FoBiPlan

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

Fassung 05.11.2026

zwischen der Organisation (Träger oder Einrichtung), die FoBiPlan nutzt – Verantwortliche –, und Sébastien Kicin, Matthias-Claudius-Weg 1, 69181 Leimen, Betreiber von FoBiPlan – Auftragsverarbeiter.

Der Vertrag kommt zustande, wenn eine für die Organisation handelnde Person ihn bei der Registrierung oder in den Einstellungen der Organisation annimmt. Er gilt, solange die Organisation in FoBiPlan besteht.

§ 1 Gegenstand, Art und Zweck der Verarbeitung

Der Auftragsverarbeiter stellt mit FoBiPlan ein Online-Werkzeug bereit, mit dem die Verantwortliche die Fortbildungen ihrer Mitarbeitenden – insbesondere die Pflichtfortbildung der Betreuungskräfte nach § 53b SGB XI – plant, organisiert und nachweist. Verarbeitet werden die Daten, die Benutzer der Verantwortlichen eingeben oder importieren, nur zu diesem Zweck: Speichern, Anzeigen, Auswerten (Stand je Person), Exportieren (PDF, CSV), Versenden von E-Mails an Teilnehmende und Versenden von Anfragen an Fortbildungsanbieter.

§ 2 Art der Daten und Kategorien betroffener Personen

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen. Die Verantwortliche gibt in Freitextfelder keine Gesundheitsdaten und keine Leistungsbeurteilungen ein. Rückmeldungen von Teilnehmenden zu Fortbildungen werden ohne Personenbezug gespeichert und erst ab drei Antworten angezeigt.

§ 3 Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung der Verantwortlichen. Als Weisung gelten dieser Vertrag und die Handlungen ihrer Benutzer im Planer, insbesondere:

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er die Verantwortliche unverzüglich darauf hin. Er nutzt die Daten nicht für eigene Zwecke, gibt sie nicht an Dritte weiter und wertet sie nicht für Werbung aus. Ist er gesetzlich zu einer Verarbeitung verpflichtet, teilt er dies der Verantwortlichen vorher mit, soweit das Gesetz dies nicht verbietet.

§ 4 Vertraulichkeit

Zugriff auf die Daten hat nur der Betreiber selbst, und nur soweit dies für Betrieb, Wartung, Fehlerbehebung oder Unterstützung auf Anfrage der Verantwortlichen nötig ist. Setzt er weitere Personen ein, verpflichtet er sie vorher schriftlich zur Vertraulichkeit.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO, die in der Anlage beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverarbeiter

Die Verantwortliche ist mit folgenden Unterauftragsverarbeitern einverstanden:

Mit jedem Unterauftragsverarbeiter besteht ein Vertrag nach Art. 28 Abs. 4 DSGVO. Neue oder geänderte Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens vier Wochen vorher per E-Mail an die Administratoren an. Die Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann sie ihre Organisation löschen und damit den Vertrag beenden.

§ 7 Ort der Verarbeitung

Die Daten werden ausschließlich in Mitgliedstaaten der Europäischen Union verarbeitet.

§ 8 Unterstützung der Verantwortlichen

Für Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit stehen im Planer eigene Funktionen bereit (Bearbeiten, Löschen, PDF- und CSV-Export). Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an die Verantwortliche weiter. Er unterstützt sie auf Anfrage bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen und bei einer Datenschutz-Folgenabschätzung (Art. 32 bis 36 DSGVO) mit den ihm verfügbaren Informationen.

§ 9 Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet der Verantwortlichen eine Verletzung des Schutzes ihrer Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, per E-Mail an die Administratoren der Organisation – mit Art der Verletzung, betroffenen Daten und Personen, soweit bekannt, wahrscheinlichen Folgen und ergriffenen Maßnahmen.

§ 10 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt der Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und beantwortet Fragen schriftlich. Kontrollen vor Ort sind nach Anmeldung mit angemessener Frist zu den üblichen Geschäftszeiten möglich, ohne den Betrieb zu stören; die Rechenzentren werden durch die Nachweise des Hosters (u. a. Zertifizierung nach ISO/IEC 27001) abgedeckt.

§ 11 Löschung und Rückgabe

§ 12 Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Nutzungsbedingungen. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes vor. Änderungen dieses Vertrags werden als neue Fassung im Planer zur Annahme vorgelegt. Es gilt deutsches Recht.

Anlage: Technische und organisatorische Maßnahmen