Sicherheit & Vertrauen

• Eure Daten liegen bei Microsoft Azure in Westeuropa (Niederlande). Die Text-KI rechnet über Google Cloud Vertex AI in der EU.
• Wir trainieren keine KI mit Euren Daten, und für die Text-KI schließt Google das vertraglich aus. DeepL und fal.ai bekommen nur Kursinhalte, keine Daten Eurer Lernenden.
• Die Auswertung einer Gesprächsübung sieht nur die Person, die geübt hat. Im Team-Radar erscheinen Werte erst ab fünf Personen.
• Die Datenbank wird fortlaufend gesichert und lässt sich auf jeden Zeitpunkt der letzten 7 Tage zurücksetzen.
• Wie lange Lernstände und die Konten Ehemaliger bleiben, legt Ihr selbst fest. Standard: Lernstände 24 Monate ohne Zugriff, Anonymisierung 12 Monate nach der Deaktivierung.
• Nach Vertragsende habt Ihr 30 Tage Zugang für den Export, dann löschen wir Eure Daten; die Sicherungen laufen binnen 7 Tagen aus.

Bevor Ihr ein KI-Werkzeug einführt, stellen Datenschutz, Betriebsrat und IT fast immer dieselben fünf Fragen. Hier sind unsere Antworten, jeweils mit dem Beleg.

1. 1. Wo rechnet die KI, und welche Dienstleister sind beteiligt?

   Eure Daten liegen bei Microsoft Azure in Westeuropa. Die Text-KI rechnet über Google Cloud Vertex AI in der EU. Außerhalb der EU verarbeiten zwei Dienstleister Kursinhalte, beide mit Standardvertragsklauseln und ohne Daten Eurer Lernenden: DeepL übersetzt Kurstexte weltweit (EU, USA, Japan), fal.ai erzeugt in den USA Bilder und Avatar-Videos für das Learning Studio. Die Zahlung wickelt Stripe als eigenständig Verantwortlicher ab.

   Dienstleister-Liste mit Ort und Vertragsgrundlage

2. 2. Lernt die KI mit unseren Daten?

   Nein. Wir trainieren keine KI mit Euren Daten, und für die Text-KI (Google Cloud Vertex AI) schließt Google das vertraglich aus. Den Zwischenspeicher bei Google haben wir am 1. November 2026 abgeschaltet. Zur Abwehr von Missbrauch kann Google von seinen Filtern markierte Anfragen bis zu 90 Tage aufbewahren und von befugten Mitarbeitenden prüfen lassen. fal.ai, das im Learning Studio Bilder und Avatar-Videos erzeugt, speichert die Aufträge nicht; die erzeugten Dateien verfallen dort nach einer Stunde.

   AVV Ziffer 1 und Anlage 2

3. 3. Gibt es einen Vertrag zur Auftragsverarbeitung (AVV)?

   Ja. Der AVV gilt automatisch mit Vertragsschluss, ohne Unterschrift. Ihr könnt ihn als PDF herunterladen, eine von uns unterschriebene Fassung schicken wir auf Anfrage. Er regelt auch die Meldung einer Datenpanne (unverzüglich, möglichst binnen 24 Stunden), die Ankündigung neuer Dienstleister 30 Tage vorher und wie lange Daten aufbewahrt werden.

   AVV lesen oder herunterladen

4. 4. Was sieht der Arbeitgeber von den Ergebnissen der Mitarbeitenden?

   Das hängt von der Funktion ab:

   • Gesprächsübungen im Coach: Verlauf und Auswertung sieht nur die Person, die geübt hat, ebenso ihren persönlichen Kompetenz-Radar. Admins sehen daraus nur Team-Durchschnitte ab fünf Personen, ohne Ranglisten.
   • Kurse: Für die Nachweise sehen Admins und die Verantwortlichen des Kurses je Person den Stand, Start und Abschluss, die Lernzeit, das Zertifikat und nach dem Abschluss das Ergebnis in Prozent. Einen nicht bestandenen Versuch sehen sie wie einen begonnenen Kurs, ohne Ergebnis. Einzelne Antworten, Vorsätze und Transfer-Aufgaben sieht nur die lernende Person.
   • Führungskräfte, die Ihr im Hub eintragt, sehen die Pflichtschulungen ihres Teams nur, wenn Ihr das einschaltet (Standard: aus). Dann sehen sie im Hub und in einer wöchentlichen Mail Namen, Kurs, Stand und Fälligkeit, aber keine Ergebnisse und keine Lernzeit.
   • Wissensinterviews in Jobmap sind zum Weitergeben von Wissen da: Die Wissenskarten sehen alle Beteiligten des Projekts, das ganze Gespräch die Auftraggebenden und die Admins Eures Unternehmens. Bei Projekten mit der Einstellung „Streng vertraulich“ sehen Admins nur, wozu sie eingeladen sind.
   • Lernwünsche sowie Kommentare und Rückmeldungen zu Kursen sehen Admins und Kursverantwortliche mit Namen.
   AVV Ziffer 1: Daten je Funktion

5. 5. Können wir einzelne KI-Funktionen abschalten?

   Ja. Unter „Einstellungen › KI-Funktionen“ kann ein Admin für Euer Unternehmen alle KI-Funktionen mit einem Schalter ausschalten oder nur einzelne: den KI-Entwurf von Kursen und die Übersetzung im Studio, Rollenspiele und Gesprächsanalyse im Coach, Wissensinterviews in Jobmap und den Assistenten. Das wirkt in allen Werkzeugen nach spätestens zwei Minuten, auch in einem laufenden Coach-Gespräch. Jede Änderung wird protokolliert. Vor der ersten Nutzung, vor KI-Funktionen, vor dem ersten Sprechen im Coach und vor einem Wissensinterview zeigt die Plattform kurze Hinweise. Sprechen im Coach ist freiwillig, tippen geht immer. Ob vor einem Wissensinterview zusätzlich eine Einwilligung nötig ist, legt Ihr unter „Einstellungen › Hinweise und Einwilligungen“ fest.

Ihr könnt schon testen, während Eure Freigabe läuft. Testet zuerst mit erfundenen Namen. Echte Daten Eurer Mitarbeitenden braucht Ihr erst nach Eurer Freigabe. Kostenlos testen: 3 Gratis-Credits, ohne Kreditkarte

• Alle Verbindungen sind verschlüsselt (TLS 1.2 oder höher, ältere Verfahren werden abgelehnt). Browser werden ein Jahr lang auf verschlüsselte Verbindungen festgelegt (HSTS).
• Gespeicherte Daten sind verschlüsselt (Standard bei Azure Cosmos DB und Azure Storage).
• Anmeldung über Microsoft Entra ID (Single Sign-on Eures Unternehmens) oder mit E-Mail und Passwort. Passwörter speichern wir nie, nur einen gesalzenen Hash (scrypt).
• Lernende brauchen weder Konto noch Passwort: Sie bekommen persönliche, signierte Kurslinks, die befristet sind und jederzeit widerrufen werden können.
• Zugangsschlüssel liegen in Azure Key Vault oder in geschützten Einstellungen, nie im Programmcode. Wo möglich, melden sich unsere Dienste über verwaltete Identitäten an, ganz ohne Schlüssel.
• Sicherheitskopfzeilen schützen gegen das Einbetten in fremde Seiten und gegen falsch erkannte Dateitypen.

• Alle Daten sind nach einer festen Firmenkennung getrennt. Vor jeder Auslieferung prüft eine automatische Regel, dass jede Datenabfrage an diese Kennung gebunden ist.
• Rechte folgen Rollen: Admins, Mitglieder und Lernende sehen nur, was ihre Rolle erlaubt. Wer deaktiviert wird, verliert den Zugang.

• Lernende brauchen kein Konto.
• Im Team-Radar erscheinen Werte erst ab fünf Personen und ohne Ranglisten; „nicht bestanden“ steht in keiner Admin-Liste.
• Technische Protokolle enthalten keine Ergebnisse und keine Bewertungen.
• An KI-Dienste geht nur, was die jeweilige Funktion braucht.

• Die Verfügbarkeit prüfen wir laufend: Gesundheitsprüfung jeder Anwendung und automatische Tests von drei Standorten. Den aktuellen Zustand zeigt unsere öffentliche Statusseite.
• Vor jeder Auslieferung laufen automatische Prüfungen, allein im Learning Studio über 130 Prüfskripte. Neue Funktionen haben einen Schalter, mit dem wir sie bei Problemen sofort zurücknehmen können.
• Beschäftigte von PulseNorth greifen auf Kundendaten nur zu, um Störungen zu beheben, oder auf Eure Weisung. Jeder solche Zugriff wird protokolliert, mit Zeitpunkt, Person, Unternehmen und Aktion, in einem Protokoll, das sich nur ergänzen, aber nicht ändern oder löschen lässt.

• PulseNorth hat noch keine eigene Zertifizierung. Unsere Rechenzentrums-Partner sind zertifiziert: Microsoft Azure und Google Cloud nach ISO 27001, geprüft nach SOC 2.
• Sicherheitsfragebögen Eures Unternehmens beantworten wir gern, schriftlich und kurzfristig. Eine Prüfung vor Ort ist nach Ankündigung möglich (AVV Ziffer 8).
• Eine Muster-Datenschutz-Folgenabschätzung für Eure Prüfung schicken wir auf Anfrage an datenschutz@pulsenorth.ai.

Ansprechpartner für Datenschutz ist Jürgen Thiemann. Fragen von Datenschutz, Betriebsrat oder IT beantworten wir kurzfristig: