Vereinbarung zur Auftragsverarbeitung
Parteien und Dauer
Auftragnehmerin ist Luravonet GmbH, Auftraggeber ist das im Einzelauftrag bezeichnete Unternehmen. Die Verarbeitung erfolgt während der Vertragsdauer innerhalb der vereinbarten Speicherfristen. Nach Vertragsende folgen Rückgabe und Löschung einschließlich des geregelten Auslaufens von Sicherungen.
Gegenstand
Gegenstand ist die Verarbeitung der Eingaben „Modellarchiv und Annahmeversionen“ für die Ausgabe „Ergebnisunterschiede mit Ursachen“. Dazu gehören Uploads, Autorenangaben, Nutzerkennungen und Ergebnisse; betroffen sind Beschäftigte und Geschäftskontakte.
Der Kunde legt den gemeinsamen Ausgangsstand fest und prüft unklare Ursachenzuordnungen. Die beauftragte KI unterstützt Extraktion und Erklärung, ersetzt aber weder die Kundenmodellierung noch dessen Schlussfolgerungen. Echte sensible Daten dürfen nicht übermittelt werden. Das lokale Websitebeispiel rechnet dagegen mit Browserregeln.
Weisungen und Vertraulichkeit
Die Auftragnehmerin verarbeitet Inhalte ausschließlich nach dokumentierten Weisungen für die vereinbarte Analyse. Eigene Vermarktung und Training mit Kundendaten sind ausgeschlossen. Sie verpflichtet das eingesetzte Personal zur Vertraulichkeit und begrenzt den Zugriff nach Rollen.
Bedenkliche Weisungen werden zur Klärung an den Auftraggeber zurückgegeben; die betroffene Verarbeitung bleibt bis zur Klärung ausgesetzt.
Unterauftragnehmer
Wolkensteg Rechenzentren GmbH erbringt Hosting und Sicherungen; Modellschmiede Inferenz GmbH übernimmt die isolierte Inferenz im Mandanten ohne Training mit Kundendaten. Beide verarbeiten in Frankfurt.
Änderungen an diesen Unterauftragnehmern sind dem Kunden 14 Tage im Voraus mitzuteilen. Begründete Einwände sind mit ihm zu prüfen und mögliche Alternativen abzustimmen.
Unterstützung und Prüfung
Die technischen Maßnahmen und der Löschplan dieser Vertragsfassung bilden die Anlagen zur Auftragsverarbeitung. Die Auftragnehmerin unterstützt den Kunden bei Betroffenenanfragen, der Bearbeitung von Vorfällen und Datenschutz-Folgenbewertungen und ermöglicht die vereinbarte Einsicht in Unterlagen.
Eine unabhängige Zertifizierung nach ISO 27001 oder SOC 2 liegt nicht vor; die beschriebenen Maßnahmen sind nicht als solche Zertifizierung zu verstehen.
Vorfälle
Die Auftragnehmerin meldet bestätigte Vorfälle ohne vermeidbare Verzögerung an den Auftraggeber. Als internes vertragliches Ziel gelten 24 Stunden nach Bestätigung. Dieses Ziel ersetzt oder bestimmt keine gesetzlichen Meldefristen; deren Prüfung bleibt gesondert erforderlich.
Rückgabe und Löschung
Der Auftraggeber veranlasst den benötigten Export vor Vertragsende. Für Uploads gilt eine Aufbewahrung von 60 Tagen, für Ergebnisse von 30 Tagen; Konten sind spätestens 30 Tage nach Vertragsende zu löschen.
Sicherungen laufen nach spätestens 30 Tagen aus. Die Auftragnehmerin stellt ein Löschprotokoll bereit und wendet nach einer Wiederherstellung vorhandene Löschmarkierungen erneut an.
Annahme
Die Vereinbarung wird durch Annahme einer bevollmächtigten Person des Kunden und Matthias Brandstätter wirksam. Die Bereitstellung dieses Vertragstextes allein schließt keinen Einzelvertrag; maßgeblich ist die Annahme durch beide Parteien.