Vereinbarung zur Auftragsverarbeitung
Parteien und Dauer
Auftragnehmerin ist Molgriten GmbH; Auftraggeber ist das im Einzelauftrag bezeichnete Unternehmen. Die Verarbeitung erfolgt für die Dauer des Vertrags nach dessen Weisungen. Anschließend gelten die vereinbarten Rückgabe- und Löschpflichten einschließlich der gesonderten Fristen für Ergebnisse und Sicherungen.
Gegenstand
Gegenstand ist die Verarbeitung der Eingaben „Richtlinien und Positionen“ für das Ergebnis „Karte der Mandatsänderungen“. Dazu gehören Uploads, Autorenangaben, Nutzerkennungen und Analyseergebnisse; betroffene Personen sind Beschäftigte und Geschäftskontakte. Der Auftraggeber klärt die Zulässigkeit der Übermittlung und bestätigt Annahmen zu Einheiten und Anteilklassen. Echte sensible personenbezogene Daten dürfen nicht eingebracht werden. KI unterstützt Extraktion und Erklärung, ersetzt aber weder die Prüfung durch den Kunden noch dessen Auslegung strittiger Schwellenwerte. Die Leistung ist keine Rechtsauskunft, Mandatskonformitätsbewertung oder Anlageempfehlung.
Weisungen und Vertraulichkeit
Die Auftragnehmerin verarbeitet Inhalte ausschließlich auf dokumentierte Weisung im Rahmen der vereinbarten Analyse. Kundendaten werden weder zum Modelltraining noch zur eigenen Vermarktung verwendet. Eingesetztes Personal ist zur Vertraulichkeit zu verpflichten; Zugriffe sind auf die jeweilige Rolle zu begrenzen. Bei problematischen Weisungen wird die betroffene Verarbeitung bis zur Klärung mit dem Auftraggeber ausgesetzt.
Unterauftragnehmer
Für Hosting und Sicherungen wird Wolkensteg Rechenzentren GmbH eingesetzt. Modellschmiede Inferenz GmbH übernimmt die isolierte Inferenz im Mandanten ohne Training mit Kundendaten. Beide Leistungen erfolgen in Frankfurt, ohne Drittlandübermittlung im vereinbarten Umfang. Änderungen bei Unterauftragnehmern sind dem Auftraggeber 14 Tage vorher mitzuteilen. Begründete Einwände sind mit ihm zu prüfen und mögliche Alternativen abzuklären.
Unterstützung und Prüfung
Die vereinbarten technischen Maßnahmen und der Löschplan dieser Fassung sind Vertragsanlagen. Die Auftragnehmerin unterstützt den Auftraggeber bei Betroffenenanfragen, Datenschutzvorfällen und der Datenschutz-Folgenabschätzung und ermöglicht die vereinbarte Einsicht in Nachweisunterlagen. Eine unabhängige Zertifizierung nach ISO 27001 oder SOC 2 liegt nicht vor; die Unterlagen dürfen nicht als solche ausgelegt werden.
Vorfälle
Bestätigte Datenschutzvorfälle sind dem Auftraggeber ohne vermeidbare Verzögerung mitzuteilen. Das interne vertragliche Meldeziel beträgt 24 Stunden nach Bestätigung. Dieses Ziel ersetzt keine gesetzlichen Meldepflichten oder Fristen und ist nicht mit ihnen gleichzusetzen.
Rückgabe und Löschung
Der Auftraggeber hat benötigte Daten vor Vertragsende zu exportieren. Die Löschfristen betragen für Uploads 30 Tage und für Ergebnisse 180 Tage; Kontodaten sind spätestens 30 Tage nach Vertragsende zu löschen. Sicherungen laufen nach 30 Tagen aus. Bei einer Wiederherstellung sind bestehende Löschmarkierungen erneut umzusetzen. Die Auftragnehmerin stellt ein Löschprotokoll bereit.
Annahme
Die Vereinbarung wird durch Annahme einer bevollmächtigten Person des Auftraggebers und Stefan Hartmann wirksam. Die Veröffentlichung dieser Vertragsbedingungen allein schließt keinen Einzelvertrag; maßgeblich sind der angenommene Auftrag und dessen festgelegter Verarbeitungsumfang.