Ergänzung zum Auftragsverarbeitungsvertrag (AVV) für den Zusatzdienst Flip Learning (Gyde)

Der Vertragspartner der Flip GmbH wird nachfolgend zur Vereinfachung auch als „Kunde“ und die Flip GmbH auch als „Anbieter“ bezeichnet, entsprechend der Begriffsverwendung im zwischen den Parteien geschlossenen Hauptvertrag (nachfolgend „Hauptvertrag“). Der Kunde ist zugleich „Verantwortlicher“ und der Anbieter „Auftragsverarbeiter“ im Sinne der AVV. Die zwischen den Parteien im Rahmen des Hauptvertrags vereinbarte Auftragsverarbeitungsvereinbarung, abrufbar unter https://www.getflip.com/de/legal/ (nachfolgend „AVV“), gilt auch für den Zusatzdienst Flip Learning (Gyde). Diese Anlage 2 ergänzt die AVV um die für Flip Learning spezifischen Regelungen. Im Übrigen gilt die AVV unverändert fort; bei Widersprüchen zwischen dieser Anlage 2 und der AVV geht diese Anlage 2 vor, soweit sie spezifisch Flip Learning betrifft.

1. Zusätzliche Datenarten. Annex 1 der AVV (Art und Zweck der Verarbeitung, Kategorien betroffener Daten, Kategorien betroffener Personen) wird um die im Rahmen von Flip Learning verarbeiteten Datenkategorien ergänzt. Dies umfasst insbesondere: Identifikations- und Kontaktdaten, Konto- und Rollendaten, Lern- und Leistungsdaten (Kursfortschritt, Prüfungs- und Testergebnisse, Zertifikate), Daten zur Seminarteilnahme,  Kommunikations- und Freitexteingaben (einschließlich Eingaben in KI-gestützten 

Lerndialogen) sowie technische Nutzungsdaten (Log-Daten).

2. gyde GmbH als Unterauftragsverarbeiterin. Der Softwaredienst Flip Learning wird durch die gyde GmbH, Rotebühlstraße 50, 70178 Stuttgart, als Unterauftragsverarbeiterin des Anbieters im Sinne des Art. 28 Abs. 4 DSGVO erbracht. Die gyde GmbH wird in die Liste der Unterauftragsverarbeiter nach Annex 3 der AVV aufgenommen; ihre Einbindung erfolgt nach dem in der AVV vorgesehenen Informations- und Einspruchsverfahren. Der Anbieter bleibt dem Kunden gegenüber für die Einhaltung der Datenschutzpflichten durch die gyde GmbH in vollem Umfang verantwortlich (Art. 28 Abs. 4 DSGVO).

3. Verarbeitungsort und Drittlandübermittlungen. Die Verarbeitung im Rahmen von Flip Learning erfolgt in DSGVO-konformen Rechenzentren innerhalb der Europäischen Union. Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums (EWR) erfolgt nur, soweit der Kunde dies zuvor ausdrücklich (mindestens in Textform) autorisiert hat und die Voraussetzungen der Art. 44–49 DSGVO erfüllt sind.

4. Technische und organisatorische Maßnahmen. Der Anbieter stellt sicher, dass die gyde GmbH technische und organisatorische Maßnahmen nach Art. 32 DSGVO umsetzt, die mindestens dem Schutzniveau der Plattform-AVV (Annex 2) entsprechen und die Meldung von Datenschutzverletzungen binnen 24 Stunden einschließen. Eine detaillierte Aufstellung der Maßnahmen stellt der Anbieter dem Kunden auf Anfrage zur Verfügung.

5. Kein Training mit personenbezogenen Daten. Personenbezogene Daten des Kunden und seiner Nutzer werden nicht für das Training, die Weiterentwicklung oder eine sonstige dauerhafte Verbesserung von KI-Modellen verwendet, es sei denn, der Kunde hat dem im Einzelfall ausdrücklich in Textform zugestimmt. Der Anbieter stellt durch entsprechende vertragliche Verpflichtungen sicher, dass diese Beschränkung auch für die gyde GmbH und deren Sub-Unterauftragsverarbeiter (Ziff. 7) gilt.

6. Kontroll- und Auditrechte. Die Kontroll- und Auditrechte nach der AVV erstrecken sich auch auf die gyde GmbH als Unterauftragsverarbeiterin. Der Anbieter stellt sicher, dass gleichwertige Kontroll- und Prüfungsrechte gegenüber der gyde GmbH bestehen und im erforderlichen Umfang an den Kunden weitergereicht werden können.

7. Liste der von der gyde GmbH eingesetzten Sub-Unterauftragsverarbeiter (aus Sicht des Kunden Sub-Unterauftragsverarbeiter). Die gyde GmbH setzt zur Leistungserbringung ihrerseits weitere Verarbeiter ein. Dies sind derzeit: Google Ireland Ltd. (Hosting sowie KI-gestützte Text-, Bild-, Video- und Audiogenerierung), Microsoft Ireland (KI-gestützte Textfunktionen), OpenAI Ireland und Anthropic Ireland (KI-Sprachmodelle), Twilio Ireland (transaktionaler E-Mail-Versand) sowie die BFL GmbH, Freiburg (KI-gestützte Bild- und Videogenerierung), jeweils mit Verarbeitung innerhalb der EU bzw. des EWR, sowie, ausschließlich für die optionale SCORM-Funktion, die Rustici Software LLC, Franklin (Tennessee), USA. Die Übermittlung an die Rustici Software LLC ist durch geeignete Garantien nach Art. 46 Abs. 2 lit. c DSGVO abgesichert; das Autorisierungserfordernis nach Ziff. 3 findet auf diese Übermittlung keine Anwendung. Eine Verarbeitung außerhalb des EWR im Übrigen erfolgt nur nach Maßgabe von Ziff. 3 dieser Anlage 2 und Art. 44–49 DSGVO. Änderungen dieser Aufstellung teilt der Anbieter dem Kunden nach Maßgabe des in der AVV vorgesehenen Informations- und Einspruchsverfahrens mit. Reine Nebenleistungen ohne konkreten Bezug zur Leistungserbringung gelten nicht als Unterauftragsverarbeiter.

8. Fortgeltung der AVV. Im Übrigen gelten die Regelungen der AVV unverändert auch für Flip Learning (Gyde).