Datenschutzerklärung zur Lernplattform GeniusQ

Stand: 13.08.2026

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten im Zusammenhang mit der Lernplattform GeniusQ (im Folgenden „Plattform") und dem Internetauftritt unter geniusq.de.

Dabei sind zwei Rollen zu unterscheiden, die in Ziffer 1 und Ziffer 2 getrennt beschrieben werden. Für den Besuch der Website und die Anbahnung eines Vertrages ist das Transferzentrum selbst verantwortlich. Für die Verarbeitung innerhalb der Plattform ist es Auftragsverarbeiter des jeweiligen Auftraggebers.

1. Verantwortlicher für Website und Vertragsanbahnung

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für den Internetauftritt unter geniusq.de sowie für die Anbahnung und Abwicklung von Verträgen ist:

Steinbeis Transferzentrum für Angewandte Künstliche Intelligenz Prof. Dr. Oliver Janz in Trägerschaft der Transfer GmbH der Dualen Hochschule Baden-Württemberg Im Alten Graben 19 64673 Zwingenberg E-Mail: oliver.janz@stw.de

– im Folgenden „Transferzentrum" genannt –

In dieser Rolle werden verarbeitet:

Anlass	Daten	Rechtsgrundlage
Aufruf der Website	IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung (Server-Protokoll)	Art. 6 Abs. 1 lit. f DSGVO – sicherer und störungsfreier Betrieb
Kontaktaufnahme	Name, E-Mail-Adresse, Inhalt der Anfrage	Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO
Angebot und Vertragsschluss	Name, geschäftliche E-Mail-Adresse, Funktion der unterzeichnenden Person, Angaben zum Auftraggeber	Art. 6 Abs. 1 lit. b DSGVO – Anbahnung und Durchführung des Vertrages

Die Angebotsannahme hält fest, welche Fassung der Vertragsdokumente zugestimmt wurde. Diese Angaben werden für die Dauer des Vertragsverhältnisses und darüber hinaus im Rahmen der gesetzlichen Aufbewahrungsfristen gespeichert.

Die Plattform richtet sich ausschließlich an Unternehmen und Bildungseinrichtungen. Ein Vertrag mit Verbrauchern kommt nicht zustande.

2. Auftragsverarbeitung für die Nutzung der Plattform

Verantwortlicher für die über die Plattform verarbeiteten personenbezogenen Daten ist der jeweilige Auftraggeber – das Unternehmen oder die Bildungseinrichtung, die ihren Lernenden die Plattform bereitstellt. Das Transferzentrum verarbeitet diese Daten ausschließlich in dessen Auftrag und auf dessen dokumentierte Weisung.

Zwischen dem Auftraggeber und dem Transferzentrum besteht eine Auftragsverarbeitungsvereinbarung (AVV) gemäß Art. 28 DSGVO.

Betroffen sind die Personen, die der Auftraggeber zur Nutzung zulässt:

• Lernende – je nach Auftraggeber etwa Beschäftigte, Auszubildende, Studierende oder Teilnehmende an Weiterbildungsangeboten
• Trainer, Dozenten und Lehrende des Auftraggebers, einschließlich der von ihm hierfür beauftragten Personen
• Administratoren des Auftraggebers

Die Ziffern 3 bis 14 beziehen sich auf diese Verarbeitung.

3. Datenschutzbeauftragter

Das Transferzentrum hat einen externen Datenschutzbeauftragten bestellt. Dieser ist für beide in Ziffer 1 und 2 genannten Rollen erreichbar unter:

Steinbeis GmbH & Co. KG für Technologietransfer Alexander Seeger Adornostraße 8 70599 Stuttgart Tel.: +49 711 1839775 E-Mail: Alexander.Seeger@steinbeis.de

4. Umfang der Datenverarbeitung

Im Rahmen der Plattformnutzung werden folgende Datenkategorien verarbeitet:

Datenkategorie	Beispiele
Stammdaten	Name, geschäftliche E-Mail-Adresse, Rolle (Lernende/Trainer/Admin)
Zugangsdaten	Passwort (gehasht), interne Nutzer-ID
Lerndaten	Kursfortschritt, Testergebnisse, Aufgabenantworten, Kommentare
Nutzungsdaten	Login-Zeitpunkte, Interaktionen mit Kursinhalten
Inhalte	Texteingaben in KI-Funktionen, hochgeladene Dokumente, daraus abgeleitete Fassungen (z. B. Textauszüge, Zusammenfassungen, Transkripte, Vorschaubilder) und Vektordarstellungen für die Suche (Ziffer 6)
Technische Daten	IP-Adresse, Browser-Informationen (in Server-Protokollen)

5. Zweck und Rechtsgrundlage der Verarbeitung

Das Transferzentrum verarbeitet die genannten Daten ausschließlich im Auftrag und auf dokumentierte Weisung des Verantwortlichen gemäß Art. 28 DSGVO. Eine Verarbeitung zu eigenen Zwecken findet nicht statt.

Die Rechtsgrundlage der Verarbeitung ergibt sich aus dem Verhältnis zwischen dem Nutzer und dem Verantwortlichen (insbesondere Art. 6 Abs. 1 lit. b und f DSGVO sowie, bei Beschäftigtenverhältnissen, den hierfür geltenden Vorschriften des Beschäftigtendatenschutzes). Nähere Informationen hierzu stellt der Verantwortliche nach Art. 13 DSGVO bereit.

Die Zwecke der Verarbeitung umfassen insbesondere:

• Bereitstellung und Betrieb der Lernplattform
• Benutzerverwaltung, Zuweisung von Rollen und Kursen
• Durchführung von Onlinekursen und Protokollierung des Lernfortschritts
• Technischer Betrieb, Wartung, IT-Sicherheit und Protokollierung
• Bereitstellung KI-gestützter Funktionen zur Lernunterstützung und Inhaltserstellung

6. KI-gestützte Funktionen

Die Plattform bietet KI-gestützte Funktionen zur Erstellung von Lerninhalten sowie zur interaktiven Lernunterstützung (z. B. KI-Prüfer, Chatbots, Feynman-Methode). Für diese Funktionen gilt:

• Übermittlung zur Vertragserfüllung: Eingaben der Nutzer (z. B. Freitextantworten, hochgeladene Dokumente) werden zur Verarbeitung an die in Ziffer 7 beschriebenen Dienstleister übermittelt.
• Texterkennung: Aus hochgeladenen Dokumenten wird der Textinhalt maschinell ausgelesen (OCR und Dokumentenparsing), um ihn für Kursinhalte und KI-Funktionen nutzbar zu machen.
• Suche und Vektordarstellungen: Damit Inhalte inhaltlich durchsuchbar sind, werden Texte in numerische Darstellungen (sogenannte Embeddings) umgerechnet und in einer Vektordatenbank gespeichert. Diese Datenbank wird auf der Infrastruktur des Transferzentrums in Deutschland betrieben; die Umrechnung selbst erfolgt bei dem hierfür eingesetzten KI-Dienstleister.
• Sprachausgabe: Auf Wunsch der Nutzer können Antworten der Lernbegleitung vorgelesen werden. Der auszugebende Text wird dafür an den eingesetzten Sprachdienst übermittelt; eine Stimm- oder Sprachaufnahme der Nutzer findet dabei nicht statt.
• Kein KI-Training: Die übermittelten Inhalte werden gemäß vertraglicher Zusicherung der Anbieter nicht zum Training oder zur Verbesserung der KI-Modelle verwendet.
• Datenminimierung: Die Übermittlung personenbezogener Metadaten (wie User-ID oder Klarname) an die KI-Dienste wird auf das technisch notwendige Minimum beschränkt.
• Keine besonderen Datenkategorien: Die Plattform ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO, von Daten über Straftaten (Art. 10 DSGVO) sowie von Gesundheits-, Bewerber- und Berufsgeheimnisdaten konzipiert. Nutzer sind angehalten, keine entsprechenden Daten einzugeben.
• Einsichtnahme durch Lehrende: Die geführten Dialoge werden gespeichert und sind für dazu berechtigte Trainer, Dozenten und Administratoren des Auftraggebers einsehbar, nach Sitzung gruppiert. Dies dient der didaktischen Auswertung – welche Fragen gut oder schlecht beantwortet wurden, an welcher Stelle Lernende abbrechen. Wer in seinen Eingaben von sich aus Angaben zu seiner Person macht, macht sie damit zum Bestandteil dieses Verlaufs. Welche Personen beim Auftraggeber diese Berechtigung erhalten, entscheidet der Auftraggeber.

7. Eingesetzte Unterauftragsverarbeiter

Das Transferzentrum setzt mit Zustimmung des Verantwortlichen Unterauftragsverarbeiter ein. Mit allen bestehen Verträge nach Art. 28 DSGVO.

Die namentliche Liste dieser Dienstleister – mit Zweck, Standort und Nachweis – wird als Anlage „Liste der Unterauftragsverarbeiter" zur AVV geführt und ist auf der Plattform in ihrer jeweils geltenden Fassung abrufbar. Änderungen dieser Liste richten sich nach dem in der AVV vereinbarten Verfahren; der Verantwortliche wird darüber vorab informiert.

Eingesetzt werden Dienstleister der folgenden Kategorien:

Kategorie	Standort der Verarbeitung
Hosting und Infrastruktur, einschließlich Objektspeicher für Medien	Deutschland
Managed-Datenbank	Deutschland
Speicherung der verschlüsselten Datensicherungen	Deutschland
Content Delivery Network für Medien- und statische Inhalte	EU/EWR
KI-Inferenz, KI-Funktionen, Texterkennung, Sprachausgabe und Vektordarstellungen	EU sowie – für einzelne Dienste – USA (siehe Ziffer 8)
E-Mail-Versand	EU
Optionale Anbindung externer Anwendungen über eine Schnittstelle, sofern der Auftraggeber sie einrichtet	USA (siehe Ziffer 8)

8. Datenübermittlung in Drittländer

Das Hosting der Plattform einschließlich Datenbank, Objektspeicher, Vektordatenbank und Datensicherungen erfolgt ausschließlich in Deutschland. Die Auslieferung von Medien- und statischen Inhalten erfolgt über ein Content Delivery Network mit Sitz in der EU; die eingesetzte Zone ist auf europäische Server beschränkt, sodass auch die dabei anfallenden technischen Verbindungsdaten (insbesondere IP-Adressen) das EU/EWR-Gebiet nicht verlassen.

Eine Übermittlung in ein Drittland findet nur gegenüber denjenigen Dienstleistern statt, die in der Anlage „Liste der Unterauftragsverarbeiter" mit einem Standort außerhalb der EU/des EWR ausgewiesen sind. Diese Übermittlungen erfolgen auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework, sofern der Anbieter zertifiziert ist, andernfalls auf Grundlage der EU-Standardvertragsklauseln nach Art. 46 DSGVO oder vergleichbarer geeigneter Garantien.

Sollte ein Anbieter seine Zertifizierung verlieren oder der Angemessenheitsbeschluss aufgehoben werden, stellt das Transferzentrum die Rechtmäßigkeit der Übermittlung durch den Abschluss von Standardvertragsklauseln oder vergleichbare Garantien sicher.

Ein Teil der KI-Verarbeitung, die andernfalls in einem Drittland stattfände, wird bewusst innerhalb der EU erbracht: Die eingesetzten Sprachmodelle des Anbieters Anthropic werden ausschließlich über AWS Bedrock in der EU-Region Frankfurt betrieben. Eine Übermittlung dieser Inhalte an die Anthropic PBC (USA) findet nicht statt. Hiervon zu unterscheiden ist die in Ziffer 9 beschriebene, vom Auftraggeber gesondert einzurichtende Schnittstelle.

9. Optionale Schnittstelle zu externen Anwendungen

Die Plattform stellt eine Schnittstelle bereit, über die Trainer und Dozenten des Auftraggebers Plattformfunktionen aus einer externen Anwendung heraus nutzen können (MCP-Schnittstelle). Für diese Schnittstelle gilt:

• Sie ist standardmäßig nicht aktiv. Sie wird nur wirksam, wenn der Auftraggeber sie für seinen Bereich freigibt und eine berechtigte Person sie in der externen Anwendung einrichtet.
• Wird sie genutzt, werden die dabei abgerufenen Inhalte an den Betreiber der externen Anwendung übermittelt. Handelt es sich dabei um einen Anbieter in einem Drittland, gilt Ziffer 8.
• Lernende haben keinen Zugang zu dieser Schnittstelle.

Der Auftraggeber entscheidet über den Einsatz und ist für die Information der betroffenen Personen verantwortlich.

10. Nutzung außerhalb der Plattform: eingebettete Komponenten und Export

Der Auftraggeber kann Inhalte und Funktionen der Plattform in eigene Websites und Lernmanagementsysteme einbinden oder Kurse in offene Formate (z. B. SCORM) exportieren.

Erfolgt der Zugriff über eine eingebettete Komponente ohne persönliche Anmeldung, wird kein Nutzerkonto angelegt. Dabei ist zu unterscheiden:

• Bausteine mit fortschreibbarem Lernstand bilden aus der Kennung des einbettenden Systems und der dortigen Nutzerkennung ein Pseudonym (kryptografischer Streuwert), damit der Lernende eine Aufgabenserie über mehrere Aufrufe hinweg fortsetzen kann. Gespeichert wird ausschließlich dieses Pseudonym, nicht die zugrunde liegende Kennung. Ein Rückschluss auf die Person ist dem Transferzentrum ohne Mitwirkung des einbettenden Systems nicht möglich. Steht keine Kennung des einbettenden Systems zur Verfügung, tritt an ihre Stelle ein im Browser erzeugter Zufallswert; der Lernstand ist dann an das Gerät und nicht an die Person gebunden.
• Dialogbausteine lesen keine Kennung des einbettenden Systems aus und führen keine solche Identität. Ihre Datensätze tragen ausschließlich eine technische Sitzungskennung; eine Wiedererkennung über die Sitzung hinaus findet nicht statt.

Beim Export in offene Formate meldet ein Paket den Lernfortschritt an das Zielsystem zurück, soweit der jeweilige Standard dies vorsieht – bei SCORM Punktzahl, Bearbeitungsstatus und Bearbeitungsdauer. Inhalte, insbesondere Antworttexte und Dialogverläufe, werden nicht zurückgemeldet. Die dortige Zuordnung zu einer angemeldeten Person entsteht ausschließlich im Zielsystem und liegt in der Verantwortung des Auftraggebers.

Für die einbettende Seite selbst – einschließlich ihres Impressums, ihrer Datenschutzhinweise und eines etwaigen Einwilligungsmanagements – ist der Auftraggeber verantwortlich. Exportierte Inhalte verlassen den Verantwortungsbereich des Transferzentrums.

11. Eingebettete Videos und Karten

Kursinhalte können Videos oder Karten externer Anbieter enthalten (derzeit Vimeo, YouTube und Google Maps).

Diese Inhalte werden nicht automatisch geladen. An ihrer Stelle erscheint zunächst ein Platzhalter. Erst wenn Sie ihn anklicken, wird die Verbindung zum jeweiligen Anbieter aufgebaut; dabei werden Ihre IP-Adresse und Angaben zu Ihrem Browser an diesen übermittelt, gegebenenfalls auch in ein Drittland. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die Sie durch den Klick erteilen und für die Zukunft jederzeit widerrufen können, indem Sie den Inhalt nicht erneut aktivieren. Ohne Ihren Klick findet keine Übermittlung statt.

Soweit möglich werden datensparsame Einbindungen verwendet (YouTube im erweiterten Datenschutzmodus, Vimeo mit deaktivierter Nachverfolgung).

12. Speicherdauer und Löschung

Datenart	Speicherdauer
Nutzerkonto und Lerndaten	Bis zur Löschung auf Weisung des Verantwortlichen, spätestens 7 Werktage nach Vertragsende
Lernstände aus eingebetteter Nutzung ohne Anmeldung (Ziffer 10)	270 Tage ab der letzten Aktivität der jeweiligen Lernidentität; die Frist rechnet nicht je Aufgabe, damit einem aktiven Lernenden nicht mitten im Kurs der Anfang entfällt
Verläufe der Dialogbausteine	270 Tage ab dem Zeitpunkt der einzelnen Nachricht
Vektordarstellungen (Ziffer 6)	Werden mit dem zugehörigen Kurs- oder Chatbot-Bestand gelöscht
Zugriffsprotokolle (inkl. IP-Adressen)	Maximal 30 Tage
Sicherheitsereignisse (Anmeldeversuche, Serverfehler, verweigerte Zugriffe) inkl. IP-Adresse	Maximal 90 Tage
Fehler- und Ereignisprotokolle	Maximal 90 Tage
Datensicherungen des Transferzentrums	14 Tage (automatische Rotation, verschlüsselt)
Datensicherungen der Managed-Datenbank	Nach den Fristen des Dienstleisters; Einzelheiten regelt die AVV

Eine längere Aufbewahrung erfolgt nur, soweit gesetzliche Aufbewahrungspflichten bestehen oder dies zur Aufklärung sicherheitsrelevanter Vorfälle erforderlich ist.

13. Cookies und Sitzungen

Die Plattform verwendet ausschließlich technisch notwendige Cookies:

• Sitzungscookie für die Anmeldung. Die Sitzung endet spätestens 24 Stunden nach der Anmeldung.
• „Angemeldet bleiben"-Cookie, sofern Sie diese Option wählen. Es gilt 7 Tage und verlängert sich bei jeder Nutzung.
• Cookie zum Schutz vor websiteübergreifender Anfragenfälschung (CSRF).

Unabhängig davon meldet die Plattform Konten, die länger als 7 Tage nicht genutzt wurden, beim nächsten Zugriff serverseitig ab.

Es werden keine Tracking-, Analyse- oder Werbe-Cookies eingesetzt. Zur Anzeige der Website werden keine Inhalte von fremden Servern nachgeladen; Schriften und Programmbibliotheken liefert der eigene Server aus. Ausgenommen sind allein die in Ziffer 11 beschriebenen Videos und Karten, die Ihre ausdrückliche Aktivierung voraussetzen.

14. Technische und organisatorische Maßnahmen

Das Transferzentrum setzt geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO um. Die Maßnahmen sind im TOM-Dokument als Anlage der AVV dokumentiert, auf der Plattform abrufbar und werden regelmäßig überprüft und aktualisiert.

15. Rechte der betroffenen Personen

Als betroffene Person haben Sie folgende Rechte:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)

Betreffen Ihre Rechte die Nutzung der Plattform (Ziffer 2 bis 14), wenden Sie sich bitte an den Verantwortlichen – Ihr Unternehmen oder Ihre Bildungseinrichtung. Anfragen, die das Transferzentrum direkt erreichen, werden an den Verantwortlichen weitergeleitet; das Transferzentrum unterstützt ihn bei der Bearbeitung gemäß Art. 28 Abs. 3 lit. e DSGVO.

Betreffen Ihre Rechte den Besuch der Website oder die Vertragsanbahnung (Ziffer 1), richten Sie sie bitte unmittelbar an das Transferzentrum oder an den in Ziffer 3 genannten Datenschutzbeauftragten.

16. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Für das Transferzentrum zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg Postfach 10 29 32 70025 Stuttgart https://www.baden-wuerttemberg.datenschutz.de

Unabhängig davon können Sie sich auch an die für den Verantwortlichen zuständige Aufsichtsbehörde wenden.

17. Änderungen dieser Datenschutzerklärung

Das Transferzentrum behält sich vor, diese Datenschutzerklärung anzupassen, insbesondere bei Änderungen technischer Verfahren oder rechtlicher Vorgaben. Die jeweils aktuelle Fassung ist auf der Plattform abrufbar. Ein Wechsel eingesetzter Unterauftragsverarbeiter führt nicht zu einer Änderung dieser Erklärung; maßgeblich ist insoweit die in Ziffer 7 genannte Anlage in ihrer jeweils geltenden Fassung.