Vereinbarung zur Auftragsverarbeitung

VEREINBARUNG ZUR AUFTRAGSVERARBEITUNG NACH ART. 28 DSGVO

zwischen dem Käufer eines Team-Pakets der KI-Kompetenz-Grundschulung, nachfolgend „Verantwortlicher“, und Hannweber Studios, Inhaber Mike Hannweber, Rankenstr. 2, 59387 Ascheberg, nachfolgend „Auftragsverarbeiter“.

Diese Vereinbarung kommt mit dem Erwerb eines Team-Pakets zustande. Sie gilt zusätzlich zu den AGB für den Online-Kurs. Die elektronische Form genügt nach Art. 28 Abs. 9 DSGVO.

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten von Beschäftigten des Verantwortlichen, die für die Durchführung und Dokumentation der KI-Kompetenz-Grundschulung erforderlich ist.

(2) Die Vereinbarung läuft für die Dauer des Kurszugangs. Sie endet mit dessen Ablauf, soweit nicht gesetzliche Aufbewahrungspflichten oder § 8 dieser Vereinbarung entgegenstehen.

§ 2 Art der Verarbeitung, Zweck, Daten, betroffene Personen

(1) Zweck ist die Bereitstellung des Zugangs zum Online-Selbstlernkurs, die Speicherung des Bearbeitungsfortschritts und die Ausstellung sowie Überprüfbarkeit von Teilnahmebescheinigungen.

(2) Verarbeitet werden: E-Mail-Adresse, Vor- und Nachname, Zugehörigkeit zum Team des Verantwortlichen, Bearbeitungsstand der Lernmodule, Datum des Abschlusses und Nummer der Teilnahmebescheinigung.

(3) Betroffene Personen sind die vom Verantwortlichen eingeladenen Beschäftigten.

(4) Die Verarbeitung erfolgt ausschließlich innerhalb der Europäischen Union, soweit sich aus § 6 nichts anderes ergibt.

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Vergabe und Entfernung von Zugängen über die Team-Verwaltung gilt als Weisung.

(2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung aussetzen.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter verarbeitet die Daten persönlich. Werden weitere Personen eingesetzt, verpflichtet er sie zuvor schriftlich zur Vertraulichkeit.

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

(1) Übertragung ausschließlich verschlüsselt über TLS.

(2) Zugang zum Kursbereich nur über persönliche Benutzerkonten; Passwörter werden ausschließlich als kryptografischer Hashwert gespeichert.

(3) Zugriff auf Daten anderer Teilnehmer ist durch Zugriffsregeln auf Datenbankebene ausgeschlossen. Der Verantwortliche sieht ausschließlich die Daten der eigenen Teammitglieder.

(4) Der administrative Zugang zur Datenbank ist auf den Auftragsverarbeiter beschränkt und durch Zwei-Faktor-Authentifizierung geschützt.

(5) Sicherungskopien und Wiederherstellbarkeit werden durch den in § 6 genannten Hosting-Dienstleister gewährleistet.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

Lovable Labs Incorporated, USA, EU-Vertretung Lovable Labs AB, Regeringsgatan 25, 111 53 Stockholm, Schweden — Hosting, Datenbank und Betrieb der Anwendung. Übermittlungen in die USA sind durch EU-Standardvertragsklauseln abgesichert.

Lovable Labs Incorporated, USA, EU-Vertretung Lovable Labs AB, Regeringsgatan 25, 111 53 Stockholm, Schweden — Versand von Einladungs- und Bestätigungsmails über den in der Anwendung genutzten E-Mail-Dienst von Lovable; Lovable setzt hierfür weitere Dienstleister ein. Übermittlungen in die USA sind durch EU-Standardvertragsklauseln abgesichert.

(2) Über beabsichtigte Änderungen informiert der Auftragsverarbeiter mindestens vier Wochen vorher per E-Mail. Der Verantwortliche kann widersprechen; in diesem Fall kann jede Partei den Vertrag zum Wirksamwerden der Änderung kündigen.

§ 7 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen und bei Pflichten nach Art. 32 bis 36 DSGVO.

(2) Verletzungen des Schutzes personenbezogener Daten meldet er dem Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit allen verfügbaren Angaben.

§ 8 Löschung und Rückgabe

(1) Nach Ende der Vereinbarung löscht der Auftragsverarbeiter die Daten der Teammitglieder, sofern keine gesetzliche Aufbewahrungspflicht besteht.

(2) Ausgenommen sind die zur Echtheitsprüfung erforderlichen Angaben ausgestellter Teilnahmebescheinigungen: Bescheinigungsnummer, Name, Datum und Kursbezeichnung. Der Verantwortliche weist den Auftragsverarbeiter an, diese Angaben dauerhaft vorzuhalten, damit ausgestellte Nachweise überprüfbar bleiben. Auf Verlangen des Verantwortlichen oder der betroffenen Person werden auch diese Angaben gelöscht; die betroffene Bescheinigung verliert damit ihre Überprüfbarkeit.

§ 9 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter weist die Einhaltung dieser Vereinbarung auf Anfrage in Textform nach.

(2) Der Verantwortliche kann Überprüfungen durchführen oder durchführen lassen. Sie sind mit angemessener Frist anzukündigen und auf das erforderliche Maß zu beschränken.

§ 10 Schlussbestimmungen

(1) Bei Widersprüchen zwischen dieser Vereinbarung und den AGB für den Online-Kurs geht diese Vereinbarung vor, soweit es um die Verarbeitung personenbezogener Daten geht.

(2) Es gilt deutsches Recht. Ist eine Bestimmung unwirksam, bleibt die Wirksamkeit der übrigen unberührt.