Auftragsverarbeitungsvertrag

Der vorliegende Auftragsverarbeitungsvertrag („AVV“) gilt für die Verarbeitungsmaßnahmen personenbezogener Daten durch die asyoube GmbH, Ratiborer Str. 16, 44795 Bochum (auch als „wir“ oder „Auftragnehmer“ bezeichnet), die gegenüber Kunden (nachfolgend „Auftraggeber“ oder „Sie“ bezeichnet) in Erfüllung des Hauptvertrags erbracht werden.

Präambel

(1) Hauptvertrag im Sinne dieses AVV ist der Vertrag über die Nutzung der asyoube Plattform nach den Allgemeinen Geschäftsbedingungen (AGB) der asyoube GmbH, dort „Vertrag“ oder „Lizenzvertrag“ genannt, gleich ob er als individueller Lizenzvertrag oder durch die Gründung eines Betriebs in der Plattform (Registrierung der handelnden Person, mit der diese den AGB zustimmt, und Annahme dieses AVV im Namen des Betriebs durch Anklicken einer entsprechenden Schaltfläche) geschlossen wird.

(2) Teil der Durchführung des Hauptvertrags ist die Verarbeitung personenbezogener Daten im Sinne der Datenschutz-Grundverordnung („DSGVO“). Zur Erfüllung der Anforderungen des Art. 28 DSGVO an eine solche Verarbeitung schließen die Parteien den nachfolgenden Auftragsverarbeitungsvertrag (auch „Vertrag“). Er wird Bestandteil des Hauptvertrags und gilt mit dessen Wirksamwerden, bei der Gründung eines Betriebs in der Plattform mit der Annahme durch Anklicken der entsprechenden Schaltfläche (Art. 28 Abs. 9 DSGVO). Der Auftragnehmer zeichnet die Annahme mit Zeitpunkt, Fassung und annehmender Person auf und stellt den Text jeder angenommenen Fassung dauerhaft und unverändert unter einer eigenen Adresse abrufbar und speicherbar bereit; die jeweils aktuelle Fassung steht unter https://asyoube.de/legal/avv.

1. Gegenstand und Umfang der Beauftragung

(1) Im Rahmen der Zusammenarbeit der Parteien nach Maßgabe des Hauptvertrags hat der Auftragnehmer Zugriff auf personenbezogene Daten des Auftraggebers (nachfolgend „Auftraggeberdaten“). Diese Auftraggeberdaten verarbeitet der Auftragnehmer im Auftrag und nach Weisung des Auftraggebers im Sinne von Art. 4 Nr. 8 und Art. 28 DSGVO.

(2) Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen sind in Anlage 1 festgelegt. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags.

(3) Die Plattform verarbeitet besondere Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO an einer Stelle: das Abwesenheitskennzeichen „Krank“ im Berichtsheft, ohne ein eigenes Feld für Diagnosen oder sonstige Gesundheitsangaben; einen Grund mit Gesundheitsangabe für das Pausieren einer Mitgliedschaft bietet die Plattform nicht an. Besondere Kategorien personenbezogener Daten, die Nutzende in Freitextfelder eingeben, verarbeitet der Auftragnehmer als Bestandteil des jeweiligen Eintrags mit den für diesen beschriebenen Verarbeitungen. Einzelheiten regelt Anlage 1 Ziffer 1.6. Ob und auf welcher Rechtsgrundlage der Auftraggeber diese Angaben verarbeiten lässt, prüft er in eigener Verantwortung (§ 26 Abs. 3 BDSG, Art. 9 Abs. 2 lit. b DSGVO).

(4) Dem Auftragnehmer ist eine von den in den Anlagen und im Modul-Anhang genannten Verarbeitungen abweichende Verarbeitung von Auftraggeberdaten untersagt.

(5) Die Verarbeitung der Auftraggeberdaten findet grundsätzlich in der Bundesrepublik Deutschland, in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Verarbeitungsorte außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums sowie die dafür bestehenden Garantien ergeben sich, soweit einschlägig, aus der in Anlage 3 genannten Liste. Mit Abschluss dieses AVV weist der Auftraggeber den Auftragnehmer an, Auftraggeberdaten, soweit für die Leistungserbringung erforderlich, an die bei Abschluss in Anlage 3 genannten Unterauftragsverarbeiter auch außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums auf Grundlage der dort genannten Garantien zu übermitteln (Art. 28 Abs. 3 Satz 2 lit. a DSGVO). Dasselbe gilt für Unterauftragsverarbeiter, die nach Ziffer 6 (2) hinzukommen, wenn der Auftraggeber der Änderung nicht innerhalb der Frist widerspricht oder ihr zustimmt, auf Grundlage der in der Mitteilung genannten Garantien.

(6) Die Bestimmungen dieses Vertrags finden Anwendung auf alle Tätigkeiten, die mit dem Hauptvertrag in Zusammenhang stehen. Gleiches gilt für alle Tätigkeiten, bei denen der Auftragnehmer und seine Beschäftigten oder durch den Auftragnehmer Beauftragte mit Auftraggeberdaten in Berührung kommen.

(7) Keine Auftragsverarbeitung im Sinne dieses AVV sind Verarbeitungen, die der Auftragnehmer zu eigenen Zwecken in eigener Verantwortung vornimmt, insbesondere die Abrechnung des Hauptvertrags einschließlich der Zuordnung eingegangener Zahlungen und der Erstattung (Anlage 1 Ziffer 1.9 (2)). Die Weisungsbefugnis des Auftraggebers nach Ziffer 2 erstreckt sich nicht auf diese Verarbeitungen.

2. Weisungsbefugnisse des Auftraggebers

(1) Der Auftragnehmer verarbeitet die Auftraggeberdaten ausschließlich auf dokumentierte Weisung des Auftraggebers im Sinne von Art. 28 DSGVO (Auftragsverarbeitung), auch in Bezug auf eine Übermittlung an ein Drittland oder eine internationale Organisation. Der Auftraggeber hat das alleinige Recht, Weisungen über Art, Umfang und Methode der Verarbeitungstätigkeiten zu erteilen (nachfolgend auch „Weisungsrecht“). Wird der Auftragnehmer durch das Recht der Europäischen Union oder der Mitgliedstaaten, dem er unterliegt, zu einer Verarbeitung verpflichtet, die über die Weisungen des Auftraggebers hinausgeht, teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Weisungen erteilt der Auftraggeber grundsätzlich in Textform (§ 126b BGB, E-Mail genügt); mündlich erteilte Weisungen bestätigt der Auftragnehmer in Textform.

(3) Ist der Auftragnehmer der Ansicht, dass eine Weisung des Auftraggebers gegen datenschutzrechtliche Bestimmungen der Union oder der Mitgliedstaaten verstößt, informiert er den Auftraggeber unverzüglich. Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.

3. Schutzmaßnahmen des Auftragnehmers

(1) Der Auftragnehmer beachtet die gesetzlichen Bestimmungen über den Datenschutz und gibt die aus dem Bereich des Auftraggebers erlangten Informationen nicht an Dritte weiter, außer an Unterauftragsverarbeiter nach Ziffer 6 und soweit er nach Ziffer 2 (1) Satz 3 dazu verpflichtet ist. Unterlagen und Daten werden unter Berücksichtigung des Stands der Technik gegen die Kenntnisnahme durch Unbefugte gesichert.

(2) Der Auftragnehmer verpflichtet alle Personen, die er mit der Bearbeitung und Erfüllung dieses Vertrags betraut (im Folgenden „Beschäftigte“), zur Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO), soweit diese nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Auf Verlangen des Auftraggebers weist der Auftragnehmer die Verpflichtung der Beschäftigten in Textform nach.

(3) Der Auftragnehmer ergreift alle geeigneten technischen und organisatorischen Maßnahmen zum angemessenen Schutz der Auftraggeberdaten gemäß Art. 32 DSGVO, insbesondere die in Anlage 2 aufgeführten Maßnahmen, und hält sie für die Dauer der Verarbeitung der Auftraggeberdaten aufrecht.

(4) Eine Änderung der getroffenen technischen und organisatorischen Maßnahmen bleibt dem Auftragnehmer vorbehalten; er stellt dabei sicher, dass das vertraglich vereinbarte Schutzniveau nicht unterschritten wird.

(5) Auf Verlangen des Auftraggebers weist der Auftragnehmer die Einhaltung der technischen und organisatorischen Maßnahmen nach.

(6) Der Auftragnehmer und die bei ihm Beschäftigten dürfen die nach dem Hauptvertrag zu erbringenden Leistungen und damit auch die Verarbeitung personenbezogener Daten aus der Hauptverwaltung, aus Betriebsstätten, Niederlassungen oder aus dem Home- und Mobile-Office heraus erbringen, sofern die in diesem AVV definierten Schutzmaßnahmen dabei eingehalten werden.

4. Informations- und Unterstützungspflichten des Auftragnehmers

(1) Bei Störungen, Verdacht auf Verletzungen des Schutzes personenbezogener Daten oder vertraglicher Verpflichtungen des Auftragnehmers, Verdacht auf sicherheitsrelevante Vorfälle oder andere Unregelmäßigkeiten bei der Verarbeitung der Auftraggeberdaten durch den Auftragnehmer, bei ihm im Rahmen des Auftrags beschäftigte Personen oder durch Dritte, informiert der Auftragnehmer die beim Auftraggeber hinterlegten Administratorinnen und Administratoren unverzüglich, spätestens aber innerhalb von 48 Stunden, nachdem ihm der Vorfall oder der Verdacht bekannt geworden ist, in Textform. Dasselbe gilt für Prüfungen des Auftragnehmers durch eine Datenschutz-Aufsichtsbehörde, soweit sie die Verarbeitung von Auftraggeberdaten betreffen. Diese Meldungen enthalten zumindest die in Art. 33 Abs. 3 DSGVO genannten Angaben, soweit sie dem Auftragnehmer vorliegen; Angaben, die zunächst nicht vorliegen, reicht er unverzüglich nach (Art. 33 Abs. 4 DSGVO).

(2) Der Auftragnehmer unterstützt den Auftraggeber im vorgenannten Fall unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei dessen Aufklärungs-, Abhilfe- und Informationsmaßnahmen sowie bei den Pflichten nach Art. 32 bis 34 DSGVO.

(3) Der Auftragnehmer stellt dem Auftraggeber auf dessen Anforderung innerhalb angemessener Frist alle Auskünfte und Nachweise zur Verfügung, die zur Durchführung einer Kontrolle erforderlich sind.

5. Sonstige Verpflichtungen des Auftragnehmers

(1) Der Auftragnehmer führt ein Verzeichnis der im Auftrag des Auftraggebers durchgeführten Kategorien von Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO und stellt es dem Auftraggeber auf Verlangen zur Verfügung.

(2) Der Auftragnehmer unterstützt den Auftraggeber bei der Erstellung einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und einer etwaigen vorherigen Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO. Ergänzende Informationen hierzu stellt der Auftragnehmer unter https://asyoube.de/legal/dsfa bereit.

(3) Der Auftragnehmer benennt eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit er dazu nach Art. 37 DSGVO oder § 38 BDSG verpflichtet ist, und teilt die Kontaktdaten auf Anfrage mit. Ansprechstelle für Fragen des Datenschutzes ist hello@asyoube.de.

(4) Werden Auftraggeberdaten beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet, informiert der Auftragnehmer den Auftraggeber unverzüglich, sofern ihm dies nicht durch gerichtliche oder behördliche Anordnung untersagt ist. Der Auftragnehmer informiert in diesem Zusammenhang die zuständigen Stellen unverzüglich darüber, dass die Entscheidungshoheit über die Daten ausschließlich beim Auftraggeber als Verantwortlichem im Sinne der DSGVO liegt.

6. Subunternehmerverhältnisse

(1) Der Auftragnehmer darf die Verarbeitung personenbezogener Daten ganz oder teilweise durch weitere Auftragsverarbeiter (nachfolgend „Unterauftragsverarbeiter“) erbringen lassen. Der Auftraggeber erteilt hiermit die allgemeine Genehmigung für die in Anlage 3 genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 Satz 1 DSGVO).

(2) Beabsichtigt der Auftragnehmer, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, informiert er die beim Auftraggeber hinterlegten Administratorinnen und Administratoren mindestens vier Wochen vor dem Einsatz in Textform und nennt dabei Name, Zweck, Datenkategorien, Verarbeitungsort und Garantien (Anlage 3). Der Auftraggeber kann der Änderung innerhalb von vier Wochen nach Zugang der Information in Textform widersprechen. Solange der Widerspruch nicht geklärt ist, setzt der Auftragnehmer den neuen Unterauftragsverarbeiter für Auftraggeberdaten nicht ein, soweit er die Leistung ohne ihn weiter erbringen kann. Widerspricht der Auftraggeber, suchen die Parteien eine einvernehmliche Lösung; gelingt dies nicht innerhalb von vier Wochen nach dem Widerspruch, kann jede Partei den Hauptvertrag mit einer Frist von einem Monat zum Ende des nächsten Kalendermonats kündigen, entsprechend Ziffer 13 (5) der AGB; im Voraus gezahlte Entgelte für Zeiträume nach Wirksamwerden der Kündigung erstattet der Auftragnehmer anteilig.

(3) Ein Subunternehmerverhältnis im Sinne dieser Ziffer liegt nicht vor, wenn der Auftragnehmer Dritte mit reinen Nebenleistungen beauftragt, etwa Post-, Transport- und Versandleistungen, Reinigungsleistungen oder Telekommunikationsleistungen ohne konkreten Bezug zu den für den Auftraggeber erbrachten Leistungen. Die Pflicht des Auftragnehmers, auch in diesen Fällen Datenschutz und Datensicherheit sicherzustellen, bleibt unberührt.

(4) Der Auftragnehmer vereinbart mit jedem Unterauftragsverarbeiter Regelungen, die inhaltlich den in diesem AVV getroffenen Regelungen entsprechen; insbesondere müssen die vereinbarten technischen und organisatorischen Maßnahmen ein gleichwertiges Schutzniveau aufweisen (Art. 32 DSGVO). Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung dieser Pflichten.

(5) Aktueller Bestand, Zweck, verarbeitete Datenkategorien, Verarbeitungsort und Garantien der Unterauftragsverarbeiter ergeben sich aus Anlage 3.

7. Kontrollrechte

(1) Der Auftraggeber ist berechtigt, sich regelmäßig von der Einhaltung der Regelungen dieses Vertrags zu überzeugen. Hierfür kann er Auskünfte des Auftragnehmers einholen, sich vorhandene Nachweise über technische und organisatorische Maßnahmen vorlegen lassen oder die Verarbeitung und die Maßnahmen zu den üblichen Geschäftszeiten selbst oder durch einen sachkundigen, zur Verschwiegenheit verpflichteten und nicht mit dem Auftragnehmer im Wettbewerb stehenden Dritten, aus der Ferne oder in den Geschäftsräumen des Auftragnehmers, prüfen lassen. Die Wahl zwischen diesen Mitteln trifft der Auftraggeber; vorgelegte Nachweise schließen eine Prüfung nicht aus. Auf Verlangen stellt der Auftragnehmer dem Auftraggeber die Nachweise zu den Unterauftragsverarbeitern bereit, über die er verfügt, einschließlich der Verträge nach Ziffer 6 (4) mit Ausnahme von Geschäftsgeheimnissen.

(2) Der Auftraggeber führt Kontrollen nur im erforderlichen Umfang durch, kündigt sie in Textform mindestens zwei Wochen vorher an, bei konkretem Verdacht einer Verletzung dieses Vertrags unverzüglich, und nimmt angemessene Rücksicht auf die Betriebsabläufe des Auftragnehmers. Jede Partei trägt ihre eigenen Kosten. Der Auftragnehmer wirkt an der Prüfung mit.

(3) Der Auftraggeber dokumentiert das Kontrollergebnis und teilt es dem Auftragnehmer mit. Bei Fehlern oder Unregelmäßigkeiten informiert er den Auftragnehmer unverzüglich und teilt ihm notwendige Verfahrensänderungen mit.

8. Rechte Betroffener

(1) Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von dessen Pflichten nach Art. 12 bis 22 DSGVO und unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO. Verfügt der Auftraggeber nicht selbst über die entsprechenden Informationen, gibt der Auftragnehmer ihm unverzüglich, spätestens innerhalb von 14 Werktagen, die gewünschte Auskunft über Auftraggeberdaten.

(2) Macht eine betroffene Person ihre Rechte nach Art. 16 bis 18 DSGVO geltend, berichtigt, löscht oder schränkt der Auftragnehmer die Auftraggeberdaten auf Weisung des Auftraggebers unverzüglich, spätestens binnen 7 Werktagen, ein. Ausgenommen sind die Daten, die nach Anlage 1 Ziffer 1.7 (1) und Anlage 2 Ziffer 2.10 (2) bestehen bleiben. Betrifft die Weisung Einträge, die in einem Jahresarchiv nach Anlage 1 Ziffer 1.7 (3) abgelegt sind, legt der Auftragnehmer dieses Jahresarchiv innerhalb derselben Frist entsprechend geändert neu ab. Auf Verlangen weist der Auftragnehmer die Löschung, Berichtigung oder Einschränkung in Textform nach.

(3) Macht eine betroffene Person Rechte unmittelbar gegenüber dem Auftragnehmer geltend, leitet der Auftragnehmer das Ersuchen an den Auftraggeber weiter und wartet dessen Weisung ab. Ohne Einzelweisung tritt der Auftragnehmer nicht mit der betroffenen Person in Kontakt.

9. Laufzeit und Kündigung

(1) Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Er endet automatisch mit Beendigung des Hauptvertrags. Ist der Hauptvertrag ordentlich kündbar, gelten die Regelungen zur ordentlichen Kündigung des Hauptvertrags entsprechend für diesen Vertrag.

(2) Verarbeitet der Auftragnehmer vor Ablauf des Hauptvertrags keine Auftraggeberdaten mehr, endet dieser Vertrag ebenfalls automatisch.

(3) Das Recht beider Parteien zur Kündigung des Hauptvertrags aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund liegt für den Auftraggeber insbesondere vor, wenn der Auftragnehmer trotz Fristsetzung in Textform erheblich oder wiederholt gegen diesen Vertrag verstößt oder eine Weisung nach Ziffer 2 nicht befolgt; für den Auftragnehmer, wenn der Auftraggeber auf einer Weisung besteht, die der Auftragnehmer nach Ziffer 2 (3) als rechtswidrig mitgeteilt hat.

10. Löschung und Rückgabe nach Vertragsende

(1) Bis zum Wirksamwerden der Beendigung des Hauptvertrags kann der Auftraggeber in Textform wählen, ob der Auftragnehmer die Auftraggeberdaten nach der Beendigung löscht oder zurückgibt; er kann die Wahl bis dahin ändern. Trifft er keine Wahl, weist er den Auftragnehmer an, die Auftraggeberdaten nach der Beendigung bei deaktiviertem Zugang bis zu seinem Löschungsantrag zu verwahren (Absatz 2). Zur Rückgabe erhält der Auftraggeber auf Anforderung einen Auszug der Betriebsdaten in einem gängigen maschinenlesbaren Format; die Exporte der Verwaltung für Mitglieder, Standorte, Teams, Kostenstellen und Protokoll sind ein solcher Auszug. Auszubildende können ihren Ausbildungsnachweis jederzeit selbst als PDF-Dokument exportieren. Nach Beendigung des Hauptvertrags deaktiviert der Auftragnehmer den Zugang des Betriebs; das Führen, Durchsehen und Vorlegen des Ausbildungsnachweises (§ 13 Satz 2 Nr. 7, § 14 Abs. 2, § 43 Abs. 1 Nr. 2 BBiG) sowie dessen Aufbewahrung bleiben Sache des Auftraggebers und der von ihm ausgebildeten Personen, deren Zugang zu den eigenen Berichtsheft-Daten von der Beendigung des Hauptvertrags unberührt bleibt.

(2) Der Auftragnehmer löscht die dem Betrieb zugeordneten Auftraggeberdaten, soweit hierfür keine gesetzliche Aufbewahrungsfrist besteht, vollständig und unwiderruflich, mit Ausnahme der in Anlage 1 Ziffer 1.7 (1) und Anlage 2 Ziffer 2.10 (2) genannten Daten. Dazu kann der Auftraggeber die Löschung des Betriebs jederzeit in der Verwaltung beantragen; die Löschung beginnt dreißig Tage nach dem Antrag, und jede Administratorin und jeder Administrator des Betriebs kann sie bis dahin widerrufen. Beantragt der Auftraggeber die Löschung nicht, bleiben die Auftraggeberdaten nach der Beendigung des Hauptvertrags bei deaktiviertem Zugang gespeichert, bis er sie beantragt; der Auftragnehmer kann die Löschung nach Ablauf von neunzig Tagen ohne Nutzung seit dem Ende der Lizenz einleiten, nachdem er sie der Administration zweimal in Textform angekündigt hat. Die Konten der Auszubildenden mit ihren Berichtsheft-Daten gehören nicht zu den dem Betrieb zugeordneten Auftraggeberdaten im Sinne dieses Absatzes; sie bleiben bei der Löschung des Betriebs für die jeweilige auszubildende Person bestehen und werden nach Anlage 1 Ziffer 1.7 (1) gelöscht. Datensicherungen beim Datenbank-Dienstleister werden im Rahmen von dessen Aufbewahrungszyklus überschrieben. Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Verarbeitung dienen, sind von der Löschung ausgenommen; der Auftragnehmer bewahrt sie 6 Monate auf und gibt sie auf Verlangen an den Auftraggeber heraus.

(3) Rechnungen, Rechnungskorrekturen und sonstige Abrechnungsdaten bewahrt der Auftragnehmer in eigener Verantwortung nach den gesetzlichen Fristen auf (§ 147 AO, § 14b UStG); sie sind nicht Teil der Löschung nach Absatz 2.

(4) Der Auftragnehmer bestätigt dem Auftraggeber die Löschung in Textform. Der Auftraggeber hat das Recht, die vollständige und vertragsgerechte Löschung in geeigneter Weise zu kontrollieren.

(5) Der Auftragnehmer ist verpflichtet, auch über das Ende des Hauptvertrags hinaus die ihm im Zusammenhang mit dem Hauptvertrag bekannt gewordenen Daten vertraulich zu behandeln.

11. Haftung

(1) Die Haftung der Parteien gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO und wird durch den Hauptvertrag nicht beschränkt. Im Verhältnis der Parteien zueinander, auch für den Rückgriff nach Art. 82 Abs. 5 DSGVO und für Pflichtverletzungen aus diesem Vertrag, gelten die Haftungsregelungen in Ziffer 7 der AGB, insbesondere Absatz 3 (unbeschränkte Haftung bei Vorsatz, grober Fahrlässigkeit und der Verletzung von Leben, Körper oder Gesundheit). Eine Haftungsobergrenze nach der Höhe des Auftragswerts in Ziffer 7 Absatz 2 der AGB gilt für Ansprüche wegen der Verletzung von Datenschutzpflichten aus diesem Vertrag nicht. Ziffer 7 Absatz 5 der AGB gilt für Ansprüche betroffener Personen nach Art. 82 DSGVO nur, soweit die andere Partei nach Art. 82 Abs. 5 DSGVO anteilig verantwortlich ist.

(2) Hat eine Partei einer betroffenen Person nach Art. 82 Abs. 4 DSGVO den gesamten Schaden ersetzt, kann sie von der anderen Partei den Teil des Ersatzes zurückfordern, der deren Anteil an der Verantwortung für den Schaden entspricht (Art. 82 Abs. 5 DSGVO). Wer nachweist, dass er in keinerlei Hinsicht für den Umstand verantwortlich ist, durch den der Schaden eingetreten ist, schuldet keinen Ausgleich. Wird gegen eine Partei eine Geldbuße verhängt, richten sich Ansprüche gegen die andere Partei nach den gesetzlichen Vorschriften.

12. Vertraulichkeit und Datengeheimnis

(1) Der Auftragnehmer beachtet die gleichen Geheimnisschutzregeln, wie sie dem Auftraggeber obliegen.

(2) Es besteht eine Verschwiegenheitspflicht für die Beschäftigten des Auftragnehmers und durch ihn beauftragte Dritte. Der Auftragnehmer verpflichtet die bei der Verarbeitung von Auftraggeberdaten beschäftigten Personen gemäß Art. 28 Abs. 3 lit. b DSGVO in Textform auf die Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Auftragnehmer dokumentiert diese Verpflichtung und legt sie dem Auftraggeber auf Verlangen vor.

(3) Der Auftragnehmer bestätigt, dass ihm die einschlägigen datenschutzrechtlichen Vorschriften bekannt sind, und macht die mit der Durchführung der Arbeiten beschäftigten Personen mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut.

(4) Die in dieser Ziffer geregelten Verschwiegenheitspflichten bestehen auch nach Beendigung des Vertragsverhältnisses fort.

(5) Der Auftragnehmer ist darüber hinaus nach den jeweils geltenden gesetzlichen Bestimmungen, insbesondere § 3 TDDDG, § 203 StGB sowie §§ 4, 23 GeschGehG, und gegebenenfalls besonderen berufsständischen Verschwiegenheitspflichten verpflichtet, alle Informationen und Daten, die ihm im Rahmen der vertraglich vereinbarten Leistungen zur Kenntnis gelangen, geheim zu halten und nicht an Dritte weiterzugeben (vertrauliche Informationen). Vertrauliche Informationen sind insbesondere Geschäfts- und Betriebsgeheimnisse sowie die persönlichen, rechtlichen und wirtschaftlichen Verhältnisse des Auftraggebers, seiner Kundinnen und Kunden sowie der für ihn tätigen Personen. Eine Information ist nicht vertraulich, wenn sie zu dem Zeitpunkt, zu dem der Auftragnehmer von ihr Kenntnis erlangt hat, bereits öffentlich bekannt war, oder wenn sie später mit Zustimmung des Auftraggebers öffentlich bekannt geworden ist.

(6) Der Auftragnehmer verpflichtet alle Beschäftigten, die im Rahmen der Tätigkeit für den Auftraggeber Kenntnis von vertraulichen Informationen des Auftraggebers erlangen, ebenso wie sich selbst.

(7) Beauftragt der Auftragnehmer Dritte, trägt er dafür Sorge, dass die Anforderungen der Absätze 1 bis 6 entsprechend umgesetzt werden.

13. Schlussbestimmungen

(1) Die Parteien sind sich einig, dass die Einrede des Zurückbehaltungsrechts durch den Auftragnehmer im Sinne von § 273 BGB hinsichtlich der zu verarbeitenden Daten und der zugehörigen Datenträger ausgeschlossen ist.

(2) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform (§ 126b BGB). Die Annahme durch Anklicken einer entsprechenden Schaltfläche in der Plattform genügt; der Auftragnehmer stellt den Text abrufbar und speicherbar bereit.

(3) In Fragen des Schutzes personenbezogener Daten gehen die Regelungen dieses AVV den Regelungen des Hauptvertrags vor; die Haftung der Parteien untereinander richtet sich nach Ziffer 11. Im Übrigen gelten die AGB neben diesem AVV. Ist eine Bestimmung dieses Vertrags unwirksam oder nicht Vertragsbestandteil geworden, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung treten die gesetzlichen Vorschriften (§ 306 Abs. 2 BGB).

(4) Diese Vereinbarung unterliegt deutschem Recht. Ist der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist ausschließlicher Gerichtsstand für alle sich aus dieser Vereinbarung ergebenden Streitigkeiten, soweit gesetzlich keine ausschließliche Zuständigkeit besteht, der Sitz des Auftragnehmers (§ 38 Abs. 1 ZPO). Für Vereine, Stiftungen und andere juristische Personen des privaten Rechts, die nicht Kaufmann sind, bleibt es bei den gesetzlichen Gerichtsständen.

(5) Dieser AVV trägt eine Fassungskennung (JJJJ-MM). Ändert der Auftragnehmer den AVV, teilt er die neue Fassung den beim Auftraggeber hinterlegten Administratorinnen und Administratoren des Betriebs mindestens einen Monat vor deren Geltung in Textform mit. Die neue Fassung gilt, wenn der Auftraggeber sie durch Anklicken einer entsprechenden Schaltfläche annimmt. Ist die Änderung aufgrund geänderter rechtlicher oder technischer Anforderungen erforderlich, senkt sie das vereinbarte Schutzniveau nicht und ändert sie weder Gegenstand, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen noch die Pflichten des Auftraggebers zu dessen Nachteil, gilt die neue Fassung auch dann, wenn der Auftraggeber ihr nicht innerhalb eines Monats nach Zugang der Mitteilung in Textform widerspricht; auf die Frist, das Widerspruchsrecht und diese Folge weist der Auftragnehmer in der Mitteilung gesondert hin. Widerspricht der Auftraggeber, gilt die bisherige Fassung fort; kann der Auftragnehmer den Hauptvertrag ohne die Änderung rechtlich oder tatsächlich nicht fortführen, ist er berechtigt, ihn mit einer Frist von einem Monat zum Ende des nächsten Kalendermonats zu kündigen, entsprechend Ziffer 13 (5) der AGB. Für Unterauftragsverarbeiter gilt ausschließlich Ziffer 6 (2).

Anlagen

• • Anlage 1: Festlegungen zum Vertrag
• • Anlage 2: Technische und organisatorische Maßnahmen
• • Anlage 3: Unterauftragsverarbeiter
• • Modul-Anhang: Zusätzliche Festlegungen für gebuchte Module

Anlage 1: Festlegungen zum Vertrag

1.1 Hauptvertrag

(1) Hauptvertrag ist der in Präambel (1) bestimmte Vertrag über die Nutzung der asyoube Plattform.

1.2 Gegenstand und Dauer

(1) Gegenstand der Beauftragung ist eine Plattform für Ausbildungsbetriebe mit den Funktionen Betriebsverwaltung (Mitglieder, Rollen, Standorte, Teams, Kostenstellen, Stammdaten, Protokoll), digitales Berichtsheft mit Freigabe und PDF-Export, individualisiertes Lernen mit Übungen, Prüfungsmodus und Korrektur sowie Auswertungen zu den Auszubildenden.

(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags (Ziffer 9 des AVV).

1.3 Art und Zweck der Verarbeitung

(1) Betriebsverwaltung: Verwaltung von Mitgliedschaften, Rollen, Standorten, Teams und Kostenstellen sowie Führung eines Protokolls der Verwaltungs- und Berichtsheft-Vorgänge und dessen Ablage als Jahresarchiv (Ziffer 1.7 (3)).

(2) Berichtsheft: Erfassung von Tageseinträgen, Strukturierung in Tätigkeiten, Freigabe durch Ausbildende Personen, soweit der Betrieb das Modul nach Modul-Anhang b. nutzt, auch in mehrstufigen Freigabe-Workflows, und PDF-Export des Ausbildungsnachweises nach § 13 Satz 2 Nr. 7 BBiG.

(3) Lernen: Bereitstellung von Übungsaufgaben und eines Prüfungsmodus, Erfassung von Übungs- und Prüfungsantworten und automatisierte Korrektur, Fortschreibung eines Kompetenzmodells je Lernziel, das automatisiert steuert, welches Übungsmaterial als Nächstes vorgeschlagen wird.

(4) Auswertungen: Bereitstellung von Kompetenz-, Kalibrierungs-, Aktivitäts- und Risikokennzahlen der Auszubildenden für Ausbildende Personen (für die ihnen zugeordneten Auszubildenden und die Auszubildenden der aktiven Teams, die sie betreuen) sowie für Ausbildungsleitung und Administration (für alle Auszubildenden des Betriebs), soweit diese eine aktive Lizenz haben; die Risikoeinstufung erfolgt je Lernfeld und je auszubildender Person und berücksichtigt neben den Kompetenzwerten überfällige Berichtsheft-Wochen und die Dauer seit der letzten Aktivität. Jedes Konto erhält beim ersten Beitritt zu einem Betrieb einmalig einen Probemonat von 30 Tagen mit vollem Funktionsumfang, unabhängig von einer Modulbuchung.

(5) Abrechnung: Die Abrechnung des Hauptvertrags (Rechnungen und Rechnungskorrekturen, Zuordnung eingegangener Überweisungen anhand der Kontoauszüge, Erstattungen, Zahlungserinnerungen und Mahnungen sowie die Sperre der Verwaltung bei Zahlungsverzug) erfolgt in eigener Verantwortung des Auftragnehmers und ist nicht Gegenstand dieser Auftragsverarbeitung (Ziffer 1.9 (2)).

(6) Support: Bearbeitung von Support-Anfragen des Betriebs.

(7) Der Auftraggeber weist den Auftragnehmer an, Berichtsheft-Freitexte KI-gestützt in Tätigkeiten zu strukturieren, Übungsaufgaben KI-gestützt zu erzeugen und Übungs- und Prüfungsantworten KI-gestützt zu korrigieren. Auszubildende prüfen und bestätigen die strukturierten Tätigkeiten vor der Freigabe. Ausbildende Personen mit eigener Lizenz können die Bewertung einer automatisiert korrigierten Übung nachträglich durch eine eigene Bewertung ausgleichen; die ursprüngliche Bewertung bleibt gespeichert, Antworttext und Rückmeldung sehen sie dabei nicht. Der Auftragnehmer kennzeichnet in der App automatisch erzeugte Bewertungen von Freitext-Antworten sowie KI-gestützt strukturierte Tätigkeiten gegenüber den Nutzenden als solche. Diese Anweisung erfasst die KI-gestützte Verarbeitung ausdrücklich als Auftragsverarbeitung.

(8) Auswertungstabelle: Das tägliche Übernehmen bereinigter Berichtsheft-Angaben in eine Auswertungstabelle zur Verbesserung des Dienstes erfolgt nicht im Auftrag des Auftraggebers. Daten von Berichtsheft-Wochen, die einem Betrieb zugeordnet sind oder waren, nimmt der Auftragnehmer in diese Tabelle nicht auf.

(9) Benachrichtigung: Versand von E-Mails der Plattform an Mitglieder des Betriebs und an eingeladene Personen über den in Anlage 3 genannten E-Mail-Dienst, insbesondere Einladungen, Bestätigungscodes, Benachrichtigungen zu Berichtsheft-Vorgängen, Fristen und Prüfungsterminen, Wochenüberblicke und Rechnungen; wie oft Benachrichtigungen und Wochenüberblicke versandt werden, richtet sich nach den Benachrichtigungseinstellungen der Nutzenden. Die E-Mails enthalten Name und E-Mail-Adresse der Empfängerinnen und Empfänger, die Namen der Personen, auf die sich eine Benachrichtigung bezieht, und Angaben zu Berichtsheft-Status und Lernaktivität, aber keine Abwesenheitskennzeichen und keine Pausengründe. Über denselben E-Mail-Dienst empfängt der Auftragnehmer Support-Anfragen nach Absatz (6).

(10) Betriebsüberwachung: Erfassung technischer Protokolle, Kennzahlen und Ablaufverfolgungen der Plattform zur Fehleranalyse, zur Sicherheit und zur Sicherung der Verfügbarkeit in einem zentralen Überwachungssystem, das der in Anlage 3 genannte Dienstleister für den Auftragnehmer betreibt (Anlage 2 Ziffer 2.5 (2)).

(11) Berechtigungsprüfung: Prüfung, welche Funktionen einem Nutzerkonto aufgrund einer Lizenz des Betriebs, eines Probemonats oder eines eigenen Kaufs zur Verfügung stehen; dafür wird die pseudonyme Kennung jedes angemeldeten Nutzerkontos an den in Anlage 3 genannten Dienstleister für die Verwaltung von Abonnements übermittelt, auch wenn die Person nichts gekauft hat.

(12) Ausbildungsverhältnis und Betreuung: Verwaltung der Angaben zum Ausbildungsverhältnis der Auszubildenden (Beruf, Beginn, geplantes Ende, Probezeit, Verkürzung oder Verlängerung, Teilzeit, Prüfungstermine), der Zuordnung der Auszubildenden zu Ausbildenden Personen, Teams und Standorten, der Feedbackgespräch-Notizen der Ausbildenden Personen sowie der Nachweise zu Freigaben und Protokoll als PDF-Dokument mit Prüfcode; Einrichtung der Anmeldung über den Identitätsdienst des Betriebs (Single Sign-on), soweit der Betrieb sie einrichtet, einschließlich der bestätigten E-Mail-Domains.

1.4 Kategorien der Daten

(1) Die Verarbeitung umfasst folgende Kategorien personenbezogener Daten:

• • Konto- und Identitätsdaten: beim Identitätsdienst geführt, insbesondere Name, E-Mail-Adresse und Authentifizierungsdaten sowie, bei Einrichtung der Anmeldung über den Identitätsdienst des Betriebs, Verbindungsdaten; in der Datenbank des Auftragnehmers Kennungen, Rolle, Status und Zeitstempel sowie Namen zum Zeitpunkt einer Handlung in Freigabekette, Wochenverlauf und Protokoll
• • Betriebs-Stammdaten: Firmierung, Anschrift, Umsatzsteuer-Identifikationsnummer, Rechnungs-E-Mail-Adresse, Standorte, Teams, Kostenstellen
• • Berichtsheft: Tageseinträge als Freitext, strukturierte Tätigkeiten, Lernfeld-Zuordnung, Freigabekette und Wochenverlauf mit den Namen der beteiligten Personen zum Zeitpunkt der Handlung, exportierte PDF-Dokumente mit vollständigem Namen
• • Ausbildungsverhältnis und Zuordnung: Beruf, Beginn, geplantes Ende, Probezeit, Verkürzung oder Verlängerung, Teilzeit, Prüfungstermine, Lehrjahr, Zuordnung zu Ausbildenden Personen, Teams und Standorten
• • Feedbackgespräch-Notizen: Datum, Freitext, Name der Verfasserin oder des Verfassers
• • Nachweise: Freigabe-Erklärungen, Prüfcodes und Nachweis-Dokumente mit den Namen der beteiligten Personen
• • Single Sign-on: bestätigte E-Mail-Domains, Verbindungsdaten zum Identitätsdienst des Betriebs, Anmeldemodus
• • Abwesenheitskennzeichen: „Krank“, „Urlaub“, „Feiertag“ und „Ferien“
• • Pausen von Mitgliedschaften, wahlweise mit dem Grund „Elternzeit“ oder „Sonstiges“
• • Lern- und Kompetenzdaten: Übungs- und Prüfungsantworten, Bewertungen und Rückmeldetexte, Kompetenz-Schätzung je Lernziel, Kalibrierungs- und Risikokennzahlen, mögliche Fehlvorstellungen je Übungsversuch
• • Nutzungsdaten: Anzahl und Zeitpunkt der Anmeldungen, letzte Aktivität, Sitzungen, Lernzeit und Lernserie
• • Protokoll: Verwaltungs- und Berichtsheft-Vorgänge (unter anderem Rollenänderungen, Einladungen mit gekürzter E-Mail-Adresse, Pausierungen mit Grund, Beitritt und Austritt, Abgabe, Freigabe und Rückgabe von Wochen) mit handelnder Person, Handlung, Ziel, Zeitpunkt, den Namen der beteiligten Personen und den geänderten Werten; je Kalenderjahr auch als Jahresarchiv nach Ziffer 1.7 (3)
• • Benachrichtigungen: E-Mail-Adresse und Name der Empfängerinnen und Empfänger, Inhalt der E-Mails, Benachrichtigungseinstellungen sowie Zustell- und Abmeldestatus
• • Abrechnungsdaten (nur in eigener Verantwortung des Auftragnehmers nach Ziffer 1.9 (2), nicht im Auftrag): Rechnungsdaten und Zahlungsstatus des Betriebs, Angaben zu eingegangenen Überweisungen (zahlende Stelle, Bankverbindung, Verwendungszweck) zur Zuordnung zu Rechnungen und, für eine Erstattung, die vom Betrieb genannte Bankverbindung
• • Berechtigungsdaten: Lizenz-, Probemonats- und Abonnementstatus je Nutzerkonto
• • Technische Daten: Geräte- und Verbindungsdaten, insbesondere IP-Adressen, technische Protokolle und Ablaufverfolgungen mit pseudonymen Nutzerkennungen und Fehlertexten sowie Kennzahlen, soweit für den Betrieb der Plattform erforderlich

1.5 Kategorien betroffener Personen

(1) Als Kategorien betroffener Personen kommen in Betracht:

• • Auszubildende, auch minderjährige Auszubildende (Jugendliche im Sinne des Jugendarbeitsschutzgesetzes); die Plattform erfasst das Alter nicht
• • Ausbildende Personen und Ausbildungsleitung, also die vom Auftraggeber in der Plattform mit Ausbildungsaufgaben betrauten Personen; „Ausbildende Personen“ bezeichnet in diesem AVV nicht den Auftraggeber als Ausbildenden im Sinne des Berufsbildungsgesetzes
• • Administratorinnen und Administratoren des Betriebs
• • Eingeladene Personen vor Annahme der Einladung
• • Dritte, die Nutzende in Freitexten erwähnen, etwa Kolleginnen und Kollegen oder Kundinnen und Kunden
• • Ansprechpersonen für die Abrechnung (nur in eigener Verantwortung des Auftragnehmers nach Ziffer 1.9 (2))

(2) Erziehungsberechtigte sind keine Nutzenden der Plattform und keine eigene Kategorie betroffener Personen im Sinne dieser Anlage. Das Alter der Auszubildenden kennt der Auftraggeber; er trägt dem besonderen Schutz minderjähriger Auszubildender in seinen Weisungen und Freigabeprozessen Rechnung.

1.6 Besondere Kategorien personenbezogener Daten

(1) Das Abwesenheitskennzeichen „Krank“ im Berichtsheft ist für die zugeordneten Ausbildenden Personen, die Ausbildungsleitung und die Administration sichtbar, wird im PDF-Export gedruckt und ebenso im Sammel-PDF (Zeitraum-Export), das bis zu 24 Stunden nach seiner letzten Erstellung gespeichert bleibt, in der Wochenansicht und in der Übersicht der Ausbildenden Personen, der Ausbildungsleitung und der Administration angezeigt; es wird nicht in E-Mails der Plattform aufgenommen und nicht in die Auswertungstabelle nach Ziffer 1.3 (8) übernommen; ein eigenes Feld für Diagnosen oder sonstige Gesundheitsangaben besteht nicht.

(2) Beim Pausieren einer Mitgliedschaft bietet die Plattform keinen Grund an, der eine Gesundheitsangabe enthält; wählbar sind nur „Elternzeit“ und „Sonstiges“, ein Grund ist nicht erforderlich.

(3) Freitextfelder sollen keine Gesundheitsangaben enthalten; dies technisch zu verhindern, ist nicht Gegenstand dieser Beauftragung. Gibt eine Person solche Angaben dennoch ein, durchlaufen sie die für den jeweiligen Eintrag beschriebenen Verarbeitungen, einschließlich der Übermittlung an die Sprachmodelle nach Anlage 2 Ziffer 2.10 (1).

1.7 Dauer und Löschung

(1) Konten: Löschung auf Antrag der betroffenen Person; Berichtsheft-Einträge bleiben dabei ohne festgelegte Frist erhalten, Lern- und Kompetenzdaten unter der bisherigen pseudonymen Kennung (Anlage 2 Ziffer 2.10 (2)).

(2) Betriebsende: Der Auftraggeber erhält bis zum Wirksamwerden der Beendigung auf Anforderung einen Auszug der Betriebsdaten; danach deaktiviert der Auftragnehmer den Zugang des Betriebs und löscht oder gibt zurück nach Ziffer 10 des AVV. Die Konten der Auszubildenden mit ihren Berichtsheft-Daten bleiben dabei nach Ziffer 10 (2) bestehen.

(3) Protokoll: Einträge 365 Tage; danach löscht der Auftragnehmer sie automatisiert, sobald das Jahresarchiv ihres Kalenderjahres abgelegt ist, in der Regel innerhalb von 14 Tagen. Ab dem 1. Januar legt der Auftragnehmer das Protokoll des vergangenen Kalenderjahres als Jahresarchiv ab, eine Datei je Jahr, die die Administration herunterladen kann; die Jahresarchive bleiben bis zur Löschung des Betriebs nach Ziffer 10 (2) des AVV gespeichert. Ziffer 8 (2) des AVV bleibt unberührt.

(4) Rechnungen und Abrechnungsdaten: in eigener Verantwortung des Auftragnehmers, gesetzliche Frist (§ 147 AO, § 14b UStG).

(5) Technische Protokolle, Kennzahlen und Ablaufverfolgungen im zentralen Überwachungssystem: 90 Tage.

(6) Feedbackgespräch-Notizen: bis zur Löschung durch die Verfasserin oder den Verfasser oder durch die Administration, spätestens mit der Löschung des Betriebs nach Ziffer 10 (2) des AVV; eine feste Frist besteht nicht.

(7) Nachweis-Datensätze (Prüfcode, Prüfsumme, Zeitraum): 1.095 Tage; die Nachweis-Dokumente selbst speichert der Auftragnehmer nicht.

1.8 Verarbeitungsorte

(1) Die Verarbeitungsorte je Unterauftragsverarbeiter, einschließlich etwaiger Drittlandtransfers und der dafür bestehenden Garantien, ergeben sich aus der in Anlage 3 genannten Liste.

1.9 Verarbeitungen in eigener Verantwortung des Auftragnehmers

(1) Nutzende können in der App einwilligen, dass pseudonyme Nutzungs- und Fehlerdaten zur Produktanalyse und Fehlerdiagnose an die in der Datenschutzerklärung der App genannten Dienstleister übermittelt werden. Diese Verarbeitung erfolgt zu eigenen Zwecken des Auftragnehmers und in dessen Verantwortung; sie ist nicht Gegenstand dieses AVV und erfolgt nicht im Auftrag des Auftraggebers.

(2) Abrechnung: Der Auftragnehmer verarbeitet die Rechnungs- und Zahlungsdaten des Betriebs (Firmierung, Anschrift, Umsatzsteuer-Identifikationsnummer, Rechnungs-E-Mail-Adresse, Ansprechperson für die Abrechnung, Zahl der abgerechneten Auszubildenden, Rechnungen und Rechnungskorrekturen) sowie die Daten eingegangener und erstatteter Überweisungen (Name der zahlenden Stelle, Kontoverbindung, Buchungstag, Betrag, Verwendungszweck) zur Erfüllung des Hauptvertrags, zur Zuordnung von Zahlungen zu Rechnungen, zur Mahnung, zur Erstattung und zur Erfüllung steuer- und handelsrechtlicher Aufbewahrungspflichten in eigener Verantwortung (Art. 4 Nr. 7 DSGVO; Art. 6 Abs. 1 lit. b, c und f DSGVO, § 147 AO, § 14b UStG). Dasselbe gilt für die Erklärung des Betriebs zur Gemeinnützigkeit und den hochgeladenen Bescheid, die der Auftragnehmer zur Bestimmung der Preisstufe nach den AGB verarbeitet; der Bescheid wird gelöscht, wenn die Erklärung endet, eine Kopie zu einer Rechnung mit Gemeinwohl-Preis nach den gesetzlichen Fristen aufbewahrt. Die Zahlungsdaten entnimmt der Auftragnehmer den Kontoauszügen seiner eigenen Bank; sie sind keine Auftraggeberdaten. Zahlungseingänge und Angaben zur Erstattung bewahrt der Auftragnehmer acht Jahre ab Ende des Buchungsjahres auf. Diese Verarbeitung ist nicht Gegenstand dieses AVV und erfolgt nicht im Auftrag des Auftraggebers. Betroffene Personen können ihre Rechte insoweit unmittelbar gegenüber dem Auftragnehmer geltend machen (hello@asyoube.de).

(3) Auswertungstabelle: Die Auswertungstabelle nach Ziffer 1.3 (8) betrifft nur Daten von Nutzenden ohne Zuordnung zu einem Betrieb und erfolgt in eigener Verantwortung des Auftragnehmers.

(4) Kalibrierung: Die Lern- und Kompetenzdaten, die nach der Löschung eines Kontos unter der bisherigen pseudonymen Kennung bestehen bleiben (Ziffer 1.7 (1), Anlage 2 Ziffer 2.10 (2)), nutzt der Auftragnehmer für die plattformweite Kalibrierung des Kompetenzmodells zu eigenen Zwecken und in eigener Verantwortung (Art. 4 Nr. 7 DSGVO; Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO, das Interesse an einem verlässlich kalibrierten Kompetenzmodell). Die Daten sind pseudonymisiert, nicht anonymisiert; über die aufbewahrten Berichtsheft-Daten, bis zu 365 Tage über das Protokoll und bis zur Löschung des Betriebs über dessen Jahresarchive bleibt die Kennung einer Person zuordenbar. Diese Verarbeitung ist nicht Gegenstand dieses AVV und erfolgt nicht im Auftrag des Auftraggebers. Betroffene Personen können ihre Rechte insoweit unmittelbar gegenüber dem Auftragnehmer geltend machen (hello@asyoube.de).

Anlage 2: Technische und organisatorische Maßnahmen

2.1 Organisation der Informationssicherheit

(1) Der Auftragnehmer trennt das Produktivsystem von Entwicklung und Test (Ziffer 2.7), regelt Zuständigkeiten für Änderungen am Quellcode über eine versionierte Zuständigkeitsdatei (Code-Owner), richtet die Server über versionierte Konfiguration ein und lässt Änderungen der Software vor der Produktivsetzung automatisierte Qualitätsprüfungen durchlaufen.

2.2 Zutritt, Zugang und Zugriff

(1) Den Zutritt zu den Rechenzentren, in denen Auftraggeberdaten verarbeitet werden, kontrolliert und beschränkt der jeweilige Hosting- oder Datenbank-Dienstleister (Maßnahme des Dienstleisters, siehe Anlage 3).

(2) Zugang zu den Systemen erfolgt über eine Authentifizierung beim Identitätsdienst; die Zugangsdaten werden dort verwaltet.

(3) Zugriff auf Auftraggeberdaten ist rollenbasiert ausgestaltet; administrative Rechte sind auf Personen mit der Rolle Administratorin oder Administrator sowie Ausbildungsleitung beschränkt, und die Plattform verweigert das Herabstufen, Entfernen oder Pausieren der letzten aktiven Administratorin oder des letzten aktiven Administrators eines Betriebs. Der Datenbankschlüssel mit vollem Zugriff wird nur im Backend und in Betreiberwerkzeugen berechtigter Personen verwendet, nie in den Apps oder im Browser. Zugriffe des Personals des Auftragnehmers auf Auftraggeberdaten erfolgen nur bei einer Störung oder auf ausdrückliche Anfrage des Auftraggebers und werden je Zugriff mit Zeitpunkt, handelnder Person, Anlass und Maßnahme dokumentiert.

(4) Die vom Auftragnehmer angemieteten Server werden automatisiert nach einem versionierten Konfigurationsstand eingerichtet: Eingehende Verbindungen sind bis auf den Wartungszugang und die Web-Ports gesperrt, der Wartungszugang ist nur mit Schlüssel und nicht mit Passwort möglich, wiederholte Fehlversuche werden automatisch gesperrt, und Sicherheitsaktualisierungen des Betriebssystems werden automatisch eingespielt.

2.3 Mandantentrennung

(1) Auftraggeberdaten werden logisch getrennt verarbeitet: personenbezogene Daten der Auszubildenden über Zugriffsregeln, die an die jeweils anmeldende Person gebunden sind, Betriebsdaten über eine an die Mitgliedschaft im Betrieb gebundene Zugriffsprüfung, und lern- und inhaltsbezogene Daten ausschließlich über den serverseitigen Dienst mit eigener Autorisierung.

2.4 Verschlüsselung

(1) Die Übertragung zwischen den Endgeräten der Nutzenden und den Diensten des Auftragnehmers erfolgt verschlüsselt (TLS); die Transportverschlüsselung wird auf den vom Auftragnehmer betriebenen Servern mit automatisch erneuerten Zertifikaten terminiert.

(2) Zugangsdaten und sonstige Geheimnisse werden nicht im Client, sondern ausschließlich serverseitig gespeichert.

(3) Die Daten im Ruhezustand sind beim Datenbank-Dienstleister mit AES-256 verschlüsselt (Maßnahme des Dienstleisters nach dessen Auftragsverarbeitungsvertrag, siehe Anlage 3).

2.5 Protokollierung

(1) Administrative Vorgänge im Betrieb werden in einem Protokoll erfasst und 365 Tage aufbewahrt, danach automatisiert gelöscht; das Protokoll eines Kalenderjahres bleibt als Jahresarchiv nach Anlage 1 Ziffer 1.7 (3) bis zur Löschung des Betriebs gespeichert.

(2) Fehlertexte externer Dienste werden in Protokollen gekürzt und von Steuerzeichen bereinigt. In Kennzahlen (Metriken) werden Nutzer- und Konzeptkennungen nicht als Merkmal erfasst; technische Protokolle und Ablaufverfolgungen enthalten nicht sprechende Nutzer- und Inhaltskennungen. Technische Protokolle, Kennzahlen und Ablaufverfolgungen werden an ein zentrales Überwachungssystem übertragen, das der in Anlage 3 genannte Dienstleister für den Auftragnehmer in Rechenzentren in Deutschland betreibt, und dort 90 Tage aufbewahrt.

2.6 Verfügbarkeit und Datensicherung

(1) Der Datenbank-Dienstleister sichert die Datenbank regelmäßig und verschlüsselt die Sicherungen (Maßnahme des Dienstleisters nach dessen Auftragsverarbeitungsvertrag, siehe Anlage 3); ein Wiederherstellungstest durch den Auftragnehmer ist nicht Bestandteil dieser Festlegung.

2.7 Trennung von Entwicklung, Test und Produktion

(1) Produktivsystem und Entwicklungs-Stage sind durch getrennte Konfigurationen, Datenbanken und Umgebungen des Identitätsdienstes getrennt; für die lokale Entwicklung wird derzeit der produktive Identitätsdienst genutzt. Schema-Änderungen an der Produktivdatenbank werden nicht automatisiert, sondern von hierzu berechtigten Personen ausgelöst.

2.8 Auftragskontrolle und Unterauftragsverarbeiter

(1) Der Auftragnehmer wählt Unterauftragsverarbeiter sorgfältig aus, schließt mit ihnen Verträge nach Art. 28 Abs. 4 DSGVO und vereinbart Kontrollrechte. Einzelheiten ergeben sich aus Anlage 3.

2.9 Vorfallmanagement

(1) Der Auftragnehmer informiert den Auftraggeber bei Verdacht auf eine Verletzung des Schutzes personenbezogener Daten nach Ziffer 4 dieses AVV.

2.10 Datenschutz durch Technikgestaltung

(1) Übungsaufgaben werden aus Lehrplaninhalten erzeugt; die dafür eingesetzten Sprachmodelle erhalten zusätzlich die aktuellen Kompetenzwerte der anfragenden auszubildenden Person je Lernziel, aber keine Namen oder E-Mail-Adressen. Für die Korrektur von Übungs- und Prüfungsantworten und die Strukturierung von Berichtsheft-Einträgen werden Namen, E-Mail-Adressen oder Nutzerkennungen nicht als eigene Angaben an die Sprachmodelle übermittelt; für die Korrektur von Übungsantworten erhalten sie zusätzlich die aktuellen Kompetenzwerte der lernenden Person je Lernziel; in Freitexten und Antworten enthaltene Angaben, etwa Namen von Kolleginnen und Kollegen, werden unverändert übermittelt.

(2) Nach Löschung des Kontos einer betroffenen Person werden Prüfungsantworten, gespeicherte Rückmeldetexte der Korrektur, Rohantworten aus Übungen und exportierte PDF-Dokumente gelöscht. Lern- und Kompetenzdaten einschließlich der Bewertung je Übungsversuch bleiben unter der bisherigen pseudonymen Kennung bestehen; über die aufbewahrten Berichtsheft-Daten, bis zu 365 Tage über das Protokoll und bis zur Löschung des Betriebs über dessen Jahresarchive bleibt diese Kennung einer Person zuordenbar.

Anlage 3: Unterauftragsverarbeiter

(1) Die aktuelle Liste der Unterauftragsverarbeiter mit Zweck, verarbeiteten Datenkategorien, Verarbeitungsort und Garantien wird unter https://asyoube.de/legal/unterauftragsverarbeiter geführt und ist Bestandteil dieser Anlage.

(2) Die Genehmigung nach Ziffer 6 (1) des AVV umfasst die Unterauftragsverarbeiter, die die Liste bei Abschluss dieses AVV führt; die Liste nennt das Datum ihres Stands. Spätere Hinzuziehungen oder Ersetzungen gelten nur nach Ziffer 6 (2) des AVV als genehmigt. Nimmt der Auftragnehmer einen in der Liste als „noch nicht im Einsatz“ geführten Unterauftragsverarbeiter für einen Zweck in Betrieb, gilt dies als Hinzuziehung nach Ziffer 6 (2) des AVV; ersetzt er einen eingesetzten Unterauftragsverarbeiter durch einen solchen, gilt dies als Ersetzung.

(3) Bei einer Hinzuziehung oder Ersetzung nach Ziffer 6 (2) des AVV aktualisiert der Auftragnehmer die Liste und ihr Datum.

(4) Für einen Widerspruch des Auftraggebers gegen eine solche Änderung und dessen Folgen gilt Ziffer 6 (2) des AVV.

(5) Verarbeitet ein Unterauftragsverarbeiter Daten außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums, ergeben sich die dafür bestehenden Garantien, insbesondere EU-Standardvertragsklauseln, aus der Liste.

(6) Einträge der Liste, für die der Auftragnehmer Vertragspartei, Verarbeitungsregion oder Drittlandtransfer noch nicht abschließend bestätigt hat, sind als „in Prüfung“ gekennzeichnet. Der Auftraggeber kann den jeweiligen Prüfstatus der Liste entnehmen.

Modul-Anhang: Zusätzliche Festlegungen für gebuchte Module

(1) Dieser Modul-Anhang gilt zusätzlich zu dem Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO zwischen dem Auftraggeber und der asyoube GmbH (im Folgenden „Kern-AVV“), sobald der Auftraggeber ein kostenpflichtiges Modul der asyoube Plattform bucht.

(2) Der Modul-Anhang wird bei der Buchung in der Verwaltungsoberfläche der Plattform durch Anklicken der entsprechenden Schaltfläche gesondert angenommen.

(3) Der Modul-Anhang ist Teil dieses Dokuments und trägt dessen Fassungskennung (Ziffer 13 (5) des Kern-AVV); seine Annahme wird bei der Buchung gesondert mit dieser Fassungskennung aufgezeichnet.

(4) Der Modul-Anhang ergänzt die Anlagen 1 bis 3 des Kern-AVV um die je Modul zusätzlich anfallenden Festlegungen.

(5) Im Widerspruch zwischen dem Modul-Anhang und den Anlagen 1 bis 3 des Kern-AVV geht der Modul-Anhang für das jeweils gebuchte Modul vor.

a. Lern-Sitz

(1) Zweck: Der Lern-Sitz schaltet für jede und jeden Auszubildenden des Betriebs dauerhaft das individualisierte Lernen frei, insbesondere die Erstellung von Übungsaufgaben, die automatisierte Korrektur, darauf gestützte Empfehlungen und den Prüfungsmodus. Ohne Lern-Sitz sind diese Funktionen nur während des Probemonats (Anlage 1 Ziffer 1.3 (4)) oder mit einer eigenen Lizenz der oder des Auszubildenden nutzbar, im Übrigen nur lesend.

(2) Verarbeitungen und Datenkategorien: Der Lern-Sitz fügt den in Anlage 1 beschriebenen Verarbeitungen keine weiteren hinzu; er macht die Verarbeitungen nach Anlage 1 Ziffer 1.3 (3) und (7) für alle Auszubildenden des Betriebs dauerhaft verfügbar, insbesondere Antworten auf Übungsaufgaben und im Prüfungsmodus einschließlich Freitext, automatisiert erzeugte Bewertungen und Rückmeldetexte sowie je Lernziel berechnete Kompetenzwerte samt ihrer zeitlichen Entwicklung und einer Kalibrierungs-Einstufung.

(3) Auswertungen und Empfehlungen: Die Kompetenzwerte fließen in die Auswertungen nach Anlage 1 Ziffer 1.3 (4) und in die Übungsvorschläge nach Anlage 1 Ziffer 1.3 (3) ein.

(4) Betroffene: keine über Anlage 1 Ziffer 1.5 hinaus; betroffen sind insbesondere Auszubildende, deren Antworten und Kompetenzwerte verarbeitet werden, sowie Ausbildende Personen, Ausbildungsleitung und Administration, denen diese Werte bereitgestellt werden.

(5) Unterauftragsverarbeiter: Die automatisierte Korrektur und die Erzeugung der Übungsaufgaben erfolgen durch die in Anlage 3 genannten Anbieter von Sprachmodellen (zum Zeitpunkt dieser Fassung im Einsatz: Google Cloud EMEA Limited; in der Liste geführt, aber noch nicht im Einsatz (Anlage 3 Absatz (2)): Anthropic Ireland, Limited, Schwarz Digits Cloud GmbH & Co. KG und Scaleway SAS); welcher Anbieter für welchen Zweck eingesetzt wird und welche Anbieter erst nach ihrer Aktivierung Daten erhalten, ergibt sich aus der Liste. Für die Erzeugung der Übungsaufgaben erhalten sie die Kompetenzwerte der anfragenden Person je Lernziel (Anlage 2 Ziffer 2.10 (1)).

(6) Transparenz: Für die Kennzeichnung KI-gestützter Korrekturen gilt Anlage 1 Ziffer 1.3 (7).

(7) Menschliche Prüfung: Ausbildende Personen sehen in den Auswertungen nach Anlage 1 Ziffer 1.3 (4) zu jeder automatisiert bewerteten Übung die Bewertung und deren Sicherheit, nicht aber Antworttext und Rückmeldung, und können die Bewertung nach Anlage 1 Ziffer 1.3 (7) durch eine eigene Bewertung ausgleichen. Der Auftragnehmer knüpft an die Korrektur und die daraus abgeleiteten Kompetenzwerte keine automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung; ob Entscheidungen des Auftraggebers maßgeblich auf diesen Werten beruhen, liegt in dessen Verantwortung (Art. 22 DSGVO).

(8) Einstufung nach der KI-Verordnung: Der Auftragnehmer teilt dem Auftraggeber unverzüglich in Textform mit, wenn er die Plattform oder einzelne Funktionen als Hochrisiko-KI-System im Sinne von Art. 6 der Verordnung (EU) 2024/1689 (KI-Verordnung) einstuft oder eine solche Einstufung durch Leitlinien der Kommission, harmonisierte Normen oder Entscheidungen von Behörden oder Gerichten naheliegt, und stellt ihm in diesem Fall die Informationen nach Art. 13 KI-Verordnung zur Verfügung. Die offenen Einstufungsfragen erläutert die Seite https://asyoube.de/legal/dsfa.

(9) Pflichten des Auftraggebers als Betreiber: Ergibt sich eine Hochrisiko-Einstufung, unterstützt der Auftragnehmer den Auftraggeber im Rahmen der Unterstützungspflichten des Kern-AVV bei dessen eigenen Pflichten als Betreiber im Sinne der KI-Verordnung, insbesondere bei der Unterrichtung der Arbeitnehmervertretung und der betroffenen Auszubildenden vor der Inbetriebnahme am Arbeitsplatz (Art. 26 Abs. 7 KI-Verordnung).

(10) Löschung bei Modul-Ende: Endet der Lern-Sitz, gelten für die bis dahin verarbeiteten Daten die Regeln der Anlage 1 Ziffer 1.7.

b. Berichtsheft Plus

(1) Zweck: Berichtsheft Plus (in der Preisliste das Modul Berichtsheft) schaltet für den Betrieb die digitale Freigabe des wöchentlichen Ausbildungsnachweises durch Ausbildende Personen frei, mit dem mitgelieferten Standard-Workflow oder mit eigenen, konfigurierbaren Freigabe-Workflows, in denen mehrstufige Freigabeketten hinterlegt werden können. Ohne das Modul gibt es außerhalb des Probemonats (Anlage 1 Ziffer 1.3 (4)) keine digitale Freigabe: Die oder der Auszubildende schließt die Woche ab und exportiert den Ausbildungsnachweis als PDF zur Unterschrift auf Papier; der Ausbildungsnachweis selbst bleibt vollständig nutzbar.

(2) Zusätzliche Verarbeitungen und Datenkategorien: die vom Betrieb angelegten Freigabe-Workflows selbst, insbesondere deren Bezeichnung, die einzelnen Freigabestufen und die dafür zuständigen Personen.

(3) Zusätzlich erhält der Betrieb eine unternehmensweite, wochenübergreifende Übersicht über den Berichtsheft-Status aller zugeordneten Auszubildenden; die dort gezeigten Statuswerte sind dieselben, die das Modul je auszubildender Person zeigt.

(4) Zusätzliche Betroffene: keine über den Kern-AVV hinausgehenden Betroffenen; betroffen bleiben Auszubildende als Autorinnen und Autoren des Ausbildungsnachweises und Ausbildende Personen als Entscheidende in der Freigabekette.

(5) Zusätzliche Unterauftragsverarbeiter: Für dieses Modul werden keine zusätzlichen Unterauftragsverarbeiter gegenüber dem Kern-AVV eingesetzt; die aktuelle Liste bleibt unter https://asyoube.de/legal/unterauftragsverarbeiter abrufbar.

(6) Hinweise zur KI-Nutzung: Dieses Modul setzt selbst keine künstliche Intelligenz ein; die in Anlage 1 des Kern-AVV beschriebene KI-gestützte Strukturierung von Tageseinträgen bleibt hiervon unberührt.

(7) Löschung bei Modul-Ende: Endet Berichtsheft Plus, endet die digitale Freigabe; Wochen, die bis dahin eingereicht sind, durchlaufen ihre Freigabe zu Ende. Für die bis dahin verarbeiteten Daten gelten die Regeln der Anlage 1 Ziffer 1.7.

c. Abrechnung

(1) Zweck: Zur Abwicklung einer Buchung stellt der Auftragnehmer dem Betrieb Rechnungen und Rechnungskorrekturen als elektronische Rechnung aus und verarbeitet dafür in eigener Verantwortung (Anlage 1 Ziffer 1.9 (2)) die Rechnungs- und Kontaktdaten des Betriebs, insbesondere Firmierung, Anschrift, Umsatzsteuer-Identifikationsnummer und Rechnungs-E-Mail-Adresse, sowie die interne Betriebskennung und die Zahl der abgerechneten Auszubildenden. Der Betrieb zahlt per Überweisung auf das in der Rechnung angegebene Konto; für die Modulbuchung setzt der Auftragnehmer keinen Zahlungsdienstleister ein. Eingegangene Zahlungen ordnet der Auftragnehmer anhand der Kontoauszüge seiner Bank den Rechnungen zu; eine Erstattung überweist er auf das Konto, von dem die Zahlung kam, oder auf ein Konto, das der Betrieb nennt. Ist eine Rechnungs-E-Mail-Adresse hinterlegt, versendet der Auftragnehmer Rechnungen über den in Anlage 3 genannten E-Mail-Dienst. Rechnungen und Rechnungskorrekturen werden nach den gesetzlichen Fristen aufbewahrt, derzeit acht Jahre (§ 147 AO, § 14b UStG).