Rechtliches
Datenschutzerklärung
Stand: Juli 2026
Diese Erklärung informiert Sie über die Verarbeitung personenbezogener Daten gemäß Datenschutz-Grundverordnung (DSGVO), Bundesdatenschutzgesetz (BDSG), Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) und EU AI Act (Verordnung (EU) 2024/1689) auf der Website nextberuf.de.
1. Verantwortlicher (Art. 13 Abs. 1 lit. a DSGVO)
Verantwortlicher im Sinne der Datenschutz-Grundverordnung ist:
Stanislav Tonkich, 94060 Pocking, Bayern, Deutschland.
E-Mail: [email protected] · Telefon: wird ergänzt · Website: https://nextberuf.de
2. Datenschutzbeauftragte:r
Eine Datenschutzbeauftragten-Pflicht nach § 38 BDSG besteht für NextBeruf zum jetzigen Zeitpunkt nicht (weniger als 20 Personen mit ständiger automatisierter Datenverarbeitung).
Vor Pilot-Start mit echten Nutzerdaten (geplant Q4/2026) wird eine externe Datenschutzbeauftragte:r bestellt. Die hierfür notwendigen Mittel sind in laufenden Förderanträgen berücksichtigt.
Datenschutz-Anfragen jeder Art bitte an [email protected] mit dem Betreff „Datenschutz“.
3. Demo-Modus (aktuell aktiv)
Das aktuelle Demo-Dashboard und sämtliche Werkzeuge (Berufswechsel-Quiz, CV-Editor, Anschreiben-Editor, Job-Matching, Anerkennung-Wizard, Umschulungs-Wegweiser, BA-Support, Interview-Trainer, Anzeigen-Analyse) laufen vollständig in Ihrem Browser. Alle Eingaben werden ausschließlich im LocalStorage Ihres Geräts gespeichert.
Es findet keine Übertragung dieser Daten an unsere Server statt. Sie können die Daten jederzeit löschen, indem Sie sich aus dem Demo-Modus abmelden oder den Browser-Cache leeren.
Ausnahmen von der reinen LocalStorage-Verarbeitung: (a) der KI-Coach „BERA“ leitet Ihre Nachrichten an unseren n8n-Workflow auf umami.step-seeds.de weiter (Hetzner Deutschland); (b) die Tools „Anschreiben-Editor“ und „Anzeigen-Analyse“ rufen serverseitig die LLM-API von Anthropic Ireland an, sobald Sie die KI-Funktion bewusst auslösen. In beiden Fällen wird im Vorfeld ein Hinweis nach Art. 50 EU AI Act angezeigt; eine Speicherung der Inhalte auf unseren Servern erfolgt nicht.
4. Server-Logs und Hosting
Beim Aufruf von nextberuf.de werden durch unseren Hosting-Anbieter Hetzner Online GmbH (Gunzenhausen, Deutschland) automatisch technische Daten verarbeitet: IP-Adresse, Zeitstempel, abgerufene URL, Referrer, User-Agent, HTTP-Status, übertragene Datenmenge.
Speicherdauer: maximal 14 Tage, danach automatische Löschung. Eine Zusammenführung mit anderen Datenquellen findet nicht statt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit, Missbrauchsprävention und Stabilität der Plattform). Ein Auftragsverarbeitungsvertrag (AVV) mit Hetzner liegt vor.
5. Rechtsgrundlagen der Verarbeitung
Wir verarbeiten personenbezogene Daten auf Basis der folgenden Rechtsgrundlagen aus Art. 6 DSGVO:
Art. 6 Abs. 1 lit. a DSGVO – Einwilligung
Anwendung: Newsletter-Anmeldung (Double-Opt-In, geplant), nicht-essenzielle Cookies (aktuell werden keine gesetzt), geplante Nutzer-Konto-Funktionen ab Pilot 2026. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden (Art. 7 Abs. 3 DSGVO).
Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung / Vorvertragliche Maßnahmen
Anwendung: Anfragen über das Kontaktformular und per E-Mail, geplante kostenfreie Nutzer-Konten ab Pilot 2026, geplante KI-gestützte Tools und Coach-Buchung (jeweils als Bestandteil der unentgeltlichen Plattformleistung).
Art. 6 Abs. 1 lit. c DSGVO – Rechtliche Verpflichtung
Anwendung: Aufbewahrungspflichten für E-Mail-Korrespondenz im geschäftlichen Verkehr (§ 257 HGB, § 147 AO – sofern nach UG-Eintragung anwendbar).
Art. 6 Abs. 1 lit. f DSGVO – Berechtigtes Interesse
Anwendung: IT-Sicherheit (Server-Logs, fail2ban, Rate-Limits), Missbrauchsprävention (Honeypot in Formularen), cookiefreie Webanalyse (Umami), anonymisierte Wirkungsmessung für Förder-Reporting.
Art. 9 Abs. 2 DSGVO – Besondere Kategorien (Pilot 2026)
Bei Nutzer:innen mit Fluchthintergrund können in CV- oder Anschreiben-Daten ggf. besondere Kategorien personenbezogener Daten enthalten sein (z.B. Hinweise auf Herkunftsland, Religion oder Gesundheitszustand). Verarbeitung erfolgt ausschließlich auf Grundlage ausdrücklicher Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO und mit verstärkten technischen Schutzmaßnahmen (Pseudonymisierung, kürzere Aufbewahrung, Zero-Retention bei LLM-Aufrufen).
6. Webanalyse mit Umami (selbst-gehostet)
Diese Website nutzt Umami Analytics zur statistischen Auswertung von Besucheraktivitäten. Umami wird von uns selbst auf einem EU-Server (Hetzner Online GmbH, Nürnberg, Deutschland) unter umami.step-seeds.de betrieben. Die Daten verlassen zu keinem Zeitpunkt unsere EU-Infrastruktur.
Was Umami NICHT tut
- Keine Cookies werden gesetzt
- Keine IP-Adressen werden gespeichert
- Keine personenbezogenen Daten werden erfasst
- Keine Übermittlung an Drittländer (kein US-Transfer)
Was Umami misst (anonymisiert und aggregiert)
- Seitenaufrufe und Verweildauer
- Herkunftsregion auf Länder-Ebene (nicht Stadt, nicht IP)
- Browser-Typ und Gerätekategorie (Desktop / Mobile / Tablet)
- Eigene Events (z.B. Quiz-Vollendung, Coach-Buchung) – ohne Nutzer-Identifikator
Rechtsgrundlage und Einwilligungsfreiheit
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an statistischer Auswertung der Plattformnutzung).
Da Umami cookiefrei arbeitet und keine personenbezogenen Daten verarbeitet, ist eine Einwilligung nach § 25 TDDDG nicht erforderlich.
Widerspruch
Sie können der Analyse jederzeit widersprechen, indem Sie in Ihrem Browser Do-Not-Track aktivieren. Umami respektiert dieses Signal automatisch.
7. Verarbeitung im Auftrag von AZAV-Trägern (§ 45 SGB III)
Wenn AZAV-Träger NextBeruf als digitales Werkzeug zur Bewerbungsunterstützung in ihren § 45 SGB III-Aktivierungsmaßnahmen einsetzen, gelten folgende Besonderheiten:
Verantwortlichkeit und Auftragsverarbeitung (Art. 4 Nr. 7 und 8 DSGVO)
Verantwortlicher für die Verarbeitung personenbezogener Daten der Maßnahmen-Teilnehmenden ist der jeweilige AZAV-Träger. Auftragsverarbeiter ist derzeit Stanislav Tonkich (Einzelperson), der in diesem Verhältnis gemäß Art. 28 DSGVO handelt.
Zwischen dem Träger und Stanislav Tonkich wird vor Produktiveinsatz ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO abgeschlossen. Eine Vorlage steht unter nextberuf.de/partner/bildungstraeger zum Download bereit.
Verarbeitete Daten im Träger-Kontext
- Aktivitätsprotokolle: Werkzeug-Bezeichnung, Nutzungsdatum, Zeitstunden (asynchron) – als Grundlage für die BA-Dokumentation
- Maßnahmen-Metadaten: Maßnahmen-Nummer, Träger-Name, Beginn- und Enddatum
- Keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) werden im Partner Workspace erhoben
Datenhaltung und Rechtsgrundlagen
Alle Daten werden ausschließlich auf Servern in Deutschland (Hetzner Online GmbH, Nürnberg) verarbeitet. Es findet keine Übermittlung in Drittstaaten statt.
Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Maßnahme-Vertrages) und Art. 6 Abs. 1 lit. c DSGVO (Einhaltung rechtlicher Verpflichtungen aus § 45 SGB III und AZAV).
Der Partner Workspace und die Datenschutzinformationen für Partner sind abrufbar unter: nextberuf.de/partner
8. Verarbeitungen im registrierten Bereich
Für registrierte Nutzer:innen (Benutzer-Konto) verarbeiten wir folgende Daten zur Erbringung der Plattform-Leistungen:
- Nutzer-Konto mit E-Mail, Passwort-Hash (Argon2id über Supabase Auth), Sprach-Präferenz und Profil-Daten (Beruf, Qualifikation, Sprachen, Anerkennungs-Status). Alle Daten werden auf unserem selbst-gehosteten Supabase-Server (Hetzner, Nürnberg) gespeichert.
- CV-Upload mit lokalem OCR auf unserem Server und automatischem PII-Strip vor jeder LLM-Anfrage. Namen, Adresse, Geburtsdatum, Telefonnummer, E-Mail und Foto werden vor Weiterleitung an LLM-Anbieter maskiert.
- KI-gestützte Anschreiben-Entwürfe, Match-Erklärungen und KI-Coach BERA über Anthropic Ireland Ltd. (Zero-Retention-API) und OpenAI Ireland Ltd. (Zero-Retention-API) als Fallback. AVV wird nach UG-Eintragung abgeschlossen.
- Job-Daten-Aggregation ausschließlich aus rechtlich zulässigen Quellen (Bundesagentur für Arbeit Jobsuche-API als aktive Quelle). Keine Speicherung personenbezogener Daten der Job-Anbieter über das Erforderliche hinaus.
- Transaktions-E-Mails (Willkommens-E-Mail, Passwort-Reset) über Brevo SAS (Paris, Frankreich). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
- Bewerbungs-Tracking, Kalender-Events, Interview-Training und Streak-Daten werden ausschließlich auf unserem Server (Hetzner, Nürnberg) gespeichert.
9. Datenübermittlung in Drittländer
NextBeruf priorisiert EU-Verarbeitung. Eine Übermittlung in Drittländer (außerhalb EU/EWR) kann in folgenden Fällen erfolgen:
Aktuell aktiv
- Cloudflare, Inc. (CDN und SSL für ausgewählte Subdomains) – EU-Region (Frankfurt) für DE-Traffic; mögliche US-Sub-Verarbeitung im Notfall-Routing. Cloudflare ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert (Art. 45 DSGVO) und stellt Standardvertragsklauseln (SCC) bereit.
Aktuell aktiv (LLM-Anbieter)
- Anthropic Ireland Ltd. (LLM-Anbieter, KI-Coach BERA, Anschreiben-Entwurf) – Sitz Irland; mögliche US-Sub-Verarbeitung beim Mutterkonzern Anthropic PBC. Zero-Retention-API: Anfragen werden nicht gespeichert und nicht für Modell-Training verwendet. AVV wird nach UG-Eintragung abgeschlossen.
- OpenAI Ireland Ltd. (LLM-Fallback) – Sitz Irland; mögliche US-Sub-Verarbeitung beim Mutterkonzern OpenAI L.L.C. Zero-Retention-API. AVV wird nach UG-Eintragung abgeschlossen.
Vollständig EU/EWR-intern (keine Drittlandsproblematik)
- Hetzner Online GmbH (Hosting, Datenbank, n8n, Umami) – Nürnberg, Deutschland
- Brevo SAS (E-Mail-Versand, Transaktions-E-Mails) – Paris, Frankreich
Garantien für Drittlandstransfer
Sämtliche US-relevanten Anbieter sind unter dem EU-US Data Privacy Framework (DPF) zertifiziert und/oder es liegen Standardvertragsklauseln (SCC, EU-Beschluss 2021/914) vor. Mit Anthropic und OpenAI sind zusätzlich Zero-Retention-Verträge abgeschlossen, sodass übermittelte Inhalte nicht für Modell-Training verwendet und nach Verarbeitung gelöscht werden.
9a. Information über neue Auftragsverarbeiter (Art. 28 Abs. 2 DSGVO)
Sofern NextBeruf künftig personenbezogene Daten im Auftrag eines Partners verarbeitet (z. B. im Rahmen einer AVGS-Lizenzierung, einer Koop-Vereinbarung mit BA/Jobcenter/Bildungsträger oder einer Fördermittelgeber-Auftragsverarbeitung), informieren wir den jeweiligen Partner mindestens 10 Tage im Voraus in Textform (E-Mail genügt) über die Beauftragung neuer Unter-Auftragsverarbeiter – insbesondere bei:
Der Partner kann innerhalb dieser Frist in Textform an [email protected] widersprechen, wenn berechtigte Datenschutzbedenken bestehen. Wir bemühen uns nach Treu und Glauben um eine einvernehmliche Lösung. Kommt diese nicht zustande, kann der Partner die betroffene Kooperation kündigen.
Diese Regelung gilt zusätzlich zu den Informationspflichten aus Art. 13/14 DSGVO gegenüber den betroffenen Nutzer:innen und ergänzt etwaige Subprozessor-Listen in den jeweiligen Auftragsverarbeitungs-Verträgen.
- Wechsel oder Ergänzung von KI-Modell-Anbietern (z. B. neuer LLM-Provider für Anschreiben-Tool, Anzeigen-Analyse oder Chat-Coach „BERA“)
- Wechsel oder Ergänzung von Hosting- oder Speicher-Anbietern
- Wechsel oder Ergänzung von E-Mail-, Analytics- oder Monitoring-Dienstleistern, soweit diese personenbezogene Daten verarbeiten
- Verlagerung der Verarbeitung in ein anderes Land
10. KI-Verarbeitung (EU AI Act, Art. 50 Transparenz)
NextBeruf nutzt Large Language Models (LLMs) für Anschreiben-Vorschläge, Stellenanzeigen-Analyse und den Chat-Coach „BERA“. Wir erfüllen die Transparenzpflicht nach Art. 50 EU AI Act, indem jede KI-gestützte Funktion vor der ersten Nutzung kennzeichnen, dass eine KI-Verarbeitung erfolgt, welcher Anbieter eingesetzt wird und wie Sie widersprechen können.
Eine automatisierte Entscheidung im Einzelfall im Sinne des Art. 22 DSGVO findet nicht statt. Alle KI-Ausgaben sind Vorschläge, die durch den Nutzer redaktionell überarbeitet werden müssen. Job-Matches sind ranking-basierte Empfehlungen, keine bindenden Bewertungen.
Wir führen vor der produktiven Aktivierung von Match-Funktionen ein Anti-Diskriminierungs-Audit nach den Standards des Allgemeinen Gleichbehandlungsgesetzes (AGG i. d. F. vom 18. August 2006, zuletzt geändert durch Art. 8 des Gesetzes vom 3. April 2013) durch. Geprüft werden Trainingsdaten, Output-Verteilung über geschützte Merkmale und Sprach-Bias zwischen deutschsprachigen und nicht-deutschsprachigen Lebensläufen.
Weiterführende Informationen: https://nextberuf.de/ki-transparenz
11. Aufbewahrungsfristen
| Datenkategorie | Aufbewahrung | Rechtsgrundlage |
|---|---|---|
| Server-Logs (IP, URL, Zeitstempel) | 14 Tage | Art. 6 Abs. 1 lit. f DSGVO |
| Kontakt-Anfragen per E-Mail | Bis zur abschließenden Bearbeitung + 6 Monate | Art. 6 Abs. 1 lit. b DSGVO |
| Geschäftsrelevante E-Mails (nach UG-Eintragung) | 10 Jahre | § 257 HGB / § 147 AO |
| Transaktions-E-Mails (Registrierung, Passwort-Reset) | Bis Konto-Löschung | Art. 6 Abs. 1 lit. b DSGVO |
| Nutzer-Konten (registrierte Nutzer) | Bis Löschungsantrag + 30 Tage Backup-Vorhaltung | Art. 6 Abs. 1 lit. b DSGVO |
| LLM-Anfragen an Anthropic/OpenAI | Zero Retention (sofortige Löschung nach Verarbeitung) | Zero-Retention-API, Art. 6 Abs. 1 lit. b DSGVO |
| Umami-Analyse-Daten | 12 Monate, aggregiert | Art. 6 Abs. 1 lit. f DSGVO |
12. Ihre Rechte als betroffene Person
Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:
Art. 15 DSGVO – Auskunftsrecht
Sie haben das Recht, Auskunft darüber zu verlangen, ob wir personenbezogene Daten von Ihnen verarbeiten, und auf Zugang zu diesen Daten.
Art. 16 DSGVO – Recht auf Berichtigung
Sie haben das Recht, die Berichtigung unrichtiger Sie betreffender Daten zu verlangen.
Art. 17 DSGVO – Recht auf Löschung („Recht auf Vergessenwerden“)
Sie haben das Recht, die Löschung Ihrer Daten zu verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
Art. 18 DSGVO – Recht auf Einschränkung der Verarbeitung
Sie haben das Recht, die Einschränkung der Verarbeitung zu verlangen, sofern die Voraussetzungen des Art. 18 Abs. 1 DSGVO vorliegen.
Art. 20 DSGVO – Recht auf Datenübertragbarkeit
Sie haben das Recht, Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.
Art. 21 DSGVO – Widerspruchsrecht
Sie haben das Recht, der Verarbeitung Ihrer Daten zu widersprechen, wenn diese auf Art. 6 Abs. 1 lit. e oder f DSGVO basiert.
Art. 7 Abs. 3 DSGVO – Widerruf der Einwilligung
Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen.
Art. 77 DSGVO – Beschwerde bei der Aufsichtsbehörde
Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer Daten zu beschweren (Kontakt siehe Abschnitt 12).
13. Zuständige Aufsichtsbehörde
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach
Telefon: +49 (0) 981 180093-0 · E-Mail: [email protected] · Web: https://www.lda.bayern.de
14. IT-Sicherheit und technische Schutzmaßnahmen
- TLS-Verschlüsselung (HTTPS) für alle Verbindungen, inkl. HSTS-Header
- Hosting in Deutschland (Hetzner Nürnberg), tägliche Backups mit Verschlüsselung
- fail2ban gegen Brute-Force-Angriffe auf SSH und Login-Endpoints
- Rate-Limiting für API-Endpoints (Schutz vor Missbrauch der KI-Funktionen)
- Honeypot in allen Formularen gegen automatisierte Spam-Submissions
- Trennung von Demo- und Produktivumgebung (Pilot 2026 erhält eigene Infrastruktur)
- Pseudonymisierung sensibler Daten vor LLM-Aufrufen (Name, Adresse, Geburtsdatum werden vor dem Versand entfernt)
- Mindest-Passwort-Anforderungen ab Pilot: 12 Zeichen, Argon2id-Hash
15. Datenschutz-Folgenabschätzung (DSFA, Art. 35 DSGVO)
Diese DSFA ist eine Selbst-Bewertung im Pre-Pilot-Stadium von NextBeruf. Sie folgt der Methodik nach Art. 35 DSGVO und den Standards der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Standard-Datenschutzmodell, V3.0). Eine externe Validierung durch eine:n zertifizierte:n Datenschutzbeauftragte:n erfolgt vor dem Pilot-Start mit echten Menschen mit internationaler Biografie-Daten (geplant Q4/2026). Die hierfür notwendigen Mittel (rund 2.000 €) sind in den geplanten Förderanträgen berücksichtigt.
Identifizierte Risiken (Pilot 2026)
- Re-Identifikation über Kombination Beruf + Herkunftsland + Sprache
- Diskriminierung durch verzerrte LLM-Ausgaben (Bias)
- Verfolgungsrisiko im Herkunftsland bei Daten-Leak für vulnerable Gruppen
- Unbeabsichtigte Speicherung besonderer Kategorien (Art. 9 DSGVO) in Freitext-Feldern
Eintretens-Wahrscheinlichkeit
Niedrig im Demo-Modus (reine Browser-Speicherung), erhöht ab Pilot mit Server-Speicherung. Mit den unter Abschnitt 14 genannten technischen Maßnahmen wird das Restrisiko als niedrig eingestuft.
Auswirkung
Hoch – die Zielgruppe (Menschen mit internationaler Biografie, teils mit Fluchthintergrund) gehört zu den vulnerablen Personengruppen im Sinne der DSGVO-Risikobetrachtung.
Maßnahmen zur Risikominimierung
- Datensparsamkeit als Grundprinzip – wir erheben nur, was für die jeweilige Funktion zwingend erforderlich ist.
- Pseudonymisierung vor jeder LLM-Anfrage (siehe Abschnitt 14).
- Zero-Retention-Verträge mit allen LLM-Anbietern.
- Verzicht auf automatisierte Einzelfallentscheidungen (Art. 22 DSGVO).
- Anti-Diskriminierungs-Audit vor Aktivierung von Match-Funktionen (AGG-konform).
- Externe Datenschutz-Validierung vor Pilot-Start.
- Klare und mehrsprachige Aufklärung der Nutzer:innen.
Diese Datenschutzerklärung ersetzt alle vorherigen Versionen. Wir behalten uns vor, die Erklärung anzupassen, wenn sich Rechtsvorschriften oder die tatsächliche Verarbeitung wesentlich ändern. Die jeweils aktuelle Fassung ist unter https://nextberuf.de/datenschutz abrufbar.