Auftragsverarbeitungsvertrag

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 Abs. 3 der Datenschutz-Grundverordnung (DSGVO)

zwischen dem Kunden des Hauptvertrags („Verantwortlicher“) und

(„Auftragsverarbeiter“).

§ 1 Gegenstand und Dauer

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung des Dienstes „AI1ST Compliance-Autopilot“ als Software-as-a-Service auf Grundlage des zwischen den Parteien geschlossenen Nutzungsvertrags einschließlich der Allgemeinen Geschäftsbedingungen („Hauptvertrag“).

(2) Dieser Vertrag ist Bestandteil des Hauptvertrags und kommt mit diesem zustande. Seine Dauer entspricht der Laufzeit des Hauptvertrags. Er gilt darüber hinaus fort, solange der Auftragsverarbeiter noch personenbezogene Daten des Verantwortlichen verarbeitet.

§ 2 Art und Zweck der Verarbeitung, Daten und betroffene Personen

(1) Art und Zweck der Verarbeitung: Speicherung, Bereitstellung, Auswertung und Übermittlung der vom Verantwortlichen eingegebenen Daten, um das KI-Register zu führen, Personen per E-Mail zur Online-Schulung einzuladen, die Schulung durchzuführen, Teilnahmenachweise zu erzeugen und deren Echtheit über die Prüfseite überprüfbar zu machen.

(2) Art der personenbezogenen Daten:

• Stammdaten: Name, geschäftliche E-Mail-Adresse, Abteilung;
• Schulungsdaten: Fortschritt, Testergebnis, Datum, Kennung (ID) des Nachweises;
• Angaben im KI-Register: verantwortliche Personen;
• Meldungen zu KI-Werkzeugen.

(3) Kategorien betroffener Personen:

• Beschäftigte des Verantwortlichen und sonstige in seinem Auftrag tätige Personen;
• Administratoren des Kundenkontos.

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Weisungen ergeben sich aus dem Hauptvertrag, aus diesem Vertrag und aus der Nutzung der Funktionen des Dienstes durch den Verantwortlichen. Darüber hinausgehende Einzelweisungen erteilt der Verantwortliche in Textform.

(3) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informiert er den Verantwortlichen unverzüglich. Er darf die Ausführung der Weisung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht nach Beendigung dieses Vertrags fort.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Die bei Vertragsschluss getroffenen Maßnahmen sind in Anlage 1 beschrieben.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen, soweit das in Anlage 1 beschriebene Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung, weitere Auftragsverarbeiter („Unterauftragsverarbeiter“) in Anspruch zu nehmen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 genannt und gelten als genehmigt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage im Voraus in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Verantwortliche kann der Änderung innerhalb dieser Frist in Textform widersprechen.

(3) Widerspricht der Verantwortliche und lässt sich keine einvernehmliche Lösung finden, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung kündigen.

(4) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die den Pflichten aus diesem Vertrag entsprechen. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters.

§ 7 Übermittlung in Drittländer

Eine Übermittlung personenbezogener Daten in ein Land außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen des Kapitels V der DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission oder geeigneter Garantien wie der EU-Standardvertragsklauseln. Die bei Vertragsschluss bestehenden Übermittlungen ergeben sich aus Anlage 2.

§ 8 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III der DSGVO zu beantworten. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO.

§ 9 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten des Verantwortlichen unverzüglich, nachdem sie ihm bekannt geworden ist. Er strebt an, die Meldung innerhalb von 48 Stunden nach Bekanntwerden abzugeben.

(2) Die Meldung enthält, soweit bekannt, eine Beschreibung der Art der Verletzung, der betroffenen Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze, der wahrscheinlichen Folgen sowie der ergriffenen oder vorgeschlagenen Maßnahmen. Liegen die Informationen nicht gleichzeitig vor, werden sie schrittweise nachgereicht.

§ 10 Löschung und Rückgabe

(1) Der Verantwortliche kann seine Daten während der Laufzeit des Hauptvertrags jederzeit über die Exportfunktionen des Dienstes abrufen (Rückgabe).

(2) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen, sofern nicht nach dem Recht der Union oder eines Mitgliedstaats eine Verpflichtung zur Speicherung besteht.

§ 11 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO und in diesem Vertrag niedergelegten Pflichten zur Verfügung.

(2) Der Nachweis wird vorrangig durch Vorlage geeigneter Dokumentation erbracht. Soweit dies zur Überprüfung nicht ausreicht, ermöglicht der Auftragsverarbeiter dem Verantwortlichen oder einem von diesem beauftragten, zur Verschwiegenheit verpflichteten Prüfer Kontrollen vor Ort. Solche Kontrollen finden nach angemessener Vorankündigung, in angemessenen Abständen und zu den üblichen Geschäftszeiten statt und sollen den Betriebsablauf nicht mehr als erforderlich beeinträchtigen.

§ 12 Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage und die Information der betroffenen Personen, sowie für die Wahrung der Rechte der betroffenen Personen verantwortlich. Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 13 Haftung

Die Haftung der Parteien gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten im Übrigen die Haftungsregelungen des Hauptvertrags.

§ 14 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags vor, soweit die Verarbeitung personenbezogener Daten im Auftrag betroffen ist.

(2) Änderungen und Ergänzungen dieses Vertrags bedürfen mindestens der Textform; ein elektronisches Format genügt (Art. 28 Abs. 9 DSGVO).

(3) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Im Übrigen gelten die Schlussbestimmungen des Hauptvertrags.

Anlage 1 – Technische und organisatorische Maßnahmen

1. Verschlüsselung

• Transportverschlüsselung (TLS) für alle Verbindungen;
• Verschlüsselung der gespeicherten Daten durch den Infrastrukturanbieter.

2. Zugang zum Dienst

• Anmeldung ohne Passwort über einmalig verwendbare Anmeldelinks;
• Sitzungskennungen und persönliche Schulungslinks werden ausschließlich als kryptografische Hashwerte gespeichert;
• Sitzungs-Cookies mit den Attributen HttpOnly, Secure und SameSite.

3. Mandantentrennung

• Strikte Trennung der Kunden in der Anwendung: Jeder Datenbankzugriff ist auf die Organisationskennung des jeweiligen Kunden beschränkt.

4. Schutz der Anwendung

• Schutz vor Cross-Site-Request-Forgery (CSRF);
• restriktive Content-Security-Policy;
• Begrenzung der Zahl von Anfragen (Rate Limiting) zum Schutz vor Missbrauch.

5. Protokollierung

• Protokoll (Audit-Log) der administrativen Handlungen im Kundenkonto.

6. Speicherort und Datenminimierung

• Speicherung der Daten in der Europäischen Union (Cloudflare D1, Jurisdiktion „EU“);
• keine Speicherung von IP-Adressen im Klartext;
• kein Tracking.

7. Export und Löschung

• Funktionen zum Export und zur Löschung der Daten.

8. Administrativer Zugriff und Pflege

• Zugriff auf die Produktivsysteme nur durch befugte Personen des Auftragsverarbeiters, abgesichert durch Zwei-Faktor-Authentifizierung beim Infrastrukturanbieter;
• regelmäßige Aktualisierung der eingesetzten Software-Abhängigkeiten.

Anlage 2 – Unterauftragsverarbeiter

Stand: 14. November 2026