Coursio

Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Stand: 2026-10-27

Dieser Vertrag gilt zwischen dem Nutzer von Coursio („Verantwortlicher“) und HOC Management UG (haftungsbeschränkt)(„Auftragsverarbeiter“). Er kommt durch die Zustimmung bei der Registrierung zustande und ergänzt die AGB.

1. Gegenstand und Dauer

Der Auftragsverarbeiter stellt die Anwendung Coursio bereit und verarbeitet dabei personenbezogene Daten im Auftrag des Verantwortlichen. Der Vertrag gilt, solange das Nutzungsverhältnis besteht.

2. Art, Zweck und Daten

  • Zweck: Kurs-, Kunden- und Rechnungsverwaltung des Verantwortlichen.
  • Datenarten: Stammdaten von Kunden/Teilnehmern (Name, Anschrift, E-Mail, ggf. Telefon, Steuerangaben), Kurstermine, Rechnungs- und Zahlungsdaten, Anlagen.
  • Betroffene: Kunden und Teilnehmer des Verantwortlichen sowie dessen Mitarbeiter.

3. Pflichten des Auftragsverarbeiters

  1. Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen; die Weisungen ergeben sich aus diesem Vertrag und der Nutzung der Anwendung.
  2. Verpflichtung aller zur Verarbeitung befugten Personen auf Vertraulichkeit.
  3. Technische und organisatorische Maßnahmen nach Ziffer 5.
  4. Unterstützung bei Betroffenenanfragen und bei der Erfüllung der Pflichten aus Art. 32–36 DSGVO, soweit dem Auftragsverarbeiter möglich.
  5. Meldung von Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden an die im Konto hinterlegte E-Mail-Adresse.
  6. Löschung oder Rückgabe aller Daten nach Vertragsende, soweit keine gesetzliche Aufbewahrungspflicht besteht (Rechnungen: gesperrte Aufbewahrung bis zu 10 Jahre). Der Verantwortliche kann seine Daten vorher exportieren.
  7. Bereitstellung der erforderlichen Informationen zum Nachweis der Einhaltung und Ermöglichung von Überprüfungen, insbesondere durch Auskunft und Vorlage von Nachweisen.

4. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

  • netcup GmbH — Hosting von Anwendung und Datenbank (EU).
  • Resend — Versand von Systemnachrichten (E-Mail-Adresse, Nachrichteninhalt).
  • Sentry — Fehlerüberwachung (technische Fehlerdaten, nur sofern aktiviert).

Über beabsichtigte Änderungen informiert der Auftragsverarbeiter mindestens 30 Tage vorher; der Verantwortliche kann aus wichtigem Grund widersprechen, andernfalls gilt die Änderung als genehmigt. Mit allen Unterauftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

5. Technische und organisatorische Maßnahmen

  • Verschlüsselte Übertragung (HTTPS/TLS).
  • Zugriffskontrolle: Anmeldung mit Passwort (Hash-Speicherung), Sperre nach Fehlversuchen, Rollenmodell.
  • Mandantentrennung: Daten verschiedener Organisationen sind logisch getrennt.
  • Verschlüsselte Speicherung von Zugangsdaten zu E-Mail-Konten.
  • Protokollierung sicherheitsrelevanter Vorgänge (Audit-Log).
  • Regelmäßige Datensicherungen und Wiederherstellungsverfahren.
  • Begrenzung von Anmeldeversuchen und Registrierungen zur Missbrauchsabwehr.

6. Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung gegenüber seinen Kunden verantwortlich, insbesondere für eine Rechtsgrundlage und die Information der Betroffenen.

7. Schlussbestimmungen

Bei Widersprüchen gehen die Regelungen dieses Vertrags den AGB vor, soweit sie die Datenverarbeitung betreffen. Es gilt deutsches Recht.