Datenschutzerklärung

1. Verantwortlicher und Nutzungsszenarien

Diese Datenschutzhinweise unterscheiden zwei Nutzungsszenarien, in denen die App betrieben wird:

Szenario A — Direktnutzung: Bei eigenständiger Anmeldung und Nutzung ohne Zuordnung zu einem Ausbildungsbetrieb ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO:

Szenario B — Nutzung über einen Ausbildungsbetrieb: Wenn die App von einem Ausbildungsbetrieb (z.B. Stadtwerk, kommunales Bad, Zweckverband) für die eigenen Auszubildenden und Ausbilder eingesetzt wird, ist der jeweilige Betrieb Verantwortlicher für sämtliche Konto-, Lern-, Ausbildungs- und Kommunikationsdaten der zugeordneten Personen. Der App-Betreiber verarbeitet diese Daten in diesem Fall ausschließlich auf dokumentierte Weisung des Betriebs als Auftragsverarbeiter nach Art. 28 DSGVO; Grundlage ist ein Auftragsverarbeitungsvertrag (AVV) zwischen Betrieb und Betreiber.

In Szenario B sind die primären Informationen nach Art. 13 DSGVO vom jeweiligen Ausbildungsbetrieb bereitzustellen. Diese Datenschutzerklärung dient in diesem Fall als ergänzende Transparenzinformation des Betreibers. Anfragen zur Verarbeitung im Ausbildungskontext richten Sie bitte zunächst an Ihren Ausbildungsbetrieb; der Betreiber unterstützt auf Anforderung des Betriebs.

Betriebsinterne Ausbildungsdaten wie Berichtsheft, Klausurnoten, Prüfungssimulator, Leistungsnachweis, Berufsschulkarte, Lernstände, Ausbilder-Kommentare und betriebsinterne Chats bleiben im Workspace des jeweiligen Ausbildungsbetriebs. Betriebsübergreifende Funktionen wie Quizduell, Forum und Schwimm-Challenge verwenden außerhalb des eigenen Betriebs nur öffentliche Anzeigenamen, Avatare und funktionsbezogene Statistiken.

2. Datenschutzkontakt

Für Fragen zum Datenschutz erreichen Sie den Verantwortlichen unter:

Dennie Gulbinski
E-Mail: kontakt@smartbaden.de (Betreff: „Datenschutz“)

Der Verantwortliche verfügt über eine datenschutzrechtliche Weiterbildung, unter anderem im Bereich Datenschutzbeauftragter, und bearbeitet Datenschutzanfragen intern fachkundig. Ein formell benannter Datenschutzbeauftragter im Sinne von Art. 37 DSGVO besteht derzeit nicht. Die Erforderlichkeit einer Benennung wird regelmäßig überprüft; die Prüfung umfasst insbesondere die Schwellenwerte nach § 38 BDSG sowie die Frage, ob eine Verarbeitung vorliegt, die eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich macht. Bei Eintritt einer Benennungspflicht oder auf entsprechende Anforderung von Auftraggebern wird ein externer Datenschutzbeauftragter eingebunden.

3. Zwecke der Verarbeitung

• Bereitstellung von Benutzerkonten, Rollen, Organisationen und App-Funktionen
• Unterstützung von Lern-, Ausbildungs- und Organisationsprozessen (Berichtsheft, Klausuren, Quiz, Schwimm-Challenge u.a.)
• Führen des Leistungsnachweises für die Anmeldung zur Zwischen- und zur Abschlussprüfung (nur bei Nutzung über einen Ausbildungsbetrieb)
• Kommunikation zwischen Azubis, Ausbildern und Administration (Chat, Forum, Benachrichtigungen)
• Datensparsame Verbesserung einzelner Lern- und Spielfunktionen anhand aggregierter Nutzungsschritte
• Sicherer Betrieb, Missbrauchserkennung und Nachvollziehbarkeit sicherheitsrelevanter Aktionen
• Erfüllung gesetzlicher und vertraglicher Pflichten gegenüber Ausbildungsbetrieben

4. Verarbeitete Datenarten

• Kontodaten: öffentlicher Anzeigename bzw. frei wählbarer Spitzname, E-Mail-Adresse, Rolle, Status, Avatar; bei Bedarf Bestätigung, dass das 16. Lebensjahr vollendet wurde (Altersbestätigung nach Art. 8 DSGVO)
• Optionale Profilangaben: Geburtsdatum (freiwillig). Wird verwendet zur Altersprüfung im Sinne von Art. 8 DSGVO sowie — sofern der Nutzer das Schwimm-Trainingsmodul verwendet — zur Berechnung eines altersbedingten Zeitbonus (Handicap) bei Schwimm-Auswertungen. Die Angabe ist nicht erforderlich für die übrige Nutzung der App.
• Organisationsdaten: Zugeordneter Ausbildungsbetrieb, Einladungscode-Bezug, Berechtigungen
• Lern- und Ausbildungsdaten: Lernfortschritte, Quiz- und Duell-Ergebnisse, Prüfungssimulator-Sitzungen, Klausurnoten, Berichtsheft-Einträge, Schwimm-Daten, Karteikarten
• Leistungsnachweis (nur bei Nutzung über einen Ausbildungsbetrieb): Name der/des Auszubildenden, Ausbildungsstätte, Ausbilder/in, Beginn und Ende der Ausbildung sowie je Ausbildungshalbjahr die festgestellten Zeiten, ggf. Mängel und Bemerkungen zu den praktischen Prüfungsanforderungen der Zwischen- und der Abschlussprüfung; außerdem, wer den Nachweis zuletzt bearbeitet hat und wann. Der Nachweis dient als Beilage zur Anmeldung zur Zwischen- und zur Abschlussprüfung.
• Pseudonymisierte Funktionsnutzung: Sofern die Erfassung für den Ausbildungsbetrieb nach dokumentierter Freigabe aktiviert wurde, werden beim Ringtaucher ausschließlich eine zufällige Besuchskennung, die Organisationszuordnung, die grobe Nutzerrolle sowie einmalige Zeitpunkte für Aufruf, Start, erste Eingabe, ersten Ring, Missionsabschluss, Folgerunde und Ende verarbeitet. Es werden dabei keine Nutzer-ID, Namen, E-Mail-Adresse, IP-Adresse, Browserdaten oder Freitexte in der Funnel-Tabelle gespeichert. Für Direktnutzung ohne Organisationszuordnung bleibt die Erfassung technisch deaktiviert.
• Kommunikationsdaten: Chatnachrichten, Forenbeiträge, Benachrichtigungen, Push-Subscriptions
• Technische und Sicherheitsdaten: Login-Zeitpunkte, IP-Adresse, User-Agent, Geräte-Trust-Status, bei fehlgeschlagenen Anmeldungen ein aus der IP-Adresse gebildetes Anschluss-Kennzeichen sowie ein Protokoll der Schreibvorgänge in der App (Audit-Log); Einzelheiten siehe Abschnitt 10

Hinweis zu besonderen Kategorien (Art. 9 DSGVO): Die App ist nicht darauf ausgelegt, besondere Kategorien personenbezogener Daten (z.B. Gesundheitsdaten, Religionszugehörigkeit, Gewerkschaftszugehörigkeit) zu erheben. Nutzer werden gebeten, keine derartigen Angaben in Freitextfelder, Chats, Foren oder Berichtshefte einzutragen. Sollte dies im Einzelfall dennoch geschehen, erfolgt keine gezielte Auswertung dieser Angaben durch den Betreiber.

5. Rechtsgrundlagen je Verarbeitung

Die nachfolgende Übersicht ordnet die wesentlichen Verarbeitungstätigkeiten den jeweiligen Rechtsgrundlagen zu. Bei Nutzung über einen Ausbildungsbetrieb (Szenario B) ist der Betrieb für die rechtliche Grundlage zuständig; die Spalte „Rechtsgrundlage" verweist auf die übliche Konstellation.

Auszubildende sind nach § 26 Abs. 8 BDSG ausdrücklich vom Beschäftigtendatenschutz erfasst. Bei B2B-Nutzung prüft der Ausbildungsbetrieb als Verantwortlicher, ob § 26 BDSG bzw. ausbildungs- oder arbeitsrechtliche Grundlagen einschlägig sind.

6. Empfänger und Zugriffsrollen

Innerhalb der App können je nach Rolle und Funktion folgende Personen und Stellen personenbezogene Daten einsehen:

• Der jeweilige Nutzer selbst sieht in der App die eigenen Daten (Profil, Lernstände, Berichtsheft, Klausuren, eigene Beiträge) und kann im Profil einen Export der zu seiner Person gespeicherten Daten abrufen (siehe Abschnitt 15).
• Ausbilder und Trainer der zugeordneten Organisation sehen – je nach den vom Betrieb erteilten Berechtigungen – Lernfortschritte, Klausurnoten, Berichtshefte, Berufsschulkarte, Monatsberichte und Statistiken der Auszubildenden des eigenen Betriebs; eine feste Zuordnung einzelner Ausbilder zu einzelnen Auszubildenden gibt es nicht. Sie können Berichte freigeben, Aufgaben zuweisen und Wissen prüfen. Den Lernstand Ihrer Karteikarten sehen sie nicht (siehe unten).
• Leistungsnachweis: Einsehen und bearbeiten können ihn Administratoren des Ausbildungsbetriebs sowie Ausbilder, denen der Betrieb die Berechtigung für Klausuren und Leistungsnachweis erteilt hat – jeweils für alle Auszubildenden des eigenen Betriebs, ohne feste Zuordnung einzelner Ausbilder zu einzelnen Auszubildenden. Die/der Auszubildende sieht den eigenen Nachweis und kann ihn ausdrucken, aber nicht ändern. Andere Auszubildende und Nutzer anderer Betriebe können ihn nicht einsehen. Bestätigt wird der Nachweis durch Unterschrift auf dem Ausdruck; eine elektronische Signatur findet in der App nicht statt.
• Lernstand der Karteikarten: Für jede Karteikarte, die Sie beantwortet haben, speichert die App, in welchem Fach sie liegt, wann sie wieder an der Reihe ist, wie oft und wann Sie sie zuerst und zuletzt beantwortet haben und wie Sie sich zuletzt eingeschätzt haben (nicht gewusst, unsicher, gewusst). Bei Themenkarten und selbst erstellten Karten gehört der Anfang des Fragetexts zur Kennung der Karte. Der Lernstand liegt auf dem Server, damit er Ihnen auf jedem Gerät zur Verfügung steht, und dient allein dazu, Ihnen jede Karte zum passenden Zeitpunkt wieder vorzulegen. In der App sehen ihn nur Sie selbst; für Ausbilder, Trainer und Administratoren gibt es dafür keine Ansicht, keine Auswertung und keine Rangliste. Die Administratoren Ihres Ausbildungsbetriebs können ihn nur als Teil Ihres Datenexports abrufen (siehe Abschnitt 15); jeder solche Abruf wird protokolliert. In der Datenbank steht je Karte nur der jeweils letzte Stand, kein Verlauf einzelner Antworten, und in das Protokoll (Audit-Log) werden Ihre Antworten nicht übernommen.
• Ringtaucher-Funnel: Die Erfassung ist je Organisation standardmäßig deaktiviert und wird erst nach dokumentierter Freigabe aktiviert. Ausbilder und Administratoren sehen nur zusammengefasste Stufenzahlen und Quoten ihrer Organisation. Auswertungen unter fünf Besuchen werden unterdrückt; einzelne Sitzungen oder Personen sind nicht sichtbar.
• Administratoren haben technischen und organisatorischen Zugriff für Benutzerverwaltung, Freigaben, Support und Sicherheitsereignisse innerhalb ihrer Organisation. Sie sehen u.a. Geburtsdatum (sofern angegeben) zur Altersprüfung sowie den Status der elterlichen Einwilligung.
• Andere Nutzer derselben Organisation sehen im Forum, Chat und in internen Bestenlisten Anzeigenamen, Avatar und ggf. Beiträge. Lernstände, Noten, Berichtshefte, Berufsschulkarte und Profildetails sind dort nicht sichtbar.
• Quizduell-Gegner sehen den öffentlichen Anzeigenamen bzw. Spitznamen, Avatar, Punktestand, Antwortverhalten innerhalb des Duells sowie daraus abgeleitete Statistiken wie Siege, Unentschieden und Niederlagen.
• Nutzer außerhalb des eigenen Betriebs sehen in betriebsübergreifenden Funktionen nur öffentlichen Anzeigenamen bzw. Spitznamen, Avatar, eigene Beiträge und funktionsbezogene Statistiken. Klarnamen, E-Mail-Adressen, Geburtsdatum, Berichtshefte, Klausurnoten, Prüfungssimulator-Leistungen, Berufsschulkarte und individuelle Lernstände werden betriebsübergreifend nicht angezeigt.
• Betriebsübergreifende Betriebsrankings zeigen nur aggregierte Betriebswerte, zum Beispiel eine Top-Ten-Platzierung zwischen Betrieben. Um Rückschlüsse auf einzelne Personen zu vermeiden, erscheinen Betriebe in solchen Rankings erst, wenn eine ausreichende Anzahl aktiver Teilnehmender vorhanden ist.
• Auftragsverarbeiter (siehe Abschnitt 7) erhalten Zugriff im technisch erforderlichen Umfang und sind vertraglich gebunden.
• Eine Weitergabe an unbeteiligte Dritte oder zu Werbezwecken erfolgt nicht.

7. Hosting, Mail und Auftragsverarbeiter

Server, Datenbank und Backups der App werden in der Europäischen Union betrieben. Mit allen genannten Auftragsverarbeitern bestehen oder werden vor Inbetriebnahme Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO geschlossen; die von Hostinger eingesetzten Dienstleister sind über den Vertrag mit Hostinger gebunden (Art. 28 Abs. 4 DSGVO).

• Hosting (Server, Datenbank): Hostinger International Ltd., Larnaca, Zypern. Server-Standort: Frankfurt am Main, Deutschland. Backups innerhalb der EU.
• E-Mail-Versand: Die App verschickt E-Mails nur zum Zurücksetzen des Passworts, zur Erinnerung vor der Deaktivierung eines länger nicht genutzten Kontos (siehe Abschnitt 10) und als technische Warnmeldung an den Betreiber. Verarbeitet werden dabei E-Mail-Adresse, Anzeigename und der Inhalt der Nachricht; Lern- und Ausbildungsdaten wie Noten, Berichtshefte oder der Leistungsnachweis stehen in diesen E-Mails nicht. Versandt wird über den E-Mail-Dienst von Hostinger. Hostinger setzt dafür folgende Dienstleister ein:
  • MailChannels Corporation, Vancouver, Kanada – leitet jede ausgehende E-Mail weiter und prüft sie auf Spam
  • Proofpoint, Inc., Sunnyvale, USA – E-Mail-Sicherheit
  • Cloudflare, Inc., San Francisco, USA – Zwischenschicht zwischen Nutzern und den Mailservern von Hostinger
  Dabei können Ihre Daten nach Kanada und in die USA übermittelt werden. Ob MailChannels die E-Mails in der EU oder in Kanada verarbeitet, hat Hostinger nicht zugesichert; wir gehen deshalb von einer Übermittlung nach Kanada aus. Sie stützt sich nach Angabe von Hostinger auf den Angemessenheitsbeschluss der EU-Kommission für Kanada (Art. 45 DSGVO). Für die USA gilt der Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO); Proofpoint und Cloudflare sind danach zertifiziert. Dieselben Dienstleister können beteiligt sein, wenn Sie uns eine E-Mail schreiben, etwa an kontakt@smartbaden.de; das Postfach liegt bei Hostinger.
• Fehler-Monitoring (Stabilität): Functional Software, Inc. (Sentry), Sitz USA, genutzt in der EU-Datenregion (de.sentry.io, Speicherung in der EU). Erfasst werden ausschließlich technische Fehlerdaten (Fehlermeldung, Stacktrace, Browser-/Systemtyp, betroffene Seite) zur Betriebssicherheit; konfiguriert ohne personenbezogene Daten (keine IP-Adresse, E-Mail oder Cookies; keine Sitzungsaufzeichnung). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Stabilität der App); Absicherung des US-Anbieters über Standardvertragsklauseln (DPA).
• Push-Infrastruktur: Siehe Abschnitt 8.
• Übermittlungen in Drittländer finden damit statt beim E-Mail-Verkehr über Hostinger (Kanada, USA – siehe oben) sowie bei aktivierten Web-Push-Benachrichtigungen (USA – siehe Abschnitt 8). Sentry speichert in der EU; der Anbieter hat seinen Sitz in den USA und ist über Standardvertragsklauseln gebunden (siehe oben).

8. Push-Benachrichtigungen

Push-Benachrichtigungen sind ein optionaler Dienst und nur nach ausdrücklicher Einwilligung im Browser oder Betriebssystem aktiv. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 TDDDG (Speichern auf Endgeräten). Die Einwilligung kann jederzeit in den Browser- oder Geräte-Einstellungen sowie im Profil der App widerrufen werden.

Technisch bedingt erfolgt die Zustellung über die Push-Dienste der jeweiligen Browser- bzw. Betriebssystem-Hersteller:

• Google Firebase Cloud Messaging (FCM) — für Chrome, Edge und Android (Anbieter: Google LLC, USA)
• Apple Push Notification service (APNs) — für Safari, iOS und macOS (Anbieter: Apple Inc., USA)
• Mozilla Push Service — für Firefox (Anbieter: Mozilla Foundation, USA)

Verschlüsselung: Web-Push-Nachrichten werden nach dem Web-Push-Standard verschlüsselt übertragen (RFC 8291). Das VAPID-Verfahren (RFC 8292) dient zusätzlich der Identifikation des App-Servers gegenüber dem jeweiligen Push-Dienst. Push-Dienste verarbeiten technisch erforderliche Metadaten (Push-Endpunkt, Zeitstempel, Größe, Zustellinformationen).

Drittlandtransfer USA: Bei der Nutzung von Push-Diensten können technische Metadaten durch Anbieter in den USA verarbeitet werden. Soweit der jeweilige Anbieter unter dem EU-U.S. Data Privacy Framework zertifiziert ist, erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses nach Art. 45 DSGVO. Soweit erforderlich, werden ergänzend EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO zugrunde gelegt. Die konkreten Transfermechanismen werden anhand der jeweils aktuellen Anbieterinformationen geprüft und dokumentiert. Die Nutzung von Push-Benachrichtigungen selbst ist freiwillig und erfolgt nur nach Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Datenminimierung im Push-Inhalt: Der Betreiber hält Push-Inhalte möglichst neutral (z.B. „Sie haben eine neue Benachrichtigung"). Konkrete Inhalte wie Klausurnoten, Lernstände oder Chatnachrichten werden nicht in der Push-Nachricht selbst übertragen, sondern erst nach Login in der App angezeigt.

Wer keine Übermittlung an diese Dienste wünscht, aktiviert Push schlicht nicht — alle App-Funktionen bleiben auch ohne Push voll nutzbar.

9. Mikrofon in der Übungsstation „HLW-Takt"

Im Notfall-Trainer gibt es eine Übungsstation, mit der das Drucktempo der Herz-Lungen-Wiederbelebung an einer Übungspuppe trainiert wird. Damit die App die Klicks der Puppe mitzählen kann, greift sie ausschließlich in dieser Station auf das Mikrofon des Endgeräts zu. Der Zugriff erfolgt erst, nachdem Sie ihn im Browser oder Betriebssystem ausdrücklich freigegeben haben.

Es werden dabei keine Aufnahmen erstellt. Der Tonstrom wird allein im Arbeitsspeicher Ihres Geräts auf Lautstärke-Spitzen geprüft, um den Zeitpunkt einer Kompression zu erkennen. Es entsteht keine Audiodatei, es wird nichts zwischengespeichert und nichts an einen Server übertragen — weder an uns noch an Dritte. Gesprochenes wird nicht ausgewertet, es findet keine Spracherkennung statt.

Gespeichert wird ausschließlich das Übungsergebnis in Form von Zahlen (erkannte Kompressionen und die daraus errechnete Frequenz), und auch das nur auf Ihrem Gerät für die Dauer der Übung. Sobald Sie die Station verlassen, wird der Mikrofonzugang sofort wieder geschlossen.

Die Freigabe können Sie jederzeit in den Einstellungen Ihres Browsers oder Betriebssystems widerrufen. Ohne Freigabe bleibt lediglich diese eine Übungsstation unbenutzbar; alle übrigen Funktionen der App stehen unverändert zur Verfügung.

10. Speicherdauer, Deaktivierung und Löschung

Die App unterscheidet zwischen drei Stufen: Deaktivierung (Konto-Login wird gesperrt, Daten bleiben), Anonymisierung (personenbezogene Identifikatoren werden entfernt, aggregierte Datensätze bleiben) und Hard-Deletion (vollständige physische Löschung aller Daten).

• Aktive Konten: Daten werden gespeichert, solange das Konto besteht und die Ausbildungs- bzw. Vertragsbeziehung andauert.
• Inaktivitätsroutine: Nach 22 Monaten ohne Login erhält der Nutzer eine Erinnerungs-E-Mail. Bleibt das Konto weitere 2 Monate inaktiv, wird es automatisch nach insgesamt 24 Monaten Inaktivität deaktiviert. Gerechnet wird ab der letzten Anmeldung oder, wenn sie später liegt, ab der letzten Freischaltung oder Wiederherstellung des Kontos durch einen Administrator. Nicht erfasst werden Konten, mit denen sich noch nie jemand angemeldet hat (etwa nicht freigeschaltete Registrierungen), sowie gesperrte oder abgelehnte Konten; sie bleiben bestehen, bis ein Administrator sie löscht.
• Konto-Deaktivierung durch den Nutzer: Im Profil unter „Konto deaktivieren“ kann der Nutzer jederzeit selbst die Deaktivierung auslösen.
• Was bei Deaktivierung passiert: Login wird gesperrt, Sitzungs-Token entfernt, Anzeigename und Avatar in Forum- und Quizduell-Ansichten anonymisiert („deaktivierter Nutzer"), und der Zeitpunkt der Deaktivierung wird gespeichert. 30 Tage lang kann ein Administrator Ihres Ausbildungsbetriebs (bei Nutzung ohne Ausbildungsbetrieb: der Betreiber) das Konto wiederherstellen, auch wenn Sie es selbst deaktiviert haben. Danach ist keine Wiederherstellung mehr möglich: Der tägliche Lauf ersetzt die E-Mail-Adresse im Konto durch einen Platzhalter, sodass sie für eine neue Registrierung frei wird (bei regulärem Betrieb innerhalb von 24 Stunden nach Ablauf der 30 Tage). Name und übrige Daten des Kontos bleiben gespeichert; nur der Lernstand der Karteikarten wird in diesem Lauf gelöscht, weil er allein Ihrem Lernen dient. In Datenbank-Backups ist die bisherige E-Mail-Adresse bis zu deren Überschreiben noch enthalten.
• Hard-Deletion (vollständige physische Löschung): Erfolgt auf ausdrückliche Anforderung der betroffenen Person nach Art. 17 DSGVO oder auf Weisung des Ausbildungsbetriebs, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht, und umfasst dann Konto-Stammdaten, Lernstände, Klausurnoten, Berichtshefte, Schwimm-Daten und alle eindeutig zuordenbaren Inhalte; für Audit-Logs gilt deren eigene Frist (siehe dort). In der Datenbank der App automatisch nach Fristablauf physisch gelöscht werden derzeit der Leistungsnachweis, die Ringtaucher-Funnel-Sitzungen, der Lernstand der Karteikarten eines gelöschten Kontos (30 Tage nach der Löschung, sobald das Konto nicht mehr wiederhergestellt werden kann) und Audit-Log-Einträge, die älter als 3 Jahre sind (siehe jeweils dort). Klausurnoten, Berichtsheft, Berufsschulkarte und Monatsberichte werden nicht automatisch gelöscht. Ist im Konto ein Ausbildungsende hinterlegt, werden sie 90 Tage danach archiviert, sofern das Konto nicht bereits deaktiviert ist: Sie erscheinen dann in den Übersichten der App nicht mehr, bleiben aber gespeichert und sind im Datenexport weiterhin enthalten.
• Audit-Logs: Die App protokolliert Schreibvorgänge, zum Beispiel Anmeldungen, Änderungen an Konto, Profil, Rollen und Berechtigungen, das Anlegen, Einreichen, Freigeben und Löschen von Inhalten wie Berichtsheft-Einträgen, Klausurnoten, Prüfungssimulator-Ergebnissen oder Quizduellen sowie Datenexporte, Löschungen und Wiederherstellungen von Konten. Ein Eintrag enthält die Art der Aktion, das betroffene Objekt, die Nutzer-ID der handelnden Person und den Zeitpunkt, bei Aktionen über die App außerdem die IP-Adresse und die Browserkennung (User-Agent). Je nach Aktion kommen weitere Angaben hinzu: Nutzer-IDs betroffener Personen, Rollen-, Status- und Rechtewechsel, Zähler, einzelne Zeitangaben (etwa die Woche eines Berichtshefts, Monat und Jahr eines Monatsberichts oder bei den automatischen Läufen die letzte Anmeldung und das Ausbildungsende) und bei Profiländerungen die Namen der geänderten Felder. Die fachlichen Werte selbst stehen nicht im Protokoll: keine Noten, erreichten Punkte oder Prüfungsergebnisse, keine Antworten oder Punktestände eines Quizduells, keine Zeiten oder Strecken und keine bisherigen oder neuen Profilangaben; bei Notizen und Rückgabegründen wird nur festgehalten, ob einer angegeben wurde. Freitext enthält das Protokoll nur noch in wenigen Fällen: Titel von Neuigkeiten, Ressourcen und Klausurterminen, die Adresse einer Ressource, die Freigabereferenz für die Ringtaucher-Auswertung, technische Fehlermeldungen beim Versand der E-Mail zum Zurücksetzen des Passworts sowie zwei Angaben, die nur über die Schnittstelle und nicht in der App eingegeben werden können (eine Begründung bei der Änderung eines Kontostatus, eine Gerätebezeichnung für Push-Benachrichtigungen). E-Mail-Adressen sowie Anzeige- und Nachnamen werden nicht in das Protokoll übernommen; Personen erscheinen darin über ihre Nutzer-ID. Anonym ist das Protokoll damit nicht, denn die Nutzer-ID lässt sich einem Konto zuordnen. E-Mail-Adressen in Freitexten werden entfernt, andere Angaben in Freitexten, auch Namen, dagegen nicht. Die Einträge werden bis zu 3 Jahre aufbewahrt (berechtigtes Interesse: IT-Sicherheit, Nachvollziehbarkeit, Nachweispflichten, Verjährungsfrist nach § 195 BGB), auch wenn der zugrunde liegende Datensatz oder das Konto vorher gelöscht wird. Bei einer vollständigen Löschung des Kontos wird die Nutzer-ID der handelnden Person aus den Einträgen entfernt; Nutzer-IDs in den übrigen Angaben bleiben bis zum Ablauf der Frist. Eine Ansicht des Protokolls gibt es in der App nicht. Ihr Datenexport enthält die Einträge zu Aktionen, die Sie selbst ausgeführt haben, und die Einträge, die Ihr Konto oder Ihre Datensätze betreffen; bei Letzteren steht die Nutzer-ID der handelnden Person darin, nicht aber deren IP-Adresse und Browserkennung. Diesen Export können auch die Administratoren Ihres Ausbildungsbetriebs abrufen.
• Fehlgeschlagene Anmeldeversuche: Zum Schutz vor dem Ausprobieren von Passwörtern speichert die App je eingegebener E-Mail-Adresse und Anschluss die Anzahl der Fehlversuche und gegebenenfalls das Ende einer Sperre. Den Anschluss hält sie nicht als IP-Adresse fest, sondern als Kennzeichen, das mit einem geheimen Schlüssel des Servers aus der IP-Adresse gebildet wird (bei IPv6 aus dem Adressbereich des Anschlusses). Ohne diesen Schlüssel lässt sich die IP-Adresse daraus nicht ablesen; anonym ist das Kennzeichen trotzdem nicht. Wird eine Sperre ausgelöst oder werden Fehlversuche verzögert beantwortet, entsteht zusätzlich ein Protokolleintrag mit IP-Adresse (siehe Audit-Logs). Die Angaben zu einem Anschluss werden gelöscht, sobald die Anmeldung von diesem Anschluss aus gelingt; setzt ein Administrator das Passwort zurück, werden alle Angaben zu der Adresse gelöscht. Im Übrigen werden sie automatisch gelöscht, sobald der letzte Fehlversuch mehr als 24 Stunden zurückliegt (täglicher Lauf, also nach spätestens 48 Stunden). Das gilt auch für eingegebene Adressen, zu denen kein Konto besteht.
• Ringtaucher-Funnel-Sitzungen werden nach Ablauf von 90 Tagen beim nächsten täglichen Löschlauf automatisch gelöscht (bei regulärem Betrieb innerhalb der folgenden 24 Stunden und damit vor Vollendung von 91 Tagen). Die zufällige Besuchskennung wird nicht dauerhaft im Browser gespeichert und serverseitig nicht mit einer Nutzer-ID verknüpft.
• Leistungsnachweis: Er wird 90 Tage nach dem darin eingetragenen Ausbildungsende automatisch gelöscht, nicht nur archiviert. Eine vorherige Deaktivierung des Kontos der/des Auszubildenden zieht die Löschung nicht vor, weil der Betrieb den Nachweis bis zum Ende der Ausbildung für die Prüfungsanmeldungen benötigen kann; bis zur Löschung können die Berechtigten des Betriebs ihn dann nur noch lesen und ausdrucken, nicht mehr ändern. Wird das Konto einem anderen Ausbildungsbetrieb zugeordnet, wird der Nachweis des bisherigen Betriebs dabei gelöscht. Der Ausbildungsbetrieb kann als Verantwortlicher eine frühere Löschung anweisen. Maßgeblich für die Prüfungsanmeldung ist der unterschriebene Ausdruck, nicht die Fassung in der App. Nach der Löschung bleiben Protokolleinträge darüber, wer wann welche Felder geändert hat und wann und warum der Nachweis gelöscht wurde, jeweils ohne Inhalte (siehe Audit-Logs). In Datenbank-Backups ist ein gelöschter Nachweis bis zu deren regulärem Überschreiben noch enthalten (siehe Datenbank-Backups).
• Forum- und Chat-Beiträge: Bleiben für die Integrität der Diskussionsfäden erhalten, der Anzeigename des deaktivierten Nutzers wird jedoch durch „deaktivierter Nutzer“ ersetzt. Auf Anforderung können einzelne Beiträge nach Art. 17 DSGVO gelöscht werden.
• Datenbank-Backups werden täglich erstellt und nach 14 Tagen automatisch überschrieben. Eine bereits erfolgte Hard-Deletion wirkt auch in den Backups innerhalb dieser Frist.
• LocalStorage und IndexedDB auf dem Gerät bleiben bis zur Löschung durch den Nutzer oder den Browser bestehen.

11. Cookies und lokale Speicherung

Die App verwendet ausschließlich technisch notwendige Cookies und Speichermechanismen gemäß § 25 Abs. 2 Nr. 2 TDDDG. Es werden keine Analyse-, Werbe- oder Tracking-Cookies eingesetzt. Es findet kein Tracking durch Dritte statt. Die eng begrenzte Ringtaucher-Funnel-Auswertung nutzt keine Cookies oder dauerhafte Browserkennung; die Besuchskennung existiert im Browser nur bis zum Verlassen der Ansicht.

• Refresh-Token-Cookie (HttpOnly, Secure): Verschlüsselter Token zur sicheren Sitzungsfortführung nach Anmeldung. Das Cookie wird nur an die API-Domain übermittelt und ist für JavaScript nicht auslesbar. Die SameSite-Konfiguration wird technisch so restriktiv wie für den jeweiligen Bereitstellungsweg möglich gewählt und regelmäßig überprüft. Speicherdauer ca. 7 Tage. Notwendig für die Anmeldung.
• trusted_device-Cookie (HttpOnly, Secure): Wird nur gesetzt, wenn der Nutzer beim Login „Gerät vertrauen“ auswählt, und erlaubt das Überspringen der Zwei-Faktor-Authentifizierung auf diesem Gerät. Konfiguration analog zum Refresh-Token-Cookie. Speicherdauer 30 Tage. Wird bei Logout, Passwortänderung, Geräte-Verwaltung im Profil oder nach Ablauf automatisch entfernt.
• LocalStorage auf dem Gerät: Anzeigeeinstellungen (z.B. Dark Mode), lokale Berichtsheft-Entwürfe, Lernstände einzelner Module, Hinweis-Status (z.B. ausgeblendete Hinweise). Den Lernstand der Karteikarten hält die App zusätzlich auf dem Server (siehe Abschnitt 6). Auf dem Gerät ist er der angemeldeten Person zugeordnet und wird beim Abmelden entfernt, sobald nichts mehr auf die Übertragung wartet; meldet sich eine andere Person an, wird ein fremder Stand verworfen und nicht übertragen. Der Server hat keinen unmittelbaren Zugriff auf diesen Speicherbereich; die App selbst kann gespeicherte Werte jedoch verarbeiten und an den Server senden, soweit dies für die jeweilige Funktion erforderlich ist.
• IndexedDB / Service-Worker-Cache: Offline-Verfügbarkeit der App (Progressive Web App). Lehrinhalte, statische Assets und temporäre API-Antworten zur Beschleunigung. Gleicher Zugriffsstatus wie LocalStorage.
• Push-Subscription-Daten: Werden nur nach Einwilligung gesetzt und auf dem Server gespeichert (siehe Abschnitt 8).

12. Sicherheit der Verarbeitung

• Verschlüsselte Übertragung über TLS/HTTPS auf allen Endpunkten
• Passwörter ausschließlich in gehashter Form (Argon2id) gespeichert
• Rollen- und Berechtigungskonzept (RBAC) mit serverseitiger Default-Deny-Logik auf allen Endpunkten
• CSRF-Schutz (X-Requested-With-Header) auf allen state-changing Endpunkten
• Schutz vor dem Ausprobieren von Passwörtern: Rate-Limiting; nach fünf Fehlversuchen für eine E-Mail-Adresse von einem Anschluss eine Sperre dieser Adresse an diesem Anschluss, die bei weiteren Fehlversuchen von 1 auf höchstens 15 Minuten steigt; über alle Anschlüsse hinweg werden Fehlversuche ab dem zehnten verzögert beantwortet. Das Konto selbst wird dabei nicht gesperrt, eine Anmeldung über einen anderen Anschluss bleibt möglich
• Das einzige Administrator-Konto ist durch Zwei-Faktor-Authentifizierung (TOTP) geschützt; weitere Administrator-Konten werden nicht eingerichtet
• Server-seitige Eingabevalidierung und Sanitization von Chat- und Forenbeiträgen
• SSRF-Schutz bei externen URL-Verarbeitungen
• Audit-Log für Anmeldungen, administrative und weitere schreibende Aktionen (siehe Abschnitt 10)
• Tägliche Datenbank-Backups mit dokumentiertem Restore-Verfahren
• Regelmäßige Aktualisierung der eingesetzten Bibliotheken (Dependabot)
• Datensparsamkeit: keine Erhebung von Daten, die nicht für die Funktion erforderlich sind

13. Minderjährige (Art. 8 DSGVO)

Die App richtet sich an Auszubildende und kann auch von Personen unter 16 Jahren genutzt werden. Im Datenschutzkonzept der App wird zwischen den beiden Nutzungsszenarien unterschieden:

Direktnutzung (Szenario A): Bei der Registrierung wird abgefragt, ob die nutzende Person das 16. Lebensjahr vollendet hat. Diese Angabe dient als Voraussetzung für eine eigene Einwilligung nach Art. 8 DSGVO. Wird die Frage verneint, ist die Nutzung nur zulässig, wenn die Einwilligung der Sorgeberechtigten dem Betreiber gegenüber schriftlich oder elektronisch nachgewiesen wird (Art. 8 Abs. 1 Satz 1 DSGVO).

Geburtsdatum-Angabe (freiwillig): Im Profil kann zusätzlich ein konkretes Geburtsdatum hinterlegt werden. Diese Angabe ist freiwillig und wird zur Altersprüfung im Sinne von Art. 8 DSGVO sowie — sofern der Nutzer das Schwimm-Trainingsmodul aktiv verwendet — zur Berechnung eines altersbedingten Zeitbonus (Handicap) bei Schwimm-Auswertungen verarbeitet. Die übrige Nutzung der App ist ohne Geburtsdatum-Angabe möglich.

Nutzung über einen Ausbildungsbetrieb (Szenario B): Im Ausbildungskontext beruht die Verarbeitung personenbezogener Daten der Auszubildenden in der Regel auf dem Berufsausbildungsverhältnis (Art. 6 Abs. 1 lit. b DSGVO) und auf ausbildungsrechtlichen Pflichten des Betriebs (Art. 6 Abs. 1 lit. c DSGVO) – und damit unabhängig von Art. 8 DSGVO. Auszubildende sind Beschäftigte im Sinne des § 26 Abs. 8 BDSG. Eine Einwilligung der Sorgeberechtigten ist in diesem Fall regelmäßig nicht die maßgebliche Rechtsgrundlage; der Ausbildungsbetrieb prüft die einschlägige Rechtsgrundlage als Verantwortlicher.

Der Status der Altersbestätigung bzw. der erforderlichen Zustimmung wird im Konto dokumentiert. Sorgeberechtigte können eine erteilte Einwilligung jederzeit widerrufen; das Konto wird dann deaktiviert.

14. Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt. Lernfortschritte, Quizduell-Ergebnisse, Klausurnoten und ähnliche Daten werden ausschließlich zur Information und Selbsteinschätzung der Nutzer sowie zur pädagogischen Begleitung durch Ausbilder verwendet. Es werden weder Profile mit Rechtswirkung gegenüber Betroffenen erstellt, noch automatische Entscheidungen über Ausbildungsverhältnisse, Prüfungszulassungen oder ähnliches getroffen.

15. Betroffenenrechte und Beschwerderecht

Betroffene haben nach der DSGVO insbesondere folgende Rechte:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO) — der Export im Profil („Meine Daten exportieren“) enthält neben Ihren Konto-, Lern- und Ausbildungsdaten auch die Protokolleinträge, die Sie oder Ihre Daten betreffen, und gespeicherte Fehlversuche bei der Anmeldung (ohne das Anschluss-Kennzeichen, weil es häufig den Anschluss einer anderen Person bezeichnet)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung der Daten, soweit keine Aufbewahrungspflicht entgegensteht (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit in einem strukturierten, maschinenlesbaren Format (Art. 20 DSGVO) — direkt im Profil als Export verfügbar
• Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Ist Ihr Konto deaktiviert, können Sie den Export nicht mehr selbst abrufen. Die Administratoren Ihres Ausbildungsbetriebs – bei Nutzung ohne Ausbildungsbetrieb der Betreiber – können ihn für Sie erstellen, auch nach Ablauf der 30 Tage (siehe Abschnitt 10).

Anfragen richten Sie bitte an kontakt@smartbaden.de. Bei Nutzung der App durch einen Ausbildungsbetrieb wenden Sie sich vorrangig an den eigenen Betrieb (siehe Abschnitt 1).

Beschwerderecht bei einer Aufsichtsbehörde: Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO). Für den Sitz des Verantwortlichen zuständig ist:

1. Was ist das InfoCenter

Das smartbaden InfoCenter ist ein lokal arbeitender Kiosk-Chatbot für den Eingangs- und Kassenbereich von Schwimmbädern. Gäste tippen Schlagwörter (z. B. „Öffnungszeiten", „Sauna", „Parken") oder klicken sich durch Themen-Tabs — das InfoCenter zeigt die hinterlegte Antwort an. Es ersetzt klassische Schautafeln und Faltblätter durch eine durchsuchbare, mehrsprachige Variante.

2. Datenschutzfreundliche Architektur

Das InfoCenter ist von der Architektur her datensparsam ausgelegt:

• Keine Anmeldung, keine Konten für Gäste — das InfoCenter ist anonym nutzbar.
• Keine Tracking-Cookies, kein Drittanbieter-Tracking, keine Werbung — auf dem Kiosk-Display und im Verwaltungs-Backend.
• Keine Audio- oder Kamera-Aufzeichnung am Kiosk-Gerät. Die Interaktion erfolgt ausschließlich per Touch.
• Inhalte werden lokal ausgeliefert — nach dem initialen Synchronisieren der Texte und Bilder funktioniert das InfoCenter auch ohne aktive Internetverbindung.
• Keine personenbezogenen Gäste-Daten werden erhoben, gespeichert oder an Dritte übermittelt.

3. Verantwortlicher

Für die InfoCenter-Software und das Verwaltungs-Backend (Inhaltspflege, Updates, Standort-Konfiguration) ist Verantwortlicher:

Für das physische Kiosk-Gerät am Standort (Hausrecht, Standortwahl, Stromversorgung, Aufstellung) ist der jeweilige Bäderbetreiber verantwortlich. Soweit der Bäderbetreiber das Verwaltungs-Backend selbst nutzt und dort eigene Inhalte einpflegt, verarbeitet smartbaden diese Inhalte als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines AVV.

4. Verarbeitete Daten

Da das InfoCenter keine Gäste-Daten erhebt, beschränkt sich die Verarbeitung auf die für Betrieb und Wartung notwendigen Daten:

• Backend-Konten der Bäderbetreiber: Name, E-Mail, Rolle, Standort-Zuordnung — für Login und Inhaltspflege.
• Inhalte: vom Bäderbetreiber gepflegte Texte, Öffnungszeiten, Preise, Maskottchen-Avatare, Bildmaterial.
• Geräte-Telemetrie (technisch notwendig): Geräte-ID des Kiosks, Software-Version, Zeitpunkt des letzten Sync, Online-/Offline-Status — für Wartung und Update-Auslieferung.
• Aggregierte, anonymisierte Nutzungsstatistik (optional, abschaltbar): Welche Tabs werden häufig aufgerufen, welche Schlagwörter wurden gesucht. Keine Verknüpfung zu einzelnen Personen oder Sessions möglich. Dient der Optimierung von Inhaltspflege und Tab-Reihenfolge. Bäderbetreiber können diese Statistik im Backend deaktivieren.
• Server-Logs bei Backend-Logins: IP-Adresse, Zeitpunkt, User-Agent, Erfolgs-/Fehlerstatus — Speicherdauer max. 7 Tage.

5. Rechtsgrundlagen

• Backend-Konten und Inhaltspflege: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
• Geräte-Telemetrie und Update-Auslieferung: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Wartungs- und Betriebsfähigkeit) und Art. 6 Abs. 1 lit. b DSGVO.
• Anonymisierte Nutzungsstatistik: Art. 6 Abs. 1 lit. f DSGVO; mangels Personenbezug der ausgewerteten Daten faktisch außerhalb des DSGVO-Schutzbereichs.
• Server-Logs: Art. 6 Abs. 1 lit. f DSGVO (IT-Sicherheit).

6. Hosting, Auftragsverarbeiter und Speicherort

Das Verwaltungs-Backend wird in der Europäischen Union betrieben:

• Hosting (Backend, Datenbank, Update-Auslieferung): Hostinger International Ltd., Sitz Vilnius/Litauen. Server-Standort: Frankfurt am Main, Deutschland.
• E-Mail-Versand (Einladung Backend-Nutzer, Update-Hinweise): Hostinger SMTP, EU-Rechenzentren.

Keine Drittland-Übermittlungen. Die Inhalte der InfoCenter-Tabs verbleiben innerhalb des EU-Rechtsraums.

Auf dem Kiosk-Gerät selbst liegen ausschließlich die vom Bäderbetreiber gepflegten Inhalte sowie technische Sync-Daten — keine personenbezogenen Gäste-Daten.

7. Speicherdauer

• Backend-Konten und Inhalte: für die Dauer des Nutzungsvertrags. Nach Vertragsende werden die Konten deaktiviert; Inhalte werden auf Anforderung des Bäderbetreibers exportiert oder gelöscht.
• Geräte-Telemetrie: rotierende Aufbewahrung bis maximal 90 Tage, ältere Datensätze werden überschrieben.
• Nutzungsstatistik (falls aktiviert): aggregiert und ohne Personenbezug, dauerhaft als Trend-Information verfügbar.
• Server-Logs: 7 Tage, dann automatische Löschung.

8. Betroffenenrechte und Beschwerderecht

Backend-Nutzer (Mitarbeitende des Bäderbetreibers) haben gegenüber smartbaden die in Art. 15 bis 22 DSGVO genannten Rechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Widerruf erteilter Einwilligungen). Anfragen richten Sie an kontakt@smartbaden.de.

Da das InfoCenter keine Gäste-Daten erhebt, entstehen für Gäste am Kiosk-Display keine eigenen Betroffenenrechte gegenüber smartbaden — es gibt schlicht keine Verarbeitung personenbezogener Daten zu adressieren.

Beschwerderecht: Sie können sich bei der für smartbaden zuständigen Aufsichtsbehörde beschweren (siehe Tab Webseite oder Bäder-Azubi-App: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Düsseldorf).

1. Geltungsbereich

Diese Datenschutzhinweise gelten für die Datenschutzberatung durch smartbaden — insbesondere Beratung zur Videoüberwachung im Bad, Erstellung von Datenschutz-Folgenabschätzungen (DSFA), Verarbeitungsverzeichnissen (VVT), TOMs-Dokumenten, AVV-Vorlagen, Mitarbeiter-Schulungen sowie Übernahme als externer Datenschutzbeauftragter (Retainer).

Tätigkeit als ausgebildeter Datenschutzbeauftragter (DSB) — keine Rechtsdienstleistung im Sinne des RDG. Rechtsverbindliche Bewertungen einzelfallbezogener Rechtsfragen erfolgen ausschließlich durch beauftragte Rechtsanwälte.

2. Verantwortlicher

3. Was wir verarbeiten

Im Rahmen eines Beratungsmandats verarbeiten wir typischerweise:

• Stamm- und Kontaktdaten der Mandantenseite: Name, Funktion, dienstliche E-Mail, dienstliche Telefonnummer der Ansprechperson(en) sowie der Geschäftsführung bzw. Verwaltungsleitung.
• Vertrags- und Abrechnungsdaten: Auftrag, Leistungsbeschreibung, Stundennachweise, Reisekostenpositionen, Rechnungen.
• Beratungsinhalte: technische und organisatorische Beschreibungen des Bäderbetriebs (z. B. Kamerastandorte, Aufzeichnungsdauer, IT-Setup, Räumlichkeiten, Zutrittskonzepte) sowie Entwürfe und Endfassungen der erstellten Dokumente (DSFA, VVT, TOMs, AVV).
• Korrespondenz per E-Mail oder im Austauschsystem des Mandanten.
• Fotos und Skizzen von Standorten, soweit für ein Konzept (insbesondere Videoüberwachung) erforderlich und vom Mandanten bereitgestellt.

Wir bitten Sie, uns keine personenbezogenen Daten Dritter (insbesondere von Gästen, Beschäftigten oder Auszubildenden des Mandanten) zu übermitteln, soweit dies für die Beauftragung nicht zwingend erforderlich ist. Erforderliche Übermittlungen erfolgen nur auf dokumentierter Weisung und im Rahmen eines Auftragsverarbeitungsvertrags.

4. Rechtsgrundlagen

• Anbahnung und Erfüllung des Beratungsvertrags: Art. 6 Abs. 1 lit. b DSGVO.
• Beratung mit Bezug zu Beschäftigtendaten oder Aufzeichnungen Dritter: Verantwortlicher bleibt der jeweilige Mandant; smartbaden tritt insoweit als Auftragsverarbeiter nach Art. 28 DSGVO auf.
• Rechnungslegung, Buchhaltung und gesetzliche Aufbewahrung: Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO, § 257 HGB.
• Schutz vor Missbrauch, IT-Sicherheit, Geltendmachung und Verteidigung von Rechtsansprüchen: Art. 6 Abs. 1 lit. f DSGVO.

5. Vertraulichkeit, Verschwiegenheit und Datentrennung

smartbaden behandelt alle im Rahmen der Beratung übermittelten oder gewonnenen Informationen strikt vertraulich. Inhalte eines Mandats werden ohne ausdrückliche Zustimmung des Mandanten weder Dritten zugänglich gemacht noch zu Schulungs-, Marketing- oder Vergleichszwecken verwendet.

Mandate werden organisatorisch voneinander getrennt (eigene Ordner-/Projektstruktur, eigene Dateiablagen). Eine Verknüpfung oder ein Quervergleich von Daten unterschiedlicher Mandanten erfolgt nicht.

Bei Tätigkeit als externer Datenschutzbeauftragter (Retainer) gilt zusätzlich das Verschwiegenheitsgebot nach Art. 38 Abs. 5 DSGVO und § 6 Abs. 5 BDSG.

6. Empfänger und Weitergabe

Eine Weitergabe personenbezogener Daten an Dritte erfolgt nicht. Ausnahmen:

• Steuerberater und Buchhaltung für die Rechnungsabwicklung (gesetzliche Pflicht).
• Auf ausdrückliche Anweisung des Mandanten (z. B. Übergabe einer DSFA an die Aufsichtsbehörde).
• Hosting- und Mail-Auftragsverarbeiter (Hostinger International Ltd., EU-Rechenzentren) im Rahmen der technischen Bereitstellung.
• Soweit gesetzlich verpflichtet (z. B. Auskunftsersuchen einer Aufsichtsbehörde).

Eine Übermittlung in Drittländer außerhalb der EU oder des EWR findet nicht statt.

7. Speicherdauer

• Erstgespräch-Notizen ohne Mandatsabschluss: Löschung nach spätestens 6 Monaten, sofern kein konkretes Folge-Mandat absehbar ist.
• Mandatsakten (DSFA, VVT, TOMs, AVV-Entwürfe, Korrespondenz): für die Dauer des Mandats sowie regelmäßig 10 Jahre nach Mandatsende — entspricht der berufsüblichen Aufbewahrungsfrist bei datenschutzrechtlicher Beratung sowie den Verjährungsfristen aus Vertrag und Schadensersatz.
• Rechnungen und Buchungsbelege: 8 bzw. 10 Jahre nach gesetzlicher Vorschrift (§ 147 AO, § 257 HGB).
• E-Mail-Korrespondenz: wird im Postfach aufbewahrt, soweit sie Mandatsbezug hat; ohne Mandatsbezug nach spätestens 24 Monaten gelöscht.
• Externe-DSB-Retainer-Tätigkeit: Audit-Logs der eigenen Tätigkeit (z. B. erteilte Stellungnahmen, Schulungsbelege, Meldungen) werden für die Dauer der Bestellung sowie 5 Jahre nach Bestellungsende vorgehalten.

8. Betroffenenrechte

Sie haben gegenüber smartbaden insbesondere folgende Rechte:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung, soweit keine gesetzliche oder vertragliche Aufbewahrungspflicht entgegensteht (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Anfragen richten Sie an kontakt@smartbaden.de (Betreff: „DSGVO-Anfrage Beratung"). Wir antworten innerhalb von 10 Werktagen.

9. Beschwerderecht

Unbeschadet eines anderweitigen Rechtsbehelfs steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO). Für smartbaden zuständig ist: