Auftragsverarbeitungsvertrag (AVV)

1. Parteien und Geltungsbereich

Auftraggeber ist der im Hauptvertrag oder im Kundenkonto bezeichnete Geschäftskunde ("Verantwortlicher"). Auftragnehmer und Auftragsverarbeiter ist:

Initphase Pte. Ltd.
UEN: 202615594C
160 Robinson Road, #14-04 Singapore Business Federation Center, Singapore 068914
Datenschutzkontakt: support@madeagentic.com

Dieser AVV ergänzt den Hauptvertrag über die Nutzung von MadeAgentic. Bei Widersprüchen gehen die Regelungen dieses AVV für die Verarbeitung personenbezogener Daten vor. Die Standardvertragsklauseln nach Abschnitt 8 gehen bei Widersprüchen mit diesem AVV vor.

2. Gegenstand und Dauer

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich, soweit dies zur Bereitstellung, Absicherung und Unterstützung der konfigurierten KI-Chat- und Sprachagenten erforderlich ist. Die Verarbeitung dauert grundsätzlich so lange wie der Hauptvertrag. Einzelheiten ergeben sich aus Anlage 1.

3. Weisungen und Pflichten des Auftraggebers

• Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung des Auftraggebers.
• Der Hauptvertrag, die Agentenkonfiguration und Supportanfragen gelten als dokumentierte Weisungen.
• Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt, und kann die Ausführung bis zur Klärung aussetzen.
• Der Auftraggeber ist für Rechtsgrundlage, Transparenz, zulässige Inhalte, Löschfristen und erforderliche Einwilligungen verantwortlich.
• Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO dürfen nur nach vorheriger schriftlicher Vereinbarung und mit geeigneter Rechtsgrundlage verarbeitet werden.

4. Pflichten des Auftragnehmers

• Verarbeitung nur für die vereinbarten Zwecke und nach dokumentierten Weisungen.
• Verpflichtung aller zugriffsberechtigten Personen auf Vertraulichkeit.
• Umsetzung der technischen und organisatorischen Maßnahmen aus Anlage 2.
• Unterstützung bei Datenschutz-Folgenabschätzungen und Konsultationen im angemessenen Umfang.
• Führung der gesetzlich erforderlichen Verzeichnisse und Zusammenarbeit mit Aufsichtsbehörden.
• Keine Nutzung von Kundendaten für eigene Werbung oder den Verkauf personenbezogener Daten.

5. Betroffenenrechte

Der Auftragnehmer leitet Anfragen betroffener Personen, die den Auftraggeber betreffen, ohne unangemessene Verzögerung weiter. Er unterstützt den Auftraggeber durch angemessene technische und organisatorische Maßnahmen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Der Auftragnehmer beantwortet solche Anfragen nicht selbst, außer auf dokumentierte Weisung oder aufgrund einer gesetzlichen Pflicht.

6. Datenschutzverletzungen

Der Auftragnehmer informiert den Auftraggeber unverzüglich, nachdem er von einer Verletzung des Schutzes der vom Auftraggeber verantworteten personenbezogenen Daten Kenntnis erlangt hat. Die Meldung enthält, soweit verfügbar, Art und Umfang des Vorfalls, betroffene Daten und Personen, wahrscheinliche Folgen, getroffene oder vorgeschlagene Maßnahmen sowie einen Kontakt für Rückfragen. Fehlende Angaben werden ohne unangemessene Verzögerung nachgereicht.

7. Unterauftragsverarbeiter

Der Auftraggeber erteilt eine allgemeine Genehmigung für die in Anlage 3 genannten Unterauftragsverarbeiter. Der Auftragnehmer informiert mindestens 30 Tage vor einer geplanten wesentlichen Änderung per E-Mail oder im Produkt. Bei dringenden Sicherheits- oder Verfügbarkeitsmaßnahmen kann die Information kurzfristiger erfolgen. Der Auftraggeber kann aus nachweisbaren datenschutzrechtlichen Gründen widersprechen. Können die Parteien keine zumutbare Lösung finden, darf der Auftraggeber den betroffenen Dienst außerordentlich kündigen.

Der Auftragnehmer stellt vor dem Einsatz sicher, dass Unterauftragsverarbeiter vertraglich zu einem Schutzniveau verpflichtet sind, das den Anforderungen dieses AVV entspricht. Der Auftragnehmer bleibt gegenüber dem Auftraggeber für deren datenschutzrechtliche Pflichten verantwortlich.

8. Drittlandübermittlungen und EU-Standardvertragsklauseln

Primäre Anwendungs- und Datenbankdienste werden in Deutschland betrieben. Der Auftragnehmer hat seinen Sitz in Singapur. Singapur besitzt keinen Angemessenheitsbeschluss der Europäischen Kommission. Außerdem können die in Anlage 3 genannten Anbieter Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten.

Für die Übermittlung vom deutschen Auftraggeber an den Auftragnehmer vereinbaren die Parteien die unveränderten EU-Standardvertragsklauseln aus dem Durchführungsbeschluss (EU) 2021/914, Modul 2 (Verantwortlicher an Auftragsverarbeiter). Der amtliche Text ist hier abrufbar und wird Bestandteil dieses AVV. Die Angaben in Anlage 1 bis 3 vervollständigen die Anhänge der Standardvertragsklauseln.

• Datenexporteur: der im Hauptvertrag bezeichnete Auftraggeber.
• Datenimporteur: Initphase Pte. Ltd., Kontaktdaten gemäß Abschnitt 1.
• Klausel 7 (Beitrittsklausel) findet Anwendung.
• Klausel 9 Option 2 gilt mit einer Vorankündigungsfrist von 30 Tagen.
• Die optionale Klausel 11 findet keine Anwendung.
• Für Klausel 17 gilt deutsches Recht; für Klausel 18 sind deutsche Gerichte zuständig.
• Nach Klausel 13 ist die für den Auftraggeber zuständige deutsche Aufsichtsbehörde zuständig.

Soweit erforderlich, führen die Parteien eine Transfer-Folgenabschätzung durch und vereinbaren ergänzende technische oder organisatorische Maßnahmen. Ein EU-Endpunkt allein wird nicht als Garantie einer ausschließlich europäischen Verarbeitung dargestellt.

9. Rückgabe und Löschung

Nach Ende des Hauptvertrags löscht oder gibt der Auftragnehmer die personenbezogenen Daten nach Wahl des Auftraggebers zurück, soweit keine gesetzliche Aufbewahrungspflicht besteht. Verbleibende Produktdaten werden grundsätzlich innerhalb von 90 Tagen gelöscht. Sicherungskopien werden im Rahmen des regulären Überschreibungszyklus gelöscht und bis dahin gegen weitere Verarbeitung gesperrt.

10. Nachweise und Kontrollen

Der Auftragnehmer stellt die zur Prüfung von Art. 28 DSGVO erforderlichen Informationen zur Verfügung. Prüfungen erfolgen vorrangig durch Dokumente, Fragebögen und vorhandene Berichte. Eine Vor-Ort-Prüfung ist bei berechtigtem Anlass oder auf Anordnung einer Aufsichtsbehörde, sonst höchstens einmal jährlich, mit angemessener Vorankündigung und unter Wahrung der Vertraulichkeit anderer Kunden zulässig. Der Auftraggeber trägt seine Prüfungskosten; nachgewiesene wesentliche Verstöße trägt der Auftragnehmer.

11. Haftung

Für die Haftung gelten Art. 82 DSGVO und die Haftungsregelungen des Hauptvertrags, soweit diese gesetzlich zulässig sind. Die gesetzliche Verantwortlichkeit gegenüber betroffenen Personen wird nicht eingeschränkt.

12. Laufzeit und Schlussbestimmungen

Dieser AVV tritt mit dem Hauptvertrag, der elektronischen Annahme oder einer gesonderten schriftlichen Annahme in Kraft und endet nach Abschluss der vertragsgemäßen Löschung oder Rückgabe. Im Übrigen gilt das Recht des Hauptvertrags. Für die Standardvertragsklauseln gelten ausschließlich die Festlegungen in Abschnitt 8.

Anlage 1: Beschreibung der Verarbeitung

Anlage 2: Technische und organisatorische Maßnahmen

• Transportverschlüsselung über TLS und verschlüsselte Datenträger beziehungsweise verwaltete Verschlüsselung.
• Authentifizierte, rollen- und mandantenbezogene Zugriffe nach dem Need-to-know-Prinzip.
• Geschützte Verwaltung von Zugangsdaten und Anbieter-Schlüsseln; keine Ausgabe von Schlüsseln an Endnutzer.
• Protokollierung betrieblicher Ereignisse ohne absichtliche Ausgabe von Gesprächsinhalten oder Zugangsdaten.
• Netzwerkfilter, DDoS-Schutz, abgesicherte Serverzugänge und zeitnahe Sicherheitsaktualisierungen.
• Überwachung, Fehleralarmierung, Incident-Response und Verfahren zur Bewertung von Datenschutzverletzungen.
• Mandantentrennung auf Anwendungs- und Datenbankebene sowie Prüfungen kritischer Berechtigungsgrenzen.
• Verfügbarkeitsmaßnahmen, Wiederanlaufverfahren und angemessene Sicherungs- oder Exportverfahren.
• Datenminimierung, konfigurierbare Erfassung und Löschung nach Vertragsende.
• Vor Einsatz: Auswahl, vertragliche Bindung und regelmäßige Überprüfung relevanter Unterauftragsverarbeiter.

Diese Anlage behauptet keine Zertifizierung. Zertifizierungen oder Prüfberichte gelten nur, wenn sie dem Auftraggeber gesondert bestätigt und vorgelegt werden.

Anlage 3: Genehmigte Unterauftragsverarbeiter

Ein Anbieter wird nur eingesetzt, wenn die jeweilige Funktion genutzt wird. Zahlungs- und Marketingdienste, die der Auftragnehmer für eigene Zwecke als Verantwortlicher nutzt, sind nicht Teil dieser Anlage.

Anlage 4: Muster-Datenschutzhinweis für Agentennutzer