DSGVO-Konformität

Wer für die Daten verantwortlich ist

Für Teilnehmerdaten ist Ihre Organisation Verantwortlicher und die BHP VR sp. z o.o., das Unternehmen hinter Skillsive, Auftragsverarbeiter. Wir verarbeiten diese Daten nur nach Ihren Weisungen, auf Grundlage des Auftragsverarbeitungsvertrags, den Ihr Administrator im Panel akzeptiert. Für Panel-Konten und unseren Vertrag mit Ihrer Organisation ist die BHP VR sp. z o.o. Verantwortlicher.

Welche Daten wir verarbeiten

Jeder Teilnehmer braucht nur einen 6-stelligen Code und einen Anzeigenamen. Ihre Organisation entscheidet, ob Vor- und Nachname, E-Mail, Telefonnummer, Personalnummer, Position, Adresse, Geburtsdatum oder Geschlecht hinzugefügt werden. Außerdem speichern wir Schulungsergebnisse und Zertifikate. Für Personen mit einem Panel-Konto verarbeiten wir Name, E-Mail und Anmeldedaten. Sicherheitsrelevante Vorgänge wie das Herunterladen eines Zertifikats werden mit Zeitpunkt, IP-Adresse und Gerät protokolliert.

Wo die Daten gespeichert werden

In der Plattform gespeicherte Teilnehmerdaten werden in der Europäischen Union gespeichert. Sprachaufnahmen aus VR-Lektionen mit Sprachbefehlen verarbeitet Meta Wit.ai in den USA (siehe Unterauftragsverarbeiter).

• Datenbank: Azure SQL (Microsoft SQL Server) in der Region West Europe (Niederlande).
• Zertifikatsdateien: Azure Blob Storage in der Region West Europe (Niederlande).
• Technische Protokolle: Azure, Region Germany West Central, bis zu 90 Tage aufbewahrt.
• Backups: automatische Datenbank-Backups mit Wiederherstellung auf einen beliebigen Zeitpunkt der letzten 35 Tage und wöchentliche Backups mit 2 Wochen Aufbewahrung, in georedundantem Backup-Speicher innerhalb der EU (North Europe, Irland). Es gibt kein Datenbankreplikat in einer anderen Region.

Wer uns bei der Verarbeitung unterstützt

Vier Unterauftragsverarbeiter verarbeiten Teilnehmerdaten: Microsoft (Azure-Hosting), Cloudflare (Netzwerkschutz und Auslieferung von Inhalten), Twilio SendGrid (System-E-Mails und Schulungserinnerungen) und Meta Wit.ai (Spracherkennung für Sprachbefehle in VR-Lektionen, die solche enthalten). Auf der Seite zu den Unterauftragsverarbeitern steht, was jeder von ihnen tut und welche Schutzmaßnahmen gelten.

Wie wir die Daten schützen

Die Daten sind bei der Übertragung per HTTPS (TLS) und im Ruhezustand mit AES-256 in Datenbank und Dateispeicher verschlüsselt. Der Zugriff hängt von der Rolle ab, die Daten jeder Organisation sind serverseitig getrennt, und administrativer Zugriff erfordert eine Multi-Faktor-Authentifizierung.

Anonymisierung und Zertifikate

Wenn Ihre Organisation die Einwilligung widerruft oder uns dazu anweist, werden die Daten, die Teilnehmer identifizieren, unwiderruflich anonymisiert. Zertifikate werden dabei nicht sofort gelöscht: Sie kommen für die von Ihrer Organisation festgelegte Aufbewahrungsfrist (standardmäßig 10 Jahre) in ein zugriffsbeschränktes Archiv und werden danach endgültig gelöscht.

Wie lange wir Daten aufbewahren

Teilnehmerdaten bewahren wir auf, solange Ihre Organisation die Plattform nutzt. Nach Ende des Dienstes löschen wir die Daten oder geben sie zurück, je nach Wahl Ihrer Organisation. Backups laufen nach 35 Tagen ab, technische Protokolle spätestens nach 90 Tagen.

Rechte der Teilnehmer

Teilnehmer können Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung oder Übertragung ihrer Daten verlangen und der Verarbeitung widersprechen. Diese Anfragen bearbeitet Ihre Organisation als Verantwortlicher. Schreibt uns ein Teilnehmer direkt, leiten wir die Anfrage unverzüglich weiter und helfen Ihnen bei der Antwort. Jede Person kann sich außerdem bei einer Datenschutzaufsichtsbehörde beschweren.