Vereinbarung über die Auftragsverarbeitung

1. Gegenstand und Dauer

KlarComply erbringt für den Kunden die im Abo-Vertrag beschriebenen Leistungen (Compliance-Dashboard, Online-Schulung, Nachweisführung zur Verordnung (EU) 2024/1689). Dabei verarbeitet KlarComply personenbezogene Daten im Auftrag des Kunden. Diese Vereinbarung gilt für die Dauer des Abo-Vertrags und endet mit dessen Beendigung; Ziffer 7 (Löschung) bleibt unberührt.

2. Art, Zweck und Umfang der Verarbeitung

Speicherung, Organisation und Auswertung von Daten der Mitarbeitenden des Kunden zum Zweck der Schulungsverwaltung, Zertifikatsverwaltung, Nachweisführung (KI-Inventar, Richtlinien-Angaben, Kenntnisnahme-Protokolle) sowie der Zugangs­verwaltung. Einzelheiten: Anlage 1.

3. Weisungsrecht

KlarComply verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden (Art. 28 Abs. 3 lit. a DSGVO); die Nutzung der Plattform­funktionen durch den Kunden gilt als Weisung. Hält KlarComply eine Weisung für rechtswidrig, informiert es den Kunden unverzüglich und darf die Ausführung aussetzen.

4. Vertraulichkeit und Sicherheit

1. Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b).
2. KlarComply trifft die technischen und organisatorischen Maßnahmen nach Anlage 2 (Art. 32 DSGVO) und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.

5. Unterauftragsverarbeiter

Der Kunde erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter. KlarComply informiert über beabsichtigte Änderungen; der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen. Mit allen Unterauftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

6. Unterstützungspflichten

KlarComply unterstützt den Kunden im Rahmen des Zumutbaren bei der Beantwortung von Betroffenenanfragen (Art. 12–23), bei der Sicherheit der Verarbeitung, bei Datenschutz-Folgenabschätzungen und bei Meldepflichten (Art. 32–36). Verletzungen des Schutzes personenbezogener Daten meldet KlarComply dem Kunden unverzüglich.

7. Löschung und Rückgabe

Nach Beendigung des Abo-Vertrags löscht KlarComply alle im Auftrag verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Der Kunde kann seine Daten zuvor über die Export-/Druckfunktionen des Dashboards sichern. Ausgestellte Zertifikate bleiben zur öffentlichen Verifikation gespeichert (berechtigtes Interesse der Zertifikatsinhaber); der Kunde kann deren Löschung verlangen.

8. Nachweise und Kontrollen

KlarComply stellt dem Kunden die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht — nach Ankündigung und höchstens einmal jährlich, außer bei konkretem Anlass — Überprüfungen. Nachweise können durch aktuelle Testate/Zertifizierungen der Unterauftragsverarbeiter (z. B. SOC 2, ISO 27001) erbracht werden.

9. Drittlandübermittlung

Die Verarbeitung erfolgt in Rechenzentren in der EU (Region Frankfurt, Deutschland). Soweit Unterauftragsverarbeiter mit Sitz außerhalb der EU eingesetzt werden (Anlage 3), erfolgt eine etwaige Übermittlung auf Grundlage von EU-Standardvertragsklauseln bzw. eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework).

10. Schlussbestimmungen

Es gilt das Recht, das auch für den Abo-Vertrag gilt. Bei Widersprüchen geht diese Vereinbarung den übrigen Vereinbarungen in Datenschutzfragen vor. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1 — Daten und betroffene Personen

Betroffene	Mitarbeitende, Ansprechpersonen und ggf. externe Kräfte des Kunden
Datenkategorien	Name, geschäftliche E-Mail-Adresse, Rolle; Schulungs-Fortschritt und -Ergebnisse (Prozent); Zertifikatsdaten (Name, Firma, Datum, Prüf-ID); Kenntnisnahme-Protokolle (wer, was, wann); vom Kunden gepflegte Angaben (KI-Inventar, Ansprechperson, Regeln)
Keine Verarbeitung von	besonderen Kategorien nach Art. 9 DSGVO; solche Daten dürfen nicht in die Plattform eingegeben werden

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32)

• Standort: Datenhaltung ausschließlich in der EU (AWS eu-central-1, Frankfurt)
• Verschlüsselung: Transport TLS 1.2+; Speicherung verschlüsselt (Encryption at Rest)
• Mandantentrennung: Row-Level-Security auf Datenbankebene — jede Firma sieht nur eigene Daten
• Zugriffskontrolle: passwortlose Anmeldung per Magic-Link; Admin-Zugriffe rollenbasiert; interner Zugriff auf Produktionsdaten nur durch den Inhaber, protokolliert
• Eingabekontrolle: Änderungs- und Kenntnisnahme-Protokolle mit Zeitstempel
• Verfügbarkeit: tägliche Backups durch den Hosting-Anbieter; Wiederherstellungsverfahren
• Datensparsamkeit: Es werden nur die für Schulung/Nachweis erforderlichen Daten erhoben

Anlage 3 — Unterauftragsverarbeiter

Dienstleister	Zweck	Sitz / Region
Supabase Inc.	Datenbank, Authentifizierung, Server-Funktionen	USA · Datenhaltung EU (AWS Frankfurt) · SCC/DPF
Cloudflare Inc.	Hosting der Website, CDN, Sicherheit	USA · EU-Auslieferung · SCC/DPF
MailerLite (UAB)	Newsletter/Benachrichtigungen (nur Kontakt-E-Mail)	Litauen (EU)

Hinweis: Zahlungsdaten verarbeitet Stripe Payments Europe Ltd. als eigenständiger Verantwortlicher — sie sind nicht Gegenstand dieser Auftragsverarbeitung.