← Zurueck zur Startseite

§ 1 Vertragsparteien

Dieser Vertrag zur Auftragsverarbeitung (nachfolgend „AVV“) wird geschlossen zwischen

Der AVV konkretisiert die datenschutzrechtlichen Pflichten der Parteien fuer die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Rahmen des zugrunde liegenden Hauptvertrages (Nutzung der Plattform SauerlandAI, vgl. AGB) im Auftrag des Verantwortlichen durchfuehrt.

§ 2 Gegenstand, Dauer und Beendigung des Auftrags

2.1 Gegenstand

Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter zur Erbringung der im Hauptvertrag vereinbarten Leistungen der Plattform SauerlandAI. Dazu gehoeren insbesondere der KI-gestuetzte Unternehmens-Chat, die Verarbeitung und Auswertung hochgeladener Dokumente, die Wissens- und Dokumentensuche sowie die Bereitstellung von Nutzerkonten, Protokollierung und Abrechnung.

2.2 Dauer

Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrages. Der AVV endet automatisch mit dessen Beendigung, ohne dass es einer gesonderten Kuendigung bedarf.

2.3 Beendigung aus wichtigem Grund

Der Verantwortliche kann den AVV und den Hauptvertrag jederzeit fristlos kuendigen, wenn der Auftragsverarbeiter schwerwiegend gegen Vorschriften der DSGVO oder gegen Bestimmungen dieses Vertrages verstoesst, eine Weisung des Verantwortlichen nicht ausfuehrt oder eine Kontrolle rechtswidrig verweigert.

§ 3 Art und Zweck der Verarbeitung

3.1 Art der Verarbeitung

Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Uebermitteln innerhalb der eigenen Systemumgebung, Einschraenken, Loeschen und Vernichten von personenbezogenen Daten — ausschliesslich, soweit dies zur Leistungserbringung erforderlich ist.

3.2 Zweck der Verarbeitung

• Beantwortung von Anfragen des Verantwortlichen und seiner Nutzer im KI-gestuetzten Chat
• Analyse, Zusammenfassung, Recherche und Aufbereitung der vom Verantwortlichen bereitgestellten Dokumente und Inhalte
• Bereitstellung einer durchsuchbaren Wissensbasis fuer den Verantwortlichen (mandantengetrennt)
• Bereitstellung, Authentifizierung und Verwaltung von Nutzerkonten
• Gewaehrleistung von IT-Sicherheit, Stabilitaet, Fehleranalyse und Missbrauchsabwehr
• Nutzungsbezogene Abrechnung der bezogenen Leistungen

§ 4 Art der personenbezogenen Daten

Gegenstand der Verarbeitung sind folgende Datenarten:

Datenart	Beispiele
Nutzer- und Kontaktdaten	Name, dienstliche E-Mail-Adresse, Benutzerkennung, Rolle/Berechtigung
Authentifizierungsdaten	Passwort-Hashes, Sitzungskennungen, Anmeldezeitpunkte
Inhaltsdaten	Chat-Eingaben und -Antworten, hochgeladene Dokumente und deren Inhalte, Notizen, Feedback
Nutzungs- und Metadaten	Zeitstempel, aufgerufene Funktionen, Umfang der Verarbeitung (fuer die Abrechnung)
Technische Verbindungsdaten	IP-Adresse, Browser-/Geraetekennung in Sicherheitsprotokollen
Besondere Kategorien (Art. 9 DSGVO)	Nicht Gegenstand des Auftrags. Der Verantwortliche stellt sicher, dass er keine Daten besonderer Kategorien einstellt, sofern dies nicht ausdruecklich gesondert vereinbart und durch zusaetzliche Massnahmen abgesichert wurde.

Welche Inhaltsdaten konkret verarbeitet werden, bestimmt allein der Verantwortliche durch die Auswahl der Inhalte, die er in die Plattform einstellt.

§ 5 Kategorien betroffener Personen

• Beschaeftigte des Verantwortlichen (einschliesslich Auszubildender und freier Mitarbeiter)
• Kunden, Interessenten und Ansprechpartner des Verantwortlichen
• Lieferanten, Dienstleister und deren Ansprechpartner
• Sonstige Personen, deren Daten in den vom Verantwortlichen eingestellten Inhalten und Dokumenten enthalten sind

§ 6 Weisungsrecht des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO)

§ 7 Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)

• Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung wird dokumentiert und besteht auch nach Beendigung der Taetigkeit fort.
• Alle zur Verarbeitung befugten Personen werden mit den einschlaegigen Bestimmungen des Datenschutzes und den Weisungen des Verantwortlichen vertraut gemacht und regelmaessig sensibilisiert.
• Der Kreis der zugriffsberechtigten Personen wird auf das fuer die Leistungserbringung und den Betrieb erforderliche Mindestmass begrenzt (Need-to-know-Prinzip).

§ 8 Technische und organisatorische Massnahmen (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO)

Der Auftragsverarbeiter trifft geeignete technische und organisatorische Massnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewaehrleisten. Die Massnahmen sind in Anlage 1 beschrieben.

Der Auftragsverarbeiter darf die Massnahmen im Laufe des Vertragsverhaeltnisses fortentwickeln. Das vereinbarte Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Aenderungen sind zu dokumentieren und dem Verantwortlichen auf Anfrage mitzuteilen.

§ 9 Unterauftragsverarbeiter (Art. 28 Abs. 2 und Abs. 3 lit. d DSGVO)

9.1 Aktueller Stand

9.2 Genehmigung und Widerspruchsrecht

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung, weitere Unterauftragsverarbeiter hinzuzuziehen. Der Auftragsverarbeiter informiert den Verantwortlichen ueber jede beabsichtigte Aenderung in Bezug auf die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 30 Tage im Voraus in Textform. Der Verantwortliche kann einer Aenderung innerhalb von 14 Tagen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Fall eines begruendeten Widerspruchs, der nicht einvernehmlich ausgeraeumt werden kann, ist der Verantwortliche zur ausserordentlichen Kuendigung des betroffenen Leistungsteils berechtigt.

9.3 Pflichten gegenueber Unterauftragsverarbeitern

• Der Auftragsverarbeiter waehlt Unterauftragsverarbeiter sorgfaeltig aus und prueft vorab deren technische und organisatorische Massnahmen.
• Er verpflichtet jeden Unterauftragsverarbeiter vertraglich auf die gleichen Datenschutzpflichten, die in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO).
• Er haftet gegenueber dem Verantwortlichen fuer die Einhaltung der Datenschutzpflichten durch den Unterauftragsverarbeiter.
• Reine Nebenleistungen ohne Zugriff auf personenbezogene Daten des Verantwortlichen (z.B. Reinigung, Wartung von Gebaeudetechnik, Telekommunikations-Transportleistungen) gelten nicht als Unterauftragsverarbeitung; hier stellt der Auftragsverarbeiter die Vertraulichkeit gesondert sicher.

§ 10 Unterstuetzungspflichten (Art. 28 Abs. 3 lit. e und f DSGVO)

10.1 Betroffenenrechte (Art. 12–23 DSGVO)

Der Auftragsverarbeiter unterstuetzt den Verantwortlichen mit geeigneten technischen und organisatorischen Massnahmen dabei, Antraege betroffener Personen auf Auskunft, Berichtigung, Loeschung, Einschraenkung der Verarbeitung, Datenuebertragbarkeit und Widerspruch zu beantworten. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser das Anliegen unverzueglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

10.2 Sicherheit, Meldepflichten, Datenschutz-Folgenabschaetzung (Art. 32–36 DSGVO)

Der Auftragsverarbeiter unterstuetzt den Verantwortlichen unter Beruecksichtigung der Art der Verarbeitung und der ihm zur Verfuegung stehenden Informationen bei:

• der Gewaehrleistung der Sicherheit der Verarbeitung (Art. 32 DSGVO),
• der Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehoerde (Art. 33 DSGVO) und der Benachrichtigung betroffener Personen (Art. 34 DSGVO),
• der Durchfuehrung einer Datenschutz-Folgenabschaetzung (Art. 35 DSGVO),
• der vorherigen Konsultation der Aufsichtsbehoerde (Art. 36 DSGVO).

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die hierfuer erforderlichen Informationen zu Verarbeitungstaetigkeiten, Systemumgebung und Schutzmassnahmen zur Verfuegung.

§ 11 Verletzungen des Schutzes personenbezogener Daten

§ 12 Loeschung und Rueckgabe nach Beendigung (Art. 28 Abs. 3 lit. g DSGVO)

• Nach Abschluss der Erbringung der Verarbeitungsleistungen loescht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie zurueck — nach Wahl des Verantwortlichen. Die Wahl ist spaetestens bei Vertragsende in Textform mitzuteilen; ohne Mitteilung wird geloescht.
• Die Rueckgabe erfolgt in einem gaengigen, maschinenlesbaren Format. Der Verantwortliche kann seine Inhalte waehrend der Vertragslaufzeit jederzeit selbst exportieren.
• Die Loeschung einschliesslich vorhandener Kopien erfolgt innerhalb von 30 Tagen nach Vertragsende. Sicherungskopien werden im Rahmen der regulaeren Sicherungszyklen, spaetestens jedoch innerhalb von 90 Tagen, ueberschrieben oder geloescht.
• Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemaessen Datenverarbeitung dienen, sowie Daten, fuer die eine gesetzliche Aufbewahrungspflicht besteht, duerfen ueber das Vertragsende hinaus aufbewahrt werden; die Verarbeitung ist in diesem Fall auf den Aufbewahrungszweck beschraenkt.
• Die Loeschung wird auf Anfrage in Textform bestaetigt.

§ 13 Nachweise und Kontrollrechte (Art. 28 Abs. 3 lit. h DSGVO)

• Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfuegung.
• Er ermoeglicht und traegt zu Ueberpruefungen — einschliesslich Inspektionen — bei, die vom Verantwortlichen oder einem von diesem beauftragten Pruefer durchgefuehrt werden.
• Der Nachweis kann auch durch aktuelle Testate, Zertifikate, Berichte unabhaengiger Instanzen oder eine geeignete Selbstauskunft/Dokumentation der technischen und organisatorischen Massnahmen gefuehrt werden.
• Vor-Ort-Kontrollen erfolgen nach angemessener Vorankuendigung (in der Regel 14 Tage), waehrend der ueblichen Geschaeftszeiten, ohne Stoerung des Betriebsablaufs und unter Wahrung der Betriebs- und Geschaeftsgeheimnisse sowie der Rechte anderer Kunden. Der Pruefer darf kein Wettbewerber des Auftragsverarbeiters sein und ist zur Verschwiegenheit zu verpflichten.
• Der Auftragsverarbeiter informiert den Verantwortlichen unverzueglich, wenn eine Aufsichtsbehoerde eine Kontrolle durchfuehrt, die die Verarbeitung im Auftrag betrifft.

§ 14 Ort der Verarbeitung und Drittlandtransfers

§ 15 Haftung, Schriftform, Rangfolge

• Fuer die Haftung gilt Art. 82 DSGVO. Im Uebrigen gelten die Haftungsregelungen des Hauptvertrages, soweit sie zwingendem Recht nicht entgegenstehen.
• Aenderungen und Ergaenzungen dieses AVV beduerfen der Schriftform; die elektronische Form nach Art. 28 Abs. 9 DSGVO genuegt. Dies gilt auch fuer die Aufhebung dieses Formerfordernisses.
• Bei Widerspruechen zwischen diesem AVV und dem Hauptvertrag oder den AGB gehen die Regelungen dieses AVV in Bezug auf die Verarbeitung personenbezogener Daten vor.
• Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der uebrigen Bestimmungen unberuehrt.
• Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Massnahmen (Art. 32 DSGVO)

Die folgenden Massnahmen beschreiben das Schutzkonzept der Plattform SauerlandAI. Die Angaben sind bewusst ohne Details zur inneren Systemarchitektur gehalten; vertiefte Nachweise werden im Rahmen von § 13 auf Anfrage bereitgestellt.

1. Vertraulichkeit

Bereich	Massnahme
Zutrittskontrolle	Verarbeitung in gesicherten Raeumlichkeiten bzw. einem gesicherten Rechenzentrum in Deutschland; Zutritt nur fuer berechtigte Personen, dokumentierte Schluessel-/Zutrittsverwaltung
Zugangskontrolle	Persoenliche Benutzerkonten, Passwort-Richtlinie, Speicherung von Passwoertern ausschliesslich als Hash, automatische Sitzungsbeendigung, gesicherter Fernzugriff fuer Administration
Zugriffskontrolle	Rollen- und rechtebasierte Zugriffssteuerung nach dem Need-to-know-Prinzip, getrennte Administrations- und Nutzerrollen, Protokollierung administrativer Zugriffe
Trennungskontrolle	Mandantentrennung: Inhalte, Dokumente und Wissensbasen verschiedener Kunden sind logisch getrennt; Zugriff nur im eigenen Mandantenkontext
Pseudonymisierung	Trennung von Inhalts- und Identifikationsdaten, wo dies fachlich moeglich ist; Datensparsamkeit in Protokollen
Keine Weitergabe an KI-Anbieter	Modellauswertung, Einbettung und Reranking laufen auf eigener Infrastruktur; keine Uebermittlung von Inhalten an externe KI-Dienste; keine Nutzung von Kundeninhalten fuer Modelltraining

2. Integritaet

Bereich	Massnahme
Weitergabekontrolle	Transportverschluesselung (HTTPS/TLS) fuer alle Zugriffe; kein Versand von Kundeninhalten an Dritte
Eingabekontrolle	Protokollierung sicherheitsrelevanter Ereignisse (Anmeldung, Rechteaenderung, Loeschvorgaenge) mit Zeitstempel und Benutzerbezug
Aenderungskontrolle	Versionierte Softwareaenderungen, Pruefung vor Uebernahme in den Produktivbetrieb, Rueckrollmoeglichkeit

3. Verfuegbarkeit und Belastbarkeit

Bereich	Massnahme
Verfuegbarkeitskontrolle	Regelmaessige Datensicherung, Ueberwachung der Dienste, Alarmierung bei Stoerungen, unterbrechungsfreie Stromversorgung und Klimatisierung im Rechenzentrum
Wiederherstellbarkeit	Dokumentiertes Wiederherstellungsverfahren aus Datensicherungen; regelmaessige Pruefung der Wiederherstellbarkeit
Belastbarkeit	Lastueberwachung, Begrenzung paralleler Anfragen, Schutz gegen Ueberlastung und Missbrauch

4. Verfahren zur regelmaessigen Ueberpruefung, Bewertung und Evaluierung

• Regelmaessige Sicherheitsupdates und Pruefung eingesetzter Komponenten auf bekannte Schwachstellen
• Regelmaessige Ueberpruefung der Wirksamkeit der technischen und organisatorischen Massnahmen; Dokumentation der Ergebnisse
• Auftragskontrolle: Verarbeitung nur auf Weisung; Verpflichtung der Beschaeftigten auf Vertraulichkeit; Kontrolle etwaiger Unterauftragsverarbeiter
• Prozess zur Behandlung von Sicherheitsvorfaellen einschliesslich Meldewegen nach § 11
• Verzeichnis von Verarbeitungstaetigkeiten des Auftragsverarbeiters (Art. 30 Abs. 2 DSGVO)

Anlage 2: Genehmigte Unterauftragsverarbeiter

Unterauftragsverarbeiter	Leistung / Zweck	Ort der Verarbeitung	Status
—	Private KI-Modellauswertung, Einbettung (Embedding), Reranking, Vektorsuche und Dokumentenverarbeitung; optionale Web-Recherche ausgenommen	[konkreten Betriebs-/Housing-Standort vor Vertragsschluss ergaenzen]	Nur nach aktuellem Transport- und Service-Authentisierungsgate freigegeben
[vom Betreiber zu ergaenzen]	Rechenzentrums-/Housing-Leistung, soweit Infrastruktur nicht in eigenen Raeumlichkeiten betrieben wird	Deutschland	Vor produktivem Einsatz zu benennen und vertraglich zu binden
PayPal [konkrete Gesellschaft und Rolle ergaenzen]	Zahlungsabwicklung fuer Guthabenaufladungen (Verarbeitung von Zahlungs-, nicht von Inhaltsdaten)	[zu ergaenzen]	Bereits als Zahlungsweg vorgesehen; Gesellschaft, Rolle, Ort und Rechtsgrundlage vor Vertragsschluss zu vervollstaendigen
SearXNG / Brave Search / DuckDuckGo [tatsaechlich aktivierte Dienste ergaenzen]	Optionale Web-Recherche nach sichtbarer Aktivierung; keine Freigabe fuer Geschaeftsgeheimnisse	[je Dienst zu ergaenzen]	Nur aktivierte Empfaenger mit Rolle, Datenkategorien, Ort und Drittlandgrundlage aufnehmen
[vom Betreiber zu ergaenzen]	E-Mail-Versand fuer Systembenachrichtigungen, soweit eingesetzt	[zu ergaenzen]	Vor produktivem Einsatz zu benennen

Die jeweils aktuelle Fassung dieser Anlage wird dem Verantwortlichen auf Anfrage in Textform zur Verfuegung gestellt. Aenderungen richten sich nach § 9.2.

AVV-Entwurf pruefen