Datenschutz-FAQ: Häufige Fragen von Kunden und Arbeitgebern

Worum es hier geht

Wenn du Kurse für Unternehmen durchführst, kommt irgendwann eine Anfrage aus einer Datenschutzabteilung: Bevor Mitarbeitende den QR-Code beim Check-In nutzen dürfen, möchte man wissen, was dabei technisch passiert und wo die Daten landen.

Diese Fragen sind fast immer dieselben. Damit du nicht jedes Mal neu recherchieren musst, findest du unten die häufigsten Fragen mit fertigen Antworten. Der Abschnitt „Antworten zum Weitergeben" ist so formuliert, dass du ihn kopieren und unverändert an das anfragende Unternehmen schicken kannst.

Ergänzend erklärt der Artikel Datenschutzerklärung & Auftragsverarbeitung, wie du deine Datenschutzerklärung hinterlegst und die AVV unterschreibst.

Das Wichtigste zuerst: Wer ist eigentlich verantwortlich?

Der häufigste Irrtum in solchen Anfragen ist die Annahme, Siggionline sei der Verantwortliche und müsse die Auskunft geben.

Verantwortlicher nach Art. 4 Nr. 7 DSGVO bist du als Ausbildungsstelle. Du entscheidest, welche Daten erhoben werden, zu welchem Zweck und wie lange sie gespeichert bleiben. Siggionline verarbeitet diese Daten ausschließlich in deinem Auftrag als Auftragsverarbeiter nach Art. 28 DSGVO und ist an deine Weisungen gebunden.

Praktische Folge: Die Auskunft gegenüber deinem Kunden gibst formal du. Wir liefern dir die technischen Angaben dafür – genau das ist dieses FAQ. Auch Löschungen oder Berichtigungen dürfen wir nur auf deine dokumentierte Weisung vornehmen, nicht eigenmächtig.

Was du vorbereiten solltest

Bevor du antwortest, prüfe zwei Dinge in deinem Konto unter Einstellungen → Datenschutz:

1. Ist die AVV unterschrieben? Wenn nicht, hol das nach – es dauert zwei Minuten. Ein Konzern-Datenschutzbeauftragter fragt danach als erstes, und du kannst das signierte PDF anschließend direkt als Nachweis vorlegen. So unterschreibst du die AVV
2. Stimmen die Angaben in der Datenschutzerklärung? Wenn du keine eigene hinterlegt hast, wird die allgemeine Erklärung von Siggionline mit dir als Verantwortlichem ausgeliefert – inklusive deiner Anschrift und deiner Kontaktadresse für Datenschutzanfragen. Prüf einmal, ob das so passt.

Diese beiden Dokumente – unterschriebene AVV samt Anlagen und die Datenschutzerklärung – beantworten zusammen mit dem FAQ unten praktisch jeden Fragenkatalog.

Zwei organisatorische Voraussetzungen, die bei dir liegen

Beim Einsatz einer digitalen Lehrgangsdokumentation musst du zwei Dinge vor Ort sicherstellen. Das ist keine Empfehlung von uns, sondern Voraussetzung dafür, dass die Dokumentation im Prüfungsfall anerkannt wird – und die technische Umsetzung liegt in der Verantwortung der ermächtigten Stelle, also bei dir:

1. Jede teilnehmende Person muss unterzeichnen können. Wer kein Smartphone hat, braucht eine andere Möglichkeit. Halte deshalb ein eigenes Gerät bereit, etwa ein Tablet der Kursleitung, das du zur Anmeldung herumgibst. Zusätzlich können sich über ein bereits genutztes Endgerät weitere Personen anmelden.
2. Für den Fall ohne Internetverbindung brauchst du eine Alternative. Praktisch heißt das: Ersatzdokumente in Papierform im Kursmaterial. Wichtig zu wissen – eine auf Papier erfasste Anwesenheit lässt sich derzeit nicht nachträglich ins System übernehmen. Der Kurs bleibt dann ein Papiervorgang: Du hebst die Unterschriftenliste auf oder scannst sie und stellst die Bescheinigungen auf anderem Weg aus. Theoretisch können sich Teilnehmende auch später noch registrieren, solange sie den QR-Code und die PIN kennen und du den Check-In offen lässt – das funktioniert zeit- und ortsunabhängig. In der Praxis bekommt man eine Gruppe nach Kursende aber selten dazu. Plan deshalb mit dem Papierweg, nicht mit der Nachregistrierung.

Wenn du dazu eine verbindliche Aussage brauchst oder ein Prüfer Rückfragen hat, wende dich direkt an die Qualitätssicherungsstelle Erste Hilfe: Kontakt über die DGUV. Wir stellen den Kontakt auf Wunsch gerne her.

Tipp für Firmenkurse: die E-Mail-Frage vorwegnehmen

Wenn ein Unternehmen nach dem Datenschutz fragt, geht es fast immer auch um die E-Mail-Adresse. Der einfachste Weg, das zu entschärfen: Weis darauf hin, dass eine dienstliche Adresse genügt. Damit ist der häufigste Einwand – „unsere Mitarbeitenden sollen keine privaten Daten angeben" – erledigt, ohne dass du etwas umstellen musst.

Die Abfrage hat einen inhaltlichen Grund, den du ruhig nennen solltest: Die Bescheinigung wird der teilnehmenden Person persönlich ausgestellt, nicht dem Arbeitgeber. Das wirkt deutlich besser als eine Pflichtfeld-Erklärung ohne Begründung.

Fragt dein Check-In-Profil die Adresse ab, ist sie Pflichtfeld. Die Einstellung findest du unter Einstellungen → Check-In Profile.

Die AVV enthält zwei Anlagen, die du auf Anfrage weitergeben kannst:

• Anlage 1 listet die eingesetzten Unterauftragnehmer.
• Anlage 2 dokumentiert die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO – von der Zutrittskontrolle im Rechenzentrum bis zur Verschlüsselung der Backups. Damit belegst du Sicherheitsfragen statt sie nur zu behaupten.

Beide Anlagen sind auch in der Blanko-Fassung enthalten, die frei zugänglich ist: AVV herunterladen. Bei einer Anfrage kannst du also einfach diesen Link mitschicken, statt Dokumente heraussuchen zu müssen – die unterzeichnete Fassung brauchst du nur, wenn ausdrücklich nach dem Nachweis gefragt wird.

Antworten zum Weitergeben

Der folgende Abschnitt ist zum Kopieren gedacht. Ersetze den Platzhalter für deine Ausbildungsstelle und schick ihn an das anfragende Unternehmen.

Das QR-Code-Verfahren

Wie läuft das Verfahren ab?

Der QR-Code ersetzt die handschriftlich geführte Teilnehmerliste auf Papier.

Die Ausbildungsstelle zeigt den QR-Code vor Ort – als Ausdruck, laminiert, auf einem Bildschirm oder in der Präsentation. Die Teilnehmenden scannen ihn mit der Kamera ihres eigenen Endgeräts oder eines vor Ort bereitgestellten Geräts.

Der QR-Code enthält eine Internetadresse mit einer Kennung der Ausbildungsstelle. Er enthält keine Daten der Teilnehmenden und keine Kennung des Endgeräts. Innerhalb einer Ausbildungsstelle bleibt der Code gleich; die Zuordnung zum richtigen Kurs erfolgt über eine PIN, die nach dem Scannen abgefragt wird und die die Ausbildungsstelle vor Ort bekanntgibt. Ohne diese PIN lassen sich keine Daten eingeben.

Anschließend öffnet sich ein Formular, in dem die für die Lehrgangsart erforderlichen Angaben gemacht und mit einer digitalen Unterschrift bestätigt werden – gezeichnet mit Finger, Maus oder Stift. Die Kursleitung prüft die Angaben und gibt jede Anmeldung einzeln frei oder lehnt sie ab. Erst aus den freigegebenen Anmeldungen erzeugt das System die Lehrgangsdokumentation und die Teilnahmebescheinigungen als PDF.

Nicht Teil des Verfahrens: eine App-Installation, ein Nutzerkonto für Teilnehmende, eine Registrierung oder eine dauerhafte Kopplung des Endgeräts.

Was passiert technisch beim Scannen?

1. Die Kamera-App des Endgeräts liest den QR-Code aus. Dieser enthält ausschließlich eine Internetadresse mit einer Kennung der Ausbildungsstelle – keine personenbezogenen Daten der Teilnehmenden und keine Kennung des Endgeräts.
2. Der Browser ruft diese Adresse auf. Erst mit diesem Aufruf entsteht die erste Datenverbindung zum Server.
3. Die Verbindung ist durchgängig per TLS verschlüsselt, erkennbar an https:// und dem Schloss-Symbol im Browser.
4. Es wird eine PIN abgefragt. Erst mit der korrekten, vor Ort bekanntgegebenen PIN wird das Formular für den betreffenden Kurs freigeschaltet. Die PIN wirkt damit als Zugangsschutz: Wer den QR-Code kennt, aber nicht im Kurs ist, kommt nicht weiter.
5. Der Teilnehmende füllt das Formular aus und unterschreibt digital.
6. Nach dem Absenden werden die Angaben gespeichert und die Dokumente erzeugt.

Der Scan allein löst keine Datenübertragung aus, solange die Seite nicht geöffnet wird. Ein Zugriff auf das Endgerät oder auf dort gespeicherte Daten findet zu keinem Zeitpunkt statt – der QR-Code wird von der geräteeigenen Kamera-App gelesen, es wird kein Bild übermittelt.

Führt der QR-Code auf eine Website oder in eine App?

Auf eine Website. Siggionline ist eine reine Webanwendung unter app.siggionline.de, die im Browser läuft. Eine App wird nicht angeboten und ist nicht erforderlich. Eine lokale Installation bei der Ausbildungsstelle findet ebenfalls nicht statt.

Zu welchem Zweck werden die QR-Codes eingesetzt?

Der QR-Code ist ausschließlich das Zugangsmittel zum Check-In-Formular. Die dahinterliegende Verarbeitung dient laut Auftragsverarbeitungsvereinbarung folgenden Zwecken:

• standortunabhängige Planung von Lehrgängen
• digitale Erfassung und Bestätigung der Lehrgangsteilnehmenden
• Archivierung der digital erstellten Dokumentationen
• Erstellung von Teilnahmebescheinigungen und Bereitstellung für Teilnehmende und gegebenenfalls Arbeitgeber
• Abrechnung der Ausbildungsleistungen

Es findet keine Verarbeitung zu Werbezwecken statt, kein Profiling, keine automatisierte Entscheidungsfindung und keine Auswertung des Nutzungsverhaltens.

Ist die digitale Unterschrift überhaupt gültig?

Die auf dem Bildschirm gezeichneten Unterschriften von Teilnehmenden und Dozierenden sind grafische Abbildungen der handschriftlichen Unterschrift, die in das PDF eingebettet werden – keine elektronischen Signaturen im rechtlichen Sinne.

Das gesamte Dokument wird anschließend mit einer fortgeschrittenen elektronischen Signatur der Siggi Online Solutions GmbH versiegelt. Diese belegt, dass das Dokument zu einem bestimmten Zeitpunkt mit genau diesen Inhalten – einschließlich der eingebetteten Unterschriften – erzeugt wurde und seitdem nicht verändert worden ist.

Jedes PDF enthält ein Audit-Protokoll mit Signaturzeitpunkt, Zertifikats-Fingerprint und Angaben zum Zertifikatsaussteller. Die Echtheit lässt sich mit gängigen PDF-Readern wie Adobe Acrobat prüfen. Details dazu: Digitale Signatur & Audit-Protokoll

Kann sich eine beliebige Person in einen Kurs eintragen?

Nein, dem stehen drei Hürden entgegen.

Die PIN. Ohne die vor Ort bekanntgegebene PIN lässt sich kein Formular öffnen.

Das Zeitfenster. Die PIN ist nur während des laufenden Kurses aktiv. Die Kursleitung schaltet sie zu Beginn frei und deaktiviert sie am Ende wieder. Außerhalb dieses Fensters ist keine Anmeldung möglich.

Die Freigabe. Jede Anmeldung wird von der Kursleitung geprüft und einzeln freigegeben oder abgelehnt. Ein Eintrag, der nicht zu einer tatsächlich anwesenden Person gehört, gelangt damit nicht in die Dokumentation.

Erst nach Deaktivierung der PIN lassen sich die Dokumente erzeugen. Der Kurs ist danach abgeschlossen und nicht mehr für Anmeldungen offen.

Muss jeder Teilnehmende ein eigenes Smartphone benutzen?

Nein. Ein eigenes Gerät ist keine Voraussetzung für die Kursteilnahme.

Sobald sich eine Person über den QR-Code angemeldet hat, kann sich über dasselbe Endgerät eine weitere Person anmelden. In der Praxis geben Teilnehmende ihr Gerät also weiter. Zusätzlich hält die Ausbildungsstelle in der Regel ein eigenes Gerät bereit – etwa ein Tablet der Kursleitung –, das zur Anmeldung herumgegeben wird.

Ihre Mitarbeitenden müssen für die Teilnahme somit kein privates Gerät einsetzen und keine App installieren. Auf dem Gerät verbleiben keine Daten der zuvor angemeldeten Person; jede Anmeldung ist ein abgeschlossener Vorgang.

Was passiert, wenn keine Internetverbindung verfügbar ist?

Für diesen Fall hält die Ausbildungsstelle organisatorisch eine Alternative bereit, in der Regel Ersatzdokumente in Papierform. Die Dokumentation der Teilnahme ist dadurch unabhängig von der Verfügbarkeit der Anwendung sichergestellt. Details zum Vorgehen nennt Ihnen die Ausbildungsstelle.

Braucht jeder Teilnehmende eine eigene E-Mail-Adresse?

In der Regel wird eine Adresse abgefragt, und das hat einen inhaltlichen Grund: Die Teilnahmebescheinigung wird der teilnehmenden Person persönlich ausgestellt, nicht dem Arbeitgeber. Die E-Mail-Adresse ist der Weg, auf dem sie die Person unmittelbar erreicht.

Ob sie abgefragt wird, hängt von der Konfiguration ab, die die Ausbildungsstelle für den Kurs gewählt hat. Wird die Adresse abgefragt, ist die Angabe verpflichtend.

Praktisch bedeutet das für Sie: Ihre Mitarbeitenden können statt einer privaten auch ihre dienstliche Adresse angeben. Eine private Adresse ist nicht erforderlich. Ob für Ihren Kurs zusätzlich ein Profil ohne E-Mail-Abfrage in Frage kommt, klären Sie bitte direkt mit der Ausbildungsstelle.

Bei Firmenkursen kann die Ausbildungsstelle darüber hinaus einen Zugriffslink für Ihren Ansprechpartner erzeugen, über den sich die Zertifikate aller eigenen Mitarbeitenden gesammelt herunterladen und aushändigen lassen. Ausgestellt bleibt jedes Zertifikat auf die teilnehmende Person.

Welche Daten verarbeitet werden

Welche personenbezogenen Daten der Teilnehmenden werden erfasst?

Maximal erhoben werden:

Welche Felder tatsächlich abgefragt werden, hängt von der Lehrgangsart und der Konfiguration der Ausbildungsstelle ab. Pflichtfelder sind im Formular mit einem Sternchen gekennzeichnet, alle weiteren Angaben sind freiwillig.

Gesundheitsdaten oder sonstige besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden nicht verarbeitet.

Wird eine Telefonnummer erhoben?

Nein. Eine Telefonnummer ist nicht Teil des Check-In-Formulars.

Wird eine Personalnummer erhoben?

Im Standard-Check-In ist kein solches Feld enthalten. Das System erlaubt der Ausbildungsstelle jedoch, benutzerdefinierte Datenfelder anzulegen. Ob und welche zusätzlichen Angaben erhoben werden, entscheidet daher die Ausbildungsstelle als Verantwortliche – sie kann Ihnen die konkrete Feldkonfiguration des betreffenden Kurses nennen.

Welche technischen Daten fallen an?

Beim Aufruf der Seite, wie bei jedem Webseitenaufruf, in Server-Logfiles:

IP-Adresse · Datum und Uhrzeit der Anfrage · Zeitzonendifferenz zu GMT · angeforderte Seite · HTTP-Statuscode · übertragene Datenmenge · Referrer · Browser · Betriebssystem und dessen Oberfläche · Sprache und Version der Browsersoftware

Beim Absenden des Formulars zusätzlich IP-Adresse und Zeitstempel der Übermittlung. Das dient dem Nachweis, wann und von wo die Unterschrift abgegeben wurde, und damit der Beweiskraft der Dokumentation.

Nicht erfasst werden: Geräte- oder Seriennummern, IMEI, Werbe-IDs, Standortdaten, Adressbuch- oder Fotozugriffe.

Welche weiteren Nutzungsdaten werden gespeichert?

Beim Abruf eines Zertifikats über einen personalisierten Link werden das abgerufene Zertifikat, der zugehörige Teilnehmende, der Zeitpunkt des Downloads und die IP-Adresse des zugreifenden Geräts protokolliert. Zweck ist die Nachvollziehbarkeit des Abrufs und der Schutz vor unberechtigtem Zugriff.

Änderungen an Datensätzen werden mit Zeitstempel und IP-Adresse protokolliert, damit nachträglich feststellbar ist, wer wann welche Daten eingegeben oder verändert hat.

Werden Tracking- oder Analyse-Werkzeuge eingesetzt?

Nein. Auf den öffentlichen Ansichten, die Teilnehmende nutzen, sind keine Analyse-, Tracking- oder Werbe-Werkzeuge eingebunden.

Werden die Daten für das Training von KI-Modellen genutzt?

Nein. Die Daten werden ausschließlich zu den oben genannten Zwecken verarbeitet. Eine Nutzung für Trainings- oder Analysezwecke findet nicht statt.

Rechtsgrundlage und Verträge

Auf welche Rechtsgrundlage stützt sich die Verarbeitung?

Die Festlegung trifft die Ausbildungsstelle als Verantwortliche. Je nach Lehrgangsart kommt zusätzlich Art. 6 Abs. 1 lit. c DSGVO in Betracht, soweit eine Dokumentationspflicht gegenüber dem Unfallversicherungsträger besteht.

Besteht ein Auftragsverarbeitungsvertrag?

Ja. Zwischen der Ausbildungsstelle und der Siggi Online Solutions GmbH besteht eine Auftragsverarbeitungsvereinbarung nach Art. 28 Abs. 3 DSGVO. Sie regelt Gegenstand und Dauer, Art und Umfang der Verarbeitung, die Datenkategorien, die technischen und organisatorischen Maßnahmen, Unterauftragsverhältnisse, Kontrollrechte, Meldepflichten bei Datenschutzverstößen sowie Löschung und Rückgabe.

Die Blanko-Fassung der Vereinbarung einschließlich aller Anlagen können Sie jederzeit selbst einsehen: Auftragsverarbeitungsvereinbarung herunterladen. Die für Ihren Fall unterzeichnete Fassung kann Ihnen die Ausbildungsstelle vorlegen.

Können wir unser eigenes AVV-Muster verwenden?

Der Vertragspartner der Ausbildungsstelle ist die Siggi Online Solutions GmbH; die AVV wird zwischen diesen beiden Parteien geschlossen. Ihr Unternehmen ist nicht Partei dieses Verhältnisses, weil Sie die Daten nicht bei uns verarbeiten lassen – Sie erhalten lediglich die Teilnahmenachweise Ihrer Mitarbeitenden von der Ausbildungsstelle.

Ob zwischen Ihnen und der Ausbildungsstelle eine eigene Vereinbarung erforderlich ist, klären Sie bitte direkt mit der Ausbildungsstelle.

Serverstandort und Unterauftragnehmer

Wo werden die Daten verarbeitet?

Ausschließlich im Gebiet der Europäischen Union, hauptsächlich in Deutschland. Der Standort sämtlicher genutzter Server ist Deutschland. Die Produktivsysteme für Anwendung, Datenbank und Backup werden in professionellen deutschen Rechenzentren betrieben.

Jede Verlagerung in ein Drittland würde die vorherige Zustimmung der Ausbildungsstelle voraussetzen und wäre nur unter den Voraussetzungen der Art. 44 ff. DSGVO zulässig.

Werden Daten an Unterauftragnehmer weitergegeben?

Ja, an Dienstleister in drei Bereichen:

• Betrieb der Anwendung, der Webseite und des E-Mail-Versands (Rechenzentrum)
• Entwicklung und IT-Infrastruktur
• Bedienhilfe in der internen Verwaltungsansicht

Die namentliche und abschließende Auflistung mit Anschrift und jeweiliger Leistung steht in Anlage 1 der Auftragsverarbeitungsvereinbarung. Sie ist Vertragsbestandteil und wird dort aktuell gehalten – Sie können sie direkt einsehen: Auftragsverarbeitungsvereinbarung herunterladen.

Die Bedienhilfe von Product Fruits wird ausschließlich in der internen Verwaltungsansicht für angemeldete Nutzer der Ausbildungsstelle ausgeliefert. Auf den öffentlichen Ansichten, die Teilnehmende beim Check-In und beim Zertifikatsabruf nutzen, ist sie nicht eingebunden.

Alle Unterauftragnehmer sind vertraglich in derselben Weise verpflichtet, wie die Siggi Online Solutions GmbH gegenüber der Ausbildungsstelle verpflichtet ist. Eine Weitergabe zu eigenen Zwecken dieser Dienstleister findet nicht statt. Weitere Unterauftragnehmer dürfen nur nach vorheriger dokumentierter Zustimmung der Ausbildungsstelle beauftragt werden.

Nebenleistungen wie Telekommunikation, Wartung oder Reinigung gelten nicht als Unterauftragsverhältnis, sind aber ebenfalls vertraglich abgesichert.

Befinden sich alle Unterauftragnehmer innerhalb der EU/des EWR?

Ja. Alle in Anlage 1 aufgeführten Unterauftragnehmer haben ihren Sitz innerhalb der Europäischen Union. Bei der Verarbeitung von Nutzerdaten werden keine Dienste außerhalb der Europäischen Union eingesetzt. Eine Drittlandsübermittlung findet nicht statt.

Speicherdauer und Löschung

Wie lange werden die Daten gespeichert?

Die konkreten Fristen innerhalb dieses Rahmens legt die Ausbildungsstelle als Verantwortliche fest. Aufbewahrung und Löschfristen maschinell erzeugter Protokolle sind organisatorisch geregelt und dokumentiert.

Kann ein Teilnehmender die Löschung seiner Daten verlangen?

Ein Löschanspruch nach Art. 17 DSGVO besteht, greift aber nicht, solange die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung oder zur Geltendmachung von Rechtsansprüchen erforderlich ist. Da die Lehrgangsdokumentation Nachweispflichten gegenüber dem Unfallversicherungsträger erfüllt, ist eine Löschung während der Aufbewahrungsfrist regelmäßig nicht möglich.

Über den Löschanspruch entscheidet die Ausbildungsstelle als Verantwortliche. Die Siggi Online Solutions GmbH darf Daten weder eigenmächtig löschen noch berichtigen, sondern nur auf dokumentierte Weisung.

Zugriff, Sicherheit und Ansprechpartner

Wer hat Zugriff auf die Daten?

• berechtigte Personen der Ausbildungsstelle, gesteuert über ein Rollen- und Berechtigungssystem mit differenzierten Rechten für Lesen, Ändern und Löschen
• der Arbeitgeber ausschließlich über eine gezielte Link-Freigabe, und dann nur auf die Zertifikate der eigenen Mitarbeitenden
• der Teilnehmende selbst über einen personalisierten Link auf das eigene Zertifikat; für den Abruf ist zusätzlich die Angabe des Geburtsdatums erforderlich
• Beschäftigte der Siggi Online Solutions GmbH ausschließlich im Rahmen von Betrieb und Support, auf Weisung der Ausbildungsstelle und nach Verpflichtung auf das Datengeheimnis

Welche Sicherheitsmaßnahmen sind umgesetzt?

Die vollständige Dokumentation ist Anlage 2 der Auftragsverarbeitungsvereinbarung und dort für Sie einsehbar: Auftragsverarbeitungsvereinbarung herunterladen. Sie umfasst unter anderem:

• Mandantentrennung: Daten verschiedener Ausbildungsstellen sind softwareseitig und logisch getrennt; Test- und Produktionsdaten sind getrennt, in der Entwicklung wird ausschließlich mit fiktiven Testdaten gearbeitet
• Verschlüsselung: TLS für alle Übertragungen, verschlüsselte Speicherung von Passwörtern, Verschlüsselung der Backups bereits bei Erstellung
• Zutrittskontrolle im Rechenzentrum: elektronische Zutrittskontrolle mit Protokollierung, Videoüberwachung, Einbruchmeldeanlage, Sicherheitsdienst
• Zugangs- und Zugriffskontrolle: differenzierte Berechtigungen, automatische Protokollierung aller Aktivitäten, regelmäßige Protokollauswertung
• Verfügbarkeit: RAID-Systeme, mindestens tägliche Backups, geografisch getrennte Ablage, redundante Stromversorgung und Klimatisierung, Brandschutzkonzept, automatisiertes Monitoring mit Alarmierung
• Angriffsabwehr: Firewalls, Intrusion Detection, Sperrung bei wiederholten Fehlversuchen, DoS-Abwehr durch das Rechenzentrum

Ergänzend gilt: Die Einhaltung wird regelmäßig überprüft und evaluiert, unter anderem durch automatisierte Auswertung der Server-Logs und laufende Integritätsprüfung der Backups.

Gibt es einen Datenschutzbeauftragten?

Bei der Siggi Online Solutions GmbH ist kein betrieblicher Datenschutzbeauftragter bestellt, da die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG nicht vorliegen. Verantwortlich für das Thema ist die Geschäftsführung.

Ansprechpartner für datenschutzrechtliche Anliegen ist die Ausbildungsstelle als Verantwortliche. Deren Kontaktdaten stehen in der Datenschutzerklärung.

Können wir die Einhaltung überprüfen?

Die Ausbildungsstelle hat als Verantwortliche das Recht, die Einhaltung der Auftragsverarbeitungsvereinbarung durch Stichprobenkontrollen oder durch benannte Prüfer zu überprüfen und Nachweise zu verlangen. Anfragen dazu richten Sie bitte an die Ausbildungsstelle.

Betroffenenrechte und Datenschutzvorfälle

Liegen Datenschutzhinweise für die Teilnehmenden vor?

Ja. Auf allen öffentlichen Ansichten – beim Check-In und beim Zertifikatsabruf – ist eine Datenschutzerklärung verlinkt und vor dem Absenden abrufbar. Sie enthält die Angaben nach Art. 13 DSGVO einschließlich Verantwortlichem, Datenkategorien, Zwecken, Rechtsgrundlagen und Speicherdauern sowie die Betroffenenrechte.

Die konkrete URL nennt Ihnen die Ausbildungsstelle.

Wie machen Teilnehmende ihre Rechte geltend?

Betroffene Personen haben die Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) sowie das Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO).

Zuständig ist die Ausbildungsstelle als Verantwortliche. Anfragen, die direkt bei Siggi Online Solutions eingehen, werden unverzüglich an die Ausbildungsstelle weitergeleitet.

Was passiert bei einer Datenschutzverletzung?

Die Siggi Online Solutions GmbH ist vertraglich verpflichtet, Verletzungen des Schutzes personenbezogener Daten unverzüglich an die Ausbildungsstelle zu melden und sie bei der Erfüllung ihrer Melde- und Informationspflichten nach Art. 33 und 34 DSGVO zu unterstützen. Die Meldung an die Aufsichtsbehörde und die Information der betroffenen Personen obliegen der Ausbildungsstelle als Verantwortlicher.

Was Ihr Unternehmen selbst zu beachten hat

Wenn Sie Mitarbeitende zu einer Ausbildung schicken und deren Teilnahmenachweise erhalten, verarbeiten Sie diese Daten für eigene Zwecke – etwa den Nachweis einer ausreichenden Zahl betrieblicher Ersthelfer. Dafür sind Sie eigenständig Verantwortlicher.

In Ihre eigene Dokumentation gehören daher:

• Eintrag im Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO für die Ersthelfer-Dokumentation
• eine eigene Rechtsgrundlage, in der Regel Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den Vorgaben zur betrieblichen Ersten Hilfe
• eigene Löschfristen für die bei Ihnen abgelegten Zertifikate
• Information Ihrer Mitarbeitenden nach Art. 13 DSGVO

Die Abschnitte oben liefern Ihnen die Angaben zu Datenkategorien, Zwecken, Empfängern, Drittlandsbezug, Speicherdauern und Sicherheitsmaßnahmen, die Sie dafür übernehmen können.

Ein Verzeichnis von Verarbeitungstätigkeiten führt übrigens jeder Verantwortliche für die eigenen Verarbeitungen und legt es der Aufsichtsbehörde vor – es wird nicht zwischen Geschäftspartnern ausgetauscht. Die Ausbildungsstelle führt es für die Kursverwaltung, Sie für Ihre Ersthelfer-Dokumentation.

Ende des Abschnitts zum Weitergeben.

Noch Fragen?

Wenn eine Anfrage über dieses FAQ hinausgeht, melde dich bei unserem Support unter hallo@siggionline.de. Schick die Anfrage am besten im Original mit, dann können wir gezielt antworten – und häufige Fragen wandern anschließend hier ins FAQ.