Datenschutzerklärung

1. Datenschutz auf einen Blick

Diese Erklärung informiert darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website nutzen oder die Bewillo-Plattform als Bildungsträger einsetzen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.

Wir gehen mit besonders sensiblen Beschäftigtendaten (z. B. Sozialversicherungsnummer) um. Diese werden verschlüsselt gespeichert, ausschließlich zur Antragsbearbeitung verwendet und nicht an den KI-Dienst übermittelt. Welche Daten in die KI-gestützte Begründungstext-Erstellung einfließen, legen wir in Abschnitt 9 offen. Wo Dienste von US-Unternehmen zum Einsatz kommen, legen wir dies in Abschnitt 7 und 8 offen.

2. Verantwortliche Stelle und Doppelrolle

Thomas Fabig
Fabig Webdevelopment
Helenenstraße 11
51377 Leverkusen
E-Mail: thomas@bewillo.de

Doppelrolle: Für die Daten dieser Website und Ihres Nutzerkontos (z. B. E-Mail-Adresse, Name, Zugriffsdaten) ist Bewillo Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Für die im Auftrag der Bildungsträger verarbeiteten Antrags- und Teilnehmerdaten ist Bewillo Auftragsverarbeiter im Sinne des Art. 28 DSGVO; Verantwortlicher bleibt der jeweilige Bildungsträger. Für die Auftragsverarbeitung schließen wir mit unseren Auftraggebern einen Auftragsverarbeitungsvertrag (AVV).

Einen Datenschutzbeauftragten haben wir nicht bestellt, da hierzu keine gesetzliche Verpflichtung besteht. Bei Fragen zum Datenschutz erreichen Sie uns unter datenschutz@bewillo.de.

3. Ihre Rechte als betroffene Person

Sie haben nach der DSGVO insbesondere folgende Rechte:

• Auskunft über Ihre gespeicherten Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit in einem gängigen Format (Art. 20)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3)

Zudem steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu, insbesondere am Ort Ihres Aufenthalts, Arbeitsplatzes oder des mutmaßlichen Verstoßes. Betreffen Ihre Rechte Antragsdaten, die wir im Auftrag eines Bildungsträgers verarbeiten, leiten wir Ihr Anliegen an den verantwortlichen Träger weiter bzw. unterstützen diesen bei der Erfüllung.

4. Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 DSGVO: zur Vertragserfüllung (lit. b), aufgrund Ihrer Einwilligung (lit. a, z. B. Analyse-Cookies), zur Erfüllung rechtlicher Pflichten (lit. c, z. B. steuerliche Aufbewahrung) sowie aufgrund berechtigter Interessen (lit. f, z. B. zuverlässige und sichere Bereitstellung).

Soweit wir im Rahmen der Auftragsverarbeitung besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) — insbesondere Angaben zu einer Schwerbehinderung — verarbeiten, stützt sich dies auf Art. 9 Abs. 2 lit. b DSGVO (Erfüllung arbeits- und sozialrechtlicher Pflichten). Verantwortlich für diese Daten ist der jeweilige Bildungsträger; Bewillo handelt als Auftragsverarbeiter gemäß Art. 28 DSGVO auf Grundlage des abgeschlossenen Auftragsverarbeitungsvertrags (AVV).

5. Datenkategorien und Zwecke

• Zugriffsdaten (IP-Adresse, Browser-/Geräteinformationen, Zeitstempel) — sichere Bereitstellung der Website.
• Konto-/Stammdaten (Name, E-Mail-Adresse) — Registrierung und Authentifizierung.
• Antrags- und Teilnehmerdaten: Maßnahmendetails, Beschäftigtendaten einschließlich Sozialversicherungsnummer und Begründungstexte zur Automatisierung von Förderantragsprozessen für AZAV-Träger im Auftrag des Trägers.
• Termin-Kontaktdaten (Telefonnummer, Terminbuchungslink und abweichende Antwort-Adresse von Mitarbeitenden des Trägers) für die Vereinbarung eines Beratungstermins. Diese Angaben sind freiwillig und werden mit der Termin-E-Mail an das antragstellende Unternehmen übermittelt.
• Support: Zur Bearbeitung Ihrer Anfragen speichern wir Namen, E-Mail-Adresse, Nachrichten und Anhänge im Support-Chat. Ausgehende Benachrichtigungen und eingehende E-Mail-Antworten verarbeitet Resend; dabei können Nachrichteninhalt und Anhänge in den USA gespeichert werden. Rechtsgrundlage sind Art. 6 Abs. 1 lit. b DSGVO für Vertragsanfragen und lit. f für die Bearbeitung sonstiger Anliegen.
• Signaturdaten (Name, E-Mail-Adresse, IP-Adresse, Unterschrift) — digitale Unterzeichnung der Anträge.
• Nutzungsdaten: Ereignisse und pseudonyme Kennung, browserseitig nur mit Einwilligung zur Produktverbesserung; daneben serverseitige pseudonyme Betriebs- und Nutzungskennzahlen auf Ebene des Bildungsträgers auf Grundlage unseres berechtigten Interesses (Einzelheiten und Widerspruchsrecht in Ziffer 10).

6. Hosting und Infrastruktur

Die Anwendung wird bei Vercel betrieben; die Server-Funktionen sind auf die Region Frankfurt (fra1) festgelegt. Die Antrags- und Teilnehmerdaten werden in einer PostgreSQL-Datenbank in der Region Frankfurt (eu-central-1) gespeichert; generierte Antragsdokumente liegen im Objektspeicher in der Region Frankfurt (fra1). Eine vollständige Liste der eingesetzten Anbieter mit Land und Region finden Sie in Abschnitt 7.

7. Anbieter und Datenempfänger

Wir setzen die folgenden Dienste ein. Mehrere davon werden von Unternehmen mit Sitz in den USA betrieben — auch dort, wo die Verarbeitung auf Servern in der EU stattfindet. Die vollständigen Details (Zweck, Datenkategorien, Übermittlungsmechanismus, Anbieterhinweise) finden Sie auf der Seite Unterauftragsverarbeiter.

• Vercel — Vercel Inc. (USA) · fra1 / eu-central-1 (Frankfurt) — Server-Funktionen
• Vercel Blob — Vercel Inc. (USA) · fra1 (Frankfurt)
• Vercel Analytics & Speed Insights — Vercel Inc. (USA) · fra1 (Frankfurt)
• Cloudflare — Cloudflare, Inc. (USA) · Globales Edge-Netzwerk; TLS-Terminierung ohne Data Localization Suite an der nächstgelegenen Edge-Location (in der Praxis Frankfurt, jedoch ohne vertraglich zugesicherte EU-Bindung)
• Neon — Neon, LLC (Databricks-Konzern) (USA) · AWS eu-central-1 (Frankfurt)
• Hetzner — Hetzner Online GmbH (Deutschland) · Server: Nürnberg (nbg1). Object Storage: Nürnberg (nbg1), DR-Replikat Falkenstein (fsn1)
• Clerk — Clerk, Inc. (USA) · USA (keine EU-Datenresidenz)
• AWS Bedrock — Amazon Web Services, Inc. (USA) · eu-central-1 (Frankfurt)
• Anthropic (über AWS Bedrock) — Zugriff ausschließlich über Amazon Bedrock — kein Direktvertrag (USA) · eu-central-1 (Frankfurt)
• Resend — Plus Five Five, Inc. (Resend) (USA) · Versand-Region EU (Irland); Speicherung in den USA
• Upstash — Upstash, Inc. (USA) · AWS eu-central-1 (Frankfurt)
• PostHog — PostHog Inc. (USA) · PostHog Cloud EU — AWS eu-central-1 (Frankfurt)
• Sentry — Functional Software, Inc. (USA) · EU (Frankfurt) — de.sentry.io
• HubSpot — HubSpot, Inc. (USA) · EU-Rechenzentrum Frankfurt (abhängig von der Portal-Konfiguration) · nur auf Kundenwunsch
• Linear — Linear Orbit, Inc. (USA) · USA (keine wählbare EU-Residenz) · derzeit deaktiviert
• Stripe — Stripe Payments Europe, Ltd. (Irland) / Stripe, LLC (USA, DPF-zertifizierte Einheit) (Irland / USA) · Keine wählbare EU-Residenz; Übermittlung in die USA · eigenständiger Verantwortlicher

DocuSeal (Signaturseite) und Inngest (Hintergrundverarbeitung) betreiben wir selbst auf eigener Serverinfrastruktur bei Hetzner in Nürnberg. Die DocuSeal-Einbettung lädt zusätzlich Skripte, CSS und Schriftdateien von cdn.docuseal.com. Bei diesen Abrufen erhält der externe CDN-Betreiber IP-Adresse, Browserinformationen und gegebenenfalls die Herkunftsseite. Einzelheiten zu diesen und weiteren technischen Diensten enthält die Liste der Unterauftragsverarbeiter.

8. Datenübermittlung und US-Recht

Mehrere der genannten Dienste werden von Unternehmen mit Sitz in den USA betrieben. Wir nutzen soweit verfügbar EU-Regionen; unter anderem Clerk, Resend und Stripe verarbeiten Daten auch in den USA. Bei PostHog liegen Ereignisse und Aufzeichnungen in der EU, während Kontoverwaltung und Support auch außerhalb der EU erfolgen können. Die derzeit deaktivierte Linear-Anbindung würde Daten in die USA übermitteln. Wir weisen darauf hin: Nach US-amerikanischem Recht (insbesondere CLOUD Act und FISA 702) kann ein behördlicher Zugriff auf Daten, die der Kontrolle eines US-Unternehmens unterliegen, grundsätzlich nicht vollständig ausgeschlossen werden — unabhängig vom physischen Speicherort der Daten. Eine absolute Immunität gegenüber solchen Zugriffen versprechen wir daher ausdrücklich nicht.

Zum Schutz Ihrer Daten setzen wir folgende Maßnahmen ein: weitestgehende Verarbeitung in EU-Regionen (Frankfurt), EU-Standardvertragsklauseln (SCCs) bzw. Zertifizierung nach dem EU-US Data Privacy Framework (soweit vorhanden), Verschlüsselung bei Übertragung und Speicherung, mandantenfähige Datenisolierung sowie die Datenminimierung der an den KI-Dienst übermittelten Angaben (siehe Abschnitt 9). Diese Maßnahmen machen die Verarbeitung verteidigungsfähig; sie ersetzen keine rechtsverbindliche Garantie.

9. KI-gestützte Texte und technische Zusatzdienste

Zur Erstellung von Bedarfsbegründungen betreiben wir ein eigenes KI-Gateway auf eigener Serverinfrastruktur bei Hetzner in Nürnberg. Das Gateway leitet Anfragen an Amazon Bedrock in der Region eu-central-1 (Frankfurt) weiter; das dort aufgerufene Modell stammt aus der Claude-Familie von Anthropic und wird ausschließlich innerhalb von Amazon Bedrock betrieben.

Für Begründungstexte und den regionalen Erhebungsbogen Aschaffenburg verwenden wir datenminimierte KI-Anfragen. Dazu gehören der Vorname oder eine aus dem Geschlecht abgeleitete Anrede, die Rolle, der letzte Bildungsabschluss und Tätigkeiten sowie Branchen-, Firmenherausforderungs-, Kurs- und Modulkontext. Beim Erhebungsbogen dient dies der Formulierung der berufsbezogenen Angaben für die Agentur für Arbeit Aschaffenburg. Nachname und Unternehmensname werden vor der Übermittlung pseudonymisiert: Sie werden durch reversible Platzhalter (z. B. [TN-1], [FIRMA]) ersetzt und erst in der fertigen Begründung serverseitig wieder eingesetzt. Die Zuordnung existiert ausschließlich im Anforderungskontext und wird weder protokolliert noch gespeichert. Kann die Pseudonymisierung nicht vollständig durchgeführt werden, wird keine Anfrage an den KI-Dienst versendet. Die Prompts bleiben personenbezogene Daten und werden entsprechend geschützt. Die dafür vorgesehenen Datenfelder für Sozialversicherungsnummer, Anschrift, Geburtsdatum, E-Mail-Adresse und Bankdaten werden nicht in den Prompt übernommen.

Amazon Bedrock speichert übermittelte Ein- und Ausgaben nicht dauerhaft, nutzt sie nicht zum Training von Modellen und gibt sie nicht an Modellanbieter weiter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Redaktionelle News-Bilder erzeugen wir über die OpenAI-API in den USA. Dafür sind sachliche Bildbeschreibungen ohne personenbezogene Angaben vorgesehen. Manuelle Prompts werden vor dem Versand geprüft. Für Ortsvorschläge senden wir ausschließlich die eingegebene Postleitzahl vom Server an die OpenPLZ API, ohne Nutzerkennung, Straße oder Nutzer-IP. Diese Abfrage dient der Unterstützung Ihrer Adresseingabe.

10. Cookies und Analyse

Technisch notwendige Cookies setzen wir auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Für die browserseitige Produktanalyse nutzen wir PostHog (PostHog Cloud EU, Frankfurt) sowie Vercel Analytics und Vercel Speed Insights (Vercel Inc., USA, Region fra1) und Sentry für die Performance-Diagnose (Functional Software Inc., USA, Fehler- und Diagnosedaten in Frankfurt), ausschließlich nach Ihrer Einwilligung über unseren Cookie-Hinweis (Art. 6 Abs. 1 lit. a DSGVO). Bei PostHog ist die Erfassung Ihrer IP-Adresse deaktiviert; Vercel Analytics und Speed Insights speichern keine IP-Adressen. Ihre Einwilligung können Sie jederzeit über die Cookie-Einstellungen widerrufen.

Sentry erfasst mit dieser Einwilligung technische Ablauf- und Zeitdaten im Browser, um langsame Aufrufe zu erkennen. Die davon unabhängige technische Fehlerüberwachung dient der sicheren Bereitstellung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

Wenn Sie Bewillo über den Empfehlungslink eines Partners aufrufen, speichern wir nach Ihrer Einwilligung den darin enthaltenen Partnercode im Cookie „bewillo_ref“. Der Cookie bleibt höchstens 90 Tage gespeichert und ermöglicht es, eine spätere Registrierung diesem Partner zuzuordnen. Nach der Zuordnung wird der Cookie gelöscht. Die Verknüpfung zwischen dem Bildungsträgerkonto und dem Partner bleibt für die Dauer des Kontos gespeichert. Für die Provisionsabrechnung verarbeiten wir außerdem die Partner- und Kontokennung sowie Rechnungskennung, Zahlungszeitpunkt, Nettobetrag und Provisionsbetrag. Diese Daten werden mit der Löschung des Bildungsträgerkontos gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Rechtsgrundlagen für den Cookie sind Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Ohne Ihre Einwilligung wird der Cookie nicht gesetzt. Die anschließende Zuordnung und Provisionsabrechnung beruht auf unserem berechtigten Interesse und dem berechtigten Interesse des Partners an einer nachvollziehbaren Abrechnung nach Art. 6 Abs. 1 lit. f DSGVO. Sie können Ihre Einwilligung jederzeit über die Cookie-Einstellungen widerrufen und der Verarbeitung auf Grundlage berechtigter Interessen nach Art. 21 DSGVO widersprechen. Der Widerruf löscht den Cookie und verhindert eine Zuordnung, solange keine Einwilligung besteht. Er entfernt aber keine bereits erfolgte Kontozuordnung.

Im eingeloggten Bereich erfassen wir mit Ihrer Einwilligung pseudonymisierte Sitzungsaufzeichnungen über PostHog, um die Bedienbarkeit unserer Anwendung zu verbessern. Die Aufzeichnungen sind Ihrer Nutzerkennung zugeordnet und damit nicht anonym. Sämtliche Eingabefelder, Textinhalte sowie die zusätzlichen Beschreibungstexte an Feldern, Schaltflächen und Bildern (Platzhalter- und Hinweistexte, Bildbeschreibungen, Vorlesetexte für Screenreader und hinterlegte Kontaktadressen) werden bereits in Ihrem Browser maskiert, bevor Daten übertragen werden; Netzwerkinhalte werden nicht erfasst. Zur Unterscheidung der Aufzeichnungen und Nutzungsereignisse speichern wir zusätzlich ein lesbares Personen-Anzeigelabel, das ausschließlich aus dem Kürzel Ihres Bildungsträgers und einem gekürzten Teil Ihrer Nutzerkennung gebildet wird und in unseren internen Auswertungen sichtbar ist; Ihr Name, Ihre E-Mail-Adresse und Ihre Rolle in der Organisation werden dabei weiterhin nicht übertragen. Öffentliche Seiten, insbesondere die Teilnehmer-Signatur-, Upload- und Download-Seiten (/sign, /upload, /download) sowie alle Marketingseiten, werden grundsätzlich nicht aufgezeichnet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO; Ihre Einwilligung können Sie jederzeit über die Cookie-Einstellungen widerrufen.

Zur technischen Bereitstellung einzelner Funktionen fragen wir bei PostHog deren Freischaltung ab. Dabei werden pseudonyme Nutzer- und Trägerkennungen übertragen, ohne ein Analyseereignis zu erzeugen. Diese Funktionsabfragen bleiben auch bei einem Widerspruch gegen die optionale Nutzungsanalyse aktiv; sie dienen unserem berechtigten Interesse an einer kontrollierten Bereitstellung nach Art. 6 Abs. 1 lit. f DSGVO.

Unabhängig von der vorstehenden Einwilligung verarbeiten wir serverseitig pseudonyme Betriebs- und Nutzungskennzahlen (z. B. Kosten-, Umsatz-, Versand- und KI-Generierungs-Metriken sowie die Zählung von Anmeldungen auf Ebene des Bildungsträgers, ohne Nutzerkennung) über PostHog (PostHog Cloud EU, Frankfurt). Diese serverseitige Telemetrie wird durch Vorgänge in der Plattform ausgelöst, teils technisch (etwa Zahlungs- und Signatur-Webhooks), teils durch Ihre Nutzung der Anwendung (etwa eine Anmeldung). Sie lässt sich nicht über den Cookie-Hinweis steuern und enthält pseudonyme Kennungen, jedoch keine Klarnamen, E-Mail-Adressen, Sozialversicherungsnummern oder IP-Adressen von Teilnehmern. Bei Ergebnisereignissen werden weder Antragskennung noch Bewilligungsstatus oder Ablehnungsgrund übertragen. Rechtsgrundlage ist unser berechtigtes Interesse an einem zuverlässigen und wirtschaftlichen Betrieb der Plattform (Art. 6 Abs. 1 lit. f DSGVO). Sie können dieser Verarbeitung nach Art. 21 DSGVO unter Einstellungen > Datenschutz widersprechen. Ein gespeicherter Widerspruch stoppt diese Telemetrie für Ihren gesamten Bildungsträger. Für diese eigene Nutzungsanalyse handelt Bewillo als Verantwortlicher, getrennt von der weisungsgebundenen Antragsbearbeitung.

Ebenfalls einwilligungsunabhängig zählen wir, wie oft unsere Startseite, die Anmeldeseite und die anschließend folgende Kontoauswahl aufgerufen werden. Gezählt wird ausschließlich der Aufruf als solcher: Es werden dabei weder Ihre IP-Adresse noch Browserkennung, Referrer, Aufrufparameter, Cookies oder eine Besucher- oder Sitzungskennung erhoben oder übertragen. Alle Aufrufe fließen in einen einzigen Summenwert; eine Wiedererkennung einzelner Personen oder Geräte ist damit ausgeschlossen, ein Zugriff auf Ihr Endgerät findet nicht statt. Rechtsgrundlage ist ebenfalls unser berechtigtes Interesse an einem wirtschaftlichen Betrieb der Plattform (Art. 6 Abs. 1 lit. f DSGVO).

11. Digitale Signaturen

Für digitale Signaturen nutzen wir eine selbst gehostete DocuSeal-Instanz auf eigener Serverinfrastruktur bei Hetzner in Nürnberg; die Signaturdaten liegen in einer Datenbank bei Neon (EU-Region Frankfurt), die signierten Dokumente in Hetzner Object Storage (Nürnberg, zur Ausfallsicherheit repliziert nach Falkenstein, ebenfalls Deutschland). Teilnehmer erhalten per E-Mail einen persönlichen Magic-Link. Verarbeitet werden Name, E-Mail-Adresse, IP-Adresse und Unterschrift. Es handelt sich um eine einfache elektronische Signatur; eine qualifizierte elektronische Signatur (QES/eIDAS) wird nicht angeboten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

12. Zahlungsabwicklung

Für die Zahlungsabwicklung nutzen wir Stripe. Vertragspartner ist die Stripe Payments Europe, Ltd. (Irland); die Verarbeitung erfolgt teils in den USA. Stripe handelt für Zahlungsdaten überwiegend als eigenständiger Verantwortlicher. Datenschutzhinweise: stripe.com/privacy. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

13. Erstgespräch und Terminbuchung

Über „Erstgespräch anfragen“ auf der Startseite oder das Formular auf unserer Demo-Seite können Sie ein Gespräch zu Bewillo anfragen. Wir verarbeiten Ihre E-Mail-Adresse, den optionalen Trägernamen, den Anfragezeitpunkt, die Herkunft des Formulars und eine zufällige Anfragereferenz zur Beantwortung und Terminabstimmung. Unterlagen, Unterschriften oder Stempel sind dafür nicht erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche Anfragen; bei Kontaktpersonen eines Unternehmens Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an der Bearbeitung geschäftlicher Anfragen. Die IP-Adresse wird zur Begrenzung missbräuchlicher Anfragen verarbeitet (Art. 6 Abs. 1 lit. f DSGVO), aber nicht in die Anfrage-E-Mail übernommen.

Die Anfrage wird über unseren E-Mail-Dienst Resend, Plus Five Five, Inc. (USA), an uns übermittelt. Resend verarbeitet den Inhalt und Versandinformationen als Auftragsverarbeiter und speichert sie in den USA. Es gelten die Standardvertragsklauseln des Auftragsverarbeitungsvertrags; zusätzlich nimmt Resend am EU-US Data Privacy Framework teil. Resend bewahrt E-Mail- und Versanddaten nach seinen regulären Aufbewahrungsfristen 30 Tage auf; für Sicherungskopien nennt Resend eine Aufbewahrung von sieben Tagen. Unsere Anfragekorrespondenz löschen wir, sobald die Bearbeitung abgeschlossen ist und keine weitere Kontaktaufnahme oder gesetzliche Aufbewahrungspflicht besteht. Weitere Angaben zum Dienst finden Sie in Abschnitt 8 und bei Resend.

Nach einer erfolgreichen Anfrage im Startseiten-Dialog können Sie freiwillig eine Uhrzeit im eingebetteten Google-Terminplaner auswählen. Die Anfrage funktioniert auch ohne diese Auswahl; wir stimmen den Termin dann per E-Mail ab. Der Terminplaner lädt erst nach Freigabe der Kategorie „Externe Inhalte“ oder nach „Zustimmen und laden“. Ohne diese Freigabe wird für den Terminplaner keine Verbindung zu Google aufgebaut.

Mit dem Laden des Terminplaners werden Ihre IP-Adresse sowie Browser- und Geräteinformationen an Google übertragen; Google kann dabei Cookies oder vergleichbare Kennungen auf Ihrem Endgerät setzen. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; eine Verarbeitung in den USA findet statt. Für diese Verarbeitung handelt Google als eigenständig Verantwortlicher; Grundlage der Übermittlung ist das EU-US Data Privacy Framework ergänzt um Standardvertragsklauseln. Datenschutzhinweise: policies.google.com/privacy.

Rechtsgrundlage für das Laden des Terminplaners ist Ihre Einwilligung, die Sie entweder über die Kategorie „Externe Inhalte“ in den Cookie-Einstellungen oder über „Zustimmen und laden“ im Einwilligungsdialog erteilen (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Die Auswahl wird auf Ihrem Gerät gespeichert. Sie können die Freigabe jederzeit über „Cookie-Einstellungen“ im Footer widerrufen. Nach dem Widerruf wird der Terminplaner nicht mehr geladen. Die anschließende Terminvereinbarung selbst verarbeiten wir zur Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO). Wenn Sie keine Daten an Google übermitteln möchten, laden Sie den Terminplaner nicht und vereinbaren den Termin stattdessen per E-Mail über die in unserem Impressum genannte Adresse.

13a. Werbemessung mit Google Ads

Mit Ihrer separaten Einwilligung in „Werbemessung (Google Ads)“ messen wir auf unserer Startseite und Demo-Seite, ob ein Anzeigenklick zu einer erfolgreich übermittelten Terminanfrage führt. Eine Kalenderöffnung oder eine bestätigte Kalenderbuchung wird dabei nicht als Abschluss erfasst. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google verarbeitet die Daten als eigenständig Verantwortlicher nach seinen Datenschutzbedingungen.

Google erhält Klick- und Cookie-Kennungen, IP-Adresse, Browser- und Geräteinformationen, den Seitenpfad und bei erfolgreicher Anfrage eine zufällige Abschlusskennung. Wir übermitteln keine eingegebene E-Mail-Adresse und keinen Trägernamen an Google. Erweiterte Conversions und die Nutzung unserer Signale für personalisierte Werbung sind ausgeschaltet. Google kann die Messdaten mit dem vorangegangenen Anzeigenkontakt verknüpfen. Wir erhalten Berichte über die Anzeigenleistung.

Hierfür können Cookies mit dem Präfix „_gcl_“ und der lokale Speichereintrag „_gcl_ls“ eingesetzt werden. Die Cookies bestehen laut Google bis zu 90 Tage; lokale Klickinformationen werden ebenfalls zur zeitlich begrenzten Anzeigenzuordnung verwendet. Einzelheiten zu weiteren durch Google verarbeiteten Daten, Speicherfristen und Löschmöglichkeiten finden Sie in Googles Cookie-Hinweisen und Hinweisen zur Datenverarbeitung auf Partner-Websites. Eine Verarbeitung durch Google LLC in den USA ist möglich. Für Übermittlungen an zertifizierte US-Empfänger dient das EU-US Data Privacy Framework als Grundlage; ergänzend gelten die von Google bereitgestellten Standardvertragsklauseln.

Rechtsgrundlage sind Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Ohne diese Freigabe wird das Google-Ads-Tag nicht geladen. Die Anfrage und die Terminabstimmung bleiben nutzbar. Sie können die Einwilligung jederzeit über „Cookie-Einstellungen“ im Footer widerrufen. Danach werden weitere von uns ausgelöste Conversion-Ereignisse unterbunden und erreichbare Google-Ads-Kennungen auf unserer Domain entfernt. Bereits übermittelte Daten werden dadurch nicht rückwirkend gelöscht. Die Kalenderfreigabe und die Analyse-Einwilligung sind davon unabhängig.

14. Speicherdauer

Personenbezogene Daten werden gelöscht, sobald der Zweck der Speicherung entfällt. Nach Vertragsbeendigung werden Antragsdaten auf der Bewillo-Plattform innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Vorbehalt: Steuer- und handelsrechtliche Aufbewahrungspflichten können eine Aufbewahrung von bis zu 10 Jahren erfordern; in diesen Fällen werden die Daten für andere Zwecke gesperrt und nach Ablauf der gesetzlichen Frist endgültig gelöscht. Während der Vertragslaufzeit archiviert Bewillo abgeschlossene Anträge nach 24 Monaten (read-only) und anonymisiert teilnehmerbezogene Daten automatisiert nach weiteren 36 Monaten, jeweils vorbehaltlich gesetzlicher Pflichten.

Für offene Anfragen aus dem öffentlichen Fördercheck gilt eine kürzere Frist: Solange noch keine Erhebungslinks versendet und keine Antragsdaten übernommen wurden, löschen wir die gespeicherten Anfrageinhalte einschließlich Fördercheck-Ergebnis und Einwilligungsnachweis nach 90 Tagen ohne gespeicherte Bearbeitung im täglichen Löschlauf. Jede gespeicherte inhaltliche Änderung durch den Bildungsträger startet diese Frist neu. Ab sieben Tagen vor Ablauf erhält der Bildungsträger einen Hinweis in der Übersicht und in der Anfrage. Eine aktive Löschsperre setzt die automatische Löschung aus. Nach ihrer Aufhebung gilt die ursprüngliche Frist; ist sie bereits abgelaufen, werden die Daten im nächsten täglichen Lauf gelöscht. Technische Kennungen bleiben zur Verhinderung doppelter Anfragen erhalten. Für bereits übernommene oder versendete Anträge gelten die übrigen hier beschriebenen Speicherfristen.

Die freiwilligen Termin-Kontaktdaten von Mitarbeitenden des Trägers (Telefonnummer, Terminbuchungslink, abweichende Antwort-Adresse) werden gelöscht, sobald die betreffende Person aus der letzten Träger-Organisation entfernt wird. Sie können diese Angaben außerdem jederzeit selbst in Ihren Einstellungen leeren.

15. SSL-/TLS-Verschlüsselung

Diese Website nutzt zum Schutz der Übertragung eine SSL-/TLS-Verschlüsselung, erkennbar an „https://“ in der Adresszeile und dem Schloss-Symbol des Browsers.

16. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Datenverarbeitung oder die eingesetzten Dienste ändern. Maßgeblich ist die jeweils hier veröffentlichte Fassung mit dem oben genannten Stand.