Vertrag zur Auftragsverarbeitung

1. Vertragsparteien und Abschluss

1.1 Dieser Vertrag gilt zwischen dem Unternehmen, das Manudock nutzt („Kunde“), und der BASKY UG (haftungsbeschränkt), Weißenberger Straße 5, 01324 Dresden („wir“). Er ergänzt den Vertrag über die Nutzung von Manudock nach unseren Allgemeinen Geschäftsbedingungen („Hauptvertrag“).

1.2 Der Kunde schließt diesen Vertrag zusammen mit dem Hauptvertrag ab, also bei der Registrierung für den kostenlosen Test oder bei der Bestellung eines Pakets. Die elektronische Form genügt (Art. 28 Abs. 9 DSGVO). Auf Wunsch senden wir dem Kunden eine von uns unterschriebene Fassung.

1.3 Für die Verarbeitung personenbezogener Daten im Auftrag des Kunden geht dieser Vertrag dem Hauptvertrag vor.

2. Gegenstand und Dauer

2.1 Wir betreiben für den Kunden die KI-Plattform Manudock. Dabei verarbeiten wir personenbezogene Daten, die der Kunde und seine Nutzer eingeben, hochladen, erzeugen oder versenden („Kundendaten“). Art und Zweck der Verarbeitung, die Arten der Daten und die betroffenen Personen beschreibt Anlage 1.

2.2 Dieser Vertrag gilt, solange wir Kundendaten verarbeiten. Er beginnt mit dem Hauptvertrag und endet, wenn alle Kundendaten nach Ziffer 13 gelöscht sind.

2.3 Nicht unter diesen Vertrag fallen Daten, die wir als eigener Verantwortlicher verarbeiten, etwa Vertrags- und Abrechnungsdaten oder technische Nutzungsdaten ohne Inhalte. Dafür gilt unsere Datenschutzerklärung.

3. Rollen und Verantwortung

3.1 Der Kunde ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Verarbeitet er die Daten selbst im Auftrag eines Dritten, sind wir sein Unterauftragsverarbeiter. Dann gelten die Pflichten dieses Vertrags entsprechend gegenüber dem Kunden, und der Kunde gibt die nötigen Informationen an seinen Auftraggeber weiter.

3.2 Der Kunde entscheidet, welche Daten er in Manudock verarbeitet. Er ist dafür verantwortlich, dass er sie rechtmäßig verarbeiten darf, dass er die betroffenen Personen informiert und dass er ihre Rechte wahrt.

3.3 Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, zum Beispiel Gesundheitsdaten, sowie Daten, die einem Berufsgeheimnis unterliegen, verarbeitet der Kunde in Manudock nur nach vorheriger Abstimmung mit uns in Textform. Wir empfehlen dafür eine eigene Instanz im Paket Secure+.

3.4 Verbindet der Kunde ein eigenes E-Mail-Postfach mit Manudock, versenden wir E-Mails über den Anbieter dieses Postfachs. Dieser Anbieter ist nicht unser Unterauftragsverarbeiter, sondern arbeitet auf Grundlage des Vertrags, den der Kunde selbst mit ihm hat.

4. Weisungen

4.1 Wir verarbeiten Kundendaten nur auf dokumentierte Weisung des Kunden. Die Weisungen ergeben sich aus diesem Vertrag, aus dem Hauptvertrag und aus der Nutzung der Funktionen von Manudock, zum Beispiel wenn ein Nutzer eine Datei hochlädt, eine Frage stellt oder eine E-Mail versendet.

4.2 Weitere Weisungen erteilt der Kunde in Textform. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, setzen wir nur um, wenn wir zustimmen. Den Mehraufwand können wir dann nach vorheriger Abstimmung in Rechnung stellen.

4.3 Hält ein Gesetz uns zu einer Verarbeitung ohne Weisung an, teilen wir dem Kunden das vorher mit, sofern das Gesetz eine solche Mitteilung nicht verbietet.

4.4 Halten wir eine Weisung für rechtswidrig, sagen wir das dem Kunden sofort. Bis zur Klärung dürfen wir die Ausführung aussetzen.

5. Zweckbindung

5.1 Wir nutzen Kundendaten ausschließlich, um Manudock für den Kunden bereitzustellen, zu sichern und Störungen zu beheben.

5.2 Wir verwenden Kundendaten nicht, um KI-Modelle zu trainieren oder zu verbessern. Das gilt auch für anonymisierte oder zusammengefasste Auswertungen von Inhalten. Wir verkaufen Kundendaten nicht und geben sie nicht für Werbung weiter. Dieselben Pflichten legen wir unseren Unterauftragsverarbeitern auf.

5.3 Kopien von Kundendaten fertigen wir nur an, soweit es für den Betrieb nötig ist, insbesondere als Sicherungskopien nach Anlage 3.

6. Ort der Verarbeitung

6.1 Wir verarbeiten Kundendaten in der Europäischen Union, im Europäischen Wirtschaftsraum und in der Schweiz. Gespeichert werden sie auf einem Server in Deutschland.

6.2 Eine Übermittlung in ein anderes Land findet nur statt, wenn der Kunde zugestimmt hat oder ein Fall nach Anlage 2 vorliegt und die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, zum Beispiel durch die Standardvertragsklauseln der EU-Kommission.

7. Vertraulichkeit

7.1 Alle Personen, die bei uns Zugang zu Kundendaten haben können, sind schriftlich oder in Textform zur Vertraulichkeit verpflichtet, auch über das Ende ihrer Tätigkeit hinaus.

7.2 Sie sind außerdem auf die Wahrung fremder Geheimnisse nach § 203 StGB verpflichtet. Unterliegt der Kunde einem Berufsgeheimnis, schließen wir auf Anfrage eine gesonderte Vereinbarung zur Verschwiegenheit ab.

8. Sicherheit der Verarbeitung

8.1 Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 3 beschrieben sind. Der Kunde hat sie geprüft und hält sie für das Risiko seiner Daten für angemessen. Hat er besonders schutzbedürftige Daten, stimmt er zusätzliche Maßnahmen vorher mit uns ab (Ziffer 3.3).

8.2 Wir passen die Maßnahmen dem Stand der Technik an. Wir dürfen sie durch andere ersetzen, wenn das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentieren wir und teilen sie dem Kunden auf Anfrage mit.

9. Unterauftragsverarbeiter

9.1 Der Kunde ist mit den Unterauftragsverarbeitern in Anlage 2 einverstanden.

9.2 Er erteilt uns außerdem die allgemeine Erlaubnis, weitere Unterauftragsverarbeiter einzusetzen oder bestehende zu ersetzen. Darüber informieren wir den Kunden mindestens vier Wochen vorher per E-Mail. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden wir keine Lösung, darf der Kunde den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.

9.3 Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht. Für seine Pflichtverletzungen haften wir gegenüber dem Kunden wie für eigene.

9.4 Keine Unterauftragsverarbeiter sind Anbieter reiner Nebenleistungen ohne Zugriff auf Kundendaten, etwa Telekommunikation oder die Entsorgung von Datenträgern. Auch dort sorgen wir für angemessenen Schutz.

10. Sicherheitsvorfälle

10.1 Erfahren wir von einer Verletzung des Schutzes von Kundendaten, informieren wir den Kunden unverzüglich, möglichst innerhalb von 24 Stunden und spätestens 48 Stunden, nachdem wir davon wissen.

10.2 Die Meldung enthält, soweit bekannt, was geschehen ist, welche Daten und Personen betroffen sind, welche Folgen wahrscheinlich sind und was wir unternehmen. Fehlende Angaben reichen wir nach, sobald wir sie haben.

10.3 Wir ergreifen sofort die Maßnahmen, die nötig sind, um die Daten zu sichern und Folgen zu begrenzen. Die Meldung an die Aufsichtsbehörde und an betroffene Personen ist Sache des Kunden. Wir unterstützen ihn dabei.

11. Unterstützung des Kunden

11.1 Wir helfen dem Kunden, die Rechte betroffener Personen zu erfüllen, insbesondere Auskunft, Berichtigung, Löschung und Datenübertragbarkeit. Viele Schritte kann der Kunde selbst in Manudock erledigen, etwa Inhalte löschen oder exportieren. Wenden sich betroffene Personen direkt an uns, leiten wir die Anfrage an den Kunden weiter.

11.2 Wir unterstützen den Kunden außerdem bei seinen Pflichten nach Art. 32 bis 36 DSGVO, also bei der Sicherheit, bei Meldungen von Vorfällen, bei einer Datenschutz-Folgenabschätzung und bei der Abstimmung mit der Aufsichtsbehörde. Dafür stellen wir die Informationen bereit, die uns vorliegen.

12. Nachweise und Kontrollen

12.1 Wir stellen dem Kunden auf Anfrage die Informationen bereit, die er braucht, um die Einhaltung dieses Vertrags zu prüfen. Dazu können auch Zertifikate und Prüfberichte unserer Unterauftragsverarbeiter gehören.

12.2 Reichen diese Unterlagen nicht aus, darf der Kunde einmal im Jahr eine Prüfung vornehmen oder durch einen zur Verschwiegenheit verpflichteten Prüfer vornehmen lassen, der nicht unser Wettbewerber ist. Eine Prüfung kündigt er mindestens 30 Tage vorher an. Sie findet zu üblichen Geschäftszeiten statt und darf den Betrieb nicht mehr als nötig stören. Bei einem konkreten Anlass, etwa einem Sicherheitsvorfall, sind auch kürzere Fristen und weitere Prüfungen möglich.

12.3 Jede Seite trägt ihre eigenen Kosten einer Prüfung. Stellt die Prüfung einen erheblichen Verstoß von uns fest, tragen wir die Kosten.

13. Löschung und Herausgabe nach Vertragsende

13.1 Der Kunde kann seine Inhalte während der Laufzeit und bis 30 Tage nach Ende des Hauptvertrags selbst exportieren. Das ist die Herausgabe der Daten im Sinne von Art. 28 Abs. 3 lit. g DSGVO. Braucht der Kunde dabei Hilfe, unterstützen wir ihn.

13.2 Nach Ablauf dieser 30 Tage löschen wir alle Kundendaten aus der Plattform und bestätigen die Löschung per E-Mail. Aus den verschlüsselten Sicherungskopien werden sie mit deren regelmäßiger Löschung entfernt, spätestens nach 180 Tagen. Bis dahin nutzen wir die Sicherungen nur, um nach einem technischen Notfall den Betrieb wiederherzustellen.

13.3 Endet ein kostenloser Test ohne Vertragsabschluss, gilt dasselbe ab dem Ende des Tests.

13.4 Daten, die wir aus gesetzlichen Gründen länger aufbewahren müssen, sperren wir für jede andere Nutzung und löschen sie nach Ablauf der Frist.

14. Haftung und Kosten

14.1 Für die Haftung gelten die Regeln des Hauptvertrags. Die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt. Im Verhältnis zwischen dem Kunden und uns trägt jede Seite den Schaden, der auf ihren eigenen Verstoß zurückgeht.

14.2 Unsere Leistungen nach diesem Vertrag sind mit der Vergütung des Hauptvertrags abgegolten. Aufwand für Prüfungen vor Ort, für Weisungen außerhalb des Leistungsumfangs oder für Unterstützung, die der Kunde durch eigenen Verstoß verursacht hat, können wir nach vorheriger Abstimmung zu angemessenen Sätzen berechnen.

15. Schlussbestimmungen

15.1 Einen Datenschutzbeauftragten haben wir nicht benannt, weil keine gesetzliche Pflicht dazu besteht. Ansprechpartner für den Datenschutz ist der Geschäftsführer Tim Erfurth, info@manudock.com.

15.2 Ändern sich Gesetze, Vorgaben der Aufsichtsbehörden oder unsere Unterauftragsverarbeiter, dürfen wir diesen Vertrag anpassen, soweit es dafür nötig ist und das Schutzniveau nicht sinkt. Wir teilen dem Kunden die Änderung mindestens vier Wochen vorher per E-Mail mit. Widerspricht er aus berechtigtem Grund und finden wir keine Lösung, darf er den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

15.3 Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform.

15.4 Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die den Anforderungen der DSGVO entspricht und dem Gewollten am nächsten kommt.

15.5 Im Übrigen gelten die Schlussbestimmungen des Hauptvertrags, insbesondere zu Rechtswahl und Gerichtsstand.

Anlage 1: Was wir verarbeiten

Art und Zweck der Verarbeitung

Bereitstellung der KI-Plattform Manudock: Speichern von Chats, Dokumenten, Wissenssammlungen, Assistenten, Ordnern und Firmendaten; Übermittlung von Eingaben und Dokumentauszügen an das KI-Modell und Speichern der Antworten; Aufbereitung von Dokumenten für die Suche; Erzeugen von PDF- und Word-Dokumenten mit laufenden Nummern; Versand von E-Mails über das vom Kunden verbundene Postfach; Sicherung, Wartung und Fehlerbehebung.

Arten von Daten

• Kontodaten der Nutzer: Name, E-Mail-Adresse, Rolle, Zugehörigkeit zum Betrieb, Einstellungen
• Inhalte: Eingaben und Antworten in Chats, hochgeladene Dateien und deren Text, Wissenssammlungen, eigene Assistenten und Vorlagen
• Daten in erzeugten Dokumenten: Firmendaten für den Briefkopf, Empfängerangaben, Positionen, Preise, Dokumentnummern
• Daten beim E-Mail-Versand: Absender, Empfänger, Betreff, Text und Anhang; Zugangsdaten oder Zugriffsschlüssel des verbundenen Postfachs
• Alle weiteren personenbezogenen Daten, die der Kunde in Inhalte aufnimmt, zum Beispiel Namen, Anschriften und Kontaktdaten seiner Kunden
• Besondere Kategorien nach Art. 9 DSGVO nur nach Abstimmung gemäß Ziffer 3.3

Betroffene Personen

• Nutzer von Manudock beim Kunden, also Beschäftigte und freie Mitarbeiter
• Kunden, Interessenten, Lieferanten und Geschäftspartner des Kunden sowie deren Ansprechpartner
• Empfänger von E-Mails, die über Manudock versendet werden
• Sonstige Personen, die in den Inhalten des Kunden genannt sind

Anlage 2: Unterauftragsverarbeiter

Unternehmen	Aufgabe	Ort der Verarbeitung	Grundlage nach Art. 44 ff. DSGVO
Elestio Limited, Dublin, Irland	Betrieb, Wartung und Sicherung des Plattform-Servers	Deutschland. Zugriff durch Support-Personal, auch außerhalb der EU, nur mit unserer Freigabe je Support-Anfrage	EU; für Support-Zugriffe aus Drittländern Standardvertragsklauseln
Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland (Unterauftragnehmer von Elestio)	Rechenzentrum für den Plattform-Server	Falkenstein, Deutschland	EU
Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich	Berechnung der KI-Antworten und Aufbereitung von Dokumenten für die Suche; Speicherung von Ein- und Ausgaben bis zu 30 Tage zur Missbrauchserkennung, kein Training	EU und EFTA-Raum (EU-Endpunkt)	EU; Schweiz: Angemessenheitsbeschluss
checkdomain GmbH, Große Burgstraße 27/29, 23552 Lübeck, Deutschland	E-Mail-Postfach für Support-Anfragen, soweit der Kunde uns dabei Kundendaten schickt	Deutschland	EU

Anlage 3: Technische und organisatorische Maßnahmen

Wir sind ein kleines Unternehmen. Deshalb setzen wir auf wenige, gut kontrollierbare Bausteine: einen gemanagten Server in einem zertifizierten Rechenzentrum in Deutschland, Modelle mit Verarbeitung in Europa und kurze Wege bei Zugriffen.

1. Zutritt zu Rechenzentren und Räumen

• Wir betreiben keine eigenen Serverräume. Der Plattform-Server steht im Rechenzentrum der Hetzner Online GmbH in Falkenstein, das nach ISO/IEC 27001 zertifiziert ist. Zutrittskontrolle, Überwachung und Brandschutz stellt der Betreiber.
• In unseren Büroräumen werden keine Kundendaten dauerhaft gespeichert. Arbeitsgeräte werden gesperrt, sobald niemand an ihnen arbeitet.

2. Zugang zu Systemen

• Jede Person hat ein eigenes Konto. Gemeinsam genutzte Konten gibt es nicht.
• Passwörter der Nutzer werden nur als nicht umkehrbarer Prüfwert (Hash) gespeichert.
• Administrative Konten für Plattform, Server und Dienstleister sind mit einem zweiten Faktor gesichert.
• Zugangsdaten verwalten wir in einem Passwort-Manager mit langen, eindeutigen Passwörtern.
• Arbeitsgeräte, auf denen auf Systeme zugegriffen wird, haben verschlüsselte Festplatten, aktuelle Updates und eine automatische Bildschirmsperre.
• Den Server verwalten wir nur über verschlüsselte, zugangsgeschützte Verbindungen.

3. Zugriff auf Kundendaten

• Inhalte sind standardmäßig nur für das Konto sichtbar, das sie angelegt hat. Geteilt wird nur, was ein Nutzer ausdrücklich freigibt.
• Der Zugriff von Plattform-Administratoren auf Chats und Inhalte der Kunden ist abgeschaltet.
• Wir sehen Inhalte nur ein, wenn der Kunde zustimmt oder ein Gesetz es verlangt. Support-Personal von Elestio erhält Zugriff nur mit unserer Freigabe für eine einzelne Support-Anfrage. Der Zugriff endet mit der Anfrage.
• Zugangsdaten und Zugriffsschlüssel verbundener E-Mail-Postfächer speichern wir verschlüsselt. Der Schlüssel liegt getrennt davon.
• Rechte vergeben wir nach dem Grundsatz der geringsten Berechtigung und prüfen sie regelmäßig.

4. Trennung der Kunden

• In der gemeinsamen Umgebung für Test und Pakete ohne eigene Instanz trennen Benutzerkonten, Gruppen und Zugriffsrechte die Daten der Betriebe voneinander.
• Im Paket Secure+ erhält jeder Betrieb eine eigene Instanz mit eigener Datenbank und eigener Adresse.
• Neue Funktionen und Aktualisierungen testen wir mit Testkonten, bevor wir sie für alle Nutzer freischalten.

5. Übertragung und Weitergabe

• Alle Verbindungen zu Website, Plattform, Verbindungsdienst und KI-Modell sind mit TLS verschlüsselt.
• An das KI-Modell geht nur, was für die jeweilige Antwort nötig ist.
• Wir nutzen das KI-Modell ausschließlich über einen Endpunkt mit Verarbeitung in der EU und im EFTA-Raum. Die Nutzung der Daten zum Training ist beim Anbieter ausgeschaltet.
• E-Mails verlassen Manudock erst, nachdem der Nutzer den Versand bestätigt hat. Inhalte und Anhänge versendeter E-Mails speichert der Verbindungsdienst nicht.

6. Nachvollziehbarkeit

• Anmeldungen und administrative Änderungen werden protokolliert.
• Der Betreiber des Servers protokolliert Zugriffe auf die Infrastruktur und bewahrt die Protokolle zwölf Monate auf.
• Erzeugte Dokumente erhalten laufende Nummern, damit nachvollziehbar ist, was wann erstellt wurde.

7. Verfügbarkeit und Wiederherstellung

• Der Server wird täglich gesichert. Die Sicherungen sind verschlüsselt, getrennt vom laufenden System gespeichert und werden nach spätestens 180 Tagen gelöscht.
• Das Rechenzentrum verfügt über redundante Stromversorgung, Klimatisierung und Netzanbindung.
• Wir überwachen die Erreichbarkeit der Plattform und werden bei Ausfällen benachrichtigt.
• Sicherheitsaktualisierungen spielen wir zeitnah ein. Die Wiederherstellung aus einer Sicherung prüfen wir regelmäßig.

8. Organisation und Überprüfung

• Alle Personen mit Zugang zu Kundendaten sind zur Vertraulichkeit und nach § 203 StGB verpflichtet.
• Unterauftragsverarbeiter wählen wir nach ihren Sicherheits- und Datenschutzgarantien aus und schließen mit jedem einen Vertrag nach Art. 28 DSGVO.
• Für Sicherheitsvorfälle gibt es einen festen Ablauf: erkennen, eindämmen, den Kunden nach Ziffer 10 informieren, dokumentieren und daraus lernen.
• Wir überprüfen diese Maßnahmen mindestens einmal im Jahr und bei jeder wesentlichen Änderung der Technik.