Auftragsverarbeitung nach Art. 28 DSGVO

Stand: 24.08.2026 · Version 1.0

1. Parteien und Gegenstand

Diese Vereinbarung gilt zwischen der bestellenden Einrichtung als Verantwortlichem und Notfalltraining Brumberg als Auftragsverarbeiter, soweit personenbezogene Daten von Mitarbeitern bzw. sonstigen durch die Einrichtung angelegten Nutzern über die Plattform verarbeitet werden.

2. Zweck und Dauer

Zweck ist die technische Bereitstellung, Durchführung und Dokumentation des gebuchten E-Learnings. Die Verarbeitung dauert grundsätzlich für die Laufzeit des Plattformvertrags zuzüglich technisch erforderlicher Lösch- und Backupfristen.

3. Datenarten

Verarbeitet werden insbesondere Vorname, Nachname, Geburtsdatum, E-Mail-Adresse, Benutzer- und Aktivierungsstatus, Schulungsfortschritt, Abschlusszeitpunkte, Wiederholungsfälligkeiten, Verwaltungsstatus sowie technisch erforderliche Sitzungs-, Protokoll- und Sicherheitsdaten. Besondere Kategorien nach Art. 9 DSGVO sind nicht planmäßiger Vertragsgegenstand.

4. Betroffene Personen

Betroffen sind insbesondere Mitarbeiter, Beschäftigte und sonstige von der Einrichtung zur Schulung angelegte Nutzer.

5. Weisungsbindung

Notfalltraining Brumberg verarbeitet Auftragsdaten ausschließlich im Rahmen des Hauptvertrags, dieser Vereinbarung, der bestimmungsgemäßen Plattformfunktionen und dokumentierter Weisungen. Rechtswidrige Weisungen werden dem Verantwortlichen angezeigt.

6. Vertraulichkeit

Personen mit Zugriff auf Auftragsdaten werden zur Vertraulichkeit verpflichtet und erhalten nur die erforderlichen Berechtigungen.

7. Technische und organisatorische Maßnahmen

Zu den Maßnahmen zählen insbesondere HTTPS/TLS, persönliche Rollen und Konten, gehashte Passwörter mit individuellem Salt, zeitlich begrenzte Aktivierungs- und Reset-Links, HttpOnly/Secure-Sessions im Produktivbetrieb, serverseitige Berechtigungsprüfungen für Videos, private Speicherung von Schulungsvideos, Datenbank-Backups, Integritätsprüfungen und geregelte Token-Bereinigung.

8. Unterauftragnehmer

Allgemein genehmigte Unterauftragnehmer sind derzeit Hetzner Online GmbH für Hosting, Serverinfrastruktur und Object Storage sowie STRATO GmbH für E-Mail-Infrastruktur. Änderungen werden in geeigneter Weise mitgeteilt; der Verantwortliche kann aus erheblichen datenschutzrechtlichen Gründen widersprechen.

9. Betroffenenrechte

Notfalltraining Brumberg unterstützt die Einrichtung angemessen bei Auskunft, Berichtigung, Löschung, Einschränkung und sonstigen Betroffenenrechten. Direkte Anfragen zu Auftragsdaten können an die verantwortliche Einrichtung verwiesen werden.

10. Datenschutzverletzungen

Bekannt gewordene Verletzungen des Schutzes von Auftragsdaten werden dem Verantwortlichen unverzüglich mit den verfügbaren Informationen mitgeteilt.

11. Drittlandübermittlungen

Auftragsdaten sollen grundsätzlich innerhalb EU/EWR verarbeitet werden. Drittlandübermittlungen erfolgen nur bei Vorliegen der gesetzlichen Voraussetzungen.

12. Löschung und Rückgabe

Nach Vertragsende werden Auftragsdaten nach den vereinbarten Löschregeln gelöscht oder, soweit technisch vorgesehen und angefordert, herausgegeben. Gesetzliche Aufbewahrungspflichten und vorübergehende Sicherungskopien bleiben unberührt.

13. Nachweis und Kontrolle

Notfalltraining Brumberg stellt angemessene Informationen zum Nachweis der Einhaltung dieser Vereinbarung bereit und ermöglicht erforderliche Kontrollen unter Wahrung von Sicherheit und Vertraulichkeit.

14. Verantwortlichkeit der Einrichtung

Die Einrichtung bleibt für die Rechtmäßigkeit der Erhebung, Weisung und Nutzung der von ihr eingebrachten Mitarbeiterdaten verantwortlich.