Vertrag zur Auftragsverarbeitung

Dieser Vertrag gilt zwischen dem Kunden als Verantwortlichem („Sie“) und Heike Elchlep, Landstr. 20, 01917 Kamenz OT Schwosdorf, Geschäftsbezeichnung Rundum Premium, als Auftragsverarbeiterin („wir“). Er wird Bestandteil jedes Vertrags über die Nutzung der Rundum-Premium-Plattform nach unseren Allgemeinen Geschäftsbedingungen und gilt, solange wir für Sie Daten verarbeiten.

§ 1 Gegenstand, Art und Zweck

Wir betreiben für Sie die Rundum-Premium-Plattform (öffentlicher Auftritt, Shop, Gestalter, Zentrale und, wenn gebucht, die KI-Mannschaft) und verarbeiten dabei personenbezogene Daten ausschließlich, um diese Leistungen zu erbringen: speichern, anzeigen, übermitteln, auswerten, sichern und löschen, jeweils nach Ihrer Weisung.

§ 2 Arten der Daten und betroffene Personen

• Daten: Kontakt- und Stammdaten, Kommunikationsinhalte (Mails, Nachrichten, Gesprächsverläufe), Vertrags-, Auftrags- und Abrechnungsdaten, Termine, hochgeladene Dateien und Druckdaten, Nutzungs- und Protokolldaten, bei Nutzung der Team-Funktionen Beschäftigtendaten (Arbeitszeiten, Abwesenheiten, Schichten, Spesen).
• Betroffene: Ihre Kunden und Interessenten, Ihre Beschäftigten und Bewerber, Ihre Lieferanten und Geschäftspartner, Besucher Ihres Auftritts.

Besondere Kategorien nach Art. 9 DSGVO, etwa Gesundheitsdaten einer Praxis, verarbeiten wir nur, wenn Sie das im Angebot festlegen. Für sie gelten zusätzlich zu § 5, ebenfalls bevor wir die Daten verarbeiten: Verschlüsselung der gespeicherten Daten, Zugriff bei uns nur für namentlich benannte Personen mit Anmeldung in zwei Schritten, Protokoll jedes Zugriffs und KI-Funktionen nur, wenn das Angebot sie für diese Daten ausdrücklich vorsieht.

§ 3 Weisungen

Wir verarbeiten die Daten nur auf Ihre dokumentierte Weisung, auch bei Übermittlungen in Drittländer, es sei denn, das Recht der Europäischen Union oder eines Mitgliedstaats, dem wir unterliegen, verpflichtet uns dazu; dann teilen wir Ihnen das vorher mit, soweit dieses Recht es erlaubt. Weisungen erteilen Sie durch Ihre Einstellungen in der Plattform, durch den Vertrag und in Textform. Halten wir eine Weisung für rechtswidrig, sagen wir es Ihnen unverzüglich.

§ 4 Vertraulichkeit

Alle Personen, die bei uns Zugang zu Ihren Daten haben, sind zur Vertraulichkeit verpflichtet. Die KI-Rollen der Plattform greifen nur über die Funktionen der Plattform und im Rahmen Ihrer Rechte zu; jede ihrer Handlungen wird protokolliert.

Unterliegen Ihre Daten einem Berufsgeheimnis nach § 203 StGB, etwa als Praxis der Heilberufe, wirken wir an Ihrer beruflichen Tätigkeit mit. Wir und alle bei uns tätigen Personen sind dann zur Geheimhaltung verpflichtet und auf die Strafbarkeit nach § 203 Abs. 4 StGB hingewiesen. Wir erhalten Kenntnis von fremden Geheimnissen nur, soweit es für unsere Leistung erforderlich ist, und setzen weitere Auftragsverarbeiter für solche Daten nur ein, wenn sie sich ebenso zur Geheimhaltung verpflichtet haben.

§ 5 Technische und organisatorische Maßnahmen

Wir treffen die Maßnahmen nach Art. 32 DSGVO, insbesondere:

• Betrieb auf Servern in einem Rechenzentrum in Finnland (EU); nur die KI-Funktionen nutzen zusätzlich Anthropic in den USA (§ 6)
• Trennung der Daten je Kunde, bei jeder Datenbankabfrage von der Datenbank selbst erzwungen und in jedem Bau automatisch geprüft
• Verschlüsselte Übertragung, Zugriff nur für berechtigte Personen, mit Protokoll
• Rechte bis auf einzelne Funktionen, Freigaben für alles, was nach außen geht oder Geld bewegt
• Tägliche, verschlüsselte Sicherung an einem zweiten Ort, Wiederherstellung regelmäßig erprobt
• Updates ohne Stillstand, Überwachung rund um die Uhr
• Kennzeichnung und Protokoll jeder KI-Handlung

Die Rundum-Premium-Plattform befindet sich im Aufbau. Wir verarbeiten Ihre Daten erst, wenn die Maßnahmen dieses Paragrafen für Ihre Leistung umgesetzt sind; auf Anfrage weisen wir sie nach (§ 9). Wir dürfen die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.

§ 6 Weitere Auftragsverarbeiter

Sie stimmen dem Einsatz folgender weiterer Auftragsverarbeiter zu:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen: Rechenzentrum, Server und Mailserver in Finnland (EU).
• Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg: Versand von E-Mails der Plattform an Ihre Kunden und Mitarbeiter (Amazon Simple Email Service, Rechenzentrum Frankfurt am Main). Für eine mögliche Übermittlung in die USA gelten der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO) und ergänzend die EU-Standardvertragsklauseln.
• Anthropic, PBC, San Francisco, USA, und Anthropic Ireland, Limited, Dublin, Irland: Sprachmodelle für die KI-Mannschaft. Nur wenn Sie KI-Funktionen nutzen, und nur mit den Inhalten, die für die jeweilige Aufgabe nötig sind. Für die Übermittlung in die USA gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); eine Kopie erhalten Sie auf Anfrage. Anthropic löscht Ein- und Ausgaben in der Regel nach 30 Tagen und verwendet sie nicht zum Training seiner Modelle.

Einen neuen oder anderen Auftragsverarbeiter kündigen wir Ihnen mindestens vier Wochen vorher in Textform an. Sie können aus wichtigem datenschutzrechtlichem Grund widersprechen; können wir dem nicht abhelfen, dürfen Sie die betroffene Leistung zum Zeitpunkt des Wechsels kündigen. Wir verpflichten jeden weiteren Auftragsverarbeiter vertraglich auf im Wesentlichen gleichwertige Datenschutzpflichten (Art. 28 Abs. 4 DSGVO).

§ 7 Unterstützung

Wir unterstützen Sie mit den Mitteln der Plattform und auf Anfrage bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch), bei der Datenschutz-Folgenabschätzung und bei der Zusammenarbeit mit Aufsichtsbehörden. Wendet sich eine betroffene Person direkt an uns, leiten wir die Anfrage unverzüglich an Sie weiter.

§ 8 Verletzungen des Schutzes

Wird uns eine Verletzung des Schutzes Ihrer Daten bekannt, informieren wir Sie unverzüglich, spätestens innerhalb von 24 Stunden, mit den Angaben, die Sie für eine Meldung nach Art. 33 und 34 DSGVO brauchen, und ergreifen sofort Maßnahmen, um Schaden zu begrenzen.

§ 9 Nachweise und Kontrollen

Wir stellen Ihnen auf Anfrage alle Informationen zur Verfügung, die den Nachweis unserer Pflichten ermöglichen, und ermöglichen Überprüfungen durch Sie oder einen von Ihnen beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach vorheriger Ankündigung zu den üblichen Geschäftszeiten.

§ 10 Löschung und Rückgabe

Nach Ende der Leistungen können Sie Ihre Daten noch 30 Tage exportieren; auf Wunsch geben wir sie Ihnen in einem gängigen Format zurück. Danach löschen wir sie einschließlich der Kopien, soweit keine gesetzliche Pflicht zur Speicherung besteht, und bestätigen Ihnen die Löschung. Aus den Sicherungen verschwinden die Daten mit deren regulärem Ablauf, spätestens nach sechs Monaten.

§ 11 Schluss

Im Übrigen gelten unsere Allgemeinen Geschäftsbedingungen. Bei Widersprüchen geht dieser Vertrag vor, soweit es um den Schutz personenbezogener Daten geht. Fragen beantworten wir unter kontakt@rundum-premium.de.