Vertrag zur Verarbeitung von Daten

1. Einleitung und Geltungsbereich

Dieser Vertrag über die Auftragsverarbeitung personenbezogener Daten (im Folgenden „Vertrag“) regelt die Rechte und Pflichten zwischen der Simple Tools GmbH, Mühlweg 2a, 85614 Kirchseeon (im Folgenden „Auftragnehmer“) und dem jeweiligen Kunden (im Folgenden „Auftraggeber“).

Der Auftragnehmer übernimmt die Verarbeitung personenbezogener Daten im Auftrag des Auftraggebers, insbesondere durch die Bereitstellung und Nutzung der Plattform „Mika“. Die Verarbeitung erfolgt gemäß den Bestimmungen der DSGVO sowie den vertraglich festgelegten Anweisungen des Auftraggebers.

Ziel dieses Vertrages ist es, den Schutz der verarbeiteten personenbezogenen Daten sicherzustellen und eine rechtskonforme Verarbeitung zu gewährleisten.

Der Auftragnehmer behält sich das Recht vor, den Vertrag im Falle von technischen oder rechtlichen Änderungen anzupassen, um die Einhaltung der DSGVO und andere Anforderungen zu gewährleisten.

Soweit Regelungen dieses Vertrages von den AGB abweichen und die Verarbeitung personenbezogener Daten betreffen, gehen die Regelungen dieses Vertrages vor.

Die Verarbeitung erfolgt ausschließlich über die Azure OpenAI Services in europäischen Rechenzentren. Der Auftraggeber kann die gewünschte Datenschutzzone wählen (Schweden, Norwegen, Frankreich oder Schweiz). Die Wahl wird projekt- bzw. agentenbezogen dokumentiert und gilt bis zur Änderung durch den Auftraggeber.

2. Gegenstand und Dauer der Verarbeitung

Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Nutzung der Plattform „Mika“. Diese Datenverarbeitung umfasst unter anderem die Verarbeitung von Texten, hochgeladenen Dokumenten, die (optionale) pseudonymisierte Verarbeitung sowie die Nutzung der KI-Assistenten zur Generierung von Antworten.

Die Verarbeitung erfolgt für die Dauer des Vertragsverhältnisses zwischen Auftraggeber und Auftragnehmer oder bis zur Kündigung durch eine der Parteien.

3. Art und Zweck der Verarbeitung

Die Verarbeitung der personenbezogenen Daten durch den Auftragnehmer umfasst insbesondere folgende Arten der Verarbeitung:

Der Zweck der Verarbeitung besteht darin, dem Auftraggeber die Nutzung der Plattform zur Erstellung, Verwaltung und Verbesserung von KI-Assistenten zu ermöglichen.

4. Kategorien betroffener Personen

Von der Verarbeitung betroffen sind insbesondere:

5. Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich, personenbezogene Daten ausschließlich gemäß den dokumentierten Weisungen des Auftraggebers und den geltenden Datenschutzgesetzen zu verarbeiten. Eine Nutzung zu eigenen Zwecken ist untersagt.

Weisungen des Auftraggebers werden mindestens in Textform erteilt (z. B. per E-Mail oder über die Plattform) und sind zu dokumentieren. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt.

Der Auftragnehmer stellt sicher, dass alle zur Verarbeitung eingesetzten Personen mit den Datenschutzbestimmungen vertraut sind und sich zur Vertraulichkeit verpflichtet haben.

Der Auftragnehmer stellt einen Strukturfilter bereit, der projektbezogen eingesetzt werden kann, um typische personenbezogene Strukturen zu minimieren. Die Aktivierung und Pflege des Pseudonymisierungsfilters obliegt dem Auftraggeber. Wird dieser aktiviert, sorgt der Auftragnehmer für die technisch ordnungsgemäße Anwendung innerhalb der Plattform.

Die Verantwortung für die Rechtmäßigkeit der Verarbeitung sowie für die Qualität der übermittelten Daten liegt beim Auftraggeber bis zur erfolgreichen und fehlerfreien Übermittlung an die Plattform.

6. Sicherheitsmaßnahmen

Der Auftragnehmer verpflichtet sich, geeignete technische und organisatorische Maßnahmen zum Schutz der personenbezogenen Daten umzusetzen. Diese Maßnahmen umfassen, aber sind nicht beschränkt auf:

Die Sicherheitsmaßnahmen können an technische Entwicklungen angepasst werden, ohne das vereinbarte Schutzniveau zu unterschreiten.

7. Partnerschaften und Weitergabe der Daten

Der Auftragnehmer ist berechtigt, zur Erbringung der vertraglich geschuldeten Leistungen externe Partner (Unterauftragsverarbeiter) einzusetzen, z. B. Anbieter von KI-Diensten oder Hosting-Infrastruktur.

Die Verarbeitung personenbezogener Daten durch diese Partner erfolgt auf Basis geeigneter vertraglicher Vereinbarungen gemäß Art. 28 DSGVO. Die Verarbeitung personenbezogener Daten erfolgt ausschließlich über die Azure OpenAI Services in europäischen Rechenzentren. Der Auftraggeber wählt die gewünschte Datenschutzzone (Schweden, Norwegen, Frankreich oder Schweiz). Alle verfügbaren Zonen befinden sich innerhalb der EU, des EWR bzw. verfügen über einen Angemessenheitsbeschluss der EU-Kommission. Es findet keine Übermittlung personenbezogener Daten in Drittländer statt.

Der Auftragnehmer bleibt gegenüber dem Auftraggeber für die ordnungsgemäße Datenverarbeitung durch Unterauftragsverarbeiter verantwortlich.

8. Unterauftragsverarbeiter

Der Auftragnehmer ist berechtigt, zur Erbringung der vertraglich geschuldeten Leistungen Unterauftragsverarbeiter einzusetzen.

Der Auftragnehmer stellt sicher, dass mit Unterauftragsverarbeitern im Sinne des Art. 28 DSGVO entsprechende Auftragsverarbeitungsverträge abgeschlossen wurden.

Eine aktuelle Übersicht der eingesetzten Unterauftragsverarbeiter ist in der Datenschutzerklärung des Auftragnehmers abrufbar.

9. Rechte und Pflichten des Auftraggebers

Der Auftraggeber ist dafür verantwortlich, die erforderlichen Rechtsgrundlagen (z. B. Einwilligungen, Verträge) für die Verarbeitung einzuholen. Er trägt die Verantwortung für die Einhaltung der datenschutzrechtlichen Bestimmungen bei Erhebung, Verarbeitung und Nutzung der Daten.

Der Auftraggeber ist zudem verantwortlich für die Pflege und Vollständigkeit des Pseudonymisierungsfilters sowie für die korrekte Nutzung der bereitgestellten Datenschutzfunktionen.

Der Auftraggeber ist für die Bearbeitung von Betroffenenanfragen (z. B. Auskunft, Löschung) verantwortlich. Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung dieser Pflichten in angemessenem Umfang und gegen Vergütung, sofern der Aufwand über die vertraglich vereinbarten Leistungen hinausgeht.

Eine Prüfung der Einhaltung der datenschutzrechtlichen Vorschriften und der vertraglich vereinbarten Maßnahmen erfolgt im Rahmen der zwischen den Parteien abgestimmten Prozesse. Ein direkter Systemzugriff des Auftraggebers ist nicht vorgesehen.

10. Meldepflichten

Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Ansicht ist, dass eine Weisung gegen geltende Datenschutzbestimmungen verstößt.

Bei einer Verletzung des Schutzes personenbezogener Daten oder einem anderen Datenschutzvorfall benachrichtigt der Auftragnehmer den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntnisnahme. Ergänzende Informationen werden nachgereicht, sobald sie verfügbar sind.

11. Beendigung des Vertrags

Bei Beendigung des Auftragsverhältnisses hat der Auftragnehmer alle im Auftrag verarbeiteten personenbezogenen Daten entweder zu löschen oder dem Auftraggeber – nach dessen Wahl – herauszugeben. Dies gilt auch für etwaige Kopien.

Der Auftragnehmer ist verpflichtet, dem Auftraggeber auf Verlangen den Nachweis der ordnungsgemäßen Löschung oder Rückgabe der Daten zu erbringen.

Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, werden mindestens drei Jahre nach Vertragsbeendigung aufbewahrt.

Zusätzliche Arbeiten im Zusammenhang mit der Löschung oder Rückgabe von Daten, die über die vertraglich vorgesehenen Maßnahmen hinausgehen, können nach vorheriger Abstimmung und Zustimmung des Auftraggebers gesondert vergütet werden.

12. Haftung und Vertragsstrafe

Der Auftragnehmer haftet im Rahmen der gesetzlichen Bestimmungen. Er haftet nicht für Schäden, die aus Handlungen, Vorschlägen oder Empfehlungen der KI-Assistenten resultieren. Der Auftraggeber ist verpflichtet, die Ergebnisse der KI-Assistenten vor Nutzung zu prüfen.

Eine Vertragsstrafe wird nur im Falle eines nachweislichen Verstoßes gegen wesentliche Pflichten dieses Vertrages und im gesetzlich zulässigen Rahmen fällig.

Im Übrigen gelten die Haftungsregelungen der AGB, soweit sie diesem Vertrag nicht widersprechen.

13. Sonstiges

Beide Parteien sind verpflichtet, alle im Rahmen dieses Vertragsverhältnisses erlangten Informationen vertraulich zu behandeln, auch nach Beendigung des Vertrags. Dies gilt insbesondere für Geschäftsgeheimnisse und datenschutzrelevante Informationen.

Nebenabreden zu diesem Vertrag bedürfen der Textform.

Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen Bestimmung gilt diejenige, die dem wirtschaftlichen Zweck am nächsten kommt.

Anlage 1 – Technische und organisatorische Maßnahmen (TOMs)

Stand: 20.04.2026

Diese Maßnahmen beschreiben, wie der Auftragnehmer personenbezogene Daten nach Art. 32 DSGVO schützt. Sie gelten für die Verarbeitung auf der Plattform „Mika“. Die gewählten Rechenzentren liegen innerhalb der EU, des EWR bzw. der Schweiz.

1. Vertraulichkeit

1.1 Zutrittskontrolle (physischer Zugang zu Servern)

1.2 Zugangskontrolle (Schutz vor unbefugter Nutzung)

1.3 Zugriffskontrolle (Rechte innerhalb der Anwendung)

1.4 Weitergabekontrolle (Schutz bei Datenübertragung)

1.5 Trennungskontrolle

2. Integrität

2.1 Eingabekontrolle

2.2 Datenintegrität

3. Verfügbarkeit & Belastbarkeit

3.1 Verfügbarkeit

3.2 Belastbarkeit

3.3 Wiederherstellbarkeit

4. Pseudonymisierung & Datenminimierung

5. Verfahren zur regelmäßigen Überprüfung

6. Datentrennung

7. Verschlüsselung

8. Löschkonzept