Datenschutzerklärung zur Lernplattform GeniusQ

Stand: 06.07.2026

Diese Datenschutzerklärung informiert die Nutzer der Lernplattform GeniusQ (im Folgenden „Plattform") über die Verarbeitung personenbezogener Daten bei der Nutzung der Plattform. Sie richtet sich an Beschäftigte von Firmenkunden, deren Arbeitgeber die Plattform zur Durchführung interner Schulungen einsetzt. Die Rollen der beteiligten Stellen sowie der für den Plattformbetrieb verantwortliche Auftragsverarbeiter werden in Ziffer 1 benannt.

1. Verantwortlicher und Rollen

Verantwortlicher im Sinne der DSGVO für die über die Plattform verarbeiteten personenbezogenen Daten ist der jeweilige Firmenkunde (Arbeitgeber), der seinen Beschäftigten die Nutzung der Plattform bereitstellt. Die Verarbeitung erfolgt im Auftrag dieses Verantwortlichen.

Auftragsverarbeiterin im Sinne von Art. 28 DSGVO ist:

Steinbeis Transferzentrum für Angewandte Künstliche Intelligenz Prof. Dr. Oliver Janz in Trägerschaft der Transfer GmbH der Dualen Hochschule Baden-Württemberg Im Alten Graben 19 64673 Zwingenberg E-Mail: oliver.janz@stw.de

– im Folgenden „Transferzentrum" genannt –

Zwischen dem Verantwortlichen und dem Transferzentrum besteht eine Auftragsverarbeitungsvereinbarung (AVV) gemäß Art. 28 DSGVO.

2. Datenschutzbeauftragter

Das Transferzentrum hat einen externen Datenschutzbeauftragten bestellt. Dieser ist erreichbar unter:

Steinbeis GmbH & Co. KG für Technologietransfer Alexander Seeger Adornostraße 8 70599 Stuttgart Tel.: +49 711 1839775 E-Mail: Alexander.Seeger@steinbeis.de

3. Umfang der Datenverarbeitung

Im Rahmen der Plattformnutzung werden folgende Datenkategorien verarbeitet:

Datenkategorie	Beispiele
Stammdaten	Name, geschäftliche E-Mail-Adresse, Rolle (Lernende/Trainer/Admin)
Zugangsdaten	Passwort (gehasht), interne Nutzer-ID
Lerndaten	Kursfortschritt, Testergebnisse, Aufgabenantworten, Kommentare
Nutzungsdaten	Login-Zeitpunkte, Interaktionen mit Kursinhalten
Inhalte	Texteingaben in KI-Funktionen, hochgeladene Dokumente
Technische Daten	IP-Adresse, Browser-Informationen (in Server-Logs)

4. Zweck und Rechtsgrundlage der Verarbeitung

Das Transferzentrum verarbeitet die genannten Daten ausschließlich im Auftrag und auf dokumentierte Weisung des Verantwortlichen gemäß Art. 28 DSGVO. Eine eigene Verarbeitung zu eigenen Zwecken findet nicht statt.

Die Rechtsgrundlage der Verarbeitung ergibt sich aus dem Verhältnis zwischen dem Nutzer und dem Verantwortlichen (insbesondere Art. 6 Abs. 1 lit. b und f DSGVO sowie § 26 BDSG bei Beschäftigtenverhältnissen). Nähere Informationen hierzu stellt der Verantwortliche (Arbeitgeber) nach Art. 13 DSGVO bereit.

Die Zwecke der Verarbeitung umfassen insbesondere:

• Bereitstellung und Betrieb der Lernplattform
• Benutzerverwaltung, Zuweisung von Rollen und Kursen
• Durchführung von Onlinekursen und Protokollierung des Lernfortschritts
• Technischer Betrieb, Wartung, IT-Sicherheit und Logging
• Bereitstellung KI-gestützter Funktionen zur Lernunterstützung und Inhaltserstellung

5. KI-gestützte Funktionen

Die Plattform bietet KI-gestützte Funktionen zur Erstellung von Lerninhalten sowie zur interaktiven Lernunterstützung (z. B. KI-Prüfer, Chatbots, Feynman-Methode). Für diese Funktionen gilt:

• Übermittlung zur Vertragserfüllung: Eingaben der Nutzer (z. B. Freitextantworten, Dokumente) werden zur Verarbeitung an die unter Ziffer 6 genannten KI-Dienstleister übermittelt.
• Kein KI-Training: Die übermittelten Inhalte werden gemäß vertraglicher Zusicherung der Anbieter nicht zum Training oder zur Verbesserung der KI-Modelle verwendet.
• Datenminimierung: Die Übermittlung personenbezogener Metadaten (wie User-ID oder Klarname) an die KI-Dienste wird auf das technisch notwendige Minimum beschränkt.
• Keine besonderen Datenkategorien: Die Plattform ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO konzipiert. Nutzer sind angehalten, keine entsprechenden Daten in KI-Funktionen einzugeben.

6. Eingesetzte Auftragsverarbeiter (Subunternehmer)

Das Transferzentrum setzt mit Zustimmung des Verantwortlichen folgende Unterauftragsverarbeiter ein. Mit allen bestehen Verträge nach Art. 28 DSGVO.

Anbieter	Zweck	Standort
Hetzner	Hosting, Infrastruktur, Object Storage (Medien)	Deutschland (Falkenstein)
Elestio	Managed-Datenbank (MySQL)	Deutschland (Falkenstein)
bunny.net (BunnyWay d.o.o.)	Content Delivery Network (Auslieferung von Medien-/statischen Inhalten aus dem Object Storage)	EU (Slowenien); Auslieferung ausschließlich über EU-Edge-Server
Amazon Web Services (AWS)	KI-Funktionen (Anthropic-Modelle via AWS Bedrock)	EU (Frankfurt, eu-central-1)
OpenAI	KI-Funktionen (API)	USA
Mistral AI	KI-Funktionen (API) sowie OCR / Dokumentenparsing	EU (Frankreich)
Lettermint	E-Mail-Versand	EU (Niederlande)

Hinweis zu den Anthropic-Modellen: Die Anthropic-Sprachmodelle werden ausschließlich über AWS Bedrock in der EU-Region Frankfurt (eu-central-1) betrieben. Eine Übermittlung von Inhalten an die Anthropic PBC (USA) findet dabei nicht statt.

7. Datenübermittlung in Drittländer

Das Hosting der Plattform einschließlich Datenbank und Object Storage erfolgt ausschließlich in Deutschland (Hetzner Region FSN1, Falkenstein; Managed-Datenbank über Elestio in derselben Region). Die KI-Inferenz der Anthropic-Modelle erfolgt über AWS Bedrock in der EU (Frankfurt).

Die Auslieferung von Medien- und statischen Inhalten aus dem Object Storage erfolgt über das Content Delivery Network von bunny.net (BunnyWay d.o.o., Ljubljana, Slowenien). Die eingesetzte Zone ist auf europäische Edge-Server beschränkt; die Auslieferung – einschließlich der dabei verarbeiteten technischen Verbindungsdaten (insbesondere IP-Adressen der abrufenden Nutzer) – erfolgt ausschließlich innerhalb der EU/des EWR. Eine Übermittlung in ein Drittland findet hierbei nicht statt.

Eine Übermittlung in ein Drittland (insbesondere USA) erfolgt darüber hinaus nur noch im Rahmen der KI-Funktionen von OpenAI. Diese Übermittlung erfolgt auf Grundlage des EU-US Data Privacy Framework (DPF), sofern der Anbieter zertifiziert ist, andernfalls auf Basis der EU-Standardvertragsklauseln (SCC) nach Art. 46 DSGVO oder vergleichbarer geeigneter Garantien.

Sollte ein Anbieter seine DPF-Zertifizierung verlieren oder der Angemessenheitsbeschluss aufgehoben werden, wird die Rechtmäßigkeit der Übermittlung durch den Abschluss von SCC oder vergleichbare Garantien sichergestellt.

8. Speicherdauer und Löschung

Datenart	Speicherdauer
Nutzerkonto und Lerndaten	Bis zur Löschung auf Weisung des Verantwortlichen, spätestens 7 Werktage nach Vertragsende
Access-Logs (inkl. IP-Adressen)	Maximal 30 Tage
Fehler- und Ereignisprotokolle	Maximal 90 Tage
Backups der Auftragsverarbeiterin	14 Tage (automatische Rotation, verschlüsselt)
Managed-Datenbank-Backups (Elestio)	180 Tage (automatische Rotation)

Eine längere Aufbewahrung erfolgt nur, soweit gesetzliche Aufbewahrungspflichten bestehen oder dies zur Aufklärung sicherheitsrelevanter Vorfälle erforderlich ist.

9. Cookies und Sessions

Die Plattform verwendet ausschließlich technisch notwendige Cookies für:

• Session-Management (automatische Beendigung nach 6 Stunden Inaktivität)
• CSRF-Schutz

Es werden keine Tracking-, Analyse- oder Werbe-Cookies eingesetzt.

10. Technische und organisatorische Maßnahmen

Das Transferzentrum setzt geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO um. Die Maßnahmen sind im TOM-Dokument als Anlage der AVV dokumentiert und werden regelmäßig überprüft und aktualisiert.

11. Rechte der betroffenen Personen

Als betroffene Person haben Sie gegenüber dem Verantwortlichen (Ihrem Arbeitgeber) folgende Rechte:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)

Zur Ausübung dieser Rechte wenden Sie sich bitte an den Verantwortlichen (Ihren Arbeitgeber). Anfragen, die das Transferzentrum direkt erreichen, werden an den Verantwortlichen weitergeleitet. Das Transferzentrum unterstützt den Verantwortlichen bei der Bearbeitung gemäß Art. 28 Abs. 3 lit. e DSGVO.

12. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Für das Transferzentrum zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg Postfach 10 29 32 70025 Stuttgart https://www.baden-wuerttemberg.datenschutz.de

Unabhängig davon können Sie sich auch an die für den Verantwortlichen (Ihren Arbeitgeber) zuständige Aufsichtsbehörde wenden.

13. Änderungen dieser Datenschutzerklärung

Das Transferzentrum behält sich vor, diese Datenschutzerklärung anzupassen, insbesondere bei Änderungen eingesetzter Unterauftragsverarbeiter, technischer Verfahren oder rechtlicher Vorgaben. Die jeweils aktuelle Fassung ist auf der Plattform abrufbar.