Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

1. Gegenstand und Dauer

Der Auftragsverarbeiter betreibt für den Verantwortlichen das celox Portal (portal.celox.io) — Mitarbeiter-Schulungen, Assessments, Abschluss-Nachweise und Zertifikate. Die Dauer entspricht der Laufzeit des Hauptvertrags über die Portal-Nutzung; die Regelungen zur Löschung (Ziff. 8) gelten darüber hinaus.

2. Art, Zweck und Umfang der Verarbeitung

Speicherung, Anzeige und Auswertung von Schulungsteilnahmen und Assessment-Ergebnissen zum Zweck des Kompetenz-Nachweises (u. a. Art. 39 DSGVO, NIS-2, § 34a GewO) sowie die Verwaltung der zugehörigen Zugänge. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.

3. Datenkategorien und betroffene Personen

• Datenkategorien: Name, geschäftliche E-Mail-Adresse, Rolle/Zielgruppe, Anmeldedaten (Passwort nur als scrypt-Hash), Schulungs-Fortschritte und -Abschlüsse, Assessment-Antworten und -Ergebnisse, Zertifikatsdaten samt Prüfcode, Zeitstempel.
• Betroffene: Beschäftigte und Leitungspersonen des Verantwortlichen sowie von ihm eingeladene Personen.

4. Weisungsrecht

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO); die Nutzung der Portal-Funktionen durch den Verantwortlichen gilt als Weisung. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

5. Vertraulichkeit

Mit der Verarbeitung befasste Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO). Der Betrieb erfolgt derzeit durch den Auftragsverarbeiter persönlich — einen zertifizierten Datenschutz- und IT-Sicherheitsbeauftragten (Qualifikationen im Impressum).

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Es gelten die auf der Seite Sicherheit & Datenhaltung beschriebenen Maßnahmen (TOM-Anlage); Stand-Datum dort. Wesentlich: TLS-Transportverschlüsselung, scrypt-Passwort-Hashes, HMAC-signierte HttpOnly-Sitzungen, optionale Zwei-Faktor-Anmeldung für Leitungs-Konten, serverseitige Rechteprüfung, Hosting in einem EU-Rechenzentrum, tägliche Backups, Protokollierung administrativer Änderungen. Der Auftragsverarbeiter darf die Maßnahmen fortentwickeln, solange das Schutzniveau nicht unterschritten wird.

7. Unterauftragsverarbeiter

Eingesetzt ist: Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern — Server-Hosting (Rechenzentrum in der EU); mit ihr besteht ein Auftragsverarbeitungsvertrag. Der Verantwortliche genehmigt diesen Einsatz. Beabsichtigte Änderungen zeigt der Auftragsverarbeiter vorab in Textform an; der Verantwortliche kann aus wichtigem Grund widersprechen (Art. 28 Abs. 2 DSGVO).

8. Löschung und Rückgabe

Nach Ende des Hauptvertrags werden personenbezogene Daten des Verantwortlichen nach dessen Wahl herausgegeben (Export-Funktionen: CSV, PDF-Nachweise, Compliance-Dossier) und anschließend gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Backups rotieren automatisch aus. Zertifikats-Prüfcodes können auf Wunsch deaktiviert werden — der Verantwortliche bedenkt dabei, dass ausgestellte Nachweise dann nicht mehr online prüfbar sind.

9. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Mitteln bei Betroffenenrechten (Art. 12–23 DSGVO), bei der Sicherheit der Verarbeitung sowie bei Datenschutz-Folgenabschätzungen und Konsultationen (Art. 32–36 DSGVO), soweit ihn das betrifft.

10. Meldung von Verletzungen

Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich nach Kenntnis (Art. 33 Abs. 2 DSGVO) mit den ihm verfügbaren Informationen zu Art, Umfang und ergriffenen Maßnahmen.

11. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt die zum Nachweis der Pflichten nach Art. 28 DSGVO erforderlichen Informationen bereit (insbesondere diese Vereinbarung, die TOM-Beschreibung und das Admin-Änderungsprotokoll). Kontrollen vor Ort erfolgen nach Ankündigung mit angemessener Frist während üblicher Geschäftszeiten; vorrangig werden Fern-Nachweise genutzt.

12. Schlussbestimmungen

Haftung und Gerichtsstand richten sich nach dem Hauptvertrag bzw. den AGB. Ist eine Bestimmung unwirksam, bleibt der Rest wirksam. Diese Vereinbarung geht bei Widersprüchen zum Hauptvertrag in Datenschutzfragen vor.

Stand: August 2026 · Muster zur Selbstbedienung — verbindlich mit beidseitiger Bestätigung in Textform. Fragen: martin.pfeffer@celox.io