Vereinbarung zur Auftragsverarbeitung
Parteien und Dauer
Auftragnehmerin ist Sendralik GmbH; Auftraggeber ist das im Einzelauftrag bezeichnete Unternehmen. Die weisungsgebundene Verarbeitung erfolgt für die Vertragsdauer. Anschließend gelten Rückgabe und Löschung nach den vereinbarten Datenfristen einschließlich des Auslaufens von Sicherungen.
Gegenstand
Gegenstand sind die Eingaben „Segmente und Kriterien“ und das daraus erzeugte Ergebnis „Transparente Vergleichsgruppe“. Die beauftragte Verarbeitung umfasst KI-Extraktion und Erläuterung für die redaktionelle Prüfung von Einschlüssen und Ausschlüssen. Verarbeitet werden Uploads, Autorenangaben, Nutzerkennungen und Ergebnisse; betroffen sind Beschäftigte und Geschäftskontakte. Sensible personenbezogene Daten gehören nicht zum vereinbarten Eingabeumfang. Der Kunde verantwortet die zulässige Übermittlung, die Definitionen und die Entscheidung über strittige Vergleichsfälle.
Weisungen und Vertraulichkeit
Die Auftragnehmerin verarbeitet Kundeninhalte ausschließlich nach dokumentierter Weisung für die vereinbarte Analyse. Training mit diesen Daten und eigene Vermarktung sind ausgeschlossen. Das eingesetzte Personal ist zur Vertraulichkeit zu verpflichten; Zugriffe sind auf die jeweilige Rolle zu begrenzen. Problematische Weisungen werden bis zur Klärung mit dem Auftraggeber ausgesetzt.
Unterauftragnehmer
Wolkensteg Rechenzentren GmbH übernimmt Hosting und Sicherungen in Frankfurt. Modellschmiede Inferenz GmbH übernimmt dort die isolierte Inferenz im Mandanten; Kundendaten werden nicht zum Training verwendet. Änderungen bei Unterauftragnehmern sind dem Kunden 14 Tage vorher mitzuteilen. Begründete Einwände und geeignete Alternativen sind vor der weiteren Beauftragung zu prüfen.
Unterstützung und Prüfung
Die zu dieser Vereinbarung gehörenden technischen Maßnahmen und der Löschplan sind verbindliche Anlagen. Die Auftragnehmerin unterstützt den Kunden bei Betroffenenanfragen, der Bearbeitung von Vorfällen und der Folgenbewertung und ermöglicht die vereinbarte Einsicht in Unterlagen. Eine unabhängige Zertifizierung nach ISO 27001 oder SOC 2 liegt nicht vor; die Unterlagen ersetzen keinen solchen Nachweis.
Vorfälle
Bestätigte Vorfälle sind dem Auftraggeber ohne vermeidbare Verzögerung zu melden. Als internes vertragliches Ziel gelten 24 Stunden nach Bestätigung. Dieses Ziel ersetzt oder bestimmt keine gesetzlichen Meldefristen; deren Prüfung bleibt von der vertraglichen Benachrichtigung getrennt.
Rückgabe und Löschung
Der Kunde muss benötigte Ergebnisse vor Ablauf ihrer Aufbewahrungsfrist und spätestens vor Vertragsende exportieren. Uploads werden nach 30 Tagen und Ergebnisse nach 90 Tagen gelöscht; diese Inhaltsfristen gelten auch während eines laufenden Vertrags. Kontodaten werden spätestens 30 Tage nach Vertragsende gelöscht. Sicherungen laufen nach 30 Tagen aus. Die Auftragnehmerin stellt ein Löschprotokoll bereit und wendet nach einer Wiederherstellung bestehende Löschmarkierungen erneut an.
Annahme
Die Vereinbarung wird durch Annahme der bevollmächtigten Kundenperson und Katharina Brüggemann wirksam. Die Veröffentlichung dieser Vertragsbedingungen allein schließt keinen Einzelvertrag; maßgeblich sind die Annahme und der darin bezeichnete Auftraggeber.