Vertrag zur Auftragsverarbeitung (AVV)
gemäß Art. 28 DSGVO
zwischen
dem Auftraggeber — der Workspace-Inhaber von INITIWISE (im Folgenden "Verantwortlicher")
und
Arkant UG (haftungsbeschränkt), Biberacher Straße 3, 88410 Bad Wurzach (im Folgenden "Auftragsverarbeiter")
1. Gegenstand und Dauer
Gegenstand des Vertrags ist die Verarbeitung personenbezogener Daten durch den
Auftragsverarbeiter im Rahmen der Bereitstellung von INITIWISE.
Die Vertragsdauer entspricht der Laufzeit des Hauptvertrags (Nutzungsvertrag).
2. Art und Zweck der Verarbeitung
Verarbeitung von Stamm- und Inhaltsdaten zur Bereitstellung des SaaS-Dienstes:
Authentifizierung, Workspace- und Use-Case-Verwaltung, Reporting, optionale
KI-Vorschlagsfunktionen.
3. Art der personenbezogenen Daten
- Stammdaten: E-Mail, Anzeigename
- Inhaltsdaten: vom Verantwortlichen eingegebene Use-Case- und Kundendaten
- Nutzungsdaten: Login-Zeitpunkte, Aufrufzähler
4. Kategorien betroffener Personen
- Mitarbeiter des Verantwortlichen (Workspace-Mitglieder)
- Endkunden des Verantwortlichen, soweit deren Daten in Kunden-Datensätzen
durch den Verantwortlichen erfasst werden
5. Rechte und Pflichten des Verantwortlichen
Der Verantwortliche bleibt im datenschutzrechtlichen Sinne "Verantwortlicher"
für die Daten und ist für die Rechtmäßigkeit der Verarbeitung verantwortlich.
6. Pflichten des Auftragsverarbeiters
- Verarbeitung nur auf Weisung des Verantwortlichen
- Verpflichtung der mit der Verarbeitung befassten Personen zur Vertraulichkeit
- Technische und organisatorische Maßnahmen nach Art. 32 DSGVO
- Meldung von Datenschutzverletzungen an den Verantwortlichen unverzüglich
- Unterstützung bei Betroffenenrechten und Datenschutz-Folgenabschätzungen
7. Subunternehmer (Unterauftragsverarbeiter)
Der Auftragsverarbeiter setzt folgende Subunternehmer ein:
| Subunternehmer | Zweck | Sitz / Serverstandort |
|---|---|---|
| Hostinger International Ltd. | Server-Hosting (Anwendung, Datenbank, Datei-Speicher), E-Mail-Versand | EU |
| Sascha Dargel — Dienst "Api Dash" | Vermittlung und Abrechnung der KI-Anfragen (Routing-Proxy) | Deutschland |
| Requesty (EU-Gateway) | Modell-Gateway: Weiterleitung der KI-Anfrage an den Modellanbieter, ohne Speicherung der Inhalte | Verarbeitung in der EU (Frankfurt) |
| Amazon Web Services EMEA SARL — "AWS Bedrock" | Betrieb des derzeit genutzten Sprachmodells (Claude) | EU, Region Frankfurt (eu-central-1) |
| Google Ireland Ltd. / Google LLC | Sprachmodelle für Meeting-Transkription und -Protokoll, sofern aktiviert | EU / USA |
| Anthropic PBC bzw. OpenAI, L.L.C. | Direkter Modellzugang, nur bei hinterlegtem eigenem Anbieter-Schlüssel | USA |
| Stripe Payments Europe Ltd. | Zahlungsabwicklung (nur bei kostenpflichtigem Abo) | EU / USA |
Änderungen werden mit 14 Tagen Vorlauf angekündigt; der Verantwortliche kann
widersprechen.
8. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- TLS-Verschlüsselung aller Verbindungen
- Passwortlose Authentifizierung über kurzlebige Einmal-Codes für reguläre Nutzer; der administrative Notfallzugang speichert ausschließlich einen kryptografischen Passwort-Hash
- Signierte HttpOnly-Session-Cookies mit serverseitiger Invalidierung
- Postgres Row-Level-Security für die Trennung der Workspace-Daten
- Rollen- und Workspace-basierte Zugriffskontrolle
- Regelmäßige Datenbank-Backups
- Verpflichtung der befassten Personen auf Vertraulichkeit
9. Löschung
Nach Vertragsende werden Daten innerhalb von 30 Tagen gelöscht, soweit keine
gesetzlichen Aufbewahrungsfristen entgegenstehen. Auf Verlangen wird ein
Löschnachweis erbracht.
10. Schlussbestimmungen
Es gilt deutsches Recht. Änderungen bedürfen der Schriftform.