Vertrag zur Auftragsverarbeitung (AVV)

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Nutzung der KMU-KI-Dienste (Website-Bereitstellung und Anfragen-Portal). Er gilt ergänzend zu den AGB und geht diesen in datenschutzrechtlichen Fragen vor.

Parteien

Verantwortlicher (im Folgenden „Auftraggeber“) ist der Betrieb, der die KMU-KI-Dienste nutzt und im jeweiligen Hauptvertrag namentlich benannt ist.

Auftragsverarbeiter (im Folgenden „Auftragnehmer“):
KMU-KI, Inhaber Hans Julian Gödecke, Kreher Str. 6, 09126 Chemnitz, Deutschland, E-Mail goedecke@kmu-ki.org.

§ 1 Gegenstand, Art, Zweck und Dauer der Verarbeitung

Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers zum Zweck der Bereitstellung der KMU-KI-Dienste: Entgegennahme von Kontaktanfragen (über das Anfrageformular und die Rückruf-Funktion) über die für den Auftraggeber bereitgestellte Website, Speicherung und Bereitstellung dieser Anfragen im Portal, Versand von Benachrichtigungen sowie die konfigurierten Automatisierungen (z. B. Wiedervorlage- und Bewertungserinnerungen). Die Verarbeitung erfolgt ausschließlich innerhalb der Europäischen Union bzw. des EWR, soweit nachfolgend nichts anderes geregelt ist. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags.

§ 2 Art der Daten und Kategorien betroffener Personen

Arten personenbezogener Daten:

• Kontakt- und Anfragedaten (Name, Telefonnummer, E-Mail-Adresse, Nachricht/Anliegen, ggf. PLZ),
• Meta- und Nutzungsdaten der Anfrage (Zeitpunkt, Quelle/Herkunft, Einwilligungszeitpunkt),
• vom Auftraggeber ergänzte Bearbeitungsdaten (Status, Notizen, Wiedervorlagen).

Kategorien betroffener Personen:

• Interessentinnen und Interessenten sowie Kundinnen und Kunden des Auftraggebers,
• weitere Personen, die dem Auftraggeber über die Website eine Anfrage übermitteln.

§ 3 Weisungsgebundenheit

Der Auftragnehmer verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies dem Auftraggeber unverzüglich mit und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen. Die Konfiguration der Dienste durch den Auftraggeber (z. B. Aktivierung von Automatisierungen) gilt als Weisung.

§ 4 Vertraulichkeit

Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzbestimmungen vertraut sind (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).

§ 5 Technische und organisatorische Maßnahmen (TOM)

Der Auftragnehmer trifft die zur Sicherheit der Verarbeitung erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Diese sind in Anlage 1 beschrieben. Der Auftragnehmer darf die Maßnahmen dem technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

Der Auftraggeber genehmigt den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter. Der Auftragnehmer verpflichtet diese vertraglich auf ein Datenschutzniveau, das den Anforderungen dieses Vertrags entspricht. Beabsichtigte Änderungen (Hinzuziehung oder Austausch) teilt der Auftragnehmer rechtzeitig mit; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

§ 7 Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Zumutbaren bei der Erfüllung der Rechte betroffener Personen (Art. 12–23 DSGVO) sowie bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung). Über das Portal kann der Auftraggeber Anfragen selbst einsehen, exportieren, berichtigen und löschen.

§ 8 Meldung von Datenschutzverletzungen

Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und stellt die zur Erfüllung der Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO) erforderlichen Informationen bereit.

§ 9 Löschung und Rückgabe nach Auftragsende

Nach Abschluss der Verarbeitung löscht der Auftragnehmer die personenbezogenen Daten nach Wahl des Auftraggebers oder gibt sie zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht. Der Auftraggeber kann die Löschung eines Betriebs samt aller zugehörigen Daten jederzeit über den Auftragnehmer veranlassen; Anfragen einzelner betroffener Personen kann er selbst im Portal löschen.

§ 10 Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO) — vorrangig durch Bereitstellung geeigneter Dokumentation, bei berechtigtem Anlass auch durch Überprüfung nach vorheriger Ankündigung und ohne Beeinträchtigung des Betriebsablaufs.

§ 11 Schlussbestimmungen

Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses Vertrags vor. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Vertraulichkeit / Zugriffskontrolle & Mandantentrennung: strikte Trennung der Daten je Betrieb auf Datenbankebene (Row-Level-Security), Zugriff der Anwendung nur über eine Rolle ohne Berechtigung zur Umgehung dieser Trennung; jede Transaktion ist auf den jeweiligen Betrieb festgelegt.
• Zugangskontrolle: passwortgeschützte Benutzerkonten, serverseitige Sitzungsverwaltung, kein öffentlicher Selbst-Registrierungszugang, Schutz gegen automatisiertes Ausprobieren von Zugangsdaten (Ratenbegrenzung), Passwort-Reset per E-Mail.
• Verschlüsselung / Integrität: Transportverschlüsselung (TLS/HTTPS) für alle Verbindungen; Sicherheits-HTTP-Header; validierte, parametrisierte Datenzugriffe; Spam-/Missbrauchsschutz am öffentlichen Anfrageformular (Honeypot, Zeitfalle, Ratenbegrenzung).
• Verfügbarkeit / Belastbarkeit: Betrieb in einem Rechenzentrum in Deutschland; automatischer Dienst-Neustart bei Störungen; tägliche, verschlüsselte Datenbank-Backups mit Integritätsprüfung und begrenzter Aufbewahrung.
• Verfahren zur regelmäßigen Überprüfung: Protokollierung sicherheits- und verarbeitungsrelevanter Vorgänge; Nachvollziehbarkeit der Automatisierungsläufe; Überprüfung und Anpassung der Maßnahmen an den Stand der Technik.

Anlage 2 — Unterauftragsverarbeiter

Die Erstellung der Website-Texte erfolgt zusätzlich unterstützt durch Anthropic (Claude); dabei werden ausschließlich Betriebs- und Website-Daten verarbeitet, keine Endkunden-/Anfragedaten.