Vereinbarung zur Auftragsverarbeitung

1. Parteien und Vertragsbezug

Diese Vereinbarung zur Auftragsverarbeitung („AVV“) wird zwischen dem in der Vertragsübersicht bezeichneten Auftraggeber als Verantwortlichem und der AI Techno Center GmbH, Mittelstraße 19, 56154 Boppard, Deutschland als Auftragsverarbeiterin geschlossen.

Die AVV ergänzt den in der Vertragsübersicht bezeichneten Hauptvertrag über Software, KI-Systeme, Automatisierung, Hosting, Wartung, Support oder vergleichbare Leistungen, soweit die Anbieterin hierbei personenbezogene Daten im Auftrag des Kunden verarbeitet. Für Verarbeitungen, bei denen die Parteien eigenständig Verantwortliche sind, gilt diese AVV nicht. Bei Widersprüchen zur Verarbeitung personenbezogener Daten geht diese AVV dem Hauptvertrag vor; zwingendes Datenschutzrecht bleibt unberührt.

2. Gegenstand und Dauer

Gegenstand, Art und Zweck der Verarbeitung, Kategorien betroffener Personen, Datenarten sowie Ort und Dauer der Verarbeitung ergeben sich aus Anlage 1. Die Verarbeitung beginnt erst, wenn ein wirksamer Hauptvertrag und eine vollständig abgestimmte AVV vorliegen und erforderliche Freigaben, etwa für Unterauftragsverarbeiter, erteilt sind.

Die AVV gilt für die Dauer der vertraglich beauftragten Auftragsverarbeitung einschließlich einer notwendigen Rückgabe- beziehungsweise Löschungsphase; fortwirkende Datenschutzpflichten bleiben unberührt.

3. Weisungsgebundenheit

Die Auftragsverarbeiterin verarbeitet personenbezogene Daten grundsätzlich nur auf dokumentierte Weisung des Verantwortlichen, einschließlich Weisungen zu Drittlandübermittlungen, sofern sie nicht durch anwendbares Unions- oder mitgliedstaatliches Recht zu einer Verarbeitung verpflichtet ist. Im letztgenannten Fall informiert sie den Verantwortlichen vorab, soweit gesetzlich zulässig.

Als dokumentierte Weisungen gelten der Hauptvertrag, diese AVV samt Anlagen und nachweisbar erteilte Einzelweisungen. Weisungen sind über die im Hauptvertrag vereinbarten Kontakt- und Kommunikationswege zu übermitteln. Hält die Auftragsverarbeiterin eine Weisung für datenschutzrechtswidrig, weist sie den Verantwortlichen unverzüglich darauf hin.

4. Vertraulichkeit und Zugriffsschutz

Die Auftragsverarbeiterin gewährleistet, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterworfen sind. Der Zugriff auf Kundendaten wird nach dem Erforderlichkeitsprinzip beschränkt und organisatorisch sowie technisch abgesichert.

5. Technische und organisatorische Maßnahmen

Die Auftragsverarbeiterin trifft die nach Art. 32 DSGVO erforderlichen risikoadäquaten technischen und organisatorischen Maßnahmen. Der jeweils für die konkrete Verarbeitung geltende und vor Leistungsbeginn zu prüfende Maßnahmenkatalog wird in Anlage 2 festgehalten. Sicherheitsmaßnahmen dürfen weiterentwickelt werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

Bei Änderungen mit erheblichen Auswirkungen auf die Datensicherheit unterrichtet die Auftragsverarbeiterin den Verantwortlichen in angemessener Weise. Maßnahmen für hochsensible Daten oder regulierte Anwendungsfälle bedürfen einer gesonderten projektspezifischen Festlegung.

6. Unterauftragsverarbeiter

Der Einsatz weiterer Auftragsverarbeiter bedarf der vorherigen gesonderten oder allgemeinen schriftlichen Genehmigung des Verantwortlichen. Genehmigte Unterauftragsverarbeiter werden in Anlage 3 mit Leistung, Standort und gegebenenfalls Transfermechanismus geführt. Bei einer allgemeinen Genehmigung informiert die Auftragsverarbeiterin rechtzeitig vor beabsichtigten Änderungen, sodass der Verantwortliche Gelegenheit zum begründeten Widerspruch erhält.

Unterauftragsverarbeitern werden Datenschutzpflichten auferlegt, die den Pflichten dieser AVV im Wesentlichen entsprechen; die Auftragsverarbeiterin bleibt dem Verantwortlichen gegenüber für die Erfüllung dieser Pflichten verantwortlich. OpenAI, Anthropic, Hosting- und Infrastrukturbetreiber sind nicht allein durch ihre Erwähnung in diesem Muster genehmigt. Ihre konkrete Rolle ist pro System zu prüfen.

7. Drittlandübermittlungen

Eine Übermittlung personenbezogener Daten in Staaten außerhalb des EWR oder an internationale Organisationen erfolgt nur auf dokumentierte Weisung beziehungsweise auf gesetzlicher Grundlage und bei Vorliegen der Voraussetzungen von Kapitel V DSGVO. Erforderliche Garantien, etwa Angemessenheitsbeschlüsse oder geeignete Standardvertragsklauseln einschließlich gegebenenfalls zusätzlicher Schutzmaßnahmen, werden vorab dokumentiert.

Die Nutzung eines KI-Modells oder API-Dienstes allein belegt weder eine ausschließlich europäische Verarbeitung noch eine zulässige Drittlandübermittlung. Region, Produktvariante, Speichereinstellungen, Unterauftragsverarbeiter und vertragliche Garantien werden in den Anlagen oder einer separaten Systemfreigabe festgelegt.

8. Unterstützung bei Betroffenenrechten und Pflichten

Die Auftragsverarbeiterin unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen durch angemessene technische und organisatorische Maßnahmen bei der Beantwortung von Anträgen nach Kapitel III DSGVO.

Darüber hinaus unterstützt sie den Verantwortlichen im gesetzlich erforderlichen Umfang bei Verpflichtungen nach Art. 32 bis 36 DSGVO, insbesondere bei Sicherheitsbewertungen, Meldungen von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und gegebenenfalls Konsultationen mit Aufsichtsbehörden.

Betroffenenanfragen, die sich auf Auftragsdaten beziehen und direkt bei der Auftragsverarbeiterin eingehen, werden an den Verantwortlichen weitergeleitet, soweit keine gesetzliche Pflicht entgegensteht.

9. Meldung von Datenschutzverletzungen

Die Auftragsverarbeiterin informiert den Verantwortlichen unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, die sich auf die Auftragsverarbeitung bezieht. Sie stellt die zur Einordnung, Eindämmung und gesetzlichen Meldung verfügbaren Informationen bereit und ergänzt diese fortlaufend, soweit erforderlich. Die Zuständigkeit für Meldungen an Aufsichtsbehörden und Benachrichtigungen betroffener Personen liegt grundsätzlich beim Verantwortlichen, soweit gesetzlich nichts anderes vorgesehen ist.

10. Nachweise und Kontrollen

Die Auftragsverarbeiterin stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung ihrer Pflichten nach Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer und trägt hierzu bei.

Kontrollen sollen unter Wahrung angemessener Vertraulichkeits- und Sicherheitsvorgaben koordiniert werden. Geeignete Nachweise, Berichte oder Zertifikate können herangezogen werden, soweit sie für die erforderliche Prüfung ausreichen. Gesetzlich zwingende Prüfungsrechte werden nicht ausgeschlossen.

11. Rückgabe, Löschung und Vertragsende

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht die Auftragsverarbeiterin nach Wahl des Verantwortlichen alle personenbezogenen Auftragsdaten oder gibt sie ihm zurück und löscht vorhandene Kopien, soweit nicht eine gesetzliche Aufbewahrungspflicht besteht. Das konkrete Rückgabeformat, die sichere Übergabe, Sicherungskopien sowie technische Löschzyklen werden für das jeweilige System dokumentiert.

Gesetzlich erforderliche Restbestände werden gesperrt beziehungsweise in ihrer weiteren Nutzung beschränkt und nach Ablauf der Aufbewahrungsfrist gelöscht. Eine hiervon unabhängige Verarbeitung für eigene Zwecke bedarf einer eigenen Rechtsgrundlage und ist nicht durch diese AVV gedeckt.

12. Verantwortlichkeiten und Schlussregelungen

Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung, die erforderlichen Rechtsgrundlagen, Betroffeneninformationen und die Zulässigkeit seiner Weisungen verantwortlich. Die Auftragsverarbeiterin erfüllt ihre gesetzlichen Eigenpflichten als Auftragsverarbeiterin. Änderungen und Ergänzungen dieser AVV einschließlich der wesentlichen Anlagen werden nachvollziehbar dokumentiert.

Im Übrigen gelten die Regelungen des Hauptvertrags, soweit sie dieser AVV und zwingendem Datenschutzrecht nicht widersprechen. Auf diese AVV findet deutsches Recht Anwendung, soweit datenschutzrechtliche Vorschriften nicht zwingend etwas anderes bestimmen.