Anlage 1: Auftragsverarbeitungsvereinbarung (AVV)

zu den Nutzungsbedingungen TEAM-CHECKUP · Version 1.4 · Stand: 1. August 2026

zwischen dir als Verantwortlichem und RSC² Coaching Consulting, Roger Schlegel, Im Mühlahl 6, 61203 Reichelsheim als Auftragsverarbeiter, gemäß Art. 28 DSGVO. Diese Vereinbarung kommt zusammen mit den Nutzungsbedingungen durch deine Bestätigung beim ersten Login zustande.

1. Gegenstand, Dauer und Rollen

1.1 Wir verarbeiten personenbezogene Daten in deinem Auftrag, soweit dies für den Betrieb von TEAM-CHECKUP erforderlich ist. Die Dauer entspricht der Laufzeit der Nutzungsbedingungen.

1.2 Du bist Verantwortlicher im Sinne der DSGVO. Soweit du deinerseits als Auftragsverarbeiter für deinen Kunden tätig bist, handeln wir als weiterer Auftragsverarbeiter (Unterauftragsverhältnis); du sicherst zu, dass die dafür erforderliche Genehmigung deines Kunden vorliegt.

2. Art, Zweck und Umfang der Verarbeitung

2.1 Zweck: Durchführung anonymer Teambefragungen, Versand von Einladungen und Erinnerungen, deterministische Auswertung, Erstellung und Auslieferung von Berichten sowie Ermöglichung von Folgebefragungen.

2.2 Kategorien betroffener Personen: Teilnehmende der Befragungen (Teammitglieder, Führungskräfte), Ansprechpersonen deiner Kunden.

2.3 Datenkategorien: E-Mail-Adressen der Teilnehmenden inklusive Kennzeichnung der Führungskraft, Einladungs- und Bearbeitungsstatus, Befragungsantworten (Bewertungen, angekreuzte Items, Freitexte – von der Einladung entkoppelt und ohne Personenzuordnung gespeichert), Berichtsinhalte.

3. Weisungen

Wir verarbeiten die Daten nur nach deinen dokumentierten Weisungen. Weisungen erteilst du in der Regel über die Funktionen des Tools; darüber hinaus genügt Textform (E-Mail). Halten wir eine Weisung für datenschutzrechtlich unzulässig, informieren wir dich unverzüglich.

4. Unsere Pflichten als Auftragsverarbeiter

4.1 Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet.

4.2 Wir treffen die technischen und organisatorischen Maßnahmen nach Ziffer 5 und passen sie dem Stand der Technik an, ohne das Schutzniveau zu unterschreiten.

4.3 Wir unterstützen dich im erforderlichen und zumutbaren Umfang bei der Beantwortung von Betroffenenanfragen (Art. 12–23 DSGVO) sowie bei deinen Pflichten aus Art. 32–36 DSGVO.

4.4 Anfragen betroffener Personen, die uns direkt erreichen, leiten wir unverzüglich an dich weiter.

4.5 Verletzungen des Schutzes personenbezogener Daten melden wir dir unverzüglich, damit du deine Meldepflichten fristgerecht erfüllen kannst.

5. Technische und organisatorische Maßnahmen (TOMs)

• Hosting: Betrieb in einem zertifizierten Rechenzentrum in Deutschland (Hetzner).
• Transportverschlüsselung: sämtliche Verbindungen über TLS.
• Zugriffskontrolle: rollenbasierte Berechtigungen (Master/Trainer), persönliche Zugänge ohne Sammeladressen, Passwort-Speicherung ausschließlich als sicherer Hash, strikte Mandantentrennung auf Anwendungsebene.
• Anonymität by Design: abgegebene Antworten werden ohne Verknüpfung zu Einladung oder E-Mail-Adresse gespeichert; Einmal-Token tragen nur den Bearbeitungsstatus; Ergebnisse sind erst ab vier abgeschlossenen Antworten sichtbar; Pro-Teilnehmer-Darstellungen nur unter zufälligen Labels.
• Datensparsamkeit gegenüber der KI-Schnittstelle: ausschließlich aggregierte, anonymisierte Kennzahlen sowie Freitexte auf Teamebene; keine E-Mail-Adressen, keine Token, keine Einzelzuordnungen.
• Verfügbarkeit: regelmäßige Backups der Datenbank.
• Löschkonzept: definierte Aufbewahrungs- und Löschfristen für Erhebungen, Antworten und Berichte.

6. Subauftragsverarbeiter

6.1 Du genehmigst den Einsatz der folgenden Subauftragsverarbeiter:

Unternehmen	Leistung	Ort der Verarbeitung	Absicherung
Hetzner Online GmbH	Hosting (Server, Datenbank, Speicher)	Deutschland	AV-Vertrag
IONOS SE	Versand transaktionaler E-Mails (Einladungen, Erinnerungen, Berichtsversand)	Deutschland	AV-Vertrag
Anthropic, PBC	KI-gestützte Einordnung der Ergebnisse und Plausibilisierung von Fragen; es werden ausschließlich aggregierte, anonymisierte Kennzahlen, Freitexte auf Teamebene sowie zu prüfende Items übermittelt	USA; Übermittlung auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) im Rahmen des Anthropic-DPA	DPA mit Standardvertragsklauseln, Zero-Data-Retention-Vereinbarung

6.2 Über den Wechsel oder die Aufnahme von Subauftragsverarbeitern informieren wir dich vorab per E-Mail. Du kannst aus wichtigem datenschutzrechtlichem Grund widersprechen; findet sich dann keine zumutbare Lösung, können beide Seiten den Vertrag beenden (die Erstattungsregeln der Nutzungsbedingungen gelten entsprechend).

7. Nachweise und Kontrollen

Wir weisen die Einhaltung dieser Vereinbarung auf Anfrage durch geeignete Unterlagen nach (z. B. Beschreibung der TOMs, Zertifikate der Rechenzentren, AV-Verträge mit Subauftragsverarbeitern). Darüber hinausgehende Kontrollen sind nach angemessener Ankündigung während üblicher Geschäftszeiten möglich.

8. Löschung und Rückgabe

8.1 Nach Vertragsende gilt: ein Jahr Zugriff auf deine Berichte zum Download, danach löschen wir deine personenbezogenen Daten, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.

8.2 Daten in Backups werden mit dem regulären Backup-Zyklus überschrieben, spätestens 30 Tage nach der Löschung im Produktivsystem.

8.3 Löschst du während der Laufzeit einzelne Erhebungen, Teams oder Kunden im Tool, wirkt dies als Löschweisung.

8.4 Einladungsdaten einer Erhebung (E-Mail-Adressen der Teilnehmenden und Teilnahmestatus) speichern wir zur Ermöglichung von Folgebefragungen bis zu 18 Monate nach Abschluss der Erhebung; danach werden sie gelöscht. Eine frühere Löschung nach Ziffer 8.3 bleibt unberührt. Eine Zuordnung von Antworten zu Personen ist auch während dieser Zeit ausgeschlossen (Ziffer 5).

9. Schlussbestimmungen

9.1 Bei Widersprüchen zwischen dieser Anlage und den Nutzungsbedingungen geht in datenschutzrechtlichen Fragen diese Anlage vor.

9.2 Die Haftungsregelung der Nutzungsbedingungen (Ziffer 8) gilt auch für diese Vereinbarung, soweit gesetzlich zulässig.