Auftragsverarbeitungsvertrag

Dieser Vertrag ist Teil der Nutzungsbedingungen. Er gilt für jede Organisation, deren Personen im Dienst arbeiten. Er entsteht in elektronischer Form (Art. 28 Abs. 9 DSGVO), wenn eine berechtigte Person die Nutzungsbedingungen für die Organisation annimmt. Widersprechen sich dieser Vertrag und die Nutzungsbedingungen beim Datenschutz, gilt dieser Vertrag. Im Übrigen gelten die Nutzungsbedingungen, auch für anwendbares Recht, Gerichtsstand und Änderungen dieses Vertrags.

Für die Konten ihrer Personen, Server-Logdateien, Seitenstatistik, E-Mail-Protokoll und Supportanfragen sind wir selbst verantwortlich, wie die Datenschutzerklärung beschreibt. Eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO besteht nicht.

Gegenstand ist der Betrieb des Dienstes für die Organisation in den Produkten, die sie gebucht hat. Wir speichern die Daten, rechnen mit ihnen, zeigen sie an und übermitteln sie an die Personen, die die Organisation berechtigt. Zweck ist die Zusammenarbeit der Personen der Organisation, die Durchführung ihrer Seminare und Planspiele und die Unterstützung der Organisation durch unser Team. Die Verarbeitung dauert, bis die Daten nach diesem Vertrag zurückgegeben oder gelöscht sind.

Betroffen sind die Mitglieder der Organisation, die Personen, die sie einlädt, und Personen, die in ihren Inhalten vorkommen. Die Daten sind Name, E-Mail-Adresse, die Berechtigungen je Produkt, die Teams und die erstellten Inhalte einschließlich hochgeladener Dokumente. Im Planspiel kommen die Züge, die aktuelle Seite jeder Person und die Dauer je Seite hinzu. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Dienstes, und die Organisation bringt sie nicht ein.

Wir verarbeiten diese Daten nur, um den Dienst zu betreiben, und nur auf dokumentierte Weisung der Organisation. Weisungen erteilt die Organisation über die Einstellungen des Dienstes, durch die Nutzung seiner Funktionen und in Textform durch ihre Administratoren an die unten genannte Adresse. Zu den Weisungen gehören die Einrichtung des Gebuchten, die Unterstützung ihrer Personen und die Sicherheit des Dienstes. Mehraufwand durch Weisungen, Überprüfungen oder Unterstützung, der über den Betrieb des Dienstes hinausgeht, vergütet uns die Organisation angemessen, sofern wir ihn nicht zu vertreten haben. Ruft eine Person der Organisation eine KI-Funktion auf, weist uns die Organisation damit an, den Text an den unten genannten Unterauftragsverarbeiter in einem Drittland zu übermitteln. Was eine Person der Organisation über einen Agentenschlüssel oder eine verbundene App liest oder ändert, ist eine Verarbeitung auf Weisung der Organisation, wie ihre eigene Nutzung des Dienstes. Die App ist nicht unser Unterauftragsverarbeiter. Für die Rechtmäßigkeit der Verarbeitung und die Rechte ihrer Personen ist die Organisation verantwortlich, und sie informiert ihre Personen nach Art. 13 DSGVO. Die Anlagen unten ergänzen Weisungen je Art der Organisation. Verpflichtet uns das Recht zu einer anderen Verarbeitung, sagen wir das der Organisation vorher, sofern das Recht es nicht verbietet. Halten wir eine Weisung für einen Verstoß gegen Datenschutzrecht, sagen wir das der Organisation und dürfen die Weisung aussetzen, bis die Organisation sie bestätigt oder ändert.

Die Organisation weist uns an, aus den Daten des Planspiels anonyme Summen zu bilden, die weder eine Person noch die Organisation nennen.

Alle, die wir zur Verarbeitung ermächtigen, sind zur Vertraulichkeit verpflichtet, und nur benannte Mitglieder unseres Teams können eine Organisation öffnen. Jeden solchen Zugriff protokollieren wir mit Person, Zeitpunkt und Vorgang, bewahren das Protokoll 365 Tage auf und zeigen es den Administratoren der Organisation.

Die Organisation erlaubt uns allgemein, die folgenden Unterauftragsverarbeiter einzusetzen. Jeder von ihnen ist durch einen Vertrag an dieselben Datenschutzpflichten gebunden wie wir durch diesen Vertrag. Für ihre Pflichterfüllung haften wir gegenüber der Organisation. Außer in den hier genannten Fällen verarbeiten wir die Daten nur in der Europäischen Union oder im Europäischen Wirtschaftsraum. Eine weitere Übermittlung in ein Drittland erlaubt die Organisation über das Verfahren für neue Unterauftragsverarbeiter, und sie erfolgt nur nach Kapitel V DSGVO. Nebenleistungen ohne konkreten Bezug zum Dienst, etwa Telekommunikation, Post und Transport oder Wartung, sind keine Unterauftragsverarbeitung. Auch dort wahren wir die Vertraulichkeit.

dataforest GmbH, Kriftel, Deutschland. Hosting unserer Server in Rechenzentren in Frankfurt, Deutschland.

AhaSend B.V., Amsterdam, Niederlande. Versand von E-Mails, verarbeitet in der Europäischen Union.

OpenRouter Inc., New York, USA. Leitet Text an den Anbieter des genutzten KI-Modells weiter, wenn eine Person eine KI-Funktion aufruft. Die Modellanbieter sind weitere Unterauftragsverarbeiter von OpenRouter, können in den USA oder einem anderen Drittland sitzen und dürfen den Text weder speichern noch zum Training nutzen. Die Übermittlung beruht auf den Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Wollen wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, teilen wir das den Administratoren der Organisation mindestens 30 Tage vorher per E-Mail mit. Die Organisation kann bis zum Wirksamwerden aus einem wichtigen datenschutzrechtlichen Grund widersprechen und nennt ihn dabei. Finden wir dann keine zumutbare Lösung, kann jede Seite die betroffenen Produkte zum Wirksamwerden kündigen.

Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die der nächste Abschnitt beschreibt. Wir dürfen sie ändern, solange ihr Schutzniveau nicht sinkt. Auf Anfrage erläutern wir sie der Organisation vertraulich näher. Sicherungen nennt die Anlage zu den Instanzen.

Jede Verbindung zum Dienst ist mit TLS verschlüsselt, und Server und Datenbanken sind aus dem Internet nicht direkt erreichbar.

Die Anmeldung läuft über Einmalcodes per E-Mail, und Rollen und Berechtigungen bestimmen, was eine Person sieht und ändern darf.

Daten sind je Organisation getrennt, und jede Abfrage ist auf die Organisationen der anfragenden Person begrenzt.

Besuche im Planspiel und Zugriffsprotokolle löscht der Dienst automatisch nach den Fristen in der Datenschutzerklärung.

Erfahren wir von einer Verletzung des Schutzes der Daten, für die die Organisation verantwortlich ist, informieren wir ihre Administratoren innerhalb von 48 Stunden per E-Mail. Die Mitteilung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO, und wir ergänzen sie, sobald wir mehr wissen. Behörden und betroffene Personen informieren wir nur auf Weisung der Organisation. Wir unterstützen die Organisation bei ihren Pflichten nach Art. 32 bis 36 DSGVO, soweit uns die Angaben vorliegen.

Wir unterstützen die Organisation mit geeigneten Maßnahmen dabei, die Anfragen ihrer Personen nach Art. 15 bis 22 DSGVO zu beantworten. Eine Anfrage, die uns direkt erreicht, leiten wir unverzüglich an die Organisation weiter und beantworten sie nicht selbst. Dasselbe gilt für Anfragen von Behörden und Dritten zu diesen Daten, soweit das Recht es erlaubt.

Wir geben der Organisation die Angaben, die sie braucht, um die Einhaltung dieses Vertrags nachzuweisen. Wir ermöglichen Überprüfungen durch die Organisation oder einen von ihr beauftragten Prüfer, der zur Vertraulichkeit verpflichtet ist, und wirken daran mit. Eine Überprüfung wird mindestens 14 Tage vorher angekündigt und findet zu unseren Geschäftszeiten und ohne konkreten Anlass maximal einmal im Jahr statt. Sie darf den Dienst nicht stören und keine Daten anderer Organisationen erreichen. Soweit ein aktueller Prüfbericht oder eine Zertifizierung, auch unseres Hosting-Anbieters, die Frage beantwortet, genügt dieser Nachweis.

Gegenüber der Organisation haften wir nicht für eine Verarbeitung, die ihrer Weisung oder einer mit ihr vereinbarten Maßnahme folgt. Im Übrigen gilt die Haftungsbeschränkung der Nutzungsbedingungen. Die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt.

Wird eine Organisation gelöscht oder endet die Verarbeitung, kann die Organisation bis 30 Tage danach die Rückgabe ihrer Daten in einem gängigen, maschinenlesbaren Format verlangen. Danach löschen wir die Daten mit allen Kopien, sofern uns das Gesetz nicht zur Aufbewahrung verpflichtet. Sicherungskopien folgen innerhalb von 7 Tagen. Die Löschung bestätigen wir auf Anfrage. Löscht eine Person ihr eigenes Konto, bleiben ihre Beiträge bei der Organisation.

Diese Anlage gilt für Organisationen, die den Dienst als Geschäftskunden nutzen, wie für die Organisation festgehalten. Die Personen derselben Simulation sehen, auf welcher Seite die anderen gerade sind und ob sie untätig geworden sind, und die Simulation zeichnet Seitenaufrufe und Züge je Person auf. Die Zeit je Seite sieht nur eine Moderation, die die Organisation einsetzt, je Person oder nur je Unternehmen, wie die Organisation es in ihren Einstellungen festlegt. Besteht ein Betriebsrat, holt die Organisation seine Zustimmung ein, bevor sie je Person liest (§ 87 Abs. 1 Nr. 6 BetrVG). Die Organisation nutzt den Dienst nicht, um Beschäftigte oder Bewerbende einzustellen, auszuwählen, zu beurteilen oder zu überwachen oder um über ihr Arbeitsverhältnis, ihre Aufgaben, ihre Beförderung oder ihre Kündigung zu entscheiden.

Diese Anlage gilt für Hochschulen, Business Schools und andere Organisationen, die den Dienst in der Lehre nutzen, wie für die Organisation festgehalten. Im Planspiel legt die Organisation in ihren Einstellungen fest, ob die Spielleitung die Zeit je Seite für jede Person sieht oder nur die Summe je Unternehmen. Wo nötig holt sie die Zustimmung des Betriebs- oder Personalrats ein, bevor sie je Person liest (§ 87 Abs. 1 Nr. 6 BetrVG).

Die Daten einer Organisation liegen auf der gemeinsamen Instanz des Dienstes oder, wenn vereinbart, auf einer dedizierten Instanz mit eigener Datenbank und eigenem Dateispeicher. Kopien davon halten nur die Sicherungen. dataforest sichert jede Instanz täglich und bewahrt die letzten 7 Sicherungen auf. Eine Sicherung dient allein der Wiederherstellung der Instanz.

Eine Instanz meldet uns nur Betriebssummen, die keine Person nennen und keinen Inhalt einer Organisation enthalten.

Dieser Vertrag gilt in deutscher Sprache. Die englische Fassung ist eine unverbindliche Übersetzung, und bei Abweichungen gilt die deutsche Fassung.

Für die Vereinbarung oder Fragen zu dieser Seite schreiben Sie an: dpa@techtropy.com.