Vertrag über die Auftragsverarbeitung

Micro-SaaS Factory UG (haftungsbeschränkt)

Von-Ascheberg-Weg 45, 48167 Münster

vertreten durch den Geschäftsführer Tobias Schlepphorst

Amtsgericht Münster, HRB 23274

(1) Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb des Vorrangigen Hilfeassistenten gemäß dem Hauptvertrag. Art, Umfang und Zweck der Verarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen ergeben sich abschließend aus Anlage 1 (Verarbeitungsbeschreibung).

(2) Dieser Vertrag gilt für beide Zugänge zum Dienst gleichermaßen: für die Nutzung über die Weboberfläche (Fragebogen und gespeicherte Analysen) und für die Nutzung über die Programmschnittstelle (MCP-Zugang). Beide Wege verarbeiten dieselben Merkmale und legen sie in derselben Datenbank ab; eine unterschiedliche datenschutzrechtliche Einordnung wäre sachlich nicht begründbar.

(3) Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Eine Kündigung des Hauptvertrags gilt zugleich als Kündigung dieses Vertrags. Eine isolierte Kündigung dieses Vertrags ist ausgeschlossen, solange der Hauptvertrag besteht.

(4) Die Verarbeitung findet ausschließlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums statt. Eine Verlagerung in ein Drittland erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO und ist in Anlage 3 (Subprozessoren) kenntlich gemacht.

(5) Dieser Vertrag wird in Textform geschlossen; die Abfassung in einem elektronischen Format ist nach Art. 28 Abs. 9 DSGVO ausdrücklich zulässig. Der Abschluss erfolgt elektronisch: Der Verantwortliche bestätigt ihn bei der Einrichtung seines Kontos gemeinsam mit den AGB. Maßgeblich ist die zu diesem Zeitpunkt unter /avv veröffentlichte Fassung; Zeitpunkt und Fassung werden im Konto des Verantwortlichen gespeichert.

(1) Der Verantwortliche kann den Dienst über die Programmschnittstelle (MCP) mit einer KI-Anwendung seiner Wahl verbinden — etwa mit einem Chat-Dienst oder einem Entwicklungswerkzeug eines dritten Anbieters.

(2) Gegenstand dieses Vertrags ist ausschließlich die Verarbeitung auf den Systemen des Auftragsverarbeiters. Die eingesetzte KI-Anwendung wird vom Verantwortlichen ausgewählt, verbunden und betrieben. Der Auftragsverarbeiter hat weder Einfluss darauf, welche Daten der Verantwortliche dort eingibt, noch darauf, wie der Anbieter jener Anwendung diese Daten speichert, auswertet oder weitergibt. Insoweit ist der Auftragsverarbeiter nicht Auftragsverarbeiter des Verantwortlichen.

(3) Der Verantwortliche stellt sicher, dass für den Einsatz der KI-Anwendung eine eigene datenschutzrechtliche Grundlage besteht — insbesondere ein eigener Vertrag über die Auftragsverarbeitung mit deren Anbieter, soweit dort personenbezogene Daten der von ihm betreuten Personen verarbeitet werden.

(4) Der Auftragsverarbeiter weist darauf hin, dass die im Dienst hinterlegten Warn- und Haftungshinweise — insbesondere der Hinweis, dass es sich um ein Navigations- und kein Beratungsergebnis handelt — von einer dritten KI-Anwendung technisch nicht erzwingbar wiedergegeben werden können. Die daraus folgenden Pflichten des Verantwortlichen regeln die Nutzungsbedingungen für den MCP-Zugang.

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Weisungen werden grundsätzlich in Textform (z. B. per E-Mail) erteilt. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Die funktionalen Vorgaben innerhalb der Anwendung (Eingabe-, Speicher- und Löschfunktionen sowie die Aufrufe über die Programmschnittstelle) gelten als Weisungen des Verantwortlichen.

(3) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, so informiert er den Verantwortlichen unverzüglich. Der Auftragsverarbeiter ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird.

(1) Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).

(2) Die zur Verarbeitung befugten Personen werden mit den datenschutzrechtlichen Bestimmungen vertraut gemacht und für die Belange des Datenschutzes sensibilisiert.

(3) Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung dieses Vertrags fort.

(1) Der Auftragsverarbeiter trifft die zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Die konkreten Maßnahmen sind in Anlage 2 (TOM) beschrieben.

(2) Bei der Bemessung des Schutzniveaus wird berücksichtigt, dass der Dienst besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeitet (Anlage 1 Ziff. 3).

(3) Die TOM unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter ist berechtigt, alternative, gleichwertige oder höherwertige Maßnahmen umzusetzen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung im Sinne des Art. 28 Abs. 2 S. 2 DSGVO zur Hinzuziehung der in Anlage 3 (Subprozessoren) aufgeführten Unterauftragsverarbeiter.

(2) Beabsichtigt der Auftragsverarbeiter, einen weiteren Subprozessor hinzuzuziehen oder einen bestehenden zu ersetzen, informiert er den Verantwortlichen hierüber vorab in Textform. Der Verantwortliche kann der Änderung innerhalb von vierzehn (14) Tagen aus wichtigem, datenschutzrechtlich begründetem Anlass widersprechen.

(3) Widerspricht der Verantwortliche, bemühen sich die Parteien um eine einvernehmliche Lösung. Kann eine solche nicht gefunden werden und ist der Einsatz des Subprozessors für die Leistungserbringung erforderlich, ist jede Partei berechtigt, den Hauptvertrag mit angemessener Frist zu kündigen.

(4) Der Auftragsverarbeiter erlegt dem Subprozessor durch vertragliche Vereinbarung dieselben Datenschutzpflichten auf, wie sie in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). Kommt der Subprozessor seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten dieses Subprozessors.

(5) Nicht als Subprozessoren im Sinne dieser Regelung gelten Dienste, die der Auftragsverarbeiter als Nebenleistung in Anspruch nimmt und die nicht der Verarbeitung der Auftragsdaten dienen. Ebenfalls nicht erfasst ist die vom Verantwortlichen selbst eingesetzte KI-Anwendung (§ 1a).

(1) Betroffenenrechte (Art. 28 Abs. 3 lit. e DSGVO). Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen nach Möglichkeit bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte (Art. 12–23 DSGVO). Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Ersuchen unverzüglich an den Verantwortlichen weiter.

(2) Sicherheit, Meldepflichten, Datenschutz-Folgenabschätzung (Art. 28 Abs. 3 lit. f DSGVO). Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 DSGVO (Sicherheit der Verarbeitung), Art. 33 und 34 DSGVO (Meldung von Verletzungen des Schutzes personenbezogener Daten), Art. 35 DSGVO (Datenschutz-Folgenabschätzung) und Art. 36 DSGVO (vorherige Konsultation der Aufsichtsbehörde).

(3) Der Auftragsverarbeiter weist darauf hin, dass die Verarbeitung besonderer Kategorien personenbezogener Daten für den Verantwortlichen eine Datenschutz-Folgenabschätzung erforderlich machen kann (Art. 35 Abs. 3 lit. b DSGVO). Die Beurteilung obliegt dem Verantwortlichen; die Angaben in Anlage 1 und Anlage 2 sind so gefasst, dass sie als Grundlage dafür verwendet werden können.

(4) Für Unterstützungsleistungen, die über die im Hauptvertrag vereinbarte Leistung hinausgehen und einen erheblichen Mehraufwand verursachen, kann der Auftragsverarbeiter eine angemessene Vergütung verlangen; dies gilt nicht, soweit der Mehraufwand auf einem vom Auftragsverarbeiter zu vertretenden Umstand beruht.

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die die Auftragsdaten betrifft, unverzüglich, in der Regel innerhalb von 48 Stunden nach Bekanntwerden.

(2) Die Meldung enthält mindestens die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit sie dem Auftragsverarbeiter vorliegen (Art der Verletzung, betroffene Kategorien und Anzahl, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen, Kontaktstelle).

(3) Die Meldung an die zuständige Aufsichtsbehörde sowie gegebenenfalls an die betroffenen Personen obliegt dem Verantwortlichen.

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen —, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Nachweis kann auch durch die Vorlage geeigneter Zertifizierungen, Testate oder Berichte sowie durch Selbstauskünfte erfolgen, soweit dies zur Erbringung des Nachweises ausreicht.

(3) Vor-Ort-Kontrollen sind mit angemessenem Vorlauf (in der Regel mindestens 14 Tage), während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und unter Wahrung der Geheimhaltungspflichten gegenüber Dritten durchzuführen. Sie sind grundsätzlich auf einmal pro Kalenderjahr beschränkt, sofern kein besonderer Anlass eine häufigere Kontrolle erfordert.

(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung der Daten besteht (Art. 28 Abs. 3 lit. g DSGVO).

(2) Der Verantwortliche kann während der Vertragslaufzeit jederzeit selbst löschen:

• einzelne gespeicherte Analysen über die Analysen-Übersicht oder über die Programmschnittstelle,
• sein gesamtes Konto einschließlich aller gespeicherten Analysen, aller zwischengespeicherten Profildaten und aller Zugangsdaten der Programmschnittstelle über die Konto-Einstellungen.

(3) Frühere Fassungen eines gespeicherten Falls. Wird ein gespeicherter Fall fortgeschrieben, hält der Auftragsverarbeiter zusätzlich bis zu fünf unmittelbar vorangegangene Fassungen desselben Profils vor. Sie schützen davor, dass ein versehentliches Überschreiben einen Bearbeitungsstand vernichtet. Diese Fassungen sind Bestandteil des jeweiligen Falls und werden gemeinsam mit ihm gelöscht; sie überdauern die Löschung des Falls nicht.

(4) Zwischengespeicherte Profildaten der Programmschnittstelle. Ein über die Programmschnittstelle übergebenes Profil wird gemeinsam mit den zugehörigen Antworten für höchstens 24 Stunden gespeichert, damit Folgeabfragen desselben Falls nicht das gesamte Profil erneut übertragen müssen. Nach Ablauf ist die Referenz ungültig und die Daten werden automatisch gelöscht. Davon zu unterscheiden sind Fälle, die der Verantwortliche über die Programmschnittstelle ausdrücklich speichert: Für sie gilt Absatz 2; sie bleiben bis zur Löschung durch den Verantwortlichen erhalten.

(5) Sofern der Verantwortliche keine abweichende Weisung erteilt, werden die Auftragsdaten nach Beendigung des Hauptvertrags innerhalb von 30 Tagen gelöscht. Bestehende gesetzliche Aufbewahrungspflichten bleiben unberührt; insoweit werden die Daten gesperrt.

(6) Die Löschung von Datensicherungen (Backups) erfolgt im Rahmen der regulären Backup-Zyklen.

(1) Für die Haftung der Parteien gegenüber betroffenen Personen gilt Art. 82 DSGVO.

(2) Im Innenverhältnis haftet jede Partei für Schäden, die durch eine ihr zurechenbare Verletzung dieses Vertrags oder der DSGVO entstehen. Die Haftungsregelungen des Hauptvertrags (AGB) gelten ergänzend, soweit sie zwingenden datenschutzrechtlichen Vorgaben nicht entgegenstehen.

(1) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen Bestimmung gilt eine Regelung als vereinbart, die dem wirtschaftlich und datenschutzrechtlich Gewollten am nächsten kommt.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in Bezug auf den Datenschutz vor.

(3) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Dies gilt auch für die Aufhebung dieses Textformerfordernisses.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit gesetzlich zulässig, Münster.