Auftragsverarbeitungsvertrag (AVV)

Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Sinne von Art. 4 Nr. 8 und Art. 28 DSGVO. Dieser Vertrag regelt die Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten im Rahmen der vereinbarten Plattformleistungen.

Die Begriffe „Verarbeitung“, „personenbezogene Daten“, „Verantwortlicher“, „Auftragsverarbeiter“ und „betroffene Person“ werden im Sinne der DSGVO verwendet.

Nicht Gegenstand der Auftragsverarbeitung sind Verarbeitungen personenbezogener Daten, die der Auftragnehmer für eigene Zwecke und in eigener datenschutzrechtlicher Verantwortlichkeit durchführt. Dazu gehören insbesondere Vertragsanbahnung, Vertragsverwaltung, Rechnungsstellung, Buchhaltung sowie gesetzliche Aufbewahrungs- und Nachweispflichten.

Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten sowie die Kategorien betroffener Personen ergeben sich aus Anlage 1 dieses AVV.

Die dokumentierte Grundweisung des Auftraggebers ergibt sich aus Anlage 4. Ergänzende rechtmäßige Weisungen bleiben nach Maßgabe dieses Vertrags zulässig.

Der Auftraggeber ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Er bestimmt insbesondere die Zwecke der Nutzung der Plattform, die eingestellten Inhalte, die Freigabe oder Veröffentlichung von Schulungen sowie die jeweiligen Teilnehmerkreise.

Der Auftraggeber stellt sicher, dass die Verarbeitung der von ihm oder seinen berechtigten Nutzern eingestellten personenbezogenen Daten rechtmäßig erfolgt. Dies gilt insbesondere für Fotos, 360°-Aufnahmen, Videos, Audioaufnahmen und sonstige Inhalte, auf denen Beschäftigte, Teilnehmende oder sonstige Dritte erkennbar oder identifizierbar sein können.

Der Auftraggeber stellt insbesondere sicher, dass erforderliche Rechtsgrundlagen, Nutzungs-, Persönlichkeits- und Bildnisrechte sowie, soweit erforderlich, Einwilligungen vorliegen und gesetzliche Informationspflichten erfüllt werden.

Der Auftraggeber bleibt für die Entscheidung über Betroffenenrechte verantwortlich. Der Auftragnehmer unterstützt ihn nach Maßgabe dieses AVV.

Ergänzende Weisungen können in Textform oder über die hierfür vorgesehenen Administrationsfunktionen der Plattform erteilt werden. Der Auftragnehmer kann bei begründeten Zweifeln an der Weisungsberechtigung einen geeigneten Nachweis verlangen.

Der Auftraggeber informiert den Auftragnehmer unverzüglich über festgestellte Fehler oder Unregelmäßigkeiten bei der Verarbeitung sowie über besondere gesetzliche oder vertragliche Geheimhaltungspflichten, soweit diese für die Auftragsverarbeitung relevant sind.

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers und nur zur Erbringung der vereinbarten Plattformleistungen.

Eine Verarbeitung ohne Weisung ist nur zulässig, soweit der Auftragnehmer hierzu gesetzlich verpflichtet ist. In diesem Fall wird der Auftraggeber vor der Verarbeitung informiert, soweit eine solche Information rechtlich zulässig ist.

Im Auftrag verarbeitete Kundeninhalte und Teilnehmerdaten werden nicht für eigene Werbung, Weiterverkauf, Profilbildung oder zum Training eigener oder fremder KI-Modelle verwendet, sofern hierzu keine gesonderte rechtmäßige und dokumentierte Vereinbarung besteht.

Der Auftragnehmer darf die technischen und organisatorischen Mittel der Verarbeitung im erforderlichen Umfang selbst festlegen, soweit dadurch die vom Auftraggeber bestimmten Zwecke und Weisungen nicht verändert werden.

Die Verarbeitung personenbezogener Daten im Rahmen der Auftragsverarbeitung durch foxucate360° und die in Anlage 2 genannten Unterauftragsverarbeiter erfolgt grundsätzlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums. Eine Verarbeitung von Auftragsdaten in einem Drittland findet derzeit durch diese Unterauftragsverarbeiter nicht statt. Sollte künftig eine Verarbeitung von Auftragsdaten in einem Drittland erforderlich werden, erfolgt diese ausschließlich unter Einhaltung der Voraussetzungen der Art. 44 ff. DSGVO. Vom Auftraggeber eigenständig eingesetzte Drittsysteme, insbesondere Microsoft Teams, fallen nicht unter die Unterauftragsverarbeitung nach Anlage 2.

Der Auftragnehmer gewährleistet eine angemessene Trennung der Kundendaten und Berechtigungen. Eine physische Trennung ist nicht erforderlich, sofern eine wirksame logische Trennung besteht.

Hält der Auftragnehmer eine Weisung für einen Verstoß gegen die DSGVO oder andere anwendbare Datenschutzbestimmungen, informiert er den Auftraggeber unverzüglich. Die betreffende Verarbeitung darf bis zur Klärung ausgesetzt werden, soweit dies erforderlich ist.

Personen, die beim Auftragnehmer Zugriff auf personenbezogene Auftragsdaten erhalten können, werden zur Vertraulichkeit verpflichtet oder unterliegen einer entsprechenden gesetzlichen Verschwiegenheitspflicht.

Personenbezogene Daten dürfen ausschließlich entsprechend der jeweiligen Berechtigung verarbeitet werden. Berechtigte Personen werden angemessen zu Datenschutz und Informationssicherheit sensibilisiert.

Soweit eine gesetzliche Pflicht zur Benennung eines Datenschutzbeauftragten besteht, werden dessen Kontaktdaten in geeigneter Weise bekannt gegeben. Andernfalls wird eine angemessene Datenschutzorganisation sichergestellt.

Der Auftragnehmer informiert den Auftraggeber unverzüglich über Verletzungen des Schutzes personenbezogener Daten, soweit diese die im Auftrag verarbeiteten Daten betreffen.

Die Meldung enthält, soweit die Informationen verfügbar sind, insbesondere eine Beschreibung der Art des Vorfalls, die betroffenen Daten- und Personenkategorien, die wahrscheinlichen Folgen sowie bereits ergriffene oder vorgeschlagene Abhilfemaßnahmen.

Soweit möglich erfolgt eine erste Meldung an den Auftraggeber spätestens binnen 48 Stunden nach Kenntnis. Fehlende Informationen werden unverzüglich nachgereicht.

Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der gesetzlichen Pflichten nach Art. 33 und 34 DSGVO. Sicherheitsmeldungen können an info@foxucate360.com gerichtet werden.

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen angemessen bei der Erfüllung von Betroffenenrechten nach Art. 12 bis 23 DSGVO sowie bei den Pflichten nach Art. 32 bis 36 DSGVO.

Gehen Anfragen betroffener Personen beim Auftragnehmer ein, die erkennbar die Verantwortlichkeit des Auftraggebers betreffen, werden sie an den Auftraggeber weitergeleitet oder die betroffene Person wird an diesen verwiesen. Eine inhaltliche Entscheidung erfolgt nur auf Weisung oder soweit gesetzlich erforderlich.

Der Auftragnehmer darf berechtigten Personen die Verarbeitung im Rahmen angemessen abgesicherter mobiler Arbeitsplätze oder Fernzugriffe ermöglichen, sofern die vereinbarten technischen und organisatorischen Maßnahmen eingehalten werden.

Eine unnötige lokale Speicherung personenbezogener Kundendaten ist zu vermeiden. Soweit eine vorübergehende lokale Verarbeitung für Support- oder Administrationszwecke erforderlich ist, sind die Daten angemessen zu schützen und nach Zweckerreichung zu löschen.

Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen.

Kontrollen sollen vorrangig anhand geeigneter Nachweise, Dokumentationen, Sicherheitsberichte, Zertifizierungen oder vergleichbarer Unterlagen erfolgen.

Soweit diese Unterlagen nicht ausreichen oder ein konkreter Anlass besteht, kann der Auftraggeber nach angemessener Vorankündigung eine weitergehende Prüfung durchführen oder durch einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer durchführen lassen.

Prüfungen sind so durchzuführen, dass Geschäfts- und Betriebsgeheimnisse, Sicherheitsinteressen, Rechte anderer Kunden und die Verfügbarkeit der Plattform nicht unverhältnismäßig beeinträchtigt werden. Gesetzliche Befugnisse von Aufsichtsbehörden bleiben unberührt.

Der Auftraggeber erteilt dem Auftragnehmer eine allgemeine Genehmigung zum Einsatz der in Anlage 2 aufgeführten Unterauftragsverarbeiter.

Der Auftragnehmer informiert über die Hinzuziehung neuer oder den Austausch bestehender Unterauftragsverarbeiter mit angemessener Frist. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

Unterauftragsverarbeiter werden sorgfältig ausgewählt und entsprechend den Anforderungen des Art. 28 DSGVO verpflichtet. Der Auftragnehmer bleibt gegenüber dem Auftraggeber für die Erfüllung der datenschutzrechtlichen Verpflichtungen des Unterauftragsverarbeiters verantwortlich.

Der Auftraggeber bleibt für die Entscheidung über Anträge betroffener Personen verantwortlich. Der Auftragnehmer unterstützt ihn nach Weisung und im Rahmen der technischen Möglichkeiten.

Dies betrifft insbesondere Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit, soweit die jeweiligen gesetzlichen Voraussetzungen erfüllt sind.

Beide Parteien behandeln vertrauliche Informationen, die sie im Zusammenhang mit diesem Vertrag erhalten, vertraulich und verwenden sie ausschließlich zur Vertragsdurchführung, soweit keine gesetzliche Pflicht oder Berechtigung zu einer anderweitigen Nutzung besteht.

Besondere Geheimhaltungspflichten des Auftraggebers sind dem Auftragnehmer mitzuteilen, soweit sie Auswirkungen auf die Leistungserbringung haben.

Die im Hauptvertrag vereinbarte Vergütung bleibt unberührt. Außergewöhnliche Unterstützungs-, Prüf- oder Weisungsaufwände, die nicht bereits von der geschuldeten Plattformleistung umfasst sind, können nach vorheriger Abstimmung gesondert vergütet werden, soweit gesetzlich zulässig.

Der Auftragnehmer trifft die in Anlage 3 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO.

Die Maßnahmen berücksichtigen insbesondere Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme sowie Verfahren zur regelmäßigen Überprüfung ihrer Wirksamkeit.

Die Maßnahmen dürfen an technische Entwicklungen angepasst werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

Dieser AVV beginnt mit seiner wirksamen Einbeziehung in den Hauptvertrag und gilt für die Dauer der Verarbeitung personenbezogener Daten im Auftrag.

Die Beendigung des Hauptvertrags führt grundsätzlich auch zur Beendigung dieses AVV, sobald die auftragsbezogenen personenbezogenen Daten nach Abschnitt 16 behandelt wurden.

Nach Beendigung der Leistungen löscht oder gibt der Auftragnehmer nach Wahl des Auftraggebers die im Auftrag verarbeiteten personenbezogenen Daten zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

• Produktive Kundendaten werden nach Vertragsende grundsätzlich innerhalb von 30 Tagen gelöscht oder anonymisiert, soweit keine Rückgabe bzw. ein Export verlangt wurde und keine gesetzliche Aufbewahrungspflicht entgegensteht.
• Soweit Sicherungskopien angelegt werden, werden darin enthaltene gelöschte Kundendaten im regulären Sicherungszyklus spätestens innerhalb von 60 Tagen überschrieben bzw. endgültig entfernt. Bis dahin werden sie ausschließlich für Wiederherstellungs- und Sicherheitszwecke vorgehalten.
• Sicherheits-, Zugriffs- und Systemprotokolle werden grundsätzlich bis zu 90 Tage aufbewahrt, soweit nicht ein Sicherheitsvorfall, eine gesetzliche Verpflichtung oder ein berechtigter Nachweiszweck eine längere Aufbewahrung erfordert.
• Support- und Diagnoseinformationen werden grundsätzlich innerhalb von 90 Tagen nach Abschluss des jeweiligen Vorgangs gelöscht, soweit keine weitere Aufbewahrung erforderlich ist.

Gesetzlich aufzubewahrende Daten werden für andere Zwecke gesperrt und nach Ablauf der gesetzlichen Aufbewahrungspflicht gelöscht.

Die Haftung richtet sich nach den gesetzlichen Vorschriften, insbesondere Art. 82 DSGVO, sowie ergänzend nach den wirksam vereinbarten Haftungsregelungen des Hauptvertrags, soweit diese auf die Auftragsverarbeitung anwendbar sind.

Ein Zurückbehaltungsrecht des Auftragnehmers an personenbezogenen Daten des Auftraggebers besteht nur, soweit dies gesetzlich zulässig ist. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

Änderungen und Ergänzungen dieses AVV einschließlich dokumentierter Weisungen bedürfen mindestens der Textform, soweit nicht die Plattform selbst einen geeigneten dokumentierten Weisungskanal bereitstellt.

Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Datenschutzregelungen dieses AVV hinsichtlich der Auftragsverarbeitung vor. Zwingende gesetzliche Regelungen bleiben unberührt.

Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

1. Gegenstand und Zweck

Bereitstellung und Betrieb einer webbasierten 360°-Schulungsplattform, mit der der Auftraggeber bzw. von ihm berechtigte Nutzer Fotos, 360°-Fotos, Videos und sonstige Medien in interaktive Schulungs- oder Informationsinhalte umwandeln, konfigurieren, veröffentlichen und Teilnehmenden oder Zielgruppen bereitstellen können.

• Anlage und Verwaltung von Nutzer-, Autoren-, Administrations- und Teilnehmerdaten
• Authentisierung sowie Rechte- und Rollenverwaltung
• Upload, Speicherung, technische Verarbeitung und Darstellung von Fotos, 360°-Aufnahmen, Videos, Audio, Texten und interaktiven Elementen
• Freigabe und Veröffentlichung von Schulungsinhalten entsprechend den Einstellungen des Auftraggebers
• Bereitstellung von Schulungen für Teilnehmende
• Erfassung und Anzeige von Nutzungs-, Bearbeitungs- und Lernfortschrittsdaten
• Export, Löschung und Administration von Kundendaten im Rahmen der bereitgestellten Funktionen und Weisungen
• Fehleranalyse, Support, Missbrauchsprävention, Sicherheitsprotokollierung, Datensicherung und Wiederherstellung

Nicht Gegenstand der Standardleistung sind Gesichtserkennung oder biometrische Identifizierung abgebildeter Personen.

2. Art der Verarbeitung

Entgegennehmen, Erfassen, Ordnen, Speichern, technisches Anpassen, Auslesen, Abfragen, Bereitstellen, Anzeigen, Übermitteln an vom Auftraggeber bestimmte Empfänger, Protokollieren, Einschränken, Exportieren und Löschen.

3. Arten personenbezogener Daten

• Stamm- und Kontaktdaten, insbesondere Name, E-Mail-Adresse, Organisation sowie Rollen- und Benutzerkennungen
• Authentisierungs- und Zugriffsdaten sowie Anmelde- und Sitzungsinformationen
• Technische Verbindungs-, Sicherheits- und Fehlerdaten, die beim Betrieb der Plattform anfallen können
• Schulungs-, Nutzungs- und Fortschrittsdaten einschließlich Status, Zeitpunkten und Interaktionen
• Medien- und Inhaltsdaten wie Fotos, 360°-Fotos, Videos, Audioaufnahmen, Vorschaubilder, Texte und interaktive Inhalte
• Support- und Administrationsdaten

In vom Auftraggeber hochgeladenen Medien können Gesichter, Stimmen, Namensschilder, Kennzeichen, Arbeitsplätze oder andere Merkmale identifizierbarer Personen enthalten sein.

Je nach Aufnahmeumgebung können in Kundeninhalten auch Informationen enthalten sein, aus denen besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO hervorgehen. Der Auftragnehmer nimmt keine systematische inhaltliche Klassifizierung solcher Merkmale vor. Biometrische Daten zur eindeutigen Identifizierung sind nicht Gegenstand der Standardleistung.

4. Kategorien betroffener Personen

• Beschäftigte, freie Mitarbeitende, Auszubildende und sonstige interne Nutzer des Auftraggebers
• Teilnehmende bzw. Lernende
• Administratoren, Autoren, Trainer und sonstige Inhaltsverantwortliche
• externe Kunden, Partner, Dienstleister oder Gäste, soweit sie Zugang zu Schulungsinhalten erhalten
• Dritte, die auf vom Auftraggeber hochgeladenen Fotos, 360°-Aufnahmen, Videos oder Audioaufnahmen erkennbar oder identifizierbar sind
• Ansprechpartner in Support- und Administrationsprozessen

5. Teilnehmer- und Fortschrittsdaten

Beim Aufruf veröffentlichter Trainings können pseudonyme Nutzungs- und Fortschrittsdaten verarbeitet werden. Dazu gehören insbesondere eine zufällige Besucherkennung, Trainingsfortschritt, aufgerufene Trainingsinhalte und Hotspots, Abschlussstatus, Gerätetyp sowie Zeitpunkte der Nutzung.

Eine Zuordnung zu einem Anzeigenamen erfolgt nur, soweit eine personalisierte Teilnahme verwendet wird oder die teilnehmende Person angemeldet ist. Die Trainingsstatistik wird nicht für Werbe- oder Marketingprofile verwendet.

6. Dauer und Löschung

Die Verarbeitung erfolgt grundsätzlich für die Dauer des Hauptvertrags bzw. bis zur Löschung der jeweiligen Daten nach Weisung des Auftraggebers. Ergänzend gelten die in Abschnitt 16 genannten Lösch- und Aufbewahrungsfristen.

7. Weisungsberechtigung

Weisungsberechtigt sind die vom Auftraggeber benannten Ansprechpartner sowie Nutzer mit entsprechenden administrativen Berechtigungen im Umfang ihrer jeweiligen Rechte. Ergänzende Weisungen können an info@foxucate360.com gerichtet werden.

Der Auftraggeber genehmigt den Einsatz der nachfolgend aufgeführten Unterauftragsverarbeiter. Änderungen richten sich nach Abschnitt 10 dieses AVV.

Hetzner wird insbesondere für Hosting und Speicherung von Plattform- und Kundendaten eingesetzt. ALL-INKL.COM wird für den technischen Versand und Empfang von E-Mails eingesetzt, soweit solche E-Mails im Zusammenhang mit der Plattform verarbeitet werden.

Die nachfolgenden Maßnahmen bilden das vereinbarte Mindestschutzniveau. Ihre Wirksamkeit wird regelmäßig sowie nach wesentlichen technischen, organisatorischen oder rechtlichen Änderungen überprüft und risikobasiert angepasst.

1. Vertraulichkeit

• Betrieb der produktiven Plattform auf professioneller Rechenzentrums- und Hostinginfrastruktur in Deutschland
• Personalisierte Benutzerkonten und rollenbasierte Berechtigungen
• Zusätzliche Absicherung geeigneter Konten und Zugänge durch Mehrfaktor-Authentifizierung
• Beschränkung administrativer Zugriffe auf berechtigte Personen
• Vergabe von Berechtigungen nach dem Erforderlichkeits- und Least-Privilege-Prinzip
• Logische Trennung von Kundendaten und Berechtigungen
• Verschlüsselte Übertragung personenbezogener Daten über HTTPS/TLS
• Geschützte Verwaltung von Zugangsdaten, Schlüsseln und sonstigen Geheimnissen

2. Integrität

• Schutz vor unbefugter Veränderung und unberechtigtem Zugriff
• Protokollierung technischer und sicherheitsrelevanter Ereignisse im erforderlichen Umfang
• Beschränkung von Export- und Administrationsfunktionen auf entsprechend berechtigte Rollen
• Verarbeitung personenbezogener Daten nur innerhalb der vorgesehenen Funktionen und dokumentierten Weisungen

3. Verfügbarkeit und Belastbarkeit

• Betrieb auf professioneller Hosting- und Rechenzentrumsinfrastruktur
• Regelmäßige Datensicherungen entsprechend dem betrieblichen Sicherungs- und Wiederherstellungskonzept
• Sicherungskopien werden gegen unbefugten Zugriff geschützt und ausschließlich für Sicherungs- und Wiederherstellungszwecke verwendet
• Wiederherstellungsverfahren werden regelmäßig und nach wesentlichen Änderungen überprüft
• Technische Betriebs- und Sicherheitsereignisse werden überwacht und behandelt
• Für Sicherheits- und Datenschutzvorfälle bestehen definierte Zuständigkeiten und Eskalationswege

4. Datenschutzorganisation

• Verpflichtung berechtigter Personen auf Vertraulichkeit
• Angemessene Sensibilisierung zu Datenschutz und Informationssicherheit
• Regelmäßige Überprüfung der technischen und organisatorischen Maßnahmen, mindestens jährlich sowie nach wesentlichen Änderungen
• Prüfung neuer Unterauftragsverarbeiter hinsichtlich Datenschutz, Vertraulichkeit und erforderlicher Vertragsgrundlagen
• Verarbeitung personenbezogener Daten nach dem Grundsatz der Erforderlichkeit und Datenminimierung

5. Plattformspezifische Schutzmaßnahmen

• Schulungsinhalte werden entsprechend den Berechtigungen und Einstellungen des Auftraggebers bereitgestellt oder veröffentlicht
• Der Auftragnehmer bestimmt nicht eigenständig den Empfängerkreis von Kundeninhalten
• Nicht öffentlich freigegebene Inhalte werden über die vorgesehenen Zugangs- und Berechtigungsmechanismen geschützt
• Kundenmedien und Teilnehmerdaten werden nicht für eigene Werbung, Weiterverkauf, Profilbildung oder KI-Training verwendet
• Die Standardleistung umfasst keine Gesichtserkennung oder biometrische Identifikation
• Teilnehmer- und Fortschrittsdaten sind nur den jeweils hierzu berechtigten Rollen zugänglich
• Eine heimliche Verhaltensprofilbildung für Werbe- oder Marketingzwecke findet nicht statt

6. Löschung und Protokolle

• Produktive Kundendaten nach Vertragsende grundsätzlich innerhalb von 30 Tagen
• Gelöschte Kundendaten in Sicherungskopien spätestens innerhalb von 60 Tagen im regulären Sicherungszyklus
• Sicherheits-, Zugriffs- und Systemprotokolle grundsätzlich höchstens 90 Tage, soweit kein berechtigter Grund für eine längere Aufbewahrung besteht
• Support- und Diagnoseinformationen grundsätzlich innerhalb von 90 Tagen nach Abschluss des jeweiligen Vorgangs

Mit Abschluss dieses AVV weist der Auftraggeber den Auftragnehmer an, personenbezogene Daten ausschließlich im nachfolgend beschriebenen Umfang zu verarbeiten. Die Weisung wird durch die innerhalb der Plattform vorgenommenen Konfigurationen und Handlungen konkretisiert.

Plattformbetrieb

Personenbezogene Daten dürfen verarbeitet werden, soweit dies zur Bereitstellung, Absicherung, Wartung, Fehlerbehebung und technischen Funktionsfähigkeit der vertraglich vereinbarten Plattform erforderlich ist.

Nutzerverwaltung

Nutzer-, Administrations-, Autoren- und Teilnehmerdaten dürfen gespeichert und entsprechend den vom Auftraggeber festgelegten Rollen und Berechtigungen verarbeitet werden.

Medienverarbeitung

Hochgeladene Fotos, 360°-Fotos, Videos, Audio- und sonstige Inhalte dürfen gespeichert, technisch verarbeitet und entsprechend den Einstellungen des Auftraggebers dargestellt werden.

Veröffentlichung und Zugriff

Inhalte dürfen nur in dem Umfang öffentlich oder einem bestimmten Nutzerkreis zugänglich gemacht werden, den der Auftraggeber bzw. ein von ihm berechtigter Nutzer innerhalb der Plattform festlegt.

Teilnehmer- und Fortschrittstracking

Nutzungs-, Bearbeitungs- und Fortschrittsdaten dürfen im Rahmen der vorgesehenen Trainings- und Auswertungsfunktionen erfasst, gespeichert und berechtigten Rollen angezeigt werden.

Abgebildete Dritte

Auf Kundeninhalten erkennbare Personen werden als Bestandteil des vom Auftraggeber bereitgestellten Inhalts verarbeitet. Der Auftragnehmer identifiziert, kategorisiert oder kontaktiert diese Personen nicht eigenständig.

Support

Berechtigte Personen des Auftragnehmers dürfen auf Kundendaten zugreifen, soweit dies für konkrete Support-, Sicherheits- oder Störungsfälle erforderlich ist. Der Zugriff wird auf das notwendige Maß beschränkt.

Sicherheit und Protokollierung

Technische Zugriffs-, Fehler- und Sicherheitsdaten dürfen verarbeitet werden, soweit dies für sicheren Betrieb, Fehleranalyse, Missbrauchsprävention und Nachweisführung erforderlich ist.

Datensicherung

Sicherungskopien dürfen nach dem betrieblichen Backup- und Wiederherstellungskonzept erstellt und bis zum turnusmäßigen Überschreiben aufbewahrt werden.

Export und Löschung

Daten dürfen entsprechend den Plattformfunktionen oder ergänzenden Weisungen exportiert, gesperrt und gelöscht werden. Nach Vertragsende gelten die vereinbarten Rückgabe- und Löschregeln.

Keine Eigennutzung

Kundeninhalte und Teilnehmerdaten dürfen ohne gesonderte rechtmäßige und dokumentierte Vereinbarung nicht für Werbung, Weiterverkauf, eigene Profilbildung oder zum Training eigener oder fremder KI-Modelle verwendet werden.

Ergänzende Weisungen

Der Auftraggeber kann die Grundweisung in Textform oder über nachvollziehbare Administrationsfunktionen ergänzen oder ändern. Wesentliche Erweiterungen des Leistungsumfangs bedürfen gesonderter Abstimmung.

Bei einem Widerspruch geht eine spätere rechtmäßige dokumentierte Einzelweisung vor, soweit sie technisch umsetzbar und vom vereinbarten Leistungsumfang umfasst ist.