Auftragsverarbeitungsvertrag

Zuletzt aktualisiert: 22. Oktober 2026

Drucken oder als PDF speichern

Vertrag über die Verarbeitung personenbezogener Daten gemäß Art. 28 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, DSGVO). Er ist fester Bestandteil der Nutzungsbedingungen von Quizhat und gilt automatisch, ohne Unterschrift, für jedes Konto, das Quizhat mit Daten von Teilnehmern nutzt. Für eine unterzeichnete Ausfertigung oder bei Fragen schreib an festalaurea.info@gmail.com.

1. Parteien und Gegenstand

• Verantwortlicher („Verantwortlicher“): der Kunde, der Inhaber des Quizhat-Kontos ist, oder die Organisation (Bildungsträger, Unternehmen, Schule, Veranstalter von Events), für die er handelt und die die Sessions organisiert.
• Auftragsverarbeiter („Auftragsverarbeiter“): FESTALAUREA SRLS, Via Luigi Mascherpa 18, 35131 Padova (PD), Italien, P.IVA 05743150285 (italienische USt-IdNr.), PEC festalaurea@pec.it, Anbieterin von Quizhat.
• Gegenstand: die Verarbeitung personenbezogener Daten der Teilnehmer an den Sessions und der Angemeldeten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen, soweit sie für die Bereitstellung des Dienstes Quizhat erforderlich ist. Die Kontodaten des Verantwortlichen verarbeitet FESTALAUREA SRLS dagegen als eigenständiger Verantwortlicher gemäß der Datenschutzerklärung.

2. Beschreibung der Verarbeitung

• Art und Zweck: Erhebung, Erfassung, Speicherung, Abfrage, Auswertung, Übermittlung an den Verantwortlichen und Löschung der Daten, um Quiz und Prüfungen live oder aus der Ferne durchzuführen, Punktzahlen und Ergebnisse zu berechnen, Berichte, Protokolle, Zertifikate und Exporte zu erstellen und die vom Verantwortlichen angeforderten Links zu den Tests und Follow-up-Fragebögen per E-Mail zu versenden.
• Kategorien betroffener Personen: Teilnehmer an den Sessions (zum Beispiel Beschäftigte in der Schulung, Schüler und Studierende, Gäste eines Events) und vom Verantwortlichen hochgeladene Angemeldete.
• Arten von Daten: Spitzname, Avatar und Team; Vor- und Nachname; Unternehmen und die weiteren Felder, die der Verantwortliche abfragt; E-Mail der Angemeldeten, wenn der Verantwortliche sie eingibt; Antworten, Zeiten, Punktzahlen, Ergebnisse und Versuche; Ereignisse der Session (Beitritt, Verlassen, Abgabe, Verlassen der Seite während der Prüfung); Daten der Zertifikate (Name, Kurs, Datum, Ergebnis, Prüfcode); Antworten auf die Follow-up-Fragebögen; technische Verbindungsdaten, die für den Echtzeitbetrieb erforderlich sind.
• Besondere Kategorien und strafrechtliche Daten: Der Dienst ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) oder von Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10) ausgelegt. Der Verantwortliche verpflichtet sich, solche Daten nicht über die zusätzlichen Felder oder die Fragen zu erheben.
• Dauer: für die Dauer des Vertrags, vorbehaltlich Punkt 11.

3. Pflichten des Verantwortlichen

• Der Verantwortliche legt Zwecke und Mittel der Verarbeitung fest und gewährleistet, dass er eine gültige Rechtsgrundlage hat, die betroffenen Personen informiert hat (Art. 13 und 14 DSGVO), auch über die Nutzung von Quizhat, den Versand der E-Mails und die Follow-ups, und nur die erforderlichen Daten erhebt (Datenminimierung).
• Bei minderjährigen Teilnehmern beachtet der Verantwortliche die für die Schule oder Einrichtung geltenden Regeln und bevorzugt nicht identifizierende Spitznamen.
• Der Verantwortliche bewahrt die Zugangsdaten seines Kontos sicher auf und geht sorgfältig mit den heruntergeladenen Berichten, Protokollen und Exporten um, für die er verantwortlich ist, sobald sie den Dienst verlassen haben.

4. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Die Weisungen bestehen aus diesem Vertrag, den Nutzungsbedingungen sowie den Einstellungen und Handlungen des Verantwortlichen im Dienst (zum Beispiel abzufragende Felder, Versand der Links, Planung der Follow-ups, Löschung einer Session oder des Kontos). Weitere Weisungen sind schriftlich zu erteilen, auch per E-Mail; verursachen sie Kosten oder Tätigkeiten, die der Dienst nicht vorsieht, können sie gesondert vereinbart werden. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt. Schreibt das Unionsrecht oder das italienische Recht eine andere Verarbeitung vor, teilt der Auftragsverarbeiter dies dem Verantwortlichen vor der Verarbeitung mit, sofern das Gesetz dies nicht verbietet.

5. Vertraulichkeit

Der Auftragsverarbeiter befugt nur Personen zur Verarbeitung, die dies benötigen, um den Dienst bereitzustellen, zu warten und zu betreuen, weist sie an und gewährleistet, dass sie sich zur Vertraulichkeit verpflichtet haben oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b). Der Auftragsverarbeiter greift auf die Inhalte der Sessions nur zu, um den Dienst bereitzustellen, für den vom Verantwortlichen angeforderten Support, für die Sicherheit oder aufgrund gesetzlicher Pflichten.

6. Sicherheitsmaßnahmen

Der Auftragsverarbeiter trifft dem Risiko angemessene technische und organisatorische Maßnahmen (Art. 32 DSGVO), darunter:

• stets verschlüsselte Verbindungen (HTTPS/TLS), auch für die Echtzeitverbindung der Handys;
• Zugriffskontrolle: Jedes Konto sieht nur die eigenen Sessions und Berichte; Passwörter nur als Argon2-Hash gespeichert; Anmeldung mit Google oder Microsoft über OpenID Connect;
• Server in einem Rechenzentrum in Italien, mit Firewall, administrativem Zugang nur per kryptografischem Schlüssel und Schutz vor wiederholten Anmeldeversuchen;
• Begrenzung von Anmeldeversuchen und Registrierungen, Prüfung hochgeladener Dateien;
• tägliches Backup der Datenbank und der Bilder, mit Integritätsprüfung der Kopie, und Wiederherstellungsverfahren;
• Aktualisierung der Software und automatisierte Tests der Zugriffskontrollen.

Der Auftragsverarbeiter kann die Maßnahmen im Laufe der Zeit anpassen, sofern das Gesamtschutzniveau nicht sinkt.

7. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung zur Inanspruchnahme weiterer Auftragsverarbeiter (Unterauftragsverarbeiter, Art. 28 Abs. 2 und 4 DSGVO). Der Auftragsverarbeiter erlegt jedem von ihnen vertraglich Datenschutzpflichten auf, die denen dieses Vertrags im Wesentlichen gleichwertig sind, und haftet gegenüber dem Verantwortlichen für deren Tätigkeit. Die derzeitigen Unterauftragsverarbeiter sind:

Der Auftragsverarbeiter teilt dem Verantwortlichen die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 15 Tage im Voraus per E-Mail mit und aktualisiert diese Seite. Der Verantwortliche kann innerhalb derselben Frist aus begründeten datenschutzbezogenen Gründen Einspruch erheben; wird keine Lösung gefunden, kann der Verantwortliche vom Vertrag zurücktreten und erhält den nicht genutzten Teil des Abonnements erstattet.

Keine Unterauftragsverarbeiter sind, da sie als eigenständige Verantwortliche handeln und vom Auftragsverarbeiter keine Teilnehmerdaten in dessen Auftrag erhalten: Stripe (Zahlungen des Verantwortlichen), Google und Microsoft (Anmeldung am Konto des Verantwortlichen). In Quiz mit vom Verantwortlichen eingefügten YouTube-Videos lädt das Gerät des Teilnehmers den Player direkt von YouTube (Google), das die IP-Adresse als eigenständiger Verantwortlicher erhält: Der Verantwortliche berücksichtigt dies in seinen Datenschutzinformationen oder verwendet Quiz ohne Video.

8. Übermittlungen außerhalb der EU

Datenbank, Bilder und Backups werden in Italien gespeichert. Eine Übermittlung von Daten in Länder außerhalb des Europäischen Wirtschaftsraums, auch über einen Unterauftragsverarbeiter, erfolgt nur, wenn eine Garantie nach Kapitel V DSGVO gewährleistet ist: ein Angemessenheitsbeschluss (wie das EU-US Data Privacy Framework für zertifizierte Anbieter) oder die von der Europäischen Kommission genehmigten Standardvertragsklauseln.

9. Unterstützung des Verantwortlichen

• Rechte der betroffenen Personen (Art. 28 Abs. 3 lit. e): Der Dienst ermöglicht es dem Verantwortlichen, die Daten der Sessions einzusehen und zu exportieren und sie durch Löschen der einzelnen Session aus seinem Bericht zu löschen. Der Auftragsverarbeiter leitet Anfragen, die er direkt von betroffenen Personen erhält, unverzüglich und in der Regel innerhalb von 5 Arbeitstagen an den Verantwortlichen weiter, ohne sie inhaltlich zu beantworten, sofern der Verantwortliche nichts anderes anweist, und unterstützt ihn bei Anfragen, die der Verantwortliche mit den Funktionen des Dienstes nicht selbst erfüllen kann (zum Beispiel durch Löschen eines einzelnen Teilnehmers auf seine Anfrage).
• Sicherheit, Datenschutz-Folgenabschätzungen und vorherige Konsultation (Art. 28 Abs. 3 lit. f): Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen zur Verfügung, die für die Pflichten nach Art. 32 bis 36 DSGVO vernünftigerweise erforderlich sind, unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen.

10. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 48 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wurde, die in seinem Auftrag verarbeitete Daten betrifft (Art. 33 Abs. 2 DSGVO). Die Meldung wird an die E-Mail-Adresse des Kontos gesendet und enthält, soweit verfügbar, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und einen Ansprechpartner; nicht sofort verfügbare Informationen werden so bald wie möglich nachgereicht. Der Auftragsverarbeiter ergreift unverzüglich Maßnahmen zur Eindämmung der Verletzung und unterstützt den Verantwortlichen bei den Meldungen an den Garante per la protezione dei dati personali (italienische Datenschutzbehörde) und an die betroffenen Personen.

11. Löschung und Rückgabe der Daten

• Während der Vertragslaufzeit kann der Verantwortliche jederzeit Berichte, Protokolle, Zertifikate und den vollständigen Export der Kontodaten (JSON-Format) über die Seite Konto herunterladen.
• Der Verantwortliche kann jederzeit eine einzelne Session aus seinem Bericht löschen („Session löschen“): Der Auftragsverarbeiter löscht sofort Teilnehmer, Antworten, Punktzahlen, Verlassen der Seite, Angemeldete und persönliche Links, Zertifikate (ihre Prüfseite zeigt sie nicht mehr als gültig an) und Follow-ups der Session. Die Kopien in den Backups werden innerhalb von 14 Tagen überschrieben.
• Löscht der Verantwortliche das Konto, löscht der Auftragsverarbeiter sofort die in dessen Auftrag verarbeiteten Daten (Art. 28 Abs. 3 lit. g). Die Kopien in den Backups werden innerhalb von 14 Tagen überschrieben; bis dahin werden sie nur zur Wiederherstellung bei einem Ausfall verwendet.
• Endet der Vertrag aus anderen Gründen, bewahrt der Auftragsverarbeiter die Daten 30 Tage lang auf, damit der Verantwortliche sie herunterladen kann, und löscht sie danach, sofern nicht das Unionsrecht oder das italienische Recht ihre Aufbewahrung vorschreibt.
• Auf Anfrage des Verantwortlichen bestätigt der Auftragsverarbeiter die erfolgte Löschung schriftlich.

12. Informationen und Überprüfungen

Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem von ihm beauftragten, zur Vertraulichkeit verpflichteten Prüfer durchgeführt werden, und trägt dazu bei (Art. 28 Abs. 3 lit. h). Außer bei Datenschutzverletzungen oder Anfragen einer Behörde finden Überprüfungen in der Regel einmal jährlich statt, mit schriftlicher Ankündigung von mindestens 30 Tagen, während der Geschäftszeiten, ohne Zugang zu Daten anderer Kunden und ohne die Sicherheit des Dienstes zu gefährden; sie erfolgen in erster Linie anhand der Dokumentation und der schriftlichen Antworten des Auftragsverarbeiters. Die Kosten der Überprüfung trägt der Verantwortliche, es sei denn, es ergeben sich erhebliche Verstöße des Auftragsverarbeiters.

13. Laufzeit und Schlussbestimmungen

• Dieser Vertrag gilt, solange der Auftragsverarbeiter Daten im Auftrag des Verantwortlichen verarbeitet, und endet mit der in Punkt 11 vorgesehenen Löschung.
• Jede Partei haftet gegenüber den betroffenen Personen und gegenüber der anderen Partei gemäß Art. 82 DSGVO. Im Verhältnis zwischen den Parteien gelten die Haftungsbeschränkungen der Nutzungsbedingungen, soweit gesetzlich zulässig.
• Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen in Fragen des Datenschutzes hat dieser Vertrag Vorrang.
• Es gelten italienisches Recht und der in den Nutzungsbedingungen angegebene Gerichtsstand. Der Auftragsverarbeiter kann den Vertrag auf die in den Nutzungsbedingungen vorgesehene Weise aktualisieren, ohne die Garantien für die betroffenen Personen zu verringern.