Fassung: ad-terms-2026-10-20-v2
Inhalt anzeigen
Auftragsverarbeitung
1. Parteien, Einbeziehung und Dauer
Auftraggeber ist der im zugehörigen Vertrag bezeichnete Kunde einschließlich seiner dort dokumentierten berechtigten Vertretung/Weisungskontakte. Auftragsverarbeiter ist Akademie KoBiCo UG (haftungsbeschränkt), Perkerhof 49, 40885 Ratingen, vertreten durch Nicole Geldmacher-Tahery und Falk Leisgen. Datenschutz-/Weisungseingang und Vorfallskontakt: impressum@kobico.de. Kundenspezifische Identität, Vertrags-/Mandantenreferenz und Kontakt werden vor Abschluss tatsächlich zugeordnet, nicht durch einen Blankoeintrag ersetzt.
Die für den Betrieb eingesetzten Domains und Hostingressourcen werden der Gesellschaft durch ihren Geschäftsführer zur betrieblichen Nutzung bereitgestellt. Die Verarbeitung der Kundendaten erfolgt durch die Gesellschaft im Rahmen dieses AVV; sie bleibt Auftragsverarbeiter und Ansprechpartner des Kunden. Die bloße Inhaberschaft der Infrastruktur begründet keine Befugnis, Kundendaten für eigene private Zwecke zu nutzen. Für eingesetzte Hosting- und Sicherungsdienstleister gelten die Regelungen zu Unterauftragsverarbeitern in§5 und Anlage 3.
Die AVV mit Anlagen gehört zur vollständigen gemeinsamen Vertragsfassung für kostenlosen Test und kostenpflichtige Nutzung. Für die Verarbeitung im Auftrag geht sie bei Widersprüchen den allgemeinen Leistungsbedingungen vor. Sie gilt ab Beginn der beauftragten Verarbeitung bis zu Rückgabe/Löschung, einschließlich erforderlicher geschützter Nachläufe. Eigene Vertrags-/Rechnungs- und rechtmäßig getrennte Sicherheitszwecke des Anbieters sind keine uneingeschränkte Weisungsverarbeitung von Ausbildungsfachinhalten.
2. Gegenstand, Betroffene und Datenarten – Anlage 1
Gegenstand ist der technische SaaS-Betrieb zur Ausbildungsorganisation, Planung, Begleitung und Dokumentation für die vereinbarten Mandanten. Verarbeitung: Erheben im beauftragten Ablauf, Speichern, Ordnen, Anzeigen, Ändern, berechtigtes Übermitteln, Sichern, Wiederherstellen, Exportieren und kontrolliertes Löschen/Anonymisieren.
Betroffene: Auszubildende einschließlich möglicher Minderjähriger, Beschäftigte, Ausbilder, ABB, Koordination, Leitung, Nutzer und betriebliche Ansprechpartner. Daten: Kontakt-/Stammdaten und Organisationszuordnungen, Ausbildungsdauer, Plan-/Kapazitäts-/Schul-/Abwesenheitsdaten, Prüfungen/Noten, Lernziele/-module, Unterweisungen, Berichtshefte, Beurteilungen/Feedback, Zeugnisse, Aufgaben, Gespräche/Probezeitkriterien, private Notizen, optionale Bilder und kundeneigene Zusatzangaben einschließlich erforderlicher Historien und Zugriffsnachweise. Gesundheitsbezug ist bei Krankheit/Fehlzeiten möglich; Diagnosen werden für die reguläre Planung nicht benötigt. Identitäts-/Mitgliedschafts-/Rollendaten dienen dem beauftragten Zugriff; Geheimnisse sind besonders geschützt.
Der Kunde bestimmt erforderliche Inhalte, Rechtsgrundlagen einschließlich Art.9-Voraussetzungen, Betroffeneninformation, betriebliche Beteiligungsrechte und zulässige Aufbewahrung. KoBiCo verwendet Auftragsdaten nicht für Werbung, eigene Personenrankings oder nicht beauftragte Zwecke.
3. Dokumentierte Weisungen und Vertraulichkeit
Verarbeitung einschließlich internationaler Übermittlungen erfolgt nur nach dokumentierter Weisung, soweit keine bindende gesetzliche Pflicht entgegensteht. Über eine solche Pflicht wird der Kunde vorab informiert, soweit dies rechtlich zulässig ist. Weisungen können durch berechtigte Produktaktionen oder über den geprüften Kundenkontakt erfolgen; unklare Identität/Berechtigung wird geklärt.
KoBiCo informiert unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt, und klärt die betroffene Durchführung vor Ausführung. Nur befugte, zur Vertraulichkeit verpflichtete Personen erhalten erforderlichen Zugriff. Zugang für Support ist zweckgebunden, begrenzt und nachvollziehbar. Soweit der Geschäftsführer Kundendaten verarbeitet, darf dies nur im Aufgabenbereich der Gesellschaft und nach den Weisungs- und Vertraulichkeitsregelungen dieses AVV erfolgen. Die Bereitstellung der Infrastruktur begründet keine gesonderte private Verarbeitungsbefugnis.
4. Sicherheit – Anlage 2
Die tatsächlich belegten TOM in TOM.md werden als versionierte Vertragsanlage vollständig bereitgestellt. Dazu gehören serverseitige Tenant-/Betriebs-/Personenscopes, getrennte Plattform-/DB-Rollen, HTTPS, private verschlüsselte Dateien/Backups, Uploadprüfungen, Audit, geschützte Betreiberprozesse und kontrollierter Restore mit Erasure-Replay.
Die Maßnahmen richten sich nach Risiko und Stand der Technik und werden angemessen überprüft. Technische Fortentwicklung darf das vereinbarte Schutzniveau nicht unterschreiten. Keine garantierte Verfügbarkeitsquote, Malwareprüfung durch einen nicht belegten externen Scanner, tägliche Offsite-Automatik oder ungeprüfte pauschale EU-only-Zusage wird daraus abgeleitet.
5. Unteraufträge – Anlage 3, Verfahren D 1 am 19.10. bestätigt
Die tatsächlichen Fachverarbeitungsdienste und Vertragsketten werden in SUBPROCESSORS.md bezeichnet: STRATO-Hosting/AD-Mail und IONOS HiDrive im jeweiligen belegten Umfang. IONOS-Geschäftsmail und Stripe für eigene kaufmännische Zwecke sind davon rollenbezogen getrennt. Eine interne Software desselben Anbieters ist nicht allein deshalb ein Unterauftragnehmer.
Der Kunde genehmigt allgemein die in der vollständigen Anlage bezeichneten wirksam eingebundenen Unterauftragsverarbeiter. KoBiCo informiert berechtigte Kundenkontakte mindestens 30 Kalendertage vor Hinzufügen/Ersetzen schriftlich mit Dienst, Datenarten, Verarbeitungs-/Transferbezug und vorgesehenem Beginn. Der Kunde kann innerhalb dieser Vorabfrist datenschutzbezogen widersprechen. Vor Klärung erfolgt keine neue Verarbeitung seiner Daten durch den beanstandeten Dienst; eine rechtmäßige Alternative oder nötige vertragliche Konsequenz wird individuell geklärt. Eine Sicherheitsnotlage ist keine stillschweigende Genehmigung; falls eine Vorabfrist nicht möglich ist, bedarf es einer konkreten zulässigen Lösung/gegebenenfalls gesonderter Genehmigung vor Einsatz.
KoBiCo bindet Unterauftragnehmer mit im Wesentlichen denselben Datenschutzpflichten ein, prüft hinreichende Garantien und bleibt dem Kunden für deren Erfüllung verantwortlich. Erforderliche Vertragsnachweise werden zugänglich gemacht; Schutz fremder Daten/Secrets darf die Kontrollrechte nicht entleeren.
6. Drittlandbezüge
Übermittlungen in Drittländer erfordern dokumentierte Weisung beziehungsweise zulässige gesetzliche Grundlage und Einhaltung von KapitelV DSGVO. Tatsächliche Gesellschaft, Verarbeitung und tragfähiger Transfermechanismus werden je betroffenem Dienst zugeordnet. Nicht jeder Dienst ist ausschließlich Auftragsverarbeiter; insbesondere Zahlungszwecke sind gesondert zu betrachten. Informationen über Garantien werden dem Kunden zur Prüfung bereitgestellt.
7. Betroffenenrechte, DSFA und Zusammenarbeit
KoBiCo unterstützt den Kunden unter Berücksichtigung von Art und Mitteln angemessen bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Direkt eingehende Fachanfragen werden ohne eigenmächtige materielle Entscheidung an den zuständigen Kunden weitergegeben. Die Identität/Weisungsberechtigung und der Umfang werden vor Maßnahmen geprüft. Gesetzliche Fristen bleiben maßgeblich, unabhängig von allgemeinen Prüfterminen.
KoBiCo unterstützt den Kunden mit verfügbaren technischen Informationen bei Sicherheit, Datenschutz-Folgenabschätzung und erforderlicher Behördenkonsultation. Die kundenseitige Entscheidung über Pflichten wird dadurch nicht ersetzt; eine eigene Pflicht des Anbieters wird ebenfalls nicht ausgeschlossen.
8. Verletzungen des Schutzes personenbezogener Daten
KoBiCo benachrichtigt den Kunden nach Bekanntwerden einer Verletzung unverzüglich mit den verfügbaren Angaben: Art, betroffene Kategorien/Umfang, mögliche Folgen, Kontakt, Eindämmung und weitere Maßnahmen. Fehlende Details werden nachgereicht; auf vollständige Aufklärung wird nicht gewartet. Es wird keine pauschale 72-Stunden-Wartefrist für KoBiCo vereinbart.
Nachweise werden geschützt und minimiert gesichert; Kunde und Anbieter arbeiten an Eindämmung und Abhilfe zusammen. Behörden-/Betroffenenmeldungen des Kunden bleiben dessen Verantwortung; eigene Meldepflichten unberührt.
9. Nachweise und Prüfung
KoBiCo stellt die zur Prüfung der AVV-Pflichten erforderlichen Informationen bereit und ermöglicht angemessene Audits einschließlich Inspektionen durch den Kunden oder von ihm befugte Prüfer. Umfang und sichere Durchführung werden abgestimmt; erforderliche Anlassprüfungen bleiben möglich. Keine automatische jährliche Höchstzahl oder pauschale Kostenhürde wird vereinbart. Fremde Mandantendaten, Secrets und berechtigte Geschäftsgeheimnisse werden geschützt, ohne gesetzliche Kontrollrechte auszuschließen. Behördliche Befugnisse bleiben unberührt.
10. Rückgabe, Löschung und Sicherungen
Nach Ende der Verarbeitung gibt KoBiCo nach Wahl des Kunden Auftragsdaten zurück oder löscht sie einschließlich vorhandener Kopien, soweit kein anwendbares Recht Aufbewahrung verlangt. Rechtsgrund, Datenklasse, Umfang und Dauer einer Ausnahme werden dokumentiert; Aufbewahrung eigener Belege rechtfertigt nicht die Fortspeicherung ganzer Ausbildungsakten.
Datenmitnahme/Abruf folgen dem Export-/Wechselanhang. Vor kontrollierter Löschung werden Berechtigung, Ziel, Retention, Kundenwahl und Legal Hold geprüft. Eine manuelle Freigabe verlängert keine Frist. Minimal erforderliche Erasure-Nachweise sind nicht allein durch Hashing anonym.
Backupreste bleiben isoliert, zweckbeschränkt und werden nach der festgelegten Rotation entfernt. Vor Rückkehr eines älteren AD-Bestands in den Betrieb werden dokumentierte Löschungen erneut angewendet; bei Fehler bleibt er gesperrt. Eine Generationenzahl allein ist keine Kalenderfrist. Konkrete Nachläufe und Löschgrenzen müssen dem tatsächlichen Sicherungsbetrieb entsprechen; eine feste 30 Tage-Frist oder tägliche Offsite-Sicherung wird hier nicht zugesagt.
11. Anlagen und Vertragsnachweis
Zur Vereinbarung gehören die Parteien-/Kundenreferenz und Verarbeitung gemäß Abschnitten 1–2 sowie die vollständig versionsgebunden bereitgestellten Anlagen:
Die tatsächlich einbezogenen Anlagen und Textversionen müssen vor Abschluss abrufbar und speicherbar sowie danach unveränderlich nachweisbar sein. Die Einbeziehung kann elektronisch erfolgen.