Datenschutzerklärung

Verantwortlich im Sinne der DSGVO ist die im Impressum genannte Gesellschaft. Fragen zum Datenschutz beantworten wir unter der dort genannten E-Mail-Adresse und Telefonnummer. Eine Datenschutzbeauftragte ist derzeit nicht bestellt, weil die gesetzlichen Schwellen nach § 38 BDSG nicht erreicht sind; wir prüfen das laufend.

Konto und Vermittlungsvertrag: Wir verarbeiten Anmeldedaten, Profilangaben, Nachrichten und Termine, um Ihr Konto zu führen und die Vermittlung durchzuführen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag und vorvertragliche Maßnahmen).

Zahlungsabwicklung für Gastfamilien: Rechnungs- und Zahlungsdaten verarbeiten wir zur Erfüllung des entgeltlichen Vertrags, Art. 6 Abs. 1 lit. b DSGVO, sowie zur Erfüllung steuerlicher Aufbewahrungspflichten, Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO und § 257 HGB.

Sicherheit und Missbrauchsabwehr: Zugriffsprotokolle, Prüfprotokoll im Verwaltungsbereich, Erkennung von Kontaktdaten in Nachrichten und Meldungen zu Verdachtsfällen verarbeiten wir auf Grundlage unseres berechtigten Interesses am sicheren Betrieb und am Schutz von Kindern und Au-pairs, Art. 6 Abs. 1 lit. f DSGVO.

Reichweitenmessung: Nur mit Ihrer Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Ohne Einwilligung findet keine Messung statt.

Einen Newsletter versenden wir derzeit nicht. Wir verschicken ausschließlich Nachrichten, die zu Ihrem Konto oder Ihrem Vorgang gehören.

Für die Sicherheit der Kinder verlangen wir von Au-pairs ein polizeiliches Führungszeugnis oder das im Herkunftsland übliche Gegenstück sowie eine ärztliche Bescheinigung über die Reise- und Betreuungsfähigkeit.

Ein Führungszeugnis enthält Daten über strafrechtliche Verurteilungen im Sinne des Art. 10 DSGVO. Eine ärztliche Bescheinigung enthält Gesundheitsdaten im Sinne des Art. 9 Abs. 1 DSGVO. Beides verarbeiten wir ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO beziehungsweise Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung ist freiwillig und jederzeit für die Zukunft widerrufbar; ohne sie ist eine Vermittlung allerdings nicht möglich, weil wir die Sicherheit der Kinder sonst nicht beurteilen können.

Wer sieht die Dokumente: ausschließlich die Betreiberin und, soweit zwingend nötig, die von ihr benannte Vertretung. Gastfamilien sehen niemals den Inhalt, sondern nur den Status „liegt vor“, „in Prüfung“ oder „fehlt“. Ausgenommen sind das Motivationsschreiben und freiwillige Zertifikate, die das Au-pair selbst freigibt.

Speicherung: in einem getrennten, nicht öffentlichen Speicherbereich mit strengeren Zugriffsregeln. Löschung sechs Monate nach Programmende, bei einer Absage drei Monate nach der Entscheidung. Passkopien löschen wir unmittelbar nach Erteilung des Aufenthaltstitels.

Wir erheben über Kinder nur, was für die Vermittlung wirklich nötig ist: Anzahl, Alter in Jahren, Betreuungszeiten und besondere Bedarfe, soweit die Familie sie mitteilen möchte. Namen, Schulen, Adressen oder Gesundheitsdaten der Kinder verlangen wir nicht.

Fotos, auf denen Kinder erkennbar sind, werden nur nach ausdrücklicher Einwilligung der Sorgeberechtigten hochgeladen und angezeigt. Die Familie kann die Gesichter unkenntlich machen lassen. Wird das Profil gelöscht, löschen wir solche Fotos sofort mit.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die reinen Betreuungsangaben und Art. 6 Abs. 1 lit. a DSGVO für Fotos.

Au-pairs, die sich bei uns bewerben, halten sich in afrikanischen Ländern auf, für die keine Angemessenheitsbeschlüsse der Europäischen Kommission vorliegen. Damit findet eine Übermittlung personenbezogener Daten in Drittländer nach Art. 44 ff. DSGVO statt.

Übermittelt werden die Daten, die die Beteiligten selbst füreinander freigeben: Profilangaben, Nachrichten, Termine und der Status von Dokumenten. Inhalte sensibler Dokumente werden nicht in Drittländer übermittelt.

Als Garantie schließen wir mit Partnerstellen vor Ort die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO und prüfen im Einzelfall, ob zusätzliche Maßnahmen nötig sind. Zusätzlich stützen wir die Übermittlung an das jeweilige Au-pair und die jeweilige Familie auf Art. 49 Abs. 1 lit. b DSGVO, weil sie zur Erfüllung des Vermittlungsvertrags erforderlich ist. Ein absolutes Schutzniveau wie in der EU können wir für Drittländer nicht zusichern.

Wir setzen nur die folgenden Dienste ein. Mit allen bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

Hosting, Datenbank, Dateispeicher und Anmeldedienst: Supabase (Supabase Inc., USA) mit Rechenzentrum in der Europäischen Union, betrieben über die Plattform Lovable (Lovable Labs Incorporated). Zweck: Betrieb der Website, Speicherung der Konten, Profile und Dokumente.

Zahlungsabwicklung: Stripe Payments Europe, Ltd., Irland, mit Stripe, Inc., USA. Zweck: Kartenzahlung, Rechnungen und Erstattungen für Gastfamilien. An Stripe gehen Name, E-Mail-Adresse, Rechnungsbetrag und Zahlungsdaten; die Kartendaten selbst erhalten wir nicht. Au-pairs zahlen nichts, deshalb werden ihre Daten nicht an Stripe übermittelt.

E-Mail-Versand: 1&1 IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland, mit Servern in Deutschland. Dort liegt auch unser Postfach; der Versand läuft über denselben Anbieter, ein zusätzlicher Empfänger entsteht dadurch nicht. Übermittelt werden E-Mail-Adresse, Anrede und Inhalt der jeweiligen Nachricht.

Anmeldung mit Google: Google Ireland Limited, Irland. Nur wenn Sie diesen Weg wählen. Google erhält dabei die Information, dass eine Anmeldung bei aupairo erfolgt; wir erhalten Ihre E-Mail-Adresse, Ihren Namen und eine Konto-Kennung. Die Anmeldung mit E-Mail und Passwort ist gleichwertig möglich.

Steuerberatung und Buchhaltung erhalten Rechnungsdaten, soweit gesetzlich geboten. Weitere Empfänger gibt es nicht; insbesondere setzen wir keine Werbenetzwerke, keine Social-Media-Plugins und keine externen Schriftarten oder Kartendienste ein.

Kontodaten und Profil: bis zur Löschung des Kontos, danach längstens 3 Monate in einer Sicherung.

Nachrichten und Vorgangsdaten einer Vermittlung: 24 Monate nach Ende des Programms, damit wir Nachfragen und Beschwerden beantworten können.

Führungszeugnisse und ärztliche Bescheinigungen: 6 Monate nach Programmende, bei einer Absage 3 Monate nach der Entscheidung.

Passkopien: Löschung unmittelbar nach Erteilung des Aufenthaltstitels, spätestens nach 3 Monaten.

Bewerbungen ohne Zustandekommen einer Vermittlung: 12 Monate, danach Löschung.

Rechnungen und Buchungsbelege: 10 Jahre nach § 147 AO und § 257 HGB.

Protokolle über Zugriffe und Verwaltungsvorgänge: 12 Monate.

Reichweitenmessung: 14 Monate, danach Löschung der Einzelaufrufe.

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO).

Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Auskunft und Löschung können Sie direkt in Ihrem Konto unter „Meine Daten“ auslösen. Der Antrag landet mit Frist bei der Betreiberin; wir antworten innerhalb eines Monats.

Sie können sich jederzeit bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen Kavalleriestraße 2–4 40213 Düsseldorf Telefon +49 211 38424-0 poststelle@ldi.nrw.de

Technisch notwendig sind: die Speicherung Ihrer Anmeldung, Ihrer Sprachwahl und Ihrer Entscheidung zur Reichweitenmessung. Diese Speicherung erfolgt im Browser und ist nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei.

Während der Anmeldung mit Google kann Google eigene Cookies setzen; das geschieht nur, wenn Sie diesen Anmeldeweg aktiv wählen.

Wir messen, welche Seiten aufgerufen werden, damit wir unser Angebot betreiben und verbessern können. Die Messung läuft auf unserem eigenen Server. Es wird kein Dienst eines Dritten eingebunden und kein Skript in Ihrem Browser ausgeführt.

Erhoben werden: Zeitpunkt, aufgerufene Seite, Sprache der Seite, Land, Region und Stadt, der Hostname der verweisenden Seite (nie die vollständige Adresse), Kampagnenparameter, sowie grob Gerätetyp, Betriebssystem und Browserfamilie.

Ihre IP-Adresse wird ausschließlich im selben Verarbeitungsschritt in eine Ortsangabe übersetzt und danach verworfen. Sie wird nicht gespeichert — weder in einer Tabelle noch in einem Protokoll oder einer Fehlermeldung. Nachgeschlagen wird in einer lokalen Kopie einer freien IP-Ortsdatenbank auf unserem Server.

Besuche fassen wir über einen Streuwert aus IP-Adresse, Browserkennung und einem Zufallswert zusammen, der jede Nacht wechselt und nirgends gespeichert wird. Eine Wiedererkennung über Tage hinweg oder eine Rückrechnung ist damit ausgeschlossen. Es wird kein Cookie gesetzt und keine dauerhafte Kennung vergeben.

Städte und Regionen erscheinen in unserer Auswertung erst ab fünf Aufrufen im jeweiligen Zeitraum; darunter werden sie zusammengefasst. Ortsangaben aus der Messung werden niemals mit einem Konto oder einer Person verknüpft.

Rechtsgrundlage ist unser berechtigtes Interesse an einem wirtschaftlichen Betrieb und an der bedarfsgerechten Weiterentwicklung des Angebots, Art. 6 Abs. 1 lit. f DSGVO. Einzelne Zeilen löschen wir nach 90 Tagen; dauerhaft bleiben nur Tagessummen ohne Personenbezug.

Sie können der Messung jederzeit widersprechen. Nutzen Sie dafür den Schalter unten oder den Link „Auswertung deaktivieren“ im Fußbereich. Zugriffe mit gesetztem Sec-GPC-Signal werden ohnehin nicht gezählt.

Wir passen diese Erklärung an, wenn sich unsere Verarbeitung oder die Rechtslage ändert. Maßgeblich ist die jeweils hier veröffentlichte Fassung.