Vertrag über die Verarbeitung personenbezogener Daten im Auftrag (Art. 28 DSGVO)
Auftragsverarbeiter: RADURIS Kft., Tapolcai út 47, H-8360 Keszthely, Ungarn, vertreten durch den Geschäftsführer Dipl.-Kfm. Christoph Hermesmeier (nachfolgend „Auftragnehmer")
Verantwortlicher: der Kunde nach Maßgabe des Hauptvertrags (nachfolgend „Auftraggeber")
§ 1 Gegenstand und Dauer
(1) Gegenstand ist die Verarbeitung personenbezogener Daten, die der Auftragnehmer bei der Erbringung der im Hauptvertrag beschriebenen Leistungen (Software „Cautela") für den Auftraggeber vornimmt.
(2) Die Dauer entspricht der Laufzeit des Hauptvertrags. Eine Kündigung dieses Vertrags ohne Kündigung des Hauptvertrags ist ausgeschlossen.
§ 2 Art, Umfang und Zweck der Verarbeitung
(1) Zweck ist ausschließlich die Erbringung der vertraglichen Leistungen: Durchführung und Dokumentation von Mitarbeiterschulungen zur KI-Kompetenz, Erzeugung von Kompetenznachweisen und Führung eines Schulungsregisters sowie die Bereitstellung des Kundenkontos.
(2) Art und Kategorien der Daten sowie der betroffenen Personen sind in Anlage 1 abschließend beschrieben.
(3) Die in Anlage 1 genannten Daten werden ausschließlich innerhalb der Europäischen Union verarbeitet und gespeichert. Soweit im Erfassungsgespräch (§ 3 Nr. 1 des Hauptvertrags) ein in Anlage 3 genannter Unterauftragsverarbeiter außerhalb der Europäischen Union tätig wird, geschieht dies auf Grundlage der EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.
§ 3 Weisungsbindung
(1) Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Der Hauptvertrag samt Anlagen ist die vollständige Weisung zum Zeitpunkt des Vertragsschlusses.
(2) Weisungen erteilt der Auftraggeber in Textform an raduris-it@hermyon.ai. Mündliche Weisungen bestätigt er unverzüglich in Textform.
(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.
§ 4 Vertraulichkeit
(1) Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer gesetzlichen Verschwiegenheitspflicht unterworfen sind.
(2) Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus fort.
§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
(1) Der Auftragnehmer trifft die in Anlage 2 beschriebenen Maßnahmen und hält sie während der Vertragslaufzeit aufrecht.
(2) Er darf sie fortentwickeln, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie auf Anfrage mit.
§ 6 Unterstützung des Auftraggebers
(1) Betroffenenrechte. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst. Er unterstützt den Auftraggeber bei der Erfüllung von Auskunfts-, Berichtigungs-, Lösch- und Einschränkungsverlangen mit angemessenen technischen Mitteln.
(2) Meldepflichten. Der Auftragnehmer meldet dem Auftraggeber jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, in Textform. Die Meldung enthält mindestens die Art der Verletzung, die betroffenen Datenkategorien, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen.
(3) Der Auftragnehmer unterstützt den Auftraggeber bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) und vorherigen Konsultationen (Art. 36 DSGVO), soweit die dafür nötigen Angaben nur ihm vorliegen.
§ 7 Nachweise und Kontrollen
(1) Der Auftragnehmer weist die Einhaltung der Pflichten auf Anfrage in Textform nach, insbesondere durch Vorlage der aktuellen Fassung der Anlage 2.
(2) Der Auftraggeber ist berechtigt, sich von der Einhaltung zu überzeugen. Kontrollen sind mit angemessener Vorankündigung (in der Regel 14 Tage), zu üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs durchzuführen; sie erfolgen höchstens einmal jährlich, es sei denn, es besteht ein besonderer Anlass.
(3) Der Auftragnehmer kann Nachweise auch durch Vorlage geeigneter Zertifikate oder Berichte unabhängiger Stellen erbringen, soweit vorhanden.
§ 8 Unterauftragsverhältnisse
(1) Der Auftraggeber stimmt dem Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter zu.
(2) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter schriftlich auf Pflichten, die den hier vereinbarten mindestens gleichwertig sind (Art. 28 Abs. 4 DSGVO).
(3) Vor dem Einsatz eines weiteren oder dem Austausch eines bestehenden Unterauftragsverarbeiters informiert der Auftragnehmer den Auftraggeber mit einer Frist von vier Wochen in Textform. Der Auftraggeber kann aus wichtigem Grund widersprechen. Widerspricht er, kann jede Partei den Hauptvertrag zum Zeitpunkt der geplanten Änderung kündigen.
(4) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen wie Telekommunikation oder Wartung, bei denen ein Zugriff auf personenbezogene Daten nicht bestimmungsgemäß erfolgt.
§ 9 Löschung und Rückgabe
(1) Nach Beendigung des Hauptvertrags löscht der Auftragnehmer die im Auftrag verarbeiteten Daten, sobald der in § 10 Abs. 4 des Hauptvertrags genannte Zeitraum für den Abruf abgelaufen ist.
(2) Datensicherungen werden im Rahmen des regulären Sicherungszyklus überschrieben; die vollständige Löschung aus den Sicherungen ist damit spätestens 30 Tage nach der Löschung im Produktivsystem abgeschlossen.
(3) Gesetzliche Aufbewahrungspflichten bleiben unberührt; insoweit werden die Daten in der Verarbeitung eingeschränkt statt gelöscht.
(4) Die Löschung wird auf Anfrage in Textform bestätigt.
§ 10 Schlussbestimmungen
(1) Widersprechen sich Hauptvertrag und dieser Vertrag, gehen die Regelungen dieses Vertrags für die Auftragsverarbeitung vor.
(2) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts — gleichlautend mit § 15 Abs. 1 des Hauptvertrags.
Anlage 1 — Daten und betroffene Personen
Kategorien betroffener Personen
| Kategorie | Erläuterung |
|---|---|
| Beschäftigte des Auftraggebers | Personen, die eine Schulung durchlaufen |
| Sonstige vom Auftraggeber eingesetzte Personen | z. B. Leiharbeitnehmer, freie Mitarbeiter, soweit der Auftraggeber sie schult |
| Administratoren des Auftraggebers | Personen, die das Kundenkonto führen |
Kategorien personenbezogener Daten
| Datenart | Wo sie entsteht |
|---|---|
| Name der geschulten Person | Eingabe durch den Auftraggeber oder durch die Person selbst beim Öffnen des Einladungslinks |
| Schulungsstatus (eingeladen, begonnen, bestanden, nicht bestanden) | Schulungsregister |
| Testergebnis (Punktzahl, Zeitpunkt, Versuch) | Wissenstest |
| Kompetenznachweis (Name, Datum, Nachweisnummer, Module) | erzeugtes Dokument |
| E-Mail-Adresse des Administrators | Kontoanlage und Anmeldung |
| Zeitstempel von Anmeldung und Schulungsschritten | Betrieb und Nachweisführung |
| Sprachaufnahme des Administrators — nur, wenn er im Erfassungsgespräch das Mikrofon nutzt | flüchtig zur Umwandlung in Text; sie wird nicht gespeichert (Anlage 3) |
Was ausdrücklich NICHT verarbeitet wird — das ist Teil des Produktversprechens und am System überprüfbar:
- Keine E-Mail-Adressen der geschulten Personen. Die Schulung läuft über Einladungslinks ohne Benutzerkonto; wer geschult wird, gibt keine Adresse an.
- Keine besonderen Kategorien nach Art. 9 DSGVO.
- Keine Leistungs- oder Verhaltenskontrolle über den Schulungsstand hinaus.
- Keine Übermittlung von Beschäftigtendaten an ein Sprachmodell. Schulung, Wissenstest, Registerführung und Nachweiserzeugung laufen vollständig ohne KI. Beteiligt ist KI allein im Erfassungsgespräch, das der Administrator selbst führt (Anlage 3).
Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Diese Anlage beschreibt den tatsächlichen Stand vom 03.08.2026. Jede Zeile ist am Quellcode oder am laufenden System belegt. Was noch nicht umgesetzt ist, steht am Ende offen — bewusst, statt es zu behaupten.
Vertraulichkeit
| Maßnahme | Umsetzung |
|---|---|
| Mandantentrennung | Row-Level Security der Datenbank. Jede Abfrage ist technisch auf den Mandanten des angemeldeten Nutzers begrenzt; die Anwendung verbindet sich mit einer Rolle ohne Superuser-Rechte, damit die Trennung greift. Durch automatisierte Tests mit zwei echten Mandanten abgesichert |
| Zugangskontrolle | Anmeldung ohne Passwort über Einmal-Links mit kurzer Gültigkeit. Zugangs- und Einladungstoken werden nur als SHA-256-Hash gespeichert |
| Sitzungssicherheit | Sitzungs-Cookie mit HttpOnly und Secure, begrenzte Lebensdauer, serverseitiger Widerruf beim Abmelden |
| Interne Schnittstellen | Betriebs- und Diagnosepfade sowie die API-Dokumentation sind zusätzlich durch HTTP-Authentifizierung geschützt |
| Protokolle ohne Geheimnisse | Einmal-Token werden im Zugriffsprotokoll geschwärzt, damit ein Logzugriff keine fremde Sitzung oder Schulung eröffnet |
| Datenminimierung bei Geschulten | Für die Schulung wird kein Konto und keine E-Mail-Adresse der geschulten Person benötigt |
Integrität
| Maßnahme | Umsetzung |
|---|---|
| Transportverschlüsselung | TLS für jede Verbindung, Zertifikate über Let's Encrypt, Weiterleitung von HTTP auf HTTPS |
| Eingabekontrolle | Fachliche Eingaben werden gegen ein versioniertes Regelwerk geprüft; unbekannte Werte werden abgewiesen statt stillschweigend eingeordnet |
| Missbrauchsschutz | Begrenzung der Zugriffe je IP-Adresse auf offenen Endpunkten, Honeypot-Felder gegen automatisierte Eingaben |
| Ausgabekontrolle | Konsequente Maskierung von Nutzereingaben in der Ausgabe (Schutz vor Cross-Site-Scripting), abgesichert durch Tests |
Verfügbarkeit und Belastbarkeit
| Maßnahme | Umsetzung |
|---|---|
| Datensicherung | Täglicher vollständiger Datenbank-Auszug, Aufbewahrung 30 Tage, danach automatische Löschung |
| Serverstandort | Rechenzentrum in Deutschland (Berlin) |
| Trennung vom Internet | Die Anwendung ist nicht unmittelbar aus dem Internet erreichbar; nur der vorgelagerte Webserver nimmt Verbindungen an |
Verfahren zur Überprüfung und Bewertung
| Maßnahme | Umsetzung |
|---|---|
| Automatisierte Prüfungen | Über 250 automatisierte Tests, darunter Tests für Mandantentrennung, Zugangsschutz und Protokollschwärzung; ergänzend Prüfskripte für Regelwerk, Dokumente und Schulungsinhalte |
| Versionierung fachlicher Grundlagen | Regelwerk, Fundstellen, Tool-Datenbank und Schulungsinhalte sind versioniert; ein Versionsabgleich verhindert, dass Bestandteile unbemerkt auseinanderlaufen |
| Nachvollziehbarkeit | Alle Änderungen an Software und Inhalten sind in einer Versionsverwaltung dokumentiert |
⚠ Offen — bewusst nicht behauptet
| Punkt | Stand |
|---|---|
| Wiederherstellung aus der Sicherung | Die Sicherung läuft täglich, wurde aber noch nicht zurückgespielt. Bis das geschehen und protokolliert ist, wird hier keine Wiederherstellungszeit zugesagt |
| Redundanz | Ein Server, keine Ausfallsicherung |
| Verschlüsselung im Ruhezustand | Nicht gesondert umgesetzt; die Daten liegen unverschlüsselt in der Datenbank auf dem Server |
| Belastungstest | Nicht durchgeführt |
Anlage 3 — Unterauftragsverarbeiter
Der Auftragsdaten-Kern liegt auf eigener Infrastruktur
Entscheidend für diesen Vertrag ist, wo die im Auftrag verarbeiteten Daten liegen — also die Daten aus Anlage 1 (Namen der geschulten Personen, Schulungsstände, Testergebnisse, Kompetenznachweise). Diese liegen ausschließlich auf dem Server, den die RADURIS Kft. selbst gemietet hat.
| Dienst | Wofür | Ort |
|---|---|---|
| IONOS SE, Elgendorfer Str. 57, 56410 Montabaur | Server, auf dem die Anwendung und die Datenbank laufen — hier liegen die Auftragsdaten | Deutschland (Berlin) |
Damit ist die Auftragsverarbeitungskette für den Kern dieses Vertrags geschlossen. Der Auftragsverarbeitungsvertrag mit IONOS wird auf Anfrage vorgelegt.
Was ausdrücklich NICHT über Dritte läuft
| Geschulte Personen erhalten keine E-Mail vom System. | Die Software versendet ausschließlich zwei Arten von Nachrichten: den Anmelde-Link an den Administrator und eine Bestätigungsmail an Interessenten der Website. Einladungslinks zur Schulung erzeugt die Software; verteilt werden sie vom Auftraggeber selbst — über den Weg, den er wählt. |
| Kein Sprachmodell erhält Beschäftigtendaten. | Schulung, Wissenstest, Registerführung, Nachweiserzeugung und Risikoeinordnung laufen vollständig ohne KI. Wo KI beteiligt ist — im Erfassungsgespräch des Administrators —, steht es unten. |
Aus dem ersten Punkt folgt: Der E-Mail-Versanddienst berührt die Daten aus Anlage 1 nicht und ist deshalb kein Unterauftragsverarbeiter dieses Vertrags.
Die Dienste des Erfassungsgesprächs
Das Erfassungsgespräch (§ 3 Nr. 1 des Hauptvertrags) ist der einzige Vorgang, an dem fremde Dienste beteiligt sind. Es führt ihn der Administrator, hinter der Anmeldung. Geschulte Personen kommen damit nicht in Berührung — Schulung, Wissenstest und Nachweis laufen ohne jeden dieser Dienste.
| Dienst | Zweck | Ort |
|---|---|---|
| KugelAudio GmbH, Rosenthaler Str. 36, 10178 Berlin | Sprachausgabe: liest den Gesprächstext vor, wenn der Administrator das einschaltet | Deutschland; Abruf über den EU-Endpunkt des Anbieters |
| Mistral AI, 15 rue des Halles, 75001 Paris | Spracherkennung: wandelt das Gesagte in Text, wenn der Administrator das Mikrofon nutzt | Frankreich; Verarbeitung innerhalb der EU und des EWR, Abruf über den EU-Endpunkt |
| Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4 | Sprachmodell: führt das Gespräch und strukturiert die Angaben | Irland; die Verarbeitung erfolgt auch außerhalb der EU. Abgesichert über die EU-Standardvertragsklauseln, die Anthropics Datenschutzvereinbarung einbezieht |
Was dabei hinausgeht: an das Sprachmodell die Freitexteingaben des Administrators zum eingesetzten Werkzeugbestand; an die Spracherkennung seine Sprachaufnahme. Beides ist auf das Gespräch beschränkt.
Was nicht: Namen, Schulungsstände, Testergebnisse und Nachweise der Beschäftigten — also die Daten aus Anlage 1 — erreichen keinen dieser Dienste.
Kein Audio wird gespeichert, weder die Aufnahme des Administrators noch die erzeugte Sprachausgabe. Die Aufnahme besteht nur so lange, wie ihre Umwandlung in Text dauert.
Personenbezogene Daten sind im Gesprächsinhalt nicht vorgesehen — § 6 Abs. 3 des Hauptvertrags weist den Auftraggeber ausdrücklich darauf hin. Da eine Eingabe technisch nicht ausgeschlossen werden kann, werden alle drei Dienste vorsorglich aufgeführt.
⚠ Getrennt davon: der E-Mail-Versand (betrifft NICHT diesen Vertrag)
Der Vollständigkeit halber, weil es beim ersten Lesen auffällt und sonst nachgefragt wird:
Der Versand der Anmelde- und Bestätigungsmails läuft über Brevo (Sendinblue SAS), 106 bd Haussmann, 75008 Paris.
Betroffen sind dabei ausschließlich Daten, für die die RADURIS Kft. selbst Verantwortliche ist — die E-Mail-Adresse des Administrators zur Vertragsdurchführung und die Adressen von Interessenten der Website. Keine Daten aus Anlage 1. Für diesen Vertrag ist der Punkt damit ohne Belang.
Das bleibt auch so. Am 03.08.2026 wurde ausdrücklich entschieden, dass bei stockenden Schulungen der Administrator informiert wird und nicht die geschulten Personen. Automatische Erinnerungsmails an Beschäftigte sind gestrichen — unter anderem, weil dafür deren E-Mail-Adressen erhoben werden müssten, was dem Grundsatz der Datenminimierung in diesem Produkt widerspräche.
Die Aussage „geschulte Personen erhalten keine E-Mail vom System" ist damit keine Momentaufnahme, sondern eine bewusste Produkteigenschaft.