Auftragsverarbeitung (AVV), Muster

Dieses Muster regelt die Verarbeitung personenbezogener Daten durch A2A Check (Auftragsverarbeiter, Mesut Yilmaz, Hauptstraße 202, 44649 Herne) im Auftrag Ihres Unternehmens (Verantwortlicher) nach Art. 28 DSGVO. Es ist nur nötig, wenn die von Ihnen eingereichten Dateien personenbezogene Daten enthalten können. Zum Abschluss senden Sie uns Ihre Firmierung, Anschrift und eine vertretungsberechtigte Person an [email protected]; wir senden die ausgefüllte und gegengezeichnete Fassung zurück.

Gegenstand ist die Prüfung der Konfiguration Ihrer KI-Agenten über den Dienst unter api.a2a-check.com. Verarbeitet werden: Speicherung der Einreichung, automatisierte Regelprüfung, Erstellung und Bereitstellung der Befundliste, Löschung nach Fristablauf oder auf Ihre Anforderung. Es findet keine Weitergabe an KI-Modell-APIs und kein Training von Modellen statt.

Datenarten: E-Mail-Adressen der Kontoinhaber und Mitglieder, Namen von Agenten und Verbindungen, in eingereichten Konfigurationsdateien enthaltene personenbezogene Angaben (zum Beispiel Namen oder E-Mail-Adressen in Anweisungen), IP-Adresse sowie Datum und Uhrzeit von Aufrufen. Betroffene: Beschäftigte und Beauftragte des Verantwortlichen sowie Personen, deren Angaben in den Dateien stehen. Der Dienst weist erkannte Zugangsdaten ab und schwärzt erkannte personenbezogene Angaben vor der Speicherung. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht einzureichen.

Der Vertrag gilt, solange Sie den Dienst nutzen. Einreichungen werden bei einem kostenlosen Konto 30 Tage, bei einem Premium-Konto 90 Tage nach Eingang gelöscht. Löschen Sie einen Agenten oder Ihr Konto, entfernen wir die Daten aus den Produktivsystemen und innerhalb von 30 Tagen aus den Sicherungen. Nach Vertragsende löschen wir verbleibende Daten; eine Herausgabe ist nicht vorgesehen, da die Befundlisten jederzeit abrufbar sind.

Wir verarbeiten die Daten nur auf Ihre dokumentierte Weisung; Weisung ist die Nutzung des Dienstes sowie Ihre Anfragen an [email protected]. Halten wir eine Weisung für rechtswidrig, weisen wir Sie darauf hin.

Personen mit Zugriff sind zur Vertraulichkeit verpflichtet. Technische und organisatorische Maßnahmen: Betrieb bei Google Cloud in Regionen innerhalb der EU, Verschlüsselung bei Übertragung und Speicherung, Trennung der Konten, Zugangsschlüssel nur als Prüfwert, Abweisung erkannter Zugangsdaten und Schwärzung erkannter personenbezogener Angaben, begrenzte Zugriffsrechte, Protokollierung sicherheitsrelevanter Vorgänge, tägliche Sicherung mit Rotation, automatisierte Tests und nächtliche Überwachung des Dienstes.

Wir setzen ein: Google Cloud EMEA Ltd., Dublin, Irland (Hosting des Dienstes, Regionen innerhalb der EU); Cloudflare Germany GmbH bzw. Cloudflare, Inc. (Auslieferung, Domain und Weiterleitung, Schutz vor Missbrauch); Plus Five Five, Inc. (Resend; Versand von Bestätigungs-E-Mails, EU-Server). Mit allen bestehen Verträge nach Art. 28 DSGVO; Übermittlungen in Drittländer stützen sich auf Art. 46 DSGVO oder einen Angemessenheitsbeschluss. Weitere oder andere Unterauftragsverarbeiter kündigen wir per E-Mail mindestens 14 Tage vorher an; Sie können aus wichtigem Grund widersprechen.

Wir unterstützen Sie bei Anfragen Betroffener, bei der Datenschutz-Folgenabschätzung und bei Meldepflichten nach Art. 32 bis 36 DSGVO im zumutbaren Rahmen. Eine Verletzung des Schutzes personenbezogener Daten melden wir unverzüglich. Auf Anfrage stellen wir die Informationen bereit, die zum Nachweis der Pflichten nach Art. 28 DSGVO nötig sind, und ermöglichen Prüfungen nach angemessener Vorankündigung, bevorzugt als Auskunft oder Fragebogen.

Für die Haftung gelten Art. 82 DSGVO und die Nutzungsbedingungen. Es gilt deutsches Recht. Bei Widersprüchen gehen die Regelungen dieses Vertrags für die Verarbeitung personenbezogener Daten vor.