RECHTLICHES · ART. 28 DSGVO

Auftragsverarbeitung

Dieser Mustervertrag regelt die Verarbeitung personenbezogener Daten, die AI.PEX Quantum Dynamic im Auftrag eines Kunden vornimmt. Er wird vor Beginn jeder solchen Verarbeitung individuell geschlossen und um die konkrete Verarbeitungsübersicht ergänzt.

Wann dieser Vertrag greift. Ausschließlich dann, wenn wir für Sie personenbezogene Daten verarbeiten — etwa beim Betrieb einer KI-Instanz mit Ihren Unternehmensdaten oder bei der Betreuung eines Systems mit Kundendaten. Der bloße Besuch dieser Website löst keine Auftragsverarbeitung aus; dafür gilt die Datenschutzerklärung.

Art. 1Vertragsparteien und Gegenstand

Auftraggeber · Verantwortlicher: Der dem Vertrag beitretende Kunde, Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO
Auftragnehmer · Auftragsverarbeiter: AI.PEX Quantum Dynamic
Einzelunternehmen Maurice Ferge
Am Anger 28b, 39171 Sülzetal OT Schwaneberg
Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO

Dieser Vertrag gilt für alle Verarbeitungstätigkeiten, die der Auftragnehmer zur Erfüllung des Hauptvertrags für den Auftraggeber durchführt. Seine Laufzeit entspricht der Laufzeit des Hauptvertrags.

Art. 2Art, Zweck und Umfang der Verarbeitung

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Auftraggebers, zu folgenden Zwecken:

Einrichtung, Betrieb und Wartung der für den Auftraggeber bereitgestellten Systeme und KI-Instanzen
Speicherung und Verarbeitung von Unternehmensdaten, Dokumenten und Wissensbasen des Auftraggebers
Verarbeitung von Anfragen, die über bereitgestellte Dialog-, Sprach- oder Automatisierungssysteme eingehen
Fehleranalyse, Störungsbeseitigung und technischer Support

Kategorien betroffener Personen — Beschäftigte des Auftraggebers, Kunden und Interessenten des Auftraggebers, Ansprechpersonen bei dessen Geschäftspartnern, soweit deren Daten in den Systemen verarbeitet werden.

Kategorien personenbezogener Daten — Stammdaten, Kontaktdaten, Kommunikationsinhalte, Vertrags- und Abrechnungsdaten, Nutzungs- und Protokolldaten. Die konkrete Aufstellung ergibt sich aus der Anlage zum Hauptvertrag.

Sollen besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeitet werden, bedarf das einer gesonderten schriftlichen Vereinbarung samt ergänzender Schutzmaßnahmen.

Art. 3Weisungsrecht

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich Übermittlungen in Drittländer. Der Auftraggeber ist allein verantwortlich für die Rechtmäßigkeit der Verarbeitung und der erteilten Weisungen.

Weisungen erfolgen in Textform. Mündliche Weisungen bestätigt der Auftraggeber unverzüglich in Textform. Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er das unverzüglich mit und darf ihre Ausführung bis zur Bestätigung oder Änderung aussetzen.

Art. 4Pflichten des Auftragnehmers

Verarbeitung ausschließlich nach Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO)
Verpflichtung aller zur Verarbeitung befugten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)
Umsetzung und Nachweis der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (siehe Art. 5)
Unterstützung des Auftraggebers bei der Erfüllung von Betroffenenrechten nach Art. 12 bis 22 DSGVO
Unterstützung bei Meldepflichten nach Art. 33 und 34 DSGVO sowie bei Datenschutz-Folgenabschätzungen nach Art. 35 und 36 DSGVO
Löschung oder Rückgabe aller Daten nach Vertragsende nach Wahl des Auftraggebers (siehe Art. 10)
Bereitstellung aller Informationen, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und Ermöglichung von Überprüfungen

Überprüfungen durch den Auftraggeber oder einen von ihm beauftragten Prüfer erfolgen nach Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs.

Art. 5Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft folgende Maßnahmen nach Art. 32 DSGVO. Sie werden fortlaufend an den Stand der Technik angepasst; Änderungen dürfen das Schutzniveau nicht unterschreiten.

Maßnahme	Umsetzung
Zutrittskontrolle	Physischer Zugang zur Serverinfrastruktur ausschließlich durch autorisiertes Rechenzentrumspersonal der eingesetzten Anbieter; zertifizierte Rechenzentren in der EU
Zugangskontrolle	Schlüsselbasierte Authentifizierung, Mehr-Faktor-Verfahren wo verfügbar, Passwortrichtlinie, automatische Sitzungszeitgrenzen
Zugriffskontrolle	Rollenbasiertes Berechtigungskonzept nach dem Prinzip der geringsten Rechte; regelmäßige Überprüfung der Zugriffsrechte
Trennungskontrolle	Logische und, wo vereinbart, physische Trennung der Kundendaten; dedizierter Stack je Kunde ohne gemeinsame Mandantenschicht
Verschlüsselung	Transportverschlüsselung durchgehend über TLS; Verschlüsselung ruhender Daten und verschlüsselte Sicherungen nach Vereinbarung
Verfügbarkeit	Regelmäßige, automatisierte Sicherungen mit vereinbarter Aufbewahrungsdauer; laufende Überwachung der Dienste
Eingabekontrolle	Protokollierung administrativer Zugriffe und Änderungen an Konfiguration und Daten
Reaktion auf Vorfälle	Dokumentiertes Verfahren zur Erkennung, Meldung und Behebung von Verletzungen des Schutzes personenbezogener Daten

Art. 6Subauftragsverarbeiter

Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter nach Art. 28 Abs. 2 Satz 2 DSGVO. Der Auftragnehmer wählt sie sorgfältig aus und verpflichtet sie auf Datenschutzpflichten, die denen dieses Vertrags entsprechen.

Zum Stand dieser Fassung eingesetzt werden:

Dienstleister	Zweck · Ort · Einsatz
ALL-INKL.COM Neue Medien Münnich	Hosting der Websites und des E-Mail-Postfachs · Friedersdorf, Deutschland · Rechenzentren in Deutschland · dauerhaft
Hostinger International Ltd.	Serverinfrastruktur für betriebene Systeme · Rechenzentren in der EU · bei Bereitstellung eines Betriebssystems oder einer KI-Instanz
Modell- und Medienanbieter	Inferenz von Sprach-, Bild- oder Videomodellen · ausschließlich bei Nutzung der jeweiligen Funktion durch den Auftraggeber · die konkret eingesetzten Anbieter, ihr Sitz und die Grundlage eines etwaigen Drittlandtransfers werden in der Anlage zum Hauptvertrag namentlich ausgewiesen

Beabsichtigt der Auftragnehmer, einen weiteren Subauftragsverarbeiter hinzuzuziehen oder zu ersetzen, teilt er das dem Auftraggeber mindestens dreißig Tage vorher in Textform mit. Der Auftraggeber darf binnen vierzehn Tagen aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Bei berechtigtem Widerspruch, der sich nicht ausräumen lässt, darf jede Partei den betroffenen Leistungsteil kündigen.

Art. 7Drittlandtransfer

Eine Verarbeitung personenbezogener Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet grundsätzlich nicht statt.

Verlangt eine ausdrücklich beauftragte Funktion einen Drittlandtransfer, erfolgt dieser ausschließlich auf einer Grundlage nach Kapitel V DSGVO — Angemessenheitsbeschluss nach Art. 45 DSGVO oder EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO samt ergänzender Maßnahmen. Der betroffene Anbieter, das Zielland und die Grundlage werden in der Anlage zum Hauptvertrag ausgewiesen und dem Auftraggeber vorher zur Freigabe vorgelegt.

Art. 8Rechte der betroffenen Personen

Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Betroffenenrechte, insbesondere Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO).

Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Anliegen unverzüglich an den Auftraggeber weiter und erteilt selbst keine Auskunft.

Art. 9Verletzungen des Datenschutzes

Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von vierundzwanzig Stunden nach Kenntnis. Die Meldung enthält mindestens:

Art der Verletzung und betroffene Datenkategorien
ungefähre Zahl betroffener Personen und Datensätze
wahrscheinliche Folgen der Verletzung
ergriffene und geplante Maßnahmen zur Abhilfe und Begrenzung
Name und Kontaktdaten der auskunftsfähigen Stelle

Der Auftragnehmer dokumentiert sämtliche Vorfälle und unterstützt den Auftraggeber bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

Art. 10Löschung und Rückgabe

Nach Beendigung des Hauptvertrags stellt der Auftragnehmer sämtliche Daten des Auftraggebers in einem gängigen, maschinenlesbaren Format zum Export bereit. Die Exportfrist beträgt dreißig Tage ab Vertragsende.

Nach Ablauf der Exportfrist löscht der Auftragnehmer alle Daten des Auftraggebers einschließlich vorhandener Kopien unwiderruflich, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Auftraggeber erhält auf Anforderung eine Bestätigung der Löschung in Textform.

Dokumentationen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen, bewahrt der Auftragnehmer entsprechend der jeweiligen Aufbewahrungsfrist auf.

Art. 11Ansprechpartner

Ansprechpartner Datenschutz beim Auftragnehmer: Maurice Ferge · schreib@aipexquantumdynamic.com

Ein Datenschutzbeauftragter ist derzeit nach § 38 Abs. 1 BDSG nicht zu benennen. Wird die Bestellung gesetzlich erforderlich, benennt der Auftragnehmer ihn unverzüglich und teilt das dem Auftraggeber mit.

Art. 12Schlussbestimmungen

Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in datenschutzrechtlicher Hinsicht vor.

Änderungen bedürfen der Textform. Die Unwirksamkeit einzelner Regelungen berührt die Wirksamkeit der übrigen nicht; an die Stelle einer unwirksamen Regelung tritt eine wirksame, die dem verfolgten Zweck am nächsten kommt.

Es gilt das Recht der Bundesrepublik Deutschland.