Vereinbarung über die Auftragsverarbeitung

1. Gegenstand und Dauer

KlarComply erbringt für den Kunden die im Abo-Vertrag beschriebenen Leistungen (Compliance-Dashboard, Online-Schulung, Nachweisführung zur Verordnung (EU) 2024/1689). Dabei verarbeitet KlarComply personenbezogene Daten im Auftrag des Kunden. Diese Vereinbarung gilt für die Dauer des Abo-Vertrags und endet mit dessen Beendigung; Ziffer 7 (Löschung) bleibt unberührt.

2. Art, Zweck und Umfang der Verarbeitung

Speicherung, Organisation und Auswertung von Daten der Mitarbeitenden des Kunden zum Zweck der Schulungsverwaltung, Zertifikatsverwaltung, Nachweisführung (KI-Inventar, Richtlinien-Angaben, Kenntnisnahme-Protokolle) sowie der Zugangs­verwaltung. Einzelheiten: Anlage 1.

3. Weisungsrecht

KlarComply verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden (Art. 28 Abs. 3 lit. a DSGVO); die Nutzung der Plattform­funktionen durch den Kunden gilt als Weisung. Hält KlarComply eine Weisung für rechtswidrig, informiert es den Kunden unverzüglich und darf die Ausführung aussetzen.

4. Vertraulichkeit und Sicherheit

1. Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b).
2. KlarComply trifft die technischen und organisatorischen Maßnahmen nach Anlage 2 (Art. 32 DSGVO) und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.

5. Unterauftragsverarbeiter

Der Kunde erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter. KlarComply informiert über beabsichtigte Änderungen; der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen. Mit allen Unterauftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

6. Unterstützungspflichten

KlarComply unterstützt den Kunden im Rahmen des Zumutbaren bei der Beantwortung von Betroffenenanfragen (Art. 12–23), bei der Sicherheit der Verarbeitung, bei Datenschutz-Folgenabschätzungen und bei Meldepflichten (Art. 32–36). Verletzungen des Schutzes personenbezogener Daten, die im Auftrag verarbeitete Daten betreffen, meldet KlarComply dem Kunden unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung. Die Meldung enthält die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit sie vorliegen; sind sie nicht vollständig verfügbar, dürfen sie nach Art. 33 Abs. 4 DSGVO schrittweise nachgereicht werden. Die Meldung dient der Unterstützung des Kunden bei dessen eigener Meldepflicht und enthält kein Anerkenntnis eines Verschuldens.

7. Löschung und Rückgabe

Nach Beendigung des Abo-Vertrags löscht KlarComply alle im Auftrag verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Der Kunde kann seine Daten zuvor über die Export-/Druckfunktionen des Dashboards sichern. Ausgestellte Zertifikate bleiben zur öffentlichen Verifikation gespeichert (berechtigtes Interesse der Zertifikatsinhaber); der Kunde kann deren Löschung verlangen.

8. Nachweise und Kontrollen

KlarComply stellt dem Kunden die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht — nach Ankündigung und höchstens einmal jährlich, außer bei konkretem Anlass — Überprüfungen. Nachweise können durch aktuelle Testate/Zertifizierungen der Unterauftragsverarbeiter (z. B. SOC 2, ISO 27001) erbracht werden.

9. Drittlandübermittlung

Die Verarbeitung erfolgt in Rechenzentren in der EU (Region Frankfurt, Deutschland). Soweit Unterauftragsverarbeiter mit Sitz außerhalb der EU eingesetzt werden (Anlage 3), erfolgt eine etwaige Übermittlung auf Grundlage von EU-Standardvertragsklauseln bzw. eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework).

10. Schlussbestimmungen

Es gilt das Recht, das auch für den Abo-Vertrag gilt. Bei Widersprüchen geht diese Vereinbarung den übrigen Vereinbarungen in Datenschutzfragen vor. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1 — Daten und betroffene Personen

Betroffene	Mitarbeitende, Ansprechpersonen und ggf. externe Kräfte des Kunden
Datenkategorien	Name, geschäftliche E-Mail-Adresse, Rolle; Schulungs-Fortschritt und -Ergebnisse (Prozent); Zertifikatsdaten (Name, Firma, Datum, Prüf-ID); Kenntnisnahme-Protokolle (wer, was, wann); vom Kunden gepflegte Angaben (KI-Inventar, Ansprechperson, Regeln)
Keine Verarbeitung von	besonderen Kategorien nach Art. 9 DSGVO; solche Daten dürfen nicht in die Plattform eingegeben werden
Art der Verarbeitung	Erheben, Speichern, Organisieren, Auswerten und Löschen im Rahmen des Plattformbetriebs. Zusätzlich auf gesonderte Anforderung des Kunden: manuelle Durchsicht und fachliche Bewertung der vom Kunden gepflegten Compliance-Dokumentation durch geschulte Beschäftigte von KlarComply („Experten-Check“).

Anlage 1a — Experten-Check (manuelle Durchsicht auf Anforderung)

Diese Verarbeitung findet ausschließlich statt, wenn der Kunde sie in seinem Dashboard ausdrücklich anfordert. Die Anforderung wird mit Zeitpunkt und anfordernder Person gespeichert und gilt als dokumentierte Weisung im Sinne von Art. 29 DSGVO. Ohne eine solche Anforderung findet keine manuelle Einsichtnahme statt.

Gegenstand der Durchsicht	Ausschließlich unternehmensbezogene Angaben: KI-Inventar (Werkzeuge, Anbieter, Einsatzzwecke, Risikoklassen samt Begründung), interne KI-Richtlinie, Kennzeichnungsregel nach Art. 50, gesperrte Nutzungen, Angaben zur Ansprechperson sowie die vom Kunden mitgeteilte Fragestellung
Ausdrücklich nicht Gegenstand	Mitarbeiterlisten, Schulungsstände und Prüfungsergebnisse einzelner Personen, Zertifikatsdaten, Kenntnisnahme-Protokolle, Abrechnungs- und Zahlungsdaten
Zweck	Fachliche Rückmeldung an den Kunden in Form eines schriftlichen Berichts mit priorisierten Maßnahmenempfehlungen sowie Beantwortung von Rückfragen hierzu für 30 Tage
Ausführende Personen	Beschäftigte von KlarComply, die zuvor das interne Fachtraining absolviert und eine Vertraulichkeitsverpflichtung nach Art. 28 Abs. 3 lit. b DSGVO unterzeichnet haben. Es werden hierfür keine Unterauftragsverarbeiter eingesetzt.
Protokollierung	Jeder lesende Zugriff im Rahmen eines Prüfauftrags wird mit Person, Zeitpunkt und betroffenem Kunden protokolliert (Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO). Der Kunde kann die zu ihm gespeicherten Prüfaufträge in seinem Dashboard einsehen.
Aufbewahrung	Prüfauftrag und Bericht werden für die Dauer des Vertragsverhältnisses gespeichert und danach gemäß Ziffer zur Löschung behandelt. Zugriffsprotokolle werden 24 Monate aufbewahrt.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32)

• Standort: Datenhaltung ausschließlich in der EU (AWS eu-central-1, Frankfurt)
• Verschlüsselung: Transport TLS 1.2+; Speicherung verschlüsselt (Encryption at Rest)
• Mandantentrennung: Row-Level-Security auf Datenbankebene — jede Firma sieht nur eigene Daten
• Zugriffskontrolle: passwortlose Anmeldung per Magic-Link; Admin-Zugriffe rollenbasiert; interner Zugriff auf Produktionsdaten nur durch den Inhaber, protokolliert
• Eingabekontrolle: Änderungs- und Kenntnisnahme-Protokolle mit Zeitstempel
• Verfügbarkeit: tägliche Backups durch den Hosting-Anbieter; Wiederherstellungsverfahren
• Datensparsamkeit: Es werden nur die für Schulung/Nachweis erforderlichen Daten erhoben

Anlage 3 — Unterauftragsverarbeiter

Dienstleister	Zweck	Sitz / Region
Supabase Inc.	Datenbank, Authentifizierung, Server-Funktionen	USA · Datenhaltung EU (AWS Frankfurt) · SCC/DPF
Cloudflare Inc.	Hosting der Website, CDN, Sicherheit	USA · EU-Auslieferung · SCC/DPF
Google Ireland Ltd.	Google Workspace — Versand und Empfang der E-Mails an Nutzer (Anmeldelinks, Kurs- und Zertifikatsnachrichten, Kündigungsbestätigungen)	Irland (EU) · Konzernmutter USA · SCC/DPF
MailerLite (UAB)	Newsletter-Versand an Interessenten (nur Kontakt-E-Mail) — derzeit nicht im Einsatz	Litauen (EU)

Hinweis: Zahlungsdaten verarbeitet Stripe Payments Europe Ltd. als eigenständiger Verantwortlicher — sie sind nicht Gegenstand dieser Auftragsverarbeitung.

Anlage 4 — Änderungsverlauf

Version	Stand	Änderung
1.2	August 2026	Ziffer 6: feste Meldefrist von 24 Stunden für die Erstmeldung einer Datenschutzverletzung, mit ausdrücklicher Nachreichung nach Art. 33 Abs. 4 DSGVO. Vorher stand dort nur „unverzüglich" ohne Zahl.
1.1	August 2026	Anlage 3: Google Ireland Ltd. (Google Workspace) als Unterauftragsverarbeiter für den E-Mail-Versand aufgenommen — er war im Einsatz, aber nicht gelistet. MailerLite als derzeit nicht im Einsatz gekennzeichnet.
1.0	Juli 2026	Erstfassung.

Bestandskunden werden über Änderungen der Unterauftragsverarbeiter nach § 5 informiert; das Widerspruchsrecht beträgt 14 Tage. Die bei Vertragsschluss angenommene Fassung bleibt maßgeblich, bis der Kunde eine neue annimmt.