Auftragsverarbeitungsvertrag (AVV)

Verantwortlicher (Auftraggeber):

die Organisation, die die Plattform für die Verwaltung ihrer Mitglieder und deren Weiterbildung nutzt oder Kurse über den Marktplatz anbietet („Organisation“);

Auftragsverarbeiter:

Deutsches Weiterbildungszentrum GmbH, Franz-Lenze-Str. 69, 47178 Duisburg („DWZ“)

Die Rollenverteilung entspricht dem Rollen-Modell der Datenschutzerklärung (Abschnitt 2): DWZ ist für den Betrieb der Plattform selbst Verantwortliche; für die nachfolgend beschriebenen Verarbeitungen im Interesse der Organisation tritt DWZ als Auftragsverarbeiter auf.

DWZ verarbeitet als Auftragsverarbeiter personenbezogene Daten im Rahmen der jeweiligen Verantwortlichkeitssphäre der Organisation (Mitglieder- und Verwaltungsdaten; für anbietende Organisationen: Durchführungsdaten der Kursteilnehmer einschließlich externer Teilnehmer sowie die Abwicklung der über den Marktplatz vermittelten Kursverkäufe — Vermittlung der Zahlung, Rechnungsstellung im Namen der Organisation einschließlich Storno- und Korrekturbelege und Übermittlung der Belege an die Käuferseite; AGB § 6). Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisungen der Organisation im Rahmen dieses Vertrags.

Die Dauer der Verarbeitung ist an die Plattform-Nutzung gekoppelt: Sie beginnt mit Annahme dieses Vertrags bei der Registrierung der Organisation und endet mit Beendigung der Plattform-Nutzung, vorbehaltlich der Lösch- und Rückgabepflichten nach § 7.

Art: Erhebung, Speicherung, Bereitstellung und Übermittlung von personenbezogenen Daten in einer cloudbasierten Lernplattform, einschließlich automatisierter Auswertung von Prüfungsvorgängen.

Zweck: Verwaltung der Organisationsmitglieder, Durchführung und Dokumentation von Weiterbildungen (Lernfortschritt, Prüfungen, Zertifikate), zugehörige Kommunikation, Verwaltung von Dokumenten sowie — für anbietende Organisationen — Vermittlung, Abrechnung und Belegstellung der über den Marktplatz geschlossenen Kursverkäufe im Namen der Organisation.

Betroffene: Mitarbeiter, Schüler und Verwalter der Organisation sowie externe Teilnehmer über den Marktplatz (Mitglieder buchender Organisationen bzw. Privatpersonen) und — für anbietende Organisationen — Rechnungsempfänger auf der Käuferseite (buchende Organisationen und deren Ansprechpartner, kaufende Privatpersonen).

Datenkategorien (Verarbeitungs-Inventur):

• Stammdaten der Org-Mitglieder (Anrede, Name, E-Mail, Telefon, Geburtsdatum, Anschrift, Rolle);
• Weiterbildungsdaten (Einschreibungen, Lernfortschritt, Prüfungsvorgänge einschließlich gegebener Antworten und Ergebnisse, Zertifikate);
• Kommunikationsdaten (Nachrichten, Benachrichtigungen, dokumentierte Korrespondenz);
• Dokumente der Nutzer (Ablage und Ordnerstruktur);
• für anbietende Organisationen: Verkaufs- und Rechnungsdaten der über den Marktplatz geschlossenen Kursverkäufe (Rechnungsdaten der Käuferseite, gebuchte Plätze, Beträge, Zahlungs- und Erstattungsstatus, Rechnungs-, Storno- und Korrekturbelege).

DWZ schützt die Daten durch technische und organisatorische Maßnahmen nach dem Stand der Technik. Die vollständige, verbindliche Beschreibung der Maßnahmen — einschließlich Backup- und Wiederherstellungskonzept, Mandantentrennung und Admin-Zugriffskonzept — enthält Anlage 1 („Technische und organisatorische Maßnahmen“) am Ende dieses Vertrags; sie ist Bestandteil dieses Vertrags.

Die Verarbeitung erfolgt in Rechenzentren der Hetzner Online GmbH (Deutschland; Backups: Finnland).

Derzeit eingesetzte Unterauftragsverarbeiter:

• Hosting: Hetzner Online GmbH (Rechenzentren in Deutschland; Hosting des Kubernetes-Clusters und der Container-Registry);
• Objektspeicher: Hetzner Object Storage, Betreiber Hetzner Online GmbH, EU-Region (eu-central-1); der Zugriff nur über kurzzeitig gültige, signierte URLs;
• Backups: Hetzner Object Storage, Standort Helsinki/Finnland (EU) — räumlich getrennt vom Primärsystem (Aufbewahrung 30 Tage);
• E-Mail-Versand: Plus Five Five, Inc. (Resend), USA — Übermittlung auf Grundlage der EU-Standardvertragsklauseln (Beschluss 2021/914) sowie ergänzend des EU-US Data Privacy Frameworks (Drittländer-Absatz der Datenschutzerklärung);

Weitere Empfänger: Zahlungsdienstleister Stripe Payments Europe, Ltd. (Irland) — für die Zahlungsabwicklung im Verantwortungsbereich des Plattformbetreibers, insbesondere Abonnements (kein Einsatz als Auftragsverarbeiter für die Organisation). Zahlungen für über den Marktplatz verkaufte Kurse werden als Direct Charge über das verbundene Stripe-Konto der anbietenden Organisation abgewickelt; insoweit tritt Stripe im Verantwortungsbereich der anbietenden Organisation auf (die anbietende Organisation schließt beim Verbinden ihres Verkaufskontos eine eigene Vereinbarung mit Stripe ab).

Soweit Unterauftragsverarbeiter Daten außerhalb des EWR übermitteln (derzeit: Resend/Plus Five Five, Inc., USA), erfolgt dies auf Grundlage der in der Datenschutzerklärung genannten Garantien (Standardvertragsklauseln, EU-US Data Privacy Framework), die entsprechend gelten.

Neue oder ersetzte Unterauftragsverarbeiter werden der Organisation vor Beginn der Verarbeitung mitgeteilt; der Organisation steht ein Widerspruchsrecht zu. Alle Unterauftragsverarbeiter sind vertraglich in gleichem Umfang wie DWZ zu den Regelungen dieses Vertrags verpflichtet; bei Ersatz gilt die Nachfolgeregelung entsprechend (bestehende Verpflichtungen werden auf den Nachfolger übertragen).

• Verarbeitung ausschließlich nach dokumentierten Weisungen der Organisation (§ 8); hält DWZ eine Weisung für datenschutzrechtlich unzulässig, weist es die Organisation unverzüglich darauf hin;
• Unterstützung der Organisation bei Auskunfts-, Berichtigungs-, Lösch- und anderen Betroffenenbegehren sowie bei Datenschutz-Folgenabschätzungen, soweit möglich;
• Vertraulichkeit: alle mit der Verarbeitung betrauten Personen werden zur Vertraulichkeit verpflichtet und regelmäßig unterwiesen;
• Meldung von Verletzungen des Schutzes personenbezogener Daten an die Organisation unverzüglich, in der Regel innerhalb von 48 Stunden, mit den für die Organisation wesentlichen Informationen;
• nach Beendigung der Plattform-Nutzung: Löschung oder Rückgabe der verarbeiteten personenbezogenen Daten, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen (vgl. auch § 11 der AGB);
• Bereitstellung aller Auskünfte und Nachweise, die die Organisation zur Einhaltung ihrer Pflichten benötigt; Mitwirkung an Prüfmaßnahmen in der vom Stand der Technik her möglichen Form (insbesondere Fernprüfung).

Die Organisation erteilt Weisungen zum Umfang, Zweck und zur Art der Verarbeitung; Weisungen können über die Funktionen der Plattform (z. B. Mitgliederverwaltung, Zuweisungen, Sperren, Entfernen) oder in Textform erteilt werden. Die Organisation kann sich durch Auskünfte, eingesandte Dokumente und Prüfberichte von der Einhaltung dieses Vertrags überzeugen.

Dieser AVV ist Bestandteil des Nutzungsverhältnisses der Organisation mit DWZ und wird mit der Registrierung ausdrücklich akzeptiert; die Annahme wird dokumentiert. Bei Widersprüchen zwischen diesem Vertrag und anderen Vereinbarungen gehen die Regelungen der DSGVO vor. Es gilt deutsches Recht.