Vertrag über die Auftragsverarbeitung (Art. 28 DSGVO)

Vertragsparteien

Präambel

Der Auftragnehmer stellt dem Auftraggeber eine webbasierte KI-Plattform bereit. Soweit der Auftraggeber hierbei personenbezogene Daten verarbeitet, für die er Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist, handelt der Auftragnehmer als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO. Dieser Vertrag konkretisiert die Pflichten der Parteien nach Art. 28 DSGVO.

Dieser Vertrag gilt ergänzend zum Hauptvertrag (Nutzungsvertrag über den Tarif „[[plan_name]]", Vertragsnummer [[contract_number]]). Bei Widersprüchen zu datenschutzrechtlichen Regelungen geht dieser Vertrag vor.

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung und des Betriebs der Plattform gemäß Hauptvertrag.

Die Laufzeit entspricht der Laufzeit des Hauptvertrages. Vertragsbeginn: [[contract_start]]. Laufzeit: [[contract_term]]. Der Vertrag endet automatisch mit Beendigung des Hauptvertrages.

2. Art und Zweck der Verarbeitung

Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln an eingesetzte Modellanbieter, Einschränken, Löschen und Vernichten.

Zweck der Verarbeitung: Bereitstellung der vereinbarten Plattformfunktionen, insbesondere [[service_scope]].

Aktivierte KI-Funktionen: [[ai_features]].

API-Nutzung: [[api_usage]].

3. Datenarten

Verarbeitet werden die vom Auftraggeber eingegebenen oder hochgeladenen Daten sowie die zur Kontoführung erforderlichen Daten, insbesondere: [[data_types]].

Der Auftraggeber entscheidet allein darüber, welche Daten er in die Plattform eingibt. Die Eingabe besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nur nach gesonderter Vereinbarung zulässig.

4. Kategorien betroffener Personen

[[data_subjects]]

5. Rechte und Pflichten des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte betroffener Personen allein verantwortlich. Er ist verpflichtet, die erforderlichen Rechtsgrundlagen sicherzustellen sowie Informations- und gegebenenfalls Einwilligungspflichten gegenüber den betroffenen Personen zu erfüllen.

Der Auftraggeber ist berechtigt, Weisungen zur Verarbeitung zu erteilen und die Einhaltung dieses Vertrages zu kontrollieren.

6. Weisungsgebundenheit

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Der Abschluss des Hauptvertrages und die Nutzung der Plattformfunktionen gelten als Erstweisung.

Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Auftraggeber unverzüglich und kann die Ausführung bis zur Bestätigung oder Änderung aussetzen.

Ist der Auftragnehmer aufgrund von Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet, teilt er dies dem Auftraggeber vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

7. Vertraulichkeit

Der Auftragnehmer verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

8. Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Er ist berechtigt, die Maßnahmen fortzuentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird.

9. Unterstützung bei Betroffenenrechten

Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Möglichen bei der Erfüllung von Anträgen betroffener Personen nach Kapitel III DSGVO. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst.

Der Auftraggeber kann Auskunft, Berichtigung, Löschung und Export der Daten weitgehend selbständig über die Funktionen der Plattform vornehmen.

10. Unterstützung bei Datenschutz-Folgenabschätzungen

Der Auftragnehmer unterstützt den Auftraggeber bei Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO und bei vorherigen Konsultationen nach Art. 36 DSGVO, indem er die ihm vorliegenden Informationen zu Verarbeitungsvorgängen und Schutzmaßnahmen zur Verfügung stellt.

11. Datenschutzverletzungen

Der Auftragnehmer informiert den Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist. Die Meldung enthält die verfügbaren Angaben nach Art. 33 Abs. 3 DSGVO und wird laufend ergänzt.

Der Auftragnehmer unterstützt den Auftraggeber bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

12. Audit- und Kontrollrechte

Der Auftraggeber hat das Recht, die Einhaltung dieses Vertrages zu überprüfen. Die Prüfung erfolgt vorrangig durch Einholung von Auskünften und Vorlage von Nachweisen. Vor-Ort-Prüfungen sind mit angemessener Vorankündigung, während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und unter Wahrung der Geheimhaltungsinteressen Dritter zulässig.

Der Auftragnehmer kann für einen über die Auskunftserteilung hinausgehenden Aufwand eine angemessene Vergütung verlangen, sofern die Prüfung nicht durch einen konkreten Anlass veranlasst ist.

13. Nachweise

Der Auftragnehmer stellt dem Auftraggeber auf Anforderung die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung, insbesondere die Beschreibung der technischen und organisatorischen Maßnahmen sowie die aktuelle Unterauftragsverarbeiterliste.

14. Unterauftragsverarbeiter

Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.

Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mit einer Frist von mindestens 14 Tagen in Textform oder durch Aktualisierung der veröffentlichten Liste. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Fall eines berechtigten Widerspruchs, dem nicht abgeholfen werden kann, ist jede Partei berechtigt, den Hauptvertrag zum Wirksamkeitszeitpunkt der Änderung zu kündigen.

Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter durch Vertrag die gleichen Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind.

Der Auftragnehmer legt ausdrücklich offen, dass der Betrieb der Plattform durch Hallo-Webseite.de, Inhaber Enrico Fischer, Sendeweg 2, 34246 Vellmar, Deutschland erfolgt. Dabei handelt es sich um ein verbundenes Unternehmen desselben Inhabers wie AiLinkHub.de. Hallo-Webseite.de setzt seinerseits die IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland als Betreiberin des Rechenzentrums ein. Der tatsächliche Verarbeitungsort liegt in Deutschland.

Die vollständige Liste der Unterauftragsverarbeiter — einschließlich der KI-Modellanbieter, der Zahlungsdienstleister sowie der nur bei ausdrücklicher Verknüpfung durch den Auftraggeber eingesetzten Dienste — ergibt sich aus Anlage 3 in der zum Zeitpunkt der Unterzeichnung gültigen Fassung.

15. Änderungsverfahren

Änderungen dieses Vertrages bedürfen der Textform. Erfordern Änderungen der Rechtslage oder der technischen Gegebenheiten eine Anpassung, legt der Auftragnehmer eine neue Vertragsversion vor. Die neue Version wird dem Auftraggeber im Kundenkonto angezeigt und ist dort elektronisch abzuschließen. Bereits unterzeichnete Fassungen bleiben unverändert archiviert.

16. Drittlandübermittlungen

Eine Übermittlung personenbezogener Daten in ein Drittland erfolgt nur, soweit die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Die je Unterauftragsverarbeiter geltende Transfergrundlage - insbesondere Angemessenheitsbeschluss oder Standardvertragsklauseln - ist in Anlage 3 ausgewiesen.

17. Rückgabe und Löschung

Nach Beendigung des Hauptvertrages löscht der Auftragnehmer die verarbeiteten Daten oder gibt sie nach Wahl des Auftraggebers zurück. Der Auftraggeber kann seine Daten bis zum Ende der Vertragslaufzeit und für einen Zeitraum von 30 Tagen danach über die Exportfunktionen der Plattform selbst sichern.

Nach Ablauf dieser Frist werden die Daten gelöscht, es sei denn, eine gesetzliche Aufbewahrungspflicht steht entgegen. In diesem Fall wird die Verarbeitung auf die Aufbewahrung beschränkt.

18. Laufzeit, Beendigung, Haftung und Schlussbestimmungen

Die Haftung richtet sich nach Art. 82 DSGVO und ergänzend nach den Regelungen des Hauptvertrages.

Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Dieser Vertrag wird elektronisch geschlossen. Die elektronische Unterzeichnung erfolgt über die Signaturfunktion im Kundenkonto; die Signaturdaten werden nachweisbar protokolliert.

Anlage 1: Beschreibung der Verarbeitung

Anlage 4: Weisungen und Ansprechpartner

Zulässige Weisungskanäle: Textform an info@ailinkhub.de aus der im Kundenkonto hinterlegten E-Mail-Adresse sowie die Konfigurationsfunktionen innerhalb der Plattform. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

Weisungen werden vom Auftragnehmer mit Datum, Inhalt, weisungsgebender Person und Ausführung protokolliert. Das Weisungsprotokoll ist Bestandteil der Nachweise nach Ziffer 13.