Vereinbarung zur Auftragsverarbeitung
Parteien und Dauer
Auftragnehmerin ist Berenilon GmbH; Auftraggeber ist das im Einzelauftrag bezeichnete Unternehmen. Die Verarbeitung dient der vereinbarten Forschungsleistung während der Vertragsdauer. Rückgabe und Löschung richten sich nach den festgelegten Fristen, einschließlich des Auslaufens von Sicherungskopien.
Gegenstand
Gegenstand ist die Verarbeitung von Finanztabellen für das Ergebnis „Normalisierter Datensatz und Umwandlungsprotokoll“. Dazu gehören die Prüfung fehlender Skalen- und Währungsangaben sowie die Anwendung der vom Kunden bestätigten Umwandlungsregeln. KI-Extraktion und Erläuterung gehören zur beauftragten Leistung; das lokale Rechenbeispiel arbeitet stattdessen regelbasiert im Browser.
Datenkategorien sind Uploads, Autorenangaben, Nutzerkennungen und Ergebnisse; betroffen sind Beschäftigte und Geschäftskontakte. Sensible personenbezogene Daten sind nicht Gegenstand des Auftrags und dürfen nicht eingebracht werden. Unklare Einheiten oder Währungen sind zur Entscheidung an den Kunden zurückzugeben, nicht automatisch umzurechnen.
Weisungen und Vertraulichkeit
Die Auftragnehmerin verarbeitet Inhalte ausschließlich nach dokumentierter Weisung und im Rahmen der vereinbarten Analyse. Der Kunde bestimmt die zulässigen Quellen, Kurse und Umwandlungsregeln. Kundendaten dürfen weder zum Modelltraining noch zur eigenen Vermarktung verwendet werden.
Eingesetztes Personal ist auf Vertraulichkeit zu verpflichten; Zugriffe sind auf die jeweilige Rolle zu begrenzen. Problematische Weisungen werden bis zur Klärung ausgesetzt. Eine ungeklärte Skala oder Währung darf nicht durch eine eigenständige Annahme ersetzt werden.
Unterauftragnehmer
Wolkensteg Rechenzentren GmbH in Frankfurt übernimmt Hosting und Sicherungen; Modellschmiede Inferenz GmbH in Frankfurt übernimmt die isolierte Inferenz im Mandanten ohne Training mit Kundendaten. Für interne Benachrichtigungen ohne Uploadinhalte wird Briefpfad Zustelldienst GmbH in Berlin eingesetzt. Drittlandübermittlungen gehören nicht zum vereinbarten Datenfluss.
Änderungen bei Unterauftragnehmern sind dem Kunden 14 Tage im Voraus mitzuteilen. Begründete Einwände sind zu prüfen und mögliche Alternativen mit dem Kunden abzustimmen.
Unterstützung und Prüfung
Die technischen Maßnahmen und der Löschplan dieser Vertragsfassung sind Anlagen der Vereinbarung. Die Auftragnehmerin unterstützt den Kunden bei Betroffenenanfragen, Datenschutzvorfällen und der Bewertung von Verarbeitungsfolgen. Sie ermöglicht die vereinbarte Einsicht in die dazugehörigen Unterlagen.
Die Unterlagen sind nicht als unabhängige Sicherheitszertifizierung zu verstehen. Eine Zertifizierung nach ISO 27001 oder SOC 2 liegt nicht vor.
Vorfälle
Bestätigte Datenschutzvorfälle sind dem Auftraggeber ohne vermeidbare Verzögerung zu melden. Als internes vertragliches Ziel gelten 24 Stunden nach Bestätigung. Diese Zielvorgabe ersetzt keine anwendbaren gesetzlichen Meldefristen; die Bewertung eigener Meldepflichten verbleibt beim jeweils Verantwortlichen.
Rückgabe und Löschung
Der Kunde hat benötigte Tabellen, Ergebnisse und Umwandlungsprotokolle vor Vertragsende zu exportieren. Für Uploads gilt eine Aufbewahrung von 60 Tagen, für Ergebnisse von 180 Tagen. Kontodaten sind spätestens 30 Tage nach Vertragsende zu löschen.
Sicherungskopien laufen nach spätestens 30 Tagen aus. Nach einer Wiederherstellung sind Löschmarkierungen erneut anzuwenden, damit bereits gelöschte Inhalte nicht dauerhaft zurückkehren. Die Auftragnehmerin stellt ein Löschprotokoll bereit.
Annahme
Die Vereinbarung wird durch Annahme der bevollmächtigten Kundenperson und Wolfgang Hartmann für die Auftragnehmerin wirksam. Die Veröffentlichung dieser Bedingungen allein schließt keinen Einzelvertrag; maßgeblich sind die Annahme und der darin bezeichnete Auftrag.