Vertrag zur Auftragsverarbeitung

Dieser Vertrag zur Auftragsverarbeitung (nachfolgend „AVV") konkretisiert nach Art. 28 der Verordnung (EU) 2016/679des Europäischen Parlaments und des Rates vom 27. April 2016 (Datenschutz-Grundverordnung – nachfolgend „DSGVO") die datenschutzrechtlichen Pflichten der Parteien im Rahmen des zwischen ihnen bestehenden Nutzungsvertrags über den Dienst „wissato" (nachfolgend „Hauptvertrag", siehe AGB). Er gilt für alle Tätigkeiten, bei denen der Anbieter personenbezogene Daten im Auftrag des Kunden verarbeitet.

Die vorstehende Rollenverteilung („Verantwortlicher" / „Auftragsverarbeiter") betrifft ausschließlich die datenschutzrechtliche Verantwortlichkeit nach der DSGVO. Davon zu unterscheiden ist die Rollenverteilung nach der Verordnung (EU) 2024/1689 über künstliche Intelligenz („KI-Verordnung"): Dort ist der Anbieter Anbieter (Provider), der Kunde Betreiber (Deployer) des KI-Systems „wissato" – geregelt in den AGB, § 7.

(1) Gegenstand der Verarbeitung ist die Erbringung des Dienstes wissato gemäß Hauptvertrag: die Speicherung, Textextraktion, Aufbereitung (Aufteilung in Abschnitte, Vektor-Einbettung), Durchsuchung und KI-gestützte Beantwortung von Fragen zu den vom Kunden bereitgestellten Inhalten sowie die damit verbundenen Hilfsfunktionen (Konto-, Team-, Vorlagen- und Connector-Verwaltung).

(2) Art der Verarbeitung: Erheben, Erfassen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln an die in Anlage 1 genannten Unterauftragsverarbeiter sowie Löschen.

(3) Zweck der Verarbeitung ist ausschließlich die vertragsgemäße Bereitstellung des Dienstes. Eine Verarbeitung zu eigenen Zwecken des Anbieters – insbesondere zum Training eigener oder fremder KI-Modelle – findet nicht statt.

(4) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Sie endet mit dessen Beendigung und der anschließenden Löschung bzw. Rückgabe der Daten nach Ziffer 10.

(1) Verarbeitet werden insbesondere folgende Kategorien personenbezogener Daten, soweit der Kunde sie in den Dienst einstellt oder sie bei der Nutzung anfallen:

• Stamm- und Kontaktdaten der Nutzer (Name, E-Mail-Adresse, Firma)
• Zugangs- und Nutzungsdaten (Login-Zeitpunkte, Zugriffsprotokolle, IP-Adresse in gekürzter Form)
• Inhalts- und Kommunikationsdaten (hochgeladene Dokumente, Chat-Eingaben und -Antworten, Vorlagen)
• Etwaige in den hochgeladenen Inhalten enthaltene personenbezogene Daten Dritter, deren Auswahl und Verantwortung beim Kunden liegt

(2) Kreis der betroffenen Personen:

• Mitarbeiter und Nutzer des Kunden (Workspace-Inhaber und eingeladene Mitglieder)
• Kunden, Geschäftspartner und sonstige Dritte, deren Daten in den vom Kunden hochgeladenen Inhalten enthalten sind

(3) Der Kunde stellt sicher, keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO (z. B. Gesundheits- oder Sozialdaten) in den Dienst einzustellen, soweit hierfür keine gesonderte Vereinbarung und Rechtsgrundlage besteht.

(1) Der Anbieter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, es sei denn, er ist nach dem Recht der EU oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in einem solchen Fall teilt der Anbieter dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Weisungen werden durch diesen AVV und den Hauptvertrag festgelegt und konkretisiert. Die Nutzung der Funktionen des Dienstes durch den Kunden gilt als Einzelweisung. Einzelweisungen darüber hinaus erteilt der Kunde in Textform an die oben genannte Kontaktadresse.

(3) Der Anbieter informiert den Kunden unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Der Anbieter ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie vom Kunden bestätigt oder geändert wird.

(1) Der Anbieter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Geschäftsführer des Anbieters sind auf die Vertraulichkeit verpflichtet.

(2) Ein Zugriff von Personen des Anbieters auf Inhalte des Kunden (hochgeladene Dokumente, Chat-Verläufe) erfolgt nicht im Normalbetrieb, sondern ausschließlich anlassbezogen und auf das erforderliche Maß beschränkt – insbesondere zur Behebung einer vom Kunden gemeldeten Störung, zur Wartung oder zur Erfüllung einer rechtlichen Verpflichtung. Solche Zugriffe werden dokumentiert.

(1) Der Anbieter trifft die zur Sicherheit der Verarbeitung erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Diese sind in Anlage 2beschrieben.

(2) Die TOM unterliegen dem technischen Fortschritt. Der Anbieter ist berechtigt, sie weiterzuentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dem Kunden auf Anfrage mitgeteilt.

(1) Der Kunde erteilt dem Anbieter die allgemeine Genehmigung, die in Anlage 1genannten Unterauftragsverarbeiter einzusetzen. Der Anbieter schließt mit diesen Verträge ab, die den Anforderungen des Art. 28 DSGVO entsprechen.

(2) Der Anbieter informiert den Kunden über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung weiterer Unterauftragsverarbeiter. Der Kunde kann einer Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen in Textform widersprechen. Im Falle eines berechtigten Widerspruchs, der eine Leistungserbringung unzumutbar macht, ist jede Partei zur Kündigung des Hauptvertrags berechtigt.

(3) Ein Unterauftragsverhältnis im Sinne dieser Bestimmung liegt nicht vor, wenn der Anbieter Dritte mit reinen Nebenleistungen beauftragt, die keinen konkreten Bezug zu den vertragsgegenständlichen Leistungen aufweisen (z. B. Post-, Transport- oder Reinigungsleistungen).

(4) Das KI-Sprachmodell wird über Amazon Web Services (Amazon Bedrock) in der EU-Region Frankfurt betrieben; die zur Antwortgenerierung übermittelten Inhalte verbleiben in der EU. Die Texteinbettungen (Embeddings) werden über Microsoft (Azure OpenAI Service) in einer EU-Datenzone erzeugt; auch diese Inhalte verbleiben innerhalb der Europäischen Union. Erfolgt darüber hinaus eine Verarbeitung durch einen anderen Unterauftragsverarbeiter in einem Drittland, stellt der Anbieter geeignete Garantien nach Art. 44 ff. DSGVO sicher, insbesondere durch das EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln (siehe Anlage 1).

(1) Der Anbieter unterstützt den Kunden im Rahmen des Zumutbaren mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte (Art. 12–23 DSGVO). Der Dienst stellt hierfür Funktionen zur Auskunft, Berichtigung, Export und Löschung von Daten bereit.

(2) Der Anbieter unterstützt den Kunden zudem bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO (Datensicherheit, Meldung von Verletzungen, Datenschutz- Folgenabschätzung, vorherige Konsultation), soweit dies erforderlich ist und die dem Anbieter vorliegenden Informationen dies ermöglichen.

(3) Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet dieser das Anliegen unverzüglich an den Kunden weiter und beantwortet es nicht selbst.

Der Anbieter meldet dem Kunden jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die die vom Kunden verantworteten Daten betrifft, unverzüglich – in der Regel innerhalb von 48 Stunden nach Bekanntwerden – in Textform. Die Meldung enthält die nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen, soweit diese vorliegen. Die Pflicht zur Meldung an die Aufsichtsbehörde und an betroffene Personen verbleibt beim Kunden.

(1) Der Anbieter stellt dem Kunden auf Verlangen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung; hierzu zählen insbesondere Auskünfte, die Vorlage einschlägiger Zertifizierungen oder Prüfberichte sowie die Möglichkeit einer Prüfung durch den Kunden selbst oder einen von ihm beauftragten, nicht im Wettbewerbsverhältnis zum Anbieter stehenden sachkundigen Dritten.

(2) Der Nachweis kann vorrangig durch Vorlage dieses AVV samt Anlagen, der Datenschutzerklärung sowie geeigneter Belege der eingesetzten Unterauftragsverarbeiter (z. B. Zertifizierungen, Auftragsverarbeitungsverträge) erbracht werden.

(3) Vor-Ort-Kontrollen sind mit angemessener Vorankündigung, zu den üblichen Geschäftszeiten und unter angemessener Rücksichtnahme auf die Betriebsabläufe des Anbieters durchzuführen; über Zeitpunkt und Art der Prüfung verständigen sich die Parteien rechtzeitig.

(1) Nach Beendigung des Hauptvertrags stellt der Anbieter dem Kunden seine Inhalte für einen Zeitraum von 30 Tagen zum Export bereit. Danach löscht der Anbieter sämtliche im Auftrag verarbeiteten personenbezogenen Daten (einschließlich abgeleiteter Daten wie Textabschnitte und Vektor-Einbettungen) unwiderruflich, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

(2) Auf Verlangen des Kunden weist der Anbieter die Löschung in Textform nach. Daten in routinemäßigen Sicherungskopien werden im Rahmen des regulären Backup-Zyklus überschrieben.

(1) Die Haftung der Parteien richtet sich nach Art. 82 DSGVO; eine Haftung des Anbieters gegenüber dem Kunden wegen der Verletzung von Pflichten aus diesem Vertrag oder dem Hauptvertrag bleibt hiervon unberührt.

(2) Die Parteien stellen sich jeweils von der Haftung gegenüber Betroffenen sowie von einer gegen die jeweils andere Partei verhängten Geldbuße frei, soweit sie nachweisen, dass sie für den Umstand, durch den der Schaden bzw. die Geldbuße verursacht wurde, nicht verantwortlich sind; im Übrigen erfolgt die Freistellung im Verhältnis des jeweiligen Verantwortungsanteils.

(1) Die Parteien sind sich einig, dass ein Zurückbehaltungsrecht des Anbieters im Sinne des § 273 BGB hinsichtlich der zu verarbeitenden Daten und der zugehörigen Datenträger ausgeschlossen ist.

(2) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen hinsichtlich der Datenverarbeitung die Regelungen dieses AVV vor.

(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt das Recht der Bundesrepublik Deutschland.

• Mandantentrennung: Die Daten jedes Kunden (Workspaces) sind logisch voneinander getrennt. Der Zugriff ist über zeilenbasierte Sicherheitsregeln (Row-Level Security) auf den jeweiligen Mandanten beschränkt; ein Zugriff zwischen Kunden ist technisch ausgeschlossen.
• Zugangskontrolle: Authentifizierung über persönliche Zugangsdaten; automatische Abmeldung bei Inaktivität; optionale Mehr-Faktor-Authentifizierung; Schutz vor automatisierten Zugriffen und Brute-Force-Versuchen mittels Cloudflare Turnstile (CAPTCHA).
• Zugriffskontrolle: Rollen- und Rechtekonzept (Inhaber/Mitglied, differenzierte Upload-Berechtigung), datenbankseitig nach dem Least-Privilege-Prinzip granular vergebene Schreibrechte. Administrativer Zugriff auf die Infrastruktur ist auf die Geschäftsführer des Anbieters beschränkt und erfolgt nur anlassbezogen (Wartung/Support); solche Zugriffe werden dokumentiert.
• Verschwiegenheit: Verpflichtung der zugriffsberechtigten Personen auf Vertraulichkeit.

• Transportverschlüsselung: Übertragung ausschließlich über TLS/HTTPS.
• Speicherverschlüsselung: Verschlüsselung der Daten im Ruhezustand auf Infrastrukturebene; sensible Zugriffstoken (z. B. für die M365-Anbindung) werden zusätzlich anwendungsseitig verschlüsselt gespeichert (AES-256-GCM).
• Eingabe- und Übermittlungskontrolle: Protokollierung sicherheitsrelevanter Zugriffe (Zugriffsprotokoll, bis zu 90 Tage einsehbar); Validierung von Webhook-Signaturen.

• Betrieb auf einer professionell gehosteten Cloud-Infrastruktur mit regelmäßigen, automatisierten Sicherungskopien (Backups) durch den Datenbank-Dienstleister.
• Regionale Datenhaltung in Frankfurt am Main (Datenbank und Anwendungsregion).
• Schutzmechanismen gegen schädliche Inhalte (u. a. Sanitisierung von Inhalten gegen Cross-Site-Scripting) sowie Sicherheits-HTTP-Header.

• Auftragskontrolle: Einsatz von Unterauftragsverarbeitern nur auf Grundlage von Verträgen nach Art. 28 DSGVO (siehe Anlage 1).
• Datenschutz durch Technikgestaltung und Voreinstellungen: Verarbeitung der Dokumente ausschließlich serverseitig; keine Nutzung der Kundendaten zu Trainingszwecken; sofortige und vollständige Löschung abgeleiteter Suchdaten bei Löschung eines Dokuments.
• Überprüfung: Fortlaufende Anpassung der Maßnahmen an den Stand der Technik.