Auftragsverarbeitungsvertrag

Parteien

Verantwortlicher ("Auftraggeber")

Auftragsverarbeiter ("Alvoru")

Nachfolgend gemeinsam: "Parteien".

In Erwägung dessen, dass

• die Parteien einen Hauptvertrag geschlossen haben, in dessen Rahmen Alvoru als Auftragsverarbeiter personenbezogene Daten im Namen des Auftraggebers verarbeitet (nachfolgend: der "Hauptvertrag");
• gemäß Artikel 28 Absatz 3 DSGVO ein schriftlicher Auftragsverarbeitungsvertrag erforderlich ist, in dem Vereinbarungen darüber festgelegt sind, wie der Auftragsverarbeiter personenbezogene Daten verarbeitet;
• dieser Auftragsverarbeitungsvertrag (nachfolgend: "AVV") integraler Bestandteil des Hauptvertrags ist.

Artikel 1 — Definitionen

Die in diesem AVV großgeschriebenen Begriffe haben die Bedeutung, die ihnen in der DSGVO zugewiesen wird, ergänzt durch die Definitionen in den Allgemeinen Geschäftsbedingungen von Alvoru.

Artikel 2 — Gegenstand und Dauer

2.1 Dieser AVV regelt die Verarbeitung personenbezogener Daten durch Alvoru im Auftrag des Auftraggebers im Rahmen des Hauptvertrags.

2.2 Dieser AVV tritt zu dem Zeitpunkt in Kraft, an dem der Hauptvertrag beginnt, und endet von Rechts wegen mit der Beendigung des Hauptvertrags, unbeschadet derjenigen Bestimmungen, die ihrer Natur nach fortgelten sollen.

Artikel 3 — Art und Zweck der Verarbeitung

3.1 Die Art und der Zweck der Verarbeitung bestehen in der Erbringung der im Hauptvertrag beschriebenen Dienstleistung (KI-Kundenservice, darunter Chatbot, E-Mail und Kalender).

3.2 Alvoru verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Anweisung des Auftraggebers, vorbehaltlich abweichender gesetzlicher Verpflichtungen (Art. 28 Abs. 3 lit. a DSGVO). Im letzteren Fall teilt Alvoru dies dem Auftraggeber vor der Verarbeitung mit, es sei denn, das betreffende Gesetz verbietet dies aus wichtigen Gründen.

Artikel 4 — Art der personenbezogenen Daten und Kategorien betroffener Personen

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) und strafrechtliche Daten (Art. 10 DSGVO) werden nicht verarbeitet, sofern nicht schriftlich zusätzlich vereinbart.

Artikel 5 — Pflichten des Auftragsverarbeiters

5.1 Alvoru verarbeitet personenbezogene Daten ausschließlich zu den im Hauptvertrag und in diesem AVV festgelegten Zwecken und auf schriftliche Anweisung des Auftraggebers.

5.2 Alvoru stellt sicher, dass Personen, die personenbezogene Daten verarbeiten, einer Geheimhaltungspflicht unterliegen, sei es aufgrund des Gesetzes oder aufgrund eines Vertrags.

5.3 Alvoru gewährt dem Auftraggeber unter Berücksichtigung der Art der Verarbeitung angemessene Unterstützung bei der Erfüllung von Anträgen betroffener Personen zur Ausübung ihrer Rechte gemäß der DSGVO.

5.4 Alvoru stellt dem Auftraggeber alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung von Artikel 28 DSGVO nachzuweisen.

5.5 KI-Trainingsverbot. Alvoru wird die personenbezogenen Daten, die es im Namen des Verantwortlichen verarbeitet, niemals zum Trainieren, Feinabstimmen oder anderweitigen Verbessern von KI-Modellen verwenden, noch zur Entwicklung eigener oder fremder KI-Anwendungen.

Artikel 6 — Sicherheitsmaßnahmen (Artikel 32 DSGVO)

Alvoru trifft geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten, darunter:

• Verschlüsselung während der Übertragung (TLS 1.2+) und, wo zutreffend, Verschlüsselung im Ruhezustand;
• Zugriffskontrolle auf Basis von least privilege; Zwei-Faktor-Authentifizierung für Administratoren;
• Firewalls, fail2ban und Intrusion Monitoring;
• Tägliche verschlüsselte Backups mit einer Aufbewahrungsfrist von maximal 90 Tagen;
• Restriktive Dateiberechtigungen (600) für Konfigurations- und Datendateien;
• Protokollierung und Überwachung des Zugriffs auf Produktionssysteme;
• Regelmäßige Bewertung und Aktualisierung der Sicherheitsmaßnahmen.

Artikel 7 — Unterauftragsverarbeiter

7.1 Der Auftraggeber erteilt Alvoru eine allgemeine schriftliche Genehmigung zur Einschaltung von Unterauftragsverarbeitern, sofern Alvoru die übrigen Bestimmungen dieses Artikels einhält.

7.2 Die derzeit eingesetzten Unterauftragsverarbeiter sind:

7.3 Alvoru erlegt Unterauftragsverarbeitern dieselben Datenschutzpflichten auf, wie sie in dieser DPA festgelegt sind (Artikel 28 Absatz 4 DSGVO).

7.4 Alvoru informiert den Auftraggeber mindestens 14 Tage im Voraus über die Ersetzung oder Hinzufügung von Unterauftragsverarbeitern. Der Auftraggeber kann innerhalb dieser Frist begründeten Widerspruch einlegen. Bei berechtigtem Widerspruch hat der Auftraggeber das Recht, den Hauptvertrag kostenlos zu kündigen.

Artikel 8 — Übermittlung außerhalb des EWR

Die Übermittlung personenbezogener Daten in ein Land außerhalb des Europäischen Wirtschaftsraums erfolgt ausschließlich auf Grundlage eines Angemessenheitsbeschlusses (Art. 45 DSGVO), verbindlicher interner Datenschutzvorschriften, der EU-Standardvertragsklauseln (Art. 46 Absatz 2 Buchstabe c DSGVO) oder einer anderen in der DSGVO vorgesehenen Garantie, ergänzt durch zusätzliche technische und organisatorische Maßnahmen, sofern erforderlich.

Artikel 9 — Rechte der betroffenen Personen

9.1 Alvoru bietet dem Auftraggeber angemessene Unterstützung bei der Bearbeitung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch) durch technische Funktionalitäten im Kundenportal und, sofern erforderlich, durch zusätzliche Hilfestellung.

9.2 Alvoru leitet Anfragen betroffener Personen, die direkt bei Alvoru eingehen, unverzüglich an den Auftraggeber weiter.

Artikel 10 — Datenschutzverletzungen

10.1 Alvoru informiert den Auftraggeber unverzüglich und spätestens innerhalb von 48 Stunden nach Feststellung einer Verletzung des Schutzes personenbezogener Daten (Art. 33 Absatz 2 DSGVO), damit der Auftraggeber seiner Meldepflicht bei der Aufsichtsbehörde innerhalb von 72 Stunden rechtzeitig nachkommen kann.

10.2 Die Meldung enthält in jedem Fall: die Art der Verletzung, die Kategorien und die Anzahl der betroffenen Personen, die Kategorien und die Anzahl der betroffenen Datensätze, die wahrscheinlichen Folgen sowie die getroffenen oder vorgeschlagenen Maßnahmen.

10.3 Alvoru leistet dem Auftraggeber angemessene Unterstützung bei der Meldung an die Aufsichtsbehörde und, sofern relevant, an die betroffenen Personen.

Artikel 11 — Audit

11.1 Der Auftraggeber kann einmal pro Kalenderjahr, nach vorheriger schriftlicher Ankündigung von mindestens 30 Tagen, auf eigene Kosten ein Audit über die Einhaltung dieser DPA durch Alvoru durchführen (lassen).

11.2 Das Audit wird von einem unabhängigen, zur Geheimhaltung verpflichteten Auditor während der Geschäftszeiten und in einer Weise durchgeführt, die den normalen Geschäftsbetrieb von Alvoru nicht stört.

11.3 Alvoru kann anstelle eines Vor-Ort-Audits einen aktuellen Bericht eines unabhängigen Dritten (beispielsweise ISO 27001 oder SOC 2) vorlegen, sofern dieser Bericht in angemessener Weise ausreichende Sicherheit bietet.

Artikel 12 — Beendigung und Löschung von Daten

12.1 Nach Beendigung des Hauptvertrags wird Alvoru nach Wahl des Auftraggebers und auf erstes schriftliches Verlangen alle personenbezogenen Daten löschen oder an den Auftraggeber zurückgeben, gemäß Artikel 28 Absatz 3 Buchstabe g DSGVO.

12.2 Ein solches Verlangen kann innerhalb von 60 Tagen nach Beendigung gestellt werden. Andernfalls werden die Daten nach 60 Tagen automatisch gelöscht.

12.3 Offline-Backups werden gemäß dem regulären Rotationsschema spätestens 90 Tage nach Beendigung gelöscht.

12.4 Daten, die Alvoru gesetzlich aufbewahren muss, werden für die gesetzlich vorgeschriebene Dauer aufbewahrt.

Artikel 13 — Haftung

13.1 Die Haftung von Alvoru im Rahmen dieser DPA ist von den Haftungsbestimmungen der zum Hauptvertrag gehörenden Allgemeinen Geschäftsbedingungen umfasst und wird durch diese begrenzt.

13.2 Zwingende Bestimmungen der DSGVO bleiben hiervon unberührt.

Artikel 13a — Verzeichnis von Verarbeitungstätigkeiten

Alvoru führt ein Verzeichnis von Verarbeitungstätigkeiten gemäß Artikel 30 DSGVO. Dieses Verzeichnis enthält in jedem Fall: den Namen und die Kontaktdaten von Alvoru als Auftragsverarbeiter, die Kategorien der im Auftrag von Verantwortlichen durchgeführten Verarbeitungen, Übermittlungen in Drittländer und die angewandten Garantien sowie eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen. Das Verzeichnis wird der Aufsichtsbehörde auf Anfrage zur Verfügung gestellt.

Artikel 14 — Anwendbares Recht und Streitigkeiten

Auf diese DPA ist niederländisches Recht anwendbar. Streitigkeiten werden dem Gericht Overijssel, Standort Almelo, vorgelegt.

Unterzeichnung

Senden Sie die unterzeichnete Version (eingescannt oder digital unterzeichnet) an info@alvoru.com. Alvoru sendet eine gegengezeichnete Kopie zurück.