Auftragsverarbeitungsvertrag

Dieser Vertrag wird geschlossen zwischen dem Kundenbetrieb, der KARLA nutzt (im Folgenden „Verantwortlicher“), und

Matteo Cordtomeikel
KARLA
Obernstraße 50
33602 Bielefeld
E-Mail: matteo@cordtomeikel.com

(im Folgenden „Auftragsverarbeiter“).

Er wird wirksam, wenn der Verantwortliche das Angebot über KARLA annimmt, und ist Bestandteil dieses Vertrags.

Gegenstand ist die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter bei der Einrichtung, dem Betrieb und der Betreuung von KARLA für den Verantwortlichen durchführt. Grundlage ist der Vertrag über KARLA mit den AGB.

Dieser Vertrag läuft, solange der Vertrag über KARLA läuft, und endet mit ihm. Die Pflichten zur Löschung nach § 9 gelten darüber hinaus.

Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung verantwortlich. Eigene Vertrags-, Kontakt- und Rechnungsdaten verarbeitet der Auftragsverarbeiter als eigener Verantwortlicher. Sie sind nicht Gegenstand dieses Vertrags, sondern in der Datenschutzerklärung beschrieben.

Zweck

KARLA beantwortet Fragen der Beschäftigten des Verantwortlichen auf Grundlage seiner Unterlagen. Dazu gehört auch die Verwaltung der Zugänge zu seinem Arbeitsbereich.

Art der Verarbeitung

Erheben, Speichern, Ordnen, Auslesen, Abfragen, Übermitteln an die Unterauftragsverarbeiter nach Anlage 2 und Löschen.

Betroffene Personen

• Beschäftigte des Verantwortlichen, die KARLA nutzen,
• Personen, die in den Unterlagen des Verantwortlichen genannt sind, etwa Ansprechpartner, Beauftragte, Kunden und Lieferanten.

Arten personenbezogener Daten

• Zugangsdaten: Name, dienstliche E-Mail-Adresse, Rolle im Arbeitsbereich,
• Nutzungsdaten: Zeitpunkt der Nutzung, genutzter Agent, Verbrauch,
• Inhalte: Fragen und Antworten, hochgeladene Dateien und Unterlagen, soweit sie Personenbezug haben.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Verantwortliche stellt sicher, dass solche Daten nicht eingestellt werden.

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Dieser Vertrag und die Nutzung von KARLA durch die Beschäftigten des Verantwortlichen sind die laufende Weisung.

Weitere Weisungen erteilt der Verantwortliche in Textform an matteo@cordtomeikel.com. Weisungsbefugt sind die Personen, die der Verantwortliche benennt.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das unverzüglich mit und darf sie aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Insbesondere werden Inhalte des Verantwortlichen nicht zum Training von KI-Modellen verwendet.

Der Auftragsverarbeiter verarbeitet die Daten selbst und ist zur Vertraulichkeit verpflichtet. Setzt er weitere Personen ein, verpflichtet er sie vorher zur Vertraulichkeit. Die Verpflichtung gilt über das Ende der Tätigkeit hinaus.

Auf Inhalte greift der Auftragsverarbeiter nur zu, soweit es für Einrichtung, Pflege, Fehlersuche oder eine Weisung nötig ist.

Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen teilt er dem Verantwortlichen mit.

Der Verantwortliche genehmigt den Einsatz der Unterauftragsverarbeiter aus Anlage 2.

Plant der Auftragsverarbeiter, einen Unterauftragsverarbeiter hinzuzunehmen oder zu ersetzen, informiert er den Verantwortlichen vorher in Textform. Erfährt er von einer solchen Änderung bei einem Unterauftragsverarbeiter, informiert er unverzüglich. Der Verantwortliche kann innerhalb von 14 Tagen nach der Information aus einem datenschutzrechtlichen Grund widersprechen. Einigen sich die Parteien nicht, kann jede Seite den Vertrag über KARLA zum Zeitpunkt der Änderung kündigen.

Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen. Er bleibt gegenüber dem Verantwortlichen für dessen Handeln verantwortlich.

Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

Der Auftragsverarbeiter unterstützt den Verantwortlichen dabei, Anträge auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch fristgerecht zu beantworten (Art. 12 Abs. 3 DSGVO). Auf Weisung stellt er die nötigen Daten zusammen oder löscht sie.

Erfährt der Auftragsverarbeiter von einer Verletzung des Schutzes personenbezogener Daten, meldet er sie dem Verantwortlichen unverzüglich, damit dieser seine Meldefrist von 72 Stunden nach Art. 33 DSGVO einhalten kann. Die Meldung nennt, soweit bekannt, die Art der Verletzung, die betroffenen Daten und Personen, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen.

Der Auftragsverarbeiter unterstützt den Verantwortlichen außerdem bei der Sicherheit der Verarbeitung (Art. 32), bei einer Datenschutz-Folgenabschätzung (Art. 35) und bei einer Konsultation der Aufsichtsbehörde (Art. 36), soweit ihm die Informationen dafür vorliegen.

Bis zum Vertragsende kann der Verantwortliche verlangen, dass der Auftragsverarbeiter ihm die hochgeladenen Unterlagen zurückgibt. Innerhalb von 30 Tagen nach Vertragsende löscht der Auftragsverarbeiter den Arbeitsbereich des Verantwortlichen mit allen Daten.

Soweit Unterauftragsverarbeiter Sicherungskopien vorhalten, werden die Daten dort im Rahmen ihrer regulären Sicherungszyklen entfernt. Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform.

Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten auf Anfrage nach, vor allem durch die Beschreibung der Maßnahmen (Anlage 1), die Liste der Unterauftragsverarbeiter (Anlage 2) und die Unterlagen, die ihm seine Unterauftragsverarbeiter zur Verfügung stellen.

Reicht das nicht aus, kann der Verantwortliche nach Ankündigung mit angemessener Frist eine Überprüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, in der Regel einmal im Jahr. Die Prüfung darf den Betrieb nicht unangemessen stören.

Die Antworten von KARLA werden ausschließlich in der EU oder im EWR berechnet. Eine Übermittlung in ein Drittland findet im Rahmen dieses Vertrags nicht statt. Sollte sie notwendig werden, informiert der Auftragsverarbeiter den Verantwortlichen vorher und stellt die Garantien nach Art. 44 ff. DSGVO sicher.

Nutzt der Verantwortliche KARLA in Microsoft Teams, laufen die Nachrichten über den Bot-Dienst von Microsoft im Rahmen des Microsoft-Vertrags des Verantwortlichen. Microsoft sichert dafür keine Verarbeitung ausschließlich in der EU zu. Diese Verarbeitung durch Microsoft ist nicht Gegenstand dieses Vertrags.

Änderungen bedürfen der Textform. Widersprechen sich dieser Vertrag und die AGB, geht in Fragen des Datenschutzes dieser Vertrag vor.

Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam. Es gilt deutsches Recht.

Vertraulichkeit

• Jeder Verantwortliche hat einen eigenen Arbeitsbereich. Ablagen für Unterlagen gehören immer zu genau einem Arbeitsbereich und lassen sich nicht mit anderen Betrieben teilen.
• Rollen mit unterschiedlichen Rechten (Administrator und Nutzer). Agenten sind nur für freigegebene Nutzer erreichbar.
• Anmeldung über einen persönlichen Anmeldelink an die dienstliche E-Mail-Adresse.
• Verschlüsselte Übertragung über HTTPS, auch zwischen Plattform und Sprachmodell.
• Zugangsdaten zu verbundenen Diensten liegen verschlüsselt auf dem Server.
• Die Betreueransicht des Auftragsverarbeiters zeigt Verbrauch und Aktivität, aber keine Inhalte von Unterhaltungen.

Integrität

• Vor jeder Aktion, die etwas sendet oder ändert, ist eine Freigabe durch einen Menschen nötig.
• In Microsoft Teams kann KARLA nur lesen und antworten.
• Jeder Arbeitsschritt wird protokolliert und ist im Arbeitsbereich nachvollziehbar.

Verfügbarkeit und Ort der Verarbeitung

• Die Sprachmodelle laufen ausschließlich in Rechenzentren in der EU oder im EWR. Ausweichserver außerhalb Europas gibt es nach Angabe von Melious nicht.
• Für KARLA ist fest ein Modell mit Verarbeitung in der EU eingestellt. Der Auftragsverarbeiter prüft diese Einstellung bei jeder Änderung an KARLA.
• Angaben von lowcloud zu Serverstandort und Datensicherung der Plattform werden ergänzt, sobald sie schriftlich vorliegen.

Regelmäßige Überprüfung

• Der Auftragsverarbeiter prüft die Zugänge und Freigaben im Arbeitsbereich bei jeder Änderung und entfernt Zugänge, die nicht mehr gebraucht werden, nach Rücksprache mit dem Verantwortlichen.
• Er verfolgt die Angaben seiner Unterauftragsverarbeiter und passt diesen Vertrag an, wenn sie sich ändern.