1. Gegenstand und Dauer

Verarbeitungstätigkeit: Durchführung der EU AI Act AutoSchulung einschließlich:

• Speicherung von Teilnehmerdaten (Name, E-Mail, Unternehmen)
• Durchführung und Auswertung von Tests
• Erstellung und Versendung von Zertifikaten
• Bereitstellung von Schulungsmaterialien
• Für die Dauer des Schulungsvertrags, maximal 24 Monate.

2. Art der personenbezogenen Daten

• Stammdaten: Name, Vorname, E-Mail-Adresse, Unternehmen
• Schulungsdaten: Test-Ergebnisse, Teilnahmezeiten, Zertifikat-IDs
• Technische Daten: IP-Adresse, Browser-Informationen (soweit erforderlich)
• Betroffene Personen: Mitarbeiter des Auftraggebers

3. Weisungen und Zweckbindung

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich:

• Nach dokumentierten Weisungen des Auftraggebers
• Zur Durchführung der EU AI Act Schulung
• Zur Erfüllung gesetzlicher Verpflichtungen

4. Technische und organisatorische Maßnahmen (TOM)

• Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet haben.
• Zugriffskontrolle: Verschlüsselte Speicherung, Zwei-Faktor-Authentifizierung
• Datenintegrität: Regelmäßige Backups, Versionskontrolle
• Verfügbarkeitskontrolle: 99,9% Verfügbarkeit, Monitoring
• Übertragungskontrolle: SSL/TLS-Verschlüsselung

5. Unterauftragsverarbeiter

• Sliplane (Hosting): Server-Infrastruktur für n8n und NocoDB (Deutschland).
• Google Workspace: E-Mail-Versand und PDF-Generierung (EU/Irland).

Es bestehen gültige AVV mit allen Anbietern. Die primäre Datenhaltung erfolgt in Deutschland.

6. Betroffenenrechte

Der Auftragnehmer unterstützt den Auftraggeber bei der Bearbeitung von Betroffenenanfragen, Datenschutz-Folgenabschätzungen und der Meldung von Datenschutzverletzungen (binnen 24h).

Bei datenschutzrechtlichen Beanstandungen steht Betroffenen der Weg zur zuständigen Aufsichtsbehörde offen (Art. 77 DSGVO).

7. Löschung

Nach Vertragsende werden alle personenbezogenen Daten automatisch anonymisiert (bei Kennzeichnung als "abgeschlossen"). Zertifikat-IDs werden nach 24 Monaten vollständig gelöscht.

8. Kontrollrechte

Der Auftraggeber hat das Recht auf jährliche Prüfung der TOM (remote) sowie Einsicht in Verarbeitungsverzeichnisse und Sicherheitsdokumentationen.

9. Haftung

Bei Datenschutzverstößen haftet der Auftragnehmer bis zur Höhe der Auftragssumme, maximal 10.000 €. Ausgenommen: Vorsatz und grobe Fahrlässigkeit.

Rechtswahl: Deutsches Recht | Gerichtsstand: Köln