Auftragsverarbeitungsvertrag

1. Gegenstand, Dauer, Art und Zweck

Gegenstand: Erbringung des Dienstes nach den Nutzungsbedingungen. Dauer: das Abonnement zuzüglich des Zeitraums, der für Rückgabe und Löschung der Daten nötig ist. Art und Zweck: Hosting, Durchsuchen und Übermitteln von Kundeninhalten, damit Mitglieder das Recht mit einem KI-Modell nach Wahl des Verantwortlichen erforschen können.

Kategorien betroffener Personen: die Mitglieder des Verantwortlichen und jede Person, die in Inhalten genannt wird, die die Mitglieder eingeben. Arten personenbezogener Daten: was die Mitglieder eingeben; der Dienst ist nicht für besondere Kategorien (Art. 9) oder Daten über Straftaten (Art. 10) ausgelegt, und der Verantwortliche entscheidet, ob er sie eingibt.

2. Weisungen

Wir verarbeiten personenbezogene Daten des Kunden nur auf dokumentierte Weisung des Verantwortlichen, also nach den Nutzungsbedingungen, dieser Vereinbarung und den Einstellungen, die der Verantwortliche in der App wählt, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats etwas anderes verlangt; in diesem Fall teilen wir es dem Verantwortlichen vorab mit, sofern das Recht dies nicht verbietet. Wir informieren den Verantwortlichen, wenn wir der Ansicht sind, dass eine Weisung gegen das Datenschutzrecht verstößt.

3. Vertraulichkeit

Alle Personen, die befugt sind, personenbezogene Daten des Kunden zu verarbeiten, sind zur Vertraulichkeit verpflichtet.

4. Sicherheitsmaßnahmen

• Hosting in der EU (Hetzner, Nürnberg, Deutschland); Verschlüsselung bei der Übertragung. Sicherungskopien werden auf unserem Server aufbewahrt; die Kopie außerhalb, sobald erstellt, ist verschlüsselt.
• Keine Speicherung des Textes von Fragen oder Antworten, sofern der Verantwortliche Mitschriften nicht einschaltet; Mitschriften sind unter einem Schlüssel verschlüsselt, der für die Organisation gilt.
• Schlüssel von KI-Anbietern werden beim Speichern versiegelt; danach zeigt die App nur deren letzte vier Zeichen.
• Rollenbasierter Zugriff innerhalb der Organisation; Passkeys und zweite Faktoren werden unterstützt; Single Sign-on auf Organisationsebene über den eigenen Identitätsanbieter der Organisation (Microsoft Entra ID, Google, Okta oder jeder OpenID-Connect-Anbieter), sobald die Organisation ihre E-Mail-Domain nachgewiesen hat.
• Prüfprotokoll, das nur angefügt werden kann, mit signiertem Export.
• Unser Personal arbeitet über die Personalkonsole. Sie setzt ein Personalkonto mit zweitem Faktor und eine Anmeldung nicht älter als 12 Stunden voraus. Jede Änderung, die Personal an einer Organisation vornimmt, braucht einen Grund und wird im eigenen Prüfprotokoll dieser Organisation festgehalten. Die Vergabe oder Entziehung von Personalzugriffen wird in unserem eigenen Prüfprotokoll festgehalten. Das Ändern eines Preises, das Ausstellen oder Bezahlen einer Rechnung, das Erfassen einer USt-IdNr.-Prüfung oder das Ändern eines Aufbewahrungszeitraums über die Kommandozeile des Servers erfordert ebenfalls den Namen des Bedieners und einen Grund. Support darf eine Organisation als Mitglied nur lesend und höchstens 30 Minuten einsehen; auch das wird im Protokoll der Organisation festgehalten. Verletzungen des Schutzes personenbezogener Daten werden wie unter Unterstützung beschrieben behandelt.

5. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung für die Unterauftragsverarbeiter auf der Liste der Unterauftragsverarbeiter. Wir geben mindestens 30 Tage Vorankündigung einer Hinzufügung oder Ersetzung per E-Mail und auf dieser Seite; der Verantwortliche kann aus angemessenen datenschutzrechtlichen Gründen widersprechen, und können wir den Widerspruch nicht ausräumen, kann er den betroffenen Dienst mit anteiliger Erstattung beenden. Jeder Unterauftragsverarbeiter ist an Datenschutzpflichten gebunden, die diesen gleichwertig sind, und wir bleiben ihm gegenüber verantwortlich.

Der KI-Anbieter, den der Verantwortliche verbindet, wird vom Verantwortlichen unter dessen eigener Vereinbarung mit dem Anbieter beauftragt und ist nicht unser Unterauftragsverarbeiter.

6. Unterstützung

Wir helfen dem Verantwortlichen, Anfragen betroffener Personen zu beantworten — die Export- und Löschfunktionen der App decken die meisten ab — sowie bei Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation, unter Berücksichtigung dessen, was wir wissen können. Wir melden dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich und streben an, dies innerhalb von 48 Stunden nach Kenntniserlangung zu tun.

7. Rückgabe und Löschung

Solange Ihre Organisation geöffnet ist, kann der Verantwortliche ihre Daten jederzeit exportieren. Wenn sie geschlossen wird, löschen wir die personenbezogenen Kundendaten, die wir halten, 30 Tage später, auch aus Sicherungskopien, sobald diese rotieren, sofern das Gesetz uns nicht zur Aufbewahrung verpflichtet.

8. Informationen und Prüfungen

Wir stellen die Informationen bereit, die zum Nachweis der Einhaltung von Art. 28 nötig sind, und lassen Prüfungen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer zu, mit angemessener Ankündigung und höchstens einmal jährlich, sofern nicht eine Verletzung oder eine Behörde etwas anderes verlangt. Wir haben noch keine Sicherheitszertifizierung und keinen unabhängigen Penetrationstest; sobald wir einen haben, wird er hier mit Datum aufgeführt.