Vereinbarung zur Auftragsverarbeitung

§ 1 Vertragsparteien, Anwendungsbereich und Abschluss

(1) Diese Vereinbarung gilt zwischen dem Mitglied als Verantwortlichem im Sinne von Artikel 4 Nummer 7 DSGVO (im Folgenden „Mitglied“) und der AFNB GmbH — Akademie für neurowissenschaftliches Bildungsmanagement, Robert-Perthel-Straße 2, 50739 Köln, vertreten durch den Geschäftsführer Dipl.-Betriebswirt Torsten Seelbach, als Auftragsverarbeiterin (im Folgenden „Akademie“).

(2) Sie gilt für alle Leistungen, in denen das Mitglied personenbezogene Daten eigener Teilnehmender, Kundinnen und Kunden oder sonstiger Dritter durch die Akademie verarbeiten lässt. Die erfassten Leistungen sind in Anlage 1 beschrieben; derzeit sind dies die Lernplattform für eigene Kurse sowie die Smart Cards, der Learning Companion, das Praxis-Toolkit, die Infografiken und die Überarbeitung hochgeladener Präsentationen in der Education Factory sowie die LinkedIn-Serie im Business Atelier, ferner alle übrigen Werkzeuge des Business Atelier und der Education Factory, in die das Mitglied Angaben zu Dritten eingibt oder Unterlagen mit solchen Angaben hochlädt (Anlage 1 H bis J), der Telefonassistent (Anlage 1 K) und der KI Pilot (Anlage 1 L).

(3) Die Vereinbarung ist Bestandteil der Allgemeinen Geschäftsbedingungen der Akademie. Sie wird in elektronischer Form geschlossen (Artikel 28 Absatz 9 DSGVO), wenn das Mitglied den Allgemeinen Geschäftsbedingungen zustimmt oder eine in Anlage 1 genannte Leistung erstmals freischaltet und dabei diese Vereinbarung bestätigt.

(4) Diese Vereinbarung ersetzt die bisherigen Regelungen zur Auftragsverarbeitung in § 16 Absätze 3 bis 13 der Allgemeinen Geschäftsbedingungen. Bei Widersprüchen zwischen dieser Vereinbarung und anderen Vertragsbestandteilen geht diese Vereinbarung in Fragen des Datenschutzes vor.

§ 2 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch die Akademie im Rahmen der in Anlage 1 beschriebenen Leistungen, ausschließlich zu den dort genannten Zwecken.

(2) Die Vereinbarung gilt, solange das Mitglied eine der Leistungen nutzt, längstens bis zum Ende der Mitgliedschaft. Pflichten, die ihrer Natur nach fortbestehen — insbesondere zur Vertraulichkeit sowie zur Löschung oder Rückgabe —, gelten darüber hinaus.

§ 3 Art und Zweck der Verarbeitung, Arten der Daten, Betroffene

Art und Zweck der Verarbeitung, die Arten personenbezogener Daten, die Kategorien betroffener Personen sowie die vorgesehenen Löschfristen ergeben sich je Leistung aus Anlage 1.

§ 4 Pflichten des Mitglieds

(1) Das Mitglied ist für die Rechtmäßigkeit der Verarbeitung verantwortlich. Es stellt insbesondere sicher, dass eine Rechtsgrundlage besteht, dass es die Daten der Personen, die es einträgt oder einlädt, verwenden darf, und dass es seine Informationspflichten nach Artikel 13 und 14 DSGVO gegenüber den betroffenen Personen erfüllt.

(2) Das Mitglied gibt keine besonderen Kategorien personenbezogener Daten im Sinne von Artikel 9 DSGVO ein und veranlasst dies auch nicht, soweit die jeweilige Leistung dafür nicht ausdrücklich vorgesehen ist.

(3) Das Mitglied informiert die Akademie unverzüglich, wenn es Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(4) Die Akademie stellt einen Muster-Datenschutzhinweis für Teilnehmende bereit. Das Mitglied kann für die Teilnehmerseite der Smart Cards einen eigenen Datenschutzhinweis hinterlegen; hinterlegt es keinen, zeigt die Teilnehmerseite den Muster-Hinweis mit den Angaben des Mitglieds. Die Teilnehmerseiten des Praxis-Toolkits und der Infografiken zeigen den Muster-Hinweis mit den Angaben des Mitglieds aus dessen Grundeinstellungen. Die Verantwortung für die Information der Teilnehmenden bleibt beim Mitglied.

§ 5 Weisungen

(1) Die Akademie verarbeitet die Daten nur auf dokumentierte Weisung des Mitglieds, auch in Bezug auf die Übermittlung in Drittländer, sofern sie nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats hierzu verpflichtet ist; in diesem Fall teilt sie dem Mitglied die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Als Weisung gelten diese Vereinbarung sowie die Einstellungen und Handlungen des Mitglieds in den Werkzeugen, etwa das Anlegen von Gruppen, das Eintragen von Personen, das Festlegen von Zugangsarten und Löschfristen, das Einschalten von Erinnerungen oder der Deaktivierung bei Inaktivität, das Freigeben von Arbeitsblättern zum digitalen Ausfüllen und das Versenden eigener Nachrichten. Die Freigabe einer LinkedIn-Serie im Business Atelier gilt als dokumentierte Weisung, die freigegebenen Beiträge zu den angegebenen Terminen an LinkedIn zu übermitteln; das Mitglied kann sie bis zum jeweiligen Termin durch Anhalten des Beitrags oder Trennen der Verbindung zurücknehmen.

(3) Hält die Akademie eine Weisung für rechtswidrig, weist sie das Mitglied unverzüglich darauf hin und darf die Ausführung aussetzen, bis das Mitglied die Weisung bestätigt oder ändert.

§ 6 Pflichten der Akademie

(1) Die Akademie verarbeitet die Daten ausschließlich im Rahmen dieser Vereinbarung. Sie nutzt sie nicht für eigene Zwecke und lässt sie nicht zum Training von Modellen künstlicher Intelligenz verwenden, weder eigener noch fremder.

(2) Sie setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Sie trifft die nach Artikel 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen; sie sind in Anlage 2 beschrieben. Die Akademie darf die Maßnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

(4) Sie unterstützt das Mitglied mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Artikel 15 bis 22 DSGVO). Soweit die Werkzeuge es den Betroffenen oder dem Mitglied ermöglichen, Rechte selbst auszuüben — etwa „Meine Daten löschen“ auf der Teilnehmerseite —, gilt dies als solche Unterstützung. Wendet sich eine betroffene Person unmittelbar an die Akademie, leitet diese die Anfrage an das Mitglied weiter.

(5) Sie unterstützt das Mitglied bei der Einhaltung der Pflichten aus Artikel 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen.

(6) Sie meldet dem Mitglied eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den ihr vorliegenden Angaben nach Artikel 33 Absatz 3 DSGVO.

(7) Die Akademie hat nach eigener Einschätzung keine Pflicht zur Benennung eines Datenschutzbeauftragten. Ansprechpartner für Datenschutzfragen ist die Geschäftsführung, erreichbar unter info@afnb.de.

§ 7 Weitere Auftragsverarbeiter

(1) Das Mitglied erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Dienstleister sind in Anlage 3 aufgeführt und gelten als genehmigt. Die jeweils aktuelle Liste ist mit dieser Vereinbarung auf der Website der Akademie abrufbar.

(2) Die Akademie informiert das Mitglied mindestens 30 Tage vor der Hinzuziehung oder dem Austausch eines weiteren Auftragsverarbeiters in Textform, etwa per E-Mail oder im Werkzeug. Das Mitglied kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann die Akademie dem Widerspruch nicht abhelfen, darf jede Partei die betroffene Leistung zum Zeitpunkt des Wechsels beenden.

(3) Die Akademie erlegt jedem weiteren Auftragsverarbeiter vertraglich im Wesentlichen dieselben Datenschutzpflichten auf, die in dieser Vereinbarung festgelegt sind. Sie haftet gegenüber dem Mitglied für deren Einhaltung nach Artikel 28 Absatz 4 DSGVO.

(4) Nicht als weitere Auftragsverarbeitung gelten Nebenleistungen wie Telekommunikation oder Postdienste, bei denen kein Zugriff auf die Daten des Mitglieds besteht.

§ 8 Verarbeitung außerhalb der Europäischen Union

(1) Die Datenbank der Werkzeuge wird in der Europäischen Union (Irland) betrieben. Einzelne weitere Auftragsverarbeiter haben ihren Sitz in den Vereinigten Staaten (Anlage 3).

(2) Eine Übermittlung in ein Drittland erfolgt nur, wenn die Voraussetzungen der Artikel 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses — etwa der Zertifizierung nach dem Datenschutzrahmen zwischen der EU und den USA — oder geeigneter Garantien wie der Standardvertragsklauseln der Europäischen Kommission.

§ 9 Nachweise und Kontrollen

(1) Die Akademie stellt dem Mitglied auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Vereinbarung zur Verfügung, vorrangig in Form von Selbstauskünften, Beschreibungen der Maßnahmen sowie Nachweisen der eingesetzten Dienstleister.

(2) Überprüfungen einschließlich Inspektionen durch das Mitglied oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer sind nach Ankündigung mit angemessener Frist von in der Regel 14 Tagen während der üblichen Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebs möglich.

§ 10 Löschung und Rückgabe

(1) Während der Laufzeit werden die Daten nach den in Anlage 1 genannten Fristen und Einstellungen gelöscht.

(2) Nach Ende der Nutzung einer Leistung oder der Mitgliedschaft erhält das Mitglied Gelegenheit, seine Daten zu exportieren. Danach löscht die Akademie die personenbezogenen Daten binnen 30 Tagen, sofern keine gesetzliche Pflicht zur Speicherung besteht. Datensicherungen werden im Rahmen ihres regelmäßigen Überschreibens gelöscht.

§ 11 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Artikel 82 DSGVO. Im Verhältnis zwischen den Parteien gelten die Haftungsregelungen der Allgemeinen Geschäftsbedingungen, soweit Artikel 82 DSGVO nicht entgegensteht.

§ 12 Schlussbestimmungen

(1) Änderungen dieser Vereinbarung teilt die Akademie in Textform mit. Für Änderungen gelten die Regelungen der Allgemeinen Geschäftsbedingungen zur Änderung der Vertragsbedingungen entsprechend.

(2) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit zulässig, Köln.

Anlage 1 — Leistungen, Daten, Betroffene und Löschfristen

A. Lernplattform für eigene Kurse

Das Mitglied legt auf einer von einem Dienstleister betriebenen Lernplattform eigene Kurse an und betreut eigene Teilnehmende (AGB § 16).

B. Smart Cards (Education Factory)

Das Mitglied erstellt aus eigenen Inhalten Smart Cards („Trainingsmodule“), ordnet sie Lerngruppen oder einzelnen Lernenden zu und stellt sie über eine Teilnehmerseite ohne eigenes Konto bereit. Lernende lernen mit den Karten; das Mitglied sieht Lernfortschritt und Auswertungen.

C. Learning Companion (Education Factory)

Das Mitglied erstellt aus eigenen Inhalten einen Begleitplan, der Teilnehmende nach einem Training über mehrere Wochen in die Praxis begleitet: Selbstanalyse am Anfang und am Ende, eine Transferaufgabe mit Nachfrage je Woche, Antworten auf Fragen aus den Unterlagen des Mitglieds und ein Lerntagebuch. Der Zugang erfolgt über eine Teilnehmerseite ohne eigenes Konto. Das Mitglied sieht Fortschritt und Auswertungen, nicht jedoch das Lerntagebuch.

D. Praxis-Toolkit (Education Factory)

Das Mitglied erstellt aus eigenen Inhalten druckfertige Arbeitsmaterialien (Arbeitsblätter, Checklisten, Gesprächsleitfäden, Entscheidungshilfen, Spickzettel, Umsetzungspläne). Schaltet es das digitale Ausfüllen ein, öffnen Teilnehmende ein Blatt über einen Link oder QR-Code ohne Anmeldung und füllen es im Browser aus. Auf Wunsch erhalten sie nach 7 und nach 30 Tagen eine Erinnerung an ihren nächsten Schritt. Auf Wunsch lassen sich Teilnehmende einen persönlichen Link per E-Mail schicken, um auf einem anderen Gerät weiterzuarbeiten. Das Mitglied sieht die Eintragungen, Vorhaben und Rückmeldungen.

E. Infografiken (Education Factory)

Das Mitglied erstellt aus eigenen Inhalten interaktive Infografiken. Schaltet es die Seite für Lernende ein, öffnen Lernende die Grafiken über einen Link, einen QR-Code oder eine Einbettung auf der Website des Mitglieds ohne Anmeldung. Je nach Einstellung des Mitglieds können sie bei einer Live-Abstimmung mitmachen, Fragen an die Grafik stellen, die ein Sprachmodell auf Grundlage der Grafik beantwortet, und sich nach 7 und nach 30 Tagen an ein eigenes Vorhaben erinnern lassen. Das Mitglied sieht die Zahl der Stimmen je Element sowie Vorhaben und Rückmeldungen. Notizen der Lernenden bleiben in deren Browser. Lassen sich Lernende einen persönlichen Link per E-Mail schicken, um auf einem anderen Gerät weiterzuarbeiten, werden ihre Notizen in diesem Link mitgeschickt und nicht gespeichert.

F. LinkedIn-Serie (Business Atelier)

Das Mitglied plant im Business Atelier eine Serie eigener Beiträge, die die Akademie nach seiner Freigabe zu den gewählten Terminen auf seinem persönlichen LinkedIn-Profil veröffentlicht. Diese Vereinbarung gilt hierfür, soweit die Beiträge personenbezogene Daten Dritter enthalten, etwa genannte Kundinnen und Kunden oder abgebildete Personen.

G. Überarbeitung hochgeladener Präsentationen (Education Factory)

Das Mitglied lädt eine eigene PowerPoint-Datei hoch und lässt sie nach eigener Wahl überarbeiten: neues Design (die Texte werden wörtlich übernommen), Vorschläge zu Rechtschreibung und Grammatik oder eine wissenschaftliche Aktualisierung. Über jeden Vorschlag entscheidet das Mitglied. Diese Vereinbarung gilt hierfür, soweit die Präsentation personenbezogene Daten Dritter enthält.

H. Texte, Beratung und Recherche (Business Atelier)

Das Mitglied lässt im Business Atelier Texte für seine eigene Geschäftstätigkeit erstellen und sich beraten: Gesprächsplanung, Angebots-Generator, Reklamations-Manager, Kundenbindung, Empfehlungs-Aktivator, Personal Coach (Text), Beiträge für soziale Netzwerke (Text-Bild-Posts, Karussell-Posts), Newsletter und Artikel, Podcast-Skripte, Website Optimizer und Website Tailor sowie Profil, Analysen, Persona und Alleinstellungsmerkmale. Diese Vereinbarung gilt hierfür, soweit das Mitglied Angaben zu Dritten eingibt oder Unterlagen mit solchen Angaben hochlädt.

I. Bilder, Videos, Stimmen und Live-Coach (Business Atelier)

Das Mitglied verändert im Business Atelier Fotos („Bild zu Bild“), erzeugt aus Bildern kurze Videos („Bild zu Video“), erstellt Video Spots mit eigenem Material, Sprachausgabe und auf Wunsch eigener geklonter Stimme, erzeugt Podcasts mit Sprachausgabe und führt Übungsgespräche mit einem Live-Avatar („Judy“). Diese Vereinbarung gilt hierfür, soweit Bilder, Videos, Unterlagen, Texte oder Gespräche Dritte zeigen oder nennen.

J. Konzepte, eigene Unterlagen und weitere Medienformate (Education Factory)

Das Mitglied erstellt in der Education Factory Konzepte für eigene Trainings und daraus Medien (unter anderem Präsentationen, E-Books, Podcasts und Lernvideos). Es kann dafür eigene Unterlagen hochladen (zum Beispiel Ausschreibungen, Seminarunterlagen, Teilnehmerlisten) und Freitexte eingeben; aus eigenen Unterlagen wird auf Wunsch eine Gliederung erstellt, die auch für die Leistungen B bis E genutzt wird. Diese Vereinbarung gilt hierfür, soweit Unterlagen, Freitexte oder Medien Angaben zu Dritten enthalten.

K. Telefonassistent

Das Mitglied leitet Anrufe, die es nicht selbst annimmt, auf eine Rufnummer um, die die Akademie bereitstellt. Ein KI-Assistent nimmt den Anruf an, gibt Auskunft aus den Angaben des Mitglieds, nimmt Mitteilungen und Rückrufwünsche auf und bucht Rückruftermine in den Zeitfenstern des Mitglieds. Nach jedem Gespräch erhält das Mitglied eine Zusammenfassung per E-Mail; in seiner Anrufliste sieht es Zusammenfassung, Abschrift und Tonaufnahme. Unterlagen an Anrufende werden nur auf Veranlassung des Mitglieds verschickt.

L. KI Pilot

Das Mitglied stellt im KI Pilot frei formulierte Fragen. KI-Modelle beantworten sie, auf Wunsch mit Websuche und mit gegengeprüfter Tiefenrecherche: Der KI Pilot recherchiert die Frage im Netz, schreibt daraus einen Bericht mit Quellenangaben und lässt die wichtigsten Aussagen anschließend von einem weiteren KI-Modell gegen Quellen prüfen. Abgerechnet wird nach Verbrauch.

Anlage 2 — Technische und organisatorische Maßnahmen (Artikel 32 DSGVO)

Die folgenden Maßnahmen beschreiben den Stand der Smart Cards, des Learning Companion, des Praxis-Toolkits und der Infografiken zum 30.09.2026. Für die Leistungen H bis L gelten die allgemeinen Maßnahmen (Betrieb bei den Dienstleistern, Anmeldung, Zugriffsregeln je Mitglied auf Datenbankebene, verschlüsselte Übertragung, Dienstschlüssel nur serverseitig) entsprechend.

Anlage 3 — Weitere Auftragsverarbeiter

Stand 19.10.2026. Erfasst sind die Dienstleister, die bei den Leistungen aus Anlage 1 personenbezogene Daten der Betroffenen verarbeiten.