Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 der Datenschutz-Grundverordnung (DSGVO)

Vertragsversion: 2026-10-28
Stand: Oktober 2026

1. Parteien

Auftraggeber (Verantwortlicher im Sinne der DSGVO):
Das Unternehmen oder die Organisation (z. B. Verein), für deren Mitarbeitende die Schulungsumgebung eingerichtet ist, gleich ob die Plätze über die Buchungsseite von mitarbeiter-kompetenz.de, auf Rechnung oder über einen zugelassenen Wiederverkäufer erworben wurden (bei der Annahme als Firma angegeben).

Auftragsverarbeiter:
KOPFFREI.IT, Inhaber Jendrik Wuttke
Schichauweg 28a, 12307 Berlin
E-Mail: hallo@kopffrei.it

2. Gegenstand und Dauer

Der Auftragsverarbeiter stellt dem Auftraggeber eine mandantenfähige Online-Schulungsplattform für die gebuchten Selbstlernkurse bereit. Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Auftraggebers.

Der Auftragsverarbeiter stellt die Selbstlernkurse und den automatischen Wissenstest nur technisch bereit. Er wertet keine Einzelergebnisse der Teilnehmenden aus und begleitet oder überwacht den Lernerfolg nicht; Auswertungen im Verwaltungsbereich nimmt allein der Auftraggeber vor.

Der Vertrag beginnt mit dem Abschluss nach Ziffer 10 und endet mit der Löschung der Schulungsumgebung. Die Schulungsumgebung besteht bis zum spätesten Ende eines gebuchten Kurs- oder Zusatzpaket-Zugangs; vor der Löschung erhält der Auftraggeber Erinnerungen 30, 7 und 1 Tag vorher sowie ein Archiv der Teilnahmebestätigungen. Nach Vertragsende werden die Daten gelöscht. Ausgenommen sind:

eine Archivkopie der Teilnahmebestätigungen beim Auftragsverarbeiter für 90 Tage,
Datensicherungen, die nach höchstens 14 Tagen überschrieben werden,
die Einträge im Prüfregister (Ziffer 3), die drei Jahre nach Ausstellung der jeweiligen Teilnahmebestätigung automatisch gelöscht werden.

3. Art und Zweck der Verarbeitung

Registrierung und Authentifizierung von Teilnehmenden (persönlicher Link mit PIN oder E-Mail mit Einmal-Code); bei einem Mehrfach-Link (z. B. QR-Code auf einem Aushang) legen sich Teilnehmende mit ihrem Namen und ihrer E-Mail-Adresse (optional zusätzlich mit einem Code des Betriebs) selbst an und bestätigen die Adresse mit einem Code per E-Mail; Fehlversuche beim Code und Bestätigungsmails werden zur Sperre kurzzeitig je Anschluss gezählt (IP-Adresse nur als Hashwert mit geheimem Schlüssel)
Bereitstellung der Selbstlernkurse, Speicherung von Lernfortschritt und Ergebnissen des automatischen Wissenstests
Erstellung und Versand von Teilnahmebestätigungen (PDF)
Führen eines zentralen Prüfregisters, mit dem Dritte die Echtheit einer Teilnahmebestätigung prüfen können (Prüfcode, Ausstellungsdatum, Kurs, abgeschlossene Inhalte, ein an den Prüfcode gebundener Hashwert des Namens und ein Hashwert der Umgebung; kein Name und keine Firma im Klartext, kein Ergebnis). Auf Weisung des Auftraggebers bleiben diese Einträge drei Jahre ab Ausstellung bestehen, auch über das Ende der Schulungsumgebung hinaus. Erstellte Nachweis-Mappen werden dort mit ihrer Nummer, den Kursen, dem Stichtag und Zählwerten eingetragen (ohne Namen und ohne Firma), ebenfalls drei Jahre.
Löschprotokoll in der Schulungsumgebung: Wird eine teilnehmende Person gelöscht, bleiben ohne Namen ihre Prüfcodes, Kurse, Inhaltsstände, Daten von Zuweisung, Abschluss und Löschung sowie Zählwerte erhalten, damit Nachweis-Mappen zu einem Stichtag vollständig bleiben; Löschung drei Jahre nach Ausstellung bzw. Löschung der Person, spätestens mit der Schulungsumgebung.
Archiv der erzeugten Nachweis-Mappen (PDF) in der Schulungsumgebung bis zu deren Löschung; vorher erhält der Auftraggeber sie mit den Teilnahmebestätigungen als Archiv.
Administration durch den Auftraggeber (Fortschritt, Gruppen, Erinnerungen, Exporte, Audit-Log), auf Wunsch ein Bericht per E-Mail an die Admin-Adresse und vom Auftraggeber benannte weitere Adressen (nur Zahlen, keine Namen der Teilnehmenden)

4. Kategorien betroffener Personen und Daten

Personen: Mitarbeitende und weitere für den Auftraggeber tätige Personen, die der Auftraggeber zur Schulung einlädt, sowie die Ansprechpersonen des Auftraggebers im Verwaltungsbereich.

Daten: Name, optional Funktion und E-Mail-Adresse, Gruppe, gebuchte bzw. zugewiesene Kurse und Zusatzpakete, Lernfortschritt und Bearbeitungszeit, Antworten und Ergebnisse im Wissenstest, Teilnahmebestätigungen mit Prüfcode, PIN und Einmal-Codes (nur als Hashwert), Zeitstempel, Audit-Log mit IP-Adresse und Browser-Kennung (nach 90 Tagen entfernt), IP-Adresse bei fehlgeschlagener Anmeldung nur als Hashwert mit geheimem Schlüssel (nach einem Tag gelöscht).

5. Pflichten des Auftragsverarbeiters

Verarbeitung nur auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO). Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin (Art. 28 Abs. 3 Satz 3 DSGVO).
Vertraulichkeit der zur Verarbeitung befugten Personen (Art. 28 Abs. 3 lit. b DSGVO)
Technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO (Anlage TOM, Art. 28 Abs. 3 lit. c DSGVO)
Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e DSGVO)
Unterstützung bei den Pflichten nach Art. 32 bis 36 DSGVO, einschließlich einer Datenschutz-Folgenabschätzung, soweit erforderlich (Art. 28 Abs. 3 lit. f DSGVO)
Unverzügliche Meldung von Verletzungen des Schutzes personenbezogener Daten an den Auftraggeber, sobald sie dem Auftragsverarbeiter bekannt werden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar
Löschung oder Rückgabe der Daten nach Vertragsende (Art. 28 Abs. 3 lit. g DSGVO, Ausnahmen Ziffer 2)
Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten (Art. 28 Abs. 3 lit. h DSGVO)
Verarbeitung nur in der Europäischen Union bzw. im Europäischen Wirtschaftsraum; Ausnahmen nur nach Ziffer 6 und im Rahmen der Art. 44 ff. DSGVO

6. Unterauftragsverarbeiter

Der Auftraggeber erteilt die allgemeine Genehmigung zum Einsatz folgender Unterauftragsverarbeiter:

Hetzner Online GmbH, Gunzenhausen, Deutschland: Hosting der Plattform und der Daten (Server in Deutschland)
SMTP2GO (Sand Dune Mail Ltd, Neuseeland; Versand über Server in der EU): Versand von System-E-Mails (z. B. Einladungen, Einmal-Codes, Teilnahmebestätigungen). Für Neuseeland besteht ein Angemessenheitsbeschluss der EU-Kommission.

Hinweis: Die Zahlungsabwicklung erfolgt über Paddle.com Market Ltd. als Händler (Merchant of Record) in eigener Verantwortung. Paddle erhält keine Daten der Teilnehmenden und ist daher kein Unterauftragsverarbeiter im Sinne dieses Vertrags.

Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). Den Einsatz neuer oder den Austausch bestehender Unterauftragsverarbeiter teilt er dem Auftraggeber mindestens vier Wochen vorher in Textform mit. Der Auftraggeber kann innerhalb von 14 Tagen nach Zugang aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, können beide Seiten den Vertrag über die betroffenen Leistungen beenden. Für bereits bezahlte Leistungen gilt dann die anteilige Erstattung nach Ziffer 11 der AGB.

7. Technische und organisatorische Maßnahmen (TOM)

Die Maßnahmen sind in der Anlage TOM beschrieben. Der Auftragsverarbeiter darf sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.

8. Weisungsrecht

Weisungen erfolgen durch Nutzung der Plattform oder in Textform (z. B. E-Mail an support@mitarbeiter-kompetenz.de). Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung bei seinen Teilnehmenden verantwortlich.

9. Kontrollrechte

Der Auftraggeber kann die Einhaltung dieses Vertrags durch Auskunft und ggf. Inspektionen nach rechtzeitiger Ankündigung prüfen. Der Auftragsverarbeiter stellt hierfür die erforderlichen Informationen bereit.

10. Abschluss

Der AVV wird nach der Einrichtung in der Schulungsumgebung angenommen, unabhängig davon, ob über die Buchungsseite, auf Rechnung oder über einen Wiederverkäufer bestellt wurde. Bis zur Annahme werden keine Daten von Teilnehmenden verarbeitet; Einladungen sind gesperrt.
Annehmen kann der Auftraggeber selbst, durch eine dafür berechtigte Person in der Verwaltung der Schulungsumgebung oder über einen Annahme-Link, oder eine von ihm bevollmächtigte Person (z. B. ein IT-Dienstleister oder Wiederverkäufer). Diese bestätigt dabei ausdrücklich, im Namen und Auftrag des Auftraggebers zu handeln und dazu bevollmächtigt zu sein. Vertragspartner des AVV bleibt der Auftraggeber.
Dokumentiert werden Name und Funktion der annehmenden Person, die Firma des Auftraggebers, die Fassung, der Zeitpunkt und der Weg der Annahme. Ist eine E-Mail-Adresse angegeben, wird die Annahme per E-Mail bestätigt.
Vor dem 24.10.2026 bei der Bestellung oder in Textform angenommene Fassungen gelten fort.

Anlage TOM (Art. 32 DSGVO)

Standort: Server bei Hetzner Online GmbH in Deutschland.
Zutritt: Zutrittskontrolle im Rechenzentrum des Unterauftragsverarbeiters.
Zugang: Server-Zugang nur per SSH mit persönlichem Schlüssel, kein Root-Login, Firewall nur für die nötigen Dienste; Verwaltungsbereich mit Passwort (Pflichtwechsel nach Einrichtung), Begrenzung der Anmeldeversuche.
Zugriff: Mandantentrennung (eigene Datenbank je Kunde), Rollen Teilnehmende und Verwaltung, Teilnehmende sehen nur eigene Daten.
Pseudonymisierung und Hashing: PIN und Einmal-Codes nur als Hashwert, Prüfregister ohne Namen und Firma im Klartext (Hashwerte).
Weitergabe: Übertragung nur verschlüsselt (TLS); Schutz vor Fremdanfragen (CSRF).
Eingabekontrolle: Audit-Log der wesentlichen Aktionen.
Verfügbarkeit: tägliche Datensicherung auf dem Server, Aufbewahrung 14 Tage, zusätzlich eine Kopie der Sicherungen beim Auftragsverarbeiter (Berlin), verschlüsselt mit einem Schlüssel, den nur der Inhaber verwahrt, ebenfalls nach höchstens 14 Tagen gelöscht; zeitnahe Sicherheitsupdates des Betriebssystems und der Software.
Löschung: Aufbewahrungs- und Löschkonzept nach Ziffer 2, automatische Löschung abgelaufener Protokolldaten.
Keine Drittinhalte: Schriften und Grafiken der Lernumgebung werden vom eigenen Server geladen, keine externen Dienste, kein Tracking in der Lernumgebung.
Datensparsamkeit: keine Cookies außer der technisch nötigen Sitzung, keine Tracker in der Lernumgebung.

Datenschutzerklärung · Impressum