„Zeigen Sie mir den Schulungsnachweis von Frau M., Vertrieb Nord, für 2025.“
NIS-2, ISO 27001 und DSGVO verlangen geschulte Mitarbeitende – und den Beleg dafür. Wenn Online-Kurse, Unterweisungen vor Ort, externe Zertifikate und Wiederholungsfristen in einer Nachweisakte liegen, ist die Antwort auf die Prüferfrage ein Klick.
Heute
Wo war das noch?Schulungen_2025_final_v3.xlsx
„Phishing – erledigt“. Ein Datum fehlt.
Ordner „Unterweisungen Vertrieb“
Social Engineering vor Ort – Teilnehmerliste auf Papier.
Postfach · Suche „Zertifikat Datenschutz“
Mehrere Treffer. Welcher ist der aktuelle?
Teilnehmerliste_Scan.pdf
Keine Unterschrift von Frau M. War sie da?
Die Excel-Liste sagt „erledigt“, die Papierliste sagt nichts. Der Prüfer wartet – und die Suche geht weiter.
Mit tutoolio
Ein Klick. Eine Akte pro Person.
Illustration mit fiktivem Beispiel. Export als CSV, XLSX oder PDF, automatische Zertifikate mit Gültigkeitsdauer und Wiederholungen nach Intervall laut LMS-Handbuch (Stand 27.08.2026). Lernen und Nachweis in einer Plattform – tutoolio.
Trust Center
Frankfurt
Hosting in Frankfurt am Main, kein Transfer in Drittländer außerhalb des EWR
AES-256
Verschlüsselung gespeicherter Daten und Backups
Art. 28
Standardisierter AVV nach DSGVO für jeden Kunden
≤ 30 Tage
bis zur Löschung aus allen Backups nach Vertragsende
Wir trennen, was tutoolio selbst nachweist, was unser Hosting-Anbieter nachweist und welche Funktionen Ihre eigene Prüfung unterstützen.
Zertifikate und Mitgliedschaften des Unternehmens und der Lernplattform.
ISO 9001
tutoolio ist nach ISO 9001 zertifiziert
DGUV-geprüft
Lernplattform ISO 9001-zertifiziert und DGUV-geprüft
Allianz für Cyber-Sicherheit
Mitglied der Allianz für Cyber-Sicherheit des BSI
Made in Germany
tutoolio GmbH, Bonn
Diese Nachweise gelten für die Hosting-Infrastruktur, auf der die Plattform betrieben wird – nicht für tutoolio als Unternehmen.
ISO/IEC 27001
Zertifizierung der Hosting-Infrastruktur
BSI C5
Testat der Hosting-Infrastruktur
Standort Frankfurt
Hosting in Frankfurt am Main, kein Transfer in Drittländer außerhalb des EWR
Keine Zertifikate, sondern Funktionen und Vereinbarungen, die Ihnen im Audit helfen.
DSGVO
Auftragsverarbeitung nach Art. 28 DSGVO mit standardisiertem AVV
Schulungsnachweise
Belege für Audits nach NIS-2 und ISO 27001
SSO · SCIM
SAML und OIDC (Entra ID, Okta, Google Workspace), SCIM-Provisioning
Stand: Angaben laut aktueller TUTOOLIO-Produkt-, Technik- und Datenschutzdokumentation. Sie beziehen sich auf die TUTOOLIO-Plattform, nicht auf diese Informationswebsite.
Häufige Fragen
Prüferpaket
Die häufigsten Fragen aus Sicherheits- und Datenschutz-Fragebögen – mit Antworten zum Kopieren. Einzeln, je Bereich oder alles als Textdatei.
Hosting
Wo werden die Daten gehostet?
Entwickelt und betrieben aus Bonn – Hosting in Frankfurt am Main, ohne Transfer in Drittländer außerhalb des EWR. Integration, UAT und Produktion laufen in getrennten Umgebungen in jeweils eigenem, isoliertem Netz. Die Unterauftragsverarbeiter sind im AVV benannt.
Hosting
Werden Daten in Drittländer übermittelt?
Nein. Ein Datentransfer in Drittländer außerhalb des EWR findet nicht statt. Auch KI-Funktionen laufen auf EU-Infrastruktur.
Sicherheit
Wie sind die Daten verschlüsselt?
Gespeicherte Daten sind mit AES-256 verschlüsselt. Web- und API-Zugriff erfolgt ausschließlich per HTTPS/TLS (RSA 2048, SHA-256). Serverzugriff über VPN und TLS-Zertifikat. Passwörter werden mit PBKDF2 und 27.500 Iterationen gehasht.
Sicherheit
Welches Backup- und Wiederherstellungskonzept besteht?
Tägliches Backup um 4:00 Uhr (GMT+2) mit 14 Tagen Vorhaltung, AES-256-verschlüsselt. Zusätzliche manuelle Backups vor Updates. Wiederherstellung in ca. 30 Minuten; mindestens ein vollständiger Recovery-Test pro Jahr.
Sicherheit
Wie werden Mandanten voneinander getrennt?
Über Instance-ID und Tenant-ID. Zwischen Instanzen und Mandanten werden keine Daten geteilt.
Sicherheit
Welche Anmeldeverfahren werden unterstützt?
SSO per SAML (On-Premise-AD, ADFS) und OIDC (Entra ID, Okta, Google Workspace) über Keycloak, SCIM-Provisioning sowie optional Multi-Faktor-Authentifizierung.
Datenschutz
Gibt es einen Auftragsverarbeitungsvertrag?
Ja. Jeder Kunde erhält einen standardisierten AVV nach Art. 28 DSGVO. Unterauftragsverarbeiter sind im AVV benannt und vertraglich nach Art. 28 DSGVO gebunden.
Datenschutz
Welche personenbezogenen Daten werden verarbeitet?
Name, E-Mail, Benutzername, Benutzerkategorien, Kursfortschritt, Testergebnisse und Abschlussdatum. Es findet keine Leistungs- oder Verhaltensauswertung statt. Im LMS werden keine Cookies auf den Endgeräten der Lernenden gesetzt.
Datenschutz
Wie wird Künstliche Intelligenz eingesetzt?
KI-Verarbeitung auf EU-Infrastruktur in Frankfurt. Grundsätzlich keine Weitergabe von Nutzerdaten an die KI und keine Weitergabe an externe KI-Systeme außerhalb der EU. KI-Prozesse sind dokumentiert, auditierbar und pro Mandant schaltbar.
Vertrag
Was passiert mit den Daten nach Vertragsende?
Nachweise können vorher exportiert werden. Danach werden die Daten im Produktivsystem anonymisiert und spätestens 30 Tage nach Vertragsende aus allen Backups gelöscht.
Vertrag
Welche Zertifizierungen und Mitgliedschaften bestehen?
TUTOOLIO ist nach ISO 9001 zertifiziert. Das LMS ist ISO 9001-zertifiziert und DGUV-geprüft. TUTOOLIO ist Mitglied der Allianz für Cyber-Sicherheit des BSI.
Standardantworten auf Basis der Angaben im Trust Center. Verbindlich sind Auftragsverarbeitungsvertrag und TOM-Dokumentation.
AVV, technische und organisatorische Maßnahmen oder Detailfragen zur Architektur – wir stellen bereit, was Ihre Bewertung braucht.
