versa
Fassung vom 9. August 2026

Auftragsverarbeitungsvertrag

Was sich geändert hat

Der Auftragsverarbeitungsvertrag war bisher nur Vertragsdokument und ist jetzt auf der Plattform einsehbar. An seiner Geltung ändert die Veröffentlichung nichts. Gegenüber der mit Ihnen geschlossenen Fassung haben sich vier Punkte geändert.

Anhang 1 nennt zusätzlich Kundeninhalte, also von Ihnen hochgeladene Quelldokumente, als Datenkategorie.

Abschnitt 9.4 beschreibt den Ausschluss der Trainingsnutzung durch Unterauftragsverarbeiter als zweistufige Regel: vorrangig vertraglich, andernfalls über die Kontoeinstellungen des Anbieters. Ist er auf keinem dieser Wege erreichbar, wird das beim betreffenden Anbieter in Anhang 3 ausgewiesen.

Abschnitt 15.2 benennt die beiden Wege, auf denen der Vertrag zustande kommt, und hält fest, dass die Annahme in elektronischer Form die Schriftform nach Art. 28 Abs. 9 DSGVO wahrt.

Abschnitt 15.3 stellt Änderungen auf dasselbe Verfahren um, das Ziffer 14 der Nutzungsbedingungen bereits vorsieht: 30 Tage Vorlaufzeit, Widerspruchsrecht und außerordentliches Kündigungsrecht. Eine Änderung darf das Schutzniveau für personenbezogene Daten und Ihre Rechte nach Art. 28 DSGVO nicht wesentlich verringern. Bisher waren Änderungen nur durch schriftliche Vereinbarung beider Parteien möglich.

Stand: 9. April 2026

Dieser Auftragsverarbeitungsvertrag („AVV") ist Bestandteil der Vereinbarung zwischen der versa Training GmbH und dem Kunden („Kunde", wie in der Vereinbarung definiert) und ergänzt diese.

NACHDEM der Kunde die technischen und organisatorischen Maßnahmen von versa geprüft hat und davon überzeugt ist, dass versa hinreichende Garantien bietet (Art. 28 Abs. 1 DSGVO);

VEREINBAREN die Parteien Folgendes. Bei Widersprüchen gilt: Standardvertragsklauseln haben Vorrang vor diesem AVV, dieser AVV hat Vorrang vor der Nutzervereinbarung.

1. Definitionen

Nicht in diesem AVV definierte Begriffe haben die in der Vereinbarung festgelegte Bedeutung.

„Anwendbares Datenschutzrecht" bezeichnet die DSGVO (Verordnung (EU) 2016/679), das österreichische Datenschutzgesetz („DSG") sowie jede andere anwendbare Datenschutz-, Privatsphäre- und elektronische Kommunikationsgesetzgebung des EWR.

„Kontodaten" bezeichnet personenbezogene Daten zum Konto, zur Abrechnung und zur Geschäftsbeziehung des Kunden mit versa.

„KI-Bewertungsergebnisse" bezeichnet Bewertungen, Feedback und Coaching-Empfehlungen, die durch die KI-Bewertungsfunktionen der Dienste erzeugt werden.

„Kundendaten" bezeichnet personenbezogene Daten, die den Diensten im Zusammenhang mit der Nutzung durch den Kunden übermittelt oder von diesen erhoben werden, ausgenommen Kontodaten.

„Feedbackdaten" bezeichnet die KI-Ausgabe, die eine betroffene Person ausdrücklich bewertet, die Eingabe, die dazu geführt hat, und das Feedback selbst — jeweils begrenzt auf das mit der Bewertungshandlung unmittelbar verbundene Segment.

„Szenariokonfigurationen" bezeichnet Konfigurationen, die vom Kunden auf der Plattform erstellt wurden — Persona-Definitionen, Gesprächs-Systemprompts, Bewertungsraster und Szenario-Metadaten — ausgenommen hochgeladene Quelldokumente.

2. Anwendungsbereich und Rollen

2.1 Geltungsbereich. Dieser AVV gilt für die Verarbeitung personenbezogener Daten durch versa im Auftrag des Kunden im Zusammenhang mit den Diensten.

2.2 Rollenverteilung. Der Kunde ist der Verantwortliche. versa ist der Auftragsverarbeiter (Art. 28 DSGVO) für die Verarbeitung von Kundendaten.

2.3 Eigenständige Verantwortlichkeit von versa. Die Parteien sind keine gemeinsam Verantwortlichen (Art. 26 DSGVO). versa handelt als eigenständiger Verantwortlicher für die folgenden Tätigkeiten:

  • Kontoverwaltung — Kontodaten, Abrechnung, Organisationszugehörigkeit
  • Plattformsicherheit — Missbrauchserkennung, Sicherheitsüberwachung
  • Anonymisierte Analysen — aggregierte Nutzungsstatistiken
  • Kundenübergreifende Analysen — pseudonymisierte Leistungsstatistiken, Bewertungsgenauigkeit
  • Feedbackbasierte KI-Qualitätsverbesserung — Verarbeitung von Feedbackdaten unter der in der Vereinbarung (Nutzungsbedingungen) gewährten Lizenz
  • Moderation und Sicherheit — Daten für das Training von Sicherheitssystemen nach Pseudonymisierung

Für diese Tätigkeiten verarbeitet versa Daten gemäß seiner Datenschutzerklärung. Überschreitet versa den Umfang dieser Tätigkeiten, wird versa für diese Verarbeitung zum Verantwortlichen (Art. 28 Abs. 10 DSGVO).

3. Zweckbindung und Datenschutzversprechen

3.1 Zweckbindung. versa nutzt Kundendaten ausschließlich zur Erbringung der Dienste und zur Verbesserung und Weiterentwicklung der Dienste. versa nutzt Kundendaten nicht für Marketing, Profiling, Verkauf oder die Weitergabe an Dritte für deren Zwecke.

3.2 Schutzversprechen für Trainingsnutzung. versa darf Kundendaten ausschließlich nach Pseudonymisierung für Trainingszwecke verwenden. Darüber hinaus darf versa nicht:

  • Kundendaten an Drittanbieter für deren eigene Trainingszwecke weitergeben;
  • Kundendaten vor der Pseudonymisierung mit Daten anderer Kunden zusammenführen;
  • Unterauftragsverarbeiter Kundendaten für eigene Trainingszwecke verwenden lassen (Abschnitt 9.4).

3.3 Vertraulichkeitsstatus pseudonymisierter Feedbackdaten. Pseudonymisierte Feedbackdaten gelten nicht als vertrauliche Informationen des Kunden, soweit sie keine Geschäftsgeheimnisse im Sinne des § 26b UWG enthalten.

4. Pflichten des Auftragsverarbeiters

4.1 Weisungsbindung. versa verarbeitet Kundendaten ausschließlich auf dokumentierte Weisung des Kunden (Art. 28 Abs. 3 lit. a DSGVO). Sofern das Recht der EU oder Österreichs eine anderweitige Verarbeitung vorschreibt, informiert versa den Kunden vor der Verarbeitung, es sei denn, dies ist untersagt. versa informiert den Kunden unverzüglich, wenn eine Weisung gegen anwendbares Datenschutzrecht verstößt; in diesem Fall darf versa die Ausführung der Weisung verweigern. versa informiert den Kunden unverzüglich, wenn versa seine Pflichten aus diesem AVV nicht mehr erfüllen kann.

4.2 Vertraulichkeit der Mitarbeiter. Alle zur Verarbeitung befugten Personen unterliegen Vertraulichkeitsverpflichtungen (Art. 28 Abs. 3 lit. b DSGVO). Gemäß DSG § 6 erhalten Mitarbeiterinnen und Mitarbeiter dokumentierte Weisungen und bleiben auch nach Beendigung des Arbeitsverhältnisses an die Vertraulichkeit gebunden.

5. Pflichten des Kunden

5.1 Allgemeine Kundenpflichten. Der Kunde:

  • stellt eine gültige Rechtsgrundlage sicher (Art. 6 DSGVO);
  • erfüllt die Informationspflichten (Art. 13-14 DSGVO);
  • holt erforderliche Einwilligungen ein (Art. 7 DSGVO);
  • erteilt ausschließlich rechtmäßige Weisungen.

5.2 Besondere Datenkategorien. Der Kunde darf keine besonderen Kategorien personenbezogener Daten (Art. 9 Abs. 1 DSGVO) übermitteln, es sei denn, versa hat eine ausdrückliche vorherige schriftliche Zustimmung erteilt.

5.3 Mindestalter. Das Mindestalter für die Nutzung der Plattform beträgt 14 Jahre (DSG § 4 Abs. 4). Soweit Trainierende zwischen 14 und 17 Jahren betroffen sind, ist der Kunde verantwortlich, die nach anwendbarem Recht erforderliche Einwilligung der Erziehungsberechtigten einzuholen.

5.4 Aufzeichnungseinwilligung. Die Plattform informiert betroffene Personen, wenn eine Trainingssitzung aufgezeichnet wird, und stellt Kontrollen zur Verwaltung der Aufzeichnungspräferenzen bereit. Der Kunde ist für etwaige zusätzliche Anforderungen an die Aufzeichnungseinwilligung nach seinem jeweils anwendbaren nationalen Recht verantwortlich.

6. Rechte der betroffenen Personen

6.1 Verantwortung des Kunden. Der Kunde ist für die Beantwortung von Anträgen betroffener Personen gemäß Kapitel III DSGVO (Art. 12-22) für die Verarbeitung im Auftragsverarbeitungsbereich verantwortlich.

6.2 Unterstützung durch versa. versa unterstützt den Kunden durch geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 3 lit. e DSGVO). Die Plattform bietet nutzerbezogene Löschung und Einschränkung der Verarbeitung. versa unterstützt den Kunden bei der Erfüllung von Anfragen betroffener Personen gemäß Kapitel III DSGVO.

6.3 Weiterleitung direkter Anträge. versa leitet direkte Anträge betroffener Personen, die sich auf die Verarbeitung im Auftragsverarbeitungsbereich beziehen, unverzüglich an den Kunden weiter und antwortet nicht direkt, es sei denn, dies ist genehmigt oder gesetzlich vorgeschrieben.

6.4 Anträge gegenüber versa als Verantwortlichem. Für die Verarbeitung, bei der versa eigenständiger Verantwortlicher ist (Abschnitt 2.3), können betroffene Personen ihre Rechte direkt bei versa unter privacy@versa.training ausüben, einschließlich des Widerspruchsrechts gemäß Art. 21 DSGVO.

6.5 Automatisierte Entscheidungsfindung. KI-Bewertungsergebnisse können eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO darstellen, sofern sie rechtliche oder in ähnlicher Weise erhebliche Auswirkungen haben. Soweit Art. 22 Anwendung findet, ist der Kunde für die Einhaltung verantwortlich. versa leistet technische Unterstützung für Erklärbarkeit und menschliche Überprüfung.

6.6 Datenschutz-Folgenabschätzung. versa unterstützt den Kunden bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) und vorherigen Konsultationen (Art. 36 DSGVO). Der Kunde sollte prüfen, ob die Verarbeitung unter die DSFA-V-Pflichtliste (BGBl II Nr. 278/2018) fällt. versa führt eigene DSFA für Tätigkeiten, bei denen versa eigenständig Verantwortlicher ist (Abschnitt 2.3), durch und überprüft diese bei wesentlicher Änderung des mit der Verarbeitung verbundenen Risikos (Art. 35 Abs. 11 DSGVO).

7. Sicherheit

7.1 Technische und organisatorische Maßnahmen. versa setzt dem Risiko angemessene technische und organisatorische Maßnahmen („TOM") gemäß Art. 32 DSGVO um, wie in Anhang 2 beschrieben. versa unterstützt den Kunden auf Anfrage bei der Einhaltung seiner eigenen Pflichten gemäß Art. 32.

7.2 Anpassung der Maßnahmen. versa darf die TOM aktualisieren, sofern das Gesamtschutzniveau nicht wesentlich verringert wird.

8. Verletzung des Schutzes personenbezogener Daten

8.1 Benachrichtigungsfrist. versa benachrichtigt den Kunden unverzüglich, in jedem Fall jedoch innerhalb von 48 Stunden, nachdem versa Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt hat, die Kundendaten betrifft.

8.2 Inhalt der Benachrichtigung. Die Benachrichtigung umfasst, soweit verfügbar (Art. 33 Abs. 3 DSGVO):

  • Art der Verletzung, Kategorien und ungefähre Anzahl der betroffenen Personen;
  • Kontaktstelle;
  • wahrscheinliche Folgen;
  • ergriffene Maßnahmen.

8.3 Vorläufige und vollständige Meldung. Die Erstbenachrichtigung kann eine vorläufige Meldung sein. versa liefert vollständige Informationen innerhalb von 72 Stunden.

8.4 Unterstützung bei Meldepflichten. versa unterstützt den Kunden bei den Pflichten gemäß Art. 33 (Meldung an die Aufsichtsbehörde) und Art. 34 (Benachrichtigung der betroffenen Personen bei hohem Risiko).

9. Unterauftragsverarbeiter

9.1 Allgemeine Genehmigung. Der Kunde erteilt eine allgemeine schriftliche Genehmigung (Art. 28 Abs. 2 DSGVO) für die in Anhang 3 aufgeführten Unterauftragsverarbeiter.

9.2 Vorlaufzeit für Änderungen. versa informiert den Kunden mindestens 7 Tage vor der Hinzunahme oder dem Austausch eines Unterauftragsverarbeiters.

9.3 Widerspruch und Verhandlung. Der Kunde kann innerhalb von 7 Tagen aus berechtigten datenschutzrechtlichen Gründen Widerspruch einlegen. Die Parteien verhandeln nach Treu und Glauben für einen Zeitraum von 7 Tagen. Wird keine Einigung erzielt, kann der Kunde die betroffenen Dienste kündigen.

9.4 Pflichten gegenüber Unterauftragsverarbeitern. Verträge mit Unterauftragsverarbeitern müssen gleichwertige Pflichten auferlegen (Art. 28 Abs. 4 DSGVO). versa schließt die Verwendung von Kundendaten für eigene Trainingszwecke aus, vorrangig vertraglich, andernfalls über die vom Anbieter bereitgestellten Kontoeinstellungen. Ist der Ausschluss auf keinem dieser Wege erreichbar, weist versa dies in der Unterauftragsverarbeiterliste (Anhang 3) beim betreffenden Anbieter aus.

9.5 Haftung für Unterauftragsverarbeiter. versa haftet vollumfänglich für die Leistung der Unterauftragsverarbeiter (Art. 28 Abs. 4 DSGVO).

9.6 Drittland-Verarbeitung und Datennutzung. Einzelne Unterauftragsverarbeiter können Daten außerhalb des EWR verarbeiten oder beanspruchen das Recht, de-identifizierte Ableitungen für eigene Zwecke zu verwenden. Die Unterauftragsverarbeiter-Seite kennzeichnet die jeweiligen Verarbeitungsorte und bekannten Datennutzungspraktiken. Der Kunde wählt über die Plattform, welche Anbieter für seine Organisation verfügbar sind.

10. Internationale Datenübermittlungen

10.1 Verarbeitungsorte. versa verarbeitet Kundendaten standardmäßig innerhalb des EWR. Nach Vereinbarung können auch Unterauftragsverarbeiter mit Verarbeitungsorten außerhalb des EWR eingesetzt werden. Die aktuelle Anbieterliste mit Verarbeitungsorten ist in Anhang 3 sowie unter app.versa.training/legal/subprocessors verfügbar. Übermittlungen außerhalb des EWR erfolgen nach Maßgabe von Abschnitt 10.2.

10.2 Übermittlungsmechanismen. Übermittlungen in Länder ohne Angemessenheitsbeschluss: (a) DPF-zertifizierte Unterauftragsverarbeiter: der Angemessenheitsbeschluss gilt; (b) nicht-DPF-zertifizierte Unterauftragsverarbeiter: Standardvertragsklauseln (SVK) gemäß Anhang 1, mit Transfer-Folgenabschätzung und ergänzenden Maßnahmen.

10.3 Transfer-Folgenabschätzungen. versa führt Transfer-Folgenabschätzungen durch und dokumentiert diese. Diese werden jährlich aktualisiert und sind dem Kunden auf Anfrage zugänglich.

10.4 Behördliche Anfragen. versa gibt Kundendaten nicht freiwillig an Regierungsbehörden weiter. Wird versa gesetzlich dazu gezwungen, verpflichtet sich versa, (a) mangelhafte Anfragen anzufechten; (b) den Kunden so früh wie zulässig zu benachrichtigen; (c) nur das gesetzlich geforderte Minimum offenzulegen; (d) die Anfrage zu dokumentieren.

11. Prüfungsrechte

11.1 Auskunftspflicht. versa stellt Informationen zur Einhaltung auf angemessene Anfrage zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO).

11.2 Prüfungsmodalitäten. Der Kunde kann Prüfungen durchführen oder in Auftrag geben:

  • einmal jährlich (keine Begrenzung für verletzungsbedingte Prüfungen);
  • mit 30 Tagen Vorlaufzeit;
  • während der Geschäftszeiten;
  • durch das eigene Team des Kunden oder einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer;
  • der Kunde trägt seine eigenen Kosten;
  • die Ergebnisse sind vertrauliche Informationen von versa.

12. Datenrückgabe und Löschung

12.1 Rückgabe oder Löschung. Nach Wahl des Kunden (Art. 28 Abs. 3 lit. g DSGVO) gibt versa Kundendaten in maschinenlesbarem Format zurück oder löscht diese. Rückgabeanfragen können bis zu 30 Tage nach Vertragsende gestellt werden.

12.2 Löschfristen. versa löscht alle Kundendaten innerhalb von 30 Tagen nach Vertragsende (oder nach Rückgabe). Gesetzliche Aufbewahrungspflichten (einschließlich BAO § 132) haben Vorrang. Spezifische Aufbewahrungsfristen sind in der Datenschutzerklärung veröffentlicht.

12.3 Pseudonymisierte Feedbackdaten nach Vertragsende. Feedbackdaten, die bereits vor Vertragsende gemäß Abschnitt 2.3 verarbeitet wurden, werden gemäß den Bedingungen der Datenschutzerklärung aufbewahrt.

13. Haftung

13.1 Haftungsbeschränkungen. Die Haftung im Rahmen dieses AVV unterliegt den Haftungsbeschränkungen und Carve-outs der Nutzungsbedingungen (insbesondere Abschnitt 11 — Haftung). Im Verhältnis zu diesem AVV gelten die Carve-outs aus Abschnitt 11.3 der Nutzungsbedingungen entsprechend.

13.2 Drittansprüche und Innenregress. Im Innenverhältnis zwischen den Parteien gilt Art. 82 Abs. 4 und 5 DSGVO. Drittansprüche von betroffenen Personen aus oder im Zusammenhang mit der Verarbeitung personenbezogener Daten verteilen sich zwischen den Parteien nach Maßgabe ihres jeweiligen Verschuldensanteils. Diese Vereinbarung beschränkt nicht die gesetzliche Regress-Mechanik nach Art. 82 DSGVO.

14. Besondere Rechtsvorschriften

14.1 Österreichisches DSG. versa erfüllt: (a) DSG § 1 (verfassungsrechtliches Grundrecht auf Datenschutz); (b) DSG § 6 (dokumentierte Weisungen, Vertraulichkeit nach Vertragsende); (c) DSG §§ 12-13 (Bild/Video — vorsorglich).

14.2 Datenschutzbeauftragter. versa hat Art. 37 DSGVO geprüft und festgestellt, dass derzeit kein Datenschutzbeauftragter erforderlich ist. Die Überprüfung erfolgt jährlich. Kontakt: privacy@versa.training.

14.3 KI-Verordnung. Die Dienste umfassen KI-Systeme im Sinne der Verordnung (EU) 2024/1689. versa ist der Anbieter (Art. 3 Nr. 3); der Kunde ist der Betreiber (Art. 3 Nr. 4). Details zur Risikoklassifizierung und Compliance finden sich im separaten KI-Verordnung-Compliance-Dokument.

14.4 CCPA. Soweit anwendbar, darf versa personenbezogene Daten nicht verkaufen, weitergeben oder außerhalb der unmittelbaren Geschäftsbeziehung verwenden.

15. Allgemeines

15.1 Laufzeit. Dieser AVV tritt ab dem früheren der folgenden Zeitpunkte in Kraft: (a) dem Datum des Inkrafttretens der Vereinbarung oder (b) der ersten Verarbeitung, und gilt für die Dauer der Vereinbarung.

15.2 Abschluss und Schriftform. Dieser AVV ist Bestandteil der Vereinbarung (Abschnitt 1.3 der Nutzungsbedingungen) und wird gemeinsam mit dieser auf einem der in Abschnitt 1.2 der Nutzungsbedingungen genannten Wege angenommen: durch Abschluss eines Auftragsformulars mit versa oder durch ausdrückliche Zustimmung bei der Erstellung eines Kontos über die Selbstregistrierung der Plattform. Die Annahme in elektronischer Form wahrt die Schriftform nach Art. 28 Abs. 9 DSGVO.

15.3 Änderungen des AVV. versa kann diesen AVV aktualisieren. Dafür gilt:

(a) Vorlaufzeit. Wesentliche Änderungen werden dem Kunden mindestens 30 Tage vor Inkrafttreten per E-Mail oder Plattformhinweis mitgeteilt. (b) Schutzniveau. Eine Änderung darf das Schutzniveau für personenbezogene Daten und die Rechte des Kunden nach Art. 28 DSGVO nicht wesentlich verringern. (c) Widerspruch. Der Kunde kann innerhalb von 30 Tagen nach Mitteilung widersprechen. versa und der Kunde versuchen, eine einvernehmliche Lösung zu finden; gelingt dies nicht, kann der Kunde die Vereinbarung zum Inkrafttreten der Änderung außerordentlich kündigen, mit anteiliger Rückerstattung vorausbezahlter Gebühren für den verbleibenden Zeitraum. Ein Bestandsschutz nach Abschnitt 14.3 der Nutzungsbedingungen gilt für diesen AVV nicht: die Verarbeitung erfolgt für alle Kunden auf derselben technischen Grundlage und kann nicht parallel nach zwei Fassungen dieses AVV erfolgen. (d) Zwingend gebotene Änderungen. Änderungen, die durch Gesetz, eine Aufsichtsbehörde, ein Gericht oder eine Neufassung der Standardvertragsklauseln vorgegeben sind, treten ohne die Frist nach lit. a in Kraft, soweit dies rechtlich geboten ist. versa informiert den Kunden unverzüglich. (e) Form. Mitteilung und Änderung in elektronischer Form wahren die Schriftform nach Art. 28 Abs. 9 DSGVO (Abschnitt 15.2). (f) Besondere Änderungsregeln. Abschnitt 7.2 (technische und organisatorische Maßnahmen), die Abschnitte 9.1 bis 9.3 (Unterauftragsverarbeiter) und Anhang 1 (Beschreibung der Verarbeitung) regeln Änderungen der dort genannten Gegenstände abschließend und bleiben unberührt.

Daneben können die Parteien diesen AVV jederzeit einvernehmlich ändern.

15.4 Einbeziehung in die Vereinbarung. Dieser AVV ist durch Verweis in die Vereinbarung (Nutzungsbedingungen) einbezogen und bildet einen integralen Bestandteil derselben.

15.5 Allgemeine Bestimmungen. Die allgemeinen Bestimmungen der Vereinbarung (anwendbares Recht, Gerichtsstand, salvatorische Klausel, Mitteilungen, Abtretung, höhere Gewalt) gelten für diesen AVV.

15.6 Haftung. Für die Haftung gilt Abschnitt 13 dieses AVV.

Anhang 1 — Beschreibung der Verarbeitung und Standardvertragsklauseln

versa kann diese Beschreibung aktualisieren, um neue Dienste, Funktionen oder Unterauftragsverarbeiter abzubilden.

Parteien

  • Verantwortlicher: Kunde
  • Auftragsverarbeiter: versa Training GmbH, Steinberg 204, 8151 Hitzendorf, Österreich. Kontakt: privacy@versa.training

Beschreibung der Verarbeitung

  • Kategorien betroffener Personen: Beschäftigte, Studierende, Trainierende, Erstellende, Administrierende und sonstige natürliche Personen, deren Daten bei der Nutzung der Dienste verarbeitet werden
  • Kategorien personenbezogener Daten: Kontodaten, Trainingsdaten (Aufzeichnungen, Transkripte, KI-Bewertungsergebnisse, Szenariokonfigurationen), Kundeninhalte (vom Kunden hochgeladene Quelldokumente und Schulungsmaterialien), Nutzungsdaten (Login-, Sitzungs- und Aktivitätsprotokolle), Leistungsdaten (Bewertungsergebnisse, Coaching-Feedback, aggregierte Fortschrittsstatistiken)
  • Besondere Kategorien: Keine (untersagt gemäß Abschnitt 5.2)
  • Dauer und Häufigkeit: Fortlaufend, für die Laufzeit der Vereinbarung
  • Art der Verarbeitung: Erhebung, Speicherung, Analyse, Transkription, KI-Bewertung, Löschung
  • Zweck: Ermöglichung KI-gestützter Sprachtrainingsszenarien
  • Aufbewahrung: Laufzeit der Vereinbarung. Spezifische Fristen in der Datenschutzerklärung

Standardvertragsklauseln

Gemäß Art. 46 Abs. 2 lit. c DSGVO; Durchführungsbeschluss (EU) 2021/914 der Kommission.

Modul 3 (Auftragsverarbeiter → Unterauftragsverarbeiter): Gilt für die Weitergabe von Kundendaten an Unterauftragsverarbeiter. Datenexporteur: versa Training GmbH. Datenimporteur: der jeweilige Unterauftragsverarbeiter gemäß Anhang 3.

Modul 2 (Verantwortlicher → Auftragsverarbeiter): Gilt nur, wenn der Kunde außerhalb des EWR ansässig ist. Datenexporteur: der Kunde. Datenimporteur: versa Training GmbH.

KlauselAuswahl
7 (Beitrittsklausel)Enthalten
9(a) (Unterauftragsverarbeiter)Option 2 — allgemeine Genehmigung, 7 Tage Frist
11 (Rechtsbehelfe)Enthalten — Zuständige Stelle: Österreichische Datenschutzbehörde; zuständige Gerichte: österreichische Gerichte
13 (Aufsicht)Österreichische Datenschutzbehörde
14 (Lokales Recht)Die Parteien bestätigen, dass sie keinen Grund zur Annahme haben, dass lokale Rechtsvorschriften die Einhaltung verhindern (Bewertung gemäß Abschnitt 10.3)
17 (Anwendbares Recht)Österreichisches Recht
18(b) (Gerichtsstand)Österreichische Gerichte

SVK-Anhänge: Anhang I = diese Beschreibung + Parteien; Anhang II = Anhang 2 dieses AVV; Anhang III = Anhang 3 dieses AVV. Zuständige Behörde: Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien.

Anhang 2 — Technische und organisatorische Maßnahmen

Die aktuellen TOM gemäß Art. 32 DSGVO umfassen mindestens:

Vertraulichkeit und Integrität (Art. 32 Abs. 1 lit. a-b):

  • Verschlüsselung bei Übertragung (TLS 1.3) und Speicherung (AES-256)
  • Rollenbasierte Zugriffskontrolle (RBAC) und Row Level Security (RLS) auf allen Datenbanktabellen
  • Mandantentrennung auf Datenbankebene
  • Vertraulichkeitspflichten für alle Mitarbeitenden
  • Pseudonymisierung personenbezogener Daten vor jeder Trainingsnutzung

Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b-c):

  • Automatisierte Backups mit geographischer Redundanz
  • Wiederherstellbarkeit innerhalb definierter Zeitfenster
  • EU-gehostete Infrastruktur bei ISO-27001-zertifizierten Rechenzentren

Organisatorische Maßnahmen:

  • Zugangsentzug bei Ausscheiden von Mitarbeitenden
  • Klassifikation von Daten nach Sensitivität
  • Aufbewahrung von Sicherheitsprotokollen für 90 Tage

Regelmäßige Überprüfung (Art. 32 Abs. 1 lit. d):

  • Regelmäßige Sicherheitstests der Infrastruktur
  • Incident-Response-Verfahren mit dokumentiertem Prozess

Vollständige und aktuelle TOM werden gepflegt unter:

https://app.versa.training/legal/security-measures

Der Kunde hat diese Maßnahmen zum Zeitpunkt des Abschlusses dieses AVV geprüft und bestätigt, dass sie hinreichende Garantien gemäß Art. 28 Abs. 1 DSGVO bieten. versa darf die TOM aktualisieren, sofern das Gesamtschutzniveau nicht wesentlich verringert wird (Abschnitt 7.2).

Anhang 3 — Unterauftragsverarbeiter

Die aktuelle Liste der Unterauftragsverarbeiter wird gepflegt unter:

https://app.versa.training/legal/subprocessors

Änderungen werden gemäß Abschnitt 9.2 mitgeteilt.