Vertrag

Vertrag zur Auftragsverarbeitung (AVV)

Darstellung zum Datenschutz / DSGVO im Hinblick auf Art. 28 / 32 DSGVO

1 · Präambel

Dieser Vertrag regelt die Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen durch den Auftragsverarbeiter gemäß Art. 28 DSGVO. Er ist integraler Bestandteil des zugrunde liegenden Hauptauftrags (Beratungs- bzw. Befragungsauftrag) zwischen den Parteien.

Gegenstand des Auftrags ist der Betrieb eines digitalen Befragungstools zur Erhebung von Einschätzungen zur Organisationskultur, Identität, Zusammenarbeit und zu internen Prozessen. Die Befragung bildet die Grundlage für einen nachgelagerten Beratungs- und Organisationsentwicklungsprozess. Das Tool selbst trifft keine Entscheidungen über Personen.

2 · Ansprechpartner Datenschutz

Ansprechpartner für Fragen des Datenschutzes seitens der Leine-Kompetenz-Zentrum GmbH ist Andreas Littmann, erreichbar unter info@leinekompetenz.de und telefonisch unter +49 (5032) 9010 399. Ein Datenschutzbeauftragter nach Art. 37 DSGVO ist nicht bestellt, da die Voraussetzungen nach § 38 BDSG nicht vorliegen.

3 · Allgemeines und Charakter der Befragung

3.1 Anonymitätsorientierte Gestaltung und deren Grenzen

Die Befragung über die Diagnose-Plattform ist ohne personenbezogene Pflichtangaben konzipiert und wird grundsätzlich anonymitätsorientiert durchgeführt. Namen, E-Mail-Adressen und Personalnummern werden nicht als Pflichtangaben erhoben; der Teilnehmerzugang erfolgt ausschließlich über einen gruppenspezifischen Einladungslink und ein gemeinsames Gruppenpasswort. Die Auswertung erfolgt ausschließlich verdichtet (aggregiert).

Eine vollständige Anonymität kann jedoch nicht garantiert werden, insbesondere wenn Teilnehmende freiwillig personenbezogene Angaben in Freitextfeldern machen oder wenn bei kleinen Auswertungsgruppen sowie durch die Kombination aus Rolle, Antwortmuster, Zeitpunkt und Freitext eine Reidentifizierung nicht ausgeschlossen werden kann. Kurzzeitig verarbeitete IP-Adressen zur Missbrauchsabwehr sowie gespeicherte Rollen- und Gruppenangaben stellen mittelbar personenbezogene Daten dar. Der Begriff „anonym“ wird daher in diesem Vertrag durch „anonymitätsorientiert“ ersetzt.

3.2 Keine automatisierte Entscheidungsfindung und keine Einzelbewertung

Die Anwendung erstellt keine individuellen Scores oder Profile zu einzelnen Personen und trifft keine automatisierten Entscheidungen im Sinne des Art. 22 DSGVO über Beschäftigte oder sonstige betroffene Personen. Die Befragung dient nicht der automatisierten Entscheidungsfindung, der individuellen Leistungs- oder Verhaltensbewertung, der Eignungsbeurteilung, der Personalauswahl, der Personalentscheidung oder der Erstellung individueller Profile. Die allgemeinen Anforderungen der DSGVO – insbesondere Transparenz, Zweckbindung, Datenminimierung, Sicherheit und Löschung – bleiben unberührt.

3.3 Freitextfelder

In freien Textfeldern (z. B. „Stellungnahme zu den wichtigsten Aspekten“) könnten Teilnehmende im Einzelfall personenbezogene Angaben freiwillig eintragen. Solche Freitexte werden wie personenbezogene Daten behandelt und unterliegen denselben Schutzmaßnahmen. Der konkrete Umgang mit Freitexten in der Auswertung und Ergebnisdarstellung ist in Ziffer 6 geregelt.

3.4 Keine besonderen Kategorien personenbezogener Daten

Die Befragung soll keine besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO erheben, insbesondere keine Gesundheitsdaten, genetischen oder biometrischen Daten, Angaben zur ethnischen Herkunft, politischen Meinung, religiösen oder weltanschaulichen Überzeugung oder Gewerkschaftszugehörigkeit. Werden solche Angaben von Teilnehmenden freiwillig gemacht, sind sie von der Auswertung und Ergebnisdarstellung auszunehmen oder unverzüglich zu löschen, soweit keine abweichende rechtliche Grundlage besteht.

4 · Gegenstand und Dauer der Verarbeitung

4.1 Gegenstand

Gegenstand der Verarbeitung ist die technische Durchführung einer digitalen Befragung sowie die Speicherung und aggregierte Auswertung von Befragungsantworten im Auftrag des Verantwortlichen, einschließlich der Bereitstellung der Zugänge, der Berichts- und Exportfunktionen. Die Befragung dient der Erfassung von Einschätzungen zur Organisationskultur, Identität, Zusammenarbeit und zu internen Prozessen als Grundlage für einen nachgelagerten Beratungs- und Organisationsentwicklungsprozess.

4.2 Ergebnisdarstellung und Empfängerkreis

Die Verarbeitung umfasst auch die Erstellung und Vorstellung aggregierter Ergebnisberichte gegenüber dem Verantwortlichen und dem von ihm festgelegten Teilnehmer- bzw. Empfängerkreis. Der Verantwortliche bestimmt, welchen Personen oder Personengruppen die aggregierten Ergebnisse vorgestellt oder zur Verfügung gestellt werden. Die Ergebnisvorstellung stellt eine eigene Offenlegungs- bzw. Übermittlungshandlung dar; die hierfür geltenden Schutzregeln ergeben sich aus Ziffer 6.

4.3 Dauer

Die Dauer richtet sich nach dem zugrunde liegenden Hauptauftrag. Mit dessen Beendigung endet auch dieser Vertrag. Sollte der Hauptauftrag nicht verlängert werden, endet der Vertrag nach Ablauf des Auftragsjahres. Konkrete Löschfristen für die einzelnen Datenkategorien ergeben sich aus Ziffer 13 und Anlage 2.

5 · Art und Zweck der Verarbeitung

5.1 Art der verarbeiteten Daten

Die Verarbeitung umfasst insbesondere:

• Bewertungs- und Skalenwerte sowie Handlungsbedarf-Kennzeichnungen,
• qualitative, freiwillige Freitextangaben,
• die gewählte Rolle (z. B. Mitarbeitende oder Führungskraft),
• organisations- und gruppenbezogene Angaben (Gruppenname, Gruppenzuordnung),
• technische Login- und Sitzungsdaten,
• IP-Adressen zur Missbrauchsabwehr,
• technische Protokoll- und Sicherheitsdaten (Zeitstempel, Log-Daten),
• Berichts- und Ergebnisdaten,
• Exportdateien (z. B. CSV, XLSX),
• Sicherungskopien (Backups),
• Supportdaten (z. B. E-Mail-Korrespondenz im Rahmen der Betreuung).

Freitexte können freiwillig personenbezogene Angaben und vertrauliche Unternehmensinformationen enthalten. Sie werden entsprechend geschützt (Ziffern 3.3, 6 und 7).

5.2 Zweck der Verarbeitung

Durchführung und aggregierte Auswertung der beauftragten Befragung sowie Vorstellung der aggregierten Ergebnisse als Grundlage für einen nachgelagerten Prozess der Organisationsentwicklung. Eine individuelle Bewertung einzelner Teilnehmender ist nicht Zweck der Verarbeitung.

5.3 Betroffene Personen

Teilnehmende der beauftragenden Organisation, insbesondere Mitarbeitende und Führungskräfte.

6 · Aggregierte Auswertung, Mindestgruppengröße und Reidentifikationsschutz

6.1 Grundsatz der Aggregation

Ergebnisse werden ausschließlich in aggregierter und für den vorgesehenen Empfängerkreis geeigneter Form dargestellt. Einzelantworten, individuelle Antwortprofile und Rohdaten werden den Teilnehmenden oder sonstigen Empfängern nicht offengelegt. Eine Darstellung nach Teams, Rollen, Abteilungen oder sonstigen Untergruppen erfolgt nur, wenn eine Identifizierung einzelner Personen auch unter Berücksichtigung ergänzender Informationen mit hinreichender Wahrscheinlichkeit ausgeschlossen ist.

6.2 Mindestgruppengröße

Auswertungen von Untergruppen werden nur angezeigt, wenn die jeweilige Untergruppe mindestens fünf (5) gültige Antworten umfasst. Bei kleineren Gruppen werden die Ergebnisse unterdrückt, mit anderen Gruppen zusammengefasst oder nur auf einer übergeordneten Ebene dargestellt.

6.3 Reidentifikationsschutz

Eine Auswertung wird auch bei ausreichender Gruppengröße nicht dargestellt, wenn aufgrund der Kombination von Rollen, Gruppen, Antwortmustern, Zeitpunkten oder sonstigen Informationen eine Identifizierung einzelner Personen nicht ausgeschlossen werden kann. Zeitstempel werden in Berichten nicht angezeigt; Extremwerte, die einer Person zugeordnet werden könnten, werden unterdrückt.

6.4 Umgang mit Freitexten in der Auswertung

Freitextangaben werden vor ihrer Verwendung in Präsentationen, Berichten oder Ergebnisvorstellungen auf direkte und indirekte Identifizierungsmerkmale geprüft. Personenbezogene oder anderweitig identifizierende Inhalte werden anonymisiert, zusammengefasst, redaktionell bearbeitet oder nicht verwendet. Die Darstellung einzelner Originalantworten ist grundsätzlich ausgeschlossen, sofern nicht eine gesonderte Prüfung und Freigabe erfolgt. Der Auftragsverarbeiter ist berechtigt, Freitexte zur Wahrung des Datenschutzes und der Vertraulichkeit zu schwärzen, zu kürzen oder von der Auswertung auszunehmen.

7 · Vertraulichkeit von Unternehmensinformationen und Geschäftsgeheimnissen

7.1 Definition und Zweckbindung

Sämtliche Informationen über die Organisation, ihre Kultur, Identität, internen Prozesse, Strukturen, Strategie, Zusammenarbeit und Führung gelten unabhängig von ihrer datenschutzrechtlichen Einordnung als vertrauliche Informationen. Sie dürfen ausschließlich zur Durchführung der vereinbarten Befragung, Ergebnisvorstellung und des anschließenden Beratungsprozesses verwendet werden. Der Zugriff erfolgt nur nach dem Need-to-know-Prinzip; mit der Auswertung befasste Personen und Unterauftragnehmer sind entsprechend zur Vertraulichkeit zu verpflichten.

7.2 Ausschluss von Eigennutzung, KI-Training und kundenübergreifender Verwendung

Eine Nutzung der Informationen für andere Kunden, eigene Benchmarks, Produktentwicklung, Trainings- oder KI-Trainingszwecke oder sonstige eigene Zwecke des Auftragsverarbeiters ist ausgeschlossen, sofern der Verantwortliche dem nicht ausdrücklich und nachweisbar in Textform zugestimmt hat. Dies gilt insbesondere, soweit externe KI- oder Analysekomponenten eingesetzt werden. Ergänzende Regelungen enthält Anlage 4.

8 · Abgrenzung von Auftragsverarbeitung und Beratungsleistung

Die technische Durchführung und Auswertung der Befragung erfolgt als Auftragsverarbeitung im Auftrag des Verantwortlichen. Die anschließende fachliche Beratung erfolgt ausschließlich auf Grundlage der aggregierten Ergebnisse; eine individuelle Bewertung einzelner Teilnehmender findet nicht statt.

Die Parteien prüfen für jeden Verarbeitungsvorgang gesondert, ob der Auftragsverarbeiter ausschließlich auf Weisung des Verantwortlichen tätig wird oder eigene Zwecke verfolgt. Verarbeitungen zu eigenen Zwecken des Auftragsverarbeiters, insbesondere Produktentwicklung, Benchmarking, Qualitätssicherung oder statistische Auswertungen über mehrere Kunden hinweg, bedürfen einer gesonderten rechtlichen Regelung, begründen gegebenenfalls eine eigene Verantwortlichkeit und werden nicht ohne ausdrückliche Vereinbarung durchgeführt.

9 · Pflichten des Auftragsverarbeiters

• 9.1 Weisungsbindung. Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit nicht gesetzlich anders vorgeschrieben.
• 9.2 Vertraulichkeit. Alle zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht.
• 9.3 Technische und organisatorische Maßnahmen. Einsatz aller Maßnahmen gemäß Art. 32 DSGVO (siehe Anlage 1).
• 9.4 Wahrung der Rechte. Unterstützung des Verantwortlichen bei der Wahrung der Rechte betroffener Personen gemäß Kapitel III DSGVO.
• 9.5 Unterstützung. Unterstützung bei den Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen.
• 9.6 Meldung. Unverzügliche Meldung – in der Regel innerhalb von 24 Stunden nach Kenntniserlangung – von Datenschutzverletzungen gemäß Art. 33, 34 DSGVO an den Verantwortlichen; der Meldeprozess ergibt sich aus Ziffer 12.
• 9.7 Nachweis. Nachweis und Ermöglichung von Kontrollen und Inspektionen durch den Verantwortlichen oder einen beauftragten Prüfer.
• 9.8 Beschwerden. Unterstützung bei der Bearbeitung von Anfragen und Beschwerden betroffener Personen sowie bei behördlichen Anfragen.
• 9.9 Wirksamkeit. Regelmäßige Überprüfung der Wirksamkeit der Maßnahmen; Ergebnisse werden dokumentiert und auf Anfrage bereitgestellt.
• 9.10 Hinweispflicht bei rechtswidrigen Weisungen. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt. Der Auftragsverarbeiter ist in diesem Fall berechtigt, die Durchführung der betreffenden Weisung bis zu ihrer Bestätigung oder Änderung durch den Verantwortlichen auszusetzen.

10 · Rechte und Pflichten des Verantwortlichen

• 10.1 Rechtmäßigkeit. Der Verantwortliche ist für die Rechtmäßigkeit der Datenverarbeitung, die Betroffenenrechte und die Zulässigkeit der Beauftragung zuständig.
• 10.2 Kontrolle. Der Verantwortliche ist berechtigt, die Einhaltung dieses Vertrags nach vorheriger Anmeldung zu den üblichen Geschäftszeiten zu kontrollieren oder kontrollieren zu lassen.
• 10.3 Weisungen. Weisungen sind in Textform (per E-Mail oder schriftlich) zu erteilen und zu dokumentieren.
• 10.4 Information der Teilnehmenden. Der Verantwortliche stellt sicher, dass die Teilnehmenden nach Art. 13 bzw. 14 DSGVO über die Verarbeitung informiert werden, insbesondere über das Anonymitätskonzept und dessen Grenzen sowie über die Risiken personenbezogener Angaben in Freitextfeldern. Diese AVV ersetzt die Information der Teilnehmenden nicht; ein Muster für einen Datenschutz- und Teilnahmehinweis enthält Anlage 5.
• 10.5 Empfängerkreis. Der Verantwortliche legt fest, wer die aggregierten Ergebnisse erhält, ob externe Berater teilnehmen, ob Führungskräfte und Mitarbeitende denselben Bericht erhalten und ob Untergruppen dargestellt werden.
• 10.6 Beschäftigtendatenschutz. Der Verantwortliche prüft die für Beschäftigtenbefragungen einschlägigen Vorgaben, insbesondere § 26 BDSG, die Freiwilligkeit der Teilnahme sowie etwaige Beteiligungsrechte von Betriebs- oder Personalrat.
• 10.7 Weisungsberechtigte und Ansprechpartner. Weisungsberechtigt aufseiten des Verantwortlichen sind die im Hauptauftrag benannten Personen. Änderungen werden der jeweils anderen Partei in Textform mitgeteilt.

11 · Unterauftragsverhältnisse

• 11.1 Genehmigung. Der Verantwortliche erteilt eine allgemeine Vorabgenehmigung zum Einsatz von Unterauftragsverarbeitern. Mit Abschluss dieses Vertrags stimmt der Verantwortliche dem Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter zu. Der Einsatz weiterer oder der Austausch bestehender Unterauftragsverarbeiter richtet sich nach Ziffer 11.5.
• 11.2 Datenschutzpflicht. Der Auftragsverarbeiter stellt sicher, dass Unterauftragsverarbeiter dieselben Datenschutzpflichten übernehmen, wie sie in diesem Vertrag festgelegt sind.
• 11.3 Verantwortlichkeit. Der Auftragsverarbeiter bleibt für die Einhaltung der Pflichten der Unterauftragsverarbeiter verantwortlich.
• 11.4 Dokumentation und Drittlandtransfers. Anbieter, Zweck, verarbeitete Datenarten, Speicherort, Umfang des Zugriffs und – bei Drittlandübermittlung – die eingesetzten Garantien nach Art. 44 ff. DSGVO (z. B. EU-Standardvertragsklauseln, Data Privacy Framework) werden in Anlage 3 konkret dokumentiert. Für Anbieter ohne Erforderlichkeit eines Zugriffs auf personenbezogene Daten oder vertrauliche Unternehmensinformationen (insbesondere GitHub, Higgsfield) gilt, dass solche Daten nicht übermittelt werden, sofern dies nicht zwingend erforderlich und ausdrücklich freigegeben ist.
• 11.5 Änderungen. Weitere oder geänderte Unterauftragsverarbeiter werden nur nach vorheriger Information des Verantwortlichen und ohne dessen Widerspruch innerhalb einer Frist von 14 Tagen eingesetzt.

12 · Mitteilungspflichten bei Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes personenbezogener Daten. Die Erstmeldung enthält, soweit bekannt, Art und Zeitpunkt des Vorfalls, betroffene Systeme und Datenkategorien, Umfang, wahrscheinliche Folgen, bereits ergriffene Maßnahmen sowie eine benannte Kontaktperson. Fehlende Informationen werden unverzüglich nachgereicht.

Der Auftragsverarbeiter sichert Beweise, stimmt weitere Schritte – einschließlich einer etwaigen Information betroffener Personen – mit dem Verantwortlichen ab und dokumentiert den Vorfall auch dann, wenn keine Meldung an die Aufsichtsbehörde erfolgt.

Kontaktperson und Meldeweg beim Auftragsverarbeiter: Andreas Littmann, info@leinekompetenz.de, +49 (5032) 9010 399. Erstmeldungen erfolgen per E-Mail an die vorgenannte Adresse, bei Nichterreichbarkeit telefonisch.

13 · Löschung und Rückgabe von Daten

Nach Abschluss des Auftrags oder auf Anweisung des Verantwortlichen werden sämtliche verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen vollständig gelöscht oder zurückgegeben, sofern keine gesetzliche Aufbewahrungspflicht besteht. Eine Rückgabe erfolgt im vereinbarten Format (z. B. CSV, XLSX). Die Löschung wird auf Wunsch schriftlich bestätigt.

Für die einzelnen Datenkategorien gelten die in Anlage 2 festgelegten Löschfristen. Insbesondere:

• IP-Adressen werden spätestens nach 7 Tagen gelöscht, sofern keine längere Speicherung zur Aufklärung eines konkreten Sicherheitsvorfalls erforderlich ist.
• Login-, Sitzungs- und Sicherheitsprotokolle werden spätestens nach 30 Tagen gelöscht oder anonymisiert.
• Rohdaten und Freitexte werden spätestens 90 Tage nach Abschluss der Auswertung gelöscht, sofern der Verantwortliche keine frühere Löschung verlangt.
• Ergebnisberichte und Exporte werden nach Übergabe an den Verantwortlichen beim Auftragsverarbeiter gelöscht, spätestens nach 30 Tagen bzw. mit Vertragsende.
• Sicherungskopien werden innerhalb eines dokumentierten Backup-Löschzyklus gelöscht, spätestens jedoch nach 30 Tagen.

Optional kann eine automatische Löschung von Abgaben nach einem festgelegten Zeitraum aktiviert werden.

14 · Unterstützung bei Kontrollhandlungen und behördlichen Maßnahmen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten gegenüber Aufsichtsbehörden und informiert diesen unverzüglich, falls Kontrollhandlungen oder Maßnahmen der Aufsichtsbehörde sich auf Datenverarbeitungen nach diesem Vertrag beziehen.

15 · Haftung

Die Haftung richtet sich nach Art. 82 DSGVO.

16 · Schriftform und Nebenabreden

Änderungen und Ergänzungen dieses Vertrags sowie Nebenabreden bedürfen der Schriftform. Dies gilt auch für die Aufhebung des Schriftformerfordernisses.

17 · Salvatorische Klausel

Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck möglichst nahekommt.

18 · Anwendbares Recht und Gerichtsstand

Es gilt deutsches Recht. Gerichtsstand für sämtliche Streitigkeiten aus diesem Vertrag ist der Sitz des Auftragsverarbeiters.

19 · Schlussbestimmungen

Dieser Vertrag tritt mit Unterzeichnung durch beide Parteien in Kraft und ist integraler Bestandteil des Hauptauftrags. Bestandteil dieses Dokuments sind die nachfolgenden Anlagen 1 bis 5: Anlage 1 (Technische und organisatorische Maßnahmen), Anlage 2 (Daten- und Löschkonzept), Anlage 3 (Unterauftragsverarbeiter und Drittlandtransfers), Anlage 4 (Vertraulichkeits- und Geschäftsgeheimnisschutz) sowie Anlage 5 (Muster eines Datenschutz- und Teilnahmehinweises für das Tool).

Unterschriften

Mit ihren Unterschriften bestätigen die Parteien die Geltung dieses Vertrags einschließlich der Anlagen 1 bis 5.

Anlage 1 · Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

A. Zugriffskontrolle und Authentifizierung

• Teilnehmerzugang ausschließlich über gruppenspezifischen Einladungslink und Gruppenpasswort.
• Admin-Zugang durch Passwort (gespeichert als scrypt-Hash) und Zwei-Faktor-Authentifizierung (zeitbasierter Code, TOTP / Authenticator-App).
• Anmeldeschutz: Sperre nach mehreren Fehlversuchen sowie Tempo-Limits gegen automatisiertes Durchprobieren.
• Sitzungen über signierte (HMAC) Token mit begrenzter Gültigkeit.
• Rollen- und Berechtigungskonzept; Vergabe von Zugriffsrechten nach dem Need-to-know-Prinzip.
• Regelmäßige Überprüfung der Admin- und Zugriffsrechte sowie Protokollierung administrativer Zugriffe.

B. Verschlüsselung und Datenübertragung

• Verschlüsselte Übertragung über HTTPS/TLS; Erzwingung von HTTPS (HSTS).
• Zugangs- und Zugriffsgeheimnisse (Passwörter, Datenbankzugang, 2FA-Schlüssel) werden ausschließlich als Server-Umgebungsvariablen hinterlegt, nicht im Programmcode.
• Verschlüsselung ruhender Daten (Datenbank und Backups) sowie geordnete Schlüsselverwaltung.

C. Datenhaltung und Mandantentrennung

• Datenbankstandort in der EU (Frankfurt).
• Trennung der Befragungen nach Gruppen mit eigenen Zugängen.
• Injektionssichere, parametrisierte Datenbankzugriffe; Begrenzung der Anfragegröße.
• Strenge Content-Security-Policy und Schutz-Header (u. a. gegen Fremdskripte und Einbettung).
• Sensible Antworten werden nicht zwischengespeichert (kein Caching).
• Trennung von Entwicklungs-, Test- und Produktionsumgebung.

D. Datensparsamkeit und Löschkonzept

• Anonymitätsorientierte Erhebung ohne personenbezogene Pflichtfelder.
• Der Verantwortliche kann Gruppen und deren Daten jederzeit löschen.
• Konkrete Löschfristen je Datenkategorie gemäß Anlage 2; optional automatische Löschung von Abgaben nach festgelegtem Zeitraum.
• Löschung oder Anonymisierung von Protokoll- und Logdaten nach festgelegter Frist.

E. Betrieb, Notfall und Schwachstellenmanagement

• Regelmäßige Sicherheits-Updates der eingesetzten Komponenten; definierte Patch-Fristen für kritische Schwachstellen.
• Schwachstellenmanagement; anlassbezogene Sicherheitsprüfungen bzw. Penetrationstests.
• Verschlüsselte Datenbank-Backups beim Hoster; Wiederherstellung nur durch berechtigte Personen.
• Regelmäßige Backup- und Wiederherstellungstests sowie ein Notfall- und Wiederanlaufkonzept.
• Sichere Entwicklungsprozesse; geregelter Umgang mit Support- und Fernzugriffen.
• Melde- und Eskalationsprozesse bei Sicherheitsvorfällen (siehe Ziffer 12).

F. Organisatorische Maßnahmen

• Vertraulichkeitsverpflichtung der mit der Auswertung befassten Personen.
• Schulung und Sensibilisierung des Personals zum Datenschutz.
• Verpflichtung eingesetzter Unterauftragnehmer auf entsprechende Schutzstandards.

Die vorstehend beschriebenen Maßnahmen sind umgesetzt und bilden den realen Sicherheitsstand ab. Sie werden regelmäßig überprüft und bei technischen oder organisatorischen Änderungen fortgeschrieben.

Anlage 2 · Daten- und Löschkonzept

Die nachstehenden Löschfristen sind zwischen den Parteien vereinbart. Sie können bei geänderten technischen oder rechtlichen Anforderungen einvernehmlich angepasst werden.

Anlage 3 · Unterauftragsverarbeiter und Drittlandtransfers

Als Garantie für etwaige Drittlandübermittlungen dienen die EU-Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO in Verbindung mit einer anlassbezogenen Transfer-Risikobewertung (Transfer Impact Assessment).

Für GitHub und Higgsfield wird ausdrücklich bestätigt, dass ihnen keine Teilnehmer- oder Befragungsdaten und keine vertraulichen Unternehmensinformationen übermittelt werden. Soweit ein Anbieter keinen Zugriff auf personenbezogene Daten oder vertrauliche Unternehmensinformationen benötigt, ist die Übermittlung solcher Daten ausgeschlossen. Über weitere von den genannten Anbietern eingesetzte Unterauftragnehmer sowie über Änderungen informiert der Auftragsverarbeiter den Verantwortlichen; der Verantwortliche kann innerhalb von 14 Tagen widersprechen.

Anlage 4 · Vertraulichkeits- und Geschäftsgeheimnisschutz

Diese Anlage regelt den Schutz vertraulicher Unternehmensinformationen unabhängig von deren datenschutzrechtlicher Einordnung; sie ergänzt Ziffer 7.

1. Vertrauliche Informationen

Vertrauliche Informationen sind sämtliche Informationen über die Organisation, ihre Kultur, Identität, Strategie, Führung, interne Kommunikation, Strukturen und Geschäftsprozesse des Verantwortlichen, gleich ob sie personenbezogene Daten darstellen oder nicht, sowie Ergebnisse und Berichte aus der Befragung.

2. Nutzung und Weitergabe

• Nutzung ausschließlich zur Durchführung des konkreten Auftrags (Befragung, Ergebnisvorstellung, nachgelagerte Beratung).
• Kein Training von KI-Modellen mit vertraulichen Informationen.
• Keine Nutzung für eigene Benchmarks oder Vergleichswerte ohne ausdrückliche Freigabe.
• Keine Weitergabe an andere Kunden oder Dritte.
• Zugriff nur nach dem Need-to-know-Prinzip.
• Verpflichtung von Mitarbeitenden und Subunternehmern auf diese Vertraulichkeit.

3. Rückgabe, Löschung und Sicherheitsvorfälle

• Rückgabe und Löschung vertraulicher Informationen nach Auftragsende entsprechend Ziffer 13 und Anlage 2.
• Umgang mit Sicherheitsvorfällen entsprechend Ziffer 12.
• Freigabe von Berichten und Ergebnisdarstellungen durch den Verantwortlichen vor einer Weitergabe.

4. Freigabevorbehalt

Eine Nutzung außerhalb des konkreten Auftrags, insbesondere für eigene Produktentwicklung, Benchmarking, KI-Training oder andere Kundenprojekte, ist ausgeschlossen, sofern der Verantwortliche nicht ausdrücklich und nachweisbar in Textform zugestimmt hat. Regelungen zu Vertragsstrafe oder pauschaliertem Schadensersatz bleiben einer gesonderten, anwaltlich geprüften Vereinbarung vorbehalten.

Anlage 5 · Muster: Datenschutz- und Teilnahmehinweis für das Tool

Dieses Muster ist für die Teilnehmenden im Tool bereitzustellen (Umsetzung von Art. 13/14 DSGVO durch den Verantwortlichen). Es ist kein Vertragsbestandteil im engeren Sinne, sondern eine Umsetzungshilfe und vor Verwendung an den konkreten Fall anzupassen.

Hinweise zur Teilnahme und zum Datenschutz

• Ansprechpartner: Andreas Littmann, Leine-Kompetenz-Zentrum GmbH, Sachsenring 22, D-31535 Neustadt, Tel. +49 (5032) 9010 399, info@leinekompetenz.de.
• Zweck: Erhebung von Einschätzungen zur Organisationskultur, Identität, Zusammenarbeit und zu internen Prozessen als Grundlage für einen nachgelagerten Beratungs- und Organisationsentwicklungsprozess.
• Rechtsgrundlage: wird vom Verantwortlichen im Einzelfall festgelegt (z. B. berechtigtes Interesse oder Einwilligung).
• Anonymitätskonzept und Grenzen: Die Befragung ist ohne personenbezogene Pflichtangaben konzipiert. Eine vollständige Anonymität kann nicht garantiert werden, wenn freiwillig personenbezogene Angaben gemacht werden oder bei kleinen Gruppen Rückschlüsse möglich sind.
• Technische Daten: Kurzzeitige Verarbeitung von IP-Adressen zur Missbrauchsabwehr sowie technischer Protokolldaten.
• Speicherdauer: gemäß Löschkonzept (Anlage 2).
• Empfänger / Unterauftragsverarbeiter: aggregierte Ergebnisse an den vom Verantwortlichen bestimmten Empfängerkreis; eingesetzte Dienstleister gemäß Anlage 3.
• Freitexte: Bitte nennen Sie keine Namen und keine Angaben, durch die einzelne Personen identifiziert werden können.
• Mindestgruppengröße: Ergebnisse kleiner Untergruppen werden unterdrückt oder zusammengefasst.
• Betroffenenrechte und Beschwerderecht: Auskunft, Berichtigung, Löschung u. a. sowie Beschwerderecht bei einer Datenschutzaufsichtsbehörde.
• Freiwilligkeit: Die Teilnahme an der Befragung ist freiwillig; aus einer Nichtteilnahme entstehen keine Nachteile.

Stand: August 2026 · Leine-Kompetenz-Zentrum GmbH. Der Vertrag wird mit Unterzeichnung durch beide Parteien wirksam.