Vereinbarung zur Auftragsverarbeitung

1. Parteien und Rangfolge

Verantwortlicher ist die im Vossily-Training-Konto hinterlegte geschäftliche Kundin oder der hinterlegte geschäftliche Kunde. Auftragsverarbeiter ist Christian Voss, Voss Seminare, Zeppelinstraße 3, 19061 Schwerin. Diese AVV konkretisiert den Hauptvertrag. Bei Widersprüchen gehen die datenschutzrechtlichen Regelungen dieser AVV für die Auftragsverarbeitung vor.

2. Gegenstand, Dauer, Art und Zweck

Voss Seminare hostet und betreibt Vossily Training und ermöglicht das Erfassen, Ordnen, Bearbeiten, Sichern, Anzeigen, Teilen und Exportieren der vom Verantwortlichen eingestellten Daten. Die Verarbeitung dauert grundsätzlich für die Laufzeit des Hauptvertrags zuzüglich der vereinbarten Export- und Löschphase. Gesetzliche Aufbewahrungspflichten für eigene Vertrags- und Abrechnungsdaten bleiben unberührt.

3. Datenarten und betroffene Personen

Je nach Nutzung können Stamm-, Kontakt-, Organisations-, Termin-, Lern-, Feedback-, Konzept-, Datei- und Protokolldaten verarbeitet werden. Betroffen sein können Beschäftigte, Trainer:innen, Auftraggeber:innen, Ansprechpartner:innen, Teilnehmende und sonstige vom Verantwortlichen zugelassene Personen. Besondere Kategorien personenbezogener Daten sollen nur eingestellt werden, wenn dies erforderlich, rechtmäßig und durch angemessene Schutzmaßnahmen abgesichert ist.

4. Weisungen und Verantwortlichkeit

Der Verantwortliche bestimmt Zwecke und Mittel der Verarbeitung und bleibt insbesondere für Rechtsgrundlage, Informationspflichten, Datenminimierung, Richtigkeit und zulässige Empfänger verantwortlich. Voss Seminare verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung, soweit keine gesetzliche Verpflichtung besteht. Eine Weisung kann über die vorgesehenen App-Funktionen oder in Textform erfolgen. Hält Voss Seminare eine Weisung für rechtswidrig, wird der Verantwortliche unverzüglich informiert und die Ausführung bis zur Klärung ausgesetzt.

5. Pflichten von Voss Seminare

• zur Vertraulichkeit verpflichtete und nur erforderlicherweise berechtigte Personen einsetzen,
• die technischen und organisatorischen Maßnahmen aus Anlage 2 aufrechterhalten und risikogerecht weiterentwickeln,
• den Verantwortlichen bei Betroffenenrechten sowie Pflichten nach Art. 32 bis 36 DSGVO angemessen unterstützen,
• Datenschutzverletzungen unverzüglich nach Bekanntwerden mit den verfügbaren Angaben melden,
• erforderliche Informationen zum Nachweis der Einhaltung bereitstellen und angemessene Prüfungen ermöglichen,
• Auftragsdaten nicht für Werbung, Profilbildung oder das Training externer KI-Modelle verwenden.

6. Betroffenenanfragen und Behörden

Geht eine Anfrage zu Auftragsdaten unmittelbar bei Voss Seminare ein, wird sie grundsätzlich an den Verantwortlichen weitergeleitet. Voss Seminare beantwortet sie nur auf Weisung oder aufgrund einer eigenen gesetzlichen Verpflichtung. Gleiches gilt für behördliche Anfragen, soweit eine Information rechtlich zulässig ist.

7. Unterauftragnehmer

Der Verantwortliche erteilt eine allgemeine Genehmigung für die in der aktuellen Unterauftragnehmerliste genannten Unternehmen. Beabsichtigte neue oder ersetzte Unterauftragnehmer werden mindestens 30 Tage vor ihrem Einsatz per E-Mail oder im Konto angekündigt. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Wird keine angemessene Lösung gefunden, kann die betroffene Leistung außerordentlich beendet werden. Unterauftragnehmer werden mindestens zu gleichwertigen Datenschutzpflichten verpflichtet.

8. Drittlandübermittlungen

Auftragsdaten werden grundsätzlich in Deutschland beziehungsweise im Europäischen Wirtschaftsraum verarbeitet. Eine Übermittlung in ein Drittland erfolgt nur auf dokumentierte Weisung oder mit einem zulässigen Übermittlungsinstrument nach Kapitel V DSGVO und angemessenen ergänzenden Schutzmaßnahmen.

9. Rückgabe, Löschung und Sicherungskopien

Während des Vertrags können eigene Daten über die vorgesehenen Exportfunktionen ausgegeben werden. Nach Vertragsende steht grundsätzlich eine 30-tägige Exportphase zur Verfügung. Danach löscht oder anonymisiert Voss Seminare operative Auftragsdaten, sofern keine Weisung zur vorherigen Rückgabe, gesetzliche Pflicht oder berechtigter Nachweisgrund entgegensteht. Rotierende Sicherungskopien werden nicht für andere Zwecke reaktiviert und mit Ablauf ihres Sicherungszyklus überschrieben; bei einer Wiederherstellung werden bereits fällige Löschungen erneut angewendet.

10. Nachweise und Prüfungen

Voss Seminare stellt auf Anfrage geeignete Nachweise, Beschreibungen der Schutzmaßnahmen und relevante Prüfprotokolle bereit. Vor-Ort-Prüfungen sind nach angemessener Vorankündigung während üblicher Geschäftszeiten möglich, wenn Dokumentennachweise nicht ausreichen; Betriebsgeheimnisse, Rechte anderer Kund:innen und Systemsicherheit sind zu schützen. Zusätzlicher Aufwand kann nach vorheriger Abstimmung berechnet werden, soweit die Prüfung nicht durch einen von Voss Seminare zu vertretenden Verstoß veranlasst ist.

Anlage 1 · Beschreibung der Verarbeitung

Anlage 2 · Technische und organisatorische Maßnahmen

• Zutritts- und Zugangsschutz: geschützte Rechenzentrumsumgebung, persönliche Konten, starke Passwörter, MFA für privilegierte Zugänge, zeitlich begrenzte Sitzungen und Anmeldeschutz.
• Zugriff und Mandantentrennung: rollen- und teambezogene Autorisierung, serverseitige Rechteprüfungen, minimale administrative Berechtigungen und protokollierte Sicherheitsereignisse.
• Übertragung und Speicherung: HTTPS/TLS, sichere HTTP-Header, verschlüsselte externe Sicherungen und geschützte Zugangsdaten außerhalb des Quellcodes.
• Verfügbarkeit: lokale Sicherungen und verschlüsseltes externes Backup, dokumentierte Wiederherstellungsverfahren, Systemüberwachung und Sicherheitsaktualisierungen.
• Eingabe- und Änderungskontrolle: Zeitstempel, Versions- und Vorgangsnachweise sowie Sicherheitsprotokolle für kritische Abläufe.
• Schutz der Anwendung: CSRF-Schutz, Eingabevalidierung, parametrisierte Datenbankabfragen, Rate-Limits, restriktive Dateiannahme und regelmäßige technische Prüfungen.
• Datenschutzorganisation: Berechtigungskonzept, Vertraulichkeitsverpflichtung, Verfahren für Vorfälle, Betroffenenrechte, Löschung, Wartung und dokumentierte Freigaben.

Anlage 3 · Unterauftragnehmer

Die versionierte Liste ist unter Unterauftragnehmer dauerhaft abrufbar und Bestandteil dieser AVV. Zahlungsdienste und Buchhaltungssysteme sind, soweit sie Daten für eigene gesetzliche oder vertragliche Zwecke verarbeiten, gesonderte Empfänger und nicht automatisch Unterauftragnehmer für Auftragsinhalte.