Vertrag zur Auftragsverarbeitung (AVV)

Dieser Vertrag konkretisiert die Pflichten der Vertragsparteien zum Datenschutz, die sich aus der Nutzung der Safemploy-Plattform ergeben. Er gilt für alle Tätigkeiten, bei denen Beschäftigte von Safemploy oder durch Safemploy Beauftragte personenbezogene Daten des Kunden im Auftrag verarbeiten (Art. 28 DSGVO).

Verantwortlicher im Sinne der DSGVO ist der Kunde (das Unternehmen bzw. die Fachkraft für Arbeitssicherheit, die Daten der eigenen Beschäftigten oder der von ihr betreuten Mandanten verarbeitet). Auftragsverarbeiter ist die Safemploy (Betreiberin der Plattform), Angaben siehe Impressum.

1. Gegenstand und Dauer des Auftrags

Gegenstand ist die Bereitstellung der Safemploy-Plattform zur Verwaltung und Dokumentation von Arbeitsschutz-Unterweisungen (DGUV / ArbSchG). Die Dauer entspricht der Laufzeit des zugrunde liegenden Nutzungsvertrags; der AVV endet mit dessen Beendigung.

2. Art, Umfang und Zweck der Verarbeitung

Die Verarbeitung dient ausschließlich der vertragsgemäßen Erbringung der Plattformleistungen: Speicherung von Unterweisungsinhalten, Zuweisung an Beschäftigte, Erfassung von Teilnahme-/Prüfungsergebnissen und Erstellung von Nachweisen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.

3. Art der Daten und Kategorien betroffener Personen

Verarbeitet werden insbesondere: Name, dienstliche Kontaktdaten, Rolle/Abteilung sowie Unterweisungs- und Prüfungsstatus. Betroffene Personen sind die Beschäftigten des Verantwortlichen bzw. seiner Mandanten sowie dessen Nutzerkonten.

4. Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht gesetzlich zur Verarbeitung verpflichtet ist. Hält er eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

5. Vertraulichkeit

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen zum Schutz der Daten, u. a.: Mandantentrennung auf Datenbankebene (Row-Level-Security), Verschlüsselung der Übertragung (TLS), rollenbasierte Zugriffskontrolle, Protokollierung sicherheitsrelevanter Vorgänge sowie regelmäßige, verschlüsselte Sicherung. Diese Maßnahmen werden dem Stand der Technik entsprechend fortlaufend überprüft und angepasst.

7. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Hosting/Server (EU) — Datenbank, Dokumente und Nachweise werden ausschließlich in der EU verarbeitet.
• OpenAI (USA) — KI-Verarbeitung personen-/gesundheitsbezogener Eingaben und Titelbilder; auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO).
• ElevenLabs (USA) — Sprachausgabe für Audio-Zusammenfassungen; auf Grundlage der EU-Standardvertragsklauseln (Art. 46 DSGVO).
• Kosten­optimierter KI-Anbieter für reine Fachtext-Generierung (ggf. außerhalb der EU) — ausschließlich für nicht personenbezogene Themen-Entwürfe; vor der Übermittlung werden direkte Identifikatoren technisch entfernt, sodass keine personenbezogenen Daten übertragen werden.
• SMTP-Dienstleister (EU) — Versand von Transaktions-E-Mails.
• PayPal — Zahlungsabwicklung (eigenverantwortlich als Zahlungsdienstleister nach Art. 6 Abs. 1 lit. b DSGVO, keine Verarbeitung von Beschäftigtendaten im Auftrag).

Personenbezogene Daten werden ausschließlich an Empfänger mit Angemessenheitsniveau (EU bzw. EU-US Data Privacy Framework) oder unter Standardvertragsklauseln übermittelt; eine Übermittlung personenbezogener Daten an Anbieter in Drittstaaten ohne Angemessenheitsniveau findet nicht statt. Der Auftragsverarbeiter informiert über beabsichtigte Änderungen und verpflichtet Unterauftragsverarbeiter auf ein gleichwertiges Datenschutzniveau.

8. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit) sowie bei den Pflichten nach Art. 32–36 DSGVO.

9. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und stellt die zur Erfüllung der Meldepflichten erforderlichen Informationen bereit.

10. Löschung und Rückgabe nach Auftragsende

Nach Abschluss der Leistungen löscht der Auftragsverarbeiter die personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Vor Beendigung kann der Verantwortliche seine Daten exportieren.

11. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen.

Version dieses Vertragstextes: 2026-07