1. Das Wichtigste in Kürze

Bamboo Dialog ist eine Plattform, auf der du Gespräche mit einem KI-System trainieren und anschließend eine automatisierte Lernrückmeldung erhalten kannst. Welche Stelle datenschutzrechtlich verantwortlich ist, hängt davon ab, ob du die Plattform eigenständig oder über deinen Arbeitgeber nutzt.

Thema

Kurzinformation

Verantwortlichkeit

Bei eigenständiger Nutzung und im persönlichen Arbeitsbereich ist die akademie GbR Verantwortliche. Im arbeitgeberverwalteten Arbeitsbereich ist grundsätzlich dein Arbeitgeber Verantwortlicher; wir verarbeiten die Trainingsdaten dann in seinem Auftrag.

Speicherung

Produktivdaten liegen bei Hetzner in Deutschland. Vor dem Upload verschlüsselte Sicherungen werden zusätzlich 37 Tage bei Cloudflare R2 vorgehalten; dort liegen auch hochgeladene Szenario-Bilder und Dateianhänge. Der Speicher ist mit der Jurisdiktion „Europäische Union“ angelegt.

Sprache

Dein Browser verbindet sich direkt mit ElevenLabs. Die Aufzeichnung ist deaktiviert und eine Aufbewahrung der Konversation von höchstens sieben Tagen konfiguriert. Seit dem 12.08.2026 ist die Nutzung zur Modellverbesserung bei ElevenLabs abgeschaltet; ElevenLabs hat das schriftlich bestätigt (Abschnitt 8.3).

Auswertung

Anthropic wertet ausschließlich den Text des Gesprächs aus. Die Auswertung ist Profiling, aber als Lernrückmeldung und nicht als Personalentscheidung bestimmt.

Beschäftigte

Je nach Rolle können Unternehmensadministration oder Personalwesen sowie die Trainerinnen und Trainer der akademie, die dein Unternehmen begleiten, vollständige Transkripte und individuelle Punktwerte einsehen. Das Öffnen einzelner Gespräche wird protokolliert. Dein Arbeitgeber muss dich hierzu zusätzlich informieren.

Nutzungsregel

Verwende nur fiktive Namen, Unternehmen und Sachverhalte. Gib keine realen personenbezogenen Daten, Geschäftsgeheimnisse, Zugangsdaten oder vertraulichen Informationen ein.

2. Wer für welche Daten verantwortlich ist

2.1 Eigenständige Nutzung, Website und persönlicher Arbeitsbereich

Wenn du dich selbst registrierst, unsere Website besuchst oder einen persönlichen Arbeitsbereich nutzt, ist die akademie GbR Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO. Deine Rechte machst du in dieser Konstellation bei uns geltend.

2.2 Nutzung über deinen Arbeitgeber

Wenn dein Arbeitgeber Bamboo Dialog eingeführt und dir einen arbeitgeberverwalteten Zugang bereitgestellt hat, ist grundsätzlich dein Arbeitgeber Verantwortlicher. Er entscheidet insbesondere über Trainingszweck, teilnehmende Beschäftigte, Teilnahmebedingungen, freigeschaltete Funktionen, Zugriffsrollen und Speicherdauer. Wir verarbeiten die Trainingsdaten weisungsgebunden als Auftragsverarbeiterin nach Art. 28 DSGVO.

Die konkrete Pflichtinformation nach Art. 13 DSGVO erhältst du von deinem Arbeitgeber. Diese Datenschutzerklärung ergänzt sie um technische Informationen, ersetzt sie aber nicht. Betroffenenanfragen zu deinem Unternehmensarbeitsbereich richtest du vorrangig an deinen Arbeitgeber. Erreichen sie uns unmittelbar, leiten wir sie weiter und unterstützen ihn. Soweit eine Anfrage zugleich Daten betrifft, für die wir selbst verantwortlich sind, bearbeiten wir diesen Teil selbst.

2.3 Mehrere Arbeitsbereiche

Ein Konto kann einem Unternehmenskonto zugeordnet sein und zusätzlich einen persönlichen Arbeitsbereich enthalten. Maßgeblich ist jeweils der Arbeitsbereich, in dem das konkrete Gespräch geführt wird. Prüfe deshalb vor dem Start, welcher Arbeitsbereich ausgewählt ist.

3. Verantwortliche Stelle und Datenschutzbeauftragter

die akademie GbR
Wilhelm-Köhler-Straße 50
86956 Schongau
Deutschland
E-Mail: mail@akademie-web.de
Vertretungsberechtigte Gesellschafter: Frank Rehbein und Alexander Schwarz
Umsatzsteuer-Identifikationsnummer: DE309601776

Externer Datenschutzbeauftragter
Unser Datenschutzbeauftragter ist die heyData GmbH, Schützenstraße 5, 10117 Berlin, www.heydata.eu, datenschutz@heydata.eu.

4. Welche Daten wir verarbeiten

Datenkategorie

Inhalt

Konto- und Stammdaten

E-Mail-Adresse, optional Vor- und Nachname, Unternehmenszuordnung, System- und Unternehmensrolle, Zeitpunkte von Bestätigungen.

Anmelde- und Sitzungsdaten

Passwort-Hash, Sitzungskennung, Ablaufzeit, Bestätigungs-, Passwort-Zurücksetzungs- und Anmeldelink-Token, verschlüsselte Daten der Mehrfaktor-Anmeldung.

Gesprächsmetadaten

Szenario, Schwierigkeitsstufe, gewählte Variablen, Startzeit, Dauer, Status und Kennung beim Sprachdienstleister.

Gesprächsinhalte

Wortlaut deiner Text- oder Sprachbeiträge und der KI-Antworten als Transkript.

Audiodaten

Mikrofonsignal während eines Sprachgesprächs. Das Audio wird nicht in unserer Infrastruktur gespeichert.

Auswertungsdaten

Punktwerte zu sechs Bewertungsdimensionen, Gesamtwert, Zielerreichung, Zusammenfassung und Freitext-Hinweise.

Nutzungs- und Kostendaten

Gesprächsminuten, Nutzungsmenge, technische Statuswerte und daraus abgeleitete Kosten.

Support- und Kommunikationsdaten

Betreff, Inhalt und Verlauf von Anfragen, Systemnachrichten und von dir eingegebener Freitext.

Firmen- und Kontaktdaten

Firmenname, Anschrift sowie Name, Funktion, Telefon und E-Mail geschäftlicher Ansprechpartner.

Technische Daten

IP-Adresse, Zeitstempel, aufgerufene Adresse, Browser-/Gerätemerkmale, Sicherheits- und Fehlerereignisse.

Prüfprotokoll

Zeitpunkt und Art von Vorgängen wie Anmeldung, Versand und Einlösung von Anmeldelinks sowie das Öffnen einzelner Gespräche durch berechtigte Rollen.

Eine gezielte Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ist nicht vorgesehen. Bitte gib solche Daten nicht ein. Wenn sie versehentlich in ein Gespräch gelangen, kannst du Löschung oder Einschränkung verlangen.

5. Zwecke und Rechtsgrundlagen, wenn wir Verantwortliche sind

Verarbeitung

Konto, Anmeldung und Bereitstellung

Text- und Sprachtraining

KI-Auswertung

Systemnachrichten und Support

Bot-, Missbrauchs- und Angriffsabwehr

Nutzungs- und Kapazitätssteuerung

Gesetzliche Nachweise und Rechtsverteidigung

Zweck

Vertragserfüllung und vorvertragliche Maßnahmen

Durchführung der von dir gewählten Trainingsleistung

Automatisierte Lernrückmeldung

Kontosicherheit, Vertragsdurchführung und Kundenbetreuung

Schutz von Konten, Systemen und Verfügbarkeit

Abrechnung, Kostenkontrolle und Vermeidung von Engpässen

Rechtspflichten sowie Geltendmachung oder Abwehr von Ansprüchen

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO

Art. 6 Abs. 1 lit. b und lit. f DSGVO

Art. 6 Abs. 1 lit. f DSGVO

Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO

Art. 6 Abs. 1 lit. c bzw. lit. f DSGVO

Soweit wir Art. 6 Abs. 1 lit. f DSGVO verwenden, verfolgen wir insbesondere das Interesse an einem sicheren, funktionsfähigen und wirtschaftlich betreibbaren Dienst. Du kannst aus Gründen deiner besonderen Situation widersprechen. Bei einem arbeitgeberverwalteten Arbeitsbereich bestimmt dein Arbeitgeber die Rechtsgrundlage und informiert dich gesondert.

6. Konto, Registrierung und Unternehmenszuordnung

Für ein Konto benötigen wir deine E-Mail-Adresse und ein Passwort. Vor- und Nachname sind optional. Passwörter werden nicht im Klartext gespeichert, sondern mit Argon2id und einem individuellen Zufallswert gehasht. Der Bestätigungslink nach der Registrierung ist 24 Stunden, ein Passwort-Zurücksetzungslink zehn Minuten gültig.

Konten im Unternehmensarbeitsbereich legt eine berechtigte Person deines Unternehmens an. Eine automatische Zuordnung anhand der Domain deiner E-Mail-Adresse findet nicht statt. Beim Anlegen kann dir ein persönlicher Anmeldelink per E-Mail geschickt werden. Er ist drei Tage gültig, lässt sich nur einmal verwenden und führt zunächst auf eine Willkommensseite; erst dein Klick auf „Jetzt anmelden“ meldet dich an. Versand und Einlösung des Links werden protokolliert, der Link selbst nicht.

E-Mail-Adresse und Passwort sind für das Konto erforderlich. Die Trainingsinhalte bestimmst du selbst. Eine gesetzliche Pflicht, bestimmte Inhalte einzugeben, besteht nicht. Ob eine Teilnahme aus deinem Beschäftigungsverhältnis geschuldet ist, entscheidet dein Arbeitgeber.

7. Trainingsgespräche per Text

Deine Texteingaben und die KI-Antworten werden als Transkript in unserer Datenbank bei Hetzner in Deutschland gespeichert und deinem Konto sowie dem gewählten Arbeitsbereich zugeordnet. Für die Formulierung der KI-Antwort und die spätere Auswertung übermitteln wir Text an Anthropic. Audiodaten entstehen im Textmodus nicht.

Verwende ausschließlich fiktive Angaben. Gib insbesondere keine echten Namen, Kontaktdaten, Kundenfälle, Vertragsdaten, Preise, Geschäftsgeheimnisse, Zugangsdaten oder Gesundheitsdaten ein.

8. Trainingsgespräche per Sprache

8.1 Datenfluss

Wenn du ein Sprachgespräch startest und den Mikrofonzugriff erlaubst, stellt dein Browser eine direkte verschlüsselte Verbindung zu ElevenLabs her. Unser Server erzeugt nur ein kurzlebiges, auf das Gespräch begrenztes Zugangstoken. Das Mikrofonsignal läuft nicht über unseren Anwendungsserver. ElevenLabs übernimmt Spracherkennung, Antworterzeugung und Sprachsynthese. Nach dem Gespräch erhalten wir das Transkript als Text und speichern es bei Hetzner in Deutschland.

8.2 Fest konfigurierte Einstellungen

Audioaufzeichnung ist deaktiviert.
Löschung des Audios ist aktiviert.
Die Aufbewahrung der Konversation ist auf höchstens sieben Tage eingestellt.
Der Zielendpunkt ist im Quellcode festgelegt; eine Änderung erfordert Codeänderung und neue Bereitstellung.
Wir können die tatsächliche Einhaltung dieser Einstellungen durch den Anbieter nicht selbst technisch überprüfen. Die Verarbeitung erfolgt über einen globalen Endpunkt; eine Verarbeitung außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums ist nicht ausgeschlossen.

8.3 Modellverbesserung bei ElevenLabs

Seit dem 12.08.2026 ist in unserem produktiv genutzten ElevenLabs-Workspace die Einstellung „Improve the models for everyone" deaktiviert. Die Deaktivierung ist dokumentiert. ElevenLabs hat per E-Mail vom 13.08.2026 bestätigt, dass diese Einstellung workspace-weit für alle ab diesem Zeitpunkt neu bereitgestellten Daten gilt. Für diesen Zeitraum war die Verwendung ausschließlich fiktiver Szenarien verbindlich vorgegeben. — Unabhängig vom Trainings-Opt-out dürfen in Trainingsgesprächen weiterhin keine realen personenbezogenen Daten Dritter und keine vertraulichen Unternehmensdaten verwendet werden. Die Sprachverarbeitung erfolgt weiterhin über einen globalen Endpunkt; eine Verarbeitung außerhalb der Europäischen Union ist nicht ausgeschlossen.

8.4 Stimme und biometrische Daten

Deine Stimme ist ein personenbezogenes Datum. Wir verwenden sie nicht zur eindeutigen Identifizierung oder Authentifizierung, erstellen keinen biometrischen Stimmabdruck, führen keine Sprecher- oder Emotionserkennung durch und klonen deine Stimme nicht. Nach dem vorgesehenen Zweck handelt es sich deshalb nicht um biometrische Daten zur eindeutigen Identifizierung im Sinne von Art. 9 DSGVO.

9. KI-gestützte Auswertung und Profiling

Nach einem Gespräch übermitteln wir an Anthropic ausschließlich den Text des Transkripts, den Szenariotext und die Lernziele. Anthropic erhält kein Audio. Aus diesen Informationen wird vollautomatisch eine Lernrückmeldung erzeugt.

Element

Erläuterung

Bewertungsdimensionen

Die Dimensionen hängen vom Bereich des Szenarios ab. Im Vertrieb sind das zum Beispiel Beziehungsaufbau, Bedarfsermittlung und Einwandbehandlung, in der Führung zum Beispiel Vertrauen aufbauen, Emotionen aushalten und Beteiligen statt lösen.

Ausgabe

Je Dimension ein Wert von 1 bis 5, ein Gesamtwert von 0 bis 100, Zielerreichung, Zusammenfassung und Freitext-Hinweise.

Bedeutung

Probabilistische, fehleranfällige Lernhilfe und keine objektive Messung deiner beruflichen Kompetenz.

Die automatisierte Bewertung persönlicher Aspekte ist Profiling im Sinne von Art. 4 Nr. 4 DSGVO. Bamboo Dialog selbst trifft damit keine Entscheidung, die dir gegenüber rechtliche Wirkung entfaltet oder dich ähnlich erheblich beeinträchtigt. Das System ist nicht dafür bestimmt, über Vergütung, Aufgaben, Beurteilung, Beförderung, Abmahnung oder Beendigung eines Beschäftigungsverhältnisses zu entscheiden.

Wenn ein Arbeitgeber Ergebnisse entgegen diesem Zweck maßgeblich für eine Personalentscheidung verwendet, kann Art. 22 DSGVO einschlägig werden. Dein Arbeitgeber muss eine solche abweichende Verwendung vorab gesondert bewerten und dich informieren. Unsere Vertragsunterlagen für Unternehmenskunden sehen ein Verbot dieser Verwendung vor.

Hältst du ein Transkript oder eine Auswertung für unzutreffend, kannst du eine manuelle Prüfung, Berichtigung oder Kennzeichnung, Neuberechnung, Einschränkung oder Löschung verlangen. Eine automatische Korrektur einzelner Punktwerte innerhalb der Anwendung ist derzeit nicht verfügbar.

10. Support, Systemnachrichten und geschäftliche Kommunikation

Supportanfragen werden deinem Konto und gegebenenfalls deinem Unternehmen zugeordnet. Systemnachrichten – etwa Registrierungsbestätigungen, Anmeldelinks oder Passwort-Zurücksetzungen – versenden wir über Acumbamail in Spanien. Dabei werden Name, E-Mail-Adresse und der jeweilige Nachrichteninhalt verarbeitet. Gesprächstranskripte und Auswertungen werden nicht automatisch per E-Mail versandt.

Geschäftliche Ansprechpartner von Unternehmenskunden verarbeiten wir zur Vertragsanbahnung, Vertragsdurchführung, Abrechnung und Kommunikation. Rechtsgrundlage ist regelmäßig Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Durchführung der Geschäftsbeziehung. Ist die betroffene Person selbst Vertragspartei, gilt Art. 6 Abs. 1 lit. b DSGVO.

11. Empfänger und eingesetzte Dienstleister

Empfänger

Hetzner Online GmbH, Deutschland

Cloudflare, Inc., USA

Eleven Labs Inc., USA

Anthropic

Acumbamail S.L.U., Spanien

Hajdas Media, Schongau

(technischer Dienstleister)

Zweck und Daten

Anwendungsserver, Datenbank und Anwendungsdateien; dauerhaft gespeicherte Produktivdaten.

Reverse-Proxy, TLS-Terminierung, Web Application Firewall, DDoS- und Bot-Schutz; zusätzlich Objektspeicher R2 für vor dem Upload verschlüsselte Sicherungen sowie hochgeladene Szenario-Bilder und Dateianhänge. Cloudflare sieht Inhalte des Webverkehrs im Transit; R2 erhält keinen Entschlüsselungsschlüssel.

Spracherkennung, Antworterzeugung und Sprachsynthese im Sprachmodus; Mikrofonsignal, Transkript und technische Metadaten. Nutzung zur Modellverbesserung seit dem 12.08.2026 abgeschaltet.

KI-Antworten im Textmodus und Auswertung; ausschließlich Text, niemals Audio.

Versand transaktionaler E-Mails; Name, E-Mail-Adresse und Nachrichteninhalt.

Betrieb, Wartung, Administration, Datensicherung und Support; technisch möglicher Zugriff auch auf Transkripte und Auswertungen.

Ort / Garantie

Anwendungsserver und Datenbank; dauerhaft gespeicherte Produktivdaten. | Art.-28-Vertrag; Verarbeitung in Deutschland (Falkenstein).

Globaler Transit. R2 angelegt mit der Jurisdiktion „Europäische Union“; nach Angaben des Anbieters werden die Objekte innerhalb dieser Jurisdiktion gespeichert.

Globaler Endpunkt; DPA mit EU-Standardvertragsklauseln (Modul 3)

Verarbeitung vor allem in den USA. DPA mit SCC-Modul 2 bei eigener Verantwortlichkeit und Modul 3 im Unternehmenseinsatz.

Art.-28-Vertrag; Verarbeitung in der EU (Madrid).

Art.-28-Vertrag; Zugriff ausschließlich auf Weisung für Betrieb, Fehlerbehebung und Support. Name wird auf Anfrage mitgeteilt.

Wix.com Ltd. (Israel)

Hosting der Website, Chat, Formulare

Calendly LLC (USA)

Terminbuchung

Wir verkaufen deine Daten nicht und geben sie nicht zu Werbezwecken weiter. Weitere Übermittlungen erfolgen nur, wenn sie gesetzlich vorgeschrieben sind, du eingewilligt hast oder sie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind.

12. Übermittlungen in Drittländer

12.1 Cloudflare

Der Webverkehr kann an Cloudflare-Standorten weltweit entschlüsselt und anschließend erneut verschlüsselt an unseren Server weitergeleitet werden. Die Sicherungen werden vor dem Upload verschlüsselt und in einem R2-Bucket gespeichert, der mit der Jurisdiktion „Europäische Union“ angelegt ist; nach den Angaben des Anbieters werden die Objekte innerhalb dieser Jurisdiktion gespeichert. Dort liegen auch hochgeladene Szenario-Bilder und Dateianhänge.Diese Präferenz ist nach den Anbieterinformationen eine Best-Effort-Angabe und keine Garantie für ausschließliche EU-Speicherung. Der Entschlüsselungsschlüssel wird nicht an Cloudflare übermittelt. Die Übermittlung stützt sich auf die EU-Standardvertragsklauseln und, soweit anwendbar, auf die DPF-Zertifizierung der US-Einheit.

12.2 ElevenLabs

ElevenLabs verarbeitet Sprachdaten über einen globalen Endpunkt. Die Übermittlung stützt sich auf das in die Nutzungsbedingungen einbezogene DPA, die EU-Standardvertragsklauseln und, für die zertifizierte US-Einheit, das EU-US Data Privacy Framework. Support-, Moderations- oder Unterauftragszugriffe außerhalb einer gewählten Region können nach den Anbieterbedingungen nicht vollständig ausgeschlossen werden. ElevenLabs ist nicht nach dem EU-US Data Privacy Framework zertifiziert. Die Übermittlung stützt sich auf die EU-Standardvertragsklauseln im Data Processing Addendum des Anbieters.

12.3 Anthropic

Anthropic verarbeitet die übermittelten Texte vor allem in den USA. Anthropic ist nicht nach dem EU-US Data Privacy Framework zertifiziert. Die Übermittlung stützt sich deshalb auf die EU-Standardvertragsklauseln, je nach Rollenverteilung auf Modul 2 oder Modul 3. Anthropic nutzt Ein- und Ausgaben kommerzieller Produkte nach den geltenden Bedingungen standardmäßig nicht zum Modelltraining. API-Ein- und Ausgaben werden grundsätzlich innerhalb von 30 Tagen gelöscht; längere Aufbewahrung kann bei Sicherheits-, Funktions- oder Rechtsausnahmen erforderlich sein.

Nähere Informationen oder eine Kopie der eingesetzten Garantien erhältst du über datenschutz@bamboodialog.de. Wir überprüfen Transfergrundlagen und Anbieterzertifizierungen regelmäßig.

13. Speicherdauer und Löschung

Datenart

Frist / Kriterium

Audio in unserer Infrastruktur

Keine Speicherung.

Konversation bei ElevenLabs

Nach der von uns gesetzten Konfiguration höchstens sieben Tage; Einschränkung bei möglicher Modellverbesserung siehe Abschnitt 8.3.

Transkripte, Auswertungen und Gesprächsmetadaten

Zwölf Monate ab Abschluss des Gesprächs. Ein täglich laufender automatischer Löschlauf entfernt ältere Gespräche einschließlich Auswertung; jeder Lauf wird protokolliert.

Konto- und Stammdaten

Bis zur Kontolöschung oder zum Ende des Vertrags/Arbeitsbereichs; darüber hinaus nur bei gesetzlichen Pflichten oder zur Rechtsverteidigung.

Sitzungsdaten

Sitzung bis zu 30 Tage; zugehöriger Datenbankeintrag spätestens sieben Tage nach Ablauf, insgesamt höchstens 37 Tage.

Bestätigungs- und Passwort-Token

Zehn Minuten beziehungsweise 24 Stunden, Anmeldelinks drei Tage; anschließend automatische Löschung.

Supportdaten

Bis zum Abschluss der Anfrage; danach nur so lange, wie dies für Vertragsabwicklung, Ansprüche oder gesetzliche Pflichten erforderlich ist.

Nutzungs- und Kostendaten

Für Vertrags- und Abrechnungszwecke; abrechnungsrelevante Unterlagen anschließend während gesetzlichen Aufbewahrungsfristen.

Technische Sicherheits- und Fehlerprotokolle

Nur so lange, wie dies für Betrieb, Sicherheit und Fehlerklärung erforderlich ist; bei Vorfällen bis zum Abschluss der Untersuchung.

Abgeschlossene Hintergrundaufträge

Nach erfolgreichem Abschluss und technischer Nachweisfrist; die konkrete Bereinigungsfrist ist im Löschkonzept festgelegt.

Verschlüsselte Cloudflare-R2-Sicherungen

37 Tage, davon 30 Tage gegen Löschung gesperrt; danach automatische Löschung.

Prüfprotokoll

12 Monate

Du kannst einzelne Gespräche, deine gesamte Trainingshistorie und dein Konto in der Anwendung jederzeit selbst löschen. Weitere Löschungen veranlassen wir auf Anfrage. Gelöschte Daten können bis zum Ablauf des Sicherungszyklus in verschlüsselten, für den normalen Betrieb gesperrten Sicherungen enthalten bleiben und sind spätestens nach 37 Tagen entfernt. Gelöschte Daten können bis zum Ablauf des Sicherungszyklus in verschlüsselten, für den normalen Betrieb gesperrten Sicherungen enthalten bleiben und sind spätestens nach 37 Tagen entfernt.

14. Deine Rechte

Recht

Bedeutung

Auskunft, Art. 15 DSGVO

Du kannst Auskunft und eine Kopie deiner personenbezogenen Daten verlangen.

Berichtigung, Art. 16 DSGVO

Unrichtige Stammdaten, fehlerhafte Transkripte und andere unrichtige Daten werden berichtigt oder kenntlich gemacht. Ist eine technische Änderung nicht möglich, bieten wir Einschränkung, Neuberechnung oder Löschung an.

Löschung, Art. 17 DSGVO

Du kannst Löschung verlangen, soweit keine vorrangige gesetzliche Pflicht oder ein zulässiger Rechtsverteidigungszweck entgegensteht.

Einschränkung, Art. 18 DSGVO

Du kannst verlangen, dass Daten vorübergehend gesperrt und nur eingeschränkt verarbeitet werden.

Datenübertragbarkeit, Art. 20 DSGVO

Soweit die Voraussetzungen vorliegen, erhältst du die von dir bereitgestellten Daten in einem gängigen maschinenlesbaren Format.

Widerspruch, Art. 21 DSGVO

Du kannst einer Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. e oder lit. f DSGVO aus Gründen deiner besonderen Situation widersprechen.

Widerruf

Soweit wir ausnahmsweise auf Einwilligung verarbeiten, kannst du sie jederzeit für die Zukunft widerrufen.

Richte deine Anfrage an mail@akademie-web.de. Bei einem arbeitgeberverwalteten Arbeitsbereich wendest du dich vorrangig an deinen Arbeitgeber; wir unterstützen ihn. Wir beantworten Anfragen grundsätzlich innerhalb eines Monats. Zur Vermeidung unberechtigter Auskünfte können wir einen angemessenen Identitätsnachweis verlangen.

15. Beschwerderecht

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere bei der Behörde deines Aufenthaltsorts, Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für die akademie GbR ist grundsätzlich zuständig:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
Telefon: +49 981 180093-0
E-Mail: poststelle@lda.bayern.de
Internet: www.lda.bayern.de

16. Cookies und lokale Speicherung

Wir verwenden in der Plattform keine Cookies zu Werbe-, Reichweitenmessungs- oder Profilbildungszwecken. Für die Anmeldung nutzen wir das technisch erforderliche Sitzungscookie „bamboodialog_session“. Es ist httpOnly und secure. Das Cookie selbst läuft beim Schließen des Browsers aus; die zugehörige serverseitige Sitzung kann bis zu 30 Tage gültig sein.

Auf den Seiten Anmeldung, Registrierung und Passwort-Zurücksetzung verwenden wir Cloudflare Turnstile zur Abwehr automatisierter Angriffe. Dabei werden insbesondere IP-Adresse, Browsermerkmale und technische Kennungen verarbeitet. Die Verarbeitung und der Zugriff auf dein Endgerät sind für den sicheren Betrieb der ausdrücklich angeforderten Anmeldefunktion erforderlich. Sollten künftig nicht erforderliche Technologien hinzukommen, holen wir vor ihrem Einsatz eine Einwilligung ein und passen diese Erklärung an.Auf der Website setzt Wix technisch notwendige Cookies, etwa für Sicherheit und Sitzungen. Weitere Cookies, zum Beispiel für die Terminbuchung über Calendly, setzen wir nur mit deiner Einwilligung über das Cookie-Banner ein.

17. Transparenz bei künstlicher Intelligenz

Du interagierst in Bamboo Dialog mit einem KI-System, nicht mit einem Menschen. Vor Beginn jedes Gesprächs weisen wir ausdrücklich darauf hin. Der KI-Hinweis bleibt zusammen mit Szenario, Schwierigkeitsstufe und Trainingskontext während des gesamten Gesprächs sichtbar. Deine Bestätigung des Hinweises wird protokolliert. Die Sprachausgabe ist synthetisch und verwendet eine generische Katalogstimme; sie bildet keine reale Person nach. Auch die Auswertung wird von einem KI-System erstellt.

Der Hinweis setzt die Transparenzpflicht aus Art. 50 Abs. 1 der Verordnung (EU) 2024/1689 um. Emotionserkennung und biometrische Kategorisierung finden nicht statt.

18. Besondere Hinweise für Beschäftigte

18.1 Einsichtsmöglichkeiten deines Arbeitgebers

Im derzeitigen Rollenmodell können Personen mit der Rolle Unternehmensadministration oder Personalwesen innerhalb deines Unternehmens folgende Daten namentlich einsehen:

Szenario, Schwierigkeitsstufe, Zeitpunkt, Dauer und Status deiner Trainings,
den vollständigen Wortlaut deiner Gespräche,
die Auswertung einschließlich aller Dimensionswerte, Gesamtwert und Freitext-Hinweise, auch als PDF,
einen Tabellenexport mit Name, E-Mail-Adresse und Gesprächsmetadaten; der Sammel-Export enthält keine Punktwerte.

Eine automatisierte anonymisierte oder aggregierte HR-Auswertung ist derzeit nicht verfügbar. Das Öffnen einzelner Gespräche durch Personen mit HR- oder Administrationsrolle wird in einem Prüfprotokoll erfasst, das dein Arbeitgeber einsehen kann. Dein Arbeitgeber muss den zugriffsberechtigten Personenkreis trotzdem organisatorisch begrenzen und dich informieren.

Zusätzlich können die Trainerinnen und Trainer der akademie, die dein Unternehmen begleiten, deine Transkripte und Auswertungen einsehen. Zugang haben ausschließlich Beschäftigte der akademie.

Jedes Öffnen eines einzelnen Gesprächs durch eine berechtigte Person deines Arbeitgebers oder durch Trainerinnen und Trainer der akademie wird in einem Prüfprotokoll erfasst. Dein Arbeitgeber kann dieses Protokoll einsehen, aber nicht danach filtern, welche einzelne Person wie oft gelesen hat. Das Protokoll wird zwölf Monate aufbewahrt.

18.2 Zweckbindung

Die Ergebnisse sind für Lernförderung und Kompetenzentwicklung bestimmt. Sie dürfen nicht für Leistungs- oder Verhaltenskontrolle, Ranglisten, Zielvereinbarungen, Vergütung, Beurteilungen, Beförderungen, Abmahnungen oder Kündigungen verwendet werden. Unsere Vertragsunterlagen für Unternehmenskunden sehen eine entsprechende Zweckbindung und ein Verwertungsverbot vor. Ob und auf welcher Grundlage dein Arbeitgeber dich zur Teilnahme verpflichtet, teilt er dir selbst mit.

18.3 Betriebsrat

Da Bamboo Dialog individuelle Auswertungen des Gesprächsverhaltens erzeugt und objektiv zur Verhaltens- und Leistungskontrolle geeignet ist, unterliegt die Einführung in einem Betrieb mit Betriebsrat regelmäßig der Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG. Dein Arbeitgeber ist für die Beteiligung des Betriebsrats, seine eigene Datenschutz-Folgenabschätzung und die konkrete Beschäftigteninformation verantwortlich.

19. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören insbesondere TLS/HTTPS auf allen Verbindungen, Argon2id für Passwörter, Verschlüsselung von Zugangsdaten zu Drittsystemen, serverseitige Rollen- und Eigentümerprüfungen, Mandantentrennung, Signaturprüfung der Rückmeldungen des Sprachdienstleisters, Schemavalidierung von Eingaben sowie vor dem Upload verschlüsselte Sicherungen.

Konten mit den Rollen Unternehmensadministration und Personalwesen sind verpflichtend mit Mehrfaktor-Authentifizierung über eine Authenticator-App (TOTP) geschützt. Ein Prüfprotokoll erfasst sicherheitsrelevante Vorgänge und das Öffnen einzelner Gespräche.

20. Besuch dieser Website, Chat, Formulare und Terminbuchungg

20.1 Hosting der Website

Die Website bamboodialog.de wird mit dem Baukasten von Wix.com Ltd., Nemal Tel Aviv St. 40, Tel Aviv, Israel, betrieben. Beim Aufruf verarbeitet Wix technische Daten wie IP-Adresse, Browser, Betriebssystem, aufgerufene Seiten und Zeitpunkt, um die Seite auszuliefern und vor Angriffen zu schützen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Für Israel besteht ein Angemessenheitsbeschluss der EU-Kommission. Wix setzt zusätzlich Dienstleister in den USA ein; dafür gelten die EU-Standardvertragsklauseln im Auftragsverarbeitungsvertrag mit Wix. Die Speicherdauer der Server-Logfiles richtet sich nach den Vorgaben von Wix

20.2 Chat

Über das Chatfenster kannst du uns direkt schreiben. Wir verarbeiten deine Nachricht und, wenn du sie angibst, deinen Namen und deine E-Mail-Adresse, um dir zu antworten. Die Nachrichten werden bei Wix gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um eine Anfrage zu unseren Leistungen geht, sonst Art. 6 Abs. 1 lit. f DSGVO. Wir löschen Chatverläufe 12 Monatenach der letzten Nachricht, sofern keine Aufbewahrungspflicht besteht.

20.3 Formulare

Wenn du einen Testzugang anfragst oder im Trust Center Unterlagen anforderst, verarbeiten wir die Angaben aus dem Formular, um deine Anfrage zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Formulardaten werden bei Wix gespeichert und gelöscht, wenn die Anfrage abgeschlossen ist und keine Geschäftsbeziehung entsteht, spätestens nach 12 Monaten .

20.4 Terminbuchung über Calendly

Für Beratungs- und Demotermine nutzen wir Calendly (Calendly LLC, 115 E Main St, Ste A1B, Buford, GA 30518, USA). Bei der Buchung verarbeitet Calendly Name, E-Mail-Adresse, gewählten Termin und deine Antworten im Buchungsformular, etwa das Szenario, das du im Gesprächskonfigurator zusammengestellt hast. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Calendly ist nach eigenen Angaben nach dem EU-US Data Privacy Framework zertifiziert; zusätzlich gelten die EU-Standardvertragsklauseln im Auftragsverarbeitungsvertrag. Der Buchungskalender wird erst geladen, wenn du ihn aufrufst bzw.: nach deiner Einwilligung im Cookie-Banner.

20.5 Interaktive Elemente

Die Mini-Demo und der Gesprächskonfigurator auf dieser Website laufen vollständig in deinem Browser. Deine Auswahl wird nicht gespeichert und nicht an uns übertragen, außer du gibst sie bei einer Terminbuchung bewusst an Calendly weiter.