← Zurück zur Startseite

§ 1 Vertragsparteien

Dieser Vertrag zur Auftragsverarbeitung (nachfolgend „AVV“) wird geschlossen zwischen

Der AVV konkretisiert die datenschutzrechtlichen Pflichten der Parteien für die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Rahmen des zugrunde liegenden Hauptvertrages (Nutzung der Plattform SauerlandAI, vgl. AGB) im Auftrag des Verantwortlichen durchführt.

§ 2 Gegenstand, Dauer und Beendigung des Auftrags

2.1 Gegenstand

Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter zur Erbringung der im Hauptvertrag vereinbarten Leistungen der Plattform SauerlandAI. Dazu gehören insbesondere der KI-gestützte Unternehmens-Chat, die Verarbeitung und Auswertung hochgeladener Dokumente, die Wissens- und Dokumentensuche sowie die Bereitstellung von Nutzerkonten, Protokollierung und Abrechnung.

2.2 Dauer

Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrages. Der AVV endet automatisch mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf.

2.3 Beendigung aus wichtigem Grund

Der Verantwortliche kann den AVV und den Hauptvertrag jederzeit fristlos kündigen, wenn der Auftragsverarbeiter schwerwiegend gegen Vorschriften der DSGVO oder gegen Bestimmungen dieses Vertrages verstößt, eine Weisung des Verantwortlichen nicht ausführt oder eine Kontrolle rechtswidrig verweigert.

§ 3 Art und Zweck der Verarbeitung

3.1 Art der Verarbeitung

Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln innerhalb der eigenen Systemumgebung, Einschränken, Löschen und Vernichten von personenbezogenen Daten — ausschliesslich, soweit dies zur Leistungserbringung erforderlich ist.

3.2 Zweck der Verarbeitung

• Beantwortung von Anfragen des Verantwortlichen und seiner Nutzer im KI-gestützten Chat
• Analyse, Zusammenfassung, Recherche und Aufbereitung der vom Verantwortlichen bereitgestellten Dokumente und Inhalte
• Bereitstellung einer durchsuchbaren Wissensbasis für den Verantwortlichen (mandantengetrennt)
• Bereitstellung, Authentifizierung und Verwaltung von Nutzerkonten
• Gewährleistung von IT-Sicherheit, Stabilität, Fehleranalyse und Missbrauchsabwehr
• Nutzungsbezogene Abrechnung der bezogenen Leistungen

§ 4 Art der personenbezogenen Daten

Gegenstand der Verarbeitung sind folgende Datenarten:

Datenart	Beispiele
Nutzer- und Kontaktdaten	Name, dienstliche E-Mail-Adresse, Benutzerkennung, Rolle/Berechtigung
Authentifizierungsdaten	Passwort-Hashes, Sitzungskennungen, Anmeldezeitpunkte
Inhaltsdaten	Chat-Eingaben und -Antworten, hochgeladene Dokumente und deren Inhalte, Notizen, Feedback
Nutzungs- und Metadaten	Zeitstempel, aufgerufene Funktionen, Umfang der Verarbeitung (für die Abrechnung)
Technische Verbindungsdaten	IP-Adresse, Browser-/Gerätekennung in Sicherheitsprotokollen
Besondere Kategorien (Art. 9 DSGVO)	Nicht Gegenstand des Auftrags. Der Verantwortliche stellt sicher, dass er keine Daten besonderer Kategorien einstellt, sofern dies nicht ausdrücklich gesondert vereinbart und durch zusätzliche Massnahmen abgesichert wurde.

Welche Inhaltsdaten konkret verarbeitet werden, bestimmt allein der Verantwortliche durch die Auswahl der Inhalte, die er in die Plattform einstellt.

§ 5 Kategorien betroffener Personen

• Beschäftigte des Verantwortlichen (einschliesslich Auszubildender und freier Mitarbeiter)
• Kunden, Interessenten und Ansprechpartner des Verantwortlichen
• Lieferanten, Dienstleister und deren Ansprechpartner
• Sonstige Personen, deren Daten in den vom Verantwortlichen eingestellten Inhalten und Dokumenten enthalten sind

§ 6 Weisungsrecht des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO)

§ 7 Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)

• Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung wird dokumentiert und besteht auch nach Beendigung der Tätigkeit fort.
• Alle zur Verarbeitung befugten Personen werden mit den einschlägigen Bestimmungen des Datenschutzes und den Weisungen des Verantwortlichen vertraut gemacht und regelmäßig sensibilisiert.
• Der Kreis der zugriffsberechtigten Personen wird auf das für die Leistungserbringung und den Betrieb erforderliche Mindestmass begrenzt (Need-to-know-Prinzip).

§ 8 Technische und organisatorische Massnahmen (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO)

Der Auftragsverarbeiter trifft geeignete technische und organisatorische Massnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Massnahmen sind in Anlage 1 beschrieben.

Der Auftragsverarbeiter darf die Massnahmen im Laufe des Vertragsverhältnisses fortentwickeln. Das vereinbarte Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren und dem Verantwortlichen auf Anfrage mitzuteilen.

§ 9 Unterauftragsverarbeiter (Art. 28 Abs. 2 und Abs. 3 lit. d DSGVO)

9.1 Aktueller Stand

9.2 Genehmigung und Widerspruchsrecht

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung, weitere Unterauftragsverarbeiter hinzuzuziehen. Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 30 Tage im Voraus in Textform. Der Verantwortliche kann einer Änderung innerhalb von 14 Tagen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Fall eines begründeten Widerspruchs, der nicht einvernehmlich ausgeräumt werden kann, ist der Verantwortliche zur ausserordentlichen Kündigung des betroffenen Leistungsteils berechtigt.

9.3 Pflichten gegenüber Unterauftragsverarbeitern

• Der Auftragsverarbeiter wählt Unterauftragsverarbeiter sorgfältig aus und prüft vorab deren technische und organisatorische Massnahmen.
• Er verpflichtet jeden Unterauftragsverarbeiter vertraglich auf die gleichen Datenschutzpflichten, die in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO).
• Er haftet gegenüber dem Verantwortlichen für die Einhaltung der Datenschutzpflichten durch den Unterauftragsverarbeiter.
• Reine Nebenleistungen ohne Zugriff auf personenbezogene Daten des Verantwortlichen (z.B. Reinigung, Wartung von Gebäudetechnik, Telekommunikations-Transportleistungen) gelten nicht als Unterauftragsverarbeitung; hier stellt der Auftragsverarbeiter die Vertraulichkeit gesondert sicher.

§ 10 Unterstützungspflichten (Art. 28 Abs. 3 lit. e und f DSGVO)

10.1 Betroffenenrechte (Art. 12–23 DSGVO)

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Massnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch zu beantworten. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

10.2 Sicherheit, Meldepflichten, Datenschutz-Folgenabschätzung (Art. 32–36 DSGVO)

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei:

• der Gewährleistung der Sicherheit der Verarbeitung (Art. 32 DSGVO),
• der Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde (Art. 33 DSGVO) und der Benachrichtigung betroffener Personen (Art. 34 DSGVO),
• der Durchführung einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO),
• der vorherigen Konsultation der Aufsichtsbehörde (Art. 36 DSGVO).

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die hierfür erforderlichen Informationen zu Verarbeitungstätigkeiten, Systemumgebung und Schutzmassnahmen zur Verfügung.

§ 11 Verletzungen des Schutzes personenbezogener Daten

§ 12 Löschung und Rückgabe nach Beendigung (Art. 28 Abs. 3 lit. g DSGVO)

• Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie zurück — nach Wahl des Verantwortlichen. Die Wahl ist spätestens bei Vertragsende in Textform mitzuteilen; ohne Mitteilung wird gelöscht.
• Die Rückgabe erfolgt in einem gängigen, maschinenlesbaren Format. Der Verantwortliche kann seine Inhalte während der Vertragslaufzeit jederzeit selbst exportieren.
• Die Löschung einschliesslich vorhandener Kopien erfolgt innerhalb von 30 Tagen nach Vertragsende. Sicherungskopien werden im Rahmen der regulären Sicherungszyklen, spätestens jedoch innerhalb von 90 Tagen, überschrieben oder gelöscht.
• Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sowie Daten, für die eine gesetzliche Aufbewahrungspflicht besteht, dürfen über das Vertragsende hinaus aufbewahrt werden; die Verarbeitung ist in diesem Fall auf den Aufbewahrungszweck beschränkt.
• Die Löschung wird auf Anfrage in Textform bestätigt.

§ 13 Nachweise und Kontrollrechte (Art. 28 Abs. 3 lit. h DSGVO)

• Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.
• Er ermöglicht und trägt zu Überprüfungen — einschliesslich Inspektionen — bei, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden.
• Der Nachweis kann auch durch aktuelle Testate, Zertifikate, Berichte unabhängiger Instanzen oder eine geeignete Selbstauskunft/Dokumentation der technischen und organisatorischen Massnahmen geführt werden.
• Vor-Ort-Kontrollen erfolgen nach angemessener Vorankündigung (in der Regel 14 Tage), während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und unter Wahrung der Betriebs- und Geschäftsgeheimnisse sowie der Rechte anderer Kunden. Der Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein und ist zur Verschwiegenheit zu verpflichten.
• Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Aufsichtsbehörde eine Kontrolle durchführt, die die Verarbeitung im Auftrag betrifft.

§ 14 Ort der Verarbeitung und Drittlandtransfers

§ 15 Haftung, Schriftform, Rangfolge

• Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrages, soweit sie zwingendem Recht nicht entgegenstehen.
• Änderungen und Ergänzungen dieses AVV bedürfen der Schriftform; die elektronische Form nach Art. 28 Abs. 9 DSGVO genügt. Dies gilt auch für die Aufhebung dieses Formerfordernisses.
• Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag oder den AGB gehen die Regelungen dieses AVV in Bezug auf die Verarbeitung personenbezogener Daten vor.
• Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
• Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Massnahmen (Art. 32 DSGVO)

Die folgenden Massnahmen beschreiben das Schutzkonzept der Plattform SauerlandAI. Die Angaben sind bewusst ohne Details zur inneren Systemarchitektur gehalten; vertiefte Nachweise werden im Rahmen von § 13 auf Anfrage bereitgestellt.

1. Vertraulichkeit

Bereich	Massnahme
Zutrittskontrolle	Verarbeitung in gesicherten Räumlichkeiten bzw. einem gesicherten Rechenzentrum in Deutschland; Zutritt nur für berechtigte Personen, dokumentierte Schlüssel-/Zutrittsverwaltung
Zugangskontrolle	Persönliche Benutzerkonten, Passwort-Richtlinie, Speicherung von Passwörtern ausschliesslich als Hash, automatische Sitzungsbeendigung, gesicherter Fernzugriff für Administration
Zugriffskontrolle	Rollen- und rechtebasierte Zugriffssteuerung nach dem Need-to-know-Prinzip, getrennte Administrations- und Nutzerrollen, Protokollierung administrativer Zugriffe
Trennungskontrolle	Mandantentrennung: Inhalte, Dokumente und Wissensbasen verschiedener Kunden sind logisch getrennt; Zugriff nur im eigenen Mandantenkontext
Pseudonymisierung	Trennung von Inhalts- und Identifikationsdaten, wo dies fachlich möglich ist; Datensparsamkeit in Protokollen
Keine Weitergabe an KI-Anbieter	Modellauswertung, Einbettung und Reranking laufen auf eigener Infrastruktur; keine Übermittlung von Inhalten an externe KI-Dienste; keine Nutzung von Kundeninhalten für Modelltraining

2. Integrität

Bereich	Massnahme
Weitergabekontrolle	Transportverschlüsselung (HTTPS/TLS) für alle Zugriffe; kein Versand von Kundeninhalten an Dritte
Eingabekontrolle	Protokollierung sicherheitsrelevanter Ereignisse (Anmeldung, Rechteänderung, Löschvorgänge) mit Zeitstempel und Benutzerbezug
Änderungskontrolle	Versionierte Softwareänderungen, Prüfung vor Übernahme in den Produktivbetrieb, Rückrollmöglichkeit

3. Verfügbarkeit und Belastbarkeit

Bereich	Massnahme
Verfügbarkeitskontrolle	Regelmäßige Datensicherung, Überwachung der Dienste, Alarmierung bei Störungen, unterbrechungsfreie Stromversorgung und Klimatisierung im Rechenzentrum
Wiederherstellbarkeit	Dokumentiertes Wiederherstellungsverfahren aus Datensicherungen; regelmäßige Prüfung der Wiederherstellbarkeit
Belastbarkeit	Lastüberwachung, Begrenzung paralleler Anfragen, Schutz gegen Überlastung und Missbrauch

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Regelmäßige Sicherheitsupdates und Prüfung eingesetzter Komponenten auf bekannte Schwachstellen
• Regelmäßige Überprüfung der Wirksamkeit der technischen und organisatorischen Massnahmen; Dokumentation der Ergebnisse
• Auftragskontrolle: Verarbeitung nur auf Weisung; Verpflichtung der Beschäftigten auf Vertraulichkeit; Kontrolle etwaiger Unterauftragsverarbeiter
• Prozess zur Behandlung von Sicherheitsvorfällen einschliesslich Meldewegen nach § 11
• Verzeichnis von Verarbeitungstätigkeiten des Auftragsverarbeiters (Art. 30 Abs. 2 DSGVO)

Anlage 2: Genehmigte Unterauftragsverarbeiter

Unterauftragsverarbeiter	Leistung / Zweck	Ort der Verarbeitung	Status
—	Private KI-Modellauswertung, Einbettung (Embedding), Reranking, Vektorsuche und Dokumentenverarbeitung; optionale Web-Recherche ausgenommen	[konkreten Betriebs-/Housing-Standort vor Vertragsschluss ergänzen]	Nur nach aktuellem Transport- und Service-Authentisierungsgate freigegeben
[vom Betreiber zu ergänzen]	Rechenzentrums-/Housing-Leistung, soweit Infrastruktur nicht in eigenen Räumlichkeiten betrieben wird	Deutschland	Vor produktivem Einsatz zu benennen und vertraglich zu binden
PayPal [konkrete Gesellschaft und Rolle ergänzen]	Zahlungsabwicklung für Guthabenaufladungen (Verarbeitung von Zahlungs-, nicht von Inhaltsdaten)	[zu ergänzen]	Bereits als Zahlungsweg vorgesehen; Gesellschaft, Rolle, Ort und Rechtsgrundlage vor Vertragsschluss zu vervollständigen
SearXNG / Brave Search / DuckDuckGo [tatsächlich aktivierte Dienste ergänzen]	Optionale Web-Recherche nach sichtbarer Aktivierung; keine Freigabe für Geschäftsgeheimnisse	[je Dienst zu ergänzen]	Nur aktivierte Empfänger mit Rolle, Datenkategorien, Ort und Drittlandgrundlage aufnehmen
[vom Betreiber zu ergänzen]	E-Mail-Versand für Systembenachrichtigungen, soweit eingesetzt	[zu ergänzen]	Vor produktivem Einsatz zu benennen

Die jeweils aktuelle Fassung dieser Anlage wird dem Verantwortlichen auf Anfrage in Textform zur Verfügung gestellt. Änderungen richten sich nach § 9.2.

AVV-Entwurf prüfen