Datenschutzhinweise für die InnoX-App

Stand: 02.09.2026

Verantwortlicher

Verantwortlich für die in diesen Hinweisen beschriebene Verarbeitung personenbezogener Daten ist die ZWW Deutschland GmbH, handelnd unter der Marke „InnoX Deutschland“, Roonstraße 23a, 76137 Karlsruhe, eingetragen im Handelsregister des Amtsgerichts Mannheim unter HRB 759581, vertreten durch die Geschäftsführer Lucas Bretz, Florian Marthaler und Niklas Meißner, E-Mail: info@innox-deutschland.de.

Ein Datenschutzbeauftragter ist nicht benannt, weil die gesetzlichen Voraussetzungen für eine Benennungspflicht nicht vorliegen.

Geltungsbereich und Rollenverteilung

Diese Hinweise gelten für die Nutzung der InnoX-App (nachfolgend „Plattform"), des Partner- und Projektportals der ZWW Deutschland GmbH. Sie richten sich an registrierte Partner, Endkunden und deren Beschäftigte, interne Nutzer sowie an Personen, die sich mit einem noch nicht freigeschalteten Google-Konto anmelden.

Für die Verarbeitung der Daten von Teilnehmenden (Ziffer 4) handeln wir als Auftragsverarbeiter des jeweiligen Endkunden auf Grundlage der mit dem Kooperationsvertrag abgeschlossenen Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO; datenschutzrechtlich verantwortlich ist insoweit der Endkunde als Arbeitgeber. Für die übrigen in diesen Hinweisen beschriebenen Verarbeitungen (insbesondere Ziffern 3 bis 9) sind wir selbst Verantwortlicher.

Nutzerkonten und Profildaten

Bei der Registrierung und Nutzung eines Nutzerkontos verarbeiten wir die von Ihnen angegebenen Stammdaten (Name, E-Mail-Adresse, Rolle; bei Partnern zusätzlich Firma oder Name, Anschrift, Telefon, USt-IdNr., Partnertyp und Partnerstufe), Ihre Anmeldedaten (Passwort ausschließlich als bcrypt-Hash, Google-Konto-ID oder Verknüpfung zum ZWW-Konto, Zeitpunkt des letzten Logins) sowie die von Ihnen abgegebenen Bestätigungen und Erklärungen einschließlich Zeitstempel und Vertragsversion.

Die Plattform bietet vier Anmeldewege: E-Mail-Adresse und Passwort, einmaliger Anmeldelink per E-Mail (Magic-Link), Anmeldung mit einem Google-Konto sowie Einmalanmeldung aus der ZWW-App über ein signiertes, 60 Sekunden gültiges Einmal-Token. Bei der Anmeldung mit Google übermittelt uns Google Ihre E-Mail-Adresse, Ihren Namen und Ihre Konto-ID; die Nutzung dieses Anmeldewegs ist freiwillig, die übrigen Wege stehen stets zur Verfügung.

Meldet sich eine Person mit einem Google-Konto an, das der Plattform nicht bekannt ist, wird kein Zugang gewährt. Wir speichern die von Google übermittelte E-Mail-Adresse und den Namen sowie die auf der Warteseite abgefragten Angaben (Vorname, Nachname, Telefon, Nutzungsabsicht) bis zur Entscheidung über die Freischaltung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Maßnahme vor Vertragsschluss auf Anfrage der Person). Nicht freigeschaltete Konten löschen wir nach 90 Tagen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsverhältnisses). Die Protokollierung Ihrer Bestätigungen beruht daneben auf Art. 6 Abs. 1 lit. c und f DSGVO (Nachweis- und Rechenschaftspflichten, Nachweisbarkeit abgegebener Erklärungen).

Lead-, Kunden- und Teilnehmerdaten

Partner können über die Plattform Unternehmens- und Kontaktdaten potenzieller Kunden übermitteln. Wir verarbeiten diese Daten zur Vertragsanbahnung, Dublettenprüfung und Abrechnung der Partnervergütung. Für Endkunden verarbeiten wir die zur Durchführung und Dokumentation des jeweiligen Förderprojekts erforderlichen Unternehmens-, Vertrags-, Projekt- und Abrechnungsdaten. Soweit für Förderverfahren Angaben zu Beschäftigten erforderlich sind, verarbeiten wir die hierfür notwendigen Teilnehmer- und Beschäftigungsdaten im Auftrag des jeweiligen Endkunden. Der Zugriff auf diese Daten ist rollenbasiert beschränkt. Geburtsdatum, Sozialversicherungsnummer und Bruttoentgelt speichern wir ausschließlich verschlüsselt (AES-256-GCM); sie erscheinen nicht in Rechnungspositionen, sind für Partner nicht sichtbar und werden an keinen KI-Dienst übermittelt. Soweit für das Förderverfahren erforderlich, können Daten an beteiligte Bildungsträger, die Bundesagentur für Arbeit oder sonstige zuständige Stellen übermittelt werden.

Internes Audit-Log

Jede Änderung an Daten in der Plattform protokollieren wir in einem internen Audit-Log. Dieses dokumentiert das handelnde Konto, die Aktion, den betroffenen Datensatz, den Zustand vor und nach der Änderung, Zeitpunkt, IP-Adresse und Browserkennung; ebenso erfasst es erfolgreiche und fehlgeschlagene Anmeldungen. Das Audit-Log dient der Nachvollziehbarkeit von Provisions- und Rechnungsentscheidungen, dem Nachweis gegenüber Partnern und Endkunden, der Qualitätssicherung, der Missbrauchsprävention sowie der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Diese Verarbeitung nehmen wir in eigener Verantwortlichkeit vor. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, für steuer- und handelsrechtlich relevante Vorgänge Art. 6 Abs. 1 lit. c DSGVO; unser berechtigtes Interesse liegt in der Nachweisbarkeit ordnungsgemäßer Leistungserbringung, dem Schutz vor missbräuchlicher Nutzung und der Rechtsverteidigung. Das Audit-Log ist zugriffsbeschränkt (nur Administratoren) und auf das erforderliche Minimum begrenzt; verschlüsselte Felder (Ziffer 4) werden nur als geändert vermerkt und nicht im Klartext gespeichert.

Wird ein Nutzerkonto gelöscht, anonymisieren wir die Zuordnung der Einträge zur Person; die Einträge selbst bleiben zum Nachweis erhalten. Das Audit-Log bewahren wir grundsätzlich 10 Jahre ab dem jeweiligen Eintrag auf. Eine längere, weiterhin zugriffsbeschränkte Aufbewahrung erfolgt nur, soweit gesetzliche Aufbewahrungspflichten bestehen oder die Daten zur Geltendmachung, Ausübung oder Verteidigung konkreter Rechtsansprüche erforderlich sind.

Vertrags- und Abrechnungsdaten

Zur Abwicklung des Vertragsverhältnisses mit Partnern und Endkunden verarbeiten wir Vertrags-, Rechnungs- und Zahlungsdaten (Partnerprovisionen, Rechnungen an Endkunden und Bildungsträger, Zahlungseingänge, Auszahlungen; IBAN speichern wir verschlüsselt). Rechnungspositionen enthalten je Teilnehmendem nur Anrede, Nachname, Bescheiddatum und Förderbetrag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den handels- und steuerrechtlichen Aufbewahrungspflichten (§ 257 HGB, § 147 AO).

Technische Nutzungs- und Protokolldaten

Beim Zugriff auf die Plattform verarbeiten wir technische Daten wie IP-Adresse, Zeitpunkt des Zugriffs, Browser- und Geräteinformationen sowie sicherheitsrelevante Ereignisse (z. B. fehlgeschlagene Anmeldeversuche). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Bereitstellung, Stabilität und Sicherheit der Plattform. Server-Protokolldaten löschen wir spätestens nach 90 Tagen, soweit sie nicht zur Aufklärung eines konkreten Sicherheitsvorfalls länger erforderlich sind.

Zum Schutz vor Missbrauch begrenzen wir Anmeldeversuche, Feedback-Meldungen und Schnittstellenaufrufe je IP-Adresse und Konto; die Zähler werden nur im Arbeitsspeicher des Servers gehalten und verfallen mit dem Zeitfenster. Datensicherungen von Datenbank und Dateien erstellen wir täglich und bewahren sie 14 Tage auf.

Cookies und Sitzung

Die Plattform setzt ausschließlich technisch notwendige Cookies, für die keine Einwilligung erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG): ein signiertes Sitzungs-Cookie (Geltungsdauer 30 Tage), Cookies zum Schutz des Anmeldevorgangs, ein Cookie für die Rollenansicht von Administratoren (8 Stunden) sowie ein Cookie für den Zustand der Seitenleiste (ein Jahr). Im lokalen Speicher Ihres Browsers legen wir ohne Personenbezug den Stand der Einführungstour, gesehene Hinweise und die Abschaltung der automatischen Fehlerberichte (Ziffer 9) ab; diese Werte verlassen Ihren Browser nicht.

Analyse- oder Marketing-Werkzeuge, Tracking-Pixel und Einbindungen sozialer Netzwerke setzen wir nicht ein; ein Cookie-Banner ist daher nicht erforderlich. Schriftarten liefern wir vom eigenen Server aus.

Feedback und automatische Fehlerberichte

Über die Funktion „Feedback geben" können Sie uns Rückmeldungen senden. Wir verarbeiten Kategorie, Titel, Beschreibung, die aufgerufene Seite, Ihre Rolle und Konto-ID sowie einen Screenshot des sichtbaren Bildschirmbereichs, den Sie vor dem Absenden prüfen und entfernen können. Tritt in Ihrem Browser ein technischer Fehler auf, meldet die Plattform Fehlermeldung, technische Herkunft im Code, betroffene Seite, Browserkennung und Zeitpunkt automatisch, ohne Screenshot; Sie können diese Meldung in Ihrem Browser abschalten.

Beide Meldungsarten werden von unserem Betriebsdienstleister (Ziffer 10) über das Werkzeug InfiniLoop abgeholt und im internen Slack-Kanal des Entwicklungsteams angezeigt, einschließlich Name und E-Mail-Adresse des Melders für Rückfragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO (Bearbeitung Ihrer Meldung, Verbesserung der Plattform), für automatische Fehlerberichte Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen und sicheren Betrieb). Meldungen und Screenshots löschen wir bis zu 90 Tage nach abschließender Bearbeitung.

Empfänger und Unterauftragnehmer

Zur Bereitstellung der Plattform setzen wir technische Dienstleister ein, die personenbezogene Daten in unserem Auftrag verarbeiten und mit denen jeweils Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen sind:

• Hetzner Online GmbH, Gunzenhausen, Deutschland – Hosting, Speicherung und Datensicherung in Rechenzentren in Deutschland;
• Resend (Plus Five Five, Inc.), San Francisco, USA – Versand von Anmeldelinks, Einladungen und Benachrichtigungs-E-Mails;
• Slack Technologies Ltd., Dublin, Irland – interner Benachrichtigungskanal des Entwicklungsteams für Feedback-Meldungen und Fehlerberichte (Ziffer 9);
• InfinitySpace42 (Inhaber Moritz Voigt), Deutschland – Entwicklung und technischer Betrieb der Plattform, Bearbeitung von Feedback-Meldungen über das Werkzeug InfiniLoop;
• Close (Close.com, Elastic Inc.), USA – Vertriebs-CRM für bestätigte Leads (Firma, Ansprechpartner, vermittelnder Partner, Vertriebsstatus); geplant, wird erst mit der Anbindung eingesetzt.

Bei der Anmeldung mit einem Google-Konto ist die Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland, für die Verarbeitung im Rahmen Ihres Google-Kontos eigener Verantwortlicher; es gelten deren Datenschutzhinweise (https://policies.google.com/privacy). Wir erhalten von Google nur E-Mail-Adresse, Name und Konto-ID.

Weitere Empfänger können insbesondere die Agentur für Arbeit, beteiligte Bildungsträger sowie unsere Steuerberatung und Wirtschaftsprüfung sein, soweit dies für das Förderverfahren, die Abrechnung oder gesetzliche Pflichten erforderlich ist. Eine Weitergabe an sonstige Dritte erfolgt nur auf gesetzlicher Grundlage oder mit Ihrer Einwilligung. Die aktuelle Liste eingesetzter Unterauftragnehmer ist innerhalb der Plattform einsehbar.

Übermittlung in Drittländer

Soweit Dienstleister außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums eingesetzt werden, erfolgt die Übermittlung auf Grundlage geeigneter Garantien nach Art. 46 DSGVO oder eines Angemessenheitsbeschlusses der Europäischen Kommission. Resend, Google, Slack und künftig Close verarbeiten Daten auch in den USA. Grundlage ist der Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit der jeweilige Anbieter zertifiziert ist, im Übrigen die von der Europäischen Kommission erlassenen Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) in den jeweiligen Verträgen zur Auftragsverarbeitung. Eine Kopie der maßgeblichen Garantien können Sie über die in Ziffer 1 genannten Kontaktdaten anfordern.

Speicherdauer im Überblick

Ihre Rechte

Ihnen stehen gegenüber dem jeweils Verantwortlichen (Ziffer 2) die folgenden Rechte zu: das Recht auf Auskunft (Art. 15 DSGVO), auf Berichtigung (Art. 16 DSGVO), auf Löschung (Art. 17 DSGVO), auf Einschränkung der Verarbeitung (Art. 18 DSGVO) und auf Datenübertragbarkeit (Art. 20 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht: Soweit wir Ihre Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten (insbesondere Ziffern 4, 5, 7 und 9), haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Widerspruch einzulegen (Art. 21 Abs. 1 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Betrifft Ihr Anliegen Daten von Teilnehmenden, die wir im Auftrag eines Endkunden verarbeiten, leiten wir Ihre Anfrage an den jeweils verantwortlichen Endkunden weiter und unterstützen diesen bei der Bearbeitung Ihrer Anfrage.

Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Die für uns zuständige Aufsichtsbehörde ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.

Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung im Einzelfall einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt. Die Plattform berechnet Fristen, Provisionen und Hinweise zur Förderfähigkeit nach festen Regeln; jede Entscheidung über Lead-Bestätigung, Förderfähigkeit, Rechnung und Auszahlung trifft eine Person aus dem internen Team. Dienste künstlicher Intelligenz setzt die Plattform derzeit nicht ein. Geburtsdatum, Sozialversicherungsnummer, Entgelt und IBAN werden auch künftig an keinen solchen Dienst übermittelt.

Bereitstellungspflicht und Änderungen dieser Hinweise

Die Bereitstellung der Stammdaten des Nutzerkontos ist für die Nutzung der Plattform erforderlich; ohne diese Angaben kann das Nutzungsverhältnis nicht durchgeführt werden. Im Übrigen besteht keine gesetzliche oder vertragliche Pflicht zur Bereitstellung personenbezogener Daten.

Wir passen diese Datenschutzhinweise an, wenn sich die Verarbeitung, die eingesetzten Dienstleister oder die Rechtslage ändern. Es gilt die jeweils in der Plattform veröffentlichte Fassung.