Informationen zur Datenschutz-Folgenabschätzung

Diese Seite fasst die Fakten zusammen, die asyoube über die eigene Plattform und deren Datenverarbeitung kennt und belegen kann, damit Sie als Ausbildungsbetrieb Ihre Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO durchführen oder begründet davon absehen können. Die Seite ersetzt keine anwaltliche Beratung und keine eigene Prüfung durch Sie.

1. Wozu diese Seite

(1) Die DSFA verantworten Sie als Ausbildungsbetrieb selbst. Nach Art. 35 Abs. 1 DSGVO obliegt die Pflicht zur Folgenabschätzung dem Verantwortlichen, und Verantwortlicher für die Verarbeitung der Daten Ihrer Auszubildenden und Ihres Personals auf der Plattform sind Sie. In eigener Verantwortung von asyoube und nicht in Ihrem Auftrag liegen die Abrechnung des Hauptvertrags einschließlich der Zuordnung eingegangener Zahlungen, der Erstattung, der Mahnung und der Gemeinwohl-Erklärung samt Bescheid (AVV Ziffer 1 (7), Anlage 1 Ziffer 1.9 (2)), die Auswertungstabelle für Nutzende ohne Zuordnung zu einem Betrieb (Anlage 1 Ziffer 1.9 (3)) sowie die Produktanalyse und Fehlerdiagnose mit Einwilligung der einzelnen Person (Anlage 1 Ziffer 1.9 (1)); diese Verarbeitungen betreffen Ihre DSFA zur Auftragsverarbeitung nicht. Die plattformweite Kalibrierung des Kompetenzmodells mit den Daten gelöschter Konten (Abschnitt 3.4; AVV Anlage 1 Ziffer 1.9 (4)) liegt in eigener Verantwortung von asyoube, ist rechtlich noch nicht abschließend eingeordnet; berücksichtigen Sie sie in Ihrer DSFA.

(2) asyoube verarbeitet die Daten in Ihrem Auftrag als Auftragsverarbeiter (Art. 4 Nr. 8, Art. 28 DSGVO) und unterstützt Sie dabei, unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen, bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten, einschließlich der DSFA (Art. 28 Abs. 3 lit. f DSGVO, Auftragsverarbeitungsvertrag [AVV] Ziffer 5 (2)).

(3) Diese Seite ist Zuarbeit für Ihre DSFA-Dokumentation: eine Sammlung von Fakten zur Plattform, zu möglichen Risiken und zu Rechtsgrundlagen-Vorschlägen. Sie ist keine Rechtsberatung, ersetzt nicht die eigene rechtliche Prüfung und ersetzt nicht die Entscheidung, die nur Sie als Verantwortlicher treffen können.

(4) Nutzen Sie die folgenden Abschnitte als Bausteine für Ihre eigene DSFA-Dokumentation, nicht als deren Ersatz.

(5) Wo einzelne Aussagen unten als „nach unserer Kenntnis“ oder „aus unserer Sicht“ gekennzeichnet sind, handelt es sich um unsere bestmögliche, aber nicht abschließende Einschätzung des eigenen Systems, nicht um eine rechtliche Bewertung.

2. Ob eine Datenschutz-Folgenabschätzung nötig ist

(1) Ob eine DSFA-Pflicht besteht, ergibt sich aus einer Schwellwertanalyse der Risiken des Verarbeitungsvorgangs. Ergibt diese ein voraussichtlich hohes Risiko, ist eine DSFA durchzuführen, andernfalls ist sie nicht zwingend erforderlich. Die Entscheidung ist in jedem Fall mit den maßgeblichen Gründen schriftlich zu dokumentieren (Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder [DSK], Kurzpapier Nr. 5, S. 1).

2.1 Muss-Liste der Datenschutzkonferenz

(2) Die DSK hat nach Art. 35 Abs. 4 DSGVO eine Liste von Verarbeitungsvorgängen veröffentlicht, für die Verantwortliche im nicht-öffentlichen Bereich eine DSFA durchführen müssen (Version 1.1 vom 17.10.2018). Öffentliche Stellen der Länder und Kommunen beachten die Liste ihrer zuständigen Aufsichtsbehörde und das jeweilige Landesdatenschutzrecht. Vier Einträge sind für den Einsatz von asyoube potenziell einschlägig.

• • Nr. 5: „Zusammenführung von personenbezogenen Daten aus verschiedenen Quellen und Verarbeitung der so zusammengeführten Daten, sofern die Zusammenführung oder Verarbeitung in großem Umfang vorgenommen werden, für Zwecke erfolgen, für welche nicht alle der zu verarbeitenden Daten direkt bei den betroffenen Personen erhoben wurden, die Anwendung von Algorithmen einschließen, die für die betroffenen Personen nicht nachvollziehbar sind, und der Erzeugung von Datengrundlagen dienen, die dazu genutzt werden können, Entscheidungen zu treffen, die Rechtswirkung gegenüber den betroffenen Personen entfalten, oder diese in ähnlich erheblicher Weise beeinträchtigen können“

(3) Unsere Einschätzung zu Nr. 5: Die Lernfunktionen führen Daten aus mehreren Quellen (Übungs- und Prüfungsantworten, Bewertungen, Lernverlauf) automatisiert zu einem Kompetenzwert je Lernziel zusammen und nutzen dafür ein Modell, dessen Rechenweg für die betroffene Person nicht ohne Weiteres nachvollziehbar ist. Ob die Zusammenführung bei Ihnen „in großem Umfang“ im Sinne der Liste erfolgt, hängt von der Zahl Ihrer Auszubildenden ab und ist von Ihnen zu bewerten.

• • Nr. 8: „Umfangreiche Verarbeitung von personenbezogenen Daten über das Verhalten von Beschäftigten, die zur Bewertung ihrer Arbeitstätigkeit derart eingesetzt werden können, dass sich Rechtsfolgen für die Betroffenen ergeben oder diese Betroffenen in anderer Weise erheblich beeinträchtigt werden“

(4) Unsere Einschätzung zu Nr. 8: Die Auswertungen stellen Ausbildenden Personen für die ihnen zugeordneten Auszubildenden sowie Ausbildungsleitung und Administration für alle Auszubildenden des Betriebs laufend berechnete Kennzahlen zu Kompetenz, Lernserie, Kalibrierung und Risikostufe bereit, dazu Anzahl und Zeitpunkt der Anmeldungen, letzte Aktivität, Sitzungen und Lernzeit; das Berichtsheft zeigt Wochenstatus, Abgabezeitpunkte und Fristen (Abschnitt 3.2). Das ist eine umfangreiche Verarbeitung über das Verhalten und die Leistung von zu ihrer Berufsbildung Beschäftigten, die aus unserer Sicht auf diesen Eintrag zutrifft.

• • Nr. 11: „Einsatz von künstlicher Intelligenz zur Verarbeitung personenbezogener Daten zur Steuerung der Interaktion mit den Betroffenen oder zur Bewertung persönlicher Aspekte der betroffenen Person“

(5) Unsere Einschätzung zu Nr. 11: Ein KI-Sprachmodell korrigiert Übungs- und Prüfungsantworten und bewertet dabei persönliche Aspekte der lernenden Person (Grad der Zielerreichung je Lernziel, mögliche Fehlvorstellungen); das Kompetenzmodell steuert zudem automatisiert, welche Übungen vorgeschlagen werden. Das trifft auf diesen Eintrag zu.

• • Nr. 17: „Verarbeitung von Daten gemäß Art. 9 Abs. 1 und Art. 10 DS-GVO“, auch wenn sie nicht als umfangreich im Sinne des Art. 35 Abs. 3 lit. b DSGVO anzusehen ist, „sofern die Daten durch die Anbieter neuer Technologien dazu verwendet werden, die Leistungsfähigkeit der Personen zu bestimmen.“

(6) Unsere Einschätzung zu Nr. 17: Die Plattform verarbeitet mit dem Abwesenheitskennzeichen „Krank“ Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO (Abschnitt 6.3). Nach unserer Prüfung des Systems fließen diese Angaben nicht als solche in die Kompetenz- oder Risikoberechnung ein. Ein als „Krank“ gekennzeichneter Tag zählt aber als ausgefüllter Tag für die Wochenvollständigkeit und als aktiver Tag für Lernserie, Aktivitätsübersicht und „zuletzt aktiv“, die Ausbildende Personen sehen; er wird im PDF-Ausbildungsnachweis und im Sammel-PDF gedruckt und in der Wochenansicht und der Übersicht der Ausbildenden Personen, der Ausbildungsleitung und der Administration angezeigt. In E-Mails der Plattform erscheint er nicht, und Wochen, die einem Betrieb zugeordnet sind oder waren, werden nicht in die interne Auswertungstabelle übernommen (Abschnitt 3.4, AVV Anlage 1 Ziffer 1.6 (1)). Mittelbar kann eine längere Erkrankung die Risikostufe erhöhen, weil diese Inaktivität und überfällige Berichtsheft-Wochen berücksichtigt. Dieser Eintrag trifft nach unserer Einschätzung eher nicht zu, prüfen Sie das für Ihren konkreten Einsatz gegen.

2.2 Kriterien der Artikel-29-Datenschutzgruppe

(7) Die ehemalige Artikel-29-Datenschutzgruppe, heute Europäischer Datenschutzausschuss, hat neun Kriterien für ein voraussichtlich hohes Risiko aufgestellt (WP 248 rev.01, angenommen am 4. April 2017, zuletzt überarbeitet und angenommen am 4. Oktober 2017, vom Europäischen Datenschutzausschuss am 25. Mai 2018 bestätigt): „Erfüllt ein Verarbeitungsvorgang zwei dieser Kriterien, muss der für die Datenverarbeitung Verantwortliche in den meisten Fällen zu dem Schluss kommen, dass eine DSFA obligatorisch ist.“

(8) Für den Einsatz von asyoube sind aus unserer Sicht mindestens fünf der neun Kriterien erfüllt.

• • Bewerten oder Einstufen: „Bewerten oder Einstufen, darunter das Erstellen von Profilen und Prognosen“ (Kriterium 1) durch die laufende Kompetenz-Schätzung je Lernziel und die Risikostufen.
• • Systematische Überwachung (Kriterium 3) durch Wochenstatus, Fristen, Aktivitätsübersicht und Kennzahlen, die Ausbildende Personen laufend einsehen.
• • Vertrauliche oder höchstpersönliche Daten (Kriterium 4) durch die Gesundheitsangabe „Krank“ nach Art. 9 Abs. 1 DSGVO und die tagebuchartigen Tageseinträge des Berichtshefts.
• • Daten zu schutzbedürftigen Betroffenen: Die Liste nennt hier ausdrücklich „Kinder (bei ihnen kann nicht davon ausgegangen werden, dass sie in der Lage sind, der Verarbeitung ihrer Daten wissentlich und überlegt zu widersprechen bzw. zuzustimmen), Arbeitnehmer“ (Kriterium 7), einschlägig, weil Auszubildende zu ihrer Berufsbildung Beschäftigte sind und ein Teil von ihnen minderjährig sein kann (Abschnitt 6.2).
• • Innovative Nutzung neuer Technologien (Kriterium 8) durch das adaptive Kompetenzmodell sowie die KI-gestützte Korrektur, Strukturierung und Bereinigung von Freitexten.

2.3 Unsere Einschätzung

(9) Mit Lernfunktionen und Auswertungen für Ausbildende Personen treffen nach unserer Prüfung die Einträge Nr. 8 und Nr. 11 der DSK-Liste zu. Schon ein zutreffender Eintrag verpflichtet Sie, vor Beginn der Verarbeitung eine DSFA durchzuführen. Unabhängig davon sind mindestens fünf der neun WP-248-Kriterien erfüllt; nach WP 248 ist bereits bei zwei erfüllten Kriterien in den meisten Fällen eine DSFA durchzuführen.

(10) Eine reine Berichtsheft-Nutzung ohne Lernfunktionen und Auswertungen lässt sich derzeit nicht einstellen: Jedes Konto erhält beim ersten Beitritt zu Ihrem Betrieb einmalig einen Probemonat von 30 Tagen mit Übungen, KI-gestützter Korrektur, Kompetenzmodell, Prüfungsmodus und Auswertungen, auch ohne Modulbuchung (AVV Anlage 1 Ziffer 1.3 (4)). Auch das Berichtsheft allein erfüllt nach unserer Prüfung mehrere WP-248-Kriterien, nämlich die Kriterien 4, 7 und 8 und, sobald Ausbildende Personen Wochenstatus, Fristen und Aktivitätstage einsehen, auch Kriterium 3. Gehen Sie deshalb davon aus, dass für den Einsatz von asyoube eine DSFA durchzuführen ist. Sehen Sie davon ab, begründen und dokumentieren Sie das schriftlich (DSK Kurzpapier Nr. 5).

(11) Ändert sich Ihr Einsatz, zum Beispiel durch neue Module oder Funktionen, prüfen Sie die Einschätzung in diesem Abschnitt erneut.

3. Systematische Beschreibung der Verarbeitung

(1) Dieser Abschnitt unterstützt Art. 35 Abs. 7 lit. a DSGVO: „eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung [...]“.

3.1 Rollen

(2) Auf der Plattform gibt es vier Rollen: Auszubildende (führen das Berichtsheft, üben und lernen), Ausbildende Personen (sehen die ihnen direkt oder über ein aktives Team zugeordneten Auszubildenden), Ausbildungsleitung (Zugriff auf alle Auszubildenden des Betriebs) und Administration (verwaltet den Betrieb, Mitglieder und Abrechnung, nimmt den AVV an und hat ebenfalls Zugriff auf alle Auszubildenden des Betriebs). Mit „Ausbildende Personen“ ist auf dieser Seite diese Rolle gemeint, nicht Ihr Betrieb als Ausbildender im Sinne des Berufsbildungsgesetzes.

(3) Die Zuordnung, welche Ausbildende Person welche Auszubildenden sehen darf, pflegen Sie als Betrieb; sie ist die technische Grundlage der Sichtbarkeitsbeschränkung für Ausbildende Personen (Abschnitt 6.6). Ausbildungsleitung und Administration sehen alle aktiven Auszubildenden unabhängig von der Zuordnung.

(4) Auszubildende sind im Sinne des deutschen Beschäftigtendatenschutzes zu ihrer Berufsbildung Beschäftigte (§ 26 Abs. 8 Satz 1 Nr. 2 BDSG); die Vorschriften zum Beschäftigtendatenschutz gelten daher grundsätzlich auch für sie und für die Verarbeitung ihrer Daten auf der Plattform.

3.2 Datenkategorien

(5) Konto- und Identitätsdaten: Rolle, Kontostatus und Kennungen. Name und E-Mail-Adresse der Nutzerkonten führt der Identitätsdienst. Zusätzlich speichert die asyoube-Datenbank Namen zum Zeitpunkt einer Handlung, wo sie Teil eines Nachweises sind: in Freigabekette und Wochenverlauf, bei veröffentlichten Freigabe-Workflows und im Protokoll (dort bei Einladungen auch gekürzte E-Mail-Adressen); exportierte PDF-Dokumente enthalten den vollständigen Namen (Absätze 8 und 11). Richtet der Betrieb die Anmeldung über seinen eigenen Identitätsdienst ein (Single Sign-on), kommen bestätigte E-Mail-Domains, der Anmeldemodus und Verbindungsdaten zum Identitätsdienst des Betriebs hinzu.

(6) Betriebsdaten: Firmierung, Adresse, Umsatzsteuer-Identifikationsnummer, Rechnungs-E-Mail-Adresse, Standorte, Teams, Kostenstellen.

(7) Weitere Kontaktfelder wie Rechnungs- und Ansprechadressen sind Firmen-Kontaktfelder und nicht zwingend einer bestimmten Person zugeordnet; sie können aber eine persönliche E-Mail-Adresse enthalten.

(8) Berichtsheft: Tageseinträge (Freitext, Kategorie Schule oder Betrieb, Arbeitsstunden, Abwesenheitskennzeichen), daraus strukturierte Tätigkeiten mit Lernfeld-Zuordnung, Wochenstatus und Abgabezeitpunkte, Freigabekette und Wochenverlauf mit den Namen der Beteiligten zum Zeitpunkt der Handlung, exportierte PDF-Dokumente. Dazu kommen, soweit Ihr Betrieb sie pflegt, die Angaben zum Ausbildungsverhältnis (Beruf, Beginn, geplantes Ende, Probezeit, Verkürzung oder Verlängerung, Teilzeit, Prüfungstermine) und die Zuordnung zu Ausbildenden Personen, Teams und Standorten, außerdem Feedbackgespräch-Notizen der Ausbildenden Personen und Nachweise zu Freigaben und Protokoll als PDF-Dokument mit Prüfcode.

(9) Lerndaten: Übungs- und Prüfungsantworten im Wortlaut, Bewertungen je Versuch, Rückmeldetexte der Korrektur, Prüfungsmodus-Daten.

(10) Kompetenzmodell und Nutzungsdaten: ein numerischer Kompetenzwert je Lernziel und Konzept, Lernserie, Kalibrierungs-Einstufung und Risikostufen; die Risikostufe je auszubildender Person berücksichtigt außerdem überfällige Berichtsheft-Wochen und Inaktivität. Dazu kommen Anzahl und Zeitpunkt der Anmeldungen, letzte Aktivität, Sitzungsanzahl und Lernzeit. Diese Werte werden Ausbildenden Personen für die ihnen zugeordneten Auszubildenden sowie Ausbildungsleitung und Administration für alle Auszubildenden bereitgestellt. Je Übungsversuch und Konzept werden zusätzlich mögliche Fehlvorstellungs-Kategorien gespeichert, die derzeit nicht in den Auswertungen angezeigt werden.

(11) Protokoll: ein Ereignisprotokoll von Verwaltungs- und Berichtsheft-Vorgängen, zum Beispiel Rollenänderungen, Einladungen, Pausierungen mit Grund, Abgabe, Freigabe und Rückgabe von Wochen, mit den Namen der Beteiligten zum Zeitpunkt der Handlung und den geänderten Werten.

(12) Vertragsannahmen: Zeitpunkt, Fassung und annehmende Person. Die Abrechnung des Hauptvertrags führt asyoube in eigener Verantwortung und nicht in Ihrem Auftrag (AVV Ziffer 1 (7), Anlage 1 Ziffer 1.9 (2)): Firmendaten, Rechnungs-E-Mail-Adresse, Ansprechperson für die Abrechnung, Rechnungen und Rechnungskorrekturen, Zahlungsstatus, Angaben zu eingegangenen und erstatteten Überweisungen (Name der zahlenden Stelle, Kontoverbindung, Buchungstag, Betrag, Verwendungszweck), die asyoube den Kontoauszügen der eigenen Bank entnimmt, sowie die Gemeinwohl-Erklärung mit dem hochgeladenen Bescheid.

3.3 Datenflüsse und Unterauftragsverarbeiter

(13) Für vier Zwecke werden Daten an Anbieter von KI-Sprachmodellen übermittelt: automatische Strukturierung von Berichtsheft-Freitext in Tätigkeiten, automatisierte Korrektur von Übungs- und Prüfungsantworten, Erzeugung von Übungsaufgaben (Absatz 14) und Entfernen von Namen und ähnlichen Angaben aus Berichtsheft-Auszügen vor deren Übernahme in eine interne Auswertung (Absatz 21); dieser vierte Zweck betrifft nur Nutzende ohne Zuordnung zu einem Betrieb, nicht Ihre Auftraggeberdaten. Derzeit nutzen wir dafür die Gemini API der Google Cloud EMEA Limited. Die Anthropic Ireland, Limited (Claude API), die Schwarz Digits Cloud GmbH & Co. KG (STACKIT AI Model Serving) und die Scaleway SAS (Generative APIs) sind für dieselben Zwecke zugelassen und erhalten erst Daten, wenn wir sie nach erfolgreicher Prüfung für einen dieser Zwecke einsetzen. Das ist eine Hinzuziehung nach AVV Ziffer 6 (2), über die wir Sie vorher mit Name, Zweck, Datenkategorien, Ort der Verarbeitung und Garantien in Textform informieren und der Sie widersprechen können (AVV Anlage 3 (2)). Die Aufrufe an die Gemini API erfolgen derzeit über einen globalen Endpunkt ohne Festlegung auf die Europäische Union; eine Verarbeitung außerhalb der Europäischen Union, auch in den USA, ist deshalb möglich, ebenso bei der Anthropic Ireland, Limited, die keinen Verarbeitungsort festlegt. STACKIT und Scaleway verarbeiten in der Europäischen Union (Garantien siehe Unterauftragsverarbeiter-Liste). Namen, E-Mail-Adressen oder Nutzerkennungen werden nicht als eigene Angaben übermittelt; für die Korrektur von Übungsantworten erhält das jeweils eingesetzte Modell zusätzlich die aktuellen Kompetenzwerte der lernenden Person je Lernziel, und in Freitexten und Antworten enthaltene Angaben, etwa Namen von Kolleginnen und Kollegen, werden unverändert übermittelt. Für diese Bereinigung wird der noch unbereinigte Text an das Modell übermittelt, danach werden Namen, Firmen und ähnliche Angaben ersetzt, soweit das Modell sie erkennt; ein vollständiges Entfernen aller identifizierenden Angaben ist nicht garantiert.

(14) Für die Erzeugung neuer Übungsaufgaben erhalten die Sprachmodelle nach Absatz 13 Lernziel- und Inhaltstexte sowie die aktuellen Kompetenzwerte der anfragenden Person je Lernziel, aber keine Namen, E-Mail-Adressen oder Antworten.

(15) Das Berichtsheft und die Lerndaten sind an das Konto der oder des Auszubildenden gebunden. Verlässt die Person Ihren Betrieb, was ihr jederzeit selbst möglich ist, oder entfernen Sie sie, wandern ihre Berichtsheft-Daten einschließlich Abwesenheitskennzeichen und der Namen der Freigebenden in ihr persönliches Konto; tritt sie einem anderen Betrieb bei, sehen dessen Ausbildende Personen die bisherige Historie. Umgekehrt können Lern- und Aktivitätsdaten aus einer Nutzung vor dem Beitritt in Ihren Auswertungen erscheinen. Berücksichtigen Sie beides in Ihrer DSFA und in den Informationen an Ihre Auszubildenden.

(16) E-Mails der Plattform, etwa Einladungen, Bestätigungscodes, Benachrichtigungen, Wochenüberblicke und Rechnungen, versenden wir über ein E-Mail-System auf Grundlage von Microsoft 365, das die RootITUp GmbH für uns bereitstellt und betreibt (Unterauftragsverarbeiter-Liste); der Versand ist eingeschaltet. Die E-Mails enthalten Namen und E-Mail-Adressen sowie Angaben zu Berichtsheft-Vorgängen, Fristen und Lernaktivität, aber keine Abwesenheitskennzeichen und keine Pausengründe. Technische Protokolle, Kennzahlen und Ablaufverfolgungen mit pseudonymen Nutzerkennungen, IP-Adressen und Fehlertexten gehen an ein zentrales Überwachungssystem, das ein Dienstleister für asyoube in Rechenzentren in Deutschland betreibt. Für die Prüfung, welche Funktionen einem Konto zur Verfügung stehen, wird die Kennung jedes angemeldeten Nutzerkontos an den Dienstleister für die Abonnementverwaltung übermittelt, auch ohne eigenen Kauf. Diktiert eine Person einen Berichtsheft-Eintrag, kann die Aufnahme zur Spracherkennung an den Anbieter des Betriebssystems oder Browsers gehen, der sie in eigener Verantwortung verarbeitet. Produktanalyse und Fehlerdiagnose finden nur mit Einwilligung der einzelnen Person und in eigener Verantwortung von asyoube statt (AVV Anlage 1 Ziffer 1.9). Die vollständige, aktuelle Liste aller Unterauftragsverarbeiter mit Zweck, verarbeiteten Daten und Garantien finden Sie unter https://asyoube.de/legal/unterauftragsverarbeiter.

3.4 Speicherorte und Aufbewahrung

(17) Die Anwendungsdaten liegen in Rechenzentren in der Europäischen Union. Die Dienstleister für Datenbank und Identität haben ihren Sitz in Drittländern (Singapur, Australien); ein Zugriff von dort ist durch EU-Standardvertragsklauseln abgesichert. Texte und Kompetenzwerte, die an Anbieter von KI-Sprachmodellen gehen (Absätze 13 und 14), können bei Anbietern ohne Festlegung auf die Europäische Union auch in den USA verarbeitet werden. Die Kennung jedes Nutzerkontos geht für die Prüfung von Berechtigungen an einen Dienstleister in den USA. Einzelheiten und Garantien entnehmen Sie der Unterauftragsverarbeiter-Liste.

(18) Berichtsheft-Daten bleiben derzeit ohne festgelegte Frist erhalten, auch nach Löschung des Nutzerkontos oder dem Ende Ihres Vertrags; die oder der Auszubildende behält den Zugang zum eigenen Berichtsheft. Das BBiG verpflichtet Auszubildende, den Ausbildungsnachweis zu führen, und Sie, ihn regelmäßig durchzusehen; seine Vorlage ist Voraussetzung für die Zulassung zur Abschlussprüfung (§ 13 Satz 2 Nr. 7, § 14 Abs. 2, § 43 Abs. 1 Nr. 2 BBiG); eine Aufbewahrungsfrist, die asyoube als Auftragsverarbeiter träfe, enthält es nicht. Diese Aufbewahrung wird deshalb derzeit rechtlich neu bewertet; berücksichtigen Sie sie in Ihrer DSFA. Zur Löschung der Betriebsdaten können Sie die Löschung des Betriebs jederzeit in der Verwaltung beantragen; sie beginnt dreißig Tage nach dem Antrag, und jede Administration kann sie bis dahin widerrufen. Beantragen Sie sie nicht, bleiben die Betriebsdaten nach dem Ende des Hauptvertrags bei deaktiviertem Zugang gespeichert; asyoube kann die Löschung nach neunzig Tagen ohne Nutzung seit dem Ende der Lizenz einleiten, nachdem sie der Administration zweimal in Textform angekündigt wurde. Vor der Beendigung können Sie in Textform wählen, ob die Betriebsdaten gelöscht oder zurückgegeben werden (AVV Ziffer 10 (1), (2)). Die Konten der Auszubildenden mit ihren Berichtsheft-Daten gehören nicht zu den Betriebsdaten und bleiben bei der jeweiligen Person bestehen.

(19) Einträge im Protokoll werden nach 365 Tagen automatisch gelöscht, sobald das Jahresarchiv ihres Kalenderjahres abgelegt ist. Ab dem 1. Januar legt asyoube das Protokoll des vergangenen Kalenderjahres als Jahresarchiv ab, eine Datei je Jahr, die Ihre Administration herunterladen kann; es enthält die Namen der handelnden Personen und die geänderten Werte und bleibt bis zur Löschung des Betriebs gespeichert (AVV Anlage 1 Ziffer 1.7 (3)). Bewerten Sie diese Aufbewahrung in Ihrer DSFA; auf Ihre Weisung löschen oder berichtigen wir Einträge auch im Jahresarchiv (AVV Ziffer 8 (2)). Zwischenergebnisse der asynchronen Korrektur werden nach 24 Stunden automatisch gelöscht. Feedbackgespräch-Notizen haben keine feste Frist, sie bleiben bis zur Löschung durch die Verfasserin oder den Verfasser oder die Administration, spätestens bis zur Löschung des Betriebs; Nachweis-Datensätze (Prüfcode, Prüfsumme, Zeitraum) werden 1.095 Tage aufbewahrt, die Nachweis-Dokumente selbst speichert asyoube nicht. Rechnungen, Rechnungskorrekturen und Abrechnungsdaten bewahrt asyoube in eigener Verantwortung nach den gesetzlichen Fristen auf (§ 147 AO, § 14b UStG), Zahlungseingänge und Angaben zur Erstattung acht Jahre ab Ende des Buchungsjahres; eine automatische Löschung nach Fristablauf ist derzeit nicht eingerichtet. Technische Protokolle, Kennzahlen und Ablaufverfolgungen werden im zentralen Überwachungssystem 90 Tage aufbewahrt.

(20) Nach Löschung eines Kontos bleiben Lernereignisse, die Bewertungen je Übungsversuch und das Kompetenzmodell unter der bisherigen, nicht sprechenden Kennung gespeichert; asyoube nutzt sie auch für die plattformweite Kalibrierung des Kompetenzmodells. Die Daten sind pseudonymisiert, nicht anonymisiert: Über die aufbewahrten Berichtsheft-Daten, bis zu 365 Tage über das Protokoll und bis zur Löschung des Betriebs über dessen Jahresarchive bleibt eine Zuordnung zu einer Person möglich. Eine Löschfrist ist nicht festgelegt; Löschanträgen Ihrer Auszubildenden kann für diese Daten derzeit nicht vollständig entsprochen werden.

(21) Für abgeschlossene Wochen von Nutzenden ohne Zuordnung zu einem Betrieb kopiert ein täglicher Hintergrundprozess bereinigte Tätigkeitstexte und Tages-Metadaten, darunter Kalenderwoche, Ausbildungsberuf, Abwesenheitskennzeichen, Arbeitsstunden und Anzahl der Tätigkeiten, in interne Auswertungstabellen, die asyoube zur Verbesserung des Dienstes in eigener Verantwortung nutzt (AVV Anlage 1 Ziffer 1.3 (8), 1.9 (3)). Daten von Berichtsheft-Wochen, die einem Betrieb zugeordnet sind oder waren, nimmt asyoube in diese Tabellen nicht auf; das beruht nach unserer Kenntnis auf einer ausgeschalteten Konfiguration (Schalter Berichtsheft:ExportCompanyWeeks), die vor einer Änderung zuerst im AVV zu regeln wäre. Ihre Auszubildenden sind davon nicht betroffen, solange ihre Wochen Ihrem Betrieb zugeordnet sind oder waren. Die Datensätze tragen keine Nutzer- oder Betriebskennung, aber einen aus der Kennung der Berichtsheft-Woche abgeleiteten Prüfwert, über den sie dieser Woche wieder zugeordnet werden können; es bleiben personenbezogene Daten. Eine Löschung auf Antrag ist derzeit nicht vorgesehen, eine Löschfrist nicht festgelegt.

(22) Angaben zu Datensicherungen der Datenbank (Häufigkeit, Aufbewahrungsdauer, Löschung) holen wir beim Dienstleister ein und stellen sie Ihnen auf Anfrage zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO). Die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO beschreibt Anlage 2 des AVV.

4. Zweck und Rechtsgrundlagen

(1) Die folgenden Zwecke und Rechtsgrundlagen sind ein Vorschlag. Die Entscheidung, auf welche Rechtsgrundlage Sie sich stützen, treffen Sie als Verantwortlicher.

(2) Berichtsheft: Erfüllung Ihrer gesetzlichen Pflicht, den Ausbildungsnachweis führen zu lassen und regelmäßig durchzusehen (§ 13 Satz 2 Nr. 7, § 14 Abs. 2 BBiG), in Verbindung mit Art. 6 Abs. 1 lit. c und Abs. 3 DSGVO; für das Führen, Speichern und Freigeben auf der Plattform kommt Art. 6 Abs. 1 lit. b DSGVO (Berufsausbildungsvertrag) in Betracht, ergänzend Art. 6 Abs. 1 lit. f DSGVO mit dokumentierter Abwägung.

(3) Beachten Sie dabei: Der Europäische Gerichtshof hat entschieden, dass eine nationale Vorschrift wie § 26 BDSG nur dann als eigenständige Rechtsgrundlage taugt, wenn sie die Anforderungen des Art. 88 Abs. 2 DSGVO erfüllt, andernfalls muss sie unangewendet bleiben, sofern sie nicht zugleich eine Rechtsgrundlage nach Art. 6 Abs. 3 DSGVO ist, die den Anforderungen der DSGVO genügt (EuGH, Urteil vom 30.03.2023, C-34/21, ECLI:EU:C:2023:270). Stützen Sie sich deshalb nicht allein auf § 26 Abs. 1 Satz 1 BDSG, sondern auf Art. 6 Abs. 1 lit. b, c oder f DSGVO oder auf eine Kollektivvereinbarung.

(4) Lernen und Üben: Für die Bereitstellung von Übungen kommt Art. 6 Abs. 1 lit. b DSGVO in Betracht, soweit das Lernangebot Teil der geschuldeten Ausbildung ist. Kompetenzprofile, Kalibrierungs- und Risikostufen und ihre Bereitstellung für Ausbildende Personen sind für die Durchführung des Ausbildungsvertrags regelmäßig nicht objektiv unerlässlich (EuGH, Urteil vom 4.7.2023, C-252/21); prüfen Sie hierfür Art. 6 Abs. 1 lit. f DSGVO mit dokumentierter Abwägung oder eine Betriebsvereinbarung (Art. 88 DSGVO, § 26 Abs. 4 BDSG). Eine Betriebsvereinbarung ersetzt die Prüfung der Art. 5, 6 Abs. 1 und 9 DSGVO nicht: Eine Kollektivvereinbarung muss auch diese Anforderungen erfüllen, und die Gerichte prüfen die Erforderlichkeit voll nach (EuGH, Urteil vom 19.12.2024, C-65/23). Das Bundesarbeitsgericht hat danach einen Schadensersatzanspruch zugesprochen, weil eine Datenübermittlung über die Erlaubnis der Betriebsvereinbarung hinausging (BAG, Urteil vom 08.05.2025, 8 AZR 209/21).

(5) Gesundheitsangaben (Abwesenheitskennzeichen „Krank“): § 26 Abs. 3 Satz 1 BDSG in Verbindung mit Art. 9 Abs. 2 lit. b DSGVO, soweit die Verarbeitung zur Ausübung von Rechten oder zur Erfüllung von Pflichten aus dem Arbeitsrecht erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person überwiegt; dabei sind angemessene und spezifische Schutzmaßnahmen vorzusehen (§ 26 Abs. 3 Satz 3 in Verbindung mit § 22 Abs. 2 BDSG).

(6) Abrechnung und Vertragsabwicklung zwischen Ihnen und asyoube: Das verantwortet asyoube selbst (AVV Ziffer 1 (7), Anlage 1 Ziffer 1.9 (2)), auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Hauptvertrag), Art. 6 Abs. 1 lit. c DSGVO für die gesetzlichen Aufbewahrungspflichten nach § 147 AO und § 14b UStG und Art. 6 Abs. 1 lit. f DSGVO für die Zuordnung von Zahlungen und die Mahnung. Sie müssen dafür keine eigene Rechtsgrundlage festlegen.

(7) Diese Vorschläge ersetzen nicht die eigene Prüfung, ob im Einzelfall eine speziellere Kollektivvereinbarung, ein Tarifvertrag oder eine Betriebsvereinbarung vorrangig heranzuziehen ist.

5. Notwendigkeit und Verhältnismäßigkeit

(1) Dieser Abschnitt unterstützt Art. 35 Abs. 7 lit. b DSGVO: „eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck“.

(2) Datensparsamkeit im Design, soweit uns belegt: Die Plattform erfasst kein Geburtsdatum und kein Altersfeld. Nach Löschung eines Nutzerkontos werden Rohantworten und gespeicherte Rückmeldetexte gelöscht; Kompetenzmodell und Bewertungen bleiben pseudonymisiert erhalten (Abschnitt 3.4). Metriken werden ohne Nutzer- oder Konzeptkennung geführt; technische Protokolle und Ablaufverfolgungen enthalten nicht sprechende Nutzer- und Inhaltskennungen.

(3) Alternative: Ein Papier-Berichtsheft erfüllt dieselbe gesetzliche Nachweispflicht (§ 13 Satz 2 Nr. 7 BBiG), bietet aber keine Auswertungen, keine Erinnerungen und keine automatisierte Strukturierung, die Entscheidung für die digitale Variante liegt bei Ihnen.

(4) Rollenmodell als Verhältnismäßigkeits-Maßnahme: Eine Ausbildende Person sieht nur die ihr direkt oder über ein aktives Team zugeordneten Auszubildenden, nicht automatisch die gesamte Belegschaft des Betriebs; Ausbildungsleitung und Administration sehen alle Auszubildenden.

(5) Aufbewahrung nach Zweck differenziert: Wie in Abschnitt 3.4 dargestellt, unterscheiden sich die Fristen deutlich je Datenklasse, von 24 Stunden für technische Zwischenergebnisse bis zu einer derzeit unbefristeten Aufbewahrung von Berichtsheft-Daten und Kompetenzmodell. Eine pauschale, einheitliche Frist gibt es nicht.

(6) Die Zahl Ihrer Auszubildenden beeinflusst, ob eine Verarbeitung bei Ihnen in großem Umfang stattfindet (Abschnitt 2.1, Nr. 5). Dokumentieren Sie diese Abwägung für Ihre eigene DSFA.

6. Risiken und Maßnahmen

(1) Dieser Abschnitt unterstützt Art. 35 Abs. 7 lit. c und lit. d DSGVO: eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen und die zu ihrer Bewältigung geplanten Maßnahmen. Zu jedem Risiko nennen wir, was asyoube bereits tut, und was Sie als Betrieb zusätzlich prüfen oder veranlassen müssen.

6.1 Leistungs- und Verhaltenskontrolle

(2) Risiko: Die Auswertungen für Ausbildende Personen zeigen laufend berechnete Kennzahlen zu Kompetenz, Lernserie, Kalibrierung und Risikostufe sowie zu Anmeldungen, letzter Aktivität, Sitzungen und Lernzeit je auszubildender Person; die Risikostufe berücksichtigt auch überfällige Berichtsheft-Wochen und Inaktivität. Schon das Berichtsheft erfasst Tätigkeiten, Arbeitsstunden, Abwesenheiten, Abgabezeitpunkte und Fristen und wertet sie aus. Eine technische Einrichtung, die dazu bestimmt ist, das Verhalten oder die Leistung von Arbeitnehmern zu überwachen, unterliegt der Mitbestimmung des Betriebsrats (§ 87 Abs. 1 Nr. 6 BetrVG: „Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen“).

(3) Nach der Rechtsprechung des Bundesarbeitsgerichts genügt dafür bereits die objektive Eignung der Einrichtung, solche Informationen zu erfassen, unabhängig vom tatsächlichen Verwendungswillen des Betriebs; es reicht, dass eingegebene Daten von der Einrichtung weiterverwertet werden (BAG, Beschluss vom 13.12.2016, 1 ABR 7/15).

(4) Was asyoube tut: Ausbildende Personen sehen serverseitig nur die ihnen direkt oder über ein aktives Team zugeordneten Auszubildenden. Ausbildungsleitung und Administration sehen alle aktiven Auszubildenden Ihres Betriebs, unabhängig von der Zuordnung.

(5) Was Sie tun müssen: Beteiligen Sie den Betriebsrat vor der Einführung der Plattform, nicht erst vor dem Einsatz der Auswertungen, denn schon das Berichtsheft erfasst und wertet Verhaltens- und Leistungsdaten aus; das gilt auch für die Entscheidungen Ihrer Ausbildenden Personen. Die Jugend- und Auszubildendenvertretung wirkt über den Betriebsrat mit (§§ 67, 70 BetrVG); in öffentlichen Einrichtungen ist der Personalrat zu beteiligen. Die Mitbestimmung greift schon durch die Eignung des Systems, unabhängig davon, ob Sie die Kennzahlen tatsächlich zur Bewertung nutzen.

6.2 Minderjährige

(6) Risiko: Auszubildende können, vor allem im ersten Ausbildungsjahr, minderjährig sein. Kinder verdienen bei ihren personenbezogenen Daten besonderen Schutz, „da Kinder sich der betreffenden Risiken, Folgen und Garantien und ihrer Rechte bei der Verarbeitung personenbezogener Daten möglicherweise weniger bewusst sind“ (Erwägungsgrund 38 DSGVO); dieser Schutz betrifft nach Erwägungsgrund 38 insbesondere die Erstellung von Persönlichkeits- oder Nutzerprofilen. Die WP-248-Kriterien nennen „Kinder“ ausdrücklich als schutzbedürftige Betroffene (Abschnitt 2.2).

(7) Was asyoube tut: Die Plattform erfasst kein Geburtsdatum und kein Altersfeld. Sie kann Minderjährige daher nicht erkennen und behandelt sie wie volljährige Auszubildende: Kompetenzprofile, Risikostufen und Auswertungen entstehen für alle gleich, auch im Probemonat. Auch die Einwilligung in Produktanalyse und Fehlerdiagnose (AVV Anlage 1 Ziffer 1.9 (1)) holt die App ohne Altersprüfung ein; für Personen unter 16 Jahren verlangt Art. 8 DSGVO bei Diensten der Informationsgesellschaft die Zustimmung der Sorgeberechtigten.

(8) Was Sie tun müssen: Das Alter Ihrer Auszubildenden kennen Sie aus dem Ausbildungsverhältnis, die Plattform kann Sie dabei nicht unterstützen. Gestalten Sie Informationen an Auszubildende in verständlicher Sprache und berücksichtigen Sie den besonderen Schutzbedarf minderjähriger Auszubildender bei Freigaben und Auswertungen.

6.3 Gesundheitsangaben

(9) Risiko: Das Berichtsheft kennt ein Abwesenheitskennzeichen „Krank“ ohne Diagnosefeld. Schon dieses Kennzeichen ist ein Gesundheitsdatum im Sinne von Art. 9 Abs. 1 DSGVO, denn dazu zählen „alle Daten [...], die sich auf den Gesundheitszustand einer betroffenen Person beziehen“ (Erwägungsgrund 35 DSGVO). Das Kennzeichen sehen die zugeordnete Ausbildende Person, die Ausbildungsleitung und die Administration Ihres Betriebs; es wird für jeden so gekennzeichneten Tag im PDF-Ausbildungsnachweis gedruckt, der der zuständigen Stelle zur Zulassung zur Abschlussprüfung vorgelegt wird (§ 43 Abs. 1 Nr. 2 BBiG), ebenso im Sammel-PDF (bis zu 24 Stunden gespeichert) und in der Wochenansicht und der Übersicht angezeigt. In E-Mails der Plattform und in der internen Auswertungstabelle für Wochen eines Betriebs erscheint es nicht (Abschnitt 3.4). Der Gerichtshof legt den Begriff der Gesundheitsdaten weit aus, schon die Angabe, dass eine Person krankgeschrieben ist, zählt dazu (EuGH, Urteil vom 06.11.2003, C-101/01, Rn. 50 f.). Das allgemeine Freitextfeld desselben Tageseintrags ist technisch nicht daran gehindert, zusätzliche Angaben zur Erkrankung zu enthalten, wenn die oder der Auszubildende das einträgt.

(10) Was asyoube tut: Für „Krank“ gibt es kein separates Diagnosefeld, nur das Kennzeichen selbst. Der Pausengrund ist eine feste Auswahl aus „Elternzeit“ und „Sonstiges“ ohne Freitext und ohne Gesundheitsangabe; ein Grund ist nicht erforderlich.

(11) Was Sie tun müssen: Weisen Sie Auszubildende an, in das Freitextfeld keine Diagnosen oder sonstigen Gesundheitsangaben einzutragen, das Kennzeichen allein genügt. Legen Sie die Rechtsgrundlage für die Verarbeitung fest, Vorschlag: § 26 Abs. 3 Satz 1 BDSG in Verbindung mit Art. 9 Abs. 2 lit. b DSGVO (Abschnitt 4).

6.4 KI-Verarbeitung

(12) Risiko: KI-Sprachmodelle strukturieren Berichtsheft-Freitext, korrigieren Übungs- und Prüfungsantworten und erzeugen Übungsaufgaben aus Lehrplan-Inhalten und den Kompetenzwerten der anfragenden Person. Die Korrektur wirkt sich automatisiert auf den Kompetenzwert der oder des Lernenden aus, ohne dass vor dem Wirksamwerden zwingend eine zweite Person gegenprüft.

(13) Was asyoube tut: Bei der Berichtsheft-Strukturierung sieht und bearbeitet die oder der Auszubildende die vom Modell erzeugten Einträge vor der wöchentlichen Freigabe. Bei der Korrektur können Ausbildende Personen mit eigener Lizenz die KI-Bewertung einer Freitextaufgabe nachträglich durch eine eigene Bewertung ausgleichen; Antworttext und Rückmeldung sehen sie dabei nicht, und die ursprüngliche Bewertung bleibt gespeichert und wirkt im Kompetenzmodell fort. Eine Prüfung vor dem Wirksamwerden und eine Beanstandungsmöglichkeit für Auszubildende gibt es nicht. Die Korrektur löst nach unserer Kenntnis kein automatisches Sperren oder Sanktionieren aus; ob Art. 22 DSGVO berührt ist, hängt aber auch davon ab, wie maßgeblich Sie die Werte bei Entscheidungen heranziehen (EuGH, Urteil vom 7.12.2023, C-634/21).

(14) Einordnung nach der Verordnung über künstliche Intelligenz, Verordnung (EU) 2024/1689 (KI-VO): asyoube integriert die Sprachmodelle in die eigene Plattform und stellt diese unter eigenem Namen bereit; nach unserer Einschätzung ist asyoube damit Anbieterin des KI-Systems im Sinne von Art. 3 Nr. 3 KI-VO, und Sie als Betrieb sind Betreiberin oder Betreiber im Sinne von Art. 3 Nr. 4 KI-VO. Die endgültige Zuordnung für jede einzelne Funktion steht noch aus.

(15) Die Korrektur- und Kompetenz-Schätzungsfunktion kann unter Art. 6 Abs. 2 in Verbindung mit Anhang III Nr. 3 lit. b KI-VO fallen: „KI-Systeme, die bestimmungsgemäß für die Bewertung von Lernergebnissen verwendet werden sollen, einschließlich des Falles, dass diese Ergebnisse dazu dienen, den Lernprozess natürlicher Personen in Einrichtungen oder Programmen aller Ebenen der allgemeinen und beruflichen Bildung zu steuern“. Daneben kommt Anhang III Nr. 4 lit. b KI-VO in Betracht, die Beobachtung und Bewertung von Leistung und Verhalten von Personen in Beschäftigungsverhältnissen. Die Kommission hat am 19.05.2026 einen Entwurf von Leitlinien zur Einstufung von Hochrisiko-KI-Systemen zur Konsultation gestellt (Frist bis 23.06.2026); den Inhalt des Entwurfs geben wir hier nicht wieder, weil wir ihn nicht abschließend geprüft haben. Die abschließende Einstufung ist offen: Die eigentlich bis zum 2. Februar 2026 fällige Leitlinie der Kommission (Art. 6 Abs. 5 KI-VO) besteht uns bekannt bislang nur als Entwurf.

(16) Weil ein solches System Profile natürlicher Personen erstellt, greift die Ausnahme in Art. 6 Abs. 3 KI-VO für Systeme ohne erhebliches Risiko nach unserer Einschätzung nicht (Art. 6 Abs. 3 Unterabs. 2 KI-VO): „Ungeachtet des Unterabsatzes 1 gilt ein in Anhang III aufgeführtes KI-System immer dann als hochriskant, wenn es ein Profiling natürlicher Personen vornimmt.“

(17) Zeitplan, soweit uns belegt: Sollte Anhang III greifen, gelten die zugehörigen Hochrisiko-Pflichten wegen der Änderungsverordnung (EU) 2026/1744 vom 8. Juli 2026 erst ab dem 2. Dezember 2027 (Art. 113 Abs. 3 lit. c KI-VO in der geänderten Fassung), statt wie ursprünglich vorgesehen ab dem 2. August 2026; für Hochrisiko-Systeme nach Anhang I gilt der 2. August 2028. Unabhängig davon gilt seit dem 2. August 2026 die Transparenzpflicht aus Art. 50 Abs. 1 KI-VO, natürliche Personen darüber zu informieren, dass sie mit einem KI-System interagieren. Ab der App-Version 3.13.0 kennzeichnet die App die KI-gestützte Verarbeitung gegenüber den Auszubildenden: Übungs- und Prüfungsantworten tragen den Hinweis „Automatisch bewertet.“ mit der Erklärung, dass ein KI-System die Antwort anhand der gespeicherten Musterlösung bewertet und sich dabei irren kann, und vom Sprachmodell strukturierte Berichtsheft-Einträge den Hinweis „KI-gestützt strukturiert“. Ob diese Kennzeichnung Art. 50 Abs. 1 KI-VO genügt, ist Teil der rechtlichen Prüfung. Die Pflicht der Anbieter, erzeugte Inhalte maschinenlesbar zu kennzeichnen (Art. 50 Abs. 2 KI-VO), gilt für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, erst ab dem 2. Dezember 2026 (Art. 111 Abs. 4 KI-VO in der Fassung der Verordnung (EU) 2026/1744); sie trifft die Anbieterin, nicht Sie. Solange Ihre Auszubildenden ältere App-Versionen nutzen, informieren Sie sie selbst darüber (Abschnitt 7 (2)).

(18) Was Sie tun müssen: Nutzen Sie die Kennzahlen nicht für Beurteilungen, Übernahme- oder Kündigungsentscheidungen; andernfalls können Sie nach Art. 25 Abs. 1 lit. c KI-VO selbst als Anbieter gelten. Sollte das System als Hochrisiko-KI-System eingestuft werden und am Arbeitsplatz eingesetzt werden, müssten Sie als Betreiberin oder Betreiber Ihre Auszubildenden und deren Vertretung vor dem Einsatz darüber informieren, dass sie dem Einsatz des Systems unterliegen werden (Art. 26 Abs. 7 KI-VO), und die Informationen des Anbieters für Ihre DSFA nutzen (Art. 26 Abs. 9 KI-VO). Beobachten Sie die weitere Entwicklung, insbesondere die noch ausstehenden finalen Kommissions-Leitlinien.

6.5 Profiling

(19) Risiko: Jeder lernenden Person wird individuell ein numerischer Kompetenzwert je Lernziel und Konzept, eine Kalibrierungs-Einstufung und eine Risikostufe zugeordnet, bereitgestellt für die zugeordneten Ausbildenden Personen sowie für Ausbildungsleitung und Administration und maßgeblich dafür, welche Übungsinhalte automatisiert vorgeschlagen werden. Das ist Profiling im Sinne von Art. 4 Nr. 4 DSGVO.

(20) Was asyoube tut: Die Werte werden angezeigt, steuern die Inhaltsauswahl und fließen pseudonymisiert in die plattformweite Kalibrierung des Kompetenzmodells ein (Abschnitt 3.4); nach unserer Kenntnis löst keiner der Werte automatisch eine Sperrung, Kündigung oder andere Maßnahme mit Rechtswirkung aus.

(21) Was Sie tun müssen: Nutzen Sie die Kennzahlen zweckgebunden für die Ausbildung, nicht für personalrechtliche Entscheidungen, und informieren Sie Ihre Auszubildenden über das Profiling (Abschnitt 7).

6.6 Vertraulichkeit und Zugriff

(22) Risiko: Ein Fehler in der Mandantentrennung könnte Daten eines Betriebs für einen anderen Betrieb offenlegen, ein Fehler in der Rollenzuordnung könnte Ausbildenden Personen Zugriff auf nicht zugeordnete Auszubildende geben.

(23) Was asyoube tut: Eigene Datensätze sind serverseitig über ein pro Person kurzlebiges, signiertes Zugriffstoken abgesichert. Firmendaten sind über eine serverseitige Prüfung der Mitgliedschaft abgesichert. Lern- und Kompetenzdaten sind für direkte Datenbankzugriffe aus der App gesperrt und nur über die serverseitige Anwendung mit eigener Berechtigungsprüfung erreichbar. Nach Löschung eines Nutzerkontos werden Prüfungsdaten, gespeicherte Rückmeldetexte und Rohantworten gelöscht beziehungsweise geleert und exportierte PDF-Dokumente gelöscht.

(24) Was Sie tun müssen: Pflegen Sie die Zuordnung von Ausbildenden Personen zu Auszubildenden aktuell, entfernen Sie ausgeschiedene Ausbildende Personen zeitnah aus ihren Rollen, und melden Sie uns Auffälligkeiten.

(25) Diese Risikoübersicht ist nicht abschließend, prüfen Sie im Rahmen Ihrer DSFA, ob bei Ihnen weitere Risiken bestehen, zum Beispiel aus betriebsspezifischen Zusatzfeldern oder eigenen Auswertungen außerhalb der Plattform.

7. Was Sie als Betrieb selbst tun müssen

(1) Beteiligen Sie den Betriebsrat, in öffentlichen Einrichtungen den Personalrat, vor der Einführung der Plattform (Abschnitt 6.1); die Jugend- und Auszubildendenvertretung wirkt über den Betriebsrat mit.

(2) Informieren Sie Ihre Auszubildenden und Ihr Personal nach Art. 13 DSGVO in verständlicher Sprache über die Verarbeitung, insbesondere über das Kompetenzmodell, die Auswertungen, die KI-Verarbeitung einschließlich einer möglichen Verarbeitung außerhalb der Europäischen Union und die Bindung des Berichtshefts an das Konto der Person (Abschnitt 3.3).

(3) Pflegen Sie die Zuordnung zwischen Ausbildenden Personen und Auszubildenden aktuell und prüfen Sie sie regelmäßig, legen Sie fest, wer in Ihrem Betrieb Zugriff auf die Auswertungen erhält.

(4) Legen Sie Regeln für Freitexteinträge fest: keine Diagnosen im Berichtsheft, Zurückhaltung bei personenbezogenen Angaben zu Dritten wie Kolleginnen, Kollegen, Kundinnen und Kunden, weil Freitext an KI-Sprachmodelle übermittelt wird (Abschnitt 3.3).

(5) Regeln Sie, was am Ende der Ausbildung mit exportierten Berichtsheft-Dokumenten geschieht, und wie lange Sie diese selbst aufbewahren.

(6) Dokumentieren Sie Ihre DSFA oder Ihre begründete Entscheidung, keine durchzuführen, schriftlich und holen Sie, soweit angemessen, den Standpunkt der betroffenen Personen oder ihrer Vertreter ein: „Der Verantwortliche holt gegebenenfalls den Standpunkt der betroffenen Personen oder ihrer Vertreter zu der beabsichtigten Verarbeitung [...] ein“ (Art. 35 Abs. 9 DSGVO).

(7) Ergibt Ihre DSFA trotz der von asyoube getroffenen Maßnahmen ein hohes Restrisiko, konsultieren Sie vorab die zuständige Aufsichtsbehörde (Art. 36 DSGVO).

(8) Prüfen Sie diese Seite und die Liste der Unterauftragsverarbeiter regelmäßig auf Aktualisierungen und übernehmen Sie relevante Änderungen in Ihre DSFA-Dokumentation.

(9) Prüfen Sie regelmäßig, ob sich die Nutzung der Plattform bei Ihnen geändert hat, und aktualisieren Sie Ihre DSFA entsprechend.

(10) Ist nach Ihrer Prüfung eine DSFA durchzuführen, müssen Sie unabhängig von der Zahl Ihrer Beschäftigten eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten benennen (§ 38 Abs. 1 Satz 2 BDSG) und bei der DSFA deren oder dessen Rat einholen (Art. 35 Abs. 2 DSGVO).

8. Unterstützung durch asyoube

(1) Wir unterstützen Sie bei Ihrer DSFA, soweit uns die Art der Verarbeitung und die uns vorliegenden Informationen dies erlauben (Art. 28 Abs. 3 lit. f DSGVO), und stellen Ihnen auf Anfrage Auskünfte und Nachweise zur Verfügung (AVV Ziffer 7).

(2) Kommt es zu einem Sicherheitsvorfall mit Bezug zu Auftraggeberdaten, informieren wir Sie gemäß den im Auftragsverarbeitungsvertrag festgelegten Fristen und Inhalten (AVV Ziffer 4).

(3) Für Rückfragen zu dieser Seite oder zu Ihrer DSFA erreichen Sie uns unter hello@asyoube.de.

(4) Den Auftragsverarbeitungsvertrag mit den vollständigen Regelungen finden Sie unter https://asyoube.de/legal/avv. Die Liste unserer Unterauftragsverarbeiter finden Sie unter https://asyoube.de/legal/unterauftragsverarbeiter.

(5) Diese Seite wird bei wesentlichen Änderungen der Plattform aktualisiert, das Datum am Ende der Seite zeigt den jeweiligen Stand.

(6) Diese Seite behandelt nur die asyoube-Plattform, nicht weitere Werkzeuge oder Verfahren, die Sie außerhalb der Plattform einsetzen.

(7) Diese Unterstützung ersetzt nicht die Einbindung einer eigenen Datenschutzbeauftragten, eines eigenen Datenschutzbeauftragten oder einer externen Rechtsberatung, wo diese für Sie verpflichtend oder sinnvoll ist.

(8) Anträge Ihrer Auszubildenden und Beschäftigten nach Art. 15 bis 22 DSGVO unterstützen wir nach AVV Ziffer 8. Auskunft und Datenübertragung stellt derzeit unser Support manuell zusammen. KI-Bewertungen werden nicht geändert, sondern durch ausgleichende Bewertungen ergänzt. Berichtsheft-Daten und Kompetenzmodell werden derzeit auch auf Antrag nicht vollständig gelöscht (Abschnitt 3.4). Einträge im Protokoll und in seinen Jahresarchiven löschen oder berichtigen wir auf Ihre Weisung (AVV Ziffer 8 (2)); ob der Antrag einer Person das verlangt, entscheiden Sie als Verantwortlicher. Die interne Auswertungstabelle enthält keine Daten Ihrer Auszubildenden, solange deren Wochen Ihrem Betrieb zugeordnet sind oder waren. Anträge zur Abrechnung und zu Zahlungsdaten richten betroffene Personen unmittelbar an asyoube (hello@asyoube.de), weil asyoube sie in eigener Verantwortung verarbeitet. Einzelne Personen lassen sich derzeit nicht vom Kompetenzprofil oder von der Sichtbarkeit für Ausbildende Personen ausnehmen.