Vereinbarung zur Auftragsverarbeitung
Parteien und Dauer
Auftragnehmerin ist Draskerit GmbH; Auftraggeber ist das im Einzelauftrag benannte Unternehmen. Die Verarbeitung erfolgt während der Vertragsdauer im vereinbarten Umfang und endet mit Rückgabe beziehungsweise Löschung nach dem Löschplan. Einzelne Datenarten unterliegen dabei ihren kürzeren Aufbewahrungsfristen; die Vertragsdauer verlängert diese nicht pauschal.
Gegenstand
Gegenstand sind Referenzdaten und Dokumente des Auftraggebers; das Ergebnis trägt den Titel Zuordnungskarte mit Konfidenz. Die beauftragte Verarbeitung umfasst KI-gestützte Extraktion und Erläuterung sowie die Zuordnung anhand der vereinbarten Definitionen. Niedrige Konfidenz und strittige Ausnahmen werden dem Kunden zur Entscheidung vorgelegt.
Datenkategorien sind Uploads, Autorenangaben, Nutzerkennungen und Ergebnisse; betroffene Personen sind Beschäftigte und Geschäftskontakte. Echte sensible Daten gehören nicht zum vereinbarten Umfang. Der Auftraggeber prüft die Zulässigkeit seiner Übermittlung. Das lokale regelbasierte Website-Beispiel ist von dieser Auftragsverarbeitung zu unterscheiden.
Weisungen und Vertraulichkeit
Die Auftragnehmerin verarbeitet Kundeninhalte ausschließlich auf dokumentierte Weisung und für die vereinbarte Analyse. Training mit Kundendaten und eine eigene Vermarktung der Inhalte sind ausgeschlossen. Sie verpflichtet eingesetztes Personal zur Vertraulichkeit und begrenzt Zugriffe nach Rolle und Aufgabe.
Problematische Weisungen werden bis zur Klärung ausgesetzt. Der Kunde legt die Definition einer Entität und die Regeln zur Anerkennung von Zuordnungen fest; bestätigte Kundenentscheidungen werden nicht automatisch revidiert. Bei zusammengeführten Werten unterschiedlicher Währungen müssen Währung und kundenseitig bestimmtes Umrechnungsverfahren vorliegen, bevor eine Zuordnung bestätigt wird.
Unterauftragnehmer
Wolkensteg Rechenzentren GmbH in Frankfurt übernimmt Hosting und Sicherungen. Modellschmiede Inferenz GmbH in Frankfurt übernimmt die isolierte Inferenz im Mandanten; Kundendaten werden nicht zum Training verwendet. Für interne Benachrichtigungen ohne Upload wird Briefpfad Zustelldienst GmbH in Berlin eingesetzt. Eine Drittlandübermittlung ist im Datenplan nicht enthalten.
Änderungen bei Unterauftragnehmern sind dem Auftraggeber 14 Tage vorher mitzuteilen. Begründete Einwände des Auftraggebers und geeignete Alternativen sind vor einer entsprechenden Änderung zu prüfen.
Unterstützung und Prüfung
Die vereinbarten technischen Maßnahmen und der Löschplan sind Anlagen der Auftragsverarbeitung. Die Auftragnehmerin unterstützt den Kunden bei Betroffenenanfragen, der Bearbeitung von Datenschutzvorfällen und der Folgenbewertung und ermöglicht die vereinbarte Einsicht in einschlägige Unterlagen.
Zugriffsbeschränkung, Protokollierung ohne Prompts und zeitlich begrenzte Sicherungen sind vom jeweiligen Nachweisumfang zu unterscheiden. Eine unabhängige Zertifizierung nach ISO 27001 oder SOC 2 liegt nicht vor. Aus Unterlageneinsicht oder einem Wiederherstellungstest folgt keine garantierte Wiederherstellungsfrist.
Vorfälle
Bestätigte Datenschutzvorfälle meldet die Auftragnehmerin dem Auftraggeber ohne vermeidbare Verzögerung. Als internes vertragliches Meldeziel gelten 24 Stunden nach Bestätigung. Dieses Ziel ersetzt keine gesetzlichen Pflichten und trifft keine Aussage über deren Fristen. Die Auftragnehmerin unterstützt den Kunden bei der Bearbeitung; dessen eigene Meldeverantwortung bleibt unberührt.
Rückgabe und Löschung
Der Auftraggeber veranlasst den benötigten Export vor Vertragsende. Uploads sind nach 7 Tagen, Ergebnisse nach 30 Tagen zu löschen; Kontodaten spätestens 30 Tage nach Vertragsende. Für getrennt geführte Abrechnungsunterlagen gilt die dafür festgelegte Aufbewahrung.
Sicherungskopien laufen nach spätestens 30 Tagen aus. Bei Wiederherstellung sind Löschmarkierungen erneut anzuwenden. Die Auftragnehmerin stellt ein Löschprotokoll bereit; der Auftraggeber berücksichtigt die Export- und Löschfristen bei seiner eigenen Dokumentation.
Annahme
Die Vereinbarung wird durch Annahme einer bevollmächtigten Person des Auftraggebers und durch Katharina Brandstätter für die Auftragnehmerin wirksam. Die bloße Einsicht in diese Bedingungen ersetzt keinen geschlossenen Einzelvertrag. Der Einzelauftrag bestimmt den Kunden und den verbindlichen Umfang der Verarbeitung; eine Präsentationsanfrage ist keine Vertragsannahme.