Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand, Art und Zweck

Zentroa verarbeitet personenbezogene Daten ausschließlich, um dem Kunden die Software Zentroa mit der KI-Assistentin Mira bereitzustellen: Speicherung und Anzeige der vom Kunden eingegebenen oder empfangenen Geschäftsdaten, Versand und Empfang von Nachrichten in seinem Auftrag, KI-gestützte Entwürfe, Antworten und Auswertungen sowie Dateiablage.

2. Art der Daten und Kreis der Betroffenen

Daten: Namen, Kontakt- und Adressdaten, Unternehmensangaben, Inhalte von Anfragen, Angeboten, Aufträgen, Rechnungen, Aufgaben, Notizen und Nachrichten, Dateien, Nutzungs- und Protokolldaten.

Betroffene: Kunden, Interessenten, Ansprechpartner und Lieferanten des Kunden, seine Beschäftigten und Nutzer.

3. Weisungen

Zentroa verarbeitet die Daten nur auf dokumentierte Weisung des Kunden; als Weisung gelten dieser Vertrag, die AGB und die Einstellungen und Aktionen des Kunden in der Software. Hält Zentroa eine Weisung für rechtswidrig, informiert sie den Kunden unverzüglich. Eine Verarbeitung zu eigenen Zwecken, insbesondere zum Training allgemeiner KI-Modelle, findet nicht statt.

4. Vertraulichkeit und Sicherheit

Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet. Zentroa trifft die in der Anlage Technische und organisatorische Maßnahmen beschriebenen Maßnahmen nach Art. 32 DSGVO, insbesondere: verschlüsselte Übertragung (TLS), Trennung der Mandanten auf Datenbankebene (Zeilensicherheit je Unternehmen), rollenbasierte Berechtigungen, Passwort-Hashing und Sitzungsschutz, Protokollierung sicherheitsrelevanter Vorgänge, Virenprüfung hochgeladener Dateien, verschlüsselte und unveränderbar gesperrte Sicherungen mit regelmäßigem Wiederherstellungstest. Die Maßnahmen werden dem Stand der Technik angepasst, ohne das Schutzniveau zu senken.

5. Unterauftragsverarbeiter

Der Kunde genehmigt den Einsatz der in der Anlage Unterauftragsverarbeiter genannten Anbieter (Hostinger, Hostinger Business Email, Hetzner Online GmbH und OpenAI).

Vom Kunden selbst verbundene Postfachanbieter (z. B. Google, Microsoft) sind Dienste des Kunden, keine Unterauftragsverarbeiter von Zentroa. Zentroa informiert den Kunden mindestens vier Wochen vor dem Einsatz eines neuen oder dem Austausch eines Unterauftragsverarbeiters; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den betroffenen Dienst kündigen. Zentroa verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau.

6. Übermittlung in Drittländer

Einzelne Unterauftragsverarbeiter verarbeiten Daten auch außerhalb der EU bzw. des EWR, insbesondere in den USA. Eine solche Übermittlung erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, etwa durch einen Angemessenheitsbeschluss (EU-US Data Privacy Framework) oder Standardvertragsklauseln der EU-Kommission.

7. Unterstützung des Kunden

Zentroa unterstützt den Kunden mit geeigneten Maßnahmen bei der Beantwortung von Anfragen betroffener Personen (Art. 12–22 DSGVO), bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei der Zusammenarbeit mit Aufsichtsbehörden. Wenden sich Betroffene direkt an Zentroa, leitet Zentroa die Anfrage an den Kunden weiter.

8. Verletzungen des Schutzes personenbezogener Daten

Zentroa meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den nach Art. 33 Abs. 3 DSGVO verfügbaren Informationen, und ergreift die erforderlichen Maßnahmen zur Eindämmung.

9. Löschung und Rückgabe

Der Kunde kann seine Daten jederzeit über die Exportfunktion abrufen, auch nach Ende des Hauptvertrags, solange der lesende Zugang besteht. Nach Vertragsende löscht Zentroa die Daten frühestens 90 Tage nach dem Ende und nach einer Ankündigung an den Inhaber mindestens 30 Tage vorher in Textform; auf Antrag des Inhabers nach Prüfung früher. Die Löschung wird protokolliert und auf Anfrage in Textform bestätigt.

Ausgenommen sind Daten, die aufgrund gesetzlicher Aufbewahrungspflichten des Kunden aufzubewahren sind und die Zentroa nach den AGB (§ 10 Abs. 4) in seinem Auftrag weiter aufbewahrt – archivierte Rechnungen (acht Jahre), Angebote und Mahnungen (sechs Jahre) samt der für sie erforderlichen Rechnungs- und Kundendaten, Dateien mit einer vom Kunden gesetzten Aufbewahrungsfrist sowie längere Fristen aus rechtlichem Grund. Insoweit gilt dieser Vertrag als Weisung zur Aufbewahrung bis zum Fristende; die Kopie im externen Archiv ist bis dahin technisch gegen Löschung gesperrt. Danach werden diese Daten gelöscht.

Daten in Sicherungen werden im Rahmen des regulären Sicherungszyklus entfernt (spätestens nach etwa fünf Monaten) und bis dahin nur zur Wiederherstellung des Gesamtsystems verwendet.

10. Nachweise und Kontrollen

Zentroa stellt dem Kunden die zum Nachweis der Pflichten erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen durch den Kunden oder einen beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach rechtzeitiger Ankündigung während der Geschäftszeiten, ohne Störung des Betriebs und unter Wahrung der Vertraulichkeit anderer Kunden.

11. Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB. Bei Widersprüchen geht dieser Vertrag den AGB in Datenschutzfragen vor. Es gilt deutsches Recht.