Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

ENTWURF — vor Verwendung juristisch prüfen. Dieses Dokument ist eine Vorlage zur eigenen Prüfung und Anpassung, keine Rechtsberatung. Siehe RDG-Hinweis.

1. Gegenstand und Dauer

Dieser Vertrag regelt die Rechte und Pflichten im Zusammenhang mit der Verarbeitung personenbezogener Daten, die im Rahmen der Nutzung der Nachweis-Gateway-Plattform der DataFortress.cloud GmbH (“Auftragsverarbeiter”) im Auftrag des Kunden (“Verantwortlicher”) erfolgt. Er gilt für die Dauer der Hauptvereinbarung (Nutzung der Plattform).

2. Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet Prompt-Inhalte, Modellantworten sowie die zugehörigen Metadaten (Zeitstempel, Modellbezeichnung, Token-Anzahl) ausschließlich zum Zweck der Bereitstellung des KI-Gateways und der Erstellung der Nachweis-Protokolle. Eine Verarbeitung zu Trainingszwecken findet nicht statt.

3. Kategorien betroffener Personen und Daten

Betroffen sein können Mandanten, Patienten und sonstige Personen, deren Daten in den vom Verantwortlichen übermittelten Anfragen enthalten sind — je nach Nutzung z. B. Kontaktdaten, Vertragsinhalte, medizinische oder steuerliche Angaben.

4. Subprozessoren

Der Auftragsverarbeiter setzt ausschließlich die in der Subprozessorenliste benannten, EU-jurisdiktionellen Subprozessoren ein. Änderungen werden gemäß dem dort beschriebenen Verfahren angekündigt; der Verantwortliche kann der Änderung widersprechen.

5. Technische und organisatorische Maßnahmen

Die getroffenen Maßnahmen sind in den TOM beschrieben und Bestandteil dieses Vertrags.

6. Weisungsrecht

Der Auftragsverarbeiter verarbeitet Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach EU-Recht oder dem Recht eines Mitgliedstaats zu einer anderweitigen Verarbeitung verpflichtet.

7. Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten, Datenschutz-Folgenabschätzungen und der Meldung von Datenschutzverletzungen, soweit dies angesichts der Art der Verarbeitung möglich ist.

8. Löschung und Rückgabe

Nach Beendigung der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie zurück, sofern nicht eine gesetzliche Aufbewahrungspflicht entgegensteht. Die Standard-Retention für Prompt-Inhalte ist 0 Tage (keine Speicherung über die Verarbeitung hinaus), sofern im Compliance-Tarif keine abweichende Vereinbarung getroffen wird.

9. Nachweispflichten und Audit

Der Auftragsverarbeiter stellt dem Verantwortlichen die zur Nachweisführung nach Art. 28 Abs. 3 lit. h DSGVO erforderlichen Informationen zur Verfügung — insbesondere über die Nachweis-Exportfunktion des Compliance-Tarifs.

10. Vertragspartner

DataFortress.cloud GmbH Gewerbestraße 13 82064 Straßlach-Dingharting

Fragen zu diesem Muster: info@konforme-ki.de