Auftragsverarbeitungs­vertrag

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der Optimaite-Plattform (Optimaite Law, Optimaite Business, Optimaite Editor) als Software-as-a-Service.

(2) Die Dauer der Verarbeitung richtet sich nach der Laufzeit des Hauptvertrags (AGB). Die Verarbeitung endet mit Beendigung des Hauptvertrags, vorbehaltlich der in § 10 geregelten Löschpflichten.

(3) Die Verarbeitung findet ausschließlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums statt. Alle KI-Verarbeitung erfolgt über EU-basierte Dienste (Azure AI in Deutschland, AWS Bedrock in Frankfurt).

Die Verarbeitung umfasst folgende Tätigkeiten:

• Speicherung und Bereitstellung von Dokumenten und Dateien des Verantwortlichen
• Verarbeitung von Dokumenteninhalten durch KI-Funktionen (Analyse, Zusammenfassung, Textgenerierung)
• Verwaltung von Benutzerkonto- und Authentifizierungsdaten
• Protokollierung von Nutzungsaktivitäten zu Sicherheits- und Abrechnungszwecken
• Fehlerüberwachung und Performance-Monitoring

(1) Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet.

(2) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Der Auftragsverarbeiter trifft alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (siehe Anlage 1: TOMs).

(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten gemäß Art. 32-36 DSGVO (Sicherheit, Datenschutz-Folgenabschätzung, Meldepflichten).

(5) Der Auftragsverarbeiter löscht nach Abschluss der Auftragsverarbeitung alle personenbezogenen Daten oder gibt sie zurück, sofern nicht gesetzliche Aufbewahrungspflichten bestehen.

(6) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen.

(1) Der Verantwortliche hat das Recht, Weisungen über Art, Umfang und Verfahren der Datenverarbeitung zu erteilen. Mündliche Weisungen sind unverzüglich schriftlich oder in Textform zu bestätigen.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt.

(3) Der Verantwortliche ist berechtigt, die Einhaltung der datenschutzrechtlichen Vorschriften und der vertraglichen Vereinbarungen beim Auftragsverarbeiter zu überprüfen, auch durch Inspektionen vor Ort nach vorheriger Ankündigung.

(1) Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, in jedem Fall aber innerhalb von 24 Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes personenbezogener Daten.

(2) Die Meldung enthält mindestens: eine Beschreibung der Art der Verletzung, die Kategorien und ungefähre Anzahl der betroffenen Personen, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Meldepflichten gegenüber Aufsichtsbehörden und betroffenen Personen gemäß Art. 33 und 34 DSGVO.

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragnehmer) gemäß der in Anlage 2 aufgeführten Liste einzusetzen.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen vorab über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragnehmern. Der Verantwortliche kann innerhalb von 14 Tagen Einspruch erheben.

(3) Der Auftragsverarbeiter stellt vertraglich sicher, dass die Unterauftragnehmer dieselben Datenschutzpflichten einhalten, die in diesem AVV festgelegt sind.

(4) Die aktuelle Liste der Unterauftragnehmer ist unter optimaite.eu/trust/unterauftragnehmer abrufbar.

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung seiner Pflichten zur Beantwortung von Anträgen betroffener Personen auf Ausübung ihrer Rechte gemäß Kapitel III der DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

(2) Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter.

(1) Nach Beendigung des Hauptvertrags stellt der Auftragsverarbeiter dem Verantwortlichen alle personenbezogenen Daten für einen Zeitraum von 30 Tagen zum Export in einem gängigen, maschinenlesbaren Format bereit.

(2) Nach Ablauf der Exportfrist löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten des Verantwortlichen unwiderruflich, sofern nicht gesetzliche Aufbewahrungspflichten entgegenstehen. Die Löschung wird dem Verantwortlichen auf Verlangen bestätigt.

(3) Dokumenten- und Dateninhalte in Backups werden spätestens 90 Tage nach Vertragsende automatisch aus den Backup-Rotationen entfernt.

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO sowie nach den Regelungen des Hauptvertrags (AGB). Der Auftragsverarbeiter haftet gegenüber betroffenen Personen für Schäden aus einer nicht den Pflichten der DSGVO entsprechenden Verarbeitung oder einem Handeln außerhalb oder entgegen den Weisungen des Verantwortlichen.