Vereinbarung zur Auftragsverarbeitung
Parteien und Dauer
Auftragnehmerin ist Braneltik GmbH, Auftraggeber ist das im Einzelauftrag bezeichnete Unternehmen. Die Auftragsverarbeitung gilt für die Vertragsdauer und die anschließende Rückgabe beziehungsweise fristgerechte Löschung. Der Einzelauftrag bestimmt die beauftragte Forschung; Inhalte dürfen nur innerhalb dieses Umfangs verarbeitet werden.
Gegenstand
Gegenstand sind die Eingaben „Segmentanhänge und Präsentationen“ und das Ergebnis „Segmentübersicht mit Vergleichbarkeit“. Die beauftragte Verarbeitung umfasst KI-Extraktion und quellenbezogene Erläuterungen zu Segmentgrenzen, Periodenlänge und Zusammensetzung. Ob Perioden als Reihe veröffentlicht werden dürfen, entscheidet die verantwortliche Analyseperson des Kunden.
Datenkategorien sind Uploads, Autorenangaben, Nutzerkennungen und Ergebnisse; betroffen sind Beschäftigte und Geschäftskontakte. Sensible personenbezogene Inhalte gehören nicht zum vereinbarten Umfang und dürfen nicht eingereicht werden. Der Kunde prüft Quellen und Übermittlungsbefugnis. Das kostenlose ausführbare Beispiel nutzt lokale Regeln statt dieser beauftragten KI-Verarbeitung.
Weisungen und Vertraulichkeit
Die Auftragnehmerin verarbeitet Quellen und Ergebnisse ausschließlich auf dokumentierte Weisung und für die vereinbarte Analyse. Eine Nutzung zum Modelltraining oder zur eigenen Vermarktung ist ausgeschlossen. Sie verpflichtet eingesetztes Personal zur Vertraulichkeit und begrenzt Zugriffe nach Rolle und Aufgabe.
Bei problematischen Weisungen informiert sie den Auftraggeber und setzt die betroffene Verarbeitung bis zur Klärung aus. Der Auftraggeber entscheidet über die zulässige weitere Bearbeitung und verantwortet die Grundlage seiner Weisungen.
Unterauftragnehmer
Wolkensteg Rechenzentren GmbH übernimmt Hosting und Sicherungen in Frankfurt. Modellschmiede Inferenz GmbH übernimmt dort die isolierte Inferenz im Mandanten, ohne Training mit Kundendaten. Briefpfad Zustelldienst GmbH bearbeitet interne Benachrichtigungen in Berlin, ohne Uploads. Drittlandübermittlungen sind nicht Bestandteil dieses Umfangs.
Änderungen bei Unterauftragnehmern teilt die Auftragnehmerin 14 Tage vorher mit. Begründete Einwände des Auftraggebers und geeignete Alternativen sind vor der betreffenden Änderung zu prüfen.
Unterstützung und Prüfung
Die vereinbarten technischen Maßnahmen und der Löschplan sind Anlagen zur Auftragsverarbeitung. Die Auftragnehmerin unterstützt den Kunden bei Betroffenenanfragen, Datenschutzvorfällen und Folgenbewertungen anhand der betroffenen Quellen, Zugriffe und Verarbeitungsschritte. Sie ermöglicht die vereinbarte Einsicht in Nachweisunterlagen.
Die Angaben zu Maßnahmen ersetzen keine unabhängige Zertifizierung. Eine ISO27001- oder SOC2-Zertifizierung liegt nicht vor; aus der Dokumenteneinsicht folgt keine solche Bestätigung.
Vorfälle
Bestätigte Datenschutzvorfälle meldet die Auftragnehmerin dem Auftraggeber ohne vermeidbare Verzögerung. Das interne vertragliche Meldeziel beträgt 24 Stunden nach Bestätigung. Die Meldung dient der Prüfung betroffener Inhalte und der Abstimmung weiterer Maßnahmen; dieses Ziel ersetzt keine Prüfung gesetzlicher Meldepflichten oder Fristen durch den jeweils Verantwortlichen.
Rückgabe und Löschung
Der Auftraggeber sichert benötigte Ergebnisse durch Export vor Vertragsende. Für Uploads gilt eine Speicherfrist von 7 Tagen, für Ergebnisse von 90 Tagen; Kontodaten sind spätestens 30 Tage nach Vertragsende zu löschen.
Sicherungskopien laufen nach spätestens 30 Tagen aus. Werden Daten aus einer Sicherung wiederhergestellt, sind bestehende Löschmarkierungen erneut anzuwenden. Die Auftragnehmerin stellt ein Löschprotokoll bereit; eine Wiederherstellung verlängert nicht die vereinbarten Aufbewahrungsfristen.
Annahme
Die Vereinbarung wird durch Annahme einer bevollmächtigten Person des Kunden und Matthias Hergesell wirksam. Erst die beiderseitige Annahme begründet den Einzelvertrag; die Veröffentlichung dieses Dokuments allein ersetzt sie nicht. Der Einzelauftrag legt den Kunden, den beauftragten Forschungsumfang und die zugehörigen Weisungen fest.