Vereinbarung zur Auftragsverarbeitung
Parteien und Dauer
Auftragnehmerin ist Grondarik GmbH, Auftraggeber das im Einzelauftrag bezeichnete Unternehmen. Die Verarbeitung erfolgt während der Vertragsdauer für die beauftragte Forschung. Anschließend gelten Rückgabe, Löschung und begrenzter Sicherungsablauf nach den vereinbarten Fristen; eine unbegrenzte Archivierung ist nicht Bestandteil des Auftrags.
Gegenstand
Gegenstand ist die Verarbeitung der vom Kunden bereitgestellten Mietregister zum Ablaufkalender. Dazu gehören Uploads, Autorenangaben, Nutzerkennungen und Ergebnisse; betroffen sein können Beschäftigte und Geschäftskontakte.
Die beauftragte KI extrahiert und erläutert Inhalte im Kundenmandanten. Der Kunde benennt die gültige Registerfassung, prüft die erste Ausgabe und entscheidet über widersprüchliche Enddaten. Besondere Kategorien personenbezogener Daten sind nicht Gegenstand des Auftrags und dürfen nicht übermittelt werden. Das ausführbare Websitebeispiel verwendet dagegen lokale Regeln im Browser.
Weisungen und Vertraulichkeit
Die Auftragnehmerin verarbeitet Inhalte ausschließlich auf dokumentierte Weisung für die vereinbarte Analyse der Mietregister. Modelltraining, eigene Vermarktung und sonstige eigene Nutzung der Kundeninhalte sind ausgeschlossen.
Mitwirkendes Personal ist zur Vertraulichkeit zu verpflichten; Berechtigungen sind auf die jeweilige Rolle zu begrenzen. Problematische Weisungen werden bis zur Klärung ausgesetzt. Die Entscheidung über eine streitige Vertragsendzeit bleibt beim Kunden.
Unterauftragnehmer
Wolkensteg Rechenzentren GmbH erbringt Hosting und Sicherungen in Frankfurt. Modellschmiede Inferenz GmbH übernimmt dort die isolierte Inferenz im Mandanten; Kundendaten dürfen nicht für Training verwendet werden.
Änderungen der Unterauftragnehmer sind dem Kunden 14 Tage vorher mitzuteilen. Begründete Einwände werden geprüft und Alternativen mit dem Kunden erörtert; die Mitteilung ersetzt keine Prüfung der vereinbarten Datenverarbeitung.
Unterstützung und Prüfung
Die technischen Maßnahmen und der vereinbarte Löschplan sind Anlagen der Auftragsverarbeitung. Die Auftragnehmerin unterstützt den Kunden bei Betroffenenanfragen, Sicherheitsvorfällen und Datenschutz-Folgenbewertungen und ermöglicht die vereinbarte Einsicht in einschlägige Unterlagen.
Eine unabhängige Zertifizierung nach ISO 27001 oder SOC 2 liegt nicht vor. Die beschriebenen Maßnahmen dürfen nicht als solche Zertifizierung verstanden werden.
Vorfälle
Bestätigte Vorfälle sind dem Auftraggeber ohne vermeidbare Verzögerung zu melden. Als internes vertragliches Ziel gelten 24 Stunden nach Bestätigung. Diese Zielzeit ersetzt keine anwendbaren gesetzlichen Meldepflichten oder deren gesonderte Prüfung durch den Verantwortlichen.
Rückgabe und Löschung
Der Kunde veranlasst den benötigten Export vor Vertragsende. Für Uploads und Ergebnisse gelten jeweils 30 Tage Aufbewahrung; Kontodaten sind spätestens 30 Tage nach Vertragsende zu löschen. Ein Löschprotokoll ist bereitzustellen.
Sicherungen laufen nach 30 Tagen aus. Bei Wiederherstellung müssen Löschmarkierungen erneut angewendet werden. Die Rückgabe hebt die vereinbarten Löschfristen nicht auf.
Annahme
Die Vereinbarung wird durch Annahme einer bevollmächtigten Person des Auftraggebers und durch Katharina Wiedemann für die Auftragnehmerin wirksam. Die Veröffentlichung dieser Bedingungen allein schließt keinen Einzelvertrag; maßgeblich sind die Annahme und der darin bezeichnete Auftrag.