ENTWURF – kein fertiger Rechtstext. Diese Vorlage beschreibt, welche Daten das System tatsächlich verarbeitet, ersetzt aber keine Rechtsberatung. Die Angaben in [eckigen Klammern] musst du ergänzen, und vor dem Einsatz muss eine Rechtsanwältin oder ein Rechtsanwalt den Text prüfen.
Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)
Präambel
Die Akademie (Verantwortlicher) nutzt die Plattform des Anbieters (Auftragsverarbeiter) und verarbeitet dort personenbezogene Daten ihrer Mitglieder. Dieser Vertrag regelt die Verarbeitung im Auftrag. Parteien: [Anbieter, Anschrift] und [Akademie, Anschrift].
1. Gegenstand, Dauer, Art und Zweck
Gegenstand: Bereitstellung der Lernplattform (Hosting, Speicherung, Auslieferung von Kursinhalten, Verwaltung von Mitgliedern, Fortschritt, Community, Zahlungs- und Rechnungsdaten, Benachrichtigungen). Dauer: Laufzeit des Hauptvertrags.
2. Arten von Daten und Betroffene
Daten: Name, E-Mail, Rolle, Lernfortschritt, Ergebnisse, Abgaben, Beiträge, Zertifikate, Bestell- und Rechnungsdaten, Gerätemerkmale (Hash). Betroffene: Mitglieder, Interessenten und Mitarbeitende der Akademie.
3. Pflichten des Auftragsverarbeiters
Verarbeitung nur auf dokumentierte Weisung; Vertraulichkeit der Mitarbeitenden; Maßnahmen nach Art. 32 DSGVO (siehe Anlage); Unterstützung bei Betroffenenrechten und bei Meldungen nach Art. 33/34; Rückgabe bzw. Löschung nach Vertragsende (Export steht zur Verfügung); Bereitstellung von Nachweisen und Ermöglichung von Prüfungen.
4. Unterauftragsverarbeiter
Zum Zeitpunkt des Vertragsschlusses: [Hosting-Anbieter, Standort], Stripe Payments Europe, Ltd. (Zahlungen), [E-Mail-Anbieter]. Änderungen werden mit angemessener Frist mitgeteilt; die Akademie kann widersprechen.
5. Anlage: technische und organisatorische Maßnahmen (Auszug)
Zugriffskontrolle: Rollenmodell je Akademie, Mandantentrennung in der Datenbank, Anmeldung mit gehashten Passwörtern, Sitzungen mit Ablauf.
Weitergabekontrolle: Verschlüsselte Übertragung (HTTPS), verschlüsselte Videosegmente, signierte Webhooks, geschützte Dateidownloads.
Eingabe- und Änderungskontrolle: Änderungsprotokoll für Verwaltungsaktionen.
Verfügbarkeit: Regelmäßige Datenbank-Sicherungen [Intervall und Aufbewahrung ergänzen], Überwachung und Statusseite.
Trennungsgebot: Daten verschiedener Akademien werden getrennt verarbeitet.
Datenminimierung: Keine Speicherung vollständiger IP-Adressen für den Schutz vor Account-Weitergabe.