Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO (Glieks)

Fassung vom 09.10.2026

Fassungsführung: Dieser Vertrag wird als datierte Fassung geführt; das Fassungsdatum steht am Kopf der Seite. Die bei Vertragsschluss gültige Fassung wird in den Nutzungsbedingungen (Ziffer 11.2) und in der Bestellbestätigung beziehungsweise im Firmenangebot benannt. Eine Änderung dieses Vertrags erzeugt immer eine neue Fassung; die bisherige Fassung bleibt für bereits laufende Verträge nachlesbar.

Geltung für Privatpersonen: Nutzt eine Privatperson Glieks ausschließlich für persönliche oder familiäre Zwecke, findet die DSGVO auf ihre eigenen Inhalte keine Anwendung (Art. 2 Abs. 2 lit. c DSGVO); dieser Vertrag kommt dann nicht zur Anwendung, und es gilt die Datenschutzerklärung. Verarbeitet eine Privatperson über Glieks personenbezogene Daten Dritter zu beruflichen oder geschäftlichen Zwecken, gilt dieser Vertrag auch für sie.

zwischen

dem Kunden, der mit dem Anbieter den Hauptvertrag über die Nutzung von Glieks geschlossen hat (Firma und Anschrift wie in der Bestellung oder im Firmenangebot) - "Verantwortlicher" -

und

Glieks, Einzelunternehmen (Inhaber und Anschrift siehe Impressum) - "Auftragsverarbeiter" -

• gemeinsam die "Parteien" -

Präambel

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit dem zwischen ihnen bestehenden Hauptvertrag über die Nutzung der Plattform Glieks (Nutzungsbedingungen). Er gilt für jede Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung von Glieks vornimmt. Der Verantwortliche schließt diesen Vertrag ab, indem er ihn bei der Bestellung über die Website bestätigt und bei der ersten Anmeldung seines ersten Admin-Zugangs erneut in der dann gültigen Fassung bestätigt; bei einem Firmenangebot durch Annahme des Angebots, das die geltende Fassung benennt. Der Auftragsverarbeiter speichert Zeitpunkt und Fassung der Bestätigung.

§ 1 Gegenstand und Dauer des Vertrags

1.1 Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter für den Verantwortlichen im Rahmen der Erbringung der in Anlage 1 beschriebenen Leistungen (Bereitstellung der Glieks-Plattform, Ausführung von Arbeitsaufträgen in abgeschirmten Laufräumen, Speicherung von Ergebnissen und Protokollen).

1.2 Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Er endet nicht automatisch mit dessen Kündigung, sondern erst mit vollständiger Erfüllung der Lösch- und Rückgabepflichten nach § 11.

§ 2 Art und Zweck der Verarbeitung, Datenkategorien, betroffene Personen

Art, Zweck und Umfang der Verarbeitung, die Kategorien personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1. Der Verantwortliche stellt sicher, dass die von ihm über Glieks eingebrachten Daten und Aufträge zutreffend in Anlage 1 erfasst sind; bei Aufnahme neuer Datenkategorien (insbesondere besondere Kategorien nach Art. 9 DSGVO) informiert der Verantwortliche den Auftragsverarbeiter vor deren erster Verarbeitung. Die Angaben in Anlage 1 beschreiben den vom Produkt vorgesehenen Rahmen, nicht eine inhaltliche Kenntnisnahme durch den Auftragsverarbeiter.

§ 3 Verantwortlichkeit und Weisungsrecht

3.1 Der Verantwortliche ist allein verantwortlich für die Beurteilung der Zulässigkeit der Verarbeitung nach Art. 6 DSGVO sowie für die Wahrung der Rechte der von der Verarbeitung betroffenen Personen.

3.2 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Unterabs. 1 lit. a DSGVO).

3.3 Weisungen erfolgen zunächst durch diesen Vertrag und seine Anlagen sowie durch die technisch vorgesehenen Konfigurationsmöglichkeiten der Plattform (Rollen- und Rechtevergabe, Sicherheitseinstellungen, Löschfunktionen, Freigabetor, Kostengrenze als Monatsbudget). Darüber hinausgehende Einzelweisungen erfolgen in Textform.

3.4 Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter verpflichtet alle Personen, die zur Verarbeitung der personenbezogenen Daten befugt sind, zur Vertraulichkeit oder unterwirft sie einer angemessenen gesetzlichen Verschwiegenheitspflicht (Art. 28 Abs. 3 Unterabs. 1 lit. b DSGVO).

§ 5 Technische und organisatorische Maßnahmen

5.1 Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen (TOM) nach Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

5.2 Der Auftragsverarbeiter darf die TOM anpassen, solange das vereinbarte Schutzniveau nicht unterschritten wird; wesentliche Verschlechterungen zeigt er dem Verantwortlichen an.

§ 6 Unterauftragsverarbeitung

6.1 Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Beauftragung der in Anlage 3 genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO).

6.2 Beabsichtigt der Auftragsverarbeiter, einen neuen Unterauftragsverarbeiter hinzuzuziehen oder zu ersetzen, informiert er den Verantwortlichen vorab in Textform mit einer Frist von mindestens vier Wochen. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem, datenschutzrechtlich begründetem Grund widersprechen; erfolgt kein Widerspruch, gilt die Änderung als genehmigt. Bei einem berechtigten Widerspruch, dem der Auftragsverarbeiter nicht abhelfen kann, kann jede Partei den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.

6.3 Der Auftragsverarbeiter gibt dem Unterauftragsverarbeiter im Wege eines Vertrags oder eines anderen Rechtsinstruments nach Unionsrecht oder dem Recht der Mitgliedstaaten die gleichen Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen für die Erfüllung der Pflichten des Unterauftragsverarbeiters.

6.4 Unterauftragsverarbeiter, die Kundendaten (Auftragsinhalte, Dateien, Ergebnisse, Kontodaten) verarbeiten, setzt der Auftragsverarbeiter nur mit Verarbeitungsort in Deutschland oder in der Europäischen Union ein. Ein Transfer solcher Daten in ein Drittland ist nicht vorgesehen; sollte er künftig erforderlich werden, bedarf dies einer gesonderten Ergänzung dieses Vertrags (Standardvertragsklauseln oder gleichwertiges Instrument) vor der ersten Übermittlung. Suchbegriffe und Abfragen, die Glieks bei Recherchen an öffentliche Quellen und Suchdienste richtet, sind in Anlage 2 Punkt 12 beschrieben; solche Dienste erhalten keine Kundendateien.

§ 7 Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen, soweit dies möglich ist, bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III der DSGVO genannten Rechte der betroffenen Person (Art. 28 Abs. 3 Unterabs. 1 lit. e DSGVO). Der Auftragsverarbeiter selbst beantwortet Anträge betroffener Personen nicht inhaltlich. Er stellt dem Verantwortlichen hierfür die in der Plattform vorgesehenen Werkzeuge zur Verfügung: den kundensystemweiten Löschantrag (Suche nach Person oder Begriff über Eingänge, Ergebnisse, Chats und Ablagen, Löschung aller Treffer als ein Vorgang mit Löschnachweis ohne Inhalt; in Sicherungskopien laufen gelöschte Inhalte mit der Aufbewahrungsfrist der Sicherungen aus) und den Gesamtexport (ein Archiv in offenen Formaten, durch eine berechtigte Person auslösbar). Der Verantwortliche bleibt in jedem Fall selbst Adressat von Auskunfts-, Berichtigungs- und Löschansprüchen betroffener Personen, soweit er ihnen gegenüber datenschutzrechtlich Verantwortlicher ist.

§ 8 Unterstützung nach Art. 32 bis 36 DSGVO

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten, insbesondere bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen des Schutzes personenbezogener Daten, der Datenschutz-Folgenabschätzung und der vorherigen Konsultation der Aufsichtsbehörde (Art. 28 Abs. 3 Unterabs. 1 lit. f DSGVO).

§ 9 Meldung von Verletzungen des Schutzes personenbezogener Daten

9.1 Der Auftragsverarbeiter verpflichtet sich (organisatorische Maßnahme), dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten (Art. 33 Abs. 2 DSGVO) unverzüglich, spätestens innerhalb von 24 Stunden nach Feststellung, zu melden, auch wenn zu diesem Zeitpunkt noch nicht alle Einzelheiten geklärt sind.

9.2 Die Meldung enthält, soweit zu diesem Zeitpunkt bekannt: Art der Verletzung, Zeitpunkt der Feststellung, betroffener Umfang, bereits ergriffene oder vorgeschlagene Maßnahmen sowie eine Kontaktstelle für Rückfragen. Die Meldung erfolgt ohne Übermittlung von Dateninhalten, soweit dies mit einer sachgerechten Meldung vereinbar ist.

9.3 Weitere Erkenntnisse werden unverzüglich nachgereicht.

§ 10 Kontrollrechte des Verantwortlichen

10.1 Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen - einschließlich Inspektionen -, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden, und trägt zu diesen Überprüfungen bei (Art. 28 Abs. 3 Unterabs. 1 lit. h DSGVO).

10.2 Da im Produktivbetrieb kein Fernzugriff eingerichtet ist und ein Notfallzugang nur auf Anordnung des Inhabers geöffnet wird (Anlage 2 Punkt 4), erfüllt der Auftragsverarbeiter diese Pflicht durch eine Kombination aus drei Bausteinen, die der Verantwortliche nach eigener Wahl nutzt:

a) Dokumentation statt Vor-Ort-Zutritt. Aktuelle Konfigurationsübersicht, diese TOM-Anlage und - soweit vorhanden - Prüfberichte oder Zertifizierungen unabhängiger Dritter.

b) Systemeigene Nachweise. Die im Kundensystem geführte, unveränderliche Nachweiskette (im Kundensystem gesondert abrufbar) sowie der durch einen Admin auslösbare Gesamtexport, mit denen der Verantwortliche die tatsächliche Verarbeitung seines eigenen Kundensystems selbst nachvollziehen kann, ohne dass der Auftragsverarbeiter Einsicht nehmen müsste.

c) Terminierte Prüfung. Eine gemeinsam vereinbarte Prüfung (vor Ort beim Hosting-Partner, per Fernprüfung oder als Fragenkatalog) nach angemessener Vorlauffrist (in der Regel vier Wochen), höchstens einmal jährlich ohne besonderen Anlass, bei konkretem Anlass (zum Beispiel nach einer gemeldeten Verletzung nach § 9) auch kurzfristiger.

§ 11 Löschung und Rückgabe nach Beendigung

11.1 Nach Beendigung der Erbringung von Verarbeitungsleistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück und löscht bestehende Kopien, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht (Art. 28 Abs. 3 Unterabs. 1 lit. g DSGVO).

11.2 Der Verantwortliche kann bis zur Löschung seines Kontos einen Gesamtexport aller Daten in offenen Dateiformaten anfordern (Eingänge, Ergebnisse, Löschnachweise, Chats, Ablage, Kalender, Akte und Gesprächsmappen als strukturierte Daten und Dateien); die Nachweiskette ist im Kundensystem gesondert abrufbar. Gespiegelte und hochgeladene Dateien löscht der Auftragsverarbeiter 30 Tage nach Vertragsende; Belege, für die eine gesetzliche Aufbewahrungsfrist läuft, bleiben bis zu deren Ende. Chats, Gesprächsmappen und Ergebnisse löscht der Auftragsverarbeiter mit der Löschung des Kontos (auf Anforderung an den Support). Ein Löschnachweis (Zeitpunkt, Umfang, ausführende Stelle) wird dem Verantwortlichen zur Verfügung gestellt.

11.3 Protokoll- und Nachweisdaten ohne Dateninhalt (Zeitpunkt, Kennung, Handlungsart) werden über die Löschung der Inhalte hinaus mindestens 12 Monate ab Vertragsende zu Nachweiszwecken aufbewahrt; die Löschung erfolgt mit der Löschung des Kundensystems.

§ 12 Haftung

Für die Haftung der Parteien im Zusammenhang mit diesem Vertrag gelten die Haftungsregelungen des Hauptvertrags (Nutzungsbedingungen, Ziffer 9), soweit nicht zwingende Vorschriften der DSGVO (insbesondere Art. 82 DSGVO im Verhältnis zu betroffenen Personen) entgegenstehen.

§ 13 Schlussbestimmungen

13.1 Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag hinsichtlich der Verarbeitung personenbezogener Daten vor.

13.2 Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Dies gilt auch für Anlagen, mit Ausnahme der in § 6.2 geregelten Aktualisierung der Unterauftragsverarbeiter-Liste.

13.3 Es gilt deutsches Recht.

Anlage 1: Gegenstand, Dauer, Art und Zweck der Verarbeitung

1. Gegenstand. Der Auftragsverarbeiter stellt die Plattform Glieks bereit. Er nimmt Arbeitsaufträge im Chat und als Auftrag entgegen, lässt sie durch KI-Agenten in abgeschirmten Umgebungen ausführen, führt Zeitaufträge aus und speichert Auftragsdaten, Zwischenstände, Ergebnisse und Protokolle im Kundensystem des Verantwortlichen.

2. Dauer. Die Verarbeitung dauert so lange wie der Hauptvertrag, zuzüglich der Nachlauffrist nach § 11.

3. Art der Verarbeitung. Erheben, Speichern, Organisieren, Verändern, Auslesen, Verwenden und Löschen. Übermittelt werden Daten an Unterauftragsverarbeiter nach Anlage 3, insbesondere an den jeweiligen Modellanbieter zur Ausführung einzelner Modellrunden, sowie auf Wunsch des Nutzers per E-Mail an dessen Konto-Adresse; Versand an Dritte erfolgt nur über eine vom Verantwortlichen eingerichtete Anbindung. Gelöscht wird über den Papierkorb mit endgültiger Löschung nach 30 Tagen oder sofort nach ausdrücklicher Bestätigung (Anlage 2 Punkt 7).

4. Zweck. Ausführung der vom Verantwortlichen erteilten Arbeitsaufträge, Bereitstellung von Ergebnissen, Protokollen und Nachweisen sowie Abrechnung nach der jeweils aktuellen Preisliste (Nutzungsbedingungen Ziffer 4.1).

5. Betroffene Personen. Mitarbeitende und Beauftragte des Verantwortlichen, die Glieks nutzen, sowie Personen, deren Daten der Verantwortliche in Aufträge und Unterlagen einbringt, zum Beispiel Kunden, Geschäftspartner oder Beschäftigte des Verantwortlichen. Welche Personen das im Einzelfall sind, hängt vom Inhalt ab und bestimmt der Verantwortliche.

6. Datenarten. Zugangs- und Kontodaten der Nutzer (Name, E-Mail-Adresse, Rolle, Anmeldeprotokoll), Nutzungs- und Verbrauchsdaten (Zeitpunkt, Modell, Verbrauch) und die Inhalte der vom Verantwortlichen eingebrachten Aufträge und Dateien. Art und Umfang dieser Inhalte bestimmt allein der Verantwortliche; sie können besondere Kategorien nach Art. 9 DSGVO umfassen, wenn der Verantwortliche solche einbringt (§ 2).

7. Ort der Verarbeitung. Die Daten liegen im Kundensystem des Verantwortlichen auf Servern des Auftragsverarbeiters bei Hetzner in Deutschland. Firmenkunden erhalten ein eigenes Kundensystem (eigener Dienstprozess, eigene Datenbank, eigene Schlüssel); Einzelplätze liegen in einem gemeinsamen Kundensystem, in dem die Trennung der Konten serverseitig bei jedem Zugriff durchgesetzt wird. Im Firmenangebot läuft das Kundensystem auf Wunsch auf einem eigenen Server. Für einzelne Modellrunden werden die dafür nötigen Inhalte für die Dauer der Anfrage beim jeweiligen Modellanbieter verarbeitet, je nach Modell bei IONOS (Deutschland) oder Scaleway (Frankreich), sofern der Verantwortliche keinen eigenen Modellzugang einrichtet; dafür ist er selbst verantwortlich. Bilder erzeugt Glieks über den IONOS AI Model Hub; Video- und Tonerzeugung läuft auf je Auftrag gemieteten Rechenmaschinen bei IONOS in Deutschland.

Anlage 2: Technische und organisatorische Maßnahmen (TOM)

Diese Anlage fasst die technischen und organisatorischen Maßnahmen zusammen, die der Auftragsverarbeiter für Glieks umgesetzt hat. Er entwickelt sie laufend weiter; § 5.2 gilt.

1. Trennung der Kunden. Firmenkunden erhalten ein eigenes Kundensystem (eigener Dienstprozess, eigene Datenbank, eigene Schlüssel). Einzelplätze liegen in einem gemeinsamen Kundensystem; die Trennung der Konten wird dort serverseitig bei jedem Zugriff durchgesetzt. Auf Wunsch (Firmenangebot) läuft das Kundensystem auf einem eigenen Server. Programme, die Glieks für einen Auftrag ausführt, laufen in abgeschirmten virtuellen Maschinen mit eigenem Betriebssystemkern (Firecracker), die nach dem Lauf verworfen werden. Gesprächsantworten und einfache Umformungen verarbeitet der Dienstprozess des Kundensystems direkt. Recherchen führt der Dienst des Kundensystems aus.

2. Zugriffskontrolle. Rollen und Berechtigungen der Nutzer des Kunden werden serverseitig bei jeder Anfrage geprüft; Anmeldung mit Passwort, Passschlüssel oder Einmalcode, der erste Zugang wird über ein per E-Mail zugestelltes Einmalpasswort eingerichtet; Zweitfaktor (Bestätigung über ein zweites Gerät oder einen Zeitcode) für sicherheitsrelevante Bestätigungen. Der Auftragsverarbeiter empfiehlt ausdrücklich, für alle Nutzer dauerhaft einen Zweitfaktor einzurichten. Schritte, die Glieks als nach außen wirkend einstuft (zum Beispiel Versand, Zahlung, Veröffentlichung), legt Glieks zur Freigabe vor, sofern der Kunde für den jeweiligen Weg keine automatische Ausführung eingestellt hat.

3. Verschlüsselung. Die Verbindungen zur Plattform sind verschlüsselt (TLS). Die Sicherungen im Objektspeicher werden verschlüsselt abgelegt.

4. Zugriff des Betriebs. Im Regelfall greift der Betrieb nicht auf Inhalte der Kundensysteme zu (organisatorische Maßnahme); im Produktivbetrieb ist kein Fernzugriff eingerichtet. Aktualisierungen kommen nur als signierte Pakete auf die Server. Ein Notfallzugang zu einem Server ist nur nach gesonderter Freischaltung möglich. Der Server meldet seinen technischen Zustand ohne Inhalte; im Notfall auf Anordnung zusätzlich gefilterte Fehlerzeilen der Dienste. Bei einer Fehlermeldung kann der Kunde ein Laufprotokoll mitschicken, aus dem Kennungen, E-Mail-Adressen und Dateinamen entfernt sind. Ein inhaltlicher Zugriff zu Supportzwecken erfolgt nur nach ausdrücklicher Freigabe des Kunden (organisatorische Maßnahme). Eine im Produkt vorgesehene Terminal-Sitzung zum Agentenprogramm in Läufen mit eigenem Konto (Beginn und Ende werden protokolliert) ist eine Funktion für den Kunden, kein Zugang des Betriebs.

5. Protokollierung und Nachweiskette. Handlungen werden unveränderlich (nicht überschreibbar, nicht löschbar) protokolliert; Auswertung nur zusammengefasst auf Kundensystemebene, mit Ausnahme der Missbrauchsprüfung nach Ziffer 6.8 der Datenschutzerklärung (kein Profiling, siehe Datenschutzerklärung Ziffer 13). Das Protokoll des Kundensystems wird mindestens 12 Monate vorgehalten und ist durch den Kunden ausleitbar.

6. Sicherung. Tägliche, verschlüsselte Sicherung im Objektspeicher von IONOS in Deutschland; monatliche Wiederherstellungsprobe durch den Betrieb. Aufbewahrung: 14 Tagessicherungen, 8 Wochensicherungen und 12 Monatssicherungen.

7. Löschkonzept (zweigleisig). Glieks kennt zwei unabhängige Löschwege, die unterschiedliche Zwecke erfüllen:

• Löschen mit Papierkorb (durch eine berechtigte Person): Dateien bleiben bis zur Löschung durch den Kunden oder bis zum Vertragsende; gelöschte Dateien werden zeitversetzt nach 30 Tagen endgültig gelöscht; eine Wiederherstellung durch den Kunden ist keine zugesicherte Funktion. Die endgültige Löschung erfolgt mit einem zusammenfassenden Löschnachweis je Lauf des automatischen Takts.
• Sofortiges Löschen (gezielte Handlung einer berechtigten Person): kein Papierkorb, keine Frist, kein Weg zurück - nach ausdrücklicher Bestätigung; erzeugt einen eigenen Löschnachweis ohne Inhalt.
• Löschantrag (berechtigte Person, kundensystemweit): Suche nach einer Person oder einem Begriff über das gesamte Kundensystem, Löschung aller Treffer als ein Vorgang mit einem Löschnachweis, der weder den Inhalt noch den Suchbegriff selbst enthält.

8. Härtung der Laufräume. Geschlossene Werkzeuglisten für Laufräume; Ressourcengrenzen; unzulässige Werkzeugaufrufe werden verweigert und protokolliert; bei Angriffsmustern im Netzverkehr wird der Laufraum sofort beendet. Geheimnisse liegen in einem Schlüsselfach mit eingeschränkten Dateirechten und werden nicht protokolliert. Laufräume erreichen das Internet nur über einen Ausgang mit Erlaubtliste und Protokoll; weitere Ziele schaltet nur der Kunde frei (Nutzungsbedingungen Ziffer 7.3).

9. Sicherheitsvorfälle. Organisatorische Zusage: Meldung an den Kunden spätestens 24 Stunden nach Feststellung, ohne Inhalt, mit Umfang, ergriffenen Sperren und nächsten Schritten (§ 9 dieses Vertrags).

10. Hosting-Anbieter. Server werden derzeit bei der Hetzner Online GmbH in Deutschland angemietet. Der Auftragsverarbeiter behält sich vor, weitere Hosting-Anbieter mit Verarbeitungsort in Deutschland zu nutzen, zum Beispiel für geografisch getrennte Sicherungskopien, zur Verbesserung des Dienstes oder für stabile Preise; neue Unterauftragsverarbeiter werden nach § 6.2 vorab mitgeteilt und in Anlage 3 aufgenommen. Die Datentrennung zwischen Kunden wird davon unabhängig gewährleistet (Punkt 1).

11. Keine Trainingsnutzung. Die eingesetzten Modellanbieter (derzeit zum Beispiel IONOS und Scaleway, gegebenenfalls weitere Anbieter mit Sitz und Verarbeitung in der Europäischen Union; maßgeblich ist Anlage 3) verwenden Kundeninhalte nach ihren Vertragsbedingungen nicht zum Training eigener Modelle und speichern Anfrage- und Antwortinhalte nicht dauerhaft (Scaleway: nur bei Störungen bis zu zwei Wochen zur Fehlersuche). Das Faktenblatt jedes Modellzugangs weist Sitz, Speicherort, Speicherdauer, Trainingsnutzung und Rechtsgrundlage aus. Der Auftragsverarbeiter prüft diese Zusagen bei jeder Aufnahme eines Modellzugangs anhand der Vertragsunterlagen des Anbieters (organisatorische Maßnahme).

12. Recherche und Datenabrufe. Zur Ausführung von Arbeitsaufträgen fragt der Auftragsverarbeiter öffentliche Quellen und Dienste ab (zum Beispiel amtliche Statistik, Fach- und Datenquellen, Google Maps Platform bei Standortfragen) sowie für die Websuche Suchdienste mit Sitz in den USA (derzeit Tavily, Inc.; Brave Software, Inc.; DuckDuckGo, Duck Duck Go, Inc.; Microsoft Bing, Microsoft Corporation). An diese Dienste werden Suchanfragen, Ortsangaben und Abfragen übermittelt, keine Dateien. Bei Recherchen im Auftrag werden Suchanfragen auf höchstens 300 Zeichen begrenzt und auf wörtliche Auszüge aus den Unterlagen des Kunden geprüft. Die Kundendaten selbst werden in Deutschland oder der Europäischen Union gespeichert und verarbeitet. Diese Quellen und Suchdienste sind keine Unterauftragsverarbeiter im Sinne von Anlage 3; Rechtsgrundlage und Drittlandsgrundlage stehen in Ziffer 9a der Datenschutzerklärung.

Anlage 3: Liste der Unterauftragsverarbeiter

Nicht in dieser Liste, weil keine Auftragsverarbeiter: Stripe Payments Europe, Ltd. (Irland) wickelt Zahlungen als eigenständig Verantwortlicher ab und erhält nur Zahlungsdaten des Verantwortlichen selbst, keine Auftragsinhalte; Cloudflare, Inc. (USA) betreibt ausschließlich die Namensauflösung der Domains und erhält keine Kundendaten; öffentliche Quellen und Suchdienste nach Anlage 2 Punkt 12 erhalten nur Suchbegriffe.

Diese Liste wird bei jeder Aufnahme eines neuen Modellzugangs oder Dienstleisters nach § 6.2 fortgeschrieben. Alle Unterauftragsverarbeiter verarbeiten Kundendaten in Deutschland oder der Europäischen Union; ein Transfer von Kundendaten in ein Drittland ist nicht vorgesehen (siehe Datenschutzerklärung Ziffer 9).

Quellen

• Art. 28 DSGVO (Verordnung (EU) 2016/679): https://www.gesetze-im-internet.de/eu_2016_679/art_28.html
• Durchführungsbeschluss (EU) 2021/915 der Kommission vom 4. Juni 2021 über Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32021D0915
• Art. 2, 32-36, 82 DSGVO (Anwendungsbereich, Sicherheit der Verarbeitung, Meldepflichten, Folgenabschätzung, Haftung): https://www.gesetze-im-internet.de/eu_2016_679/