# Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

> ENTWURF – kein fertiger Rechtstext. Diese Vorlage beschreibt, welche Daten das System tatsächlich verarbeitet, ersetzt aber keine Rechtsberatung. Die Angaben in [eckigen Klammern] musst du ergänzen, und vor dem Einsatz muss eine Rechtsanwältin oder ein Rechtsanwalt den Text prüfen.

## Präambel

Die Akademie (Verantwortlicher) nutzt die Plattform des Anbieters (Auftragsverarbeiter) und verarbeitet dort personenbezogene Daten ihrer Mitglieder. Dieser Vertrag regelt die Verarbeitung im Auftrag. Parteien: [Anbieter, Anschrift] und [Akademie, Anschrift].

## 1. Gegenstand, Dauer, Art und Zweck

Gegenstand: Bereitstellung der Lernplattform (Hosting, Speicherung, Auslieferung von Kursinhalten, Verwaltung von Mitgliedern, Fortschritt, Community, Zahlungs- und Rechnungsdaten, Benachrichtigungen). Dauer: Laufzeit des Hauptvertrags.

## 2. Arten von Daten und Betroffene

Daten: Name, E-Mail, Rolle, Lernfortschritt, Ergebnisse, Abgaben, Beiträge, Zertifikate, Bestell- und Rechnungsdaten, Gerätemerkmale (Hash). Betroffene: Mitglieder, Interessenten und Mitarbeitende der Akademie.

## 3. Pflichten des Auftragsverarbeiters

Verarbeitung nur auf dokumentierte Weisung; Vertraulichkeit der Mitarbeitenden; Maßnahmen nach Art. 32 DSGVO (siehe Anlage); Unterstützung bei Betroffenenrechten und bei Meldungen nach Art. 33/34; Rückgabe bzw. Löschung nach Vertragsende (Export steht zur Verfügung); Bereitstellung von Nachweisen und Ermöglichung von Prüfungen.

## 4. Unterauftragsverarbeiter

Zum Zeitpunkt des Vertragsschlusses: [Hosting-Anbieter, Standort], Stripe Payments Europe, Ltd. (Zahlungen), [E-Mail-Anbieter]. Änderungen werden mit angemessener Frist mitgeteilt; die Akademie kann widersprechen.

## 5. Anlage: technische und organisatorische Maßnahmen (Auszug)

Zugriffskontrolle: Rollenmodell je Akademie, Mandantentrennung in der Datenbank, Anmeldung mit gehashten Passwörtern, Sitzungen mit Ablauf.

Weitergabekontrolle: Verschlüsselte Übertragung (HTTPS), verschlüsselte Videosegmente, signierte Webhooks, geschützte Dateidownloads.

Eingabe- und Änderungskontrolle: Änderungsprotokoll für Verwaltungsaktionen.

Verfügbarkeit: Regelmäßige Datenbank-Sicherungen [Intervall und Aufbewahrung ergänzen], Überwachung und Statusseite.

Trennungsgebot: Daten verschiedener Akademien werden getrennt verarbeitet.

Datenminimierung: Keine Speicherung vollständiger IP-Adressen für den Schutz vor Account-Weitergabe.