Auftragsverarbeitungsvertrag (AVV)

§1 Gegenstand und Dauer

Gegenstand der Auftragsverarbeitung ist die Bereitstellung und der Betrieb der Tolkee-Plattform für KI-gestützte Sprachlern-Übungen. Der Auftragnehmer verarbeitet personenbezogene Daten im Namen und gemäß den Weisungen des Auftraggebers.

Die Dauer der Auftragsverarbeitung entspricht der Laufzeit des zugrundeliegenden Dienstleistungsvertrages zwischen Auftraggeber und Auftragnehmer.

§2 Art und Zweck der Verarbeitung

Die Verarbeitung umfasst folgende Tätigkeiten:

• Bereitstellung und Durchführung interaktiver KI-Konversationsübungen für Lernende
• Erfassung und Auswertung von Lernfortschritten und Leistungsdaten
• Aussprachebewertung und Feedback-Generierung
• Verwaltung von Nutzerkonten und Übungsinhalten

§3 Kategorien betroffener Personen

Von der Verarbeitung sind folgende Personengruppen betroffen:

• Lernende (Studierende/Schüler:innen) — Personen, die die Plattform zur Durchführung von Sprachübungen nutzen
• Lehrkräfte — Personen, die Übungen erstellen, verwalten und die Lernfortschritte beobachten

§4 Kategorien personenbezogener Daten

Im Rahmen der Auftragsverarbeitung werden folgende Datenkategorien verarbeitet:

• Name und E-Mail-Adresse
• Sprachaufnahmen (Audioaufzeichnungen aus Sprechübungen)
• Lernfortschrittsdaten (abgeschlossene Übungen, Ergebnisse)
• Leistungsdaten (Aussprachebewertungen, Konversationsprotokolle)

§5 Pflichten des Auftragnehmers (Tolkee)

Der Auftragnehmer verpflichtet sich:

• Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO).
• Zur Wahrung der Vertraulichkeit verpflichtetes Personal einzusetzen (Art. 28 Abs. 3 lit. b DSGVO).
• Alle erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO zu ergreifen.
• Den Auftraggeber über den Einsatz von Unterauftragsverarbeitern zu informieren und dessen Zustimmung einzuholen.
• Nach Beendigung des Vertrages alle personenbezogenen Daten zu löschen oder zurückzugeben.

§6 Technische und organisatorische Maßnahmen (TOM)

Der Auftragnehmer implementiert und unterhält folgende Sicherheitsmaßnahmen:

• Verschlüsselung: Alle Daten werden in Übertragung (TLS 1.2+) und im Ruhezustand verschlüsselt gespeichert.
• Zugriffskontrolle: Rollenbasiertes Zugriffsmanagement mit Prinzip der minimalen Rechte (Need-to-know).
• Pseudonymisierung: Wo möglich werden Nutzerdaten pseudonymisiert verarbeitet.
• Sicherheitsaudits: Regelmäßige Überprüfung der Sicherheitsmaßnahmen und Penetrationstests.
• Incident Response: Definierter Prozess zur Erkennung, Meldung und Behebung von Sicherheitsvorfällen.

§7 Unterauftragsverarbeiter

Der Auftragnehmer setzt folgende Unterauftragsverarbeiter ein. Mit allen wurde ein entsprechender AVV abgeschlossen; für US-Transfers wurden Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO vereinbart:

• Vercel Inc. (USA) — Hosting und Infrastruktur. Grundlage: EU-Angemessenheitsbeschluss und SCCs.
• PostHog ([TODO: Standort eintragen]) — Analyse und Produktmonitoring. Grundlage: SCCs (sofern US-Transfer).
• Resend Inc. (USA) — E-Mail-Versand und Transaktionsmails. Grundlage: SCCs.
• OpenAI ([TODO: Standort für TTS/KI eintragen]) — KI-Sprachverarbeitung und Text-to-Speech. Grundlage: SCCs (sofern US-Transfer).

Der Auftraggeber wird über geplante Änderungen bei Unterauftragsverarbeitern (Hinzufügung oder Ersetzung) informiert. Der Auftraggeber kann innerhalb von 14 Tagen Widerspruch einlegen.

§8 Betroffenenrechte

Der Auftragnehmer unterstützt den Auftraggeber durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung der Pflichten aus den Art. 15–22 DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

Betroffenenanfragen, die direkt beim Auftragnehmer eingehen, werden unverzüglich an den Auftraggeber weitergeleitet.

§9 Datenpannen

Der Auftragnehmer meldet Verletzungen des Schutzes personenbezogener Daten (Datenpannen) gemäß Art. 28 Abs. 3 lit. f DSGVO unverzüglich, in jedem Fall aber innerhalb von 72 Stunden nach Bekanntwerden an den Auftraggeber, damit dieser seinen Meldepflichten gemäß Art. 33 DSGVO nachkommen kann.

Die Meldung enthält alle verfügbaren Informationen gemäß Art. 33 Abs. 3 DSGVO sowie Empfehlungen für Maßnahmen zur Eindämmung der Auswirkungen.

§10 Löschung

Nach Beendigung des Dienstleistungsvertrages löscht oder gibt der Auftragnehmer sämtliche personenbezogenen Daten des Auftraggebers innerhalb von 30 Tagen zurück — nach Wahl des Auftraggebers. Davon ausgenommen sind Daten, zu deren Aufbewahrung der Auftragnehmer nach Unionsrecht oder dem Recht der Mitgliedstaaten verpflichtet ist.

Der Auftragnehmer bestätigt die vollständige Löschung auf Anfrage schriftlich.