Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

zwischen dem Unternehmen, das ein Firmenkonto in der QM-Guru Online Akademie anlegt (nachfolgend „Verantwortlicher“), und QM-Dienstleistungen Grosser, Simonstr. 14, 90763 Fürth, Inhaber Holger Grosser (nachfolgend „Auftragsverarbeiter“).

1. Gegenstand und Dauer

Der Auftragsverarbeiter betreibt die QM-Guru Online Akademie mit Firmenkonto, Sammelnachweis und – sofern gebucht – angepassten Unterweisungen. Dabei verarbeitet er personenbezogene Daten von Beschäftigten des Verantwortlichen in dessen Auftrag. Dieser Vertrag gilt ab Anlegen des Firmenkontos für die Dauer des Firmenkontos. Nach dessen Ende gelten die Regelungen zur Löschung in Ziffer 9.

2. Art und Zweck der Verarbeitung

Zuordnung von Kursteilnahmen zum Verantwortlichen, Erstellung von Teilnahmezertifikaten, Erstellung des Sammelnachweises (Excel-Datei, druckbare Übersicht) sowie Bereitstellung eines Exports für den Verantwortlichen. Zweck ist der Nachweis durchgeführter Unterweisungen durch den Verantwortlichen.

3. Datenkategorien

• Name des Teilnehmers
• E-Mail-Adresse
• Kurs (Titel)
• Datum der Teilnahme
• Ergebnis des Abschlusstests
• Zertifikatsnummer und Gültigkeit

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden nicht verarbeitet.

4. Kreis der Betroffenen

Beschäftigte des Verantwortlichen sowie weitere Personen, denen der Verantwortliche seinen Firmencode zur Teilnahme überlässt (z. B. Zeitarbeitskräfte, Praktikanten).

5. Pflichten des Auftragsverarbeiters

1. Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Das Anlegen des Firmenkontos, die Nutzung der Funktionen und E-Mails des Verantwortlichen gelten als Weisung.
2. Verpflichtung der mit der Verarbeitung befassten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO).
3. Umsetzung der technischen und organisatorischen Maßnahmen nach Anlage 1 (Art. 32 DSGVO).
4. Einhaltung der Bedingungen für Unterauftragsverarbeiter nach Ziffer 6.
5. Unterstützung des Verantwortlichen bei der Beantwortung von Betroffenenanfragen (Art. 12 bis 22 DSGVO), soweit möglich mit geeigneten Mitteln.
6. Unterstützung bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere unverzügliche Meldung von Verletzungen des Schutzes personenbezogener Daten an den Verantwortlichen.
7. Löschung oder Rückgabe aller Daten nach Abschluss der Leistung (Ziffer 9).
8. Bereitstellung aller Informationen, die zum Nachweis der Einhaltung der Pflichten erforderlich sind, und Ermöglichung von Überprüfungen (Ziffer 8).
9. Unverzügliche Information des Verantwortlichen, falls eine Weisung nach Auffassung des Auftragsverarbeiters gegen Datenschutzrecht verstößt.

6. Unterauftragsverarbeiter

Der Verantwortliche genehmigt den Einsatz folgender Unterauftragsverarbeiter:

Unternehmen	Leistung	Ort der Verarbeitung / Garantien
Google Ireland Ltd., Dublin	Google Workspace, Apps Script, Drive (Datenhaltung, Zertifikatserstellung, E-Mail-Versand)	EU; Übermittlungen in Drittländer auf Grundlage der EU-Standardvertragsklauseln und des EU-US Data Privacy Framework
Netlify Inc., San Francisco (USA)	Hosting der Akademie-Seiten und Formular-Funktionen	EU-Standardvertragsklauseln
Stripe Payments Europe Ltd., Dublin	Zahlungsabwicklung (nur Daten des Verantwortlichen, keine Teilnehmerdaten)	EU; EU-Standardvertragsklauseln für Konzernübermittlungen
Cloudflare Inc., San Francisco (USA)	Content Delivery Network, Auslieferung unter qm-guru.de	EU-Standardvertragsklauseln

Der Auftragsverarbeiter informiert den Verantwortlichen vor dem Wechsel oder der Hinzunahme eines Unterauftragsverarbeiters per E-Mail. Der Verantwortliche kann binnen 4 Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen; in diesem Fall kann jede Seite das Firmenkonto beenden. Mit jedem Unterauftragsverarbeiter bestehen Verträge, die den Pflichten dieses Vertrags entsprechen.

7. Weisungsrecht

Weisungen erteilt der Verantwortliche in Textform (E-Mail an info@qm-guru.de) oder durch Nutzung der Funktionen des Firmenkontos. Weisungsberechtigt ist der im Firmenkonto genannte Ansprechpartner. Änderungen teilt der Verantwortliche unverzüglich mit.

8. Kontrollrechte

Der Verantwortliche kann sich vor Beginn und während der Verarbeitung von der Einhaltung der technischen und organisatorischen Maßnahmen überzeugen, in der Regel durch Einholung von Auskünften und Vorlage von Nachweisen (Beschreibung der Maßnahmen, Nachweise der Unterauftragsverarbeiter). Vor-Ort-Kontrollen erfolgen nach Anmeldung mit angemessener Frist während der üblichen Geschäftszeiten.

9. Löschung und Rückgabe

Der Verantwortliche kann den vollständigen Datenbestand seines Firmenkontos jederzeit als Excel-Datei (CSV) exportieren oder als PDF drucken. Nach Ende des Firmenkontos werden die Teilnahmedaten 3 Jahre aufbewahrt, damit Nachweise für zurückliegende Audits erbracht werden können, und anschließend gelöscht. Auf Weisung des Verantwortlichen löscht der Auftragsverarbeiter früher, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Zertifikatsnummern bleiben in der öffentlichen Zertifikatsprüfung ohne Namensnennung prüfbar, soweit das Zertifikat gültig ist.

10. Haftung, Schlussbestimmungen

Die Haftung richtet sich nach Art. 82 DSGVO. Es gilt deutsches Recht. Nebenabreden bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

11. Elektronische Annahme

Dieser Vertrag wird durch Anlegen des Firmenkontos (Setzen des Häkchens „Auftragsverarbeitungsvertrag und AGB gelesen“ und Absenden des Formulars) in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO). Der Verantwortliche erhält den Text mit der Bestätigungs-E-Mail als Link; er kann diese Seite ausdrucken oder als PDF speichern.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Zugriffskontrolle

• Zugriff auf die Datenbestände nur durch den Inhaber und festangestellte Mitarbeiter des Auftragsverarbeiters mit personengebundenen Konten und Zwei-Faktor-Authentisierung (Google Workspace).
• Der Verantwortliche sieht nur die Teilnahmen seines eigenen Firmenkontos; die Zuordnung erfolgt über Firmencode und Mail-Domain.
• Formular-Funktionen sprechen das Backend nur mit einem geheimen Schlüssel an, der ausschließlich in der Hosting-Umgebung hinterlegt ist.

Verschlüsselung in Transit

• Alle Verbindungen (Akademie-Seiten, Formulare, Backend, E-Mail-Versand zwischen den Diensten) laufen über TLS (HTTPS).
• Datenhaltung bei Google Workspace mit serverseitiger Verschlüsselung im Ruhezustand.

Verfügbarkeit und Backups

• Datenhaltung in Google Drive mit Versionsverlauf; zusätzlich monatlicher Export des Datenbestands in einen getrennten Speicherort.
• Hosting der Seiten statisch mit Versionierung; Wiederherstellung einer früheren Fassung ist jederzeit möglich.

Löschkonzept

• Teilnahmedaten: Löschung 3 Jahre nach Ende des Firmenkontos (Ziffer 9).
• Formulareingaben in den Hosting-Funktionen werden nicht gespeichert, sondern nur an das Backend durchgereicht; Protokolle der Hosting-Umgebung werden nach 30 Tagen gelöscht.
• Zahlungsdaten werden ausschließlich bei Stripe verarbeitet; der Auftragsverarbeiter erhält keine vollständigen Zahlungsmitteldaten.

Organisation

• Verpflichtung aller Beteiligten auf Vertraulichkeit; Datenschutz ist Teil des Managementsystems des Auftragsverarbeiters.
• Meldeweg bei Datenschutzverletzungen: Prüfung innerhalb von 24 Stunden, Meldung an den Verantwortlichen unverzüglich, spätestens binnen 48 Stunden nach Kenntnis.

Stand 01.11.2026

Drucken Zurück zu Für Unternehmen