← Zurück zu Kursleben

Auftragsverarbeitungsvertrag (Entwurf)

Hinweis: Dieses Dokument ist ein strukturierter Vertragsentwurf nach Art. 28 DSGVO. Es wird erst durch beidseitige Annahme im Rahmen des Plattformvertrags wirksam und ersetzt keine anwaltliche Prüfung.

zwischen dem jeweiligen Kursanbieter als Verantwortlichem im Sinne des Art. 4 Nr. 7 DSGVO (nachfolgend „Verantwortlicher")
und Michelle Kimura, Geschäftsbezeichnung „Kursleben" (vollständige Angaben im Impressum), als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO (nachfolgend „Auftragsverarbeiter").

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die mandantenfähige Kursverwaltungs-Plattform „Kursleben" als Software-as-a-Service bereit und verarbeitet dabei personenbezogene Daten im Auftrag des Verantwortlichen.

(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Plattform-Nutzungsvertrags. Nach Vertragsende gilt § 11.

§ 2 Art und Zweck der Verarbeitung

Speicherung, Organisation, Anzeige, Übermittlung (E-Mail-Versand, Dokumentenerzeugung) und Löschung personenbezogener Daten zum Zweck der Kursverwaltung des Verantwortlichen: Kurs- und Terminplanung, Buchungsabwicklung, Teilnehmerverwaltung, Anwesenheits- und Zertifikatsverwaltung, Kundenportale, Rechnungsstellung, Erinnerungswesen und Auswertungen.

§ 3 Kategorien personenbezogener Daten

§ 4 Kategorien betroffener Personen

§ 5 Weisungsbindung

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen; die Nutzung der Plattformfunktionen durch den Verantwortlichen gilt als Weisung. Individuelle Weisungen bedürfen der Textform.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, eine Weisung verstoße gegen Datenschutzrecht (Art. 28 Abs. 3 Satz 3 DSGVO).

§ 6 Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

§ 7 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in der jeweils aktuellen Fassung des TOM-Dokuments beschriebenen Maßnahmen nach Art. 32 DSGVO (u. a. Mandantentrennung, Zwei-Faktor-Authentifizierung, Verschlüsselung, Protokollierung, Backups mit Wiederherstellungstests). Die Maßnahmen dürfen dem Stand der Technik entsprechend fortentwickelt werden, sofern das Schutzniveau nicht unterschritten wird.

§ 8 Unterauftragnehmer

(1) Der Verantwortliche genehmigt allgemein den Einsatz der in der Unterauftragnehmerliste aufgeführten Unterauftragnehmer.

(2) Änderungsverfahren: Beabsichtigte Ergänzungen oder Ersetzungen zeigt der Auftragsverarbeiter dem Verantwortlichen vorab in Textform an (Aktualisierung der Liste mit Datum + Benachrichtigung). Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 30 Tagen widersprechen; bei berechtigtem Widerspruch steht beiden Parteien ein außerordentliches Kündigungsrecht des Plattformvertrags zu.

(3) Mit jedem Unterauftragnehmer werden Verträge geschlossen, die den Anforderungen des Art. 28 DSGVO entsprechen.

Derzeit als aktiv geführte Unterauftragnehmer:

§ 9 Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Mitteln bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO), insbesondere durch Auskunfts-Exportfunktionen, Berichtigungs- und Löschfunktionen sowie Datenexporte. Direkt beim Auftragsverarbeiter eingehende Betroffenenanfragen zu Daten des Verantwortlichen werden unverzüglich an diesen weitergeleitet.

§ 10 Unterstützung bei Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten, die dessen Auftragsdaten betreffen, unverzüglich nach Kenntnis mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen und unterstützt ihn bei seinen Melde- und Benachrichtigungspflichten (Art. 33/34 DSGVO). Vorfälle werden im internen Vorfallsregister unveränderlich dokumentiert.

§ 11 Löschung und Rückgabe nach Vertragsende

Nach Beendigung des Plattformvertrags stellt der Auftragsverarbeiter dem Verantwortlichen auf Wunsch einen vollständigen Export seiner Daten bereit (strukturierte CSV-Dateien und Originaldokumente) und löscht anschließend sämtliche Auftragsdaten einschließlich der Kopien in rotierenden Sicherungen, soweit keine gesetzliche Aufbewahrungspflicht des Auftragsverarbeiters entgegensteht. Die Löschung wird dokumentiert.

§ 12 Kontroll- und Nachweismöglichkeiten

Der Auftragsverarbeiter stellt alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung (insbesondere TOM-Dokument, Unterauftragnehmerliste, Protokollauszüge) und ermöglicht angemessene Überprüfungen – vorrangig durch schriftliche Auskünfte und vorhandene Nachweise, bei berechtigtem Anlass durch Audits nach vorheriger Ankündigung und ohne Gefährdung der Daten anderer Mandanten.

§ 13 Verarbeitung in Drittländern

Die Verarbeitung findet grundsätzlich in Rechenzentren innerhalb der EU/des EWR statt. Drittlandübermittlungen erfolgen nur über die in der Unterauftragnehmerliste ausgewiesenen optionalen Dienste und nur auf Grundlage geeigneter Garantien (Art. 44 ff. DSGVO, insbesondere EU-Standardvertragsklauseln oder Angemessenheitsbeschluss).

§ 14 Schlussbestimmungen

Bei Widersprüchen zwischen diesem Vertrag und dem Plattform-Nutzungsvertrag gehen die Regelungen dieses Vertrags in Bezug auf den Datenschutz vor. Änderungen bedürfen der Textform.

Stand des Entwurfs: 2026-07-21 · Version und Prüfsumme werden im Versionsprotokoll der Plattform geführt.

Hinweis: Dieser öffentlich einsehbare Entwurf gilt allein nicht als Vertragsabschluss. Die Annahme erfolgt durch Kursanbieter im Vertragsbereich der Verwaltung (mit Versionsnachweis).

Version 1 · gültig ab 21.07.2026 · Prüfsumme 1d21859f17d8bfb8… · freigegeben

Impressum Datenschutz Unterauftragnehmer TOM AV-Vertrag Plattform-AGB