Auftragsverarbeitungsvertrag

1. Vertragsparteien und Anwendungsbereich

Diese Vereinbarung ergänzt die hilighter-Nutzungsbedingungen zwischen SkillsBoard SAS, 509 avenue des Églantines, 62176 Camiers, Frankreich, RCS Boulogne-sur-Mer 978 379 709 (der „Auftragsverarbeiter“), und der vertragschließenden Kundenorganisation (der „Verantwortliche“) für personenbezogene Daten, die SkillsBoard im Organisationsbereich in ihrem Auftrag verarbeitet. Sie dient der Umsetzung von Art. 28 Abs. 3 DSGVO. Sie umfasst nicht eigenständige persönliche Konten und Portfolios, selbstständige Vertragsverwaltung, eigene Sicherheitszwecke oder freiwilliges Direktmarketing, für die SkillsBoard gesondert Verantwortlicher ist. Diese AVV geht bei Auftragsverarbeitungsfragen den allgemeinen Bedingungen vor.

2. Dokumentierte Weisungen

SkillsBoard verarbeitet die Daten ausschließlich nach dokumentierten Weisungen der Organisation, einschließlich zulässiger Konfigurationen und schriftlicher Aufträge, sofern kein zwingendes Gesetz etwas anderes verlangt; soweit zulässig informiert SkillsBoard vorab über eine gesetzliche Verpflichtung. Offensichtlich datenschutzwidrige Weisungen werden beanstandet. Die Organisation bestimmt Zwecke, Rechtsgrundlagen, Transparenz, Aufbewahrungsfristen und die arbeitsrechtliche Zulässigkeit ihrer Mitarbeiterbewertungen und erfüllt ggf. Mitbestimmungspflichten.

3. Gegenstand und Kategorien – Anlage I

Gegenstand: SaaS für Rollen, Kompetenzen, Lernnachweise, Bewertungen, Entwicklung und Teamanalysen. Dauer: während des Organisationsvertrags und der vereinbarten Datenrückgabe-/Löschungsphase, außer gesetzlichen Fristen. Vorgänge: Erheben, Speichern, Strukturieren, Bereitstellen, Vergleichen, KI-gestützte Bewertungsvorschläge, Sichern, Berichtigen, Exportieren und Löschen. Zwecke: ausschließlich die von der Organisation bestimmten Maßnahmen des Kompetenz- und Personalmanagements. Betroffene: Beschäftigte, Führungskräfte, Administratoren, Auftragnehmer, rechtmäßig erfasste Bewerbende und gegebenenfalls in Nachweisen genannte Personen. Daten: geschäftliche Identifikations- und Kontaktdaten, Stellen und Rollen, Kompetenzen und Niveaus, Bewertungen, Nachweise, Lernwege, Verfasser, freiwillig eingegebene CV-/LinkedIn-Informationen sowie notwendige technische Metadaten. Besondere Kategorien nach Art. 9 DSGVO dürfen nur mit besonderer Rechtsgrundlage, ausdrücklicher Weisung und angemessenen Schutzmaßnahmen eingebracht werden.

4. Vertraulichkeit

SkillsBoard gewährt Zugriff nur Personen, die für die Leistungserbringung darauf angewiesen und zu Vertraulichkeit verpflichtet sind, und verfügt über angemessene Berechtigungs- und Entzugsverfahren. Die Organisation verwaltet die Rechte ihrer Mitarbeitenden und sichert eigene Endgeräte und Anmeldedaten.

5. Sicherheit – Anlage II

Umgesetzte beziehungsweise nachgewiesene Maßnahmen nach Art. 32 DSGVO: AWS in Frankreich, TLS 1.3 am ALB, Secrets Manager, IAM/MFA für AWS-Administratoren, logische Mandantentrennung in gemeinsamer Datenbank, CloudWatch/Sentry und tägliche Backups für 30 Tage. CloudWatch-Logs: Produktion 30 Tage, Testumgebungen 7 Tage. Anwendungs-MFA fehlt, Audit-Logging ist partiell, Restore-Tests erfolgen manuell; kein formales Incident-Playbook ist nachgewiesen. Nicht umgesetzte Maßnahmen gelten nicht als vertraglich zugesichert. Details in Anlage II.

6. Unterauftragsverarbeiter – Anlage III

Die Organisation erteilt eine allgemeine Genehmigung für Unterauftragsverarbeiter; wesentliche Änderungen werden grundsätzlich 30 Tage vorab mit Widerspruchsmöglichkeit aus Datenschutzgründen mitgeteilt. Relevante Anbieter: AWS, OpenAI und Sentry. Vertragspartner, Standorte und Übermittlungsgrundlagen müssen im Verzeichnis dokumentiert werden. LinkedIn, Analytics, Clarity, reCAPTCHA und Brandfetch sind je Verarbeitung als Dienstleister oder eigene Verantwortliche zu qualifizieren und nicht pauschal Unterauftragsverarbeiter der Organisation. Die Pflichten aus Art. 28 DSGVO werden weitergegeben.

7. Internationale Übermittlungen

Haupt-Hosting auf AWS in Frankreich, aber OpenAI API-Region Global, keine ausschließliche EU-Verarbeitung. Personenbezogene Eingaben können außerhalb des EWR verarbeitet werden; geeignete Transfergrundlagen und ergänzende Garantien nach Kapitel V DSGVO sind zu dokumentieren. OpenAI DPA, Unterauftragsverarbeiter, Trainingseinstellungen und Responses-Speicherung werden überprüft. AWS-EU-Hosting allein garantiert keine EU-KI-Verarbeitung.

8. Hilfe bei Betroffenenrechten und Datenschutz-Folgenabschätzung

SkillsBoard unterstützt die Organisation angemessen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch sowie Sicherheits-, Meldungs-, DPIA- und Konsultationspflichten. Anfragen zu Organisationsdaten werden an die zuständige Organisation weitergeleitet, sofern rechtlich zulässig. SkillsBoard beantwortet Anfragen zum eigenständig verantworteten persönlichen Konto selbst.

9. Datenschutzverletzungen

Nach Bekanntwerden einer Verletzung bezüglich der Auftragsdaten informiert SkillsBoard die Organisation unverzüglich, teilt verfügbare Angaben zu Art, Betroffenen, Folgen und Gegenmaßnahmen mit und ergänzt Informationen bei Bedarf. Die Organisation entscheidet über gesetzlich notwendige Meldungen an Behörden und Personen; SkillsBoard unterstützt dabei. Beide Parteien melden relevante gemeinsame Vorfälle.

10. Nachweise und Prüfungen

SkillsBoard stellt erforderliche Informationen zur Einhaltung von Art. 28 bereit und ermöglicht gesetzlich notwendige Prüfungen unter angemessener Vorankündigung, Vertraulichkeit und Schutz fremder Daten. Geeignete vorhandene Prüfberichte können zuerst verwendet werden. Außergewöhnliche Zusatzleistungen können vorab bepreist werden, ohne zwingende Prüfrechte zu beschneiden.

11. Rückgabe und Löschung

Die Organisation beantragt Export oder Löschung an contact@hilighter.io; Identität, Berechtigung und Grenzen zu persönlichen Mitarbeiterkonten werden geprüft. Export (CSV/JSON, zulässige Dateien) und berechtigte aktive Löschung haben ein Ziel von 30 Tagen, vorbehaltlich zwingender Fristen. Tägliche Backups: 30 Tage. S3-Dateien: noch kein globaler automatischer Ablauf; Löschung und Restore-Replay müssen technisch abgesichert werden. Persönliche Konten werden bei Vertragsende des Arbeitgebers nicht automatisch gelöscht.

12. Keine werbliche Wiederverwendung oder unautorisierte KI-Schulung

SkillsBoard nutzt Arbeitgeberdaten, die ausschließlich als Auftragsverarbeiter vorliegen, nicht für eigenes Partner-Marketing oder Profiling. Auch eine Marketingeinwilligung des Beschäftigten berechtigt hierzu nicht automatisch. Eine andere Nutzung erfordert eigene rechtmäßige Grundlage und Berechtigung. Ohne gesonderte Weisung, Rechtsgrundlage und Schutzmaßnahmen wird der KI-Anbieter nicht zur Modellschulung mit Organisationsdaten ermächtigt; die tatsächlichen API-Einstellungen sind zu prüfen.

13. Recht und Annahme

Es gilt französisches Recht im unionsrechtlich zulässigen Umfang. Die AVV kann elektronisch durch berechtigte Vertreter angenommen werden und gilt solange personenbezogene Daten im Auftrag verarbeitet werden. Maßgeblich ist die französische Fassung.

---

Anlage II – Festgestellte technische Maßnahmen

Anlage III – Vorläufiges Unterauftragsverarbeiterverzeichnis

Zugehörige Dokumente

• Datenschutzerklärung
• Impressum
• Nutzungs- und Verkaufsbedingungen
• Cookie-Richtlinie