Auftragsverarbeitungsvertrag (AVV) – Muster für Geschäftskunden

Parteien

Verantwortlicher (Auftraggeber): der geschäftlich nutzende Kunde. Auftragsverarbeiter (Auftragnehmer): Kontor NullEins UG (haftungsbeschränkt), Am Schloß 7, 08538 Weischlitz.

§ 1 Gegenstand, Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Nutzung von pitcheroo (KI-gestützte Erstellung und Analyse von Präsentationen). Die Dauer entspricht der Laufzeit des Hauptvertrags (Nutzungsvertrag/AGB).

§ 2 Art, Zweck, Datenarten, Betroffene

• Art und Zweck: Speicherung, Verarbeitung und KI-gestützte Auswertung der hochgeladenen oder erzeugten Inhalte zur Erbringung des Dienstes.
• Datenarten: in Präsentationen/Uploads enthaltene personenbezogene Daten (z. B. Namen, Kontaktdaten, berufliche Angaben Dritter), Folientexte, Bilder, Notizen, Prompts sowie – bei Nutzung der Aufnahme-Funktion – Video- und Tonaufnahmen.
• Kategorien Betroffener: vom Auftraggeber bestimmte Personen (Kunden, Geschäftspartner, Mitarbeitende, sonstige genannte Dritte).
• Besondere Kategorien (Art. 9 DSGVO) sind nicht Gegenstand und sollen nicht hochgeladen werden.

§ 3 Weisungsrecht

Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Nutzung des Dienstes gilt als Weisung; Einzelweisungen sind in Textform an hey@pitcheroo.de zu richten. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber.

§ 4 Pflichten des Auftragnehmers

• Vertraulichkeit: eingesetzte Personen sind zur Vertraulichkeit verpflichtet.
• Sicherheit der Verarbeitung (Art. 32 DSGVO): es gelten die TOM nach Anlage 1.
• Unterstützung bei Betroffenenrechten (Art. 12–23) und Pflichten nach Art. 32–36 DSGVO, insb. durch die vorhandenen Export- und Löschfunktionen.
• Meldung von Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden.
• Löschung/Rückgabe nach Vertragsende; Kopien in Datensicherungen werden nach spätestens zwölf Monaten gelöscht; gesetzliche Aufbewahrungspflichten bleiben unberührt.
• Nachweis/Audit: Bereitstellung der erforderlichen Informationen und Ermöglichung angemessener Überprüfungen.

§ 5 Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu (allgemeine Genehmigung, Art. 28 Abs. 2 DSGVO). Wechsel/Hinzunahme teilt der Auftragnehmer vorab mit; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Unterauftragsverarbeiter werden auf ein gleichwertiges Schutzniveau verpflichtet.

§ 6 Drittlandbezug

Die KI-Verarbeitung erfolgt über AWS Bedrock in EU-Regionen von AWS. Aktiviert der Auftraggeber bei der Erstellung die optionale Web-Recherche oder gibt er Webseiten als Quellen an, wird das Thema der Präsentation als Suchbegriff an den Websuche-Dienst von AWS in der AWS-Region Irland (eu-west-1) übermittelt; nach Angaben von AWS wird die Anfrage innerhalb der AWS-Infrastruktur beantwortet und nicht an externe Suchmaschinen weitergegeben. Folieninhalte und hochgeladene Dokumente werden dabei nicht übermittelt. Soweit eingesetzte Unterauftragsverarbeiter US-Konzernen angehören, sind geeignete Garantien (Standardvertragsklauseln) über die jeweiligen DPA inkorporiert. Bildsuche: Für Fotos in generierten Präsentationen übermittelt der Auftragnehmer aus den Folieninhalten abgeleitete Suchbegriffe (z. B. Namen von Orten oder Personen) an die Bilddienste Pexels und Pixabay sowie an Wikipedia/Wikimedia Commons (Wikimedia Foundation Inc., USA).

§ 7 Haftung, Schlussbestimmungen

Es gilt Art. 82 DSGVO. Im Übrigen gelten die Regelungen des Hauptvertrags. Änderungen bedürfen der Textform. Bei Widerspruch zwischen AGB und diesem AVV geht dieser AVV für die Auftragsverarbeitung vor.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Vertraulichkeit: Zugriffskontrolle über individuelle Konten; Passwörter nur als scrypt-Hash mit zufälligem Salt; httpOnly-, HMAC-signierte Sitzungs-Cookies; rollenbasierte Rechte.
• Integrität: TLS-Transportverschlüsselung; getrennte Verarbeitungsumgebungen; Nachvollziehbarkeit über Logs.
• Verfügbarkeit/Belastbarkeit: tägliche, integritätsgeprüfte Vollbackups (DB, Daten, Konfiguration), mehrere Stände (Aufbewahrung bis zu zwölf Monate), Wiederherstellungsverfahren.
• Verarbeitung in der EU: eigene Datenhaltung (Datenbank und Dateien) auf Servern in der EU; KI-Verarbeitung und optionale Web-Recherche in EU-Regionen von AWS (siehe § 6); eigene Rechtschreibprüfung ohne Datenweitergabe.
• Regelmäßige Überprüfung: Backup-Integritätsprüfung; Aktualisierung der Maßnahmen bei Änderungen.

Anlage 2 – Genehmigte Unterauftragsverarbeiter

• netcup GmbH — Hosting/Infrastruktur — DE/EU (Nürnberg).
• Amazon Web Services EMEA SARL (AWS Bedrock) — KI-Verarbeitung — EU-Regionen von AWS; optionale Web-Recherche (nur Suchbegriff): AWS-Region Irland (eu-west-1).
• Anthropic (Claude über AWS Bedrock) — KI-Modellanbieter — EU-Inferenz über AWS.
• Stripe Payments Europe, Ltd. — Zahlungsabwicklung — IE/EU.