Auftragsverarbeitungsvertrag (AVV)

Mentory stellt dem Verantwortlichen eine Plattform für Online-Kurse und Teilnehmer-Betreuung bereit und verarbeitet dabei personenbezogene Daten der Teilnehmer des Verantwortlichen in dessen Auftrag. Die Dauer entspricht der Laufzeit des Nutzungsvertrags; Ziffer 9 (Löschung) bleibt unberührt.

Zweck der Verarbeitung ist die Bereitstellung der Kurs- und Betreuungsfunktionen (Kurszugang, Lernfortschritt, Kommunikation, Aufgaben, Zertifikate, Automationen). Verarbeitet werden insbesondere: Stammdaten (Name, E-Mail-Adresse), Kurs- und Nutzungsdaten (Einschreibungen, Fortschritt, Quiz-Antworten, Checklisten-Stände, Abgaben), Kommunikationsinhalte (Nachrichten Coach ↔ Teilnehmer), Zahlungs-Statusdaten zu Käufen sowie technische Zugriffsdaten. Betroffene Personen sind die Teilnehmer und Interessenten des Verantwortlichen.

Mentory verarbeitet die Daten ausschließlich im Rahmen dieses Vertrags und der über die Plattform-Funktionen erteilten, dokumentierten Weisungen des Verantwortlichen (z. B. Einladen, Einschreiben, Aktivieren von Automationen, Löschen). Hält Mentory eine Weisung für rechtswidrig, informiert es den Verantwortlichen unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

Mentory setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Mentory trifft die in Anlage 1beschriebenen Maßnahmen nach Art. 32 DSGVO und entwickelt sie entsprechend dem Stand der Technik fort, ohne das Schutzniveau zu unterschreiten.

Der Verantwortliche genehmigt die in Anlage 2 aufgeführten Subunternehmer (allgemeine Genehmigung nach Art. 28 Abs. 2 DSGVO). Über beabsichtigte Änderungen informiert Mentory vorab in Textform (z. B. per E-Mail oder Änderungshinweis in der Plattform); der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Mit jedem Subunternehmer bestehen Verträge, die den Anforderungen des Art. 28 DSGVO entsprechen; bei Verarbeitung außerhalb der EU/des EWR werden geeignete Garantien nach Kapitel V DSGVO (insbesondere EU-Standardvertragsklauseln) vereinbart.

Mentory unterstützt den Verantwortlichen mit geeigneten Mitteln bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit) — insbesondere über die Export-, Bearbeitungs- und Löschfunktionen der Plattform — sowie bei den Pflichten aus Art. 32 bis 36 DSGVO, soweit dies Mentory möglich und zumutbar ist. Anfragen betroffener Personen leitet Mentory unverzüglich an den Verantwortlichen weiter.

Mentory meldet dem Verantwortlichen Verletzungen des Schutzes seiner personenbezogenen Daten unverzüglich nach Bekanntwerden und stellt die Informationen bereit, die der Verantwortliche für seine Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO) benötigt.

Nach Ende des Nutzungsvertrags löscht Mentory die im Auftrag verarbeiteten Daten, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Der Verantwortliche kann seine Daten zuvor über die Export-Funktionen der Plattform sichern. Bei Löschung des Coach-Kontos werden die zugehörigen Auftrags-Daten entsprechend den in der Datenschutzerklärung beschriebenen Fristen entfernt.

Mentory stellt dem Verantwortlichen die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung (insbesondere dieses Dokument, die TOM und die Subprozessoren-Liste). Weitergehende Kontrollen erfolgen nach rechtzeitiger Ankündigung während üblicher Geschäftszeiten und, soweit möglich, durch Auskünfte oder geeignete Nachweise statt Vor-Ort-Prüfungen.

Bei Widersprüchen zwischen diesem AVV und den Nutzungsbedingungen geht in datenschutzrechtlichen Fragen dieser AVV vor. Es gilt deutsches Recht. Änderungen dieses AVV erfolgen entsprechend Ziffer 13 der Nutzungsbedingungen.

• Hosting & Zutritt: Betrieb in einem EU-Rechenzentrum (IONOS, Deutschland) mit den Zutritts- und Zugangskontrollen des Rechenzentrumsbetreibers.
• Zugangskontrolle: Server-Zugriff ausschließlich per SSH-Schlüssel; Firewall (nur Ports 22/80/443), automatische Sperrung bei Angriffsversuchen (fail2ban), automatische Sicherheitsupdates.
• Zugriffskontrolle: Rollen- und Besitz-basierte Berechtigungen in der Anwendung (jeder Coach sieht nur die eigenen Teilnehmerdaten), verschlüsselte Passwort-Speicherung (scrypt), httpOnly-Sessions, Zwei-Faktor-Pflicht für administrative Zugänge.
• Übertragungskontrolle: Durchgehende TLS-Verschlüsselung (HTTPS) für Web, App und interne Schnittstellen.
• Eingabekontrolle: Protokollierung sicherheitsrelevanter Ereignisse (Audit-Log administrativer Aktionen).
• Verfügbarkeitskontrolle: Regelmäßige Datenbank-Sicherungen; Wiederherstellungsverfahren.
• Trennungsgebot: Logische Mandantentrennung auf Datenebene (Owner-Scoping aller nutzerbezogenen Tabellen); getrennte Produktions- und Entwicklungsumgebungen.
• Datenminimierung: KI-Funktionen verarbeiten ausschließlich Coach-Inhalte (nie Teilnehmer-Personendaten); Reichweitenmessung ohne Cookies und ohne IP-Speicherung.

Die Reichweitenmessung (Umami) betreibt Mentory selbst auf eigener Infrastruktur in der EU — sie ist kein Subunternehmer im Sinne dieser Anlage.