Auftragsverarbeitung

Vertrag nach Art. 28 DSGVO — Vorlage zur Vereinbarung zwischen Kunde und Anbieter

1. Parteien

Verantwortlicher: der Kunde, wie im Angebot bezeichnet.
Auftragsverarbeiter: s3imo GmbH, Ismaninger Straße 7, 85609 Aschheim.

2. Gegenstand und Dauer

Gegenstand ist der Betrieb der IT-Exzellenz-Akademie als Lernplattform für die Beschäftigten des Verantwortlichen. Die Verarbeitung dauert so lange, wie eine Lizenz läuft, zuzüglich der in der Datenschutzerklärung genannten Fristen.

3. Art, Zweck und Umfang

Erheben, Speichern, Anzeigen und Löschen von Konto- und Lernstandsdaten zum Zweck der Durchführung der Weiterbildung, der Fortschrittsanzeige für den Ausbilder und der Ausstellung von Teilnahmenachweisen.

4. Betroffene und Datenarten

Betroffene: Beschäftigte des Verantwortlichen, die einen Platz erhalten.

Datenarten:

• E-Mail-Adresse, Name (soweit angegeben), Rolle im Mandanten
• Gewählte Darstellungstiefe, erledigte Phasen, gehakte Prüflistenpunkte, Zeitpunkt des letzten Kursbesuchs
• Eigene Notizen und Favoriten (für den Verantwortlichen nicht einsehbar)
• Eingereichte Prüfergebnisse aus check.sh
• Rückmeldungen und Fragen aus einer Phase (gehen an den Anbieter, nicht an den Verantwortlichen)
• Teilnahmenachweise
• Sitzungs- und Protokolldaten (IP-Adresse, Zeitpunkt, Browserkennung)

Besondere Kategorien nach Art. 9 DSGVO werden nicht verarbeitet. Der Verantwortliche stellt sicher, dass seine Beschäftigten keine solchen Daten in Notizen oder Prüfausgaben eingeben.

5. Weisungen

Wir verarbeiten die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Weisungen erfolgen in Textform an datenschutz@s3imo.de. Die Einstellungen in der Anwendung — insbesondere das Vergeben und Zurückgeben von Plätzen und das Ein- und Ausschalten der namentlichen Sicht — gelten als Weisung. Halten wir eine Weisung für rechtswidrig, teilen wir das mit und dürfen sie aussetzen.

6. Namentliche Sicht und Mitbestimmung

Die personenbezogene Fortschrittsanzeige ist voreingestellt aus. Schaltet der Verantwortliche sie ein, ist er dafür verantwortlich, die Voraussetzungen nach § 87 Abs. 1 Nr. 6 BetrVG zu schaffen. Das Einschalten wird mit Datum und handelnder Person protokolliert und allen betroffenen Teilnehmern in ihrem Konto angezeigt.

7. Vertraulichkeit

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO) und im Datenschutz unterwiesen.

8. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Übertragung: ausschließlich verschlüsselt (TLS), Weiterleitung von HTTP auf HTTPS erzwungen.
• Anmeldung: ohne Passwort über einen Einmal-Link mit 15 Minuten Gültigkeit; keine Passwortspeicherung, damit auch kein Passwortdiebstahl. Konten entstehen nur durch Annahme einer Einladung, nicht durch freie Registrierung.
• Zugriffskontrolle: Rollen auf zwei Ebenen (Plattform, Mandant). Der Zugang zum Stoff hängt an einem belegten Platz auf einer laufenden Lizenz; jede schreibende Schnittstelle prüft Anmeldung und Berechtigung serverseitig.
• Mandantentrennung: Lern- und Gruppendaten sind je Mandant getrennt; ein Ausbilder sieht ausschließlich seinen eigenen Mandanten.
• Datenminimierung: keine Verweildauer, keine Scrolltiefe, kein Sitzungsmitschnitt, keine Analysedienste, keine externen Skripte oder Schriften.
• Betrieb: Anwendung und Datenbank bei Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Standort Deutschland. Container-Betrieb, Migrationen versioniert, Verfügbarkeitsprüfung über eine eigene Prüfadresse.
• Sicherung: tägliche Sicherung der Datenbank; die Rücksicherung wird geprobt.
• Löschung: nach den Fristen der Datenschutzerklärung; auf Weisung sofort.

9. Unterauftragsverarbeiter

Der Verantwortliche stimmt der Beauftragung folgender Unterauftragnehmer zu:

Weitere Unterauftragnehmer teilen wir vorher mit; der Verantwortliche kann innerhalb von 14 Tagen widersprechen. Eine Verarbeitung in Drittländern findet nicht statt.

10. Unterstützung des Verantwortlichen

Wir unterstützen bei Betroffenenanfragen (Art. 12–23 DSGVO), bei der Meldung von Datenschutzverletzungen (Art. 33, 34) und bei Datenschutz-Folgenabschätzungen (Art. 35). Von einer Verletzung des Schutzes personenbezogener Daten unterrichten wir den Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis.

11. Nachweise und Kontrolle

Wir weisen die Einhaltung auf Anfrage nach und ermöglichen Überprüfungen, auch vor Ort, nach angemessener Vorankündigung und ohne unverhältnismäßige Störung des Betriebs.

12. Beendigung

Nach Abschluss der Verarbeitung löschen wir die Daten oder geben sie zurück — nach Wahl des Verantwortlichen —, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Ein Export des Lernstands wird auf Anfrage bereitgestellt.

Stand: 6. September 2026