Auftragsverarbeitung

Bauen oder betreiben wir ein System, das Daten Ihrer Kunden, Anrufer oder Mitarbeiter verarbeitet, sind Sie der Verantwortliche im Sinne der DSGVO — Sie entscheiden über Zwecke und Mittel. Wir verarbeiten diese Daten ausschließlich nach Ihren dokumentierten Weisungen als Auftragsverarbeiter nach Art. 28 DSGVO.

Der Vertrag regelt Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Kategorien betroffener Personen und Daten, die Weisungsbindung, die Vertraulichkeitsverpflichtung der eingesetzten Personen, die technischen und organisatorischen Maßnahmen, den Einsatz weiterer Unterauftragnehmer, die Unterstützung bei Betroffenenrechten, die Meldung von Datenschutzverletzungen sowie Löschung oder Rückgabe nach Vertragsende.

Reine Beratung ohne Zugriff auf personenbezogene Daten — etwa ein Strategie-Workshop — benötigt keinen Auftragsverarbeitungsvertrag. Sobald wir jedoch Zugänge zu Ihren Systemen erhalten oder Ihre Daten zu Test- und Entwicklungszwecken verarbeiten, schließen wir ihn vorab ab.

Die Maßnahmen nach Art. 32 DSGVO sind Anlage zum Vertrag. Im Kern: verschlüsselte Übertragung (TLS) und verschlüsselte Speicherung ruhender Daten, Zugriff nach dem Minimalprinzip mit persönlichen Zugängen und Mehrfaktor-Authentisierung, getrennte Mandanten je Kunde, protokollierte administrative Zugriffe, regelmäßige Sicherungen mit geprüfter Wiederherstellung sowie ein festgelegter Ablauf für die Meldung von Sicherheitsvorfällen innerhalb von 24 Stunden nach Kenntnis an Sie.

Diese Dienstleister sind am Betrieb von promptwerker.de beteiligt. Hier sind wir selbst Verantwortlicher — die Liste dient der Transparenz nach Art. 13 DSGVO.

Welche Dienstleister in Ihrem Projekt zum Einsatz kommen, hängt vom gebauten System ab. Die folgende Übersicht ist der Rahmen, aus dem sich die projektbezogene Anlage zum Auftragsverarbeitungsvertrag zusammensetzt — verbindlich ist stets die dort festgehaltene Liste.

Hell hervorgehobene Einträge verlassen die EU oder können sie verlassen. Für diese Übermittlungen liegen Standardvertragsklauseln beziehungsweise eine Angemessenheitsentscheidung zugrunde. Wo es der Anwendungsfall zulässt, wählen wir eine Variante mit Verarbeitung innerhalb der EU.

Sie erteilen mit dem Vertrag eine allgemeine Genehmigung zum Einsatz der in der Anlage genannten Unterauftragnehmer. Beabsichtigte Änderungen kündigen wir mindestens vier Wochen vorab in Textform an. Sie können der Änderung innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen (Art. 28 Abs. 2 DSGVO); lässt sich die Leistung dann nicht wirtschaftlich zumutbar erbringen, steht beiden Seiten ein Sonderkündigungsrecht zu.

Bei Sprachsystemen wird das Gespräch live in Text umgewandelt; eine dauerhafte Tonaufnahme wird nicht abgelegt. Gespeichert werden das Transkript und der daraus erzeugte Vorgang, soweit Sie das so beauftragt haben. Ihre Daten werden nicht verkauft und nicht zum Training allgemeiner KI-Modelle verwendet. Bei den eingesetzten KI-Schnittstellen nutzen wir ausschließlich Geschäftskonditionen, die eine Verwendung der übermittelten Inhalte zu Trainingszwecken ausschließen.

Den unterschriftsfertigen Auftragsverarbeitungsvertrag stellen wir vor Vertragsschluss zur Prüfung bereit — projektbezogen, weil Anlage 1 (Unterauftragnehmer) und Anlage 2 (Datenarten und betroffene Personen) vom jeweiligen System abhängen. Fordern Sie ihn formlos an unter kontakt@promptwerker.de.

Setzen Sie bereits ein eigenes Vertragsmuster ein, prüfen wir dieses gern und unterzeichnen es, sofern es den Anforderungen des Art. 28 DSGVO entspricht.