GeniusQ – Lernplattform

Auftragsverarbeitungsvereinbarung (AVV)

Stand: 06.07.2026

Vertragsparteien

Diese Auftragsverarbeitungsvereinbarung (AVV) wird geschlossen zwischen

dem Auftraggeber – dem jeweiligen Firmenkunden (Arbeitgeber), der die Lernplattform GeniusQ für seine Beschäftigten nutzt; die Angaben ergeben sich aus dem zugrunde liegenden Hauptvertrag –

und

dem Auftragnehmer

Steinbeis Transferzentrum für Angewandte Künstliche Intelligenz Prof. Dr. Oliver Janz in Trägerschaft der Transfer GmbH der Dualen Hochschule Baden-Württemberg Im Alten Graben 19 64673 Zwingenberg E-Mail: oliver.janz@stw.de

– Betreiber der Lernplattform GeniusQ, im Folgenden „Auftragnehmer" –

1. Gegenstand und Dauer der Verarbeitung

Der Auftraggeber nutzt die vom Auftragnehmer betriebene Lernplattform GeniusQ, die auf Infrastruktur von Hetzner (Region Falkenstein, FSN1, Deutschland) betrieben wird. Die Datenbank wird als Managed-Service über Elestio in derselben Region (Falkenstein) bereitgestellt. Die Auslieferung von Medien- und statischen Inhalten aus dem Object Storage erfolgt über das Content Delivery Network von bunny.net (BunnyWay d.o.o., Slowenien). Die Plattform ermöglicht Mitarbeitern und Trainern des Auftraggebers das Erstellen, Durchführen und Nutzen von Onlinekursen. KI-Funktionen werden über API-Anfragen an OpenAI, Mistral AI sowie an die über AWS Bedrock (EU, eu-central-1 / Frankfurt) betriebenen Anthropic-Modelle bereitgestellt. Diese Vereinbarung gilt für die Dauer der Nutzung der Plattform durch den Auftraggeber.

2. Art und Zweck der Verarbeitung

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich zu folgenden Zwecken: * Bereitstellung und Betrieb der Lernplattform * Benutzerverwaltung, Rollen und Kurszuordnung * Durchführung von Onlinekursen * Protokollierung des Lernfortschritts * Technischer Betrieb, Wartung und Sicherheit * Keine Verarbeitung zu eigenen Zwecken.

Der Auftragnehmer ist berechtigt, personenbezogene Daten zu anonymisieren. Anonymisierte Daten (bei denen kein Rückschluss auf einzelne Personen mehr möglich ist) unterliegen nicht mehr der Weisungsgebundenheit und dürfen vom Auftragnehmer zur Verbesserung der Systemstabilität, für statistische Auswertungen und zur Weiterentwicklung der Lernplattform zeitlich unbegrenzt genutzt werden. Eine Nutzung anonymisierter Daten zum Training externer KI-Modelle erfolgt nicht.

3. Nutzung von KI-Funktionen

Die Plattform stellt KI-gestützte Funktionen bereit, die auf zwei Arten genutzt werden können: * Erstellung von Lerninhalten: Unterstützung von Trainern und Administratoren bei der Erstellung, Strukturierung und Analyse von Lehrmaterialien. * Lernunterstützung: Interaktive Funktionen für Lernende (z. B. Beantwortung von Fragen, Feedback zu Aufgaben, Prüfungssimulationen).

Für beide Anwendungsbereiche gilt: * Übermittlung zur Vertragserfüllung: Inhalte, die Nutzer in KI-Funktionen eingeben (z. B. PDF-Dokumente, Freitextantworten), werden an die Unterauftragsverarbeiter (z. B. OpenAI, Mistral AI sowie AWS Bedrock für die Anthropic-Modelle) übermittelt. Die optische Zeichenerkennung (OCR) und das Parsing hochgeladener Dokumente erfolgen über Mistral AI. * Dies erfolgt ausschließlich weisungsgebunden zum Zweck der Analyse und der Generierung von Antworten. * Kein KI-Training: Der Auftragnehmer sichert zu, dass die übermittelten Kundendaten gemäß den Vereinbarungen mit den KI-Anbietern nicht zum Training oder zur Verbesserung der KI-Modelle der Anbieter verwendet werden. * Die Daten bleiben vertraulich und isoliert. * Datenminimierung: Der Auftragnehmer implementiert technische Maßnahmen, um die Übermittlung personenbezogener Metadaten (wie User-IDs, Klarnamen) an KI-Dienste auf das technisch notwendige Minimum zu beschränken.

4. Art der personenbezogenen Daten

• Stammdaten: Name, geschäftliche E-Mail-Adresse, Rollen
• Logindaten, Hashwerte, interne IDs
• Kursdaten, Lernstände, Kommentare, Uploads
• Nutzungsdaten (Zeitpunkte, Interaktionen)
• Inhalte, die Nutzer in KI-Funktionen eingeben

4a. Ausschluss besonderer Datenkategorien

Die Plattform ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO (z. B. Gesundheitsdaten, politische Meinungen, religiöse Überzeugungen) konzipiert. Der Auftraggeber verpflichtet sich, keine Kursinhalte oder Eingabefelder bereitzustellen, die systematisch zur Erhebung solcher Daten führen. Sollte der Auftraggeber dennoch besondere Kategorien verarbeiten wollen, ist vorab eine gesonderte Vereinbarung zu treffen.

5. Kategorien betroffener Personen

• Mitarbeitende (Lernende) des Auftraggebers
• Trainer / Dozenten des Auftraggebers
• Administratoren

6. Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich: * Daten nur auf dokumentierte Weisung zu verarbeiten. * DSGVO-Vorgaben einzuhalten (insbesondere Art. 28). * Vertraulichkeit sicherzustellen. * Geeignete technische und organisatorische Maßnahmen umzusetzen. * Den Auftraggeber bei Datenschutzpflichten zu unterstützen. * Daten nach Vertragsende zu löschen oder zu übergeben. * Datenschutzverletzungen unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung, zu melden.

7. Pflichten des Auftraggebers

• Sicherstellung der Rechtmäßigkeit der Verarbeitung
• Information des Auftragnehmers über relevante Änderungen
• Sichere Verwaltung von Nutzerkonten und Rollen
• Nutzung der Plattform im gesetzlichen Rahmen

8. Unterauftragsverarbeiter

Genehmigte Unterauftragsverarbeiter: Die zum Zeitpunkt des Vertragsschlusses vom Auftraggeber genehmigten Unterauftragsverarbeiter sowie deren Standorte und Aufgaben sind in der Anlage „Liste der Unterauftragsverarbeiter“ aufgeführt.

Vertragliche Grundlagen: Mit allen Unterauftragsverarbeitern bestehen Auftragsverarbeitungsverträge oder gleichwertige vertragliche Vereinbarungen gemäß Art. 28 DSGVO. Der Auftragnehmer prüft bei wesentlichen Änderungen der Vereinbarungen, ob das Datenschutzniveau gewahrt bleibt.

Änderungsmechanismus und Einspruch: Der Auftragnehmer ist berechtigt, die in der Anlage aufgeführten Unterauftragsverarbeiter zu ändern (neue hinzuzuziehen oder bestehende zu ersetzen), sofern das vertraglich vereinbarte Datenschutzniveau gewahrt bleibt.

Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen in Textform (z. B. per E-Mail oder Systembenachrichtigung). Diese Information erfolgt mit einer Vorlaufzeit von mindestens 14 Tagen vor dem geplanten Einsatz des neuen Unterauftragsverarbeiters.

Genehmigungsfiktion: Der Auftraggeber kann gegen die Änderung innerhalb der 14-tägigen Frist ab Zugang der Information aus wichtigem datenschutzrechtlichem Grund Einspruch einlegen. Erfolgt innerhalb dieser Frist kein Widerspruch, gilt die Änderung als genehmigt.

Im Fall eines begründeten Einspruchs werden die Parteien eine einvernehmliche Lösung suchen. Gelingt dies nicht, steht dem Auftragnehmer ein Sonderkündigungsrecht zu, sofern die Leistung ohne den neuen Unterauftragsverarbeiter nicht erbracht werden kann.

9. Datenübermittlung in Drittländern

1. Das Hosting der Plattform einschließlich Datenbank und Object Storage erfolgt ausschließlich in Deutschland (Hetzner Region FSN1, Falkenstein; Managed-Datenbank über Elestio in derselben Region).
2. Die Auslieferung von Medien- und statischen Inhalten erfolgt über das Content Delivery Network von bunny.net (BunnyWay d.o.o., Ljubljana, Slowenien). Die eingesetzte Zone ist auf europäische Edge-Server beschränkt; die Auslieferung einschließlich der dabei verarbeiteten technischen Verbindungsdaten (insb. IP-Adressen der abrufenden Nutzer) erfolgt ausschließlich innerhalb der EU/des EWR. Eine Übermittlung in ein Drittland findet hierbei nicht statt.
3. Die KI-Inferenz der Anthropic-Modelle erfolgt über AWS Bedrock ausschließlich innerhalb der EU (Region eu-central-1, Frankfurt); eine Übermittlung in ein Drittland findet hierbei nicht statt.
4. Soweit für KI-Funktionen Daten in ein Drittland (insb. USA, z. B. an OpenAI) übermittelt werden, stellt der Auftragnehmer die Zulässigkeit durch geeignete Garantien gem. Art. 44 ff. DSGVO sicher.
5. Rechtsgrundlage für diese Übermittlungen sind vorrangig der Angemessenheitsbeschluss für das EU-US Data Privacy Framework (DPF), sofern der Anbieter zertifiziert ist.
6. Ersatzweise oder ergänzend werden die EU-Standardvertragsklauseln (SCC) abgeschlossen.
7. Sollte ein Unterauftragsverarbeiter seine Zertifizierung unter dem EU-US Data Privacy Framework verlieren oder sollte der Angemessenheitsbeschluss aufgehoben werden, stellt der Auftragnehmer die Rechtmäßigkeit der Datenübermittlung durch den Abschluss von EU-Standardvertragsklauseln (SCC) oder vergleichbare geeignete Garantien sicher.

10. Unterstützungspflichten und Übermittlung personenbezogener Lerndaten

Der Auftragnehmer verarbeitet personenbezogene Lerndaten (z. B. Lernfortschritte, Kursteilnahmen, Testergebnisse) ausschließlich im Auftrag des Auftraggebers. Der Auftragnehmer ist berechtigt und verpflichtet, dem Auftraggeber sämtliche personenbezogenen Lerndaten zur Verfügung zu stellen, die für die Nutzung der Plattform erforderlich sind. Dies umfasst insbesondere Informationen darüber, ob Nutzer Kurse begonnen, abgeschlossen oder Tests bestanden bzw. nicht bestanden haben. Eine Weitergabe personenbezogener Lerndaten an andere Stellen als den Auftraggeber erfolgt nicht. Der Auftraggeber ist dafür verantwortlich, seine Nutzer gemäß Art. 13 DSGVO über die Verarbeitung und Auswertung der Lerndaten zu informieren. Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Datenschutzpflichten, insbesondere bei: * Auskunftsersuchen betroffener Personen, * Berichtigung, Einschränkung und Löschung personenbezogener Daten, * Bereitstellung von Daten für Zwecke der Datenübertragbarkeit, * Meldung und Dokumentation von Datenschutzverletzungen, * Bereitstellung von Informationen im Rahmen von Datenschutz-Folgenabschätzungen.

11. Technische und organisatorische Maßnahmen (TOM)

Die technischen und organisatorischen Maßnahmen sind in Anhang 1 (TOM-Dokument) beschrieben und Bestandteil dieser Vereinbarung. Der Auftragnehmer ist berechtigt, diesen Anhang bei gleichbleibendem Schutzniveau zu aktualisieren.

12. Löschung, Rückgabe und Aufbewahrung von Daten

Nach Vertragsende gelten folgende Regelungen:

12.1 Löschung personenbezogener Daten Der Auftragnehmer löscht sämtliche personenbezogenen Daten unverzüglich, spätestens innerhalb von 7 Werktagen nach Beendigung des Vertragsverhältnisses, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

12.2 Gesetzliche Aufbewahrungspflichten Der Auftragnehmer ist nur dann zur Aufbewahrung verpflichtet, wenn dies gesetzlich vorgeschrieben ist (z. B. handels- oder steuerrechtliche Aufbewahrungsfristen nach HGB/AO). Da der Auftragnehmer keine abrechnungsrelevanten Unterlagen der Nutzer speichert, bestehen im Regelfall keine gesetzlichen Aufbewahrungspflichten für personenbezogene Lerndaten. System- und Sicherheitsprotokolle (z. B. ServerLogs) können personenbezogene Daten wie IPAdressen enthalten. Diese werden ausschließlich zur Sicherstellung der Systemstabilität genutzt und unterliegen folgenden Fristen: * AccessLogs: automatische Löschung nach maximal 30 Tagen * Fehler- und Ereignisprotokolle: automatische Löschung nach maximal 90 Tagen Längere Aufbewahrung erfolgt nur, wenn dies zur Aufklärung sicherheitsrelevanter Vorfälle erforderlich ist.

12.3 Rückgabe der Daten Auf Wunsch des Auftraggebers stellt der Auftragnehmer vor der Löschung eine vollständige Kopie personenbezogener Daten in einem gängigen, strukturierten Format bereit.

12.4 Umgang mit Backups Backups enthalten personenbezogene Daten und werden wie folgt behandelt: * Eigene Backups des Auftragnehmers * Backups werden täglich erstellt. * Backups werden verschlüsselt gespeichert. * Backups werden nach 14 Tagen automatisch überschrieben. * Damit werden personenbezogene Daten nach Ablauf der BackupRotation endgültig entfernt. * Backups des Unterauftragsverarbeiters Elestio (Managed MySQL) * Elestio erstellt im Rahmen seiner Managed-Database-Dienste automatische tägliche Backups mit einer Aufbewahrungsfrist von 180 Tagen gemäß dessen DPA. * Der Auftragnehmer hat keinen direkten Zugriff auf diese infrastrukturseitigen Backups; * deren Verwaltung erfolgt ausschließlich durch Elestio gemäß dessen DPA. * Diese Backups werden durch Elestio nach Ablauf der Aufbewahrungsfrist regulär automatisiert überschrieben oder gelöscht.

13. Kontrolle und Auditrechte

Der Auftraggeber ist berechtigt, die Einhaltung dieser Vereinbarung sowie der gesetzlichen Datenschutzanforderungen durch den Auftragnehmer zu überprüfen. Audits erfolgen grundsätzlich als Dokumentenprüfung. Hierzu gehören insbesondere Einsicht in das TOM-Dokument, Datenschutzkonzepte, Sicherheitsmaßnahmen sowie Zertifizierungen oder Sicherheitsberichte der Unterauftragsverarbeiter (z. B. Hetzner, Elestio, AWS). Audits erfolgen remote und nur nach vorheriger schriftlicher Ankündigung mit angemessener Frist. Ein physischer Zugang zu Systemen, Servern oder Rechenzentren wird nicht gewährt. Der Auftragnehmer ist verpflichtet, auf Anfrage des Auftraggebers angemessene Informationen zur Verfügung zu stellen, soweit diese zur Bewertung der Datenschutzkonformität notwendig sind. Geschäftsgeheimnisse, sicherheitskritische Details oder interne Abläufe müssen nicht offengelegt werden. Der Umfang, die Dauer und der Zeitpunkt eines Audits dürfen den Geschäftsbetrieb des Auftragnehmers nicht unangemessen beeinträchtigen. Außerordentliche, besonders aufwändige Audits oder externe Prüfungen sind separat zu vereinbaren und können dem Auftraggeber in Rechnung gestellt werden.

14. Haftung

Für den Ersatz von Schäden, die ein Nutzer oder Dritte durch die Nutzung der Plattform erleiden, haftet der Auftragnehmer unbeschränkt nur bei Vorsatz oder grober Fahrlässigkeit. Für leichte Fahrlässigkeit haftet der Auftragnehmer nur bei Verletzung einer wesentlichen Vertragspflicht (Kardinalpflicht), deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Auftraggeber vertrauen darf. In diesem Fall ist die Haftung auf den bei Vertragsschluss vorhersehbaren, vertragstypischen Schaden begrenzt. Die Haftung für Datenverlust wird auf den typischen Wiederherstellungsaufwand beschränkt, der bei regelmäßiger und gefahrentsprechender Anfertigung von Sicherungskopien durch den Auftraggeber eingetreten wäre. Soweit der Schaden durch einen Unterauftragsverarbeiter (z. B. KI-Anbieter) verursacht wurde, tritt der Auftragnehmer vorrangig seine eigenen Schadensersatzansprüche gegen den Unterauftragsverarbeiter an den Auftraggeber ab. Eine subsidiäre Haftung des Auftragnehmers gemäß Art. 28 DSGVO bleibt hiervon unberührt.

15. Schriftform

Änderungen und Ergänzungen dieses Vertrags bedürfen der Schriftform. Dies gilt auch für die Aufhebung dieser Schriftformklausel. Elektronische Signaturen (z. B. DocuSign, Adobe Sign) sind zulässig und der handschriftlichen Unterschrift gleichgestellt. Anpassungen aufgrund gesetzlicher oder regulatorischer Änderungen dürfen vom Auftragnehmer schriftlich mit angemessener Frist angekündigt werden.

16. Schlussbestimmungen

Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Im Falle von Widersprüchen zwischen dieser AVV und dem Hauptvertrag hat diese AVV Vorrang, soweit es um datenschutzrechtliche Regelungen geht. Diese Vereinbarung unterliegt deutschem Recht. Gerichtsstand ist Darmstadt. Diese Vereinbarung tritt mit ihrer Unterzeichnung in Kraft und gilt für die gesamte Dauer der Nutzung der Plattform.