Datenschutzerklärung und Einwilligung zur Datenverarbeitung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:

{{VERANTWORTLICHER_NAME}}
{{ANSCHRIFT_STRASSE}}
{{ANSCHRIFT_PLZ_ORT}}
E-Mail: info@maxbrandenburg.de

Ein Datenschutzbeauftragter ist derzeit nicht bestellt, da die Bestellpflicht nach § 38 BDSG nicht erreicht wird. Für datenschutzrechtliche Anfragen wende Dich bitte direkt an die oben genannte E-Mail-Adresse.

2. Welche Daten verarbeitet werden

2.1 Stammdaten (bei Registrierung)

• E-Mail-Adresse (zur Anmeldung und Kommunikation)
• Selbst gewählter Zugangs-Code / Passwort-Hash (nicht im Klartext gespeichert)
• Zeitstempel der Registrierung
• Zeitstempel der Einwilligung + Version der akzeptierten Dokumente (AGB, Datenschutz)

2.2 Inhaltliche Daten aus der Nutzung

• Chat- und Dialogverläufe — Deine Antworten auf Fragen, Deine Freitext-Eingaben, Deine Reflexionen
• Modul-Interaktionen — welche Module aufgerufen, wie lange, welche Optionen gewählt
• KI-Rückmeldungen — die durch die KI generierten Antworten, Matches, Modul-Empfehlungen und deren Auswahl-Begründungen

2.3 Verhaltensdaten (Behavioral Marker)

Diese Daten werden implizit durch die Nutzung erhoben und dienen der Forschung zu Handlungsspielraum und Selbstwirksamkeit:

• Reaktionszeiten pro Antwort (Antwort-Latenzen in Millisekunden)
• Bearbeitungsmuster (Änderungen an Antworten vor Abschicken, Edit-Distanzen)
• Modul-Wahlverhalten (Klick-Divergenz zur Top-Empfehlung, Explorationsrate)
• Sitzungslängen, Rückkehrfrequenz, Abbruch- und Fortsetzungsmuster
• Konfidenz-Angaben nach Reflexionen (1-Item-Likert)

2.4 Technische Daten

• IP-Adresse (gehasht, nur zur Fraud-Prevention und für den Consent-Nachweis)
• Browser- und Geräteinformationen (User-Agent)
• Zeitpunkt und Dauer von Anfragen (für Fehleranalyse und Performance-Messung)
• Fehler-Ereignisse (Stack-Traces, ausgelöst durch Fehler in der Anwendung)

2.5 Besondere Kategorien (Art. 9 DSGVO)

Aus Deinen Antworten können sich Hinweise auf Gesundheitszustand, psychische Verfassung, weltanschauliche oder politische Überzeugungen ergeben. Solche Angaben sind nach Art. 9 DSGVO besonders geschützt.

Mit Deiner Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO verarbeiten wir solche Daten ausschließlich (a) zum Betrieb der Anwendung (personalisierte Rückmeldungen, Modul-Empfehlungen) und (b) zu Forschungszwecken in pseudonymisierter Form (siehe Abschnitt 5).

Bitte gib in Freitext-Feldern keine Daten Dritter (z.B. Namen von Angehörigen, Kollegen, Ärzten) ein. Falls dies dennoch geschieht, werden wir solche Daten bei erkennbarem Personenbezug im Rahmen der Datenminimierung entfernen oder pseudonymisieren.

3. Zwecke der Verarbeitung und Rechtsgrundlagen

3.1 Betrieb der Anwendung

• Login und Sitzungsverwaltung
• Personalisierte Fragen, Antworten und Modul-Empfehlungen
• Fehleranalyse und Verbesserung der Anwendung
• Kommunikation mit Dir (E-Mails zu Deinem Konto)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Nutzungsvertrag nach AGB) und Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

3.2 Wissenschaftliche Forschung

PsyEdu ist Teil eines Forschungsvorhabens zu KI-gestützter Selbstwirksamkeit und Handlungsspielraum. Deine Daten werden ausgewertet:

• quantitativ — statistische Analysen zu Verhaltensmustern, Reaktionszeiten, Modul-Wirkungen (in pseudonymisierter Form über alle Nutzenden hinweg);
• qualitativ — inhaltliche Analysen einzelner Dialoge zur Verbesserung der KI-Antwort-Qualität und der Modul-Konzepte;
• methodisch — als Grundlage für wissenschaftliche Publikationen und Konferenzbeiträge.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. a DSGVO (Deine Einwilligung), Art. 9 Abs. 2 lit. a DSGVO (besondere Kategorien mit Einwilligung), Art. 89 DSGVO (Verarbeitung zu wissenschaftlichen Forschungszwecken mit geeigneten Garantien).

3.3 KI-Modell-Qualität

Anonymisierte Auszüge Deiner Dialoge können intern verwendet werden, um die Qualität der KI-Antworten zu prüfen und zu verbessern (interne Evaluations- und Test-Datensätze). Es werden keine Deiner Daten an Anbieter der KI-Basismodelle zurückgegeben, außer sie wurden ohnehin zur Beantwortung einer Anfrage übermittelt (siehe Abschnitt 4).

4. Empfänger und Auftragsverarbeiter

Zum Betrieb der Anwendung setzen wir folgende Dienstleister ein. Mit allen ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abgeschlossen bzw. wird abgeschlossen:

4.1 Drittlandübermittlung (USA)

Anthropic, Neon (je nach Region), Vercel und Sentry verarbeiten Daten teilweise in den USA, einem Drittstaat außerhalb der EU/EWR ohne Angemessenheitsbeschluss im Sinne des klassischen Datenschutz-Rahmens.

Die Übermittlung erfolgt auf Grundlage von Standardvertragsklauseln (SCC) nach Art. 46 Abs. 2 lit. c DSGVO und — soweit die Anbieter zertifiziert sind — auf Grundlage des EU-U.S. Data Privacy Framework. Ergänzend haben die Anbieter zusätzliche technische und organisatorische Maßnahmen getroffen (u.a. Verschlüsselung, Zugriffskontrolle).

Trotz dieser Maßnahmen kann ein Zugriff US-amerikanischer Behörden auf die Daten nach dortigem Recht nicht vollständig ausgeschlossen werden. Mit Deiner Einwilligung erklärst Du Dich mit dieser Drittlandübermittlung auch nach Art. 49 Abs. 1 lit. a DSGVO einverstanden.

5. Pseudonymisierung und Anonymisierung für Forschung

Für wissenschaftliche Auswertungen werden Deine Daten pseudonymisiert: Deine E-Mail-Adresse wird durch eine interne Nutzungs-ID ersetzt, die außerhalb der Betriebsdatenbank nicht zurückverfolgbar ist.

Für Publikationen und Konferenzbeiträge werden ausschließlich aggregierte oder vollständig anonymisierte Daten verwendet. Einzelne Zitate aus Dialogen werden nur nach zusätzlicher Prüfung und nur so verwendet, dass ein Rückschluss auf Deine Person ausgeschlossen ist.

6. Speicherdauer

• Stammdaten: solange Dein Konto besteht + 3 Jahre nach Kündigung (für Beweiszwecke und Consent-Nachweis nach Art. 7 Abs. 1 DSGVO).
• Inhaltliche Daten und Verhaltensdaten: solange Dein Konto besteht. Nach Kontokündigung vollständig anonymisiert und verbleiben in dieser Form im Forschungs-Datensatz.
• Technische Log-Daten: in der Regel 30 Tage, bei Sicherheitsvorfällen bis zur Aufklärung.
• Fehler-Logs (Sentry): bis zu 90 Tage.

7. Deine Rechte

Nach den Art. 15 bis 22 DSGVO stehen Dir folgende Rechte zu:

• Auskunft (Art. 15) — welche Daten wir über Dich verarbeiten;
• Berichtigung (Art. 16) — Korrektur unrichtiger Daten;
• Löschung (Art. 17) — mit den in Abschnitt 6 genannten Ausnahmen;
• Einschränkung der Verarbeitung (Art. 18);
• Datenübertragbarkeit (Art. 20);
• Widerspruch (Art. 21) gegen Verarbeitungen auf Basis berechtigter Interessen;
• Widerruf Deiner Einwilligung (Art. 7 Abs. 3) mit Wirkung für die Zukunft.

Alle Anfragen richte formlos an: info@maxbrandenburg.de.

Ferner steht Dir ein Beschwerderecht bei der zuständigen Datenschutzaufsichtsbehörde zu:

{{AUFSICHTSBEHOERDE_NAME_UND_ADRESSE}}

8. Folgen von Widerruf / Löschung

Wenn Du Deine Einwilligung widerrufst oder Löschung verlangst:

• wird Dein Konto deaktiviert und innerhalb von 14 Tagen gelöscht;
• werden inhaltliche Daten aus der Betriebsdatenbank innerhalb dieser Frist gelöscht oder anonymisiert;
• verbleiben bereits vor dem Widerruf entstandene anonyme Auswertungen im Forschungs-Datensatz — eine nachträgliche Herauslösung ist bei bereits anonymisierten Daten technisch nicht möglich.

Da die Anwendung ohne diese Verarbeitungen nicht sinnvoll nutzbar ist, führt ein Widerruf faktisch zum Ende der Nutzung.

9. Keine automatisierte Entscheidungsfindung mit rechtlicher Wirkung

Die KI-Komponente von PsyEdu erzeugt Rückmeldungen, Empfehlungen und Reflexions-Impulse. Diese haben keine rechtliche Wirkung und keine in vergleichbarer Weise erheblichen Auswirkungen im Sinne von Art. 22 DSGVO. Alle Entscheidungen im Leben triffst Du selbst; PsyEdu gibt lediglich Anregungen.

10. Sicherheit

Wir sichern die Anwendung nach dem Stand der Technik:

• Transportverschlüsselung (TLS) für alle Verbindungen
• Verschlüsselte Speicherung der Datenbank
• Passwort-Hashing mit anerkannten Verfahren (kein Klartext)
• Zugriffskontrolle: nur der Anbieter hat Zugriff auf Rohdaten
• Sicherheitsupdates werden zeitnah eingespielt

Trotz aller Sorgfalt gibt es im Internet keine absolute Sicherheit. Sicherheitsvorfälle melden wir Dir und der Aufsichtsbehörde nach Art. 33, 34 DSGVO.

11. Änderungen dieser Erklärung

Bei wesentlichen Änderungen informieren wir Dich mindestens 30 Tage vor Wirksamwerden per E-Mail. Wenn Du der Änderung nicht zustimmst, kannst Du bis dahin die Nutzung beenden und die Löschung Deiner Daten verlangen.