Datenschutzerklärung

Stand: 17.09.2026 · Entwurfsfassung, in juristischer Abstimmung.

1. Verantwortlicher

Verantwortlich für die in diesen Hinweisen beschriebene Verarbeitung personenbezogener Daten ist die ZWW Deutschland GmbH, Roonstraße 23a, 76137 Karlsruhe, eingetragen beim Amtsgericht Mannheim unter HRB 759581, vertreten durch die Geschäftsführer Lucas Bretz, Florian Marthaler und Niklas Meißner, E-Mail: hilfe@mail.zww-deutschland.de.

Ein Datenschutzbeauftragter ist nicht benannt, weil die gesetzlichen Voraussetzungen für eine Benennungspflicht nicht vorliegen. Anfragen zum Datenschutz richten Sie bitte an die vorstehenden Kontaktdaten.

2. Geltungsbereich und Rollenverteilung

Diese Hinweise gelten für die Nutzung des BAFA Berater OS (nachfolgend „Plattform“), einer Anwendung zur Unterstützung von BAFA-Beratern bei Listung, Projektabwicklung und Berichtserstellung, einschließlich KI-gestützter Funktionen. Sie richten sich an die registrierten Berater und internen Nutzer sowie an Personen, deren Daten im Rahmen von Beratungsprojekten verarbeitet werden.

Die Plattform verarbeitet personenbezogene Daten in zwei unterschiedlichen datenschutzrechtlichen Rollen:

• Als Auftragsverarbeiter des Beraters (Art. 28 DSGVO): Für die Verarbeitung der Mandanten- und Projektdaten der beratenen Unternehmen (Ziffer 4) handeln wir im Auftrag und nach Weisung des jeweiligen Beraters auf Grundlage der im Beraterprofil abgeschlossenen Vereinbarung zur Auftragsverarbeitung (Auftragsverarbeitungsvertrag). Datenschutzrechtlich verantwortlich ist insoweit der Berater.
• In eigener Verantwortung (Art. 4 Nr. 7 DSGVO): Für die Verarbeitung der Konto-, Abrechnungs-, Nachweis-/Audit- und technischen Protokolldaten (insbesondere Ziffern 3, 5, 6 und 7) sind wir selbst Verantwortlicher.

3. Konto- und Profildaten

Bei der Registrierung und Nutzung des Nutzerkontos verarbeiten wir die von Ihnen angegebenen Stamm- und Identitätsdaten: Name, E-Mail-Adresse, Telefonnummer, Rolle sowie (bei Anmeldung mit Passwort) einen kryptografischen Passwort-Hash (bcrypt). Im Beraterprofil verarbeiten wir zusätzlich Firma, Anrede, Anschrift, Telefon, die BAFA-Beraternummer sowie Profileinstellungen (z. B. individuelle Methoden, Corporate Identity) und die von Ihnen abgegebenen Bestätigungen und Erklärungen einschließlich Zeitstempel und Vertragsversion.

Bei Anmeldung über Google verarbeiten wir zusätzlich die von Google übermittelten Login-Informationen (E-Mail-Adresse, Google-Konto-ID, angezeigter Name) sowie die zugehörigen Authentifizierungs-Token ausschließlich zum Zweck der Anmeldung (siehe Ziffer 8). Login- und Einladungs-Token (Magic-Link, Einladung) sowie Sitzungsdaten (Session) verarbeiten wir kurzzeitig zur Authentifizierung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsverhältnisses). Die Protokollierung Ihrer Bestätigungen beruht daneben auf Art. 6 Abs. 1 lit. c und f DSGVO (Nachweis- und Rechenschaftspflichten).

4. Projekt- und Kundendaten sowie KI-gestützte Verarbeitung

Zur Abwicklung der Beratungs- und Listungsprozesse verarbeiten wir die von Ihnen eingegebenen oder hochgeladenen projektbezogenen Inhalte, insbesondere Angaben zu potenziellen und beratenen Unternehmen und deren Ansprechpartnern, BAFA-Projekt- und Listungsdaten, Bescheiddaten, Beratungstermine, Onboarding-Angaben, Berichtsentwürfe, Angebote, Unterschriften sowie hochgeladene Unterlagen (z. B. Lebenslauf, Gewerbeanmeldung, Bescheide). Die Dateien selbst werden auf dem Server in einem zugriffsbeschränkten Speicher (Docker-Volume) abgelegt, die zugehörigen Metadaten in der Datenbank. Diese Verarbeitung erfolgt im Auftrag und nach Weisung des jeweiligen Beraters (Ziffer 2).

KI-gestützte Funktionen: Die Plattform bietet KI-Funktionen zur Aufbereitung, Klassifikation, Prüfung und Vorbereitung von Inhalten (z. B. Chat-Assistent, Extraktion aus Bescheiden, Berichts- und Angebotsentwürfe). Diese Funktionen werden über die Anthropic PBC (USA) betrieben, und zwar über einen ZWW-eigenen Zugang innerhalb eines gesonderten Dienstes (zww-agent). Die KI erstellt ausschließlich Entwürfe und unterstützt die Aufbereitung; die fachliche Prüfung, Freigabe und Verantwortung verbleibt beim Nutzer.

Besonders schützenswerte Daten der sensibelsten Klasse (K3/K4) werden vor einem KI-API-Aufruf pseudonymisiert. Ihre Daten werden nicht zum Training allgemein verwendbarer KI-Modelle genutzt; dies ist auch mit unserem KI-Dienstleister vertraglich ausgeschlossen (Ziffer 8). Wir halten unsere Nutzer an, besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) vor der Übermittlung zu entfernen, zu anonymisieren oder zu pseudonymisieren.

5. Interner Nachweis- und Audit-Trail

Die Plattform protokolliert lückenlos jede datenverändernde Aktion in einem internen Audit-Trail. Dieser dokumentiert insbesondere, wer (handelndes Nutzerkonto), wann, welche Aktion an welcher Entität vorgenommen hat, den Zustand vor und nach der Änderung sowie technische Begleitdaten (IP-Adresse, Browser-/Geräteinformationen). Der Audit-Trail dient der Nachvollziehbarkeit, der Qualitätssicherung, der Missbrauchsprävention, der Erfüllung von Nachweis- und Dokumentationspflichten (u. a. im Zusammenhang mit BAFA-geförderten Beratungen) sowie der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Diese Verarbeitung nehmen wir in eigener Verantwortlichkeit vor. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Nachweisbarkeit ordnungsgemäßer Leistungserbringung, am Schutz vor missbräuchlicher Nutzung und an der Rechtsverteidigung) sowie Art. 6 Abs. 1 lit. c DSGVO, soweit gesetzliche Nachweispflichten bestehen. Der Audit-Trail ist zugriffsbeschränkt und auf das erforderliche Minimum begrenzt. Er bleibt zu Nachweiszwecken erhalten (siehe Speicherdauer, Ziffer 10).

6. Vertrags- und Abrechnungsdaten

Zur Abwicklung des Vertrags- und Nutzungsverhältnisses verarbeiten wir kaufmännische Daten wie Vertrags-, Konditions-, Raten-/Fälligkeits-, Zahlungs- und Rechnungsdaten, Guthaben-/Kredit-Transaktionen sowie Provisions- und Tippgeberdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) sowie Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den handels- und steuerrechtlichen Aufbewahrungspflichten (§ 257 HGB, § 147 AO). Die Zahlungsabwicklung für kostenpflichtige Leistungen erfolgt über einen Zahlungsdienstleister (siehe Ziffer 8).

7. Technische Nutzungs- und Protokolldaten

Beim Zugriff auf die Plattform verarbeiten wir technische Daten wie IP-Adresse, Zeitpunkt des Zugriffs, Browser- und Geräteinformationen sowie sicherheitsrelevante Ereignisse (z. B. fehlgeschlagene Anmeldeversuche). Zusätzlich verarbeiten wir Nutzungsdaten zu Lernfortschritten in der integrierten Akademie. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Bereitstellung, Stabilität und Sicherheit der Plattform. Server-Protokolle löschen wir nach [90 Tagen], soweit sie nicht zur Aufklärung eines konkreten Sicherheitsvorfalls länger erforderlich sind (Frist in Abstimmung).

8. Empfänger und Unterauftragnehmer

Zur Bereitstellung der Plattform setzen wir technische Dienstleister ein, die personenbezogene Daten in unserem Auftrag verarbeiten und mit denen jeweils Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen sind oder geschlossen werden:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland: Hosting, Speicherung und Datensicherung von Anwendung und Datenbank in Rechenzentren in Deutschland (EU). Kein Drittlandtransfer.
• Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland: Anmeldung/Authentifizierung (Google-Login), sofern Sie diese Anmeldeart wählen; verarbeitet ausschließlich E-Mail-Adresse, Google-Konto-ID und angezeigten Namen zur Authentifizierung. Der Google-Login ist freiwillig; gleichwertige Alternativen (Magic-Link, Passwort) stehen zur Verfügung. Teilweise Verarbeitung in den USA → abgesichert über EU-Standardvertragsklauseln und das Google-Data-Processing-Addendum (Ziffer 9).
• Resend (Plus Five Five, Inc.), San Francisco, Kalifornien (USA): Versand transaktionaler System- und Benachrichtigungs-E-Mails (z. B. Magic-Link, Hinweise); verarbeitet Empfänger-E-Mail und Mail-Inhalt. USA → EU-Standardvertragsklauseln (Ziffer 9).
• Anthropic PBC, San Francisco, Kalifornien (USA): Bereitstellung der KI-Funktionen (Ziffer 4); verarbeitet die KI-Eingaben, wobei Daten der Klassen K3/K4 vor der Übermittlung pseudonymisiert werden. USA → EU-Standardvertragsklauseln; die Nutzung der Daten zum Training von KI-Modellen ist vertraglich ausgeschlossen (Ziffer 9).
• Calendly LLC, Atlanta, Georgia (USA): Buchung von Onboarding-Terminen; verarbeitet Name, E-Mail-Adresse und den gewählten Termin. USA → EU-Standardvertragsklauseln (Ziffer 9).
• Stripe (Stripe Payments Europe, Ltd., Irland, sowie Stripe, Inc., USA): Zahlungsabwicklung für kostenpflichtige Leistungen (z. B. Bericht-Bestellung); verarbeitet Zahlungs- und Rechnungsdaten. Irland/USA → EU-Standardvertragsklauseln (Ziffer 9). Derzeit noch nicht aktiv (in Vorbereitung).
• Vimeo.com, Inc., 330 West 34th Street, New York, NY 10001 (USA): Hosting und Auslieferung der Lernvideos der Vertriebsakademie; verarbeitet dabei die IP-Adresse der Betrachterinnen und Betrachter. USA → EU-Standardvertragsklauseln und Vimeo Data Processing Addendum (Ziffer 9). Derzeit noch nicht aktiv (in Vorbereitung).

Eine Übermittlung an sonstige Dritte erfolgt nur, wenn wir gesetzlich dazu verpflichtet sind oder Sie eingewilligt haben. Die jeweils aktuelle Liste der Unterauftragnehmer stellen wir innerhalb der Plattform bzw. im Auftragsverarbeitungsvertrag (Anlage 2) bereit.

9. Übermittlung in Drittländer

Soweit Dienstleister außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums eingesetzt werden (Google, Resend, Anthropic, Calendly, Stripe, Vimeo; jeweils USA bzw. USA/Irland), erfolgt die Übermittlung auf Grundlage geeigneter Garantien nach Art. 46 DSGVO, insbesondere der von der Europäischen Kommission erlassenen Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914), die in den jeweiligen Auftragsverarbeitungsverträgen bzw. Data-Processing-Addenda der Anbieter einbezogen sind. Für die KI-Funktion der Anthropic PBC ist zusätzlich der Ausschluss der Nutzung der Daten zum Training von KI-Modellen vertraglich vereinbart. Die Verarbeitung durch die Hetzner Online GmbH findet ausschließlich in Deutschland (EU) statt; insoweit liegt kein Drittlandtransfer vor. Eine Kopie der maßgeblichen Garantien können Sie über die in Ziffer 1 genannten Kontaktdaten anfordern.

10. Speicherdauer im Überblick

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Es gelten die folgenden Fristen.

11. Ihre Rechte

Ihnen stehen gegenüber dem jeweils Verantwortlichen (Ziffer 2) die folgenden Rechte zu: das Recht auf Auskunft (Art. 15 DSGVO), auf Berichtigung (Art. 16 DSGVO), auf Löschung (Art. 17 DSGVO), auf Einschränkung der Verarbeitung (Art. 18 DSGVO) und auf Datenübertragbarkeit (Art. 20 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht: Soweit wir Ihre Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten (insbesondere Ziffern 5 und 7), haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einzulegen (Art. 21 Abs. 1 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Betrifft Ihr Anliegen Projektdaten, die wir im Auftrag eines Beraters verarbeiten (Ziffer 4), leiten wir Ihre Anfrage an den verantwortlichen Berater weiter und unterstützen ihn bei der Beantwortung.

12. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Die für uns zuständige Aufsichtsbehörde ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.

13. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung im Einzelfall einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt. Die KI-Funktionen der Plattform erstellen lediglich Entwürfe und unterstützen die Aufbereitung; sämtliche Entscheidungen über Inhalt und Verwendung trifft der Nutzer.

14. Bereitstellungspflicht und Änderungen dieser Hinweise

Die Bereitstellung der Stammdaten des Nutzerkontos ist für die Nutzung der Plattform erforderlich; ohne diese Angaben kann das Nutzungsverhältnis nicht durchgeführt werden. Im Übrigen besteht keine gesetzliche oder vertragliche Pflicht zur Bereitstellung personenbezogener Daten.

Wir passen diese Datenschutzhinweise an, wenn sich die Verarbeitung, die eingesetzten Dienstleister oder die Rechtslage ändern. Es gilt die jeweils in der Plattform veröffentlichte Fassung. Bei Fragen zum Datenschutz wenden Sie sich bitte an hilfe@mail.zww-deutschland.de.