Auftragsverarbeitungsvertrag (AVV)

Dieser Vertrag wird geschlossen zwischen dem Kunden der Unterweisungsplattform, wie im Kundenkonto hinterlegt („Verantwortlicher“), und der DeWe Consulting UG (haftungsbeschränkt), Garbenheimer Str. 24, 35582 Wetzlar („Auftragsverarbeiter“). Er ergänzt den Vertrag über die Nutzung der Plattform und die AGB („Hauptvertrag“).

Der Abschluss erfolgt elektronisch durch Bestätigung im Kundenkonto durch eine vertretungsberechtigte Person des Verantwortlichen. Person, Zeitpunkt und Fassung werden protokolliert und gelten als Unterschrift beider Parteien; der Auftragsverarbeiter erklärt seine Zustimmung mit der Bereitstellung dieser Fassung.

1. (1)Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen bei der Bereitstellung der Unterweisungsplattform (Online-Unterweisungen, Verwaltung, Auswertungen, Nachweise).
2. (2)Die Dauer entspricht der Laufzeit des Hauptvertrags. Die Pflichten zu Löschung und Rückgabe (Abschnitt 9) wirken darüber hinaus fort.

1. (1)Art und Zweck: Speicherung, Abruf, Auswertung und Übermittlung von Daten, um Beschäftigte zu unterweisen, den Erfolg zu prüfen, Nachweise zu erstellen und dem Verantwortlichen Verwaltung und Auswertung zu ermöglichen. Dazu gehört der Versand von E-Mails an Beschäftigte und Administratoren (Einladungen zum Zugang, Hinweise auf zugewiesene und wiederkehrende Unterweisungen, Erinnerungen vor und nach Fälligkeit) sowie der Import von Beschäftigtenlisten (CSV, aus Excel kopierte Zellen) durch die Administratoren des Verantwortlichen.
2. (2)Betroffene Personen: Beschäftigte des Verantwortlichen (Teilnehmende) und seine Administratoren sowie von ihm benannte Ansprechpartner.
3. (3)Datenkategorien:

• Stammdaten: Name, E-Mail-Adresse, Abteilung, Standort, Rolle (Beschäftigte/r oder Kunden-Admin), Zuordnung zum Unternehmen
• Lern- und Nutzungsdaten: zugewiesene Unterweisungen, Fälligkeiten und Wiederholungsintervalle, Fortschritt, Testantworten, Ergebnis, Zahl der Versuche, Zeitpunkte und Dauer
• Nachweisdaten: Nachweise (Webansicht, PDF), Bestätigungen der praktischen Einweisung und des betrieblichen Gesamtabschlusses mit bestätigender Person und Datum
• Eigene Unterweisungen des Verantwortlichen: von ihm erstellte Texte, Fragen, Bilder und PDF-Dokumente sowie Verweise auf Videos von YouTube oder Vimeo. Der Verantwortliche verwendet darin keine personenbezogenen Daten, die über das für die Unterweisung Erforderliche hinausgehen, und keine besonderen Kategorien nach Art. 9 DSGVO
• Betriebliche Angaben: Standort, Alarmierung, Flucht- und Rettungswege, Sammelstelle, Erste Hilfe, Ansprechpartner mit Name, Telefon und E-Mail
• Protokoll- und Kommunikationsdaten: Anmelde-, Einladungs-, Zuweisungs- und Erinnerungs-E-Mails (Inhalt: Name, Unterweisung, Fälligkeit, Anmeldelink) mit Vermerk, ob eine Erinnerung versendet wurde, Sitzungs-Cookie, Server-Protokolle (u. a. IP-Adresse, Zeitpunkt), Protokoll der Vertragsannahme

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen. Der Verantwortliche trägt sie nicht in Freitextfelder ein und lädt sie nicht in eigene Unterweisungen hoch. Für Inhalt und Rechtmäßigkeit seiner eigenen Unterweisungen ist allein der Verantwortliche zuständig; der Auftragsverarbeiter speichert sie nur und prüft sie nicht. Videos von YouTube oder Vimeo werden erst nach Klick der Teilnehmenden geladen; die Übertragung an diese Anbieter erfolgt dann nicht im Auftrag des Auftragsverarbeiters, sondern auf Veranlassung des Verantwortlichen, der seine Beschäftigten entsprechend informiert.

1. (1)Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, außer er ist durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. Der Hauptvertrag und die Bedienung der Plattform durch die Administratoren des Verantwortlichen sind die Weisung.
2. (2)Weisungsberechtigt sind die Kunden-Admins des Verantwortlichen. Diese können weitere Kunden-Admins anlegen und Rollen ändern; der Verantwortliche stellt sicher, dass nur befugte Personen diese Rolle erhalten. Weitere oder abweichende Weisungen erfolgen in Textform an info@deweconsulting.de.
3. (3)Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung aussetzen.

1. (1)Er verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit.
2. (2)Er trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und entwickelt sie im Rahmen des Zumutbaren weiter.
3. (3)Er unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anfragen betroffener Personen sowie bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).
4. (4)Er meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 48 Stunden nach Kenntnis, und liefert die für die Meldung erforderlichen Angaben.
5. (5)Er führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
6. (6)Ansprechpartner für Datenschutzfragen: Dennis Weber, info@deweconsulting.de, +49 15679 774 272.

1. (1)Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung gegenüber den Betroffenen verantwortlich, insbesondere für die Rechtsgrundlage (z. B. § 26 BDSG, Art. 6 DSGVO), die Information der Beschäftigten (Art. 13 DSGVO) und, soweit erforderlich, die Beteiligung des Betriebsrats.
2. (2)Er sorgt dafür, dass die eingegebenen Daten richtig und aktuell sind (insbesondere die E-Mail-Adressen der Beschäftigten, an die Einladungen und Erinnerungen gehen), und teilt Fehler oder Unregelmäßigkeiten unverzüglich mit. Er entscheidet, ob Einladungen und Hinweise per E-Mail versendet werden, und kann das beim Anlegen, Importieren und Zuweisen abschalten.

1. (1)Der Verantwortliche genehmigt den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter (allgemeine Genehmigung).
2. (2)Der Auftragsverarbeiter informiert über beabsichtigte Änderungen (Hinzufügen oder Ersetzen) mindestens vier Wochen vorher in Textform. Der Verantwortliche kann innerhalb von zwei Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, können beide Parteien den Hauptvertrag zum Zeitpunkt der Änderung außerordentlich kündigen.
3. (3)Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag.
4. (4)Eine Übermittlung in Drittländer erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, etwa durch einen Angemessenheitsbeschluss (z. B. EU-US Data Privacy Framework bei zertifizierten Anbietern) oder EU-Standardvertragsklauseln. Die Verarbeitung findet in der EU (Region Frankfurt) statt. Da zwei Unterauftragsverarbeiter ihren Sitz in den USA haben, kann ein Zugriff aus einem Drittland nicht ausgeschlossen werden.

Wendet sich eine betroffene Person mit einem Anliegen an den Auftragsverarbeiter, leitet dieser es unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, außer auf dessen Weisung.

1. (1)Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung.
2. (2)Prüfungen durch den Verantwortlichen oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer sind nach rechtzeitiger Anmeldung (mindestens zwei Wochen) während der üblichen Geschäftszeiten und ohne Störung des Betriebs möglich, in der Regel höchstens einmal jährlich. Der Aufwand des Auftragsverarbeiters ist zu vergüten, soweit die Prüfung keinen Verstoß ergibt.

1. (1)Nach Beendigung des Hauptvertrags kann der Verantwortliche seine Daten (Auswertungen als CSV, Nachweise als PDF) 30 Tage lang exportieren. Danach löscht der Auftragsverarbeiter die Daten.
2. (2)Daten in Datensicherungen des Datenbankanbieters werden im Rahmen von dessen üblichen Aufbewahrungsfristen überschrieben.
3. (3)Gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters bleiben unberührt.
4. (4)Rechnungs- und Vertragsdaten des Verantwortlichen (Rechnungsempfänger, Anschrift, Rechnungs-E-Mail, USt-IdNr., Rechnungen und Zahlungsstatus) verarbeitet der Auftragsverarbeiter nicht im Auftrag, sondern in eigener Verantwortung zur Vertragsabwicklung (siehe Datenschutzerklärung).

1. (1)Für die Haftung gelten Art. 82 DSGVO und im Innenverhältnis die Haftungsregelungen der AGB.
2. (2)Bei Widersprüchen zum Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor. Im Übrigen gelten die Schlussbestimmungen der AGB (deutsches Recht, Gerichtsstand Wetzlar, Textform, salvatorische Klausel).

Vertraulichkeit

• Zutritt: Die Daten liegen bei Rechenzentrumsbetreibern der Unterauftragsverarbeiter, die Zutrittskontrollen unterhalten. Der Auftragsverarbeiter betreibt keine eigenen Server mit Kundendaten.
• Zugang: Anmeldung ohne Passwort über einen einmaligen, zeitlich begrenzten E-Mail-Link. Sitzungen sind durch ein signiertes Token mit begrenzter Gültigkeit geschützt. Geheime Schlüssel liegen als geschützte Umgebungsvariablen vor, nicht im Quellcode.
• Zugriff: Rollenkonzept mit Rechten für DeWe-Admin, Kunden-Admin und Beschäftigte. Beschäftigte sehen nur eigene Daten, Kunden-Admins nur Daten ihres Unternehmens.
• Trennung: Mandantentrennung auf Anwendungsebene und zusätzlich durch Row-Level Security in der Datenbank. Kunden-Admins und Beschäftigte arbeiten mit einer eingeschränkten Datenbankrolle.
• Lösungen von Prüfungsfragen erhalten Lernende erst nach bestandenem Test.

Integrität

• Weitergabe: Übertragung ausschließlich verschlüsselt (TLS).
• Eingabe: Bestätigungen (praktische Einweisung, Gesamtabschluss), Kursveröffentlichungen und Vertragsannahmen werden mit Person und Zeitpunkt protokolliert.
• Nachweise werden mit dem Gesamtabschluss in ihrem Stand eingefroren und nachträglich nicht verändert; Kursinhalte sind versioniert.
• Datenbankänderungen erfolgen über versionierte, geprüfte Migrationen.

Verfügbarkeit und Belastbarkeit

• Betrieb bei Anbietern mit redundanter Infrastruktur; Datensicherungen des Datenbankanbieters.
• Fehlerprotokollierung zur Erkennung von Störungen; Änderungen werden vor der Veröffentlichung automatisiert gebaut und geprüft.

Organisation

• Verpflichtung der Beschäftigten und Beauftragten des Auftragsverarbeiters auf Vertraulichkeit.
• Zugriff auf die Produktionsdatenbank nur für den Auftragsverarbeiter und von ihm autorisierte Systeme.
• Auswahl und vertragliche Bindung von Unterauftragsverarbeitern (Anlage 2).
• Meldeprozess für Datenschutzvorfälle nach Abschnitt 4 Abs. 4; regelmäßige Überprüfung der Maßnahmen.