Auftragsverarbeitungsvertrag

Offizielles Dokument: Die deutsche Fassung ist das offizielle Dokument. Bei Abweichungen zwischen Übersetzungen ist die deutsche Fassung maßgeblich.

Version: November 2026 (05.11.2026)

zwischen

die Kundin bzw. der Kunde, die bzw. der eDoer auf Grundlage eines Dienstleistungsvertrags nutzt
(„Verantwortliche*r“)

und

Education4All GmbH
Sitz: Hildesheim, Deutschland
Eingetragen im Handelsregister des Amtsgerichts Hildesheim unter HRB 210458
als Betreiberin der Lernplattform „eDoer“
(„Auftragsverarbeiterin“)

Verantwortliche*r und Auftragsverarbeiterin werden gemeinsam als die „Parteien“ bezeichnet.

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil des Dienstleistungsvertrages zwischen den Parteien.

eDoer ist die von Education4All GmbH betriebene Lernplattform und die damit verbundenen Dienste. In dieser Vereinbarung beziehen sich Verweise auf eDoer auf die Plattform und, soweit es um die rechtliche Verantwortung geht, auf Education4All GmbH als deren Betreiberin.

§ 1 Gegenstand und Dauer

1.1 Dieser AVV regelt die Verarbeitung personenbezogener Daten durch die Auftragsverarbeiterin im Auftrag der bzw. des Verantwortlichen im Zusammenhang mit der Bereitstellung der Lernplattform „eDoer“.

1.2 Dieser AVV gilt ausschließlich für personenbezogene Daten, die eDoer im Auftrag der bzw. des Verantwortlichen verarbeitet.

1.3 Verarbeitungstätigkeiten, die von eDoer als eigenständige Verantwortliche durchgeführt werden (siehe Abschnitt 5.4), unterliegen nicht diesem AVV.

1.4 Die Auftragsverarbeiterin stellt eine Multi-Tenant-Lernmanagementplattform („eDoer“) bereit, die es der bzw. dem Verantwortlichen ermöglicht:

• Organisationen zu erstellen und zu verwalten
• Nutzer*innen zu registrieren und zu verwalten
• Lernpfade, Module und Kurse zu erstellen und zu verwalten
• Bewertungen und Prüfungen durchzuführen
• Zertifikate auszustellen
• Kommunikation innerhalb der Organisation zu ermöglichen
• In-App-Benachrichtigungen und transaktionale Benachrichtigungs-E-Mails bereitzustellen
• Bildungsinhalte und zugehörige Materialien zu speichern
• KI-assistierte Funktionen zu konfigurieren, einschließlich Dateien der Wissensdatenbank der Organisation und Lernenden-Hintergrunddokumenten, sofern aktiviert
• Genehmigte Importe von Drittanbieterdokumenten zu ermöglichen, sofern aktiviert

Die Auftragsverarbeiterin verarbeitet personenbezogene Daten ausschließlich zur Erbringung dieser vertraglich vereinbarten Leistungen.

1.5 Die Verarbeitung erfolgt für die Dauer des Dienstleistungsvertrages.

Bei Beendigung des Vertrages werden die personenbezogenen Daten gemäß den Bestimmungen des AVV gelöscht oder zurückgegeben, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

§ 2 Art und Zweck der Verarbeitung

2.1 Die Verarbeitung erfolgt überwiegend automatisiert innerhalb einer gesicherten Serverinfrastruktur und kann insbesondere Folgendes umfassen:

• Erhebung
• Protokollierung
• Organisation und Strukturierung
• Speicherung
• Abruf und Nutzung
• Begrenzte Übertragung an autorisierte Unterauftragsverarbeiter*innen
• KI-assistierte Verarbeitung, sofern von der bzw. dem Verantwortlichen aktiviert
• Import aus genehmigten Drittanbieterdokumentenquellen, sofern aktiviert
• Löschung oder Anonymisierung

Die Verarbeitung ist auf das zur Erbringung der Leistungen Erforderliche beschränkt.

2.2 Personenbezogene Daten werden ausschließlich zu folgenden Zwecken verarbeitet:

• Bereitstellung und Wartung der Lernplattform
• Ermöglichung des Kursmanagements und der Durchführung
• Bearbeitung von Bewertungen und Lernfortschritten
• Generierung von Zertifikaten
• Erleichterung der Kommunikation innerhalb der Organisation
• Bereitstellung an Empfänger angepasster Benachrichtigungen, Moderationskommunikation und transaktionaler Benachrichtigungs-E-Mails
• Speicherung und Organisation von Bildungs- und Referenzmaterialien
• Unterstützung der von der bzw. dem Verantwortlichen konfigurierten KI-assistierten Funktionen, einschließlich Wissensbasis-Dateien der Organisation und Hintergrunddokumenten von Lernenden, sofern aktiviert
• Unterstützung genehmigter Drittanbieterdokumentimporte, sofern aktiviert
• Bereitstellung technischer Unterstützung

Die Auftragsverarbeiterin verarbeitet personenbezogene Daten weder zu eigenen Marketingzwecken noch zur eigenständigen wirtschaftlichen Verwertung. Die Verarbeitung ist auf das zur Erbringung der Leistungen Erforderliche beschränkt.

Die Auftragsverarbeiterin verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung der bzw. des Verantwortlichen.

Ist die Auftragsverarbeiterin der Ansicht, dass eine Weisung gegen die DSGVO oder andere anwendbare Datenschutzvorschriften der Union oder eines Mitgliedstaats verstößt, unterrichtet sie die Verantwortliche bzw. den Verantwortlichen unverzüglich und kann die betroffene Verarbeitung aussetzen, bis die Weisung bestätigt, geändert oder zurückgenommen wird.

2.3 Zweckbestimmung für die Patientenedukation

Soweit von der bzw. dem Verantwortlichen aktiviert, unterstützt eDoer die Patientenedukation und Gesundheitskompetenz, indem autorisierte Nutzer*innen Bildungsinhalte und übermittelte Dokumente suchen, abrufen, organisieren, übersetzen, zusammenfassen und verstehen können. Diese Funktionen unterstützen das Verständnis von Quelleninformationen, einschließlich medizinischer Fachbegriffe und bereits von medizinischen Fachpersonen bereitgestellter Anweisungen.

Diese Funktionen dienen der Bildung und dem Informationszugang, ohne medizinische Zweckbestimmung im Sinne der Verordnung (EU) 2017/745 über Medizinprodukte (MDR). Sie sind nicht für die Diagnose, Prävention, Überwachung, Vorhersage, Prognose, Behandlung oder Linderung von Krankheiten oder Verletzungen oder für die Erstellung von Informationen bestimmt, die der Festlegung individueller diagnostischer oder therapeutischer Entscheidungen dienen sollen. Ausgeschlossen sind damit die Bewertung oder Triage von Symptomen, die klinische Interpretation von Laborergebnissen oder medizinischen Bildern, die Bewertung individueller klinischer Risiken sowie Empfehlungen, eine Behandlung oder Medikation zu beginnen, zu beenden oder zu ändern.

Bestehende Anweisungen medizinischer Fachpersonen dürfen zum besseren Verständnis dargestellt oder erläutert werden, ohne ihre klinische Eignung eigenständig zu beurteilen oder Änderungen zu empfehlen. Zusammenfassungen und Erläuterungen ersetzen weder die Originaldokumente noch eine fachliche medizinische Beurteilung. Personalisierung und Fortschrittsverfolgung beziehen sich auf Bildungsbedürfnisse und Verständnis und dienen nicht der Bewertung des Gesundheitszustands oder klinischer Ergebnisse.

Die bzw. der Verantwortliche konfiguriert und nutzt die Funktionen zur Patientenedukation innerhalb dieser auf Bildung beschränkten Zweckbestimmung.

§ 3 Kategorien der betroffenen Personen

• Lernende (Studierende)
• Lehrende / Kurator*innen
• Organisationsadministrator*innen
• Patient*innen und sonstige Personen, die Gesundheitsleistungen in Anspruch nehmen, gegebenenfalls einschließlich autorisierter Angehöriger oder Betreuungspersonen, die an der Patientenedukation teilnehmen
• Medizinische Fachpersonen und autorisiertes Personal im Gesundheitswesen, soweit zutreffend
• Sonstige von der bzw. dem Verantwortlichen benannte autorisierte Nutzer*innen

§ 4 Kategorien personenbezogener Daten

Die Verarbeitung kann die in Anlage I Abschnitt 1 aufgeführten Kategorien personenbezogener Daten umfassen.

Für die reguläre Bildungsnutzung erfordern die Dienste keine besonderen Kategorien personenbezogener Daten gemäß Art. 9 DSGVO. Soweit die Funktionen zur Patientenedukation von der bzw. dem Verantwortlichen aktiviert sind, dürfen die Dienste Gesundheitsdaten im Sinne von Art. 4 Nr. 15 und Art. 9 DSGVO gezielt für die in Abschnitt 2.3 beschriebenen Bildungszwecke verarbeiten.

Besondere Kategorien personenbezogener Daten können auch in Freitexten, Nachrichten, Anhängen, Hintergrunddokumenten von Lernenden, importierten Dateien oder KI-Eingaben enthalten sein. Die bzw. der Verantwortliche darf solche Daten nur übermitteln oder ihre Verarbeitung genehmigen, wenn eine anwendbare Rechtsgrundlage nach Art. 6 und eine Voraussetzung nach Art. 9 Abs. 2 DSGVO sowie Zweck, betroffene Funktionen, Zugriffsbeschränkungen, Aufbewahrungsfrist und eine gegebenenfalls erforderliche Datenschutz-Folgenabschätzung dokumentiert wurden. Wird Art. 9 Abs. 2 lit. h) DSGVO herangezogen, müssen auch die Anforderungen aus Art. 9 Abs. 3 DSGVO und die anwendbaren Vorschriften zur beruflichen Verschwiegenheit erfüllt sein.

Für diese Verarbeitung gelten die Schutzmaßnahmen aus Anlage II.

§ 5 Rollen der Parteien

5.1 Die bzw. der Verantwortliche bestimmt die Zwecke und Mittel der Verarbeitung von Bildungsdaten innerhalb der Plattform.

5.2 Die Auftragsverarbeiterin verarbeitet personenbezogene Daten ausschließlich im Auftrag der bzw. des Verantwortlichen gemäß Art. 28 DSGVO.

5.3 Die Parteien ordnen jede Verarbeitungstätigkeit danach ein, wer tatsächlich ihre Zwecke und wesentlichen Mittel festlegt. Für die in Anlage I beschriebene Verarbeitung beabsichtigen die Parteien keine gemeinsame Verantwortlichkeit. Legen sie eine gesonderte Tätigkeit gemeinsam fest, schließen sie vor Beginn dieser Tätigkeit eine Vereinbarung nach Art. 26 DSGVO und machen deren wesentlichen Inhalt zugänglich.

5.4 eDoer handelt nur bei gesonderten Verarbeitungsvorgängen, deren Zwecke und wesentliche Mittel eDoer selbst festlegt, als eigenständige Verantwortliche. Hierzu zählen Konto- und Mandantensicherheit, Betrugs- und Missbrauchsprävention, Systemstabilität und Infrastrukturüberwachung, einwilligungsbasierte Browser-Telemetrie, Einwilligungs- und Vertragsnachweise, Abrechnung von Organisationsabonnements, gesetzlich vorgeschriebene Finanzverwaltung, erforderliche Plattformkommunikation und die Erfüllung rechtlicher Pflichten. Diese Verarbeitungen unterliegen der Datenschutzerklärung von eDoer und dem Verzeichnis der Verarbeitungstätigkeiten der Verantwortlichen und fallen nicht unter diesen AVV.

5.5 Soweit Marktplatzdienste aktiviert sind, handelt eDoer für die von ihr selbst festgelegten Marktplatzzwecke als eigenständige Verantwortliche. Hierzu zählen Plattformprovisionen, Abstimmung, Plattformsicherheit, Betrugs- und Verlustprävention, Plattform-Prüfprotokolle und gesetzlich vorgeschriebene Finanzverwaltung. Die Rollen der Verkäuferin, von Stripe und eDoer bei Onboarding, Bezahlvorgang, Zahlung, Erstattung, Streitfällen und Compliance richten sich je Tätigkeit nach den geltenden Vereinbarungen und der tatsächlichen Zuordnung von Zwecken und wesentlichen Mitteln. Jede Tätigkeit als Auftragsverarbeiterin oder gemeinsam Verantwortliche ist vor ihrer Aktivierung zu dokumentieren.

5.6 Daten zu Einschreibung, Zugang, Fortschritt, Bewertung und Zertifizierung, die nach einem Marktplatzkauf entstehen, werden weiterhin nach dokumentierter Weisung der bzw. des Verantwortlichen gemäß diesem AVV verarbeitet. Eine Referenz auf den Marktplatzkauf und der Berechtigungsstatus dürfen nur zur Gewährung, Aussetzung, Wiederherstellung oder zum Widerruf des entsprechenden Zugangs mit dem Datensatz der lernenden Person verknüpft werden.

5.7 Entsteht eine Benachrichtigung oder Transaktions-E-Mail aus einer von der bzw. dem Verantwortlichen gesteuerten Bildungs- oder Organisationsaktivität, verarbeitet eDoer den Benachrichtigungsinhalt und die Zustellungsdaten nach dokumentierter Weisung. Verarbeitungen durch eDoer für die eigene Kontosicherheit, Abrechnung, Erfüllung rechtlicher Pflichten, Betrugsprävention oder erforderliche Plattformverwaltung fallen nicht unter diesen AVV und sind in der Datenschutzerklärung beschrieben.

5.8 Die bzw. der Verantwortliche ist dafür verantwortlich, eine Rechtsgrundlage und gegebenenfalls eine Voraussetzung nach Art. 9 DSGVO festzulegen, die Informationen nach Art. 13 und 14 DSGVO bereitzustellen, rechtmäßige Aufbewahrungs- und Zugriffsfristen zu bestimmen, Richtigkeit und Verhältnismäßigkeit der Weisungen sicherzustellen, Berechtigungen zu verwalten und jede erforderliche Datenschutz-Folgenabschätzung oder vorherige Konsultation durchzuführen.

5.9 Soweit Nutzer*innen minderjährig sein können, muss die bzw. der Verantwortliche die anwendbaren Genehmigungen, altersgerechte Transparenz, Schutzmaßnahmen und Anforderungen an die Funktionskonfiguration dokumentieren. eDoer bleibt für diese Pflichten bei Verarbeitungen verantwortlich, bei denen eDoer als Verantwortliche handelt.

§ 6 KI-assistierte Funktionen

6.1 Die Plattform kann KI-Dienste nutzen, um Bildungsfunktionen zu unterstützen, einschließlich:

• Lernpfadgenerierung
• Generierung und Unterstützung von Bildungsinhalten
• Erstellung von Prüfungen
• Abruf und Verankerung basierend auf Organisations-Wissensdatenbankdateien
• Personalisierte Unterstützung unter Verwendung von Lernenden-Hintergrunddokumenten, sofern aktiviert

6.3 Die Auftragsverarbeiterin übermittelt Leistungsdaten von Lernenden, Prüfungsergebnisse, Daten zur Fortschrittsverfolgung oder Plattform-Kontokennungen nicht vorsätzlich als gesonderte strukturierte KI-Eingaben. Solche Daten können jedoch in Inhalten, Dateien, Prompts, Anhängen oder Hintergrunddokumenten enthalten sein, die von der bzw. dem Verantwortlichen oder autorisierten Nutzer*innen bewusst zur KI-Verarbeitung übermittelt wurden.

6.4 Die Auftragsverarbeiterin wendet bei der KI-Verarbeitung Maßnahmen zur Datenminimierung an. Besondere Kategorien personenbezogener Daten werden nur gemäß Abschnitt 4 verarbeitet.

6.5 Soweit genehmigte Dokumentenquellen-Integrationen wie Roxtra durch die Plattformverwaltung und die bzw. den Verantwortlichen aktiviert sind, darf die Auftragsverarbeiterin den Integrationsbenutzernamen und die verschlüsselten Zugangsdaten der verbindenden Person verarbeiten, um sich bei der Drittanbieterquelle zu authentifizieren, Dokumente zu durchsuchen und ausgewählte Dateien in eDoer zu importieren.

6.6 Importierte Drittanbieterdateien werden in eDoer gespeichert und danach wie andere auf der Plattform hochgeladene Dateien auf Anweisung des Verantwortlichen verarbeitet.

6.7 Von der bzw. dem Verantwortlichen für Suche und Import bestimmte Quellsysteme Dritter sind keine Unterauftragsverarbeiter*innen der Auftragsverarbeiterin, soweit sie nicht ausdrücklich in Anlage III aufgeführt sind.

6.8 Anlage III beschreibt die wesentlichen Stufen der KI-Verarbeitung einschließlich Vorverarbeitung, OCR, Embeddings, Abruf, Zusammenfassungen, Generierung, Sprach-/Video-Modellaufrufen und Speicherung. Die Verarbeitung kann mit der Quellenindexierung vor einer Chatanfrage beginnen. Die Auftragsverarbeiterin führt eine aktuelle Verarbeitungsübersicht mit den geltenden Verarbeitungsmodalitäten und Garantien und stellt sie der bzw. dem Verantwortlichen zur Verfügung.

6.9 Organisationsspezifische KI-Bereitstellungen erfordern vor Aktivierung eine gesonderte Vereinbarung. Nach Aktivierung erfolgt die gesamte KI-Modellverarbeitung über die vereinbarte Bereitstellung.

6.10 Ein von der Auftragsverarbeiterin beauftragter Anbieter ist ihr Unterauftragsverarbeiter. Ein unmittelbar von der bzw. dem Verantwortlichen beauftragter Anbieter ist deren bzw. dessen eigener Auftragsverarbeiter mit gesondertem Vertrag nach Art. 28; eDoers Anschluss und Datenübermittlung bedürfen dokumentierter Weisungen der bzw. des Verantwortlichen.

§ 7 Unterauftragsverarbeiter*innen

7.1 Die bzw. der Verantwortliche erteilt der Auftragsverarbeiterin die allgemeine Genehmigung, Unterauftragsverarbeiter*innen einzusetzen.

7.2 Unterauftragsverarbeiter*innen können umfassen:

• Cloud-Hosting-Anbieter
• Objektspeicheranbieter
• E-Mail-Dienstanbieter
• Infrastruktur- und Sicherheitsanbieter
• KI-Dienstanbieter
• Automatisierte Datenerfassungsanbieter, die bei Bedarf für genehmigte Quellenimporte und Vorverarbeitungsprozesse verwendet werden (derzeit Decodo für Webseitenextraktion und bestimmte YouTube-Metadaten- und Transkriptanfragen)

7.3 Die Auftragsverarbeiterin verpflichtet sich:

• Schriftliche Vereinbarungen mit Unterauftragsverarbeiter*innen gemäß Art. 28 DSGVO abzuschließen
• Durch schriftlichen Vertrag die gleichen Datenschutzpflichten zu vorschreiben, die Art. 28 Abs. 3 DSGVO vorschreibt, einschließlich dokumentierter Anweisungen, Vertraulichkeit, Sicherheit, Unterstützung, Löschung oder Rückgabe und Prüfungsunterstützung,
• Für die Erfüllung der Datenschutzpflichten durch Unterauftragsverarbeiter*innen vollumfänglich einzustehen

7.4 Für jede inhaltsverarbeitende KI-Stufe verwendet die Auftragsverarbeiterin ausschließlich genehmigte Enterprise-/API-Bedingungen, die das eigene Modelltraining des Anbieters mit übermittelten Inhalten und Ausgaben verbieten. Trainingsfreigaben, inhaltshaltiges Feedback und Preview-/Labs-Dienste ohne diesen Schutz dürfen für Daten der bzw. des Verantwortlichen nicht verwendet werden. Dies bedeutet keine fehlende Aufbewahrung: Genehmigte Sicherheits-/Missbrauchsüberwachung, Dienstzustände und gesetzlich erforderliche Aufzeichnungen unterliegen weiterhin den anbieterspezifischen Grenzen in Anlage III.

7.5 Die Auftragsverarbeiterin informiert die bzw. den Verantwortlichen schriftlich, auch per E-Mail, über jede beabsichtigte Hinzunahme oder Ersetzung von Unterauftragsverarbeiterinnen mindestens drei (3) Arbeitstage, bevor die vorgesehenen Unterauftragsverarbeiterinnen mit der Verarbeitung personenbezogener Daten der bzw. des Verantwortlichen beginnen. Die Mitteilung benennt die Unterauftragsverarbeiter*innen, deren Verarbeitungstätigkeiten und Verarbeitungsorte sowie die geltenden Datenschutzgarantien. Eine längere Ankündigungsfrist ist einzuräumen, soweit dies nach vernünftigem Ermessen erforderlich ist, um eine sachgerechte Prüfung der beabsichtigten Änderung zu ermöglichen.

Die bzw. der Verantwortliche kann innerhalb der mitgeteilten Frist aus angemessenen datenschutzrechtlichen Gründen widersprechen. Geht innerhalb dieser Frist kein Widerspruch ein, darf die Auftragsverarbeiterin die Änderung auf Grundlage der allgemeinen schriftlichen Genehmigung der bzw. des Verantwortlichen umsetzen. Im Falle eines Widerspruchs bemühen sich die Parteien um eine praktikable Lösung. Bis zu einer Lösung darf die Auftragsverarbeiterin die beanstandete Änderung hinsichtlich der personenbezogenen Daten der bzw. des Verantwortlichen nicht umsetzen. Ist keine Lösung verfügbar, kann die bzw. der Verantwortliche den betroffenen Dienst vor Inkrafttreten der Änderung kündigen.

Erfordert ein dringender Sicherheits- oder Verfügbarkeitsbedarf eine frühere Änderung, kann die Auftragsverarbeiterin die gesonderte schriftliche Genehmigung der bzw. des Verantwortlichen einholen, um die Änderung vor Ablauf der Ankündigungsfrist umzusetzen.

7.6 Die Auftragsverarbeiterin stellt von sich aus ein aktuelles Verzeichnis der gesamten Verarbeitungskette einschließlich aller weiteren Unterauftragsstufen bereit: rechtliche Namen, Adressen, Kontaktpersonen (Name, Funktion und Kontaktdaten), Tätigkeiten und Aufgabenverteilung. Die bzw. der Verantwortliche erhält Aktualisierungen und erforderliche Informationen zur Prüfung ausreichender Garantien, Aufbewahrung, Übermittlungen und Anbietergenehmigung. Anbieterlisten unterstützen das Verzeichnis, ersetzen aber nicht die Identifizierung der für die tatsächlichen Dienste eingesetzten Empfänger. Dies entspricht der EDSA-Stellungnahme 22/2024.

§ 8 Internationale Datenübermittlungen

8.1 Bei Übermittlungen personenbezogener Daten außerhalb des EWR stellt die Auftragsverarbeiterin angemessene Garantien gemäß Kapitel V DSGVO sicher.

8.2 Die Erstverarbeitung durch Unterauftragsverarbeiter*innen im EWR gilt nicht als Übermittlung in ein Drittland. Bei einer Weiterübermittlung personenbezogener Daten außerhalb des EWR können die anwendbaren Garantien die Standardvertragsklauseln der Europäischen Kommission und – soweit verfügbar und anwendbar – das EU-US Data Privacy Framework umfassen.

• Standardvertragsklauseln gelten, wenn sie für eine Weiterübermittlung in ein Drittland erforderlich sind.
• Das EU-US Data Privacy Framework wird verwendet, sofern verfügbar und rechtlich anwendbar.

Weitere Details finden sich in Anlage III.

8.3 Die Auftragsverarbeiterin führt eine Transfer Impact Assessment durch und dokumentiert sie.

§ 9 Sicherheitsmaßnahmen

Die Auftragsverarbeiterin implementiert geeignete technische und organisatorische Maßnahmen, einschließlich:

• Verschlüsselte Übertragung (TLS)
• Rollenbasierte Zugriffskontrolle
• Datenisolation auf Organisationsebene durch Architektur
• Protokollierung des administrativen Zugriffs
• Verschlüsselung von gespeicherten Drittanbieter-Integrationsanmeldeinformationen
• Incident-Response-Verfahren

Eine Zusammenfassung der technischen und organisatorischen Maßnahmen ist als Anlage II beigefügt.

§ 10 Betroffenenrechte

• Die Auftragsverarbeiterin unterstützt den Verantwortlichen bei der Beantwortung von Anfragen gemäß Art. 15–22 DSGVO.
• Der Verantwortliche bleibt verantwortlich für die Beantwortung solcher Anfragen.

§ 11 Datenschutzverletzung

Die Auftragsverarbeiterin benachrichtigt die Verantwortliche bzw. den Verantwortlichen unverzüglich, nachdem sie Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt hat, die im Rahmen dieses AVV verarbeitete Daten betrifft. Sie stellt die für Art. 33 und 34 DSGVO verfügbaren Informationen bereit, einschließlich Art der Verletzung, betroffener Daten und Kategorien betroffener Personen, ungefähren Umfangs, soweit bekannt, wahrscheinlicher Folgen, Abhilfemaßnahmen und einer Kontaktstelle. Informationen können während der laufenden Untersuchung schrittweise bereitgestellt werden. Die Auftragsverarbeiterin dokumentiert den Vorfall, sichert relevante Beweismittel, arbeitet mit der bzw. dem Verantwortlichen zusammen und unterstützt bei den Pflichten nach Art. 32–36 DSGVO, einschließlich Datenschutz-Folgenabschätzungen und vorheriger Konsultationen.

§ 12 Löschung und Rückgabe von Daten

Bei Beendigung des Dienstleistungsvertrages hat die Auftragsverarbeiterin:

• Nach Wahl der bzw. des Verantwortlichen personenbezogene Daten zu löschen oder zurückzugeben und verbleibende Kopien zu löschen, soweit geltendes Recht keine weitere Speicherung vorschreibt
• Daten nur zu speichern, soweit dies gesetzlich vorgeschrieben ist

Personenbezogene Daten, die in Sicherungskopien verbleiben, sind von der gewöhnlichen Nutzung zu isolieren, zu schützen und innerhalb des dokumentierten Lebenszyklus der Sicherungskopien zu löschen. Ist eine Löschung vorübergehend unmöglich, wendet die Auftragsverarbeiterin diesen AVV weiterhin an und verarbeitet die Daten ausschließlich zur Wiederherstellung, Sicherheit oder Erfüllung einer dokumentierten rechtlichen Anforderung.

12.1 Soweit die bzw. der Verantwortliche keine rechtmäßige dokumentierte Weisung zur früheren Löschung erteilt und geltendes Recht keine längere Speicherung vorschreibt, wendet die Auftragsverarbeiterin auf die im Rahmen dieses AVV verarbeiteten personenbezogenen Daten folgenden technischen Standard-Aufbewahrungsplan an:

• Soft-gelöschte KI-Konversationen und deren zugehörige Nachrichten, Generierungsauftragsaufzeichnungen und Nutzungsaufzeichnungen werden nach einer Wiederherstellungsfrist von bis zu 30 Tagen dauerhaft entfernt.
• Abgeschlossene KI-Generierungsaufträge und Token-Nutzungsdatensätze je Aufruf werden 90 Tage lang aufbewahrt.
• Temporäre generierte Bildausgaben verfallen nach 1 Stunde und werden mit ihrem temporären Auftragsdatensatz durch geplante Bereinigung entfernt.
• Abgeleitete KI-Indizes, rohe OCR-/Extraktionsartefakte, normalisierte Passagen, Zusammenfassungs-Caches und notwendige Quellzuordnungen werden so lange aufbewahrt, wie die zugrunde liegende Quelle existiert. Die Löschung der Quelle löst die Entfernung aus dem Abrufsystem und der zugehörigen Artefakte/Caches aus; fehlgeschlagene oder verzögerte Entfernungen werden behoben, sodass die Löschung innerhalb von 30 Tagen abgeschlossen ist. Abgeschlossene Löschauftrags-Metadaten werden für 90 Tage aufbewahrt.
• Rotierte KI-Dienstprotokolldateien werden nicht länger als 14 Tage aufbewahrt und können durch größenbasierte Rotation früher gelöscht werden. Andere betriebliche Protokolle der Auftragsverarbeiterin, die personenbezogene Daten des Verantwortlichen enthalten, werden nicht länger als 90 Tage aufbewahrt, es sei denn, es gilt ein kürzerer Betriebszeitraum.
• Abgelaufene Verifizierungs-Tokens werden 30 Tage nach Ablauf entfernt; gelesene oder angesehene Benachrichtigungen nach 90 Tagen; ungelesene und nicht angesehene Benachrichtigungen nach 180 Tagen; Zustellungsdatensätze für Benachrichtigungs-E-Mails mit abschließendem Zustellungsstatus nach 180 Tagen; Einwilligungsprüfprotokolle und das minimale Prüfprotokoll abgeschlossener Nutzer*innen-Löschungen nach 730 Tagen.

12.2 Der Datenbank-Aufbewahrungsprozess läuft einmal täglich und bei jedem Start des Datenschutzdienstes. Die Bereinigung des KI-Dienstes läuft in kürzeren Intervallen, um Ablaufzeiten temporärer Bilder und KI-Datensätze durchzusetzen. Diese Zeitpläne verzögern keine wirksame Löschanweisung einer betroffenen Person oder der bzw. des Verantwortlichen, soweit eine frühere Löschung erforderlich und technisch möglich ist.

12.3 Verschlüsselte Datenbank-Sicherungskopien werden täglich erstellt und rollierend sieben Tage lang aufbewahrt. Gelöschte Daten werden nicht für die gewöhnliche Nutzung wiederhergestellt. Bevor eine wiederhergestellte Sicherungskopie wieder im Produktivbetrieb eingesetzt wird, werden die geltenden Löschprotokolle erneut angewendet. Eine dokumentierte rechtliche Sperre oder gesetzliche Aufbewahrungspflicht kann die Löschung nur für die betroffenen Daten und den erforderlichen Zeitraum aussetzen; der Zugriff bleibt entsprechend eingeschränkt.

§ 13 Prüfrechte

13.1 Die Auftragsverarbeiterin stellt Informationen zur Verfügung, die notwendig sind, um die Einhaltung von Art. 28 DSGVO und diesem AVV nachzuweisen.

13.2 Die Auftragsverarbeiterin ermöglicht und unterstützt Audits einschließlich Inspektionen, soweit nach Art. 28 Abs. 3 lit. h DSGVO erforderlich, gegebenenfalls nach angemessener Ankündigung und mit Maßnahmen zum Schutz von Vertraulichkeit, Sicherheit und Daten anderer Kunden.

13.3 Aktuelle unabhängige Prüfberichte oder Zertifizierungen können zur Erfüllung angemessener Prüfanforderungen herangezogen werden, sofern sie ausreichende relevante Zusicherung bieten, ohne die Rechte des Verantwortlichen einzuschränken, wenn eine zusätzliche Überprüfung erforderlich ist.

§ 14 Haftung

Die Haftung unterliegt dem Dienstleistungsvertrag und Art. 82 DSGVO.

Anlage I – Verarbeitungsbeschreibung

Diese Anlage ist Bestandteil des Auftragsverarbeitungsvertrages zwischen den Parteien.

1. Kategorien personenbezogener Daten

Die Verarbeitung kann die folgenden Kategorien umfassen:

1.1 Identifikations- und Kontodaten

• Name
• E-Mail-Adresse
• Nutzer*innenrolle
• Organisatorische Zugehörigkeit
• Weitere von der bzw. dem Verantwortlichen festgelegte Profil- und Kontodaten, einschließlich benutzerdefinierter Feldwerte

1.2 Bildungsdaten

• Einschreibungsdaten
• Lernfortschritt
• Prüfungsergebnisse
• Übermittelte Aufgaben
• Abschlussstatus

1.3 Zertifizierungsdaten

• Name
• Note oder Abschlussstatus
• Ausstellungsdatum

1.4 Kommunikationsdaten

• Themen und Nachrichten in Lernpfad-, ausschließlich für Kurator*innen bestimmten und direkten Konversationsbereichen

• Antworten, Erwähnungen, Reaktionen, Anhänge, Thementeilnehmer und Umfang sowie Lesezustands-Zeitstempel

• Berichte, Identität des Meldenden, Grund des Berichts, gewählter geteilter Thread, Status, Moderationsmaßnahme und Akteur sowie zugehörige Zeitstempel

• Gibt eine meldende Person einen Thread zur Überprüfung frei, kann die betreffende Diskussion einem dafür autorisierten Moderator bzw. einer dafür autorisierten Moderatorin zur Prüfung der ausstehenden Meldung zugänglich werden

1.5 Dateien und Referenzmaterialien

• Hochgeladene Dateien
• Organisations-Wissensdatenbankdateien und zugehörige Referenzmaterialien, sofern aktiviert
• Lernenden-Hintergrunddokumente, sofern aktiviert
• Importierte Dateien aus genehmigten Drittanbieterdokumentenquellen, sofern aktiviert

1.6 Optionale Integrationsdaten

• Benutzername bei der Dokumentenquelle des Drittanbieters für die jeweilige Person
• Verschlüsseltes Anmeldeinformationenmaterial, das zur Authentifizierung und zum Import von Dateien erforderlich ist
• Import-Metadaten und Protokolle
• Externe Quell-URLs (einschließlich Pfad-/Abfrageinformationen), YouTube-Video- oder Playlist-Kennungen, Sprachpräferenzen, Abrufparameter und abgerufene Webseiteninhalte oder öffentliche Metadaten/Transkripte, wenn Decodo-assistierter Import oder Vorverarbeitung verwendet wird

1.7 Technische Daten

• Zeitstempel
• Protokollinformationen, die für den Systembetrieb notwendig sind
• IP-Adresse (sofern technisch erforderlich)

Besondere Kategorien personenbezogener Daten sind für die reguläre Bildungsnutzung nicht erforderlich, können jedoch in von Nutzer*innen übermittelten oder importierten Inhalten enthalten sein. Soweit Funktionen zur Patientenedukation aktiviert sind, dürfen Gesundheitsdaten wie in Abschnitt 1.10 dieser Anlage beschrieben gezielt verarbeitet werden. Die bzw. der Verantwortliche muss vor Genehmigung einer solchen Verarbeitung die anwendbare Voraussetzung nach Art. 9 DSGVO und die dokumentierten Weisungen festlegen. Die Auftragsverarbeiterin wendet rollenbasierte Zugriffskontrollen, Mandantentrennung, verschlüsselte Übertragung, Support-Zugriffskontrollen, Datenminimierung, Löschweisungen und die weiteren Maßnahmen aus Anlage II an.

1.8 Marktplatz-abgeleitete Lernzugangsdaten (sofern aktiviert)

• Kennung der lernenden Person

• Gekaufter Lernpfad und Zugangs-Berechtigungsstatus

• Kaufreferenz und Erfüllungs-, Aussetzungs- oder Widerrufs-Zeitstempel

• Es werden nicht vorsätzlich Zahlungskarten-, Bankkonten- oder Verkäufer-Verifizierungsdokumente im Lernenden-Datensatz gespeichert

1.9 Benachrichtigungs- und E-Mail-Lieferdaten

• Empfänger- und Organisationskennungen; Ereignistyp und -kategorie; aus der Aktivität abgeleitete Nutzlast und Kontext; Ziel sowie Zeitstempel für Erstellung, Aktualisierung, Lesen, Ansehen und Löschung
• Benachrichtigungs-E-Mail-Kategoriepräferenzen und ob optionale E-Mail aktiviert ist
• Geplanter Zustellungszeitpunkt, Zustellungsstatus und Grund für das Überspringen, Anzahl der Versuche, Nachrichtenkennung des Anbieters, Abstimmungsschlüssel, Zeitstempel für Annahme, Versand, Überspringen und Fehlschlag sowie Fehlerinformationen
• E-Mail-Absender und -Empfänger, Betreff, Text und HTML-Body und Anhänge, sofern zutreffend

1.10 Gesundheitsdaten und Daten zur Patientenedukation — Sofern aktiviert

Für die in Abschnitt 2.3 beschriebenen Bildungszwecke kann die Verarbeitung Folgendes umfassen:

• Medizinische und gesundheitsbezogene Dokumente mit Angaben zur Krankengeschichte, dokumentierten Diagnosen, Symptomen, Labor- und Testergebnissen, Medikation, Verschreibungen oder Behandlung
• Anweisungen von Gesundheitsdienstleistern und Materialien zur Patientenedukation, die sich auf identifizierbare Personen beziehen
• Gesundheitsinformationen in übermittelten Nachrichten, Anhängen, Spracheingaben, Prompts und KI-Konversationen
• KI-generierte Zusammenfassungen, Erläuterungen, Antworten und abgeleitete Abrufdaten, die Informationen über die Gesundheit einer Person enthalten oder erkennen lassen
• Einschreibungen, Antworten auf Fragebögen und Lernaktivitäten, soweit sie Informationen über die Gesundheit einer Person erkennen lassen

Die Verarbeitung unterliegt Abschnitt 4, den dokumentierten Weisungen der bzw. des Verantwortlichen und den Schutzmaßnahmen aus Anlage II. Diese Datenkategorien erweitern die Zweckbestimmung der Plattform nicht auf die in Abschnitt 2.3 ausgeschlossenen klinischen Funktionen.

2. Anweisungseinschränkung

Die Auftragsverarbeiterin verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung der bzw. des Verantwortlichen und bestimmt weder Zwecke noch wesentliche Mittel der Verarbeitung gemäß dieser Anlage.

Anlage II – Technische und organisatorische Maßnahmen

Diese Anlage beschreibt die von der Auftragsverarbeiterin umgesetzten technischen und organisatorischen Maßnahmen zur Gewährleistung eines angemessenen Sicherheitsniveaus.

1. Organisatorische Maßnahmen

1.1 Governance und Verantwortung

• Klare interne Zuweisung von Datenschutzverantwortlichkeiten
• Management-Aufsicht der Datenschutzkonformität
• Dokumentierte Datenschutz- und Sicherheitsrichtlinien
• Zugang zu Produktionssystemen nur für autorisiertes Personal beschränkt

1.2 Vertraulichkeitsverpflichtungen

• Alle Mitarbeiter*innen unterliegen Vertraulichkeitsvereinbarungen
• Zugang zu personenbezogenen Daten auf Grundlage des Bedarfs eingeschränkt
• Durchgesetztes rollenbasiertes Zugriffsmanagement

1.3 Schulung und Sensibilisierung

• Mitarbeiter*innen, die an Entwicklung und Betrieb beteiligt sind, erhalten Schulungen zu Datenschutz und Sicherheit
• Entwickler*innen werden über Datenminimierungsprinzipien aufgeklärt, insbesondere für KI-Integrationen und Drittanbieterdokumentimporte

2. Zugriffskontrolle

2.1 Logische Zugriffskontrolle

• Rollenbasierte Zugriffskontrolle (RBAC)
• Authentifizierung für alle administrativen Aktionen erforderlich
• Starke Passwortanforderungen
• Passwort-Hashing unter Verwendung branchenüblicher Algorithmen (z.B. bcrypt/argon2)

2.2 Administrativer Zugriff

• Administrativer Zugriff ist auf autorisiertes Personal beschränkt
• Super-Admin-Zugriff nur für:
  • Technische Fehlerbehebung
  • Sicherheitsuntersuchungen
  • Dokumentierte Supportanfragen
• Administrative Aktionen werden protokolliert
• Zugriff unterliegt internen Genehmigungsverfahren, sofern anwendbar

3. Infrastruktursicherheit

3.1 Hosting-Umgebung

• Anwendungs-, Speicher- und Datenbankserver werden auf Infrastruktur bereitgestellt von Hetzner in EU-Rechenzentrumsstandorten gehostet
• Firewalls beschränken unnötige eingehende Verbindungen
• Datenbankserver sind nicht öffentlich zugänglich

3.2 Netzwerksicherheit

• Jegliche externe Kommunikation wird über TLS (HTTPS) verschlüsselt
• Anwendungsverkehr wird über das ausschließlich in der EU betriebene Reverse Proxy/CDN von bunny.net geleitet; Traffic-Filterung und zugehörige CDN-Verarbeitung erfolgen ausschließlich innerhalb der EU
• DDoS-Minderung und Verkehrsfilterung aktiviert
• Sichere DNS-Konfiguration

3.3 Datenbank-Sicherheit

• Datenbankzugriff auf die Anwendungsschicht beschränkt
• Keine öffentlichen Datenbank-Endpunkte
• Zugangsdaten werden sicher mithilfe von Umgebungsvariablen gespeichert
• Regelmäßige Updates und Patches der Systemsoftware

4. Datenisolation (Multi-Tenant-Architektur)

• Strikte Datenabtrennung auf Organisationsebene auf Anwendungsebene durchgesetzt
• Autorisierungsprüfungen an allen Datenzugriffsendpunkten implementiert
• Kein organisationsübergreifender Datenzugriff ist gestattet, außer für die in diesem AVV beschriebenen dokumentierten, autorisierten und zeitlich begrenzten Support- oder Sicherheitszugriffe
• KI-Anfragen sind mandantengetrennt (keine Vermischung von Daten unterschiedlicher Mandanten)

5. Verschlüsselung

• TLS 1.2+ für jeglichen externen Verkehr durchgesetzt
• Verschlüsselte API-Kommunikation mit genehmigten Unterauftragsverarbeitern (einschließlich OpenAI, Google Cloud, Mistral AI und Amazon Simple Email Service (Amazon SES))
• Drittanbieter-Integrationsanmeldeinformationen in verschlüsselter Form gespeichert
• Signierte oder zeitlich begrenzte Dateilinks für nicht-öffentlichen Dateizugriff, sofern anwendbar

6. Backup und Wiederherstellung

• Tägliche automatisierte Datenbank-Backups

• Rollier-Backup-Aufbewahrung von 7 Tagen

• Sichere Speicherung von Backup-Dateien

• Backup-Zugriff auf autorisiertes Personal beschränkt

• Dokumentierte Wiederherstellungs- und Kontinuitätsprozeduren

• Periodische Validierung, dass für die Wiederherstellung erforderliche Backups wiederhergestellt werden können

• Geschützte Löschung von Backups nach dem 7-tägigen Lebenszyklus

• Neuanwendung der geltenden Löschprotokolle, bevor ein wiederhergestelltes Backup Produktionsverkehr bedient

7. Protokollierung und Überwachung

• Anwendungsfehlerprotokollierung aktiviert

• Sicherheitsrelevante Ereignisse protokolliert

• Administrativen Zugriff protokolliert

• Rotierte KI-Dienstprotokolle werden nicht länger als 14 Tage aufbewahrt, vorbehaltlich früherer größenbasierter Rotation

• Andere betriebliche Protokolle der Auftragsverarbeiterin, die personenbezogene Daten des Verantwortlichen enthalten, werden nicht länger als 90 Tage aufbewahrt, es sei denn, es gilt ein kürzerer Zeitraum

• Protokolle gegen unbefugte Änderung geschützt

• Dokumentierte Vorfallklassifizierung, Eskalation, Eindämmung, Beweissicherung und Nachbereitung des Vorfalls

• Risikobasierte Überprüfung und Prüfung der Wirksamkeit technischer und organisatorischer Maßnahmen

• Periodische Überprüfung des Zugriffs, Schwachstellenbehebung und Sicherheits-Update-Prozesse

8. Entwicklungs- und Testkontrollen

• Entwicklungs- und Produktionsumgebungen logisch getrennt
• KI-Analytik in Entwicklungsumgebungen deaktiviert
• Testdaten enthalten nicht vorsätzlich personenbezogene Produktionsdaten
• Bereitstellungsprozesse kontrolliert

9. Datenminimierung bei KI-Verarbeitung

• Die KI-Verarbeitung ist auf folgende beschränkt:
  • Bildungsinhalte
  • Lernpfad-Metadaten
  • Prüfungs-Texte
  • Freiwillig übermittelte freie Text-Anfragen
  • Organisations-Wissensdatenbankdateien, Hintergrunddokumente von Lernenden sowie von Nutzer*innen übermittelte Dateien oder Anhänge, deren KI-Verarbeitung autorisiert ist
  • Soweit Funktionen zur Patientenedukation aktiviert sind, Gesundheitsinformationen, die zur Bearbeitung der konkreten Anfrage der Nutzerin bzw. des Nutzers erforderlich sind
• Keine vorsätzliche Übermittlung als gesonderte strukturierte KI-Eingaben, vorbehaltlich Abschnitt 6.3, von:
  • Lernenden-Leistungsdaten
  • Prüfungsergebnisse
  • Konten-Identifikatoren
• Besondere Kategorien personenbezogener Daten sind für reguläre KI-Bildungsfunktionen nicht erforderlich. Soweit Funktionen zur Patientenedukation von der bzw. dem Verantwortlichen aktiviert sind, dürfen Gesundheitsdaten nur an autorisierte KI-Unterauftragsverarbeiter*innen übermittelt werden, soweit dies für die konkrete Anfrage der Nutzerin bzw. des Nutzers erforderlich ist, auf dokumentierte Weisung der bzw. des Verantwortlichen und unter den Voraussetzungen aus Abschnitt 4.
• Genehmigte KI-Bedingungen verbieten Anbieter-Modelltraining mit übermittelten Inhalten und Ausgaben gemäß Abschnitt 7.4.
• Einzelne KI-API-Aufrufe können vollständige Dokumente, Dokument-/Bildbytes, abrufbare Quell-URLs, Passagen, Suchanfragen, Audio oder autorisierten Kontext übermitteln. Indexierungs-, Extraktions- und Zusammenfassungsaufträge können asynchron laufen und abgeleitete Artefakte speichern; KI-Verarbeitung ist nicht auf interaktive Chat-Anfrage-Antwort-Aufrufe beschränkt.

10. Physische Sicherheit

• Die physische Sicherheit wird von den Infrastrukturanbietern gemanagt, die tatsächlich für die Dienste genutzt werden, einschließlich Hetzner, BunnyWay d.o.o. (bunny.net) und den AWS-Einheiten, die Amazon SES in Europa unterstützen (Frankfurt), wie im aktuellen Unterauftragsverzeichnis aufgeführt.
• Die Anbieter unterhalten branchenübliche physische Zugangskontrollen

11. Regelmäßige Überprüfung

• Technische und organisatorische Maßnahmen werden periodisch überprüft
• Angepasst basierend auf:
  • Risikobewertung
  • Infrastrukturänderungen
  • Regulatorische Entwicklungen

Anlage III – Liste der Unterauftragsverarbeiter*innen

A. KI-Stufen und geltende Anbieterprofile

Für Organisationsinhalte bleibt die Organisation Verantwortliche und die Education4All GmbH Auftragsverarbeiterin. Die nachstehend von eDoer beauftragten Empfänger sind Unterauftragsverarbeiter nach Art. 28; kundenseitig beauftragte Anbieter behandelt Abschnitt 6.10. Es werden nur die für die aktivierte Funktion erforderlichen Stufen eingesetzt. Für jede Zeile gelten die Orts-, Aufbewahrungs-, Trainings- und Übermittlungsbedingungen der genannten Profile und die gemäß Abschnitt 6.8 geführte Verarbeitungsübersicht.

Die Auftragsverarbeiterin verwendet Inhalte der bzw. des Verantwortlichen nicht für unabhängiges Modelltraining. Hosting- und technische Dienstaufzeichnungen sind auf Bereitstellung, Sicherung und Verwaltung der genehmigten Dienste begrenzt. Anbieter-ZDR entfernt keine von der Auftragsverarbeiterin gespeicherten Quellen oder Ausgaben. Die nachstehende Inhaltsaufbewahrung bei Anbietern ist von Konto-, Abrechnungs-, Sicherheits- und gesetzlich erforderlichen Aufzeichnungen zu unterscheiden. Das Verarbeitungs-/Übermittlungsregister dokumentiert deren Zwecke, jeweilige Rolle, Fristen, Zugriffsorte und weitere Empfänger; eine EU-Inhaltsresidenzzusage allein erfasst sie nicht.

B. Von eDoer beauftragte Anbieterprofile

Die nachstehenden Profile sind Bestandteil der Genehmigung durch die Verantwortliche bzw. den Verantwortlichen nach Abschnitt 7. Mit den aufgeführten Anbietern bestehen Auftragsverarbeitungsverträge. Die gemäß Abschnitt 6.8 geführte Verarbeitungsübersicht dokumentiert die geltenden Dienstkonfigurationen, Aufbewahrungsfristen, Löschverfahren und Ausnahmen. Die Auftragsverarbeiterin stellt sicher, dass die Aufbewahrung auf die in dieser Übersicht und den geltenden Auftragsverarbeitungsbedingungen festgelegten Zwecke und Fristen beschränkt bleibt. Eine gesetzlich vorgeschriebene Aufbewahrung ist auf die gesetzlich erforderlichen Daten und die vorgeschriebene Dauer zu begrenzen. Die Profile enthalten folgende Angaben:

1. Adresse
2. Dienstleistung
3. Standort
4. Übermittlungsmechanismus
5. Aufbewahrung und Löschung für KI-Verarbeitung, soweit einschlägig
6. Vertragsrolle und Trainingsbeschränkung für KI-Verarbeitung, soweit einschlägig

Bei jedem Profil erfordert die primäre EU-/EWR-Verarbeitung selbst keinen Übermittlungsmechanismus nach Kapitel V. Für jeden Drittlandzugriff und jede Weiterübermittlung muss die Auftragsverarbeiterin den tatsächlichen Empfänger prüfen und einen anwendbaren Angemessenheitsbeschluss, eine gültige DPF-Teilnahme für den betreffenden Empfänger/Dienst oder das anwendbare Modul der SCC von 2021 nutzen, erforderlichenfalls mit Übermittlungsprüfung und ergänzenden Maßnahmen. Ein EU-Vertragssitz allein belegt keinen Verarbeitungsort. Das Verzeichnis nach Abschnitt 7.6 enthält Kontaktpersonen und die Identität weiterer Unterauftragsverarbeiter; die Auftragsverarbeiterin hält es aktuell und stellt der bzw. dem Verantwortlichen Aktualisierungen von sich aus bereit.

OpenAI Ireland Ltd.

1. 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland
2. Dokument-/Suchanfragen-Embeddings, RAG-Zusammenfassungen und Synthese, Chat/Planung, Text-/Bildgenerierung und visuelle Prüfung, Transkription, Sprachausgabe/Videonarration und aktivierte anbietereigene Suche oder Abruffunktionen
3. Die Auftragsverarbeiterin hat die maßgeblichen Verarbeitungs-, Speicher-, Support- und weiteren Zugriffsorte im Verzeichnis nach Abschnitt 7.6 auszuweisen. Jede Verarbeitung mit Drittlandzugriffen oder -übermittlungen unterliegt den Garantien nach Ziffer 4 und Abschnitt 8.
4. Für Zugriffe/Weiterübermittlungen außerhalb des EWR: die vorstehend beschriebene empfängerbezogene Garantie nach den geltenden OpenAI-Auftragsverarbeitungsbedingungen
5. Zur API-Missbrauchsüberwachung verarbeitete Inhalte können bis zu dreißig (30) Tage aufbewahrt werden, vorbehaltlich anwendbarer gesetzlicher und sicherheitsbezogener Ausnahmen. Für gespeicherte Responses-Anwendungszustände gilt standardmäßig eine Aufbewahrungsfrist von dreißig (30) Tagen. Dateien und gehostete Abrufzustände können bis zur Einleitung ihrer Löschung gespeichert bleiben; anschließend gelten die jeweiligen dienstspezifischen Löschfristen. Die Auftragsverarbeiterin hat die genehmigten Endpunkte und Modelle, Speichereinstellungen, Cachefristen, Löschverfahren sowie jede zusätzliche Aufbewahrung aufgrund der Sicherheitsprüfung von Bildern oder Dateien oder aktivierter Werkzeuge in der Verarbeitungsübersicht zu dokumentieren. Siehe OpenAI-Datenkontrollen.
6. Von eDoer beauftragter Unterauftragsverarbeiter für Inhalte der bzw. des Verantwortlichen unter den geltenden Art.-28-Bedingungen; kein Anbieter-Modelltraining mit Eingaben/Ausgaben gemäß Abschnitt 7.4. Gesonderte Konto-/Sicherheitsverarbeitung ist tätigkeitsbezogen im Register zu erfassen.

Mistral AI

1. 15 rue des Halles, 75001 Paris, Frankreich; Dienstkontakt: support@mistral.ai
2. Dokument-OCR, Struktur-/Inhaltsextraktion und generierte Bildbeschreibungen durch eDoer RAG; erhält je nach Format Dokument-/Bildbytes oder eine abrufbare Quell-URL einschließlich darin enthaltener personenbezogener Daten
3. EU-Datenresidenz aktiviert, mit EU-OCR-Endpunkt
4. Kein Kapitel-V-Transfer für die EU-Verarbeitung selbst; für Support/Zugriff oder Weiterübermittlung außerhalb des EWR gilt die vorstehend beschriebene empfängerbezogene Garantie unter Mistrals AVV
5. ZDR für die zustandslose OCR-API aktiviert: Anfrage-/Antwortinhalte werden nach Verarbeitung gemäß den Bedingungen des unterstützten Endpunkts nicht aufbewahrt. Dies bedeutet weder fehlende Betriebs-/Abrechnungs-/Pflichtaufzeichnungen noch ZDR für zustandsbehaftete Dateiuploads. Der aktuelle OCR-Weg sendet Inline-Daten oder Quell-URLs und erstellt kein Mistral-Files-API-Objekt. eDoer speichert rohe/normalisierte Extraktionsartefakte nach Abschnitt 12. Siehe Mistral-ZDR-Abdeckung.
6. Von eDoer beauftragter Unterauftragsverarbeiter für Quellinhalte unter Mistrals AVV. Trainingswiderspruch/Bedingungen ohne Training müssen unabhängig von ZDR aufrechterhalten werden; kein inhaltshaltiges Feedback und keine ungeschützten Labs-/Preview-Modelle gemäß Abschnitt 7.4.

Google Cloud (Google LLC / Google Ireland Ltd.)

1. Gordon House, Barrow Street, Dublin 4, Irland
2. Konfiguriertes Google Cloud/Gemini für Chat/Planung, Text-/Bildgenerierung, visuelle Prüfung und aktivierte anbietereigene Grounding-/Suchfunktionen einschließlich genehmigter Ausweichaufrufe
3. EU-Datenresidenz aktiviert für die konfigurierten produktiven KI-Dienste; Konto-/Systemdaten, Support und weitere Zugriffe sind gesondert zu erfassen
4. Für Zugriffe/Weiterübermittlungen außerhalb des EWR: die vorstehend beschriebene empfängerbezogene Garantie nach den geltenden Google-Cloud-Auftragsverarbeitungsbedingungen; das Register benennt die genaue Vertragseinheit und weiteren Empfänger
5. Die Aufbewahrung von Missbrauchsaufzeichnungen und Dienstzuständen richtet sich nach den geltenden Google-Cloud-Auftragsverarbeitungsbedingungen und dienstspezifischen Bedingungen. Implizite Arbeitsspeicher-Caches und dauerhafte Caches werden spätestens vierundzwanzig (24) Stunden nach ihrer Speicherung gelöscht. Bei aktiviertem Google Search Grounding können die betreffenden Protokolle von Suchanfragen und Kontextinformationen nach den veröffentlichten Dienstbedingungen bis zu drei (3) Tage aufbewahrt werden. Vor Aktivierung einer Funktion hat die Auftragsverarbeiterin die jeweils geltenden Aufbewahrungsfristen, Cachekontrollen, gespeicherten Inhalte, Löschverfahren und etwaigen Ausnahmen in der Verarbeitungsübersicht zu dokumentieren. Siehe Google-Cloud-Aufbewahrung und Missbrauchsüberwachung.
6. Von eDoer beauftragter Unterauftragsverarbeiter für Inhalte der bzw. des Verantwortlichen unter Google-Cloud-Auftragsverarbeitungsbedingungen; kein Modelltraining ohne Kundenerlaubnis, die eDoer für diese Abläufe nicht erteilt. Gesonderte Konto-/Sicherheitsverarbeitung ist tätigkeitsbezogen im Register zu erfassen.

Hetzner Online GmbH / Hetzner Finland Oy

1. Industriestr. 25; 91710 Gunzenhausen; Deutschland

2. Anwendungs-, Objektspeicher- und Datenbankhosting einschließlich eDoer AI/RAG, selbst betriebenem Qdrant, Extraktionsartefakten, Zusammenfassungs-Caches und lokaler Medien-/Videoverarbeitung

3. Deutschland / Finnland (EU)

4. Nicht anwendbar

5. eDoers Quellen, rohe/normalisierte Extraktionen, Vektoren, Zuordnungen, Zusammenfassungen und Ausgaben folgen Abschnitt 12 und dem Quellenlebenszyklus; Sicherheits-/Dienstmetadaten des Anbieters dem Hostingvertrag und genehmigten Register.

6. Von eDoer beauftragter Infrastruktur-Unterauftragsverarbeiter nach Art. 28; Hosting erlaubt kein unabhängiges KI-Modelltraining mit Inhalten der bzw. des Verantwortlichen.

BunnyWay d.o.o. (bunny.net)

1. Dunajska cesta 165, 1000 Ljubljana, Slowenien (EU); Kontakt: support@bunny.net
2. Reverse Proxy, Content Delivery Network (CDN), TLS-Terminierung, Traffic-Filterung und DDoS-Schutz; Verarbeitung von IP-Adressen, Anfrage-/Verbindungsmetadaten und über den Dienst geleiteten Inhalten, soweit für Auslieferung und Sicherheit erforderlich
3. Ausschließlich Europäische Union für das von eDoer konfigurierte CDN einschließlich Traffic-Filterung und zugehöriger Verarbeitung
4. Für diese ausschließlich in der EU erfolgende CDN-Verarbeitung nicht anwendbar; Drittlandübermittlungen sind nicht Teil dieses Verarbeitungswegs. Jede spätere Änderung mit Drittlandzugriffen oder Weiterübermittlungen bedarf der vorherigen Prüfung nach Abschnitten 7 und 8.
5. In der Bunny-CDN-Konfiguration von eDoer werden ausschließlich CDN-Anfrageprotokolle mit anonymisierten IP-Adressen für drei (3) Tage aufbewahrt. Es werden keine dauerhaften Protokolle gespeichert.
6. Von eDoer beauftragter Infrastruktur-Unterauftragsverarbeiter nach Art. 28 auf Grundlage des Auftragsverarbeitungsvertrags von bunny.net; keine Erlaubnis für unabhängiges Modelltraining mit Inhalten der bzw. des Verantwortlichen. Informationen zum AVV (Vertrag im bunny.net-Kontobereich verfügbar); Unterauftragsverzeichnis des Anbieters; Datenschutzhinweise. Tatsächlich eingesetzte weitere Empfänger unterliegen weiterhin dem Register nach Abschnitt 7.6.

Amazon Web Services EMEA SARL

1. 38 Avenue John F. Kennedy, L-1855 Luxemburg; Infrastruktur-Tochtergesellschaften und weitere Unterauftragsverarbeiter*innen sind im Verzeichnis nach Abschnitt 7.6 aufgeführt.
2. Transaktionale und Benachrichtigungs-E-Mail-Zustellung über Amazon Simple Email Service (Amazon SES)
3. Europa (Frankfurt), Deutschland (eu-central-1)
4. Kein Transfer nach Kapitel V für die Verarbeitung in Frankfurt selbst. Zugriffe oder Weiterübermittlungen außerhalb des EWR unterliegen dem akzeptierten AWS Data Processing Addendum, einschließlich der darin enthaltenen Standardvertragsklauseln, soweit anwendbar.

Decodo (UAB “Data troops”)

1. Švitrigailos str. 34, Vilnius, Litauen
2. Web-Scraping-API bei Bedarf für Webseitenextraktion (einschließlich Webseiten-Ausweichpfad) und bestimmte YouTube-Playlist-, Video-Metadaten- und Transkriptabrufe; erhält angeforderte URLs einschließlich Pfad-/Abfrageinformationen, erforderliche Abrufparameter und abgerufene Quellinhalte
3. Litauen (EU); die Anfragenweiterleitung kann je nach Ziel und Dienstkonfiguration Infrastruktur oder angeforderte öffentliche Quellen in anderen Ländern beinhalten
4. Nicht anwendbar für die Verarbeitung in Litauen; Standardvertragsklauseln oder ein anderer rechtmäßiger Kapitel V-Schutz gilt, wenn für Weiterübermittlungen erforderlich
5. Die Verarbeitung abgerufener Inhalte unterliegt dem akzeptierten Auftragsverarbeitungsvertrag von Decodo.
6. Von eDoer beauftragter Quellenabruf-Unterauftragsverarbeiter nach Art. 28, begrenzt auf die genehmigte Quellenextraktions- oder Importanfrage; keine Erlaubnis zur Wiederverwendung von Inhalten der bzw. des Verantwortlichen für unabhängiges Modelltraining. Eigene Verarbeitung der öffentlichen Quellenbetreiber richtet sich gesondert nach deren Bedingungen.

Whereby AS

1. Gate 1 no. 107, 6700 Måløy, Norwegen; Datenschutzkontakt: legal@whereby.com
2. Whereby-Embedded-Videoräume und Raumverwaltung, einschließlich Anzeigenamen der Teilnehmenden, eDoer-Nutzerkennungen, Raumdaten und Verbindungsmetadaten. Aufzeichnungen sind deaktiviert.
3. Kontodaten werden in Irland (EU) gespeichert. Live-Medien werden über Wherebys standardmäßige regionale Weiterleitung innerhalb seiner globalen Infrastruktur übertragen; eDoer nutzt keine Beschränkung auf EU-/EWR-Verarbeitungswege. Nutzungsdaten können in Irland und den USA verarbeitet werden.
4. Kein Transfer nach Kapitel V für die Verarbeitung im EWR selbst. Wherebys Datenschutzerklärung sieht Standardvertragsklauseln für Übermittlungen in die USA vor.
5. Über die Whereby-Konfiguration von eDoer werden keine Audio-/Videoaufzeichnungen gespeichert. Konto- und Raumdaten werden bis zur Löschung des Kontos oder Raums aufbewahrt, vorbehaltlich geltender gesetzlicher Anforderungen; für sonstige Dienstaufzeichnungen gelten Wherebys veröffentlichte Datenschutzbedingungen.
6. Nach dem standardmäßigen Whereby-AVV handelt Whereby für die erfasste Konto- und Raumverwaltung als Auftragsverarbeiter. Die Standardbedingungen ordnen die Live-Medienübertragung und die zugehörige Verkehrs-/Nutzungsdatenverarbeitung Wherebys eigener Verantwortlichkeit zu; dafür gilt gesondert seine Datenschutzerklärung. Diese Anlage erfasst Whereby nur, soweit es Daten der bzw. des Verantwortlichen als Unterauftragsverarbeiter verarbeitet.