Vereinbarung zur Auftragsverarbeitung
Parteien und Dauer
Auftragnehmerin ist Greluk Pelora GmbH; Auftraggeber ist das im Einzelauftrag bezeichnete Unternehmen. Die weisungsgebundene Verarbeitung erfolgt für die Vertragsdauer. Anschließend gelten die vereinbarten Rückgabe- und Löschpflichten einschließlich der Fristen für Ergebnisse und Sicherungen.
Gegenstand
Gegenstand ist die Verarbeitung von Analysen und Daten zur Erstellung der Karte der Thesen und Quellen. Die beauftragte KI-Auswertung extrahiert und erläutert Thesen mit ihrem Quellenkontext; der Kunde prüft deren fachliche Einordnung und Vergleichbarkeit.
Verarbeitet werden Uploads, Autorenangaben, Nutzerkennungen und Ergebnisse. Betroffene können Beschäftigte und Geschäftskontakte sein. Sensible personenbezogene Daten sind nicht Gegenstand des Auftrags und dürfen nicht übermittelt werden. Der Kunde prüft die Inhalte vor der Übergabe.
Weisungen und Vertraulichkeit
Die Auftragnehmerin verarbeitet Kundeninhalte ausschließlich auf dokumentierte Weisung und für die vereinbarte Analyse. Eine Nutzung zum Modelltraining oder zur eigenen Vermarktung ist ausgeschlossen. Das eingesetzte Personal ist zur Vertraulichkeit zu verpflichten; Zugriffe sind auf die erforderlichen Rollen zu begrenzen. Problematische Weisungen werden bis zur Klärung mit dem Auftraggeber ausgesetzt.
Unterauftragnehmer
Wolkensteg Rechenzentren GmbH übernimmt Hosting und Sicherungen in Frankfurt. Modellschmiede Inferenz GmbH führt dort die isolierte Inferenz im Mandanten aus; Kundendaten werden nicht zum Training verwendet.
Änderungen bei den Unterauftragnehmern sind dem Auftraggeber 14 Tage vorher mitzuteilen. Begründete Einwände und geeignete Alternativen sind mit ihm zu prüfen; die Mitteilung ersetzt keine inhaltliche Klärung seines Einwands.
Unterstützung und Prüfung
Die technischen Maßnahmen und der Löschplan dieser Vertragsfassung sind Anlagen der Vereinbarung. Die Auftragnehmerin unterstützt den Kunden bei Betroffenenanfragen, Datenschutzvorfällen und der Datenschutz-Folgenabschätzung und ermöglicht die vereinbarte Einsicht in Unterlagen. Eine unabhängige Zertifizierung nach ISO 27001 oder SOC 2 liegt nicht vor; die Unterlagenprüfung ersetzt keine solche Zertifizierung.
Vorfälle
Die Auftragnehmerin meldet bestätigte Datenschutzvorfälle ohne vermeidbare Verzögerung an den Auftraggeber. Als internes vertragliches Ziel gelten 24 Stunden nach Bestätigung. Dieses Ziel ersetzt oder verlängert keine gesetzlichen Meldefristen; deren Prüfung und die erforderlichen Meldungen verbleiben beim jeweils Verantwortlichen.
Rückgabe und Löschung
Der Auftraggeber veranlasst den Export benötigter Inhalte vor Vertragsende. Für Uploads gilt eine Speicherfrist von 30 Tagen, für Ergebnisse von 180 Tagen. Kontodaten werden spätestens 30 Tage nach Vertragsende gelöscht.
Sicherungen sind nach 30 Tagen auslaufen zu lassen. Nach Wiederherstellungen müssen Löschmarkierungen erneut angewendet werden. Die Auftragnehmerin stellt ein Löschprotokoll bereit; eine Sicherung ist kein dauerhaftes Kundenarchiv.
Annahme
Die Vereinbarung wird durch Annahme seitens einer bevollmächtigten Kundenperson und Andreas Kühnlein für die Auftragnehmerin wirksam. Die Veröffentlichung dieses Vertragstextes allein schließt keinen Einzelvertrag und begründet keine Beauftragung zur Verarbeitung von Kundeninhalten.