Vertrag zur Auftragsverarbeitung

§ 1 Gegenstand und Dauer

Die TCB GmbH („Auftragsverarbeiterin“) verarbeitet für den Kunden („Verantwortlicher“) personenbezogene Daten ausschließlich, um Anfragen des Programms OCTOVO an ein Sprachmodell weiterzuleiten und die Antwort zurückzugeben. Die Verarbeitung dauert so lange wie der Hauptvertrag.

Nicht Gegenstand dieses Vertrages ist die Verarbeitung auf dem Gerät des Verantwortlichen: Postfach, Dateien, Kontakte, Kalender und das Gedächtnis verbleiben dort und sind für die Auftragsverarbeiterin technisch nicht zugänglich.

§ 2 Art, Zweck, Datenarten, Betroffene

Art der Verarbeitung

Übermittlung (Durchleitung) an Unterauftragsverarbeiter, Zählung des Umfangs

Zweck

Erzeugen von Textentwürfen, Zusammenfassungen, Einstufungen und Handlungsvorschlägen

Datenarten

Inhalte der jeweiligen Anfrage: Auszüge aus Nachrichten, Dokumenten, Terminen, Kontaktangaben

Betroffene

Der Verantwortliche selbst sowie seine Kommunikationspartner (Kunden, Lieferanten, Mitarbeitende)

§ 3 Weisungen

Die Auftragsverarbeiterin verarbeitet Daten ausschließlich auf dokumentierte Weisung. Die Nutzung von OCTOVO durch den Verantwortlichen gilt als Weisung. Hält die Auftragsverarbeiterin eine Weisung für rechtswidrig, teilt sie dies unverzüglich mit.

§ 4 Vertraulichkeit

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet und in den Grundzügen des Datenschutzes geschult.

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselung im Transport (TLS 1.3) und im Ruhezustand; Sicherungen verschlüsselt
• Keine Speicherung von Inhalten im Normalbetrieb — Durchleitung ohne Zwischenspeicher, Protokolle ohne Nutzlast
• Trennung von Entwicklungs-, Test- und Produktivumgebung
• Zugriff auf Produktivsysteme nur über persönliche Schlüssel, Zwei-Faktor-Pflicht, protokolliert
• Rollen- und Rechtekonzept nach dem Grundsatz der geringsten Berechtigung
• Meldewege für Vorfälle mit Reaktion binnen 24 Stunden, Meldung an den Verantwortlichen unverzüglich
• Jährliche Überprüfung der Maßnahmen, dokumentiert
• Löschkonzept mit automatischen Fristen (Diagnose-Aufzeichnungen höchstens 7 Tage)

§ 6 Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der Dienstleister zu, die unter Unterauftragsverarbeiter im Abschnitt „In unserem Auftrag tätig“ aufgeführt sind. Wechsel oder Ergänzungen kündigen wir mindestens 30 Tage vorher an; der Verantwortliche kann widersprechen und in diesem Fall außerordentlich kündigen. Mit allen Unterauftragsverarbeitern bestehen Verträge mit gleichwertigen Pflichten.

Die Stellen, die auf derselben Seite im zweiten Abschnitt stehen, sind nicht Gegenstand dieser Zustimmung und keine Unterauftragsverarbeiter: Dort baut das Gerät des Verantwortlichen die Verbindung selbst auf, ohne Weisung und ohne Beteiligung der Auftragsverarbeiterin.

§ 7 Drittland

Die freigegebenen Sprachmodelle stammen von OpenAI, werden aber ausschließlich von Microsoft Ireland Operations Limited über Azure AI Foundry betrieben; OpenAI selbst hat auf diesem Weg laut Microsofts eigener Dokumentation keinen Zugriff auf die Anfragen. Die zugehörige Azure-Ressource ist in der EU (Schweden Mitte) angelegt; die gewählte Bereitstellungsart „Global Standard" schränkt die tatsächliche Verarbeitung laut Microsofts eigener Dokumentation aber nicht auf die EU ein, sodass eine Drittlandübermittlung nicht ausgeschlossen werden kann. Die Übermittlung ist über den Auftragsverarbeitungsvertrag mit Microsoft (Microsoft Products and Services Data Protection Addendum) und Standardvertragsklauseln abgesichert, ergänzt um technische Maßnahmen (Transportverschlüsselung, Minimierung der übermittelten Ausschnitte und store: false im Responses-Weg).

§ 8 Unterstützungspflichten

Die Auftragsverarbeiterin unterstützt den Verantwortlichen bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen und Meldungen an Aufsichtsbehörden, soweit ihr das mit den ihr vorliegenden Informationen möglich ist. Da im Normalbetrieb keine Inhalte gespeichert werden, kann sie zu einzelnen Inhalten keine Auskunft erteilen — die entsprechenden Daten liegen beim Verantwortlichen auf dessen Gerät.

§ 9 Löschung und Rückgabe

Nach Vertragsende werden Konto- und Abrechnungsdaten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Inhalte sind nicht vorhanden und können daher weder herausgegeben noch gelöscht werden.

§ 10 Nachweise

Die Auftragsverarbeiterin weist die Einhaltung auf Anfrage durch Selbstauskunft und Dokumentation nach. Vor-Ort-Prüfungen sind nach Ankündigung mit angemessener Frist und ohne Beeinträchtigung des Betriebs möglich.