Vertrag zur Auftragsverarbeitung

1. Gegenstand, Art, Zweck und Dauer

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um Lehrwerk nach dem Hauptvertrag bereitzustellen. Zwecke sind das Erstellen und Bereitstellen von Kursen, das Zuweisen von Schulungen und Erinnern an Fälligkeiten, das Erfassen von Lernfortschritt, Ergebnissen und Nachweisen, das Ausstellen und Prüfen von Zertifikaten, der KI-Tutor und Rollenspiele, das Einbinden von Kursen per SCORM, der Verkauf von Kursen über öffentliche Kursseiten sowie Support.
2. Die Verarbeitung umfasst insbesondere das Erheben, Speichern, Ordnen, Auswerten in Berichten, Verarbeiten mit KI-Modellen, Übermitteln (etwa per E-Mail), Bereitstellen für berechtigte Personen und Löschen der Daten.
3. Der Vertrag wird elektronisch geschlossen, wenn der Verantwortliche eine Organisation in Lehrwerk registriert und dabei die AGB akzeptiert (Art. 28 Abs. 9 DSGVO). Er gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Auftragsverarbeiter Daten des Verantwortlichen verarbeitet.
4. Nicht Gegenstand dieses Vertrags ist die Verarbeitung, für die der Auftragsverarbeiter selbst verantwortlich ist, insbesondere Anmeldedaten und Sicherheit persönlicher Nutzerkonten, die Vertragsabwicklung und Abrechnung mit dem Verantwortlichen, die eigene Rolle bei der Zahlungsabwicklung im Kursverkauf und Protokolle zum Betrieb von Lehrwerk. Hierfür gilt die Datenschutzerklärung.

2. Art der Daten und Kreis der Betroffenen

Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht vorgesehen. Lädt der Verantwortliche solche Daten hoch, stellt er deren Zulässigkeit sicher.

3. Ort der Verarbeitung und Übermittlung in Drittländer

1. Die Datenbank (Cloudflare D1) und der Dateispeicher (Cloudflare R2) von Lehrwerk sind mit EU-Jurisdiktion eingerichtet; gespeicherte Daten liegen damit in der EU.
2. Die Anwendung, Hintergrundabläufe und das Rendern von Videos laufen im weltweiten Netz von Cloudflare; dabei ist eine Verarbeitung außerhalb der EU möglich. KI-Anfragen werden über OpenRouter in die USA und an die Modellanbieter nach Abschnitt 8 übermittelt, E-Mails über Twilio SendGrid in die USA.
3. Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework oder von Standardvertragsklauseln der EU-Kommission. Mit der Nutzung der KI-Funktionen und des E-Mail-Versands weist der Verantwortliche die dafür erforderlichen Übermittlungen an.

4. Weisungen

1. Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Gesetz dies nicht verbietet. Als Weisungen gelten der Hauptvertrag, dieser Vertrag und die Einstellungen, die der Verantwortliche in Lehrwerk vornimmt. Weitere Weisungen erteilt der Verantwortliche in Textform.
2. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, weist er den Verantwortlichen unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Verantwortliche die Weisung bestätigt oder ändert.
3. Eine Verarbeitung zu eigenen Zwecken, insbesondere zum Training von KI-Modellen, findet nicht statt.

5. Pflichten des Verantwortlichen

1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage, die Information der Betroffenen nach Art. 13 und 14 DSGVO, etwa seiner Beschäftigten über den Einsatz von Lehrwerk und seiner KI-Funktionen, und gegebenenfalls die Beteiligung der Arbeitnehmervertretung.
2. Er entscheidet über die Einstellungen in Lehrwerk, etwa darüber, ob KI-Tutor und Rollenspiele aktiviert sind, wer Berichte einsehen darf und wie lange Nachweise vorgehalten werden.
3. Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

6. Vertraulichkeit

Der Auftragsverarbeiter setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den Bestimmungen des Datenschutzes vertraut gemacht worden sind. Die Pflicht zur Vertraulichkeit besteht auch nach Ende des Vertrags fort.

7. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft Maßnahmen nach Art. 32 DSGVO. Derzeit sind dies:

Der Auftragsverarbeiter darf die Maßnahmen an den Stand der Technik anpassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er.

8. Unterauftragsverarbeiter

Der Verantwortliche genehmigt den Einsatz der folgenden Unterauftragsverarbeiter:

Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen, insbesondere die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern einschließlich der Modellanbieter, mindestens vier Wochen vorher in Textform, etwa per E-Mail an die Inhaber der Organisation. Der Wechsel zu einem anderen Modell desselben Anbieters ist keine solche Änderung. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Ist eine Einigung nicht möglich, können beide Seiten den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags gleichwertig sind (Art. 28 Abs. 4 DSGVO), und bleibt dem Verantwortlichen für deren Einhaltung verantwortlich.

9. Rechte der betroffenen Personen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen nach Art. 15 bis 22 DSGVO. Lehrwerk stellt dafür unter anderem Berichte und Exporte, die Datenkopie für jede Person unter „Mein Konto“, das Entfernen von Mitgliedern, das Löschen von Quellen und die Kontolöschung durch die betroffene Person selbst bereit.
2. Anfragen, die direkt beim Auftragsverarbeiter eingehen und erkennbar den Verantwortlichen betreffen, leitet er unverzüglich an diesen weiter.
3. Löscht eine betroffene Person ihr Konto selbst, bleiben die Nachweisdaten, die der Verantwortliche für seine Dokumentationspflichten benötigt (Abschluss, Ergebnisse, Kenntnisnahme mit Namen, Zertifikate), in der Organisation erhalten. Über deren weitere Aufbewahrung entscheidet der Verantwortliche.

10. Meldung von Verletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, an die Inhaber der Organisation. Die Meldung enthält, soweit verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben reicht er nach, sobald sie vorliegen. Er ergreift unverzüglich Maßnahmen, um die Verletzung zu beheben und nachteilige Folgen zu mindern.

11. Weitere Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen der Aufsichtsbehörde. Er stellt dafür die vorhandenen Informationen zu Lehrwerk, seinen Unterauftragsverarbeitern und Maßnahmen bereit. Darüber hinausgehende Unterstützung, etwa die Mitwirkung an einer Datenschutz-Folgenabschätzung, ist im Tarif Enterprise enthalten und kann im Übrigen gesondert vereinbart werden.

12. Nachweise und Kontrollen

1. Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung seiner Pflichten erforderlich sind, insbesondere die Beschreibung der Maßnahmen nach Abschnitt 7 sowie verfügbare Zertifikate und Prüfberichte seiner Unterauftragsverarbeiter.
2. Darüber hinaus ermöglicht er Überprüfungen durch den Verantwortlichen oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber des Auftragsverarbeiters ist. Überprüfungen sind mit angemessener Frist, in der Regel vier Wochen, anzumelden, finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Prüfungen bei Unterauftragsverarbeitern erfolgen über deren Zertifikate und Prüfberichte, soweit dies datenschutzrechtlich ausreicht.

13. Löschung und Rückgabe

1. Während der Vertragslaufzeit kann der Verantwortliche Daten selbst exportieren, etwa Berichte und Nachweise als CSV oder PDF, das Audit-Log als CSV und Erklärvideos als MP4; jede Person kann ihre eigenen Daten als JSON-Datei herunterladen. Auf Anfrage stellt der Auftragsverarbeiter die Daten der Organisation zusätzlich in einem gängigen, maschinenlesbaren Format bereit.
2. Nach dem Ende eines kostenpflichtigen Hauptvertrags löscht der Auftragsverarbeiter die Daten der Organisation 30 Tage nach Ablauf der Vertragslaufzeit. Organisationen, für die nach der Testphase kein Tarif gebucht wurde, löscht er 90 Tage nach dem Ende der Testphase; die Inhaber erhalten 14 Tage vorher einen Hinweis per E-Mail.
3. Löscht ein Inhaber die Organisation in den Einstellungen, wird der Zugang sofort gesperrt. Nach 30 Tagen löscht der Auftragsverarbeiter alle Daten der Organisation unwiderruflich; bis dahin kann die Organisation auf Anfrage wiederhergestellt werden.
4. Die Löschung umfasst Kurse, Quellen und Dateien, Daten der Lernenden einschließlich Nachweisen und Zertifikaten sowie Protokolle der Organisation. Ausgenommen sind Kaufbelege des Kursverkaufs, die der Auftragsverarbeiter nach § 147 AO und § 257 HGB in eigener Verantwortung aufbewahren muss. Die Wiederherstellungspunkte der Datenbank reichen höchstens 30 Tage zurück; danach sind gelöschte Daten auch dort nicht mehr enthalten.
5. Der Verantwortliche ist dafür verantwortlich, Daten, die er aufbewahren muss, insbesondere Unterweisungsnachweise, vor der Löschung zu exportieren. Der Auftragsverarbeiter bestätigt die Löschung auf Anfrage in Textform.

14. Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regelungen des Hauptvertrags.
2. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor.
3. Änderungen und Ergänzungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.
4. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit zulässig, Berlin.

Vertragsparteien und Abschluss

Dieser Vertrag wird elektronisch abgeschlossen; einer Unterschrift bedarf es nicht (Art. 28 Abs. 9 DSGVO). Verantwortlicher ist der Kunde mit den Angaben, die bei der Registrierung bzw. in den Einstellungen der Organisation hinterlegt sind. Auftragsverarbeiter ist die Relativity GmbH, vertreten durch den Geschäftsführer Noel Lorenz.

Fragen zu diesem Vertrag richten Sie bitte an info@mind-verse.de (Betreff „Datenschutz“). Unser Datenschutzbeauftragter ist die esquilin GmbH, Max-Beckmann-Weg 65, 65428 Rüsselsheim am Main.