Datenschutzinformationen für Teilnehmende an der Weiterbildung

Betroffene

Diese Erklärung richtet sich an alle Personen, die an einer Weiterbildung der Verantwortlichen teilnehmen. Alle Personenbezeichnungen beziehen sich auf alle Geschlechter und die damit verbundenen Sprachformen, insbesondere divers, weiblich, männlich. Jede Personenbezeichnung ist mit dem Zusatz „(m/w/d)“ zu verstehen.

Verantwortliche

Verantwortliche für die hier beschriebene Verarbeitung ist:

BZKI Bildungszentrum für Künstliche Intelligenz GmbH
Kleinbahnstraße 25
47906 Kempen
E-Mail: info@bzki.de
vertreten durch den Geschäftsführer Andreas Graap

Weitere Angaben befinden sich im Impressum unter https://www.bzki.de/impressum.

Rechte der Betroffenen und sonstige Hinweise

Die Betroffenen haben mit Blick auf die zu ihrer Person gespeicherten Daten folgende Rechte: Das Recht auf Auskunft, das Recht auf Berichtigung unrichtiger Daten, das Recht auf Löschung von Daten, für die es keinen Aufbewahrungsgrund mehr gibt, auf Einschränkung der Verarbeitung sowie auf Datenübertragbarkeit. Ferner haben sie das Recht, sich bei der für die Verantwortliche zuständigen Aufsichtsbehörde zu beschweren.
Soweit die Verarbeitung auf einer Einwilligung der Betroffenen beruht, können die Betroffenen ihre Einwilligung jederzeit und mit Wirkung für die Zukunft widerrufen; etwa durch formlose Nachricht an einen der o.g. Kontaktkanäle (Verantwortliche).
Soweit die Verarbeitung auf der Erfüllung eines berechtigten Interesses, mithin auf Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, beruht, können die Betroffenen der Verarbeitung jederzeit widersprechen; etwa durch formlose Nachricht an einen der o.g. Kontaktkanäle (Verantwortliche). Falls der Widerspruch begründet ist, wird die Verarbeitung beendet. Sofern das berechtigte Interesse im Direktmarketing liegt; ist der Widerspruch stets begründet.
Eine automatisierte Entscheidungsfindung, einschl. Profiling, findet nicht statt.
Eine rechtliche Verpflichtung zur Verarbeitung besteht nur, sofern nachfolgend auf Artikel 6 Absatz 1 Satz 1 lit. c DSGVO Bezug genommen wird.
Sofern nachfolgend eine Datenverarbeitung beschrieben wird, heißt das nicht, dass die Betroffenen einen irgendwie gearteten Anspruch auf die damit verbundenen Handlungen haben (z.B. Medienaufnahmen, Bewertungen). Die Ansprüche des Betroffenen ergeben sich aus den Absätzen 1 bis 3 dieses Abschnitts. Die nachfolgend dargestellten Datenverarbeitungen beschreiben nur mögliche Handlungsweisen, die aber nicht auf alle Betroffenen zutreffen.

Übermittlung in Länder außerhalb der Europäischen Union

Sofern personenbezogene Daten an Stellen außerhalb der Europäischen Union übermittelt werden, muss die Verantwortliche ergänzende Schutzgarantien nach Artikel 44 ff. DSGVO mitteilen.
Sofern sich die Verantwortliche in der nachfolgenden Datenschutzerklärung auf einen sog. Angemessenheitsbeschluss beruft, bedeutet dies, dass die empfangende Stelle in einem Land, Gebiet oder spezifischen Sektor sitzt, zu dem die EU-Kommission beschlossen hat, dass es ein angemessenes Datenschutzniveau bietet. Die Garantie folgt dann aus Artikel 45 DSGVO.
Sofern sich die Verantwortliche in der nachfolgenden Datenschutzerklärung auf die sog. EU-Standardvertragsklauseln beruft, bedeutet dies, dass die empfangende Stelle sich zur Achtung der EU-Datenschutzgrundsätze vertraglich verpflichtet hat und dies auf Grundlage der sog. EU-Standardvertragsklauseln. Die Garantie folgt dann aus Artikel 46 DSGVO.
Sofern sich die Verantwortliche in der nachfolgenden Datenschutzerklärung auf sog. verbindliche, interne Datenschutzvorschriften beruft, bedeutet dies, dass die zuständige Aufsichtsbehörde die Übermittlung genehmigt hat. Die Garantie folgt dann aus Artikel 47 DSGVO.
Sofern sich die Verantwortliche in der nachfolgenden Datenschutzerklärung darauf beruft, dass die Betroffenen in die Übermittlung in ein Land außerhalb der Europäischen Union ausdrücklich eingewilligt haben, bedeutet dies, dass sie in Kenntnis aller damit verbundenen Risiken der Übermittlung dennoch zustimmen. Die Garantie folgt dann aus Artikel 49 Absatz 1 lit. a DSGVO. Etwaige Risikohinweise befinden sich im Glossar.

Erwartbare Standarddatenverarbeitung

Vertragsanbahnung

Geltendmachung von Rechten

Sofern die Betroffene ihre Rechte nach der DSGVO oder anderen rechtlichen Vorschriften geltend machen, verarbeitet die Verantwortliche die Daten, um diese Ansprüche zu prüfen und ggf. zu erfüllen. Zweck ist die Erfüllung einer rechtlichen Verpflichtung. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz lit. c DSGVO i.V.m. der Norm, aus der sich die rechtliche Verpflichtung ergibt.

Löschung

Nach Ablauf der Aufbewahrungszeiträume (vgl. unten „Nach Ende des aktiven Vertragsverhältnisses“) werden die Daten gelöscht. Die Löschung bezweckt die Erfüllung einer rechtlichen Verpflichtung und beruht auf Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. Artikel 5 Absatz 1 litt. a, e DSGVO.

Aktives Vertragsverhältnis

Durchführung der Weiterbildung

Nach Vereinbarung der Weiterbildung (ggf. mit Gewährung von Leistungen der Arbeitsagentur) erhebt die Verantwortliche die weiteren Kommunikations- und Abrechnungsdaten (Auslieferung Leistung, Beantwortung Nachfragen), um die Weiterbildung durchzuführen. Hierbei ist folgendes zu beachten:

Format Präsenzveranstaltung

Soweit die Weiterbildung eine Präsenzveranstaltung ist, wird am Zugang zur Weiterbildung der Zutritt dokumentiert. Hierbei werden folgende Daten verarbeitet: Name, Kontaktdaten, Status Zutritt. Die Verarbeitung dient der Durchführung der Weiterbildung. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. b DSGVO.

Format Onlineveranstaltung

Soweit die Weiterbildung eine Onlineveranstaltung ist, wird am Zugang zur Weiterbildung der Zutritt dokumentiert und ggf. Ton-, Bild- und Filmdaten verarbeitet; dies jedoch nur wenn die Betroffenen freiwillig teilnehmen und ihre Kamera bzw. ihr Mikrofon aktivieren. Hierbei werden folgende Daten verarbeitet: (1) Name, Kontaktdaten, Status Zutritt, (2) Ton-, Bild- und Filmdaten. Die Verarbeitung dient der Durchführung der Weiterbildung. Bei den Daten der Kategorie (1) ist Artikel 6 Absatz 1 Satz 1 lit. b DSGVO die Rechtsgrundlage. Bei den Daten der Kategorie (2) ist Artikel 6 Absatz 1 Satz 1 lit. a DSGVO die Rechtsgrundlage. Dem steht das Verbot nach Artikel 9 Absatz 1 DSGVO nicht entgegen, da hier die Ausnahme nach Artikel 9 Absatz 2 lit. a DSGVO greift.

Format Hybridveranstaltung

Für Hybridveranstaltungen gilt folgendes:
Soweit die Weiterbildung eine Präsenzveranstaltung ist, wird am Zugang zur Weiterbildung der Zutritt dokumentiert. Hierbei werden folgende Daten verarbeitet: Name, Kontaktdaten, Status Zutritt. Die Verarbeitung dient der Durchführung der Weiterbildung. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. b DSGVO.
Soweit die Weiterbildung eine Onlineveranstaltung ist, wird am Zugang zur Weiterbildung der Zutritt dokumentiert und ggf. Ton-, Bild- und Filmdaten verarbeitet; dies jedoch nur, wenn die Betroffenen freiwillig teilnehmen und ihre Kamera bzw. ihr Mikrofon aktivieren. Hierbei werden folgende Daten verarbeitet: (1) Name, Kontaktdaten, Status Zutritt, (2) Ton-, Bild- und Filmdaten. Die Verarbeitung dient der Durchführung der Weiterbildung. Bei den Daten der Kategorie (1) ist Artikel 6 Absatz 1 Satz 1 lit. b DSGVO die Rechtsgrundlage. Bei den Daten der Kategorie (2) ist Artikel 6 Absatz 1 Satz 1 lit. a DSGVO die Rechtsgrundlage. Dem steht das Verbot nach Artikel 9 Absatz 1 DSGVO nicht entgegen, da hier die Ausnahme nach Artikel 9 Absatz 2 lit. a DSGVO greift.

Medienaufnahmen während der Weiterbildung

Die Verantwortliche dokumentiert in einigen Fällen die Weiterbildung mit Medienaufnahmen (Foto, Ton, Film).
Falls die Betroffenen sich dafür entscheiden, holt sie die dafür erforderliche Einwilligung ein. Hierfür verarbeitet sie den Namen, Zeitpunkt und Status der Einwilligung. Zweck ist die Erfüllung einer rechtlichen Verpflichtung. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. Artikel 7 Absatz 1 DSGVO.
Von den Betroffenen fertigt sie die Aufnahmen an und veröffentlicht sie, soweit die erteilte Einwilligung dies erlaubt. Hierbei werden folgende Daten verarbeitet: Name, Ton- und Bilddaten. Zweck ist die Präsentation der Verantwortlichen. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. a DSGVO. Dem steht das Verbot nach Artikel 9 Absatz 1 DSGVO nicht entgegen, da hier die Ausnahme nach Artikel 9 Absatz 2 lit. a DSGVO greift.

Durchführung allgemein

Hierbei nutzt sie die Kontaktdaten der Betroffenen und sendet diesen die Teilnahmeeinladung zu, nimmt Fragen und Arbeitsergebnisse entgegen und führt die komplette Weiterbildung durch. Zweck ist die Durchführung eines Vertrages. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. b DSGVO.

Veränderungen bei der Datenverarbeitung

Sofern die Verantwortliche die Verarbeitung verändert, insbesondere neue Empfänger einsetzt, wird sie die Betroffenen per E-Mail über die Veränderung informieren; dies, indem sie die aktualisierten Datenschutzinformationen per E-Mail übermittelt. Zweck ist die Erfüllung der Transparenzpflichten nach der DSGVO (Artikel 12 bis 14 DSGVO). Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. c DSGVO.

Geltendmachung von Rechten

Konflikte im Vertragsverhältnis

Im Fall eines rechtlichen Konflikts zwischen den Betroffenen und der Verantwortlichen werden die Daten verarbeitet, um entsprechende Erklärungen abzugeben und ggf., um einen externen Rechtsrat einzuholen. Hierbei werden folgende Daten verarbeitet: Name, Kontaktdaten, sämtliche Vorgänge, die im Zusammenhang mit dem rechtlichen Konflikt stehen. Die Verarbeitung dient der Wahrnehmung externer, rechtlicher Beratung/Betreuung sowie der Ausübung eigener Rechte der Verantwortlichen. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus den vorgenannten Zwecken folgt. Soweit Daten extern verarbeitet werden, stellt dies keine Auftragsverarbeitung (vgl. DSK-Kurzpapier 13), sondern eine Datenübermittlung dar, die ihrerseits durch Artikel 6 Absatz 1 Satz 1 lit. f DSGVO gerechtfertigt ist. Es handelt sich mithin um einen Fall des sonstigen Outsourcings.

Löschung

Nach Ende des aktiven Vertragsverhältnisses

Aufbewahrung nach deutschem Recht

Nach Ende des Beschäftigungsverhältnisses werden alle vorgenannten Daten, die noch gespeichert werden, aufbewahrt. Insoweit Hinsichtlich der Aufbewahrung ergeben sich Zweck und Rechtsgrundlage aus der unten stehenden Auflistung der Aufbewahrungszeiträume (Absatz 2).
Es gelten folgende Aufbewahrungszeiten:
- Interne Aufzeichnungen, die keine Buchungsbelege sind (z.B. Jahresabschlüsse), sind 10 Jahre aufzubewahren, beginnend mit dem 31. Dezember des Kalenderjahres, in dem das jeweilige Dokument entstanden ist. Die Verarbeitung dient der Erfüllung einer rechtlichen Verpflichtung und beruht auf Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. § 147 AO, § 257 HGB.
- Buchungsbelege sind 8 Jahre aufzubewahren, beginnend mit dem 31. Dezember des Kalenderjahres, in dem das jeweilige Dokument entstanden ist. Die Verarbeitung dient der Erfüllung einer rechtlichen Verpflichtung und beruht auf Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. § 147 AO, § 257 HGB.
- Daten der geschäftlichen Kommunikation (z.B. Kundenbriefe) und sonstige steuerrelevante Unterlagen sind 6 Jahre aufzubewahren, beginnend mit dem 31. Dezember des Kalenderjahres, in dem das jeweilige Dokument entstanden ist. Die Verarbeitung dient der Erfüllung einer rechtlichen Verpflichtung und beruht auf Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. § 147 AO, § 257 HGB.
- Daten, die entstehen, wenn die Betroffenen datenschutzrechtliche Ansprüche gegenüber dem Verantwortlichen geltend machen, werden für drei Jahre aufbewahrt, beginnend mit dem 31. Dezember des Kalenderjahres, in dem die Verantwortliche hierauf reagiert. Die Verarbeitung dient der Wahrung des Interesses, sich gegen Ansprüche zu verteidigen und beruht auf Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus dem o.g. Zweck folgt. Die Dauer des berechtigten Interesses folgt aus den Verjährungsvorschriften für Schadensersatzansprüche (§§ 195, 199 Absatz 1 BGB) und ergänzend aus den Verjährungsvorschriften des Ordnungswidrigkeitenrechts (§ 31 Absatz 2 Ziffer 1 OWiG i.V.m. Artikel 83 DSGVO).
- Daten, die entstehen, wenn die Betroffenen sonstige Ansprüche gegenüber der Verantwortlichen geltend machen, werden für drei Jahre aufbewahrt, beginnend mit dem 31. Dezember des Kalenderjahres, in dem der Verantwortliche hierauf reagiert. Die Verarbeitung dient der Wahrung des Interesses, sich gegen Ansprüche zu verteidigen und beruht auf Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus dem o.g. Zweck folgt. Die Dauer des berechtigten Interesses folgt aus den Verjährungsvorschriften für Schadensersatzansprüche (§§ 195, 199 Absatz 1 BGB).
- Daten, die auf einer Einwilligung beruhen, sind bis zum Widerruf der Einwilligung bzw. bis zum Wegfall des mit der Verarbeitung verbundenen Zwecks aufzubewahren, je nachdem, was früher eintritt. Die Aufbewahrung dient dem mit der Einwilligung verbundenen Zweck und beruht auf Artikel 6 Absatz 1 Satz 1 lit. a DSGVO.
- Daten, die die Erteilung der Einwilligung beweisen, sind 3 Jahre aufzubewahren, beginnend mit dem Zeitpunkt des Widerrufs der Einwilligung oder des Wegfalls des Zwecks, je nachdem, was früher eintritt. Die Verarbeitung dient der Wahrung des Interesses, sich gegen Ansprüche zu verteidigen und beruht auf Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus dem o.g. Zweck folgt. Die Dauer des berechtigten Interesses folgt aus den Verjährungsvorschriften des Ordnungswidrigkeitenrechts (§ 31 Absatz 2 Ziffer 1 OWiG i.V.m. Artikel 83 DSGVO).

Löschung der Daten

Nach Ablauf der Aufbewahrungszeiträume werden die Daten gelöscht. Die Löschung bezweckt die Erfüllung einer rechtlichen Verpflichtung und beruht auf Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. Artikel 5 Absatz 1 litt. a, e DSGVO.

Außergewöhnliche Datenverarbeitung

Erfassung der Beschäftigtendaten, falls diese vom Arbeitgeber direkt kommen

Diese Informationen sind nur maßgeblich, wenn die Betroffenen ihre Daten für den Bildungsgutschein nicht selbst zur Verfügung gestellt haben:

Der Arbeitgeber der Betroffenen beabsichtigt, einen Bildungsgutschein für eine Weiterbildung zu beantragen oder hat dies schon getan. Hierfür stellt die Verantwortliche dem Arbeitgeber der Betroffenen ein Formular zur Verfügung, in dem folgende Daten erhoben werden: Vorname, Nachname, Geburtsdatum, Geburtsort, Anschrift, Mobilfunknummer, E-Mail-Adresse, Sozialversicherungsnummer, letzter Berufsabschluss (einschl. Datum des Abschlusses), Informationen zur Beschäftigung (beschäftigt als …, beschäftigt seit …, Tätigkeiten), Status einer ggf. vereinbarten Befristung, monatliches Bruttogehalt, Arbeitsstunden pro Woche, Status KUG, Status EGZ, Angaben zur beabsichtigten Weiterbildung. Die Verarbeitung bezweckt, dass die Verantwortliche den Arbeitgeber der Beschäftigten bei der Formulierung eines Antrags auf Gewährung eines Bildungsgutscheins unterstützt. Die Rechtsgrundlage für die Erhebung ist § 67a SGB X. Der Erhebung steht nicht das Verarbeitungsverbot gemäß Artikel 9 Absatz 1 DSGVO entgegen, da § 67a Absatz 1 Satz 2 SGB X dies in dem hier dargestellten Umfang zulässt. Die Rechtsgrundlage für die Übermittlung der Daten vom Arbeitgeber an die hiesige Verantwortliche ist beim Arbeitgeber zu erfragen, da er für die Übermittlung verantwortlich ist.

Erfassung der Beschäftigtendaten, falls diese von den Betroffenen direkt kommen

Diese Informationen sind nur maßgeblich, wenn die Betroffenen ihre Daten für den Bildungsgutschein selbst zur Verfügung gestellt haben:

Der Arbeitgeber der Betroffenen beabsichtigt, einen Bildungsgutschein für eine Weiterbildung zu beantragen oder hat dies schon getan. Hierfür stellt die Verantwortliche dem Arbeitgeber der Betroffenen ein Formular zur Verfügung, das der Arbeitgeber den Betroffenen übermittelt. Dort geben die Betroffenen folgende Daten: Vorname, Nachname, Geburtsdatum, Geburtsort, Anschrift, Mobilfunknummer, E-Mail-Adresse, Sozialversicherungsnummer, letzter Berufsabschluss (einschl. Datum des Abschlusses), Informationen zur Beschäftigung (beschäftigt als …, beschäftigt seit …, Tätigkeiten), Status einer ggf. vereinbarten Befristung, monatliches Bruttogehalt, Arbeitsstunden pro Woche, Status KUG, Status EGZ, Angaben zur beabsichtigten Weiterbildung. Die Verarbeitung bezweckt, dass die Verantwortliche den Arbeitgeber der Beschäftigten bei der Formulierung eines Antrags auf Gewährung eines Bildungsgutscheins unterstützt. Die Rechtsgrundlage für diese Verarbeitung ist Artikel 6 Absatz 1 Satz 1 lit. a DSGVO, mithin die Einwilligung der Betroffenen, die diese durch die freiwillige Eingabe der Daten erklären. Der Verarbeitung steht nicht das Verarbeitungsverbot gemäß Artikel 9 Absatz 1 DSGVO entgegen, da § 67a Absatz 1 Satz 2 SGB X dies in dem hier dargestellten Umfang zulässt und die Einwilligung die Zustimmung nach Artikel 9 Absatz 2 lit. a DSGVO umfasst.

Videokonferenzen

Die Verantwortliche ermöglicht den Betroffenen die Kommunikation bzw. Teilnahme an der Weiterbildung in einigen Fällen per Videokonferenz.
Falls die Betroffenen sich für die Videokonferenz entscheiden, holt sie die dafür erforderliche Einwilligung ein. Hierfür verarbeitet sie den Namen, Zeitpunkt und Status der Einwilligung. Zweck ist die Erfüllung einer rechtlichen Verpflichtung. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. Artikel 7 Absatz 1 DSGVO.
Die Verantwortliche führt Gespräche per Videokonferenz durch. Hierbei verarbeitet sie die hierbei anfallenden Bild- und Tondaten sowie etwaige Mitschriften. Zweck ist die vertragsbezogene Kommunikation mit den Betroffenen. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. a DSGVO. Dem steht das Verbot nach Artikel 9 Absatz 1 DSGVO nicht entgegen, da hier die Ausnahme nach Artikel 9 Absatz 2 lit. a DSGVO greift.

Sicherheitsüberprüfung von E-Mails ohne KI

Alle E-Mails, die die Betroffenen an die Verantwortliche senden, werden dahingehend überprüft, ob sie für die IT-Infrastruktur des Verantwortlichen riskant sind, etwa, ob damit ein Cyberangriff verbunden ist. Die Überprüfung beruht auf statischen Regeln und Playbooks, die festlegen, ob eine E-Mail maliziös ist. Hierbei werden nur die Daten der jeweils zu überprüfenden, eingehenden E-Mail geprüft; dies u.a. anhand von Sperrlisten. Hierbei verarbeitet sie die folgenden Daten: E-Mail-Adressen, Inhalt der eingehenden E-Mails, Status maliziös/nicht maliziös. Zweck ist erstens die Erfüllung einer rechtlichen Verpflichtung i.S.v. Artikel 32 DSGVO (Zweck 1) und zweitens der Schutz der eigenen IT-Infrastruktur (Zweck 2). Mit Blick auf Zweck 1 ist Artikel 6 Absatz 1 Satz 1 lit. c DSGVO die Rechtsgrundlage. Mit Blick auf Zweck 2 ist Artikel 6 Absatz 1 Satz 1 lit. f DSGVO die Rechtsgrundlage, wobei das berechtigte Interesse aus Zweck 2 folgt.

Übermittlung von Daten an Steuerberatungskanzlei

Die Verantwortliche übermittelt die steuerrechtlich relevanten Daten (Rechnungen, Zahlungseingänge usw.) an eine externe Steuerberatungskanzlei. Hiervon sind folgende Daten umfasst: Name, Kontaktdaten, sämtliche für die Besteuerung relevanten Daten, die die Betroffenen freiwillig mitteilen. Zweck der vorgenannten Verarbeitungsvorgänge ist die Wahrnehmung externer, steuerrechtlicher Unterstützung. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. f DSGVO, wobei das berechtigte Interesse aus dem o.g. Zweck folgt. Soweit Daten in der externen Steuerberatungskanzlei verarbeitet werden, stellt dies keine Auftragsverarbeitung (vgl. DSK-Kurzpapier 13), sondern eine Datenübermittlung dar, die ihrerseits durch Artikel 6 Absatz 1 Satz 1 lit. f DSGVO gerechtfertigt ist. Es handelt sich mithin um einen Fall des sonstigen Outsourcings.

Bewertungen/Testimonials

Die Verantwortliche holt Testimonials der Betroffenen ein.
Zunächst erfragt sie die Einwilligung dafür und dokumentiert die Antwort. Hierfür verarbeitet sie den Namen, Zeitpunkt und Status der Einwilligung. Zweck ist die Erfüllung einer rechtlichen Verpflichtung. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. Artikel 7 Absatz 1 DSGVO.
Falls die Einwilligung erteilt wird, geschieht folgendes: Die Verantwortliche erhebt die Testimonials und veröffentlicht sie, soweit die erteilte Einwilligung dies erlaubt. Hierbei werden folgende Daten verarbeitet: Name, Status zur Einwilligung, Datum der Entscheidung. Die Verarbeitung bezweckt die Präsentation der Verantwortlichen. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. a DSGVO.

Videotestimonials

Die Verantwortliche ermöglicht den Betroffenen in einigen, ausgewählten Fällen, ein Videotestimonial abzugeben.
Falls die Betroffenen sich dafür entscheiden, holt sie die dafür erforderliche Einwilligung ein. Hierfür verarbeitet sie den Namen, Zeitpunkt und Status der Einwilligung. Zweck ist die Erfüllung einer rechtlichen Verpflichtung. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. Artikel 7 Absatz 1 DSGVO.
Die Verantwortlich fertigt das Videotestimonial an und veröffentlicht es, soweit die Einwilligung es zulässt. Hierbei werden folgende Daten verarbeitet: Name, Bild- und Tondaten. Zweck ist Präsentation der Verantwortlichen in der Öffentlichkeit. Rechtsgrundlage ist die Einwilligung der Betroffenen i.S.v. Artikel 6 Absatz 1 Satz 1 lit. a DSGVO.

Einsatz von LLM (KI-System)

Die Kommunikationsdaten werden auch mithilfe eines KI-Systems in Form eines sog. großen Sprachmodells (Large Language Model, LLM) verarbeitet. Dies verläuft wie folgt:

a. Eingabe des Prompts: Zunächst geben personalverantwortliche Beschäftigte der Verantwortlichen einen Prompt in das dafür vorgesehene Feld ein.

b. Tokenisierung: Der Prompt wird dann in eine Form umgewandelt, die das KI-Modell, das dem KI-System zugrunde liegt, verstehen kann. Dies geschieht durch eine sog. Tokenisierung, bei der der Prompt in kleine Einheiten zerlegt wird, sog. Tokens.

c. Verarbeitung durch das Modell: Die Tokens werden durch das Modell geleitet. Das KI-Modell besteht aus vielen Schichten, die jeweils unterschiedliche Teile des Prompts analysieren. Bei jedem Durchgang durch eine Schicht versteht das Modell den Prompt besser.

d. Generierung der Antwort: Das KI-Modell nutzt die erlernten Muster und Strukturen, um eine Antwort zu erzeugen. Die Antwort selbst besteht aus Tokens. Das Modell sagt voraus, welche Tokens am wahrscheinlichsten als nächstes kommen, und setzt diesen Prozess fort, bis eine vollständige Antwort entsteht.

e. Umwandlung in einen lesbaren Text: Die generierten Tokens werden schließlich wieder in lesbaren Text umgewandelt und als Antwort ausgegeben. Diese Antwort basiert auf den Daten, mit denen das Modell trainiert wurde, und den spezifischen Anweisungen des Prompts.

Konkret wird diese Technologie eingesetzt, um

Kommunikation zusammenzufassen,
Kommunikation zu unterstützen,
Gespräche zu transkribieren,
Arbeitsergebnisse (keine Tests) zu kontrollieren.

Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. b DSGVO.

Übermittlung von Daten an die Arbeitsagentur

Nach – und ggf. auch während der Veranstaltung – informiert die Verantwortliche die zuständige Arbeitsagentur über die Teilnahme bzw. Nichtteilnahme, über das Bestehen bzw. Nichtbestehen sowie über etwaige Abwesenheiten, einschl. etwaiger vorgelegter Arbeitsunfähigkeitsbescheinigungen oder vergleichbarer Dokumente. Zweck ist die Erfüllung einer rechtlichen Verpflichtung. Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. § 318 SGB III, § 61 SGB II sowie §§ 67ff. SGB X. Der Verarbeitung steht nicht das Verarbeitungsverbot gemäß Artikel 9 Absatz 1 DSGVO entgegen, da § 67a Absatz 1 Satz 2 SGB X dies in dem hier dargestellten Umfang zulässt.

Outsourcing: Empfängerinnen, Auftragsverarbeiterinnen

Folgende Empfänger*innen und sonstige externe Stellen erhalten in diesem Zusammenhang Daten der Betroffenen:

Behörden der Finanzverwaltung

Als Empfängerkategorie werden die Behörden der Finanzverwaltung benannt, die zur Erfüllung rechtlicher Verpflichtungen auch personenbezogenen Daten der Betroffenen erhalten, etwa in steuer- und sozialversicherungsrechtlich relevanten Dokumenten.

Gerichte

Als Empfängerkategorie werden Gerichte benannt, die in Wahrnehmung berechtigter Interessen der Verantwortlichen auch personenbezogenen Daten der Betroffenen erhalten, etwa in gerichtlichen Auseinandersetzungen (z.B. Kündigungsschutzklage, Schadenersatzklage, …)

Behörden der Finanzverwaltung

Arbeitsagenturen

Als Empfängerkategorie werden Arbeitsagenturen benannt, die in Erfüllung sozialrechtlicher Pflichten die Daten der Betroffenen erhalten.

Google (Suite)

Es werden diverse Applikationen der Google Ireland Ltd. (Irland - EU) eingesetzt, die nach Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier zur Google LLC in den USA) ist gemäß Artikel 45 DSGVO gerechtfertigt. Folgende Tools werden eingesetzt:

Google Workspace
Google Gemini (KI-Anwendung)

Um den nachfolgenden Text zu verstehen, sollte folgendes bekannt sein:

Google Gemini ist ein KI-System, hier in Form eines Chatbots, dem du Aufgaben geben kannst (sog. Prompts). Ein KI-System, wie Google Gemini, beruht immer auf einem KI-Modell. Ein KI-System ist die KI zum Anfassen (also das Softwareprodukt), und das KI-Modell ist die zugrundeliegende Technologie. Beim Prompten geschieht folgendes:

Eingabe des Prompts: Zunächst gibst du den Prompt in das dafür vorgesehene Feld ein.
Tokenisierung: Der Prompt wird in eine Form umgewandelt, die das KI-Modell, das dem KI-System zugrunde liegt, verstehen kann. Dies geschieht durch eine sog. Tokenisierung, bei der der Prompt in kleine Einheiten zerlegt wird, sog. Tokens.
Verarbeitung durch das Modell: Die Tokens werden durch das Modell geleitet. Das KI-Modell besteht aus vielen Schichten, die jeweils unterschiedliche Teile des Prompts analysieren. Bei jedem Durchgang durch eine Schicht versteht das Modell den Prompt besser.
Generierung der Antwort: Das KI-Modell nutzt die erlernten Muster und Strukturen, um eine Antwort zu erzeugen. Die Antwort selbst besteht aus Tokens. Das Modell sagt voraus, welche Tokens am wahrscheinlichsten als nächstes kommen, und setzt diesen Prozess fort, bis eine vollständige Antwort entsteht.
Umwandlung in lesbaren Text: Die generierten Tokens werden schließlich wieder in lesbaren Text umgewandelt und als Antwort ausgegeben. Diese Antwort basiert auf den Daten, mit denen das Modell trainiert wurde, und den spezifischen Anweisungen des Prompts.

Neben den erlernten Mustern und Strukturen greift Google Gemini auf die Ergebnisse aus Online-Recherchen und auf Daten zu, die in der Google Cloud gespeichert sind und auf die die Person, die gerade promptet, Zugriff hat.

Microsoft (Suite)

Es werden diverse Applikationen von der Microsoft Corporation (USA) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier USA) ist gemäß Artikel 45 DSGVO gerechtfertigt. Folgende Tools werden eingesetzt:‍

Microsoft 365 (Cloud, Software)
Microsoft Teams (Videokonferenz)
Microsoft Copilot (KI-Anwendung)
Microsoft Sharepoint

Calendly

Es wird das Terminbuchung-Tool „Calendly“ der Calendly LLC (USA) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier USA) ist gemäß Artikel 46 DSGVO gerechtfertigt.

OpenAI-ChatGPT

Im Zusammenhang mit dem Einsatz künstlicher Intelligenz wird das API-Tool „OpenAI APO“ der OpenAI, LLC (USA) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier USA) ist gemäß Artikel 46 DSGVO gerechtfertigt.

Tally

Es wird das Formulartool „Tally“ der Tally BV (EU – Belgien) eingesetzt, die auch gemäß Artikel 28 DSGVO beauftragt wurde.

Close CRM

Es wird ein Vertriebs- und Kommunikations-Tool „Close CRM“ der Close, Inc. (USA) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier: USA) erfolgt auf Basis von Standardvertragsklauseln gemäß Artikel 46 DSGVO.

Webflow

Es wird der Hostingdienst „Webflow“ der Webflow, Inc. (USA) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier: USA) ist bei Beschäftigtendaten gemäß Artikel 46 DSGVO und bei allen anderen Daten gemäß Artikel 45 DSGVO gerechtfertigt.

Vimeo

Es wird der Video-Hostingdienst „Vimeo“ der Vimeo, Inc. (USA) für Videoeinbettungen eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier: USA) ist bei Beschäftigtendaten gemäß Artikel 46 DSGVO und bei allen anderen Daten gemäß Artikel 45 DSGVO gerechtfertigt.

AWS (Suite)

Es werden diverse Applikationen der Amazon Web Services EMEA SARL (Luxemburg - EU) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier zur Amazon Web Services Inc., USA) ist bei Beschäftigtendaten gemäß Artikel 46 DSGVO und bei allen anderen Daten gemäß Artikel 45 DSGVO gerechtfertigt. Folgende Tools werden eingesetzt:

AWS Cloud

Externe Steuerberatungskanzlei

Die Buchhaltungsdaten werden an eine externe Steuerberatungskanzlei übermittelt. Soweit Daten bei der Steuerberatungskanzlei verarbeitet werden, stellt dies keine Auftragsverarbeitung (vgl. DSK-Kurzpapier 13), sondern eine Datenübermittlung dar, die ihrerseits durch Artikel 6 Absatz 1 Satz 1 lit. f DSGVO gerechtfertigt ist. Es handelt sich mithin um einen Fall des sonstigen Outsourcings.

Lexoffice

Es wird das Buchhaltungs-Tool „Lexoffice“ der Haufe Service Center GmbH (Deutschland - EU) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde.

Zapier

Im Zusammenhang mit der Automatisierung wird das Schnittstellen-Tool „Zapier“ der Zapier, Inc. (USA), die nach Artikel 28 DSGVO beauftragt wurde, eingesetzt. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier USA) ist bei Beschäftigtendaten gemäß Artikel 46 DSGVO und bei allen anderen Daten gemäß Artikel 45 DSGVO gerechtfertigt.

Sally

Es wird ein KI-basierte Meeting-Transkriptions- und Analyse-Tool „Sally“ der Aliru GmbH (EU – Deutschland/EU) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde.

PandaDoc

Es wird das Signaturtool „PandaDoc“ der Pandadoc, Inc. (USA) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier: USA) ist bei Beschäftigtendaten gemäß Artikel 46 DSGVO und bei allen anderen Daten gemäß Artikel 45 DSGVO gerechtfertigt.

Documenso

Es wird das Signaturtool „Documenso“ der Documenso, Inc. (USA) eingesetzt, die gemäß Artikel 28 DSGVO beauftragt wurde. Eine nicht auszuschließende Übermittlung von Daten in ein Drittland (hier: USA) ist bei Beschäftigtendaten gemäß Artikel 46 DSGVO und bei allen anderen Daten gemäß Artikel 45 DSGVO gerechtfertigt.

Glossar

Es folgt ein Glossar. Nicht alle Sachverhalte, die im Glossar erläutert werden, spielen notwendigerweise eine Rolle bei den hier beschriebenen Datenverarbeitungsvorgängen. Sie dienen nur dem allgemeinen Verständnis und damit der Transparenz.

Personenbezogene Daten. Das sind alle Informationen, die mittelbar oder unmittelbar Rückschlüsse auf natürliche Personen, mithin menschliche Wesen zulassen.
Verarbeitung personenbezogener Daten. Jedweder aktive oder passive Umgang mit personenbezogenen Daten, von der Erhebung über die Kernverarbeitung bis zur Löschung.
Verantwortliche. Das ist die natürliche oder juristische Person oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Die Verantwortliche ist auf dem Deckblatt näher bezeichnet.
Betroffene. Das ist die identifizierte oder identifizierbare natürliche Person, auf die sich die personenbezogenen Daten beziehen.
Einwilligung. Das ist eine nachweisbare Willenserklärung, die vor einer Verarbeitung personenbezogener Daten freiwillig abgegeben wird und die eine konkrete Verarbeitung der personenbezogenen Daten des erklärenden Betroffenen gestattet.
Soziale Medien / Unternehmens- und/oder Produktseite. Diese Formulierung bedeutet, dass die Verantwortliche eine Unternehmens- bzw. Produktseite bei einem sozialen Medium unterhält, die auch auf der Internetseite verlinkt ist. Sofern die Betroffenen diesen Link (gemeint ist der Link zur Unternehmens- bzw. Produktseite) anklicken, gelangen sie zu dem Profil des Verantwortlichen.
Soziale Medien / Plugin. Diese Formulierung bedeutet, dass die Verantwortliche auf der Internetseite ein Plugin einer Drittanbieterin eines sozialen Netzwerks bzw. Mediums eingebunden hat. Sofern die Betroffenen dieses Plugin anklicken, gelangen sie zum Profil der Verantwortlichen. Die Verantwortliche nutzt dabei die sog. Zwei-Klick-Lösung. Das heißt, dass nach dem Klick zunächst grundsätzlich keine personenbezogenen Daten an die jeweilige Drittanbieterin des Plug-ins weitergegeben werden. Die Drittanbieterin ist anhand der Gestaltung des Plugins (z.B. durch das Logo) zu erkennen. Die Verantwortliche ermöglicht den Betroffenen, über den Button direkt mit der Drittanbieterin des Plug-ins zu kommunizieren. Nur wenn sie auf das markierte Feld klicken und es dadurch aktivieren, erhält die Drittanbieterin die Information, dass die Betroffenen diese Internetseite aufgerufen haben. Erst dann werden die Daten übermittelt. Durch die Aktivierung des Plug-ins werden also personenbezogene Daten der Betroffenen an die jeweilige Drittanbieterin übermittelt. Diese Datenweitergabe erfolgt unabhängig davon, ob die Betroffenen ein Konto bei der jeweiligen Drittanbieterin besitzen und dort eingeloggt sind. Wenn sie bei der Drittanbieterin eingeloggt sind, werden ihre durch die hiesige Verantwortliche erhobenen Daten direkt dem Konto zugeordnet, das die Betroffenen bei der jeweiligen Drittanbieterin unterhalten.
Soziale Medien / Ads. Diese Formulierung bedeutet, dass die Verantwortliche sog. „Ads“ (Anzeigen) in einem sozialen Medium einsetzt. Mithilfe der „Ads“ kann die hiesige Verantwortliche im Rahmen des jeweiligen sozialen Netzwerks bzw. Mediums auf ihre Angebote aufmerksam machen. Sie kann in Relation zu den Daten der Werbekampagnen ermitteln, wie erfolgreich die einzelnen Werbemaßnahmen sind. Damit wird das Interesse verfolgt, den Betroffenen „Ads“ anzuzeigen, die für sie von Interesse sind, diese Internetseite für sie interessanter zu gestalten sowie eine faire Berechnung von Werbekosten durchzuführen. Diese „Ads“ werden durch die jeweilige Drittanbieterin ausgeliefert. Sofern die Betroffenen über „Ads“, die die jeweilige Drittanbieterin ihnen präsentiert, auf die Internetseite der hiesigen Verantwortlichen gelangen, wird ein Cookie auf dem Rechner der Betroffenen gespeichert. Diese Cookies sollen in der Regel nicht dazu dienen, die Betroffenen persönlich zu identifizieren.
Soziale Medien / Pixel. Diese Formulierung bedeutet, dass die Verantwortliche sog. Pixel einsetzt. Das ist ein Analysetool, mit dem die Verantwortliche die Effektivität von Werbung messen kann. Es wird i.d.R. dazu eingesetzt, Handlungen von Menschen auf einer Internetseite zu verstehen und nachzuvollziehen. Die Verantwortliche hat den Pixel auf ihrer Internetseite implementiert, indem sie den Pixel-Code im Header platziert hat. Wenn die Betroffenen dann die Internetseite besuchen und eine Handlung ausführen (bspw. einen Kauf abschließen), wird der Pixel ausgelöst und die Handlung wird gemeldet. Auf diese Weise erfährt die Verantwortliche, wenn die Betroffenen eine Handlung vornehmen und kann dies auswerten.
Soziale Medien / Upload in die Custom Audience. Diese Formulierung bedeutet, dass die Verantwortliche die Daten der Betroffenen (i.d.R. die E-Mail-Adresse) bei einer Drittanbieterin eines sozialen Netzwerks oder Mediums hochlädt; natürlich erst nach Erteilung der Einwilligung. Dadurch kann die hiesige Verantwortliche den Betroffenen im Rahmen des Besuchs eines sozialen Netzwerks bzw. Mediums interessenbezogene Werbeanzeigen („Ads“) darstellen lassen. Dies geschieht wie folgt: Sie lädt die Kontaktdaten (i.d.R. die E-Mail-Adresse) bei der jeweiligen Drittanbieterin hoch. Die Drittanbieterin prüft dann, ob die Betroffenen mit diesen Kontaktdaten bei ihr registriert sind. Verneinendenfalls werden die Kontaktdaten nicht in die Custom Audience (eine Art Datenbank, die die Verantwortliche bei der jeweiligen Drittanbieterin führt) eingetragen. Bejahendenfalls werden die Daten in die Custom Audience der Verantwortlichen eingetragen. Sofern die Betroffenen dann das von der jeweiligen Drittanbieterin bereitgehaltene soziale Netzwerk oder Medium besuchen, hat die hiesige Verantwortliche die Möglichkeit, den Betroffenen Werbung anzuzeigen, die für sie von Interesse ist.
Soziale Medien oder Videoeinbettungen / Veröffentlichung von Medienaufnahmen. Diese Formulierung bedeutet, dass die Verantwortliche Medienaufnahmen der Betroffenen (Foto-, Ton- und/oder Filmaufnahmen) im jeweiligen sozialen Medium oder Netzwerk oder im jeweiligen Videoportal hochlädt und sie dort veröffentlicht.
Videoeinbettungen / Plugin. Diese Bezeichnung bedeutet, dass auf der Internetseite der Verantwortlichen Plugins eines Videoportals eingebunden sind. Bei jedem Aufruf einer Seite, die ein oder mehrere Videoclips anbietet, wird eine direkte Verbindung zwischen dem Browser der Betroffenen und einem Server der jeweiligen Drittanbieterin hergestellt. Die jeweilige Drittanbieterin speichert die Daten der Betroffenen als Nutzungsprofile und nutzt sie für Zwecke der Werbung, Marktforschung und/oder bedarfsgerechten Gestaltung ihrer Internetseite. Eine solche Auswertung erfolgt insbesondere (selbst für nicht eingeloggte Betroffene) zur Erbringung von bedarfsgerechter Werbung und um andere Nutzer*innen über die Aktivitäten der Betroffenen auf der Internetseite der Verantwortlichen zu informieren. Den Betroffenen steht ein Widerspruchsrecht gegen die Bildung dieser Nutzerprofile zu, wobei sie sich zur Ausübung dieses Rechts an die jeweilige Drittanbieterin richten müssen. Weitere Informationen zu Zweck und Umfang der Datenerhebung und ihrer Verarbeitung durch die jeweilige Drittanbieterin erhalten die Betroffenen in der Datenschutzerklärung.
Videoeinbettungen / Eigener Kanal. Diese Bezeichnung bedeutet, dass die Verantwortliche im Videoportal einen eigenen Kanal anbietet.
KI/Künstliche Intelligenz. Künstliche Intelligenz bezeichnet die Fähigkeit eines Systems, Aufgaben zu erledigen, die normalerweise menschliche Intelligenz erfordern. Dazu gehören unter anderem das Erkennen von Mustern, das Treffen von Entscheidungen, das Erlernen von neuen Informationen und das Anpassen an neue Situationen. KI nutzt Algorithmen und statistische Modelle, um Informationen zu analysieren und daraus Schlussfolgerungen zu ziehen.
KI-System. Das ist ein softwarebasiertes System, das mithilfe von Algorithmen Aufgaben autonom oder teilautonom durchführt (z.B. Google Gemini, ChatGPT).
KI-Modell. Ein KI-Modell ist ein mathematisches oder algorithmisches System, das durch maschinelles Lernen trainiert wurde, um spezifische Aufgaben zu erfüllen. Es basiert auf Datensätzen, um Muster zu erkennen, Vorhersagen zu treffen, Entscheidungen zu unterstützen oder andere automatisierte Funktionen auszuführen. KI-Modelle können in verschiedenen Formen auftreten, einschließlich neuronaler Netze, Entscheidungsbäume oder statistischer Algorithmen, und werden in der Regel genutzt, um datenbasierte Probleme effizient zu lösen.
LLM/Large Language Models/Große Sprachmodelle. Große Sprachmodelle sind eine spezialisierte Form von KI-Modellen, die darauf trainiert sind, natürlichsprachliche Texte zu verstehen und zu generieren. Sie basieren häufig auf tiefen neuronalen Netzwerken und verwenden riesige Mengen an Textdaten, um ihre Sprachfähigkeiten zu entwickeln. LLMs können Aufgaben wie Textvervollständigung, Übersetzung, Konversationsführung oder Stilanalyse durchführen. Beispiele sind Modelle wie GPT (Generative Pre-trained Transformer) von OpenAI. Diese Modelle sind in der Lage, menschlich klingende Texte zu produzieren und kontextbezogene Antworten zu geben, was sie besonders nützlich in Anwendungen wie Chatbots, virtuellen Assistenten und Content-Creations Tools macht.