Version 1.7 Oktober 2026
Dieser Auftragsverarbeitungsvertrag ist Bestandteil der Vereinbarung zwischen Pluvo B.V. („Auftragsverarbeiter“) und dem Kunden („Verantwortlicher“) und tritt an dem Tag in Kraft, an dem Sie diesen Auftragsverarbeitungsvertrag akzeptiert haben. Sie sichern zu, dass Sie zum Abschluss dieses Auftragsverarbeitungsvertrags befugt sind. Sollten Sie über diese Befugnis nicht verfügen, bitten wir Sie, diese Vereinbarung nicht zu akzeptieren.“
Die Parteien berücksichtigen Folgendes:
- Der Verantwortliche ist im Bereich Schulungen/Ausbildungen tätig und nutzt in diesem Zusammenhang den Auftragsverarbeiter;
- Der Auftragsverarbeiter erbringt für den Verantwortlichen die in der Vereinbarung beschriebene Dienstleistung und verarbeitet in dieser Eigenschaft (besondere) personenbezogene Daten für den Verantwortlichen;
- Der Verantwortliche gilt hinsichtlich der Verarbeitung personenbezogener Daten als Verantwortlicher im Sinne von Artikel 4 Nr. 7 der Datenschutz-Grundverordnung („DSGVO“);
- Die Parteien wollen – unter anderem in Ausführung von Artikel 28 Absatz 3 DSGVO – in diesem Auftragsverarbeitungsvertrag eine Reihe von Bedingungen festlegen, die für ihre Beziehung im Zusammenhang mit den (im Rahmen der) genannten Aktivitäten für und im Auftrag des Verantwortlichen (verarbeiteten personenbezogenen Daten) gelten.
- Der Auftragsverarbeiter gilt hinsichtlich der Speicherung und Verarbeitung der personenbezogenen Daten für den Verantwortlichen als Auftragsverarbeiter im Sinne von Artikel 4 Nr. 8 DSGVO;
Vereinbaren Folgendes:
Artikel 1. Begriffsbestimmungen
- In diesem Auftragsverarbeitungsvertrag haben die folgenden Begriffe, stets großgeschrieben, unabhängig davon, ob sie im Singular oder Plural verwendet werden, die folgende Bedeutung:
Annex: Anhang zum Auftragsverarbeitungsvertrag, der untrennbarer Bestandteil des Auftragsverarbeitungsvertrags ist.
Vereinbarung: der zwischen dem Verantwortlichen und dem Auftragsverarbeiter geschlossene Pluvo-Kundenvertrag;
Personenbezogene Daten: alle Daten, die sich direkt oder indirekt auf eine natürliche Person im Sinne von Artikel 4 Nr. 1 DSGVO beziehen lassen;
Subverarbeiter: der vom Auftragsverarbeiter eingesetzte Subunternehmer, der im Rahmen dieses Auftragsverarbeitungsvertrags im Sinne von Artikel 28 Absatz 4 DSGVO personenbezogene Daten für Rechnung des Verantwortlichen verarbeitet;
Verarbeiten: die Verarbeitung personenbezogener Daten im Sinne von Artikel 4 Nr. 2 DSGVO;
Auftragsverarbeitungsvertrag: die vorliegende Vereinbarung, die Bestandteil der Vereinbarung ist. - Die Bestimmungen der Vereinbarung gelten uneingeschränkt für den Auftragsverarbeitungsvertrag. Soweit die Vereinbarung Bestimmungen zur Verarbeitung personenbezogener Daten enthält, haben die Bestimmungen dieses Auftragsverarbeitungsvertrags Vorrang.
Artikel 2. Verantwortlicher und Auftragsverarbeiter der Daten
- Der Auftragsverarbeiter verpflichtet sich, im Rahmen dieses Auftragsverarbeitungsvertrags im Auftrag des Verantwortlichen personenbezogene Daten zu verarbeiten. Eine Übersicht der Art der personenbezogenen Daten, der Kategorien betroffener Personen und der Zwecke, für die die Verarbeitung personenbezogener Daten erfolgt, ist in Annex 1 enthalten.
- Der Verantwortliche haftet für die Verarbeitung personenbezogener Daten im Rahmen der Vereinbarung und garantiert, dass der Auftrag zur Verarbeitung dieser personenbezogenen Daten mit allen geltenden Gesetzen und Vorschriften übereinstimmt. Der Verantwortliche stellt den Auftragsverarbeiter von allen Ansprüchen Dritter, insbesondere der Aufsichtsbehörde, frei, die auf irgendeine Weise aus der Nichteinhaltung dieser Garantie entstehen.
- Der Auftragsverarbeiter verpflichtet sich, personenbezogene Daten ausschließlich für die in diesem Auftragsverarbeitungsvertrag und/oder der Vereinbarung genannten Aktivitäten zu verarbeiten. Der Auftragsverarbeiter garantiert, dass er ohne ausdrückliche schriftliche Zustimmung des Verantwortlichen keinen Gebrauch von den im Rahmen dieses Auftragsverarbeitungsvertrags verarbeiteten personenbezogenen Daten macht, es sei denn, eine für den Auftragsverarbeiter geltende gesetzliche Bestimmung verpflichtet ihn dazu. In diesem Fall unterrichtet der Auftragsverarbeiter den Verantwortlichen vor der Verarbeitung über diese gesetzliche Vorschrift, es sei denn, diese Rechtsvorschrift verbietet eine solche Mitteilung aus wichtigen Gründen des öffentlichen Interesses.
- Freie Eingabefelder und besondere Kategorien personenbezogener Daten
- Der Auftragsverarbeiter verarbeitet Daten, die über freie Eingabefelder eingegeben werden, ausschließlich zum Zweck der technischen Bereitstellung, des Hostings, der Speicherung, der Sicherung, der Datensicherung und der (Löschung) dieser Daten. Der Auftragsverarbeiter nimmt keine inhaltliche Beurteilung oder aktive Kenntnisnahme des über freie Eingabefelder eingegebenen Inhalts vor.
- Sofern nicht ausdrücklich schriftlich vereinbart, ist es dem Verantwortlichen nicht gestattet, über freie Eingabefelder besondere Kategorien personenbezogener Daten im Sinne von Artikel 9 DSGVO oder eine niederländische Bürgerservicenummer (BSN) zu verarbeiten. Tut der Verantwortliche dies dennoch, stellt er eine gültige Rechtsgrundlage und geeignete zusätzliche Garantien sicher und unterrichtet den Auftragsverarbeiter hierüber vorab schriftlich.
- Daten, die im Rahmen von Systemaufgaben (wie Kontroll-, Export- oder Löschvorgängen) vorübergehend gespeichert werden, werden verschlüsselt aufbewahrt, protokolliert und nach Abschluss der Aufgabe gemäß Annex 2 automatisch gelöscht.
- Der Auftragsverarbeiter stellt Konfigurationen und UI-Hinweise bereit, die den Verantwortlichen auf das Verbot bzw. die Bedingungen für die Eingabe besonderer Kategorien personenbezogener Daten über freie Felder hinweisen.
- Der Auftragsverarbeiter legt diese Verpflichtungen vertraglich jedem Subverarbeiter auf, der Zugang zu diesen Daten hat.
Artikel 3. Technische und organisatorische Maßnahmen
- Der Auftragsverarbeiter unterstützt den Verantwortlichen, unter Berücksichtigung der Art der Verarbeitung und soweit vernünftigerweise möglich, bei der Erfüllung seiner Pflicht nach der DSGVO, geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten. Diese Maßnahmen gewährleisten unter Berücksichtigung des Stands der Technik und der Implementierungskosten ein angemessenes Sicherheitsniveau, gemessen an den Risiken, die die Verarbeitung und die Art der zu schützenden Daten mit sich bringen. Der Auftragsverarbeiter ergreift in jedem Fall Maßnahmen, um personenbezogene Daten vor Zerstörung, sei es zufällig oder unrechtmäßig, vor zufälligem und vorsätzlichem Verlust, Verfälschung, unbefugter Verbreitung oder unbefugtem Zugang sowie vor jeder anderen Form unrechtmäßiger Verarbeitung zu schützen.
- Die vom Auftragsverarbeiter getroffenen technischen und organisatorischen Maßnahmen sind in Annex 2 beschrieben. Der Verantwortliche bestätigt, von den betreffenden Maßnahmen Kenntnis genommen zu haben, und stimmt mit der Unterzeichnung dieses Auftragsverarbeitungsvertrags den vom Auftragsverarbeiter getroffenen Maßnahmen zu.
Artikel 4. Vertraulichkeit
- Der Auftragsverarbeiter lässt seine an der Ausführung der Vereinbarung beteiligten Mitarbeiter eine Verschwiegenheitserklärung unterzeichnen – gegebenenfalls im Arbeitsvertrag mit diesen Mitarbeitern enthalten –, in der in jedem Fall festgelegt ist, dass diese Mitarbeiter hinsichtlich der personenbezogenen Daten Vertraulichkeit wahren müssen.
Artikel 5. Datenverarbeitung außerhalb der Niederlande
- Die Übermittlung personenbezogener Daten durch den Auftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums ist nur unter Beachtung der hierfür geltenden gesetzlichen Verpflichtungen zulässig.
Artikel 6. Dritte und Subunternehmer
- Der Auftragsverarbeiter ist berechtigt, im Rahmen dieses Auftragsverarbeitungsvertrags und der Vereinbarung Subverarbeiter einzusetzen, wie in Annex 3 aufgeführt. Wenn der Auftragsverarbeiter einen anderen Subverarbeiter einsetzen möchte, unterrichtet er den Verantwortlichen über die beabsichtigten Änderungen. Der Verantwortliche muss diesen Änderungen innerhalb von 5 Arbeitstagen widersprechen. Der Auftragsverarbeiter reagiert innerhalb von 4 Arbeitstagen auf den Widerspruch des Verantwortlichen.
- Der Auftragsverarbeiter verpflichtet jeden Subverarbeiter vertraglich zur Einhaltung der Vertraulichkeitspflichten, Meldepflichten und Sicherheitsmaßnahmen in Bezug auf die Verarbeitung personenbezogener Daten; diese Pflichten und Maßnahmen müssen mindestens den Bestimmungen dieses Auftragsverarbeitungsvertrags entsprechen.
Artikel 7. Haftung
- Für die Haftung des Auftragsverarbeiters unter dem Auftragsverarbeitungsvertrag sowie für die im Auftragsverarbeitungsvertrag enthaltenen Freistellungspflichten des Auftragsverarbeiters gilt uneingeschränkt die unter anderem in Artikel 9 der Vereinbarung enthaltene Regelung zur Haftungsbeschränkung.
- Unbeschadet Artikel 7.1 dieses Auftragsverarbeitungsvertrags haftet der Auftragsverarbeiter nur für Schäden, die durch die Verarbeitung verursacht wurden, wenn bei dieser Verarbeitung speziell an den Auftragsverarbeiter gerichtete Pflichten aus der DSGVO nicht erfüllt wurden oder entgegen den rechtmäßigen Anweisungen des Verantwortlichen gehandelt wurde.
Artikel 8. Vorfälle
- Erlangt der Auftragsverarbeiter Kenntnis von einem Vorfall, der (wesentliche) Auswirkungen auf die Sicherheit personenbezogener Daten haben kann, wird er i) den Verantwortlichen unverzüglich darüber informieren und ii) alle angemessenen Maßnahmen ergreifen, um einen (weiteren) Verstoß gegen die DSGVO zu verhindern oder zu begrenzen.
- Der Auftragsverarbeiter wird, soweit angemessen, dem Verantwortlichen seine Mitwirkung gewähren und ihn bei der Erfüllung seiner gesetzlichen Pflichten im Zusammenhang mit dem festgestellten Vorfall unterstützen.
- Der Auftragsverarbeiter wird, soweit angemessen, den Verantwortlichen bei dessen Meldepflicht hinsichtlich einer Verletzung des Schutzes personenbezogener Daten gegenüber der niederländischen Datenschutzbehörde („AP“) und/oder der betroffenen Person im Sinne von Artikel 33 Absatz 3 und Artikel 34 Absatz 1 DSGVO unterstützen. Der Auftragsverarbeiter ist niemals verpflichtet, selbstständig eine Meldung einer Verletzung des Schutzes personenbezogener Daten bei der AP und/oder der betroffenen Person vorzunehmen.
- Der Auftragsverarbeiter haftet niemals für die (korrekte und/oder rechtzeitige Erfüllung der) dem Verantwortlichen obliegenden Meldepflicht im Sinne von Artikel 33 und 34 DSGVO.
Artikel 9. Unterstützung des Verantwortlichen
- Der Auftragsverarbeiter unterstützt den Verantwortlichen, soweit vernünftigerweise möglich, bei der Erfüllung seiner Pflicht nach der DSGVO, Anträge auf Ausübung der Rechte einer betroffenen Person zu beantworten, insbesondere das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung (Art. 18 DSGVO), Übertragbarkeit (Art. 20 DSGVO) und das Widerspruchsrecht (Art. 21 und 22 DSGVO). Der Auftragsverarbeiter leitet eine Beschwerde oder einen Antrag einer betroffenen Person bezüglich der Verarbeitung personenbezogener Daten so schnell wie möglich an den Verantwortlichen weiter, der für die Bearbeitung des Antrags verantwortlich ist. Der Auftragsverarbeiter ist berechtigt, dem Verantwortlichen die mit dieser Mitwirkung verbundenen Kosten in Rechnung zu stellen.
- Der Auftragsverarbeiter unterstützt den Verantwortlichen, soweit vernünftigerweise möglich, bei der Erfüllung seiner Pflicht nach der DSGVO, eine Datenschutz-Folgenabschätzung (Art. 35 und 36 DSGVO) durchzuführen.
- Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um nachzuweisen, dass der Auftragsverarbeiter seinen Pflichten nach der DSGVO nachkommt. Darüber hinaus ermöglicht und unterstützt der Auftragsverarbeiter auf Antrag des Verantwortlichen Audits, einschließlich Inspektionen, durch den Verantwortlichen oder einen von ihm bevollmächtigten Prüfer. Ist der Auftragsverarbeiter der Ansicht, dass eine Anweisung im Zusammenhang mit den Bestimmungen dieses Artikels einen Verstoß gegen die DSGVO oder gegen andere für ihn geltende Datenschutzvorschriften darstellt, unterrichtet er den Verantwortlichen unverzüglich darüber.
- Der Auftragsverarbeiter ist berechtigt, dem Verantwortlichen die mit Artikel 9.3 verbundenen Kosten in Rechnung zu stellen.
Artikel 10. Beendigung & Sonstiges
- Für die Kündigung und/oder Auflösung dieses Auftragsverarbeitungsvertrags gelten die spezifischen Bestimmungen der Vereinbarung. Unbeschadet der spezifischen Bestimmungen der Vereinbarung löscht der Auftragsverarbeiter auf erste Anforderung des Verantwortlichen alle personenbezogenen Daten oder gibt sie an ihn zurück und löscht bestehende Kopien, es sei denn, der Auftragsverarbeiter ist gesetzlich verpflichtet, (Teile der) personenbezogenen Daten weiterhin zu speichern.
- Der Verantwortliche informiert den Auftragsverarbeiter angemessen über (gesetzliche) Aufbewahrungsfristen, die für die Verarbeitung personenbezogener Daten für den Auftragsverarbeiter gelten.
- Der Verantwortliche erklärt, zum Abschluss dieses Auftragsverarbeitungsvertrags befugt zu sein.
- Die Verpflichtungen aus diesem Auftragsverarbeitungsvertrag, die ihrer Natur nach dazu bestimmt sind, die Beendigung zu überdauern, bleiben auch nach Beendigung dieses Auftragsverarbeitungsvertrags in Kraft.
- Die Rechtswahl und das zuständige Gericht entsprechen den Bestimmungen der Vereinbarung.
----------------------------
Annex 1. Übersicht personenbezogener Daten
Art der personenbezogenen Daten
Die folgenden Kategorien personenbezogener Daten können vom Auftragsverarbeiter im Auftrag des Verantwortlichen verarbeitet werden:
- Grundlegende Identifikationsinformationen: Name, E-Mail-Adresse, Profilbild
- Benutzerdefinierte Felder: Vom Verantwortlichen hinzugefügte Felder, spezifisch für seine betrieblichen Anforderungen.
- Bildungsbezogene Daten: Fortschritt im Kursmaterial, Ergebnisse und Resultate von Auswertungen und Tests
Der Verantwortliche behält die Autonomie, zu bestimmen, welche personenbezogenen Daten über die Software des Auftragsverarbeiters verarbeitet werden. Dies umfasst sowohl die grundlegenden Identifikationsinformationen als auch die spezifischen benutzerdefinierten Felder, die für seine Zwecke relevant sind.
Freie Eingabefelder – Umfang und Einschränkungen
Freie Eingabefelder können vom Verantwortlichen konfiguriert werden.
Der Verantwortliche stellt sicher, dass über diese Felder keine besonderen Kategorien personenbezogener Daten (Artikel 9 DSGVO) oder BSN (niederländische Bürgerservicenummer) verarbeitet werden, es sei denn, hierfür besteht eine gültige Rechtsgrundlage und zusätzliche Garantien, und der Auftragsverarbeiter wurde hierüber vorab informiert.
In allen Fällen gelten uneingeschränkt die Zweckbindung, die Datenminimierung und die in diesem Auftragsverarbeitungsvertrag festgelegten Aufbewahrungs- und Löschfristen.
Dynamischer Charakter der Daten
Angesichts der Möglichkeit des Verantwortlichen, benutzerdefinierte Felder hinzuzufügen, besteht ein inhärent dynamischer Aspekt bei den Arten der verarbeiteten personenbezogenen Daten.
Der Auftragsverarbeiter ermöglicht Transparenz, indem er Einblick in die aktuell verarbeiteten personenbezogenen Daten innerhalb der Kundenumgebung bietet.
Zugang zu Daten
Eine aktuelle und vollständige Übersicht der verarbeiteten personenbezogenen Daten ist für den Verantwortlichen nach Anmeldung im Konto innerhalb der vom Auftragsverarbeiter bereitgestellten Software zugänglich.
Dieser Zugang ermöglicht es dem Verantwortlichen, die Arten der erfassten Daten regelmäßig zu überprüfen und bei Bedarf zu aktualisieren, um Genauigkeit und Relevanz sicherzustellen.
Transparenz und Compliance
Diese Spezifikation personenbezogener Daten wird im Geiste der Transparenz und der Einhaltung der DSGVO erstellt, wobei der Schutz der Privatsphäre und der Benutzerdaten im Vordergrund steht.
Zwecke der Verarbeitung
Die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter erfolgt zu bestimmten, vom Verantwortlichen festgelegten Zwecken. Diese Zwecke betreffen personenbezogene Daten natürlicher Personen (betroffene Personen), die:
- eine Beziehung zum Verantwortlichen haben (z. B. Kunden, Mitglieder, Lernende, Mitarbeiter oder Teilnehmer);
- an Schulungen oder Kursen teilnehmen, die der Verantwortliche anbietet.
Diese Zwecke umfassen unter anderem:
- Kommunikation mit betroffenen Personen;
- Durchführung von Untersuchungen oder Auswertungen;
- Einhaltung gesetzlicher Verpflichtungen;
- Erfüllung von Vereinbarungen mit betroffenen Personen.
Verarbeitungstätigkeiten
Die Verarbeitungstätigkeiten werden eigenständig vom Verantwortlichen oder der betroffenen Person unter Nutzung der Systeme des Auftragsverarbeiters durchgeführt. Diese Tätigkeiten umfassen unter anderem:
- Erfassen, Aufzeichnen, Ordnen, Segmentieren, Filtern und Strukturieren von Daten;
- Speichern von Daten, einschließlich E-Mail-Kommunikation und Chat-Protokollen;
- Aktualisieren, Ändern, Synchronisieren, Anreichern und Analysieren von Daten;
- Abrufen, Einsehen, Nutzen, Teilen, Verbreiten oder anderweitiges Zugänglichmachen von Daten;
- Abgleichen, Kombinieren, Einschränken, Löschen oder Vernichten von Daten.
Diese Aufzählung bietet einen vollständigen Überblick über die möglichen Interaktionen mit personenbezogenen Daten innerhalb der Systeme des Auftragsverarbeiters und die Vielfalt der Verarbeitungsvorgänge.
Nutzung der KI-Funktionalität
Wenn der Verantwortliche die KI-Funktionalität innerhalb der Pluvo-Plattform nutzt (einschließlich des Lernmodul-Erstellers und der automatischen Übersetzungsfunktion), kann von ihm oder seinen Nutzern eingegebener Text („Prompts“) vorübergehend vom Subverarbeiter OpenAI LLC verarbeitet werden, um Entwurfslerninhalte zu erzeugen und/oder bestehende Lerninhalte zu übersetzen.
Pluvo tritt hierbei als Auftragsverarbeiter auf. Der Verantwortliche bleibt vollständig verantwortlich für die Rechtmäßigkeit der Verarbeitung und für den Inhalt des eingegebenen Textes, insbesondere wenn dieser personenbezogene Daten enthält.
----------------------------
Annex 2. Sicherheitsspezifikation
Allgemeine Pflichten
Der Auftragsverarbeiter verpflichtet sich, alle erforderlichen technischen und organisatorischen Sicherheitsmaßnahmen zu treffen, die von der Datenschutz-Grundverordnung (DSGVO), insbesondere Artikel 32 DSGVO, verlangt werden.
Diese Maßnahmen sind darauf ausgelegt, ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten, unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Risiken für die Rechte und Freiheiten natürlicher Personen.
Einhaltung von ISO/IEC 27001:2022
Zusätzlich zu den DSGVO-Anforderungen handelt der Auftragsverarbeiter gemäß dem Standard ISO/IEC 27001:2022 für Informationssicherheitsmanagement.
Das Informationssicherheits-Managementsystem (ISMS) des Auftragsverarbeiters umfasst mindestens die folgenden Maßnahmen:
- Risikomanagement – Regelmäßige Identifizierung, Bewertung und Behandlung von Informationssicherheitsrisiken.
- Sicherheitsrichtlinie – Pflege einer formellen und dokumentierten Informationssicherheitsrichtlinie.
- Organisation der Informationssicherheit – Festgelegte Governance-Struktur mit Rollen und Verantwortlichkeiten.
- Personalsicherheit – Mitarbeiter sind geschult und vertraglich zur Vertraulichkeit verpflichtet.
- Asset-Management – Identifizierung, Klassifizierung und Schutz von Informationswerten.
- Zugangskontrolle – Least-Privilege-Prinzip; regelmäßige Überprüfung der Zugangsrechte.
- Kryptografie – Anwendung geeigneter Verschlüsselungstechniken für Vertraulichkeit und Integrität von Informationen.
- Physische und umgebungsbezogene Sicherheit – Sicherheit von Einrichtungen und Geräten.
- Betriebliche Sicherheit – Sichere Ausführung von Prozessen und Pflege von Protokolldateien.
- Kommunikationssicherheit – Schutz von Informationen in Netzwerken und Kommunikationsdiensten.
- Systementwicklung und -wartung – Integration von Sicherheit in Design und Entwicklung von IT-Systemen.
- Lieferantenbeziehungen – Vertragliche Garantien und Überwachung von Subverarbeitern.
- Vorfallmanagement – Schnelle Erkennung, Meldung und Nachverfolgung von Informationssicherheitsvorfällen.
- Kontinuitätsmanagement – Schutz der Kontinuität von Geschäfts- und IT-Prozessen.
- Compliance – Regelmäßige Überprüfung der Einhaltung gesetzlicher, behördlicher und vertraglicher Verpflichtungen.
Spezifische zusätzliche Maßnahmen
- Verschlüsselung – TLS-Verschlüsselung während der Übertragung und Verschlüsselung im Ruhezustand für Datenbanken, temporäre Puffer und Backups; regelmäßige Überprüfung des Schlüsselmanagements.
- Protokollierung & Monitoring – Audit-Protokollierung aller relevanten Verarbeitungsvorgänge mit personenbezogenen Daten, einschließlich Eingaben in freie Felder, temporärer Speicherung, Export und Löschung; Protokolldaten werden sicher gespeichert und regelmäßig vom Security Officer überprüft.
- Datenlebenszyklus-Management – Automatische Aufbewahrungs-Timer und automatisierte Löschung temporärer Daten nach Abschluss des Prozesses; regelmäßige Wiederherstellungstests von Backups.
- Zugangskontrolle (operativ) – Trennung von Entwicklungs-, Test- und Produktionsumgebungen; Administratorkonten werden protokolliert und mindestens jährlich überprüft.
- DLP-Warnungen – UI-Warnungen und optionale Musterfilter erschweren die Eingabe sensibler oder besonderer Kategorien personenbezogener Daten über freie Felder.
- Änderungsmanagement – Änderungen an Formularen oder Feldstrukturen unterliegen einem formellen Änderungsprozess einschließlich einer Datenschutz-Folgenabschätzung (DPIA).
----------------------------
Annex 3. Spezifikation der Subverarbeiter
Der Auftragsverarbeiter kann bei der Verarbeitung die folgenden Kategorien und Parteien von Subverarbeitern in Anspruch nehmen:
Bird
Verarbeitete Daten: Vor- und Nachname; E-Mail-Adresse; inhaltliche Daten von E-Mails.
Zweck der Verarbeitung: Messagebird wird für den Versand von E-Mail-Kommunikation eingesetzt. Dies umfasst transaktionale E-Mails und andere Formen der Kommunikation per E-Mail.
Verarbeitungstätigkeiten: Versand von E-Mails an Benutzer auf Grundlage der bereitgestellten Listen; Verarbeitung von Antwortdaten wie E-Mail-Öffnungs- und Klickraten; Pflege von E-Mail-Listen und Abmeldeanfragen.
Ort der Verarbeitung: Die Daten werden in Rechenzentren von SparkPost verarbeitet, die sich in Europa befinden.
Sicherheitsmaßnahmen: Messagebird implementiert branchenübliche Sicherheitsprotokolle und Verschlüsselungstechniken, um die Integrität und Vertraulichkeit der Daten zu gewährleisten.
Dauer der Verarbeitung: Die Daten werden so lange verarbeitet, wie dies für die Erbringung der E-Mail-Dienste erforderlich ist, oder bis ein Benutzer sich abmeldet oder die Löschung seiner bzw. ihrer Daten verlangt.
Einhaltung von Gesetzen und Vorschriften: Messagebird erfüllt die DSGVO und andere relevante Datenschutzgesetze zum Schutz personenbezogener Daten.
Amazon AWS
Verarbeitete Daten: Namen und E-Mail-Adressen von Benutzern; Profilbilder von Benutzern; vom Verantwortlichen hinzugefügte zusätzliche Felder, die je nach Benutzeranforderungen variieren können; Fortschritt und Ergebnisse von Benutzern in Kursmaterialien und Bewertungen; Protokolldateien, die Änderungen in der Datenbank erfassen; auf AWS S3 gespeicherte Dateien, einschließlich etwaiger Benutzerdaten oder Kursmaterialien.
Zweck der Verarbeitung: AWS wird für das Hosting und die Verwaltung dieser Daten genutzt, mit dem Ziel, eine skalierbare, zuverlässige und sichere Infrastruktur für unsere Dienste bereitzustellen.
Verarbeitungstätigkeiten: Speicherung und Verwaltung personenbezogener Daten und Benutzerprofile; Hosting von Bildungsinhalten und Nachverfolgung von Benutzerleistungen; Pflege und Verwaltung von Protokolldateien für Sicherheit und Überwachung; Speicherung und Verwaltung von Dateien auf AWS S3.
Ort der Verarbeitung: Die Daten werden in AWS-Rechenzentren in Frankfurt, Deutschland, verarbeitet und gespeichert. Für Ausweichzwecke werden die Datenbank und der Dateispeicher in AWS-Rechenzentren in Dublin, Irland, repliziert. Die gesamte Verarbeitung verbleibt innerhalb des EWR.
Sicherheitsmaßnahmen: AWS implementiert umfassende Sicherheitsmaßnahmen, einschließlich Netzwerksicherheit, Verschlüsselung, Zugriffskontrolle und regelmäßiger Sicherheitsaudits, und erfüllt relevante Branchenstandards und Zertifizierungen wie ISO 27001, SOC 1 und SOC 2.
Dauer der Verarbeitung: Daten werden so lange gespeichert und verarbeitet, wie dies für die Erbringung der Dienste erforderlich ist.
Einhaltung von Gesetzen und Vorschriften: AWS erfüllt die DSGVO und andere relevante europäische und internationale Datenschutzgesetze zum Schutz personenbezogener Daten.
https://aws.amazon.com/compliance/gdpr-center/
OpenAI (KI-Funktionalität innerhalb des Lernmodul-Erstellers)
Verarbeitete Daten: Texteingaben, die vom Benutzer oder Verantwortlichen in das KI-Modul eingegeben werden, einschließlich etwaiger darin enthaltener personenbezogener Daten. Pluvo übermittelt oder erhebt keine anderen identifizierenden Daten (wie Benutzer-IDs, E-Mail-Adressen oder IP-Adressen) über die technische Übertragung hinaus.
Zweck der Verarbeitung: Unterstützung der KI-Funktionalität innerhalb des Lernmodul-Erstellers auf der Pluvo-Plattform sowie die automatische Übersetzung von Lernmaterial in andere Sprachen. Dabei kann vom Verantwortlichen eingegebener Text ("Prompt") vorübergehend an die API-Umgebung von OpenAI weitergeleitet werden, um Entwürfe für Lernmaterial zu generieren bzw. Übersetzungen von bestehendem Lernmaterial zu erstellen.
Verarbeitungstätigkeiten: Verarbeitung von Texteingaben, Berechnung der Modellantwort und Rücksendung des generierten Textes an die Pluvo-Umgebung.
Ort der Verarbeitung: Die Verarbeitung erfolgt in Rechenzentren, die von OpenAI verwaltet werden. Vertragspartei für den EWR ist OpenAI Ireland Limited; Übermittlungen an OpenAI-Einheiten außerhalb des EWR erfolgen auf Grundlage von Standardvertragsklauseln (SCCs).
Sicherheitsmaßnahmen: Verschlüsselung während der Übertragung (TLS 1.2 oder höher), Authentifizierung über gesicherte API-Schlüssel, Beschränkung der Protokollaufbewahrung auf die funktionale Dauer der Sitzung.
Dauer der Verarbeitung: Eine Speicherung dieser Daten durch OpenAI über die Dauer der API-Sitzung hinaus findet nicht statt, gemäß der Datenverarbeitungsrichtlinie von OpenAI.
Verantwortlichkeit des Verantwortlichen: Der Verantwortliche ist für die Art und Rechtmäßigkeit der eingegebenen Inhalte verantwortlich. Die Eingabe personenbezogener Daten oder anderer sensibler Informationen in das KI-Modul darf ausschließlich erfolgen, wenn dafür eine gültige Rechtsgrundlage gemäß der DSGVO besteht. Pluvo hat weder Zugriff auf die Inhalte der eingegebenen Prompts, noch nimmt Pluvo eine Bewertung dieser Inhalte vor.
Einhaltung von Gesetzen und Vorschriften: OpenAI fungiert als Subverarbeiter von Pluvo im Sinne von Artikel 28 DSGVO. Pluvo hat mit OpenAI eine Vereinbarung geschlossen, in der festgelegt ist, dass die Verarbeitung den geltenden europäischen Datenschutzvorschriften entspricht.
https://openai.com/policies/data-processing-addendum/
Crisp
Verarbeitete Daten: Name, E-Mail-Adresse, der Inhalt von Chatnachrichten und technische Metadaten (wie Browser- und Gerätedaten) von Benutzern, die über den Chat Kontakt aufnehmen.
Zweck der Verarbeitung: Crisp wird für die In-App-Chat- und Support-Funktionalität verwendet, mit der Benutzer und Administratoren direkt mit Pluvo kommunizieren können.
Verarbeitungstätigkeiten: Empfang, Speicherung und Anzeige von Chatnachrichten und zugehörigen Kontaktdaten; Verwaltung des Gesprächsverlaufs und der Supportanfragen.
Ort der Verarbeitung: Die Daten werden in Rechenzentren innerhalb der Europäischen Union (Frankreich) verarbeitet.
Sicherheitsmaßnahmen: Crisp wendet Verschlüsselung während der Übertragung (TLS) und im Ruhezustand an, mit Zugriffsbeschränkung und branchenüblichen Sicherheitsmaßnahmen.
Dauer der Verarbeitung: Die Daten werden so lange verarbeitet, wie dies für den Support- und Kommunikationsdienst erforderlich ist, oder bis ein Benutzer die Löschung verlangt.
Einhaltung von Gesetzen und Vorschriften: Crisp erfüllt die DSGVO. Mit Crisp wurde ein Auftragsverarbeitungsvertrag (DPA) geschlossen.
https://crisp.chat/en/privacy/
Sentry
Verarbeitete Daten: Technische Fehlermeldungen, Stacktraces und Anwendungsdiagnosen, einschließlich einer Benutzer-ID, um Fehler einer Sitzung zuordnen zu können. IP-Adressen werden nicht gespeichert. Andere identifizierende Daten (wie Namen und E-Mail-Adressen) werden nach Möglichkeit durch serverseitiges Data Scrubbing maskiert und minimiert.
Zweck der Verarbeitung: Sentry wird für die Fehler- und Performance-Überwachung eingesetzt, um die Stabilität, Verfügbarkeit und Sicherheit der Plattform zu überwachen und Vorfälle zu untersuchen.
Verarbeitungstätigkeiten: Erfassung, Aggregation und Anzeige von Fehlerberichten und technischen Diagnosedaten zum Zweck der Erkennung und Behebung von Problemen.
Ort der Verarbeitung: Die Daten werden in der EU-Region von Sentry verarbeitet (Rechenzentrum Frankfurt, Deutschland). Eine Übermittlung außerhalb des EWR ist vertraglich nicht ausgeschlossen; hierfür gelten das EU-US Data Privacy Framework und Standardvertragsklauseln als Garantie.
Sicherheitsmaßnahmen: Verschlüsselung während der Übertragung (TLS 1.2 oder höher); serverseitiges Data Scrubbing mit Standardfiltern, die Passwörter und Kreditkartendaten ausschließen; IP-Adressen werden nicht gespeichert; Zugriff beschränkt auf autorisierte Entwickler. Sentry ist nach ISO/IEC 27001 und SOC 2 zertifiziert.
Dauer der Verarbeitung: Fehlerdaten werden gemäß der in Sentry eingestellten Aufbewahrungsfrist aufbewahrt.
Einhaltung von Gesetzen und Vorschriften: Sentry erfüllt die DSGVO. Mit Sentry wurde ein Auftragsverarbeitungsvertrag geschlossen (Data Processing Amendment v5.1.0).
Bunny.net
Verarbeitete Daten: Die innerhalb der Akademie hochgeladenen Videodateien, einschließlich der Personen, die darin erkennbar im Bild oder hörbar sind, sowie die technischen Daten, die erforderlich sind, um ein Video an einen Zuschauer auszuliefern, darunter die IP-Adresse und Browserdaten. Es werden keine Kontodaten, Namen, E-Mail-Adressen, Ergebnisse oder andere Akademiedaten an diese Partei weitergegeben.
Zweck der Verarbeitung: Bunny.net wird für die Speicherung und Auslieferung von Videomaterial innerhalb der Akademie genutzt, damit Benutzer Videos schnell und zuverlässig abspielen können.
Verarbeitungstätigkeiten: Speicherung, Transkodierung und Auslieferung von Videodateien über ein Content Delivery Network sowie Erfassung technischer Wiedergabe- und Leistungsdaten zur Gewährleistung der Verfügbarkeit des Dienstes.
Ort der Verarbeitung: Die Videodateien werden in Europa gespeichert. Für die Auslieferung sind ausschließlich die EU-Pull-Zonen von bunny.net aktiv, wodurch auch die Wiedergabe über Edge-Standorte innerhalb des EWR erfolgt. Eine Übermittlung außerhalb des EWR findet nicht statt.
Sicherheitsmaßnahmen: Verschlüsselung während der Übertragung (TLS); Zugriff auf das Verwaltungspanel beschränkt auf autorisierte Administratoren mit Multi-Faktor-Authentifizierung. Bunny.net ist nach ISO/IEC 27001 zertifiziert.
Dauer der Verarbeitung: Videos bleiben so lange verfügbar, wie der Verantwortliche sie in der Akademie bereithält. Löscht der Verantwortliche ein Video, wird die Datei bei bunny.net gelöscht. Nach Beendigung des Vertrags gilt die Löschfrist gemäß Artikel 10 dieses Auftragsverarbeitungsvertrags.
Einhaltung von Gesetzen und Vorschriften: Bunny.net erfüllt die DSGVO. Mit bunny.net wurde ein Auftragsverarbeitungsvertrag geschlossen (Data Processing Agreement v2).
Rechte und Pflichten
Diese Bestimmungen gelten für alle oben genannten Subverarbeiter.
Audit-Rechte: Wir behalten uns das Recht vor, die Einhaltung in Bezug auf Datensicherheit und Datenschutz zu überprüfen.
Meldung von Datenpannen: Der Subverarbeiter hat uns unverzüglich über etwaige auftretende Datenpannen oder Sicherheitsvorfälle zu informieren.
Subverarbeiter: Der Subverarbeiter ist verpflichtet, Klarheit über etwaige weitere Subverarbeiter zu schaffen, und muss bestätigen, ob die Datenverarbeitung innerhalb der Europäischen Union erfolgt.