sofortunterweisung24

Auftragsverarbeitung

Was wir für Sie verarbeiten und womit wir es schützen — Art. 28 und Art. 32 DSGVO.

Diese Seite ist noch nicht vollständig: 17 Pflichtangaben fehlen.

  • Name des Unternehmens (§ 5 Abs. 1 Nr. 1 DDG)
  • Straße und Hausnummer (§ 5 Abs. 1 Nr. 1 DDG)
  • Postleitzahl und Ort (§ 5 Abs. 1 Nr. 1 DDG)
  • Vertretungsberechtigte Person (§ 5 Abs. 1 Nr. 1 DDG)
  • E-Mail-Adresse (§ 5 Abs. 1 Nr. 2 DDG)
  • Telefonnummer (§ 5 Abs. 1 Nr. 2 DDG)
  • Registergericht (§ 5 Abs. 1 Nr. 4 DDG)
  • Registernummer (§ 5 Abs. 1 Nr. 4 DDG)
  • Umsatzsteuer-Identifikationsnummer (§ 5 Abs. 1 Nr. 6 DDG)
  • Kontakt für Datenschutzanfragen (Art. 13 Abs. 1 lit. a DSGVO)
  • Datenschutzbeauftragte Person (Art. 13 Abs. 1 lit. b DSGVO)
  • Zuständige Datenschutz-Aufsichtsbehörde (Art. 13 Abs. 2 lit. d DSGVO)
  • Zuständige Aufsichtsbehörde bei zulassungspflichtiger Tätigkeit (§ 5 Abs. 1 Nr. 3 DDG)
  • Gesetzliche Berufsbezeichnung (§ 5 Abs. 1 Nr. 5 DDG)
  • Zuständige Kammer (§ 5 Abs. 1 Nr. 5 DDG)
  • Berufsrechtliche Regelungen und wo sie einsehbar sind (§ 5 Abs. 1 Nr. 5 DDG)
  • Staat, in dem die Berufsbezeichnung verliehen wurde (§ 5 Abs. 1 Nr. 5 DDG)

Einzutragen in src/server/legal/anbieter.ts. Angaben, die es beim Betreiber nicht gibt, dort auf NICHT_ZUTREFFEND setzen.

Warum ein Vertrag nötig ist

Sobald Sie Beschäftigte in dieser Plattform anlegen, verarbeiten wir deren Daten in Ihrem Auftrag. Verantwortlich bleiben Sie; wir sind Auftragsverarbeiter. Art. 28 DSGVO verlangt dafür einen Vertrag in Textform. Er wird vor der ersten Nutzung geschlossen — ohne ihn dürfen Sie keine Beschäftigtendaten einstellen.

Den Vertragstext erhalten Sie von [E-Mail-Adresse für Datenschutzanfragen]. Die folgenden Angaben sind sein sachlicher Kern.

Gegenstand und Dauer

Gegenstand ist die Durchführung und der Nachweis arbeitsplatzbezogener Unterweisungen und Belehrungen. Die Verarbeitung dauert so lange, wie der Vertrag läuft, und darüber hinaus für die Zeit, in der Nachweise gesetzlich aufzubewahren sind.

Art der Daten und Kreis der Betroffenen

Betroffen sind Ihre Beschäftigten. Verarbeitet werden Stammdaten, Tätigkeitsmerkmale, soweit sie für die Zuordnung einer Pflicht nötig sind, Lernfortschritt, Prüfungsergebnisse und die daraus entstehenden Nachweise. Besondere Kategorien nach Art. 9 DSGVO werden nicht verarbeitet — auch nicht bei den Belehrungen nach dem Infektionsschutzgesetz: gespeichert wird die Teilnahme, nicht ein Gesundheitszustand.

Weisungsbindung

Wir verarbeiten die Daten ausschließlich nach Ihren Weisungen. Eine Verarbeitung für eigene Zwecke findet nicht statt; es gibt keine Auswertung über Unternehmen hinweg, kein Profiling und keine Weitergabe an Dritte zu Werbezwecken.

Technische und organisatorische Maßnahmen

Nach Art. 32 DSGVO, jeweils mit dem Ort im Quelltext:

  • Trennung nach Unternehmen. Jede Datenbankabfrage wird automatisch auf das jeweilige Unternehmen eingeschränkt; fehlt der Bezug, bricht die Abfrage ab statt still alles zu liefern. Automatisierte Tests prüfen, dass ein Zugriff über Unternehmensgrenzen ins Leere läuft.
  • Anmeldung. Passwörter werden mit bcrypt gespeichert, niemals im Klartext. Für alle verwaltenden Rollen ist ein zweiter Faktor verpflichtend. Anmeldelinks werden nur als Streuwert gespeichert, verfallen nach kurzer Zeit und sind einmal verwendbar.
  • Sitzungen. Signiertes Cookie, nur über den Server setzbar, nur verschlüsselt übertragbar, Ablauf nach acht Stunden.
  • Missbrauchsschutz. Wiederholte Fehlversuche werden gesperrt, gezählt anhand der Kennung statt der IP-Adresse.
  • Transportverschlüsselung. Ausschließlich HTTPS, Zertifikate werden automatisch erneuert, HSTS ist gesetzt. Die Datenbank ist von außen nicht erreichbar.
  • Prüffestigkeit. Nachweisrelevante Tabellen werden ergänzt, nicht geändert. Das Protokoll ist über Streuwerte verkettet: ein nachträglich veränderter Eintrag bricht die Kette und ist erkennbar.
  • Serverseitige Zeitstempel. Lernfortschritt und Abschluss entstehen auf dem Server. Ein manipuliertes Gerät kann keine Lernzeit erzeugen.
  • Hochgeladene Kurspakete. Archive werden gegen Pfadausbruch geprüft, ausführbare Dateitypen abgewiesen, Inhalte nur über eine kontrollierte Route ausgeliefert.
  • Löschung. Fristen sind je Kurs hinterlegt und laufen automatisch ab. Beim Löschen einer Person werden Stammdaten unkenntlich gemacht, laufende Nachweise bleiben bis zum Fristende bestehen.
  • Sicherung. Tägliche Datensicherung, getrennt vom Server aufbewahrt. Das Zurückspielen wird regelmäßig geprüft und dokumentiert.

Unterauftragsverarbeiter

Eingesetzte Dienstleister für Betrieb, Datenbank und E-Mail-Versand werden im Vertrag namentlich benannt. Ein Wechsel wird vorab mitgeteilt; Sie können widersprechen. Alle Verarbeitungen finden in Deutschland statt, eine Übermittlung in Drittländer erfolgt nicht.

Unterstützung bei Betroffenenrechten

Fragt eine beschäftigte Person bei Ihnen nach Auskunft, Berichtigung oder Löschung, unterstützen wir Sie: die Plattform stellt einen maschinenlesbaren Auskunftsexport bereit und führt die Löschung entlang der hinterlegten Fristen durch. Wendet sich jemand direkt an uns, verweisen wir an Sie und geben Ihnen Bescheid.

Meldung von Verletzungen

Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, benachrichtigen wir Sie unverzüglich mit den Angaben, die Sie für Ihre Meldung nach Art. 33 DSGVO benötigen. Die Meldung an die Aufsichtsbehörde obliegt Ihnen als Verantwortlichem.

Nach Vertragsende

Nach Ihrer Wahl geben wir die Daten heraus oder löschen sie. Nachweise, die Sie gesetzlich weiter aufbewahren müssen, stellen wir Ihnen vorher als Export bereit.

Nachweis und Kontrolle

Sie dürfen die Einhaltung dieser Maßnahmen überprüfen. Wir erteilen die dafür nötigen Auskünfte und ermöglichen nach Ankündigung eine Prüfung, soweit sie den Betrieb und die Daten anderer Kunden nicht beeinträchtigt.

Siehe auch Datenschutz und Impressum.

Stand dieser Fassung: 20. September 2026