Datenschutzerklärung

So schützen wir Ihre Daten beim KI-Informationsassistenten BERA

• Der Text Ihrer Nachrichten und der Antworten von BERA wird nicht auf unserem Server gespeichert. Ein Verlauf mit höchstens 30 Nachrichten wird nur in Ihrem Browser gespeichert. Mit dem Button „Verlauf löschen“ entfernen Sie ihn sofort.
• Für eine Antwort schickt Ihr Browser Ihre Frage und höchstens die letzten 6 Nachrichten dieser Unterhaltung an unseren Server. Ihr Konto und Ihr Profil erhält BERA nicht.
• Vor der Weitergabe ersetzen wir E-Mail-Adressen, Telefonnummern, IBAN, Kartennummern, Steuer-ID und Sozialversicherungsnummern automatisch durch Platzhalter. Namen und andere Angaben werden nicht automatisch entfernt. Bitte geben Sie deshalb keine persönlichen Daten ein.
• Der Text von Unterhaltungen wird auf unseren Servern nicht dauerhaft gespeichert: Erfolgreich beantwortete Anfragen protokolliert unser Workflow-Server nicht. Auch bei einem technischen Fehler wird die Anfrage nicht gespeichert. OpenAI kann Inhalte nach seinen Bedingungen bis zu 30 Tage zur Missbrauchserkennung aufbewahren. Protokolle aus der Zeit vor dem 05.10.2026, als erfolgreiche Anfragen noch gespeichert wurden, werden bis spätestens 12.10.2026 automatisch gelöscht.
• Die Antwort erzeugt OpenAI Ireland Ltd. (Dublin, Irland) mit dem Modell gpt-4o-mini. Mit OpenAI besteht ein Auftragsverarbeitungsvertrag. Eine Übermittlung in die USA ist möglich und stützt sich auf Standardvertragsklauseln. Nach den API-Bedingungen von OpenAI werden über die API übermittelte Inhalte standardmäßig nicht zum Training von Modellen verwendet. OpenAI kann Inhalte nach seinen Bedingungen bis zu 30 Tage zur Missbrauchserkennung aufbewahren.
• Kurze Hinweise im Dashboard sind überwiegend feste Texte. Ist die Funktion eingeschaltet, formuliert BERA einzelne Hinweise mit KI aus Kennzahlen des Bildschirms (zum Beispiel Match-Prozent). Sie werden ohne Nutzerkennung an den KI-Dienst übermittelt, ohne Name, Freitext oder Aufenthaltsstatus. Für die Speicherung gilt dasselbe wie bei den Unterhaltungen.
• BERA ist als KI-System gekennzeichnet (Art. 50 KI-Verordnung) und gibt allgemeine Informationen. BERA bewertet keine persönliche Situation und ersetzt keine Rechts-, Steuer-, Sozial- oder Aufenthaltsberatung. Für Ihre persönliche Situation nennt BERA kostenlose Beratungsstellen, zum Beispiel die Migrationsberatung (MBE, JMD) oder das IQ-Netzwerk.

Art. 6 Abs. 1 lit. a DSGVO: Einwilligung

Anwendung: Newsletter-Anmeldung (Double-Opt-In, Abschnitt 8a), Speicherung Ihrer Angaben beim Förderer-Download (Abschnitt 8b), Reichweitenmessung (Umami) und Fehlerüberwachung im Browser (Sentry, inklusive maskierter Sitzungsaufzeichnung), beide nur nach Ihrer Einwilligung in die Kategorie „Statistik“ im Cookie-Banner, optionale Speicherung der Herkunft Ihres Besuchs (Kampagnen-Parameter, Kategorie „Marketing“ im Cookie-Banner, siehe nachfolgenden Absatz), freiwillige Profilangaben wie Aufenthaltsstatus oder Anerkennungsstatus. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden (Art. 7 Abs. 3 DSGVO).

Herkunft des Besuchs (Kategorie „Marketing“): Nur wenn Sie im Cookie-Dialog „Marketing“ einwilligen, speichern wir beim ersten Seitenaufruf die verweisende Seite (Referrer), die aufgerufene Einstiegsseite sowie vorhandene Kampagnen-Parameter (utm_source, utm_medium, utm_campaign, utm_term, utm_content) im lokalen Speicher Ihres Browsers (localStorage, Eintrag „nb_acquisition_v1“). Gespeichert wird nur beim ersten Besuch und nur, wenn ein Referrer oder Parameter vorhanden ist. Registrieren Sie sich später, übermitteln wir diese Angaben mit der Registrierung an unseren Server und speichern sie in Ihrem Nutzerkonto (Referrer bis 500, Einstiegsseite bis 300, Kampagnen-Werte bis je 200 Zeichen). Bei Löschung Ihres Kontos werden diese Angaben mitgelöscht. Zweck ist die Auswertung, über welche Kanäle Nutzer zu uns finden. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Die Einwilligung können Sie jederzeit über das Cookie-Symbol widerrufen; der lokale Eintrag bleibt bis zum Löschen im Browser bestehen.

Art. 6 Abs. 1 lit. b DSGVO: Vertragserfüllung / Vorvertragliche Maßnahmen

Anwendung: Anfragen über das Kontaktformular und per E-Mail, Anfragen von Trägern und Bewerbungen von Coaches (vorvertragliche Maßnahmen), kostenfreie Nutzerkonten, KI-gestützte Werkzeuge, Match-Score und Coach-Terminanfragen (jeweils als Bestandteil der unentgeltlichen Plattformleistung).

Art. 6 Abs. 1 lit. c DSGVO: Rechtliche Verpflichtung

Anwendung: Aufbewahrungspflichten für E-Mail-Korrespondenz im geschäftlichen Verkehr (§ 257 HGB, § 147 AO).

Art. 6 Abs. 1 lit. f DSGVO: Berechtigtes Interesse

Anwendung: IT-Sicherheit (Server-Logs, fail2ban, Rate-Limits), Missbrauchsprävention (Honeypot in Formularen), serverseitige technische Fehlerüberwachung (Sentry, ohne personenbezogene Daten), anonymisierte Wirkungsmessung für Förder-Reporting.

Art. 9 Abs. 2 DSGVO: Besondere Kategorien (Pilot 2026)

Für einige Funktionen können Sie freiwillig Angaben machen, die Rückschlüsse auf besonders geschützte Merkmale zulassen: im Profil zum Beispiel Anerkennungsstatus, Geburtsdatum, Anschrift sowie das Land des Berufsabschlusses und Sprachangaben. In Freitextfeldern (Lebenslauf, Anschreiben, Chat) können Sie außerdem selbst Angaben zu Herkunft, Religion oder Gesundheit machen.

Diese Angaben sind für die Nutzung der Plattform nicht erforderlich. Wir fragen sie ab, um Ihre Unterlagen vorzubefüllen und Hinweise zu Anerkennung, Fristen und Angeboten passender darzustellen. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); soweit besondere Kategorien betroffen sind, Ihre ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Sie können die Einwilligung jederzeit widerrufen und Angaben im Profil löschen.

Aufenthaltsstatus: Diese Angabe speichern wir nicht. Sie können sie freiwillig im Lebenslauf-Editor eintragen; sie bleibt dann nur im Speicher Ihres Browsers (LocalStorage), erscheint nur in Ihrem eigenen Lebenslauf und wird nicht an uns übertragen. Beim Abmelden wird sie gelöscht. Früher im Konto gespeicherte Angaben zum Aufenthaltsstatus löschen wir.

Wenn Sie Texte an eine KI-Funktion senden (Abschnitte 3 und 10), werden diese Angaben an den jeweiligen KI-Anbieter übermittelt. Eine automatische Entfernung personenbezogener Angaben vor der Übermittlung ist geplant, aber derzeit nicht zugesichert. Bitte lassen Sie sensible Angaben in KI-Eingaben weg.

Was Umami NICHT tut

• Keine Cookies werden gesetzt
• Keine IP-Adressen werden gespeichert
• Keine Zuordnung zu Klarnamen, E-Mail-Adressen oder Konten
• Keine Übermittlung an Drittländer (kein US-Transfer)

Was Umami misst (anonymisiert und aggregiert)

• Seitenaufrufe und Verweildauer
• Herkunftsregion auf Länder-Ebene (nicht Stadt, nicht IP)
• Browser-Typ und Gerätekategorie (Desktop / Mobile / Tablet)
• Eigene Events (z.B. Quiz-Vollendung, Coach-Buchung), ohne Nutzer-Identifikator

Rechtsgrundlage und Einwilligung

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG (Einwilligung). Das Umami-Skript wird erst geladen, wenn Sie im Cookie-Banner der Kategorie „Statistik“ zustimmen. Die Einwilligung können Sie jederzeit über das Fingerabdruck-Symbol widerrufen; die Seite wird dann neu geladen und das Skript nicht mehr ausgeführt. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO).

Widerspruch

Zusätzlich zur Einwilligungslösung respektiert Umami das Do-Not-Track-Signal Ihres Browsers. Adressen mit Suchparametern (zum Beispiel Links aus E-Mails) werden ohne Parameter erfasst.

Wer ist verantwortlich? (Art. 4 Nr. 7 und 8 DSGVO)

Für Ihr Konto und Ihre persönlichen Werkzeuge ist die DigMa Systems UG (haftungsbeschränkt), vertreten durch den Geschäftsführer Stanislav Tonkich, die Verantwortliche. Der Träger bestimmt darüber nicht.

Kurse, Kurslinks und die eigene Dokumentation des Kursanbieters verarbeiten wir im Auftrag des Kursanbieters (Art. 28 DSGVO). Der Auftragsverarbeitungsvertrag ist Teil der Verträge, die jeder Kursanbieter vor dem ersten Kurslink annimmt. Wir versenden keine Einladungen zu Kursen. Den Kurslink gibt der Kursanbieter selbst weiter.

Wir gehen davon aus, dass wir für Beitritt, Zählung und Freigaben allein verantwortlich sind und der Kursanbieter erst ab der Anzeige für die freigegebenen Angaben. Sollte eine Aufsichtsbehörde oder ein Gericht eine gemeinsame Verantwortung annehmen, gilt die Vereinbarung nach Art. 26 DSGVO, die wir vorsorglich mit jedem Kursanbieter geschlossen haben. Das Wesentliche daraus steht im nächsten Absatz. Sie können Ihre Rechte dann bei uns und beim Kursanbieter geltend machen.

Das Wesentliche der Vereinbarung nach Art. 26 DSGVO: „Soweit NextBeruf und Ihr Kursanbieter gemeinsam verantwortlich sind, gilt: Gemeinsam verantwortlich sind sie für Ihren Beitritt zum Kurs, für das Zählen in der Gruppe und dafür, was Ihr Kursanbieter sehen darf. NextBeruf kümmert sich um die Hinweise, Ihren Widerspruch, Ihre Freigaben, Ihre Rechte und die Sicherheit. Ihr Kursanbieter muss richtige Angaben zum Kurs machen und darf Sie nicht unter Druck setzen. Ohne Ihre Freigabe sieht Ihr Kursanbieter nur Zahlen für die ganze Gruppe, keine Namen. Was Sie freigeben, darf Ihr Kursanbieter nur für den Kurs nutzen. Ab dann ist Ihr Kursanbieter dafür allein verantwortlich. 30 Tage nach Kursende endet alles. Ihre Anlaufstelle ist info@nextberuf.de. Sie können sich auch an Ihren Kursanbieter wenden.“

Was der Träger über Sie erfährt

• Ohne Kurslink: Nutzen Sie NextBeruf ohne Kurslink eines Kurses, erfährt der Träger nichts über Sie, auch nicht, ob oder wer sich registriert hat. Das gilt für alle Träger, zum Beispiel Bildungsträger, BAMF-Kursträger, Jobcenter und Migrationsberatungen.
• Mit Kurslink: Was der Kursanbieter sieht, steht im folgenden Abschnitt. Ohne Ihre Freigabe sieht er nur Zahlen für die ganze Gruppe ohne Namen. Lebenslauf, Texte und Nachrichten sieht er nie.
• Einladungslink und QR-Code: Ein Einladungslink oder QR-Code ohne Kurslink führt zur normalen kostenlosen Registrierung, Ihr Konto wird dann ohne Verbindung zum Träger angelegt. Für einen Kurslink gilt der folgende Abschnitt.
• Keine Nachteile: Sie nutzen NextBeruf in vollem Umfang. Was Sie erarbeiten, zum Beispiel Lebenslauf oder Anschreiben, können Sie selbst herunterladen oder ausdrucken und dem Träger zeigen, wenn Sie das möchten. NextBeruf übermittelt dem Träger nur das, was im folgenden Abschnitt beschrieben ist.
• Ein Herkunftsland wird im Partner Workspace nicht gespeichert.
• Besondere Kategorien (Art. 9 DSGVO): NextBeruf fragt im Partner Workspace keine Angaben zu Gesundheit, Religion oder ethnischer Herkunft ab. Angaben, die ein Träger selbst zu seiner Maßnahme dokumentiert (zum Beispiel einen Abbruchgrund oder Notizen aus der Beratung), können im Einzelfall Rückschlüsse auf solche Merkmale zulassen. Für diese Angaben ist der Träger als Verantwortlicher zuständig; NextBeruf verarbeitet sie nur in seinem Auftrag.

Kurslink und Gruppenzahlen für den Kursanbieter

Das gilt zusätzlich, wenn Sie einem Kurs über einen Kurslink beitreten und diese Funktion für den Kurs freigeschaltet ist.

• Beitritt: Wenn Sie über einen Kurslink beitreten, ordnen wir Ihr Konto dem Kurs zu. Das ist eine Funktion nach unseren Nutzungsbedingungen (§ 3a). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Vor dem Beitritt zeigen wir Ihnen, ob und wie wir Sie zählen.
• Gruppenzahlen ohne Namen: Der Kursanbieter sieht Zahlen über die ganze Gruppe, zum Beispiel „Mehr als die Hälfte hat einen Lebenslauf.“ Ihr Name steht nicht dabei. Dafür zählen wir Sie in der Gruppe mit. Zahlen gibt es erst ab einer Mindestzahl an Personen.
• Vergleich mit anderen Kursen: Die Gruppenzahlen Ihres Kurses können in einen gerundeten Vergleichswert über mindestens fünf Kurse derselben Kursart mit zusammen mindestens 100 Personen eingehen, den Kursanbieter anderer Kurse sehen, ohne dass darin Ihr Kurs, Ihr Name oder die Zahlen einzelner Kurse zu erkennen sind.
• Rechtsgrundlage der Zählung: Art. 6 Abs. 1 lit. f DSGVO. Wir haben ein berechtigtes Interesse: Der Kursanbieter soll im Unterricht sehen, wo die Gruppe Hilfe braucht.
• Zählung nur mit Einschalten: Wir zählen nur mit, wenn Sie es selbst einschalten, wenn Sie 16 oder 17 Jahre alt sind, wenn wir Ihr Alter nicht kennen und bei Kursen, für die nur das Einschalten gilt, zum Beispiel Kurse von öffentlichen Stellen. Das gilt auch nach Ihrem 18. Geburtstag weiter. Rechtsgrundlage ist dann Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
• Ihr Widerspruch: Sie können der Zählung jederzeit widersprechen (Art. 21 DSGVO), ohne Grund. Dafür gibt es den Knopf „Nicht mitzählen“ beim Beitritt und später im Profil unter „Was der Kursanbieter sieht“. Der Widerspruch wirkt sofort. Wir sagen dem Kursanbieter nicht, dass Sie widersprochen haben. Der Kursanbieter hat uns zugesichert, dass niemand durch einen Widerspruch einen Nachteil hat.
• Namen und Einzelangaben: Ihren Namen und Angaben zu Ihnen persönlich, zum Beispiel ob Sie aktiv waren, sieht der Kursanbieter nur, wenn Sie das über einen Schalter selbst einschalten. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).
• Förderkurse und Integrations- oder Berufssprachkurse: Dort sieht der Kursanbieter höchstens Ihren Namen, den Tag des Beitritts und ob Sie über NextBeruf Nachrichten bekommen können. Ihren Namen sieht er dort erst, wenn Sie den Schalter nach drei Tagen Bedenkzeit noch einmal bestätigen.
• E-Mail-Adresse: Ihre E-Mail-Adresse sieht der Kursanbieter nur, wenn Sie mindestens 18 Jahre alt sind und den Schalter „Kontakt per E-Mail“ selbst einschalten. Bei Förderkursen sowie Integrations- und Berufssprachkursen gibt es diesen Schalter nicht. E-Mails des Kursanbieters kommen dann nicht über NextBeruf. Schalten Sie den Schalter aus, muss der Kursanbieter eine schon notierte Adresse selbst löschen. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
• Nachrichten des Kursanbieters: Der Kursanbieter kann Ihnen über NextBeruf nur dann Nachrichten schreiben, wenn Sie den Schalter dafür selbst einschalten. Die Nachrichten kommen in Ihr Postfach bei NextBeruf. Ihre E-Mail-Adresse sieht der Kursanbieter dabei nicht. Sie können den Schalter jederzeit im Profil unter „Was der Kursanbieter sieht“ ausschalten oder im Postfach auf „Keine Nachrichten mehr“ drücken. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
• Empfänger: der Kursanbieter, mit Namen in jedem Schalter genannt. Ab der Anzeige ist er für die Angaben selbst verantwortlich. Er darf sie nur für den Kurs nutzen, also für Unterricht oder Beratung. Er darf sie nicht weitergeben, auch nicht an Arbeitgeber, Jobcenter, Agentur für Arbeit, BAMF oder Ausländerbehörde. Das hat er uns vertraglich zugesichert. Nur wenn ein Gesetz ihn im Einzelfall zu einer Auskunft verpflichtet, gibt er das Verlangte heraus und sagt Ihnen Bescheid, soweit das erlaubt ist.
• Kurs verlassen: Sie können einen Kurs jederzeit im Profil unter „Was der Kursanbieter sieht“ verlassen. Dann ordnen wir Ihr Konto dem Kurs nicht mehr zu, der Kursanbieter sieht Sie nicht mehr in der Namensliste und wir zählen Sie nicht mehr mit.
• Speicherdauer: Der Kursanbieter sieht die Zahlen und Ihre freigegebenen Angaben bis 30 Tage nach Kursende. Die Zuordnung zum Kurs, Ihre Schalter und die Zählung zu diesem Kurs löschen wir 30 Tage nach Kursende, früher, wenn Sie den Kurs verlassen oder Ihr Konto löschen. Zum Nachweis bewahren wir ohne Inhalte auf: wann Sie welchen Schalter mit welcher Textfassung ein- oder ausgeschaltet haben und welche Fassung des Hinweises wir Ihnen vor dem Beitritt gezeigt haben, bis zum Ende des dritten Kalenderjahres nach dem letzten Eintrag; wann der Kursanbieter die Namensliste angesehen hat, 12 Monate. Rechtsgrundlage: Art. 6 Abs. 1 lit. c in Verbindung mit Art. 7 Abs. 1 und Art. 5 Abs. 2 DSGVO.
• Ihre Anlaufstelle für Beitritt, Zählung, Schalter und Postfach ist NextBeruf: info@nextberuf.de. Fragen dazu, was der Kursanbieter mit den angezeigten Angaben macht, beantwortet der Kursanbieter. Wir leiten Ihre Anfrage bei Bedarf innerhalb von drei Arbeitstagen weiter.

Datenhaltung und Rechtsgrundlagen

Die Daten des Partner Workspace werden auf Servern in Deutschland (Hetzner Online GmbH, Nürnberg) gespeichert. Über den Dienst Cloudflare kann der Datenverkehr technisch über Server außerhalb der EU geleitet werden (Abschnitt 9).

Rechtsgrundlagen: Für Konto, Werkzeuge und den Beitritt zu einem Kurs Art. 6 Abs. 1 lit. b DSGVO. Für die Verarbeitung durch den Träger nennt dieser seine Rechtsgrundlage selbst und informiert Sie darüber nach Art. 13 und 14 DSGVO.

Der Partner Workspace und die Datenschutzinformationen für Partner sind abrufbar unter: nextberuf.de/partner

Aktuell aktiv

• Cloudflare, Inc. (Auslieferung der Website nextberuf.de, CDN und SSL): Der Datenverkehr kann über Server außerhalb der EU geleitet werden. Grundlage: Standardvertragsklauseln (SCC) und, soweit Cloudflare zertifiziert ist, zusätzlich das EU-US Data Privacy Framework (DPF, Art. 45 DSGVO).
• Functional Software, Inc. (Sentry, Fehlerüberwachung): Sitz USA; Speicherung in der EU, Frankfurt (Abschnitt 6a). Grundlage: Standardvertragsklauseln und, soweit Sentry zertifiziert ist, zusätzlich das DPF.

Aktuell aktiv (KI-Anbieter)

• OpenAI Ireland Ltd. (KI-Informationsassistent BERA): Sitz Irland; eine Übermittlung an OpenAI in den USA ist möglich. Ein Auftragsverarbeitungsvertrag besteht. Die Übermittlung in die USA stützt sich auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), die Bestandteil dieses Vertrags sind. Wir sichern nicht zu, dass Eingaben nicht gespeichert werden; die Aufbewahrung richtet sich nach den Bedingungen des Anbieters.
• OpenRouter, Inc. (USA) (Anschreiben-Entwurf im Anschreiben-Editor; die KI-Auswertung der Anzeigen-Analyse ist derzeit abgeschaltet, Match-Score und Anzeigen-Analyse arbeiten nach festen Regeln): Anfragen gehen an OpenRouter und von dort an das jeweilige Sprachmodell. Mit OpenRouter besteht ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO), der über die Nutzungsbedingungen von OpenRouter (Ziffer 10.2) einbezogen ist und Standardvertragsklauseln (Modul 2, Verantwortlicher an Auftragsverarbeiter) für die Übermittlung in die USA enthält. Bitte geben Sie in diesen Funktionen trotzdem keine sensiblen Angaben ein.

Innerhalb der EU und des EWR

• Hetzner Online GmbH (Hosting, Datenbank, Workflow-Server, Umami): Nürnberg, Deutschland
• Brevo SAS (E-Mail-Versand, Transaktions-E-Mails, Newsletter, Formular-Anfragen): Paris, Frankreich

Garantien für Drittlandstransfer

Für Übermittlungen in die USA stützen wir uns auf Standardvertragsklauseln (SCC, Durchführungsbeschluss (EU) 2021/914, Art. 46 Abs. 2 lit. c DSGVO), die Bestandteil der Auftragsverarbeitungsverträge sind. Nur soweit ein Anbieter nach dem EU-US Data Privacy Framework zertifiziert ist, stützen wir uns zusätzlich auf diesen Angemessenheitsbeschluss (Art. 45 DSGVO). Die Nachweise je Anbieter werden geprüft und dokumentiert. Wir sichern nicht zu, dass Ihre Daten ausschließlich in der EU verarbeitet werden.

Art. 15 DSGVO: Auskunftsrecht

Sie haben das Recht, Auskunft darüber zu verlangen, ob wir personenbezogene Daten von Ihnen verarbeiten, und auf Zugang zu diesen Daten.

Art. 16 DSGVO: Recht auf Berichtigung

Sie haben das Recht, die Berichtigung unrichtiger Sie betreffender Daten zu verlangen.

Art. 17 DSGVO: Recht auf Löschung („Recht auf Vergessenwerden“)

Sie haben das Recht, die Löschung Ihrer Daten zu verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Art. 18 DSGVO: Recht auf Einschränkung der Verarbeitung

Sie haben das Recht, die Einschränkung der Verarbeitung zu verlangen, sofern die Voraussetzungen des Art. 18 Abs. 1 DSGVO vorliegen.

Art. 20 DSGVO: Recht auf Datenübertragbarkeit

Sie haben das Recht, Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.

Art. 21 DSGVO: Widerspruchsrecht

Sie haben das Recht, der Verarbeitung Ihrer Daten zu widersprechen, wenn diese auf Art. 6 Abs. 1 lit. e oder f DSGVO basiert.

Art. 7 Abs. 3 DSGVO: Widerruf der Einwilligung

Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Art. 77 DSGVO: Beschwerde bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer Daten zu beschweren (Kontakt siehe Abschnitt 13).

Identifizierte Risiken (Pilot 2026)

• Re-Identifikation über Kombination Beruf + Herkunftsland + Sprache
• Diskriminierung durch verzerrte LLM-Ausgaben (Bias)
• Verfolgungsrisiko im Herkunftsland bei Daten-Leak für vulnerable Gruppen
• Unbeabsichtigte Speicherung besonderer Kategorien (Art. 9 DSGVO) in Freitext-Feldern

Eintretens-Wahrscheinlichkeit

Niedrig im Demo-Modus (reine Browser-Speicherung), erhöht ab Pilot mit Server-Speicherung. Das Restrisiko wird nach Umsetzung der geplanten Maßnahmen neu bewertet.

Auswirkung

Hoch: Die Zielgruppe (Menschen mit internationaler Biografie, teils mit Fluchthintergrund) gehört zu den vulnerablen Personengruppen im Sinne der DSGVO-Risikobetrachtung.

Maßnahmen zur Risikominimierung

• Datensparsamkeit als Grundprinzip: Wir erheben nur, was für die jeweilige Funktion zwingend erforderlich ist.
• Maskierung von Kontaktdaten wie E-Mail-Adressen, Telefonnummern und Kontonummern im BERA-Chat vor der Weitergabe an den KI-Dienst (siehe Abschnitt 14).
• Vertragliche Grundlage mit den KI-Anbietern (Auftragsverarbeitung; mit OpenRouter über deren Nutzungsbedingungen, Ziffer 10.2, einbezogen).
• Verzicht auf automatisierte Einzelfallentscheidungen (Art. 22 DSGVO).
• Anti-Diskriminierungs-Audit vor Aktivierung von Match-Funktionen (geplant).
• Externe Datenschutz-Validierung bei Bedarf.
• Klare und mehrsprachige Aufklärung der Nutzer:innen.
• Aufenthaltsstatus wird nicht serverseitig gespeichert, sondern nur lokal im Browser für den eigenen Lebenslauf (seit 05.10.2026).
• BERA als allgemeiner Informationsassistent ohne Konto- und Profildaten, ohne Fragen zur Person; keine serverseitige Speicherung des Dialogtextes; lokaler Verlauf im Browser bleibt löschbar.
• KI-Funktionen, die Personen bewerten (KI-Auswertung der Anzeigen-Analyse), sind abgeschaltet und technisch erst nach Benennung eines Datenschutzbeauftragten aktivierbar. KI-formulierte Hinweise im Dashboard erhalten nur Kennzahlen ohne Nutzerkennung; erfolgreiche Anfragen werden nicht gespeichert, Fehlerfälle höchstens 7 Tage.