Vereinbarung zur Auftragsverarbeitung
Parteien und Dauer
Auftragnehmerin ist Fenorakte GmbH, Auftraggeber ist das im Einzelauftrag bezeichnete Unternehmen. Die Verarbeitung im Kundenmandanten erfolgt während der Vertragsdauer nach dokumentierter Weisung. Mit Vertragsende greifen die vereinbarten Rückgabe- und Löschpflichten einschließlich der begrenzten Nachlaufzeiten.
Gegenstand
Gegenstand der Verarbeitung sind die vom Kunden übermittelten Daten der Kategorie „Historische Statistikstände“ zur Erstellung des Revisionsatlas. Dazu gehören Uploads, enthaltene Autorenangaben, Nutzerkennungen und Analyseergebnisse; betroffen sein können Beschäftigte und Geschäftskontakte.
Der Kunde beschränkt die Inhalte auf den Forschungsauftrag und übermittelt keine sensiblen personenbezogenen Daten. Er verantwortet die Zulässigkeit der Übermittlung und entscheidet, welche Reihen und Datenstände vergleichbar sind. Der Revisionsatlas dokumentiert Überarbeitungen, liefert aber keine Prognose oder Anlageempfehlung.
Weisungen und Vertraulichkeit
Die Auftragnehmerin verarbeitet Kundeninhalte ausschließlich auf dokumentierte Weisung für die vereinbarte Analyse. Training mit Kundendaten und eigene Vermarktung dieser Inhalte sind ausgeschlossen. Eingesetztes Personal ist zur Vertraulichkeit zu verpflichten; Zugriffe sind nach Aufgaben und Rollen zu begrenzen. Problematische Weisungen sind bis zur Klärung auszusetzen und dem Kunden zur Entscheidung vorzulegen.
Unterauftragnehmer
Wolkensteg Rechenzentren GmbH erbringt Hosting und Sicherungen in Frankfurt. Modellschmiede Inferenz GmbH übernimmt dort die isolierte Inferenz im Mandanten, ohne Training mit Kundendaten. Änderungen bei Unterauftragnehmern sind dem Kunden 14 Tage vorher mitzuteilen. Begründete Einwände sind mit ihm zu prüfen; dabei sind Alternativen für die betroffene Verarbeitung zu bewerten.
Unterstützung und Prüfung
Die vereinbarten technischen Maßnahmen und der Löschplan sind Anlagen der Auftragsverarbeitung. Die Auftragnehmerin unterstützt den Kunden bei Betroffenenanfragen, Datenschutzvorfällen und der Folgenbewertung und ermöglicht die vereinbarte Einsicht in Nachweise. Eine unabhängige Zertifizierung nach ISO 27001 oder SOC 2 liegt nicht vor; die Maßnahmen sind daher nicht als zertifizierter Schutz darzustellen.
Vorfälle
Bestätigte Datenschutzvorfälle sind dem Auftraggeber ohne vermeidbare Verzögerung zu melden. Als internes vertragliches Ziel gelten 24 Stunden nach Bestätigung. Die Meldung soll dem Kunden die Prüfung der betroffenen Inhalte und erforderlicher Schritte ermöglichen. Dieses Ziel ersetzt oder bestimmt keine gesetzlichen Meldefristen.
Rückgabe und Löschung
Der Kunde veranlasst den benötigten Export vor Vertragsende. Uploads sind nach 60 Tagen, Ergebnisse nach 90 Tagen zu löschen; Kontodaten spätestens 30 Tage nach Vertragsende. Sicherungen laufen nach 30 Tagen aus. Die Auftragnehmerin stellt ein Löschprotokoll bereit und wendet bei einer Wiederherstellung bestehende Löschmarkierungen erneut an.
Annahme
Die Vereinbarung wird durch Annahme seitens einer bevollmächtigten Kundenperson und Katharina Brandstätter für die Auftragnehmerin wirksam. Die Veröffentlichung dieser Vertragsbedingungen allein schließt keinen Einzelvertrag; die Annahme muss dem betreffenden Kundenauftrag zugeordnet sein.