Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag (AVV) regelt die Verarbeitung personenbezogener Daten durch Plakos GmbH („Auftragsverarbeiter") im Auftrag des Kunden („Verantwortlicher") im Rahmen der Nutzung von PlakosAI. Er wird wirksam mit Abschluss des Hauptvertrags (Nutzungsvertrag) und ist dessen Bestandteil.

§ 1 Gegenstand und Dauer

Gegenstand ist die Bereitstellung der Lernplattform PlakosAI inkl. Verwaltung von Nutzerkonten, Lernfortschritten und Compliance-Nachweisen. Die Verarbeitung erfolgt für die Laufzeit des Hauptvertrags. Nach Beendigung gilt § 7 (Löschung/Rückgabe).

§ 2 Art, Zweck und Umfang

Zweck: Betrieb der Lernplattform für die Beschäftigten des Verantwortlichen.
Datenkategorien: Stammdaten (Name, E-Mail), Zugangsdaten, Lern- und Fortschrittsdaten, Zertifikats-/Nachweisdaten, ggf. KI-Eingaben.
Betroffene: Beschäftigte und Lernende des Verantwortlichen.

§ 3 Weisungsbindung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern keine gesetzliche Verpflichtung besteht. Weisungen erfolgen in Textform an support@plakos.de.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter verpflichtet die mit der Verarbeitung befassten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO).

§ 5 Technische und organisatorische Maßnahmen (TOM)

• Verschlüsselung in Transit (TLS) und der gespeicherten SMTP-Zugangsdaten (AES-256-GCM)
• Passwörter ausschließlich gehasht (bcrypt) gespeichert
• Mandantentrennung auf Datenebene (Multi-Tenancy)
• Rollen- und rechtebasierte Zugriffskontrolle (RBAC), JWT-Authentifizierung
• Hosting in deutschen Rechenzentren (EU)
• Regelmäßige, automatisierte Datenbank-Backups
• Audit-Trail sicherheitsrelevanter Aktionen

§ 6 Sub-Auftragsverarbeiter

Der Verantwortliche genehmigt den Einsatz folgender Sub-Auftragsverarbeiter:

• Hetzner Online GmbH — Hosting, Datenbank (PostgreSQL) und E-Mail-Server (selbst gehostetes mailcow) (Deutschland (EU))
• OpenAI (openai.com) — KI-Funktionen (Lernassistent, mündliche Prüfung, Vorlesen, Kurserstellung) — Eingaben werden nur bei aktiver Nutzung der KI-Funktionen verarbeitet (USA (Standardvertragsklauseln))
• Apple APNs / Google FCM — Push-Benachrichtigungen — nur nach ausdrücklicher Einwilligung (USA (Standardvertragsklauseln))

Diese allgemeine Genehmigung erfolgt im Sinne von Art. 28 Abs. 2 DSGVO. Der Auftragsverarbeiter informiert den Verantwortlichen in Textform mindestens 14 Tage vor der beabsichtigten Hinzuziehung oder Ersetzung eines Sub-Auftragsverarbeiters. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen; in diesem Fall stimmen die Parteien einvernehmlich eine Lösung ab (z.B. Verzicht auf den Einsatz oder Vertragsanpassung).

§ 7 Löschung, Löschfristen und Rückgabe

Nach Beendigung des Vertrags werden personenbezogene Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, soweit keine gesetzlichen Aufbewahrungspflichten (z.B. Compliance-Nachweise) entgegenstehen.

Während der Vertragslaufzeit gelten folgende Löschfristen: Systemgenerierte Protokolldaten (Log-Files), die im Rahmen der Nutzung der Plattform entstehen und personenbezogene Daten wie IP-Adressen oder Zugriffszeiten enthalten, werden zur Aufrechterhaltung der IT-Sicherheit, zur Fehlerbehebung sowie zur Missbrauchsprävention für einen Zeitraum von höchstens 90 Tagen gespeichert und anschließend automatisiert gelöscht bzw. anonymisiert. Einträge des Compliance-Audit-Trails bleiben als Nachweis erhalten; darin enthaltene IP-Adressen und Geräteinformationen werden nach 90 Tagen automatisiert entfernt. Daten externer Test-Teilnehmender (Bewerber-Tests) werden 6 Monate nach Abgabe bzw. Ablauf der Einladung automatisiert gelöscht. Quelldokumente der KI-Kursanlage (hochgeladene Dateien, Webseiten, Texte) werden 14 Tage nach Abschluss der jeweiligen Kursanlage, spätestens nach 30 Tagen, automatisiert gelöscht; die Originaldatei bereits nach dem Einlesen. Die Löschung aus Datensicherungen erfolgt mit der turnusmäßigen Backup-Rotation innerhalb von höchstens 30 Tagen.

§ 8 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO).

Abschluss

Für den Abschluss eines unterzeichneten AVV kontaktieren Sie uns unter support@plakos.de.