Auftragsverarbeitungsvertrag

gemäß Art. 28 DSGVO zwischen

„Auftragsverarbeiter")

— gemeinsam „Parteien" — als Anlage zum Vertrag über die Nutzung des

Farmers/Factory SOP-Portals (nachfolgend „Hauptvertrag").

Hinweis: Soweit der Verantwortliche im Dienst personenbezogene Daten Dritter

(z. B. Aufnahmen von Mitarbeitenden) verarbeiten lässt, ist dieser AVV gesetzlich

erforderlich (Art. 28 Abs. 3 DSGVO). Dieser Mustertext sollte vor Verwendung

juristisch geprüft und um die Anlagen (Technisch-organisatorische Maßnahmen,

Unterauftragsverarbeiter) vervollständigt werden.

1. Gegenstand und Dauer

(1) Gegenstand der Auftragsverarbeitung ist die Verarbeitung personenbezogener Daten

durch den Auftragsverarbeiter im Rahmen der Erbringung der Leistungen nach dem

Hauptvertrag (Bereitstellung des SaaS-Dienstes zur Erstellung von SOPs aus Audio-/

Videoaufnahmen, einschließlich Transkription und KI-gestützter Verarbeitung).

(2) Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrags.

2. Art und Zweck der Verarbeitung, Datenarten, Betroffene

(1) Art und Zweck: Speicherung, Transkription, automatisierte (KI-gestützte)

Strukturierung und Bereitstellung der vom Verantwortlichen eingestellten Inhalte zur

Erzeugung von Arbeitsanweisungen (SOPs); Hosting; Versand transaktionaler E-Mails;

Protokollierung zu Sicherheitszwecken.

(2) Arten personenbezogener Daten (soweit in den Inhalten enthalten):

(3) Kreis der Betroffenen: Mitarbeitende, Beschäftigte und sonstige Personen des

Verantwortlichen, die in den hochgeladenen Aufnahmen erscheinen oder zu hören sind,

sowie die vom Verantwortlichen angelegten Nutzer.

3. Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf

dokumentierte Weisung des Verantwortlichen, soweit er nicht gesetzlich zu einer

anderweitigen Verarbeitung verpflichtet ist. Der Hauptvertrag und die Konfiguration im

Dienst gelten als dokumentierte Weisungen.

(2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den

Verantwortlichen unverzüglich.

4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter

(1) gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit

verpflichtet sind bzw. einer gesetzlichen Verschwiegenheitspflicht unterliegen

(Art. 28 Abs. 3 lit. b, Art. 29, 32 Abs. 4 DSGVO);

(2) ergreift die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen

Maßnahmen (siehe Anlage 1);

(3) unterstützt den Verantwortlichen im Rahmen des Möglichen bei der Erfüllung der

Betroffenenrechte (Art. 12–23 DSGVO) sowie bei den Pflichten nach Art. 32–36 DSGVO

(Datensicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung);

(4) meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten

unverzüglich nach Bekanntwerden (Art. 33 DSGVO);

(5) stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der

Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen

(Audits) in angemessenem Umfang;

(6) löscht oder gibt nach Abschluss der Leistungen sämtliche personenbezogenen Daten

nach Wahl des Verantwortlichen zurück oder löscht sie, sofern keine gesetzliche

Aufbewahrungspflicht besteht.

5. Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung

zur Hinzuziehung von Unterauftragsverarbeitern. Die zum Zeitpunkt des Vertragsschlusses

eingesetzten Unterauftragsverarbeiter ergeben sich aus Anlage 2.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte

Änderungen (Hinzuziehung/Austausch). Der Verantwortliche kann der Änderung aus

wichtigem datenschutzrechtlichem Grund innerhalb angemessener Frist widersprechen.

(3) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf

datenschutzrechtliche Pflichten, die den Pflichten dieses AVV entsprechen.

6. Drittlandübermittlung

Soweit Unterauftragsverarbeiter Daten außerhalb der EU/des EWR (insb. in den USA)

verarbeiten, stellt der Auftragsverarbeiter sicher, dass die Voraussetzungen der

Art. 44 ff. DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss / EU-US Data Privacy

Framework und/oder EU-Standardvertragsklauseln nebst ergänzenden Schutzmaßnahmen).

7. Rechte und Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung

der Betroffenenrechte verantwortlich. Er stellt insbesondere sicher, dass für das

Hochladen und Verarbeiten der Aufnahmen eine wirksame Rechtsgrundlage besteht

(z. B. erforderliche Einwilligungen; Beachtung des Beschäftigtendatenschutzes,

§ 26 BDSG, und etwaiger Mitbestimmungsrechte).

(2) Der Verantwortliche bleibt im Verhältnis der Parteien Verantwortlicher im Sinne

der DSGVO.

8. Haftung

Für die Haftung gelten Art. 82 DSGVO sowie die Regelungen des Hauptvertrags.

9. Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen

dieses AVV hinsichtlich der Datenverarbeitung vor.

(2) Es gilt deutsches Recht.

Anlage 1 — Technische und organisatorische Maßnahmen (TOM, Art. 32 DSGVO)

(Bitte konkretisieren — nachstehend die im Dienst erkennbaren Maßnahmen als

Ausgangspunkt.)

Authentifizierung mit ausschließlich gehasht gespeicherten Passwörtern (bcrypt);

verschlüsselte Speicherung hinterlegter API-Schlüssel (AES-256-GCM).

Löschkonzept, Belastungstests, Mitarbeiterschulungen]]

Anlage 2 — Unterauftragsverarbeiter (Stand: [[STAND-DATUM]])

Die KI-Anbieter werden in der Software je nach Konfiguration (Einstellung

`AI_PROVIDER`) eingesetzt; standardmäßig Anthropic für die SOP-Erzeugung und OpenAI

für die Transkription. Bitte den tatsächlichen produktiven Einsatz vor

Veröffentlichung bestätigen.

Stand: [[STAND-DATUM]]