Auftragsverarbeitungsvertrag

Der Auftraggeber wird nachfolgend „der Betrieb" genannt, der Auftragnehmer „der Anbieter". Der Betrieb ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die personenbezogenen Daten, die er in MeisterAssistent verarbeitet. Der Anbieter ist insoweit Auftragsverarbeiter nach Art. 4 Nr. 8 DSGVO.

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Anbieter im Auftrag des Betriebs im Rahmen des Betriebs der Plattform MeisterAssistent. Der Anbieter verarbeitet diese Daten ausschließlich für den Betrieb und nicht für eigene Zwecke.

(2) Dieser Vertrag konkretisiert den zwischen den Parteien geschlossenen Hauptvertrag über die Nutzung von MeisterAssistent (Allgemeine Geschäftsbedingungen). Er beginnt mit dem Hauptvertrag und endet mit ihm.

(3) Eine Kündigung dieses Vertrags allein — ohne Kündigung des Hauptvertrags — ist nicht möglich: Ohne Auftragsverarbeitungsvertrag darf die Leistung nicht erbracht werden.

(1) Der Anbieter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Betriebs. Als Weisung gelten dieser Vertrag, der Hauptvertrag und die Bedienung der Anwendung durch den Betrieb selbst: Jede Eingabe, jede Freigabe und jeder Versand ist eine Einzelweisung.

(2) Weitergehende Weisungen erteilt der Betrieb in Textform an die oben genannte E-Mail-Adresse. Mündliche Weisungen bestätigt der Betrieb unverzüglich in Textform.

(3) Der Anbieter informiert den Betrieb unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Er ist berechtigt, die Ausführung einer solchen Weisung bis zu ihrer Bestätigung oder Änderung auszusetzen.

(4) Ist der Anbieter aufgrund des Rechts der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet, teilt er dem Betrieb diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Gesetz die Mitteilung nicht verbietet.

(1) Der Anbieter verpflichtet sich insbesondere:

• die Daten nur im Rahmen von § 2 und nach Weisung des Betriebs zu verarbeiten;
• alle mit den Daten befassten Personen zur Vertraulichkeit zu verpflichten (Art. 28 Abs. 3 lit. b DSGVO). Der Anbieter ist ein Einzelunternehmen; derzeit ist ausschließlich der Inhaber mit den Daten befasst und als Verantwortlicher selbst zur Verschwiegenheit verpflichtet. Weitere Personen werden vor dem ersten Zugriff schriftlich verpflichtet.
• die technischen und organisatorischen Maßnahmen nach § 5 einzuhalten und dem Stand der Technik entsprechend fortzuentwickeln;
• den Betrieb bei der Erfüllung von Betroffenenrechten zu unterstützen (§ 8);
• den Betrieb bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen nach Art. 35 und 36 DSGVO zu unterstützen, soweit die dafür erforderlichen Angaben nur beim Anbieter vorliegen;
• Verletzungen des Schutzes personenbezogener Daten unverzüglich zu melden (§ 9);
• ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO zu führen und dem Betrieb auf Anforderung vorzulegen.

(2) Der Anbieter hat keine Datenschutzbeauftragte oder keinen Datenschutzbeauftragten bestellt; die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG liegen derzeit nicht vor. Ansprechpartner in Datenschutzfragen ist Christopher Renner unter der oben genannten Adresse. Werden die Voraussetzungen einer Bestellpflicht erfüllt, teilt der Anbieter dem Betrieb die Kontaktdaten unaufgefordert mit.

Der Anbieter trifft die nachfolgenden Maßnahmen. Sie sind Vertragsbestandteil; Änderungen sind zulässig, solange das Schutzniveau nicht unterschritten wird.

(1) Der Betrieb erteilt dem Anbieter die allgemeine Genehmigung, die nachfolgend genannten Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO). Der Anbieter hat mit jedem von ihnen einen Vertrag geschlossen, der ihm dieselben Datenschutzpflichten auferlegt, die dieser Vertrag dem Anbieter auferlegt.

(1) Die in § 6.1 genannten Verarbeitungen finden ausschließlich innerhalb der Europäischen Union statt.

(2) Die in § 6.2 genannten Verarbeitungen erfolgen in den Vereinigten Staaten. Die Übermittlung stützt sich bei beiden Unternehmen auf die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO in der Fassung des Durchführungsbeschlusses (EU) 2021/914 (Modul 2 und 3). Bei Anthropic sind sie Bestandteil des Data Processing Addendum, das mit den Commercial Terms of Service geschlossen ist; bei OpenAI des dortigen Data Processing Addendum.

(2a) Kein Angemessenheitsbeschluss. Weder OpenAI noch Anthropic sind nach dem EU-US Data Privacy Framework zertifiziert. Ein Angemessenheitsbeschluss nach Art. 45 DSGVO trägt diese Übermittlung also nicht; sie steht allein auf den Standardvertragsklauseln. Frühere Fassungen dieses Vertrags hielten sich die Zertifizierung offen („soweit der jeweilige Anbieter zertifiziert ist") — das war eine Formulierung, die im Prüfungsfall niemandem geholfen hätte, weil sie die Frage nicht beantwortet, sondern weiterreicht.

(3) Der Anbieter stellt dem Betrieb die mit den betreffenden Unternehmen geschlossenen Vereinbarungen auf Anforderung zur Verfügung, damit der Betrieb seiner eigenen Rechenschaftspflicht nachkommen kann.

(4) Offen benannt statt beschönigt: Der Anbieter prüft Alternativen innerhalb der EU (unter anderem in der EU betriebene Sprach- und Sprachmodelldienste sowie ein selbst betriebenes Transkriptionsmodell). Bis zu einer Umstellung bleibt es bei Absatz 2. Der Betrieb kann die Übermittlung heute schon vermeiden, indem er Sprachnotizen und Chat-Eingaben ohne Namen und Anschriften formuliert; die Zuordnung zum Kunden erfolgt in der Anwendung und nicht im diktierten Text.

(1) Anfragen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch beantwortet der Betrieb als Verantwortlicher selbst. Der Anbieter beantwortet solche Anfragen nicht eigenständig.

(2) Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet dieser die Anfrage unverzüglich an den Betrieb weiter und teilt der betroffenen Person mit, dass er dies getan hat.

(3) Der Anbieter unterstützt den Betrieb mit geeigneten technischen und organisatorischen Maßnahmen dabei, diese Rechte zu erfüllen (Art. 28 Abs. 3 lit. e DSGVO). In der Anwendung selbst kann der Betrieb Kontakt- und Auftragsdaten einsehen, berichtigen und exportieren.

(4) Steht einer Löschung eine gesetzliche Aufbewahrungspflicht entgegen (insbesondere §§ 147 AO, 257 HGB für Angebote, Rechnungen und Belege), werden die betroffenen Daten stattdessen pseudonymisiert und für weitere Verwendungen gesperrt. Der Anbieter teilt dem Betrieb mit, welche Daten hiervon betroffen sind.

(1) Der Anbieter meldet dem Betrieb jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntniserlangung, spätestens innerhalb von 24 Stunden, in Textform an die hinterlegte E-Mail-Adresse und, wenn hinterlegt, zusätzlich telefonisch. Die Frist ist so gewählt, dass dem Betrieb für seine eigene Meldung nach Art. 33 DSGVO ausreichend Zeit bleibt.

(2) Die Meldung enthält, soweit bekannt:

• eine Beschreibung der Art der Verletzung, der betroffenen Datenkategorien und der ungefähren Zahl betroffener Personen und Datensätze;
• den Zeitpunkt des Vorfalls und den Zeitpunkt der Entdeckung;
• eine Beschreibung der wahrscheinlichen Folgen;
• die ergriffenen und vorgeschlagenen Maßnahmen zur Behebung und Abmilderung;
• die Kontaktdaten der Ansprechperson beim Anbieter.

(3) Sind noch nicht alle Angaben verfügbar, meldet der Anbieter zunächst den bekannten Stand und reicht das Übrige unverzüglich nach. Eine verspätete Meldung mit vollständigen Angaben wäre für den Betrieb schlechter als eine schnelle mit unvollständigen.

(4) Die Meldung an die Aufsichtsbehörde und gegebenenfalls an die betroffenen Personen nimmt der Betrieb vor. Der Anbieter unterstützt ihn dabei.

(1) Der Anbieter weist die Einhaltung der Pflichten aus diesem Vertrag auf Anforderung nach — insbesondere durch Auskunft in Textform, durch Vorlage der Maßnahmen nach § 5 und durch das Verzeichnis nach Art. 30 Abs. 2 DSGVO.

(2) Reicht dies im Einzelfall nicht aus, kann der Betrieb nach vorheriger Ankündigung mit einer Frist von zwei Wochen zu üblichen Geschäftszeiten eine Kontrolle durchführen oder durch eine zur Verschwiegenheit verpflichtete, nicht mit dem Anbieter im Wettbewerb stehende Person durchführen lassen. Die Kontrolle darf den Betriebsablauf nicht unangemessen beeinträchtigen und muss die Rechte anderer Betriebe wahren.

(3) Der Anbieter ist verpflichtet, dem Betrieb alle für den Nachweis nach Art. 28 Abs. 3 lit. h DSGVO erforderlichen Informationen zur Verfügung zu stellen und Überprüfungen zu ermöglichen.

(1) Nach Beendigung des Vertrags stellt der Anbieter dem Betrieb dessen Daten in einem gängigen, maschinenlesbaren Format zur Verfügung. Die erzeugten Belege (Angebote, Rechnungen, Abschlussdokumente) werden zusätzlich als PDF bereitgestellt. Der Betrieb hat hierfür 30 Tage Zeit ab Vertragsende.

(2) Nach Ablauf dieser Frist löscht der Anbieter die Daten des Betriebs, einschließlich der Dateien im Speicher, innerhalb von weiteren 30 Tagen. Die Löschung wird dem Betrieb auf Anforderung in Textform bestätigt.

(3) Sicherungskopien werden nicht gesondert gelöscht, sondern laufen im Rahmen der in § 5.3 genannten Aufbewahrungsfristen aus. Bis dahin bleiben sie ausschließlich für den Wiederherstellungsfall zugänglich und werden nicht anderweitig verarbeitet.

(4) Von der Löschung ausgenommen sind Daten, für die den Anbieter selbst eine gesetzliche Aufbewahrungspflicht trifft. Diese Daten werden gesperrt und ausschließlich zur Erfüllung dieser Pflicht aufbewahrt.

(5) Der Betrieb bleibt für die Erfüllung seiner eigenen Aufbewahrungspflichten verantwortlich. Er wird ausdrücklich darauf hingewiesen, den Datenexport nach Absatz 1 rechtzeitig durchzuführen und sicher zu verwahren.

(1) Für die Haftung der Parteien untereinander gilt Art. 82 DSGVO sowie ergänzend die Haftungsregelung des Hauptvertrags.

(2) Der Betrieb ist dafür verantwortlich, dass die von ihm veranlasste Verarbeitung rechtmäßig ist — insbesondere für das Vorliegen einer Rechtsgrundlage, für die Information der betroffenen Personen und für Einwilligungen, etwa vor einer Bewertungsanfrage.

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Das gilt auch für die Aufhebung dieser Klausel.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor.

(3) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt, was ihrem Zweck am nächsten kommt.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit zulässig, der Sitz des Anbieters.

Dieser Vertrag wird bei der Einrichtung des Betriebs in Textform geschlossen — er gilt nicht allein dadurch, dass diese Seite aufgerufen wird. Der Betrieb erhält den Text mit seinen eigenen Angaben und bestätigt ihn; erst danach werden Kundendaten verarbeitet.

Diese Seite ist ohne Anmeldung erreichbar, damit ein Betrieb sie vor der Entscheidung prüfen kann — auch durch seine eigene Rechtsberatung. Über die Schaltfläche oben lässt sie sich ausdrucken oder als PDF sichern.

Fragen zu diesem Vertrag: christopher.renner@meisterassistent.com

• Datenschutzerklärung — welche Daten der Anbieter als eigener Verantwortlicher verarbeitet (Konto, Anmeldung, Website)
• Allgemeine Geschäftsbedingungen — der Hauptvertrag, den dieser Vertrag konkretisiert
• Impressum — die vollständigen Angaben zum Anbieter