AUFTRAGSVERARBEITUNGS-VERTRAG

AUFTRAGSVERARBEITUNGS-VERTRAG

DER AUFTRAGSVERARBEITUNGS-VERTRAG (AVV) KONKRETISIERT DIE VERPFLICHTUNGEN ZUM DATENSCHUTZ DIE SICH AUS DEM GESCHLOSSENEN VERTRAG ZWISCHEN DEM KUNDEN UND SIMPLECLUB ERGEBEN. DER AVV FINDET ANWENDUNG AUF ALLE TÄTIGKEITEN, DIE MIT DEM VERTRAG IN ZUSAMMENHANG STEHEN UND BEI DENEN BESCHÄFTIGTE VON SIMPLECLUB ODER DURCH IHR BEAUFTRAGTE UNTERAUFTRAGNEHMER PERSONENBEZOGENE DATEN DES AUFTRAGGEBERS VERARBEITEN.

‍

Gültig ab: 01.12.2026 (bis dahin bleibt der vorherige AVV vom 13.11.2024 gültig)

‍

‍

I. Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO 

1. Definitionen

“App” Die mobile App von simpleclub, in der Lerninhalte zur Verfügung gestellt werden.

“EWR” Staaten innerhalb des Europäischen Wirtschaftsraums.

“Lerninhalte” Die Lerninhalte sind verschiedene Lernmodule und -inhalte für Ausbildungsberufe und sonstige Bildungsmaßnahmen, die über die Plattform von simpleclub bereitgestellt werden.

“Nutzer” Die Person, die vom Kunden autorisiert ist, simpleclub zu nutzen. Zu den Benutzern gehören beispielsweise Mitarbeiter des Kunden.

“Plattform” Die Plattform umfasst die Website und die App gemeinsam.

“Vereinbarung” Die Vereinbarung umfasst den Vertrag zwischen dem Kunden und simpleclub sowie die Vertragsbedingungen.

“Vertrag” Das gezeichnete Dokument (bspw. Bestellformular) für den Kauf von Dienstleistungen durch den Kunden bei simpleclub, einschließlich aller Zeitpläne oder Ergänzungen dazu.

“Website” Die Website von simpleclub, auf der Lerninhalte zur Verfügung gestellt werden.

‍

2. Vertragsgegenstand und Dauer

2.1 simpleclub wird personenbezogene Daten des Kunden nur nach seinen dokumentierten Weisungen ausführen. Mündliche Weisungen hat der Kunde unverzüglich in Textform zu bestätigen. simpleclub wird den Kunden informieren, wenn simpleclub meint, eine Weisung verstößt gegen Datenschutzvorschriften. simpleclub ist berechtigt, die Weisung nicht auszuführen, bis der Kunde sie bestätigt oder ändert.

‍

2.2 Die Datenverarbeitung erfolgt zum Zweck der Erfüllung des Vertrages (insbesondere der Unterstützung der Aus- und Fortbildung der Mitarbeiter des Kunden), um dem Kunden die bestimmungsgemäße Nutzung der Lernsoftware “simpleclub” zu ermöglichen. 

‍

2.3 Es werden folgende Daten der Auszubildenden und Ausbilder des Kunden und gegebenenfalls weiterer Personen, denen der Kunde Berechtigungen erteilt, verarbeitet (unter anderem erhoben, verarbeitet, gespeichert und gelöscht): 

• Name, E-Mail-Adresse, Organisationszugehörigkeit; 
• Art der Ausbildung, Ausbildungsjahr, abgerufene Lerninhalte und Inhaltsdaten, Zeitpunkt des Abrufs, Ergebnisse von Lernaufgaben;.
• technische Kommunikationsdaten (z.B. IP-Adresse,Geräteinformationsdaten; 
• technisch-notwendige Nutzungsdaten zur Bereitstellung von In-App-Funktionen (z.B: Algorithmus zum Vorschlagen von Inhalten);
• Sofern mit dem Kunden nicht anders vereinbart und die Einwilligung des Nutzers erteilt wurde: Daten über die Nutzung der Webanwendung und Mobile-App

Es werden keine besonderen Kategorien von personenbezogenen Daten gemäß Art. 9 Abs. 1 DSGVO verarbeitet.

‍

2.4 Die Dauer der Datenverarbeitung der personenbezogenen Daten ergibt sich aus dem oben genannten Vertrag.

‍

2.5 Der Vertrag gilt unbeschadet des vorstehenden Absatzes so lange, wie simpleclub personenbezogene Daten des Kunden verarbeitet (einschließlich Backups).

‍

2.6 Im Fall eines Widerspruchs zwischen dieser Datenschutzvereinbarung und den Bestimmungen damit zusammenhängender Vereinbarungen, die zwischen den Parteien bestehen oder später eingegangen oder geschlossen werden, hat diese Vereinbarung Vorrang.

‍

2.7 Die Erbringung der vertraglich vereinbarten Datenverarbeitung findet nur dann außerhalb des EWR statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. 

‍

3. Schutzmaßnahmen durch simpleclub

3.1 simpleclub ist verpflichtet, die Bestimmungen über den Datenschutz zu beachten und die von dem Kunden erlangten Informationen nicht an Dritte weiterzugeben oder deren Zugriff auszusetzen. Unterlagen und Daten sind gegen die Kenntnisnahme durch Unbefugte unter Berücksichtigung des Stands der Technik zu sichern.

‍

3.2 simpleclub gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

‍

3.3 simpleclub wird entsprechend Art. 32 DSGVO die unter II. genannten technischen und organisatorischen Maßnahmen zum Schutz der personenbezogenen Daten des Kunden ergreifen und aufrechterhalten. simpleclub ist gestattet, die Maßnahmen dem technischen Fortschritt anzupassen, solange das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten wird.

‍

3.4 Soweit eine Prüfung oder ein Audit des Kunden einen Anpassungsbedarf ergibt, ist dieser einvernehmlich umzusetzen.

‍

4. Informations- und Unterstützungspflichten von simpleclub

4.1 Wird simpleclub eine Verletzung des Datenschutzes bekannt, informiert simpleclub den Kunden unverzüglich, spätestens innerhalb von 24 Stunden. 

‍

4.2 simpleclub unterstützt den Kunden bei der Einhaltung der Pflichten nach Kapitel III DSGVO sowie Art. 32 bis 36 der DSGVO.  (Art. 28 Abs. 3 lit. e & f DSGVO)

‍

4.3 Ist simpleclub aufgrund einer nationalen oder europarechtlichen Bestimmung zur Verarbeitung der personenbezogenen Daten verpflichtet, informiert simpleclub den Kunden umgehend über diese Verarbeitung, sofern kein Verbot einer solchen Mitteilung besteht (Art. 28 Abs. 3 S. 2 lit. a DSGVO).

‍

4.4 Wenn und soweit simpleclub im Zusammenhang mit der Verarbeitung von Daten eine Anfrage einer Aufsichtsbehörde oder sonstigen zuständigen Stelle erhält, hat er den Kunden unverzüglich zu informieren und die Anfrage unverzüglich an den Kunden weiterzuleiten.

‍

4.5 simpleclub stellt dem Kunden alle notwendigen Informationen zur Verfügung, die dieser für die Sicherstellung der Rechte der Betroffenen benötigt. Sollten betroffene Personen oder sonstige Dritte datenschutzrechtliche Anfragen an simpleclub richten oder Datenschutzrechte gegenüber simpleclub geltend machen, betreffen, leitet simpleclub diese Anfragen unverzüglich an den Kunden weiter.

‍

5. Unterauftragsverhältnisse

5.1 Die Hinzuziehung von Unterauftragnehmern bedarf grundsätzlich der Zustimmung des Kunden. Die Zustimmung des Kunden für die Einschaltung oder Ersetzung eines Unterauftragnehmers gilt als erteilt, wenn simpleclub sie dem Kunden vorab in Textform anzeigt und der Kunde nicht innerhalb einer Frist von vier (4) Wochen in Textform Widerspruch erhebt. Simpleclub hat vertraglich sicherzustellen, dass die Regelungen auch für Unterauftragnehmer gelten. Zudem stimmt der Kunde zu, dass Unterauftragnehmer ihrerseits Unterauftragnehmer beauftragen dürfen, sofern die Anforderungen des Art. 28 DSGVO und erfüllt sind.

‍

5.2 Die Verarbeitung der Daten im Auftrag des Kunden findet grundsätzlich auf dem Gebiet der Europäischen Union (EU) bzw. des Europäischen Wirtschaftsraumes (EWR) statt. Jede Übermittlung von Daten durch simpleclub an ein Drittland oder eine internationale Organisation erfolgt ausschließlich auf der Grundlage schriftlicher (oder dokumentierter elektronischer) Weisungen des Kunden oder zur Einhaltung einer speziellen Bestimmung nach dem Unionsrecht oder dem Recht eines Mitgliedstaats, dem simpleclub  unterliegt, und muss mit Kapitel V der DSGVO im Einklang stehen. Die grundlegenden Voraussetzungen für die Rechtmäßigkeit der Verarbeitung bleiben unberührt. 

‍

5.3 Ist simpleclub im Falle eines Widerspruchs die Fortsetzung der Verarbeitung und damit des Vertrages nicht mehr zumutbar, steht den Parteien ein außerordentliches Kündigungsrecht mit angemessener Auslauffrist zu, ohne dass simpleclub zum Ersatz des durch die Vertragsbeendigung entstandenen Schadens verpflichtet ist, sofern die Parteien keine Einigung erzielen können. 

‍

5.4 Der Einschaltung der in III. genannten Unterauftragnehmer sowie der darin genannten Verarbeitungsstandorte und ggf. Übertragungen in Drittländer oder internationale Organisationen stimmt der Kunde bereits jetzt zu. 

‍

5.5 Erbringt der Unterauftragnehmer die vereinbarte Leistung außerhalb des EWR, hält simpleclub die Vorgaben der Art. 44 ff. DSGVO ein. 

‍

5.6 Die Haftung von simpleclub für Pflichtverletzungen herangezogener Unterauftragsverarbeiter richtet sich nach den gesetzlichen Bestimmungen des Art. 28 Abs. 4 DSGVO.

‍

5.7 Nicht als Unterauftragsverhältnisse sind solche Leistungen zu verstehen, die der Auftragnehmer bei Dritten als Nebenleistung zur Unterstützung bei der Auftragsdurchführung in Anspruch nimmt, sofern diese Dritten im Rahmen ihrer Tätigkeit keinen Zugriff auf personenbezogene Daten des Auftraggebers erhalten oder dieser Zugriff rein zufällig und nicht Teil der eigentlichen Dienstleistung ist. Dazu zählen z.B. Telekommunikationsleistungen, Wartung und Benutzerservice, Reinigungskräfte, oder Prüfer. Der Auftragnehmer ist jedoch verpflichtet, zur Gewährleistung des Schutzes und der Sicherheit der Daten des Auftraggebers auch bei fremd vergebenen Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen zu treffen, sowie Kontrollmaßnahmen zu ergreifen.

‍

6. Kontrollrechte des Auftraggebers

6.1 Der Kunde kann die Einhaltung des Datenschutzrechts sowie der vertraglichen Vereinbarungen im angemessenen Umfang selbst oder durch vom Kunden beauftragte Dritte kontrollieren, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten sowie durch Überprüfungen vor Ort. Kontrollen bei simpleclub haben ohne vermeidbare Störungen des Geschäftsbetriebs zu erfolgen. Soweit nicht aus dringlichen Gründen anders angezeigt, finden Kontrollen nach angemessener Vorankündigung und zu Geschäftszeiten von simpleclub sowie nicht häufiger als alle zwölf Monate statt.

‍

6.2 simpleclub verpflichtet sich, dem Kunden auf Anforderung Auskünfte zu erteilen und die Umsetzung der technischen und organisatorischen Maßnahmen nachzuweisen. 

‍

6.3 Der Nachweis solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, kann erfolgen durch

• die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DSGVO
• die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß Art. 42 DSGVO
• aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter und Berater, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren)
• eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.B. nach BSI-Grundschutz oder ISO 31700).

‍

7. Löschung und Rückgabe von personenbezogenen Daten

Nach Aufforderung durch den Kunden – spätestens mit Beendigung des Vertrags – hat simpleclub sämtliche personenbezogenen Daten datenschutzgerecht zu vernichten oder ihm auszuhändigen. Dies gilt nicht für Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen und über das Vertragsende aufzubewahren sind oder sonstige Daten, die aufgrund gesetzlicher Verpflichtung zu speichern sind.

‍

8. Änderung des Auftragsverarbeitungsvertrags (AVV)

8.1 simpleclub kann diesen AVV während der laufenden Vertragsbeziehung ändern, wenn und soweit ein zwingender Grund vorliegt. Ein solcher zwingender Grund kann insbesondere in einer einschlägigen Gesetzesänderung, einer Änderung der höchstrichterlichen Rechtsprechung oder in einer geänderten Verarbeitungstätigkeit liegen. 

‍

8.2 simpleclub bietet dem Kunden Änderungen spätestens 4 Wochen vor dem vorgeschlagenen Zeitpunkt ihres Wirksamwerdens in Textform an. Die Zustimmung des Kunden gilt als erteilt, wenn er den Änderungen nicht vor dem vorgeschlagenen Zeitpunkt des Wirksamwerdens widerspricht. simpleclub wird den Kunden auf diese Zustimmungswirkung in seinem Änderungsangebot besonders hinweisen.

‍

8.3 Widerspricht der Kunde dem neuen AVV, gilt der AVV in seiner bisherigen Fassung fort. 

‍

9 Schlussbestimmungen

9.1 simpleclub und der Kunde haften im Rahmen ihrer Verantwortlichkeiten gemäß den gesetzlichen Bestimmungen des Art. 82 DSGVO gegenüber Dritten für Schäden, die durch eine nicht der DSGVO entsprechende Datenverarbeitung entstanden sind.

‍

9.2 Das Angebot zur Änderung dieses AVV sowie einseitige Willenserklärungen einer Partei bedürfen der Textform. Dies gilt auch für das Angebot zur Abänderung dieser Textformklausel.

‍

9.3 Sollten einzelne Bestimmungen ungültig sein oder werden, berührt dies die Wirksamkeit der übrigen Regelungen nicht. Anstelle einer unwirksamen Bestimmung gilt dasjenige als vereinbart, was dem angestrebten Zweck möglichst nahe kommt. Dies gilt auch für den Fall von Vertragslücken. 

‍

II. Technische und organisatorische Maßnahmen

Die folgenden technischen und organisatorischen Maßnahmen gelten für die Verarbeitung personenbezogener Daten durch simpleclub. Weitere Details und Dokumentation können dem simpleclub Trust-Center entnommen werden: https://trust.simpleclub.com 

‍

Für das Hosting gelten die technischen und organisatorischen Maßnahmen unserer Unterauftragnehmer („Unterauftragnehmer-TOMs“): 

• Google Cloud Data Processing Terms
• Cloudflare TOMs
• Braze AVV inkl. TOMs
• Intercom TOMs
• Loom TOMs
• Algolia TOMs
• Adjust Trust-Center
• Ory AVV inkl. TOMs
• Elasticsearch Trust-Center
• Mailjet AVV inkl. TOMs
• Posthog Trust-Center
• Microsoft Trust-Center
• Langfuse Trust-Center

‍

1. Vertraulichkeit

• Zutrittskontrolle
  
  • Da simpleclub ein Remote-Unternehmen ohne zentrale Bürogebäude ist, konzentrieren sich unsere Maßnahmen auf die Sicherung der dezentralen Arbeitsumgebungen und unserer Cloud-Infrastruktur.
  • Unsere Cloud-Services werden ausschließlich bei zertifizierten Anbietern (mind. ISO 27001 oder SOC Type 2) gehostet, die physische Sicherheitsmaßnahmen auf höchstem Niveau implementieren (z. B. Sicherheitsperimeter, physische Eingangskontrollen, Überwachung). Details können den Unterauftragnehmer-TOMs entnommen werden.
  • Für Mitarbeiter im Homeoffice gelten Richtlinien zur sicheren Gestaltung des Arbeitsplatzes, um den unbefugten physischen Zugriff auf Firmeneigentum zu verhindern.

‍

• Zugangskontrolle (Systemebene)
  
  • Identitäts- und Authentifizierungsmanagement: Wir verwalten den gesamten Lebenszyklus von digitalen Identitäten (Identity management). Der Zugang zu Systemen wird über ein zentrales Identity Management geregelt.
  • Sichere Passwörter & MFA: Wir erzwingen die Nutzung starker, komplexer Passwörter (mindestens 12 Zeichen). Für alle Mitarbeiter ist eine starke Zwei-Faktor-Authentifizierung (2FA), vorzugsweise über FIDO2-Hardware-Keys, für den Zugriff auf kritische Systeme verpflichtend.
  • Endgerätesicherheit: Alle Endgeräte (Laptops, Smartphones) sind durch Passwörter/Biometrie geschützt und mit einer automatisch aktivierten Bildschirmsperre nach kurzer Inaktivität (15 Minuten) konfiguriert. Die Festplatten von Laptops sind verschlüsselt.

‍

• Zugriffskontrolle (Datenebene)
  
  • Least-Privilege-Prinzip: Zugriffsrechte werden nach dem Need-to-know-Prinzip vergeben. Mitarbeiter erhalten nur die Rechte, die für ihre spezifischen Aufgaben notwendig sind. Dies wird durch rollenbasierte Zugriffskonzepte (RBAC) umgesetzt. Entzug von Rechten erfolgt spätestens 24 Geschäftsstunden nach Austritt oder Rollenwechsel und mittels quartalsweisen Access Reviews für High-Risk-Systeme sowie jährlichen Access Reviews für alle Systeme sichergestellt..
  • Verwaltung privilegierter Rechte: Rechte mit erweitertem Zugriff (z. B. Administrator-Accounts) werden streng kontrolliert, auf ein Minimum an Personen beschränkt und ihre Nutzung wird protokolliert.
  • Funktionstrennung: Kritische und widersprüchliche Aufgabenbereiche (z. B. Entwicklung und Freigabe von Code) sind organisatorisch und systemisch getrennt, um Missbrauch zu verhindern.
  • Protokollierung: Zugriffe auf Systeme und Daten werden detailliert protokolliert (Logging), um unbefugte Aktivitäten nachvollziehen zu können.

‍

• Trennungskontrolle
  
  • Logische Mandantentrennung: Daten von unterschiedlichen Kunden werden in unserer Systemarchitektur logisch voneinander getrennt, um unbefugte Zugriffe zu verhindern.
  • Netzwerksegmentierung: Unsere Netzwerke sind segmentiert, um sensible Bereiche (wie Produktionsumgebungen) vom Rest zu isolieren.
  • Trennung von Umgebungen: Entwicklungs-, Test- und Produktionsumgebungen sind strikt voneinander getrennt. In Entwicklungs- und Testumgebungen werden keine produktiven Kundendaten verwendet.

‍

• Anonymisierung und Pseudonymisierung
  
  • KI-Funktionen: Nutzereingaben werden durch technische Filter geleitet, die personenbezogene Daten erkennen und maskieren, bevor die Daten an die KI-Modelle weitergegeben werden. Die technische Anbindung der KI-Modelle erfolgt über die Serverinfrastruktur von simpleclub, sodass keine Übertragung von sonstigen Nutzerdaten (z.B. IP-Adresse, Gerätedaten) an die eingesetzten Unterauftragnehmer stattfinden kann. Die Daten werden nicht zum Training der KI-Modelle verwendet. 
  • Der Einsatz von Langfuse erfolgt ausschließlich in pseudonymisierter Form. Es werden keine Klarnamen, E-Mail-Adressen oder sonstige personenbezogene Daten an Langfuse übermittelt oder mit Langfuse gespeichert.
  • Datenschutzprinzipien: Wir halten uns an die Grundsätze des Datenschutzes, einschließlich der Pseudonymisierung, wo immer dies zur Risikominimierung möglich und sinnvoll ist (z.B: Nutzung von UserID anstelle von E-Mail-Adresse).

‍

2. Integrität

• Weitergabekontrolle
  
  • Verschlüsselung in transit: Jegliche Datenübertragung über öffentliche Netze erfolgt ausschließlich über verschlüsselte Protokolle wie HTTPS mit TLS 1.2 oder höher; erzwungene HSTS.
  • Verschlusselung at rest: Sämtliche Daten werden mittel AES-256 auf der Storage-Ebene verschlüsselt.
  • Data Leakage Prevention: Wir setzen Maßnahmen ein, um den unbefugten Abfluss sensibler Daten zu erkennen und zu verhindern.
  • Schulung der Mitarbeiter: Mitarbeiter werden regelmäßig im sicheren Umgang und der Weitergabe von Daten geschult.

‍

• Eingabekontrolle
  
  • Protokollierung: Änderungen, Eingaben oder Löschungen von Daten in unseren Systemen werden protokolliert, um die Nachvollziehbarkeit zu gewährleisten (Logging).
  • Secure Coding: Unsere Entwickler folgen Prinzipien des sicheren Programmierens, um Schwachstellen wie Injection-Angriffe von vornherein zu vermeiden.
  • Management von Schwachstellen: Wir identifizieren und bewerten technische Schwachstellen in unseren Systemen kontinuierlich und beheben diese basierend auf ihrem Risiko.

‍

3. Verfügbarkeit und Belastbarkeit

• Redundanz und Ausfallsicherheit: Unsere Infrastruktur bei zertifizierten Cloud-Anbietern ist redundant ausgelegt, um die Verfügbarkeit auch bei Ausfällen einzelner Komponenten zu gewährleisten.
• Regelmäßige Backups: Wir erstellen tägliche regelmäßig Backups von kritischen Systemen und Daten. Diese werden verschlüsselt und sicher aufbewahrt.
• Business Continuity & Disaster Recovery: Wir haben Notfallpläne und Prozesse etabliert, um die Wiederherstellung der Systeme nach einem schwerwiegenden Vorfall sicherzustellen. Die Funktionsfähigkeit dieser Pläne wird regelmäßig getestet.
• Schutzmaßnahmen: Wir setzen moderne Schutzprogramme wie Antivirensoftware und Firewalls ein und halten unsere Systeme durch ein konsequentes Patch-Management stets auf dem neuesten Stand.
• Kapazitätsmanagement: Die Auslastung unserer Ressourcen wird überwacht, um Engpässe frühzeitig zu erkennen und die Leistung sicherzustellen.

‍

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• ISMS nach ISO 27001: Für unser gesamtes Unternehmen haben wir ein ISO 27001 zertifiziertes Managementsystem für Informationssicherheit implementiert, welches kontinuierlich betrieben, überwacht und verbessert wird. Dies umfasst regelmäßige Risikoanalysen und Management-Reviews.
• Interne und externe Audits: Wir führen in geplanten Abständen interne Audits durch und lassen unser ISMS von unabhängigen, externen Prüfern zertifizieren, um die Konformität und Wirksamkeit unserer Maßnahmen zu überprüfen.
• Penetrationstests: Externe Sicherheitsexperten führen regelmäßig Penetrationstests unserer Systeme durch, um Schwachstellen proaktiv zu identifizieren.
• Dokumentierter Incident-Response-Prozess mit definierten Rollen und Eskalations- und Meldewegen
• Automatische und manuelle Datenlöschung in Übereinstimmung mit dem internen Löschkonzept.
• Compliance-Überwachung: Ein interner Compliance Manager sowie ein Information Security Team überwachen die Einhaltung aller relevanten gesetzlichen, regulatorischen und vertraglichen Anforderungen.
• Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO): Bei der Entwicklung neuer Produkte und Prozesse sind Datenschutz und Datensicherheit von Anfang an integraler Bestandteil (insbesondere durch die frühzeitige Einbindung und Konsultation unseres Compliance Managers).
• Auftragskontrolle: Wir schließen mit allen Auftragsverarbeitern Verträge gemäß Art. 28 DSGVO und überprüfen deren technische und organisatorische Maßnahmen regelmäßig.
• Schulung und Vertraulichkeit: Alle Mitarbeiter werden bei Eintritt und danach regelmäßig zu Datenschutz und Informationssicherheit geschult und zur Vertraulichkeit verpflichtet. Darüber hinaus wurden interne Richtlinien bezüglich Datenschutz, Informationssicherheit und KI-Verordnung etabliert, welche regelmäßig auf ihre Wirksamkeit evaluiert und verbessert werden.
• Datenschutzbeauftragter: Wir haben einen externen Datenschutzbeauftragten benannt, der uns berät und die Einhaltung der Datenschutzvorschriften überwacht: Proliance GmbH, Leopoldstr. 21, 80802 München, E-Mail: datenschutzbeauftragter@datenschutzexperte.de
• Verzeichnis von Verarbeitungstätigkeiten (VVT): Wir führen ein VVT gemäß Art. 30 DSGVO.

‍