Auftragsverarbeitungsvertrag (AVV)

Präambel

(1) Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO zwischen dem Auftraggeber (z. B. öffentliche Stelle oder Unternehmen) und dem Auftragsverarbeiter, der European Innovation Forum GmbH, handelnd unter der Marke FEAZY. Im Sinne des Datenschutzes ist der Auftraggeber der „Verantwortliche", der Auftragnehmer der „Auftragsverarbeiter".

(2) Der Auftragsverarbeiter stellt dem Auftraggeber Leistungen im Rahmen der FEAZY-Lösungen bereit. Im Zuge dieser Leistungen verarbeitet der Auftragsverarbeiter personenbezogene Daten ausschließlich im Auftrag und nach dokumentierter Weisung des Auftraggebers.

(3) Diese Vereinbarung konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien und gewährleistet, dass die Verarbeitung personenbezogener Daten ausschließlich nach den Vorgaben des Auftraggebers und im Einklang mit den Bestimmungen der DSGVO sowie sonstigen geltenden Datenschutzvorschriften erfolgt. Sie ist Bestandteil des zwischen den Parteien bestehenden Hauptvertrags über die Nutzung der FEAZY-Lösungen.

§ 1 – Gegenstand, Ort und Dauer der Auftragsverarbeitung

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur Erfüllung der vertraglich vereinbarten Leistungen im Rahmen der FEAZY-Lösungen. Dies umfasst insbesondere die Bereitstellung, den Betrieb, und den Support der jeweiligen Systeme und Anwendungen.

(2) Gegenstand der Verarbeitung ist die technische Speicherung, Organisation, Übermittlung und Auswertung personenbezogener Daten, die im Zusammenhang mit der Nutzung der FEAZY-Lösungen durch den Auftraggeber und dessen autorisierte Nutzer entstehen.

(3) Die Einzelheiten zu Zweck, Art der Verarbeitung, Kategorien betroffener Personen, Datenarten, Systemkomponenten und Speicherorten ergeben sich aus Anlage 1 (Beschreibung der Verarbeitungstätigkeiten).

(4) Diese Vereinbarung tritt mit Unterzeichnung in Kraft und gilt für die Dauer der Nutzung der FEAZY-Lösungen. Sie endet automatisch mit Beendigung des Hauptvertrags.

(5) Die Verarbeitung personenbezogener Daten erfolgt ausschließlich innerhalb der Europäischen Union (EU) bzw. des Europäischen Wirtschaftsraums (EWR). Verarbeitung, Speicherung und Backups erfolgen ausschließlich auf EU-Servern in der Open Telekom Cloud (OTC) der Telekom Deutschland GmbH (deutsche Rechenzentren). Die aktuelle Modellübersicht ist unter feazy.de/modelle abrufbar. Eine Verarbeitung in Drittländern außerhalb der EU oder des EWR findet nicht statt. Sollte eine solche künftig erforderlich werden, erfolgt sie ausschließlich unter Einhaltung der Art. 44 ff. DSGVO (z. B. Standardvertragsklauseln) und nach vorheriger schriftlicher Zustimmung des Auftraggebers. Auf ausdrücklichen Wunsch des Auftraggebers kann der Auftragsverarbeiter zusätzliche Sprach- oder KI-Modelle (Large Language Models, LLMs) integrieren, deren Anbieter Rechenzentren außerhalb des EU/EWR-Raums betreiben. In diesen Fällen erfolgt die Datenverarbeitung ausschließlich auf Grundlage einer gesonderten schriftlichen Weisung des Auftraggebers und unter Einhaltung der Art. 44 ff. DSGVO (z. B. Standardvertragsklauseln). Ohne diese ausdrückliche Freigabe findet keine Verarbeitung personenbezogener Daten in Drittländern statt.

(6) Diese Vereinbarung gilt auch für zukünftige, gleichartige Dienstleistungen des Auftragsverarbeiters, soweit sie in den Geltungsbereich des Hauptvertrags fallen.

§ 2 – Art und Zweck der Verarbeitung

(1) Zweck dieser Auftragsverarbeitung ist der Betrieb, die Bereitstellung und der technische Support der FEAZY-Lösungen. Die Verarbeitung personenbezogener Daten erfolgt ausschließlich, um die vertraglich vereinbarten Funktionen und Dienste für den Auftraggeber zu ermöglichen.

(2) Die Verarbeitung umfasst insbesondere:

• Speicherung und Verwaltung von Kommunikations-, Nutzer- und Systemdaten,
• technische Verarbeitung von Eingaben und Anfragen,
• Verwaltung von Rollen-, Berechtigungs- und Nutzerinformationen.

(3) Die Verarbeitung personenbezogener Daten erfolgt ausschließlich auf dokumentierte Weisung des Auftraggebers im Sinne von Art. 29 DSGVO. Der Auftragsverarbeiter ist nicht berechtigt, die Daten ohne entsprechende Weisung zu verändern, zu löschen, an Dritte weiterzugeben oder zu eigenen Zwecken zu nutzen.

(4) Eine Nutzung der Daten zu anderen Zwecken – insbesondere für Marketing, Profiling, Training oder Fine-Tuning von KI-Systemen – ist ausgeschlossen. Dies gilt auch für anonymisierte oder pseudonymisierte Datensätze, soweit ein Personenbezug nicht mit hinreichender Sicherheit ausgeschlossen werden kann.

(5) Der Auftragsverarbeiter gewährleistet, dass sämtliche Verarbeitungsvorgänge nachvollziehbar, dokumentiert und revisionssicher ausgestaltet sind. Änderungen, die Auswirkungen auf Art oder Zweck der Verarbeitung haben, dürfen nur nach vorheriger schriftlicher Zustimmung des Auftraggebers umgesetzt werden.

§ 3 – Kategorien betroffener Personen und Datenarten

(1) Im Rahmen der Erbringung der FEAZY-Lösungen kann der Auftragsverarbeiter personenbezogene Daten im Auftrag des Auftraggebers verarbeiten. Betroffen sind insbesondere folgende Kategorien von Personen:

• Beschäftigte, Beauftragte oder sonstige autorisierte Nutzer des Auftraggebers,
• Kunden, Klienten, Bürger oder sonstige externe Kommunikationspartner,
• ggf. Lieferanten, Dienstleister oder Partnerunternehmen, soweit sie in Prozesse des Auftraggebers eingebunden sind.

(2) Verarbeitet werden – je nach Nutzung der FEAZY-Lösungen – insbesondere folgende Kategorien personenbezogener Daten:

• Stammdaten (z. B. Name, Kontaktdaten wie E-Mail-Adresse, Telefonnummer),
• Kommunikationsdaten (z. B. Texteingaben, Anfragen, Dokumente, Korrespondenzinhalte),
• System- und Nutzungsdaten (z. B. technische Protokolle, IP-Adressen, Zeitstempel, Rollen- und Berechtigungsinformationen),
• Support- und Wartungsdaten (z. B. Fehlermeldungen, Ticket- oder Log-IDs, soweit personenbezogene Bezüge bestehen).

(3) Die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO (z. B. Gesundheits-, Religions- oder Gewerkschaftsdaten) ist nicht Gegenstand dieser Vereinbarung und bedarf einer gesonderten schriftlichen Vereinbarung. Der Auftraggeber hat sicherzustellen, dass solche Daten nur verarbeitet werden, wenn die gesetzlichen Voraussetzungen erfüllt und angemessene Schutzmaßnahmen getroffen sind.

(4) Die jeweils konkret verarbeiteten Datenarten und Personengruppen ergeben sich aus der Leistungsbeschreibung und der Anlage 1 (Beschreibung der Verarbeitungstätigkeiten).

§ 4 – Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Weisungen sind schriftlich oder in einem dokumentierbaren elektronischen Format zu erteilen. Im Falle gesetzlicher Verpflichtungen zur abweichenden Verarbeitung informiert der Auftragsverarbeiter den Auftraggeber vorab, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Der Auftragsverarbeiter gewährleistet, dass alle Personen, die personenbezogene Daten verarbeiten, auf Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Der Auftragsverarbeiter trifft technische und organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Diese Maßnahmen sind in Anlage 2 beschrieben und werden regelmäßig auf ihre Wirksamkeit überprüft, dokumentiert und bei Bedarf angepasst.

(4) Der Auftragsverarbeiter hat jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden dem Auftraggeber zu melden. Auch begründete Verdachtsfälle sind mitzuteilen. Die Meldung hat alle nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen zu enthalten (Art, Umfang, mögliche Folgen, ergriffene Maßnahmen).

(5) Der Auftragsverarbeiter führt ein internes Verzeichnis aller Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und stellt dieses auf Anforderung der Aufsichtsbehörde oder des Auftraggebers zur Verfügung, soweit die darin enthaltenen Informationen den Auftrag betreffen.

(6) Der Auftragsverarbeiter darf personenbezogene Daten nur so lange speichern, wie dies zur Erfüllung der Weisungen des Auftraggebers in Bezug auf den Verarbeitungszweck erforderlich ist. Nach Wegfall des jeweiligen Verarbeitungszwecks sind Daten zu löschen oder zu anonymisieren, sofern keine rechtlichen Aufbewahrungspflichten entgegenstehen.

(7) Der Auftragsverarbeiter verpflichtet sich, den Auftraggeber unverzüglich zu informieren, wenn nach seiner Einschätzung eine Weisung des Auftraggebers gegen Datenschutzvorschriften verstößt. In diesem Fall darf die Verarbeitung ausgesetzt werden, bis die Weisung überprüft oder angepasst wurde.

(8) Der Auftragsverarbeiter verpflichtet sich zur vollständigen Nachweisbarkeit seiner Pflichterfüllung gegenüber dem Auftraggeber. Dazu gehören Dokumentationen zu technischen Maßnahmen, Schulungen, Sicherheitsprüfungen und internen Prozessen. Diese Unterlagen sind auf Anforderung zur Einsicht bereitzustellen oder auszugsweise zu übermitteln.

§ 5 – Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung der personenbezogenen Daten verantwortlich. Er trägt insbesondere die Verantwortung dafür, dass

• eine geeignete Rechtsgrundlage für jede Datenverarbeitung besteht (z. B. ggf. erforderliche Einwilligungen rechtswirksam eingeholt und dokumentiert wurden),
• Betroffene gemäß Art. 13 und 14 DSGVO informiert werden,
• die Rechte der Betroffenen gewahrt werden,
• eine Datenschutz-Folgenabschätzung durchgeführt wurde, sofern erforderlich.

(2) Der Auftraggeber hat die Weisungsbefugnis hinsichtlich Art, Umfang und Verfahren der Verarbeitung personenbezogener Daten. Weisungen sind schriftlich oder in einem dokumentierbaren elektronischen Format zu erteilen. Der Auftraggeber informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt oder wenn Weisungen zu ändern, zu ergänzen oder aufzuheben sind.

(3) Der Auftraggeber benennt eine oder mehrere zuständige Kontaktpersonen, über die Weisungen, Meldungen und Abstimmungen zu datenschutzrelevanten Themen erfolgen. Änderungen der Kontaktpersonen sind dem Auftragsverarbeiter unverzüglich mitzuteilen.

(4) Der Auftraggeber stellt sicher, dass die im Rahmen der Nutzung der FEAZY-Lösungen übermittelten Daten

• keine unzulässigen Inhalte enthalten,
• keine besonderen Kategorien personenbezogener Daten gemäß Art. 9 Abs. 1 DSGVO umfassen, sofern hierfür keine ausdrückliche Vereinbarung besteht,
• und nicht in Widerspruch zu vertraglichen oder gesetzlichen Bestimmungen verarbeitet werden.

(5) Der Auftraggeber prüft regelmäßig die Einhaltung der in dieser Vereinbarung festgelegten Maßnahmen durch den Auftragsverarbeiter. Er dokumentiert die Ergebnisse dieser Prüfungen und berücksichtigt sie bei seinen eigenen Datenschutzkontrollen.

(6) Der Auftraggeber ist verpflichtet, dem Auftragsverarbeiter alle für die Erfüllung dieser Vereinbarung erforderlichen Informationen zur Verfügung zu stellen. Dazu gehören insbesondere die Definition zulässiger Datenkategorien, Nutzergruppen und interner Richtlinien, soweit diese für den sicheren Betrieb der FEAZY-Lösungen relevant sind.

(7) Stellt der Auftraggeber fest, dass eine Verarbeitung personenbezogener Daten nicht mehr erforderlich oder unzulässig ist, sind die betreffenden Daten nach Weisung des Auftraggebers gemäß § 10 zu löschen oder zu anonymisieren.

§ 6 – Unterauftragsverhältnisse

(1) Der Auftragsverarbeiter darf weitere Unterauftragsverarbeiter (nachfolgend „Subunternehmer") nur einsetzen, wenn der Auftraggeber hierüber vorab informiert wurde. Der Auftragsverarbeiter informiert den Auftraggeber vorab in Textform über geplante Änderungen in der Liste der Unterauftragsverarbeiter. Die Mitteilung muss mindestens folgende Angaben enthalten:

• Name und Sitz des neuen Unterauftragsverarbeiters,
• Beschreibung der beabsichtigten Verarbeitungstätigkeit,
• Standort der Verarbeitung,
• Nachweis zur Einhaltung der DSGVO.

Der Auftraggeber kann der Änderung innerhalb von 30 Kalendertagen nach Zugang der Mitteilung aus berechtigtem, datenschutzrechtlich begründetem Anlass widersprechen. Bis zum Ablauf dieser Frist wird der betreffende Unterauftragsverarbeiter nicht für die Verarbeitung personenbezogener Daten des Auftraggebers eingesetzt. Im Fall eines Widerspruchs streben die Parteien eine einvernehmliche Lösung an. Kann diese nicht innerhalb angemessener Frist gefunden werden, ist der Auftraggeber berechtigt, die betroffene Leistung mit Wirkung zum geplanten Einsatzzeitpunkt des Unterauftragsverarbeiters außerordentlich zu kündigen.

(2) Zum Zeitpunkt des Vertragsschlusses eingesetzte Unterauftragsverarbeiter sind in Anlage 3 (Subprozessoren) aufgeführt. Der Auftragsverarbeiter verpflichtet sich, die Liste laufend zu pflegen und dem Auftraggeber auf Anfrage in aktueller Fassung bereitzustellen.

(3) Der Auftragsverarbeiter hat mit jedem Unterauftragsverarbeiter einen Vertrag im Sinne von Art. 28 Abs. 4 DSGVO zu schließen, der diesem dieselben Datenschutzpflichten auferlegt, wie sie in dieser Vereinbarung festgelegt sind. Insbesondere sind die technischen und organisatorischen Maßnahmen (TOMs) des Unterauftragsverarbeiters mindestens gleichwertig zu denen des Auftragsverarbeiters auszugestalten.

(4) Eine Beauftragung von Unterauftragsverarbeitern in Drittländern außerhalb der EU oder des EWR ist nur zulässig, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss, Standardvertragsklauseln, Transfer Impact Assessment) und der Auftraggeber zuvor schriftlich zugestimmt hat.

(5) Der Auftragsverarbeiter bleibt gegenüber dem Auftraggeber voll verantwortlich für die Einhaltung der Pflichten sämtlicher Unterauftragsverarbeiter. Verstöße eines Unterauftragsverarbeiters gelten als Verstöße des Auftragsverarbeiters.

(6) Der Auftragsverarbeiter überprüft regelmäßig die datenschutzrechtliche Zuverlässigkeit seiner Unterauftragsverarbeiter. Er dokumentiert die Prüfungen (z. B. Auditberichte, Zertifikate, Sicherheitsnachweise) und stellt sie dem Auftraggeber auf Anforderung zur Verfügung.

(7) Als Unterauftragsverhältnis gilt jede Form der Verarbeitung personenbezogener Daten durch einen Dritten, der im Rahmen dieses Vertrages Leistungen für den Auftragsverarbeiter erbringt und dabei Zugang zu personenbezogenen Daten erhält oder erhalten kann. Nicht als Unterauftragsverhältnisse gelten Dienstleistungen, die eine bloße Nebenleistung darstellen, etwa Transport-, Wartungs- oder Entsorgungsleistungen ohne Datenzugriff, wenn geeignete technische und organisatorische Maßnahmen den Zugriff ausschließen.

§ 7 – Technisch-organisatorische Maßnahmen (TOMs)

(1) Der Auftragsverarbeiter verpflichtet sich, geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO zu treffen, um ein dem Risiko angemessenes Schutzniveau für personenbezogene Daten sicherzustellen. Dabei berücksichtigt er insbesondere

• den Stand der Technik,
• die Implementierungskosten,
• die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung,
• sowie die Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten betroffener Personen.

(2) Die zum Zeitpunkt des Vertragsschlusses bestehenden Maßnahmen sind in Anlage 2 (TOMs) beschrieben. Sie umfassen insbesondere Regelungen zu:

• Zutritts- und Zugangskontrolle,
• Zugriffskontrolle und Berechtigungsmanagement,
• Weitergabe- und Übertragungskontrolle,
• Eingabe-, Verfügbarkeits- und Trennungskontrolle,
• Verschlüsselung, Backup, Monitoring und Incident Management,
• Awareness, Schulung und Verpflichtung der Mitarbeitenden.

(3) Der Auftragsverarbeiter überprüft die Wirksamkeit der Maßnahmen regelmäßig und passt sie an, wenn sich die technischen Rahmenbedingungen oder Risiken verändern. Eine Anpassung darf nicht zu einer Reduzierung des Sicherheitsniveaus führen.

(4) Der Auftragsverarbeiter dokumentiert die Umsetzung der Maßnahmen und stellt dem Auftraggeber auf Anfrage einen geeigneten Nachweis der Wirksamkeit zur Verfügung. Dies kann beispielsweise durch Auditberichte, Zertifikate, interne Prüfprotokolle oder Sicherheitsrichtlinien erfolgen.

(5) Der Auftraggeber ist berechtigt, sich in angemessenem Umfang über die Einhaltung der vereinbarten Maßnahmen zu informieren. Die Einzelheiten der Kontrolle ergeben sich aus § 9 dieser Vereinbarung.

(6) Der Auftragsverarbeiter stellt sicher, dass auch eingesetzte Unterauftragsverarbeiter geeignete technische und organisatorische Maßnahmen implementiert haben, die mindestens das gleiche Schutzniveau gewährleisten.

(7) Sollte der Auftraggeber eine Anpassung oder Erweiterung bestimmter Sicherheitsmaßnahmen verlangen, wird der Auftragsverarbeiter dies im Rahmen des technisch und wirtschaftlich Zumutbaren prüfen und – sofern vertretbar – umsetzen. Umsetzbare Änderungen werden dokumentiert und dem Auftraggeber schriftlich bestätigt.

§ 8 – Betroffenenrechte

(1) Der Auftragsverarbeiter unterstützt den Auftraggeber nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen gemäß Art. 12 bis 22 DSGVO, soweit dies für die vertraglich vereinbarten Leistungen erforderlich ist. Dazu gehören insbesondere Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie das Widerspruchsrecht.

(2) Macht eine betroffene Person unmittelbar gegenüber dem Auftragsverarbeiter Ansprüche nach Art. 12 ff. DSGVO geltend, so

• informiert der Auftragsverarbeiter den Auftraggeber unverzüglich, spätestens jedoch innerhalb von zwei Werktagen,
• nimmt keine eigenständige rechtliche Bewertung oder Entscheidung vor,
• und leitet die Anfrage einschließlich aller relevanten Informationen vollständig an den Auftraggeber weiter.

(3) Der Auftragsverarbeiter hat dafür zu sorgen, dass alle Mitarbeiter, die personenbezogene Daten verarbeiten, über die Verpflichtung zur Weiterleitung von Betroffenenanfragen informiert sind und diese dokumentieren. Anfragen, die nicht eindeutig zugeordnet werden können, sind ebenfalls an den Auftraggeber zu melden.

(4) Der Auftraggeber ist für die Bearbeitung und Beantwortung der Betroffenenanfragen verantwortlich. Der Auftragsverarbeiter unterstützt ihn dabei im erforderlichen Umfang, etwa durch:

• Bereitstellung gespeicherter Daten,
• Durchführung technischer Maßnahmen zur Löschung oder Sperrung,
• Dokumentation von Verarbeitungsvorgängen,
• Nachweisführung gegenüber Aufsichtsbehörden.

(5) Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen, um sicherzustellen, dass personenbezogene Daten ordnungsgemäß berichtigt, gelöscht, anonymisiert oder gesperrt werden können, sofern der Auftraggeber dies anordnet.

(6) Die Unterstützung erfolgt innerhalb der gesetzlich vorgesehenen Fristen. Erfordert die Umsetzung besonderen Aufwand, informiert der Auftragsverarbeiter den Auftraggeber unverzüglich über den voraussichtlichen Umfang und Zeitbedarf.

(7) Der Auftragsverarbeiter kann für Mehraufwand durch Unterstützungsleistungen im Zusammenhang mit Anfragen nach Kapitel III DSGVO eine angemessene Vergütung verlangen, soweit dieser Aufwand nicht in der Leistungsbeschreibung enthalten ist und über die gesetzlichen Pflichten des Auftragsverarbeiters hinausgeht, es sei denn, der Mehraufwand beruht auf einem Fehlverhalten des Auftragsverarbeiters. Die Höhe ist vorab einvernehmlich festzulegen; kommt keine Einigung zustande, gilt eine angemessene, marktübliche Vergütung.

§ 9 – Kontrolle und Auditrechte

(1) Der Auftraggeber ist berechtigt, die Einhaltung der in dieser Vereinbarung festgelegten datenschutzrechtlichen Verpflichtungen regelmäßig zu überprüfen oder durch unabhängige Prüfer überprüfen zu lassen. Ziel der Kontrolle ist die Feststellung, ob der Auftragsverarbeiter die gesetzlichen und vertraglichen Datenschutzpflichten erfüllt.

(2) Der Auftragsverarbeiter stellt dem Auftraggeber auf Anfrage alle erforderlichen Nachweise zur Verfügung, um die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarung zu belegen. Dazu gehören insbesondere:

• Dokumentationen über technische und organisatorische Maßnahmen,
• interne oder externe Auditberichte,
• Zertifizierungen oder Sicherheitsnachweise,
• Berichte über durchgeführte Penetrationstests oder Risikoanalysen.

(3) Prüfungen erfolgen grundsätzlich remote, etwa durch Einsicht in Dokumentationen, Videokonferenzen oder Auditberichte. Dies dient der Vermeidung unnötiger Störungen des Geschäftsbetriebs.

(4) Vor-Ort-Audits dürfen nur bei berechtigtem Anlass durchgeführt werden, insbesondere wenn

• ein begründeter Verdacht auf Verstöße gegen Datenschutzpflichten besteht,
• eine schwerwiegende Datenschutzverletzung gemeldet wurde, oder
• gesetzliche oder aufsichtsbehördliche Vorgaben dies verlangen.

Der Auftraggeber hat solche Prüfungen mit einer Frist von mindestens 30 Kalendertagen schriftlich anzukündigen und inhaltlich abzustimmen.

(5) Der Auftragsverarbeiter hat Audits zu dulden und die zur Prüfung erforderlichen Informationen bereitzustellen. Dabei sind berechtigte Betriebs-, Geschäfts- und Sicherheitsinteressen des Auftragsverarbeiters zu wahren. Der Auftraggeber verpflichtet sich, über alle im Rahmen der Kontrolle bekannt gewordenen vertraulichen Informationen Stillschweigen zu bewahren.

(6) Der Auditor oder das beauftragte Prüfunternehmen ist zur Vertraulichkeit verpflichtet und darf erhobene Informationen ausschließlich zur Durchführung des Audits verwenden. Eine Weitergabe an Dritte ist nur mit Zustimmung des Auftragsverarbeiters zulässig.

(7) Der Auftragsverarbeiter dokumentiert das Ergebnis der Audits sowie getroffene oder geplante Korrekturmaßnahmen und stellt diese dem Auftraggeber in angemessener Frist zur Verfügung.

(8) Regelmäßige Nachweise (z. B. jährliche Sicherheitsberichte, Zertifikate oder ISMS-Dokumente) können die Durchführung eigener Audits durch den Auftraggeber ersetzen, sofern sie den gleichen Informationswert bieten.

(9) Der Auftragsverarbeiter kann für Mehraufwand bei der Ermöglichung und Unterstützung von Kontrollen eine angemessene Kostenerstattung verlangen, soweit dieser Aufwand über das übliche Maß bzw. die vertraglich vereinbarten Leistungen hinausgeht und nicht auf einem Pflichtverstoß des Auftragsverarbeiters beruht. Die Höhe ist vorab einvernehmlich festzulegen; kommt keine Einigung zustande, gilt eine angemessene, marktübliche Vergütung.

§ 10 – Löschung und Rückgabe von Daten

(1) Nach Beendigung der vertraglichen Leistungen oder auf ausdrückliche Weisung des Auftraggebers verpflichtet sich der Auftragsverarbeiter, sämtliche personenbezogenen Daten, die im Zusammenhang mit der Auftragsverarbeitung stehen,

• entweder vollständig zu löschen oder zu anonymisieren oder
• dem Auftraggeber in einem strukturierten, gängigen und maschinenlesbaren Format (z. B. JSON oder CSV) zurückzugeben.

(2) Die Rückgabe oder Löschung erfolgt, sofern nichts anderes vereinbart ist, innerhalb von 30 Kalendertagen nach Vertragsende. Der Auftraggeber kann innerhalb dieses Zeitraums die Rückgabe in verschlüsselter Form verlangen. Zur Verschlüsselung werden ausschließlich anerkannte Verfahren (AES-256 oder gleichwertig) verwendet.

(3) Sofern gesetzliche Aufbewahrungspflichten oder technische Sicherungsmechanismen (z. B. Backups, Log-Archivierung) einer sofortigen Löschung entgegenstehen, werden die betroffenen Daten

• für jede weitere Verarbeitung gesperrt,
• nach Ablauf der Aufbewahrungsfrist oder des Sicherungszyklus endgültig gelöscht,
• und der Vorgang revisionssicher dokumentiert.

(4) Regelmäßige Backups werden mindestens wöchentlich überschrieben. Aufbewahrte Sicherungskopien sind verschlüsselt, mandantengetrennt und nur für autorisiertes Personal zugänglich.

(5) Der Auftragsverarbeiter hat dem Auftraggeber auf Anfrage schriftlich oder elektronisch zu bestätigen, dass die Löschung oder Anonymisierung gemäß dieser Vereinbarung erfolgt ist. Diese Bestätigung enthält Datum, Verantwortlichen und angewandte Verfahren.

(6) Eine weitergehende Speicherung personenbezogener Daten über die vereinbarte Frist hinaus ist nur zulässig,

• wenn eine gesetzliche Pflicht dies ausdrücklich erfordert, oder
• wenn der Auftraggeber dies schriftlich anordnet.

(7) Der Auftragsverarbeiter ist nicht berechtigt, Daten des Auftraggebers nach Vertragsende zu eigenen Zwecken – insbesondere zur Produktanalyse, Modelloptimierung oder Qualitätssicherung – zu verwenden.

(8) Soweit der Auftraggeber eine öffentliche Stelle ist, gelten ergänzend die einschlägigen kommunalen oder behördlichen Aufbewahrungs- und Löschfristen.

§ 11 – Kommunikations- und Meldepflichten

(1) Meldepflicht bei Datenschutzverletzungen

Der Auftragsverarbeiter ist verpflichtet, den Auftraggeber unverzüglich über jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten oder einen Verdachtsfall zu informieren, die im Zusammenhang mit der Verarbeitung im Auftrag steht. Die Meldung enthält mindestens folgende Angaben:

• eine Beschreibung der Art der Verletzung, einschließlich der betroffenen Datenkategorien und geschätzten Datensätze,
• Name und Kontaktdaten der Ansprechperson für weitere Informationen,
• eine Beschreibung der wahrscheinlichen Folgen der Verletzung,
• eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung oder Minderung möglicher nachteiliger Auswirkungen.

(2) Meldeverfahren und Kommunikationskanäle

Meldungen an den Auftraggeber erfolgen über den vereinbarten Kommunikationsweg (in der Regel per E-Mail an die vom Auftraggeber benannte Kontaktadresse oder an den behördlichen bzw. betrieblichen Datenschutzbeauftragten). Die primäre Kontaktadresse des Auftragsverarbeiters lautet: trust@feazy.de. Sofern erforderlich, kann die Meldung zusätzlich telefonisch angekündigt werden, um zeitkritische Reaktionen zu ermöglichen.

(3) Informationspflichten des Auftraggebers

Der Auftraggeber informiert den Auftragsverarbeiter, wenn

• er eine Datenschutzverletzung im eigenen Verantwortungsbereich feststellt,
• betroffene Personen oder Aufsichtsbehörden mit Bezug zur Auftragsverarbeitung an ihn herantreten, oder
• Meldungen oder Auskünfte des Auftragsverarbeiters für seine Pflichten nach Art. 33 oder 34 DSGVO erforderlich sind.

(4) Eskalations- und Dokumentationspflicht

Der Auftragsverarbeiter dokumentiert sämtliche Datenschutzvorfälle, einschließlich der ergriffenen Maßnahmen, und hält diese Dokumentation auf Anfrage für den Auftraggeber oder die zuständige Aufsichtsbehörde bereit.

(5) Änderungen relevanter Sicherheits- oder Kommunikationsstrukturen

Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich über Änderungen, die sich auf die Sicherheit, die Kommunikationswege oder die Benennung der Datenschutzkontaktstelle auswirken. Dies gilt insbesondere für Änderungen an sicherheitskritischen Komponenten, Kommunikationsadressen oder Eskalationsverfahren.

(6) Personenunabhängige Datenschutzkontaktstelle

Die datenschutzrelevante Kommunikation erfolgt über die funktionale Adresse trust@feazy.de. Der Auftragsverarbeiter stellt sicher, dass diese Adresse so überwacht wird, dass eine durchgehende, von einzelnen Personen unabhängige Erreichbarkeit gewährleistet ist; einer gesonderten Benennung einzelner Ansprechpersonen oder Vertretungen bedarf es daher nicht. Änderungen dieses Kommunikationswegs teilt der Auftragsverarbeiter dem Auftraggeber unverzüglich in Textform mit.

§ 12 – Vertraulichkeit und Geheimhaltung

(1) Der Auftragsverarbeiter verpflichtet sich, alle im Zusammenhang mit der Auftragsverarbeitung bekannt gewordenen Informationen streng vertraulich zu behandeln. Dies betrifft insbesondere personenbezogene Daten, interne Unterlagen, technische Spezifikationen, Geschäfts- und Betriebsgeheimnisse des Auftraggebers sowie sonstige vertrauliche Informationen, unabhängig von deren Form (schriftlich, elektronisch, mündlich).

(2) Der Auftragsverarbeiter stellt sicher, dass sämtliche Mitarbeitenden, freien Mitarbeitenden und sonstigen beauftragten Personen, die Zugang zu personenbezogenen Daten oder vertraulichen Informationen haben,

• vor Aufnahme ihrer Tätigkeit schriftlich auf Vertraulichkeit verpflichtet werden,
• regelmäßig über datenschutzrechtliche Pflichten und Sicherheitsanforderungen geschult werden,
• und auch nach Beendigung ihrer Tätigkeit der Geheimhaltungspflicht unterliegen.

(3) Der Auftragsverarbeiter verpflichtet sich, vertrauliche Informationen des Auftraggebers nicht zu eigenen Zwecken zu nutzen oder Dritten zugänglich zu machen, sofern keine ausdrückliche schriftliche Zustimmung des Auftraggebers vorliegt oder eine gesetzliche Verpflichtung besteht.

(4) Die Verpflichtung zur Vertraulichkeit gilt zeitlich unbegrenzt, auch über die Beendigung dieser Vereinbarung hinaus.

(5) Der Auftragsverarbeiter trifft angemessene technische und organisatorische Maßnahmen, um sicherzustellen, dass vertrauliche Informationen während der Speicherung, Übertragung und Verarbeitung gegen unbefugten Zugriff oder Offenlegung geschützt sind. Dazu gehören insbesondere Verschlüsselung, Zugriffskontrolle, Netzwerksegmentierung und Protokollierung von Datenzugriffen.

(6) Der Auftragsverarbeiter darf vertrauliche Informationen nur an Unterauftragsverarbeiter weitergeben,

• wenn diese zur Erfüllung ihrer Aufgaben zwingend erforderlich sind,
• die Weitergabe ausdrücklich im Rahmen der beauftragten Verarbeitung erfolgt,
• und der Unterauftragsverarbeiter einer gleichwertigen Geheimhaltungsverpflichtung unterliegt.

(7) Der Auftraggeber ist verpflichtet, vertrauliche Informationen des Auftragsverarbeiters ebenfalls vertraulich zu behandeln und diese ausschließlich im Rahmen dieser Vereinbarung zu verwenden. Dies gilt insbesondere für Dokumentationen, Sicherheitsberichte, Auditunterlagen, Quellcodes oder sonstige technische Informationen, die dem Auftraggeber offengelegt werden.

(8) Beide Parteien sind verpflichtet, bei Anfragen von Dritten oder Behörden zur Offenlegung vertraulicher Informationen unverzüglich Rücksprache zu halten, sofern eine gesetzliche Mitteilungspflicht nicht zwingend entgegensteht.

(9) Im Falle eines Verstoßes gegen die Vertraulichkeitspflichten sind die Parteien verpflichtet, einander unverzüglich zu informieren und alle erforderlichen Maßnahmen zur Schadensbegrenzung zu ergreifen.

§ 13 – Gerichtsstand, anwendbares Recht und Schlussbestimmungen

(1) Es gilt ausschließlich das Recht der Bundesrepublik Deutschland unter Ausschluss des internationalen Privatrechts und des UN-Kaufrechts (CISG). Zwingende gesetzliche Vorschriften des Datenschutzrechts, insbesondere der DSGVO und des BDSG, bleiben unberührt.

(2) Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit dieser Vereinbarung ist – soweit gesetzlich zulässig – Frankfurt am Main. Für öffentliche Auftraggeber, bei denen eine ausschließliche Zuständigkeit gesetzlich geregelt ist, gilt diese Vorrangregelung.

(3) Änderungen und Ergänzungen dieser Vereinbarung sowie Nebenabreden bedürfen für ihre Wirksamkeit mindestens der Textform (z. B. E-Mail oder digital signiertes PDF).

(4) Sollten einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen oder undurchführbaren Bestimmung tritt eine Regelung, die dem wirtschaftlichen Zweck der ursprünglichen Bestimmung am nächsten kommt.

(5) Im Falle von Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag hat diese Auftragsverarbeitungsvereinbarung Vorrang, soweit es um datenschutzrechtliche Pflichten, Verantwortlichkeiten oder Haftungsfragen im Sinne von Art. 28 DSGVO geht.

(6) Diese Vereinbarung gilt mit Unterzeichnung des Hauptvertrags als geschlossen. Eine separate Unterschrift der Parteien ist nicht erforderlich. Die Vereinbarung kann auch in elektronischer Form abgeschlossen werden; in diesem Fall gelten die übermittelten Exemplare als rechtsverbindlich.

(7) Erfordern Änderungen der Rechtslage, verbindliche Vorgaben der Aufsichtsbehörden oder einschlägige Gerichtsentscheidungen eine Anpassung dieser Vereinbarung, um ihre Vereinbarkeit mit dem geltenden Datenschutzrecht zu wahren, passen die Parteien die Vereinbarung unverzüglich und nach billigem Ermessen in Textform entsprechend an. Die Zustimmung zu solchen rechtlich gebotenen Anpassungen darf nicht unbillig verweigert werden.

Anlage 1 – Beschreibung der Verarbeitungstätigkeiten

Zweck

Technische Bereitstellung, Hosting, Benutzer- und Rechteverwaltung, Zugriffskontrolle, Performance- und Funktionsbetrieb der Systeme.

Verarbeitungsvorgänge

Speicherung, Organisation, Übertragung und Auswertung personenbezogener Daten, die im Zusammenhang mit der Nutzung der FEAZY-Lösungen durch den Auftraggeber und dessen berechtigte Nutzer anfallen.

Betroffene Personen

Beschäftigte des Auftraggebers, Nutzer, ggf. Partner oder Dienstleister.

Verarbeitete Datenarten

Stammdaten (Name, E-Mail-Adresse), Authentifizierungs- und Nutzungsdaten (IP-Adresse, Zeitstempel, Sitzungs-IDs).

Verarbeitungsorte / Systeme

Open Telekom Cloud (Telekom Deutschland GmbH), deutsche Rechenzentren – Hauptsystem für Anwendungs- und Kundendaten. KI-Modelle werden bei den in der Modellübersicht ausgewiesenen Anbietern am jeweils dort angegebenen Standort verarbeitet. Löschung / Anonymisierung: Spätestens 30 Kalendertage nach Vertragsende.

KI-Memories werden über eine self-gehostete mem0-Komponente innerhalb der Open Telekom Cloud verarbeitet; keine Weitergabe an Dritte.

Anlage 2 – Technisch-organisatorische Maßnahmen (TOMs)

Verantwortliche für die Datenverarbeitung sind gem. Art. 32 DSGVO verpflichtet, technische und organisatorische Maßnahmen zu treffen, durch die die Sicherheit der Verarbeitung personenbezogener Daten gewährleistet wird. Maßnahmen müssen dabei so gewählt sein, dass durch sie in der Summe ein angemessenes Schutzniveau sichergestellt wird. Diese Übersicht erläutert vor diesem Hintergrund, welche konkreten Maßnahmen durch den Auftragsverarbeiter im Hinblick auf die Verarbeitung personenbezogener Daten im konkreten Fall getroffen wurden. Durch diese Übersicht soll der Nachweis der Beachtung der datenschutzrechtlichen Vorschriften durch den Auftragsverarbeiter geführt werden.

1. Zutrittskontrolle

Ziel: Verhinderung unbefugten physischen Zutritts zu Datenverarbeitungsanlagen.

Maßnahmen:

• Nutzung des professionellen Rechenzentrums der Open Telekom Cloud (Telekom Deutschland GmbH, deutsche Rechenzentren).
• Zutritt nur für autorisiertes, überprüftes Personal des Betreibers.
• Biometrische Zugangskontrollen, Videoüberwachung und 24/7-Sicherheitsdienst.
• Besucherprotokolle und Zugangsbeschränkungen für Wartungsdienstleister.

2. Zugangskontrolle

Ziel: Verhinderung unbefugter Systemnutzung.

Maßnahmen:

• Zugriff auf Systeme ausschließlich über gesicherte Authentifizierungsverfahren (Multi-Faktor-Authentifizierung, Single Sign-On).
• Passwort-Richtlinie mit Mindestlängen und Komplexitätsanforderungen.
• Zentrale Benutzerverwaltung mit rollenbasierter Freigabe.
• Nutzung verschlüsselter Kommunikationsprotokolle (TLS 1.2+).
• Automatische Sitzungs-Timeouts und Sperrung inaktiver Konten.

3. Zugriffskontrolle (Berechtigungskonzept)

Ziel: Sicherstellung, dass autorisierte Benutzer nur auf die Daten zugreifen können, die ihrer jeweiligen Berechtigung entsprechen.

Maßnahmen:

• Rollenbasiertes Berechtigungssystem (Role Based Access Control).
• Prinzip der minimalen Rechtevergabe („Least Privilege").
• Freigabe und Entzug von Berechtigungen nach Vier-Augen-Prinzip.
• Lückenlose Protokollierung von Administratorzugriffen.
• Regelmäßige Überprüfung der Berechtigungen durch Security-Management.

4. Weitergabe- und Übertragungskontrolle

Ziel: Sicherstellung, dass personenbezogene Daten bei elektronischer Übertragung oder Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.

Maßnahmen:

• Transportverschlüsselung (TLS 1.2 oder höher, bevorzugt 1.3; HTTPS) für alle Datenübertragungen; Verschlüsselung im Ruhezustand mit AES-256.
• Verschlüsselung gespeicherter Daten at rest (AES-256).
• Gesicherte API-Endpunkte mit Authentifizierung und Zugriffstoken.
• Kein Versand personenbezogener Daten per unverschlüsselter E-Mail.
• Dokumentation aller externen Datentransfers.

5. Eingabekontrolle

Ziel: Nachvollziehbarkeit, ob und von wem personenbezogene Daten eingegeben, verändert oder gelöscht wurden.

Maßnahmen:

• Systematische Protokollierung von Änderungen und Eingaben in Datenbanken und Anwendungen.
• Nachvollziehbarkeit über Audit-Logs (User-ID, Zeitstempel, Änderungstyp).
• Einsatz revisionssicherer Datenbanksysteme.

6. Verfügbarkeitskontrolle und Wiederherstellbarkeit

Ziel: Schutz personenbezogener Daten vor zufälliger Zerstörung oder Verlust.

Maßnahmen:

• Redundante Systemarchitektur und Failover-Mechanismen.
• Verschlüsselte Backups nach dem Prinzip 7 tägliche, 4 wöchentliche und 3 monatliche Sicherungen (Aufbewahrung rund 90 Tage), gespeichert ausschließlich in der Open Telekom Cloud (EU).
• Regelmäßige Wiederherstellungstests zur Prüfung der Backup-Integrität.
• Einsatz von Monitoring-Systemen mit 24/7-Alerting und Incident-Response-Prozess.
• Notfallhandbuch mit definierten Eskalationswegen.

7. Trennungskontrolle (Mandantentrennung)

Ziel: Sicherstellung der getrennten Verarbeitung von Daten verschiedener Kunden (Mandanten).

Maßnahmen:

• Logische und technische Mandantentrennung auf Datenbank- und Applikationsebene.
• Getrennte API-Schlüssel, Authentifizierungstoken und Speicherbereiche.
• Strikte Isolation von Entwicklungs-, Test- und Produktionssystemen.
• Kein Zugriff auf Kundendaten durch andere Mandanten.

8. Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Privacy by Design & Default)

Ziel: Minimierung personenbezogener Daten und Schutz durch systemische Architektur.

Maßnahmen:

• Implementierung von Datenschutzprinzipien in der Softwareentwicklung (Privacy Engineering Guidelines).
• Standardmäßig aktivierte datenschutzfreundliche Einstellungen.
• Verwendung pseudonymisierter IDs, wo möglich.
• Deaktivierung nicht benötigter Tracking- oder Analysefunktionen.
• Regelmäßige Überprüfung der Konfiguration auf Einhaltung von „Privacy by Default".

9. Organisatorische und personelle Maßnahmen

Ziel: Stärkung des Datenschutzbewusstseins und der Compliance im Unternehmen.

Maßnahmen:

• Schulung aller Mitarbeitenden mit Datenzugriff mindestens einmal jährlich.
• Vertraulichkeitsvereinbarungen gemäß § 13 AVV.
• Interne Richtlinien zu Informationssicherheit, Passwortmanagement, Incident Handling und Mobile Work.
• Regelmäßige interne Audits und Überprüfung durch Management.

10. Kontrolle und Verbesserung

Ziel: Sicherstellung der Wirksamkeit aller Maßnahmen und kontinuierliche Verbesserung.

Maßnahmen:

• Jährliche Evaluierung der TOMs im Rahmen des ISMS.
• Interne und externe Penetrationstests.
• Dokumentation aller sicherheitsrelevanten Änderungen.
• Sofortige Anpassung der Maßnahmen bei erkannten Schwachstellen oder neuen Bedrohungen.

Anlage 3 – Unterauftragsverarbeiter

Die folgenden Unterauftragsverarbeiter werden derzeit durch den Auftragsverarbeiter eingesetzt. Sie erbringen Leistungen, die für den Betrieb, die Bereitstellung oder den Support der FEAZY-Lösungen erforderlich sind. Alle Unterauftragsverarbeiter verarbeiten personenbezogene Daten ausschließlich innerhalb der Europäischen Union (EU) bzw. des Europäischen Wirtschaftsraums (EWR) und sind vertraglich zur Einhaltung der DSGVO verpflichtet.

1. Telekom Deutschland GmbH

Zweck der Beauftragung: Hosting und Verarbeitung der Anwendungs- und Kundendaten, sowie KI-Modelle (Cloud-Infrastruktur, Rechenleistung, Datenspeicherung). Einsatz von Modell-APIs und Datenverarbeitung für spezifische, vom Auftraggeber aktivierte Funktionen.

Standort der Verarbeitung: Deutschland (EU).

Rechtsgrundlage: Auftragsverarbeitung nach Art. 28 DSGVO.

Sicherheitsniveau: Zertifikate-Seite der Telekom; u. a. gängige ISO- & KRITIS-Zertifizierungen.

2. Amazon Web Services EMEA SARL

Zweck der Beauftragung: Optionaler Einsatz von Modell-APIs und Datenverarbeitung für spezifische, vom Auftraggeber aktivierte Funktionen. AWS Cognito: speichert die E-Mail-Adresse/Benutzerkonto-Identität der FEAZY-Chat-Nutzer; Verarbeitungsort EU.

Standort der Verarbeitung: Region eu-central-1 (Frankfurt am Main, Deutschland).

Rechtsgrundlage: Auftragsverarbeitung nach Art. 28 DSGVO.

Sicherheitsniveau: AWS Trust Center; u. a. gängige ISO-Zertifizierungen; physische und logische Mehrstufensicherheit.

3. Microsoft Ireland Operations Limited

Zweck der Beauftragung: Optionaler Einsatz von Modell-APIs und Datenverarbeitung für spezifische, vom Auftraggeber aktivierte Funktionen.

Standort der Verarbeitung: Deutschland (EU-Region) und Region Sweden Central (EU).

Rechtsgrundlage: Auftragsverarbeitung nach Art. 28 DSGVO.

Sicherheitsniveau: Azure Trust Center; u. a. zertifiziert nach ISO 27001; DSGVO-konforme Standardvertragsklauseln innerhalb der EU.

4. Google Cloud EMEA Limited

Zweck der Beauftragung: Optionaler Einsatz von Modell-APIs und Datenverarbeitung für spezifische, vom Auftraggeber aktivierte Funktionen.

Standort der Verarbeitung: Deutschland (EU).

Rechtsgrundlage: Auftragsverarbeitung nach Art. 28 DSGVO.

Sicherheitsniveau: Google Cloud Console Trust Center; u. a. zertifiziert nach ISO 27001, ISO 27017, ISO 27018.

5. Lakera AI AG

Zweck der Beauftragung: KI-Sicherheitsprüfung zur Erkennung von Prompt-Injection, Policy-Verstößen und sicherheitsrelevanten Risiken in generativen KI-Systemen.

Standort der Verarbeitung: EU-Cluster (europäische Rechenzentrumsregion) bei AWS Irland.

Rechtsgrundlage: Auftragsverarbeitung nach Art. 28 DSGVO.

Sicherheitsniveau: Lakera Trust Center; Verschlüsselung in Transit und at Rest; mehrstufige KI-Sicherheitsmechanismen; zertifizierte Infrastruktur der eingesetzten Cloud-Provider.

6. Cortecs GmbH

Zweck der Beauftragung: LLM-Provider – standardmäßig souveräne Cloud, ausschließlich EU-Verarbeitung, standardmäßig Zero Data Retention.

Standort der Verarbeitung: Europäische Union (EU).

Rechtsgrundlage: Auftragsverarbeitung nach Art. 28 DSGVO.

Sicherheitsniveau: Cortecs DPA; souveräne EU-Cloud, Zero Data Retention, Verschlüsselung in Transit und at Rest.

7. Mistral AI SAS, Paris (EU) — Verarbeitungsort EU

Zweck der Beauftragung: LLM-Provider. Standardmäßig ausschließlich EU-Verarbeitung. Inferenz außerhalb der EU nur, wenn Kunden-Admins LLMs mit „Global Deployment" aktiv aktivieren und Nutzer diese Modelle auf der Plattform auswählen.

Standort der Verarbeitung: Europäische Union (EU).

Rechtsgrundlage: Auftragsverarbeitung nach Art. 28 DSGVO.

Sicherheitsniveau: Mistral Trust Center; Zero Data Retention, Verschlüsselung in Transit und at Rest.

8. Raintank Inc. (Grafana Labs) — Verarbeitungsort EU (Grafana Cloud EU)

Zweck der Beauftragung: Log-Erfassung über Grafana Alloy; zentrale Auswertung in Grafana Cloud (EU-gehostet). Logs enthalten keine personenbezogenen Daten; die Aufbewahrungsdauer beträgt 14 Tage (durchgesetzt).

Standort der Verarbeitung: Europäische Union (EU).

Rechtsgrundlage: Auftragsverarbeitung nach Art. 28 DSGVO.

Sicherheitsniveau: Grafana Trust Center; u. a. zertifiziert nach ISO 27001 und SOC 2 Type II.

9. PostHog, Inc. — Verarbeitungsort EU (PostHog Cloud EU)

Zweck der Beauftragung: Produkt-Analytik (PostHog Cloud, EU-gehostet). Daten werden nur erhoben, wenn Nutzer aktiv in die Analyse-Cookies einwilligen.

Standort der Verarbeitung: Europäische Union (EU).

Rechtsgrundlage: Auftragsverarbeitung nach Art. 28 DSGVO.

Sicherheitsniveau: PostHog Trust Center; u. a. zertifiziert nach SOC 2 Type II; Verschlüsselung in Transit und at Rest.

10. Daytona Platforms Inc. — Verarbeitungsort EU (Hosting in Europa)

Zweck der Beauftragung: Sichere, isolierte Entwicklungsumgebungen (KI-Sandboxes) für KI-gestützte Code-Ausführung.

Standort der Verarbeitung: Europäische Union (EU).

Rechtsgrundlage: Auftragsverarbeitung nach Art. 28 DSGVO.

Sicherheitsniveau: Daytona Trust Center; Isolation auf Sandbox-Ebene, Verschlüsselung in Transit und at Rest.

Anlage 4 – Änderungshistorie

Diese Anlage dokumentiert fortlaufend alle Änderungen an diesem Auftragsverarbeitungsvertrag. Jeder Eintrag erhält eine eindeutige, fortlaufende Kennung, ein Datum sowie eine kurze Beschreibung der Änderung.