Datenschutzerklärung

Verantwortlich für die Datenverarbeitung im Portal ist:

Unser Datenschutzbeauftragter:

Bei allen Fragen zum Datenschutz können Sie sich an uns oder direkt an unseren Datenschutzbeauftragten wenden.

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage aus der Datenschutz-Grundverordnung (DSGVO). Im Portal stützen wir uns auf die folgenden Grundlagen. Welche im Einzelfall gilt, nennen die jeweiligen Abschnitte.

Wo wir uns auf ein berechtigtes Interesse stützen, haben Sie ein Widerspruchsrecht (Abschnitt 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Das Portal läuft auf Servern in der Europäischen Union:

• Anwendung (Hosting): Vercel Inc. Die Anwendung wird in Frankfurt am Main ausgeführt (Region fra1).
• Datenbank, Anmeldung und Dateispeicher: Supabase Inc., Rechenzentrum Frankfurt am Main (AWS eu-central-1). Dort liegen alle Portal-Daten, verschlüsselt gespeichert (AES-256) und über verschlüsselte Verbindungen (TLS) übertragen.

Beim Aufruf des Portals verarbeitet der Hoster technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser-Typ), um die Seite an Ihr Gerät auszuliefern und die Systeme gegen Angriffe abzusichern. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, funktionsfähigen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Beide Anbieter sind Auftragsverarbeiter nach Art. 28 DSGVO und vertraglich an unsere Weisungen gebunden. Die Muttergesellschaften haben ihren Sitz in den USA; für Übermittlungen dorthin gelten EU-Standardvertragsklauseln (Abschnitt 19).

Was wir verarbeiten: Vor- und Nachname, E-Mail-Adresse, Passwort (nur als kryptographischer Hash, wir können Ihr Passwort nicht lesen), außerdem die Profilangaben, die Sie selbst hinterlegen: Geburtsdatum, Geschlecht, Nationalität, Telefonnummer, Wohnanschrift und optional ein Profilbild.

Wofür: Ohne Konto keine Bewerbung. Das Konto ist der Zugang zu allen Portal-Funktionen und die Grundlage der Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO).

Anmeldesicherheit: Optional können Sie eine Zwei-Faktor-Authentifizierung (Authenticator-App) einrichten; dabei wird ein geheimer Schlüssel für Ihr Konto gespeichert. Für die Sitzung selbst setzen wir technisch notwendige Cookies (Abschnitt 18). Sicherheitsrelevante Vorgänge (z. B. Passwort- und E-Mail-Änderungen) bestätigen wir per E-Mail.

Speicherdauer: Solange Ihr Konto besteht, längstens bis zum Ablauf der förderrechtlichen Aufbewahrungsfristen (Abschnitt 20).

Das Herzstück des Portals: Ihre Bewerbung durchläuft mehrere Schritte und wird danach von uns geprüft und bis zum Abschluss des Aufenthalts begleitet.

Was wir verarbeiten:

• Ihre Bewerbungsangaben: Ausbildungsberuf und -art, Lebenslauf (Schulbildung, Ausbildung, Berufserfahrung, Sprachkenntnisse), Motivationsschreiben, Wunsch-Zielland und Reisezeitraum;
• Bankverbindung (IBAN, BIC, Kontoinhaber) für die Auszahlung der Fördermittel;
• Angaben zu Ihrem Ausbildungsbetrieb und Ihrer Berufsschule, jeweils mit Ansprechperson (Name, E-Mail, Telefon);
• einen Notfallkontakt (Name, Beziehung, Telefon, E-Mail). Bitte informieren Sie die betreffende Person darüber, dass Sie sie angegeben haben (siehe Abschnitt 14);
• falls zutreffend: Angaben zu einem Förderbedarf („Teilnehmende mit geringeren Chancen“) — dazu der eigene Abschnitt weiter unten;
• nach dem Absenden: der Bearbeitungsstand Ihrer Mobilität (Statusverlauf).

Beim Absenden der Bewerbung frieren wir Ihre Profildaten als Momentaufnahme ein, damit die geprüfte Bewerbung nachträglich unverändert bleibt.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); für die förderrechtlich vorgeschriebenen Angaben zusätzlich Art. 6 Abs. 1 lit. c DSGVO.

Förderbedarf („Teilnehmende mit geringeren Chancen“)

Erasmus+ sieht eine Zusatzförderung für Menschen vor, die beim Zugang zum Programm auf Hindernisse stoßen. Wenn Sie diese Zusatzförderung in Anspruch nehmen möchten, fragen wir ab, welche Art von Hindernis vorliegt. Zur Auswahl stehen die von der EU-Kommission vorgegebenen Kategorien: Diskriminierung, Hindernisse im Bildungssystem, kulturelle Unterschiede, Behinderungen, wirtschaftliche, geografische und soziale Hindernisse, gesundheitliche Probleme sowie „andere Gründe“. Dazu kommen eine kurze Begründung und, falls vorhanden, ein Nachweis.

Wir sagen das ausdrücklich, weil es wichtig ist: Wenn Sie „Behinderungen“ oder „Gesundheitliche Probleme“ auswählen oder in der Begründung entsprechende Angaben machen, verarbeiten wir damit Gesundheitsdaten. Das sind besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO, die einen stärkeren Schutz genießen.

Rechtsgrundlage hierfür ist Art. 9 Abs. 2 lit. g DSGVO — Verarbeitung aus Gründen eines erheblichen öffentlichen Interesses auf Grundlage des Unionsrechts, in Verbindung mit Art. 6 Abs. 1 lit. c DSGVO. Das erhebliche öffentliche Interesse ergibt sich unmittelbar aus dem Erasmus+-Programm selbst: Die EU-Kommission gibt die Kategorien im Programmleitfaden verbindlich vor (dort „participants with fewer opportunities“), und die Erhebung ist Voraussetzung dafür, dass die Zusatzförderung bewilligt und gegenüber der Nationalen Agentur abgerechnet werden kann. Wir stützen uns hier bewusst nicht auf Ihre Einwilligung: Ohne die Angabe kann die Zusatzförderung nicht fließen — eine Einwilligung wäre unter diesen Umständen nicht wirklich freiwillig.

Quellen zum Nachlesen: Erasmus+ Programmleitfaden 2026 (Abschnitt „Inclusion and Diversity“) und die Datenschutzhinweise der EU-Kommission zur Erasmus+-Teilnehmerverwaltung.

Was das praktisch bedeutet:

• Die Angabe ist freiwillig. Machen Sie sie nicht, verzichten Sie ausschließlich auf die Zusatzförderung — Ihre Teilnahme am Programm ist davon nicht berührt, und es entstehen Ihnen keine sonstigen Nachteile.
• Die Angaben sind nur für Sie und die EBV-Sachbearbeitung sichtbar. An den Praktikumsbetrieb werden sie nicht übermittelt.
• Weitergegeben werden sie ausschließlich an die Nationale Agentur beim BIBB bzw. die Fördersysteme der EU-Kommission, soweit das für die Abrechnung der Zusatzförderung erforderlich ist (Abschnitt 13).
• Sie haben das Recht, der Verarbeitung aus Gründen Ihrer besonderen Situation zu widersprechen (Art. 21 DSGVO, Abschnitt 21). Sie können die Angaben außerdem jederzeit zurücknehmen, solange die Zusatzförderung noch nicht abgerechnet ist.

Weiteres zu Ihrer Bewerbung

Direkt nach dem Absenden stellen wir eine freiwillige Frage („Wie leicht war die Bewerbung für dich?“, fünfstufige Skala, bei Kritik ein optionales Textfeld). Die Antwort speichern wir mit Bezug zu Ihrer Bewerbung, um das Formular gezielt zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Die Frage können Sie einfach überspringen.

Abbruch einer Mobilität: Falls Sie Ihren Aufenthalt abbrechen müssen, erfassen wir den Grund, Ihre Begründung und, nur bei krankheitsbedingtem Abbruch, auf Ihren Upload hin eine ärztliche Bescheinigung. Zu Gesundheitsdaten siehe Abschnitt 10.

Für die Förderung müssen Sie Nachweise hochladen. Welche das sind, hängt von Ihrem Ausbildungsweg ab: Ausbildungsvertrag, Bestätigung des Betriebs, Bestätigung oder Bescheinigung der Berufsschule, Abschlusszeugnis oder ein Nachweis der Ausbildertätigkeit. Die Dateien liegen in einem zugriffsgeschützten Speicher (Supabase, Frankfurt). Sehen können sie nur Sie selbst und die Sachbearbeitung des EBV. Wir prüfen die Dokumente und vermerken das Prüfergebnis samt eventueller Kommentare.

Wir fordern keine Ausweiskopie an und speichern auch keine.

Rechtsgrundlage: Vertragserfüllung und förderrechtliche Nachweispflichten (Art. 6 Abs. 1 lit. b und c DSGVO).

Speicherdauer: Bis zum Ablauf der förderrechtlichen Aufbewahrungsfrist (Abschnitt 20).

Mehrere Dokumente werden im Portal digital unterschrieben: die Teilnehmervereinbarung, die Lernvereinbarung, ggf. der Letter of Intent des Aufnahmebetriebs und die Green-Travel-Erklärung.

Sie zeichnen die Unterschrift auf dem Bildschirm und bestätigen sie mit einem Einmalcode, den wir Ihnen per E-Mail senden.

Was dabei gespeichert wird: das Unterschriftsbild, der Zeitpunkt und die IP-Adresse des verwendeten Geräts. Diese drei Angaben brauchen wir, um später belegen zu können, wann ein Dokument von wem unterzeichnet wurde und dass es seitdem unverändert ist.

Betriebe erhalten für ihre Unterschrift einen persönlichen, zeitlich begrenzten Link per E-Mail. Ein Konto ist dafür nicht nötig.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die Beweissicherung stützt sich zusätzlich auf unser berechtigtes Interesse an der Nachweisbarkeit der Vertragsschlüsse (Art. 6 Abs. 1 lit. f DSGVO).

Wir berechnen und verwalten Ihre Förderraten, geben sie frei und dokumentieren die Auszahlung mit Buchungsbelegen (inkl. fortlaufender Belegnummer und Prüfsumme, wie es die Grundsätze ordnungsmäßiger Buchführung verlangen).

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und gesetzliche Buchführungspflichten (Art. 6 Abs. 1 lit. c DSGVO, §§ 147 AO, 257 HGB).

Speicherdauer: Buchungsrelevante Unterlagen 10 Jahre (gesetzliche Aufbewahrungspflicht).

Nachrichten-Bereich: Rückfragen zwischen Ihnen und der EBV-Sachbearbeitung laufen über den Chat im Portal. Gespeichert werden Nachrichtentext, Absender und Zeitpunkt.

E-Mails: Das Portal verschickt automatische E-Mails (Statusänderungen, Einmalcodes, Unterschrifts-Links, Erinnerungen) sowie von der Sachbearbeitung verfasste Nachrichten. Für den Versand nutzen wir den Dienstleister Resend Inc. Übermittelt werden Empfängeradresse, Betreff und Inhalt.

Der Versand erfolgt über Server in Irland, also innerhalb der EU. Die Zustellprotokolle und Kontodaten speichert Resend dagegen in den USA, unabhängig davon, von wo die E-Mails versendet werden. Für diese Übermittlung greifen die Zertifizierung nach dem EU-US Data Privacy Framework und ergänzende EU-Standardvertragsklauseln.

Wenn Sie auf eine unserer E-Mails antworten, landet Ihre Antwort nicht bei Resend, sondern in einem unserer Postfächer. Je nach Adresse betreibt diese:

• die Strato AG in Deutschland — für Adressen unserer Domains auslandspraktikum-europa.de, aeefp.eu und eveta.eu;
• die Microsoft Ireland Operations Ltd. (Microsoft 365 / Exchange Online) — für Adressen der Domain e-b-v.eu, darunter unsere zentrale Kontaktadresse ausland@e-b-v.eu. Die Verarbeitung findet in der Europäischen Union statt; für etwaige Support-Zugriffe aus Drittländern gelten EU-Standardvertragsklauseln.

Beide sind Auftragsverarbeiter nach Art. 28 DSGVO.

Jede versendete E-Mail protokollieren wir zusätzlich in unserer eigenen Datenbank in Frankfurt (Empfänger, Betreff, Zustellstatus, Inhalt), damit wir bei Zustellproblemen und Rückfragen auskunftsfähig sind.

Erinnerungen: Bei unvollständigen Vorgängen, etwa einer begonnenen, nicht abgesendeten Bewerbung, erinnern wir automatisiert per E-Mail. Rechtsgrundlage ist unser berechtigtes Interesse an einer effizienten Programmdurchführung (Art. 6 Abs. 1 lit. f DSGVO). Sie können dem widersprechen (Abschnitt 21).

Rechtsgrundlage im Übrigen: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Gesundheitsdaten sind besonders geschützt (Art. 9 DSGVO). Im Portal kommen sie an genau zwei Stellen vor. Beide sind freiwillig bzw. anlassbezogen:

1. Gesundheitliche Hinweise für den Praktikumsbetrieb (nur beim organisierten Praktikum): Sie können freiwillig Hinweise wie Allergien, Medikamente oder Einschränkungen angeben, damit der Aufnahmebetrieb darauf vorbereitet ist. Diese Angaben werden Teil Ihrer Bewerbungsunterlagen und an den Praktikumsbetrieb im Ausland übermittelt (Abschnitt 13), auch wenn dieser ausserhalb der EU liegt.

   Rechtsgrundlage ist Ihre ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Diese holen wir über ein eigenes Kontrollkästchen ein, das erst erscheint, wenn Sie tatsächlich etwas eingetragen haben, und das nie vorausgewählt ist. Den Zeitpunkt Ihrer Einwilligung speichern wir als Nachweis (Art. 7 Abs. 1 DSGVO). Ohne dieses Häkchen speichern wir die Angaben nicht und geben sie auch nicht weiter. Das Feld ist optional; lassen Sie es frei, wird nichts verarbeitet.

   Widerruf (Art. 7 Abs. 3 DSGVO): Solange Sie Ihre Bewerbung noch bearbeiten, entfernen Sie einfach das Häkchen. Ihre Angaben werden dabei zugleich gelöscht. Nach dem Einreichen wenden Sie sich bitte per E-Mail an uns (Kontaktdaten in Abschnitt 1); wir prüfen dann im Einzelfall, welche Schritte möglich sind. Sind die Unterlagen bereits an einen Betrieb versendet, können wir die dortige Kopie nicht selbst zurückholen. Die Rechtmässigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

2. Ärztliche Bescheinigung bei krankheitsbedingtem Abbruch: Brechen Sie den Aufenthalt aus gesundheitlichen Gründen ab, können Sie zur Begründung eine ärztliche Bescheinigung hochladen. Wir verwenden sie ausschließlich zur Prüfung des Abbruchantrags gegenüber dem Fördermittelgeber (Art. 9 Abs. 2 lit. f DSGVO i. V. m. Art. 6 Abs. 1 lit. b und c DSGVO, Geltendmachung und Nachweis förderrechtlicher Ansprüche).

In unseren internen Änderungsprotokollen (Abschnitt 24) werden Gesundheitsangaben automatisch geschwärzt.

Während und nach dem Aufenthalt fallen mehrere programmbedingte Aufgaben an. Für alle gilt: Rechtsgrundlage ist die Vertragserfüllung samt der Berichts- und Nachweispflichten der Förderprogramme (Art. 6 Abs. 1 lit. b und c DSGVO), gespeichert wird bis zum Ablauf der förderrechtlichen Frist (Abschnitt 20).

• Arbeitsschutz-Schulung: Online-Schulung mit Quiz (Antworten, Punktzahl und Versuche werden gespeichert) oder alternativ ein Nachweis-Upload.
• Wochenberichte: Ein Kurzbericht pro Kalenderwoche des Aufenthalts (Freitext bis 500 Zeichen + Bewertung 1–10), damit wir den Verlauf begleiten können.
• Green-Travel-Erklärung (nur Erasmus+): Reiseetappen und Verkehrsmittel für die klimafreundliche Anreise-Zusatzförderung, digital unterschrieben.
• Arbeitszeitnachweis: Vorlage zum Download, unterschriebener Scan als Upload nach der Rückkehr.
• Reisebelege: Bordkarten, Tickets, Unterkunftsrechnungen als Aufenthaltsnachweis.
• Erfahrungsbericht: Ihr Abschlussbericht als Pflichtbestandteil der Förderung.

Für englischsprachige Bewerbungsunterlagen (Lebenslauf, Motivationsschreiben, Lernvereinbarung) übersetzen wir Ihre Freitexte automatisch. Dafür nutzen wir den IONOS AI Model Hub der IONOS SE. Die Verarbeitung findet ausschließlich in einem Rechenzentrum in Berlin, Deutschland statt.

Übermittelt werden nur die Freitext-Beschreibungen (keine Namen, keine Kontaktdaten, keine strukturierten Daten). Laut Auftragsverarbeitungsvertrag mit IONOS werden die Eingaben nicht für das Training von KI-Modellen verwendet und nicht dauerhaft gespeichert. Die fertige Übersetzung speichern wir bei Ihren Bewerbungsdaten.

Rechtsgrundlage: Vertragserfüllung. Partnerbetriebe benötigen englische Unterlagen (Art. 6 Abs. 1 lit. b DSGVO).

An Praktikumsbetriebe im Ausland (nur beim organisierten Praktikum, zur Vermittlung eines Platzes): Wir senden ein Bewerbungspaket mit Lebenslauf, Motivationsschreiben und einem Bewerbungsschreiben (Profildaten, Notfallkontakt, ggf. Ihre freiwilligen Gesundheitshinweise, siehe Abschnitt 10). Je nach Zielland kann der Empfänger außerhalb der EU sitzen; die Übermittlung ist dann zur Vertragserfüllung mit Ihnen erforderlich (Art. 49 Abs. 1 lit. b DSGVO).

An den Fördermittelgeber: Als Zuschussempfänger sind wir verpflichtet, Teilnehmer- und Mobilitätsdaten an die Nationale Agentur beim Bundesinstitut für Berufsbildung (NA beim BIBB) bzw. die Systeme der EU-Kommission („Beneficiary Module“) zu melden und bei Prüfungen vorzulegen. Rechtsgrundlage sind die förderrechtlichen Pflichten (Art. 6 Abs. 1 lit. c DSGVO) und die Vertragserfüllung (lit. b).

Sonst gilt: Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter. Weitere Empfänger sind ausschließlich die in Abschnitt 19 genannten technischen Dienstleister.

Dieser Abschnitt informiert nach Art. 14 DSGVO die Personen, deren Daten uns nicht von ihnen selbst, sondern von Dritten mitgeteilt wurden.

Vertreterinnen und Vertreter von Betrieben und Berufsschulen: Ihre Kontaktdaten (Name, Funktion, E-Mail, Telefon) haben wir aus der Bewerbung der teilnehmenden Person erhalten. Wir verwenden sie ausschließlich zur Abwicklung der jeweiligen Mobilität, insbesondere, um Ihnen Dokumente (Lernvereinbarung, Letter of Intent) zur digitalen Unterschrift zuzusenden. Unterschreiben Sie ein Dokument, speichern wir zur Beweissicherung zusätzlich Ihr Unterschriftsbild, den Zeitpunkt und die IP-Adresse des verwendeten Geräts (Abschnitt 7). Die Daten werden bis zum Ablauf der förderrechtlichen Aufbewahrungsfrist gespeichert (Abschnitt 20). Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Mobilität) und lit. f (Beweissicherung). Ihre Rechte finden Sie in Abschnitt 21.

Notfallkontakte: Teilnehmende geben bei der Bewerbung eine Vertrauensperson mit Name, Beziehung, Telefonnummer und E-Mail an. Wir nutzen diese Angaben ausschließlich, um die Person im Notfall während des Auslandsaufenthalts zu erreichen, und, beim organisierten Praktikum, im Bewerbungsschreiben an den Aufnahmebetrieb. Rechtsgrundlage: berechtigtes Interesse am Schutz der Teilnehmenden (Art. 6 Abs. 1 lit. f DSGVO) bzw. lebenswichtige Interessen im Ernstfall (lit. d). Teilnehmende bitten wir, ihre Notfallkontakte über die Angabe zu informieren.

Ansprechpersonen von Partnerunternehmen: Kontaktdaten von Partnerbetrieben, mit denen wir zur Vermittlung von Praktikumsplätzen zusammenarbeiten, verarbeiten wir als Geschäftskontakte auf Grundlage unseres berechtigten Interesses an der Programmdurchführung (Art. 6 Abs. 1 lit. f DSGVO).

Um das Portal zu verbessern, möchten wir verstehen, welche Seiten aufgerufen werden und wo Nutzer nicht weiterkommen. Dafür setzen wir PostHog ein (PostHog Inc., EU-Cloud mit Servern in Frankfurt am Main).

Das Wichtigste vorab:

• Die Analyse läuft nur, wenn Sie zugestimmt haben. Beim ersten Besuch fragen wir Sie; ohne Zustimmung wird nichts erfasst, auch kein Seitenaufruf (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).
• Auch mit Zustimmung erfassen wir keine Inhalte: keine Formulareingaben, keine Texte, keine Dokumente. Erfasst wird, dass geklickt wurde, nicht, was eingegeben wurde.
• Ihre Entscheidung speichern wir an Ihrem Profil. Widerrufen können Sie jederzeit unter Profil → Sicherheit. Ab dann wird nichts mehr erfasst.

Dazu gehört auch eine Aufzeichnung des Bedienablaufs (Session Replay). Damit können wir nachvollziehen, an welcher Stelle im Portal Nutzerinnen und Nutzer nicht weiterkommen — etwa wenn ein Formularschritt immer wieder abgebrochen wird. Genau daraus entstehen die Verbesserungen, die das Portal Schritt für Schritt einfacher machen; ohne diese Aufzeichnungen bliebe uns nur die Vermutung, woran es hakt.

Wichtig ist dabei, was nicht aufgezeichnet wird: Alle Texte und Eingabefelder sind vollständig maskiert, Bilder werden ausgeblendet. Was in einer Aufzeichnung zu sehen ist, sind also Mausbewegungen, Klicks, Scrollen und Seitenwechsel — nicht Ihre Daten. Namen, Geburtsdaten, Bewerbungstexte, Gesundheitsangaben oder Dokumente erscheinen dort nicht. Aufzeichnungen werden nach 30 Tagen automatisch gelöscht. Sie laufen unter derselben Einwilligung wie die übrige Nutzungsanalyse und enden mit Ihrem Widerruf.

Mit Ihrer Einwilligung speichert PostHog Kennungen im Browser (Cookies/Local Storage), um Seitenaufrufe einer Sitzung zuzuordnen. Ihre IP-Adresse wird dabei anonymisiert und nicht gespeichert (Abschnitt 16).

Die Analysedaten sind pseudonymisiert, nicht anonym. Wir wollen an dieser Stelle nicht mehr versprechen, als zutrifft: Die erfassten Ereignisse sind mit einer Kennung Ihres Kontos verknüpft, damit wir zusammengehörige Schritte einer Sitzung überhaupt als Abfolge erkennen können. Ihr Name, Ihre E-Mail-Adresse und Ihre Bewerbungsinhalte werden nicht an PostHog übertragen — über die Kennung liesse sich aber grundsätzlich ein Bezug zu Ihnen herstellen. Damit bleiben es personenbezogene Daten im Sinne der DSGVO, und Ihnen stehen alle Betroffenenrechte aus Abschnitt 21 zu, insbesondere Auskunft und Löschung.

Speicherdauer: Analysedaten werden nach 7 Jahren gelöscht, Sitzungsaufzeichnungen bereits nach 30 Tagen. Die sieben Jahre sind die Aufbewahrung, die unser Analyse-Dienstleister für Ereignisdaten vorsieht; wir nutzen sie, um die Entwicklung des Portals über mehrere Förderjahrgänge hinweg vergleichen zu können. Unabhängig davon können Sie jederzeit die Löschung Ihrer Analysedaten verlangen (Abschnitt 21) — wir löschen dann alle zu Ihrer Kennung gespeicherten Ereignisse, ohne auf den Ablauf der Frist zu warten.

PostHog ist Auftragsverarbeiter; die Muttergesellschaft sitzt in den USA, weshalb ergänzend EU-Standardvertragsklauseln vereinbart sind. Die Daten selbst bleiben in der EU.

Tritt im Portal ein technischer Fehler auf, erfassen wir ihn automatisch, um Störungen zu erkennen und zu beheben. Auch das läuft über PostHog (EU-Cloud Frankfurt). Dabei sind zwei Fälle zu unterscheiden:

a) Fehler auf unserem Server — etwa wenn ein Speichervorgang fehlschlägt. Diese Protokolle sind von der Nutzungsanalyse getrennt und brauchen keine Einwilligung: Erfasst werden ausschließlich technische Angaben (Fehlermeldung, betroffene Seite ohne Anfrageparameter, HTTP-Methode). Ohne Cookies, ohne Nutzerkennung. Ein Bezug zu Ihrer Person wird nicht hergestellt und ist aus den Daten nicht ableitbar.

Rechtsgrundlage: berechtigtes Interesse an einem funktionsfähigen, sicheren Dienst (Art. 6 Abs. 1 lit. f DSGVO). Da für diese Protokolle nicht auf Ihr Endgerät zugegriffen wird, ist § 25 TDDDG nicht berührt.

b) Fehler in Ihrem Browser — etwa wenn eine Seite bei Ihnen nicht korrekt lädt. Diese Meldungen erfasst dieselbe Software, die auch die Nutzungsanalyse übernimmt, und sie greift dafür auf den Speicher Ihres Browsers zu. Deshalb gilt hier dasselbe wie in Abschnitt 15: Sie werden nur mit Ihrer Einwilligung erfasst und enden mit Ihrem Widerruf. Sie sind — wie die Analysedaten — pseudonymisiert, also mit einer Kontokennung verknüpft.

Einordnung der Server-Protokolle aus a): Diese enthalten keine Kontokennung und keine IP-Adresse. Wir bezeichnen sie trotzdem bewusst nicht als „anonym“: Ein Protokolleintrag entsteht zu einem bestimmten Zeitpunkt auf einer bestimmten Seite und liesse sich theoretisch mit anderen Aufzeichnungen zusammenführen. Wir behandeln sie deshalb als pseudonyme Daten mit sehr geringem Personenbezug — und beschränken sie strikt auf technische Angaben.

Was mit Ihrer IP-Adresse geschieht: Jeder Aufruf einer Website überträgt technisch zwangsläufig die IP-Adresse — ohne sie könnte die Antwort Ihr Gerät nicht erreichen. Für die Erfassung durch PostHog gilt: Die IP-Adresse wird übertragen, unmittelbar bei der Verarbeitung anonymisiert (die Einstellung „Anonymize IPs“ ist aktiviert) und nicht gespeichert. Sie wird weder in Analyse- oder Fehlerdaten noch in Sitzungsaufzeichnungen abgelegt und steht uns zu keinem Zeitpunkt zur Verfügung. Eine Zuordnung zu Ihrem Anschluss ist uns dadurch nicht möglich.

Davon zu unterscheiden ist die kurzzeitige Verarbeitung der IP-Adresse durch unseren Hoster zur Auslieferung der Seite und zur Abwehr von Angriffen (Abschnitt 3) sowie ihre bewusste Speicherung bei digitalen Unterschriften zu Beweiszwecken (Abschnitt 7) — dort ist sie ausdrücklich gewollt und wird benannt.

• Fehler melden / Verbesserung vorschlagen: Ihre Meldung (Kategorie, Betreff, Beschreibung) speichern wir mit Ihrem Konto, um Rückfragen stellen zu können.
• Frage nach der Bewerbung (Abschnitt 5): fünfstufige Bewertung plus optionaler Freitext.

Beides dient der Verbesserung des Portals (Art. 6 Abs. 1 lit. f DSGVO). Bitte tragen Sie in Freitextfelder keine sensiblen Informationen ein. Die Felder sind für Hinweise zur Bedienung gedacht.

Das Portal kommt fast ohne Cookies aus:

Werbe- oder Tracking-Cookies von Drittanbietern setzen wir nicht ein.

Adress-Vervollständigung: Bei der Adresseingabe schlagen wir passende Adressen vor. Die Vorschläge liefert der Dienst Photon (Komoot GmbH, Deutschland). Die Anfrage läuft über unseren Server, sodass der Dienst weder Ihre IP-Adresse noch Cookies oder Ihre Identität erhält; übertragen wird nur das eingetippte Adressfragment.

Alle folgenden Dienstleister verarbeiten Daten in unserem Auftrag und auf Grundlage von Auftragsverarbeitungsverträgen (Art. 28 DSGVO):

Keine Auftragsverarbeiter, aber Empfänger (siehe Abschnitte 13/14): Praktikums-/ Partnerbetriebe, NA beim BIBB bzw. Systeme der EU-Kommission. Die Komoot GmbH (Adressvorschläge) erhält keine personenbezogenen Daten.

Wir speichern Daten nur so lange, wie es der jeweilige Zweck oder eine gesetzliche Pflicht verlangt:

Nach Ablauf der Fristen werden die Daten gelöscht. Unabhängig davon können Sie jederzeit die Löschung beantragen (Abschnitt 21); wir prüfen dann, ob gesetzliche Pflichten einer sofortigen Löschung entgegenstehen.

Sie haben gegenüber uns folgende Rechte aus der DSGVO:

• Auskunft (Art. 15): welche Daten wir über Sie verarbeiten;
• Berichtigung (Art. 16): unrichtige Daten korrigieren lassen. Viele Angaben können Sie direkt im Portal unter Profil selbst ändern;
• Löschung (Art. 17) und Einschränkung der Verarbeitung (Art. 18);
• Datenübertragbarkeit (Art. 20): Ihre bereitgestellten Daten in einem gängigen Format erhalten;
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3): jederzeit mit Wirkung für die Zukunft; für die Nutzungsanalyse direkt im Portal unter Profil → Sicherheit.

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an ausland@e-b-v.eu oder an unseren Datenschutzbeauftragten (Abschnitt 1).

Beschwerderecht: Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist die Landesbeauftragte für den Datenschutz Sachsen-Anhalt, Otto-von-Guericke-Straße 34a, 39104 Magdeburg (Post: Postfach 1947, 39009 Magdeburg), E-Mail: poststelle@lfd.sachsen-anhalt.de, datenschutz.sachsen-anhalt.de.

Die Nutzung des Portals ist freiwillig. Wenn Sie aber am Förderprogramm teilnehmen möchten, sind die in den Abschnitten 4–8 beschriebenen Angaben erforderlich. Ohne sie können wir die Bewerbung nicht bearbeiten, keine Verträge schließen und keine Fördermittel auszahlen. Als freiwillig gekennzeichnete Felder (z. B. gesundheitliche Hinweise, Profilbild, Feedback) können Sie ohne Nachteil frei lassen.

Im Portal findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO statt. Über Ihre Bewerbung und Ihre Förderung entscheiden Menschen.

Wir sichern das Portal nach dem Stand der Technik, unter anderem: verschlüsselte Übertragung (TLS) und Speicherung (AES-256), rollenbasierte Zugriffskontrolle bis auf Datenbankebene (jede Person sieht nur die eigenen Daten), Passwort-Hashing, optionale Zwei-Faktor-Authentifizierung, unveränderliche Änderungsprotokolle mit automatischer Schwärzung sensibler Felder (Bankdaten, gesundheitliche Hinweise, Begründung eines Förderbedarfs, Einmalcodes, Unterschriften) sowie tägliche Datensicherungen.

Wir passen diese Erklärung an, wenn sich das Portal oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung; das Datum des Stands finden Sie am Anfang der Erklärung.