Parteien und Gegenstand
Zwischen dem im Hauptvertrag bezeichneten Kunden („Verantwortlicher“) und Test GmbH Test, Test („Auftragsverarbeiter“) wird die Verarbeitung personenbezogener Daten im Rahmen der webbasierten Dokumentanalyse und Excel-Erstellung geregelt. Gegenstand, Dauer und Vergütung folgen dem Hauptvertrag.
Art und Zweck der Verarbeitung
Entgegennahme von Dokumenten, technische Bildaufbereitung, KI-gestützte Extraktion, Validierung strukturierter Angaben, automatische Erstellung und Bereitstellung von Excel-Arbeitszeitlisten, Benutzer- und Organisationsverwaltung, Fehlerdiagnose, Sicherheitsprotokollierung sowie Löschung nach den vereinbarten Fristen.
Daten und betroffene Personen
Je nach hochgeladenem Dokument insbesondere Namen, Beschäftigtenkennungen, Arbeitszeiten, Pausen, Tätigkeitsangaben sowie technisch bedingt sichtbare weitere Dokumentinhalte. Betroffen sind vor allem Beschäftigte, freie Mitarbeiter und Kontaktpersonen des Verantwortlichen; Kontodaten betreffen dessen Benutzer.
Pflichten des Auftragsverarbeiters
- Verarbeitung ausschließlich auf dokumentierte Weisung, einschließlich Weisungen zu Übermittlungen in Drittländer;
- Vertraulichkeitsverpflichtung der zugriffsberechtigten Personen;
- Umsetzung der vereinbarten technischen und organisatorischen Maßnahmen;
- Unterstützung bei Betroffenenanfragen, Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und Behördenkonsultationen im angemessenen Umfang;
- unverzügliche Information, wenn eine Weisung nach Auffassung des Auftragsverarbeiters gegen Datenschutzrecht verstößt;
- Nachweis der Einhaltung und Ermöglichung verhältnismäßiger Audits nach vorheriger Abstimmung.
Unterauftragsverarbeiter
Der Verantwortliche erteilt eine allgemeine Genehmigung für die in der aktuellen Liste der Unterauftragsverarbeiter genannten Dienste. Änderungen werden über den vertraglich festgelegten Kanal mit angemessener Vorlaufzeit angekündigt. Der Verantwortliche kann aus sachlich begründeten Datenschutzgründen widersprechen. Gleichwertige Datenschutzpflichten sind vertraglich weiterzugeben.
Internationale Übermittlungen
Die Erkennungsschnittstelle wird über https://api.openai.com/v1 angesprochen. Die Verarbeitung der Dokumentseiten findet in den Vereinigten Staaten statt; Vertragspartner des Auftragsverarbeiters ist OpenAI Ireland Ltd.. Grundlage der Übermittlung nach Art. 44 ff. DSGVO: OpenAI DPA v.010126; EU SCCs (Module 3 where applicable) and/or EU adequacy decision. Die Seiten werden ausschließlich für die Dauer der Auswertung verarbeitet und nicht als Anwendungszustand gespeichert; Protokolle der Missbrauchsüberwachung des Anbieters können Inhalte bis zu 30 Tage enthalten.
Löschung und Rückgabe
Während der Vertragslaufzeit gelten die vereinbarten Aufbewahrungsfristen. Technische PNG-Arbeitskopien werden nach erfolgreicher Erkennung unmittelbar entfernt; technisch voreingestellt sind 7 Tage für Original-Uploads und 30 Tage für Excel-Dateien. Nach Ende des Auftrags löscht oder gibt der Auftragsverarbeiter personenbezogene Daten nach Wahl des Verantwortlichen zurück, soweit keine unions- oder nationalrechtliche Aufbewahrungspflicht entgegensteht. Datenbankmetadaten und Sicherungskopien sind ausdrücklich in das individuelle Löschkonzept aufzunehmen.
Verantwortung und Weisungen
Der Verantwortliche gewährleistet die Rechtmäßigkeit der Erhebung und der Weisungen, informiert betroffene Personen und minimiert hochgeladene Inhalte. Weisungen und sicherheitsrelevante Mitteilungen erfolgen über: Test. Mündliche Weisungen sind in Textform zu bestätigen.
Vorrang und Unterschrift
Maßgeblich ist die von beiden Parteien unterzeichnete Vertragsurkunde; diese Seite gibt deren Inhalt zur Information wieder. Bei Widersprüchen gehen die Datenschutzregelungen dieses AVV für die Auftragsverarbeitung vor. Anlagen sind die TOM, die Liste der Unterauftragsverarbeiter sowie die im Hauptvertrag festgelegte Leistungsbeschreibung. Erst die von beiden Parteien vereinbarte Fassung entfaltet Vertragswirkung.