Rechtliches

Datenschutz-Folgenabschätzung Schwarmwissen

betterFLOW bildet aus den Daten vieler Kunden anonymisierte, aggregierte Erfahrungswerte („Schwarmwissen“). Diese Folgenabschätzung nach Art. 35 DSGVO beschreibt die Verarbeitung, bewertet die Risiken und legt die Maßnahmen fest, unter denen der Schwarmdienst betrieben wird.

Stand: 27. Oktober 2026bettERProjects GmbHArt. 35 DSGVOGeltung: Schwarmdienst betterFLOW
Worum es geht

Teilnehmende Kunden tragen zum Schwarmwissen ausschließlich Muster-Extrakte bei: Kategorien, Zählungen, Verhältnisse und Verteilungskennzahlen, ohne Namen, Einzelbelege oder Beträge. Rohdaten verlassen den Mandanten nie. Diese Seite ist die vollständige Folgenabschätzung, auf die der Auftragsverarbeitungsvertrag und die Zusatzvereinbarung Schwarmwissen verweisen. Die Teilnahme ist freiwillig und jederzeit kündbar.

01Anlass und Pflicht

Der Schwarmdienst führt Daten aus vielen Mandanten zusammen und nutzt sie für automatisierte Vorschläge. Auch wenn die Muster-Extrakte nach ihrer Konstruktion keine personenbezogenen Daten enthalten sollen, erfüllt die Verarbeitung zwei Kriterien der Art.-29-Gruppe (WP 248) für ein voraussichtlich hohes Risiko: Zusammenführung von Datensätzen aus verschiedenen Quellen und innovative Nutzung technologischer Lösungen. Zudem stammen die Quelldaten aus Buchhaltung, Vertrieb und Service, also aus Bereichen mit personenbezogenen Daten von Geschäftspartnern und Mitarbeitern der Kunden.

Der Anbieter führt die Folgenabschätzung daher vorsorglich durch, bevor der Schwarmdienst in Betrieb geht. Sie dient zugleich dem Nachweis gegenüber Kunden und als Grundlage für die Einschätzung, dass Extrakte nicht personenbezogen sind.

  • Verantwortlicher bettERProjects GmbH für den Schwarmdienst; die Kunden für die Erzeugung der Extrakte in ihren Mandanten (Auftragsverarbeitung nach AVV)
  • Geltungsbereich Extrakt-Erzeugung, Übermittlung, Aggregation, Rauschverfahren, Bereitstellung als Startwissen und Benchmark
  • Nicht Gegenstand KI-Funktionen je Mandant ohne Schwarmbezug

02Beschreibung der Verarbeitung

Zweck

Bildung anonymisierter, aggregierter Erfahrungswerte (Kontierungsmuster, Zahlungsverhalten je Branche, Lieferzeiten, Wartungsintervalle, Servicefälle, Kalkulationsrichtwerte, Abwertungssätze, Einstellungsmuster, Klausel- und Formulierungsmuster) als Startwissen und Vergleichswert für teilnehmende Kunden.

Ablauf in fünf Schritten

Schritt Ort Was passiert Daten
1 Extrakt Mandant des Kunden Monatlicher Lauf bildet je Wissensart Kategorien, Zählungen, Verhältnisse, Mediane, Quartile Rohdaten werden gelesen, nur Kennzahlen geschrieben
2 Prüfung Mandant des Kunden Automatische Prüfung: keine Namen, Kennungen, Freitexte, absoluten Beträge; Mindestfallzahl je Kennzahl (mindestens 5) Extrakt
3 Übermittlung Mandant → Schwarmdienst Verschlüsselte Übertragung; Mandanten-ID wird durch ein rotierendes Pseudonym ersetzt, das nur die Zuordnung zu Branche und Größenklasse erlaubt Extrakt, Pseudonym, Branche, Größenklasse
4 Aggregation Schwarmdienst Zusammenführung je Wissensart; Freigabe nur ab Mindestgruppe (10 bis 30 Kunden je Wissensart) und Beitragsgrenze 20 %; Rauschverfahren (Differential Privacy) Aggregate
5 Bereitstellung Schwarmdienst → Mandanten Aggregate als Startwissen (gekennzeichnet, nachrangig zu eigenem Wissen) und als Benchmark in betterREPORT Aggregate

Datenkategorien

In den Rohdaten (Schritt 1, Lesen): Buchungsdaten, Belege, Geschäftspartner (Firmen und Ansprechpartner), Projekte, Anlagen, Servicevorgänge, Zeitbuchungen von Mitarbeitern, Konfigurationsdaten. Darunter personenbezogene Daten von Ansprechpartnern bei Geschäftspartnern und von Mitarbeitern des Kunden.

Im Extrakt (Schritt 2, Schreiben): ausschließlich Kategorien, Zählungen, Verhältnisse und Verteilungskennzahlen. Keine Identifikatoren, keine Einzelfälle, keine Freitexte, keine absoluten Beträge. Mitarbeiterbezogene Kennzahlen werden nur über alle Mitarbeiter des Mandanten aggregiert, nie je Person.

Betroffene, Empfänger, Dauer, Technik

  • Betroffene Ansprechpartner bei Geschäftspartnern der Kunden; Mitarbeiter der Kunden; mittelbar die Kunden selbst (Geschäftsgeheimnisse)
  • Empfänger Schwarmdienst (Anbieter); Microsoft Azure, Region Germany West Central, als Unterauftragsverarbeiter nach AVV; kein Drittlandtransfer
  • Speicherdauer Extrakte bis Beendigung der Teilnahme plus 30 Tage; Aggregate werden mindestens monatlich ersetzt; Aggregate unter Mindestgruppe werden gelöscht
  • Technik Extrakt-Erzeugung in der betterFLOW-Plattform; Schwarmdienst als getrennter Dienst mit eigener Datenbank und eigenen Zugangsdaten; kein Netzwerkpfad zu Mandantendatenbanken

03Notwendigkeit und Verhältnismäßigkeit

  1. Rechtsgrundlage. Die Extrakt-Erzeugung im Mandanten erfolgt im Auftrag des Kunden (Art. 28 DSGVO, AVV). Soweit die Extrakte als anonym gelten, unterliegt die weitere Verarbeitung nicht der DSGVO. Hilfsweise stützt sich der Kunde auf Art. 6 Abs. 1 lit. f DSGVO: Verbesserung betriebswirtschaftlicher Entscheidungen durch Erfahrungswerte; die Interessen der Betroffenen wiegen gering, weil keine Einzelperson in einem Extrakt erkennbar ist und keine Entscheidung über eine Person getroffen wird.
  2. Datenminimierung. Der Zweck erfordert keine Einzeldaten. Das Design (Kennzahlen statt Datensätze, lokale Vorverarbeitung, Mindestfallzahl im Extrakt) schließt Einzeldaten konstruktiv aus. Ein milderes Mittel mit gleichem Nutzen ist nicht ersichtlich: Ohne Zusammenführung kein Schwarmwissen; ohne Aggregation keine Anonymität.
  3. Zweckbindung. Vertraglich und technisch auf Startwissen und Benchmarks beschränkt. Kein Training von Sprachmodellen, keine Weitergabe an Dritte.
  4. Transparenz. Kunden sehen jeden Extrakt vor und nach Übermittlung, können Wissensarten einzeln ausschließen und erhalten jährlich Bericht und Prüfergebnis. Betroffene werden über den Textbaustein für das Verarbeitungsverzeichnis des Kunden informiert; ihre Rechte richten sich an den Kunden und betreffen die Rohdaten.
  5. Freiwilligkeit. Teilnahme nur per Opt-in in eigener Zusatzvereinbarung, monatlich kündbar; die KI-Funktionen sind auch ohne Teilnahme nutzbar. Der Anreiz (Credits, Benchmarks) ist ein Vorteil, keine Benachteiligung bei Nichtteilnahme.

04Risiken für Betroffene

Bewertung vor Maßnahmen. Eintrittswahrscheinlichkeit und Schwere jeweils dreistufig (gering, mittel, hoch).

Nr. Risiko Betroffene Wahrsch. Schwere Risiko
R1 Re-Identifikation eines Kunden aus einem Aggregat (z. B. einziger Betrieb einer Branche in einer Größenklasse) Kunde, mittelbar dessen Partner mittel hoch hoch
R2 Re-Identifikation einer Person (Ansprechpartner, Mitarbeiter) aus einem Extrakt Personen gering hoch mittel
R3 Fehler in der Extrakt-Erzeugung überträgt Rohdaten (Freitext, Name, Betrag) Personen, Kunde mittel hoch hoch
R4 Differenzangriff: Vergleich zweier Aggregate vor und nach Beitritt oder Austritt eines Kunden Kunde mittel mittel mittel
R5 Mitarbeiterbezogene Leistungskennzahlen entstehen indirekt (Zeit je Einheit bei Kleinstbetrieb mit einem Mitarbeiter) Mitarbeiter mittel hoch hoch
R6 Zweckentfremdung der Extrakte durch den Anbieter oder Unterauftragnehmer Personen, Kunde gering hoch mittel
R7 Unbefugter Zugriff auf den Schwarmdienst Kunde gering mittel gering
R8 Fehlerhafte Startwerte führen zu falschen Vorschlägen beim Kunden (Vertrauensrisiko) Kunde mittel gering gering
R9 Kunde kann nach Kündigung seinen Beitrag nicht entfernen lassen Kunde gering mittel gering
R10 Betroffene erfahren nichts von der Verarbeitung Personen mittel gering gering

05Maßnahmen und Restrisiko

Nr. Maßnahmen Nachweis Restrisiko
R1 Mindestgruppe je Wissensart (10 bis 30 Kunden); Beitragsgrenze 20 % je Kunde; Branche und Größenklasse nur in Stufen mit mindestens 10 Teilnehmern, sonst Zusammenlegung; Differential Privacy mit ε von höchstens 1,0 Freigabeprüfung im Schwarmdienst protokolliert; Jahresprüfung nach Prüfplan, Beirat bestätigt gering
R2 Extrakt enthält konstruktiv keine Identifikatoren; Mindestfallzahl 5 je Kennzahl; personenbezogene Kennzahlen nur über alle Mitarbeiter aggregiert Schema-Prüfung des Extrakts (Whitelist der Felder), automatischer Testsatz gering
R3 Extrakt-Schema als Whitelist: nur numerische Kennzahlen und Kategorien aus festem Katalog; Prüfung vor Übermittlung im Mandanten; Abbruch und Meldung bei Verletzung; Unit-Tests je Wissensart; Vier-Augen-Review jeder Änderung am Extrakt-Code Testprotokolle, Code-Review-Nachweis, Abbruchprotokoll gering
R4 Rauschverfahren mit Privacy-Budget je Kunde und Zeitraum; Neuberechnung nach Austritt erst nach 90 Tagen gesammelt; Aggregate nur mit Rundung auf definierte Stufen Dokumentation der ε-Budgets, Berechnungsprotokoll gering bis mittel
R5 Kennzahlen mit Mitarbeiterbezug werden nur aus Mandanten mit mindestens 5 buchenden Mitarbeitern extrahiert; sonst wird die Wissensart für diesen Mandanten automatisch ausgeschlossen Extrakt-Regel, Testsatz gering
R6 Vertragliche Zweckbindung; technisch kein Export aus dem Schwarmdienst außer Aggregaten; Zugriff nur für zwei benannte Administratoren mit Mehr-Faktor-Authentifizierung; Unterauftragnehmer nur nach AVV in der EU Rollenkonzept, Zugriffsprotokoll, AVV-Liste gering
R7 Getrenntes Netzsegment, eigene Zugangsdaten, Verschlüsselung bei Übertragung und Speicherung, Azure-Sicherheitsbaseline, Protokollierung aller Zugriffe Azure-Konfigurationsnachweis, Penetrationstest vor Inbetriebnahme gering
R8 Startwissen immer nachrangig zu eigenem Wissen, gekennzeichnet, mit Gruppengröße; Konfidenzschwellen; Vorschlag nie Automatik Kennzeichnung in der Oberfläche, Protokoll gering
R9 Löschung der Extrakte in 30 Tagen, Neuberechnung in 90 Tagen, schriftliche Bestätigung Löschprotokoll gering
R10 Textbaustein für das Verarbeitungsverzeichnis des Kunden; Hinweis in dessen Datenschutzinformation für Geschäftspartner (Muster vom Anbieter) Bereitgestellte Muster gering

Gesamtbewertung nach Maßnahmen: Kein Risiko verbleibt auf „hoch“. R4 bleibt „gering bis mittel“, weil Differenzangriffe theoretisch möglich bleiben; das Privacy-Budget begrenzt den Informationsgewinn eines Angreifers nachweisbar. Eine Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO ist nicht erforderlich.

06Ergebnis, Freigabe, Wiedervorlage

Ergebnis. Der Schwarmdienst kann unter den Maßnahmen aus Abschnitt 5 betrieben werden. Die Einschätzung, dass Muster-Extrakte keine personenbezogenen Daten enthalten, ist durch Konstruktion (Whitelist-Schema, Mindestfallzahlen, Aggregation) und durch das Rauschverfahren begründet; sie wird jährlich bestätigt.

Bedingungen vor Inbetriebnahme

  1. Extrakt-Schema als Whitelist implementiert und mit Testsatz je Wissensart geprüft
  2. Rauschverfahren mit dokumentierten ε-Werten je Wissensart umgesetzt
  3. Mindestgruppen und Beitragsgrenze im Freigabeschritt erzwungen
  4. Schwarmdienst in eigenem Netzsegment, Penetrationstest bestanden
  5. Mindestens 30 teilnehmende Kunden mit unterzeichneter Zusatzvereinbarung
  6. Prüfplan für die Jahresprüfung liegt vor, Beirat gewählt
  7. Textbausteine für Verarbeitungsverzeichnis und Datenschutzinformation der Kunden bereitgestellt
  • Freigabe Jürgen Hauck, Geschäftsführer bettERProjects GmbH
  • Wiedervorlage jährlich; zusätzlich bei jeder neuen Wissensart, bei Änderung der Mindestgruppen oder ε-Werte, bei Wechsel des Cloud-Betreibers und bei jedem Vorfall

07Beteiligte und Konsultation

  • Verantwortlicher Geschäftsführung bettERProjects GmbH: Freigabe, Restrisiko-Entscheidung
  • Datenschutzbeauftragter nicht bestellt, Pflicht nach Art. 37 DSGVO geprüft; Ansprechpartner Datenschutz: Jürgen Hauck
  • Technische Leitung Architektur, Extrakt-Schema, Rauschverfahren
  • Entwicklung Umsetzung, Tests
  • Kundenvertreter Schwarm-Beirat nach Wahl; Standpunkt der Betroffenen nach Art. 35 Abs. 9 DSGVO; vor Inbetriebnahme Stellungnahme von mindestens drei Pilotkunden
  • Cloud-Betrieb Microsoft Azure (Unterauftragsverarbeiter): Sicherheitsnachweise, Region

Konsultation der Betroffenen. Vor Inbetriebnahme werden die Pilotkunden um Stellungnahme zu den Abschnitten 2 und 5 gebeten. Einwände und ihre Behandlung werden in dieser Folgenabschätzung dokumentiert.

Fragen zu dieser Folgenabschätzung beantworten wir direkt: datenschutz@betterprojects.de oder 0800 17 11 1974.

08Änderungshistorie

  • 27.10.2026 Version 1.0 · Erstfassung