Vereinbarung zur Auftragsverarbeitung

Präambel: Wer hier mit wem was vereinbart

Diese Vereinbarung schließen Sie - die Organisation, für die ein Zugang zur Anwendung KiKoSys / KI-Kompass eingerichtet ist - als Verantwortliche mit digitaleheimat GmbH, Fanny-Zobel-Straße 9, 12435 Berlin als Auftragsverarbeiterin.

Sie konkretisiert die Pflichten aus Art. 28 DSGVO für die Verarbeitung personenbezogener Daten, die die Auftragsverarbeiterin im Rahmen der Anwendung in Ihrem Auftrag vornimmt. Sie ergänzt die Allgemeinen Geschäftsbedingungen und geht diesen in Fragen der Auftragsverarbeitung vor.

Der Vertragsschluss erfolgt elektronisch; Art. 28 Abs. 9 DSGVO lässt das ausdrücklich zu. Ihre Zustimmung wird mit Fassung, Prüfsumme des Textes, Zeitstempel und den technischen Metadaten der zustimmenden Person dokumentiert und ist für Sie in der Anwendung abrufbar.

1. Gegenstand, Dauer, Art und Zweck der Verarbeitung

Gegenstand ist die Bereitstellung einer Software zur Strukturierung und Dokumentation von Pflichten aus der KI-Verordnung und angrenzenden Vorgaben. Personenbezogene Daten werden dabei ausschließlich verarbeitet, soweit dies für den Betrieb der Anwendung und die von Ihnen genutzten Funktionen erforderlich ist.

Die Verarbeitung erfolgt ausschließlich innerhalb der Europäischen Union, mit Ausnahme der in Ziffer 10 beschriebenen Fälle.

Die Dauer entspricht der Laufzeit des Nutzungsvertrags. Sie endet mit dessen Beendigung; anschließend gilt Ziffer 8.

• Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Verwenden, Übermitteln an die von Ihnen bestimmten Empfänger, Löschen.
• Zweck: Bereitstellung der Anwendung, Verwaltung von Zugängen und Rollen, Durchführung und Nachweis von Schulungen, Durchführung von Nutzungsbefragungen, Erzeugung von Auswertungen und Dokumenten, Führung des Änderungsprotokolls, Versand der zugehörigen E-Mails.
• Kategorien betroffener Personen: Ihre Beschäftigten und sonstige von Ihnen berechtigte Personen (Nutzende der Anwendung), Ihre in die Schulung oder Befragung einbezogenen Beschäftigten, von Ihnen benannte Ansprechpersonen.
• Kategorien personenbezogener Daten: Kontakt- und Zugangsdaten (Name, E-Mail-Adresse, Rolle, Organisationszugehörigkeit); Schulungsdaten (Fortschritt, Abschlüsse, Zeitpunkte, Zertifikatsdaten); Nachweis-Metadaten zu Bestätigungen (Zeitstempel, User-Agent sowie eine nicht rückrechenbare Prüfsumme der IP-Adresse, nicht die Adresse selbst); Inhalte, die Sie oder Ihre Beschäftigten in der Anwendung erfassen; Protokolldaten des Änderungsprotokolls; Antworten aus Nutzungsbefragungen.
• Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand dieser Vereinbarung. Die Anwendung sieht für sie keine Felder vor; Sie stellen sicher, dass solche Daten nicht eingestellt werden.

2. Weisungsbindung (Art. 28 Abs. 3 lit. a DSGVO)

Die Auftragsverarbeiterin verarbeitet die Daten ausschließlich auf dokumentierte Weisung der Verantwortlichen. Als solche Weisung gelten diese Vereinbarung, die Allgemeinen Geschäftsbedingungen und die Bedienung der Anwendung durch Sie und Ihre berechtigten Personen.

Weitergehende Einzelweisungen erteilen Sie in Textform an die unten genannte Kontaktadresse. Die Auftragsverarbeiterin setzt sie um, soweit sie ihr technisch und organisatorisch zumutbar sind; ein dadurch entstehender Mehraufwand kann gesondert vereinbart werden.

Hält die Auftragsverarbeiterin eine Weisung für rechtswidrig, teilt sie Ihnen dies unverzüglich mit und darf deren Ausführung bis zu Ihrer Bestätigung aussetzen (Art. 28 Abs. 3 Satz 3 DSGVO).

Verarbeitet die Auftragsverarbeiterin die Daten aufgrund einer Rechtspflicht der Union oder eines Mitgliedstaats über Ihre Weisung hinaus, teilt sie Ihnen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

3. Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)

Die Auftragsverarbeiterin setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus.

Der Zugriff auf Produktivdaten ist auf die Personen beschränkt, die ihn zur Erfüllung ihrer Aufgaben benötigen, und erfolgt nur zu Zwecken des Betriebs, der Fehlerbehebung und der Erfüllung von Anfragen nach den Ziffern 6 und 7.

4. Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO)

Die Auftragsverarbeiterin trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen. Sie darf diese fortentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird; wesentliche Änderungen dokumentiert sie und macht sie Ihnen zugänglich.

Die Maßnahmen sind an den Stand der Technik, die Implementierungskosten sowie an Art, Umfang, Umstände und Zwecke der Verarbeitung und an das Risiko für die Rechte und Freiheiten der betroffenen Personen angepasst.

5. Unterauftragsverarbeiter (Art. 28 Abs. 3 lit. d, Abs. 2 und 4 DSGVO)

Sie erteilen der Auftragsverarbeiterin die allgemeine Genehmigung, die in Anlage 2 aufgeführten Unterauftragsverarbeiter einzusetzen. Ohne diese Dienstleister ist die Anwendung nicht betreibbar.

Die Auftragsverarbeiterin informiert Sie mindestens vier Wochen vorab in Textform über die beabsichtigte Hinzuziehung eines weiteren oder die Ersetzung eines bestehenden Unterauftragsverarbeiters. Sie können der Änderung innerhalb dieser Frist aus einem wichtigen, datenschutzbezogenen Grund widersprechen. Bei einem berechtigten Widerspruch, dem nicht mit vertretbarem Aufwand abgeholfen werden kann, sind beide Seiten berechtigt, den Vertrag zum Zeitpunkt der Umstellung zu kündigen.

Die Auftragsverarbeiterin schließt mit jedem Unterauftragsverarbeiter Verpflichtungen ab, die den Anforderungen dieser Vereinbarung entsprechen, und bleibt Ihnen gegenüber für dessen Verhalten verantwortlich (Art. 28 Abs. 4 DSGVO).

Nicht als Unterauftragsverarbeitung gelten Nebenleistungen ohne bestimmungsgemäßen Zugriff auf Ihre Daten, etwa Telekommunikationsleistungen oder Wartung, sofern angemessene Schutzmaßnahmen getroffen sind.

6. Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e DSGVO)

Betroffene Personen wenden sich mit Anliegen nach den Art. 15 bis 22 DSGVO an Sie als Verantwortliche. Wendet sich eine betroffene Person unmittelbar an die Auftragsverarbeiterin, leitet diese das Anliegen unverzüglich an Sie weiter und beantwortet es nicht selbst.

Die Auftragsverarbeiterin unterstützt Sie mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung dieser Rechte, soweit Ihnen das nicht bereits über die Funktionen der Anwendung selbst möglich ist. Die Anwendung bietet dafür Export- und Löschfunktionen. Für die Exportfunktionen gilt der zeitliche Rahmen nach Ziffer 8: Sie stehen zur Verfügung, solange der Zugang den vollen Funktionsumfang umfasst, und nach dem Erlöschen der Zugangsberechtigung für die in § 8 der Allgemeinen Geschäftsbedingungen genannte Frist.

Eine eigene Auskunftsfunktion sieht die Anwendung nicht vor. Anliegen auf Auskunft und auf Datenübertragbarkeit nach Art. 15 und Art. 20 DSGVO unterstützt die Auftragsverarbeiterin im Einklang mit § 8 der Allgemeinen Geschäftsbedingungen über die unten genannte Kontaktadresse; ein darüber hinausgehender Aufwand kann gesondert vereinbart werden.

7. Unterstützung bei Sicherheit und Meldepflichten (Art. 28 Abs. 3 lit. f, Art. 32 bis 36 DSGVO)

Die Auftragsverarbeiterin unterstützt Sie unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO.

Wird der Auftragsverarbeiterin eine Verletzung des Schutzes personenbezogener Daten bekannt, die Ihre Daten betrifft, meldet sie diese unverzüglich nach Bekanntwerden in Textform an die von Ihnen hinterlegte Kontaktadresse. Die Meldung enthält, soweit bekannt, eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und den ungefähren Umfang, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Fehlende Angaben reicht sie ohne unangemessene Verzögerung nach.

Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung betroffener Personen nach Art. 34 DSGVO obliegen Ihnen als Verantwortliche.

Auf Anfrage stellt die Auftragsverarbeiterin Ihnen die für eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlichen Informationen über die von ihr eingesetzte Technik zur Verfügung.

8. Löschung oder Rückgabe nach Vertragsende (Art. 28 Abs. 3 lit. g DSGVO)

Nach Beendigung des Nutzungsvertrags löscht die Auftragsverarbeiterin nach Ihrer Wahl die verarbeiteten personenbezogenen Daten oder gibt sie an Sie zurück und löscht anschließend die bei ihr bestehenden Kopien, soweit nicht nach dem Recht der Union oder der Mitgliedstaaten eine Pflicht zur Speicherung besteht. Ihre Wahl teilen Sie in Textform mit; ohne eine solche Mitteilung löscht die Auftragsverarbeiterin die Daten.

Für die Ausleitung der Daten über die Exportfunktionen der Anwendung gilt ergänzend § 8 der Allgemeinen Geschäftsbedingungen: Sie stehen zur Verfügung, solange der Zugang den vollen Funktionsumfang umfasst, und nach dem Erlöschen der Zugangsberechtigung weitere 30 Tage. Der Ablauf dieser Frist beendet allein die Ausleitung über die Anwendung; eine Löschung ist damit nicht verbunden, und Ihr Anspruch auf Rückgabe nach dem vorstehenden Absatz bleibt unberührt.

Ausgenommen von der Löschung sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht. Diese werden gesperrt und ausschließlich zum Zweck der Aufbewahrungspflicht weiterverarbeitet. Erhalten bleiben ferner ein Nachweis der Löschung selbst - unter anderem Bezeichnung, Kennung und Erstellungsdatum der Organisation, der Zeitpunkt der Löschung, die Zahl der Mitglieder und das auslösende Konto - sowie die Dokumentation der Zustimmungen zu den Vertragsdokumenten, die neben Fassung, Prüfsumme und Zeitstempel auch die zustimmende Person, eine nicht rückrechenbare Prüfsumme ihrer IP-Adresse und die Kennung ihres Browsers umfasst. Beides enthält keine in der Anwendung erfassten Inhalte und dient ausschließlich dem Nachweis nach Art. 5 Abs. 2 DSGVO.

Löschen Sie Ihre Organisation selbst in der Anwendung, wirkt dies sofort und umfasst alle zugehörigen Inhalte; ein Export ist danach nicht mehr möglich.

Auf Anfrage bestätigt die Auftragsverarbeiterin die Löschung in Textform.

9. Nachweise und Kontrollen (Art. 28 Abs. 3 lit. h DSGVO)

Die Auftragsverarbeiterin stellt Ihnen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen.

Der Nachweis erfolgt vorrangig durch Auskunft in Textform, durch Vorlage der Dokumentation zu Anlage 1 sowie durch Nachweise der in Anlage 2 genannten Unterauftragsverarbeiter. Genügt das im Einzelfall nicht, können Sie nach angemessener Vorankündigung während der üblichen Geschäftszeiten eine Prüfung vor Ort durchführen oder durch eine zur Verschwiegenheit verpflichtete, nicht mit der Auftragsverarbeiterin im Wettbewerb stehende Person durchführen lassen. Betriebsabläufe dürfen dabei nicht unangemessen beeinträchtigt werden.

Die Auftragsverarbeiterin informiert Sie unverzüglich, wenn sie der Auffassung ist, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzvorschriften verstößt.

10. Drittlandtransfer

Die Verarbeitung findet grundsätzlich in der Europäischen Union statt. Datenbank und Anwendung laufen in der Region Frankfurt am Main.

Soweit einzelne der in Anlage 2 genannten Unterauftragsverarbeiter Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten - insbesondere technische Protokolldaten des Hosting-Anbieters und die Auslieferung von Videoinhalten über ein weltweites Auslieferungsnetz -, erfolgt dies auf Grundlage der Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO nebst ergänzenden Maßnahmen. Anlage 2 weist den Ort für jeden Dienst einzeln aus.

11. Pflichten und Rechte der Verantwortlichen (Art. 28 DSGVO)

Sie sind für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für das Bestehen einer Rechtsgrundlage nach Art. 6 und - soweit einschlägig - Art. 9 DSGVO, für die Erfüllung der Informationspflichten nach Art. 13 und 14 DSGVO gegenüber Ihren Beschäftigten und für die Wahrung etwaiger Mitbestimmungsrechte. Der Auftragsverarbeiterin obliegt insoweit keine eigene Prüfpflicht.

Sie erteilen Weisungen ausschließlich im Rahmen des geltenden Rechts und stellen sicher, dass die von Ihnen oder Ihren berechtigten Personen in die Anwendung eingestellten Daten für den jeweiligen Zweck erforderlich und zulässig sind.

Sie sind berechtigt, die Einhaltung dieser Vereinbarung nach Maßgabe der Ziffer 9 zu überprüfen, und benennen der Auftragsverarbeiterin eine Ansprechperson für Fragen der Auftragsverarbeitung.

12. Haftung, Laufzeit, Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO. Die Haftungsregelung des Nutzungsvertrags bleibt im Übrigen unberührt; sie beschränkt Ansprüche betroffener Personen nach der DSGVO nicht.

Diese Vereinbarung endet mit dem Nutzungsvertrag. Die Pflichten aus den Ziffern 3 und 8 gelten darüber hinaus fort.

Änderungen dieser Vereinbarung erfolgen nach dem Verfahren, das die Allgemeinen Geschäftsbedingungen für Änderungen vorsehen. Wird eine Bestimmung unwirksam, bleibt die Wirksamkeit der übrigen unberührt.

Kontakt für Weisungen, Anfragen und Meldungen nach dieser Vereinbarung: kontakt@kikosys.de. Der externe Datenschutzbeauftragte der Auftragsverarbeiterin ist heyData GmbH, Kantstraße 99, 10627 Berlin, E-Mail: datenschutz@heydata.eu.

Anlage 1: Technische und organisatorische Maßnahmen

Die folgenden Maßnahmen setzt die Auftragsverarbeiterin nach Art. 32 DSGVO um. Sie sind bewusst konkret und auf den tatsächlichen Betrieb bezogen formuliert; allgemeine Beteuerungen ohne Entsprechung im System sind nicht aufgenommen.

• Vertraulichkeit - Zutritt: Die Verarbeitung findet ausschließlich in Rechenzentren der eingesetzten Dienstleister statt (Anlage 2). Eigene Server betreibt die Auftragsverarbeiterin nicht; die physische Zutrittskontrolle obliegt den Betreibern der Rechenzentren.
• Vertraulichkeit - Zugang: Die Anmeldung erfolgt passwortlos über einen zeitlich befristeten, einmal verwendbaren Anmeldelink an die hinterlegte E-Mail-Adresse. Es werden keine Passwörter gespeichert. Die Anzahl der Anmeldeversuche ist je E-Mail-Adresse und je Netzwerkadresse begrenzt.
• Vertraulichkeit - Zugriff: Die Anwendung ist mandantenfähig. Jeder Datensatz ist einer Organisation zugeordnet; sämtliche Abfragen filtern verbindlich auf die Organisation der anfragenden Person. Innerhalb einer Organisation gelten die Rollen Inhaber:in, Administration und Mitglied mit abgestuften Rechten. Auf der Datenbank ist zusätzlich zeilenbasierte Zugriffskontrolle für alle Tabellen aktiviert und standardmäßig verweigernd eingestellt.
• Vertraulichkeit - Trennung: Die Anwendung ist mandantenfähig; die Daten unterschiedlicher Organisationen liegen in derselben Datenbank und werden bei jeder Abfrage verbindlich auf die anfragende Organisation gefiltert. Eine gesonderte Datenhaltung für Test- oder Vorschauzwecke besteht nicht - auch Vorschau-Deployments arbeiten auf demselben Datenbestand und sind, wie die Produktivumgebung, ausschließlich nach Anmeldung erreichbar. Die Anwendung ist nicht öffentlich indexierbar; alle Bereiche hinter der Anmeldung erfordern eine gültige Sitzung, Programmierschnittstellen antworten ohne gültige Sitzung mit einer Fehlermeldung statt mit Daten.
• Integrität - Weitergabe: Die gesamte Übertragung erfolgt verschlüsselt über TLS. Die Verbindung zur Datenbank ist auf verschlüsselte Verbindungen beschränkt und prüft das Serverzertifikat gegen ein fest hinterlegtes Wurzelzertifikat.
• Integrität - Eingabe: Alle Änderungen an fachlichen Daten werden in einem Änderungsprotokoll mit Zeitpunkt, handelnder Person, Organisation und betroffenem Objekt festgehalten. Einträge des Änderungsprotokolls können aus der Anwendung heraus nicht nachträglich verändert werden; nach Ablauf einer festgelegten Aufbewahrungsfrist werden sie automatisch gelöscht.
• Integrität - Nachweise: Bestätigungslinks für Schulungen werden kryptografisch aus einem Geheimnis abgeleitet und nicht im Klartext gespeichert; sie sind zeitlich befristet. Der Lernfortschritt wird serverseitig auf plausible Geschwindigkeit geprüft, damit Nachweise nicht durch die geprüfte Person selbst erzeugt werden können.
• Verfügbarkeit - Belastbarkeit: Anwendung und Datenbank laufen bei Anbietern mit redundanter Infrastruktur in der Region Frankfurt am Main. Störungen werden über eine Fehlerdiagnose mit europäischem Eingang erfasst.
• Verfügbarkeit - Wiederherstellung: Die Datenbank wird durch den Datenbankanbieter gesichert; Sicherung und Wiederherstellung erfolgen nach dessen Verfahren im gebuchten Tarif. Zusätzlich können Sie Ihre Inhalte jederzeit selbst über die Exportfunktionen der Anwendung ausleiten.
• Belastbarkeit und Überprüfung: Änderungen am System durchlaufen vor der Veröffentlichung eine automatisierte Prüfstrecke aus Typprüfung, Tests und vollständigem Bau. Zugriffs- und Rechteprüfungen sind durch eigene Wächter-Tests abgesichert, die deren Vorhandensein in jeder geschützten Seite erzwingen.
• Datenminimierung: Es kommt keine generative künstliche Intelligenz zum Einsatz; Ihre Inhalte werden nicht an KI-Modelle übermittelt. Die Fehlerdiagnose ist so konfiguriert, dass personenbezogene Standardfelder nicht übertragen werden; Sitzungsaufzeichnung und Ablaufverfolgung sind abgeschaltet. Das Änderungsprotokoll hält Ereignisdaten fest - Zeitpunkt, Art des Vorgangs, Status-Übergänge, Zähler und die Kennungen der beteiligten Datensätze - sowie die Bezeichnungen der betroffenen Objekte, etwa den von Ihnen vergebenen Namen eines KI-Systems oder einer Organisation; ohne sie wäre nach einer späteren Änderung oder Löschung nicht mehr erkennbar, worauf sich ein Eintrag bezieht. Freitext-Eingaben Ihrer Nutzenden und E-Mail-Adressen werden in den Ereignisdaten nicht abgelegt; handelnde und betroffene Personen sind dort ausschließlich über interne Kennungen bezeichnet, und ein technischer Wächter prüft jeden Eintrag vor dem Schreiben auf solche Felder. Vergeben Sie einen Personennamen als Bezeichnung eines Objekts - etwa bei einer Organisation, die auf eine natürliche Person lautet -, ist dieser Name Teil des Änderungsprotokolls und seines Exports.
• Auftragskontrolle: Unterauftragsverarbeiter werden nach Anlage 2 eingesetzt und nach Ziffer 5 vertraglich verpflichtet.

Anlage 2: Unterauftragsverarbeiter

Die nachfolgend aufgeführten Dienstleister setzt die Auftragsverarbeiterin mit Ihrer allgemeinen Genehmigung nach Ziffer 5 ein. Diese Liste ist fester Bestandteil der Vereinbarung; jede Änderung an ihr - die Hinzuziehung, die Ersetzung oder die Streichung eines Dienstes - führt nach Ziffer 5 zu einer neuen Fassung dieser Vereinbarung. Die Angaben zu Anbieter, Zweck, Ort der Verarbeitung und Rechtsgrundlage sind für jeden Dienst einzeln ausgewiesen.

Nicht aufgeführt sind Dienste, bei denen die Auftragsverarbeiterin selbst Verantwortliche ist und die deshalb keine Unterauftragsverarbeitung im Sinne des Art. 28 Abs. 4 DSGVO darstellen - namentlich die Reichweitenmessung der öffentlichen Website, die Terminbuchung und die Zahlungsabwicklung. Bei diesen verarbeitet die Auftragsverarbeiterin keine Daten in Ihrem Auftrag, sondern zur Erfüllung eigener vertraglicher und gesetzlicher Pflichten. Sie sind vollständig in der Datenschutzerklärung ausgewiesen.

• Vercel (Hosting) - Anbieter: Vercel Inc., 340 S Lemon Ave #4133, Walnut CA 91789, USA. Zweck: Bereitstellung und Auslieferung dieser Website sowie der zugehörigen Web-Anwendung (Edge-Cache, Serverless-Functions, Logs). Ort der Verarbeitung: Deployment-Region Frankfurt (fra1). Server-Logs können zusätzlich in den USA verarbeitet werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Betrieb der Website); zusätzlich EU-Standardvertragsklauseln mit Vercel.
• Supabase (Datenbank & Authentifizierung) - Anbieter: Supabase Inc., 970 Toa Payoh N #07-04, Singapore. Zweck: Speicherung von Nutzungsdaten der KI-Kompass-Anwendung (Organisation, Inventar, Richtlinien, Schulungen, Audit-Log) und Abwicklung der Magic-Link-Anmeldung. Ort der Verarbeitung: EU-Region Frankfurt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsabwicklung / Bereitstellung der Anwendung).
• Resend (Transaktions-Mail) - Anbieter: Resend Inc., 2261 Market Street, San Francisco CA 94114, USA. Zweck: Versand der E-Mails der Anwendung. An Nutzende und Beschäftigte gehen: Anmeldelinks (Magic-Link, technisch über den Mail-Zugang von Supabase), Einladungen in eine Organisation mit Angabe der einladenden Person und der vorgesehenen Rolle, Einladungen zu einer Schulung und deren Erinnerungen sowie Erinnerungen an fällige Richtlinien-Prüfungen mit den Bezeichnungen der betroffenen Richtlinien. An die Anbieterin selbst gehen: Anfragen nach einem Vollzugang und nach einer externen KI-Verantwortung mit Name, E-Mail-Adresse, Organisation und dem freiwillig geschriebenen Text sowie eine technische Meldung, wenn eine Konto-Löschung nicht vollautomatisch abgeschlossen werden konnte; sie nennt Kennung und E-Mail-Adresse des betroffenen Kontos, den Grund, den Zeitpunkt und die unveränderte Fehlermeldung des Systems, an dem der Vorgang hängen geblieben ist. Übermittelt werden jeweils die Empfängeradresse und der Inhalt der Nachricht. Ort der Verarbeitung: EU-Region (Frankfurt), wenn konfiguriert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsabwicklung für Anwendungs-Mails); EU-Standardvertragsklauseln.
• bunny.net Stream (Schulungsvideos) - Anbieter: BunnyWay d.o.o., Cesta komandanta Staneta 4A, 1215 Medvode, Slowenien. Zweck: Speicherung und Auslieferung der Schulungsvideos samt ihrer Vorschaubilder. Beides wird unmittelbar von bunny.net in die Seite geladen - die Vorschaubilder bereits in der Übersicht der Lerneinheiten, der Videoplayer als eingebetteter Rahmen beim Öffnen einer Lerneinheit; dabei werden jeweils IP-Adresse, User-Agent und Abrufzeitpunkt an bunny.net übertragen. Die Lernfortschritte selbst speichern wir in unserer eigenen Datenbank, nicht bei bunny.net. Ort der Verarbeitung: Unternehmenssitz in der EU (Slowenien). Die Auslieferung erfolgt über das weltweite Edge-Netz von bunny.net, sodass der Abruf über einen Standort außerhalb des EWR laufen kann; hierfür bestehen EU-Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der beauftragten Schulung).
• PostHog (Produkt- und Reichweitenanalyse, Fehler-Diagnose) - Anbieter: PostHog, Inc., 2261 Market St. #4008, San Francisco CA 94114, USA. Zweck: Erstens statistische Auswertung der Nutzung, um Website und Anwendung zu verbessern (aufgerufene Seite, Referrer, Gerätetyp, Browser sowie ausgewählte Vorgänge in der Anwendung wie abgeschlossene Selbsteinschätzungen oder erzeugte Berichte). Es werden keine Cookies gesetzt und nichts im Speicher Ihres Geräts abgelegt. Auf der Website erfolgt die Zählung über einen täglich wechselnden, nicht auf Ihre Person rückrechenbaren Hash; in der eingeloggten Anwendung werden Vorgänge Ihrem Konto zugeordnet, damit wir erkennen, welche Funktionen tragen. Zweitens die Erfassung technischer Fehlermeldungen und Betriebsprotokolle, um Störungen zu erkennen und zu beheben (Fehlertext, betroffene Programmstelle, aufgerufene Route, Browser- und Geräteangaben). Für die Nutzungsauswertung gilt: Inhalte, die Sie in der Anwendung anlegen - Namen von KI-Systemen, Richtlinien, Vorfallsbeschreibungen -, werden nicht übertragen, und die öffentlichen Schulungs-, Einladungs- und Befragungsseiten werden gar nicht gemessen. Technische Fehlermeldungen können auch auf diesen Seiten entstehen; sie nennen dann ausschließlich die Routen-Vorlage (etwa Schulungsseite) ohne den aufgerufenen Link und ohne Zuordnung zu einer Person oder Sitzung. Aus Fehlertexten und Protokollen werden E-Mail-Adressen, Zugangslinks und Datenbankwerte automatisiert entfernt, bevor sie das Haus verlassen. Ort der Verarbeitung: EU-Region Frankfurt (PostHog Cloud EU) — die Anwendung sendet ausschließlich an die EU-Ingest-Adresse (eu.i.posthog.com), technisch erzwungen über die Content-Security-Policy. Der Anbieter hat seinen Sitz in den USA. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datensparsamen Nutzungsauswertung und der Verbesserung des Angebots); EU-Standardvertragsklauseln. Sie können dieser Verarbeitung jederzeit nach Art. 21 DSGVO widersprechen.