Auftragsverarbeitungsvertrag

1. Gegenstand, Art und Zweck

Wir verarbeiten personenbezogene Daten nur, um den Dienst für den Kunden zu erbringen: Verwaltung von Konten und Plätzen, Durchführung von Schulungen zur KI-Kompetenz, Bewertung von Tests und Wissensüberprüfungen, Ausstellung und Prüfung von Zertifikaten, Versand von E-Mails, Führung der Schulungsnachweise und des Audit-Trails sowie Bereitstellung von Berichten und Exporten. Die Verarbeitung umfasst Erhebung, Speicherung, Ordnen, Verwendung, Übermittlung an die unten genannten Unterauftragsverarbeiter, Löschung und die sonstigen für diese Zwecke erforderlichen Vorgänge.

2. Dauer

Dieser AVV gilt, solange wir personenbezogene Daten für den Kunden verarbeiten: für die Laufzeit des Abonnements und den anschließenden Zeitraum bis zur Löschung nach Abschnitt 11.

3. Betroffene Personen und Datenkategorien

• Betroffene Personen: Mitarbeitende des Kunden, denen ein Platz zugewiesen ist, und die Administratoren des Kunden.
• Identifikations- und Kontaktdaten: Name, E-Mail, Abteilung, Tätigkeitsrolle und bevorzugte Sprache.
• Kontodaten: Passwort-Hash (Argon2id), Daten der Zwei-Faktor-Authentifizierung, sofern genutzt, Anmeldezeiten und IP-Adressen.
• Schulungsdaten: zugewiesene Kurse, Fortschritt und Verweildauer in Lektionen, Antworten in Tests und Wissensüberprüfungen, Ergebnisse und Versuche, Zertifikate, Bestätigungen der KI-Richtlinie des Kunden.
• Vom Kunden eingegebene Aufzeichnungen: das KI-Tool-Inventar und sonstige von Administratoren eingegebene Daten.
• Audit-Protokoll wichtiger Aktionen mit Zeit und Urheber.

Der Dienst ist nicht für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) ausgelegt, und der Kunde wird solche Daten nicht eingeben.

4. Weisungen des Kunden

Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden. Dieser AVV, die Allgemeinen Geschäftsbedingungen sowie die Einstellungen und Aktionen der Administratoren des Kunden im Dienst sind die vollständigen Weisungen des Kunden. Wir informieren den Kunden, wenn eine Weisung unserer Ansicht nach gegen Datenschutzrecht verstößt, und dürfen Daten anderweitig nur verarbeiten, wenn Unionsrecht oder das Recht eines Mitgliedstaats dies verlangt; in diesem Fall informieren wir den Kunden vorab, sofern das Recht dies nicht verbietet.

5. Vertraulichkeit

Zugang zu den Daten haben nur Personen, die ihn für Betrieb oder Support des Dienstes benötigen, und sie sind zur Vertraulichkeit verpflichtet.

6. Sicherheitsmaßnahmen

• Der Dienst und alle Daten laufen auf einem Server in einem Rechenzentrum in Deutschland (EU).
• Verschlüsselte Verbindungen (HTTPS); Passwörter nur als Argon2id-Hashes gespeichert; signierte HTTP-only-Sitzungscookies.
• Strikte Trennung der Kunden: Jede Anfrage wird gegen die angemeldete Person und ihr Unternehmen geprüft.
• Zwei-Faktor-Authentifizierung für Administratoren, verpflichtend für unsere eigenen Support-Konten und für jeden Administrator des Kunden verfügbar.
• Begrenzung der Anfragen bei Anmeldung, Passwortzurücksetzung und Zertifikatsprüfung.
• Gespeicherte Geheimnisse wie Zugangsdaten des E-Mail-Absenders und Schlüssel der Zwei-Faktor-Authentifizierung sind verschlüsselt (AES-256-GCM).
• Testantworten werden auf dem Server bewertet; richtige Antworten gelangen nie in den Browser.
• Audit-Protokoll wichtiger Aktionen und ein Sicherheitsereignisprotokoll, das 30 Tage aufbewahrt wird.
• Backups mit einer Aufbewahrung von bis zu 30 Tagen und ein dokumentiertes Verfahren für Sicherheitsvorfälle.

7. Support-Zugriff

Befugte Support-Mitarbeitende von MadHoney dürfen sich auf Wunsch des Kunden in dessen Administratorkonto anmelden, um das Konto einzurichten oder ein Problem zu lösen, oder wenn dies zum Schutz des Dienstes erforderlich ist. Ein solcher Zugriff ist auf die Administration beschränkt (niemals Lektionen, Tests oder Zertifikate im Namen von Mitarbeitenden), zeitlich begrenzt und wird im Audit-Protokoll des Kunden festgehalten.

8. Unterauftragsverarbeiter

• Hostinger International Ltd. (Zypern) - Miete des virtuellen privaten Servers, auf dem der Dienst läuft; Rechenzentrum in Deutschland (EU).
• ZONER a.s. (Tschechische Republik) - SMTP-Server für den Versand von E-Mails (Einladungen, Erinnerungen, Benachrichtigungen); Rechenzentren in Brno.

Der Kunde erteilt eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Wir erlegen jedem von ihnen Datenschutzpflichten auf, die diesem AVV entsprechen. Über das Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters informieren wir die Administratoren des Kunden mindestens 30 Tage vorher per E-Mail; der Kunde kann aus berechtigtem Grund widersprechen und, wenn wir den Widerspruch nicht ausräumen können, das Abonnement vor Inkrafttreten der Änderung kündigen.

Paddle.com Market Ltd verarbeitet Zahlungs- und Rechnungsdaten als eigenständiger Verantwortlicher (Merchant of Record) und erhält keine Daten über die Mitarbeitenden des Kunden.

9. Unterstützung des Kunden

Administratoren können die Daten ihrer Mitarbeitenden direkt im Dienst einsehen, berichtigen, exportieren und löschen. Unter Berücksichtigung der Art der Verarbeitung helfen wir dem Kunden zudem, Anfragen betroffener Personen zu beantworten und seine Pflichten nach den Artikeln 32 bis 36 DSGVO zu erfüllen (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation). Anfragen von Mitarbeitenden, die uns erreichen, leiten wir an den Kunden weiter.

10. Verletzungen des Schutzes personenbezogener Daten

Wir melden den Administratoren des Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich und spätestens 48 Stunden, nachdem sie uns bekannt wurde, mit den nach Artikel 33 Abs. 3 DSGVO verfügbaren Informationen und ergänzen diese, sobald weitere Tatsachen bekannt werden. Wir ergreifen Maßnahmen, um die Verletzung einzudämmen und ihre Folgen abzumildern.

11. Löschung und Rückgabe der Daten

Während des Abonnements kann der Kunde seine Berichte, Schulungsnachweise und den Audit-Trail jederzeit exportieren. Nach Ende des Abonnements können sich Administratoren noch 90 Tage lang anmelden, ausschließlich zum Export von Daten; danach werden das Unternehmen und alle seine Daten automatisch gelöscht, sofern der Kunde keine frühere Löschung verlangt. Kopien in Backups werden innerhalb von 30 Tagen überschrieben. Daten, die wir gesetzlich aufbewahren müssen (z. B. Rechnungen), fallen nicht unter diesen Abschnitt.

12. Audits

Wir stellen dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV erforderlich sind, und ermöglichen Audits einschließlich Inspektionen durch den Kunden oder einen zur Vertraulichkeit verpflichteten Prüfer. Audits finden nach angemessener vorheriger schriftlicher Ankündigung, während der Geschäftszeiten, höchstens einmal jährlich (außer nach einer Verletzung des Schutzes personenbezogener Daten) und auf Kosten des Kunden statt, ohne den Dienst zu stören oder Zugriff auf Daten anderer Kunden zu gewähren.

13. Pflichten des Kunden

Der Kunde ist dafür verantwortlich, eine Rechtsgrundlage für die Verarbeitung zu haben, seine Mitarbeitenden zu informieren und für die Rechtmäßigkeit der Daten und Weisungen, die er uns gibt.

14. Haftung und anwendbares Recht

Die Haftung nach diesem AVV richtet sich nach den Allgemeinen Geschäftsbedingungen, soweit die DSGVO nichts anderes bestimmt. Dieser AVV unterliegt dem Recht der Tschechischen Republik; Streitigkeiten daraus entscheiden die zuständigen Gerichte der Tschechischen Republik, die nach unserem Sitz örtlich zuständig sind. Kontakt für Datenschutzfragen: sales@guard-ai.eu.