Sicherheit und Datenschutz bei AZAV-Doku

Wo die Daten liegen

Die Datenbank liegt in einem regionalen Standort: Firestore repliziert die Daten dort über mehrere Zonen derselben Region. Der Standort einer Firestore-Datenbank lässt sich nach dem Anlegen nicht mehr ändern.

Datensparsamkeit

• Keine Teilnehmerdaten in E-Mails. Die Anmelde-E-Mail enthält nur den Anmeldelink. Die geplante Fristen-E-Mail nennt nur Anzahlen und Fälligkeiten, keine Namen.
• Keine Teilnehmerdaten in Adressen und Statistik. Die App und die Unterschriftsseite senden keine Nutzungsereignisse. Die anonyme Statistik der öffentlichen Seiten kennt nur feste Kategorien (siehe Datenschutzerklärung).
• Unterschriftslinks ohne Klartext-Schlüssel auf dem Server. Der Link enthält einen Zufallsschlüssel im #-Teil der Adresse, den der Browser nicht an Server überträgt. Gespeichert wird nur sein SHA-256-Hash. Beim Öffnen wird der Schlüssel aus der Adresszeile entfernt; der Link gilt 72 Stunden, nur einmal und nur, solange die Sitzung unverändert ist.
• Gutscheinfoto wird nicht gespeichert. Das Bild wird im Browser verkleinert, zur Erkennung übermittelt und danach verworfen. Sie prüfen die erkannten Angaben, bevor etwas gespeichert wird.
• KI-Berichtsentwurf ohne Namen. Übermittelt werden Maßnahmebezeichnung, Maßnahmeziel und die Sitzungen mit Datum, Dauer, Inhalt und Notizen – kein Name, keine Anschrift, keine Kundennummer. Das Modell ist angewiesen, keine Gesundheitsdaten oder andere besondere Kategorien personenbezogener Daten zu nennen.
• Minimale Anzeige für Teilnehmende. Die Unterschriftsseite zeigt nur Trägername, Vorname, den ersten Buchstaben des Nachnamens und die zu bestätigende Sitzung – keine Notizen, keine Anschrift, keine Gutscheinnummer.
• Kein Offline-Speicher. Die App hält Teilnehmerdaten nur im Arbeitsspeicher des Browsers, nicht dauerhaft auf dem Gerät.

Wer zugreifen kann

Die Sicherheitsregeln der Datenbank lassen Lesen und Schreiben nur für angemeldete Konten mit bestätigter E-Mail-Adresse zu, die Mitglied der jeweiligen Organisation sind. Einige Felder kann kein Browser ändern, sondern nur der Server: Guthaben, Freischaltungen, Unterschriften, das Protokoll und die Liste der Mitglieder. Unterschriebene Sitzungen lassen sich im Browser nicht mehr ändern, nur ihre privaten Notizen. Diese Regeln werden automatisiert getestet.

Die Anmeldung läuft ohne Passwort über einen Link per E-Mail. Als Betreiber haben wir technisch Zugriff auf die Datenbank und nutzen ihn nur nach Ihrer Weisung, zum Beispiel zur Fehlerbehebung (siehe Auftragsverarbeitungsvertrag).

Unterschrift und Prüfsumme

Für jede Sitzung erzeugt der Coach einen Link oder QR-Code. Die teilnehmende Person sieht Datum, Beginn, Dauer, Form und Inhalt, gibt ihren vollständigen Namen ein, unterschreibt mit dem Finger und bestätigt, dass sie teilgenommen hat und freiwillig elektronisch unterschreibt. Der Server prüft, ob die Sitzung seit dem Erstellen des Links unverändert ist, und speichert:

• Name, Bild der Unterschrift, Zeitpunkt (Serverzeit) und Browserkennung,
• eine SHA-256-Prüfsumme über Organisation, Teilnehmer, Sitzung, Datum, Beginn, Dauer, Form, Anwesenheit und Inhalt,
• einen Protokolleintrag mit derselben Prüfsumme.

Danach ist die Sitzung gesperrt. Muss etwas korrigiert werden, setzt der Coach die Unterschrift zurück: Die unterschriebene Fassung wird im Verlauf archiviert, der Vorgang protokolliert, und die Person muss neu unterschreiben. Eine Prüfsumme macht nachträgliche Änderungen erkennbar; sie ist keine qualifizierte elektronische Signatur. Teilnehmende ohne Smartphone unterschreiben auf Papier – die Sitzung wird dann als „Papier“ markiert. Was die Bundesagentur für Arbeit zu digitalen Unterschriften sagt, steht im Ratgeber Digitale Unterschrift bei AVGS-Maßnahmen.

Protokoll

Jede Organisation hat ein Protokoll, das nur der Server schreibt und Mitglieder lesen können. Es speichert keine Inhalte von Sitzungen, sondern Aktion, Zeitpunkt, Konto und Prüfsummen:

KI-Funktionen

Zwei Funktionen nutzen KI, beide nur auf Ihren Klick: das Auslesen eines Gutscheinfotos und der Entwurf der Freitextfelder des Teilnahmebezogenen Berichts. Dafür nutzt AZAV-Doku das Modell Claude (Anthropic) über Google Vertex AI in der EU-Multiregion; nach Angaben von Google findet die Verarbeitung dort in EU-Mitgliedstaaten statt. Nach den Bedingungen von Google Cloud verwendet Google Kundendaten nicht ohne vorherige Erlaubnis zum Training von Modellen. Erkennen automatische Filter einen Missbrauchsverdacht, kann Google die Eingabe bis zu 90 Tage in derselben Region zur Prüfung speichern.

Das Ergebnis ist ein Vorschlag: Sie prüfen die erkannten Gutscheindaten und überarbeiten den Berichtsentwurf. Sie sind Autor des Berichts. Ist die KI nicht verfügbar, tragen Sie die Angaben selbst ein oder nutzen die Textbausteine.

Zahlung

Zahlungen wickelt Stripe Payments Europe, Limited (Dublin, Irland) ab. Stripe verarbeitet Zahlungs- und Rechnungsdaten des Trägers in eigener Verantwortung und erhält keine Teilnehmerdaten; Kartendaten gelangen nicht auf unsere Server. Wir speichern nur, wie viele Freischaltungen ein Zahlungsvorgang gutgeschrieben hat, den Betrag und die Kennung des Vorgangs. Der Preis: 9 € je Teilnehmer, der erste kostenlos (Preise).

Auftragsverarbeitung

Für die Daten Ihrer Teilnehmenden sind Sie als Träger verantwortlich; AZAV-Doku verarbeitet sie in Ihrem Auftrag (Art. 28 DSGVO). Den Vertrag finden Sie als Entwurf unter Auftragsverarbeitungsvertrag; die anwaltliche Prüfung steht noch aus.

Daten, die Sie von einer Agentur für Arbeit oder einem Jobcenter übermittelt bekommen, dürfen Sie nach § 78 SGB X nur zu dem Zweck verarbeiten, zu dem sie Ihnen übermittelt wurden, und müssen sie so geheim halten wie die Sozialleistungsträger selbst. Der Vertragsentwurf verpflichtet uns, diese Pflichten ebenso einzuhalten.

Unterauftragsverarbeiter

Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Kurzfassung; die vollständige Fassung ist Anlage 1 des Auftragsverarbeitungsvertrags.

Export und Löschung

• Anwesenheitsnachweis mit Unterschriften und die BA-Formulare erzeugen Sie jederzeit als PDF.
• Je Teilnehmer: Prüfpaket als ZIP (mit manifest.json und SHA-256-Prüfsummen aller Dateien) und vollständiger Datenexport als JSON; für alle Teilnehmenden eine CSV-Übersicht. Alles wird in Ihrem Browser erzeugt.
• Sitzungen ohne Unterschrift löschen Sie selbst; unterschriebene Sitzungen bleiben als Nachweis gesperrt.
• Einen Teilnehmer löschen Sie in der App mit allen Sitzungen, Unterschriften, Verläufen und offenen Unterschriftslinks; das Protokoll vermerkt den Vorgang ohne Namen. Konten löschen wir auf Ihre Anforderung per E-Mail.
• Wie lange Sie Unterlagen aufbewahren, entscheiden Sie als Verantwortlicher. Nach Vertragsende löschen wir die Daten nach dem Auftragsverarbeitungsvertrag.