Auftragsverarbeitung

Dieser Vertrag gehört zu den Nutzungsbedingungen und wird mit ihnen angenommen. Er regelt, wie der Betreiber die Daten verarbeitet, die ein Kursanbieter und seine Teilnehmer in Kursdeck eingeben (Art. 28 DSGVO). Wofür der Betreiber selbst verantwortlich ist, steht in der Datenschutzerklärung.

Auftragsverarbeitungsvertrag

Fassung vom 11.11.2026.

Dieser Vertrag ist Anlage zu den Nutzungsbedingungen und wird mit ihnen angenommen. Er regelt die
Verarbeitung personenbezogener Daten, die der Betreiber von Kursdeck im Auftrag des Kursanbieters
vornimmt (Art. 28 DSGVO).

Auftraggeber und Verantwortlicher ist der Kursanbieter.

Auftragnehmer und Auftragsverarbeiter ist der Betreiber von Kursdeck, Ludwig Kiemer, Unsöldstraße
14, 80538 München.

Nicht Gegenstand dieses Vertrags sind die Verarbeitungen, für die der Betreiber selbst
verantwortlich ist: die öffentlichen Seiten, die Konten, mit denen sich Personen anmelden — sie
gehören keinem Kursanbieter —, und die Abrechnung des Abos. Dafür gilt die Datenschutzerklärung der
Plattform. Ebenso wenig die Angaben, die ein freiberuflicher Trainer an seinem Konto für seine
Rechnungen hinterlegt. Für die Rechnungen selbst, die er als Rechnungssteller über Kursdeck stellt
(§ 23 der Nutzungsbedingungen), gilt dieser Vertrag nach § 15 mit ihm als Auftraggeber.


§ 1 Gegenstand, Dauer und Rangfolge

(1) Gegenstand ist die Verarbeitung der Daten, die der Kursanbieter und seine Teilnehmer in Kursdeck
eingeben oder die dort bei der Nutzung entstehen. Die Einzelheiten stehen in Anlage 1.

(2) Der Vertrag beginnt mit der Einrichtung des Kursanbieters und endet, wenn das Nutzungsverhältnis
endet. Er gilt über das Ende hinaus fort, solange der Betreiber Daten des Kursanbieters noch
aufbewahrt; für diese Zeit gelten insbesondere die §§ 5, 6, 7 und 12.

(3) Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen geht dieser Vertrag vor,
soweit es um die Verarbeitung personenbezogener Daten geht.


§ 2 Art und Zweck der Verarbeitung

(1) Der Betreiber verarbeitet die Daten ausschließlich, um dem Kursanbieter die Software
bereitzustellen: Kurse und Termine planen, Buchungen und Anmeldungen annehmen und verwalten,
Wartelisten führen, Anwesenheiten festhalten, Rechnungen stellen und Zahlungen zuordnen,
Bescheinigungen ausstellen und prüfbar halten, die vorgesehenen Nachrichten versenden, die
gesetzlichen Aufbewahrungs- und Löschfristen durchsetzen, einer Außenprüfung den Datenzugriff
geben, den der Kursanbieter ihr einräumt (§ 147 Abs. 6 AO), und die Fragen beantworten, die der
Kursanbieter und die Besucher seiner Seite in den Chats mit einer KI stellen. Dafür liest die
Software im Support der Verwaltung Zahlen und Zustände seines Betriebs und Kursnamen, in der
KI-Kurssuche auf seiner Seite die öffentlichen Angaben seiner Kurse, und die bei ihm gespeicherten
Namen nur, um sie vor der Übermittlung an den Anbieter der KI (Anlage 2) durch Platzhalter zu
ersetzen. Daten von Teilnehmern übermittelt sie nicht; was in eine Frage hineingeschrieben und
nicht erkannt wird, geht hinaus.

(2) Der Betreiber verarbeitet die Daten nicht für eigene Zwecke. Er wertet sie nicht aus, gibt sie
nicht weiter und nutzt sie nicht, um eigene Leistungen zu bewerben. Eine Ausnahme ist die anonyme
Zählung von Anmeldungen über alle Kursanbieter hinweg für den Betrieb der Plattform; sie erfolgt
über Aufstellungen von Zahlen und ohne Personenbezug.

(3) Die Verarbeitung findet im Europäischen Wirtschaftsraum statt, soweit Anlage 2 nichts anderes
ausweist. Eine Übermittlung in ein Drittland findet nur unter den Voraussetzungen der Art. 44 bis 49
DSGVO statt; Anlage 2 nennt ihre Grundlage.


§ 3 Arten der Daten und Kategorien betroffener Personen

(1) Die Arten der Daten und die Kategorien betroffener Personen stehen in Anlage 1.

(2) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeitet die Software an zwei
Stellen bestimmungsgemäß. Die erste ist der Grund einer außerordentlichen Kündigung, nach dem sie
fragen muss (§ 312k Abs. 2 Satz 3 Nr. 1 Buchst. a BGB) und der typischerweise Angaben zur
Gesundheit trägt, etwa eine Krankheit oder eine Schwangerschaft. Der Kursanbieter verarbeitet ihn,
um über die Kündigung zu entscheiden und einen Anspruch daraus geltend zu machen oder abzuwehren
(Art. 9 Abs. 2 Buchst. f DSGVO). Weil der Grund frei formuliert wird, kann er solche Angaben
tragen. Dafür gelten die Maßnahmen in Anlage 3 unter "Kündigungsgrund": Ihn sehen nur die Rollen des
Kursanbieters, die Buchungen bearbeiten, er steht in keinem Export, und er wird 90 Tage nach dem
Wirksamwerden oder der Ablehnung der Kündigung gelöscht. In der Bestätigung an die Person, die
gekündigt hat, steht er weiter; sie bleibt so lange wie die Kündigung selbst. Die zweite ist der
Nachweis, den eine ermäßigte Mitgliedsart verlangt, wo der
Kursanbieter ihn als einen kennzeichnet, der Gesundheit, Religion oder eine
Gewerkschaftszugehörigkeit offenbaren kann, etwa ein Schwerbehindertenausweis. Der Antrag verlangt
dann die ausdrückliche Einwilligung in einem Wortlaut, der an der Mitgliedschaft festgehalten wird
(Art. 9 Abs. 2 Buchst. a DSGVO), und das Mitglied kann sie jederzeit widerrufen. Für diese Datei
gelten die Maßnahmen in Anlage 3 unter "Mitgliedsnachweis".

(3) Sonst sieht die Software für solche Daten kein Feld vor, und sie hält sie an mehreren Stellen
bewusst fern: Eine Abwesenheit eines Trainers wird ohne Grund festgehalten, und die Nachrichten an
Trainer und an die Teilnehmer eines abgesagten Kurses tragen keine Angabe, aus der sich eine
Aussage über die Gesundheit einer Person ergäbe. Der Kursanbieter gibt solche Daten nicht in andere
Freitextfelder ein. Tut er es doch, verarbeitet der Betreiber sie zwar technisch mit, kann für sie
aber keine über diesen Vertrag hinausgehenden Maßnahmen treffen.


§ 4 Weisungen des Kursanbieters

(1) Der Betreiber verarbeitet die Daten nur auf dokumentierte Weisung des Kursanbieters. Dieser
Vertrag und die Nutzung der Software sind die Weisung; einzelne weitere Weisungen erteilt der
Kursanbieter in Textform.

(2) Was der Kursanbieter in der Verwaltung einstellt — etwa die Angaben, aus denen die Software
seine Texte erzeugt, eine Nachweisfrist an einer Kursart, eine Löschsperre, ein Austritt — ist eine
Weisung in diesem Sinne. Die Aufbewahrungsfristen nach Anlage 4 sind Teil dieses Vertrags und
ändern sich nur nach § 11 Absatz 2.

(3) Hält der Betreiber eine Weisung für rechtswidrig, teilt er das mit und darf ihre Ausführung
aussetzen, bis der Kursanbieter sie bestätigt oder ändert.

(4) Der Betreiber verarbeitet die Daten darüber hinaus, soweit er dazu rechtlich verpflichtet ist.
In diesem Fall unterrichtet er den Kursanbieter vorher, sofern das Gesetz es nicht verbietet.


§ 5 Vertraulichkeit

(1) Der Betreiber verpflichtet die Personen, die Zugang zu den Daten haben, zur Vertraulichkeit,
soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung
gilt über das Ende ihrer Tätigkeit hinaus.

(2) Zugang zu den Daten eines Kursanbieters haben nur Personen, die ihn zur Erbringung der Leistung
brauchen. Der Betrieb der Plattform selbst erfolgt mit einer eigenen Rolle, die auf Zahlen und
Zustände und nicht auf die Zeilen einzelner Kursanbieter zugreift.


§ 6 Technische und organisatorische Maßnahmen

(1) Der Betreiber trifft die Maßnahmen nach Art. 32 DSGVO. Sie sind in Anlage 3 beschrieben.

(2) Der Betreiber darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht unterschritten
wird. Wesentliche Änderungen teilt er mit.


§ 7 Unterauftragsverarbeiter

(1) Der Kursanbieter erteilt die allgemeine Genehmigung nach Art. 28 Abs. 2 Satz 1 DSGVO, weitere
Auftragsverarbeiter einzusetzen. Die eingesetzten stehen in Anlage 2, die fortgeschrieben wird, ohne
dass dieser Vertrag geändert werden muss. Anlage 2 wird deshalb getrennt von diesem Vertrag
ausgeliefert und getrennt fortgeschrieben; sie steht auf derselben Seite wie er, und ihre
Fortschreibung ist keine Änderung des angenommenen Vertragstextes.

(2) Bevor der Betreiber einen weiteren Auftragsverarbeiter einsetzt oder austauscht, teilt er das
mit. Der Kursanbieter kann innerhalb von 14 Tagen nach Zugang der Mitteilung aus
datenschutzrechtlichen Gründen widersprechen. Widerspricht er, und lässt sich die Leistung ohne den
beanstandeten Dienst nicht in gleicher Weise erbringen, kann jede Seite das Nutzungsverhältnis zum
vorgesehenen Einsatztag kündigen.

(3) Der Betreiber verpflichtet jeden Unterauftragsverarbeiter auf Pflichten, die denen dieses
Vertrags entsprechen, und bleibt dem Kursanbieter gegenüber verantwortlich.

(4) Der Zahlungsdienstleister ist kein Unterauftragsverarbeiter des Betreibers. Nimmt der
Kursanbieter Online-Zahlungen an, richtet er dort ein eigenes Händlerkonto ein und schließt einen
eigenen Vertrag; der Zahlungsdienstleister verarbeitet die Zahlungsdaten teils in seinem Auftrag,
teils als eigener Verantwortlicher, etwa zur Erfüllung aufsichtsrechtlicher Pflichten, zur
Risikobewertung und zur Abwehr von Betrug. Der Betreiber übermittelt die für die Zahlung
erforderlichen Daten im Auftrag des Kursanbieters an diesen Dienst und hält zu keinem Zeitpunkt
dessen Geld.

(5) Kein Unterauftragsverarbeiter ist der Geocoder Photon der komoot GmbH, Kienberger Allee 4,
12529 Schönefeld. Der Betreiber fragt ihn nach den Koordinaten der Anschrift eines Kursorts, die der
Kursanbieter veröffentlicht, damit Entfernungen angezeigt werden können. Übermittelt wird nur diese
öffentliche Anschrift, ohne Kennung des Kursanbieters und ohne Daten von Teilnehmern. Komoot stellt
den Dienst ohne Vertrag bereit; er ist deshalb nicht nach Absatz 3 verpflichtet und wird als
Empfänger und nicht in Anlage 2 geführt.


§ 8 Unterstützung bei den Rechten betroffener Personen

(1) Wendet sich eine betroffene Person unmittelbar an den Betreiber, leitet er sie an den
Kursanbieter weiter und beantwortet sie nicht selbst.

(2) Der Betreiber unterstützt den Kursanbieter bei Auskunft, Berichtigung, Löschung, Einschränkung,
Datenübertragbarkeit und Widerspruch. Soweit die Software dafür eine Funktion hat, ist die
Unterstützung damit erbracht; darüber hinaus hilft der Betreiber auf Anfrage.

(3) Eine Löschung, die einer gesetzlichen Aufbewahrungspflicht widerspricht, führt der Betreiber
nicht aus; er teilt das mit und schränkt die Verarbeitung stattdessen ein.


§ 9 Unterstützung bei Sicherheit, Meldungen und Folgenabschätzung

(1) Wird dem Betreiber eine Verletzung des Schutzes personenbezogener Daten bekannt, die Daten des
Kursanbieters betrifft, meldet er sie diesem unverzüglich, spätestens innerhalb von 24 Stunden
nach Kenntnis. Die Meldung beschreibt, was geschehen ist, welche Daten und
welche Kategorien von Personen betroffen sind, welche Folgen zu erwarten sind und was ergriffen
wurde.

(2) Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung der betroffenen
Personen nach Art. 34 DSGVO obliegen dem Kursanbieter. Der Betreiber unterstützt ihn dabei.

(3) Der Betreiber unterstützt den Kursanbieter bei einer Datenschutz-Folgenabschätzung und einer
vorherigen Konsultation, soweit sie die in Kursdeck verarbeiteten Daten betreffen.


§ 10 Nachweise und Überprüfungen

(1) Der Betreiber weist die Einhaltung der Pflichten aus diesem Vertrag nach. Dazu stellt er auf
Anfrage die Informationen und Unterlagen zur Verfügung, die dafür erforderlich sind: die
Beschreibung der Maßnahmen nach Anlage 3, die Liste nach Anlage 2, die Zertifikate und Nachweise des
Hosting-Anbieters und die Verfahrensdokumentation, die in der Verwaltung hinterlegt ist.

(2) Reichen diese Unterlagen nachweislich nicht aus, kann der Kursanbieter die Einhaltung darüber
hinaus selbst überprüfen oder durch einen Prüfer überprüfen lassen, der nicht Wettbewerber des
Betreibers ist, einschließlich Inspektionen (Art. 28 Abs. 3 Buchst. h DSGVO); einen Anlass muss er
dafür nicht nennen, solange er es nicht öfter als einmal im Jahr verlangt. Die Prüfung wird mit
angemessener Frist angekündigt, in der Regel vier Wochen, findet zu den üblichen Geschäftszeiten in
den Räumen des Betreibers statt und stört den Betrieb nicht mehr als nötig. Sie darf die Daten
anderer Kursanbieter nicht offenlegen. Die Rechenzentren betreibt der Unterauftragsverarbeiter nach
Anlage 2; für sie legt der Betreiber dessen Nachweise vor, etwa dessen Zertifikate.

(3) Jede Partei trägt ihre Kosten der Prüfung selbst.


§ 11 Berichtigung, Löschung und Aufbewahrung

(1) Der Betreiber berichtigt, löscht oder schränkt die Verarbeitung ein, wenn der Kursanbieter es
weist oder die Fristen nach Absatz 2 es vorsehen.

(2) Unterlagen werden bis zum Ablauf ihrer Aufbewahrungsfrist aufbewahrt und danach ausgesondert;
jede Aussonderung wird den Administratoren mindestens 30 Tage vorher angekündigt. Die Fristen je Art
der Unterlage stellt der Betreiber für alle Kursanbieter einheitlich, und nie unter einer
gesetzlichen Aufbewahrungspflicht. Sie stehen in Anlage 4, die neben diesem Vertrag aus der jeweils
geltenden Einstellung angezeigt wird; eine Nachweisfrist, die der Kursanbieter an einer Kursart
einstellt, geht für die Anwesenheiten dieser Kurse vor. Ändert der Betreiber eine Frist, teilt er das
den Administratoren in Textform mit, mit der bisherigen und der neuen Dauer. Der Kursanbieter kann
innerhalb von vier Wochen in Textform widersprechen; lässt sich die bisherige Frist für ihn nicht
halten, kann jede Seite das Nutzungsverhältnis zum Ende dieser vier Wochen kündigen. Eine verkürzte
Frist sondert nichts aus, bevor es angekündigt ist. Die Fortschreibung der Anlage 4 ändert diesen
Vertrag nicht.

(3) Setzt der Kursanbieter wegen einer Außenprüfung eine Löschsperre (§ 147 Abs. 3 Satz 5 AO), wird
bis zu ihrer Aufhebung nichts ausgesondert. Nur der Kursanbieter kann sie setzen, weil nur er von
seiner Prüfung weiß.

(4) Die Sicherungen der Datenbank werden 30 Tage aufbewahrt und danach gelöscht. Eine Löschung im
laufenden Bestand erreicht eine bereits erstellte Sicherung nicht; sie läuft mit deren Frist aus.


§ 12 Beendigung: Rückgabe und Löschung

(1) Eine Kündigung ist noch kein Austritt. Ohne Austrittserklärung bleiben die Daten erhalten, und
die Verwaltung bleibt lesbar.

(2) Erklärt der Kursanbieter den Austritt, trägt der Betreiber den letzten Tag des Vertrags ein
(Vertragsende). Ein Tag, der schon vergangen ist, lässt sich nicht eintragen. Die Administratoren
der Verwaltung des Kursanbieters erhalten sofort eine Nachricht mit dem Vertragsende und dem Tag,
ab dem gelöscht wird; wird das Vertragsende zurückgenommen, erfahren sie auch das.

(3) Vom Tag nach dem Vertragsende an nimmt Kursdeck für den Kursanbieter keine neue Buchung mehr
an, weder auf seinen öffentlichen Seiten noch in der Verwaltung. Bestehende Plätze und
Wartelistenplätze bleiben; sie lassen sich weiter stornieren, abrechnen und mahnen. Die Verwaltung
bleibt bis zur Löschung lesbar.

(4) Zurückgegeben werden die Daten über den Austrittsexport. Er enthält alle Belege und Nachweise
des Kursanbieters seit seiner Einrichtung mit ihren Dokumenten und der Beschreibung des Verfahrens,
dazu die Bescheinigungen, die Anwesenheiten und die Siegel der Abdruckkette als die Dateien, die im
Objektspeicher liegen. Der Kursanbieter lädt ihn in der Verwaltung herunter, auch nach dem Ende des
Abos, solange die Verwaltung lesbar ist. Holt niemand den Export, holt ihn der Betreiber nach dem
Vertragsende selbst und schickt den Administratoren und der E-Mail-Adresse aus den Stammdaten des
Kursanbieters einen Link, über den sich der Export 30 Tage lang beliebig oft herunterladen lässt,
auch nach der Löschung nach Absatz 5. So lange bewahrt der Betreiber den Export in der Datenbank der
Plattform auf; danach löscht er ihn. Was weder Beleg noch Nachweis ist, etwa die Teilnehmerprofile,
die Kursplanung oder die versandten Nachrichten, enthält der Export nicht; es wird ohne Rückgabe
gelöscht.

(5) Abweichend von § 8 Absatz 3 und § 11 Absatz 2 löscht der Betreiber beim Austritt alles, was dem
Kursanbieter in Kursdeck gehört, auch Unterlagen, deren Aufbewahrungsfrist noch läuft. Er löscht
frühestens am dreißigsten Tag nach dem Vertragsende und erst, nachdem ein Austrittsexport geholt
wurde, der bis zum Vertragsende reicht, also einer, der am Tag des Vertragsendes oder danach geholt
wurde, auch einer, den der Betreiber nach Absatz 4 holt und zustellt. Was nach dem Holen dieses
Exports noch entsteht, etwa eine Stornorechnung oder eine Mahnung nach Absatz 3, enthält er nicht,
und die Software verlangt vor der Löschung keinen neueren Export; der Kursanbieter kann ihn bis zur
Löschung erneut holen. Der Betreiber führt keinen Archivdienst:
Die Aufbewahrungspflicht nach § 147 AO und § 14b UStG bleibt beim Kursanbieter, und er erfüllt sie
nach der Löschung aus dem Austrittsexport.

(6) Steht eine Löschsperre (§ 11 Absatz 3), wird auch beim Austritt nicht gelöscht, solange sie
steht, höchstens aber bis sechs Kalendermonate nach dem Vertragsende. Die Sperre ist die Weisung des
Kursanbieters, etwas zu behalten, der Austritt seine Weisung, alles zu löschen; bis zu dieser Grenze
entscheidet er, welche gilt, und die Verwaltung bleibt ihm dafür offen. Danach löscht der Betreiber
trotz der Sperre; die Unterlagen, die sie schützen soll, trägt der Austrittsexport. Steht beim
Eintragen des Vertragsendes eine Sperre, nennt die Nachricht nach Absatz 2 diese Grenze, und
30 Tage vor ihr erinnert der Betreiber die Administratoren einmal daran, dass danach trotz Sperre
gelöscht wird.

(7) Von der Löschung ausgenommen sind:

- Unterlagen, die der Betreiber selbst aufbewahren muss, insbesondere seine eigenen Rechnungen an
  den Kursanbieter.
- Der Nachweis der Löschung: eine Zeile mit der Kennung, dem Vertragsende, dem Zeitpunkt des
  Austrittsexports, den Namen derer, die gelöscht haben, und dem Tag, bis zu dem die Kennung
  reserviert bleibt. Sie enthält keine Daten von Teilnehmern oder Rechnungsempfängern.
- Ein Austrittsexport, den der Betreiber nach Absatz 4 zugestellt hat, bis zum Ablauf seines Links;
  danach löscht er ihn. Es bleibt ein Vermerk, wann er zugestellt wurde, bis wann der Link galt und
  wie die Datei hieß und wie groß sie war. Der Vermerk enthält keine Daten von Teilnehmern oder
  Rechnungsempfängern.
- Die Siegel der Abdruckkette (Anlage 3). Sie liegen in einem Objektspeicher, aus dem niemand sie
  vor Ablauf von zehn Jahren ab ihrer Ablage löschen kann, auch der Betreiber nicht, und bleiben
  dort bis dahin. Ein Siegel trägt keine personenbezogenen Daten, sondern nur die interne Kennzahl
  des Kursanbieters, eine laufende Nummer, einen Prüfwert und einen Zeitpunkt.
- Die Konten der Personen, die sich in der Verwaltung angemeldet haben. Ein Konto gehört keinem
  Kursanbieter; seine Zugehörigkeit zu diesem Kursanbieter wird mitgelöscht, das Konto selbst nach
  der Datenschutzerklärung der Plattform.

(8) Die Kennung des Kursanbieters bleibt nach der Löschung reserviert, solange eine von ihm
ausgestellte Bescheinigung bis zu dem auf ihr genannten Tag noch öffentlich prüfbar sein sollte;
hat er keine ausgestellt, wird sie mit der Löschung frei. In dieser Zeit bekommt kein anderer
Kursanbieter die Kennung, und die öffentliche Prüfung antwortet dort, dass der Aussteller nicht
mehr bei Kursdeck ist, ohne etwas über die vorgelegte Bescheinigung zu sagen.

(9) Das Archiv des Kursanbieters (Anlage 3) leert der nächste Archivlauf nach der Löschung; gelingt
das nicht, versucht es jeder weitere Lauf erneut. Ein Archivlauf läuft einmal täglich in der Nacht,
zu einer festen Uhrzeit deutscher Zeit. In den Sicherungen der
Datenbank steht der Kursanbieter noch bis zu 30 Tage nach der Löschung, ein nach Absatz 4
zugestellter Austrittsexport bis zu 30 Tage nach seiner eigenen Löschung (§ 11 Absatz 4); wird in
dieser Zeit aus einer Sicherung wiederhergestellt, führt der Betreiber die Löschung erneut aus.

(10) Der Betreiber bestätigt die Löschung in Textform.


§ 13 Haftung

Für die Haftung der Parteien untereinander gilt § 15 der Nutzungsbedingungen, auch für Schäden aus
diesem Vertrag. Die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt; eine
Abrede zwischen den Parteien schränkt sie nicht ein.


§ 14 Schlussbestimmungen

(1) Änderungen bedürfen der Textform. Das gilt auch für die Aufhebung dieser Formklausel.

(2) Ist eine Bestimmung unwirksam, bleiben die übrigen wirksam.

(3) Es gilt deutsches Recht.


§ 15 Rechnungen freiberuflicher Trainer

(1) Stellt ein freiberuflicher Trainer über Kursdeck eigene Rechnungen ("Rechnungssteller", § 23
der Nutzungsbedingungen), gilt dieser Vertrag auch zwischen ihm als Auftraggeber und
Verantwortlichem und dem Betreiber als Auftragsverarbeiter, mit den Maßgaben dieses Paragraphen. Wo
der Vertrag den Kursanbieter nennt, tritt der Rechnungssteller an seine Stelle, wo er die
Administratoren nennt, die E-Mail-Adresse seines Kontos. Der Vertrag kommt zustande, indem der
Rechnungssteller die Nutzungsbedingungen vor seiner ersten Rechnung annimmt.

(2) Gegenstand ist, dass der Betreiber aus den Angaben des Rechnungsstellers Rechnungen und
Stornorechnungen als elektronische Rechnung erzeugt und nummeriert, sie mit der Datei per E-Mail an
den Empfänger versendet, sie dem Rechnungssteller und einem Kursanbieter als Empfänger bereitstellt,
die Vermerke über Zahlung und Rückzahlung festhält und die Belege aufbewahrt (§ 23 Abs. 3 und 5 der
Nutzungsbedingungen). Statt § 2 Abs. 1 gilt dieser Zweck.

(3) Verarbeitet werden, wie sie auf einem Beleg stehen: Name, Geschäftsbezeichnung, Anschrift,
steuerliche Kennung und Bankverbindung des Rechnungsstellers; Name oder Firma, Anschrift,
gegebenenfalls Umsatzsteuer-Identifikationsnummer, Ansprechpartner und E-Mail-Adresse des
Empfängers; die Positionen mit Leistungszeitraum, Beträgen und Steuer; die Vermerke über Zahlung und
Rückzahlung. Betroffen sind der Rechnungssteller, Empfänger, soweit sie natürliche Personen sind,
und die Ansprechpartner von Empfängern. Besondere Kategorien personenbezogener Daten sieht die
Software dafür nicht vor; § 3 Abs. 3 gilt entsprechend. Anlage 1 gilt nicht.

(4) Statt § 11 Abs. 2 und 3 und Anlage 4 gilt § 23 Abs. 5 der Nutzungsbedingungen: acht Jahre ab
dem Schluss des Kalenderjahres, in dem der späteste Beleg einer Rechnung entstand, danach die
Aussonderung, 30 Tage vorher angekündigt, und eine Löschsperre, die der Rechnungssteller selbst
setzt und aufhebt. Diese Aufbewahrung ist seine Weisung.

(5) Statt § 12 gilt: Der Vertrag endet, wenn der Rechnungssteller sein Konto löscht. Zurückgegeben
werden die Belege über den Export unter "Meine Rechnungen", den er jederzeit herunterladen kann.
Bevor er die Löschung seines Kontos beantragt, wählt er, ob der Betreiber die Belege bis zum Ende
ihrer Frist weiter aufbewahrt oder mit dem Konto löscht (Art. 28 Abs. 3 Buchst. g DSGVO); wählt er
nichts, werden sie weiter aufbewahrt, und was eine Löschsperre hält, wird in jedem Fall weiter
aufbewahrt. Gelöscht wird mit dem Konto, frühestens dreißig Tage nach dem Antrag. Für die weiter
aufbewahrten Belege gilt dieser Vertrag bis zu ihrer Aussonderung fort; sie stehen ohne den Bezug
zum Konto, und die Löschsperren gehen mit ihm. Die Sicherungen der Datenbank laufen nach § 11
Abs. 4 aus.

(6) Mitteilungen nach § 6 Abs. 2, § 7 Abs. 2 und § 9 Abs. 1 gehen in Textform an die
E-Mail-Adresse des Kontos, nach dessen Löschung an die Anschrift auf den weiter aufbewahrten
Belegen. Widerspricht der Rechnungssteller nach § 7 Abs. 2, und lässt sich die Leistung ohne den
beanstandeten Dienst nicht in gleicher Weise erbringen, kann jede Seite den Vertrag nach § 23 der
Nutzungsbedingungen zum vorgesehenen Einsatztag kündigen.


Anlage 1: Die Verarbeitungen im Einzelnen

Kategorien betroffener Personen

- Teilnehmer der Kurse des Kursanbieters.
- Personen, die eine Buchung vornehmen, ohne selbst teilzunehmen: der Rechnungsempfänger und
  Vertragspartner.
- Mitglieder des Kursanbieters und die Personen, die eine Familienmitgliedschaft einschließt, sowie
  wer den Antrag stellt und den Beitrag zahlt.
- Trainer und andere Personen, die der Kursanbieter in der Software führt.
- Prüferinnen und Prüfer einer Außenprüfung, denen der Kursanbieter einen Prüferzugang gibt.

Die Konten, mit denen Beschäftigte, Trainer und Prüfer in der Verwaltung arbeiten, gehören keinem
Kursanbieter und sind nicht Gegenstand dieses Vertrags; für sie gilt die Datenschutzerklärung der
Plattform. Gegenstand ist nur, dass ein Konto diesem Kursanbieter mit einer Rolle zugeordnet ist.

Arten der Daten

- Stammdaten der Teilnehmer: Vorname, Nachname und, soweit angegeben, Anschrift und
  E-Mail-Adresse. Das Geburtsdatum fragt die Buchung nur, wo eine Bescheinigung des gebuchten Kurses
  es auf ihrer Vorlage trägt.
- Mitgliedschaften: die Mitgliedsart mit den beim Antrag geltenden Bedingungen, die Personen, für
  die beantragt wird, mit Geburtsdatum, wo der Beitrag vom Alter abhängt, und Telefon, wo die
  Mitgliedsart danach fragt, der Antrag mit seiner Entscheidung, und wo die Mitgliedsart einen
  Nachweis verlangt, die hochgeladene Datei bis zur Entscheidung über sie und danach nur der
  Vermerk, dass er geprüft wurde und bis wann er gilt, mit der Einwilligung nach § 3 Absatz 2, wo
  sie verlangt ist. Ein Antrag, aus dem kein Vertrag wurde, wird auf derselben Frist gelöscht wie
  eine unbestätigte Anfrage.
- Buchungsdaten: gebuchter Kurs oder Termin, Zeitpunkt der Buchung, Zustand der Anmeldung,
  Warteliste, der Zeitpunkt des Vertragsschlusses, die abgegebenen Erklärungen mit ihrem Wortlaut und
  eine erteilte oder verweigerte Werbeeinwilligung.
- Laufende Verträge: Kursabos, Tarifverträge und Mitgliedschaften mit Monatsbeitrag,
  Kündigungsfrist, der Erklärung einer Kündigung mit ihrem Eingang, dem Tag, zu dem sie wirkt, und
  bei einer außerordentlichen ihrem Grund — der Gesundheitsangaben tragen kann (§ 3 Absatz 2) und
  früher gelöscht wird als die übrige Erklärung (Anlage 3) —, und Abmeldungen von einzelnen
  Terminen.
- Angaben des Rechnungsempfängers: Name oder Firmierung, Anschrift, ob er Unternehmer ist, und die
  Angaben, die auf eine Rechnung gehören.
- Anwesenheiten je Termin und die daraus folgenden Bescheinigungen mit ihrer Nummer.
- Abrechnungsdaten: Rechnungen, Stornorechnungen, Zahlungsvermerke, Mahnungen und die Zuordnung von
  Zahlungen, einschließlich einer Referenz beim Zahlungsdienstleister, und für den monatlichen Einzug
  die Referenz auf ein dort hinterlegtes Zahlungsmittel. Die Daten des Zahlungsmittels selbst liegen
  beim Zahlungsdienstleister und nicht bei Kursdeck.
- Zeilen eines eingelesenen Kontoauszugs: Betrag, Tag, Name des Zahlers und Verwendungszweck. Der
  Auszug wird gelesen, um Zahlungen Rechnungen zuzuordnen, und nicht aufbewahrt. Was zugeordnet
  wurde, ist ein Zahlungsvermerk; eine Zeile, die sich nicht eindeutig zuordnen ließ, steht höchstens
  30 Tage als Vorschlag mit Betrag, Tag und Verwendungszweck, ohne Namen und Bankverbindung des
  Zahlers.
- Unterschriften von Teilnehmern und Kursleitung als Bild, auf dem Bildschirm erfasst oder von der
  Kursleitung für einen Kurs freigegeben, und die Bescheinigungen, in die sie eingehen.
- Daten der Trainer: Name, Kontaktangaben, Qualifikationen mit ihrer Gültigkeit, Abwesenheiten
  ohne Angabe eines Grundes und, ob und seit wann jemand ausgeschieden ist.
- Die Zuordnung eines Kontos zu diesem Kursanbieter mit ihrer Rolle.
- Protokoll des Datenzugriffs einer Außenprüfung: Anmeldeadresse, Zeitpunkt und was gelesen wurde;
  gelöscht drei Jahre nach dem Schluss des Jahres, in dem gelesen wurde.
- Nachrichten, die im Namen des Kursanbieters versandt wurden, mit Empfänger, Zeitpunkt und Inhalt,
  sowie der Vermerk, dass eine Nachricht zurückkam.

Zwecke

Die Zwecke nach § 2 Absatz 1: Planung, Buchung, Teilnahme, Abrechnung, Bescheinigung, Nachrichten,
die Durchsetzung der Fristen und der Datenzugriff einer Außenprüfung.

Dauer

Nach § 11 und den Fristen der Anlage 4, die nie unter einer gesetzlichen Aufbewahrungspflicht
liegen; für Anwesenheiten geht eine Nachweisfrist des Kursanbieters an der Kursart vor.


Anlage 2 steht nicht in diesem Text, sondern daneben: sie wird nach § 7 Absatz 2 fortgeschrieben,
ohne dass dieser Vertrag geändert wird, und deshalb auch getrennt ausgeliefert.

Anlage 4, die Aufbewahrungsfristen und die Löschfrist unbestätigter und abgelehnter Anfragen ohne
Konto, steht ebenso daneben: sie wird nach § 11 Absatz 2 fortgeschrieben und aus der jeweils
geltenden Einstellung angezeigt.


Anlage 3: Technische und organisatorische Maßnahmen

Stand dieser Anlage: 10.11.2026.

Trennung der Daten

Die Daten jedes Kursanbieters sind in der Datenbank durch Richtlinien auf Zeilenebene getrennt. Jede
Abfrage der Anwendung läuft unter einer Rolle, die ohne gesetzten Mandantenkontext nichts sieht;
eine Zeile eines anderen Kursanbieters kann auch dann nicht gelesen werden, wenn ein Fehler in der
Anwendung sie anfordert. Die Rolle der Anwendung ist nicht die Eigentümerin der Tabellen und kann
die Richtlinien nicht umgehen. Beim Start prüft die Anwendung diese Trennung und beendet sich, wenn
sie nicht gilt.

Zugangs- und Zugriffskontrolle

Der Zugang zur Verwaltung setzt ein Konto mit Kennwort voraus; das Kennwort wird nur als Prüfwert
gespeichert. Ein zweiter Faktor kann eingerichtet werden und wird verschlüsselt gespeichert.
Anmeldeversuche werden gezählt und gebremst. Rollen begrenzen, was ein Konto sehen und tun kann.
Die Adresse eines Kalenderabos wird nur als Prüfwert und verschlüsselt gespeichert, endet mit dem
Zugang und mit jedem Wechsel der Rolle und trägt keine Angaben zu Teilnehmern.

Übertragung

Der Zugang erfolgt ausschließlich verschlüsselt über TLS, und die Browser werden angewiesen
(HSTS), nur verschlüsselt zu verbinden. Die Zertifikate werden automatisch bezogen und erneuert. Die
Server verbinden sich untereinander über WireGuard. Die Datenbank hat keine Netzadresse, sondern
lauscht nur an einem lokalen Socket des eigenen Servers.

Server und Netz

Von außen offen sind HTTP und HTTPS und der Port der WireGuard-Verbindung; dazu kommt der
Fernzugang des Betreibers mit SSH, der nur mit einem Schlüssel und nie mit einem Kennwort möglich
ist. Zugangsdaten und Schlüssel der Anwendung liegen verschlüsselt und werden erst auf dem Server
entschlüsselt. Systemprotokolle bleiben auf dem Server und werden nach höchstens zwei Wochen
gelöscht. Die Platte der Server ist nicht verschlüsselt, damit ein Server nach einem ungeplanten
Neustart ohne Eingriff wieder startet; die Daten außerhalb des Servers, also Sicherung und Archiv,
sind verschlüsselt.

Überwachung

Ein Überwachungssystem fragt die Dienste ab und benachrichtigt den Betreiber, wenn einer ausfällt
oder die Sicherung ausbleibt. Es erhält nur Zahlen und keine personenbezogenen Daten.

Verfügbarkeit und Wiederherstellbarkeit

Die Datenbank wird jede Nacht gesichert, am Sonntag voll und sonst inkrementell, dazu laufend die
Schreibprotokolle der Datenbank, spätestens alle fünf Minuten. Die Sicherung wird verschlüsselt
(AES-256) in einem Objektspeicher an einem anderen Standort als die Server abgelegt und 30 Tage
aufbewahrt. Die Wiederherstellung ist vierteljährlich und nach jedem Upgrade der Datenbank oder des
Sicherungswerkzeugs zu üben, und die Übung prüft mit, dass die Trennung der Kursanbieter nach der
Wiederherstellung weiter gilt.

Unveränderbarkeit der Belege

Rechnungen werden nicht bearbeitet; eine Korrektur ist eine Stornorechnung und eine neue Rechnung.
Über alle Belege läuft eine Kette von Abdrücken, die täglich gesiegelt wird, so dass eine
nachträgliche Änderung erkennbar wäre.

Archivierung

Unterlagen mit gesetzlicher Aufbewahrungsfrist werden zusätzlich verschlüsselt archiviert, und zwar
nur so lange, wie ihre Frist läuft. Das Archiv ist von der Sicherung getrennt: Die Sicherung ist
alles für 30 Tage, das Archiv ist wenig für Jahre.

Datenminimierung

Nachrichten an Trainer und an die Teilnehmer eines abgesagten Kurses enthalten nur, was ihr Zweck
verlangt, und keine Angaben, aus denen sich eine Aussage über die Gesundheit einer Person ergäbe.
Ein Abwesenheitsgrund wird nicht erhoben.

Kündigungsgrund

Den Grund einer außerordentlichen Kündigung (§ 3 Absatz 2) sehen nur die Rollen des Kursanbieters,
die Buchungen bearbeiten, im Eingang der Kündigungen. Er geht an niemanden außer an die Person, die
gekündigt hat, in der Bestätigung ihrer Kündigung, und steht in keinem Export. Er wird 90 Tage nach
dem Tag gelöscht, an dem die Kündigung wirksam wurde oder abgelehnt wurde, und damit früher als die
übrige Erklärung der Kündigung. Die Bestätigung an die Person, die gekündigt hat, gibt ihn im
Wortlaut wieder (§ 312k Abs. 4 BGB); sie lässt sich nicht ändern und bleibt so lange wie die
Kündigung, die sie bestätigt.

Mitgliedsnachweis

Die Datei eines Nachweises (§ 3 Absatz 2) ist nur in der Verwaltung des Kursanbieters zu sehen. Sie
wird mit der Entscheidung über den Antrag oder über den Nachweis gelöscht, ob angenommen oder
abgelehnt; es bleibt der Vermerk, dass er geprüft wurde und bis wann er gilt.

Anlage 2: Unterauftragsverarbeiter

Stand dieser Anlage: 10.11.2026. Sie wird fortgeschrieben; jede Änderung wird nach § 7 Absatz 2
vorher mitgeteilt.

- Hetzner Online GmbH, Gunzenhausen, Deutschland. Betrieb der Server, des Objektspeichers für die
  Sicherungen und des Archivs sowie des Namensdienstes. Auf einem dieser Server betreibt der
  Betreiber selbst den Mailserver, über den die E-Mails hinausgehen, und das Postfach für
  unzustellbare Mails; einen Versanddienst gibt es nicht. Verarbeitung in Deutschland. Nach dem
  Auftragsverarbeitungsvertrag von Hetzner (Fassung 1.2 vom 17.02.2026, abgerufen am 10.11.2026 unter
  https://www.hetzner.com/AV/DPA_en.pdf) findet die Verarbeitung ausschließlich in der Europäischen
  Union oder im Europäischen Wirtschaftsraum statt; eine Übermittlung in ein Drittland bedarf der
  vorherigen Zustimmung des Auftraggebers und der Voraussetzungen der Art. 44 ff. DSGVO. Die
  Unterauftragnehmer in den Vereinigten Staaten und in Singapur, die Hetzner in seiner Anlage 3
  nennt (Stand 06.08.2024, https://www.hetzner.com/AV/subunternehmer.pdf), betreffen nur
  Serverstandorte in diesen Ländern; bei einem Standort in der Union werden die Daten nach Hetzners
  Hinweis dort ausschließlich in der Union verarbeitet, und der Support erfolgt für alle Standorte
  innerhalb der Union. Die Server des Betreibers stehen in Deutschland; eine Übermittlung in ein
  Drittland findet deshalb nicht statt.
- Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29,
  Irland. Antworten
  im Chat mit einer KI: im Support der Verwaltung, der Zahlen, Zustände und Kursnamen des
  Kursanbieters erhält, und in der KI-Kurssuche auf seiner Seite, die die öffentlichen Angaben
  seiner Kurse erhält; Daten von Teilnehmern nur, soweit sie eingegeben werden, obwohl der Chat
  darum bittet, es nicht zu tun, und die Maskierung sie nicht erkennt. Verarbeitung und Speicherung
  in den Vereinigten Staaten; Grundlage der Übermittlung sind die Standardvertragsklauseln der
  Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO). Keine Verwendung zum Training; Löschung
  nach höchstens 30 Tagen, von der Missbrauchsprüfung markierte Inhalte bis zu zwei Jahre.

Kein Unterauftragsverarbeiter im Sinne dieses Vertrags ist Stripe Payments Europe Ltd., Irland; für
seine Einordnung gilt § 7 Absatz 4. Ebenso wenig ist es die komoot GmbH, Kienberger Allee 4, 12529
Schönefeld, mit dem Geocoder Photon: Sie stellt den Dienst ohne Vertrag bereit und erhält nur die
veröffentlichte Anschrift eines Kursorts; für ihre Einordnung gilt § 7 Absatz 5.