Datenschutzerklärung

Datenschutzerklärung für die Plattform „flai" der Mariposa Education Technologies GmbH  ·  Stand: 16. Juli 2026

Verantwortlicher und Kontakt

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist die Mariposa Education Technologies GmbH, Julius-Vosseler-Straße 82a, 22527 Hamburg, vertreten durch die Geschäftsführung (nachfolgend „wir" oder „uns").

Kontakt für alle Datenschutzanfragen, die Ausübung von Betroffenenrechten sowie Einwilligungen und Widerrufe: team@mariposa-edu.com. Allgemeine Support-Anfragen richten Sie bitte ebenso an team@mariposa-edu.com.

Wen und was diese Datenschutzerklärung betrifft

Diese Datenschutzerklärung informiert (a) Bewerberinnen und Bewerber (nachfolgend „Nutzer") – überwiegend Jugendliche ab 16 Jahren – sowie deren Sorgeberechtigte, (b) Ansprechpersonen teilnehmender Unternehmen und (c) Besucher unserer Website/App darüber, welche personenbezogenen Daten wir bei der Nutzung von flai verarbeiten, zu welchen Zwecken, auf welchen Rechtsgrundlagen, wie lange wir sie speichern und welche Rechte den Betroffenen zustehen (Art. 13, 14 DSGVO).

flai ist eine KI-gestützte Matching-Plattform für den Übergang in Berufsausbildung und duales Studium. Kern der Leistung ist, dass Bewerberprofile für teilnehmende Unternehmen sichtbar und durchsuchbar sind. Alle KI-Funktionen sind ausschließlich unterstützend; weder flai noch das Matching-System treffen automatisierte Entscheidungen über Auswahl oder Ablehnung von Bewerbungen (siehe § 9).

Mindestalter 16; besonderer Schutz Minderjähriger

flai steht ausschließlich Nutzern ab Vollendung des 16. Lebensjahres offen. Der Grund ist Art. 8 DSGVO: Bei Diensten der Informationsgesellschaft, die sich an Kinder richten, ist die Verarbeitung personenbezogener Daten unter 16-Jähriger nur mit Einwilligung eines Sorgeberechtigten zulässig. Der deutsche Gesetzgeber hat die Möglichkeit, diese Altersgrenze abzusenken, nicht genutzt.

Wir haben uns bewusst dagegen entschieden, jüngere Nutzer auf Grundlage einer bloßen Selbstauskunft aufzunehmen. Solange wir kein Verfahren anbieten, mit dem sich die Einwilligung eines Sorgeberechtigten verlässlich einholen und nachweisen lässt, nehmen wir unter 16-Jährige nicht auf. Bei der Registrierung wird das Geburtsdatum abgefragt und geprüft; liegt das angegebene Alter unter 16 Jahren, wird kein Konto angelegt. Erlangen wir Kenntnis von einem dennoch angelegten Konto einer Person unter 16 Jahren, sperren wir es und löschen die Daten.

Unsere Nutzer sind überwiegend minderjährig (16–17 Jahre). Zu ihrem Schutz gelten daher unabhängig von Art. 8 DSGVO: sichere Voreinstellungen (u. a. gesonderte Steuerung der Foto-Sichtbarkeit), Meldefunktionen in der Nachrichtenfunktion, anlassbezogene Moderation (§ 8.6) sowie der Verzicht auf profilbasierte Werbung gegenüber Minderjährigen. Unsere Mitarbeitenden greifen auf Daten nur zu, soweit dies für Support, Moderation, Jugendschutz/Safeguarding, Missbrauchsprävention oder rechtliche Pflichten erforderlich ist; Zugriffe werden protokolliert.

Sorgeberechtigte minderjähriger Nutzer können die Rechte nach § 13 gemeinsam mit dem Nutzer ausüben; Anfragen richten Sie bitte an team@mariposa-edu.com.

Kategorien verarbeiteter Daten

Bei Nutzern verarbeiten wir je nach Nutzung:

• (a) Stammdaten: Name, E-Mail-Adresse, Geburtsdatum (Feststellung des Mindestalters), Wohnort/Stadt;
• (b) Profildaten: schulischer und beruflicher Werdegang, Sprachen, Aktivitäten und Interessen;
• (c) Dokumente: Lebenslauf, Zeugnisse, Qualifikationsnachweise, einschließlich hieraus automatisiert extrahierter Angaben wie Noten [künftige Funktion];
• (d) optionales Profilfoto (separate Sichtbarkeitssteuerung);
• (e) Embeddings: technische, vektorbasierte Repräsentationen der Profil- und Dokumentinhalte für das semantische Matching;
• (f) Interviewdaten: die gesprochenen Antworten (flüchtig, zur Transkription), die hieraus erstellten Transkripte sowie strukturierte KI-Auswertungen (JSON). Eine dauerhafte Audioaufzeichnung erfolgt nicht (§ 8.4);
• (g) Nachrichteninhalte und zugehörige Metadaten;
• (h) Nutzungs- und Metadaten: IP-Adresse, User-Agent, Geräte- und Protokolldaten, UTM-/Kampagnenparameter – zu Analysezwecken nur bei entsprechender Einwilligung (§ 10), im Übrigen nur soweit für Betrieb und Sicherheit erforderlich.

Bei Ansprechpersonen von Unternehmen verarbeiten wir: Name, geschäftliche Kontaktdaten, Funktion, Zugangs- und Nutzungsdaten sowie Vertrags- und Abrechnungsdaten (Zahlungsabwicklung über Stripe).

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) erheben wir nicht gezielt. Ist eine solche Angabe unvermeidbarer Bestandteil eines erforderlichen Dokuments (z. B. Religionszugehörigkeit im Zeugniskopf), verarbeiten wir sie nur, soweit dies für die Profilerstellung erforderlich ist; sie fließt nicht in Matching, Rankings oder Auswertungen ein.

Zwecke und Rechtsgrundlagen

5.1 Bereitstellung der Plattform, Konto- und Profilverwaltung, Sichtbarkeit für Unternehmen, Matching, Bewerbungs- und Nachrichtenfunktion: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

5.2 KI-gestützte Interviews: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); die Teilnahme ist freiwillig und wird vor Beginn gesondert erläutert (§ 8.4).

5.3 Reichweitenmessung, Produktanalyse, optionales Marketing und nicht erforderliche Cookies/Speicherzugriffe: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), erteilt über das Consent-Banner; jederzeit widerruflich.

5.4 IT-Sicherheit, Missbrauchsprävention, Moderation und Jugendschutz, Fehleranalyse und Monitoring: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb und am Schutz der – überwiegend minderjährigen – Nutzer) sowie ggf. Art. 6 Abs. 1 lit. c DSGVO (rechtliche Pflichten, u. a. Jugendschutz).

5.5 Vertrags- und Abrechnungsverwaltung gegenüber Unternehmen: Art. 6 Abs. 1 lit. b und c DSGVO.

5.6 Erfüllung gesetzlicher Aufbewahrungs- und Nachweispflichten: Art. 6 Abs. 1 lit. c DSGVO.

Woher die Daten stammen

Wir erheben die Daten grundsätzlich direkt bei den Nutzern (Registrierung, Profilpflege, Uploads, Interviews, Nachrichten). Aus hochgeladenen Dokumenten werden Angaben automatisiert extrahiert (§ 8.2). Bei Login über Google OAuth erhalten wir die in § 12 genannten Daten von Google.

Speicherung und Verarbeitungsorte

Die Speicherung der Daten erfolgt auf eigenen, von uns kontrollierten Servern bei der Hetzner Online GmbH in Deutschland. Einzelne Verarbeitungsschritte erfolgen jedoch durch sorgfältig ausgewählte Auftragsverarbeiter (Art. 28 DSGVO), insbesondere die KI-gestützte Auswertung von Lebensläufen und Zeugnissen, die Erstellung von Embeddings, die Transkription gesprochener Interviewantworten und die Durchführung von KI-Interviews durch Drittanbieter von KI-Diensten (§ 12). Soweit dabei Daten in Drittländern (insbesondere USA) verarbeitet werden, erfolgt dies auf Grundlage von Angemessenheitsbeschlüssen (u. a. EU-U.S. Data Privacy Framework) oder EU-Standardvertragsklauseln nebst ergänzenden Maßnahmen (Art. 44 ff. DSGVO). Eine Kopie der Garantien kann über team@mariposa-edu.com angefordert werden.

Verarbeitungen im Einzelnen

8.1 Registrierung, Konto und Anmeldung

Bei der Registrierung erheben wir Stammdaten einschließlich Geburtsdatum und prüfen das Mindestalter nach § 3. Die Anmeldung erfolgt über ein tokenbasiertes Verfahren (JSON Web Token): Nach erfolgreicher Anmeldung erhält Ihr Endgerät ein kurzlebiges Zugriffstoken (Gültigkeit 15 Minuten) und ein Erneuerungstoken (Gültigkeit ein Tag); bei jeder Erneuerung wird das bisherige Erneuerungstoken ungültig. Diese Token werden im lokalen Speicher Ihres Browsers (localStorage) abgelegt und bei jeder Anfrage im Authorization-Header an unseren Server übermittelt. Session-Cookies setzen wir hierfür nicht ein. Dieser Zugriff auf den lokalen Speicher Ihres Endgeräts ist unbedingt erforderlich, damit wir den von Ihnen ausdrücklich gewünschten Dienst bereitstellen können, und bedarf daher keiner Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG).

8.2 Profil, Dokumente und automatisiertes Auslesen (Parsing)

Für die Teilnahme am Matching ist das jeweils letzte Schulzeugnis erforderlich; weitere Dokumente sind freiwillig. Hochgeladene Dokumente werden KI-gestützt ausgelesen, um das Profil zu befüllen (künftig einschließlich Notenextraktion). Die Auswertung der Dokumentinhalte erfolgt hierfür auch durch Drittanbieter-KI-Dienste (derzeit Google Gemini, § 12). Extrahierte Angaben sind im Profil einsehbar und korrigierbar. KI-Ausgaben können fehlerhaft sein.

8.3 Sichtbarkeit für Unternehmen und semantisches Matching

Nach Abschluss der Registrierung ist das Profil standardmäßig für teilnehmende Unternehmen sichtbar; dies ist Kern der Leistung von flai und wird im Onboarding deutlich erläutert. Die Sichtbarkeit kann jederzeit insgesamt deaktiviert und das Profilfoto gesondert verborgen werden. Für das Matching erzeugen wir aus Profil- und Dokumentinhalten Embeddings und berechnen Passungsbewertungen, die Unternehmen als Vorschlagslisten angezeigt werden. Im Profil ist einsehbar, welche Unternehmen das Profil angesehen oder Kontakt aufgenommen haben.

Unternehmen sind über Teil B unserer AGB, insbesondere § 21, vertraglich verpflichtet, die Daten ausschließlich zur Bewerberauswahl zu verwenden, sie nicht weiterzugeben und nach Abschluss des Verfahrens zu löschen; ab Einsichtnahme bzw. Download in eigene Systeme sind sie eigenständige Verantwortliche.

8.4 KI-gestützte Interviews

Die Teilnahme an KI-Interviews ist freiwillig und erfolgt nur nach gesonderter Information und Einwilligung.

Ablauf und Datenverarbeitung: Ihre gesprochenen Antworten werden über LiveKit übertragen und an ElevenLabs übermittelt, das sie automatisch in Text umwandelt (Transkription). Die Transkription erfolgt dabei nicht laufend während des Sprechens, sondern jeweils nach Abschluss einer Antwort. Die Stimme des KI-Gesprächspartners wird ebenfalls durch ElevenLabs erzeugt (Sprachsynthese). Das entstandene Transkript wird anschließend durch Google Gemini strukturiert ausgewertet. Einzelheiten zu den Dienstleistern in § 12.

Es findet keine dauerhafte Audioaufzeichnung statt. Die gesprochenen Antworten werden nur flüchtig zum Zweck der Transkription verarbeitet und danach verworfen. Dauerhaft gespeichert werden ausschließlich das Transkript und die strukturierte Auswertung; diese löschen wir 90 Tage nach ihrer Erstellung.

Es findet keine Emotionserkennung und keine biometrische Kategorisierung statt. Nutzer können ihre Auswertungen einsehen, Stellung nehmen und deren Löschung verlangen; Unternehmen erhalten Zugriff nur im Rahmen des jeweiligen Bewerbungs-/Matchingkontextes nach Maßgabe der im Produkt angezeigten Freigaben.

8.5 Nachrichtenfunktion

Nachrichten zwischen Unternehmen und Nutzern werden transportverschlüsselt (TLS) übertragen und auf unseren Servern gespeichert; eine Ende-zu-Ende-Verschlüsselung besteht nicht, damit Moderation und Jugendschutz möglich sind. Anlassbezogen (Meldung, konkrete Anhaltspunkte, rechtliche Pflichten) können geschulte Mitarbeitende Nachrichten einsehen; ergänzend können automatisierte Filter eingesetzt werden.

Konversationen werden gelöscht, wenn in ihnen 180 Tage lang keine Aktivität stattgefunden hat, spätestens jedoch mit Löschung des Nutzerkontos nach § 11.

8.6 Moderation, Jugendschutz und Missbrauchsprävention

Zum Schutz der Nutzer werten wir Meldungen aus, prüfen auffällige Inhalte und können Konten sperren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz der Nutzer, Integrität der Plattform) sowie Art. 6 Abs. 1 lit. c DSGVO, soweit gesetzliche Pflichten (insbesondere Jugendschutz) bestehen.

8.7 Benachrichtigungen (E-Mail/Push)

Transaktionale Benachrichtigungen (Sicherheits- und Vertragsinformationen, Bewerbungsstatus, neue Nachrichten, Kontoverwaltung) versenden wir zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) über Resend. Optionale Benachrichtigungen (Matching-Vorschläge, Tipps, Produktneuigkeiten) versenden wir nur mit Einwilligung bzw. entsprechender Einstellung; sie sind jederzeit abbestellbar (Kontoeinstellungen oder Abmeldelink).

8.8 Server-Logs, Monitoring und Fehleranalyse

Beim Zugriff auf die Plattform verarbeiten wir technisch bedingt IP-Adresse, User-Agent, Zeitstempel und aufgerufene Ressourcen in Server-Logs (Art. 6 Abs. 1 lit. f DSGVO, Sicherheit und Betrieb). Server-Logs werden nach 30 Tagen gelöscht. Zur Fehlerüberwachung setzen wir Sentry ein; dieses ist so konfiguriert, dass personenbezogene Daten nicht standardmäßig übermittelt werden. Zum System-Monitoring setzen wir Grafana Cloud ein (§ 12). Eine darüber hinausgehende Auswertung von IP/User-Agent zu Analysezwecken erfolgt nur mit Einwilligung (§ 10).

8.9 Geodienste

Zur Zuordnung von Ortsangaben (z. B. Wohnort, Umkreissuche im Matching) nutzen wir Geokodierungsdienste (LocationIQ, OpenStreetMap/Nominatim); übermittelt werden hierbei nur die erforderlichen Ortsangaben, nicht das vollständige Profil.

8.10 Unternehmen (Teil B)

Von Ansprechpersonen der Unternehmen verarbeiten wir Konto-, Nutzungs-, Vertrags- und Abrechnungsdaten (Zahlungsabwicklung über Stripe) zur Vertragserfüllung. Der Unternehmenszugang erfolgt nur auf Einladung bzw. nach Prüfung und Freigabe; hierbei verarbeiten wir die im Rahmen der Anfrage übermittelten Unternehmens- und Kontaktdaten. Nutzt ein Unternehmen die KI-Unterstützung zur Erstellung von Stellenanzeigen, werden die hierfür eingegebenen Inhalte durch die in § 12 genannten KI-Dienste verarbeitet.

Keine automatisierte Entscheidungsfindung (Art. 22 DSGVO); KI-Transparenz

flai trifft keine Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung ausschließlich auf Grundlage automatisierter Verarbeitung. Matching-Bewertungen, extrahierte Angaben und Interview-Auswertungen sind reine Entscheidungsunterstützung; die Auswahlentscheidung treffen ausschließlich Menschen bei den Unternehmen. Die Unternehmen sind vertraglich verpflichtet, keine ausschließlich automatisierten Auswahl- oder Ablehnungsentscheidungen allein auf Grundlage der flai-Ausgaben zu treffen und eine menschliche Prüfung sicherzustellen.

Wo Nutzer unmittelbar mit einem KI-System interagieren (insbesondere im KI-Interview), machen wir dies vor Beginn der Interaktion klar kenntlich (Art. 50 Verordnung (EU) 2024/1689). Es findet keine Emotionserkennung, keine biometrische Kategorisierung und keine Ableitung besonderer Datenkategorien statt. Personenbezogene Inhalte der Nutzer werden nicht zum Training allgemeiner, über den Betrieb von flai hinausgehender KI-Modelle verwendet; dies stellen wir auch gegenüber den eingesetzten KI-Dienstleistern vertraglich sicher.

Cookies, Einwilligungsverwaltung und Analyse

Technisch notwendige Speicherzugriffe – insbesondere die Ablage der Anmelde-Token im lokalen Speicher (§ 8.1) sowie die Speicherung Ihres Einwilligungsstatus – nehmen wir ohne Einwilligung vor (§ 25 Abs. 2 Nr. 2 TDDDG). Alle nicht notwendigen Dienste – insbesondere die Produktanalyse mit PostHog sowie die Erfassung von UTM-/Kampagnenparametern zur Marketing-Attribution – aktivieren wir erst nach Einwilligung über das Consent-Banner (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Die Einwilligung kann jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen widerrufen werden; der Widerruf ist so einfach wie die Erteilung. Gegenüber Minderjährigen erfolgt keine profilbasierte Werbung.

Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Pflichten bestehen. Insbesondere gilt:

• (a) Konto-, Profil- und Dokumentdaten: für die Dauer der Kontobeziehung. Nach Kündigung oder Löschauftrag wird das Konto unverzüglich deaktiviert (für Unternehmen nicht mehr sichtbar); die endgültige Löschung erfolgt planmäßig nach Ablauf einer Karenzfrist von 30 Tagen, innerhalb derer eine versehentliche Löschung rückgängig gemacht werden kann. Die Löschung erfolgt somit nicht sofort, sondern terminiert nach diesem Löschkonzept.
• (b) Abgeleitete Daten (Embeddings, KI-Auswertungen): werden mit dem zugrunde liegenden Inhalt bzw. Konto gelöscht.
• (c) Interviewdaten: Transkripte und Auswertungen 90 Tage ab Erstellung. Gesprochene Antworten werden nicht dauerhaft gespeichert (§ 8.4).
• (d) Nachrichten: 180 Tage ab der letzten Aktivität in der jeweiligen Konversation, spätestens mit Kontolöschung.
• (e) Server-Logs: 30 Tage.
• (f) Einwilligungs- und Verifikationsnachweise: 3 Jahre nach Widerruf bzw. Ende der Kontobeziehung (Art. 7 Abs. 1 DSGVO, Nachweis- und Verjährungsfristen).
• (g) Vertrags- und Abrechnungsdaten (Unternehmen): handels- und steuerrechtliche Fristen (6 bzw. 8/10 Jahre, §§ 257 HGB, 147 AO).

Empfänger und eingesetzte Dienstleister

Empfänger von Nutzerdaten sind: (a) teilnehmende Unternehmen im Rahmen des Matching-Verfahrens (ab Einsichtnahme/Download eigenständige Verantwortliche, vertraglich auf Zweckbindung, Vertraulichkeit und Löschung verpflichtet); (b) die nachfolgend aufgeführten Auftragsverarbeiter und Dienstleister; (c) staatliche Stellen, soweit wir rechtlich dazu verpflichtet sind. Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

Ihre Rechte

Betroffene haben gegenüber uns folgende Rechte: Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Erteilte Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Anfragen richten Sie bitte an team@mariposa-edu.com; wir antworten grundsätzlich innerhalb eines Monats.

Datensicherheit

Wir treffen dem Stand der Technik entsprechende technische und organisatorische Maßnahmen (Art. 32 DSGVO), insbesondere: Transportverschlüsselung (TLS) für sämtliche Verbindungen; rollenbasierte Zugriffskontrollen und Protokollierung interner Zugriffe; tokenbasierte Anmeldung mit kurzlebigen Zugriffstoken und Rotation der Erneuerungstoken (§ 8.1); regelmäßige Sicherheitsupdates, Backups sowie Monitoring und Fehlerüberwachung (Sentry, Grafana Cloud). Nachrichten sind nicht Ende-zu-Ende-verschlüsselt (§ 8.5).

Pflicht zur Bereitstellung; Änderungen

Die Bereitstellung der Stammdaten, des Geburtsdatums und des letzten Schulzeugnisses ist für die Nutzung von flai erforderlich; ohne diese Angaben können Konto bzw. Matching nicht bereitgestellt werden. Alle weiteren Angaben (z. B. weitere Dokumente, Profilfoto, Interviews) sind freiwillig.

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung, die Rechtslage oder die eingesetzten Dienstleister ändern. Über wesentliche Änderungen – insbesondere neue KI-Funktionen oder neue Datenkategorien (z. B. Notenextraktion, Marketing-Attribution) – informieren wir Nutzer vorab; erforderliche Einwilligungen holen wir vor Aktivierung ein.

Stand: 16. Juli 2026  ·  Mariposa Education Technologies GmbH, Julius-Vosseler-Straße 82a, 22527 Hamburg  ·  team@mariposa-edu.com