Vertrag zur Auftragsverarbeitung (AVV)

Präambel

Dieser Vertrag zur Auftragsverarbeitung (nachfolgend "AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Nutzung der SaaS-Anwendung ProcessLink und ist untrennbarer Bestandteil des zwischen den Parteien geschlossenen Nutzungsvertrages (Allgemeine Geschäftsbedingungen, nachfolgend "Hauptvertrag").

Bei der Nutzung von ProcessLink verarbeitet der Anbieter im Auftrag des Kunden personenbezogene Daten. Für diese Verarbeitung gelten die nachfolgenden Regelungen. Der AVV kommt mit der Registrierung bzw. dem Abschluss des Hauptvertrages zustande; die zu diesem Zeitpunkt gültige Fassung wird kundenbezogen dokumentiert (Nachweispflicht nach Art. 28 DSGVO).

1. Vertragsparteien

Auftragnehmer (Auftragsverarbeiter), nachfolgend "Anbieter":

Auftraggeber (Verantwortlicher), nachfolgend "Kunde":

Der Kunde im Sinne des Hauptvertrages, d. h. der Unternehmer im Sinne des § 14 BGB, die juristische Person des öffentlichen Rechts oder das öffentlich-rechtliche Sondervermögen, das ProcessLink nutzt. Die Identifikations- und Kontaktdaten des Kunden ergeben sich aus den bei der Registrierung angegebenen Bestandsdaten des Nutzerkontos bzw. des Mandanten (Tenant).

Der Kunde ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die von ihm in ProcessLink eingestellten personenbezogenen Daten. Der Anbieter ist insoweit Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO.

2. Gegenstand, Art, Zweck und Dauer der Verarbeitung

(1) Gegenstand der Verarbeitung ist die Bereitstellung der Funktionen von ProcessLink gemäß Hauptvertrag, insbesondere das Hochladen, Speichern, Komprimieren, Transkribieren und KI-gestützte Auswerten von Videos sowie die Verwaltung, Freigabe und Bereitstellung der daraus abgeleiteten Inhalte.

(2) Art und Zweck der Verarbeitung, die Kategorien betroffener Personen sowie die Arten personenbezogener Daten ergeben sich abschließend aus Anlage 1 (Gegenstand und Einzelheiten der Verarbeitung).

(3) Dauer: Der AVV beginnt mit Abschluss des Hauptvertrages und läuft für dessen gesamte Laufzeit. Er endet mit Beendigung des Hauptvertrages, unbeschadet der in Ziffer 11 geregelten Pflichten zur Rückgabe und Löschung.

(4) Die Verarbeitung findet, mit Ausnahme der in Anlage 3 benannten Unterauftragsverarbeiter, ausschließlich in Rechenzentren innerhalb der Bundesrepublik Deutschland statt.

3. Weisungsrecht des Kunden

(1) Der Anbieter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach den dokumentierten Weisungen des Kunden, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, zur Verarbeitung verpflichtet ist (Art. 28 Abs. 3 lit. a DSGVO). In einem solchen Fall teilt der Anbieter dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Weisungen werden durch diesen AVV und den Hauptvertrag festgelegt und im Rahmen der bestimmungsgemäßen Nutzung der Anwendung durch den Kunden (etwa das Hochladen, Bearbeiten, Freigeben oder Löschen von Inhalten) laufend konkretisiert. Einzelweisungen, die über die vertraglich vereinbarte Nutzung hinausgehen, sind in Textform (z. B. per E-Mail an die in Ziffer 1 genannte Adresse) zu erteilen.

(3) Der Anbieter informiert den Kunden unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Der Anbieter ist berechtigt, die Umsetzung der betreffenden Weisung bis zu deren Bestätigung oder Änderung durch den Kunden auszusetzen.

4. Pflichten des Anbieters

Der Anbieter verpflichtet sich insbesondere:

(1) Vertraulichkeit sicherzustellen und die zur Verarbeitung befugten Personen auf die Vertraulichkeit zu verpflichten, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).

(2) Technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO nach dem Stand der Technik zu treffen und einzuhalten. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 2 beschrieben. Der Anbieter darf die Maßnahmen im Laufe der Zeit anpassen, solange das vereinbarte Schutzniveau nicht unterschritten wird.

(3) Betroffenenrechte gemäß Ziffer 6 zu unterstützen.

(4) Den Kunden bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten (Datensicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen zu unterstützen (Art. 28 Abs. 3 lit. f DSGVO).

(5) Nach Wahl des Kunden alle personenbezogenen Daten nach Abschluss der Erbringung der Verarbeitungsleistungen gemäß Ziffer 11 zu löschen oder zurückzugeben.

(6) Dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung zu stellen und Überprüfungen gemäß Ziffer 8 zu ermöglichen und dazu beizutragen.

(7) Einen Ansprechpartner für Datenschutzfragen zu benennen; dieser ist über die in Ziffer 1 genannten Kontaktdaten erreichbar.

(8) Ein Verzeichnis der Verarbeitungstätigkeiten im Sinne des Art. 30 Abs. 2 DSGVO zu führen.

5. Unterauftragsverhältnisse

(1) Der Kunde erteilt dem Anbieter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) hinzuzuziehen (Art. 28 Abs. 2 Satz 1 DSGVO). Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und vom Kunden genehmigt.

(2) Der Anbieter informiert den Kunden über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern in angemessener Frist vorab (z. B. per E-Mail an die hinterlegte Kontaktadresse oder durch Aktualisierung der Anlage 3 verbunden mit einer Benachrichtigung). Der Kunde kann einer Änderung aus wichtigem, datenschutzrechtlich begründetem Anlass widersprechen. Widerspricht der Kunde und kann der Anbieter die Leistung nicht ohne den betreffenden Unterauftragsverarbeiter erbringen, sind beide Parteien berechtigt, den Hauptvertrag mit angemessener Frist zu kündigen.

(3) Der Anbieter erlegt dem Unterauftragsverarbeiter im Wege eines Vertrages dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Anbieter gegenüber dem Kunden für die Einhaltung dieser Pflichten.

(4) Nicht als Unterauftragsverhältnis im Sinne dieser Ziffer gelten Nebenleistungen, die der Anbieter als Nebenleistung in Anspruch nimmt (etwa Telekommunikations- oder Reinigungsleistungen). Der Anbieter ist jedoch verpflichtet, auch bei solchen Leistungen angemessene Vorkehrungen zum Schutz der personenbezogenen Daten zu treffen.

6. Unterstützung bei Betroffenenrechten

(1) Wendet sich eine betroffene Person mit einem Antrag auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch unmittelbar an den Anbieter, so leitet der Anbieter diesen Antrag unverzüglich an den Kunden weiter und beantwortet ihn nicht selbst, es sei denn, er ist vom Kunden hierzu angewiesen worden.

(2) Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen (Kapitel III der DSGVO) nachzukommen, soweit dies möglich ist. Der Kunde kann die zu seinem Mandanten gehörenden Daten weitgehend selbst über die Funktionen der Anwendung einsehen, berichtigen, exportieren und löschen.

7. Datenschutzverletzungen und Meldepflichten

(1) Der Anbieter meldet dem Kunden jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die die im Auftrag verarbeiteten Daten des Kunden betrifft, unverzüglich nach Bekanntwerden, in der Regel innerhalb von 48 Stunden.

(2) Die Meldung enthält, soweit verfügbar, mindestens:

• eine Beschreibung der Art der Verletzung, soweit möglich unter Angabe der betroffenen Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze;
• den Namen und die Kontaktdaten des Ansprechpartners des Anbieters;
• eine Beschreibung der wahrscheinlichen Folgen der Verletzung;
• eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

(3) Die Pflicht zur Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und zur Benachrichtigung betroffener Personen (Art. 34 DSGVO) obliegt dem Kunden als Verantwortlichem. Der Anbieter unterstützt den Kunden hierbei im erforderlichen Umfang.

8. Kontroll- und Überprüfungsrechte

(1) Der Anbieter stellt dem Kunden auf Anfrage die zum Nachweis der Einhaltung der Pflichten aus diesem AVV erforderlichen Informationen zur Verfügung, insbesondere die Dokumentation der technischen und organisatorischen Maßnahmen (Anlage 2) sowie, soweit vorhanden, aktuelle Testate, Zertifikate oder Berichte unabhängiger Stellen (etwa ISO-27001-Zertifikate der eingesetzten Rechenzentren).

(2) Reichen die nach Absatz 1 bereitgestellten Nachweise nicht aus, ermöglicht der Anbieter dem Kunden oder einem von diesem beauftragten, zur Verschwiegenheit verpflichteten und nicht mit dem Anbieter im Wettbewerb stehenden Prüfer nach angemessener Vorankündigung (in der Regel mindestens 14 Tage) während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs die Überprüfung der Verarbeitungstätigkeiten (Art. 28 Abs. 3 lit. h DSGVO). Überprüfungen finden in der Regel höchstens einmal jährlich statt, es sei denn, es besteht ein konkreter Anlass (etwa eine Datenschutzverletzung).

(3) Der Kunde trägt die ihm durch die Überprüfung entstehenden eigenen Kosten. Ein über die Bereitstellung von Nachweisen nach Absatz 1 hinausgehender, erheblicher Aufwand des Anbieters kann nach Aufwand vergütet werden.

9. Drittlandübermittlung

(1) Eine Übermittlung personenbezogener Daten in ein Drittland außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums findet ausschließlich im Zusammenhang mit dem in Anlage 3 benannten KI-Dienstleister (OpenAI, L.L.C., USA) statt. Übermittelt werden dabei ausschließlich die zur Erbringung der Transkriptions- und Analysefunktion erforderlichen Daten (aus den Videos gewonnene Audiodaten sowie Auszüge der Transkripte).

(2) Der Anbieter stellt sicher, dass für diese Übermittlung geeignete Garantien im Sinne des Art. 46 DSGVO bestehen, insbesondere der Abschluss der EU-Standardvertragsklauseln (Standard Contractual Clauses) sowie, soweit einschlägig, die Zertifizierung des Empfängers unter dem EU-US Data Privacy Framework.

(3) Der Kunde ist selbst dafür verantwortlich, dass er zur Übermittlung der von ihm hochgeladenen Inhalte an einen KI-Dienstleister berechtigt ist und gegenüber betroffenen Personen die erforderliche Transparenz herstellt.

10. Verantwortlichkeit des Kunden

(1) Der Kunde ist im Rahmen dieses AVV für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen allein verantwortlich (Art. 4 Nr. 7, Art. 24 DSGVO). Er beurteilt insbesondere selbst, ob für die von ihm hochgeladenen und verarbeiteten Inhalte eine hinreichende Rechtsgrundlage besteht.

(2) Der Kunde ist dafür verantwortlich, dass er zur Verarbeitung der von ihm in ProcessLink eingestellten Inhalte, einschließlich in Videos enthaltener Gesichter, Stimmen, Namen oder gesprochener Inhalte über Dritte, berechtigt ist und, sofern erforderlich, die Einwilligung betroffener Personen eingeholt hat.

(3) Der Kunde lädt keine personenbezogenen Daten hoch, für deren Verarbeitung durch einen externen KI-Dienstleister (Anlage 3) keine Rechtsgrundlage besteht. Für das Hochladen besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist der Kunde in besonderem Maße verantwortlich.

11. Rückgabe und Löschung nach Vertragsende

(1) Nach Beendigung des Hauptvertrages stellt der Anbieter dem Kunden für einen Zeitraum von 30 Tagen die Möglichkeit zum Export seiner Daten zur Verfügung.

(2) Nach Ablauf dieser Frist löscht der Anbieter die im Auftrag verarbeiteten personenbezogenen Daten des Kunden einschließlich der Videos, Transkripte, abgeleiteten Inhalte und Kontodaten unwiderruflich, soweit keine gesetzliche Pflicht zur weiteren Speicherung besteht. Temporäre Verarbeitungsdaten (etwa im Rahmen der Transkription entstehende Audiodateien) werden bereits unmittelbar nach Abschluss der jeweiligen Verarbeitung gelöscht.

(3) Bestehende gesetzliche Aufbewahrungspflichten bleiben unberührt. Daten, die einer solchen Pflicht unterliegen, werden für die weitere Verarbeitung gesperrt und nach Ablauf der Aufbewahrungsfrist gelöscht.

(4) Sicherungskopien (Backups) werden im Rahmen der regulären Backup-Zyklen überschrieben und spätestens nach Ablauf des jeweiligen Aufbewahrungszeitraums der Sicherungen endgültig gelöscht.

12. Haftung

Für die Haftung der Parteien gelten die Regelungen des Hauptvertrages. Im Verhältnis zwischen Kunde und Anbieter richtet sich die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO.

13. Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Dies gilt auch für die Änderung dieser Textformklausel.

(2) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen in Bezug auf den Datenschutz die Regelungen dieses AVV vor.

(3) Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, so wird die Wirksamkeit der übrigen Bestimmungen hierdurch nicht berührt. Die unwirksame Bestimmung ist durch eine wirksame zu ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

(4) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts (CISG). Ausschließlicher Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Anbieters (Warendorf).

Anlage 1: Gegenstand und Einzelheiten der Verarbeitung

Gegenstand und Art der Verarbeitung

Bereitstellung der SaaS-Anwendung ProcessLink zur Verarbeitung von Videos mit KI-gestützter Transkription und Analyse. Die Verarbeitung umfasst insbesondere: Erheben, Erfassen, Speichern, Anpassen (Komprimierung), Auslesen (Transkription), Verwenden (KI-gestützte Erzeugung von Tags, Titeln und Aufgabenlisten), Offenlegen durch Freigabe-Links (nur auf Veranlassung des Kunden), Löschen.

Zweck der Verarbeitung

Erfüllung des Hauptvertrages, d. h. Bereitstellung der vom Kunden angeforderten Funktionen zur Videodokumentation, Transkription und Inhaltsverwaltung.

Kategorien betroffener Personen

• Nutzer des Kunden (Mitarbeiter, Mandanten-Angehörige)
• In den hochgeladenen Videos und Tonspuren abgebildete bzw. genannte Personen (Mitarbeiter, Kunden, Dritte)
• Empfänger von Freigabe-Links

Arten personenbezogener Daten

• Konto- und Bestandsdaten: E-Mail-Adresse, verschlüsselt gespeichertes Passwort, Name/Anzeigename (sofern angegeben), Mandantenzugehörigkeit (Tenant), Rolle (z. B. Inhaber/Nutzer), Zeitpunkt von Registrierung und letzter Anmeldung
• Inhaltsdaten: hochgeladene Videos und Originaldateiname, komprimierte Videos, extrahierte Audiodaten, Transkripte inkl. Zeitstempel sowie daraus abgeleitete Inhalte (Tags, Titel, Aufgabenlisten)
• Metadaten: Erstellungszeitpunkt, Status, Dateigröße, Freigabe-Kennungen
• Nutzungs- und Protokolldaten: Server-Logdaten (u. a. IP-Adresse, Zeitpunkt, Browser-/Betriebssysteminformationen)
• Gegebenenfalls in Videos/Transkripten enthaltene personenbezogene Daten, deren Inhalt und Kategorie allein durch den Kunden bestimmt werden; potenziell besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), sofern der Kunde solche Inhalte hochlädt

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Anbieter trifft nach dem Stand der Technik unter Berücksichtigung von Implementierungskosten, Art, Umfang, Umständen und Zwecken der Verarbeitung folgende Maßnahmen. Der überwiegende Teil der Infrastruktur wird bei der Hetzner Online GmbH in deutschen Rechenzentren betrieben (siehe Anlage 3); die dortigen physischen und infrastrukturbezogenen Maßnahmen (Zutritt, Brandschutz, Stromversorgung, Netzredundanz) werden durch den Rechenzentrumsbetreiber gewährleistet (u. a. ISO-27001-zertifiziert).

Vertraulichkeit

• Zutrittskontrolle: Serverbetrieb ausschließlich in zugangsgesicherten, zertifizierten Rechenzentren des Hosting-Dienstleisters in Deutschland; Geschäftsräume des Anbieters gegen unbefugten Zutritt gesichert.
• Zugangskontrolle: individuelle Benutzerkonten mit Authentifizierung; Passwörter werden ausschließlich als kryptografischer Hash (bcrypt) gespeichert; Sitzungsverwaltung über signierte Token (JWT); verschlüsselte Datenübertragung über TLS.
• Zugriffskontrolle: rollenbasiertes Berechtigungskonzept (z. B. Inhaber/Nutzer); Zugriff nach dem Prinzip der minimalen Rechtevergabe (need-to-know); administrative Zugriffe beschränkt auf berechtigte Personen.
• Trennungskontrolle: mandantenfähige Architektur mit strikter Trennung der Kundendaten durch mandantenbezogene Filterung (tenantId-Isolation); Trennung von Entwicklungs-, Test- und Produktivumgebung.

Integrität

• Weitergabekontrolle: verschlüsselte Übertragung sämtlicher Daten über TLS; Übermittlung in Drittländer nur an den KI-Dienstleister auf Grundlage geeigneter Garantien nach Art. 46 DSGVO (siehe Ziffer 9).
• Eingabekontrolle: Protokollierung sicherheitsrelevanter Ereignisse und Systemzugriffe; Nachvollziehbarkeit von Erstellung und Änderung von Datensätzen über Zeitstempel (createdAt/updatedAt).

Verfügbarkeit und Belastbarkeit

• Verfügbarkeitskontrolle: regelmäßige Datensicherungen (Backups) in deutschen Rechenzentren; redundante Auslegung zentraler Infrastrukturdienste (z. B. Queue-/Cache-Cluster); Schutzmaßnahmen gegen Datenverlust.
• Wiederherstellbarkeit: Fähigkeit, die Verfügbarkeit personenbezogener Daten nach einem physischen oder technischen Zwischenfall aus Sicherungen wiederherzustellen.

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Auftragskontrolle: Einsatz von Unterauftragsverarbeitern ausschließlich auf Grundlage von Verträgen nach Art. 28 DSGVO (siehe Anlage 3).
• Datenschutz durch Technikgestaltung und Voreinstellungen (Art. 25 DSGVO): Datensparsamkeit, automatische Löschung temporärer Verarbeitungsdaten nach Abschluss der Verarbeitung.
• Überprüfung: fortlaufende Anpassung der Sicherheitsmaßnahmen an den Stand der Technik; Behandlung von Sicherheitsmeldungen und -vorfällen.

Hinweis: ProcessLink ist eine in aktiver Weiterentwicklung befindliche Anwendung. Der Anbieter passt die vorstehenden Maßnahmen fortlaufend an, ohne das vereinbarte Schutzniveau zu unterschreiten.

Anlage 3: Genehmigte Unterauftragsverarbeiter

Der Kunde genehmigt den Einsatz der folgenden Unterauftragsverarbeiter: