Art. 28 DSGVO · Firmen-Lizenzen

Auftragsverarbeitungsvertrag.

Vereinbarung über die Verarbeitung von Beschäftigtendaten im FloW KI-Führerschein zwischen dem Firmenkunden als Verantwortlichem und FloW Software als Auftragsverarbeiter.

1 · Gegenstand, Dauer und Zweck

(1) Gegenstand der Auftragsverarbeitung ist die technische Bereitstellung und Durchführung des Online-Selbstlernkurses KI-Führerschein für die vom Auftraggeber eingeladenen Beschäftigten. Die Verarbeitung umfasst Kontoverwaltung, Kursdurchführung, Wissenscheck, Zertifikatserstellung und die Anzeige der Nachweise im Admin-Dashboard.

(2) Art und Zweck der Verarbeitung sind das Erheben, Erfassen, Ordnen, Speichern, Auslesen, Verwenden, Übermitteln im Rahmen der Bereitstellung sowie Löschen der Daten, soweit dies zur Vertragserfüllung erforderlich ist.

(3) Die Verarbeitung dauert für die Laufzeit der Firmen-Lizenz und darüber hinaus nur, soweit gesetzliche Aufbewahrungspflichten oder dokumentierte Weisungen des Auftraggebers dies erfordern.

2 · Daten und betroffene Personen

(1) Verarbeitet werden insbesondere Name, E-Mail-Adresse, Firmen- und Sitzzuordnung, Kursfortschritt, Antworten und Prüfungsergebnis, Bestehensstatus sowie Zertifikatsdaten einschließlich Zertifikats-ID und Gültigkeit.

(2) Betroffene Personen sind Beschäftigte, freie Mitarbeitende und sonstige vom Auftraggeber zur Kursteilnahme eingeladene natürliche Personen sowie Administratoren des Firmenkontos.

(3) Besondere Kategorien personenbezogener Daten sind nicht Gegenstand der vereinbarten Verarbeitung. Der Auftraggeber weist die Nutzer an, solche Daten nicht in das System einzugeben.

3 · Verantwortlichkeit und Weisungen

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Datenverarbeitung, die Wahrung der Rechte der betroffenen Personen und die Erteilung rechtmäßiger Weisungen verantwortlich.

(2) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, soweit er nicht durch das Recht der Europäischen Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet ist. In diesem Fall teilt er dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, soweit das Recht eine solche Mitteilung nicht verbietet.

(3) Die anfänglichen Weisungen ergeben sich aus dem Hauptvertrag und diesem AVV. Weitere Weisungen können in Textform erteilt werden. Hält der Auftragnehmer eine Weisung für datenschutzwidrig, informiert er den Auftraggeber unverzüglich und darf ihre Ausführung bis zur Klärung aussetzen.

4 · Pflichten des Auftragnehmers und Vertraulichkeit

(1) Der Auftragnehmer stellt sicher, dass nur befugte Personen auf die Daten zugreifen und diese zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Einhaltung seiner datenschutzrechtlichen Pflichten, insbesondere bei Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen.

(3) Verletzungen des Schutzes personenbezogener Daten im Verantwortungsbereich des Auftragnehmers werden dem Auftraggeber unverzüglich mit den verfügbaren Informationen mitgeteilt. Der Auftragnehmer berichtigt oder löscht Daten nur auf dokumentierte Weisung, soweit nicht eine gesetzliche Pflicht entgegensteht.

5 · Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft angemessene technische und organisatorische Maßnahmen zum Schutz der Daten. Die Maßnahmen werden entsprechend dem technischen Fortschritt und dem Risiko überprüft und weiterentwickelt, ohne das vereinbarte Schutzniveau zu unterschreiten.

(2) Zum bei Vertragsschluss vorgesehenen Schutzkonzept gehören insbesondere:

• Verschlüsselung der Übertragung mittels TLS 1.3 und Verschlüsselung gespeicherter Daten mittels AES-256, soweit vom eingesetzten System unterstützt;
• beschränkter administrativer Zugriff auf Produktionssysteme über SSH mit Zwei-Faktor-Authentisierung;
• rollen- und berechtigungsbezogene Zugriffskontrolle sowie Trennung von Firmenkonten;
• tägliche verschlüsselte Backups mit einer vorgesehenen Aufbewahrung von 30 Tagen;
• Protokollierung administrativer Zugriffe und Pseudonymisierung, wo dies technisch möglich und zweckmäßig ist;
• Verfahren zur Wiederherstellung, regelmäßigen Überprüfung und Anpassung der Schutzmaßnahmen.

6 · Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt die allgemeine Genehmigung, die nachfolgend genannten Unterauftragsverarbeiter einzusetzen. Der Auftragnehmer informiert über beabsichtigte Änderungen. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

• Hostinger International Ltd. bzw. der für den Dienst eingesetzte Hostinger-Anbieter: Hosting der Anwendung, Server, Datenbank, Backups und technischer E-Mail-Versand; vorgesehener Serverstandort Frankfurt am Main, Deutschland.
• Hostinger SMTP/E-Mail-Versand: Versand von Einladungs-, Konto-, Prüfungs- und Zertifikats-E-Mails.
• Mollie: Zahlungsabwicklung für die Firmen-Lizenz, soweit dabei Daten im Auftrag verarbeitet werden; im Übrigen verarbeitet Mollie Zahlungsdaten nach Maßgabe seiner eigenen rechtlichen Rolle und Bedingungen.

(2) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die den in diesem AVV festgelegten Pflichten im Wesentlichen entsprechen. Er bleibt gegenüber dem Auftraggeber für die Erfüllung der vereinbarten Pflichten verantwortlich.

(3) Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums erfolgt nur unter Einhaltung der gesetzlichen Voraussetzungen für internationale Datenübermittlungen.

7 · Unterstützung bei Betroffenenrechten

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen bei der Beantwortung von Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch. Anfragen betroffener Personen, die den Verantwortungsbereich des Auftraggebers betreffen, leitet er unverzüglich an den Auftraggeber weiter und beantwortet sie nicht eigenständig, sofern keine entsprechende Weisung vorliegt.

8 · Löschung und Rückgabe

(1) Nach Ende der Auftragsverarbeitung löscht oder gibt der Auftragnehmer nach Wahl und dokumentierter Weisung des Auftraggebers alle im Auftrag verarbeiteten personenbezogenen Daten und vorhandenen Kopien zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht.

(2) Ohne abweichende Weisung erfolgt die vollständige Löschung der nicht aufbewahrungspflichtigen Daten innerhalb von 30 Tagen nach Vertragsende. Daten in Sicherungskopien werden mit Ablauf des jeweiligen Sicherungszyklus gelöscht und bis dahin nicht mehr produktiv verarbeitet.

9 · Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieses AVV zur Verfügung und ermöglicht angemessene Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten, zur Vertraulichkeit verpflichteten Prüfer.

(2) Kontrollen sind rechtzeitig anzukündigen, während üblicher Geschäftszeiten durchzuführen und auf das erforderliche Maß zu beschränken. Betriebs- und Geschäftsgeheimnisse sowie Rechte anderer Kunden sind zu schützen. Zunächst können geeignete Dokumentationen und Nachweise verwendet werden.

10 · Haftung

Für die Haftung der Parteien gelten die gesetzlichen Datenschutzbestimmungen sowie ergänzend die Haftungsregelungen des Hauptvertrags, soweit diese wirksam anwendbar sind. Jede Partei informiert die andere unverzüglich über geltend gemachte Ansprüche, soweit sie die Auftragsverarbeitung betreffen.

11 · Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses AVV einschließlich Änderungen der Weisungen sollen in Textform dokumentiert werden.

(2) Bei Widersprüchen gehen die Datenschutzregelungen dieses AVV den Regelungen des Hauptvertrags vor. Im Übrigen bleiben die Bestimmungen des Hauptvertrags unberührt.

(3) Es gilt deutsches Recht. Die im Hauptvertrag getroffene Gerichtsstandsregelung gilt entsprechend, soweit gesetzlich zulässig.