Auftragsverarbeitungsvertrag

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag

nach Art. 28 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, DSGVO)

zwischen

dem Kunden, der eine Akademie auf konerio betreibt
(nachfolgend „Verantwortlicher")

und

Mag. Paci David, Einzelunternehmen, Weiherweg 4, 9500 Villach, Österreich (konerio)
(nachfolgend „Auftragsverarbeiter")

Wie dieser Vertrag zustande kommt: Er wird gemeinsam mit dem Hauptvertrag geschlossen. Der Verantwortliche stimmt ihm bei der Registrierung seiner Akademie zu; einer gesonderten Unterschrift bedarf es nicht. Wer eine unterschriebene Ausfertigung für seine Unterlagen oder für eine Prüfung braucht, druckt die PDF-Fassung aus, ergänzt seine Angaben und sendet sie an hallo@konerio.com. konerio zeichnet gegen.

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Rahmen der Bereitstellung der Lernplattform konerio für den Verantwortlichen durchführt. Die Einzelheiten ergeben sich aus Anlage 1.

(2) Die Dauer entspricht der Laufzeit des Hauptvertrags. Der Vertrag endet mit ihm, ohne dass es einer gesonderten Kündigung bedarf. Die Pflichten aus § 10 (Löschung und Rückgabe) und § 6 (Vertraulichkeit) gelten darüber hinaus.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich zu dem Zweck, dem Verantwortlichen die Plattform bereitzustellen und zu betreiben. Die einzige Ausnahme regelt § 3 Abs. 6 (konerio-Newsletter).

(2) Die Verarbeitung findet ausschließlich in einem Mitgliedstaat der Europäischen Union statt, mit der einen in Anlage 3 ausdrücklich bezeichneten Ausnahme (Auslieferung von Videos über ein weltweites Liefernetz). Eine darüber hinausgehende Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Verantwortlichen.

(3) Art der Daten, Kategorien betroffener Personen und Verarbeitungstätigkeiten stehen in Anlage 1.

§ 3 Weisungsbindung

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Das gilt auch für die Übermittlung in ein Drittland, es sei denn, der Auftragsverarbeiter ist dazu nach Unionsrecht oder österreichischem Recht verpflichtet; in diesem Fall teilt er dem Verantwortlichen die rechtliche Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Was als Weisung gilt. Die Nutzung der Plattform durch den Verantwortlichen und die von ihm berechtigten Personen ist die laufende Weisung: das Anlegen von Kursen, das Einladen und Löschen von Personen, die Wahl der Einstellungen, der Versand von Mitteilungen. Eine gesonderte Weisung ist dafür nicht nötig und wird nicht erwartet.

(3) Weisungen darüber hinaus erteilt der Verantwortliche in Textform an hallo@konerio.com. Mündliche Weisungen bestätigt er unverzüglich in Textform.

(4) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung bis zur Klärung aussetzen (Art. 28 Abs. 3 letzter Satz DSGVO).

(5) Der Auftragsverarbeiter verwendet die Daten zu keinem eigenen Zweck, mit der einen Ausnahme aus Absatz 6. Insbesondere erstellt er daraus keine Auswertungen über einzelne Personen, gibt sie nicht an Dritte weiter und verwendet sie nicht zum Trainieren von Modellen.

(6) Ausnahme: konerio-Newsletter. Administratoren einer Akademie können den konerio-Newsletter mit Produktneuigkeiten und Angeboten von konerio für die eigene E-Mail-Adresse bestellen. Die Einwilligung erteilt die einzelne Person gegenüber konerio, nicht der Verantwortliche. Für den Versand des Newsletters und den Nachweis von Einwilligung und Widerruf ist konerio selbst Verantwortlicher (Art. 4 Nr. 7 DSGVO), auf Grundlage der Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 174 Abs. 3 TKG 2021). Verarbeitet werden E-Mail-Adresse und Rolle dieser Person, der Name ihrer Akademie sowie Zeitpunkt und Herkunft von Einwilligung und Widerruf. Ohne Einwilligung erhält keine Person den Newsletter. Einzelheiten enthält die Datenschutzerklärung, Teil A, Abschnitt 5.

§ 4 Ort der Verarbeitung

(1) Die Server, auf denen Anwendung und Datenbank laufen, stehen in einem Rechenzentrum in Wien, Österreich.

(2) Der Objektspeicher für Dateien, Bilder und Zertifikats-PDFs sowie das Sicherungsdepot liegen in Deutschland.

(3) Der Versand von E-Mails erfolgt über einen Dienstleister in Frankreich.

(4) Videodateien liegen im Speicher des Video-Dienstleisters in der EU. Die Auslieferung an Endgeräte erfolgt über dessen weltweites Liefernetz; siehe Anlage 3.

§ 5 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

(1) Sicherheit. Die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO zu treffen und einzuhalten. Sie sind in Anlage 2 beschrieben. Der Auftragsverarbeiter darf sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.

(2) Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e DSGVO). Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch nachzukommen. In der Plattform stehen dafür der Datenexport je Person und die Anonymisierung eines Kontos bereit; der Verantwortliche kann beides selbst ausführen.

(3) Weiterleitung statt Beantwortung. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

(4) Unterstützung bei den Pflichten aus Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO), insbesondere bei einer Datenschutz-Folgenabschätzung und bei einer vorherigen Konsultation der Aufsichtsbehörde, im Rahmen der ihm vorliegenden Informationen.

(5) Meldung von Verletzungen. Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens binnen 24 Stunden nach Kenntnis (Art. 33 Abs. 2 DSGVO). Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen und ergriffene Maßnahmen. Die Meldung an die Aufsichtsbehörde und an die Betroffenen ist Sache des Verantwortlichen.

(6) Verzeichnis. Ein Verzeichnis aller Verarbeitungstätigkeiten im Auftrag nach Art. 30 Abs. 2 DSGVO zu führen und dem Verantwortlichen auf Anfrage vorzulegen.

(7) Ansprechpartner. Für alle Fragen zum Datenschutz ist hallo@konerio.com die zuständige Adresse. Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des Art. 37 DSGVO liegen nicht vor.

§ 6 Vertraulichkeit

(1) Der Auftragsverarbeiter verarbeitet die Daten vertraulich und setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

(2) Diese Verpflichtung besteht auch nach Beendigung des Vertrags fort.

(3) Die Personen, die Zugang zu den Daten haben, werden über die Anforderungen des Datenschutzes unterwiesen.

§ 7 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt hiermit die allgemeine schriftliche Genehmigung (Art. 28 Abs. 2 DSGVO) zur Beauftragung der in Anlage 3 genannten Unterauftragsverarbeiter. Die Bedingungen dieses Paragrafen sind zugleich die Bedingungen im Sinn des Art. 28 Abs. 3 lit. d DSGVO.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vorher in Textform über die beabsichtigte Hinzuziehung eines weiteren oder die Ersetzung eines bestehenden Unterauftragsverarbeiters.

(3) Der Verantwortliche kann einer solchen Änderung binnen 30 Tagen ab Zugang der Information aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Lässt sich der Widerspruch nicht ausräumen, kann er den Hauptvertrag zum Zeitpunkt der Änderung außerordentlich kündigen; bereits gezahlte Entgelte werden anteilig erstattet.

(4) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf, die ihn selbst treffen (Art. 28 Abs. 4 DSGVO), und haftet dem Verantwortlichen gegenüber für deren Einhaltung.

(5) Keine Unterauftragsverarbeitung im Sinn dieses Paragrafen sind Nebenleistungen ohne bestimmungsgemäßen Zugriff auf die Daten, etwa Telekommunikationsleistungen.

§ 8 Drittlandübermittlung

(1) Eine Übermittlung in ein Drittland findet ausschließlich in dem Umfang statt, der in Anlage 3 bei der Auslieferung von Videos beschrieben ist.

(2) Grundlage sind die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914) in der Auftragsverarbeitungsvereinbarung des betroffenen Unterauftragsverarbeiters.

(3) Eine darüber hinausgehende Übermittlung erfolgt nur auf Weisung des Verantwortlichen oder aufgrund einer gesetzlichen Verpflichtung nach § 3 Abs. 1.

§ 9 Nachweise und Prüfungen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Nachweis erfolgt in der Regel durch Auskunft in Textform, durch Vorlage dieser Anlage 2 in ihrer jeweils geltenden Fassung und durch Beantwortung eines Prüfkatalogs des Verantwortlichen.

(3) Eine Prüfung vor Ort ist nach Ankündigung mit mindestens 14 Tagen Vorlauf während der üblichen Geschäftszeiten möglich, höchstens einmal je Kalenderjahr, sofern kein besonderer Anlass besteht. Sie darf den Betrieb nicht unangemessen beeinträchtigen und die Vertraulichkeit der Daten anderer Kunden nicht gefährden. Der Verantwortliche trägt die Kosten seiner Prüfung; über den Aufwand des Auftragsverarbeiters kann eine angemessene Vergütung vereinbart werden.

(4) Bei einem besonderen Anlass, insbesondere nach einer Verletzung des Schutzes personenbezogener Daten oder auf Anordnung einer Aufsichtsbehörde, entfällt die Beschränkung auf eine Prüfung je Jahr.

§ 10 Löschung und Rückgabe

(1) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter die Daten oder gibt sie zurück, nach Wahl des Verantwortlichen (Art. 28 Abs. 3 lit. g DSGVO).

(2) Ohne abweichende Wahl gilt: Der Zugang zum Export bleibt 30 Tage nach Vertragsende bestehen. Danach löscht der Auftragsverarbeiter die Daten des Verantwortlichen binnen weiterer 30 Tage aus dem Produktivsystem, einschließlich der Videodateien beim Video-Dienstleister und der Dateien im Objektspeicher.

(3) Sicherungskopien laufen mit dem Sicherungszyklus aus. Die längste Aufbewahrung einer Sicherung beträgt sechs Monate; danach ist auch die letzte Kopie entfallen. Bis dahin sind die Daten in den Sicherungen gegen jede andere Verwendung als eine Wiederherstellung gesperrt.

(4) Unberührt bleibt eine gesetzliche Aufbewahrungspflicht des Auftragsverarbeiters. Für Daten aus der Akademie besteht eine solche nicht; die Rechnungen über das Entgelt für konerio selbst sind eigene Daten des Auftragsverarbeiters und nicht Gegenstand dieses Vertrags.

(5) Die Löschung wird auf Verlangen in Textform bestätigt.

§ 11 Haftung

(1) Es gilt Art. 82 DSGVO.

(2) Im Innenverhältnis gelten ergänzend die Haftungsregeln des Hauptvertrags, soweit Art. 82 DSGVO dem nicht entgegensteht.

§ 12 Schlussbestimmungen

(1) Änderungen bedürfen der Textform.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor.

(3) Es gilt österreichisches Recht. Gerichtsstand ist Villach, Österreich.

(4) Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam.

---

Anlage 1: Gegenstand der Verarbeitung

Kategorien betroffener Personen

• Lernende und Teilnehmende der Akademie
• Trainerinnen und Trainer sowie Verwaltungspersonal des Verantwortlichen
• Ansprechpersonen bei Firmenkunden des Verantwortlichen
• Kontaktpersonen der Veranstaltungsorte des Verantwortlichen, ohne Konto
• Käuferinnen und Käufer von Kursen, auch ohne Konto (Gast-Kauf)
• Auch Personen, die sich selbst in einen kostenlos angebotenen Kurs einschreiben, bevor ein Konto besteht
• Personen auf der Warteliste eines ausgebuchten Termins, mit oder ohne Konto

Arten der Daten

Art	Inhalt
Stammdaten	Name, E-Mail-Adresse, Rolle, Zugehörigkeit zu Gruppe und Firma
Zugangsdaten	Passwort-Hash, Sitzungen, Anmeldelinks, Zeitpunkt der letzten Anmeldung
Profilangaben	Geburtsdatum, Anschrift, Telefonnummer, Personalnummer
Lern- und Prüfungsdaten	Fortschritt je Lektion, Prüfungsversuche, Antworten, Punkte, Bewertungen
Abgaben	Dateien und Notizen, die Lernende in einer Formular-Lektion abgeben, und die Rückmeldung des Trainers
Anwesenheit	Anwesenheit je Kurstag
Nachweise	ausgestellte Zertifikate mit Nummer und öffentlichem Prüfcode
Kauf- und Rechnungsdaten	Bestellungen, Beträge, Zahlungsweg, Rechnungsangaben, Käuferdaten
Zustimmungsnachweise	Wortlaut der bestaetigten Bedingungen, Zeitpunkt, E-Mail-Adresse, Herkunft der Anfrage
Veranstaltungsorte	Name und Anschrift des Orts; Name, E-Mail-Adresse und Telefonnummer der Kontaktperson; Notiz; Terminanfragen an die Kontaktperson mit Kurs, Datum, Uhrzeit, Ort und Raum, Stand und Zeitpunkt der Antwort und Kommentar der Kontaktperson
Wartelisten	Termin, Stand und Zeitpunkt des Eintrags; ohne Konto zusätzlich Name, E-Mail-Adresse und Wortlaut der bestätigten Bedingungen
Kommunikationsdaten	Empfänger, Vorlage und Zustellstatus versendeter Systemmails
Berichte mit Zeitplan	Bericht, Rhythmus und Empfänger je Bericht, Stichtag des letzten Versands je Empfänger; die versendete CSV-Datei enthält Stammdaten, Zugangsstatus, Lernfortschritt und das Ausstellungsdatum von Zertifikaten, beim Bericht „Trainereinsätze" die Kurstage, Stunden und Kurse der Trainerinnen und Trainer (Abschnitt „Versand von Berichten mit Zeitplan")
Änderungsprotokoll	Änderungen an Anmelde-Adresse und Name einer Person, mit altem und neuem Wert, handelnder Person und Zeitpunkt
Support-Tickets	Betreff, Nachrichten und Anhänge der Tickets, die Administratoren des Verantwortlichen an den Support von konerio richten, mit Name und E-Mail-Adresse des Absenders; ein Anhang (Bild, PDF oder CSV-Datei) kann Daten jeder Art aus dieser Tabelle enthalten; dazu die internen Notizen des Supports zu einem Ticket und der Text jeder Antwort des Supports
Inhaltsdaten	Dateien, Bilder und Videos, die der Verantwortliche einstellt

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Die Plattform sieht dafür kein Feld vor.

Verarbeitungstätigkeiten

Speichern, Ordnen, Auslesen, Verändern, Übermitteln an die berechtigten Personen des Verantwortlichen, Bereitstellen von Videos und Dateien, Versenden von Systemmails und Berichten mit Zeitplan, Erzeugen von Rechnungen und Zertifikaten, Bearbeiten von Support-Tickets, Anonymisieren und Löschen, Sichern und Wiederherstellen.

Zweck

Betrieb einer Lernplattform für den Verantwortlichen: Verwaltung von Kursen, Terminen und Teilnehmenden, Abstimmung von Präsenzterminen mit den Veranstaltungsorten, Führung von Wartelisten, Durchführung von Prüfungen, Erfassung der Anwesenheit, Ausstellung von Zertifikaten und Abwicklung von Kursverkäufen, Versand von Berichten an die Administratoren des Verantwortlichen sowie Bearbeitung der Support-Tickets des Verantwortlichen durch den Support von konerio.

Verarbeitung für die KI-Funktionen

Die KI-Funktionen der Plattform sind ausgeschaltet, bis der Verantwortliche sie in seiner Akademie einschaltet. Erst dann übermittelt der Auftragsverarbeiter dem in Anlage 3 genannten Unterauftragsverarbeiter Mistral AI die Daten, die die jeweilige Funktion braucht:

Funktion	Übermittelte Daten
Fragen aus Lektionen vorschlagen	die gewählten Abschnitte einer Lektion
Untertitel und Transkripte	die Tonspur eines Kursvideos
Aufbereitung von Kursunterlagen	die Kursunterlagen, die für den Lernassistenten aufbereitet werden
Lernassistent	die Frage einer lernenden Person ohne ihren Namen, dazu Abschnitte der Kursunterlagen

Namen, Konten sowie Lern- und Prüfungsergebnisse werden dabei nicht übermittelt.

Bestätigung von Terminen durch Veranstaltungsorte

Ab dem Paket Plus fragen Administratoren des Verantwortlichen ohne einschränkende Firmenrolle an einem Präsenztermin die Bestätigung des verknüpften Veranstaltungsorts an. Der Auftragsverarbeiter versendet dazu im Auftrag des Verantwortlichen eine E-Mail an die Kontaktperson des Orts, die über einen Link ohne eigenes Konto antwortet.

• Zweck. Abstimmung von Präsenzterminen mit dem Veranstaltungsort: Bestätigung oder Ablehnung eines Termins durch die Kontaktperson.
• Daten. Je Anfrage Termin und Ort, Kurs, Datum, Uhrzeit, Kurstage, Anschrift und Raum zum Zeitpunkt der Anfrage, Status, Ablauf des Links, Zeitpunkte von Anfrage, Versand und Antwort, die anfragende Person und der optionale Kommentar der Kontaktperson mit höchstens 1.000 Zeichen. Name und E-Mail-Adresse der Kontaktperson sind am Ort gespeichert, nicht in der Anfrage; der Link ist nur als Prüfwert (Hash) gespeichert.
• Empfänger. Die Kontaktperson des Orts erhält die E-Mail mit dem Namen der Akademie, Kurs, Datum, Uhrzeit, Kurstagen, Ort und Raum, versendet über Scaleway SAS (Paris, Frankreich, Anlage 3). Der Link gilt 14 Tage und lässt genau eine Antwort zu. In der Akademie sehen den Status der Bestätigung alle Personen, die den Termin in der Verwaltung sehen; den Kommentar sehen nur Administratoren ohne einschränkende Firmenrolle. Die Protokolleinträge zur Anfrage enthalten weder Kontaktdaten noch den Kommentar.
• E-Mail zur Änderung und zur Absage. Verliert eine Bestätigung oder eine versendete Anfrage ihre Gültigkeit, erhält die Kontaktperson des Orts eine E-Mail ohne Link zur Antwort mit dem Namen der Akademie und Kurs, Datum, Uhrzeit, Kurstagen, Ort und Raum zum Zeitpunkt der Anfrage: zur Änderung des Termins, wenn die Anfrage zugestellt oder bestätigt war, zur Absage oder Löschung des Termins oder seines Kurses. Je Anfrage wird höchstens eine dieser E-Mails versendet, nach einer Ablehnung keine. Die E-Mail-Adresse wird beim Versand am Ort gelesen; nach einem Wechsel der Kontaktperson erhält die neue Kontaktperson die E-Mail. Versendet wird über Scaleway SAS (Anlage 3).
• Ende der Gültigkeit. Ändern sich Datum, Uhrzeit, Kurstage, Ort oder Raum des Termins oder wird er abgesagt, verliert eine Anfrage, Bestätigung oder Ablehnung ihre Gültigkeit. Die Anfrage bleibt mit dem Kommentar gespeichert.
• Speicherdauer. Eine Anfrage samt Kommentar bleibt gespeichert, solange Termin und Ort bestehen, auch nach dem Ende ihrer Gültigkeit, nach Ablauf des Links und nach einem Wechsel der Kontaktperson. Sie wird mit dem Termin oder mit dem endgültig gelöschten Ort gelöscht; mit dem Ende des Vertrags gilt § 10. Für die E-Mail zur Änderung oder Absage speichert das Protokoll der Akademie einen Eintrag mit dem Ort, Kurs, Datum, Uhrzeit, Kurstagen, Anschrift und Raum zum Zeitpunkt der Anfrage, dem Prüfwert (Hash) des letzten Links und der Angabe, ob die Anfrage zugestellt war, ohne Kontaktdaten und ohne Kommentar; dazu ein Eintrag zum Versand. Diese Einträge bleiben auch nach dem Löschen des Termins oder Kurses gespeichert, wie jeder Eintrag im Protokoll der Akademie, und werden mit den Daten der Akademie nach § 10 gelöscht. Der Eintrag im Mailprotokoll (Empfänger, Vorlage, Zustellstatus) wird beim ersten täglichen Lauf nach Ablauf von 90 Tagen gelöscht; während einer Sperre der Akademie ruht dieser Lauf bis zur Aufhebung der Sperre.

Versand von Berichten mit Zeitplan

Ab dem Paket Max legt der Verantwortliche unter „Einstellungen → Berichte" Berichte an, die der Auftragsverarbeiter wöchentlich oder monatlich um 07:00 Uhr in der Zeitzone der Akademie per E-Mail versendet.

• Zweck. Regelmäßige Übersicht für die Verwaltung des Verantwortlichen über Lernfortschritt, Teilnehmende und die Einsätze der Trainerinnen und Trainer, ohne manuellen Export.
• Inhalt. Jeder Bericht ist eine CSV-Datei mit denselben Spalten wie der Export der jeweiligen Liste in der Verwaltung: „Lernfortschritt je Kurs", „Lernfortschritt je Firma", „Lernfortschritt je Person", „Teilnehmerübersicht" oder „Trainereinsätze" (Export der Seite „Trainer").
• Daten und betroffene Personen. „Lernfortschritt je Person" enthält je Einschreibung Name, Firma, Gruppe, Kurs, Termin, Lernstand, Fortschritt in Prozent und Ausstellungsdatum des Zertifikats der eingeschriebenen Person. „Lernfortschritt je Kurs" enthält je Kurs die Anzahl der Firmen, „Lernfortschritt je Firma" je Firma die Anzahl der gebuchten Kurse, beide dazu die Anzahl der Mitarbeitenden, der begonnenen und abgeschlossenen Einschreibungen und der Zertifikate sowie Fortschritt in Prozent, ohne Angaben zu einzelnen Personen. Die „Teilnehmerübersicht" enthält Name, Firma, Firmenrolle, Rolle, Zugangsstatus und Fortschritt in Prozent jedes Kontos der Akademie, also von Lernenden, Trainerinnen und Trainern sowie Administratoren; gelöschte Konten und das Konto des konerio-Supports sind nicht enthalten. „Trainereinsätze" enthält je Konto mit der Rolle „Trainer" oder „Trainer (nur lesen)" Name, E-Mail-Adresse, ob sich die Person schon angemeldet hat, Firma und Gruppen; für das Jahr, in dem der Berichtszeitraum beginnt, die Anzahl der Kurstage, die Stunden, die Kurse mit der Anzahl ihrer Kurstage und die Anzahl der offenen Einladungen, der abgesagten Kurstage, der vertretenen Kurstage und der Kurstage als Vertretung; dazu die zugewiesenen Kurse. Gelöschte Konten sind nicht enthalten.
• Empfänger. Ausschließlich Administratoren der Akademie mit vollem Blick, also ohne einschränkende Firmenrolle, die der Verantwortliche je Bericht auswählt. Das Recht wird bei jedem Versand neu geprüft; eine Person mit Firmenrolle, ein gelöschtes Konto und das Konto des konerio-Supports erhalten keinen Bericht.
• Anhang oder Link. Eine Datei bis 1,5 MB wird als Anhang der E-Mail versendet. Eine größere Datei legt der Auftragsverarbeiter im privaten Objektspeicher der Akademie ab, und die E-Mail enthält einen Link mit einer Frist von sechs Tagen (Anlage 2, Vertraulichkeit).
• Speicherdauer. Eine abgelegte Datei wird beim ersten Aufräumlauf nach Ablauf von sieben Tagen gelöscht. Aufgeräumt wird täglich um 04:00 Uhr in der Zeitzone der Akademie und nach jedem Versand. Während einer Sperre der Akademie ruht das Aufräumen bis zur Aufhebung der Sperre; mit dem Ende des Vertrags gilt § 10. Mit der Zustellung liegt der Bericht im Postfach des Empfängers; über dieses Postfach entscheidet der Verantwortliche.

Bearbeitung von Support-Tickets

Administratoren des Verantwortlichen richten in der Verwaltung unter „Support" Tickets an den Support von konerio. Der Auftragsverarbeiter verarbeitet jedes Ticket samt Name und E-Mail-Adresse des Absenders und allen Daten in Nachrichten und Anhängen im Auftrag des Verantwortlichen.

• Zweck. Bearbeitung von Fragen und Störungen der Akademie des Verantwortlichen.
• Empfänger. Der Support von konerio. In der Akademie sehen Administratoren ohne einschränkende Firmenrolle alle Tickets, Administratoren mit Firmenrolle nur die eigenen. Bei einem neuen Ticket und jeder Antwort des Verantwortlichen erhält der Auftragsverarbeiter eine E-Mail, die nur den Namen der Akademie, die Nummer des Tickets, die Zahl der Anhänge und den Link in seinen Verwaltungsbereich enthält. Der Absender erhält beim Anlegen eine Eingangsbestätigung, wenn das Ticket bei ihrem Versand noch im Status „Neu“ ist und der Support noch nicht geantwortet hat, und bei jeder Antwort des Supports eine E-Mail mit der Antwort. Beide E-Mails erhält der Absender nur, solange er Administrator der Akademie ist; sie werden über Scaleway SAS versendet (Anlage 3).
• Interne Notizen. Der Support von konerio hält in internen Notizen Angaben zur Bearbeitung eines Tickets fest; die Notizen können Daten aus dem Ticket enthalten. Diese Notizen sieht nur der Support von konerio.
• Nicht zugestellte Antworten. Der Auftragsverarbeiter speichert den Text jeder Antwort des Supports zusätzlich in seinem Verwaltungsbereich. Kann eine Antwort nicht im Ticket zugestellt werden, z. B. während einer Sperre der Akademie, sieht diesen Text nur der Support von konerio.
• Auskunft zu einer Person. Auf Anfrage des Verantwortlichen stellt der Auftragsverarbeiter die internen Notizen und die Texte nicht zugestellter Antworten zu den Tickets, die eine Person angelegt hat, als Datei bereit, damit der Verantwortliche einen Antrag auf Auskunft nach Art. 15 DSGVO beantworten kann (§ 5 Abs. 2). Der Auftragsverarbeiter protokolliert jede Bereitstellung mit der Zahl der Notizen und Antworten, ohne deren Text.
• Schließen. Ein Ticket in „Gelöst“ oder „Wartet auf Antwort“ wird beim ersten Lauf nach Ablauf von 14 Tagen ohne Antwort des Verantwortlichen geschlossen. Ein Ticket in „Neu“ oder „In Bearbeitung“ bleibt offen, bis der Support den Status ändert.
• Speicherdauer. Während der Laufzeit dieses Vertrags löscht der Auftragsverarbeiter ein Ticket samt Nachrichten, Anhängen, internen Notizen und gespeicherten Antworttexten beim ersten Lauf nach Ablauf von drei Jahren seit dem Schließen des Tickets. Der Lauf startet alle 15 Minuten. Während einer Sperre der Akademie ruht der Lauf bis zur Aufhebung der Sperre; das gilt für das Löschen nach drei Jahren und für das Schließen nach 14 Tagen. Mit dem Ende des Vertrags gilt § 10 für alle Tickets. Die Frist aus § 10 geht der Frist von drei Jahren vor. Wird das Konto des Absenders gelöscht, werden Name und E-Mail-Adresse am Ticket ersetzt. Scheitert der Auftrag zur Zustellung einer Antwort, ist eine Kopie des Texts zusätzlich in der Auftragswarteschlange des Auftragsverarbeiters gespeichert. Die Warteschlange löscht die Kopie spätestens 31 Tage nach dem Scheitern. Bei der Löschung nach § 10 löscht der Auftragsverarbeiter auch die Kopien der bis dahin gescheiterten Aufträge des Verantwortlichen. Die Kopie eines Auftrags, der erst nach dieser Löschung scheitert, löscht die Warteschlange spätestens 31 Tage nach dem Scheitern.

---

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Diese Anlage beschreibt, was gebaut und in Betrieb ist. Sie enthält keine Absichtserklärungen.

Mandantentrennung: die Maßnahme, auf der alles andere aufsetzt

• Die Trennung liegt in der Datenbank, nicht in der Anwendung. Jede fachliche Tabelle hat eine Mandantenkennung, und auf jeder dieser Tabellen ist Postgres Row-Level Security aktiv und erzwungen (FORCE). Eine Abfrage kann Daten eines fremden Mandanten nicht lesen, auch wenn ein Programmierfehler die Einschränkung in der Abfrage vergisst.
• Der Datenbankbenutzer der Anwendung besitzt das Recht BYPASSRLS nicht. Er kann die Trennung nicht umgehen, auch nicht absichtlich.
• Es gibt genau einen Codeweg, der den Mandanten setzt. Er setzt die Mandantenkennung innerhalb der Transaktion, bevor die erste Abfrage läuft. Ad-hoc-Verbindungen an dieser Stelle vorbei gibt es nicht.
• Auch Hintergrundläufe arbeiten nie über Mandanten hinweg. Der Mandant kommt aus dem Auftrag; fehlt er oder ist er gesperrt, scheitert der Lauf sichtbar.
• Plattformweite Verwaltungsfunktionen laufen über eine getrennte Datenbankrolle und einen getrennten Codeweg, nie über die Wege, die ein Mandant benutzt.
• Die Trennung ist testpflichtig. Eine Abfrage gegen einen fremden Mandanten muss im Test leer bleiben oder scheitern. Ohne diese Tests wird keine Änderung übernommen.

Vertraulichkeit

• Verschlüsselte Übertragung. Alle Verbindungen laufen über TLS; unverschlüsselte Aufrufe werden auf HTTPS umgeleitet. Die Zertifikate werden automatisch bezogen und erneuert.
• Passwörter werden mit argon2id gehasht, nie im Klartext gespeichert.
• Anmelde- und Einladungslinks liegen ausschließlich als Hash in der Datenbank. Der Klartext existiert nur im versendeten Link.
• Das Sitzungs-Cookie ist HttpOnly, SameSite=Lax und im Betrieb Secure. Eine Sitzung endet spätestens nach 30 Tagen und beim Abmelden.
• Zugangsschlüssel zum Video-Dienst liegen je Mandant AES-256-GCM-verschlüsselt in der Datenbank. Der Hauptschlüssel steht ausschließlich in der Umgebung des Servers, nie in der Datenbank. Entschlüsselt wird nur im Moment der Nutzung.
• Videos sind nur über signierte, ablaufende Adressen abspielbar. Eine solche Adresse entsteht erst, nachdem die Berechtigung der abrufenden Person serverseitig geprüft wurde.
• Der Objektspeicher ist privat. Lektions- und Editor-Bilder sowie Dateianhänge werden ausschließlich über signierte Adressen mit Ablauf ausgeliefert. Dass ein unsigniert abgerufenes Objekt abgewiesen wird, ist gegen den echten Speicher getestet.
• Jeder Speicherpfad beginnt mit dem Präfix seines Mandanten, erzwungen an einer Stelle im Code.
• Rollen- und Rechteprüfung auf jedem Zugriff auf die Plattform; die Prüfung liegt serverseitig, nicht in der Oberfläche.
• Der Link eines Berichts mit Zeitplan prüft das Recht beim Abruf. Er öffnet die Datei erst nach der Anmeldung und nur für eine Person, die Empfänger dieses Berichts ist und vollen Blick hat, bei einem Testversand nur für die Person, die ihn angefordert hat; die Frist von sechs Tagen gilt ab dem Versand. Erst danach entsteht eine signierte Adresse zum Speicher, die fünf Minuten gilt. Ein Bericht als Anhang einer E-Mail liegt nach der Zustellung im Postfach des Empfängers und unterliegt dort keiner Prüfung durch den Auftragsverarbeiter.
• Zugangsdaten und Schlüssel liegen ausschließlich in der Konfiguration der Betriebsumgebung, nie im Quelltext und nachweislich nicht im ausgelieferten Abbild.
• Kein Zugriffsprotokoll mit IP-Adressen. Weder der vorgeschaltete Webserver noch die Anwendung schreiben eine Protokollzeile je Seitenaufruf.

Integrität

• Zertifikate sind unveränderlich. Ein ausgestelltes Zertifikat wird nie überschrieben. Ist etwas falsch, wird ein neues ausgestellt und das alte bleibt bestehen. Das PDF wird ausschließlich aus dem festgehaltenen Stand des Ausstellungszeitpunkts erzeugt, nie aus aktuellen Daten.
• Rechnungsnummern entstehen in einer Transaktion aus einem Zähler je Mandant und Jahr und sind dadurch lückenlos. Sie werden nie geschätzt oder aus einem Maximum abgeleitet.
• Beträge werden ausschließlich als ganzzahlige Cent-Werte geführt; Rundungsfehler durch Fließkommazahlen sind ausgeschlossen.
• Zahlungen werden erst durch die Rückmeldung des Zahlungsdienstleisters wirksam, nicht durch die Rückkehr des Browsers. Doppelte Rückmeldungen führen nicht zu doppelten Buchungen.
• Schemaänderungen laufen ausschließlich über versionierte, geprüfte Migrationen.

Verfügbarkeit und Belastbarkeit

• Eigener Server, ausschließlich für diese Plattform. Es laufen keine fremden Anwendungen darauf.
• Tägliche Sicherung um 04:40 Uhr: ein logischer Datenbankabzug und alle inhaltstragenden Datenträger, verschlüsselt in einen EU-Objektspeicher getrennt vom Produktivsystem. Aufbewahrung: 7 tägliche, 4 wöchentliche und 6 monatliche Stände.
• Die Wiederherstellung ist erprobt, nicht nur eingerichtet: Ein Stand wurde zurückgeholt, in eine Probedatenbank eingespielt und der Inhalt geprüft.
• Überwachung im Minutentakt mit zwei unabhängigen Prüfungen: eine auf die Auslieferung der Seite, eine auf einen Weg, der Datenbank und Mandanten wirklich liest. Beide alarmieren per E-Mail. Die Alarmierung wurde einmal absichtlich ausgelöst und wieder aufgelöst.
• Missbrauchsbremse auf allen Anmelde-, Registrierungs- und Kaufwegen, gezählt je Konto und je Quelle.
• Größenbegrenzung auf allen Hochladewegen.

Datenminimierung und Betroffenenrechte

• Löschen heißt anonymisieren: Name, E-Mail-Adresse, Passwort, Geburtsdatum, Anschrift, Telefonnummer und Personalnummer werden entfernt oder durch Platzhalter ersetzt, laufende Sitzungen und offene Anmeldelinks gelöscht. Die Lernstands-Zeilen bleiben ohne Personenbezug. An Abgaben aus Formular-Lektionen werden Dateien, Notiz und Rückgabedatei gelöscht.
• Datenexport je Akademie und je Person ist in jedem Paket enthalten und vom Verantwortlichen selbst ausführbar.
• Jede Profilangabe hat einen benannten Zweck, der in der Oberfläche an ihrem Feld steht. Alle Profilangaben sind freiwillig.
• Keine Auswertung zu eigenen Zwecken, kein Profiling, keine automatisierte Entscheidungsfindung, keine Verwendung zum Trainieren von Modellen.

Zugang des Supports von konerio zu einer Akademie

• Der Verantwortliche bestimmt, ob der Support von konerio in seiner Akademie arbeitet. Er wählt unter „Einstellungen → Unternehmensprofil" eine von drei Stufen: „Nur nach Freigabe" (Vorgabe), „Immer erlaubt" oder „Nie". Jeder Wechsel wird im Protokoll der Akademie erfasst.
• Nur nach Freigabe. Jede Anfrage des Supports enthält einen Grund und eine Frist. Alle Administratoren des Verantwortlichen erhalten sie per E-Mail und geben sie dort oder in den Einstellungen frei oder lehnen sie ab. Ohne Freigabe entsteht kein Zugang. Eine Anfrage, über die innerhalb von 24 Stunden niemand entscheidet, verfällt.
• Nie. Jede Anfrage wird ohne Zugang abgelehnt, auch eine bereits freigegebene, die der Support noch nicht geöffnet hat. Ein bereits geöffneter Zugang endet mit dem Wechsel auf diese Stufe sofort, ein Notzugang zum Ende seiner Frist. Möglich bleibt allein der Notzugang.
• Immer erlaubt. Der Support erhält Zugang ohne Freigabe, mit Grund und Frist. Der Zugang lässt sich erst öffnen, nachdem die E-Mail darüber an mindestens einen Administrator zugestellt ist.
• Notzugang. Bei einer Störung, die keinen Aufschub duldet, öffnet der Support in jeder Stufe einen Notzugang für höchstens eine Stunde, mit einem schriftlichen Grund. Auch dieser Zugang lässt sich erst öffnen, nachdem die E-Mail mit dem Grund an mindestens einen Administrator zugestellt ist.
• Frist. Ein Zugang gilt höchstens acht Stunden, gerechnet ab der Freigabe oder, ohne Freigabe, ab der Anfrage. Danach endet die Sitzung ohne weiteres Zutun.
• Eigenes Konto mit Grenzen. Der Support arbeitet über ein eigenes Konto „konerio-Support" ohne Passwort, das sich nur über einen einmal gültigen Link öffnet. Es arbeitet ausschließlich in der Verwaltung, belegt keine Lizenz und erhält keine E-Mails der Akademie. Es ändert keine Rollen, legt keine Administratoren oder Trainer an und schickt ihnen aus der Nutzerverwaltung keine Einladung. Es löscht keine Person mit Verwaltungsrecht und ändert weder ihre Adresse noch ihr Passwort noch ihre Firma. Die Stufe ändert es nicht. Berichte mit Zeitplan sind für das Konto nur lesbar: Anlegen, Ändern, Pausieren, Fortsetzen und Löschen sind gesperrt.
• Protokoll an zwei Stellen. Anfrage, Entscheidung und Öffnen jedes Zugangs mit dem Ende seiner Frist sowie das vorzeitige Verlassen werden im Protokoll der Akademie erfasst, das Teil des Datenexports ist. Der Auftragsverarbeiter führt zusätzlich ein eigenes Protokoll, das sich nicht ändern oder löschen lässt, darüber, wer den Zugang angefordert und geöffnet hat.

Organisation

• Zugriff auf die Betriebsumgebung hat ausschließlich der Inhaber des Auftragsverarbeiters.
• Änderungen am Quelltext werden versioniert und mit einer automatisierten Testsuite geprüft, die die Mandantentrennung ausdrücklich mitprüft.
• Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO wird geführt.
• Verpflichtung auf Vertraulichkeit für alle Personen mit Datenzugang.

---

Anlage 3: Unterauftragsverarbeiter

Genehmigt nach § 7 Abs. 1 dieses Vertrags:

Unternehmen	Sitz	Ort der Verarbeitung	Leistung
netcup GmbH	Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland	Wien, Österreich	Server für Anwendung, Datenbank und Warteschlange
Hetzner Online GmbH	Industriestr. 25, 91710 Gunzenhausen, Deutschland	Falkenstein und Nürnberg, Deutschland	Objektspeicher für Dateien, Bilder und Zertifikats-PDFs; Sicherungsdepot
BunnyWay d.o.o.	Dunajska cesta 165, 1000 Ljubljana, Slowenien	EU (Speicher), weltweit (Auslieferung, siehe unten)	Speicherung, Umwandlung und Auslieferung von Video-Lektionen
Scaleway SAS	8 rue de la Ville-l'Évêque, 75008 Paris, Frankreich	Paris, Frankreich	Versand von Systemmails
Mistral AI	15 rue des Halles, 75001 Paris, Frankreich	EU	KI-Funktionen, nur wenn der Verantwortliche sie in seiner Akademie einschaltet: Fragen aus Lektionen vorschlagen, Untertitel und Transkripte, Aufbereitung von Kursunterlagen, Lernassistent

Der eine Punkt, an dem Daten die EU verlassen können

Videodateien liegen im EU-Speicher von BunnyWay. Die Auslieferung an das Endgerät erfolgt über das weltweite Liefernetz dieses Anbieters: Ein Video wird von dem Knoten ausgeliefert, der der abrufenden Person am nächsten liegt. Ruft eine Person ein Video außerhalb Europas ab, geschieht das über einen Knoten außerhalb der EU, und dort fallen technische Verbindungsdaten an: IP-Adresse, Zeitpunkt, abgerufene Datei.

Grundlage dieser Übermittlung sind die Standardvertragsklauseln der Europäischen Kommission in der Auftragsverarbeitungsvereinbarung von BunnyWay. Alle übrigen Daten (Konten, Lernstand, Prüfungen, Anwesenheit, Zertifikate, Rechnungen) verlassen die EU zu keinem Zeitpunkt. Systemmails und Berichte mit Zeitplan stellt der Auftragsverarbeiter an die E-Mail-Adressen zu, die in der Akademie hinterlegt sind; wo das Postfach eines Empfängers betrieben wird, bestimmt dessen Anbieter.

Kein Unterauftragsverarbeiter

• Stripe Payments Europe, Limited, 3 Dublin Landings, North Wall Quay, Dublin 1, D01 C4E0, Irland, wickelt Kartenzahlungen ab. Der Verantwortliche verbindet sein eigenes Stripe-Konto und ist selbst Vertragspartner von Stripe; Stripe ist dabei eigenständig Verantwortlicher, nicht Unterauftragsverarbeiter von konerio. Kartendaten erreichen die Server des Auftragsverarbeiters nie.
• Google Ireland Limited betreibt das Postfach hallo@konerio.com. Über dieses Postfach laufen ausschließlich Nachrichten an konerio selbst; Daten aus Akademien werden dort nicht verarbeitet.

---

Unterschriften

Diese Seite bleibt im Regelfall leer. Der Vertrag ist geschlossen, sobald der Verantwortliche ihm bei der Registrierung zugestimmt hat; eine Unterschrift ist dafür nicht nötig, weder seine noch unsere.

Sie ist für den Fall da, dass ein Verantwortlicher eine unterzeichnete Ausfertigung für seine Unterlagen oder für eine Prüfung braucht. Dann füllt er sie aus, unterschreibt und sendet sie an hallo@konerio.com; wir zeichnen gegen und schicken sie zurück.

Verantwortlicher

Name des Unternehmens: ______________________________________________

Anschrift: __________________________________________________________

Vertreten durch: ____________________________________________________

Ort, Datum: ______________________ Unterschrift: ___________________

Auftragsverarbeiter

Mag. Paci David, Weiherweg 4, 9500 Villach, Österreich

Ort, Datum: ______________________ Unterschrift: ___________________