Vereinbarung zur Auftragsverarbeitung

1. Parteien und Gegenstand

Auftraggeber ist die Organisation, die Einsatzwort im Rahmen eines Organisationszugangs nutzt oder ein Textpaket für eine Organisation erwirbt. Auftragnehmer ist Jan Möbius, Einsatzwort Medien, Blockstraße 2, 35117 Münchhausen, Deutschland, kontakt@einsatzwort.de.

Gegenstand ist die technische Bereitstellung des Einsatzwort Assistenten zur KI-gestützten Erstellung redaktioneller Textentwürfe aus vom Auftraggeber eingegebenen Einsatznotizen. Die Anwendung veröffentlicht keine Inhalte automatisch.

2. Dauer der Verarbeitung

Die Auftragsverarbeitung beginnt mit der Nutzung eines Organisationszugangs und dauert grundsätzlich bis zur Beendigung des jeweiligen Vertrags- oder Nutzungsverhältnisses. Gesetzliche Aufbewahrungspflichten und technisch unvermeidbare, zeitlich begrenzte Sicherungskopien bleiben unberührt.

3. Art und Zweck der Verarbeitung

Verarbeitet werden Daten zur Zugangskontrolle, zur Bereitstellung und Abrechnung von Textpaketen, zur technischen Funktions- und Missbrauchskontrolle sowie – bei einer Texterstellung – die vom Auftraggeber übermittelten Einsatznotizen und die daraus erzeugten Textentwürfe.

Einsatznotizen und erzeugte Textentwürfe werden von Einsatzwort nicht als Inhaltsarchiv in der Anwendungsdatenbank gespeichert. Technische Nutzungsprotokolle enthalten insbesondere Kundenbezug, Zeitpunkt, Status, gewählte Textmodule, Modell- und Verbrauchsangaben, jedoch keine vollständigen Einsatznotizen oder Textentwürfe.

4. Datenarten und betroffene Personen

Je nach Eingabe können insbesondere Kontaktdaten, Organisationsdaten, Vertrags- und Rechnungsdaten, technische Nutzungsdaten sowie einzelne Angaben aus einem Einsatzgeschehen verarbeitet werden. Betroffen sein können Beschäftigte und Mitglieder des Auftraggebers, Kontaktpersonen sowie Personen, auf die sich eingegebene Einsatzinformationen beziehen.

Die Anwendung ist nicht dafür bestimmt, Gesundheitsdaten, besondere Kategorien personenbezogener Daten, Kennzeichen, exakte sensible Wohnadressen oder unnötige personenbezogene Einsatzdetails zu verarbeiten. Der Auftraggeber ist verpflichtet, Eingaben zu minimieren und nur rechtmäßig verarbeitbare Daten zu übermitteln.

5. Weisungen des Auftraggebers

Einsatzwort verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers. Die Nutzung der vorgesehenen Funktionen, die Auswahl der Eingaben und die vertraglich vereinbarte Bereitstellung gelten als dokumentierte Weisungen. Hält Einsatzwort eine Weisung für datenschutzrechtswidrig, wird der Auftraggeber darauf hingewiesen.

6. Vertraulichkeit und technische/organisatorische Maßnahmen

Zugriffsberechtigte Personen sind zur Vertraulichkeit verpflichtet. Eingesetzt werden insbesondere Transportverschlüsselung, zugangsgeschützte Administrations- und Kundenfunktionen, gehashte Zugangscodes, rollen- und zweckbezogene Datenbankzugriffe, Zwei-Faktor-Authentisierung für administrative Anbieterzugänge, Rate-Limits, Protokollierung sicherheitsrelevanter Vorgänge sowie verschlüsselte externe Datenbanksicherungen mit regelmäßigem Wiederherstellungstest.

Produktionssicherungen werden auf einem gesonderten Server in Deutschland erstellt, vor der Ablage mit age verschlüsselt und in einem Cloudflare-R2-Bucket mit EU-Jurisdiktion gespeichert. Der private Entschlüsselungsschlüssel befindet sich nicht auf dem Backupserver.

7. Unterauftragnehmer

Der Auftraggeber erteilt eine allgemeine Genehmigung für die nachfolgend aufgeführten Unterauftragnehmer. Einsatzwort stellt sicher, dass die erforderlichen Datenschutzpflichten vertraglich weitergegeben werden. Wesentliche Änderungen werden in der jeweils aktuellen Unterauftragnehmerliste dokumentiert.

Vercel Inc. – Hosting und Ausführung der Webanwendung; Neon/Databricks – PostgreSQL-Datenbank, Projektregion Frankfurt (EU); OpenAI Ireland Ltd. und verbundene Unterauftragnehmer – KI-API zur Erstellung der Textentwürfe; Plus Five Five, Inc. (Resend) – Versand transaktionaler E-Mails; Cloudflare, Inc. – verschlüsselter EU-R2-Backupspeicher; STRATO AG – Backup-Rechenleistung in Deutschland.

Soweit Anbieter oder deren Unterauftragnehmer Daten außerhalb des EWR verarbeiten, werden die in deren Datenverarbeitungsvereinbarungen vorgesehenen geeigneten Garantien, insbesondere Standardvertragsklauseln beziehungsweise Angemessenheitsbeschlüsse, zugrunde gelegt.

8. Unterstützungspflichten

Einsatzwort unterstützt den Auftraggeber im angemessenen Umfang bei der Erfüllung von Betroffenenrechten, bei Datenschutz-Folgenabschätzungen, bei Konsultationen mit Aufsichtsbehörden sowie bei der Erfüllung von Melde- und Informationspflichten nach Datenschutzverletzungen, soweit die hierfür erforderlichen Informationen Einsatzwort vorliegen.

Datenschutzverletzungen im Verantwortungsbereich von Einsatzwort werden dem Auftraggeber ohne unangemessene Verzögerung mit den verfügbaren wesentlichen Informationen mitgeteilt.

9. Löschung, Rückgabe und Aufbewahrung

Nach Ende der Verarbeitung werden personenbezogene Daten nach Maßgabe der vereinbarten und gesetzlichen Aufbewahrungsfristen gelöscht oder – soweit technisch und rechtlich vorgesehen – dem Auftraggeber bereitgestellt. Rechnungs- und steuerrechtliche Nachweise werden entsprechend der gesetzlichen Fristen aufbewahrt.

Technische Nutzungs- und Fehlerprotokolle werden grundsätzlich spätestens nach 30 Tagen gelöscht, soweit keine konkrete Sicherheits-, Missbrauchs- oder Rechtsverfolgung eine längere Speicherung erfordert. Verschlüsselte Datenbanksicherungen werden grundsätzlich nach 35 Tagen automatisiert gelöscht.

Bei Nutzung der OpenAI-API können Inhalte nach der Standardkonfiguration für Missbrauchsüberwachung bis zu 30 Tage vorgehalten werden, soweit keine kürzere beziehungsweise Zero-Data-Retention-Konfiguration für das verwendete Konto wirksam ist.

10. Nachweise und Kontrollen

Einsatzwort stellt dem Auftraggeber die zur Darlegung der Einhaltung von Art. 28 DSGVO erforderlichen Informationen in angemessenem Umfang zur Verfügung. Soweit gesetzlich erforderlich, werden Kontrollen durch den Auftraggeber oder einen beauftragten Prüfer ermöglicht, sofern Vertraulichkeit, Sicherheit anderer Kunden und berechtigte Geschäftsinteressen gewahrt bleiben.

11. Rangfolge und Änderungen

Diese Vereinbarung ergänzt das jeweilige Vertrags- oder Nutzungsverhältnis. Datenschutzrechtliche Weisungen und diese Vereinbarung gehen bei Widersprüchen hinsichtlich der Auftragsverarbeitung allgemeinen Produktbeschreibungen vor. Für wesentliche Änderungen, die die Rechte und Pflichten des Auftraggebers betreffen, wird eine neue versionierte Fassung zur Annahme bereitgestellt.

AVV für bestehenden Organisationszugang annehmen

Die Annahme ist nur durch eine für die Organisation vertretungsberechtigte Person möglich. Version und Dokument-Hash werden serverseitig festgelegt und mit Zeitstempel gespeichert.