Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Pioneerdesk GmbH Palmberg 29, 84539 Zangberg, Deutschland E-Mail: team@kompetenzanker.de

2. Gegenstand

Kompetenzanker ist eine EU-souveräne Lernplattform, mit der Unternehmen ihre Mitarbeitenden in KI-Kompetenz schulen und den Kompetenznachweis (u. a. im Hinblick auf EU AI Act Art. 4) erbringen. Diese Erklärung beschreibt die Verarbeitung auf der öffentlichen Website (kompetenzanker.de) sowie im Lernportal (app.kompetenzanker.de).

3. Welche Daten wir verarbeiten

a) Beim Besuch der Website (Server-Logs)

Beim Aufruf unserer Seiten verarbeiten wir technisch notwendige Daten: IP-Adresse, Datum/Uhrzeit, aufgerufene Seite, Referrer, Browser-/Geräteinformationen. Zweck: sicherer, stabiler Betrieb. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

b) Kontakt-, Lead- und Demo-Anfragen sowie Website-Assistent

Wenn Sie ein Formular (z. B. „Gratis für Ihr Team", Demo-Anfrage) nutzen oder mit unserem Website-Assistenten schreiben, verarbeiten wir die von Ihnen angegebenen Daten: Name, geschäftliche E-Mail-Adresse, ggf. Firma, Rolle, Unternehmensgröße sowie den Inhalt Ihrer Nachricht. Der Website-Assistent nutzt zur Beantwortung ein KI-Modell, das auf europäischer Infrastruktur (STACKIT AI, siehe Ziff. 6) betrieben wird. Zweck: Bearbeitung Ihrer Anfrage und Kontaktaufnahme. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

c) KI-Kompetenz-Check

Den Check auf /ki-check können Sie ohne Anmeldung nutzen; das Ergebnis berechnet Ihr Browser, dabei übermitteln Sie uns nichts. Nur wenn Sie den PDF-Bericht anfordern, verarbeiten wir Ihre geschäftliche E-Mail-Adresse, optional Name, Firma und Unternehmensgröße, Ihre Antworten sowie die Herkunft des Besuchs (UTM-Parameter). Zweck: Versand des Berichts nach Bestätigung Ihrer Adresse (Double-Opt-in) und Kontaktaufnahme zu Ihrer Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bericht auf Ihren Wunsch) und lit. f DSGVO (Kontaktaufnahme). Gelegentliche Tipps per E-Mail senden wir nur, wenn Sie dem gesondert zugestimmt haben (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 UWG); die Einwilligung können Sie jederzeit widerrufen, z. B. per Antwort „Stopp“. Unbestätigte Anfragen löschen wir nach 7 Tagen, bestätigte wie unter Ziff. 8 (Speicherdauer) beschrieben.

d) Nutzerkonto & Lernbetrieb (Portal)

Für die Nutzung des Lernportals verarbeiten wir: Name, E-Mail-Adresse, Rolle und Organisationszugehörigkeit, ein gehashtes Passwort, optional eine Zwei-Faktor-Authentifizierung, den Verifizierungsstatus der E-Mail sowie Lerndaten (Lernfortschritt, Test-/Assessment-Ergebnisse, Lektions-Feedback, Nutzung der Inhalte, Eingaben in der KI-Anamnese und im Projekt-Tutor, Kompetenzprofil) sowie den Zeitpunkt der letzten Aktivität im Portal (für die Löschfrist in Ziff. 8). Eingaben im Lern-Tutor, im Prompt-Coach und in den „Jetzt du“-Übungen werden nur zur Beantwortung verarbeitet und nicht gespeichert. Zweck: Bereitstellung des Lernangebots. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. Auftragsverarbeitung (Ziff. 7).

e) Kompetenznachweise

Zur Erstellung des Nachweises verarbeiten wir Person, absolvierte Module, Ergebnis/Score, Datum und Content-Version. Den Score sieht nur die Person selbst (im Portal und in ihrem eigenen PDF-Nachweis); auf der öffentlichen Prüfseite (/verify) und gegenüber dem Arbeitgeber erscheint er nicht (siehe Ziff. 7). Zweck: prüffähiger Kompetenznachweis. Rechtsgrundlage: Art. 6 Abs. 1 lit. b/f DSGVO bzw. Auftragsverarbeitung.

f) Cookies, Reichweitenmessung & Marketing

Technisch notwendige Cookies (z. B. Login-Sitzung, Sprachwahl) setzen wir auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO bzw. § 25 Abs. 2 TDDDG. Reichweiten- und Marketing-Technologien von Drittanbietern — insbesondere LinkedIn Insight Tag und Meta-Pixel zur Messung und Optimierung unserer Werbeanzeigen — setzen wir nur, sofern aktiviert, und ausschließlich mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG) ein. Sie können eine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

Reichweitenmessung: Wir messen Seitenaufrufe mit Kundrio. Das ist ein Eigenbetrieb der Pioneerdesk GmbH im Rechenzentrum von STACKIT in Deutschland. Dabei werden keine Cookies gesetzt und nichts auf Ihrem Gerät gespeichert. Erfasst werden die aufgerufene Seite (ohne Parameter außer Kampagnenkennzeichen), die Domain der Herkunftsseite, der Gerätetyp und die Browsersprache. Ihre IP-Adresse wird nicht gespeichert. Zur Zählung eindeutiger Besuche wird sie zusammen mit der Browserkennung und einem täglich wechselnden Zufallswert zu einem nicht rückrechenbaren Kennwert verrechnet; der Zufallswert wird nach einem Tag gelöscht. Zusätzlich werten wir Server-Protokolle ohne IP-Adresse aus, um Zugriffe automatisierter Programme (z. B. KI-Crawler) zu erkennen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einer datensparsamen Reichweitenmessung. Die Daten werden nach 13 Monaten gelöscht.

Meta Conversions API: Haben Sie in die Marketing-Technologien eingewilligt, melden wir Ihre Registrierung im Lernportal zusätzlich serverseitig an Meta (Meta Platforms Ireland Ltd.), damit die Messung nicht an Tracking-Blockern scheitert. Übermittelt werden: das Ereignis (Registrierung bzw. Team-Aktivierung) mit Zeitpunkt, einer Ereignis-ID (verhindert Doppelzählung mit dem Pixel) und der Seite, Ihre Rolle im Portal, Ihre E-Mail-Adresse ausschließlich als SHA-256-Hash (vorher in Kleinbuchstaben und ohne Leerzeichen; die Adresse im Klartext verlässt uns nicht), Ihre IP-Adresse und Browserkennung (User-Agent) sowie — falls vorhanden — die Meta-Cookies „_fbp“ und „_fbc“. Ohne Einwilligung findet keine Übermittlung statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Meta kann die Daten in Drittstaaten (insbesondere die USA) übermitteln; Meta ist unter dem EU-U.S. Data Privacy Framework zertifiziert.

g) Kundenbetreuung und Kommunikation (CRM)

Für die Betreuung unserer Kundenfirmen und die Bearbeitung von Anfragen nutzen wir Kundrio, unser eigenes CRM, das wir selbst auf STACKIT in Deutschland betreiben. Dort speichern wir:

• Admins von Kundenfirmen (nach Bestätigung der E-Mail-Adresse): Name, E-Mail-Adresse, Firma, Unternehmensgröße sowie die Zeitpunkte von Ereignissen auf Firmenebene (Registrierung, Bestätigung, erste eingelöste Team-Einladung, Kauf). Zweck: Begleitung beim Start (z. B. Hinweise zu Team-Einladung, Datenschutz und Nachweis) und Kundenbetreuung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Anfragen aus den Formularen, dem Website-Assistenten und dem KI-Kompetenz-Check (Ziff. 3b und 3c): Name, E-Mail-Adresse, Firma, Unternehmensgröße, Sprache, Herkunft der Anfrage, Zeitpunkt und ob Sie in Tipps per E-Mail eingewilligt haben. Den Inhalt Ihrer Nachricht und Ihre Antworten im Check übertragen wir nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO; Tipps per E-Mail nur mit Ihrer Einwilligung (lit. a, § 7 Abs. 2 UWG).

Lernende (Mitarbeitende unserer Kundenfirmen, die das Portal nutzen) übertragen wir nicht in das CRM, ebenso wenig Lernstände, Ergebnisse oder Chat-Inhalte. Diese Daten verarbeiten wir ausschließlich im Auftrag Ihres Arbeitgebers (Ziff. 7).

4. Empfänger / Auftragsverarbeiter

• STACKIT (Schwarz IT / Schwarz Gruppe) — Hosting, Datenbank, Objektspeicher und KI-Inferenz, ausschließlich in Deutschland (siehe Ziff. 6).
• Brevo (Sendinblue GmbH) — Versand von Transaktions- und Benachrichtigungs-E-Mails.
• Kundrio — unser eigenes CRM für Kundenbetreuung und Anfragen (Ziff. 3g), von uns selbst auf STACKIT in Deutschland betrieben; keine Weitergabe an Dritte.
• LinkedIn / Meta — nur bei aktivierter, eingewilligter Reichweitenmessung (Ziff. 3f).

Mit Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

5. Keine Drittstaatenübermittlung

Personenbezogene Daten werden ausschließlich in deutschen Rechenzentren verarbeitet und gespeichert. Ein Transfer in Drittstaaten findet nicht statt (Ausnahme: eingewilligte Marketing-Tools nach Ziff. 3f nach deren Maßgabe).

6. Hosting in Deutschland (Sovereign Cloud)

Sämtliche Daten werden ausschließlich in deutschen Rechenzentren verarbeitet und gespeichert. Wir nutzen die STACKIT Cloud (Schwarz IT / Schwarz Gruppe), die vollständig in Deutschland betrieben wird und keiner US-amerikanischen Jurisdiktion unterliegt. Die STACKIT-Infrastruktur ist ISO 27001 zertifiziert und erfüllt die Anforderungen des BSI C5-Katalogs.

7. Auftragsverarbeitung (Kunden-Mitarbeiterdaten)

Gegenüber unseren Unternehmenskunden agieren wir hinsichtlich der Daten ihrer Mitarbeitenden als Auftragsverarbeiter gemäß Art. 28 DSGVO. Ein separater Auftragsverarbeitungsvertrag (AVV) inkl. technischer und organisatorischer Maßnahmen (TOMs) wird mit jedem Kunden abgeschlossen.

Was Ihr Arbeitgeber sieht: Je Person ausschließlich, ob und wann ein Modul bzw. Nachweis bestanden wurde (mit Modul, Lernpfad und Stand der Inhalte). Ihr Arbeitgeber sieht keine Scores oder Punktzahlen, keine Fehlversuche, keine Zwischenstände und keine Chat-Inhalte (KI-Anamnese, Tutor, Coach) — auch nicht im Export ins firmeneigene Lernsystem (SCORM), das nur „bestanden“ bzw. „noch nicht abgeschlossen“ meldet. Alle weiteren Auswertungen (z. B. durchschnittlicher Fortschritt je Abteilung, Feedback, Rezensionen) erhält der Arbeitgeber nur aggregiert und erst ab fünf Personen je Gruppe, damit kein Rückschluss auf Einzelne möglich ist (vgl. § 87 Abs. 1 Nr. 6 BetrVG).

8. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist bzw. gesetzliche Aufbewahrungspflichten bestehen. Lead-/Anfragedaten löschen wir, sobald die Anfrage abschließend bearbeitet ist und keine Aufbewahrungspflicht entgegensteht. Nach Vertragsende werden Kundendaten nach Maßgabe des AVV gelöscht. Kontakte im CRM (Ziff. 3g) löschen wir, sobald die Kundenbeziehung endet bzw. die Anfrage abschließend bearbeitet ist; löschen Sie Ihr Konto selbst, entfernen wir Ihren CRM-Kontakt dabei automatisch.

Chat-Verläufe mit der KI (KI-Anamnese, Projekt-Tutor) samt der KI-Zusammenfassung der Anamnese löschen wir automatisch 12 Monate nach Ihrer letzten Aktivität im Portal. Als Aktivität zählt das jüngste Datum aus Anmeldung bzw. Nutzung des Portals, Lernaktivität (z. B. abgeschlossene Lektion, Modul-Check, Übung) und Ihrer letzten Chat-Nachricht. Lernfortschritt, Ergebnisse und Nachweise sind davon nicht betroffen; sie bleiben bis zur Löschung Ihres Kontos bzw. nach Maßgabe des AVV erhalten.

Ihr Konto können Sie jederzeit selbst im Profil löschen (siehe Ziff. 9). Dabei löschen wir Ihre personenbezogenen Daten. Ausnahmen: Bereits ausgestellte Nachweise bleiben unter ihrem Prüfcode als „gültig ausgestellt“ prüfbar, jedoch ohne Ihren Namen; Einträge in unserem manipulationssicheren Prüfprotokoll werden pseudonymisiert statt gelöscht (Nachweis- und Sicherheitszweck, Art. 17 Abs. 3 lit. b und e DSGVO); Rechnungen und Buchungsbelege Ihres Unternehmens bewahren wir nach § 257 HGB und § 147 AO auf.

9. Ihre Rechte

Im Rahmen der DSGVO stehen Ihnen zu: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) sowie das Recht, eine erteilte Einwilligung jederzeit zu widerrufen. Zudem besteht ein Beschwerderecht bei einer Aufsichtsbehörde (Art. 77).

Selbst im Profil: Unter „Mein Profil“ können Sie mit „Meine Daten exportieren“ jederzeit alle zu Ihrem Konto gespeicherten personenbezogenen Daten als maschinenlesbare JSON-Datei herunterladen (Art. 15 und 20 DSGVO) und mit „Konto löschen“ Ihr Konto samt Daten selbst löschen (Art. 17 DSGVO; Ausnahmen siehe Ziff. 8). Sind Sie die einzige Admin-Person Ihres Unternehmens, bitten wir Sie, vorher eine andere Person zur Admin zu machen. Alle Rechte können Sie außerdem formlos per E-Mail an uns geltend machen (Ziff. 10).

Für die Pioneerdesk GmbH zuständige Aufsichtsbehörde ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

10. Kontakt Datenschutz

Anfragen richten Sie bitte an: team@kompetenzanker.de