Präambel

Der Auftragnehmer betreibt unter sicherheitsunterweisung24.de eine Software-as-a-Service-Plattform („SU24“ oder „Plattform“), mit der Arbeitgeber die nach § 12 ArbSchG, § 4 DGUV Vorschrift 1 und weiteren Vorschriften vorgeschriebenen Unterweisungen ihrer Beschäftigten digital durchführen, dokumentieren und nachweisen können. Der Auftraggeber nutzt die Plattform auf Grundlage des zwischen den Parteien geschlossenen Nutzungsvertrags einschließlich der jeweils gültigen Allgemeinen Geschäftsbedingungen („Hauptvertrag“). Da der Auftragnehmer hierbei personenbezogene Daten der Beschäftigten des Auftraggebers im Auftrag verarbeitet, schließen die Parteien diesen Vertrag zur Auftragsverarbeitung („Vertrag“). Er konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien gemäß Art. 28 DSGVO.

§ 1Gegenstand und Dauer des Vertrags

(1) Gegenstand des Vertrags ist die Bereitstellung und der Betrieb der Plattform SU24 als Software-as-a-Service einschließlich Hosting, Wartung und Support. Die Plattform umfasst insbesondere folgende Funktionen:

• Bereitstellung digitaler Theorie-Unterweisungen (Videokurse, Lerninhalte, Lernerfolgskontrollen) in mehreren Sprachen sowie die Erstellung von Unterweisungsnachweisen und Zertifikaten;
• Verwaltung der Beschäftigten des Auftraggebers (Anlage, Zuordnung zu Bereichen, Arbeitsplätzen bzw. Tätigkeitsprofilen, Zuweisung von Unterweisungen, Wiederholungszyklen, Erinnerungen);
• Dokumentation der praktischen, arbeitsplatzbezogenen Unterweisung durch den Auftraggeber (digitaler Unterweisungsbogen, Bestätigung des Beschäftigten mittels einfacher elektronischer Signatur auf dem Gerät des Unterweisers, optionale Fotodokumentation des Arbeitsplatzes);
• Unterweisungsmatrix und Auswertungen als Nachweis gegenüber Berufsgenossenschaften und Aufsichtsbehörden;
• unterstützende Werkzeuge wie Gefährdungsbeurteilungs-Assistent, Praxis-Textbausteine und – soweit gebucht – weitere Module (z. B. Asbest-Dokumentation);
• System- und Erinnerungs-E-Mails an Beschäftigte und Administratoren des Auftraggebers sowie Support.

Der konkrete Leistungsumfang ergibt sich aus dem Hauptvertrag, dem gebuchten Tarif und der Leistungsbeschreibung. Dieser Vertrag gilt für alle Verarbeitungen personenbezogener Daten, die der Auftragnehmer im Rahmen des Hauptvertrags für den Auftraggeber vornimmt.

(2) Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Eine Kündigung des Hauptvertrags beendet zugleich diesen Vertrag; eine isolierte Kündigung dieses Vertrags ist nur aus wichtigem Grund möglich. Ein wichtiger Grund liegt insbesondere vor, wenn der Auftragnehmer seine Pflichten aus diesem Vertrag schwerwiegend oder trotz Abmahnung wiederholt verletzt.

(3) Unbeschadet des vorstehenden Absatzes gilt dieser Vertrag so lange, wie der Auftragnehmer personenbezogene Daten des Auftraggebers verarbeitet, einschließlich der Löschung nach § 10 und etwaiger Sicherungskopien.

(4) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag oder sonstigen Vereinbarungen gehen die Regelungen dieses Vertrags in Bezug auf den Schutz personenbezogener Daten vor, sofern die Parteien nicht ausdrücklich etwas anderes vereinbaren.

§ 2Konkretisierung des Vertragsinhalts

(1) Art und Zweck der Verarbeitung. Die Verarbeitung dient ausschließlich der Erbringung der in § 1 beschriebenen Leistungen, insbesondere der Durchführung, Dokumentation und dem Nachweis von Arbeitsschutz-Unterweisungen der Beschäftigten des Auftraggebers sowie der Erfüllung der damit verbundenen gesetzlichen Dokumentationspflichten des Auftraggebers. Die Verarbeitung umfasst das Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln an die vom Auftraggeber genehmigten Unterauftragnehmer, Abgleichen, Einschränken, Löschen und Vernichten dieser Daten.

(2) Kategorien personenbezogener Daten. Verarbeitet werden folgende Datenkategorien:

• Stammdaten der Beschäftigten: Vor- und Nachname, ggf. Personalnummer, dienstliche E-Mail-Adresse, ggf. Mobilnummer, bevorzugte Sprache, Bereich/Abteilung, Arbeitsplatz bzw. Tätigkeitsprofil, Eintritts- und Austrittsdatum, Beschäftigungsstatus;
• Zugangs- und Nutzungsdaten: Anmeldedaten (E-Mail, Passwort-Hash bzw. Anmeldelink, ggf. Zwei-Faktor-Merkmale), Rolle und Berechtigungen, Zeitstempel von Anmeldungen und Aktionen, IP-Adresse, Geräte- und Browserinformationen, Protokolldaten;
• Lern- und Nachweisdaten: zugewiesene Unterweisungen, Bearbeitungsstand und -dauer, Ergebnisse von Lernerfolgskontrollen, Abschlussdaten, Zertifikate, Wiederholungsfristen, Erinnerungshistorie, Versionsstand der Unterweisungsinhalte;
• Daten der praktischen Unterweisung: Unterweisungsbogen (Themen, Datum, Ort, Arbeitsplatz), Name und Funktion des Unterweisers, elektronische Unterschrift des Beschäftigten (Signaturbild, Zeitstempel, Geräteinformationen), ggf. Fotos des Arbeitsplatzes bzw. der Arbeitsmittel;
• Daten der Administratoren, Unterweiser und Ansprechpartner des Auftraggebers: Name, dienstliche Kontaktdaten, Funktion, Rolle in der Plattform, Kommunikations- und Support-Daten;
• Vertrags- und Abrechnungsdaten des Auftraggebers (Firmendaten, Rechnungsanschrift, Ansprechpartner, Zahlungsstatus), soweit sie personenbezogen sind;
• Inhaltsdaten, die der Auftraggeber in Freitextfeldern, Gefährdungsbeurteilungen oder hochgeladenen Dokumenten erfasst, soweit sie personenbezogen sind.

(3) Besondere Kategorien personenbezogener Daten. Eine Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Art. 9 Abs. 1 DSGVO (z. B. Gesundheitsdaten) ist nicht vorgesehen und nicht Gegenstand dieses Vertrags. Unterweisungsnachweise stellen keine Gesundheitsdaten dar. Der Auftraggeber stellt sicher, dass in Freitextfeldern, Fotos oder hochgeladenen Dokumenten keine Gesundheitsdaten (z. B. Ergebnisse arbeitsmedizinischer Vorsorge, Angaben zu Erkrankungen oder Einschränkungen) und keine sonstigen besonderen Kategorien erfasst werden. Sollten solche Daten dennoch eingegeben werden, gelten für sie die technischen und organisatorischen Maßnahmen gemäß Anlage 1; der Auftragnehmer wird sie auf Weisung des Auftraggebers löschen.

(4) Kategorien betroffener Personen:

• Beschäftigte des Auftraggebers einschließlich Auszubildender, Praktikanten, geringfügig Beschäftigter und Führungskräfte;
• Leiharbeitnehmer sowie Beschäftigte von Fremdfirmen, die der Auftraggeber über die Plattform unterweist;
• Unterweiser, Vorgesetzte und Fachkräfte für Arbeitssicherheit, die praktische Unterweisungen dokumentieren;
• Administratoren, Ansprechpartner und Vertretungsberechtigte des Auftraggebers;
• sonstige Personen, deren Daten der Auftraggeber in die Plattform einträgt.

(5) Ort der Verarbeitung. Die Speicherung und Verarbeitung der unter Abs. 2 genannten Daten erfolgt in Rechenzentren innerhalb der Europäischen Union (Anlage 2). Der Auftragnehmer selbst hat seinen Sitz im Vereinigten Königreich; hierzu gilt § 7.

§ 3Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer hat vor Beginn der Verarbeitung die Umsetzung der erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO dokumentiert und dem Auftraggeber zur Prüfung übergeben (Anlage 1). Mit Abschluss dieses Vertrags werden die dokumentierten Maßnahmen Grundlage des Vertrags.

(2) Die Maßnahmen beziehen sich insbesondere auf die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die Trennung der Mandanten, die Unveränderbarkeit erstellter Unterweisungsnachweise und die Wiederherstellbarkeit der Daten. Sie berücksichtigen den Stand der Technik, die Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung und das Risiko für die Rechte und Freiheiten der betroffenen Personen.

(3) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie durch alternative, mindestens gleichwertige Maßnahmen ersetzen, sofern das vereinbarte Sicherheitsniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert der Auftragnehmer und teilt sie dem Auftraggeber in Textform mit; die jeweils aktuelle Fassung der Anlage 1 wird zudem in der Plattform bzw. unter der in Anlage 2 genannten Adresse bereitgestellt.

(4) Ergibt eine Prüfung oder ein Audit des Auftraggebers einen Anpassungsbedarf, setzen die Parteien diesen einvernehmlich um.

§ 4Rechte der betroffenen Personen

(1) Der Auftraggeber ist für die Wahrung der Betroffenenrechte verantwortlich. Der Auftragnehmer unterstützt ihn im Rahmen seiner Möglichkeiten mit geeigneten technischen und organisatorischen Maßnahmen, insbesondere durch die in der Plattform bereitgestellten Selbstbedienungsfunktionen (Einsicht in Beschäftigtendaten und Nachweise, Berichtigung, Export als PDF/CSV, Deaktivierung und Löschung von Beschäftigten).

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Ersuchen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst, es sei denn, der Auftraggeber weist ihn dokumentiert dazu an. Der Auftragnehmer darf im Auftrag verarbeitete Daten nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Auftraggebers beauskunften, berichtigen, löschen, portieren oder in ihrer Verarbeitung einschränken.

(3) Soweit eine Anfrage nicht über die Selbstbedienungsfunktionen erledigt werden kann, unterstützt der Auftragnehmer den Auftraggeber innerhalb von zehn Werktagen nach Eingang der dokumentierten Weisung. Ist der Aufwand erheblich und beruht er nicht auf einer Pflichtverletzung des Auftragnehmers, kann der Auftragnehmer eine angemessene Vergütung nach den Stundensätzen des Hauptvertrags verlangen.

§ 5Pflichten des Auftragnehmers

(1) Der Auftragnehmer hat zusätzlich zur Einhaltung dieses Vertrags eigene gesetzliche Pflichten nach der DSGVO. Er gewährleistet insbesondere:

a)Vertraulichkeit (Art. 28 Abs. 3 S. 2 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO): Der Auftragnehmer setzt nur Beschäftigte und Auftragnehmer ein, die zur Vertraulichkeit verpflichtet und zuvor mit den für sie relevanten Datenschutzbestimmungen vertraut gemacht wurden. Diese Personen verarbeiten die Daten ausschließlich entsprechend der Weisungen des Auftraggebers, sofern sie nicht gesetzlich zur Verarbeitung verpflichtet sind. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

b)Zusammenarbeit mit der Aufsichtsbehörde: Auftraggeber und Auftragnehmer arbeiten auf Anfrage mit der zuständigen Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.

c)Information über Kontrollen: Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollhandlungen und Maßnahmen einer Aufsichtsbehörde, soweit sie sich auf diesen Vertrag beziehen, sowie über Ermittlungen im Rahmen von Ordnungswidrigkeits- oder Strafverfahren in Bezug auf die Auftragsverarbeitung.

d)Unterstützung bei Verfahren: Ist der Auftraggeber einer Kontrolle der Aufsichtsbehörde, einem Ordnungswidrigkeits- oder Strafverfahren, dem Haftungsanspruch einer betroffenen Person oder eines Dritten oder einem sonstigen Anspruch im Zusammenhang mit der Auftragsverarbeitung ausgesetzt, unterstützt ihn der Auftragnehmer nach besten Kräften.

e)Eigenkontrolle: Der Auftragnehmer überprüft regelmäßig, mindestens jährlich, die internen Prozesse und die technischen und organisatorischen Maßnahmen, um zu gewährleisten, dass die Verarbeitung in seinem Verantwortungsbereich den Anforderungen des Datenschutzrechts entspricht und die Rechte der betroffenen Personen gewahrt werden.

f)Nachweisbarkeit der getroffenen Maßnahmen gegenüber dem Auftraggeber im Rahmen seiner Kontrollrechte nach § 8.

g)Meldung von Datenschutzverletzungen: Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten, die den Auftraggeber betrifft, unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, an die vom Auftraggeber benannte Datenschutz-Kontaktadresse. Die Meldung enthält, soweit bekannt, die in Art. 33 Abs. 3 DSGVO genannten Informationen; nicht sofort verfügbare Informationen werden schrittweise nachgereicht. Der Auftragnehmer dokumentiert den gesamten Vorgang und stellt dem Auftraggeber die Dokumentation zur Verfügung, damit dieser seine Pflichten nach Art. 33, 34 DSGVO erfüllen kann.

h)Informationspflichten: Der Auftragnehmer unterstützt den Auftraggeber im Rahmen bestehender Informationspflichten gegenüber Aufsichtsbehörden und betroffenen Personen und stellt ihm die hierfür relevanten Informationen unverzüglich zur Verfügung.

i)Datenschutz-Folgenabschätzung: Soweit der Auftraggeber zur Durchführung einer Datenschutz-Folgenabschätzung oder zur vorherigen Konsultation der Aufsichtsbehörde verpflichtet ist, unterstützt ihn der Auftragnehmer unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen.

j)Ansprechpartner und EU-Vertreter: Der Auftragnehmer benennt eine Kontaktstelle für Datenschutzfragen (datenschutz@sicherheitsunterweisung24.de) und hat gemäß Art. 27 DSGVO einen Vertreter in der Union benannt (siehe Rubrum), an den sich Auftraggeber, betroffene Personen und Aufsichtsbehörden zusätzlich oder anstelle des Auftragnehmers wenden können. Änderungen teilt er dem Auftraggeber in Textform mit.

(2) Dieser Vertrag entbindet den Auftragnehmer nicht von der Einhaltung sonstiger Vorgaben der DSGVO und des für ihn geltenden Datenschutzrechts.

§ 6Unterauftragsverhältnisse

(1) Unterauftragsverhältnisse im Sinne dieser Regelung sind Dienstleistungen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen, insbesondere Hosting, Datenbank- und Speicherdienste, Lernplattform, E-Mail-Versand, Workflow-Automatisierung und KI-gestützte Textverarbeitung. Nicht hierzu gehören Nebenleistungen wie Telekommunikations-, Post-, Reinigungs- oder Bewachungsleistungen. Wartungs- und Prüfleistungen stellen ein Unterauftragsverhältnis dar, wenn sie für IT-Systeme erbracht werden, die im Zusammenhang mit der Leistung nach diesem Vertrag stehen. Auch bei ausgelagerten Nebenleistungen trifft der Auftragnehmer angemessene vertragliche Vereinbarungen und Kontrollmaßnahmen zum Schutz der Daten.

(2) Der Auftraggeber erteilt hiermit seine allgemeine Genehmigung für die in Anlage 2 genannten Unterauftragnehmer unter der Bedingung, dass der Auftragnehmer mit ihnen eine vertragliche Vereinbarung nach Maßgabe des Art. 28 Abs. 2–4 DSGVO geschlossen hat. Diese Vereinbarung wird dem Auftraggeber auf Verlangen vorgelegt; geschäftliche Klauseln ohne datenschutzrechtlichen Bezug können geschwärzt werden.

(3) Die Hinzunahme neuer oder der Austausch bestehender Unterauftragnehmer ist zulässig, soweit

• der Auftragnehmer die beabsichtigte Änderung dem Auftraggeber mindestens 14 Tage vorab in Textform (E-Mail an die hinterlegte Datenschutz-Kontaktadresse und Hinweis in der Plattform) anzeigt,
• der Auftraggeber innerhalb dieser Frist keinen begründeten Einspruch in Textform erhebt und
• eine vertragliche Vereinbarung nach Maßgabe des Art. 28 Abs. 2–4 DSGVO mit dem neuen Unterauftragnehmer zugrunde gelegt wird.

Erhebt der Auftraggeber begründeten Einspruch und können sich die Parteien nicht innerhalb von 30 Tagen einigen, ist jede Partei berechtigt, den Hauptvertrag mit einer Frist von einem Monat zum Monatsende zu kündigen; bis dahin bleibt die Nutzung des bisherigen Unterauftragnehmers zulässig.

(4) Die Weitergabe personenbezogener Daten an einen Unterauftragnehmer und dessen erstmaliges Tätigwerden sind erst gestattet, wenn alle Voraussetzungen für die Unterbeauftragung vorliegen. Der Auftragnehmer prüft vor Beauftragung und danach regelmäßig, ob der Unterauftragnehmer die erforderlichen technischen und organisatorischen Maßnahmen umsetzt, insbesondere anhand von Zertifizierungen (z. B. ISO 27001, SOC 2) oder Auditberichten, und stellt die Ergebnisse dem Auftraggeber auf Anfrage zur Verfügung. Der Auftragnehmer stellt sicher, dass der Auftraggeber seine Kontrollrechte nach diesem Vertrag auch gegenüber den Unterauftragnehmern ausüben kann.

(5) KI-Dienste. Soweit der Auftragnehmer KI-Dienste (Anlage 2) zur Unterstützung von Funktionen wie dem Gefährdungsbeurteilungs-Assistenten oder Textbausteinen einsetzt, gilt ergänzend: Die Nutzung erfolgt ausschließlich über Unternehmens-Schnittstellen (API), bei denen der Anbieter vertraglich zusichert, die übermittelten Daten nicht zum Training seiner Modelle zu verwenden und sie nach der Verarbeitung nicht über die vertraglich vereinbarte Frist hinaus zu speichern. Der Auftragnehmer beschränkt die Übermittlung auf das für die jeweilige Funktion Erforderliche und übermittelt keine Stammdaten, Nachweisdaten oder Signaturen von Beschäftigten an KI-Dienste, soweit die Funktion ohne diese Daten erbracht werden kann. Der Auftraggeber kann KI-gestützte Funktionen für seinen Mandanten deaktivieren lassen.

(6) Erbringt ein Unterauftragnehmer die Leistung außerhalb der EU/des EWR, stellt der Auftragnehmer die datenschutzrechtliche Zulässigkeit nach § 7 sicher.

(7) Eine weitere Auslagerung durch den Unterauftragnehmer bedarf der Zustimmung des Auftragnehmers (mindestens Textform). Sämtliche vertraglichen Regelungen in der Vertragskette sind auch dem weiteren Unterauftragnehmer aufzuerlegen.

§ 7Internationale Datentransfers

(1) Sitz des Auftragnehmers. Der Auftragnehmer hat seinen Sitz im Vereinigten Königreich. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der Europäischen Kommission gemäß Art. 45 DSGVO (Durchführungsbeschluss (EU) 2021/1772, verlängert bis zum 27. Dezember 2031). Ein Zugriff des Auftragnehmers auf personenbezogene Daten aus dem Vereinigten Königreich (z. B. zu Administrations- und Supportzwecken) ist daher ohne zusätzliche Transfermechanismen zulässig. Sollte der Angemessenheitsbeschluss aufgehoben oder für ungültig erklärt werden, verpflichtet sich der Auftragnehmer, unverzüglich geeignete Garantien nach Art. 46 DSGVO (insbesondere die Standardvertragsklauseln der Kommission, Modul 2) mit dem Auftraggeber zu vereinbaren.

(2) Hosting und Speicherung. Die Speicherung der Daten der Plattform (Datenbank, Dateien, Backups) erfolgt in Rechenzentren innerhalb der Europäischen Union, wie in Anlage 2 ausgewiesen.

(3) Unterauftragnehmer in Drittländern. Der Auftraggeber gestattet die Übermittlung an die in Anlage 2 genannten Unterauftragnehmer mit Sitz in Drittländern. Anlage 2 weist für jeden Unterauftragnehmer die Garantie zur Gewährleistung eines angemessenen Schutzniveaus nach Kapitel V DSGVO aus (Angemessenheitsbeschluss, Zertifizierung nach dem EU-U.S. Data Privacy Framework und/oder Standardvertragsklauseln der Kommission, Modul 3, jeweils ergänzt um ein Transfer Impact Assessment).

(4) Jede darüber hinausgehende Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation bedarf einer dokumentierten Weisung des Auftraggebers und der Einhaltung der Vorgaben aus Kapitel V DSGVO. Weist der Auftraggeber eine solche Übermittlung an, ist er für die Einhaltung von Kapitel V DSGVO verantwortlich.

§ 8Kontrollrechte des Auftraggebers

(1) Der Auftraggeber hat das Recht, sich vor Beginn der Verarbeitung und sodann regelmäßig von der Einhaltung dieses Vertrags und der technischen und organisatorischen Maßnahmen zu überzeugen. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die erforderlichen Auskünfte zu erteilen und die Umsetzung der Maßnahmen nachzuweisen.

(2) Der Nachweis kann insbesondere erfolgen durch

• die Vorlage der aktuellen Anlage 1 sowie der Beschreibung der Sicherheitsarchitektur der Plattform;
• aktuelle Zertifikate, Testate, Auditberichte oder Berichtsauszüge der Unterauftragnehmer (z. B. ISO/IEC 27001, SOC 2 Typ II, EU-U.S. DPF-Zertifizierung);
• die Einhaltung genehmigter Verhaltensregeln (Art. 40 DSGVO) oder eine Zertifizierung nach Art. 42 DSGVO;
• die schriftliche Beantwortung eines Fragebogens des Auftraggebers (Selbstauskunft).

(3) Reichen diese Nachweise im Einzelfall begründet nicht aus, kann der Auftraggeber nach Abstimmung mit dem Auftragnehmer eine Vor-Ort-Kontrolle oder eine Fernprüfung (Remote-Audit) selbst oder durch einen zur Verschwiegenheit verpflichteten, nicht im Wettbewerb zum Auftragnehmer stehenden Prüfer durchführen lassen. Kontrollen sind, außer bei konkretem Anlass, mit einer Frist von mindestens 14 Tagen anzukündigen, finden während der üblichen Geschäftszeiten statt, dürfen den Betrieb nicht unangemessen beeinträchtigen und beschränken sich auf einmal jährlich. Kontrollen beim Unterauftragnehmer richten sich nach dessen Auditbedingungen; Rechenzentren der Hosting-Anbieter sind vom Recht auf Vor-Ort-Kontrolle ausgenommen und werden durch deren Zertifizierungen nachgewiesen.

(4) Der Auftragnehmer kann für die Unterstützung von Kontrollen, die über die Vorlage vorhandener Nachweise hinausgehen, eine angemessene Vergütung nach Aufwand verlangen, es sei denn, die Kontrolle ergibt eine wesentliche Pflichtverletzung des Auftragnehmers.

§ 9Weisungsbefugnis des Auftraggebers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet. Die anfänglichen Weisungen werden durch diesen Vertrag, den Hauptvertrag und die Nutzung der Plattformfunktionen durch den Auftraggeber (z. B. Anlegen von Beschäftigten, Zuweisen von Unterweisungen, Auslösen von Erinnerungen, Löschen von Datensätzen) festgelegt. Ergänzende Weisungen erteilt der Auftraggeber in Textform an die Datenschutz-Kontaktadresse des Auftragnehmers; mündliche Weisungen bestätigt er unverzüglich in Textform.

(2) Weisungsberechtigt sind die vom Auftraggeber in der Plattform als Administratoren hinterlegten Personen sowie die im Hauptvertrag benannten Ansprechpartner. Änderungen teilt der Auftraggeber in Textform mit.

(3) Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Auftraggeber unverzüglich. Er ist berechtigt, die Durchführung der Weisung auszusetzen, bis der Auftraggeber sie bestätigt oder ändert.

(4) Der Auftraggeber ist im Verhältnis der Parteien allein verantwortlich für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte der betroffenen Personen. Dies umfasst insbesondere:

• die Zulässigkeit der Verarbeitung von Beschäftigtendaten (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 12 ArbSchG, § 26 BDSG);
• die Information der Beschäftigten nach Art. 13 DSGVO über die Nutzung der Plattform;
• die Beteiligung des Betriebsrats, soweit ein solcher besteht (insbesondere § 87 Abs. 1 Nr. 6 BetrVG);
• die datenschutzkonforme Erstellung von Fotos im Rahmen der praktischen Unterweisung (Fokus auf Arbeitsplatz und Arbeitsmittel, Vermeidung erkennbarer Personen, soweit nicht erforderlich) und die Zulässigkeit der Nutzung der elektronischen Unterschrift;
• die Richtigkeit und Aktualität der eingegebenen Daten sowie die rechtzeitige Deaktivierung und Löschung ausgeschiedener Beschäftigter;
• die Vergabe und Verwaltung von Rollen und Zugriffsrechten innerhalb seines Mandanten.

Machen Dritte oder betroffene Personen gegen den Auftragnehmer Ansprüche aufgrund einer vom Auftraggeber zu verantwortenden Verarbeitung geltend, stellt der Auftraggeber den Auftragnehmer von diesen Ansprüchen auf erstes Anfordern frei, soweit der Auftragnehmer die Verletzung nicht zu vertreten hat.

§ 10Löschung und Rückgabe von personenbezogenen Daten

(1) Der Auftragnehmer erstellt ohne Wissen des Auftraggebers keine Kopien oder Duplikate der Daten. Ausgenommen sind Sicherungskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die zur Einhaltung gesetzlicher Aufbewahrungspflichten des Auftragnehmers erforderlich sind (z. B. Rechnungsdaten).

(2) Der Auftraggeber kann während der Vertragslaufzeit jederzeit einzelne Beschäftigte oder Nachweise über die Plattform exportieren und löschen. Der Auftragnehmer weist darauf hin, dass die Aufbewahrung von Unterweisungsnachweisen gesetzliche Pflicht des Auftraggebers als Arbeitgeber ist und die Plattform keine Aufbewahrungspflicht des Auftragnehmers begründet.

(3) Nach Beendigung des Hauptvertrags stellt der Auftragnehmer dem Auftraggeber die Daten für einen Zeitraum von 90 Tagen zum Export in einem gängigen, maschinenlesbaren Format (insbesondere PDF-Nachweise und CSV-Exporte) über die Plattform oder auf Anforderung als Datenpaket bereit. Der Auftraggeber ist verpflichtet, die für seine Nachweispflichten erforderlichen Daten innerhalb dieser Frist zu sichern.

(4) Nach Ablauf der Exportfrist oder früher auf dokumentierte Weisung des Auftraggebers löscht der Auftragnehmer sämtliche im Auftrag verarbeiteten Daten einschließlich Test- und Ausschussmaterials innerhalb von 30 Tagen datenschutzgerecht und stellt sicher, dass auch die Unterauftragnehmer die Daten löschen. In Sicherungskopien enthaltene Daten werden im Rahmen der regulären Backup-Rotation, spätestens 90 Tage nach der Löschung, überschrieben; bis dahin werden sie nicht wiederhergestellt oder anderweitig verarbeitet. Das Löschprotokoll wird dem Auftraggeber auf Anforderung vorgelegt.

(5) Gesetzliche Aufbewahrungspflichten des Auftragnehmers bleiben unberührt; die betroffenen Daten werden für die Dauer der Aufbewahrungspflicht in der Verarbeitung eingeschränkt und danach gelöscht.

§ 11Haftung

(1) Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Innenverhältnis haften die Parteien einander nach ihrem jeweiligen Verursachungsbeitrag.

(2) Die im Hauptvertrag vereinbarten Haftungsbeschränkungen gelten auch für Ansprüche aus diesem Vertrag, soweit dies gesetzlich zulässig ist; die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt.

§ 12Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform und des ausdrücklichen Hinweises, dass es sich um eine Änderung dieses Vertrags handelt. Änderungen der Anlagen 1 und 2 richten sich nach § 3 Abs. 3 und § 6 Abs. 3.

(2) Es gilt das Recht der Bundesrepublik Deutschland unter Einschluss der DSGVO und des BDSG. Gerichtsstand für Streitigkeiten aus diesem Vertrag ist, soweit gesetzlich zulässig, der im Hauptvertrag vereinbarte Gerichtsstand, hilfsweise Kaarst.

(3) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen und datenschutzrechtlichen Zweck am nächsten kommt.

(4) Zustandekommen. Dieser Vertrag ist vom Auftragnehmer, vertreten durch Christoph Paulus, mit Stand vom 01.01.2026 verbindlich angeboten und gilt als von ihm unterzeichnet; eine zusätzliche eigenhändige Unterschrift des Auftragnehmers ist nicht erforderlich. Der Vertrag kommt zustande, sobald der Auftraggeber ihn unterzeichnet, elektronisch (z. B. durch Bestätigung in der Plattform oder fortgeschrittene bzw. qualifizierte elektronische Signatur) annimmt oder die Plattform nach Kenntnisnahme dieses Vertrags nutzt. Der Auftraggeber bewahrt das ausgefüllte Exemplar zu seinen Nachweisen auf; der Auftragnehmer hält die jeweils gültige Fassung unter avv.sicherheitsunterweisung24.de bereit. Die Anlagen 1 und 2 sind Bestandteil dieses Vertrags.

Unterschriften

Die Parteien bestätigen mit ihrer Unterschrift den Abschluss dieses Vertrags einschließlich der Anlagen 1 und 2.

Stand: 01.01.2026. Beschreibung der technischen und organisatorischen Maßnahmen des Auftragnehmers für die Plattform Sicherheitsunterweisung24 unter Berücksichtigung von Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der betroffenen Personen.

A. Architektur und Verantwortungsbereiche

Die Plattform ist eine mandantenfähige Cloud-Anwendung. Der Auftragnehmer betreibt keine eigenen Rechenzentren; Datenbank, Dateispeicher, Authentifizierung, Lernplattform, E-Mail-Versand und Auslieferung der Web-Anwendung werden durch die in Anlage 2 genannten, nach ISO/IEC 27001 bzw. SOC 2 zertifizierten Anbieter erbracht. Für die physische Sicherheit der Rechenzentren gelten die Maßnahmen dieser Anbieter; der Auftragnehmer prüft diese anhand der Zertifikate und Auditberichte. Die nachfolgenden Maßnahmen betreffen den Verantwortungsbereich des Auftragnehmers (Anwendung, Konfiguration, Zugriffe, Prozesse).

B. Vertraulichkeit

Zutrittskontrolle

• Rechenzentren der Hosting-Anbieter: Zutrittskontrolle, Videoüberwachung, Besucherregelung und Sicherheitspersonal gemäß ISO/IEC 27001 / SOC 2 (nachgewiesen durch Zertifikate der Anbieter).
• Arbeitsplätze des Auftragnehmers: verschlossene Büroräume, kein unbeaufsichtigter Besucherzugang, keine lokalen Server; personenbezogene Daten werden nicht auf Papier verarbeitet.
• Mobile Endgeräte mit vollständiger Festplattenverschlüsselung, automatischer Bildschirmsperre und Fernlöschfunktion.

Zugangskontrolle

• Alle administrativen Zugänge (Datenbank, Hosting, Quellcode-Verwaltung, Lernplattform, Automatisierung, E-Mail-Dienste) sind personalisiert, mit Zwei-Faktor-Authentifizierung gesichert und werden über einen Passwortmanager mit Passwortrichtlinie verwaltet.
• Zugänge für Nutzer des Auftraggebers: Anmeldung per E-Mail und Passwort bzw. zeitlich begrenztem Anmeldelink; Passwörter werden ausschließlich gehasht gespeichert; Schutz vor Brute-Force-Angriffen durch Ratenbegrenzung; automatischer Sitzungsablauf.
• Beschäftigte des Auftraggebers erhalten für die Theorie-Unterweisung einen persönlichen Zugang zur Lernplattform; für die praktische Unterweisung erfolgt die Bestätigung auf dem Gerät des Unterweisers, ohne dass der Beschäftigte eigene Zugangsdaten benötigt.
• Dienstschlüssel (Service Keys, API-Schlüssel) werden ausschließlich serverseitig in Umgebungsvariablen gehalten, nie im Quellcode oder in Client-Anwendungen; Rotation bei Verdacht auf Kompromittierung und bei Personalwechsel.
• Entzug von Zugängen unverzüglich bei Ausscheiden oder Aufgabenwechsel; Zugangsberechtigungen werden dokumentiert und regelmäßig überprüft.

Zugriffskontrolle

• Rollen- und Berechtigungskonzept nach dem Least-Privilege-Prinzip: Plattform-Betreiber, Mandanten-Administrator, Unterweiser (eingeschränkte Rolle für praktische Unterweisungen), Lernender; Rechte werden serverseitig geprüft.
• Minimale Anzahl von Administratoren mit Zugriff auf Produktivdaten; Trennung von Entwicklung und Betrieb, soweit organisatorisch möglich.
• Support-Zugriff auf Mandantendaten ausschließlich über eine auditierte, ausdrücklich freizugebende Lesezugriffsfunktion (Mandantenansicht) mit Protokollierung von Nutzer, Zeitpunkt und Zweck; kein direkter Datenbankzugriff im Regelbetrieb.
• Protokollierung sicherheitsrelevanter Ereignisse (Anmeldungen, Rollenänderungen, Datenexporte, Löschungen) mit Zeitstempel und Nutzerkennung.

Trennungskontrolle

• Logische Mandantentrennung: Jeder Datensatz ist einem Mandanten zugeordnet; die Trennung wird auf Datenbankebene durch Row Level Security erzwungen, sodass Nutzer ausschließlich Daten ihres eigenen Mandanten lesen oder schreiben können.
• Getrennte Umgebungen für Entwicklung, Staging und Produktion mit jeweils eigenen Datenbanken, Zugängen und Schlüsseln; keine Produktivdaten in Test- oder Entwicklungsumgebungen; Demonstrationen erfolgen mit Demo-Mandanten und fiktiven Daten.
• Daten zu unterschiedlichen Zwecken (z. B. Vertrags- und Abrechnungsdaten des Auftraggebers, Beschäftigtendaten, Systemprotokolle) werden getrennt gespeichert und verarbeitet.

Pseudonymisierung und Datenminimierung

• Pflichtfelder für Beschäftigte sind auf das für Unterweisung und Nachweis Erforderliche beschränkt; Personalnummer und Mobilnummer sind optional.
• Fotos der praktischen Unterweisung sind optional und auf Arbeitsplatz und Arbeitsmittel ausgerichtet; Metadaten (z. B. Standortdaten) werden beim Upload entfernt.
• An KI-Dienste werden nur die für die jeweilige Funktion erforderlichen Inhalte übermittelt; Stammdaten, Nachweise und Signaturen von Beschäftigten werden hierbei nicht übermittelt, soweit die Funktion ohne sie erbracht werden kann.
• Systemprotokolle werden nach kurzen Fristen automatisch gelöscht oder anonymisiert.

C. Integrität

Weitergabe- und Transportkontrolle

• Verschlüsselte Übertragung aller Daten (TLS 1.2 oder höher, HSTS) zwischen Nutzern, Anwendung, Datenbank, Lernplattform und Unterauftragnehmern.
• Verschlüsselte Speicherung (AES-256) von Datenbank, Dateispeicher und Backups bei den Hosting-Anbietern.
• Schnittstellen zwischen Systemen (Webhooks, Automatisierungen) sind durch Signaturprüfung bzw. geheime Tokens abgesichert; unsignierte oder nicht verifizierbare Aufrufe werden verworfen.
• Kein Versand personenbezogener Daten auf mobilen Datenträgern; Export nur durch berechtigte Nutzer des Auftraggebers über die Plattform.

Eingabekontrolle

• Erstellung, Änderung und Löschung von Datensätzen werden mit Zeitstempel und Nutzerkennung protokolliert.
• Abgeschlossene Unterweisungsnachweise, Lernerfolgskontrollen und Signaturen werden unveränderlich gespeichert; die zugrunde liegenden Unterweisungsinhalte werden versioniert, sodass für jeden Nachweis nachvollziehbar bleibt, welche Inhaltsversion unterwiesen wurde.
• Nachträgliche Änderungen an veröffentlichten Inhaltsversionen werden technisch auf Datenbankebene verhindert; Korrekturen erfolgen ausschließlich als neue Version.
• Elektronische Unterschriften werden mit Zeitstempel, Geräteinformationen und Zuordnung zum Unterweiser gespeichert.

D. Verfügbarkeit und Belastbarkeit

• Tägliche automatisierte, verschlüsselte Sicherungen der Datenbank und des Dateispeichers durch den Hosting-Anbieter mit zeitpunktgenauer Wiederherstellung; Aufbewahrung der Sicherungen gemäß Backup-Rotation (siehe § 10 Abs. 4 des Vertrags).
• Georedundante Auslieferung der Web-Anwendung über ein Content Delivery Network; automatische Skalierung der Hosting-Dienste.
• Überwachung der Systeme (Verfügbarkeit, Fehlerraten, fehlgeschlagene Hintergrundaufträge) mit automatischen Benachrichtigungen an den Auftragnehmer; Hintergrundprozesse (z. B. Zuweisungen, Erinnerungen) sind wiederanlauffähig und protokollieren Fehlversuche.
• Wiederherstellungsverfahren sind dokumentiert; Wiederherstellungen werden regelmäßig getestet.
• Schutz vor Überlast und Missbrauch durch Ratenbegrenzung, Web Application Firewall und DDoS-Schutz der Hosting-Anbieter.
• Rechenzentren mit redundanter Stromversorgung, Klimatisierung, Brandschutz und Netzanbindung (Nachweis durch Zertifikate der Anbieter).

E. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

Datenschutzmanagement

• Datenschutzverantwortung ist festgelegt; Kontaktstelle datenschutz@sicherheitsunterweisung24.de.
• Verzeichnis der Verarbeitungstätigkeiten (Art. 30 Abs. 2 DSGVO) wird geführt und bei Änderungen aktualisiert.
• Alle mit der Verarbeitung befassten Personen sind auf Vertraulichkeit verpflichtet und werden regelmäßig zum Datenschutz und zur Informationssicherheit geschult.
• Dokumentierter Prozess für Datenschutzverletzungen: Erkennung, Bewertung, Eindämmung, Meldung an den Auftraggeber innerhalb von 48 Stunden, Dokumentation und Nachbereitung.
• Jährliche Überprüfung dieser Maßnahmen sowie der Unterauftragnehmer (Zertifikate, Vertragsstand, Datenverarbeitungsorte).

Sichere Entwicklung und Betrieb

• Quellcode-Verwaltung mit geschützten Haupt-Branches; Änderungen gelangen ausschließlich über geprüfte Pull Requests mit automatisierten Tests, Typprüfung und Linting in die Staging-Umgebung.
• Veröffentlichungen in die Produktivumgebung sowie Datenbankmigrationen erfolgen nur nach ausdrücklicher Freigabe durch eine verantwortliche Person; jeder Produktiv-Deploy ist mit Quellstand und Rollback-Möglichkeit dokumentiert.
• Regelmäßige Aktualisierung von Abhängigkeiten und Behebung bekannter Schwachstellen; Geheimnisse werden nie im Quellcode gespeichert.
• Einsatz von KI-Werkzeugen in der Entwicklung nur ohne Produktivdaten.

Datenschutzfreundliche Voreinstellungen

• Es werden nicht mehr Daten erhoben als für den jeweiligen Zweck erforderlich; optionale Funktionen (Fotodokumentation, KI-Unterstützung) sind für den Auftraggeber steuerbar.
• Keine vorangekreuzten Einwilligungen; keine Nutzung von Beschäftigtendaten zu Werbe- oder Analysezwecken des Auftragnehmers.
• Transparente, nachvollziehbare Verarbeitung; Exportfunktionen ermöglichen dem Auftraggeber jederzeit die Erfüllung seiner Nachweis- und Auskunftspflichten.

Löschkonzept

• Beschäftigte können durch den Auftraggeber deaktiviert (Nachweise bleiben erhalten) oder gelöscht werden; Löschungen werden auf die Lernplattform und die weiteren Unterauftragnehmer durchgereicht.
• Nach Vertragsende: Exportfrist, anschließend Löschung aller Mandantendaten und Überschreiben der Sicherungskopien im Rahmen der Backup-Rotation (§ 10 des Vertrags).

Auftragskontrolle

• Sorgfältige Auswahl der Unterauftragnehmer; Abschluss von Verträgen nach Art. 28 DSGVO; Prüfung der Zertifizierungen und Transfermechanismen vor Beauftragung und jährlich.
• Keine Verarbeitung ohne Weisungsrecht des Auftraggebers; Weisungen werden dokumentiert.

F. Support-Zugriff auf Daten des Auftraggebers

Für Support- und Fehleranalysen gelten ergänzend:

• Zugriffe auf Mandantendaten erfolgen nur nach Anfrage oder Freigabe eines Administrators des Auftraggebers über die auditierte Mandantenansicht; jeder Zugriff wird mit Nutzer, Zeitpunkt und Anlass protokolliert und kann vom Auftraggeber eingesehen werden.
• Lesender Zugriff auf Produktivdaten außerhalb der Plattform (z. B. Datenbankabfragen) nur durch benannte Administratoren, nur bei konkretem Anlass und mit Dokumentation; schreibende Korrekturen an Produktivdaten nur nach Freigabe durch eine verantwortliche Person und mit Protokoll (Mandant, Symptom, Ursache, Aktion, Ergebnis).
• Ein Datenabzug von Produktivdaten zu Analysezwecken bedarf der vorherigen Zustimmung des Auftraggebers; Kopien werden nach Abschluss der Analyse gelöscht und nicht auf mobile Speichermedien kopiert.

Stand: 01.01.2026. Der Auftraggeber erteilt seine Genehmigung für die Beauftragung der nachfolgenden Unterauftragnehmer. Angaben zu Garantien bei Drittlandübermittlungen beziehen sich auf Kapitel V DSGVO (Angemessenheitsbeschluss nach Art. 45, EU-U.S. Data Privacy Framework, Standardvertragsklauseln der Kommission nach Art. 46 Abs. 2 lit. c – Modul 3 „Auftragsverarbeiter an Auftragsverarbeiter“).

Hinweis: Dienste, die keine personenbezogenen Daten des Auftraggebers verarbeiten (z. B. Werkzeuge zur Produktion der Unterweisungsvideos), sind keine Unterauftragnehmer im Sinne dieses Vertrags und daher nicht aufgeführt.

Die jeweils aktuelle Fassung dieser Liste ist abrufbar unter: https://avv.sicherheitsunterweisung24.de/unterauftragnehmer (öffentlich, ohne Zugangsdaten). Änderungen werden gemäß § 6 Abs. 3 des Vertrags mindestens 14 Tage vorab per E-Mail an die Datenschutz-Kontaktadresse des Auftraggebers angekündigt.

AVV Sicherheitsunterweisung24 · Version 1.0 · Addelivery Group Ltd · datenschutz@sicherheitsunterweisung24.de · Anlage 2 aktuell: avv.sicherheitsunterweisung24.de/unterauftragnehmer