Vertrag zur Auftragsverarbeitung

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Plattform prodoweb.ai bereit: einen Chat-Assistenten, der Abläufe entwickelt, sie an Daten aus den vom Verantwortlichen verbundenen Diensten ausprobiert und auf Weisung des Verantwortlichen ausführt. Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen.

(2) Der Vertrag gilt, solange der Verantwortliche ein Konto bei prodoweb.ai unterhält. Er endet mit der Löschung des Kontos; § 9 gilt darüber hinaus.

§ 2 Art, Zweck, Daten, Betroffene

(1) Zweck: Entwicklung, Test und Ausführung der Abläufe des Verantwortlichen; Beantwortung seiner Anfragen im Chat; Abrechnung des Verbrauchs.

(2) Art der Verarbeitung: Erheben aus verbundenen Diensten, Speichern, Auswerten durch Sprachmodelle und Programme, Umschreiben von Sprachaufnahmen in Text, Übermitteln an verbundene Dienste (nur nach Freigabe, § 4 Abs. 3), Löschen.

(3) Arten von Daten: was der Verantwortliche im Chat schreibt oder hochlädt und was seine Abläufe aus verbundenen Diensten lesen – etwa Kontaktdaten, E-Mails und Anhänge, Rechnungs- und Buchungsdaten, Kontoumsätze, Sprachaufnahmen; außerdem die Ergebnisse der Abläufe und die Protokolle ihrer Ausführung.

(4) Betroffene: der Verantwortliche und seine Beschäftigten; Personen, deren Daten in den verbundenen Diensten des Verantwortlichen stehen (z. B. Kunden, Lieferanten, Geschäftspartner, Absender von E-Mails).

(5) Besondere Kategorien nach Art. 9 DSGVO verarbeitet der Auftragsverarbeiter nur, soweit der Verantwortliche sie selbst einbringt; der Verantwortliche entscheidet, ob er das darf.

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, das Recht der Union oder eines Mitgliedstaats verpflichtet ihn dazu. Weisungen sind insbesondere die Nutzung der Plattform, die Freigabe einer Verbindung, eines Ablaufs, eines Schreibwegs oder einer einzelnen Änderung und Anfragen per E-Mail an [email protected].

(2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das unverzüglich mit.

§ 4 Pflichten des Auftragsverarbeiters

(1) Vertraulichkeit: Personen mit Zugang zu den Daten sind zur Vertraulichkeit verpflichtet.

(2) Sicherheit: Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO aus Anlage 2 und passt sie dem Stand der Technik an.

(3) Keine eigenmächtigen Änderungen nach außen: Die Plattform schreibt in einen verbundenen Dienst nur, was der Verantwortliche im Einzelfall freigegeben hat oder was auf einem Schreibweg liegt, den er ausdrücklich freigegeben hat. Verbindungen entstehen nur durch eine Handlung des Verantwortlichen.

(4) Keine Nutzung für eigene Zwecke: Die Daten werden nicht zum Training von Sprachmodellen genutzt und an keinen Dritten zu dessen Zwecken weitergegeben.

(5) Unterstützung: Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen Betroffener (Art. 12–23 DSGVO), bei der Datenschutz-Folgenabschätzung und bei Meldungen an Aufsichtsbehörden (Art. 32–36 DSGVO).

(6) Datenpannen: Der Auftragsverarbeiter meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.

(7) Nachweise: Der Auftragsverarbeiter stellt die zum Nachweis nötigen Informationen bereit und ermöglicht Überprüfungen nach vorheriger Ankündigung mit angemessener Frist, in der Regel höchstens einmal im Jahr, außer aus konkretem Anlass.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt die Unterauftragsverarbeiter aus Anlage 1.

(2) Neue oder ersetzte Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens 30 Tage vorher per E-Mail an. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichen Grund widersprechen; kommt keine Einigung zustande, kann er den Vertrag zum Zeitpunkt des Wechsels kündigen.

(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau.

§ 6 Übermittlung in Drittländer

Übermittlungen in Länder außerhalb des EWR erfolgen nur auf Grundlage eines Angemessenheitsbeschlusses (insbesondere des EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist) oder der Standardvertragsklauseln der EU-Kommission. Anlage 1 nennt für jeden Unterauftragsverarbeiter Ort und Grundlage.

§ 7 Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass er die Daten aus seinen verbundenen Diensten mit prodoweb.ai verarbeiten darf und die Betroffenen informiert sind.

§ 8 Rechte der Betroffenen

Wendet sich eine betroffene Person an den Auftragsverarbeiter, verweist er sie an den Verantwortlichen und informiert diesen unverzüglich.

§ 9 Löschung und Rückgabe

Nach Ende des Vertrags löscht der Auftragsverarbeiter die personenbezogenen Daten des Verantwortlichen innerhalb von 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht besteht (z. B. Buchungsbelege des Guthabens). Auf Wunsch stellt er vorher die Ergebnisse der Abläufe zur Verfügung.

§ 10 Haftung und Schlussbestimmungen

Es gelten Art. 82 DSGVO und die Haftungsregeln der Allgemeinen Geschäftsbedingungen. Es gilt deutsches Recht. Bei Widersprüchen geht dieser Vertrag den Allgemeinen Geschäftsbedingungen vor, soweit es um den Schutz personenbezogener Daten geht.

Anlage 1 – Unterauftragsverarbeiter

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland

  Leistung: Rechenzentrum, in dem Anwendung, Datenbank, Dateien und die Ausführung der Abläufe laufen

  Ort der Verarbeitung: Deutschland

  Grundlage bei Drittland: EU/EWR – kein Drittland

• Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA

  Leistung: Auslieferung der Seiten, Reverse Proxy und Schutz vor Überlastungsangriffen (IP-Adresse, Daten und Inhalt jeder Anfrage)

  Ort der Verarbeitung: Weltweites Netz, Verarbeitung auch in den USA

  Grundlage bei Drittland: EU-US Data Privacy Framework; Standardvertragsklauseln als Rückfall

• OpenRouter, Inc., New York, USA – über ihren Endpunkt in der EU; dahinter Amazon Bedrock (Amazon Web Services) und Google Vertex AI (Google Cloud) in der EU für die Claude-Modelle und Mistral AI, Paris, Frankreich, für die Umschrift von Aufnahmen

  Leistung: Sprachmodelle für den Assistenten, den Hilfe-Chat und die Abläufe, auch zur Umschrift von Aufnahmen

  Ort der Verarbeitung: Inhalte: EU – Amazon Bedrock (Amazon Web Services) und Google Vertex AI (Google Cloud) für die Claude-Modelle, Mistral AI (Frankreich) für die Umschrift; Konto- und Abrechnungsdaten: USA

  Grundlage bei Drittland: Standardvertragsklauseln (Modul 2 / 3)

• Sampark, Inc. (Composio), San Francisco, USA

  Leistung: Anmeldung bei und Zugriff auf Dienste, die du verbindest

  Ort der Verarbeitung: USA

  Grundlage bei Drittland: Standardvertragsklauseln (Modul 2 / 3)

• Parallel Web Systems, Inc., Palo Alto, USA – über ihren Endpunkt in der EU

  Leistung: Websuche des Assistenten: Die Suchanfragen formuliert das Sprachmodell aus dem Gespräch; sie können personenbezogene Daten enthalten, wenn das Gespräch sie nahelegt

  Ort der Verarbeitung: USA (Anfrage über den Endpunkt in der EU)

  Grundlage bei Drittland: Standardvertragsklauseln (Modul 2 / 3)

• Lettermint B.V., Willemsvaart 16 B, 8019 AB Zwolle, Niederlande

  Leistung: Versand unserer E-Mails, etwa zur Bestätigung deiner Adresse, mit einer Einladung, einer Kündigungsbestätigung oder deiner Anfrage an unser Team (Empfängeradresse und Inhalt der E-Mail)

  Ort der Verarbeitung: Niederlande (EU)

  Grundlage bei Drittland: EU/EWR – kein Drittland

Stripe Payments Europe, Ltd. (Irland) wickelt Zahlungen als eigener Verantwortlicher ab und ist kein Unterauftragsverarbeiter dieses Vertrags.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)