Accordo sul trattamento dei dati

— nachfolgend „Verantwortlicher“ und „Auftragsverarbeiter“, gemeinsam „Parteien“ —

Der Auftragsverarbeiter stellt dem Verantwortlichen im Rahmen von Beratungs-, Trainings- und Führungskräfteentwicklungsleistungen zwei webbasierte Dienste zur Verfügung: Leadership Impulse (lead.xpand.app) und xpand Toolbox (xpand.tools). Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten von Beschäftigten des Verantwortlichen. Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO und ergänzt die zugrunde liegende Leistungsvereinbarung (nachfolgend „Hauptvertrag“). Nutzt der Verantwortliche nur einen der beiden Dienste, gelten die Regelungen zum jeweils anderen Dienst nicht.

(1) Gegenstand des Auftrags ist die Bereitstellung, der Betrieb und die Pflege der Dienste Leadership Impulse und xpand Toolbox als Software-as-a-Service einschließlich der Nutzerverwaltung, des E-Mail-Versands, der KI-gestützten Generierung von Inhalten sowie des Supports. Art und Zweck der Verarbeitung, die Datenkategorien und die betroffenen Personen sind in Anlage 1 beschrieben.

(2) Die Verarbeitung beginnt mit der Freischaltung der Dienste für den Verantwortlichen und dauert für die Laufzeit des Hauptvertrags an. Die Pflichten aus § 12 (Löschung und Rückgabe) gelten über das Vertragsende hinaus.

(3) Die Verarbeitung findet in Mitgliedstaaten der Europäischen Union statt. Soweit Unterauftragsverarbeiter Daten in Drittländern verarbeiten, gilt § 9.

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Der Hauptvertrag und diese Vereinbarung einschließlich Anlage 1 sind die erste dokumentierte Weisung. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.

(2) Weisungen sind in Textform (z. B. E-Mail) zu erteilen. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Weisungsberechtigte und -empfangsberechtigte Personen sind in Anlage 1, Abschnitt E benannt; Änderungen werden der jeweils anderen Partei in Textform mitgeteilt.

(3) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er ist berechtigt, die Ausführung der Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

(4) Ist der Auftragsverarbeiter durch das Recht der Union oder eines Mitgliedstaats zu einer weitergehenden Verarbeitung verpflichtet, teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(1) Der Verantwortliche ist im Rahmen dieser Vereinbarung für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte der betroffenen Personen verantwortlich. Insbesondere stellt er sicher, dass die Nutzerinnen und Nutzer gemäß Art. 13 DSGVO über die Verarbeitung informiert werden; der Auftragsverarbeiter stellt hierfür die Angaben aus Anlage 1 und Anlage 3 sowie die Datenschutzerklärungen der Dienste zur Verfügung.

(2) Der Verantwortliche bestimmt den Kreis der Nutzerinnen und Nutzer. Die Dienste werden gezielt für die vom Verantwortlichen benannten Personengruppen freigegeben; die Registrierung erfolgt mit E-Mail-Adressen der vom Verantwortlichen freigegebenen Domain(s) oder auf persönliche Einladung. Die Zahl der Nutzerplätze je Dienst ergibt sich aus dem Hauptvertrag.

(3) Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.

Der Auftragsverarbeiter verpflichtet sich über die in den weiteren Paragrafen geregelten Pflichten hinaus:

• Vertraulichkeit. Er gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.
• Sicherheit der Verarbeitung. Er trifft alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (Anlage 2).
• Unterstützung bei Betroffenenrechten. Er unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung der Pflichten nach Art. 12 bis 23 DSGVO (§ 10).
• Unterstützung bei Art. 32 bis 36 DSGVO. Er unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten zur Sicherheit, zur Meldung von Verletzungen, zur Datenschutz-Folgenabschätzung und zur vorherigen Konsultation.
• Löschung und Rückgabe. Er löscht oder gibt nach Abschluss der Leistungen alle personenbezogenen Daten nach Wahl des Verantwortlichen zurück (§ 12).
• Nachweise. Er stellt alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen (§ 11).
• Datenschutzbeauftragter. Er hat einen Datenschutzbeauftragten benannt (siehe Parteienübersicht) und teilt Änderungen mit.
• Verzeichnis. Er führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
• Zweckbindung. Er nutzt die Daten nicht zum Training von KI-Modellen, zu Werbezwecken oder zu statistischen Auswertungen außerhalb des Auftrags. Aggregierte Nutzungskennzahlen (z. B. Anzahl aktiver Konten) darf er dem Verantwortlichen zur Verfügung stellen.

(1) Der Auftragsverarbeiter hat die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen umgesetzt. Sie stellen nach Einschätzung der Parteien ein dem Risiko angemessenes Schutzniveau im Sinne von Art. 32 DSGVO sicher.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie weiterentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und dem Verantwortlichen auf Anfrage mitgeteilt.

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO), die in Anlage 3 aufgeführten Unterauftragsverarbeiter einzusetzen.

(2) Beabsichtigt der Auftragsverarbeiter, weitere Unterauftragsverarbeiter hinzuzuziehen oder bestehende zu ersetzen, informiert er den Verantwortlichen mindestens vier Wochen vorab in Textform an die in der Parteienübersicht genannte Adresse. Der Verantwortliche kann der Änderung innerhalb von zwei Wochen aus wichtigem datenschutzrechtlichen Grund widersprechen. Kommt keine einvernehmliche Lösung zustande, sind beide Parteien berechtigt, den betroffenen Dienst mit einer Frist von vier Wochen zu kündigen.

(3) Der Auftragsverarbeiter legt jedem Unterauftragsverarbeiter vertraglich Pflichten auf, die den Pflichten aus dieser Vereinbarung entsprechen, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für dessen Pflichterfüllung.

(4) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen wie Telekommunikation, Post- und Transportdienste, Wartung ohne Datenzugriff sowie die Entsorgung von Datenträgern.

(1) Zugriff auf personenbezogene Daten des Verantwortlichen haben beim Auftragsverarbeiter ausschließlich benannte Personen, soweit dies für Betrieb, Support und Weiterentwicklung der Dienste erforderlich ist. Ein regelmäßiger Zugriff auf Inhaltsdaten (Profilangaben, Impulse, Eingaben in den KI-Berater oder den Sparring-Chat) findet im laufenden Betrieb nicht statt.

(2) Die befugten Personen sind auf die Vertraulichkeit und auf die Vorgaben dieser Vereinbarung verpflichtet und werden regelmäßig zum Datenschutz unterwiesen.

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betrifft, unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, an die in der Parteienübersicht genannten Kontakte.

(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen sowie Kontaktdaten. Informationen, die noch nicht vorliegen, werden ohne unangemessene Verzögerung nachgereicht.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO und dokumentiert Vorfälle einschließlich der Abhilfemaßnahmen.

(1) Die Datenbanken und die Anwendungslogik beider Dienste werden in Rechenzentren innerhalb der Europäischen Union betrieben (Frankfurt am Main bzw. Paris, siehe Anlage 3).

(2) Einzelne Unterauftragsverarbeiter haben ihren Sitz in den USA oder verarbeiten Daten dort (Anlage 3). Für diese Übermittlungen bestehen geeignete Garantien nach Kapitel V DSGVO — die von der Europäischen Kommission beschlossenen Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) und, soweit der Empfänger zertifiziert ist, der Angemessenheitsbeschluss zum EU-US Data Privacy Framework. Der jeweils einschlägige Mechanismus ist in Anlage 3 je Unterauftragsverarbeiter angegeben.

(3) Der Auftragsverarbeiter prüft für Übermittlungen in Drittländer, ob ergänzende Maßnahmen erforderlich sind, und hält die Ergebnisse auf Anfrage bereit. Er überwacht die Fortgeltung der Angemessenheitsbeschlüsse und informiert den Verantwortlichen über wesentliche Änderungen.

(1) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, es sei denn, der Verantwortliche hat ihn dazu angewiesen.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit, soweit die Daten in den Diensten verarbeitet werden. Nutzerkonten und die zugehörigen Daten werden auf Weisung innerhalb von zehn Werktagen gelöscht; ein Export der zu einer Person gespeicherten Daten wird in einem gängigen maschinenlesbaren Format (z. B. JSON) bereitgestellt.

(3) Löschungen, die Nutzerinnen und Nutzer selbst beim Auftragsverarbeiter beantragen, führt dieser aus und informiert den Verantwortlichen.

(1) Der Verantwortliche ist berechtigt, die Einhaltung dieser Vereinbarung zu überprüfen. Der Auftragsverarbeiter weist die Einhaltung in erster Linie durch geeignete Unterlagen nach: aktuelle Fassung der Anlagen 2 und 3, Zertifikate und Prüfberichte der Unterauftragsverarbeiter (u. a. SOC 2 Type II, ISO/IEC 27001) sowie eine Selbstauskunft.

(2) Darüber hinaus kann der Verantwortliche nach vorheriger Abstimmung mit einer Frist von in der Regel vier Wochen zu den üblichen Geschäftszeiten Prüfungen beim Auftragsverarbeiter durchführen oder durch einen zur Verschwiegenheit verpflichteten Dritten durchführen lassen — ohne Störung des Betriebsablaufs und ohne Zugriff auf Daten anderer Kunden. Bei konkretem Anlass, insbesondere nach einer Datenschutzverletzung, entfällt die Frist.

(3) Der Auftragsverarbeiter wirkt an Prüfungen der Aufsichtsbehörde mit, die den Verantwortlichen betreffen.

(1) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen innerhalb von 30 Tagen, sofern der Verantwortliche nicht zuvor deren Rückgabe verlangt. Die Rückgabe erfolgt als Export in einem gängigen maschinenlesbaren Format; anschließend wird gelöscht.

(2) Daten in Sicherungskopien der Unterauftragsverarbeiter werden nach Ablauf der jeweiligen Vorhaltefrist (Anlage 2, Abschnitt 3) automatisch überschrieben; sie werden bis dahin nicht wiederhergestellt oder anderweitig verwendet.

(3) Ausgenommen sind Daten, die der Auftragsverarbeiter aufgrund gesetzlicher Aufbewahrungspflichten weiter speichern muss. Diese werden gesperrt und nach Ablauf der Frist gelöscht.

(4) Der Auftragsverarbeiter bestätigt die Löschung auf Anfrage in Textform.

(1) Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags.

(2) Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag gehen in Fragen des Datenschutzes die Regelungen dieser Vereinbarung vor.

(3) Änderungen und Ergänzungen bedürfen der Textform. Dies gilt auch für die Änderung dieser Klausel. Anlage 3 wird nach dem Verfahren des § 6 fortgeschrieben, ohne dass es einer Änderung dieser Vereinbarung bedarf.

(4) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen und datenschutzrechtlichen Zweck am nächsten kommt.

(5) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit zulässig, der Sitz des Verantwortlichen.

Besondere Kategorien (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung und werden nicht abgefragt. Freitextfelder, der KI-Berater und der Sparring-Chat könnten von Nutzerinnen und Nutzern für sensible Angaben verwendet werden; der Verantwortliche weist die Nutzenden darauf hin, keine besonderen Kategorien und keine personenbezogenen Daten Dritter (z. B. Namen von Mitarbeitenden) einzugeben. Der Auftragsverarbeiter blendet in beiden Diensten einen entsprechenden Hinweis ein.

• Beschäftigte des Verantwortlichen, die der Verantwortliche für die Dienste freigibt — insbesondere Führungskräfte, Mitglieder der Geschäftsleitung sowie Teilnehmende von Entwicklungsprogrammen.
• Beschäftigte des Verantwortlichen, die mit der Administration oder Redaktion betraut sind (z. B. HR).
• Bei Leadership Impulse zusätzlich: Personen, die von Nutzenden als Lernpartnerin oder Lernpartner benannt werden, sofern diese Funktion genutzt wird.

Die Höchstzahl der Nutzerplätze je Dienst ergibt sich aus dem Hauptvertrag.

Beide Dienste werden ohne eigene Server des Auftragsverarbeiters auf zertifizierten Cloud-Plattformen betrieben. Die Maßnahmen gliedern sich deshalb in Maßnahmen der Plattformen (durch deren Zertifizierungen nachgewiesen) und Maßnahmen in der Anwendung und Organisation des Auftragsverarbeiters.

Zutrittskontrolle. Die Verarbeitung erfolgt in Rechenzentren von Amazon Web Services (Frankfurt am Main, eu-central-1; Paris) über die Anbieter Vercel und Neon. Physischer Zutritt ist durch die Rechenzentrumsbetreiber geregelt und durch ISO/IEC 27001 und SOC 2 Type II nachgewiesen. Der Auftragsverarbeiter betreibt keine eigene Serverinfrastruktur; personenbezogene Daten des Verantwortlichen werden nicht lokal gespeichert.

Zugangskontrolle — Leadership Impulse. Passwortlose Anmeldung per Magic-Link: kryptografisch zufällige Token (32 Byte), ausschließlich als SHA-256-Hash mit geheimem Pepper gespeichert, einmalig verwendbar und zeitlich befristet (15 Minuten). Zugang nur auf Einladung oder über freigegebene E-Mail-Domains des Verantwortlichen mit Platzkontingent. Sitzungen werden serverseitig geführt und als httpOnly-, Secure- und SameSite-Cookie übertragen. Administrative Funktionen sind auf hinterlegte Admin-Adressen beschränkt; Cron-Endpunkte und die Inhalts-API sind durch geheime Bearer-Token geschützt. Der Sparring-Chat ist auf 40 Anfragen je Person und Stunde begrenzt.

Zugangskontrolle — xpand Toolbox. Passwörter werden ausschließlich als bcrypt-Hash (Kostenfaktor 10) gespeichert. Registrierung nur mit E-Mail-Adresse einer freigegebenen Domain und Bestätigung per 6-stelligem Code (15 Minuten gültig, höchstens 5 Versuche). Passwort-Zurücksetzen nach demselben Verfahren. Sitzungen als signiertes JWT im httpOnly-, Secure- und SameSite-Cookie, Gültigkeit 7 Tage. Partner-API-Schlüssel werden nur als SHA-256-Hash gespeichert.

Zugangskontrolle — Administration. Zugang zu den Administrationskonsolen der Plattformen (Vercel, Neon, Eden AI, Google AI Studio, Resend, Hostinger, GitHub) haben ausschließlich benannte Personen des Auftragsverarbeiters; die Konten sind mit Zwei-Faktor-Authentifizierung abgesichert. Geheimnisse (API-Schlüssel, Datenbankzugänge, Signaturschlüssel) liegen ausschließlich in der verschlüsselten Umgebungsvariablen-Verwaltung der Plattform und nicht im Quellcode.

Zugriffskontrolle. Rollenkonzept in beiden Diensten (Leadership Impulse: user/admin; xpand Toolbox: user/redakteur/admin) mit serverseitiger Prüfung jeder Anfrage. Mandantentrennung in der xpand Toolbox: Der Mandant des Verantwortlichen sieht ausschließlich die ihm freigegebenen Werkzeuge; Nutzerverwaltung, Suche, KI-Berater und Teilen-Links sind mandantengebunden. In Leadership Impulse sind Profile, Pläne, Impulse und Chat-Verläufe strikt an das jeweilige Nutzerkonto gebunden.

Trennungskontrolle. Getrennte Datenbanken und getrennte Anwendungsumgebungen je Dienst; Trennung von Produktions- und Vorschauumgebungen; logische Mandantentrennung über Datenbankschlüssel und Zugriffsprüfung.

Pseudonymisierung und Datenminimierung. An das KI-Modell werden nur die für die Generierung erforderlichen Inhalte übermittelt (Profilangaben, Themen, Anfragen), keine Zugangsdaten und keine E-Mail-Adressen. Es werden keine Analyse- oder Tracking-Dienste eingebunden; die Plattform-Web-Analytics sind deaktiviert. Pflichtangabe bei der Registrierung ist allein die E-Mail-Adresse.

Weitergabekontrolle. Sämtliche Verbindungen sind mit TLS verschlüsselt (Browser–Anwendung, Anwendung–Datenbank mit TLS 1.2+, Anwendung–KI-Dienst, Anwendung–E-Mail-Dienst). HTTPS wird durch die Plattform erzwungen (HSTS). Datenträger werden nicht physisch transportiert.

Eingabekontrolle. Datensätze tragen Erstellungs- und Änderungszeitstempel; Zustellungen werden protokolliert; administrative Eingriffe erfolgen über personalisierte Konten. Änderungen am Quellcode sind über die Versionsverwaltung (GitHub, privates Repository) nachvollziehbar; Produktivstellungen erfolgen ausschließlich aus dem Hauptzweig.

Sicherung und Wiederherstellung. Die Datenbanken (Neon) werden täglich verschlüsselt gesichert und über mehrere Verfügbarkeitszonen vorgehalten; Point-in-Time-Recovery ist mit einem Vorhaltefenster von bis zu 7 Tagen möglich. Dateiobjekte (Vercel Blob, Region Frankfurt) liegen auf Amazon S3 mit 99,999999999 % Haltbarkeit. Anwendungsversionen sind unveränderlich und lassen sich bei Störungen unmittelbar auf einen vorherigen Stand zurückrollen.

Belastbarkeit. Serverlose, automatisch skalierende Ausführung mit Failover innerhalb der Region; Zeitsteuerung des Versands über Plattform-Cron mit geheimem Token; Fehler beim Versand werden protokolliert und im nächsten Lauf erneut verarbeitet.

Daten im Ruhezustand: AES-256 auf Datenbank- und Objektspeicherebene. Daten in Übertragung: TLS. Authentifizierungsgeheimnisse: nur als Hash (SHA-256 mit Pepper bzw. bcrypt). Signaturschlüssel und API-Schlüssel: verschlüsselt in der Plattform-Konfiguration.

Datenschutz-Management. Benannter Datenschutzbeauftragter (Ricardo Wiedenbrüg); Verzeichnis der Verarbeitungstätigkeiten; jährliche Überprüfung dieser Anlage und der Zertifikate der Unterauftragsverarbeiter; Unterweisung der befugten Personen.

Vorfallmanagement. Dokumentierter Ablauf für Sicherheitsvorfälle: Eindämmung, Bewertung, Meldung an den Verantwortlichen binnen 48 Stunden (§ 8), Nachbereitung. Sicherheitshinweise der Plattformanbieter werden laufend ausgewertet; Abhängigkeiten werden regelmäßig aktualisiert.

Datenschutz durch Technikgestaltung und Voreinstellungen. Zugang nur auf Einladung bzw. für freigegebene Domains; minimale Pflichtangaben; keine Werbe- oder Analysedienste; kurze Fristen für Token und Codes; automatische Bereinigung abgelaufener Einträge; Löschkaskaden über alle zu einer Person gehörenden Datensätze.

Auftragskontrolle. Mit allen Unterauftragsverarbeitern bestehen Vereinbarungen zur Auftragsverarbeitung mit Standardvertragsklauseln, soweit ein Drittlandbezug besteht; Auswahl nach Zertifizierung (SOC 2 Type II, ISO/IEC 27001) und Verarbeitungsort. Anlage 3 wird bei jeder Änderung fortgeschrieben.

• xpand Toolbox nutzt die Gemini-API von Google im kostenpflichtigen Tarif (Paid Services). Nach den Nutzungsbedingungen für Paid Services verwendet Google Eingaben und Ausgaben nicht zur Verbesserung seiner Modelle; sie werden nur zeitlich begrenzt zur Erkennung von Missbrauch protokolliert. Eine feste EU-Datenresidenz besteht für die Gemini-API nicht.
• Leadership Impulse nutzt das KI-Gateway Eden AI ausschließlich über dessen EU-Endpunkt; das Gateway leitet Anfragen nur an Modellanbieter in europäischen Regionen weiter (derzeit Google Cloud Vertex AI, Region EU). Es sind nur Modelle wählbar, die mit Regionscode EU oder CH betrieben werden. Eingaben und Ausgaben werden nach Angaben des Anbieters nicht gespeichert und nicht zum Training verwendet.
• Das Modell erhält keine Zugangsdaten und keine E-Mail-Adressen; die Ausgabe wird ausschließlich dem jeweiligen Nutzerkonto zugeordnet.
• Die Wissensdatenbank für Leadership Impulse enthält Fachinhalte des Auftragsverarbeiters (Literatur, Methoden), keine personenbezogenen Daten des Verantwortlichen. Quellen werden in Impulsen nicht zitiert.
• Beide Dienste weisen Nutzende darauf hin, keine personenbezogenen Daten Dritter und keine besonderen Kategorien in Freitextfelder, den KI-Berater oder den Sparring-Chat einzugeben.
• Es findet keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO statt; die erzeugten Texte haben keine rechtliche Wirkung gegenüber den Nutzenden.

Der Auftragsverarbeiter setzt für Betrieb und Leistungserbringung die folgenden Unterauftragsverarbeiter ein. Mit allen bestehen Vereinbarungen zur Auftragsverarbeitung; die Übermittlungsgarantien sind je Anbieter angegeben.

GitHub, Inc. (Verwaltung des Quellcodes; keine personenbezogenen Daten des Verantwortlichen), Cloudinary Ltd. (Auslieferung statischer Bilder und Logos der xpand Toolbox ohne Personenbezug) sowie Google reCAPTCHA (nur im öffentlichen Kontaktformular der xpand Toolbox außerhalb des Mandanten des Verantwortlichen).

Eigenes Personal des Auftragsverarbeiters mit Zugriff: Christian Freitag (Betrieb, Administration), Jürgen Kast und Michael Klöfkorn (Redaktion, Support) sowie Ricardo Wiedenbrüg (Datenschutz).