Vereinbarung zur Auftragsverarbeitung
Parteien und Dauer
Auftragnehmerin ist Boramelor GmbH, Auftraggeber ist das im Einzelauftrag bezeichnete Unternehmen. Die Verarbeitung erfolgt während der Vertragsdauer für die vereinbarte Forschung. Nach Ende des Auftrags gelten die Rückgabe- und Löschpflichten mit den ausdrücklich vereinbarten Fristen; eine weitere Nutzung für eigene Zwecke ist ausgeschlossen.
Gegenstand
Gegenstand ist die Verarbeitung von Offenlegungen und Biografien zur Erstellung des Ergebnisses „Übersicht der Ernennungen und Zuständigkeiten“. Die beauftragte KI-Auswertung extrahiert und erläutert Rollenbezüge; unklare Funktionsübergänge bleiben gekennzeichnet und werden vom Kundenanalysten entschieden.
Datenkategorien sind Uploads, Autorenangaben, Nutzerkennungen und Ergebnisse. Betroffene sind Beschäftigte und Geschäftskontakte. Echte sensible Daten gehören nicht zum vereinbarten Eingabeumfang und dürfen nicht übermittelt werden. Der Auftraggeber prüft die Zulässigkeit der Quellen und erhält ihren Datums- und Versionskontext.
Weisungen und Vertraulichkeit
Die Auftragnehmerin verarbeitet Kundeninhalte ausschließlich nach dokumentierter Weisung und im Umfang der vereinbarten Analyse. Training mit Kundendaten und eigene Vermarktung dieser Inhalte sind ausgeschlossen. Das eingesetzte Personal ist zur Vertraulichkeit zu verpflichten; Zugriffe sind auf die jeweilige Aufgabe und Rolle zu begrenzen.
Bei problematischen Weisungen setzt die Auftragnehmerin die betroffene Verarbeitung bis zur Klärung mit dem Auftraggeber aus. Mehrdeutige Rollenangaben werden nicht eigenmächtig als Ernennung behandelt: Die Auslegung bleibt beim Kundenanalysten.
Unterauftragnehmer
Wolkensteg Rechenzentren GmbH übernimmt Hosting und Sicherungen in Frankfurt. Modellschmiede Inferenz GmbH übernimmt dort die isolierte Inferenz im Mandanten ohne Training mit Kundendaten. Für interne Benachrichtigungen ohne Uploads wird Briefpfad Zustelldienst GmbH in Berlin eingesetzt. Der vereinbarte Empfängerkreis umfasst keine Drittlandübermittlung.
Änderungen bei Unterauftragnehmern sind dem Auftraggeber 14 Tage vorher mitzuteilen. Begründete Einwände sind mit ihm zu prüfen; dabei sind Alternativen für die betroffene Verarbeitung zu erörtern.
Unterstützung und Prüfung
Die technischen Maßnahmen und der Löschplan dieser Vertragsfassung gelten als Anlagen. Die Auftragnehmerin unterstützt den Auftraggeber bei Betroffenenanfragen, bei der Bearbeitung von Vorfällen und bei der Datenschutz-Folgenbewertung im Rahmen der beauftragten Verarbeitung. Vereinbarte Einsicht in die zugehörigen Unterlagen ist zu ermöglichen.
Die Maßnahmen sind anhand dieser Unterlagen zu beurteilen. Eine unabhängige Zertifizierung nach ISO 27001 oder SOC 2 liegt nicht vor; die Vereinbarung behauptet keine solche Zertifizierung.
Vorfälle
Bestätigte Vorfälle mit Bezug zur Auftragsverarbeitung sind dem Auftraggeber ohne vermeidbare Verzögerung zu melden. Das interne vertragliche Meldeziel beträgt 24 Stunden nach Bestätigung. Dieses Ziel ersetzt keine Prüfung gesetzlicher Meldepflichten und trifft keine Aussage über deren Fristen. Die Auftragnehmerin unterstützt den Kunden bei der Bewertung des Vorfalls.
Rückgabe und Löschung
Der Auftraggeber hat benötigte Quellen und Ergebnisse vor Vertragsende zu exportieren. Die Aufbewahrungsfrist beträgt für Uploads 30 Tage und für Ergebnisse 180 Tage; Konten sind spätestens 30 Tage nach Vertragsende zu löschen. Diese Fristen begründen keine Nutzung außerhalb der Kundenweisung.
Sicherungen laufen nach spätestens 30 Tagen aus. Die Auftragnehmerin stellt ein Löschprotokoll bereit und wendet Löschmarkierungen nach einer Wiederherstellung erneut an. Der Kunde bleibt für seine exportierten Kopien und deren weitere Aufbewahrung verantwortlich.
Annahme
Die Vereinbarung wird durch Annahme der bevollmächtigten Kundenperson und Andrea Hartmann wirksam. Die Kundenperson muss zur Bindung des im Einzelauftrag genannten Unternehmens befugt sein. Die bloße Veröffentlichung oder Lektüre dieses Dokuments schließt keinen Einzelvertrag; maßgeblich sind die beiderseitige Annahme und der darin festgelegte Auftrag.