AVV-Vorlage zum Ausfüllen

PlanKamerad - Vertrag über Auftragsverarbeitung Fassung 1.0 vom 08.10.2026 | Organisationsvorlage, unsigniert

1. Vertragsparteien und Bezug zum Plattformvertrag

Verantwortlicher und Auftraggeber ist die in Anlage 1 bezeichnete Organisation. Auftragsverarbeiter und Auftragnehmer ist Jannik Zyrull, handelnd unter Zyrull Solutions, Friedhofstraße 1, 66578 Schiffweiler, Deutschland. Kontakt: [email protected]. Die Parteien werden in Anlage 1 dem konkreten Auftrag zugeordnet.

Dieser Vertrag ergänzt den in Anlage 1 bezeichneten Plattformvertrag für die Verarbeitung personenbezogener Daten auf Weisung des Auftraggebers durch PlanKamerad. Er gilt gleichermaßen für bezeichnete Vereine, Firmen und andere Organisationen, soweit im konkreten Fall Auftragsverarbeitung vorliegt. Eigene Zwecke des Auftragnehmers außerhalb der Auftragsverarbeitung sind nicht Gegenstand dieses Vertrags und gesondert transparent zu beschreiben.

2. Gegenstand und Dauer

Gegenstand sind die in Anlage 2 beschriebenen Verarbeitungstätigkeiten zur Bereitstellung der vereinbarten PlanKamerad-Funktionen. Anlage 2 bestimmt Art und Zweck der Verarbeitung, Datenarten, betroffene Personengruppen, Dauer und Fristen. Beginn und Ende werden dort eindeutig festgelegt. Pflichten zum Schutz, zur Rückgabe und zur Löschung gelten weiter, solange der Auftragnehmer noch entsprechende Auftragsdaten verarbeitet.

Die Anlagen 1 bis 5 sind Bestandteil dieses Vertrags. Bei Widersprüchen mit dem Plattformvertrag oder AGB gehen die Datenschutzregelungen dieses Vertrags im Umfang der Auftragsverarbeitung vor. Zwingendes Recht bleibt unberührt. Anlagen dürfen keine Pflichten dieses Vertrags stillschweigend aufheben oder nicht vereinbarte zusätzliche Zwecke eröffnen.

3. Verantwortung des Auftraggebers

Der Auftraggeber bestimmt die Zwecke und rechtlich zulässigen Inhalte der beauftragten Verarbeitung. Er verantwortet die für seinen Bereich erforderlichen Rechtsgrundlagen und Informationen an betroffene Personen und erteilt rechtmäßige, nachvollziehbare Weisungen. Die eigene Verantwortung und gesetzlichen Pflichten des Auftragnehmers bleiben bestehen.

Der Auftraggeber benennt weisungsberechtigte Personen und Kontaktwege in Anlage 1. Er informiert den Auftragnehmer über relevante Änderungen dieser Zuordnung und unterstützt bei der Klärung von Rechten und Anfragen.

4. Dokumentierte Weisungen und Zweckbindung

Der Auftragnehmer verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Auftraggebers. Das gilt auch für Offenlegung und Übermittlung an ein Drittland oder eine internationale Organisation. Dieser Vertrag mit seinen Anlagen enthält die anfänglichen Weisungen. Weitere Weisungen werden über die in Anlage 1 bestimmten dokumentierbaren Wege erteilt. Dringende mündliche Weisungen sind zeitnah in dokumentierter Form zu bestätigen.

Soweit Unionsrecht oder das Recht eines Mitgliedstaats den Auftragnehmer zu einer Verarbeitung verpflichtet, informiert er den Auftraggeber vorab über diese Anforderung, sofern das betreffende Recht eine solche Information nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Hält der Auftragnehmer eine Weisung für datenschutzwidrig, informiert er den Auftraggeber unverzüglich. Er führt keine erkennbar rechtswidrige Verarbeitung aus und klärt das weitere Vorgehen mit dem Auftraggeber. Erforderliche Schutzmaßnahmen bleiben möglich und werden dokumentiert.

Eine eigene Verwendung der Auftragsdaten für Werbung, allgemeines KI-Training oder andere nicht beauftragte Zwecke ist durch diesen Vertrag nicht gestattet. Eine zusätzliche KI-Verarbeitung als Funktion setzt einen gesondert geklärten Auftrag mit passenden Anlagen, Anbietern und Rechtsgrundlagen voraus.

Die optionale KI-Unterstützung umfasst nur die im Vertragsblatt beauftragten Modi: Live-Transkription, Aufbereitung eines Transkripts sowie Prüfung und Aufgaben-/Beschlussvorschläge aus ausgewählten gespeicherten Protokolltexten. Bei Live-Transkription wird Mikrofon-Audio während der aktiven Aufnahme vom Endgerät direkt an die OpenAI API übertragen. Erkannter Text wird in PlanKamerad verarbeitet. Diese Funktion ist keine ausschließlich lokale Spracherkennung. Die gesonderte lokale Geräte-Transkription ist ein anderer Modus.

Bei der Textprüfung werden ausgewählte TOP-Texte und Sitzungskontext übermittelt. Dieser umfasst Sitzungstermin, TOP-Kennungen und -Titel, Namen/Funktionen aus dem Personenverzeichnis und vorhandene Aufgaben; Beschlusskontext ist auf die ausgewählten TOP begrenzt. Die Protokolltexte anderer TOP werden diesem Textprüfungsaufruf nicht beigefügt. Bei der Aufbereitung eines Live-Transkripts können hingegen auch vorhandene Protokolltexte derselben Sitzung zum Kontext gehören. Die Modi und ihr Datenumfang müssen vor dem jeweiligen Aufruf erkennbar sein.

Der Einsatz setzt den dokumentierten Auftrag der Organisation, die genehmigten Empfänger und Datenwege sowie rechtmäßige Verarbeitungsvoraussetzungen voraus. Eine Freigabe durch einen einzelnen Nutzer ersetzt weder die Rechtsgrundlage für andere Personen noch die Berechtigung zur Aufnahme nichtöffentlich gesprochener Worte. Vor Aufnahme sind alle Beteiligten über den konkreten Modus, Empfänger und Zweck zu informieren und erforderliche Zustimmungen einzuholen. Eine Aufnahme darf bei fehlender Berechtigung nicht gestartet werden. Der manuelle Editor bleibt der alternative Arbeitsweg.

KI-Ausgaben sind prüfbare Vorschläge. Berechtigte Personen prüfen insbesondere Namen, Zahlen, Negationen, Zuständigkeiten, Beschlüsse und Fristen, bevor sie etwas übernehmen. Die KI entscheidet nicht selbständig über Personen, verbindliche Beschlüsse, Unterschriften oder Protokollfreigaben. Auch eine Aufgaben- oder Beschlussanlage setzt die menschliche Bestätigung voraus. Nicht beauftragtes Modelltraining oder Datensharing ist ausgeschlossen. Das Abschalten einer Aufnahme beendet weitere Audioübertragung; bereits übermittelte Daten werden dadurch nicht rückwirkend zurückgeholt.

5. Vertraulichkeit und Zugriff

Der Auftragnehmer stellt sicher, dass Personen mit Zugriff auf Auftragsdaten zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Sie verarbeiten die Daten nur entsprechend den für sie geltenden Weisungen und Berechtigungen. Die Vertraulichkeit gilt auch nach Ende ihrer Tätigkeit fort.

Zugriffe werden auf den erforderlichen Umfang begrenzt. Ein mandantenübergreifender Betreiberzugriff für notwendigen Betrieb, Wartung oder beauftragten Support wird in Anlage 3 hinsichtlich Anlass, Berechtigungen und Nachweis beschrieben. Die technische Möglichkeit eröffnet keine freie Nutzung sämtlicher Vereinsdaten.

6. Technische und organisatorische Maßnahmen

Der Auftragnehmer setzt geeignete technische und organisatorische Maßnahmen gemäß Artikel 32 DSGVO um. Das Schutzniveau berücksichtigt den Stand der Technik, die Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung und das Risiko für Rechte und Freiheiten betroffener Personen. Die tatsächlich vereinbarten Maßnahmen werden konkret in Anlage 3 beschrieben.

Dazu gehören dem Risiko entsprechend insbesondere Maßnahmen zur Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, zur angemessenen Verschlüsselung oder Pseudonymisierung, zur Wiederherstellung und zur regelmäßigen Bewertung der Wirksamkeit. Unbestätigte Standardbehauptungen ersetzen keine Anlage 3.

Der Auftragnehmer darf Maßnahmen dem technischen Fortschritt anpassen, sofern das vereinbarte Schutzniveau erhalten bleibt. Wesentliche Änderungen werden dokumentiert und dem Auftraggeber mitgeteilt. Eine Absenkung vereinbarter Schutzmaßnahmen bedarf einer rechtlich zulässigen Vereinbarung.

7. Betroffenenrechte

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen nach Möglichkeit bei Anträgen nach Kapitel III DSGVO, insbesondere Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit.

Direkt beim Auftragnehmer eingehende Anträge zu Auftragsdaten werden unverzüglich an den Auftraggeber weitergeleitet. Inhaltliche Antworten erfolgen grundsätzlich nach dessen Weisung, sofern keine gesetzliche eigene Pflicht besteht. Die Identität und Zuständigkeit werden angemessen geprüft, ohne unbefugten Personen Daten offenzulegen. Vorgehen und Ansprechpartner stehen in Anlage 5.

8. Unterstützung bei Datenschutzpflichten

Unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen unterstützt der Auftragnehmer den Auftraggeber bei Pflichten nach Artikeln 32 bis 36 DSGVO. Dies umfasst Sicherheit, Meldung und Behandlung von Datenschutzverletzungen, erforderliche Benachrichtigung betroffener Personen, Datenschutz-Folgenabschätzungen und vorherige Konsultationen.

Notwendige Informationen über die beauftragte Verarbeitung, Maßnahmen, Empfänger und konkrete Datenwege werden bereitgestellt. Organisatorische Absprachen über Unterstützung dürfen eine erforderliche fristgerechte Zusammenarbeit nicht verhindern. Die gesetzlichen Verantwortlichkeiten beider Parteien bleiben bestehen.

9. Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer benachrichtigt den Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes der Auftragsdaten bekannt geworden ist. Eine Meldung wird nicht bis zum Abschluss einer vollständigen Untersuchung verzögert. Bereits verfügbare Angaben werden übermittelt, weitere Informationen folgen ohne unangemessene Verzögerung. Der Kontaktweg steht in Anlage 5.

Die Information umfasst soweit verfügbar Art des Vorfalls, Kategorien und ungefähre Zahl betroffener Personen und Datensätze, Kontakt für Rückfragen, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen zur Behebung und Begrenzung. Der Auftragnehmer dokumentiert den Vorfall, wirkt an der Aufklärung mit und trifft erforderliche Maßnahmen in seinem Verantwortungsbereich.

Meldungen an Aufsichtsbehörden und Benachrichtigungen betroffener Personen werden nach Zuständigkeit koordiniert. Der Auftragnehmer handelt nicht ohne Auftrag im Namen des Auftraggebers; eigene zwingende Meldepflichten bleiben unberührt. Die gesetzliche Meldefrist des Verantwortlichen ist keine erlaubte Wartefrist für die Benachrichtigung durch den Auftragnehmer.

10. Unterauftragsverarbeiter

Der Auftraggeber erteilt eine allgemeine schriftliche Genehmigung für die in der vor Abschluss vollständig freigegebenen Anlage 4 aufgeführten Unterauftragsverarbeiter und die dort bezeichneten Tätigkeiten. Andere als Auftragsverarbeiter tätige Empfänger werden dort nach ihrer tatsächlichen Rolle gekennzeichnet; sie werden durch diese Klausel nicht pauschal zu Unterauftragsverarbeitern erklärt.

Der Auftragnehmer informiert den Auftraggeber vor einer beabsichtigten Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters mit dessen Identität, Tätigkeit, Datenarten, Ländern und gegebenenfalls Transfermechanismus über den vereinbarten Kontaktweg. Die Vorankündigungsfrist beträgt 30 Kalendertage vor Beginn des neuen Verarbeitungseinsatzes.

Der Auftraggeber kann innerhalb der angekündigten Frist begründet widersprechen. Die Parteien klären eine datenschutzgerechte Alternative oder Anpassung des betroffenen Auftrags. Bis zur Klärung wird der widersprochene neue Anbieter nicht für diese Auftragsdaten eingesetzt. Ist keine tragfähige Lösung möglich, regeln die Parteien die Beendigung des betroffenen Leistungsanteils und eine geschützte Datenrückgabe. Eine Datenlöschung als unmittelbare Folge eines Widerspruchs wird nicht vereinbart.

Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter durch einen bindenden Vertrag zu mindestens denselben Datenschutzpflichten im jeweiligen Aufgabenbereich. Er wählt Anbieter mit hinreichenden Garantien aus und bleibt dem Auftraggeber für die Erfüllung der Pflichten seiner Unterauftragsverarbeiter verantwortlich. Er stellt erforderliche Nachweise zur Verfügung; Geschäfts- geheimnisse und Daten anderer Kunden werden angemessen geschützt, ohne notwendige Datenschutzinformationen zurückzuhalten.

11. Internationale Übermittlungen

Verarbeitungsorte und mögliche Fernzugriffe werden in Anlage 4 beschrieben. Übermittlungen außerhalb des EWR werden nur im dokumentierten Auftrag und unter Einhaltung von Kapitel V DSGVO durchgeführt. Die erforderliche Grundlage und gegebenenfalls zusätzliche Schutzmaßnahmen werden je tatsächlichem Empfänger und Datenweg dokumentiert. Dieser AVV allein ersetzt sie nicht.

Eine Zustimmung zur beauftragten Verarbeitung oder zu WhatsApp-Nachrichten ist keine pauschale Freigabe ungeklärter Drittlandübermittlungen. Die bloße Aufnahme eines Anbieters in einen noch offenen Arbeitsentwurf ist keine Genehmigung seines produktiven Einsatzes.

12. Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten nach Artikel 28 DSGVO nachzuweisen. Er ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von diesem beauftragten Prüfer und wirkt mit.

Umfang und Durchführung werden risikogerecht abgestimmt. Planbare Kontrollen erfolgen mit angemessener Vorankündigung und unter Schutz von Geschäftsgeheimnissen, Sicherheit und Daten anderer Kunden. Dringende oder gesetzlich erforderliche Kontrollen dürfen dadurch nicht ausgeschlossen werden. Geeignete aktuelle Prüfberichte können berücksichtigt werden, ersetzen erforderliche Kontrollen aber nicht pauschal. Eine starre Beschränkung auf eine einzige Prüfung pro Jahr wird nicht vereinbart. Der Auftragnehmer informiert über Anweisungen, die seiner Auffassung nach datenschutzrechtliche Vorschriften verletzen.

13. Rückgabe und Löschung

Nach Ende der Verarbeitungsleistungen löscht der Auftragnehmer nach Wahl des Auftraggebers sämtliche Auftragsdaten oder gibt sie zurück und löscht vorhandene Kopien, soweit keine unionsrechtliche oder mitgliedstaatliche Pflicht zur Aufbewahrung besteht. Verfahren, Exportumfang, Formate und Fristen werden vor Abschluss in Anlage 2 und Anlage 5 konkret festgelegt.

Gesetzlich aufzubewahrende Daten werden nach Zweck und Frist begrenzt und nicht für weitere Auftragszwecke verwendet. Verbleibende Sicherungskopien werden entsprechend dem vereinbarten Löschkonzept geschützt, aus der laufenden Nutzung genommen und innerhalb der festgelegten Frist gelöscht. Eine technische Backupfrist schafft keine unbegrenzte Ausnahme von der Löschpflicht. Nach Wiederherstellung sind vorherige Löschungen und Sperren erneut zu berücksichtigen. Unterauftragsverarbeiter und externe Bestände werden in den Ablauf einbezogen. Die Durchführung wird angemessen nachgewiesen.

Die Löschung eines persönlichen Kontos ersetzt keine Weisung zur Löschung sämtlicher Organisationsdaten. Rollen, gemeinsame Inhalte und gesetzliche Pflichten sind beim jeweiligen Löschvorgang zu berücksichtigen.

14. Abschluss und Änderungen

Dieser AVV wird als eigenes konkretes Angebot einschließlich sämtlicher ausgefüllter Anlagen bereitgestellt und durch die erforderlichen befugten Vertreter verbindlich angenommen. Die Annahme kann über den beschriebenen elektronischen Abschlussweg oder durch ein vereinbartes Signaturverfahren erfolgen. Anbieterangebot und Annahmen müssen dasselbe vollständige Exemplar betreffen. Bei gemeinsamer Vertretung gilt der Abschluss erst mit den erforderlichen Erklärungen aller benannten Personen.

Beide Parteien erhalten ein dauerhaft abrufbares Vertragsexemplar mit Nachweis von Version, Parteien, Annahmen und tatsächlichem Abschlusszeitpunkt. Vertragsänderungen werden nachvollziehbar vereinbart und versioniert. Frühere angenommene Exemplare werden nicht überschrieben. Pflichten und Rechte nach zwingendem Datenschutzrecht bleiben unberührt.

ANLAGE 1 - Parteien und Auftrag

Auftraggeber: _________________________________________________ Rechtsform und Anschrift: _______________________________________ Vertreter 1 / Funktion / Befugnis: _________________________________ Vertreter 2 / Funktion / Befugnis, soweit erforderlich: _________________ Vertretungsregel: ______________________________________________ Vertragskontakt / Weisungsberechtigte und E-Mail: ___________________ Datenschutzkontakt / Vorfallkontakt und Ersatzkontakt: ________________ Mandantenkennung / Plattformvertrag / Angebotsnummer: ______________

Auftragnehmer: Jannik Zyrull, handelnd unter Zyrull Solutions, Friedhofstraße 1, 66578 Schiffweiler, Deutschland. Vertrag, Weisungen, Datenschutz und Vorfälle: [email protected]. Telefon: 06821 2973 199. Dringende Vorfälle zunächst per E-Mail und ergänzend telefonisch melden; nur erforderliche Angaben, keine Passwörter oder API-Schlüssel.

Verarbeitung beginnt mit dem vereinbarten Leistungsbeginn: ______________. Sie endet mit Beendigung der beauftragten Leistungen; Pflichten für danach verbleibende Daten gelten bis zur ordnungsgemäßen Rückgabe und Löschung fort. Dokumentversion: 1.0 vom 08.10.2026; kundenspezifischer Anlagenstand: ______.

ANLAGE 2 - Verarbeitung, Personen und Fristen

1. Kernauftrag

Bereitstellung der im Leistungsblatt gewählten Organisationsfunktionen: Erheben, Erfassen, Ordnen, Speichern, Abrufen, Bereitstellen, Übermitteln, Berichtigen, Einschränken, Exportieren und Löschen. Zweck ist die Organisation von Veranstaltungen, Diensten, Aufgaben, Umfragen, Event-Kassen sowie Sitzungen und Protokollen im vereinbarten Umfang. Keine beliebige eigene Datennutzung.

Betroffene Personen: eingeladene Nutzer, Mitglieder, Beschäftigte, Helfer, Organisationsvertreter, Veranstaltungsteilnehmer und in freigegebenen Organisationsunterlagen genannte Personen, soweit der konkrete Auftrag sie betrifft. Daten: Namen und Kontaktangaben, Nutzer-/Mandantenkennungen, Rollen und Berechtigungen, Einteilungen, Verfügbarkeiten, Antworten, Aufgaben, Beleg- und Kasseninformationen, Sitzungsinhalte, Dokumente, technische Sicherheits- und Bearbeitungsnachweise. Nur gewählte Module bestimmen den tatsächlichen Umfang.

2. Optionale Kommunikation und KI

E-Mail: Empfängeradresse, für die beauftragte Nachricht nötiger Inhalt und Versandstatus. WhatsApp: Telefonnummer, Nachricht und ggf. Anhang, Zeitpunkte, Zustell-/Lesestatus und gegebenenfalls Antworten, soweit die Integration sie verarbeitet. Der Datenweg führt über Chatwoot Cloud und WhatsApp Cloud/Meta. Die zentrale Betreibernummer macht die Organisation nicht automatisch zum Vertragspartner von Meta und bestimmt auch nicht allein die Datenschutzrolle.

KI-Textprüfung: ausdrücklich ausgewählte gespeicherte TOP-Texte, Sitzungstermin, TOP-Kennungen/-Titel, Namen/Funktionen aus dem Personenverzeichnis, vorhandene Aufgaben und Beschlusskontext der ausgewählten TOP sowie Anbieterantworten. Andere TOP-Protokolltexte werden im Textprüfungsaufruf nicht mitgesendet. KI-Live: Mikrofon-Audio vom Endgerät direkt an OpenAI, erkannte Textabschnitte zur Verarbeitung in PlanKamerad. Bei nachfolgender Aufbereitung gehen Transkript und Sitzungskontext, gegebenenfalls mit vorhandenen TOP-Protokolltexten, an OpenAI. Übernommene Protokolle/Aufgaben sind von flüchtigen KI-Beständen getrennt.

Beauftragte Modi / erlaubte Rollen / Limits: __________________________. Rechtsgrundlage, Teilnehmerinformation und erforderliche Aufnahmeberechtigung sind vor der Nutzung organisatorisch festzulegen. Die Befugnis eines Nutzers zum Öffnen einer Sitzung ersetzt diese Voraussetzungen nicht.

Besondere Kategorien nach Artikel 9 und Daten nach Artikel 10 DSGVO sind nicht pauschal für die externe KI-Verarbeitung freigegeben. Enthalten Texte oder Sprache solche Angaben, etwa Gesundheitsdaten oder sensible Vereins- zugehörigkeiten, ist der konkrete Umfang mit besonderen Rechtsgrundlagen und Schutzmaßnahmen gesondert zu vereinbaren. Keine biometrische Identifizierung aus Stimmen, keine Beschäftigtenbewertung oder automatisierte Personenentscheidung.

3. Fristen und Rückgabe

Organisationsinhalte: nach dokumentiertem Zweck und Fristen des Auftraggebers; konkrete Inhaltsarten / Dauer / Fristauslöser: __________________________. KI-Transkriptabschnitte, Sitzungsdaten und Vorschläge: Höchstfrist ab Erzeugung und geprüfter Bereinigungsrhythmus: __________________________________. Übernommene Protokolle/Aufgaben: Organisationsfrist, keine automatische Verlängerung der Frist flüchtiger KI-Quelldaten. Technische Sicherheits-/Versandprotokolle: ____________________________. Rückgabeweg, Empfänger, Formate und Frist: ___________________________. Löschfrist nach Ende / nach Wahl des Auftraggebers: ____________________. Sicherungskopien: Zyklus und maximale Restfrist: _______________________. Gesetzlich erforderliche Aufbewahrung: Daten, Norm/Zweck, Frist: __________.

Anbieterbestände und internationale Übermittlungen werden in Anlage 4 konkret zugeordnet. Eine lokale Bereinigungsfrist ist keine Zusage, dass alle Kopien bei OpenAI, Chatwoot, Meta oder in Backups zugleich verschwinden. Diese Fristen müssen vor Angebot vollständig ausgefüllt sein; kein freies Feld wird als unbegrenzte Speicherung oder behauptete Nullspeicherung verstanden.

ANLAGE 3 - Technische und organisatorische Maßnahmen

1. Verbindliches Schutzniveau

Der Auftragnehmer beschränkt Zugriffe auf berechtigte Nutzer und notwendige Betriebs-/Supportpersonen, prüft Mandantenzuordnung serverseitig und schützt Übertragung, Schlüssel und gespeicherte Daten angemessen. Organisationsrollen werden getrennt von Betreiberrechten vergeben. Supportzugriffe erfolgen nur im erforderlichen Umfang und mit nachvollziehbarem Anlass. Vertraulichkeits- verpflichtungen, sichere Zugangsverwaltung und Rechteentzug gehören zum Betrieb.

Aktuelle Betriebsbeschreibung als Bestandteil dieser Anlage: System-/TOM-Version, Produkte und Standorte: __________________________. Betreiberkonten, MFA, Rollenprüfung und Supportnachweis: _________________. Transport-/Speicherverschlüsselung und Schlüsselverwaltung: ______________. Backups, Restfristen, Wiederherstellung und letzte erfolgreiche Probe: _______. Patch-/Schwachstellenverfahren und letzte Wirksamkeitskontrolle: ___________. Protokollumfang, Geheimnisfilter und nachgewiesene Löschläufe: _____________. Notfallvertretung, Vorfallkanal, Wiederanlauf und Löschungen nach Restore: ____.

Diese Beschreibung ist vor Angebot anhand des tatsächlichen Systems auszufüllen. Vorgaben dieses Vertrags sind Verpflichtungen; sie sind keine ungeprüfte Behauptung, dass jede denkbare Maßnahme bereits produktiv aktiviert ist.

2. KI-Schutz

Freigabe je Mandant und Rolle; Begrenzung der aufrufbaren Modi und Kontingente; kurzlebige Live-Zugänge statt Offenlegung des langfristigen API-Schlüssels an die App; authentisierte API-Aufrufe; Schutz der technischen Schlüssel; Begrenzung und sichere Ausgabe von KI-Inhalten; nachvollziehbare menschliche Übernahme; Schutz vor Übernahme veralteter Vorschläge nach Quellenänderung. Aufnahmezustand und Stoppmöglichkeit müssen sichtbar und wirksam sein. Live-Audio wird im untersuchten App-Modus gestreamt und dort nicht als lokale Audiodatei archiviert. Das ist keine Zusage über Speicherung beim Anbieter.

Anbieterprojekt / freigegebene Endpunkte / Region: ______________________. Kontoeinstellungen zu Training/Sharing, Retention und Cache: ______________. Geprüfter effektiver Löschlauf und Fehler-/Retrykopien: ___________________. Keine unberechtigte Inhaltsweitergabe in Support-, Test- oder Diagnosedaten. Provider-Zugriffe, Änderungen und Wirksamkeit werden regelmäßig geprüft.

ANLAGE 4 - Empfänger und Unterauftragsverarbeiter

Nur vollständig zugeordnete, genehmigte Einträge des kundenspezifischen Empfängerblatts gehören zur allgemeinen Genehmigung aus Abschnitt 10. Das interne Anbieterregister 10 ist ein Prüfstand, kein Ersatz dieses Blatts.

Je aktivem Eintrag vor Angebot festhalten: Rechtlicher Name und Anschrift: ____________________________________. Tätigkeit / Rolle / Module / Datenarten: ______________________________. Verarbeitungs- und Zugriffsländer: __________________________________. Vertrags-/DPA-Nachweis und Stand der Weiterverarbeiterliste: ______________. Transfergrundlage je Datenweg und zusätzliche Maßnahmen: _______________. Lösch-/Backupfristen und Betroffenenrechtekontakt: ______________________. Genehmigter Umfang / Beginn / Versionsstand: __________________________.

Für die derzeit vorgesehenen Datenwege sind insbesondere zuzuordnen: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland: Infrastruktur und tatsächlich beauftragte Hosting-/Mail-/Backupdienste. Chatwoot Cloud: tatsächliche Vertragsgesellschaft, Nachrichtenverarbeitung, Speicherung und mögliche Supportzugriffe; Cloudbetrieb ist kein lokales Hosting. WhatsApp Ireland Limited / weitere Meta-Empfänger: tatsächliche WhatsApp-Cloud- Leistungen und Rolle je Verarbeitung; eigene Sicherheits-/Betriebszwecke werden gesondert gekennzeichnet, soweit sie nicht Auftragsverarbeitung sind. OpenAI API: tatsächlicher Kontovertragspartner für Audio-/Textverarbeitung; direkter Endgerät-Audiozugriff und serverseitige Textaufrufe sind beide enthalten. Weitere tatsächlich datenempfangende Mail-, Signatur-, Proxy- oder Speicherdienste werden vor Einsatz zusätzlich erfasst. Ein Markenname allein genügt nicht.

Benachrichtigungs-/Widerspruchskontakt: Kontakt aus Anlage 1. Vorankündigungsfrist: 30 Kalendertage gemäß Abschnitt 10. Die Unterzeichnung genehmigt keine unausgefüllten Empfängereinträge und keine unbekannten internationalen Übermittlungen. Vollständiges Empfängerblatt-ID mit allen tatsächlich eingesetzten Empfängern: _________________________.

ANLAGE 5 - Unterstützung und Beendigung

Weisungen werden über die Kontakte in Anlage 1 angenommen, Auftrag, Identität und Befugnis geprüft und dokumentiert. Anfragen zu Auftragsdaten werden an den Auftraggeber weitergeleitet; erforderliche Nachweise, Datenzugänge und Korrekturen unterstützt der Auftragnehmer. Die Organisation bleibt für ihre inhaltliche Antwort verantwortlich. Eigene gesetzliche Pflichten bleiben bestehen.

Vorfälle: unverzügliche erste Meldung mit verfügbarem Sachstand an die benannten Kontakte, danach zeitnahe Ergänzungen und abgestimmte Abhilfe. Keine Verzögerung bis zum Ende der Untersuchung. Sensible Einzelheiten werden über einen abgestimmten geschützten Kanal geteilt.

Der Auftragnehmer unterstützt erforderliche Datenschutz-Folgenabschätzungen und Konsultationen mit Informationen zu Umfang, Empfängern und Maßnahmen. Audit-Anfragen an [email protected]; Umfang und Zugang werden unter Wahrung der Rechte anderer Kunden abgestimmt. Dringende Kontrollen bleiben möglich.

Nach Ende: Berechtigten Auftrag und Wahl Rückgabe/Löschung bestätigen, Aufträge und neue Übermittlungen stoppen, Daten einschließlich Anhängen, Transkripten, KI-Vorschlägen und externen Kommunikationsbeständen bearbeiten, Zugänge/Token widerrufen, verbliebene Pflichten und Backuprestfristen aus Anlage 2 dokumentieren. Nach Restore wirksame Löschungen/Sperren nachziehen. Externe Löschanfragen mit Anbieter und Datensatz-/Requestbezug dokumentieren, ohne neue unnötige Rohtextkopien anzulegen. Durchführung und verbleibende rechtlich begründete Bestände dem Auftraggeber nachvollziehbar bestätigen.

Persönliche Kontolöschung erfolgt nach Zuständigkeit und dokumentiertem Antrag. Sie ist keine automatische Löschung sämtlicher Organisationsprotokolle. Vertragsabschlussnachweise werden getrennt von Auftragsinhalten aufbewahrt; Rechtsgrundlage, erforderliche Dauer und Zugriff werden im Betreiber-Löschkonzept festgelegt. Unbegrenzt archivierte Inhaltskopien werden nicht vereinbart.

UNTERSCHRIFTEN UND ELEKTRONISCHE ANNAHME

Vertragsnummer und kundenspezifischer Anlagenstand: _____________________. Alle Pflichtangaben und Empfängerblätter gehören vor Annahme zum vollständigen Exemplar. Diese Vorlage ist unsigniert. Bei Portalannahme wird ein gesonderter Nachweis erzeugt; eine gezeichnete Grafik allein bestätigt keine Befugnis.