Datenschutzhinweise

1. Wer verantwortlich ist und wie du uns erreichst

Akademie KoBiCo UG (haftungsbeschränkt), Perkerhof 49,40885 Ratingen, vertreten durch Nicole Geldmacher-Tahery und Falk Leisgen, ist für ihre eigenen Geschäfts-/Vertrags- und erforderlichen Betriebsvorgänge verantwortlich. Datenschutz-, Betroffenen-, Support- und Störungskontakt: impressum@kobico.de, Telefon 08002190000. Die Geschäftsführung koordiniert intern Bearbeitung/Eskalation; dies ist keine Aussage über Bestellung oder Entbehrlichkeit eines Datenschutzbeauftragten.

Für personenbezogene Ausbildungsfachdaten bestimmt regelmäßig dein Unternehmen als Verantwortlicher Zwecke, zulässige Inhalte und Zugriffe. Wir verarbeiten sie nach der Kunden-AVV auf dokumentierte Weisung. Diese Hinweise ersetzen weder dessen eigene Beschäftigteninformation noch dessen Rechtsgrundlagen.

2. Welche Angaben für welchen Zweck verarbeitet werden

Vorgang und Daten	Zweck und rechtliche Grundlage bei eigener Verantwortlichkeit	Dauer/Kriterien
Test-/Kaufanfrage: Unternehmen, Name, berufliche E-Mail, optionale Telefonnummer/Empfehlungscode, Status und erforderliche technische Zuordnung	Anbahnung/Abwicklung; bei natürlichen Personen als eigener Vertragspartei Art.6 Abs.1 b DSGVO, bei beruflichen Vertretern insbesondere Art.6 Abs.1 f: berechtigtes Interesse an Kommunikation und Geschäftsabwicklung mit dem vertretenen Kunden	Interessentenprüfung spätestens 6 Monate nach letztem substantiellen Kontakt; ohne fortbestehenden Zweck löschen, sonst Grund/Wiedervorlage dokumentieren
Vertrag, Tarif-/Kontingentrevision, Anschrift, Leistungsperiode, Betrag/Steuer, Annahme-/Zahlungs-/Textversionsnachweise	Vertragsabwicklung wie oben; erforderliche gesetzliche Belegarchivierung Art.6 Abs.1 c DSGVO	operative Zuordnung für die Abwicklung; Rechnungen/Buchungsbelege grundsätzlich 8 Jahre, relevante Geschäftskorrespondenz 6 Jahre, ab maßgeblichem Kalenderjahresende; besondere Pflichten/noch steuerlich relevante Fälle gesondert
Notwendige Verbindungs-/Sicherheitsdaten, Zugriffsereignisse und datenminimierte Betriebsnachweise	Art.6 Abs.1 f DSGVO: Schutz vor unberechtigtem Zugriff/Missbrauch und Aufklärung von Störungen; keine Nutzung zur verdeckten Leistungsüberwachung	grundsätzlich 90 Tage für erforderliche Log-/Auditnachweise; länger nur begründeter dokumentierter Vorfall, Rechtsverteidigung oder Legal Hold
Support-/Betroffenenanfrage und erforderliche Korrespondenz	Vertrags-/Kommunikationsabwicklung, gesetzliche Rechtebearbeitung beziehungsweise berechtigtes Interesse an Bearbeitung; Fachinhalte im Kundenauftrag getrennt	nur für die Bearbeitung und erforderlichen Nachweis; einschlägige Beleg-/Korrespondenzpflichten getrennt, keine pauschale Archivierung ganzer Fachakten

Pflichtangaben für Einrichtung und sichere Zustellung sind Unternehmen, Name und erreichbare E-Mail-Adresse. Ohne sie kann der Test nicht eingerichtet werden. Telefon/Empfehlungscode sind optional. Rechnungs- und Zahlungsangaben werden erst für eine ausdrücklich kostenpflichtige Bestellung benötigt. Wir verwenden keine pauschale Einwilligung als Grundlage sämtlicher Ausbildungsdaten.

3. Kostenloser Test, Kauf und Systemgrenzen

Der Test verarbeitet Kontaktangaben, zugeordnete Versions-/Start-/Enddaten und Bereitstellungsreferenzen. Er verlangt keine Zahlungsdaten und erzeugt weder Rechnung noch Forderung oder automatische kostenpflichtige Umwandlung. Eine interne Portalidentität begründet keine Verwaltungsrechte in unserem kaufmännischen System. Eine zusätzliche Portal-Einladung ist für den Test nicht vorgesehen.

An AusbildungsDesk werden nur die notwendigen Unternehmens-/Kontakt-/Lifecycle-/ Kontingentdaten über den geschützten Bereitstellungsweg übergeben. Fachinhalte wie Berichtshefte, Beurteilungen oder Krankheitsangaben werden dabei nicht allgemein in das kaufmännische System übertragen.

Beim ausdrücklich bestellten Kauf kommen Tarifrevision, Rechnungsanschrift, Perioden, Steuer-/Betragswerte und Zahlungsreferenzen hinzu. Karte/SEPA nutzen den geschützten Zahlungsdienstleisterweg. Eine erstellte Rechnung, SEPA-pending oder bloße Rückkehr von einer Zahlungsseite ist keine bestätigte Zahlung. Der einmalige Registrierungslink ist ein Zugangsgeheimnis; teile ihn nicht.

4. Benutzerkonten, Sitzung und Fachinhalte

E-Mail, Anzeigename, Passwort-Hash, Verifikationsstatus und erforderliche Rollen-, Mitgliedschafts-, Einladungs-, Mehrfaktor- und Sitzungsdaten ermöglichen den autorisierten Zugang. Passwörter werden nicht im Klartext gespeichert. Die Verarbeitung kundenseitiger Konten/Zugriffsrechte folgt insoweit der AVV; eigene Sicherheitszwecke werden davon getrennt behandelt.

Technisch notwendige HTTPS-Cookies sind Secure, HttpOnly und SameSite=Lax. Nur auf ausdrücklichen Wunsch kann die Anmeldung auf einem vertrauenswürdigen Gerät höchstens 30 Tage bestehen bleiben; reine Nutzung verlängert sie nicht unbegrenzt. Logout/Widerruf wirken unabhängig davon. Private Browserfenster oder das Löschen von Websitedaten können die Anmeldung beim Schließen beenden. Token-/Einladungsgültigkeit wird nicht durch eine 90 Tage-Logregel verlängert.

Kundenseitig können Stamm-/Ausbildungs-/Organisationsdaten, Planung, Schule, Abwesenheiten, Prüfungen/Noten, Lernziele, Unterweisungen, Berichte, Beurteilungen, Zeugnisse, Aufgaben und Notizen verarbeitet werden. Angaben kommen vom Unternehmen, befugten Nutzern oder Betroffenen im freigegebenen Ablauf. Auch Minderjährige können betroffen sein. Krankheitsangaben können Gesundheitsdaten sein; der Verantwortliche muss dafür zusätzlich eine einschlägige Ausnahme nach Art.9 DSGVO, gegebenenfalls Beschäftigtendatenrecht, prüfen. Diagnosen werden für die normale Abwesenheitsplanung nicht benötigt.

Profile haben optionale, private Bilder ohne Gesichtserkennung; ursprüngliche Bildmetadaten werden bei Optimierung entfernt. Mandanteneigene Zusatzangaben haben strukturierte Werte und Historie, aber keine automatische Personenbewertung oder versteckte Planungsconstraint. Ein Personenstammsatz allein versendet keine E-Mail. Rollen, Mandanten-, Betriebs- und Personenscopes begrenzen jede fachliche Sicht. Es sind keine automatisierten Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung und keine Azubi-Rankings vorgesehen.

5. Empfänger und internationale Bezüge

Zugriff haben nur nach Zweck befugte Nutzer und erforderliche Betreiberpersonen; Plattformrechte allein gewähren nicht automatisch fachlichen Vollzugriff. Die tatsächlichen Dienstleister sind:

STRATO GmbH: Serverhosting und AusbildungsDesk-Systemmail; notwendige

Laufzeit-/Fachdaten beziehungsweise Empfänger-, Nachrichten- und Zustellangaben.

IONOS: CRM-Mail Basic & Business für erforderliche Geschäftskommunikation;

HiDrive für verschlüsselte Sicherungen. Das Offsite-Ziel erhält keinen Schlüssel.

Stripe Payments Europe, Limited und, soweit der betreffende regulierte Dienst

erbracht wird, Stripe Technology Europe, Limited: Zahlungsabwicklung mit den dafür erforderlichen kaufmännischen Angaben. Keine Ausbildungsfachinhalte.

Stripe handelt je nach Zweck als eigener Verantwortlicher oder Auftragsverarbeiter; keine pauschale reine Auftragsverarbeiterrolle. Globale Verarbeitung einschließlich USA ist möglich. Die tatsächliche Einordnung folgt den Vertragsbedingungen, Datenschutzbedingungen und dem Transferanhang; dort sind Informationen über anwendbare Angemessenheits-/Standardvertragsmechanismen zugänglich. Auskünfte zu konkret einschlägigen Garantien können über unseren Datenschutzkontakt angefordert werden. Keine Zusage ausschließlicher EU-/Deutschland-Verarbeitung.

Unser internes kaufmännisches System ist nicht allein wegen getrennter Software ein weiterer Drittempfänger. Die Dienstleisterliste/AVV grenzt Auftragsverarbeitung von eigenen Vertrags-/Zahlungszwecken ab. Marketingwebsite und ihre etwaigen Statistik-/Cookieprozesse werden separat erklärt; für die App sind keine Marketing-/Werbetrackingdienste dokumentiert.

6. Aufbewahrung, Datenmitnahme und Löschung

Der Test endet nach 30 Kalendertagen im Lesemodus. Spätestens 90 Tage nach Testende erfolgt die manuelle Löschprüfung, nicht eine pauschale Erlaubnis für 90 Tage Speicherung jeder Datenart. Auftragsdaten ohne fortbestehenden zulässigen Zweck oder einschlägige Pflicht werden danach unverzüglich kontrolliert gelöscht. Ein fortgesetzter Verkaufsdialog rechtfertigt nicht automatisch ganze Fachbestände. Berechtigte frühere Weisungen/Betroffenenrechte bleiben vorrangig zu bearbeiten.

Auftragsdaten folgen den Weisungen des Kunden und der AVV. Eigene Belege werden getrennt nach ihrer gesetzlichen Frist aufbewahrt; dies rechtfertigt keine achtjährige Aufbewahrung sämtlicher Azubidaten. Bei notwendigem Legal Hold werden Umfang, Grund und nächste Prüfung dokumentiert, Zugriffe eingeschränkt.

Datenmitnahme erfolgt über den mandantenbezogenen verschlüsselten Betreiberexport mit JSONL, Originaldateien und Manifest, ohne Authentisierungsgeheimnisse. Berechtigung und Empfänger müssen vor Übergabe geprüft werden. Temporäre entbehrliche Arbeitskopien werden 14 Tage nach bestätigter Übergabe gelöscht; erforderliche längere Abrufmöglichkeiten bleiben unberührt. Einzelheiten im Wechselanhang.

Sicherungen sind verschlüsselt und zugriffsbeschränkt. Als Betriebsanforderung für reguläre Sicherungen sind alle drei Nächte, höchstens sieben Stände und höchstens 30 Kalendertage festgelegt. Die tatsächliche Durchsetzung dieser Betriebsgrenzen ist noch nicht als aktiviert nachgewiesen; eine automatische Einhaltung wird hier nicht als bestehender Betrieb zugesagt. Eine Generationenzahl allein ist keine Kalenderfrist. Löschungen werden vor produktiver Wiederverwendung älterer AD-Sicherungen erneut angewendet. Das belegt nicht automatisch denselben Ablauf für jede CRM-Datenklasse.

7. Deine Rechte

Unter den gesetzlichen Voraussetzungen bestehen Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch, insbesondere gegen Verarbeitung auf Grundlage berechtigter Interessen. Eine freiwillige Einwilligung kann für die Zukunft widerrufen werden; ihre frühere Rechtmäßigkeit bleibt unberührt. Es besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde, insbesondere am Aufenthaltsort, Arbeitsplatz oder Ort des vermuteten Verstoßes. Für uns kommt die LDI Nordrhein-Westfalen in Betracht.

Für eigene Geschäftsdaten wende dich an impressum@kobico.de; für Ausbildungsfachdaten an dein verantwortliches Unternehmen. Wir unterstützen dessen Rechtebearbeitung nach AVV. Gesetzliche Antwortfristen werden nicht bis zu einer allgemeinen Löschprüfung aufgeschoben. Kenntnisnahme dieser Hinweise ist keine Werbeeinwilligung.