Auftragsverarbeitungsvertrag (AVV)

1.1Begriffe wie „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“ und „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung, die ihnen die Datenschutz-Grundverordnung (EU) 2016/679 („DSGVO“) und, soweit anwendbar, die UK GDPR geben. „Unterauftragsverarbeiter“ bezeichnet einen vom Auftragsverarbeiter beauftragten Dritten, der personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

2.1Gegenstand: die Bereitstellung von KI-Agenten, die auf eigenen Computern in der Cloud Aufgaben für den Verantwortlichen erledigen, auf Wunsch rund um die Uhr, wie in den AGB beschrieben.

2.2Art und Zweck: das Speichern, Ordnen, Abfragen, Verwenden, Übermitteln und Löschen personenbezogener Daten, soweit erforderlich, um die Aufgaben zu erledigen, die der Verantwortliche seinen KI-Agenten erklärt oder vorzeigt, um Nachrichten über die Kanäle zuzustellen, die der Verantwortliche verbindet, und um den Dienst abzusichern und zu unterstützen.

2.3Dauer: für die Laufzeit des Vertrags und bis zur Löschung der Daten gemäß Abschnitt „Löschung und Rückgabe der Daten“.

3.1Betroffene Personen: Kunden und Interessenten des Verantwortlichen, Kontakte, Lieferanten, Mitarbeiter und Teammitglieder, Empfänger von Nachrichten und alle anderen Personen, deren Daten der Verantwortliche in den Dienst einbringt oder von seinen KI-Agenten verarbeiten lässt, einschließlich Daten auf Websites und in Konten, die die KI-Agenten für den Verantwortlichen nutzen, und in Nachrichten, die über verbundene Kanäle ausgetauscht werden.

3.2Kategorien von Daten: Identifikations- und Kontaktdaten, Kommunikation (E-Mails, Chatnachrichten, Kalendereinträge), Dokumente und Dateien, Bestell-, Vertrags- und Finanzdaten (etwa Rechnungen, Preise und Zahlungsstatus), Daten auf Websites und in Anwendungen, die die KI-Agenten nutzen, Bildschirmfotos und Bildschirmaufnahmen sowie alle anderen Daten in den Inhalten, die der Verantwortliche bereitstellt.

3.3Der Verantwortliche bringt keine besonderen Kategorien personenbezogener Daten (Artikel 9 DSGVO) oder Daten über strafrechtliche Verurteilungen in den Dienst ein, es sei denn, dies ist erforderlich und rechtmäßig und der Verantwortliche hat die Risiken selbst bewertet.

4.1Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf Übermittlungen in Drittländer, sofern nicht das Recht der Union oder eines Mitgliedstaats etwas anderes verlangt; in diesem Fall teilt der Auftragsverarbeiter dies dem Verantwortlichen vorab mit, sofern das Gesetz dies nicht verbietet.

4.2Die AGB, dieser Vertrag, die Konfiguration des Dienstes und die Aufgaben, die der Verantwortliche und seine Teammitglieder ihren KI-Agenten erklären oder vorzeigen, bilden zusammen die Weisungen des Verantwortlichen.

4.3Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung seiner Ansicht nach gegen die DSGVO verstößt.

4.4Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, einschließlich der Rechtsgrundlage, der Information der betroffenen Personen und der Einhaltung der Bedingungen von Websites und Kanälen Dritter, die in seinem Namen genutzt werden.

5.1Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und nur Zugang haben, soweit dies erforderlich ist.

6.1Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen gemäß Artikel 32 DSGVO, insbesondere:

• Hosting in der Europäischen Union (OVHcloud, Gravelines, Frankreich);
• Verschlüsselung bei der Übertragung (TLS) und bei der Speicherung, mit einem eigenen Datenschlüssel pro Workspace, der durch einen Hauptschlüssel geschützt ist; das Löschen des Workspace vernichtet den Schlüssel (Crypto-Shredding);
• logische Trennung der Workspaces in der Datenbank (Row-Level Security) und abgeschirmte Computer mit eigenem verschlüsseltem Datenträger für die KI-Agenten, die das Internet erreichen, nicht aber die internen Systeme des Auftragsverarbeiters oder andere Workspaces;
• Logins für Websites Dritter in einem verschlüsselten Tresor, nie im Klartext in Protokollen;
• Zugriff auf Produktionssysteme nach dem Prinzip der minimalen Rechte, Verwaltung von Geheimnissen und Protokollierung administrativer Handlungen;
• Freigabe durch den Verantwortlichen vor wichtigen Handlungen von KI-Agenten;
• tägliche und wöchentliche Sicherungen, getestete Wiederherstellungen, Protokolle werden 7 Tage aufbewahrt;
• Überwachung, Alarmierung und ein Verfahren für Vorfälle.

6.2Der Auftragsverarbeiter kann diese Maßnahmen anpassen, solange das Gesamtschutzniveau nicht sinkt.

7.1Der Verantwortliche erteilt eine allgemeine Genehmigung für den Einsatz von Unterauftragsverarbeitern. Zum Datum dieses Vertrags sind dies die folgenden; Messaging-Kanäle kommen nur ins Spiel, wenn der Verantwortliche sie verbindet:

7.2Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage im Voraus per E-Mail über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Verantwortliche kann innerhalb dieser Frist aus berechtigten Gründen widersprechen. Wird keine Lösung gefunden, kann der Verantwortliche den betroffenen Teil des Dienstes vor Wirksamwerden der Änderung kostenfrei kündigen.

7.3Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die mindestens dasselbe Schutzniveau wie dieser Vertrag bieten, und haftet gegenüber dem Verantwortlichen für die Erfüllung der Pflichten des Unterauftragsverarbeiters.

8.1Der Auftragsverarbeiter speichert die personenbezogenen Daten in der Europäischen Union. Personenbezogene Daten dürfen außerhalb des EWR nur mit den Garantien von Kapitel V DSGVO abgerufen oder verarbeitet werden: durch den Auftragsverarbeiter selbst von den Vereinigten Arabischen Emiraten aus für Verwaltung und Support sowie durch die in der obigen Tabelle aufgeführten Unterauftragsverarbeiter.

8.2Soweit eine Übermittlung vom Verantwortlichen an den Auftragsverarbeiter stattfindet, werden die Standardvertragsklauseln der Europäischen Kommission (Beschluss (EU) 2021/914), Modul Zwei (Verantwortlicher an Auftragsverarbeiter), durch Verweis in diesen Vertrag einbezogen. Für Weiterübermittlungen an Unterauftragsverarbeiter schließt der Auftragsverarbeiter die Standardvertragsklauseln (Modul Drei) ab oder stützt sich auf einen anderen gültigen Übermittlungsmechanismus, etwa das EU-US Data Privacy Framework.

8.3Für die Standardvertragsklauseln gilt: Die optionale Kopplungsklausel findet keine Anwendung, nach Klausel 9 gilt Option 2 (allgemeine Genehmigung), anwendbar ist belgisches Recht, und zuständig sind die Gerichte und die Aufsichtsbehörde Belgiens.

Juristisch noch zu bestätigen: Wahl des SCC-Moduls, britischer Zusatz (UK Addendum), Transfer Impact Assessment und Einzelheiten der Anhänge I–III juristisch noch zu bestätigen.

9.1Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch). Anträge, die der Auftragsverarbeiter direkt erhält, leitet er unverzüglich an den Verantwortlichen weiter.

9.2Der Auftragsverarbeiter unterstützt den Verantwortlichen außerdem bei der Einhaltung seiner Pflichten in Bezug auf Sicherheit, Datenschutz-Folgenabschätzungen und vorherige Konsultation der Aufsichtsbehörde, soweit diese den Dienst betreffen.

10.1Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich und nach Möglichkeit innerhalb von 48 Stunden, nachdem er davon Kenntnis erlangt hat, jede Verletzung des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betrifft.

10.2Die Meldung beschreibt, soweit bekannt, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Noch nicht verfügbare Informationen werden so bald wie möglich nachgereicht.

11.1Während der Vertragslaufzeit kann der Verantwortliche alle Daten seines Workspace jederzeit herunterladen. Nach Vertragsende hilft der Auftragsverarbeiter dem Verantwortlichen auf Anfrage, seine Daten innerhalb von 30 Tagen zu exportieren.

11.2Nach Vertragsende oder wenn der Verantwortliche seinen Workspace löscht, wird der Workspace gesperrt, und alle personenbezogenen Daten des Verantwortlichen werden nach 30 Tagen endgültig gelöscht, einschließlich der Computer der KI-Agenten und des Verschlüsselungsschlüssels des Workspace, sofern nicht das Recht der Union oder eines Mitgliedstaats eine Speicherung verlangt. Kopien in verschlüsselten Sicherungen werden mit Ablauf dieser Sicherungen automatisch gelöscht, spätestens nach 90 Tagen (zuzüglich höchstens 7 Tage für ersetzte Versionen). Protokolle werden nach 7 Tagen gelöscht.

11.3Auf Anfrage bestätigt der Auftragsverarbeiter die Löschung schriftlich.

12.1Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung von Artikel 28 DSGVO erforderlich sind, etwa eine Beschreibung seiner Sicherheitsmaßnahmen und die Berichte seiner Unterauftragsverarbeiter.

12.2Der Verantwortliche kann höchstens einmal jährlich ein Audit durchführen oder durch einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer durchführen lassen, mit einer Ankündigungsfrist von mindestens 30 Tagen und ohne Beeinträchtigung des Dienstes, es sei denn, eine Verletzung des Schutzes personenbezogener Daten oder eine Aufsichtsbehörde rechtfertigt ein früheres Audit. Jede Partei trägt ihre eigenen Kosten.

13.1Die Haftungsbeschränkung der AGB gilt für diesen Vertrag, unbeschadet der Haftung der Parteien gegenüber betroffenen Personen nach Artikel 82 DSGVO.

13.2Dieser Vertrag bleibt in Kraft, solange der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Bei Widersprüchen zu den AGB hat dieser Vertrag in Bezug auf die Verarbeitung personenbezogener Daten Vorrang.