berufsklar

Entwurf. Dieser Vertrag über die Auftragsverarbeitung wird vor dem Start anwaltlich geprüft. Gelb markierte Stellen sind noch offen.

Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO (Firmenlizenz, Stand 25.10.2026)

zwischen

der Kunde, der die Firmenlizenz bestellt (Angaben aus der Bestellung) – „Verantwortlicher“ –

und

FindYourTalents, Inhaber Alexander Haas (Einzelunternehmen), Lütticher Str. 8, 51149 Köln – „Auftragsverarbeiter“ –

§ 1 Gegenstand und Dauer

1. Der Auftragsverarbeiter erbringt für den Verantwortlichen die Firmenlizenz der Lern-App berufsklar nach der Bestellung über berufsklar.de (Hauptvertrag, Teil B der AGB) und der Leistungsbeschreibung (Plätze, Einladungen, Lernprogramme, Fortschritt, KI-Kompetenztests, beaufsichtigte Prüfungen, Nachweise, Arbeitgeberbereich).
2. Dieser Vertrag gilt für die Verarbeitung personenbezogener Daten im Firmenbereich (Anlage 1). Das persönliche Konto der Nutzenden (E-Mail-Adresse, eigener Lernstand, Nutzung außerhalb der Firmenlizenz, eigene Zertifikate) führt der Auftragsverarbeiter aufgrund des Nutzungsvertrags mit der jeweiligen Person in eigener Verantwortung; dafür gilt die Datenschutzerklärung der App.
3. Abgrenzung: Lernstand und Ergebnisse aus dem persönlichen Konto gelangen nur dann in den Firmenbereich, wenn die Person dies in der App ausdrücklich erlaubt (Einwilligung, jederzeit widerrufbar). Mit der Übermittlung in den Firmenbereich verarbeitet der Auftragsverarbeiter diese Daten im Auftrag des Verantwortlichen. Über Zwecke und Mittel der Verarbeitung im Firmenbereich entscheidet allein der Verantwortliche im Rahmen der Leistungsbeschreibung; eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO ist nicht beabsichtigt. [Anwalt: Abgrenzung bestätigen]
4. Der Vertrag läuft so lange wie der Hauptvertrag und darüber hinaus, solange der Auftragsverarbeiter Daten des Verantwortlichen verarbeitet.

§ 2 Art, Zweck, Daten, Betroffene

Siehe Anlage 1.

§ 3 Weisungen

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch bei Übermittlungen in Drittländer, außer er ist gesetzlich zur Verarbeitung verpflichtet (Art. 28 Abs. 3 a DSGVO); dann teilt er dies vorher mit, soweit zulässig.
2. Weisungen sind dieser Vertrag, die Leistungsbeschreibung und die Einstellungen, die der Verantwortliche im Arbeitgeberbereich vornimmt. Weitere Weisungen in Textform an kontakt@berufsklar.de.
3. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er unverzüglich darauf hin und darf sie bis zur Bestätigung aussetzen.
4. Ausgeschlossen sind Weisungen, die (a) Gespräche, Texte, einzelne Antworten oder Fehler der Mitarbeitenden für den Verantwortlichen sichtbar machen, (b) Detailwerte ohne Einwilligung der Person freigeben, (c) automatisierte Rankings oder Leistungsprognosen über Personen erzeugen. Solche Änderungen erfordern eine Änderung des Hauptvertrags und, wo nötig, die Beteiligung des Betriebsrats.

§ 4 Pflichten des Auftragsverarbeiters

1. Vertraulichkeit: Alle Personen mit Zugriff sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 b, Art. 29 DSGVO).
2. Sicherheit: Er trifft die technischen und organisatorischen Maßnahmen nach Anlage 2 (Art. 32 DSGVO) und darf sie nur verbessern, nicht unter das vereinbarte Niveau absenken.
3. Betroffenenrechte: Er unterstützt den Verantwortlichen bei Anfragen nach Art. 15–22 DSGVO, leitet Anfragen, die an ihn gerichtet sind, binnen 3 Werktagen weiter und stellt Auskunfts- und Löschfunktionen im Arbeitgeberbereich bereit.
4. Unterstützung nach Art. 32–36 DSGVO: Er stellt die Angaben bereit, die der Verantwortliche für Verzeichnis, Datenschutz-Folgenabschätzung und ggf. vorherige Konsultation braucht (DSFA-Baustein).
5. Datenschutzverletzungen: Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt; Angaben, die später vorliegen, werden nachgereicht. Meldungen von Unterauftragsverarbeitern leitet er unverzüglich weiter.
6. Datenschutzbeauftragte/r: Ein Datenschutzbeauftragter ist nicht benannt, weil die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG nicht vorliegen. Ansprechperson für den Datenschutz: kontakt@berufsklar.de. [Anwalt: Benennungspflicht bei wachsender Zahl von Kunden und Kompetenztests erneut prüfen; KI-Bewertung von Beschäftigten kann eine Datenschutz-Folgenabschätzung auslösen]
7. Ort: Die Verarbeitung findet in der EU/im EWR statt, ausgenommen die in Anlage 3 gekennzeichneten Übermittlungen.

§ 5 Besondere Regeln für KI-Funktionen

1. Daten aus dem Firmenbereich werden nicht zum Training von KI-Modellen verwendet, weder vom Auftragsverarbeiter noch von seinen Unterauftragsverarbeitern (in den kommerziellen Bedingungen von Anthropic und Microsoft so geregelt; Nachweis auf Anfrage).
2. An KI-Dienste werden nur die Inhalte übermittelt, die für die jeweilige Funktion nötig sind (Nachricht, Text, Testantwort, Audio des vorgelesenen Satzes). Name, E-Mail-Adresse und Organisationszugehörigkeit werden nicht mitgeschickt.
3. Der Auftragsverarbeiter protokolliert jede Bewertung im KI-Kompetenztest und jede menschliche Entscheidung (wer, wann, Aufgaben, Modell- und Bewertungsversion, Ergebnis, Begründung) und bewahrt die Protokolle 12 Monate auf, damit der Verantwortliche seine Pflichten nach Art. 26 Abs. 6 KI-Verordnung (mindestens 6 Monate) erfüllen kann.
4. Der Auftragsverarbeiter stellt eine Gebrauchsanweisung für den Kompetenztest bereit und informiert über wesentliche Änderungen (neues Modell, neuer Aufgabenpool, geänderte Bewertung) mindestens 14 Tage vorher.
5. Der Verantwortliche stellt sicher, dass Personalentscheidungen nicht allein auf KI-Ergebnissen beruhen und dass die Stufe „unter Aufsicht geprüft“ nur von geschulten Personen vergeben wird.

§ 6 Unterauftragsverarbeiter

1. Der Verantwortliche genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter.
2. Neue oder ersetzte Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens 30 Tage vorher in Textform an. Der Verantwortliche kann binnen 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt des Wechsels kündigen; im Voraus bezahlte Entgelte werden anteilig erstattet.
3. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten (Art. 28 Abs. 4 DSGVO).
4. Für Unterauftragsverarbeiter, die ein in Anlage 3 genannter Dienstleister seinerseits einsetzt (weitere Unterauftragsverarbeiter, z. B. die Subprozessoren von Anthropic oder Microsoft), gilt die Genehmigung als erteilt, soweit der Dienstleister sie nach seinen Bedingungen ankündigt; der Auftragsverarbeiter gibt solche Ankündigungen unverzüglich weiter, und Abs. 2 Satz 2 und 3 gelten entsprechend mit der vom Dienstleister eingeräumten Frist. [Anwalt: Fristgleichlauf mit den Bedingungen von Anthropic (derzeit 15 Tage Widerspruchsfrist) bestätigen]

§ 7 Drittlandübermittlung

1. Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO, für die USA auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Empfänger zertifiziert ist, und zusätzlich oder ersatzweise der EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Modul 3 Auftragsverarbeiter an Unterauftragsverarbeiter).
2. Der Angemessenheitsbeschluss wurde vom EuG am 03.09.2025 bestätigt (T-553/23, Latombe); das Rechtsmittel ist beim EuGH anhängig (C-703/25 P). Fällt der Beschluss weg, gelten die Standardvertragsklauseln mit einer aktualisierten Transfer-Folgenabschätzung; der Auftragsverarbeiter informiert den Verantwortlichen.

§ 8 Nachweise und Kontrollen

1. Der Auftragsverarbeiter weist die Einhaltung durch diese Dokumentation, die TOM-Liste, Berichte seiner Unterauftragsverarbeiter (z. B. SOC 2, ISO 27001) und auf Anfrage eine Selbstauskunft nach.
2. Der Verantwortliche kann einmal jährlich nach Anmeldung mit 30 Tagen Vorlauf während der üblichen Geschäftszeiten prüfen oder durch einen zur Verschwiegenheit verpflichteten, nicht im Wettbewerb stehenden Prüfer prüfen lassen; bei konkretem Anlass (z. B. Datenschutzverletzung, Anordnung einer Aufsichtsbehörde) auch öfter und kurzfristiger. Prüfungen vor Ort beschränken sich auf Räume und Systeme des Auftragsverarbeiters; Rechenzentren der Unterauftragsverarbeiter werden über deren Nachweise geprüft. Aufwand des Auftragsverarbeiters über 4 Stunden pro Kalenderjahr wird mit 120 € netto je Stunde vergütet, außer die Prüfung ergibt einen wesentlichen Verstoß.

§ 9 Löschung und Rückgabe

1. Nach Vertragsende stellt der Auftragsverarbeiter dem Verantwortlichen auf Wunsch binnen 30 Tagen einen Export (CSV/JSON) der Firmenbereichsdaten bereit und löscht sie danach, spätestens 60 Tage nach Vertragsende; Sicherungskopien laufen binnen weiterer 30 Tage aus. Auf Verlangen bestätigt er die Löschung in Textform.
2. Ausgenommen sind Daten, die der Auftragsverarbeiter gesetzlich aufbewahren muss (z. B. Rechnungen), und die Protokolle nach § 5 Abs. 3 bis zum Ablauf ihrer Frist. Zertifikate, die einer Person ausgestellt wurden, gehören zu ihrem persönlichen Konto (§ 1 Abs. 2); sie bleiben dort auf Grundlage des Nutzungsvertrags mit der Person bestehen, damit sie die Echtheit nachweisen kann. Die Kopie im Firmenbereich wird nach Abs. 1 gelöscht.
3. Entfernt der Verantwortliche eine Person aus der Organisation, werden ihre Firmenbereichsdaten nach 30 Tagen gelöscht; das persönliche Konto bleibt bestehen.

§ 10 Haftung, Schlussbestimmungen

1. Die Haftung im Außenverhältnis richtet sich nach Art. 82 DSGVO. Im Innenverhältnis gilt Art. 82 Abs. 5 DSGVO; im Übrigen gelten die Haftungsregeln des Hauptvertrags, soweit sie mit der DSGVO vereinbar sind.
2. Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in Datenschutzfragen vor.
3. Der Vertrag wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO). Änderungen bedürfen der Textform. Es gilt deutsches Recht; Gerichtsstand ist Köln, soweit gesetzlich zulässig. Ist eine Bestimmung unwirksam, bleibt der Rest wirksam.

Abgeschlossen in elektronischer Form (Art. 28 Abs. 9 DSGVO) mit der Bestellung über berufsklar.de; Datum und Version werden mit der Bestellung gespeichert.

Anlage 1: Verarbeitung im Firmenbereich

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand 25.10.2026; Punkte mit [Technik] sind vor Vertragsschluss gegen den echten Betrieb zu prüfen.

Anlage 3: Unterauftragsverarbeiter

Nicht Unterauftragsverarbeiter, aber den Mitarbeitenden zu nennen: Spracherkennung durch das Betriebssystem bzw. den Browser (Apple, Google, Microsoft), App Stores (Apple, Google) für Installation und Updates. Die Abrechnung der Firmenlizenz über Stripe betrifft nur Vertrags- und Zahlungsdaten des Verantwortlichen selbst; dafür ist der Auftragsverarbeiter eigenverantwortlich (Datenschutzerklärung), sie gehört nicht zu diesem Vertrag.

Impressum · Datenschutz · AGB · Verträge hier kündigen · Vertrag widerrufen