Entwurf – rechtliche Prüfung ausstehend

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Muster)

Dieses Muster richtet sich an Unternehmen und Organisationen, die mit unseren Plugins personenbezogene Daten Dritter verarbeiten, zum Beispiel von Kunden, Lieferanten oder Beschäftigten. Füllen Sie die Angaben zum Verantwortlichen aus und senden Sie den Vertrag an tim@ki-katapult.de. Der Vertrag kommt zustande, sobald der Auftragsverarbeiter den Eingang per E-Mail bestätigt. Dieser Abschluss in elektronischem Format genügt Art. 28 Abs. 9 DSGVO.

Vertragsparteien

Verantwortlicher (Auftraggeber):
Name / Firma: ____
Anschrift: ____
Ansprechpartner und E-Mail: ____

Auftragsverarbeiter (Auftragnehmer):
Tim Eiko Neunzig, KI Katapult
Alpenstrasse 13, 14542 Werder (Havel), Deutschland
E-Mail: tim@ki-katapult.de

§ 1 Gegenstand und Dauer

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter bei der Bereitstellung der Plugins für ChatGPT, die auf https://plugins.ki-katapult.de beschrieben sind, soweit der Verantwortliche diese Plugins für eigene Zwecke nutzt.

(2) Der Vertrag gilt ab Abschluss auf unbestimmte Zeit, solange der Verantwortliche die Plugins nutzt. Jede Partei kann ihn jederzeit in Textform kündigen.

§ 2 Art, Zweck, Datenarten und betroffene Personen

(1) Art und Zweck der Verarbeitung: Empfang der vom Verantwortlichen über ChatGPT übermittelten Eingaben (Texte, Parameter, Dateien), deren automatisierte Verarbeitung zur Ausführung der angeforderten Funktion (zum Beispiel Erstellen, Prüfen, Umwandeln oder Zusammenführen von Dokumenten, Anwenden von Rechenregeln), Rückgabe des Ergebnisses und befristete Bereitstellung von Ergebnisdateien zum Download.

(2) Arten personenbezogener Daten: Abhängig vom genutzten Plugin und von den Eingaben des Verantwortlichen, insbesondere:

• Namen, Anschriften und Kontaktdaten,
• Rechnungs-, Auftrags- und Vertragsdaten einschließlich Umsatzsteuer-Identifikationsnummern und Steuernummern (ohne Kartendaten),
• Bankverbindungen (IBAN, BIC, Kontoinhaber, Gläubiger- und Mandatsreferenzen), soweit in Rechnungen oder Bankexporten enthalten,
• Buchungsdaten (Beträge, Buchungstexte, Belegnummern, Berater- und Mandantennummern),
• Beschäftigtendaten, zum Beispiel Namen, Arbeitszeiten und Dienstpläne,
• Reisedaten (Name der reisenden Person, Reisezeiten, Reiseziele, Belegbeträge),
• Termin- und Kalenderdaten,
• Brieftexte und sonstige Inhalte von Dokumenten, die der Verantwortliche übermittelt.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nur verarbeitet, wenn der Verantwortliche Dokumente übermittelt, die solche Daten enthalten (zum Beispiel ärztliche Bescheinigungen im PDF-Plugin oder gesundheitsbezogene Angaben in einem Brief).

(3) Kategorien betroffener Personen: Kunden, Interessenten, Lieferanten und Geschäftspartner des Verantwortlichen sowie deren Ansprechpartner, Beschäftigte des Verantwortlichen, sonstige Personen, deren Daten in übermittelten Dokumenten enthalten sind.

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder deutschem Recht zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen diese Pflicht vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Die Weisungen ergeben sich aus diesem Vertrag und aus dem jeweiligen Aufruf einer Plugin-Funktion durch den Verantwortlichen oder seine Nutzer. Weitere Weisungen erteilt der Verantwortliche in Textform.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzvorschriften verstößt.

§ 4 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet die Daten selbst. Soweit er weitere Personen einsetzt, verpflichtet er sie zur Vertraulichkeit, sofern sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.

(3) Er verarbeitet die Daten ausschließlich in Deutschland. Eine Übermittlung in Drittländer findet nicht statt.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 14 Tage vorher in Textform an die bei Vertragsschluss angegebene E-Mail-Adresse und zusätzlich durch Veröffentlichung auf dieser Seite über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Fall des Widerspruchs kann jede Partei diesen Vertrag kündigen; der Verantwortliche stellt dann die Nutzung der Plugins ein.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind.

§ 6 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO). Da Eingaben nicht gespeichert werden und Ergebnisdateien nach 60 Minuten gelöscht sind, liegen dem Auftragsverarbeiter in der Regel keine Daten vor, auf die sich ein solcher Antrag beziehen kann.

(2) Er unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

(3) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, verweist er sie an den Verantwortlichen, soweit eine Zuordnung möglich ist.

§ 7 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen eine ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich in Textform. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO.

§ 8 Löschung

(1) Eingaben werden nach Abschluss der jeweiligen Verarbeitung gelöscht. Ergebnisdateien werden 60 Minuten nach ihrer Erstellung automatisch gelöscht.

(2) Der Verantwortliche wählt hiermit die Löschung statt der Rückgabe (Art. 28 Abs. 3 lit. g DSGVO). Nach Vertragsende liegen beim Auftragsverarbeiter keine Daten des Verantwortlichen mehr vor. Auf Anfrage bestätigt er dies in Textform.

(3) Betriebsprotokolle ohne Inhalte und ohne IP-Adressen (Plugin, Funktion, Erfolg oder Fehler, Dauer, Größenklasse) sind nach Einschätzung der Parteien keine personenbezogenen Daten des Verantwortlichen und werden größenbasiert rotiert (höchstens 10 MB je Dienst, älteste Einträge werden überschrieben).

§ 9 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.

(2) Er ermöglicht Überprüfungen, einschließlich Inspektionen, durch den Verantwortlichen oder einen von ihm beauftragten Prüfer, der zur Verschwiegenheit verpflichtet ist. Überprüfungen sind mit angemessener Frist anzukündigen, in der Regel mindestens 14 Tage vorher. Sie erfolgen vorrangig durch schriftliche Auskünfte; Vor-Ort-Prüfungen sind auf das erforderliche Maß zu beschränken. Für das Rechenzentrum kann der Auftragsverarbeiter auf die Nachweise des Unterauftragsverarbeiters verweisen.

(3) Da der Dienst unentgeltlich ist, trägt jede Partei ihre eigenen Kosten einer Überprüfung. Für Vor-Ort-Prüfungen erstattet der Verantwortliche dem Auftragsverarbeiter den angemessenen Zeitaufwand, es sei denn, die Prüfung deckt einen Verstoß des Auftragsverarbeiters gegen diesen Vertrag oder gegen Datenschutzvorschriften auf.

§ 10 Abgrenzung zu ChatGPT und OpenAI

(1) Der Verantwortliche nutzt die Plugins über ChatGPT. OpenAI ist weder Unterauftragsverarbeiter des Auftragsverarbeiters noch Partei dieses Vertrags.

(2) Die Verarbeitung durch OpenAI in ChatGPT, einschließlich der Unterhaltung, der Eingaben und der zurückgegebenen Ergebnisse, richtet sich allein nach dem Verhältnis zwischen dem Verantwortlichen und OpenAI. Für diese Verarbeitung ist der Verantwortliche selbst verpflichtet, die datenschutzrechtlichen Voraussetzungen sicherzustellen, etwa durch eine eigene Vereinbarung mit OpenAI.

(3) Der Auftragsverarbeiter weist darauf hin: Je nach ChatGPT-Tarif ist OpenAI Auftragsverarbeiter des Verantwortlichen (Tarife mit Auftragsverarbeitungsvertrag, etwa für Unternehmen) oder eigenständiger Verantwortlicher (Tarife für Privatpersonen). Im zweiten Fall sollte der Verantwortliche prüfen, ob er personenbezogene Daten Dritter überhaupt in ChatGPT eingeben darf.

§ 11 Haftung und Schlussbestimmungen

(1) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien gelten im Übrigen die Haftungsregeln der Nutzungsbedingungen.

(2) Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen geht dieser Vertrag in Fragen des Datenschutzes vor.

(3) Änderungen und Ergänzungen bedürfen der Textform. Es gilt deutsches Recht.

Ort, Datum: ____

Verantwortlicher: ____

Auftragsverarbeiter: Tim Eiko Neunzig, KI Katapult ____

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Ort und Infrastruktur

• Verarbeitung ausschließlich auf einem Server in einem Rechenzentrum der Hetzner Online GmbH in Deutschland.
• Physische Sicherheit des Rechenzentrums (Zutrittskontrolle, Videoüberwachung, Brandschutz) durch Hetzner; Hetzner ist nach eigenen Angaben nach ISO/IEC 27001 zertifiziert.

Zugang und Zugriff

• Administrativer Zugang zum Server ausschließlich durch den Auftragsverarbeiter persönlich, über verschlüsselte Verbindungen mit Schlüsselauthentifizierung.
• Keine Benutzerkonten, keine Nutzerdatenbank.

Übertragung

• Alle Verbindungen zwischen ChatGPT, Website, Download-Links und Server sind mit TLS verschlüsselt.
• Download-Links für Ergebnisdateien sind signiert, nicht erratbar und 60 Minuten gültig.

Speicherung und Löschung

• Eingaben werden im Arbeitsspeicher oder in temporärem Speicher verarbeitet und nach Abschluss der Verarbeitung gelöscht.
• Ergebnisdateien werden 60 Minuten nach Erstellung automatisch gelöscht.
• Keine Datensicherungen von Eingaben oder Ergebnisdateien.

Protokollierung

• Betriebsprotokolle enthalten nur Plugin-Name, Funktionsname, Erfolg oder Fehler, Dauer und Größenklasse der Datei.
• Keine Inhalte, keine Dateinamen, keine Download-Links, keine IP-Adressen, keine Nutzerkennungen in Protokollen.

Trennung und Zweckbindung

• Jeder Aufruf wird getrennt verarbeitet; Daten verschiedener Aufrufe werden nicht zusammengeführt.
• Keine Nutzung von Eingaben für andere Zwecke, insbesondere kein Training von KI-Modellen.

Verfügbarkeit und Überprüfung

• Regelmäßige Sicherheitsupdates von Betriebssystem und Software.
• Überprüfung der Maßnahmen bei wesentlichen Änderungen der Plugins oder der Infrastruktur.

Anlage 2: Unterauftragsverarbeiter