Auftragsverarbeitungsvertrag (AVV)

Vorbemerkung

Dieser Vertrag konkretisiert die Pflichten der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO. Er gilt zwischen dem jeweiligen Mandanten (Verantwortlicher im Sinne der DSGVO) und HR Management GmbH (Auftragsverarbeiter) und wird Bestandteil des Hauptvertrags über die Nutzung von CuraLogik, sobald der Mandant ihm zustimmt.

Fassung 1.0 dieses Dokuments entspricht der beim Anbieter hinterlegten AVV-Fassung, der ein Mandant im Produkt zustimmen kann. Eine neue Fassung wird technisch als neue Versionsnummer geführt; bereits erteilte Zustimmungen zu einer älteren Fassung bleiben nachweisbar erhalten.

1. Gegenstand, Dauer, Art und Zweck der Verarbeitung

Gegenstand ist die Verarbeitung personenbezogener Daten, die in vom Mandanten in CuraLogik hochgeladenen Dokumenten enthalten sind, sowie daraus abgeleiteter Daten (Textabschnitte, Such-/Vektorindex, Zitate), zum Zweck der Bereitstellung eines durchsuchbaren, KI-gestützten Wissensassistenten für den Mandanten.

Die Verarbeitung erfolgt für die Dauer des Hauptvertrags. Art der Verarbeitung: Erheben (Hochladen), Speichern, Indexieren, Durchsuchen und Anzeigen der hochgeladenen Inhalte einschließlich Erstellung von KI-generierten Antworten mit Quellenangaben.

2. Kategorien betroffener Personen und Datenarten

Die Kategorien betroffener Personen und Datenarten ergeben sich ausschließlich aus dem Inhalt der vom Mandanten hochgeladenen Dokumente und liegen in dessen Verantwortung. Typischerweise können dies Beschäftigte, Kunden oder Patienten/Klienten des Mandanten sein; typische Datenarten sind Stammdaten, Kontaktdaten sowie — je nach Branche des Mandanten — besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), z. B. Gesundheitsdaten bei Mandanten aus dem Gesundheitswesen.

PLATZHALTER: Sollen besondere Kategorien personenbezogener Daten ausdrücklich vertraglich zugelassen werden, ist dies hier branchenspezifisch zu konkretisieren statt allgemein offenzuhalten — vor Veröffentlichung mit der Datenschutz-Kanzlei abzustimmen.

3. Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Mandanten, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. Die Konfiguration von Kategorien, Zugriffsrechten und Standorten durch den Mandanten selbst gilt als Weisung im Sinne dieses Vertrags.

4. Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Mandantentrennung ist doppelt abgesichert: eine zentrale Repository-Schicht erzwingt in jeder Datenbankabfrage einen Mandanten- und Rechtekontext, zusätzlich erzwingt eine Postgres-Row-Level-Security-Regel denselben Kontext auf Datenbankebene als zweite, unabhängige Verteidigungslinie. Abfragen an den Vektorindex tragen stets einen Mandanten- und Kategoriefilter.

• Authentifizierung ausschließlich über Passkeys (WebAuthn) — es existieren keine Passwörter, damit kein Risiko durch Passwort-Wiederverwendung oder -Diebstahl.
• Rechte wirken auf Ebene der Datenabfrage, nicht nur in der Benutzeroberfläche — eine fehlende Berechtigung blendet Inhalte nicht nur aus, sondern verhindert den Datenzugriff strukturell.
• Quellenangaben und Dateinamen werden vor Auslieferung einer Antwort nach demselben Rechtekontext gefiltert.
• Sicherheitsrelevante Vorgänge werden unveränderbar (append-only) protokolliert, ohne Möglichkeit nachträglicher Änderung oder Löschung durch Anwendungscode.
• Zugriff des Betreiberpersonals auf Mandanteninhalte (nicht auf Metadaten wie Tarif/Nutzung) ist nur über einen befristeten, aus konkretem Anlass gewährten und jederzeit widerrufbaren Support-Zugriff möglich, der zusätzlich zum Betreiber-Protokoll auch im Protokoll des betroffenen Mandanten sichtbar wird.
• Neu angelegte Kategorien und nicht zugeordnete Dokumente sind bis zur ausdrücklichen Freigabe privat.
• Export von Mandantendaten erfolgt ausschließlich gefiltert je Mandant, niemals als Rohkopie des gemeinsam genutzten Suchindex.

PLATZHALTER: ergänzende Angaben zu physischer Sicherheit/Standort der Rechenzentren, Verschlüsselung ruhender/übertragener Daten im Detail sowie Backup-/Notfallkonzept — vor Veröffentlichung mit dem Hosting-Anbieter und der Datenschutz-Kanzlei abzustimmen.

6. Unterauftragsverarbeiter

Der Mandant stimmt dem Einsatz der in der Datenschutzerklärung unter „Empfänger und Auftragsverarbeiter" genannten Unterauftragsverarbeiter zu. Ausdrücklich nicht als Unterauftragsverarbeiter eingesetzt werden Dritte für Vektorindex, Einbettungsdienst, Objektspeicher, Datenbank, Texterkennung sowie das Ticketsystem für Support-Anfragen und die zugehörige Workflow-Automatisierung — diese Komponenten werden selbst betrieben.

PLATZHALTER: Verfahren zur Ankündigung neuer Unterauftragsverarbeiter (Vorlaufzeit) und Widerspruchsrecht des Mandanten — vor Veröffentlichung festzulegen.

7. Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Mandanten im Rahmen des technisch Möglichen und Zumutbaren bei der Erfüllung von Betroffenenrechten sowie bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten, insbesondere bei der Meldung von Verletzungen des Schutzes personenbezogener Daten.

8. Löschung und Rückgabe nach Auftragsende

Nach Beendigung der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten des Mandanten nach Maßgabe der AGB (Datenexport und Löschung bei Vertragsende), sofern nicht eine gesetzliche Aufbewahrungspflicht entgegensteht.

9. Kontroll- und Nachweispflichten

Der Auftragsverarbeiter stellt dem Mandanten die zur Nachweisführung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, im vertretbaren Rahmen. PLATZHALTER: konkretes Audit-Verfahren (Ankündigungsfrist, Kostentragung, Häufigkeit) — vor Veröffentlichung festzulegen.

10. Haftung

Es gelten die Haftungsregelungen des Hauptvertrags (AGB § 9) entsprechend.