Auftragsverarbeitungsvertrag (AVV)

Gemäß Art. 28 DSGVO

Dieser AVV wird als Ergänzung zum Hauptvertrag zwischen Struqt AI und dem Auftraggeber abgeschlossen, sobald im Rahmen der Leistungserbringung personenbezogene Daten des Auftraggebers oder seiner Kunden verarbeitet werden. Für Ihr individuelles AVV-Dokument kontaktieren Sie uns unter struqt.ai@outlook.de.

1. Vertragsparteien

Verantwortlicher (Auftraggeber):

Name und Anschrift des Auftraggebers

Auftragsverarbeiter:

Struqt AI — Firmenname / Rechtsform, Adresse

2. Gegenstand und Dauer der Verarbeitung

Gegenstand der Auftragsverarbeitung ist die Erbringung von KI-Entwicklungs- und Automatisierungsleistungen gemäß dem Hauptvertrag. Die Verarbeitung personenbezogener Daten erfolgt ausschließlich im Rahmen und für den Zweck dieser Leistungen.

Die Dauer der Auftragsverarbeitung entspricht der Laufzeit des Hauptvertrags.

3. Art und Zweck der Verarbeitung

Die Verarbeitung personenbezogener Daten erfolgt zum Zweck der vertraglich vereinbarten Leistungserbringung, insbesondere:

Entwicklung und Betrieb von KI-Systemen und Automatisierungslösungen
Integration in bestehende Systeme des Auftraggebers
Analyse und Optimierung von Geschäftsprozessen
Technischer Support und Wartung der implementierten Lösungen

4. Art der personenbezogenen Daten

Je nach Projektgegenstand können folgende Datenkategorien betroffen sein:

Kontaktdaten (Name, E-Mail, Telefon)
Kommunikationsdaten (E-Mails, Chat-Nachrichten)
Transaktionsdaten (Bestellungen, Verträge)
Nutzungsdaten (Log-Dateien, Interaktionsdaten)

Die konkreten Datenkategorien werden im jeweiligen Projektvertrag spezifiziert.

5. Kreis der betroffenen Personen

Betroffen sein können Kunden, Interessenten, Mitarbeiter und Geschäftspartner des Auftraggebers, soweit deren Daten im Rahmen der Leistungserbringung verarbeitet werden.

6. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich insbesondere:

Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten
Zur Vertraulichkeit verpflichtete Personen mit der Verarbeitung zu betrauen
Alle erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO zu ergreifen
Weitere Auftragsverarbeiter nur mit vorheriger schriftlicher Genehmigung einzusetzen
Den Verantwortlichen bei der Erfüllung von Betroffenenrechten zu unterstützen
Nach Abschluss der Leistungen alle personenbezogenen Daten zu löschen oder zurückzugeben
Dem Verantwortlichen alle erforderlichen Informationen zur Verfügung zu stellen

7. Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter hat folgende Maßnahmen zum Schutz personenbezogener Daten implementiert:

Zutrittskontrolle: Verarbeitung ausschließlich auf gesicherten Systemen mit Zugangskontrolle
Zugangskontrolle: Passwortschutz, Zwei-Faktor-Authentifizierung für alle Systeme
Zugriffskontrolle: Need-to-know-Prinzip, rollenbasierte Zugriffsrechte
Weitergabekontrolle: Verschlüsselte Übertragung (TLS 1.3), keine unverschlüsselte Übermittlung
Eingabekontrolle: Protokollierung von Datenzugriffen und -änderungen
Verfügbarkeitskontrolle: Regelmäßige Backups, Notfallplan
Trennungsgebot: Mandantentrennung, keine Vermischung von Kundendaten

Alle Daten werden ausschließlich auf Servern innerhalb der EU verarbeitet und gespeichert.

8. Unterauftragsverarbeiter

Der Auftragsverarbeiter setzt folgende Unterauftragsverarbeiter ein, denen gegenüber gleichwertige Datenschutzverpflichtungen bestehen:

Liste der eingesetzten Unterauftragsverarbeiter (z.B. Cloud-Anbieter, KI-API-Anbieter) — vor Go-live ausfüllen

Der Verantwortliche wird über Änderungen des Unterauftragsverarbeiterkreises informiert und hat das Recht, Änderungen zu widersprechen.

9. Schlussbestimmungen

Dieser Vertrag unterliegt dem Recht der Bundesrepublik Deutschland. Für Streitigkeiten gilt der im Hauptvertrag vereinbarte Gerichtsstand.

Im Falle von Widersprüchen zwischen diesem AVV und dem Hauptvertrag hat dieser AVV in Bezug auf datenschutzrechtliche Fragen Vorrang.