Datenschutzerklärung – Lernplattform

Lernplattform KI-Kompetenzwerk (lernhub.kompetenzwerk-ki.de / infohub.kompetenzwerk-ki.de) · Stand: August 2026

1. Betreiber und Verantwortlichkeit

Betreiber der Lernplattform ist:

Wichtig — wer für Ihre Daten verantwortlich ist: Sie nutzen diese Plattform in der Regel, weil Ihr Arbeitgeber (bzw. Ihr Auftraggeber) für Sie eine Schulungslizenz gebucht hat. In diesem Fall ist Ihr Arbeitgeber der datenschutzrechtlich Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO. Wir betreiben die Plattform in dessen Auftrag als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags. Ihr Arbeitgeber entscheidet, wer eingeladen wird, welche Kurse zugewiesen werden und wie lange Ihre Daten aufbewahrt werden.

Nur soweit Sie die Plattform ohne Zuordnung zu einem Unternehmen nutzen (z. B. im Rahmen eines Test- oder Demozugangs, den Sie selbst bei uns angefragt haben), sind wir selbst Verantwortlicher für die Verarbeitung Ihrer Daten.

Ein Datenschutzbeauftragter ist gesetzlich nicht bestellt, da die Voraussetzungen des Art. 37 DSGVO bzw. § 38 BDSG nicht erfüllt sind. Für sämtliche Fragen zum Datenschutz können Sie sich an die oben genannte Adresse wenden.

2. Welche Daten wir verarbeiten

Im Rahmen des Plattformbetriebs verarbeiten wir folgende Kategorien personenbezogener Daten:

• Kontodaten: Name, geschäftliche E-Mail-Adresse, Firmenzugehörigkeit, Profilbild (optional), Konto-Status.
• Rollen- und Berechtigungsdaten: Ihre Systemrolle auf der Plattform (z. B. Nutzer oder Administrator Ihres Unternehmens) sowie die von Ihnen gewählte Fachrolle und Erfahrungsstufe, über die Ihre Lerninhalte personalisiert werden.
• Lern- und Leistungsdaten: zugewiesene Kurse, Lernfortschritt, abgeschlossene Lektionen, Quiz- und Testergebnisse, Bearbeitungszeiten, Fälligkeits- und Erinnerungsdaten.
• Zertifikatsdaten: Name, Kurs, Unternehmen, Fachrolle, Zertifikatsnummer, Ausstellungs- und Auffrischungsdaten sowie der von Ihnen gewählte Sichtbarkeitsstatus (siehe Abschnitt 5).
• Kommunikationsdaten: Protokolle über an Sie versandte Plattform-E-Mails (z. B. Einladung, Erinnerung, Zertifikat) mit Empfängeradresse, Vorlage und Versandstatus.
• Anmelde- und Sicherheitsdaten: E-Mail-Adresse, Passwort (ausschließlich als kryptografischer Hash gespeichert, niemals im Klartext), Anmeldezeitpunkte sowie technische Sitzungsdaten einschließlich IP-Adresse und Browser-Kennung. Diese Sicherheitsprotokolle fallen plattformseitig an und werden nur kurzfristig aufbewahrt.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO, z. B. Gesundheitsdaten) werden nicht verarbeitet und dürfen nicht in die Plattform eingegeben werden.

3. Zwecke und Rechtsgrundlagen

Die Verarbeitung dient der Durchführung Ihrer KI-Kompetenz-Schulung: Bereitstellung der Kurse, Nachverfolgung des Lernfortschritts, Ausstellung auditfähiger Kompetenznachweise (u. a. zur Dokumentation nach Art. 4 der KI-Verordnung / EU AI Act) sowie dem Versand notwendiger Plattform-E-Mails.

Soweit die Verarbeitung im Auftrag Ihres Arbeitgebers erfolgt, richtet sich die Rechtsgrundlage nach dessen Verhältnis zu Ihnen (in der Regel Art. 6 Abs. 1 lit. b oder lit. f DSGVO bzw. § 26 BDSG im Beschäftigungskontext). Soweit wir selbst Verantwortlicher sind (Test-/Demozugänge), stützen wir die Verarbeitung auf Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsverhältnisses).

Darüber hinaus verarbeiten wir Daten in eigener Verantwortung, soweit dies für den sicheren technischen Betrieb der Plattform (Missbrauchsabwehr, Fehleranalyse) und für die Abrechnung mit unseren Kundenunternehmen (aggregierte Lizenzzahlen ohne Auswertung individueller Lerninhalte) erforderlich ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

4. Einladung und E-Mail-Versand

Der Zugang zur Plattform erfolgt ausschließlich über eine persönliche Einladung durch Ihr Unternehmen. Hierzu übermittelt uns Ihr Unternehmen Ihren Namen und Ihre geschäftliche E-Mail-Adresse. Wir versenden ausschließlich transaktionale E-Mails, die für die Nutzung erforderlich sind (Einladung, Passwort-Zurücksetzung, Kurs-Erinnerungen, Zertifikatsbenachrichtigungen). Werbe-E-Mails versenden wir über die Plattform nicht.

5. Zertifikate und öffentliche Nachweise

Nach erfolgreichem Kursabschluss stellen wir einen Kompetenznachweis (Zertifikat) mit eindeutiger Zertifikatsnummer aus. Sie können selbst steuern, ob Ihr Zertifikat privat bleibt oder öffentlich abrufbar ist:

• Privat: Das Zertifikat ist nur für Sie und die Administratoren Ihres Unternehmens einsehbar.
• Öffentlich: Das Zertifikat kann von Dritten (z. B. Arbeitgebern oder Auftraggebern) anhand der Zertifikatsnummer verifiziert werden. Abrufbar sind dann Name, Kurs, Unternehmen, Fachrolle und Ausstellungsdatum. Diese Funktion dient der Echtheitsprüfung Ihres Nachweises, etwa beim Teilen auf beruflichen Netzwerken.

Sie können die Sichtbarkeit jederzeit in Ihrem Profil ändern; eine Umstellung auf „privat“ wirkt sofort. Rechtsgrundlage für die öffentliche Abrufbarkeit ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit mit Wirkung für die Zukunft widerrufen können.

Ausgestellte Zertifikate bleiben auch nach dem Ende der Schulungslizenz für Sie abrufbar, damit Ihr Nachweis erhalten bleibt.

6. Kurse im Lernsystem Ihres Unternehmens (SCORM)

Nutzt Ihr Unternehmen unsere Kurse in einem eigenen Lernmanagementsystem (SCORM-Export), verbleiben Ihre Lern- und Fortschrittsdaten vollständig im System Ihres Unternehmens — sie werden nicht an uns übertragen.

Die Kurspakete enthalten eine technische Lizenzprüfung: Beim Kursstart wird eine Anfrage an unseren Server gesendet, die ausschließlich eine Kennung der Kurskopie sowie eine nicht rückführbar verschlüsselte (SHA-256-gehashte) Lernenden-Kennung enthält. Klardaten wie Ihr Name oder Ihre E-Mail-Adresse werden dabei nicht übermittelt. Diese Abfrage dient der Lizenzkontrolle und der Zählung aktivierter Nutzungen. Öffnungsdaten werden nach 12 Monaten automatisch gelöscht; Aktivierungsdaten bewahren wir als Abrechnungsgrundlage für die Dauer gesetzlicher Aufbewahrungsfristen auf. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz unserer Inhalte und Abrechnung).

7. Empfänger und eingesetzte Dienstleister

Wir setzen für den Betrieb der Plattform folgende Dienstleister (Auftragsverarbeiter bzw. Unterauftragsverarbeiter) ein:

Lovable Labs Incorporated, 1111b South Governors Avenue, Dover, DE 19904, USA — gesamte Plattform-Infrastruktur: Datenbank, Anmeldesystem, Dateispeicher, serverseitige Funktionen, Auslieferung der Anwendung sowie Versand der Plattform-E-Mails. Die Datenhaltung erfolgt in der Europäischen Union (AWS-Region eu-west-1, Irland) über die von Lovable eingesetzten Unterauftragsverarbeiter. Mit Lovable besteht ein Auftragsverarbeitungsvertrag; Übermittlungen in Drittländer sind über die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) sowie das EU-U.S. Data Privacy Framework abgesichert. Lovable schließt mit seinen eigenen Unterauftragsverarbeitern Verträge nach Art. 28 Abs. 4 DSGVO.

IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland — Auslieferung der Kursinhalte über unseren Kurs-Server (kurs.kompetenzwerk-ki.de), E-Mail-Postfächer und Domainverwaltung. Serverstandort Deutschland. Mit IONOS besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

Eine Weitergabe Ihrer Daten zu Werbezwecken findet nicht statt. Ihre Daten werden nicht verkauft und nicht für das Training von KI-Modellen verwendet.

8. Datenübermittlung in Drittländer

Die Speicherung Ihrer Daten erfolgt in der Europäischen Union (Irland). Unser Infrastruktur-Vertragspartner Lovable Labs Incorporated ist ein US-amerikanisches Unternehmen; einzelne technische Komponenten (z. B. die weltweite Auslieferung der Anwendung über ein Content Delivery Network) können eine Verarbeitung von Verbindungsdaten außerhalb der EU nicht ausschließen. Diese Übermittlungen sind durch EU-Standardvertragsklauseln und das EU-U.S. Data Privacy Framework abgesichert (Art. 45, 46 DSGVO).

9. Speicherdauer und Löschung

Wir speichern Ihre Daten für die Dauer des Vertrags zwischen uns und Ihrem Unternehmen. Danach gilt:

• Ihr Unternehmen kann innerhalb von 30 Tagen nach Vertragsende die Herausgabe der Daten verlangen.
• Anschließend löschen wir alle im Auftrag verarbeiteten personenbezogenen Daten endgültig, spätestens innerhalb von 60 Tagen nach Vertragsende, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Ausnahme Zertifikate: Ausgestellte Kompetenznachweise bleiben für Sie als Inhaber abrufbar. Bei einem Löschbegehren werden Zertifikate und Freigabe-Nachweise anonymisiert (Ihr Name wird entfernt bzw. ersetzt), damit die Nachweisfunktion Ihres Unternehmens erhalten bleibt, ohne dass ein Personenbezug zu Ihnen bestehen bleibt.

Unabhängig davon gelten automatische Löschfristen: E-Mail-Versandprotokolle werden nach 90 Tagen gelöscht, technische Kurs-Öffnungsdaten (SCORM) nach 12 Monaten, verbrauchte Abmelde-Links nach 30 Tagen. Datenbank-Sicherungen werden täglich erstellt, 7 Tage aufbewahrt und in derselben EU-Region gespeichert; gelöschte Daten können in Sicherungen für diesen begrenzten Zeitraum fortbestehen, bevor sie endgültig entfernt werden.

10. Cookies und lokale Speicherung

Die Plattform verwendet ausschließlich technisch notwendige lokale Speicherung in Ihrem Browser (Anmelde-Sitzung). Es werden keine Tracking-, Analyse- oder Marketing-Cookies gesetzt und keine Nutzungsprofile erstellt. Für technisch notwendige Speicherung ist nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung erforderlich.

11. Keine Analyse-Tools, lokale Schriftarten

Wir setzen auf der Plattform keine Reichweiten-, Analyse- oder Tracking-Dienste ein. Alle Schriftarten werden lokal ausgeliefert und nicht von externen Anbietern nachgeladen.

12. Datensicherheit

Wir treffen umfangreiche technische und organisatorische Maßnahmen zum Schutz Ihrer Daten, insbesondere: verschlüsselte Übertragung (TLS 1.2+), Verschlüsselung gespeicherter Daten (AES-256), Zugriffsbeschränkung auf Datenbankebene (Row-Level-Security), ein abgestuftes Rollen- und Berechtigungskonzept (Administratoren Ihres Unternehmens sehen ausschließlich Daten des eigenen Unternehmens), Passwort-Speicherung ausschließlich als bcrypt-Hash, eine Mindest-Passwortlänge von 10 Zeichen mit Prüfung gegen bekannt gewordene kompromittierte Passwörter sowie die Ausführung aller privilegierten Aktionen ausschließlich über serverseitig geprüfte Funktionen.

13. Ihre Rechte als betroffene Person

Ihnen stehen die Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO) zu. Eine erteilte Einwilligung (z. B. zur öffentlichen Abrufbarkeit Ihres Zertifikats) können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Bitte beachten Sie: Soweit wir Ihre Daten im Auftrag Ihres Arbeitgebers verarbeiten, ist Ihr Arbeitgeber der richtige Ansprechpartner für die Ausübung Ihrer Rechte — wenden Sie sich hierzu an die dort zuständige Stelle (z. B. Personalabteilung oder Datenschutzbeauftragter Ihres Unternehmens). Anfragen, die uns direkt erreichen, leiten wir unverzüglich an Ihr Unternehmen weiter und unterstützen es bei der Beantwortung, u. a. durch eine vollständige Datenexport-Funktion und eine DSGVO-konforme Löschfunktion. Soweit wir selbst Verantwortlicher sind, genügt eine formlose Nachricht an: info@kompetenzwerk-ki.de

14. Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet anderweitiger Rechtsbehelfe haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Die für den Betreiber zuständige Aufsichtsbehörde ist:

15. Aktualität und Änderung dieser Datenschutzerklärung

Diese Datenschutzerklärung hat den Stand August 2026. Durch die Weiterentwicklung der Plattform oder aufgrund geänderter gesetzlicher bzw. behördlicher Vorgaben kann es notwendig werden, diese Datenschutzerklärung anzupassen. Die jeweils aktuelle Fassung ist jederzeit über die Plattform abrufbar.