Information nach Art. 13/14 DSGVO

Datenschutzerklärung

Die AVIrem GmbH ist Auftragsverarbeiter im Sinne des Art. 28 DSGVO für die geschulten Beschäftigten. Verantwortlicher bleibt der Mandant (Arbeitgeber).

Verantwortlicher

AVIrem GmbH · Richard-Wagner-Str. 3 · 76684 Östringen · info@avirem.de

Hosting

Der Dienst wird in den deutschen Rechenzentren der Hetzner Online GmbH (Falkenstein, Nürnberg) betrieben. Die Datenbank, Storage-Buckets und Anwendungs-Server stehen ausschließlich in der Bundesrepublik Deutschland.

KI-gestützte Inhaltsgenerierung

Wozu die KI dient — und wozu nichtDas Sprachmodell wird ausschließlich dazu eingesetzt, auf Basis der Angaben der/des Schulungsverantwortlichen der Organisation den individuellen, firmenspezifischen Teil der Schulung zu erstellen. Dabei geht es um allgemeine betriebliche Abläufe und Vorgaben — etwa „Microsoft Copilot wird eingesetzt", „ChatGPT ist untersagt" oder die internen Regeln zum Umgang mit KI. Es werden dabei keinerlei personenbezogene Daten von Beschäftigten an die KI übermittelt. Die KI ist nicht Bestandteil der Prüfung oder Zertifizierung einzelner Nutzerinnen und Nutzer — diese erfolgt ausschließlich auf unseren deutschen Servern.

Für die Generierung dieses firmenspezifischen Schulungsbausteins („Layer 2") setzen wir das Sprachmodell Claude der Anthropic Ireland Ltd. (Konzernmutter Anthropic PBC, USA) ein. Eine vollständig EU-residente Inferenz wird von Anthropic derzeit nicht garantiert; wir behandeln den Aufruf daher konservativ als Drittland-Transfer in die USA. Grundlage sind das Anthropic Data Processing Addendum (DPA) inklusive der Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914 (Modul 3) sowie der EU-US Data Privacy Framework. Eine Übermittlungs-Folgenabschätzung (TIA) gem. EDPB-Empfehlung 01/2020 liegt vor und wird auf Anfrage offengelegt; sie ist intern unter recht/TIA-Anthropic-EU.mddokumentiert.

An Anthropic werden ausschließlich strukturierte, sachliche Eingaben übermittelt (Schulungs-Thema, Branche, Sprachniveau, Dauer). Klarnamen, E-Mail-Adressen, Personalnummern oder sonstige direkten Identifikatoren von Beschäftigten werden vor jeder Anfrage durch eine Filter-Komponente entfernt. Die Eingaben werden vertraglich nicht zum Modelltraining verwendet.

Als EU-Fallback ist Mistral AI SAS (Paris) konfiguriert; der Wechsel kann durch den Datenschutzbeauftragten kurzfristig ausgelöst werden.

Subdienstleister

Die jeweils aktuelle Liste aller eingesetzten und geplanten weiteren Auftragsverarbeiter (Art. 28 Abs. 4 DSGVO) wird zentral in der Plattform-Master-Tabelle public.platform_subprocessors geführt (Single Source of Truth, gespiegelt aus recht/Subdienstleister-Register.md) und im Mandanten-Cockpit über die Lese-Sicht public.tenant_subprocessors_view mit der mandanten-spezifischen Zustimmung verbunden. Stand 2026-04-29:

Hetzner Online GmbH (DE) — Hosting der Anwendung, Datenbank und Storage. Kein Drittland-Transfer.
Anthropic Ireland Ltd. (IE, mit Konzernmutter in den USA) — geplante KI-Inferenz „Layer 2". SCC Modul 3 + TIA hinterlegt; siehe oben.
Mistral AI SAS (FR) — geplanter EU-KI-Fallback. Kein Drittland-Transfer.
Sendinblue SA / Brevo (FR) — geplant für transaktionalen E-Mail-Versand (Einladungen, Systembenachrichtigungen). Kein Marketing.
OVH SAS / OVHcloud (FR, mit RZ in Frankfurt) — geplant für verschlüsseltes Off-Site-Backup. Kein Drittland-Transfer.
D-Trust GmbH / Bundesdruckerei (DE) — geplant als eIDAS-Trust-Service-Provider für qualifizierte Zeitstempel auf Schulungsnachweisen.
Cloudflare Germany GmbH (DE-Tochter, Konzernmutter USA) — geplant für WAF/DNS/DDoS-Schutz; vor Live-Einsatz ist eine eigene TIA Pflicht. Aktuell nicht freigegeben (in der Datenbank als live_status='blocked' markiert).

Mandanten werden über jede Änderung der Subdienstleister-Liste mit einer Vorlauffrist von mindestens 14 Tagen über das Admin-Cockpit informiert (§ 4 unseres AVV). Technisch erfolgt dies über den Status pending_review in tenant_subprocessors mit Zeitstempel notified_at; ein Widerspruch wird als objected samt Begründung erfasst.

Cookies und lokale Speicherung

Zajonic KI-Schulung setzt ausschließlich technisch notwendige Cookies ein. Es werden keine Tracking-, Analyse- oder Marketing-Cookies verwendet (TDDDG § 25 Abs. 2 Nr. 2).

Name	Zweck	Typ	Kategorie	Rechtsgrundlage
`sb-pflichtfeld-auth-token`	Supabase-Authentifizierung, Sitzungs-Token	Cookie (HttpOnly, Secure)	Technisch notwendig	TDDDG § 25 Abs. 2 Nr. 2

Es werden keine Cookies für Werbung, Reichweitenmessung oder sonstige nicht notwendige Zwecke gesetzt. Eine Einwilligung nach TDDDG § 25 Abs. 1 ist daher für den Betrieb des Dienstes nicht erforderlich.

Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie es für den jeweiligen Zweck erforderlich ist. Schulungs- und Nachweisdaten (Zertifikate, Testergebnisse, Lernfortschritt) werden für die Dauer des Mandantenverhältnisses sowie zur Erfüllung des Kompetenznachweises nach Art. 4 EU-KI-VO aufbewahrt. Rechnungs- und Buchungsbelege werden gemäß den handels- und steuerrechtlichen Aufbewahrungsfristen (§ 147 AO, § 257 HGB) bis zu 10 Jahre aufbewahrt. Nach Wegfall des Zwecks werden die Daten gelöscht oder anonymisiert.

Ihre Rechte

Sie haben jederzeit das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21 DSGVO). Wenden Sie sich dazu an die oben genannte verantwortliche Stelle. Unabhängig davon haben Sie das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO); für die AVIrem GmbH ist dies der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW).