KI.ordo

Entwurf: Die rechtlich geprüfte Fassung folgt. Nach ihrer Freigabe bitten wir Sie in der App, ihr zuzustimmen.

Vertrag zur Auftragsverarbeitung (AVV)

Stand: Entwurf

Vertragsparteien

Zwischen Ihr Unternehmen (Angaben aus der Bestellung), Anschrift aus der Bestellung – „Verantwortlicher“ oder „Kunde“ –

und KI.ordo, Inhaber Rocco Vella, Am Menkebach 79, 33689 Bielefeld, E-Mail: [email protected] – „Auftragsverarbeiter“ oder „KI.ordo“ –

wird folgender Vertrag geschlossen. Er ergänzt den Hauptvertrag über die Nutzung von KI.ordo (Bestellung des Tarifs und Allgemeine Geschäftsbedingungen, im Folgenden „Hauptvertrag“).

§ 1 Gegenstand und Dauer

  1. KI.ordo verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit dies für den Betrieb der Plattform KI.ordo nach dem Hauptvertrag nötig ist.
  2. Der Vertrag gilt, solange der Hauptvertrag läuft, und darüber hinaus, solange KI.ordo noch Daten des Kunden verarbeitet (§ 9).

§ 2 Art, Zweck und Umfang der Verarbeitung

  1. Zweck: Bereitstellung der Plattform mit KI-Agenten, Wissen, Abläufen, Projekten, Website-Chat, Social-Media-Planung und den weiteren im Tarif enthaltenen Funktionen.
  2. Art der Verarbeitung: Speichern, Ordnen, Durchsuchen, Übermitteln an den KI-Anbieter zur Erzeugung von Antworten, Anzeigen, Exportieren und Löschen.
  3. Daten und betroffene Personen: siehe Anlage 1.
  4. Ort der Verarbeitung: Die Daten liegen auf einem von KI.ordo betreuten Server in [Land]. Für KI-Antworten werden die jeweils nötigen Inhalte an Anthropic in den USA übermittelt (Anlage 3, § 6).
  5. KI.ordo nutzt die Daten des Kunden nicht für eigene Zwecke und nicht zum Training von KI-Modellen.

§ 3 Weisungen des Kunden

  1. KI.ordo verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind der Hauptvertrag, dieser Vertrag und die Einstellungen, die der Kunde in KI.ordo selbst vornimmt (z. B. Agenten, Wissen, Löschungen).
  2. Weitere Weisungen erteilt der Kunde in Textform an [email protected].
  3. Hält KI.ordo eine Weisung für rechtswidrig, weist es den Kunden unverzüglich darauf hin und darf die Ausführung bis zur Klärung aussetzen.
  4. Ist KI.ordo gesetzlich zu einer anderen Verarbeitung verpflichtet, teilt es dies dem Kunden vorher mit, sofern das Gesetz dies nicht verbietet.

§ 4 Pflichten von KI.ordo

  1. Vertraulichkeit: Alle Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet.
  2. Sicherheit: KI.ordo trifft die Maßnahmen nach Art. 32 DSGVO, beschrieben in Anlage 2. Es darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.
  3. Rechte betroffener Personen: KI.ordo unterstützt den Kunden bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Vieles kann der Kunde selbst in KI.ordo erledigen (Löschen, Export). Anfragen, die bei KI.ordo eingehen, leitet es unverzüglich weiter.
  4. Weitere Unterstützung: KI.ordo unterstützt den Kunden bei Meldungen nach Art. 33 und 34 DSGVO und bei Datenschutz-Folgenabschätzungen nach Art. 35 und 36 DSGVO mit den ihm vorliegenden Informationen.
  5. Ansprechpartner Datenschutz: [Name], [email protected].

§ 5 Unterauftragsverarbeiter

  1. Der Kunde stimmt dem Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter zu.
  2. KI.ordo schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der mindestens das Schutzniveau dieses Vertrags sicherstellt.
  3. Neue oder ersetzte Unterauftragsverarbeiter kündigt KI.ordo mindestens 30 Tage vorher per E-Mail an. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Einigen sich die Parteien nicht, darf der Kunde den Hauptvertrag zum Wechsel außerordentlich kündigen.
  4. Keine Unterauftragsverarbeiter im Sinne dieses Vertrags sind Nebenleistungen ohne Zugriff auf Kundendaten (z. B. Telekommunikation, Reinigung).

§ 6 Übermittlung in Drittländer

  1. Daten werden außerhalb der EU und des EWR nur verarbeitet, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind.
  2. Das betrifft derzeit Anthropic (USA) für KI-Antworten und Cloudflare (weltweites Netz) für die verschlüsselte Übertragung. Grundlage sind jeweils deren Verträge zur Auftragsverarbeitung mit den Standardvertragsklauseln der EU-Kommission.
  3. An den KI-Anbieter werden nur die Inhalte übermittelt, die für die jeweilige Antwort nötig sind (Anweisungen, passende Ausschnitte aus dem Wissen, die Frage). Nach den kommerziellen Bedingungen von Anthropic werden diese Daten standardmäßig nicht zum Training verwendet.

§ 7 Nachweise und Kontrollen

  1. KI.ordo stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind, insbesondere eine aktuelle Fassung der Anlagen 2 und 3.
  2. Der Kunde darf die Einhaltung selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer kontrollieren, nach Anmeldung mit angemessener Frist (in der Regel 14 Tage), während der Geschäftszeiten und ohne den Betrieb unverhältnismäßig zu stören.

§ 8 Verletzungen des Schutzes personenbezogener Daten

  1. KI.ordo meldet dem Kunden eine Verletzung des Schutzes seiner Daten unverzüglich, spätestens innerhalb von [48] Stunden nach Kenntnis, an die E-Mail-Adresse des Eigentümers des Arbeitsbereichs.
  2. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Daten und Personengruppen, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen. Fehlende Angaben werden nachgereicht.

§ 9 Löschung und Rückgabe

  1. Der Kunde kann seine Inhalte während der Laufzeit jederzeit selbst exportieren (Einstellungen → Export) und löschen.
  2. Nach Ende des Hauptvertrags löscht KI.ordo die Daten des Kunden innerhalb von [30] Tagen, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht (z. B. Rechnungsdaten). Die Löschung bestätigt KI.ordo auf Anfrage in Textform.
  3. Datensicherungen werden nach spätestens sieben Tagen überschrieben; bis dahin sind gelöschte Daten nur noch in den Sicherungen enthalten und werden nicht weiter verarbeitet.

§ 10 Schlussbestimmungen

  1. Bei Widersprüchen zum Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor.
  2. Die Haftung richtet sich nach Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln des Hauptvertrags.
  3. Änderungen bedürfen der Textform. Ist eine Bestimmung unwirksam, bleibt der Rest wirksam.
  4. Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, [Ort].
  5. Der Vertrag kommt durch Zustimmung in KI.ordo (Textform) zustande; KI.ordo speichert, wer wann welcher Fassung zugestimmt hat.

Anlage 1: Daten und betroffene Personen

Besondere Kategorien nach Art. 9 DSGVO (z. B. Gesundheitsdaten) sind nicht vorgesehen. Will der Kunde sie verarbeiten, vereinbaren die Parteien dies vorher gesondert.

Anlage 2: Technische und organisatorische Maßnahmen

Anlage 3: Unterauftragsverarbeiter