Auftragsverarbeitungsvertrag

1. Parteien und Rollenverteilung

Verantwortlicher ist der Ausbildungsbetrieb, der azuKI einsetzt, um die Ausbildungsnachweise seiner Auszubildenden zu prüfen, freizugeben und zu überblicken. Er entscheidet über Zwecke und Mittel dieser Verarbeitung.

Auftragsverarbeiter ist Kerem Sinecek (KSTAQ), Eugen-Richter-Straße 11k, 44359 Dortmund, Deutschland, kontakt@azu-ki.de.

Nutzt eine Person azuKI ohne Betrieb, also mit einem eigenen privaten Konto, ist azuKI für diese Verarbeitung selbst Verantwortlicher. Dafür gilt nicht dieser Vertrag, sondern die Datenschutzerklärung.

2. Zustandekommen

Dieser Vertrag wird mit der Anmeldung des Betriebs geschlossen: Der Ausbilder bestätigt ihn im Anmeldeformular ausdrücklich, der Zeitpunkt der Bestätigung wird gespeichert. Auf Wunsch stellen wir zusätzlich eine unterschriebene Fassung aus — eine formlose Nachricht an kontakt@azu-ki.de genügt. Es gilt die jeweils bei Vertragsschluss veröffentlichte Fassung; wesentliche Änderungen kündigen wir mit angemessener Frist an.

3. Gegenstand, Dauer und Zweck

Gegenstand ist das Bereitstellen und Betreiben von azuKI als Werkzeug zur Führung, Prüfung und Freigabe von Ausbildungsnachweisen. Die Verarbeitung dauert so lange, wie der Betrieb azuKI nutzt, und endet mit der Beendigung des Nutzungsverhältnisses.

Verarbeitet wird zu folgenden Zwecken:

• Konten der Auszubildenden und Ausbilder anlegen und verwalten,
• Tagesnotizen speichern und daraus Wochenberichte formulieren,
• Berichte prüfen, kommentieren und freigeben,
• Prüfungsaufgaben erzeugen und bewerten,
• Erinnerungen und servicebezogene E-Mails versenden,
• Abrechnung der gebuchten Plätze.

4. Art der Daten und betroffene Personen

Verarbeitet werden:

• Stammdaten: Name, E-Mail-Adresse, Username, Anmeldeanbieter und Anbieter-ID, Rolle, Zuordnung zum Betrieb,
• Ausbildungsdaten: Ausbildungsberuf, Ausbildungsjahr, Zeiträume, Abwesenheiten, Schulnoten, sofern eingetragen,
• Inhaltsdaten: Tagesnotizen, Aufgaben, Termine, erzeugte Wochenberichte, Kommentare und Freigaben, Prüfungen und deren Bewertung,
• Nutzungsdaten: Anmeldezeitpunkte, technische Protokolldaten, IP-Adresse,
• Abrechnungsdaten: Kundennummer und Abonnementdaten des Zahlungsdienstleisters, Beträge und Laufzeiten.

Betroffene Personen sind die Auszubildenden des Betriebs sowie dessen Ausbilder und Ausbildungsbeauftragte. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung; der Verantwortliche wirkt darauf hin, dass solche Daten nicht eingegeben werden. Auszubildende sind häufig minderjährig — der Verantwortliche stellt sicher, dass die Nutzung im Rahmen des Ausbildungsverhältnisses zulässig ist.

5. Weisungen des Verantwortlichen

Die Verarbeitung erfolgt ausschließlich im Gebiet der Europäischen Union oder des Europäischen Wirtschaftsraums, soweit nicht in Anlage 2 etwas anderes ausgewiesen ist. Weisungen erteilt der Verantwortliche in Textform an kontakt@azu-ki.de. Einzelne Einstellungen — etwa Branding, Plätze oder Freigabe-Regeln — gelten mit ihrer Vornahme in der Anwendung als Weisung.

6. Pflichten des Auftragsverarbeiters

• Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen und nur im Rahmen dieses Vertrags. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies mit und darf die Ausführung aussetzen.
• Mit der Verarbeitung befasste Personen sind zur Vertraulichkeit verpflichtet.
• Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält sie auf einem dem Risiko angemessenen Stand.
• Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen (Art. 15 bis 22 DSGVO). Für Auskunft und Löschung stehen in der Anwendung Selbstbedienungsfunktionen bereit, die jede betroffene Person unmittelbar nutzen kann.
• Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntniserlangung, spätestens innerhalb von 48 Stunden, und stellt die zur Meldung nach Art. 33 DSGVO erforderlichen Angaben bereit.
• Der Auftragsverarbeiter unterstützt den Verantwortlichen bei einer Datenschutz-Folgenabschätzung und bei der Abstimmung mit der Aufsichtsbehörde.
• Nach Beendigung des Vertrags werden die Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.
• Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen. Überprüfungen werden mit angemessener Vorankündigung und ohne Beeinträchtigung des Betriebs durchgeführt.

7. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu. Ein Wechsel oder eine Ergänzung wird mit angemessener Frist angekündigt; der Verantwortliche kann aus wichtigem Grund widersprechen. Mit jedem Unterauftragsverarbeiter werden Verpflichtungen vereinbart, die diesem Vertrag entsprechen.

8. Haftung

Die Haftung richtet sich nach Art. 82 DSGVO und im Übrigen nach den Nutzungsbedingungen. Für Schäden, die durch eine rechtswidrige Weisung des Verantwortlichen entstehen, haftet der Verantwortliche.

Anlage 1 — Technische und organisatorische Maßnahmen

Maßnahmen nach Art. 32 DSGVO, Stand der Veröffentlichung dieser Fassung:

Anlage 2 — Unterauftragsverarbeiter

Google Ireland Limited und Microsoft Ireland Operations Limited sind keine Unterauftragsverarbeiter: Wer sich über Google oder Microsoft anmeldet, nutzt dort seinen eigenen Zugang, und wir erhalten lediglich die zur Anmeldung nötigen Profildaten.