Vereinbarung zur Auftragsverarbeitung
Parteien und Dauer
Auftragnehmerin ist Lirenvalk GmbH, Auftraggeber das im Einzelauftrag bezeichnete Unternehmen. Die Auftragsverarbeitung umfasst die vereinbarte Forschungsleistung während der Vertragsdauer. Anschließend gelten Rückgabe, Löschung und Ablauf der Sicherungen nach den festgelegten Fristen.
Gegenstand
Gegenstand ist die Verarbeitung von Länderkennzahlen für das Ergebnis „Phasenkarte mit Unsicherheit“. Dazu gehören Uploads, Autorenangaben, Nutzerkennungen und Ergebnisse; betroffen sein können Beschäftigte und Geschäftskontakte.
Der Kunde bestimmt die Analyseannahmen, insbesondere Einheiten und relevante Datenstände, und prüft die Berechtigung zur Übermittlung. Sensible personenbezogene Daten gehören nicht zum vereinbarten Eingabeumfang. Die KI-gestützte Extraktion und Erklärung im Vertragsdienst ist vom lokal regelbasierten Browserbeispiel getrennt.
Weisungen und Vertraulichkeit
Die Auftragnehmerin verarbeitet Kundeninhalte ausschließlich nach dokumentierter Weisung für die vereinbarte Analyse. Training mit Kundendaten und eigene Vermarktung dieser Inhalte sind ausgeschlossen. Beschäftigte sind auf Vertraulichkeit zu verpflichten; Zugriffe werden nach Rollen begrenzt.
Ergeben sich Bedenken gegen eine Weisung, setzt die Auftragnehmerin deren Ausführung bis zur Klärung mit dem Kunden aus. Die Auswahl der fachlichen Deutung für das Dossier bleibt beim Kunden.
Unterauftragnehmer
Wolkensteg Rechenzentren GmbH übernimmt Hosting und Sicherungen in Frankfurt. Modellschmiede Inferenz GmbH übernimmt dort die isolierte Inferenz im Mandanten; Kundendaten werden nicht zum Training verwendet.
Änderungen an den Unterauftragnehmern sind dem Kunden 14 Tage vorher mitzuteilen. Begründete Einwände sind mit ihm zu prüfen; dabei sind geeignete Alternativen zu erörtern, statt den Einwand ohne Prüfung zu übergehen.
Unterstützung und Prüfung
Die vereinbarten technischen Maßnahmen und der Löschplan sind Anlagen dieser Vereinbarung. Die Auftragnehmerin unterstützt den Kunden bei Betroffenenrechten, der Bearbeitung von Vorfällen und der Datenschutz-Folgenbewertung und ermöglicht die vereinbarte Einsicht in Unterlagen.
Diese Prüfung ersetzt keine unabhängige Zertifizierung. Eine ISO-27001- oder SOC-2-Zertifizierung wird nicht behauptet.
Vorfälle
Bestätigte Vorfälle sind dem Kunden ohne vermeidbare Verzögerung zu melden. Das interne vertragliche Meldeziel beträgt 24 Stunden nach Bestätigung. Diese Zielvorgabe ersetzt oder bestimmt keine gesetzlichen Meldefristen; der Kunde bewertet seine eigenen Meldepflichten anhand des Vorfalls.
Rückgabe und Löschung
Der Kunde veranlasst den Export benötigter Inhalte vor Vertragsende. Uploads unterliegen einer Frist von 30 Tagen, Ergebnisse von 90 Tagen; Konten sind spätestens 30 Tage nach Vertragsende zu löschen.
Sicherungen laufen innerhalb von 30 Tagen aus. Nach Wiederherstellung sind bestehende Löschmarkierungen erneut anzuwenden. Die Auftragnehmerin stellt ein Löschprotokoll bereit.
Annahme
Die Vereinbarung wird durch Annahme einer bevollmächtigten Person des Kunden und durch Stefan Hartmann wirksam. Die bloße Veröffentlichung dieses Dokuments begründet keinen geschlossenen Einzelvertrag; maßgeblich sind die Annahme und der darin vereinbarte Auftragsumfang.