Auftragsverarbeitungsvertrag

Version: August 2026

zwischen

die Kundin bzw. der Kunde, die bzw. der eDoer auf Grundlage eines Dienstleistungsvertrags nutzt
(„Verantwortliche*r“)

und

Education4All GmbH
Sitz: Hildesheim, Deutschland
Eingetragen im Handelsregister des Amtsgerichts Hildesheim unter HRB 210458
als Betreiberin der Lernplattform „eDoer“
(„Auftragsverarbeiterin“)

Verantwortliche*r und Auftragsverarbeiterin werden gemeinsam als die „Parteien“ bezeichnet.

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil des Dienstleistungsvertrages zwischen den Parteien.

eDoer ist die von Education4All GmbH betriebene Lernplattform und die damit verbundenen Dienste. In dieser Vereinbarung beziehen sich Verweise auf eDoer auf die Plattform und, soweit es um die rechtliche Verantwortung geht, auf Education4All GmbH als deren Betreiberin.

§ 1 Gegenstand und Dauer

1.1 Dieser AVV regelt die Verarbeitung personenbezogener Daten durch die Auftragsverarbeiterin im Auftrag der bzw. des Verantwortlichen im Zusammenhang mit der Bereitstellung der Lernplattform „eDoer“.

1.2 Dieser AVV gilt ausschließlich für personenbezogene Daten, die eDoer im Auftrag der bzw. des Verantwortlichen verarbeitet.

1.3 Verarbeitungstätigkeiten, die von eDoer als eigenständige Verantwortliche durchgeführt werden (siehe Abschnitt 5.4), unterliegen nicht diesem AVV.

1.4 Die Auftragsverarbeiterin stellt eine Multi-Tenant-Lernmanagementplattform („eDoer“) bereit, die es der bzw. dem Verantwortlichen ermöglicht:

• Organisationen zu erstellen und zu verwalten
• Nutzer*innen zu registrieren und zu verwalten
• Lernpfade, Module und Kurse zu erstellen und zu verwalten
• Bewertungen und Prüfungen durchzuführen
• Zertifikate auszustellen
• Kommunikation innerhalb der Organisation zu ermöglichen
• In-App-Benachrichtigungen und transaktionale Benachrichtigungs-E-Mails bereitzustellen
• Bildungsinhalte und zugehörige Materialien zu speichern
• KI-assistierte Funktionen zu konfigurieren, einschließlich Dateien der Wissensdatenbank der Organisation und Lernenden-Hintergrunddokumenten, sofern aktiviert
• Genehmigte Importe von Drittanbieterdokumenten zu ermöglichen, sofern aktiviert

Die Auftragsverarbeiterin verarbeitet personenbezogene Daten ausschließlich zur Erbringung dieser vertraglich vereinbarten Leistungen.

1.5 Die Verarbeitung erfolgt für die Dauer des Dienstleistungsvertrages.

Bei Beendigung des Vertrages werden die personenbezogenen Daten gemäß den Bestimmungen des AVV gelöscht oder zurückgegeben, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

§ 2 Art und Zweck der Verarbeitung

2.1 Die Verarbeitung erfolgt überwiegend automatisiert innerhalb einer gesicherten Serverinfrastruktur und kann insbesondere Folgendes umfassen:

• Erhebung
• Protokollierung
• Organisation und Strukturierung
• Speicherung
• Abruf und Nutzung
• Begrenzte Übertragung an autorisierte Unterauftragsverarbeiter*innen
• KI-assistierte Verarbeitung, sofern von der bzw. dem Verantwortlichen aktiviert
• Import aus genehmigten Drittanbieterdokumentenquellen, sofern aktiviert
• Löschung oder Anonymisierung

Die Verarbeitung ist auf das zur Erbringung der Leistungen Erforderliche beschränkt.

2.2 Personenbezogene Daten werden ausschließlich zu folgenden Zwecken verarbeitet:

• Bereitstellung und Wartung der Lernplattform
• Ermöglichung des Kursmanagements und der Durchführung
• Bearbeitung von Bewertungen und Lernfortschritten
• Generierung von Zertifikaten
• Erleichterung der Kommunikation innerhalb der Organisation
• Bereitstellung an Empfänger angepasster Benachrichtigungen, Moderationskommunikation und transaktionaler Benachrichtigungs-E-Mails
• Speicherung und Organisation von Bildungs- und Referenzmaterialien
• Unterstützung der von der bzw. dem Verantwortlichen konfigurierten KI-assistierten Funktionen, einschließlich Wissensbasis-Dateien der Organisation und Hintergrunddokumenten von Lernenden, sofern aktiviert
• Unterstützung genehmigter Drittanbieterdokumentimporte, sofern aktiviert
• Bereitstellung technischer Unterstützung

Die Auftragsverarbeiterin verarbeitet personenbezogene Daten weder zu eigenen Marketingzwecken noch zur eigenständigen wirtschaftlichen Verwertung. Die Verarbeitung ist auf das zur Erbringung der Leistungen Erforderliche beschränkt.

Die Auftragsverarbeiterin verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung der bzw. des Verantwortlichen.

Ist die Auftragsverarbeiterin der Ansicht, dass eine Weisung gegen die DSGVO oder andere anwendbare Datenschutzvorschriften der Union oder eines Mitgliedstaats verstößt, unterrichtet sie die Verantwortliche bzw. den Verantwortlichen unverzüglich und kann die betroffene Verarbeitung aussetzen, bis die Weisung bestätigt, geändert oder zurückgenommen wird.

§ 3 Kategorien der betroffenen Personen

• Lernende (Studierende)
• Lehrende / Kurator*innen
• Organisationsadministrator*innen
• Sonstige von der bzw. dem Verantwortlichen benannte autorisierte Nutzer*innen

§ 4 Kategorien personenbezogener Daten

Die Verarbeitung kann die in Anlage I Abschnitt 1 aufgeführten Kategorien personenbezogener Daten umfassen.

Die Dienste erfordern keine besonderen Kategorien personenbezogener Daten gemäß Art. 9 DSGVO. Solche Daten können gleichwohl in Freitexten, Nachrichten, Anhängen, Hintergrunddokumenten von Lernenden, importierten Dateien oder KI-Eingaben enthalten sein. Die bzw. der Verantwortliche darf solche Daten nur übermitteln oder ihre Übermittlung genehmigen, wenn eine anwendbare Voraussetzung nach Art. 9 DSGVO sowie Zweck, betroffene Funktionen, Zugriffsbeschränkungen, Aufbewahrungsfrist und eine gegebenenfalls erforderliche Datenschutz-Folgenabschätzung dokumentiert wurden. Die Auftragsverarbeiterin verarbeitet zulässige besondere Kategorien personenbezogener Daten ausschließlich auf dokumentierte Weisung und unter Anwendung der Schutzmaßnahmen aus Anlage II.

§ 5 Rollen der Parteien

5.1 Die bzw. der Verantwortliche bestimmt die Zwecke und Mittel der Verarbeitung von Bildungsdaten innerhalb der Plattform.

5.2 Die Auftragsverarbeiterin verarbeitet personenbezogene Daten ausschließlich im Auftrag der bzw. des Verantwortlichen gemäß Art. 28 DSGVO.

5.3 Die Parteien ordnen jede Verarbeitungstätigkeit danach ein, wer tatsächlich ihre Zwecke und wesentlichen Mittel festlegt. Für die in Anlage I beschriebene Verarbeitung beabsichtigen die Parteien keine gemeinsame Verantwortlichkeit. Legen sie eine gesonderte Tätigkeit gemeinsam fest, schließen sie vor Beginn dieser Tätigkeit eine Vereinbarung nach Art. 26 DSGVO und machen deren wesentlichen Inhalt zugänglich.

5.4 eDoer handelt nur bei gesonderten Verarbeitungsvorgängen, deren Zwecke und wesentliche Mittel eDoer selbst festlegt, als eigenständige Verantwortliche. Hierzu zählen Konto- und Mandantensicherheit, Betrugs- und Missbrauchsprävention, Systemstabilität und Infrastrukturüberwachung, einwilligungsbasierte Browser-Telemetrie, Einwilligungs- und Vertragsnachweise, Abrechnung von Organisationsabonnements, gesetzlich vorgeschriebene Finanzverwaltung, erforderliche Plattformkommunikation und die Erfüllung rechtlicher Pflichten. Diese Verarbeitungen unterliegen der Datenschutzerklärung von eDoer und dem Verzeichnis der Verarbeitungstätigkeiten der Verantwortlichen und fallen nicht unter diesen AVV.

5.5 Soweit Marktplatzdienste aktiviert sind, handelt eDoer für die von ihr selbst festgelegten Marktplatzzwecke als eigenständige Verantwortliche. Hierzu zählen Plattformprovisionen, Abstimmung, Plattformsicherheit, Betrugs- und Verlustprävention, Plattform-Prüfprotokolle und gesetzlich vorgeschriebene Finanzverwaltung. Die Rollen der Verkäuferin, von Stripe und eDoer bei Onboarding, Bezahlvorgang, Zahlung, Erstattung, Streitfällen und Compliance richten sich je Tätigkeit nach den geltenden Vereinbarungen und der tatsächlichen Zuordnung von Zwecken und wesentlichen Mitteln. Jede Tätigkeit als Auftragsverarbeiterin oder gemeinsam Verantwortliche ist vor ihrer Aktivierung zu dokumentieren.

5.6 Daten zu Einschreibung, Zugang, Fortschritt, Bewertung und Zertifizierung, die nach einem Marktplatzkauf entstehen, werden weiterhin nach dokumentierter Weisung der bzw. des Verantwortlichen gemäß diesem AVV verarbeitet. Eine Referenz auf den Marktplatzkauf und der Berechtigungsstatus dürfen nur zur Gewährung, Aussetzung, Wiederherstellung oder zum Widerruf des entsprechenden Zugangs mit dem Datensatz der lernenden Person verknüpft werden.

5.7 Entsteht eine Benachrichtigung oder Transaktions-E-Mail aus einer von der bzw. dem Verantwortlichen gesteuerten Bildungs- oder Organisationsaktivität, verarbeitet eDoer den Benachrichtigungsinhalt und die Zustellungsdaten nach dokumentierter Weisung. Verarbeitungen durch eDoer für die eigene Kontosicherheit, Abrechnung, Erfüllung rechtlicher Pflichten, Betrugsprävention oder erforderliche Plattformverwaltung fallen nicht unter diesen AVV und sind in der Datenschutzerklärung beschrieben.

5.8 Die bzw. der Verantwortliche ist dafür verantwortlich, eine Rechtsgrundlage und gegebenenfalls eine Voraussetzung nach Art. 9 DSGVO festzulegen, die Informationen nach Art. 13 und 14 DSGVO bereitzustellen, rechtmäßige Aufbewahrungs- und Zugriffsfristen zu bestimmen, Richtigkeit und Verhältnismäßigkeit der Weisungen sicherzustellen, Berechtigungen zu verwalten und jede erforderliche Datenschutz-Folgenabschätzung oder vorherige Konsultation durchzuführen.

5.9 Soweit Nutzer*innen minderjährig sein können, muss die bzw. der Verantwortliche die anwendbaren Genehmigungen, altersgerechte Transparenz, Schutzmaßnahmen und Anforderungen an die Funktionskonfiguration dokumentieren. eDoer bleibt für diese Pflichten bei Verarbeitungen verantwortlich, bei denen eDoer als Verantwortliche handelt.

§ 6 KI-assistierte Funktionen

6.1 Die Plattform kann KI-Dienste nutzen, um Bildungsfunktionen zu unterstützen, einschließlich:

• Lernpfadgenerierung
• Generierung und Unterstützung von Bildungsinhalten
• Erstellung von Prüfungen
• Abruf und Verankerung basierend auf Organisations-Wissensdatenbankdateien
• Personalisierte Unterstützung unter Verwendung von Lernenden-Hintergrunddokumenten, sofern aktiviert

6.2 KI-Dienste verarbeiten nur Daten, die die bzw. der Verantwortliche oder autorisierte Nutzer*innen freiwillig für die KI-Funktion bereitstellen. Hierzu können gehören:

• Lernpfad-Metadaten
• Vom Verantwortlichen erstellte Bildungsinhalte
• Von der Organisation bestimmte Wissensbasis-Dateien
• Hochgeladene Lernenden-Hintergrunddokumente, sofern aktiviert
• Freiwillig übermittelte freie Text-Prompts
• Von Nutzer*innen übermittelte Anhänge

6.3 Die Auftragsverarbeiterin übermittelt Leistungsdaten von Lernenden, Prüfungsergebnisse, Daten zur Fortschrittsverfolgung oder Plattform-Kontokennungen nicht vorsätzlich als gesonderte strukturierte KI-Eingaben. Solche Daten können jedoch in Inhalten, Dateien, Prompts, Anhängen oder Hintergrunddokumenten enthalten sein, die von der bzw. dem Verantwortlichen oder autorisierten Nutzer*innen bewusst zur KI-Verarbeitung übermittelt wurden.

6.4 Die Auftragsverarbeiterin implementiert Datenminimierungsmaßnahmen und fordert keine besonderen Kategorien von Daten für die KI-Verarbeitung an. Der Verantwortliche bleibt verantwortlich für die Bestimmung, ob der übermittelte KI-Input personenbezogene Daten, einschließlich besonderer Kategorien von Daten, enthält, ob die Übermittlung rechtmäßig und notwendig ist und ob eine DSFA erforderlich ist. Die Auftragsverarbeiterin stellt Informationen zur Verfügung, die für diese Bewertung angemessen sind, und verwendet die übermittelten Daten nicht für das unabhängige Modelltraining gemäß den geltenden Enterprise-/API-Bedingungen.

6.5 Soweit genehmigte Dokumentenquellen-Integrationen wie Roxtra durch die Plattformverwaltung und die bzw. den Verantwortlichen aktiviert sind, darf die Auftragsverarbeiterin den Integrationsbenutzernamen und die verschlüsselten Zugangsdaten der verbindenden Person verarbeiten, um sich bei der Drittanbieterquelle zu authentifizieren, Dokumente zu durchsuchen und ausgewählte Dateien in eDoer zu importieren.

6.6 Importierte Drittanbieterdateien werden in eDoer gespeichert und danach wie andere auf der Plattform hochgeladene Dateien auf Anweisung des Verantwortlichen verarbeitet.

6.7 Von der bzw. dem Verantwortlichen für Suche und Import bestimmte Quellsysteme Dritter sind keine Unterauftragsverarbeiter*innen der Auftragsverarbeiterin, soweit sie nicht ausdrücklich in Anlage III aufgeführt sind.

§ 7 Unterauftragsverarbeiter*innen

7.1 Die bzw. der Verantwortliche erteilt der Auftragsverarbeiterin die allgemeine Genehmigung, Unterauftragsverarbeiter*innen einzusetzen.

7.2 Unterauftragsverarbeiter*innen können umfassen:

• Cloud-Hosting-Anbieter
• Objektspeicheranbieter
• E-Mail-Dienstanbieter
• Infrastruktur- und Sicherheitsanbieter
• KI-Dienstanbieter (z.B. OpenAI, Google Cloud/Gemini)
• Automatisierte Datenerfassungsanbieter, die bei Bedarf für genehmigte Quellenimporte und Vorverarbeitungsprozesse verwendet werden (derzeit Decodo für bestimmte YouTube-Metadaten- und Transkriptanfragen)

7.3 Die Auftragsverarbeiterin verpflichtet sich:

• Schriftliche Vereinbarungen mit Unterauftragsverarbeiter*innen gemäß Art. 28 DSGVO abzuschließen
• Durch schriftlichen Vertrag die gleichen Datenschutzpflichten zu vorschreiben, die Art. 28 Abs. 3 DSGVO vorschreibt, einschließlich dokumentierter Anweisungen, Vertraulichkeit, Sicherheit, Unterstützung, Löschung oder Rückgabe und Prüfungsunterstützung,
• Für die Erfüllung der Datenschutzpflichten durch Unterauftragsverarbeiter*innen vollumfänglich einzustehen

7.4 Enterprise KI-Vereinbarungen verbieten die Nutzung übermittelter Daten für das Modelltraining, soweit anwendbar.

7.5 Die Auftragsverarbeiterin kündigt eine beabsichtigte Hinzunahme oder Ersetzung von Unterauftragsverarbeiter*innen, soweit nach vernünftigem Ermessen praktikabel, mindestens 30 Tage im Voraus an. Die bzw. der Verantwortliche kann innerhalb dieses Zeitraums aus angemessenen datenschutzrechtlichen Gründen widersprechen. Die Parteien bemühen sich um eine praktikable Lösung; ist keine solche verfügbar, kann die bzw. der Verantwortliche den betroffenen Dienst vor Inkrafttreten der Änderung kündigen. Sicherheits- oder verfügbarkeitsbedingte Notfalländerungen können mit kürzerer Vorlaufzeit erfolgen, wobei die Gründe unverzüglich mitzuteilen sind.

§ 8 Internationale Datenübermittlungen

8.1 Bei Übermittlungen personenbezogener Daten außerhalb des EWR stellt die Auftragsverarbeiterin angemessene Garantien gemäß Kapitel V DSGVO sicher.

8.2 Die Erstverarbeitung durch Unterauftragsverarbeiter*innen im EWR gilt nicht als Übermittlung in ein Drittland. Bei einer Weiterübermittlung personenbezogener Daten außerhalb des EWR können die anwendbaren Garantien die Standardvertragsklauseln der Europäischen Kommission und – soweit verfügbar und anwendbar – das EU-US Data Privacy Framework umfassen.

• Standardvertragsklauseln gelten, wenn sie für eine Weiterübermittlung in ein Drittland erforderlich sind.
• Das EU-US Data Privacy Framework wird verwendet, sofern verfügbar und rechtlich anwendbar.

Weitere Details finden sich in Anlage III.

8.3 Die Auftragsverarbeiterin führt eine Transfer Impact Assessment durch und dokumentiert sie.

§ 9 Sicherheitsmaßnahmen

Die Auftragsverarbeiterin implementiert geeignete technische und organisatorische Maßnahmen, einschließlich:

• Verschlüsselte Übertragung (TLS)
• Rollenbasierte Zugriffskontrolle
• Datenisolation auf Organisationsebene durch Architektur
• Protokollierung des administrativen Zugriffs
• Verschlüsselung von gespeicherten Drittanbieter-Integrationsanmeldeinformationen
• Incident-Response-Verfahren

Eine Zusammenfassung der technischen und organisatorischen Maßnahmen ist als Anlage II beigefügt.

§ 10 Betroffenenrechte

• Die Auftragsverarbeiterin unterstützt den Verantwortlichen bei der Beantwortung von Anfragen gemäß Art. 15–22 DSGVO.
• Der Verantwortliche bleibt verantwortlich für die Beantwortung solcher Anfragen.

§ 11 Datenschutzverletzung

Die Auftragsverarbeiterin benachrichtigt die Verantwortliche bzw. den Verantwortlichen unverzüglich, nachdem sie Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt hat, die im Rahmen dieses AVV verarbeitete Daten betrifft. Sie stellt die für Art. 33 und 34 DSGVO verfügbaren Informationen bereit, einschließlich Art der Verletzung, betroffener Daten und Kategorien betroffener Personen, ungefähren Umfangs, soweit bekannt, wahrscheinlicher Folgen, Abhilfemaßnahmen und einer Kontaktstelle. Informationen können während der laufenden Untersuchung schrittweise bereitgestellt werden. Die Auftragsverarbeiterin dokumentiert den Vorfall, sichert relevante Beweismittel, arbeitet mit der bzw. dem Verantwortlichen zusammen und unterstützt bei den Pflichten nach Art. 32–36 DSGVO, einschließlich Datenschutz-Folgenabschätzungen und vorheriger Konsultationen.

§ 12 Löschung und Rückgabe von Daten

Bei Beendigung des Dienstleistungsvertrages hat die Auftragsverarbeiterin:

• Auf Verlangen der bzw. des Verantwortlichen personenbezogene Daten zu löschen oder zurückzugeben und verbleibende Kopien zu löschen, soweit geltendes Recht keine weitere Speicherung vorschreibt
• Daten nur zu speichern, soweit dies gesetzlich vorgeschrieben ist

Personenbezogene Daten, die in Sicherungskopien verbleiben, sind von der gewöhnlichen Nutzung zu isolieren, zu schützen und innerhalb des dokumentierten Lebenszyklus der Sicherungskopien zu löschen. Ist eine Löschung vorübergehend unmöglich, wendet die Auftragsverarbeiterin diesen AVV weiterhin an und verarbeitet die Daten ausschließlich zur Wiederherstellung, Sicherheit oder Erfüllung einer dokumentierten rechtlichen Anforderung.

12.1 Soweit die bzw. der Verantwortliche keine rechtmäßige dokumentierte Weisung zur früheren Löschung erteilt oder geltendes Recht keine längere Speicherung vorschreibt, wendet die Auftragsverarbeiterin auf die im Rahmen dieses AVV verarbeiteten personenbezogenen Daten folgenden technischen Standard-Aufbewahrungsplan an:

• Soft-gelöschte KI-Konversationen und deren zugehörige Nachrichten, Generierungsauftragsaufzeichnungen und Nutzungsaufzeichnungen werden nach einer Wiederherstellungsfrist von bis zu 30 Tagen dauerhaft entfernt.
• Abgeschlossene KI-Generierungsaufträge und Token-Nutzungsdatensätze je Aufruf werden 90 Tage lang aufbewahrt.
• Temporäre generierte Bildausgaben verfallen nach 1 Stunde und werden mit ihrem temporären Auftragsdatensatz durch geplante Bereinigung entfernt.
• Abgeleitete KI-Indizes und notwendige Quellzuordnungen werden so lange aufbewahrt, wie die zugrunde liegende Quelle existiert. Die Löschung der Quelle löst die Entfernung aus dem Abrufsystem aus; fehlgeschlagene oder verzögerte Entfernungen werden behoben, sodass die Löschung innerhalb von 30 Tagen abgeschlossen ist. Abgeschlossene Löschauftrags-Metadaten werden für 90 Tage aufbewahrt.
• Rotierte KI-Dienstprotokolldateien werden nicht länger als 14 Tage aufbewahrt und können durch größenbasierte Rotation früher gelöscht werden. Andere betriebliche Protokolle der Auftragsverarbeiterin, die personenbezogene Daten des Verantwortlichen enthalten, werden nicht länger als 90 Tage aufbewahrt, es sei denn, es gilt ein kürzerer Betriebszeitraum.
• Abgelaufene Verifizierungs-Tokens werden 30 Tage nach Ablauf entfernt; gelesene oder angesehene Benachrichtigungen nach 90 Tagen; ungelesene und nicht angesehene Benachrichtigungen nach 180 Tagen; Zustellungsprotokolle transaktionaler Benachrichtigungs-E-Mails nach 180 Tagen; Einwilligungsprüfprotokolle und das minimale Prüfprotokoll abgeschlossener Nutzer*innen-Löschungen nach 730 Tagen.

12.2 Der Datenbank-Aufbewahrungsprozess läuft einmal täglich und bei jedem Start des Datenschutzdienstes. Die Bereinigung des KI-Dienstes läuft in kürzeren Intervallen, um Ablaufzeiten temporärer Bilder und KI-Datensätze durchzusetzen. Diese Zeitpläne verzögern keine wirksame Löschanweisung einer betroffenen Person oder der bzw. des Verantwortlichen, soweit eine frühere Löschung erforderlich und technisch möglich ist.

12.3 Verschlüsselte Datenbank-Sicherungskopien werden täglich erstellt und rollierend sieben Tage lang aufbewahrt. Gelöschte Daten werden nicht für die gewöhnliche Nutzung wiederhergestellt. Bevor eine wiederhergestellte Sicherungskopie wieder im Produktivbetrieb eingesetzt wird, werden die geltenden Löschprotokolle erneut angewendet. Eine dokumentierte rechtliche Sperre oder gesetzliche Aufbewahrungspflicht kann die Löschung nur für die betroffenen Daten und den erforderlichen Zeitraum aussetzen; der Zugriff bleibt entsprechend eingeschränkt.

§ 13 Prüfrechte

13.1 Die Auftragsverarbeiterin stellt Informationen zur Verfügung, die notwendig sind, um die Einhaltung von Art. 28 DSGVO und diesem AVV nachzuweisen.

13.2 Audits, einschließlich Inspektionen, die vom Verantwortlichen oder einem von ihm beauftragten unabhängigen Prüfer durchgeführt werden, sind nach angemessener Ankündigung und in einer angemessenen und verhältnismäßigen Weise gestattet, die Vertraulichkeit, Sicherheit und die Daten anderer Kunden schützt.

13.3 Aktuelle unabhängige Prüfberichte oder Zertifizierungen können zur Erfüllung angemessener Prüfanforderungen herangezogen werden, sofern sie ausreichende relevante Zusicherung bieten, ohne die Rechte des Verantwortlichen einzuschränken, wenn eine zusätzliche Überprüfung erforderlich ist.

§ 14 Haftung

Die Haftung unterliegt dem Dienstleistungsvertrag und Art. 82 DSGVO.

Anlage I – Verarbeitungsbeschreibung

Diese Anlage ist Bestandteil des Auftragsverarbeitungsvertrages zwischen den Parteien.

1. Kategorien personenbezogener Daten

Die Verarbeitung kann die folgenden Kategorien umfassen:

1.1 Identifikations- und Kontodaten

• Name
• E-Mail-Adresse
• Nutzer*innenrolle
• Organisatorische Zugehörigkeit

1.2 Bildungsdaten

• Einschreibungsdaten
• Lernfortschritt
• Prüfungsergebnisse
• Übermittelte Aufgaben
• Abschlussstatus

1.3 Zertifizierungsdaten

• Name
• Note oder Abschlussstatus
• Ausstellungsdatum

1.4 Kommunikationsdaten

• Themen und Nachrichten in Lernpfad-, ausschließlich für Kurator*innen bestimmten und direkten Konversationsbereichen

• Antworten, Erwähnungen, Reaktionen, Anhänge, Thementeilnehmer und Umfang sowie Lesezustands-Zeitstempel

• Berichte, Identität des Meldenden, Grund des Berichts, gewählter geteilter Thread, Status, Moderationsmaßnahme und Akteur sowie zugehörige Zeitstempel

• Gibt eine meldende Person einen Thread zur Überprüfung frei, kann die betreffende Diskussion einem dafür autorisierten Moderator bzw. einer dafür autorisierten Moderatorin zur Prüfung der ausstehenden Meldung zugänglich werden

1.5 Dateien und Referenzmaterialien

• Hochgeladene Dateien
• Organisations-Wissensdatenbankdateien und zugehörige Referenzmaterialien, sofern aktiviert
• Lernenden-Hintergrunddokumente, sofern aktiviert
• Importierte Dateien aus genehmigten Drittanbieterdokumentenquellen, sofern aktiviert

1.6 Optionale Integrationsdaten

• Benutzername bei der Dokumentenquelle des Drittanbieters für die jeweilige Person
• Verschlüsseltes Anmeldeinformationenmaterial, das zur Authentifizierung und zum Import von Dateien erforderlich ist
• Import-Metadaten und Protokolle
• Externe Quellen-URLs, YouTube-Video- oder Playlist-Identifikatoren, Sprachpräferenzen und abgerufene öffentliche Metadaten oder Transkriptinhalte, wenn Decodo-assistierter Import oder Vorverarbeitung verwendet wird

1.7 Technische Daten

• Zeitstempel
• Protokollinformationen, die für den Systembetrieb notwendig sind
• IP-Adresse (sofern technisch erforderlich)

Besondere Kategorien personenbezogener Daten sind nicht erforderlich, können jedoch in von Nutzer*innen übermittelten oder importierten Inhalten enthalten sein. Die bzw. der Verantwortliche muss vor Genehmigung einer solchen Verarbeitung die anwendbare Voraussetzung nach Art. 9 DSGVO und die dokumentierten Weisungen festlegen. Die Auftragsverarbeiterin wendet rollenbasierte Zugriffskontrollen, Mandantentrennung, verschlüsselte Übertragung, Support-Zugriffskontrollen, Datenminimierung, Löschweisungen und die weiteren Maßnahmen aus Anlage II an.

1.8 Marktplatz-abgeleitete Lernzugangsdaten (sofern aktiviert)

• Kennung der lernenden Person

• Gekaufter Lernpfad und Zugangs-Berechtigungsstatus

• Kaufreferenz und Erfüllungs-, Aussetzungs- oder Widerrufs-Zeitstempel

• Es werden nicht vorsätzlich Zahlungskarten-, Bankkonten- oder Verkäufer-Verifizierungsdokumente im Lernenden-Datensatz gespeichert

1.9 Benachrichtigungs- und E-Mail-Lieferdaten

• Empfänger- und Organisationskennungen; Ereignistyp und -kategorie; aus der Aktivität abgeleitete Nutzlast und Kontext; Ziel sowie Zeitstempel für Erstellung, Aktualisierung, Lesen, Ansehen und Löschung
• Benachrichtigungs-E-Mail-Kategoriepräferenzen und ob optionale E-Mail aktiviert ist
• Geplanter Zustellungszeitpunkt, Zustellungsstatus und Grund für das Überspringen, Anzahl der Versuche, Nachrichtenkennung des Anbieters, Abstimmungsschlüssel, Zeitstempel für Annahme, Versand, Überspringen und Fehlschlag sowie Fehlerinformationen
• E-Mail-Absender und -Empfänger, Betreff, Text und HTML-Body und Anhänge, sofern zutreffend

2. Anweisungseinschränkung

Die Auftragsverarbeiterin verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung der bzw. des Verantwortlichen und bestimmt weder Zwecke noch wesentliche Mittel der Verarbeitung gemäß dieser Anlage.

Anlage II – Technische und organisatorische Maßnahmen

Diese Anlage beschreibt die von der Auftragsverarbeiterin umgesetzten technischen und organisatorischen Maßnahmen zur Gewährleistung eines angemessenen Sicherheitsniveaus.

1. Organisatorische Maßnahmen

1.1 Governance und Verantwortung

• Klare interne Zuweisung von Datenschutzverantwortlichkeiten
• Management-Aufsicht der Datenschutzkonformität
• Dokumentierte Datenschutz- und Sicherheitsrichtlinien
• Zugang zu Produktionssystemen nur für autorisiertes Personal beschränkt

1.2 Vertraulichkeitsverpflichtungen

• Alle Mitarbeiter*innen unterliegen Vertraulichkeitsvereinbarungen
• Zugang zu personenbezogenen Daten auf Grundlage des Bedarfs eingeschränkt
• Durchgesetztes rollenbasiertes Zugriffsmanagement

1.3 Schulung und Sensibilisierung

• Mitarbeiter*innen, die an Entwicklung und Betrieb beteiligt sind, erhalten Schulungen zu Datenschutz und Sicherheit
• Entwickler*innen werden über Datenminimierungsprinzipien aufgeklärt, insbesondere für KI-Integrationen und Drittanbieterdokumentimporte

2. Zugriffskontrolle

2.1 Logische Zugriffskontrolle

• Rollenbasierte Zugriffskontrolle (RBAC)
• Authentifizierung für alle administrativen Aktionen erforderlich
• Starke Passwortanforderungen
• Passwort-Hashing unter Verwendung branchenüblicher Algorithmen (z.B. bcrypt/argon2)

2.2 Administrativer Zugriff

• Administrativer Zugriff ist auf autorisiertes Personal beschränkt
• Super-Admin-Zugriff nur für:
  • Technische Fehlerbehebung
  • Sicherheitsuntersuchungen
  • Dokumentierte Supportanfragen
• Administrative Aktionen werden protokolliert
• Zugriff unterliegt internen Genehmigungsverfahren, sofern anwendbar

3. Infrastruktursicherheit

3.1 Hosting-Umgebung

• Anwendungs-, Speicher- und Datenbankserver werden auf Infrastruktur bereitgestellt von Hetzner in EU-Rechenzentrumsstandorten gehostet
• Firewalls beschränken unnötige eingehende Verbindungen
• Datenbankserver sind nicht öffentlich zugänglich

3.2 Netzwerksicherheit

• Jegliche externe Kommunikation wird über TLS (HTTPS) verschlüsselt
• Anwendungsverkehr wird über Cloudflare Proxy geleitet
• DDoS-Minderung und Verkehrsfilterung aktiviert
• Sichere DNS-Konfiguration

3.3 Datenbank-Sicherheit

• Datenbankzugriff auf die Anwendungsschicht beschränkt
• Keine öffentlichen Datenbank-Endpunkte
• Zugangsdaten werden sicher mithilfe von Umgebungsvariablen gespeichert
• Regelmäßige Updates und Patches der Systemsoftware

4. Datenisolation (Multi-Tenant-Architektur)

• Strikte Datenabtrennung auf Organisationsebene auf Anwendungsebene durchgesetzt
• Autorisierungsprüfungen an allen Datenzugriffsendpunkten implementiert
• Kein grenzüberschreitender Datenzugriff zwischen Organisationen gestattet, außer für dokumentierte, autorisierte, zeitlich begrenzte Support- oder Sicherheitszugriffe, wie in diesem AVV beschrieben
• KI-Anfragen sind mandantengetrennt (keine Vermischung von Daten unterschiedlicher Mandanten)

5. Verschlüsselung

• TLS 1.2+ für jeglichen externen Verkehr durchgesetzt
• Verschlüsselte API-Kommunikation mit Unterauftragsverarbeitern (OpenAI, Google Cloud und Amazon Simple Email Service (Amazon SES))
• Drittanbieter-Integrationsanmeldeinformationen in verschlüsselter Form gespeichert
• Signierte oder zeitlich begrenzte Dateilinks für nicht-öffentlichen Dateizugriff, sofern anwendbar

6. Backup und Wiederherstellung

• Tägliche automatisierte Datenbank-Backups

• Rollier-Backup-Aufbewahrung von 7 Tagen

• Sichere Speicherung von Backup-Dateien

• Backup-Zugriff auf autorisiertes Personal beschränkt

• Dokumentierte Wiederherstellungs- und Kontinuitätsprozeduren

• Periodische Validierung, dass für die Wiederherstellung erforderliche Backups wiederhergestellt werden können

• Geschützte Löschung von Backups nach dem 7-tägigen Lebenszyklus

• Neuanwendung der geltenden Löschprotokolle, bevor ein wiederhergestelltes Backup Produktionsverkehr bedient

7. Protokollierung und Überwachung

• Anwendungsfehlerprotokollierung aktiviert

• Sicherheitsrelevante Ereignisse protokolliert

• Administrativen Zugriff protokolliert

• Rotierte KI-Dienstprotokolle werden nicht länger als 14 Tage aufbewahrt, vorbehaltlich früherer größenbasierter Rotation

• Andere betriebliche Protokolle der Auftragsverarbeiterin, die personenbezogene Daten des Verantwortlichen enthalten, werden nicht länger als 90 Tage aufbewahrt, es sei denn, es gilt ein kürzerer Zeitraum

• Protokolle gegen unbefugte Änderung geschützt

• Dokumentierte Vorfallklassifizierung, Eskalation, Eindämmung, Beweissicherung und Nachbereitung des Vorfalls

• Risikobasierte Überprüfung und Prüfung der Wirksamkeit technischer und organisatorischer Maßnahmen

• Periodische Überprüfung des Zugriffs, Schwachstellenbehebung und Sicherheits-Update-Prozesse

8. Entwicklungs- und Testkontrollen

• Entwicklungs- und Produktionsumgebungen logisch getrennt
• KI-Analytik in Entwicklungsumgebungen deaktiviert
• Testdaten enthalten nicht vorsätzlich personenbezogene Produktionsdaten
• Bereitstellungsprozesse kontrolliert

9. Datenminimierung bei KI-Verarbeitung

• Die KI-Verarbeitung ist auf folgende beschränkt:
  • Bildungsinhalte
  • Lernpfad-Metadaten
  • Prüfungs-Texte
  • Freiwillig übermittelte freie Text-Anfragen
• Keine vorsätzliche Übermittlung von:
  • Lernenden-Leistungsdaten
  • Prüfungsergebnisse
  • Konten-Identifikatoren
  • Besondere Kategorien personenbezogener Daten
• Enterprise KI-Vereinbarungen verbieten, soweit anwendbar, die Nutzung übermittelter Daten für das Modelltraining.
• Die KI-Verarbeitung erfolgt ausschließlich auf Basis einer Anfrage-Antwort-Basis (kein Massendatenexport).

10. Physische Sicherheit

• Die physische Sicherheit wird von den Infrastrukturanbietern gemanagt, die tatsächlich für die Dienste genutzt werden, einschließlich Hetzner, Cloudflare und den AWS-Einheiten, die Amazon SES in Europa unterstützen (Frankfurt), wie im aktuellen Unterauftragsverzeichnis aufgeführt.
• Die Anbieter unterhalten branchenübliche physische Zugangskontrollen

11. Regelmäßige Überprüfung

• Technische und organisatorische Maßnahmen werden periodisch überprüft
• Angepasst basierend auf:
  • Risikobewertung
  • Infrastrukturänderungen
  • Regulatorische Entwicklungen

Anlage III – Liste der Unterauftragsverarbeiter*innen

Die Unterauftragsverarbeiter*innen sind unter den folgenden Unterüberschriften aufgelistet:

1. Adresse
2. Dienstleistung
3. Standort
4. Übermittlungsmechanismus

OpenAI Ireland Ltd.

1. 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland
2. KI-assistierte Inhaltsverarbeitung und -generierung
3. Europäische Union (primärer Verarbeitungsort); mögliche Übermittlung an US-Tochtergesellschaften
4. Standardvertragsklauseln (SCC) und EU-US Data Privacy Framework (DPF)

Google Cloud (Google LLC / Google Ireland Ltd.)

1. Gordon House, Barrow Street, Dublin 4, Irland
2. KI-Dienste (Gemini)
3. Europäische Union
4. Standardvertragsklauseln (SCC) und EU-US Data Privacy Framework (DPF)

Hetzner Online GmbH / Hetzner Finland Oy

1. Industriestr. 25; 91710 Gunzenhausen; Deutschland
2. Anwendungs-, Objektspeicher- und Datenbankhosting
3. Deutschland / Finnland (EU)
4. Nicht anwendbar

Cloudflare, Inc.

1. 101 Townsend Street, San Francisco, California, 94107-1934, USA
2. Reverse Proxy, Content Delivery Network (CDN), DDoS-Schutz, TLS-Terminierung
3. Europäische Union / USA
4. Standardvertragsklauseln (SCC) und EU-US Data Privacy Framework (DPF), falls anwendbar

Amazon Web Services EMEA SARL

1. 38 Avenue John F. Kennedy, L-1855 Luxemburg. AWS-Infrastruktur-Tochtergesellschaften und Unterauftragsverarbeiter*innen unterliegen dem aktuellen AWS DPA und der AWS Unterauftragsverzeichnis; die relevante Frankfurter Infrastruktur-Einheit ist dort, wo anwendbar, angegeben.
2. Transaktionale und Benachrichtigungs-E-Mail-Zustellung über Amazon Simple Email Service (Amazon SES)
3. Europa (Frankfurt), Deutschland (eu-central-1)
4. Standardvertragsklauseln (SCC) und EU-US Data Privacy Framework (DPF), sofern Daten in ein Drittland übermittelt werden

Decodo (UAB “Data troops”)

1. Švitrigailos str. 34, Vilnius, Litauen
2. On-Demand Web Scraping API, verwendet für bestimmte YouTube-Playlist-, Video-Metadaten- und Transkriptabruf-Flüsse
3. Litauen (EU); die Anfragenweiterleitung kann je nach Ziel und Dienstkonfiguration Infrastruktur oder angeforderte öffentliche Quellen in anderen Ländern beinhalten
4. Nicht anwendbar für die Verarbeitung in Litauen; Standardvertragsklauseln oder ein anderer rechtmäßiger Kapitel V-Schutz gilt, wenn für Weiterübermittlungen erforderlich

Whereby AS

1. Gate 1 no. 107, 6700 Måløy, Norwegen
2. Video-Chat-Unterstützung
3. Norwegen (Europäischer Wirtschaftsraum)
4. Nicht anwendbar