Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag nach Art. 28 DSGVO wird zwischen der Synaptix GmbH („Auftragsverarbeiter“ oder „Kontinent“) und dem Kunden („Verantwortlicher“) geschlossen. Er wird mit Abschluss der Allgemeinen Nutzungsbedingungen automatisch Bestandteil des Vertragsverhältnisses.

1. Vertragsgegenstand

Im Rahmen der Leistungserbringung nach den Allgemeinen Nutzungsbedingungen für die Kontinent-Plattform („Hauptvertrag“) ist es erforderlich, dass der Auftragsverarbeiter personenbezogene Daten verarbeitet, für die der Verantwortliche als verantwortliche Stelle im Sinne der datenschutzrechtlichen Vorschriften fungiert („Kundendaten“). Dieser Vertrag konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung der Kundendaten zur Durchführung des Hauptvertrags.

2. Umfang der Beauftragung

Der Auftragsverarbeiter verarbeitet die Kundendaten im Auftrag und nach Weisung des Verantwortlichen im Sinne von Art. 28 DSGVO. Der Verantwortliche bleibt Verantwortlicher im datenschutzrechtlichen Sinn.

Die Einzelheiten der Datenverarbeitung, insbesondere die Kategorien personenbezogener Daten und die Zwecke, sind in Anlage 1 spezifiziert.

3. Weisungen des Verantwortlichen

Der Auftragsverarbeiter verarbeitet die Kundendaten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Die Weisungen des Verantwortlichen sind in diesem Vertrag festgelegt. Der Auftragsverarbeiter stellt darüber hinaus Konfigurationsoptionen in der Konsole bereit, über die der Verantwortliche die Verarbeitung anpassen kann – insbesondere die Auswahl zulässiger Modelle und Provider je API-Schlüssel sowie die Beschränkung auf Provider mit vertraglicher Zero-Retention- oder Trainingsausschluss-Zusage. Die Nutzung dieser Konfigurationsoptionen gilt als dokumentierte Weisung im Sinne dieses Vertrags. Darüber hinausgehende Einzelweisungen, die eine Anpassung der Standardleistung erfordern, sind nur verbindlich, soweit sie schriftlich vereinbart und im Hauptvertrag oder einem gesonderten Nachtrag dokumentiert wurden.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass erteilte Weisungen gegen geltende Datenschutzbestimmungen verstoßen.

4. Pflichten des Verantwortlichen

Im Verhältnis der Parteien zueinander ist der Verantwortliche für die Rechtmäßigkeit der erteilten Weisungen und die Zulässigkeit der Verarbeitung allein verantwortlich. Machen Dritte gegen den Auftragsverarbeiter Ansprüche im Zusammenhang mit der Verarbeitung von Kundendaten geltend, stellt der Verantwortliche den Auftragsverarbeiter von solchen Ansprüchen frei, soweit diese auf einem Verstoß des Verantwortlichen gegen diesen Vertrag oder anwendbares Recht beruhen.

Der Verantwortliche teilt dem Auftragsverarbeiter mit, ob er in einem Sektor tätig ist, für den einzelne Provider vertragliche Nutzungsausschlüsse vorsehen (insbesondere Gesundheitsdaten, Zahlungsdaten, Hochrisiko-KI nach Anhang III der KI-Verordnung). Der Auftragsverarbeiter kann die entsprechende Filterung nur auf Grundlage dieser Angabe vornehmen.

Der Verantwortliche unterstützt den Auftragsverarbeiter auf Anforderung in angemessenem Umfang bei der Erfüllung seiner datenschutzrechtlichen Pflichten, insbesondere durch Bereitstellung der erforderlichen Angaben für das Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO sowie bei der Zusammenarbeit mit Aufsichtsbehörden.

5. Sicherheit der Verarbeitung

Der Auftragsverarbeiter wird gemäß Art. 32 DSGVO geeignete technische und organisatorische Maßnahmen ergreifen, die unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der betroffenen Personen erforderlich sind.

Die Parteien vereinbaren die in Anlage 3 aufgeführten Maßnahmen als zum Zeitpunkt des Vertragsschlusses angemessenes Schutzniveau. Dem Auftragsverarbeiter ist es gestattet, diese Maßnahmen während der Laufzeit zu ändern oder anzupassen, solange sie weiterhin den gesetzlichen Anforderungen genügen und das insgesamt festgelegte Schutzniveau nicht unterschritten wird.

6. Anforderungen an Personal

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der Kundendaten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

7. Einsatz von Unterauftragsverarbeitern

Der Verantwortliche erteilt dem Auftragsverarbeiter hiermit die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter ergeben sich aus Anlage 2.

Der Auftragsverarbeiter informiert über beabsichtigte Änderungen dieser Liste mindestens 14 Tage vor dem geplanten Einsatz. Die Information erfolgt durch Veröffentlichung im Trust Center sowie per E-Mail an die hinterlegte Administratoradresse. Der Verantwortliche ist berechtigt, der Änderung innerhalb von 14 Tagen nach Veröffentlichung aus konkreten datenschutzrechtlichen Gründen schriftlich zu widersprechen. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt. Im Fall eines rechtzeitigen und begründeten Widerspruchs bemühen sich die Parteien um eine einvernehmliche Lösung. Gelingt dies nicht innerhalb von 14 Tagen, ist jede Partei berechtigt, den Hauptvertrag und diesen Vertrag mit einer Frist von 30 Tagen zu kündigen.

Provider als Unterauftragsverarbeiter. Die Inferenz-Provider sind Unterauftragsverarbeiter im Sinne dieses Vertrags. Der Verantwortliche steuert über die Konfiguration seiner API-Schlüssel und Routing-Regeln selbst, welche Provider tatsächlich eingesetzt werden. Provider, die der Verantwortliche nicht freigegeben hat, erhalten keine Kundendaten.

Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich zur Einhaltung von Datenschutzpflichten, die dem Schutzniveau dieses Vertrags entsprechen (Art. 28 Abs. 4 DSGVO), und bleibt gegenüber dem Verantwortlichen dafür verantwortlich, dass diese ihren Pflichten nachkommen.

8. Internationale Datenübermittlungen

Die Verarbeitung der Kundendaten findet ausschließlich innerhalb der Europäischen Union oder eines Vertragsstaats des Abkommens über den Europäischen Wirtschaftsraum statt.

Keine Drittlandübermittlung von Inhalten. Anders als bei vergleichbaren Diensten besteht keine Konfigurationsmöglichkeit, über die der Verantwortliche eine Verarbeitung von Prompts oder Outputs außerhalb der EU auslösen könnte. Modelle ohne zugesicherte EU-Verarbeitung werden nicht angebunden. Eine Übermittlung von Kundeninhalten in ein Drittland findet daher nicht statt.

Soweit einzelne Unterauftragsverarbeiter einer Konzernmutter außerhalb der EU angehören (siehe Anlage 2), stellt der Auftragsverarbeiter sicher, dass ein geeignetes Instrument zur Gewährleistung eines angemessenen Schutzniveaus im Sinne von Art. 44 ff. DSGVO vorliegt, insbesondere durch die Vereinbarung von Standardvertragsklauseln gemäß Art. 46 DSGVO nach dem jeweils geltenden Muster der Europäischen Kommission.

9. Rechte der betroffenen Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen durch geeignete technische und organisatorische Maßnahmen im Rahmen des Zumutbaren dabei, seiner Pflicht zur Beantwortung von Anfragen betroffener Personen nachzukommen.

Der Verantwortliche weist den Auftragsverarbeiter hiermit an, Anfragen betroffener Personen auf (a) Berichtigung von Account- oder Profildaten sowie (b) Deaktivierung oder Löschung des Nutzerkontos und der ausschließlich diesem zugeordneten Daten eigenständig umzusetzen, wenn sie direkt beim Auftragsverarbeiter eingehen und die Identität mit angemessenen Mitteln verifiziert wurde.

Geht eine Anfrage ein, die nicht eigenständig bearbeitet wird, leitet der Auftragsverarbeiter sie unverzüglich an den Verantwortlichen weiter und unterstützt ihn auf Anfrage bei der Erfüllung seiner Pflichten.

Hinweis zur Datenminimierung. Da Prompts und Outputs nicht dauerhaft gespeichert werden (Ziff. 9 des Hauptvertrags), beziehen sich Auskunfts-, Berichtigungs- und Löschansprüche gegenüber dem Auftragsverarbeiter nur auf Stammdaten des Nutzerkontos und Abrechnungsmetadaten.

10. Mitteilungs- und Unterstützungspflichten

Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter diese dem Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 48 Stunden, nachdem ihm die Verletzung bekannt wurde. Die Mitteilung erfolgt auf Grundlage der zu diesem Zeitpunkt verfügbaren Informationen; weitere relevante Informationen werden ohne unangemessene Verzögerung nachgereicht.

Der Auftragsverarbeiter unterstützt den Verantwortlichen auf Anfrage bei der Erfüllung etwaiger Melde- und Benachrichtigungspflichten nach der DSGVO sowie bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen von Aufsichtsbehörden, soweit erforderlich und zumutbar. Die rechtliche Prüfung, ob eine Melde- oder Benachrichtigungspflicht besteht, obliegt dem Verantwortlichen. Verursacht die Unterstützung einen wesentlichen Mehraufwand, vereinbaren die Parteien vorab eine angemessene Vergütung.

11. Datenlöschung

Der Auftragsverarbeiter löscht die Kundendaten spätestens 30 Tage nach Beendigung des Hauptvertrags, sofern keine gesetzliche Aufbewahrungspflicht besteht, und bestätigt die Löschung auf Anfrage.

Der Verantwortliche hat während der Laufzeit sowie bis zur Löschung die Möglichkeit, seine Daten zu exportieren. Der Auftragsverarbeiter stellt hierfür auf Anfrage Exportfunktionen bereit.

Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Verarbeitung oder der Erfüllung gesetzlicher Aufbewahrungspflichten dienen – insbesondere Abrechnungsdaten – darf der Auftragsverarbeiter auch nach Vertragsende aufbewahren.

12. Nachweise und Überprüfungen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anforderung alle vorhandenen Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten nach diesem Vertrag und Art. 28 DSGVO erforderlich sind.

Der Nachweis erfolgt in der Regel durch Vorlage eines geeigneten, aktuellen Testats oder Berichts einer unabhängigen Instanz (z.B. ISO 27001, SOC 2 Type II). Ergänzend stellt der Auftragsverarbeiter im Compliance Index für jeden eingesetzten Provider die geprüften Datenschutzzusagen mit Belegstelle und Prüfdatum öffentlich bereit.

Legt der Verantwortliche einen konkreten und begründeten Verdacht auf einen Verstoß dar oder ermöglichen die bereitgestellten Nachweise im Einzelfall keine angemessene Überprüfung, ist er berechtigt, Inspektionen durchzuführen. Diese erfolgen unter angemessener Berücksichtigung der berechtigten Belange des Auftragsverarbeiters und vorrangig durch schriftliche Auskünfte oder Remote-Prüfungen.

Inspektionen sind nur während der üblichen Geschäftszeiten und nach angemessener Vorankündigung zulässig und dürfen die Betriebsabläufe nicht unangemessen beeinträchtigen. Der Auftragsverarbeiter ist berechtigt, die Offenlegung von Informationen zu beschränken, soweit dies zur Wahrung der Vertraulichkeit von Daten anderer Kunden, von Sicherheitsanforderungen sowie berechtigter Betriebs- und Geschäftsgeheimnisse erforderlich ist. Ein vom Verantwortlichen beauftragter Dritter darf kein Wettbewerber sein und ist vorab schriftlich zur Vertraulichkeit zu verpflichten.

13. Haftung

Im Verhältnis der Parteien zueinander gelten die Haftungsregelungen des Hauptvertrags entsprechend, einschließlich der Haftungsausschlüsse und -begrenzungen. Die zwingenden gesetzlichen Haftungsregelungen in Art. 82 DSGVO bleiben unberührt.

14. Vertragsdauer und Kündigung

Laufzeit und Kündigung richten sich nach den Bestimmungen des Hauptvertrags. Die Kündigung des Hauptvertrags bewirkt automatisch auch eine Kündigung dieses Vertrags; dieser gilt jedoch bis zum Abschluss der Löschung der Kundendaten fort. Eine isolierte Kündigung dieses Vertrages ist ausgeschlossen.

15. Schlussbestimmungen

Sollten einzelne Bestimmungen unwirksam sein oder werden oder eine Lücke enthalten, bleiben die übrigen Bestimmungen unberührt. Die Parteien verpflichten sich, anstelle der unwirksamen Regelung eine gesetzlich zulässige Regelung zu treffen, die dem Zweck am nächsten kommt und den Anforderungen des Art. 28 DSGVO genügt.

Soweit hier nichts Abweichendes geregelt ist, gelten die Bestimmungen des Hauptvertrags entsprechend, insbesondere hinsichtlich des anwendbaren Rechts und des Gerichtsstands. Im Fall von Widersprüchen gehen die Regelungen dieses Vertrags vor.

Nur die deutsche Fassung dieses Vertrages ist bindend.

Anlage 1 – Zweck, Art und Umfang der Datenverarbeitung

Zweck: Bereitstellung der Kontinent-Plattform zur Nutzung von KI-Modellen gemäß Hauptvertrag.

Art und Umfang:

• Nutzerstammdaten: Namen, E-Mail-Adressen, Rolle und Authentifizierungsdaten der Nutzer der Konsole
• Inhaltsdaten: Prompts und Outputs, die über die API übermittelt werden. Diese werden ausschließlich transient zur Weiterleitung an den vom Verantwortlichen freigegebenen Provider verarbeitet und nicht dauerhaft gespeichert.
• Konfigurationsdaten: Bezeichnungen von API-Schlüsseln, Routing-Regeln und Richtlinien (soweit darin personenbezogene Daten enthalten sind)
• Abrechnungs- und Nutzungsdaten:je Anfrage Zeitstempel, angefragtes und ausliefernde­s Modell, Provider, Token-Zahlen, Kosten, Status, Latenz, Routing-Verlauf mit Ablehnungsgrund, verwendeter API-Schlüssel sowie eine vom Kunden optional übermittelte Endnutzer-Kennung (Feld „user“ der API)

Kategorien betroffener Personen: Mitarbeiter und sonstige Nutzer des Verantwortlichen, die Zugang zur Konsole erhalten; Dritte, deren personenbezogene Daten der Verantwortliche über Prompts in die Plattform einbringt.

Anlage 2 – Unterauftragsverarbeiter

Infrastruktur und Betrieb

Inferenz-Provider– eingesetzt nur, soweit der Verantwortliche sie in seiner Konfiguration freigegeben hat; Provider, die der Verantwortliche nicht freigegeben hat, erhalten keine Kundendaten. Art der Daten ist bei allen Inferenz-Providern gleich: Inhaltsdaten (Prompts und Outputs), ausschließlich transient zur Erbringung der Inferenz. Sämtliche Provider erbringen die Inferenz in der Europäischen Union.

Die jeweils aktuelle Fassung dieser Liste mit den geprüften Datenschutzzusagen und Belegstellen je Provider ist im Compliance Index abrufbar und Bestandteil dieser Anlage. Bei Providern, deren Rechtsträger in der EU sitzt, deren Konzernmutter aber außerhalb der EU liegt, sind die EU-Standardvertragsklauseln Bestandteil des jeweiligen Auftragsverarbeitungsvertrags; die Verarbeitung der Kundeninhalte findet auch bei diesen Providern ausschließlich in EU-Regionen statt.

Anlage 3 – Technische und organisatorische Maßnahmen

Die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO sind im Trust Center beschrieben und in der dort abrufbaren Fassung Bestandteil dieses Vertrags. Sie umfassen insbesondere Verschlüsselung bei Übertragung und Speicherung, rollenbasierte Zugriffskontrolle für administrative Zugriffe des Auftragsverarbeiters, Mandantentrennung, Protokollierung administrativer Aktionen in einem Audit-Log, regelmäßige Sicherheitsüberprüfungen sowie einen dokumentierten Prozess zur Behandlung von Sicherheitsvorfällen.

Als datenschutzfreundliche Voreinstellung im Sinne von Art. 25 DSGVO speichert die Plattform keine Prompts und Outputs. Der Verantwortliche kann darüber hinaus die Nutzung auf Provider mit vertraglicher Zero-Retention- oder Trainingsausschluss-Zusage beschränken.