Rechtliches

Datenschutzerklärung

Diese Erklärung informiert Sie über die Verarbeitung personenbezogener Daten gemäß Datenschutz-Grundverordnung (DSGVO), Bundesdatenschutzgesetz (BDSG), Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) und EU AI Act (Verordnung (EU) 2024/1689) auf der Website nextberuf.de.

Projektstatus: NextBeruf ist eine im Aufbau befindliche Plattform für Arbeitsmarktintegration und berufliche Anerkennung von Menschen mit internationaler Biografie in Deutschland. Aktiv sind aktuell ein Demo-Modus (LocalStorage im Browser), das Kontaktformular, eine cookiefreie Webanalyse und eine technische Fehlerüberwachung. KI-gestützte Funktionen (BERA, KI-Hilfen im Anschreiben-Editor und in Match-Score) sind im Demo-Modus verfügbar; der Regelbetrieb beginnt schrittweise ab der Pilot-Phase Q4/2026. Geplante Verarbeitungen sind nachfolgend als „[Geplant ab Pilot 2026]“ gekennzeichnet.

1. Verantwortlicher (Art. 13 Abs. 1 lit. a DSGVO)

Verantwortlicher im Sinne der Datenschutz-Grundverordnung ist:

DigMa Systems UG (haftungsbeschränkt), vertreten durch den Geschäftsführer Stanislav Tonkich, Richard-Wagner-Str. 33, 94060 Pocking, Bayern, Deutschland.

Registergericht: Amtsgericht Passau, Registernummer: HRB 13402.

E-Mail: [email protected] · Telefon: +49 176 3231-4250 · Website: https://nextberuf.de

2. Datenschutzbeauftragte:r

Ein externer Datenschutzbeauftragter wird vor dem Pilot-Start mit echten Nutzerdaten (geplant Q4/2026) benannt. Bis zur Benennung gibt es keinen benannten Datenschutzbeauftragten; Anfragen bearbeitet die Geschäftsführung.

Datenschutz-Anfragen jeder Art bitte an [email protected] mit dem Betreff „Datenschutz“.

3. Demo-Modus (aktuell aktiv)

Im Demo-Modus ohne Registrierung laufen das Demo-Dashboard und die Werkzeuge (Berufswechsel-Quiz, CV-Editor, Anschreiben-Editor, Job-Matching, Anerkennung-Wizard, Umschulungs-Wegweiser, BA-Support, Interview-Trainer, Match-Score) im Browser. Eingaben werden dort im LocalStorage Ihres Geräts gespeichert.

Ohne Registrierung übertragen wir diese Daten nicht an unsere Server, mit den unten genannten Ausnahmen. Sie können die Daten jederzeit löschen, indem Sie sich aus dem Demo-Modus abmelden oder den Browser-Cache leeren.

Ausnahmen von der reinen LocalStorage-Verarbeitung: (a) Der KI-Coach „BERA“ sendet Ihre Nachrichten über unseren Server je nach Anfrage auf einem von zwei Wegen an einen KI-Anbieter: über einen selbst betriebenen Workflow-Server (Hetzner, Deutschland) an OpenAI (Irland) oder über OpenRouter, Inc. (USA) an ein Anthropic-Modell. (b) Der „Anschreiben-Editor“ und die optionale Anforderungsanalyse in „Match-Score“ senden den Text, den Sie zur KI-Bearbeitung freigeben, über unseren Workflow-Server an OpenAI. Die KI-Funktionen werden nur ausgelöst, wenn Sie sie bewusst nutzen; vorher zeigen wir einen Hinweis nach Art. 50 EU AI Act. Wir sichern nicht zu, dass die KI-Anbieter Eingaben nicht speichern. Geben Sie in Freitextfeldern deshalb keine besonders sensiblen Angaben ein (zum Beispiel Aufenthaltsstatus, Gesundheit oder Religion).

4. Server-Logs und Hosting

Beim Aufruf von nextberuf.de werden durch unseren Hosting-Anbieter Hetzner Online GmbH (Gunzenhausen, Deutschland) automatisch technische Daten verarbeitet: IP-Adresse, Zeitstempel, abgerufene URL, Referrer, User-Agent, HTTP-Status, übertragene Datenmenge.

Speicherdauer: maximal 14 Tage, danach automatische Löschung. Eine Zusammenführung mit anderen Datenquellen findet nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit, Missbrauchsprävention und Stabilität der Plattform). Ein Auftragsverarbeitungsvertrag (AVV) mit Hetzner liegt vor.

5. Rechtsgrundlagen der Verarbeitung

Wir verarbeiten personenbezogene Daten auf Basis der folgenden Rechtsgrundlagen aus Art. 6 DSGVO:

Art. 6 Abs. 1 lit. a DSGVO: Einwilligung

Anwendung: Newsletter-Anmeldung (Double-Opt-In, geplant), Reichweitenmessung (Umami) und Fehlerüberwachung im Browser (Sentry, inklusive maskierter Sitzungsaufzeichnung), beide nur nach Ihrer Einwilligung in die Kategorie „Statistik“ im Cookie-Banner, optionale Speicherung der Herkunft Ihres Besuchs (Kampagnen-Parameter, Kategorie „Marketing“ im Cookie-Banner, siehe nachfolgenden Absatz), freiwillige Profilangaben wie Aufenthaltsstatus oder Anerkennungsstatus, geplante Nutzer-Konto-Funktionen ab Pilot 2026. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden (Art. 7 Abs. 3 DSGVO).

Herkunft des Besuchs (Kategorie „Marketing“): Nur wenn Sie im Cookie-Dialog „Marketing“ einwilligen, speichern wir beim ersten Seitenaufruf die verweisende Seite (Referrer), die aufgerufene Einstiegsseite sowie vorhandene Kampagnen-Parameter (utm_source, utm_medium, utm_campaign, utm_term, utm_content) im lokalen Speicher Ihres Browsers (localStorage, Eintrag „nb_acquisition_v1“). Gespeichert wird nur beim ersten Besuch und nur, wenn ein Referrer oder Parameter vorhanden ist. Registrieren Sie sich später, übermitteln wir diese Angaben mit der Registrierung an unseren Server und speichern sie in Ihrem Nutzerkonto (Referrer bis 500, Einstiegsseite bis 300, Kampagnen-Werte bis je 200 Zeichen). Bei Löschung Ihres Kontos werden diese Angaben mitgelöscht. Zweck ist die Auswertung, über welche Kanäle Nutzer zu uns finden. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Die Einwilligung können Sie jederzeit über das Cookie-Symbol widerrufen; der lokale Eintrag bleibt bis zum Löschen im Browser bestehen.

Art. 6 Abs. 1 lit. b DSGVO: Vertragserfüllung / Vorvertragliche Maßnahmen

Anwendung: Anfragen über das Kontaktformular und per E-Mail, geplante kostenfreie Nutzer-Konten ab Pilot 2026, geplante KI-gestützte Tools und Coach-Buchung (jeweils als Bestandteil der unentgeltlichen Plattformleistung).

Art. 6 Abs. 1 lit. c DSGVO: Rechtliche Verpflichtung

Anwendung: Aufbewahrungspflichten für E-Mail-Korrespondenz im geschäftlichen Verkehr (§ 257 HGB, § 147 AO).

Art. 6 Abs. 1 lit. f DSGVO: Berechtigtes Interesse

Anwendung: IT-Sicherheit (Server-Logs, fail2ban, Rate-Limits), Missbrauchsprävention (Honeypot in Formularen), serverseitige technische Fehlerüberwachung (Sentry, ohne personenbezogene Daten), anonymisierte Wirkungsmessung für Förder-Reporting.

Art. 9 Abs. 2 DSGVO: Besondere Kategorien (Pilot 2026)

Für einige Funktionen können Sie freiwillig Angaben machen, die Rückschlüsse auf besonders geschützte Merkmale zulassen: im Profil zum Beispiel Aufenthaltsstatus oder Aufenthaltstitel, Anerkennungsstatus, Geburtsdatum, Anschrift sowie Herkunfts- und Sprachangaben. In Freitextfeldern (Lebenslauf, Anschreiben, Chat) können Sie außerdem selbst Angaben zu Herkunft, Religion oder Gesundheit machen.

Diese Angaben sind für die Nutzung der Plattform nicht erforderlich. Wir fragen sie ab, um Ihre Unterlagen vorzubefüllen und Hinweise zu Anerkennung, Fristen und Angeboten passender darzustellen. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); soweit besondere Kategorien betroffen sind, Ihre ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Sie können die Einwilligung jederzeit widerrufen und Angaben im Profil löschen.

Wenn Sie Texte an eine KI-Funktion senden (Abschnitte 3 und 10), werden diese Angaben an den jeweiligen KI-Anbieter übermittelt. Eine automatische Entfernung personenbezogener Angaben vor der Übermittlung ist geplant, aber derzeit nicht zugesichert. Bitte lassen Sie sensible Angaben in KI-Eingaben weg.

6. Webanalyse mit Umami (selbst-gehostet)

Diese Website nutzt nach Ihrer Einwilligung Umami Analytics zur statistischen Auswertung von Besucheraktivitäten. Umami wird von uns selbst auf einem EU-Server (Hetzner Online GmbH, Nürnberg, Deutschland) unter umami.step-seeds.de betrieben. Die Auswertung erfolgt auf unserer eigenen Infrastruktur in Deutschland. Ohne Ihre Einwilligung wird das Umami-Skript nicht geladen und es findet keine Verbindung zu diesem Server statt.

Was Umami NICHT tut

Keine Cookies werden gesetzt
Keine IP-Adressen werden gespeichert
Keine Zuordnung zu Klarnamen, E-Mail-Adressen oder Konten
Keine Übermittlung an Drittländer (kein US-Transfer)

Was Umami misst (anonymisiert und aggregiert)

Seitenaufrufe und Verweildauer
Herkunftsregion auf Länder-Ebene (nicht Stadt, nicht IP)
Browser-Typ und Gerätekategorie (Desktop / Mobile / Tablet)
Eigene Events (z.B. Quiz-Vollendung, Coach-Buchung), ohne Nutzer-Identifikator

Rechtsgrundlage und Einwilligungsfreiheit

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG (Einwilligung). Das Umami-Skript wird erst geladen, wenn Sie im Cookie-Banner der Kategorie „Statistik“ zustimmen. Die Einwilligung können Sie jederzeit über das Fingerabdruck-Symbol widerrufen; die Seite wird dann neu geladen und das Skript nicht mehr ausgeführt. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO).

Widerspruch

Zusätzlich zur Einwilligungslösung respektiert Umami das Do-Not-Track-Signal Ihres Browsers. Adressen mit Suchparametern (zum Beispiel Links aus E-Mails) werden ohne Parameter erfasst.

6a. Fehlerüberwachung mit Sentry

Zur Erkennung technischer Fehler setzen wir den Dienst Sentry (Functional Software, Inc., USA) ein, in zwei Teilen. Serverseitig (Fehler auf unseren Servern) läuft Sentry ohne Ihre Einwilligung und ohne personenbezogene Daten: Nutzerkennungen, IP-Adresse, Cookies, Formularinhalte, Adress-Parameter und E-Mail-Adressen werden vor dem Versand entfernt. Im Browser läuft Sentry nur nach Ihrer Einwilligung in die Kategorie „Statistik“ im Cookie-Banner. Dann können im Fehlerfall technische Daten übermittelt werden: Fehlermeldung, aufgerufene Seite ohne Parameter, Browser- und Gerätetyp, Zeitpunkt und Ablaufdaten. Da die IP-Adresse technisch bei jeder Verbindung anfällt, ist ihre Verarbeitung bei Sentry in diesem Teil nicht ausgeschlossen. In einem kleinen Teil der Sitzungen und bei Fehlern kann zusätzlich eine Sitzungsaufzeichnung (Session Replay) erstellt werden; Texte, Eingabefelder und Medien werden dabei maskiert. Ohne Einwilligung wird das Sentry-Skript im Browser nicht geladen.

Rechtsgrundlage: serverseitig Art. 6 Abs. 1 lit. f DSGVO (Stabilität und Sicherheit der Plattform), im Browser Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG (Einwilligung, jederzeit über das Fingerabdruck-Symbol widerrufbar). Mit Sentry besteht ein Auftragsverarbeitungsvertrag (Data Processing Addendum). In welcher Region (EU oder USA) die Daten für dieses Projekt gespeichert werden, wird derzeit bestätigt. Bei einer Übermittlung in die USA stützen wir uns auf Standardvertragsklauseln oder das EU-US Data Privacy Framework. Der serverseitigen Verarbeitung können Sie nach Art. 21 DSGVO widersprechen ([email protected]).

7. Verarbeitung im Auftrag von AZAV-Trägern (§ 45 SGB III)

Wenn AZAV-Träger NextBeruf als digitales Werkzeug zur Bewerbungsunterstützung in ihren § 45 SGB III-Aktivierungsmaßnahmen einsetzen, gelten folgende Besonderheiten:

Verantwortlichkeit und Auftragsverarbeitung (Art. 4 Nr. 7 und 8 DSGVO)

Verantwortlicher für die Verarbeitung personenbezogener Daten der Maßnahmen-Teilnehmenden ist der jeweilige AZAV-Träger. Auftragsverarbeiter ist die DigMa Systems UG (haftungsbeschränkt), vertreten durch den Geschäftsführer Stanislav Tonkich, die in diesem Verhältnis gemäß Art. 28 DSGVO handelt.

Zwischen dem Träger und der DigMa Systems UG (haftungsbeschränkt) wird vor Produktiveinsatz ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO abgeschlossen. Die Vorlage wird auf Anfrage per E-Mail ([email protected]) zur Verfügung gestellt.

Verarbeitete Daten im Träger-Kontext

Aktivitätsprotokolle: Werkzeug-Bezeichnung, Nutzungsdatum, Zeitstunden (asynchron), als Grundlage für die BA-Dokumentation
Maßnahmen-Metadaten: Maßnahmen-Nummer, Träger-Name, Beginn- und Enddatum
Keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) werden im Partner Workspace erhoben

Datenhaltung und Rechtsgrundlagen

Die Daten des Partner Workspace werden auf Servern in Deutschland (Hetzner Online GmbH, Nürnberg) gespeichert. Über den Dienst Cloudflare kann der Datenverkehr technisch über Server außerhalb der EU geleitet werden (Abschnitt 9).

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Maßnahme-Vertrages) und Art. 6 Abs. 1 lit. c DSGVO (Einhaltung rechtlicher Verpflichtungen aus § 45 SGB III und AZAV).

Der Partner Workspace und die Datenschutzinformationen für Partner sind abrufbar unter: nextberuf.de/partner

8. Verarbeitungen im registrierten Bereich

Für registrierte Nutzer:innen (Benutzer-Konto) verarbeiten wir folgende Daten zur Erbringung der Plattform-Leistungen:

Nutzer-Konto mit E-Mail, Passwort (nur als Hash gespeichert), Sprach-Präferenz, Konto-Einstellungen (zum Beispiel Erinnerungen, Job-Benachrichtigungen und wie oft der KI-Coach BERA von sich aus Hinweise einblendet) und Profil-Daten (Beruf, Qualifikation, Sprachen, Anerkennungs-Status sowie freiwillig Geburtsdatum, Anschrift und Aufenthaltsstatus). Die Daten werden auf unserem selbst gehosteten Datenbank-Server (Hetzner, Nürnberg) gespeichert.
Lebenslauf- und Anschreiben-Entwürfe, die Sie mit einem Konto speichern, werden auf unserem Server gespeichert. Eine automatische Entfernung personenbezogener Angaben vor der Übermittlung an KI-Anbieter findet derzeit nicht statt.
KI-gestützte Anschreiben-Entwürfe, Match-Erklärungen und KI-Coach BERA über OpenAI Ireland Ltd. sowie über OpenRouter, Inc. (USA) mit Anthropic-Modellen. Mit OpenAI besteht ein Auftragsverarbeitungsvertrag; der Vertragsstatus mit OpenRouter wird derzeit geklärt (Abschnitt 9).
Job-Daten-Aggregation ausschließlich aus rechtlich zulässigen Quellen (Bundesagentur für Arbeit Jobsuche-API als aktive Quelle). Keine Speicherung personenbezogener Daten der Job-Anbieter über das Erforderliche hinaus.
Transaktions-E-Mails (Willkommens-E-Mail, Passwort-Reset) über Brevo SAS (Paris, Frankreich). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Bewerbungs-Tracking, Kalender-Events, Interview-Training und Streak-Daten werden ausschließlich auf unserem Server (Hetzner, Nürnberg) gespeichert.

9. Datenübermittlung in Drittländer

NextBeruf priorisiert EU-Verarbeitung. Eine Übermittlung in Drittländer (außerhalb EU/EWR) kann in folgenden Fällen erfolgen:

Aktuell aktiv

Cloudflare, Inc. (CDN und SSL für ausgewählte Subdomains): Der Datenverkehr kann über Server außerhalb der EU geleitet werden. Grundlage: Standardvertragsklauseln (SCC) und, soweit zertifiziert, das EU-US Data Privacy Framework (DPF, Art. 45 DSGVO).
Functional Software, Inc. (Sentry, Fehlerüberwachung): Sitz USA; die Speicherregion wird bestätigt (Abschnitt 6a). Grundlage: Standardvertragsklauseln oder DPF.

Aktuell aktiv (KI-Anbieter)

OpenAI Ireland Ltd. (KI-Coach BERA, Anschreiben-Entwurf, Anforderungsanalyse): Sitz Irland; eine Übermittlung an den Mutterkonzern OpenAI, L.L.C. (USA) ist möglich. Ein Auftragsverarbeitungsvertrag besteht. Wir sichern nicht zu, dass Eingaben nicht gespeichert werden; die Aufbewahrung richtet sich nach den Bedingungen des Anbieters.
OpenRouter, Inc. (USA) mit Anthropic-Modellen (KI-Coach BERA): Anfragen gehen an OpenRouter und von dort an Anthropic. Der Vertragsstatus (Auftragsverarbeitung) wird derzeit geklärt. Bis zur Klärung bitten wir Sie, keine sensiblen Angaben in den Chat einzugeben.

Innerhalb der EU und des EWR

Hetzner Online GmbH (Hosting, Datenbank, Workflow-Server, Umami): Nürnberg, Deutschland
Brevo SAS (E-Mail-Versand, Transaktions-E-Mails): Paris, Frankreich

Garantien für Drittlandstransfer

Für Übermittlungen in die USA stützen wir uns, soweit der Anbieter dies bietet, auf Standardvertragsklauseln (SCC, EU-Beschluss 2021/914) oder das EU-US Data Privacy Framework. Die Nachweise je Anbieter werden geprüft und dokumentiert. Wir sichern nicht zu, dass Ihre Daten ausschließlich in der EU verarbeitet werden.

9a. Information über neue Auftragsverarbeiter (Art. 28 Abs. 2 DSGVO)

Sofern NextBeruf künftig personenbezogene Daten im Auftrag eines Partners verarbeitet (z. B. im Rahmen einer AVGS-Lizenzierung, einer Koop-Vereinbarung mit BA/Jobcenter/Bildungsträger oder einer Fördermittelgeber-Auftragsverarbeitung), informieren wir den jeweiligen Partner mindestens 10 Tage im Voraus in Textform (E-Mail genügt) über die Beauftragung neuer Unter-Auftragsverarbeiter, insbesondere bei:

Der Partner kann innerhalb dieser Frist in Textform an [email protected] widersprechen, wenn berechtigte Datenschutzbedenken bestehen. Wir bemühen uns nach Treu und Glauben um eine einvernehmliche Lösung. Kommt diese nicht zustande, kann der Partner die betroffene Kooperation kündigen.

Diese Regelung gilt zusätzlich zu den Informationspflichten aus Art. 13/14 DSGVO gegenüber den betroffenen Nutzer:innen und ergänzt etwaige Subprozessor-Listen in den jeweiligen Auftragsverarbeitungs-Verträgen.

Wechsel oder Ergänzung von KI-Modell-Anbietern (z. B. neuer LLM-Provider für Anschreiben-Tool, Match-Score oder Chat-Coach „BERA“)
Wechsel oder Ergänzung von Hosting- oder Speicher-Anbietern
Wechsel oder Ergänzung von E-Mail-, Analytics- oder Monitoring-Dienstleistern, soweit diese personenbezogene Daten verarbeiten
Verlagerung der Verarbeitung in ein anderes Land

10. KI-Verarbeitung (EU AI Act, Art. 50 Transparenz)

NextBeruf nutzt Large Language Models (LLMs) für Anschreiben-Vorschläge, die Anforderungsanalyse innerhalb von Match-Score und den Chat-Coach „BERA“. Wir kennzeichnen KI-gestützte Funktionen als solche und weisen auf die Verarbeitung durch externe KI-Anbieter hin (Art. 50 EU AI Act).

Eine automatisierte Entscheidung im Einzelfall im Sinne des Art. 22 DSGVO findet nicht statt. Alle KI-Ausgaben sind Vorschläge, die durch den Nutzer redaktionell überarbeitet werden müssen. Job-Matches sind ranking-basierte Empfehlungen, keine bindenden Bewertungen.

Vor der produktiven Aktivierung von Match-Funktionen ist ein Anti-Diskriminierungs-Audit nach den Standards des Allgemeinen Gleichbehandlungsgesetzes (AGG) geplant. Es wurde noch nicht durchgeführt. Vorgesehen ist die Prüfung der Output-Verteilung über geschützte Merkmale und des Sprach-Bias zwischen deutschsprachigen und nicht-deutschsprachigen Lebensläufen.

Weiterführende Informationen: https://nextberuf.de/ki-transparenz

11. Aufbewahrungsfristen

Datenkategorie	Aufbewahrung	Rechtsgrundlage
Server-Logs (IP, URL, Zeitstempel)	14 Tage	Art. 6 Abs. 1 lit. f DSGVO
Kontakt-Anfragen per E-Mail	Bis zur abschließenden Bearbeitung + 6 Monate	Art. 6 Abs. 1 lit. b DSGVO
Geschäftsrelevante E-Mails	10 Jahre	§ 257 HGB / § 147 AO
Transaktions-E-Mails (Registrierung, Passwort-Reset)	Bis Konto-Löschung	Art. 6 Abs. 1 lit. b DSGVO
Nutzer-Konten (registrierte Nutzer)	Bis Löschungsantrag + 30 Tage Backup-Vorhaltung	Art. 6 Abs. 1 lit. b DSGVO
Eingaben an KI-Funktionen	Nicht durch uns festgelegt: Die Aufbewahrung beim KI-Anbieter richtet sich nach dessen Bedingungen; eine sofortige Löschung sichern wir nicht zu	Art. 6 Abs. 1 lit. b DSGVO
Fehlerberichte (Sentry)	Frist wird vor Pilot-Start festgelegt	Art. 6 Abs. 1 lit. f DSGVO
Umami-Analyse-Daten	12 Monate, aggregiert	Art. 6 Abs. 1 lit. f DSGVO

12. Ihre Rechte als betroffene Person

Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

Art. 15 DSGVO: Auskunftsrecht

Sie haben das Recht, Auskunft darüber zu verlangen, ob wir personenbezogene Daten von Ihnen verarbeiten, und auf Zugang zu diesen Daten.

Art. 16 DSGVO: Recht auf Berichtigung

Sie haben das Recht, die Berichtigung unrichtiger Sie betreffender Daten zu verlangen.

Art. 17 DSGVO: Recht auf Löschung („Recht auf Vergessenwerden“)

Sie haben das Recht, die Löschung Ihrer Daten zu verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Art. 18 DSGVO: Recht auf Einschränkung der Verarbeitung

Sie haben das Recht, die Einschränkung der Verarbeitung zu verlangen, sofern die Voraussetzungen des Art. 18 Abs. 1 DSGVO vorliegen.

Art. 20 DSGVO: Recht auf Datenübertragbarkeit

Sie haben das Recht, Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.

Art. 21 DSGVO: Widerspruchsrecht

Sie haben das Recht, der Verarbeitung Ihrer Daten zu widersprechen, wenn diese auf Art. 6 Abs. 1 lit. e oder f DSGVO basiert.

Art. 7 Abs. 3 DSGVO: Widerruf der Einwilligung

Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Art. 77 DSGVO: Beschwerde bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer Daten zu beschweren (Kontakt siehe Abschnitt 13).

Zur Ausübung wenden Sie sich formlos an [email protected] mit dem Betreff „Datenschutz“. Wir antworten unverzüglich, spätestens innerhalb eines Monats nach Eingang Ihres Antrags (Art. 12 Abs. 3 DSGVO).

13. Zuständige Aufsichtsbehörde

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)

Promenade 18, 91522 Ansbach

Telefon: +49 (0) 981 180093-0 · E-Mail: [email protected] · Web: https://www.lda.bayern.de

14. IT-Sicherheit und technische Schutzmaßnahmen

TLS-Verschlüsselung (HTTPS) für alle Verbindungen, inkl. HSTS-Header
Hosting in Deutschland (Hetzner Nürnberg); Sicherungskopien der Daten, ein zusätzliches Backup-Konzept außerhalb des Servers ist geplant
fail2ban gegen Brute-Force-Angriffe auf SSH und Login-Endpoints
Rate-Limiting für API-Endpoints (Schutz vor Missbrauch der KI-Funktionen)
Honeypot in allen Formularen gegen automatisierte Spam-Submissions
Trennung von Demo- und Produktivumgebung (Pilot 2026 erhält eigene Infrastruktur)
Kontaktdaten wie E-Mail-Adressen, Telefonnummern und Kontonummern werden im BERA-Chat vor der Weitergabe an den KI-Dienst maskiert (Lebenslauf-Editor, Anschreiben-Generator und Anzeigen-Analyse ausgenommen, dort sind Ihre Angaben für das Dokument nötig)
Mindest-Passwort-Anforderungen ab Pilot: 12 Zeichen; Passwörter werden nur als Hash gespeichert

15. Datenschutz-Folgenabschätzung (DSFA, Art. 35 DSGVO)

Diese DSFA ist eine Selbst-Bewertung im Pre-Pilot-Stadium von NextBeruf. Sie folgt der Methodik nach Art. 35 DSGVO und den Standards der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Standard-Datenschutzmodell, V3.0). Eine externe Validierung durch eine:n zertifizierte:n Datenschutzbeauftragte:n erfolgt vor dem Pilot-Start mit echten Menschen mit internationaler Biografie-Daten (geplant Q4/2026).

Identifizierte Risiken (Pilot 2026)

Re-Identifikation über Kombination Beruf + Herkunftsland + Sprache
Diskriminierung durch verzerrte LLM-Ausgaben (Bias)
Verfolgungsrisiko im Herkunftsland bei Daten-Leak für vulnerable Gruppen
Unbeabsichtigte Speicherung besonderer Kategorien (Art. 9 DSGVO) in Freitext-Feldern

Eintretens-Wahrscheinlichkeit

Niedrig im Demo-Modus (reine Browser-Speicherung), erhöht ab Pilot mit Server-Speicherung. Das Restrisiko wird nach Umsetzung der geplanten Maßnahmen neu bewertet.

Auswirkung

Hoch: Die Zielgruppe (Menschen mit internationaler Biografie, teils mit Fluchthintergrund) gehört zu den vulnerablen Personengruppen im Sinne der DSGVO-Risikobetrachtung.

Maßnahmen zur Risikominimierung

Datensparsamkeit als Grundprinzip: Wir erheben nur, was für die jeweilige Funktion zwingend erforderlich ist.
Maskierung von Kontaktdaten wie E-Mail-Adressen, Telefonnummern und Kontonummern im BERA-Chat vor der Weitergabe an den KI-Dienst (siehe Abschnitt 14).
Vertragliche Klärung mit den KI-Anbietern (Auftragsverarbeitung; mit OpenRouter offen).
Verzicht auf automatisierte Einzelfallentscheidungen (Art. 22 DSGVO).
Anti-Diskriminierungs-Audit vor Aktivierung von Match-Funktionen (geplant).
Externe Datenschutz-Validierung vor Pilot-Start.
Klare und mehrsprachige Aufklärung der Nutzer:innen.

Status: initiale Selbst-Bewertung. Eine externe Validierung ist vor dem Pilot-Start (geplant Q4/2026) vorgesehen.

Diese Datenschutzerklärung ersetzt alle vorherigen Versionen. Wir behalten uns vor, die Erklärung anzupassen, wenn sich Rechtsvorschriften oder die tatsächliche Verarbeitung wesentlich ändern. Die jeweils aktuelle Fassung ist unter https://nextberuf.de/datenschutz abrufbar.

Stand: August 2026