Profile gebildet und keine Daten an Werbe- oder Tracking-Netzwerke weitergegeben. Auf den Signatur-Seiten der Teilnehmer:innen (Magic-Link-Bereich) ist die Messung vollständig deaktiviert. Suchbegriffe (z.B. Namen in der Kundensuche) werden nie übertragen. Rechtsgrundlage ist unser berechtigtes Interesse an der bedarfsgerechten Weiterentwicklung der Anwendung (Art. 6 Abs. 1 lit. f DSGVO).

10.2 Bot-Schutz (Cloudflare Turnstile)

Zum Schutz der Registrierungs- und Wartelisten-Formulare vor automatisiertem Missbrauch setzen wir Cloudflare Turnstile ein (Cloudflare, Inc.). Beim Laden dieser Formulare wird eine Verbindung zu Cloudflare aufgebaut; dabei werden technisch bedingt die IP-Adresse und Browser-Informationen an Cloudflare übermittelt, um zwischen menschlichen Nutzer:innen und Bots zu unterscheiden. Turnstile setzt auf unserer Domain keine eigenen Cookies. Rechtsgrundlage ist unser berechtigtes Interesse am Schutz der Plattform vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).