Vereinbarung zur Auftragsverarbeitung
Parteien und Dauer
Auftragnehmerin ist Droskalen UG (haftungsbeschränkt); Auftraggeber ist das im Einzelauftrag bezeichnete Unternehmen. Die Verarbeitung im Kundenarbeitsbereich erfolgt während der Vertragsdauer nach dessen Weisungen. Nach Ende gelten Rückgabe und Löschung nach den vereinbarten Fristen; die lokale Berechnung auf der Informationswebsite ist davon getrennt.
Gegenstand
Gegenstand der Verarbeitung ist der Quellenkatalog; daraus entsteht das Abdeckungspanel nach den vom Kunden bestätigten Definitionen von Quelle, Dublette und Lücke. Verarbeitet werden Uploads, Autorenangaben, Nutzerkennungen und Ergebnisse; betroffene Personen sind Beschäftigte und Geschäftskontakte.
KI-Extraktion und Erklärung unterstützen die vereinbarte Analyse, ersetzen aber keine Prüfung der Quellenqualität. Mehrdeutige Zuordnungen bleiben zur Entscheidung des Kunden offen. Sensible personenbezogene Daten sind nicht Teil des vereinbarten Eingabeumfangs und dürfen nicht übermittelt werden.
Weisungen und Vertraulichkeit
Die Auftragnehmerin verarbeitet Kundeninhalte ausschließlich nach dokumentierter Weisung für die vereinbarte Analyse. Sie verwendet sie weder zum Modelltraining noch zur eigenen Vermarktung. Der Kunde verantwortet zulässige Eingaben und die Festlegung der Abdeckungsregeln.
Personal ist zur Vertraulichkeit zu verpflichten; Zugriffe sind auf die jeweilige Rolle zu begrenzen. Problematische Weisungen werden bis zur Klärung ausgesetzt. Unklare Quellenidentitäten dürfen nicht ohne Kundenentscheidung zusammengeführt werden.
Unterauftragnehmer
Für Hosting und Sicherungen wird Wolkensteg Rechenzentren GmbH in Frankfurt eingesetzt. Modellschmiede Inferenz GmbH in Frankfurt übernimmt isolierte Inferenz im Mandanten ohne Training mit Kundendaten. Die Auftragnehmerin teilt Änderungen der Unterauftragnehmer 14 Tage vorher mit und prüft begründete Einwände des Kunden sowie mögliche Alternativen.
Unterstützung und Prüfung
Die vereinbarten technischen Maßnahmen und der Löschplan sind Anlagen zur Auftragsverarbeitung. Die Auftragnehmerin unterstützt den Kunden bei Rechteanfragen, Vorfällen und Datenschutz-Folgenbewertungen und ermöglicht die vereinbarte Einsicht in einschlägige Unterlagen.
Die beschriebenen Maßnahmen sind kein unabhängiger Zertifizierungsnachweis. Eine ISO-27001- oder SOC-2-Zertifizierung wird nicht behauptet; aus den Unterlagen folgt auch keine Garantie für einen Wiederherstellungszeitraum.
Vorfälle
Bestätigte Datenschutzvorfälle sind dem Auftraggeber ohne vermeidbare Verzögerung zu melden, damit er Auswirkungen und erforderliche Schritte beurteilen kann. Das interne vertragliche Meldeziel beträgt 24 Stunden nach Bestätigung. Dieses Ziel ersetzt oder bestimmt keine gesetzlichen Meldefristen.
Rückgabe und Löschung
Der Auftraggeber hat benötigte Inhalte vor Vertragsende zu exportieren. Für Uploads gilt die Löschfrist von 30 Tagen, für Ergebnisse von 180 Tagen; Kontodaten sind spätestens 30 Tage nach Vertragsende zu löschen.
Sicherungen laufen nach spätestens 14 Tagen aus. Bei Wiederherstellung sind vorhandene Löschmarkierungen erneut anzuwenden. Die Auftragnehmerin stellt ein Löschprotokoll bereit; der Kunde prüft zuvor, welche Exporte er für seine Forschung benötigt.
Annahme
Die Vereinbarung wird durch Annahme der bevollmächtigten Kundenperson und Henrik Vogelsang wirksam. Die Kundenperson muss zur Beauftragung und zur Erteilung der Verarbeitungsweisungen befugt sein. Die Veröffentlichung dieser Bedingungen allein schließt keinen Einzelvertrag und ersetzt die erforderliche Annahme nicht.