Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO

Dieser Auftragsverarbeitungsvertrag konkretisiert die datenschutzrechtlichen Pflichten zwischen Tech4Humans GmbH als Auftragsverarbeiterin und dem jeweiligen Kunden/Auftraggeber als Verantwortlichem/Auftraggeber. Vertragsadresse des Kunden: laut konkretem Vertrag oder AVV-Workspace.

Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen digitaler Assistenten, KI-gestützter Automatisierung, Kommunikationskanäle, Workspace-Funktionen und optionaler Integrationen.

Die Vereinbarung gilt für die Laufzeit der beauftragten Leistungen und endet mit dem Hauptvertrag, soweit keine gesetzlichen Pflichten oder gesonderten Vereinbarungen entgegenstehen.

Tech4Humans GmbH verarbeitet personenbezogene Daten ausschließlich zur Bereitstellung, zum Betrieb, zur Konfiguration, Absicherung, Fehleranalyse und Unterstützung der beauftragten digitalen Assistenten- und Automationsleistungen.

Die Standardleistung umfasst KI-Verarbeitung, Workflow-Steuerung, technische Protokollierung, Support, sichere Bereitstellung und Datenhaltung bei IONOS in Deutschland.

Für die KI-Basisleistung sind OpenAI, Microsoft Azure, kommerzielles AWS in Europa und die AWS European Sovereign Cloud in Brandenburg gleichermaßen freigegeben. Welcher Verarbeitungsweg einen Auftrag ausführt, bestimmt Tech4Humans anhand technischer Verfügbarkeit, Modellfähigkeit, Regionseignung und Failover-Bedarf.

Tech4Humans gibt Kundendaten nicht für allgemeines Modelltraining frei. Anbieterbezogene Sicherheits-, Missbrauchs- oder technisch notwendige Aufbewahrung richtet sich nach dem jeweils gültigen Vertrag und den von Tech4Humans freigegebenen Datenaufbewahrungs-Einstellungen.

Optionale Verarbeitungsbausteine werden nur aktiv, wenn sie durch den Kunden ausgewählt oder freigegeben wurden: keine optionalen Bausteine.

Verarbeitet werden die Daten, die der Kunde oder dessen Nutzer dem jeweiligen Assistenten, Kanal, Formular, Workspace oder angebundenen System bereitstellen.

Hierzu können insbesondere Kontakt-, Kommunikations-, Termin-, Organisations-, Nutzungs-, Inhalts-, Dokument-, Consent- und technische Metadaten gehören.

Betroffene Personen sind insbesondere Ansprechpartner, Mitarbeiter, Interessenten, Kunden, Lieferanten und sonstige Kommunikationspartner des Kunden.

Der Kunde bleibt für die Rechtmäßigkeit der Verarbeitung, die Informationspflichten, Rechtsgrundlagen, Einwilligungen und die Konfiguration seiner Verarbeitungszwecke verantwortlich.

Der Kunde stellt sicher, dass Tech4Humans-Systeme nicht gezielt zur Abfrage besonderer Kategorien personenbezogener Daten eingesetzt werden, soweit keine gesonderte schriftliche Vereinbarung besteht.

Der Kunde benennt einen Datenschutz- oder Sicherheitskontakt für Anfragen, Vorfälle, Rückfragen und Nachweise.

Tech4Humans verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, soweit keine gesetzliche Pflicht entgegensteht.

Die Konfiguration im Workspace, gebuchte Leistungen, aktivierte Kanäle und Integrationen sowie spätere Textform-Weisungen gelten als dokumentierte Weisung. Für die KI-Basisleistung umfasst die Weisung alle vier freigegebenen KI-Verarbeitungswege und deren technischen Wechsel oder Failover innerhalb der vertraglich beschriebenen Schutz- und Transfermechanismen.

Tech4Humans informiert den Kunden unverzüglich, wenn eine Weisung nach Auffassung von Tech4Humans gegen Datenschutzrecht verstößt.

Tech4Humans verpflichtet alle zugriffsberechtigten Personen auf Vertraulichkeit und begrenzt Datenzugriffe nach dem Need-to-know-Prinzip.

Zugriffe auf Kundendaten erfolgen rollenbasiert. Kundenadministratoren sehen Daten ihres Tenants; Superuser von Tech4Humans dürfen tenantübergreifend nur soweit zugreifen, wie dies für Betrieb, Support, Sicherheit oder rechtliche Pflichten erforderlich ist.

Tech4Humans unterhält angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Der TOM-Standard umfasst: Vertraulichkeit: Verschlüsselung der Datenübertragung per TLS; rollenbasierte Berechtigungen und Need-to-know-Prinzip; token-, OAuth- oder sessionbasierte Authentifizierung; kurzlebige Cloud-Rollen, Mehrfaktor-Authentifizierung und getrennte Administrations- und Runtime-Berechtigungen, soweit vom Provider unterstützt; Secrets und technische Zugangsdaten mit begrenzter Zweckbindung; keine dauerhaften Root-Zugangsdaten im Runtime-Betrieb; Vertraulichkeitsverpflichtung zugriffsberechtigter Personen | Integrität: Protokollierung relevanter Schreib- und Administrationsvorgänge; Validierung eingehender Daten und Schutz vor typischen Injection-Risiken; Patch- und Update-Prozesse für produktive Systeme; Trennung von Rollen, Tenants und administrativen Zuständigkeiten; Allowlisting freigegebener KI-Provider, Konten, Partitionen, Regionen, Modelle und Inferenzprofile; Nachweisbare Providerwahl und Failover-Metadaten ohne reguläres Prompt-/Antwort-Inhaltslogging | Verfügbarkeit und Belastbarkeit: Hosting und Datenspeicherung bei IONOS in Deutschland für die Standarddatenhaltung; technischer Mehrproviderbetrieb mit OpenAI, Microsoft Azure, kommerziellem AWS und AWS European Sovereign Cloud für geregelten Failover; regelmäßige Datensicherungen und Wiederherstellungsfähigkeit; Monitoring produktiver Dienste und Störungsbearbeitung; Backup-Auslauf spätestens sechs Monate nach Löschung der Produktivdaten | Überprüfung und Incident-Response: regelmäßige Überprüfung und Fortschreibung der TOMs; regelmäßige Prüfung von Providerverträgen, Unterauftragsverarbeitern, Regionen und modellbezogenen Datenaufbewahrungs-Einstellungen; Bedrock-Prompt-/Antwort-Inhaltslogging im Standard deaktiviert; Abweichungen nur mit dokumentiertem Zweck, Zugriffsschutz und Löschfrist; Incident-Response-Verfahren mit dokumentierter Bewertung; Meldung relevanter Datenschutzvorfälle möglichst innerhalb von 24 Stunden; Nachweisführung über Dokumentation, Remote-Audit und strukturierte Auskünfte

Die Maßnahmen werden regelmäßig überprüft und bei wesentlichen technischen, organisatorischen oder rechtlichen Änderungen angepasst.

Projektspezifische TOMs oder Einschränkungen können zusätzlich vereinbart werden.

Der Kunde erteilt Tech4Humans die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen, soweit diese für die vereinbarte Leistung erforderlich sind.

Basis-Subprozessoren sind IONOS SE für Hosting/Datenspeicherung in Deutschland sowie OpenAI, Microsoft für Azure-KI, Amazon Web Services EMEA SARL für kommerzielles AWS in Europa und Amazon Web Services EMEA SARL für die getrennte AWS European Sovereign Cloud in Brandenburg. Alle vier KI-Verarbeitungswege gehören zur Standardleistung; technische Verfügbarkeit, Modellfähigkeit, Regionseignung und Failover bestimmen den jeweils aktiven Provider.

Der Kunde genehmigt alle vier KI-Provider als gleichwertige Bestandteile der KI-Basisleistung. Die technische Auswahl oder ein Failover zwischen ihnen erfordert keine erneute Einzelfallfreigabe, solange Zweck, Datenkategorien und die in Anlage 2 dokumentierten Schutz- und Transfermechanismen unverändert bleiben.

Optionale oder funktionsbezogene Subprozessoren werden nur bei aktivierten oder technisch erforderlichen Diensten eingesetzt: aktuell keine optionalen oder funktionsbezogenen Subprozessoren.

Drittlandtransfers erfolgen nur auf Grundlage geeigneter Mechanismen nach Kapitel V DSGVO, insbesondere EU-Standardvertragsklauseln, EU-US Data Privacy Framework soweit anwendbar oder anderer zulässiger Transfergrundlagen.

Tech4Humans-Systeme sind im Standard nicht auf die gezielte Erhebung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ausgelegt.

Der Kunde darf Tech4Humans nicht anweisen, solche Daten standardmäßig aktiv abzufragen, auszuwerten, zu kategorisieren oder dauerhaft strukturiert zu speichern, sofern dies nicht zuvor gesondert schriftlich vereinbart wurde.

Freiwillige Eingaben durch betroffene Personen können technisch nicht in jedem Fall verhindert werden. Sie begründen jedoch keine Freigabe für eine gezielte oder systematische Verarbeitung.

Tech4Humans unterstützt den Kunden angemessen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widersprüchen, soweit dies mit den bereitgestellten Systemen möglich ist.

Wendet sich eine betroffene Person direkt an Tech4Humans, wird die Anfrage an den Kunden weitergeleitet, sofern eine Zuordnung möglich ist.

Verletzungen des Schutzes personenbezogener Daten meldet Tech4Humans unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, mit den zu diesem Zeitpunkt verfügbaren Informationen.

Weitere Informationen werden ohne unangemessene Verzögerung nachgereicht. Tech4Humans dokumentiert mindestens Zeitpunkt der Kenntnisnahme, interne Bewertung, betroffene Systeme und Datenkategorien, Empfänger der Meldung, Versandweg, Updates und Abschlussbewertung.

Nach Ende des Hauptvertrags werden personenbezogene Daten des Kunden nach dessen Wahl zurückgegeben oder gelöscht. Eine Rückgabe erfolgt auf Anforderung innerhalb von 30 Tagen in einem gängigen, maschinenlesbaren Format, soweit technisch verfügbar.

Soweit keine gesetzlichen Aufbewahrungspflichten, Rechtsverteidigung oder Sicherheitsuntersuchungen entgegenstehen, erfolgt die Löschung spätestens 90 Tage nach Vertragsende.

Backups werden nicht für neue Verarbeitungszwecke genutzt und laufen nach dem technischen Backup-Konzept aus, spätestens jedoch nach 6 Monaten, soweit keine gesetzlichen Pflichten, Rechtsverteidigung oder Sicherheitsuntersuchungen entgegenstehen.

Kontrollen erfolgen primär über Dokumentenprüfung, Nachweise, strukturierte Auskünfte und Remote-Audits.

Vor-Ort-Prüfungen bleiben auf berechtigte Ausnahmefälle beschränkt und sind mit mindestens 14 Tagen Vorlauf anzuzeigen.

Der Kunde trägt die Kosten seiner Prüfung, soweit kein erheblicher Vertragsverstoß von Tech4Humans festgestellt wird.

Tech4Humans informiert über die geplante Hinzufügung oder Ersetzung von Unterauftragsverarbeitern mindestens 14 Tage vor der geplanten Änderung in Textform oder über die jeweils aktuelle AVV-/Datenschutzseite.

Der Kunde kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Erfolgt kein Widerspruch, gilt die Hinzufügung oder Ersetzung als freigegeben.

Bei begründetem Widerspruch darf Tech4Humans die betroffene Leistung ändern, aussetzen oder den Hauptvertrag ordentlich kündigen, soweit die Leistung ohne den betreffenden Subprozessor nicht möglich oder zumutbar ist.

Im vorliegenden Vertragsfall wurden folgende Bausteine freigegeben oder als Basisleistung vorausgesetzt: Künstliche Intelligenz (Basis), Datenspeicherung/Hosting (IONOS).

Optional aktivierte Kanäle und Integrationen gelten nur, soweit sie im Workspace ausgewählt und durch den Kunden freigegeben wurden.

Die bei Vertragserstellung eingebundenen Anlagen 1 bis 3 sind Bestandteil dieses AVV. Sie werden aus dem zentralen Tech4Humans-AVV-Standard mit Versionsnummer und Stand erzeugt und im konkreten Vertrags-PDF als Vertragsbestandteil fixiert.

Die jeweils aktuelle öffentliche Standardfassung des AVV einschließlich Anlagen ist unter https://www.tech4humans.de/avv abrufbar. Für den konkreten Vertrag maßgeblich bleibt die bei Abschluss eingebundene Fassung, soweit keine spätere Änderung oder Weisung wirksam vereinbart wurde.

Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Es gilt deutsches Recht. Gerichtsstand ist Berlin, soweit gesetzlich zulässig.

Kontakt für Datenschutzanfragen des Auftragsverarbeiters: datenschutz@tech4humans.de.

Diese Anlagen werden im konkreten AVV-Workspace in der jeweiligen Fassung in das Vertrags-PDF eingebunden und mit dem Vertrag fixiert.

IONOS sowie OpenAI, Microsoft Azure, kommerzielles AWS in Europa und die AWS European Sovereign Cloud in Brandenburg sind Bestandteile der Standardleistung. Technische Verfügbarkeit, Modellfähigkeit, Regionseignung und Failover bestimmen, welcher KI-Provider einen Auftrag verarbeitet.

Diese Dienstleister werden nur relevant, soweit die jeweilige Funktion im konkreten Workspace aktiviert oder technisch erforderlich ist.