Vereinbarung zur Auftragsverarbeitung (Produkt-Demo)

Präambel

Der Auftraggeber testet die Software „dAi Pro“ in einer kostenlosen, zeitlich begrenzten Demo-Umgebung. Dazu benennt er bis zu drei Adressen seiner eigenen Website; der Auftragnehmer liest die dort verlinkten Inhalte aus, macht sie durch einen KI-Assistenten befragbar und stellt dem Auftraggeber eine Testoberfläche bereit. Da die ausgelesenen Inhalte und die Testeingaben personenbezogene Daten enthalten können, verarbeitet der Auftragnehmer diese Daten im Auftrag des Auftraggebers. Diese Vereinbarung regelt die Verarbeitung nach Art. 28 der Verordnung (EU) 2016/679 (DSGVO).

§ 1 Vertragsparteien

Auftraggeber (Verantwortlicher): die Person oder das Unternehmen, das die Demo über das Bestellformular anfordert (nachfolgend „Auftraggeber“). Maßgeblich sind die im Formular angegebenen Daten (Name, Firma, E-Mail-Adresse).

Auftragnehmer (Auftragsverarbeiter): Joachim Dreistein, Medienentwicklung, Bolkerstraße 14, 40213 Düsseldorf, Deutschland, E-Mail: info@dreistein.de (nachfolgend „Auftragnehmer“).

§ 2 Gegenstand und Dauer der Verarbeitung

1. Gegenstand ist der Betrieb einer Demo-Umgebung der Software „dAi Pro“: Auslesen der vom Auftraggeber benannten Webseiten und PDF-Dokumente (nur Text, bis zu 50 Seiten, Linktiefe 1), Umwandlung in eine durchsuchbare Wissensbasis (Volltext- und Vektorindex), Beantwortung von Testfragen durch ein KI-Sprachmodell (Text und Sprache) sowie Protokollierung der Testgespräche zur Funktionskontrolle.
2. Die Vereinbarung beginnt mit der Annahme im Bestellformular und endet automatisch mit der vollständigen Löschung der Demo-Umgebung – spätestens sieben Tage nach Einrichtung. Der Auftraggeber kann die Löschung jederzeit vorher verlangen (E-Mail an info@dreistein.de genügt).
3. Nach der Löschung erhält der Auftraggeber unaufgefordert eine Löschbestätigung an die angegebene E-Mail-Adresse.

§ 3 Art der Daten und Kreis der Betroffenen

1. Datenarten: Inhalte der vom Auftraggeber benannten Webseiten und PDF-Dokumente, soweit sie personenbezogene Daten enthalten (z. B. Namen und Kontaktdaten von Mitarbeitern, Autoren, Referenzkunden); Testeingaben in den Demo-Chat (Text) einschließlich der daraus erzeugten Antworten; bei Nutzung der Spracheingabe: Sprachaufnahmen der Testnutzer für die Dauer der Umwandlung in Text (Transkription); technische Protokolldaten der Testgespräche (Zeitpunkt, Frage, Antwort, pseudonymisierte IP-Adresse).
2. Betroffene: Personen, deren Daten auf den benannten Webseiten veröffentlicht sind, sowie die vom Auftraggeber bestimmten Testnutzer der Demo.
3. Ausschluss: Der Auftraggeber sichert zu, dass die benannten Inhalte keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO enthalten. Die Demo ist für solche Daten nicht bestimmt.

§ 4 Pflichten des Auftragnehmers

1. Der Auftragnehmer verarbeitet die Daten ausschließlich zu den in § 2 genannten Zwecken und nur auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO). Die Konfiguration der Demo über das Bestellformular und die Demo-Oberfläche gilt als Weisung. Erkennt der Auftragnehmer, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Auftraggeber unverzüglich.
2. Die Verarbeitung erfolgt ausschließlich auf Servern in der Europäischen Union; zu den Ausnahmen bei der Spracheingabe siehe § 6 und Anlage C.
3. Zur Verarbeitung befugte Personen sind auf die Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO). Beim Auftragnehmer hat ausschließlich der Inhaber Zugriff auf die Systeme.
4. Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen der Anlage B (Art. 32 DSGVO) und passt sie dem Stand der Technik an, ohne das Schutzniveau zu unterschreiten.
5. Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Zumutbaren bei der Beantwortung von Betroffenenanfragen (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO. Angesichts der siebentägigen Laufzeit wird die Unterstützung in der Regel durch die sofortige Löschung der betroffenen Daten erfüllt.
6. Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten im Zusammenhang mit der Demo unverzüglich an die im Formular angegebene E-Mail-Adresse.
7. Nach Ende der Verarbeitung (§ 2 Abs. 2) löscht der Auftragnehmer sämtliche Auftragsdaten vollständig: Wissensbasis, Dateien, Gesprächsprotokolle, Zugangsdaten und die Demo selbst. Eine Rückgabe der Daten findet nicht statt – der Auftraggeber verfügt selbst über die Quellinhalte. Der Nachweis über den Abschluss dieser Vereinbarung wird ohne Personenbezug (anonymisiert) aufbewahrt.
8. Gesetzliche Aufbewahrungspflichten bleiben unberührt; solche Daten werden gesperrt und nach Fristablauf gelöscht.

§ 5 Nachweise und Kontrollen

1. Der Auftragnehmer stellt dem Auftraggeber die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung, insbesondere diese Vereinbarung samt Anlagen sowie auf Anfrage eine Beschreibung der umgesetzten Maßnahmen.
2. Kontrollen vor Ort sind angesichts des kostenlosen, siebentägigen Testbetriebs auf Fälle beschränkt, in denen konkrete Anhaltspunkte für Verstöße bestehen; sie sind mit angemessener Frist anzukündigen und auf das Erforderliche zu beschränken.

§ 6 Subauftragsverarbeiter

1. Der Auftraggeber genehmigt allgemein die Einschaltung der in Anlage C genannten Subauftragsverarbeiter (Art. 28 Abs. 2 DSGVO).
2. Der Auftragnehmer informiert über beabsichtigte Änderungen der Anlage C auf der Demo-Bestellseite. Bei laufenden Demos gilt: Widerspricht der Auftraggeber einer Änderung, wird die Demo auf seinen Wunsch sofort gelöscht – ein weitergehender Anspruch besteht angesichts der Unentgeltlichkeit nicht.
3. Mit jedem Subauftragsverarbeiter besteht ein Vertrag nach Art. 28 DSGVO, der dem Schutzniveau dieser Vereinbarung entspricht.
4. Drittlandhinweis Spracheingabe: Die Umwandlung gesprochener Fragen in Text erfolgt durch Gladia SAS (Frankreich). Nach deren Auftragsverarbeitungsbedingungen können dabei Unterauftragnehmer in Drittländern (insb. USA) zum Einsatz kommen; Übermittlungen stützen sich auf Angemessenheitsbeschluss (EU-US Data Privacy Framework) bzw. Standardvertragsklauseln. Die Spracheingabe ist optional; wer sie nicht nutzt, dessen Daten erreichen Gladia nicht.

§ 7 Haftung

Es gelten die gesetzlichen Regelungen, insbesondere Art. 82 DSGVO. Im Innenverhältnis haften die Parteien entsprechend ihrem Verantwortungsanteil.

§ 8 Schlussbestimmungen

1. Diese Vereinbarung wird elektronisch geschlossen: Der Auftraggeber nimmt sie durch Anhaken der Erklärung im Bestellformular an; Zeitpunkt und Textfassung werden protokolliert (Art. 28 Abs. 9 DSGVO – elektronisches Format).
2. Bei Widersprüchen zu sonstigen Abreden über die Demo geht diese Vereinbarung in Datenschutzfragen vor.
3. Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt die Vereinbarung im Übrigen wirksam.

Anlage A – Verarbeitung im Einzelnen

Anlage B – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Verschlüsselung: Übertragung ausschließlich über TLS (HTTPS/WSS).
2. Mandantentrennung: jede Demo erhält ein eigenes, isoliertes Datenbankschema; Zugriff auf die Wissensbasis nur mit einem 64-stelligen, zufällig erzeugten Zugangsschlüssel.
3. Zugangskontrolle: individuelle Zugangsdaten (Benutzer/Passwort, bcrypt-gehasht) je Demo; Backend im Nur-Lese-Modus (Schreibschutz auf Anwendungsebene); Administrationszugriff nur durch den Inhaber.
4. Pseudonymisierung: IP-Adressen werden ausschließlich als SHA-256-Hash gespeichert (Missbrauchsschutz, Bestellnachweis).
5. Datenminimierung: nur Text wird ausgelesen; keine Bildextraktion, kein Datei-Download-Angebot, keine Übernahme in Trainingsdaten.
6. EU-Verarbeitung: Hosting in Deutschland (IONOS); KI-Verarbeitung für Demos technisch erzwungen nur über EU-Anbieter (Mistral AI, Frankreich) – Demos ohne EU-fähige Konfiguration werden verweigert.
7. Löschkonzept: automatischer stündlicher Löschlauf; Löschung umfasst Schema, Dateien, Protokolle, Verbrauchsdaten und Zugangsdaten; Löschbestätigung an den Auftraggeber; Wiederholbarkeit bei Teilfehlern; Kontrollwerkzeug für verwaiste Bestände.
8. Missbrauchsschutz: Bot-Prüfung im Bestellformular, Ratenbegrenzung je IP-Hash und Domain, Honeypot.
9. Verfügbarkeit/Integrität: Selbsttest jeder Demo nach Einrichtung; Protokollierung administrativer Läufe.

Anlage C – Subauftragsverarbeiter

Cloudflare, Inc. (Turnstile-Bot-Schutz im Bestellformular) verarbeitet Daten des Bestellers vor Vertragsschluss und ist daher in der Datenschutzerklärung aufgeführt, nicht als Subauftragsverarbeiter dieser Vereinbarung.