Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO – Vorlage, vor Unterzeichnung bitte prüfen.

Verantwortlicher (Auftraggeber): ______________________________ (Schule / Klinik / Einrichtung, Anschrift)

Auftragsverarbeiter (Auftragnehmer): AzubiSystem, Hamza El Alami, Hüttenstraße 35, 31655 Stadthagen, azubisystem.ha@gmail.com

§ 1 Gegenstand und Dauer

Der Auftragnehmer stellt die Plattform AzubiSystem zur Organisation und Dokumentation der Pflegeausbildung, Weiterbildung und Umschulung bereit. Die Laufzeit entspricht der des Hauptvertrags.

§ 2 Art, Zweck und Betroffene

• Zweck: Verwaltung von Mitgliedern, Anwesenheit, Übungen, Berichten, Bewertungen, Terminen und Kommunikation
• Datenarten: Identifikations-, Kontakt- und Stammdaten, Ausbildungs- und Leistungsdaten, Kommunikationsinhalte, Nutzungsdaten
• Betroffene: Auszubildende, Teilnehmende, Praxisanleitungen, Lehrkräfte, Mitarbeitende des Auftraggebers

§ 3 Weisungen

Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung des Auftraggebers und informiert unverzüglich, wenn eine Weisung gegen Datenschutzrecht verstößt.

§ 4 Vertraulichkeit

Alle zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet.

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Mandantentrennung über Zugriffsrichtlinien auf Datenbankebene
• Rollenbasierte Berechtigungen; Einladung nur durch berechtigte Verantwortliche
• Transportverschlüsselung (HTTPS/TLS); Ende-zu-Ende-Verschlüsselung privater Nachrichten (OpenPGP)
• Private Speicherbereiche für Dateien, kein öffentlicher Zugriff
• Regelmäßige Sicherheitsprüfungen und Datensicherungen durch den Hosting-Anbieter

§ 6 Unterauftragsverarbeiter

Der Auftraggeber genehmigt: Lovable (Hosting/Cloud-Plattform) mit Supabase und Cloudflare als Infrastruktur; KI-Modellanbieter über das Lovable AI Gateway (nur bei Nutzung des KI-Assistenten); 8x8/Jitsi Meet (nur bei Videokonferenzen). Änderungen werden vorab mitgeteilt; der Auftraggeber kann widersprechen.

§ 7 Unterstützung und Betroffenenrechte

Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen Betroffener (Art. 12–23 DSGVO), bei Datenschutz-Folgenabschätzungen und bei Meldungen nach Art. 33, 34 DSGVO.

§ 8 Meldung von Verletzungen

Verletzungen des Schutzes personenbezogener Daten werden unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, gemeldet.

§ 9 Kontrollrechte

Der Auftraggeber kann die Einhaltung nach angemessener Vorankündigung prüfen oder geeignete Nachweise anfordern.

§ 10 Löschung und Rückgabe

Nach Vertragsende werden alle Daten nach Wahl des Auftraggebers zurückgegeben (Export) oder innerhalb von 30 Tagen gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht.

§ 11 Schlussbestimmungen

Änderungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam. Es gilt deutsches Recht.