Vereinbarung zur Auftragsverarbeitung
Parteien und Dauer
Auftragnehmerin ist Nivraskel GmbH; Auftraggeber ist das im Einzelauftrag bezeichnete Unternehmen. Die Verarbeitung erfolgt für die Vertragsdauer im vereinbarten Forschungsumfang. Anschließend gelten die Rückgabe- und Löschpflichten einschließlich der festgelegten Aufbewahrungs- und Sicherungsfristen.
Gegenstand
Gegenstand sind Präsentationen und Exporte zur Erstellung des Ergebnisses „Liste konsistenter und strittiger Kennzahlen“. Die beauftragte KI-Verarbeitung extrahiert und erläutert Angaben im Kontext der Quellen; die Zulässigkeit eines Vergleichs beurteilt der Kunde.
Verarbeitet werden Uploads, Autorenangaben, Nutzerkennungen und Ergebnisse. Betroffene sind Beschäftigte und Geschäftskontakte. Sensible personenbezogene Daten gehören nicht zum vereinbarten Eingabeumfang; der Kunde prüft die Unterlagen vor der Übergabe. Die Leistung ist kein Audit und ersetzt keine Unternehmensberichterstattung.
Weisungen und Vertraulichkeit
Die Auftragnehmerin verarbeitet Kundeninhalte ausschließlich nach dokumentierter Weisung für die vereinbarte Analyse. Eine Nutzung zum Modelltraining oder zur eigenen Vermarktung ist ausgeschlossen. Sie verpflichtet das eingesetzte Personal zur Vertraulichkeit und begrenzt Zugriffe nach Rollen und Aufgaben.
Erweist sich eine Weisung als problematisch, setzt die Auftragnehmerin die betroffene Verarbeitung bis zur Klärung mit dem Auftraggeber aus. Die Verantwortung des Kunden für die Auswahl und rechtmäßige Bereitstellung der Quellen bleibt bestehen.
Unterauftragnehmer
Für Hosting und Sicherungen wird Wolkensteg Rechenzentren GmbH in Frankfurt eingesetzt. Modellschmiede Inferenz GmbH in Frankfurt übernimmt isolierte Inferenz im Mandanten ohne Training mit Kundendaten. Briefpfad Zustelldienst GmbH in Berlin übernimmt interne Benachrichtigungen ohne Upload-Inhalte.
Änderungen der Unterauftragnehmer teilt die Auftragnehmerin 14 Tage vorher mit. Begründete Einwände des Kunden und geeignete Alternativen sind vor der betreffenden Änderung zu prüfen. Der beschriebene Umfang umfasst keine Drittlandübermittlung.
Unterstützung und Prüfung
Die technischen Maßnahmen und der Löschplan dieser Fassung bilden Anlagen zur Vereinbarung. Die Auftragnehmerin unterstützt den Kunden bei Betroffenenanfragen, der Bearbeitung von Vorfällen und einer erforderlichen Folgenbewertung. Vereinbarte Einsicht in die einschlägigen Unterlagen ist zu ermöglichen.
Eine unabhängige Zertifizierung nach ISO 27001 oder SOC 2 liegt nicht vor. Die vereinbarten Maßnahmen sind daher nicht als unabhängig zertifizierter Sicherheitsnachweis zu verstehen.
Vorfälle
Bestätigte Vorfälle mit Bezug zur Auftragsverarbeitung sind dem Auftraggeber ohne vermeidbare Verzögerung zu melden. Als internes vertragliches Ziel gelten 24 Stunden nach Bestätigung. Dieses Ziel ersetzt keine Prüfung der jeweils geltenden gesetzlichen Meldepflichten und legt deren Fristen nicht fest.
Rückgabe und Löschung
Der Auftraggeber veranlasst den benötigten Export vor Vertragsende. Uploads unterliegen einer Aufbewahrung von 60 Tagen, Ergebnisse von 180 Tagen. Kontodaten sind spätestens 30 Tage nach Vertragsende zu löschen. Die Auftragnehmerin stellt ein Löschprotokoll bereit.
Sicherungen laufen nach 30 Tagen aus. Wird eine Sicherung wiederhergestellt, sind bereits vorgemerkte Löschungen erneut anzuwenden, damit gelöschte Inhalte nicht dauerhaft in den Arbeitsbestand zurückkehren.
Annahme
Die Vereinbarung wird durch Annahme seitens einer bevollmächtigten Kundenperson und Andreas Kühnemann wirksam. Die Bereitstellung dieses Dokuments allein schließt keinen Einzelvertrag; maßgeblich sind die Annahme und der darin bezeichnete Auftrag mit seinem Verarbeitungsumfang.