Vertrag über die Verarbeitung personenbezogener Daten im Auftrag

§ 1 Gegenstand, Dauer, Art und Zweck der Verarbeitung

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen. Gegenstand sind die im Hauptvertrag vereinbarten Beratungs-, Konzeptions-, Schulungs- und Umsetzungsleistungen im Bereich künstlicher Intelligenz.

(2) Art und Zweck der Verarbeitung ergeben sich aus Anlage 1. Eine Verarbeitung zu eigenen Zwecken findet nicht statt.

(3) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags.

(4) Die Verarbeitung erfolgt ausschließlich innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums. Für Fernzugriffe aus dem Ausland gilt § 6, für den Einsatz von KI-Modellen gilt § 8.

§ 2 Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich der Übermittlung in Drittländer, sofern er nicht durch Unionsrecht oder mitgliedstaatliches Recht zur Verarbeitung verpflichtet ist. In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Der Hauptvertrag und dieser Vertrag stellen die ursprüngliche Weisung dar. Weitere Weisungen erfolgen in Textform.

(3) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Ausführung bis zur Bestätigung oder Änderung auszusetzen.

§ 3 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Er ergreift die nach Artikel 32 DSGVO erforderlichen Maßnahmen gemäß Anlage 2.

(3) Er unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Einhaltung der Pflichten nach den Artikeln 32 bis 36 DSGVO, insbesondere bei Meldungen von Verletzungen des Schutzes personenbezogener Daten und bei Datenschutz-Folgenabschätzungen.

(4) Er informiert den Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, über Verletzungen des Schutzes personenbezogener Daten in seinem Verantwortungsbereich.

(5) Er stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten nach Artikel 28 DSGVO erforderlich sind.

(6) Der Auftragsverarbeiter hat keinen Datenschutzbeauftragten bestellt, da die Voraussetzungen des Artikels 37 DSGVO und des § 38 BDSG nicht vorliegen. Ansprechpartner für den Datenschutz ist die Geschäftsführung.

§ 4 Unterstützung bei Betroffenenrechten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträgen betroffener Personen nach den Artikeln 12 bis 23 DSGVO nachzukommen.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser den Antrag unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst.

(3) Aufwand, der über eine geringfügige Unterstützung hinausgeht, wird nach den im Hauptvertrag vereinbarten Sätzen vergütet.

§ 5 Unterauftragsverhältnisse

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens zwei Wochen vor der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform. Der Verantwortliche kann aus wichtigem, datenschutzrechtlich begründetem Anlass innerhalb von zwei Wochen widersprechen.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, und bleibt gegenüber dem Verantwortlichen für deren Erfüllung verantwortlich.

(4) Unterauftragsverarbeiter mit Zugriff auf personenbezogene Daten haben ihren Sitz und verarbeiten ausschließlich innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums; für Fernzugriffe aus Drittländern gilt ergänzend § 6. Vor dem ersten Zugriff wird eine Verschwiegenheitsverpflichtung eingeholt.

(5) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen wie Telekommunikation, Post- und Transportdienste sowie Wartungsleistungen ohne nennenswerten Bezug zu personenbezogenen Daten.

§ 6 Leistungserbringung aus dem Ausland und Fernzugriff

(1) Der Auftragsverarbeiter setzt eigene Mitarbeitende, Freiberufler und Unterauftragsverarbeiter ein, die ihren Tätigkeitsort außerhalb der Bundesrepublik Deutschland haben. Sie übernehmen abgegrenzte Spezialaufgaben, insbesondere Softwareentwicklung, Datenaufbereitung, Test und Qualitätssicherung, Betrieb und Überwachung der Plattform sowie Second-Level-Support.

(2) Der Zugriff erfolgt ausschließlich im Wege des gesicherten Fernzugriffs auf Systeme, die innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums betrieben werden. Eine Speicherung, Vervielfältigung oder Weiterverarbeitung personenbezogener Daten auf Endgeräten oder Systemen außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nicht statt.

(3) Der Fernzugriff wird technisch abgesichert durch persönliche Benutzerkonten, Mehrfaktor-Authentifizierung, verschlüsselte Verbindungen über einen zentralen Zugangsknoten, Deaktivierung von Datei-Download, Zwischenablage und Wechseldatenträgern in der Sitzung sowie durch Protokollierung der Zugriffe.

(4) Tätige Personen außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erhalten keinen Zugriff auf Daten der Zone C nach § 7, insbesondere nicht auf Personal-, Gehalts-, Bewerber-, Kalkulations- und Buchhaltungsdaten.

(5) Soweit der Zugriff aus einem Drittland erfolgt und damit eine Übermittlung im Sinne des Kapitels V der DSGVO vorliegt, erfolgt diese ausschließlich auf Grundlage eines Angemessenheitsbeschlusses nach Artikel 45 DSGVO oder geeigneter Garantien nach Artikel 46 DSGVO, insbesondere der Standardvertragsklauseln der Europäischen Kommission nebst einer dokumentierten Risikobewertung des Drittlands und ergänzender technischer Maßnahmen.

(6) Alle eingesetzten Personen werden vor dem ersten Zugriff auf Vertraulichkeit verpflichtet und zum Datenschutz unterwiesen. Der Auftragsverarbeiter führt hierüber einen Nachweis.

(7) Die Tätigkeitsorte sind in Anlage 3 je Leistung ausgewiesen. Für Änderungen gilt das Verfahren nach § 5 Absatz 2 einschließlich des Widerspruchsrechts des Verantwortlichen.

§ 7 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen Maßnahmen und hält sie während der Vertragslaufzeit aufrecht.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er.

(3) Die Verantwortung für die Festlegung des erforderlichen Schutzniveaus und für die Zuordnung der Verarbeitungen zu den Datenzonen nach § 8 liegt beim Verantwortlichen.

§ 8 Einsatz von KI-Modellen und Drittlandübermittlung

(1) Für die Verarbeitung mit Systemen künstlicher Intelligenz gilt ein Zonenmodell. Die Zuordnung je Anwendungsfall legt der Verantwortliche in seiner KI-Richtlinie fest.

(2) Zone A umfasst Modelle von Anbietern mit Sitz außerhalb der Europäischen Union. Sie werden ausschließlich für Inhalte ohne Personenbezug sowie für zuvor anonymisierte oder pseudonymisierte Inhalte eingesetzt. Soweit dennoch eine Übermittlung personenbezogener Daten in ein Drittland erfolgt, wird diese ausschließlich auf Grundlage eines Angemessenheitsbeschlusses nach Artikel 45 DSGVO oder geeigneter Garantien nach Artikel 46 DSGVO durchgeführt, insbesondere auf Grundlage von Standardvertragsklauseln nebst ergänzender Maßnahmen.

(3) Zone B umfasst Modelle, die ausschließlich innerhalb der Europäischen Union betrieben werden. Sie werden für vertrauliche Geschäftsdaten und personenbezogene Daten mit Auftragsverarbeitungsvertrag eingesetzt.

(4) Zone C umfasst lokal oder in einer privaten Umgebung des Verantwortlichen betriebene Modelle. Sie werden für besonders schutzbedürftige Daten eingesetzt, insbesondere Personal-, Gehalts-, Bewerber-, Kalkulations- und Buchhaltungsdaten. Diese Daten verlassen das Netz des Verantwortlichen nicht.

(5) Ein Gateway auf der Plattform des Verantwortlichen klassifiziert, minimiert, pseudonymisiert und protokolliert die Aufrufe. Die Zuordnungstabelle zur Wiederherstellung pseudonymisierter Inhalte verbleibt beim Verantwortlichen.

(6) Der Auftragsverarbeiter setzt nur Modellanbieter ein, die eine Verarbeitung im Auftrag anbieten und das Training mit den übermittelten Inhalten vertraglich ausschließen.

§ 9 Kontrollrechte

(1) Der Verantwortliche ist berechtigt, die Einhaltung der Pflichten aus diesem Vertrag zu überprüfen. Die Prüfung erfolgt vorrangig durch Auskunft, Vorlage von Nachweisen, Zertifikaten oder Berichten unabhängiger Stellen.

(2) Vor-Ort-Kontrollen sind nach Ankündigung mit einer Frist von vier Wochen, während der üblichen Geschäftszeiten, höchstens einmal je Kalenderjahr und ohne Störung des Betriebsablaufs zulässig. Weitere Kontrollen sind bei konkretem Anlass möglich.

(3) Der Aufwand des Auftragsverarbeiters für Kontrollen, die über eine jährliche Prüfung hinausgehen, wird nach den im Hauptvertrag vereinbarten Sätzen vergütet, sofern die Kontrolle nicht durch einen vom Auftragsverarbeiter zu vertretenden Verstoß veranlasst ist.

§ 10 Löschung und Rückgabe

(1) Nach Abschluss der Verarbeitungsleistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht.

(2) Die Wahl teilt der Verantwortliche spätestens mit Vertragsende in Textform mit. Ohne Mitteilung erfolgt die Löschung 30 Tage nach Vertragsende.

(3) Die Löschung wird auf Verlangen in Textform bestätigt.

(4) Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, darf der Auftragsverarbeiter entsprechend den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufbewahren.

§ 11 Haftung

(1) Es gilt Artikel 82 DSGVO.

(2) Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrags, soweit Artikel 82 DSGVO dem nicht entgegensteht.

§ 12 Schlussbestimmungen

(1) Änderungen und Ergänzungen bedürfen der Textform.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags vor, soweit sie die Verarbeitung personenbezogener Daten betreffen.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Düsseldorf, soweit gesetzlich zulässig.

(4) Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1 · Gegenstand, Art und Zweck der Verarbeitung

Anlage 2 · Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

Anlage 3 · Unterauftragsverarbeiter

Die nachstehend benannten Unterauftragsverarbeiter sind bei Vertragsschluss eingesetzt. Offene Felder werden vor Vertragsschluss ausgefüllt und bei Änderungen fortgeschrieben.

Tätigkeitsorte außerhalb der EU und des EWR sind gesondert zu kennzeichnen. Für diese ist die Rechtsgrundlage der Übermittlung nach § 6 Absatz 5 zu dokumentieren. Zugriff auf Zone C ist von dort ausgeschlossen.

Weitere Auftragsverarbeiter des Plattformbetreibers

Der in Anlage 3 genannte Plattformbetreiber setzt seinerseits weitere Auftragsverarbeiter ein. Die folgende Übersicht gibt dessen Veröffentlichung nachrichtlich wieder. Maßgeblich ist die jeweils aktuelle Fassung unter regulint.com/avv/v2-2026-05/.