Auftragsverarbeitung

Vertrag zur Auftragsverarbeitung

Diese Vereinbarung über die Auftragsverarbeitung (nachfolgend „AVV“) wird geschlossen zwischen

Präambel

Der Auftragsverarbeiter betreibt unter ausschreibungen.io eine Software-as-a-Service-Plattform, mit der Kunden öffentliche Ausschreibungen finden, bewerten und bearbeiten. Die Plattform umfasst KI-gestützte Funktionen, etwa die Analyse und Zusammenfassung von Vergabeunterlagen sowie die Erstellung von Konzepten und Kalkulationen. Bei der Nutzung der Plattform verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen. Diese Vereinbarung konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien nach Art. 28 DSGVO. Begriffe dieser Vereinbarung sind im Sinne der DSGVO zu verstehen.

§ 1 Gegenstand und Dauer

(1) Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Zusammenhang mit der Bereitstellung und dem Betrieb der Plattform ausschreibungen.io für den Verantwortlichen.

(2) Die Laufzeit dieser Vereinbarung entspricht der Laufzeit des zwischen den Parteien geschlossenen Nutzungsvertrags (nachfolgend „Hauptvertrag“). Eine isolierte Kündigung dieser Vereinbarung ist ausgeschlossen. Pflichten, die ihrer Natur nach über das Vertragsende hinauswirken (insbesondere Vertraulichkeit sowie Löschung und Rückgabe), bleiben unberührt.

§ 2 Einbeziehung und Rangverhältnis

(1) Diese Vereinbarung wird durch Verweis im Hauptvertrag wirksam in das Vertragsverhältnis einbezogen. Sie ist in einem elektronischen Format im Sinne des Art. 28 Abs. 9 DSGVO abgefasst; einer gesonderten Unterzeichnung bedarf es nicht. Auf Wunsch des Verantwortlichen stellt der Auftragsverarbeiter eine unterzeichnete Fassung bereit.

(2) Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag oder sonstigen Abreden gehen in datenschutzrechtlichen Fragen die Regelungen dieser Vereinbarung vor.

§ 3 Art und Zweck der Verarbeitung, Datenarten, betroffene Personen

(1) Art, Umfang und Zweck der Verarbeitung, die Arten personenbezogener Daten sowie die Kategorien betroffener Personen ergeben sich aus Anlage 1.

(2) Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union oder in Vertragsstaaten des Europäischen Wirtschaftsraums statt, soweit sich aus Anlage 3 oder § 11 nichts anderes ergibt.

§ 4 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung in ein Drittland oder an eine internationale Organisation, sofern er nicht durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen die betreffende rechtliche Anforderung vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht verbietet.

(2) Der Hauptvertrag, diese Vereinbarung und die Nutzung der in der Plattform vorgesehenen Funktionen gelten als dokumentierte Weisungen. Ergänzende Weisungen bedürfen der Textform; mündlich erteilte Weisungen sind unverzüglich in Textform zu bestätigen.

(3) Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis der Verantwortliche sie bestätigt oder ändert. Die Ausführung einer Weisung, die offensichtlich gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt, darf der Auftragsverarbeiter auch nach einer Bestätigung endgültig verweigern.

§ 5 Verantwortlichkeit des Verantwortlichen

(1) Der Verantwortliche ist für die Zulässigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen allein verantwortlich. Er entscheidet über die Zwecke und Mittel der Verarbeitung (Art. 4 Nr. 7 DSGVO).

(2) Der Verantwortliche entscheidet eigenverantwortlich, welche Inhalte und Unterlagen er in die Plattform einbringt. Er stellt sicher, dass ihm für die darin enthaltenen personenbezogenen Daten eine Rechtsgrundlage zur Verfügung steht, und lädt besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) nur hoch, soweit dies für die Bearbeitung des jeweiligen Vergabeverfahrens erforderlich und zulässig ist.

(3) Der Verantwortliche benennt dem Auftragsverarbeiter auf Anfrage die für Datenschutzfragen zuständige Kontaktstelle.

§ 6 Allgemeine Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen des Auftrags und für keine eigenen oder fremden Zwecke, soweit diese Vereinbarung nichts anderes bestimmt.

(2) Der Auftragsverarbeiter gewährleistet, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Vertraulichkeitsverpflichtung besteht über das Ende der jeweiligen Tätigkeit und die Beendigung dieser Vereinbarung hinaus fort.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO.

(4) Der Auftragsverarbeiter führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO, soweit gesetzlich vorgeschrieben, und wirkt an der Erstellung des Verzeichnisses des Verantwortlichen im erforderlichen Umfang mit.

(5) Ein Datenschutzbeauftragter ist beim Auftragsverarbeiter nicht benannt; die gesetzlichen Voraussetzungen einer Benennungspflicht (Art. 37 DSGVO, § 38 BDSG) liegen nicht vor. Datenschutz-Kontaktstelle ist maxim.abrams@aivi-consulting.de.

(6) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollhandlungen und Maßnahmen von Aufsichtsbehörden sowie über sonstige behördliche Auskunfts- oder Herausgabeverlangen mit Bezug zu Daten aus diesem Auftrag, soweit eine solche Information rechtlich zulässig ist.

§ 7 Grundsätze der KI-gestützten Verarbeitung

(1) KI-Funktionen der Plattform werden im Standardbetrieb ausschließlich über Sprachmodelle erbracht, die in einer EU-Region betrieben werden (Anlage 3).

(2) Inhalte des Verantwortlichen (insbesondere hochgeladene Unterlagen, Eingaben in KI-Funktionen und daraus erzeugte Ergebnisse) werden weder vom Auftragsverarbeiter noch von den eingesetzten Modellanbietern verwendet, um KI-Modelle zu trainieren, zu verbessern oder zu entwickeln. Der eingesetzte Modellbetrieb (Anlage 3) ist so ausgestaltet, dass die Modellanbieter keinen Zugriff auf Ein- und Ausgaben erhalten und Ein- und Ausgaben in den Systemen des Modellbetriebs nicht über die Verarbeitung hinaus gespeichert werden. Die Speicherung von Eingaben und Ergebnissen innerhalb der Plattform als Vertragsinhalte (etwa Verläufe, Zusammenfassungen, Konzepte und Kalkulationen) bleibt davon unberührt.

(3) Inhalte des Verantwortlichen werden nicht für Vergleichszwecke, Auswertungen zugunsten anderer Kunden oder sonstige Zwecke außerhalb der Leistungserbringung genutzt. Dies gilt unabhängig davon, ob die Inhalte personenbezogene Daten enthalten.

(4) Bindet der Verantwortliche über dafür vorgesehene Funktionen einen selbst gewählten, außerhalb der Plattform betriebenen Dienst an (etwa ein eigenes KI-Modell), ist er für die datenschutzrechtliche Zulässigkeit dieser Anbindung einschließlich etwaiger Drittlandübermittlungen selbst verantwortlich.

(5) KI-gestützt erzeugte Ergebnisse sind Unterstützungsleistungen. Die fachliche und rechtliche Prüfung vor einer Verwendung, insbesondere in Vergabeverfahren, obliegt dem Verantwortlichen.

§ 8 Nutzungs- und Diagnosedaten

(1) Der Verantwortliche beauftragt den Auftragsverarbeiter, technische Nutzungs- und Diagnosedaten der Plattform (etwa Fehler- und Leistungsprotokolle sowie Angaben zur Funktionsnutzung) im Rahmen dieser Vereinbarung zu verarbeiten und dabei zu anonymisieren oder so zu aggregieren, dass ein Bezug zu bestimmten oder bestimmbaren Personen ausgeschlossen ist. Die auf diese Weise anonymisierten Ergebnisse enthalten keine Inhalte des Verantwortlichen; der Auftragsverarbeiter darf sie für eigene Zwecke nutzen.

(2) Zweck dieser Verarbeitung sind Betrieb, Sicherheit, Fehlerbehebung und Weiterentwicklung der Plattform. Eine Re-Identifizierung findet nicht statt und wird nicht versucht.

§ 9 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 2 und hat sie vor Beginn der Verarbeitung umgesetzt.

(2) Die Maßnahmen dürfen im Laufe der Vertragsbeziehung an die technische und organisatorische Weiterentwicklung angepasst werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen teilt der Auftragsverarbeiter dem Verantwortlichen in Textform mit.

§ 10 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt allgemein den Einsatz der in Anlage 3 aufgeführten Unterauftragsverarbeiter für die dort beschriebenen Zwecke.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters aktiv in Textform; eine zusätzliche Anzeige in der Plattform bleibt möglich. Der Verantwortliche kann der Änderung innerhalb von 14 Tagen nach Zugang der Mitteilung aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt eine einvernehmliche Lösung nicht zustande, ist der Verantwortliche berechtigt, den Hauptvertrag außerordentlich mit Wirkung spätestens zum Zeitpunkt der beabsichtigten Hinzuziehung zu kündigen.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, die ihn nach dieser Vereinbarung treffen. Setzt ein Unterauftragsverarbeiter seinerseits weitere Auftragsverarbeiter ein, gelten Satz 1 und Absatz 2 entsprechend; die Pflichten dieser Vereinbarung sind entlang der gesamten Kette weiterzugeben.

(4) Keine Unterauftragsverhältnisse sind Nebenleistungen ohne konkreten Bezug zu den im Auftrag verarbeiteten Daten, etwa Telekommunikations-, Post- und Transportdienste sowie sonstige rein infrastrukturelle Leistungen ohne Datenzugriff.

§ 11 Übermittlung in Drittländer

(1) Im Standardbetrieb werden personenbezogene Daten ausschließlich innerhalb der EU beziehungsweise des EWR verarbeitet und gespeichert; das gilt auch für die KI-gestützte Verarbeitung (§ 7). Fernzugriffe der in Anlage 3 genannten Anbieter aus Drittländern (etwa zu Supportzwecken) bleiben im Einzelfall möglich; sie sind durch die in Anlage 3 genannten Transfermechanismen abgesichert.

(2) Eine darüber hinausgehende Übermittlung in ein Drittland erfolgt nur, soweit sie in Anlage 3 ausgewiesen ist oder der Verantwortliche sie selbst veranlasst (§ 7 Abs. 4), und nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder der EU-Standardvertragsklauseln.

§ 12 Rechte betroffener Personen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte aus Art. 15 bis 22 DSGVO nachzukommen. Hierzu zählen insbesondere Einsichts-, Berichtigungs-, Lösch- und Exportmöglichkeiten der Plattform.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nur, soweit eine gesetzliche Pflicht zur eigenen Beantwortung besteht.

§ 13 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 48 Stunden, nachdem sie ihm bekannt geworden ist.

(2) Die Meldung enthält, soweit die Angaben verfügbar sind: eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen. Nicht sofort verfügbare Angaben werden ohne unangemessene Verzögerung nachgereicht.

(3) Der Auftragsverarbeiter ergreift unverzüglich angemessene Maßnahmen zur Sicherung der Daten und zur Begrenzung möglicher Folgen und unterstützt den Verantwortlichen bei dessen Pflichten aus Art. 33 und 34 DSGVO.

§ 14 Unterstützungsleistungen und Kosten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) und bei vorherigen Konsultationen der Aufsichtsbehörde (Art. 36 DSGVO), soweit die Verarbeitung nach dieser Vereinbarung betroffen ist.

(2) Die in dieser Vereinbarung vorgesehenen Unterstützungsleistungen sind mit der Vergütung des Hauptvertrags abgegolten, soweit sie den gesetzlich geschuldeten Umfang nicht übersteigen. Für Unterstützungsleistungen, die über den gesetzlich geschuldeten Umfang hinausgehen, kann der Auftragsverarbeiter eine angemessene Vergütung nach Aufwand verlangen.

§ 15 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

(2) Der Auftragsverarbeiter ermöglicht Überprüfungen einschließlich Inspektionen, die der Verantwortliche oder ein von ihm beauftragter Prüfer durchführt, und trägt zu ihnen bei. Regelkontrollen erfolgen höchstens einmal je Kalenderjahr und werden mindestens 14 Tage vorher angekündigt. Anlasskontrollen sind darüber hinaus zulässig, insbesondere nach einer Verletzung im Sinne des § 13, bei konkreten Anhaltspunkten für Verstöße gegen diese Vereinbarung oder aufgrund einer Maßnahme einer Aufsichtsbehörde; sie werden mindestens fünf Werktage vorher angekündigt. Kontrollen finden zu üblichen Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebs statt. Der Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein und ist zur Vertraulichkeit zu verpflichten.

(3) Nachweise können auch durch aktuelle Testate, Zertifizierungen oder Prüfberichte unabhängiger Stellen erbracht werden. Da der Betrieb der Plattform vollständig in Rechenzentren der in Anlage 3 genannten Anbieter erfolgt, werden physische Kontrollen der Rechenzentren durch die Zertifizierungen und Auditberichte dieser Anbieter nachgewiesen.

§ 16 Löschung und Rückgabe

(1) Nach Beendigung des Hauptvertrags kann der Verantwortliche innerhalb von 30 Tagen die Rückgabe aller personenbezogenen Daten über die Exportfunktionen der Plattform oder in einem gängigen strukturierten Format verlangen. Während dieses Zeitraums löscht der Auftragsverarbeiter die Daten nur auf Weisung des Verantwortlichen.

(2) Nach Ablauf des Zeitraums nach Absatz 1 oder nach vollzogener Rückgabe werden die personenbezogenen Daten einschließlich vorhandener Kopien gelöscht, sofern nicht eine Pflicht zur Speicherung nach dem Recht der Union oder eines Mitgliedstaats besteht. Die Löschung aus den Produktivsystemen erfolgt automatisiert, spätestens sechs Monate nach Beendigung des Hauptvertrags; verlangt der Verantwortliche eine frühere Löschung, erfolgt sie innerhalb von 30 Tagen nach Zugang der Weisung.

(3) Aus Sicherungskopien werden die Daten spätestens mit deren turnusmäßiger Überschreibung nach höchstens 90 Tagen gelöscht. Bis zur Löschung aus Sicherungskopien bleiben die Daten den Schutzmaßnahmen dieser Vereinbarung unterstellt und werden nicht wiederhergestellt, außer soweit dies zur Erfüllung gesetzlicher Pflichten erforderlich ist.

(4) Auf Anfrage bestätigt der Auftragsverarbeiter die Löschung in Textform.

§ 17 Haftung

(1) Für die Haftung der Parteien gelten die Regelungen des Hauptvertrags sowie Art. 82 DSGVO.

(2) Im Innenverhältnis haften die Parteien einander im Umfang ihres jeweiligen Anteils an der Verantwortung für einen Schaden. Geldbußen trägt im Innenverhältnis die Partei, deren Pflichtverletzung sie ausgelöst hat, soweit eine solche Erstattung gesetzlich zulässig ist.

§ 18 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform. Das gilt auch für die Änderung dieses Formerfordernisses.

(2) Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Ausschließlicher Gerichtsstand ist, soweit gesetzlich zulässig, Köln.

Anlage 1: Gegenstand, Zweck, Datenarten und Betroffene

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die Plattform wird vollständig in Rechenzentren der in Anlage 3 genannten Anbieter betrieben (Cloud-Betrieb, keine eigene Serverinfrastruktur). Die folgenden Maßnahmen sind umgesetzt und werden regelmäßig überprüft und fortentwickelt.

Anlage 3: Genehmigte Unterauftragsverarbeiter

Änderungen an dieser Liste werden nach § 10 dieser Vereinbarung angekündigt.