Datenschutzerklärung

Stand: 10. August 2026

Mit dieser Datenschutzerklärung informieren wir Sie darüber, wie personenbezogene Daten beim Besuch von elternportal-nrw.de und bei der freiwilligen Nutzung des KI-Chatbots SMARTY verarbeitet werden.

1. Verantwortlicher

2. Behördliche Datenschutzbeauftragte

3. Allgemeine Hinweise und Rechtsgrundlage

Das Elternportal unterstützt Eltern in Nordrhein-Westfalen, deren Kinder sich in der Phase der beruflichen Orientierung und im Übergang von der Schule in den Beruf befinden. Personenbezogene Daten werden nur verarbeitet, soweit dies zur Bereitstellung, Sicherheit und fachlichen Verbesserung des Informationsangebots erforderlich ist.

Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe e der Datenschutz-Grundverordnung (DSGVO) in Verbindung mit § 3 Absatz 1 Datenschutzgesetz Nordrhein-Westfalen (DSG NRW). Die Verarbeitung erfolgt zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt. Technische und organisatorische Sicherheitsmaßnahmen werden nach Artikel 32 DSGVO getroffen.

Die Website enthält keine Benutzerkonten, Kommentare, Newsletter oder Kontaktformulare. Es werden keine Werbe- oder Tracking-Cookies eingesetzt. Außerdem sind keine externen Karten, Videos, Social-Media-Inhalte oder extern geladenen Schriftarten eingebunden.

4. Aufruf der Website und Serverprotokolle

Wenn Sie die Website aufrufen, verarbeitet der Webserver automatisch die technisch erforderlichen Verbindungsdaten. Dazu können gehören:

• IP-Adresse des aufrufenden Geräts,
• Datum und Uhrzeit des Abrufs,
• aufgerufene Seite, Ressource oder Aktion,
• vom Browser übermittelte Anfrage,
• übertragene Datenmenge,
• Abruf- und HTTP-Status,
• Browser, Betriebssystem und weitere technische Clientinformationen sowie
• gegebenenfalls die zuvor besuchte Seite (Referrer).

Die Verarbeitung dient der Auslieferung der Website, der Fehleranalyse sowie dem Schutz vor Angriffen und missbräuchlichen Zugriffen. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe e DSGVO in Verbindung mit § 3 Absatz 1 DSG NRW.

Die Website wird auf einem Server von Vultr im Rechenzentrum Frankfurt am Main betrieben. Die technische Verwaltung erfolgt durch die beauftragte Agentur SMARTini GmbH mithilfe der Serververwaltungsplattform RunCloud. Der allgemeine Aufruf der Website läuft nicht über Cloudflare.

Zugriffs- und Fehlerprotokolle werden grundsätzlich nach sieben Tagen gelöscht. Bei einem konkreten Sicherheitsvorfall können erforderliche Daten im Einzelfall bis zur Aufklärung und gegebenenfalls zur Rechtsverfolgung gesondert gesichert werden.

5. Lokale Reichweitenstatistik mit Koko Analytics

Zur statistischen Auswertung des Informationsangebots wird Koko Analytics eingesetzt. Die Auswertung erfolgt lokal innerhalb der WordPress-Installation. Dabei werden aggregierte Seitenaufrufe, aufgerufene Seiten und Verweisquellen ausgewertet.

Koko Analytics setzt keine Analyse-Cookies, erstellt keine personenbezogenen Nutzungsprofile und übermittelt keine Statistikdaten an einen externen Analysedienst. Technisch anfallende Verbindungsdaten unterliegen den Regelungen zu den Serverprotokollen in Abschnitt 4.

Die aggregierten Statistikdaten werden nach sechs Monaten automatisch gelöscht. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe e DSGVO in Verbindung mit § 3 Absatz 1 DSG NRW. Die Auswertung dient dazu, das Informationsangebot bedarfsgerecht zu gestalten.

6. Cookies und Speicherungen in Ihrem Browser

Diese Website setzt keine Cookies und liest keine Cookies aus. Vor dem Absenden der ersten Nachricht an SMARTY werden auch keine SMARTY-Daten im Speicher Ihres Browsers angelegt.

Erst wenn Sie selbst eine Nachricht an SMARTY senden, werden im sessionStorage Ihres Browsers folgende Einträge gespeichert:

• smrtbot_session_id: eine zufällig erzeugte Sitzungs-ID (UUID), mit der zusammengehörige Nachrichten innerhalb des geöffneten Browser-Tabs zugeordnet werden;
• smrtbot_history: der für Sie sichtbare Verlauf der aktuellen Unterhaltung.

Die Einträge bleiben bei einem Wechsel zwischen Unterseiten innerhalb desselben Browser-Tabs erhalten. Sie werden beim Schließen des Tabs automatisch gelöscht. Über die Funktion „Neuer Chat“ können Sie die Einträge vorher löschen.

Diese Speicherung ist erforderlich, um den von Ihnen ausdrücklich angeforderten, zusammenhängenden Chat bereitzustellen. Sie erfolgt ohne Einwilligung auf Grundlage von § 25 Absatz 2 Nummer 2 Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Der auf der Website angezeigte Datenschutzhinweis speichert keine Einwilligungsentscheidung.

7. KI-Chatbot SMARTY

7.1 Zweck und freiwillige Nutzung

SMARTY beantwortet allgemeine Fragen zur beruflichen Orientierung und zum Übergang von der Schule in den Beruf. Die Nutzung ist freiwillig. Wenn Sie SMARTY nicht verwenden, werden keine Chat-Inhalte verarbeitet.

SMARTY erteilt ausschließlich unverbindliche allgemeine Informationen. Der Chatbot nimmt keine Anträge entgegen, erstellt keine Profile, greift nicht auf Benutzerkonten zu und löst keine rechtlichen oder tatsächlichen Maßnahmen aus.

7.2 Verarbeitete Daten und technischer Ablauf

Bei der Nutzung von SMARTY werden folgende Daten verarbeitet:

• Ihre freiwillig eingegebene Nachricht,
• die von SMARTY erzeugte Antwort,
• die zufällige Sitzungs-ID,
• der bisherige Verlauf der aktiven Sitzung mit insgesamt höchstens 20 Nachrichten beziehungsweise zehn Dialogpaaren sowie
• technische Status- und Fehlercodes ohne inhaltliche Anwendungsprotokollierung.

Die Anfrage wird zunächst an einen Cloudflare Worker übermittelt. Dort wird die zugelassene Website geprüft und die Zahl der Anfragen begrenzt. Für diese Begrenzung wird aus der kurzzeitig verarbeiteten Besucher-IP und einem geheimen Salt ein pseudonymes Kennzeichen gebildet. Gespeichert werden nur dieses SHA-256-Kennzeichen und ein Zähler. Beides wird nach 60 Sekunden automatisch gelöscht. Die Besucher-IP wird nicht an Google weitergegeben.

Cloudflare speichert die zufällige Sitzungs-ID und den begrenzten Chatverlauf für die Fortführung der Unterhaltung. Diese Sitzungsdaten werden nach 24 Stunden Inaktivität automatisch gelöscht. Die Anwendungsprotokollierung von Cloudflare Workers ist deaktiviert. Es bestehen kein Logpush, keine Traces und keine externen Worker-Logexporte.

7.3 Verarbeitung durch die Gemini Developer API

Zur Erzeugung der Antwort übermittelt SMARTY die aktuelle Nachricht und höchstens 19 weitere Nachrichten der aktiven Sitzung an die kostenpflichtige Gemini Developer API von Google. Google erhält über diese Übermittlung nicht die Besucher-IP.

Das optionale Entwickler-Logging für die Gemini API ist deaktiviert. Nach den Bedingungen für kostenpflichtige Gemini-API-Dienste verwendet Google die übermittelten Eingaben und Antworten nicht zur Verbesserung oder zum Training seiner Produkte. Google verarbeitet Eingaben, Kontext und Ausgaben jedoch zur Erkennung und Verhinderung von Missbrauch für bis zu 55 Tage. Von Sicherheitssystemen gekennzeichnete Inhalte können dabei von besonders autorisierten Beschäftigten von Google geprüft werden. Google kann außerdem eine projektisolierte, flüchtige Zwischenspeicherung im Arbeitsspeicher mit einer Dauer von bis zu 24 Stunden einsetzen.

Weitere Informationen finden Sie in den zusätzlichen Nutzungsbedingungen der Gemini API, den Hinweisen zur Missbrauchsüberwachung und den Hinweisen zur Datenspeicherung bei der Gemini Developer API.

7.4 Qualitätssicherung in der WordPress-Datenbank

Zur manuellen Qualitätskontrolle und fachlichen Verbesserung von SMARTY werden Frage und Antwort zusätzlich in einer gesonderten Tabelle der WordPress-Datenbank gespeichert. Zusammen mit diesen Inhalten werden keine IP-Adresse, Sitzungs-ID, Zeitstempel oder sonstigen technischen Zuordnungsdaten gespeichert.

Da eine frei formulierte Nachricht dennoch personenbezogene Angaben enthalten kann, werden diese Frage-Antwort-Verläufe bis zu ihrer Löschung nicht als anonym behandelt. Ausschließlich ausdrücklich autorisierte Personen der beauftragten Agentur SMARTini GmbH dürfen die gespeicherten Verläufe im Rahmen des 14-tägigen technischen Aktualisierungszyklus zur Qualitätssicherung sichten.

Erkenntnisse werden nur in abstrahierter Form zur Verbesserung des System-Prompts, der Wissensbasis oder der Antwortregeln verwendet. Die gespeicherten Inhalte werden nicht für ein automatisiertes Training eines KI-Modells genutzt. Der Datenbestand wird regelmäßig bereinigt und spätestens 30 Tage nach der Speicherung gelöscht. Diese Höchstfrist gilt auch für die verschlüsselten Sicherungskopien.

7.5 Bitte geben Sie keine persönlichen oder sensiblen Daten ein

SMARTY benötigt weder Ihren Namen noch Kontaktdaten, Gesundheitsdaten oder andere persönliche beziehungsweise sensible Angaben. Bitte geben Sie solche Daten auch nicht über andere Personen ein. Insbesondere sollen keine besonderen Kategorien personenbezogener Daten im Sinne von Artikel 9 DSGVO eingegeben werden.

KI-generierte Antworten können trotz technischer und redaktioneller Schutzmaßnahmen unvollständig oder fehlerhaft sein. Sie ersetzen keine verbindliche Beratung oder behördliche Entscheidung.

Rechtsgrundlage für die Verarbeitung durch SMARTY und die beschriebene Qualitätssicherung ist Artikel 6 Absatz 1 Buchstabe e DSGVO in Verbindung mit § 3 Absatz 1 DSG NRW.

8. Datensicherung

Zur Wiederherstellung der Website nach technischen Störungen wird täglich eine verschlüsselte Sicherung der WordPress-Website in einem Google-Workspace-Drive-Konto der beauftragten Agentur gespeichert. Die Sicherung kann vorübergehend auch die in der WordPress-Datenbank gespeicherten Frage-Antwort-Verläufe enthalten. Cloudflare-Sitzungsdaten von SMARTY sind nicht Bestandteil dieser Sicherung.

Es werden 30 tägliche Sicherungen vorgehalten. Sicherungskopien werden spätestens nach 30 Tagen automatisch gelöscht. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe e DSGVO in Verbindung mit § 3 Absatz 1 DSG NRW. Die Sicherheitsmaßnahmen richten sich nach Artikel 32 DSGVO.

9. Empfänger sowie Auftrags- und Unterauftragsverarbeiter

Personenbezogene Daten erhalten nur Stellen, die sie für die beschriebenen Zwecke benötigen. Eingesetzt werden insbesondere:

• SMARTini GmbH, Am End 2, 52445 Titz: Entwicklung, technischer Betrieb, Administration, manuelle Qualitätssicherung und Datensicherung im Auftrag des MAGS;
• Vultr: Hosting der WordPress-Website auf einem Server in Frankfurt am Main;
• RunCloud Sdn. Bhd.: technische Serververwaltung und Betriebsplattform;
• Cloudflare, Inc.: SMARTY-Gateway, Domainprüfung, Rate Limiting und zeitlich begrenzter Sitzungsspeicher;
• Google: Gemini Developer API zur Erzeugung der SMARTY-Antworten sowie Google Workspace Drive für verschlüsselte Sicherungskopien.

Die Dienstleister verarbeiten Daten nur im Rahmen ihrer vertraglichen Aufgaben und der dokumentierten Weisungen. Soweit weitere Unterauftragsverarbeiter eingesetzt werden, gelten die entsprechenden datenschutzrechtlichen Verpflichtungen auch für diese.

10. Verarbeitung außerhalb des Europäischen Wirtschaftsraums

Der Webserver der Website befindet sich in Frankfurt am Main. Bei den international tätigen Dienstleistern Vultr, RunCloud, Cloudflare und Google können ungeachtet des Serverstandorts Zugriffe oder weitere Verarbeitungen außerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums stattfinden.

Solche Übermittlungen erfolgen nur unter Beachtung der Artikel 44 bis 49 DSGVO. Je nach Dienstleister und Verarbeitung werden insbesondere ein Angemessenheitsbeschluss, die Teilnahme am EU-US Data Privacy Framework, die Standardvertragsklauseln der Europäischen Kommission sowie ergänzende technische und organisatorische Schutzmaßnahmen herangezogen.

11. Sicherheit der Verarbeitung

Zum Schutz der Daten werden angemessene technische und organisatorische Maßnahmen eingesetzt. Dazu gehören insbesondere:

• verschlüsselte Übertragung über HTTPS/TLS,
• serverseitige Aufbewahrung von API-Schlüsseln und sonstigen Geheimnissen,
• Domainprüfung und Begrenzung automatisierter Anfragen,
• interne, nicht öffentlich erreichbare Verbindung zwischen den SMARTY-Workern,
• Beschränkung administrativer Zugriffe auf autorisierte Personen,
• verschlüsselte Sicherungskopien,
• Minimierung beziehungsweise Deaktivierung inhaltlicher Anwendungsprotokolle sowie
• regelmäßige Aktualisierung der eingesetzten Systeme und Komponenten. 

12. Kontaktaufnahme über die angegebenen Kontaktdaten

Die Website enthält kein Kontaktformular. Wenn Sie über eine angegebene E-Mail-Adresse, telefonisch oder auf anderem Weg Kontakt mit dem MAGS aufnehmen, werden die von Ihnen übermittelten Kontaktdaten und Inhalte außerhalb der Website zur Bearbeitung Ihres Anliegens verarbeitet. Die Rechtsgrundlage richtet sich nach dem Gegenstand der Anfrage; regelmäßig ist dies Artikel 6 Absatz 1 Buchstabe e DSGVO in Verbindung mit § 3 Absatz 1 DSG NRW. Gesetzliche Aufbewahrungs- und Dokumentationspflichten bleiben unberührt.

13. Ihre Rechte

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere folgende Rechte:

• Auskunft über die zu Ihrer Person verarbeiteten Daten nach Artikel 15 DSGVO,
• Berichtigung unrichtiger Daten nach Artikel 16 DSGVO,
• Löschung nach Artikel 17 DSGVO,
• Einschränkung der Verarbeitung nach Artikel 18 DSGVO,
• Datenübertragbarkeit nach Artikel 20 DSGVO, soweit dessen Voraussetzungen erfüllt sind, sowie
• Widerspruch gegen eine Verarbeitung nach Artikel 6 Absatz 1 Buchstabe e DSGVO aus Gründen, die sich aus Ihrer besonderen Situation ergeben, nach Artikel 21 DSGVO.

Zur Ausübung Ihrer Rechte können Sie sich an das MAGS oder an die behördliche Datenschutzbeauftragte wenden. Da SMARTY keine Namen oder Kontaktdaten verlangt und die zur Qualitätssicherung gespeicherten Frage-Antwort-Verläufe keine technischen Zuordnungsdaten enthalten, kann eine Zuordnung zu einer bestimmten Person regelmäßig nicht ohne zusätzliche Angaben erfolgen. Zusätzliche Identifizierungsdaten werden nicht allein deshalb erhoben, um eine solche Zuordnung zu ermöglichen.

14. Beschwerderecht bei der Datenschutzaufsicht

Wenn Sie der Auffassung sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen Datenschutzrecht verstößt, können Sie sich nach Artikel 77 DSGVO bei einer Datenschutzaufsichtsbehörde beschweren. Für das MAGS ist insbesondere folgende Behörde zuständig:

15. Pflicht zur Bereitstellung von Daten

Die technisch erforderlichen Verbindungsdaten müssen verarbeitet werden, damit die Website aufgerufen werden kann. Die Nutzung von SMARTY und die Eingabe einer Nachricht sind freiwillig. Ohne eine Nachricht kann SMARTY keine Antwort erzeugen.

16. Automatisierte Entscheidungen und Profiling

Es finden keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung im Sinne von Artikel 22 DSGVO und kein Profiling statt.

17. Externe Links

Die Website kann Links zu Internetangeboten anderer Anbieter enthalten. Erst wenn Sie einen solchen Link aufrufen, verlassen Sie das Elternportal. Für die Datenverarbeitung auf dem verlinkten Internetangebot ist der jeweilige Anbieter verantwortlich.

18. Aktualisierung dieser Datenschutzerklärung

Diese Datenschutzerklärung wird angepasst, wenn sich die Website, die eingesetzten Dienste, die Datenflüsse oder die rechtlichen Anforderungen ändern. Maßgeblich ist die jeweils auf dieser Website veröffentlichte Fassung.