Auftragsverarbeitungsvertrag (AVV)

Verarbeitung der vom Verantwortlichen eingegebenen Inhalte zur automatisierten Textgenerierung; Dauer = Dauer des Hauptvertrags. Art der Daten: in den Eingaben enthaltene Daten, soweit nicht anonymisiert. Betroffenenkategorien: vom Verantwortlichen bestimmt.

Bei Nutzung der Kurs-Auslieferung („Hosted Delivery", Learning Studio) zusätzlich: Verarbeitung von Lernstands- und Nachweisdaten eingeladener Lernender (Name, E-Mail-Adresse, Lernfortschritt, Ergebnis, Bearbeitungszeit) zur Bereitstellung der Kurse und Erstellung von Teilnahme-Nachweisen im Auftrag des Verantwortlichen. Betroffenenkategorien insoweit: vom Verantwortlichen eingeladene Lernende. Lernergebnisse werden nicht durch KI-Modelle verarbeitet und nicht zu Trainingszwecken genutzt.

Verarbeitung nur auf dokumentierte Weisung; die funktionsgemäße Nutzung des Dienstes gilt als Weisung.

Verpflichtung der eingesetzten Personen auf Vertraulichkeit.

Technische und organisatorische Maßnahmen gemäß Anlage 1 (TOM).

Allgemeine Genehmigung der in Anlage 2 gelisteten Subunternehmer; Änderungen werden mitgeteilt, Widerspruchsrecht binnen zwei Wochen ab Mitteilung.

Unterstützung bei Betroffenenrechten und bei Art. 32–36 DSGVO im Rahmen des technisch Möglichen.

Nach Vertragsende Löschung binnen 30 Tagen, soweit keine gesetzliche Aufbewahrung (z. B. Rechnungsdaten, § 147 AO) entgegensteht.

Lernstands- und Nachweisdaten eingeladener Lernender werden zudem spätestens 24 Monate nach dem letzten Kurszugriff automatisch gelöscht; der Verantwortliche kann sie jederzeit früher löschen. Exportierte Nachweise (CSV/PDF) verbleiben beim Verantwortlichen; die Archivierung obliegt ihm.

Bereitstellung erforderlicher Informationen; Audits über Zertifikate/Berichte, ergänzend Vor-Ort-Prüfung nach Ankündigung.

Übermittlungen nur mit Garantien nach Kap. V DSGVO (SCC/Angemessenheit) – siehe Anlage 2.

Unverzügliche Information des Verantwortlichen.

– Verschlüsselung in Transport und Speicherung; Webhook kryptografisch abgesichert.

– Zugriffskontrolle über Authentifizierung und Workspace-/Team-Berechtigung; keine öffentlichen URLs.

– Kurzlebige Zugriffstoken: SAS-Download-Links mit 2 Minuten Lebensdauer.

– Identitätsmanagement: Managed Identities statt rotierender Passwörter/Zugangsschlüssel.

– Datenminimierung: Trennung von Rechnungs- und Analyse-/Transkriptdaten; Rechnungslayout nur mit Pflichtangaben.

– Integrität/GoBD: unveränderbare, lückenlos nummerierte Rechnungsablage; atomare Datenbank-Transaktionen.

– Datenminimierte Verarbeitung der Eingaben mit Löschung unverzüglich nach Bereitstellung des Ergebnisses; keine Trainingsnutzung.

– Kurs-Auslieferung: personengebundene, kryptografisch signierte, zeitlich befristete und jederzeit widerrufbare Einladungs-Links; keine Konten und keine Passwörter für Lernende (Datenminimierung); Ausschluss von Suchmaschinen-Indexierung; Zugriffsbegrenzung (Rate-Limiting).

Microsoft Azure (Compute, Cosmos DB, Blob Storage) – Hosting, Daten-/Rechnungsspeicherung – Region EU (Westeuropa, Niederlande) – EU-intern.

Stripe (Payments Europe Ltd / Inc.) – Zahlungsabwicklung, Stripe Tax – EU/USA – SCC / DPF (für Zahlungsdaten ggf. eigener Verantwortlicher).

Microsoft (Azure OpenAI Service) – Textgenerierung – Region EU (Schweden) – EU-intern; keine Trainingsnutzung.

Google (Gemini-Sprachmodelle) – Textgenerierung – Verarbeitung kann auch außerhalb der EU/des EWR erfolgen – EU-Standardvertragsklauseln (Art. 46 DSGVO); keine Trainingsnutzung (Paid-Services-Datenbedingungen).