§1Gegenstand, Art, Zweck und Dauer der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur Erbringung der im Dienstleistungsvertrag VTR-2026-003 vereinbarten Automatisierungs- und KI-Leistungen. Art und Zweck ergeben sich aus dem Vertrag; die Verarbeitung erfolgt auf der Infrastruktur des Auftragsverarbeiters. Die Dauer entspricht der Laufzeit des Hauptvertrags.

§2Art der Daten und Kategorien betroffener Personen

Besondere Datenkategorien (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung, sofern nicht ausdrücklich vereinbart.

§3Pflichten des Auftragsverarbeiters

1. Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen, sofern nicht gesetzlich anders verpflichtet.
2. Verpflichtung der eingesetzten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO).
3. Umsetzung geeigneter technisch-organisatorischer Maßnahmen (§4) nach Art. 32 DSGVO.
4. Unterstützung des Verantwortlichen bei Betroffenenrechten, Meldepflichten und Datenschutz-Folgenabschätzungen im Rahmen des Zumutbaren.

§4Technisch-organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter unterhält angemessene TOMs, insbesondere: Zugangs- und Zugriffskontrolle (individuelle Zugänge, Passwortschutz), Verschlüsselung bei Übertragung (TLS), regelmäßige Backups, Pseudonymisierung wo möglich, Protokollierung sowie ein Verfahren zur regelmäßigen Überprüfung. Die vollständige TOM-Beschreibung ist als Anlage 1a beigefügt.

§5Unterauftragsverhältnisse

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu. Wechsel/Ergänzungen werden vorab mitgeteilt; der Verantwortliche kann widersprechen.

Hinweis: Erfolgt eine Verarbeitung durch KI-Dienste außerhalb der EU, ist ein geeignetes Transferinstrument (EU-US Data Privacy Framework oder Standardvertragsklauseln) sicherzustellen. Falls die KI-Verarbeitung ausschließlich innerhalb der EU stattfindet, entfällt diese Zeile.

§6Betroffenenrechte, Meldung von Verletzungen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Auskunfts-, Berichtigungs-, Lösch- und weiteren Betroffenenrechten. Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden.

§7Löschung und Rückgabe nach Vertragsende

Nach Abschluss der Leistungen stellt der Auftragsverarbeiter die verarbeiteten Daten dem Verantwortlichen bereit (Export) und löscht sie danach einschließlich vorhandener Kopien innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht.

§8Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Vereinbarung zur Verfügung und ermöglicht Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO) mit angemessener Vorankündigung.