Vertrag zur Auftragsverarbeitung

§ 1 Parteien und Geltung

1.1 Dieser Vertrag gilt zwischen dem Kunden von ARGONAUT OS (nachfolgend „Verantwortlicher") und Gaspar AI Consulting, Martin Gaspar, Tübinger Straße 50, 71032 Böblingen (nachfolgend „Auftragsverarbeiter").

1.2 Er ist Bestandteil des Vertrags über die Nutzung von ARGONAUT OS (Hauptvertrag, AGB § 11.3) und gilt auch für einen kostenlosen Pilotzugang ab dessen Freischaltung (AGB § 2a.4). Bei Widersprüchen zum Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor.

§ 2 Gegenstand, Dauer, Art und Zweck der Verarbeitung

2.1 Gegenstand ist die Bereitstellung von ARGONAUT OS als Software-as-a-Service. Der Auftragsverarbeiter speichert und verarbeitet dabei die Daten, die der Verantwortliche und seine Nutzer in ARGONAUT OS eingeben, hochladen oder über verbundene Dienste einlesen.

2.2 Zweck ist ausschließlich die Erbringung der Leistungen des Hauptvertrags: Speichern, Anzeigen, Auswerten, Versenden und Erzeugen von Dokumenten im Auftrag des Verantwortlichen, einschließlich der KI-Funktionen, die der Verantwortliche nutzt.

2.3 Die Verarbeitung dauert so lange wie der Hauptvertrag bzw. der Pilotzugang; § 9 bleibt unberührt.

§ 3 Weisungen

3.1 Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen sind mit dem Hauptvertrag und durch die Einstellungen und Bedienung von ARGONAUT OS erteilt. Weitere Weisungen erteilt der Verantwortliche in Textform an info@argonaut-os.com.

3.2 Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich.

3.3 Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt. Daten des Verantwortlichen werden nicht zum Training von KI-Modellen verwendet. Zulässig bleibt nur die Verwendung vollständig anonymisierter Nutzungsstatistiken nach AGB § 8.

§ 4 Vertraulichkeit

4.1 Der Auftragsverarbeiter stellt sicher, dass alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

4.2 Zugriff auf Daten des Verantwortlichen nimmt der Auftragsverarbeiter nur, soweit es für Einrichtung, Unterstützung, Fehlerbehebung oder Sicherheit erforderlich ist.

§ 5 Technische und organisatorische Maßnahmen (Anlage 1)

5.1 Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO. Sie sind in Anlage 1 beschrieben und werden dem Stand der Technik angepasst; das Schutzniveau wird dabei nicht unterschritten.

§ 6 Unterauftragnehmer (Anlage 2)

6.1 Der Verantwortliche genehmigt den Einsatz der in Anlage 2 genannten Unterauftragnehmer. Die jeweils aktuelle Anlage 2 steht unter argonaut-os.com/unterauftragnehmer.

6.2 Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor dem Einsatz eines neuen oder dem Austausch eines Unterauftragnehmers in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Können sich die Parteien nicht einigen, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.

6.3 Der Auftragsverarbeiter verpflichtet jeden Unterauftragnehmer vertraglich auf Datenschutzpflichten, die diesem Vertrag entsprechen. Übermittlungen in Drittländer erfolgen nur mit geeigneten Garantien nach Art. 44 ff. DSGVO (z. B. Standardvertragsklauseln oder EU-US Data Privacy Framework).

§ 7 Unterstützung des Verantwortlichen

7.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). ARGONAUT OS stellt dafür Funktionen zur Auskunft, zum Export und zur Löschung bereit. Erreicht eine Anfrage den Auftragsverarbeiter, leitet er sie an den Verantwortlichen weiter.

7.2 Er unterstützt den Verantwortlichen außerdem bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen sowie bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 32 bis 36 DSGVO), soweit ihm die nötigen Informationen vorliegen.

§ 8 Verletzungen des Schutzes personenbezogener Daten

8.1 Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, an die im Kundenkonto hinterlegte E-Mail-Adresse.

8.2 Die Meldung enthält, soweit bekannt, Art der Verletzung, betroffene Kategorien und ungefähre Anzahl von Personen und Datensätzen, wahrscheinliche Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Informationen, die noch fehlen, reicht er nach.

§ 9 Rückgabe und Löschung nach Vertragsende

9.1 Nach Ende des Hauptvertrags kann der Verantwortliche seine Daten 30 Tage lang exportieren. Danach löscht der Auftragsverarbeiter die Daten des Verantwortlichen, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Daten in Sicherungskopien werden im regulären Sicherungszyklus überschrieben.

9.2 Für einen Pilotzugang ohne anschließenden Vertrag gilt AGB § 2a.4: Löschung 30 Tage nach Ende des Pilotzugangs.

§ 10 Nachweise und Kontrollen

10.1 Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und ermöglicht Überprüfungen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer.

10.2 Überprüfungen vor Ort werden mit angemessener Frist angekündigt, finden zu den üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Als Nachweis genügen in der Regel aktuelle Unterlagen und Bescheinigungen der Unterauftragnehmer.

§ 11 Haftung und Schlussbestimmungen

11.1 Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.

11.2 Änderungen dieses Vertrags teilt der Auftragsverarbeiter dem Verantwortlichen in Textform mit; die jeweils angenommene Fassung ist im Kundenkonto abrufbar.

11.3 Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt. Es gilt deutsches Recht.