Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist Bestandteil des Nutzungsvertrags über QuizServ (AGB) zwischen dem Kunden als Verantwortlichem und Sebastian Lenk, Lupinenkamp 22, 21614 Buxtehude (Anbieter) als Auftragsverarbeiter. Er wird mit Vertragsschluss wirksam, ohne dass es einer gesonderten Unterzeichnung bedarf.

§ 1 Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten der Endnutzer („Lernende") der vom Kunden auf QuizServ betriebenen Lernplattformen. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.

§ 2 Art, Zweck, Datenarten, betroffene Personen

Verarbeitet werden zur Bereitstellung der Lernplattformen insbesondere: Registrierungs- und Kontaktdaten (E-Mail-Adresse, verschlüsselte Passwörter), Lern- und Nutzungsdaten (Antworten, Lernfortschritt, Lernpläne, Notizen, hochgeladene Inhalte), Zahlungsstatus-Daten (bei Verkauf von Zugängen) sowie technische Daten (IP-Adressen in Server-Logs). Betroffene Personen sind die Lernenden und Administratoren der Plattformen des Kunden.

§ 3 Weisungsrecht

Der Anbieter verarbeitet die Daten ausschließlich im Rahmen dieses Vertrags und der über die Software erteilten Weisungen des Kunden (z. B. Konfiguration, Löschaktionen). Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich.

§ 4 Vertraulichkeit und Sicherheit

Der Anbieter verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit und trifft technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere: Transportverschlüsselung (TLS), verschlüsselte Passwort-Speicherung, mandantengetrennte Datenhaltung, Zugriffs- und Rechtekonzepte, regelmäßige Sicherheitsupdates sowie Backups.

§ 5 Unterauftragsverarbeiter

Der Kunde genehmigt den Einsatz folgender Unterauftragsverarbeiter:

• Hetzner Online GmbH, Gunzenhausen, Deutschland – Server-Hosting und Objektspeicher (Rechenzentren in Deutschland)
• DigitalOcean LLC, New York, USA – verwaltete PostgreSQL-Datenbank (Rechenzentrum in der EU; EU-Standardvertragsklauseln / EU-U.S. Data Privacy Framework)
• BUNNYWAY d.o.o. („bunny.net"), Ljubljana, Slowenien – Content Delivery Network
• AC PM LLC / ActiveCampaign, LLC („Postmark"), Chicago, USA – transaktionaler E-Mail-Versand (Standardvertragsklauseln / EU-U.S. Data Privacy Framework)
• Stripe Payments Europe, Ltd., Dublin, Irland – Zahlungsabwicklung, sofern der Kunde Zugänge verkauft
• PikaPods (Peakford Ltd., London, Vereinigtes Königreich) – Hosting der von uns verwalteten GlitchTip-Instanz zur Fehlerdiagnose (Verarbeitung technischer Request-Daten; Angemessenheitsbeschluss für das Vereinigte Königreich)
• Volentio JSD Ltd. („jsDelivr"), Vereinigtes Königreich – CDN-Auslieferung von Frontend-Bibliotheken (Verarbeitung von IP-Adressen beim Abruf; Angemessenheitsbeschluss für das Vereinigte Königreich)

Der Anbieter informiert den Kunden über beabsichtigte Änderungen der Unterauftragsverarbeiter in Textform; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Mit allen Unterauftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO; bei Drittlandtransfers bestehen Garantien nach Art. 44 ff. DSGVO (Standardvertragsklauseln bzw. EU-U.S. Data Privacy Framework).

§ 6 Unterstützung des Kunden

Der Anbieter unterstützt den Kunden mit angemessenen Mitteln bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO), bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen (Art. 33, 34 DSGVO) und bei Datenschutz-Folgenabschätzungen. Datenschutzverletzungen, die die Daten des Kunden betreffen, meldet der Anbieter dem Kunden unverzüglich.

§ 7 Löschung und Rückgabe

Nach Ende des Nutzungsvertrags löscht der Anbieter die verarbeiteten Daten oder gibt sie – nach Wahl des Kunden – in einem gängigen Format heraus und löscht anschließend vorhandene Kopien, soweit keine gesetzlichen Aufbewahrungspflichten bestehen. Die Wahl übt der Kunde vor Vertragsende oder im Rahmen einer Plattform-Löschung aus; ohne Wahl werden die Daten gelöscht. Löscht der Kunde eine Plattform, wird sie nach einer Wartefrist von 14 Tagen endgültig gelöscht; bis dahin kann der Kunde die Herausgabe seiner Daten verlangen.

§ 8 Nachweise

Der Anbieter stellt dem Kunden auf Anfrage die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen im Sinne des Art. 28 Abs. 3 lit. h DSGVO.

Stand: Juli 2026