Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag (AVV) regelt die Verarbeitung personenbezogener Daten durch CourseKit (PassionFlow Ltd) als Auftragsverarbeiter im Auftrag der Kundin oder des Kunden als Verantwortlicher, im Zusammenhang mit der Nutzung des Mitgliederbereichs. Er gilt für die Dauer des Hauptvertrags (AGB) und endet mit dessen Beendigung; ausdrücklich fortbestehende Lösch-, Rückgabe- und Nachweispflichten bleiben unberührt.

CourseKit verarbeitet Daten zum Hosting und Betrieb des Mitgliederbereichs, zur Anmeldung mit Google oder per E-Mail-Link, zum Versand von E-Mails, zur Erstellung von Sicherungskopien sowie zur Auswertung der Nutzung (Besuchstage, Sehdauer) im Auftrag der Kundin oder des Kunden.

Verarbeitet werden: Name und E-Mail-Adresse der Mitglieder, bei Google-Anmeldung die Anbieterkennung des verknüpften Kontos, Kurszugänge und Zugangsfenster, Lernfortschritt (Sehdauer, abgeschlossene Lektionen) und Besuchstage. Google-Zugriffs-, Aktualisierungs- und ID-Tokens werden nicht gespeichert. Die Anwendung selbst speichert keine IP-Adressen und keine Browserkennung. Bei Zahlungsereignissen werden zusätzlich die E-Mail-Adresse der Käuferin oder des Käufers und das gekaufte Produkt verarbeitet; die vollständigen Zahlungsdaten (Payload) werden 90 Tage nach Eingang automatisch gelöscht (auf null gesetzt).

Betroffene Personen sind die Mitglieder des Mitgliederbereichs der Kundin oder des Kunden sowie deren eigenes Verwaltungspersonal (Team-Mitglieder mit Zugriff auf die Administration).

Die Weisung umfasst keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO und keine personenbezogenen Daten von Personen unter 16 Jahren. Solche Daten dürfen nur nach einer vorherigen schriftlichen Zusatzvereinbarung verarbeitet werden, die Zweck, Rechtsgrundlage, Risiken und zusätzliche Schutzmaßnahmen festlegt. Werden ausgeschlossene Daten versehentlich übermittelt, informiert die Kundin oder der Kunde CourseKit unverzüglich und weist deren Löschung an.

CourseKit verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung der Kundin oder des Kunden, einschließlich hinsichtlich Übermittlungen in Drittländer, soweit keine gesetzliche Verarbeitungspflicht besteht. In diesem Fall informiert CourseKit vor der Verarbeitung über die Pflicht, sofern das Gesetz dies nicht verbietet. Hält CourseKit eine Weisung für datenschutzwidrig, wird die Kundin oder der Kunde unverzüglich informiert und die betreffende Verarbeitung bis zur Klärung ausgesetzt. Alle zugriffsberechtigten Personen sind zur Vertraulichkeit verpflichtet. CourseKit führt die erforderlichen Verzeichnisse, stellt Informationen zum Nachweis der Einhaltung bereit und erfüllt die Pflichten aus Art. 28 Abs. 3 DSGVO.

Der Betreiber von CourseKit kann über die Funktion „Als Kunde ansehen“ für einen begrenzten Zeitraum von 30 Minuten auf die Verwaltung eines Mitgliederbereichs zugreifen, um Support-Anfragen zu bearbeiten. Der Zugriff ist zunächst lesend; Schreibzugriff muss gesondert und sichtbar freigeschaltet werden. Jeder Zugriff und jede Änderung wird protokolliert (Audit-Protokoll). Dieser Support-Zugriff ist eine Verarbeitung im Sinne dieses AVV und hiermit ausdrücklich als solche benannt.

Eine aktuelle Liste der von CourseKit eingesetzten Unterauftragnehmer mit Zweck, Standort und Übermittlungsgrundlage steht in der Unterauftragnehmer.

Die Kundin oder der Kunde erteilt eine allgemeine Genehmigung für die in der Liste genannten Unterauftragnehmer. CourseKit informiert mindestens vier Wochen vor dem Einsatz eines neuen oder ersetzten Unterauftragnehmers per E-Mail. Innerhalb dieser Frist kann aus berechtigten Datenschutzgründen widersprochen werden. Die Parteien bemühen sich um eine zumutbare Lösung; ist das nicht möglich, kann die betroffene Leistung beendet werden. CourseKit verpflichtet jeden Unterauftragnehmer schriftlich mindestens zu gleichwertigen Datenschutzpflichten und bleibt für dessen Pflichterfüllung verantwortlich.

Anwendungsfunktionen sind für Frankfurt und die Datenbank für AWS eu-central-1 (Frankfurt) konfiguriert. Weitere Verarbeitung und technische Bereitstellung durch Anbieter kann weltweit erfolgen; Abschnitt 12 und die Unterauftragnehmerliste gelten. Mandantentrennung wird auf Datenbankebene durch Row Level Security erzwungen. Hinzu kommen TLS, AES-256-GCM für Zugangsdaten von Zahlungsanbietern, Anmeldung ohne CourseKit-Passwort, keine Speicherung von Google-Bearer-Tokens, Betreiberzugriff nur mit zweitem Faktor und Audit-Protokoll, private Auslieferung geschützter Dateien, tägliche Sicherungskopien mit 30 Tagen Aufbewahrung, automatische Löschung der Zahlungs-Rohdaten nach 90 Tagen und ein dokumentiertes Löschkonzept. CourseKit prüft die Wirksamkeit dieser Maßnahmen regelmäßig und passt sie risikoorientiert an.

CourseKit unterstützt die Kundin oder den Kunden unter Berücksichtigung der Art der Verarbeitung durch Funktionen für Auskunft, Export und Löschung sowie auf Anfrage bei Betroffenenrechten, Sicherheitspflichten, Datenschutz-Folgenabschätzungen und einer gegebenenfalls erforderlichen vorherigen Konsultation der Aufsichtsbehörde. Erhält CourseKit eine Anfrage einer betroffenen Person zum Auftragsbestand, wird sie ohne eigene inhaltliche Entscheidung an die Kundin oder den Kunden verwiesen oder weitergeleitet.

CourseKit informiert die Kundin oder den Kunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten im Auftragsbestand unverzüglich und grundsätzlich innerhalb von 24 Stunden, soweit zu diesem Zeitpunkt Informationen vorliegen. Die Mitteilung enthält die verfügbaren Angaben zu Art, Umfang, möglichen Folgen und ergriffenen oder vorgeschlagenen Maßnahmen. Fehlende Angaben werden ohne unangemessene Verzögerung nachgereicht. Die Entscheidung über Meldungen an Behörden oder betroffene Personen bleibt bei der Kundin oder dem Kunden als Verantwortlichem.

Soweit Unterauftragnehmer Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, nutzt CourseKit einen Übermittlungsmechanismus nach Kapitel V DSGVO, insbesondere einen Angemessenheitsbeschluss, die EU-Standardvertragsklauseln und erforderlichenfalls ergänzende Maßnahmen. Standorte und Grundlagen stehen in der aktuellen Unterauftragnehmerliste. Eine Funktionsregion innerhalb der EU schließt Support-, Protokoll- oder Unterauftragnehmerzugriffe aus Drittländern nicht automatisch aus.

Während der Vertragslaufzeit kann die Kundin oder der Kunde die eigenen Daten exportieren. Nach Beendigung wählt sie oder er innerhalb der technisch vorgesehenen Frist Rückgabe durch Export oder Löschung; ohne andere Weisung gilt die im Produkt ausgelöste Löschanfrage als Löschweisung. CourseKit löscht alle Daten und Dateien 30 Tage danach unwiderruflich, einschließlich der anwendungsseitigen Sicherungskopien, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Gesetzlich aufzubewahrende Daten werden gesperrt und nur für diesen Zweck verarbeitet.

CourseKit stellt auf Anfrage die zum Nachweis der Einhaltung dieses AVV erforderlichen Informationen bereit. Vorrangig werden aktuelle Dokumentation, Prüfberichte und geeignete Zertifikate verwendet. Reichen diese begründet nicht aus, ermöglicht CourseKit höchstens einmal jährlich sowie zusätzlich nach einem relevanten Datenschutzvorfall eine Kontrolle durch eine unabhängige, zur Vertraulichkeit verpflichtete Stelle mit angemessener Vorlaufzeit, soweit dadurch Sicherheit und Rechte anderer Kunden nicht beeinträchtigt werden.

Die Kundin oder der Kunde bleibt Verantwortlicher, stellt die Rechtmäßigkeit der Verarbeitung, die Information der betroffenen Personen und eine gültige Rechtsgrundlage sicher, erteilt nur rechtmäßige Weisungen und hält die eigenen Administrator- und Zahlungsanbieterzugänge geschützt. Eigene Zahlungs-, Video- oder Einbettungsanbieter der Kundin oder des Kunden sind nicht Unterauftragnehmer von CourseKit; deren Auswahl, Verträge und Datenschutzhinweise liegen in der Verantwortung der Kundin oder des Kunden.