Fassung vom 20. September 2026
In der Standardleistung verarbeitet virtual.vision keine personenbezogenen Beschäftigtendaten auf dokumentierte Weisung des buchenden Unternehmens. Das Unternehmen setzt virtual.vision insoweit nicht als Auftragsverarbeiter ein. Ein Vertrag nach Art. 28 DSGVO ist hierfür nicht abzuschließen.
1. Maßstab
Ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag eines Verantwortlichen. Entscheidend sind tatsächliche Aufgaben und Befugnisse: Der Verantwortliche bestimmt Zwecke und wesentliche Mittel; der Auftragsverarbeiter handelt weisungsgebunden. Nur dann ist ein Vertrag nach Art. 28 DSGVO nötig. Die Buchung einer digitalen Leistung oder die Überschrift „AV-Vertrag“ begründet keine Auftragsverarbeitung.
2. Rolle des Unternehmens
Das Unternehmen entscheidet, ob und wann es die Aktion anbietet, welchen betrieblichen Kreis es anspricht und wie es den Code intern kommuniziert. Personenbezogene Verarbeitungen außerhalb der ADHS-Anwendung verantwortet es selbst.
Es übermittelt virtual.vision keine Namenslisten, Personalnummern, E-Mail-Adressen der Teilnehmenden oder individuellen Gesundheitsangaben. Teilnehmende benötigen kein persönliches Konto.
3. Eigene Verantwortung von virtual.vision
Firmenkonto, Buchung und Rechnung
virtual.vision verarbeitet Unternehmens-, Kontakt-, Vertrags- und Rechnungsdaten für den eigenen Vertrag und gesetzliche Pflichten. Diese Verarbeitung unterliegt keinen Kundenweisungen.
Fragebogen und persönliche Auswertung
Antworten und persönliche Auswertung werden grundsätzlich nur im Browser verarbeitet und dem Firmenkonto nicht zugänglich. Ohne gesonderte Registrierung im Interessentenregister wird kein vollständiger Fragebogen dauerhaft serverseitig gespeichert.
Freiwillige Statistik
Ausgewählte gesundheitsbezogene Ergebnisangaben werden nur nach gesonderter ausdrücklicher Einwilligung übermittelt. virtual.vision bestimmt Zweck, Datenfelder, Zusammenfassung und Speicherweise und informiert Teilnehmende unmittelbar. virtual.vision handelt hierfür als eigener Verantwortlicher.
Interessentenregister
Das freiwillige Register ist von der Firmenaktion getrennt, beruht auf gesonderten Einwilligungen und Double-Opt-in und ist dem Unternehmen nicht zugänglich. Auch hierfür ist virtual.vision eigener Verantwortlicher.
4. Firmenbericht
Der zusammengefasste Bericht enthält keine Namen, Kontaktdaten, Personalnummern, individuellen Antwortsätze, persönlichen Ergebnisberichte, Tagesverläufe oder Abteilungsfilter. Ergebniswerte beruhen nur auf freiwilligen Statistikbeiträgen.
Der Kunde darf nicht versuchen, Werte einzelnen Personen zuzuordnen oder mit eigenen Informationen dazu zu verbinden. Der Bericht darf nicht für Maßnahmen oder Entscheidungen gegenüber einzelnen Beschäftigten verwendet werden.
5. Keine Weisungsbefugnis
Das Unternehmen kann virtual.vision keine Weisungen dazu erteilen, welche gesundheitsbezogenen Ergebnisangaben verarbeitet werden, wie sie ausgewertet werden oder wie das Interessentenregister geführt wird. Nach unmittelbarer Zusammenfassung ist ein Statistikbeitrag nicht mehr als einzelner Datensatz vorhanden und kann nicht nachträglich zugeordnet werden.
6. Hosting
virtual.vision setzt Mittwald für das Hosting als eigenen Auftragsverarbeiter ein und hat die erforderliche Vereinbarung geschlossen. Dieses Verhältnis macht virtual.vision nicht zum Auftragsverarbeiter des Unternehmens.
7. Künftige Zusatzleistungen
Sollte künftig eine Zusatzleistung personenbezogene Daten auf dokumentierte Kundenweisung verarbeiten, wird die Rollenverteilung vorher neu bewertet. Soweit dann Auftragsverarbeitung vorliegt, wird vor Beginn ein gesonderter Vertrag nach Art. 28 DSGVO geschlossen.
8. Ergänzende Informationen
Verarbeitungsvorgänge, Rechtsgrundlagen, Speicherdauern und Betroffenenrechte beschreibt die Datenschutzerklärung. Vertragliche Pflichten stehen ergänzend in den AGB.