Technische und organisatorische Maßnahmen

Stand: 5. Oktober 2026

Die technischen und organisatorischen Maßnahmen von Eclarity schützen personenbezogene Daten, die über die Lernplattform verarbeitet werden. Sie folgen einem risikobasierten Ansatz nach Artikel 32 DSGVO und umfassen Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit.

1. Zugriff und Vertraulichkeit

Der Zugriff wird nach Rolle, Zweck und Erforderlichkeit begrenzt. Administrationskonten erfordern eine Mehrfaktor-Authentifizierung, soweit technisch unterstützt. Zugriffsrechte werden überprüft und entzogen, sobald sie nicht mehr erforderlich sind. Mitarbeitende müssen Vertraulichkeit wahren und erhalten Sicherheitsunterweisungen. Arbeitsbereiche und Geräte werden vor unbefugtem Zugriff geschützt.

2. Verschlüsselung

Für Web- und API-Zugriffe ist HTTPS mit TLS 1.2 oder höher vorgeschrieben. Datenbank- und Administrationsverbindungen müssen verschlüsselt sein. Gespeicherte Daten und Datensicherungen werden durch Zugriffskontrollen und die jeweils anwendbaren Verschlüsselungsfunktionen der Anbieter geschützt. Geräte mit privilegiertem Zugriff erfordern eine vollständige Datenträgerverschlüsselung.

3. Datenminimierung und Trennung

Die Verarbeitung wird auf die für den Dienst erforderlichen Daten begrenzt. Rollenbasierte Berechtigungen beschränken den Zugriff auf Kundendaten. Pseudonymisierte Lernfortschrittsansichten stehen bei entsprechender Konfiguration zur Verfügung. Produktivdaten, die für Tests verwendet werden, müssen anonymisiert werden oder einen gleichwertigen Schutz erhalten.

4. Integrität und Systemsicherheit

Systemänderungen folgen kontrollierten Entwicklungs- und Freigabeprozessen. Sicherheitsaktualisierungen und Schwachstellen werden risikobasiert behandelt. Schutzmaßnahmen für Endgeräte, eingeschränkte Netzwerkzugriffe, Protokollierung und Überwachung unterstützen die Vermeidung und Erkennung von Störungen und Sicherheitsvorfällen.

5. Verfügbarkeit und Wiederherstellung

Datensicherungen und Snapshots der Anbieter sowie Wiederherstellungsfunktionen verwalteter Datenbanken unterstützen die Wiederherstellung nach Vorfällen. Wiederherstellungsverfahren und die Verfügbarkeit von Datensicherungen werden regelmäßig überprüft. Die Wiederherstellung erfolgt kontrolliert unter Berücksichtigung des betroffenen Dienstes und der verfügbaren Wiederherstellungsoptionen.

6. Aufbewahrung und Löschung

Personenbezogene Daten werden für den vereinbarten Zweck aufbewahrt und gemäß autorisierten Weisungen und geltenden Aufbewahrungsfristen gelöscht. Kopien bei Dienstleistern werden in den Löschprozess einbezogen. Der Ablauf der Aufbewahrungsfristen von Datensicherungen wird gesondert verwaltet; der Zugriff bleibt beschränkt.

7. Behandlung von Vorfällen

Verdachtsfälle von Sicherheitsvorfällen werden gemeldet, untersucht und eingedämmt. Soweit Eclarity als Auftragsverarbeiter handelt, wird der betroffene Verantwortliche bei einer Verletzung des Schutzes personenbezogener Daten unverzüglich gemäß den gesetzlichen und vertraglichen Anforderungen benachrichtigt.

8. Verantwortung und Überprüfung

Der CTO überwacht die technischen Sicherheitsmaßnahmen. Ihre Wirksamkeit wird durch regelmäßige Überprüfungen und Tests sowie nach wesentlichen Änderungen oder Vorfällen bewertet. Die Maßnahmen werden an die Verarbeitungsrisiken angepasst.

Lieferantenliste

Zu den Dienstleistern für die Plattform und zugehörige Dienste gehören:

Anbieter und Anschriften	Dienstleistung
Amplitude Amplitude, Inc. 201 3rd Street, Suite 200, San Francisco, CA 94103, USA	Nutzungsanalyse
Anthropic Anthropic Ireland, Limited 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland	KI-Unterstützung, einschließlich Buchhaltung
AssemblyAI EU-Vertretung: VeraSafe Ireland Ltd. Unit 3D, North Point House, North Point Business Park, New Mallow Road, Cork T23 AT2P, Irland Anschrift des Anbieters: AssemblyAI, Inc. 169 Madison Ave, STE 38365, New York, NY 10016, USA	Transkription von Audio- und Videoinhalten
Auth0 / Okta Okta, Inc. 100 First Street, Floor 6, San Francisco, CA 94105, USA	Authentifizierung
DATEV DATEV eG Paumgartnerstraße 6–14, 90429 Nürnberg, Deutschland	Buchhaltung
DigitalOcean DigitalOcean, LLC 101 Avenue of the Americas, 10th Floor, New York, NY 10013, USA	Hosting, Datenbanken und Wiederherstellungsdienste
IONOS IONOS SE Elgendorfer Str. 57, 56410 Montabaur, Deutschland	Domainverwaltung
Mathpix Mathpix, Inc. 60 Broadway, Suite 101, Brooklyn, NY 11249, USA	Dokumenten- und Bilderkennung
Microsoft Azure Microsoft Ireland Operations Limited One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland	KI-Dienste
MUX / Mux, Inc. Mux, Inc. 50 Beale Street, 9th Floor, San Francisco, CA 94105, USA	Videoverarbeitung, Hosting und Wiedergabe
OpenAI OpenAI Ireland Ltd. 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland	KI-Dienste und Embeddings für Lernaufgaben
Sentry EU-Vertretung: Sentry Software Netherlands B.V. Schiphol Boulevard 359, 1118 BJ, Amsterdam Schiphol, Niederlande Anschrift des Anbieters: Functional Software, Inc. d/b/a Sentry 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA	Fehlerüberwachung

Nachgewiesene EU-Vertretungen stehen an erster Stelle. Anbieter- und Vertretungsanschriften bezeichnen keine Verarbeitungsstandorte.

Die geltende Vereinbarung zur Auftragsverarbeitung regelt den Verarbeitungsumfang, Weisungen, Unterauftragsverarbeiter und Anforderungen an internationale Datenübermittlungen.