Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag ("AVV") wird geschlossen zwischen der NMA Venture Capital GmbH ("Auftragsverarbeiter"), ansässig unter der Anschrift Am Sandtorkai 27, 20457 Hamburg, Deutschland, und dem Kunden, der die Plietsch-Plattform nutzt ("Verantwortlicher"), und bildet einen integralen Bestandteil der Allgemeinen Geschäftsbedingungen (AGB).

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der Plietsch-Plattform-SaaS-Plattform. Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrages (AGB).

2. Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zum Zweck der Erbringung der vertraglich vereinbarten Leistungen, einschließlich:

• Verwaltung und Authentifizierung von Benutzerkonten
• Speicherung und Verarbeitung von Aufgabenkonfigurationen und Arbeitsergebnissen
• KI-gestützte Agenten-Orchestrierung und Datenabrufe
• Zustellung transaktionaler Benachrichtigungen per E-Mail
• Abonnement- und Rechnungsverwaltung

Nicht Gegenstand dieses AVV: die Nutzung abgeleiteter Labels und anonymisierter Strukturstatistiken zur Verbesserung der gemeinsamen Klassifikationsmodelle nach § 8 der AGB. Für diese Nutzung ist der Auftragsverarbeiter selbst Verantwortlicher auf der dort genannten Grundlage und handelt nicht auf Weisung des Verantwortlichen. Die Gestattung des Verantwortlichen, ihre Grenzen (keine Nachrichteninhalte, je Mandant getrennter und neu ableitbarer Korpus, Löschung innerhalb der genannten Fristen, EU-Hosting, keine Dritten), der Widerspruch und der Ausschluss von Daten aus Google-Quellen sind in § 8 der AGB geregelt.

3. Kategorien betroffener Personen und personenbezogener Daten

Betroffene Personen

Mitarbeiter und Vertreter des Verantwortlichen; Zielkontakte und Teammitglieder, deren Daten über die Plattform verarbeitet werden.

Kategorien personenbezogener Daten

• Kontaktdaten (Name, E-Mail-Adresse)
• Betriebsdaten (Aufgabenkonfigurationen, Scraing-Ergebnisse, Systemeingaben)
• Nutzungsprotokolle (IP-Adressen, Abfrageparameter, Ausführungszeiten)
• Abgeleitete Labels (Entscheidungskennung, vorgeschlagene und gewählte Klasse bzw. beobachtetes Ergebnis, Zeitstempel, Mandantenkennung; nie Nachrichteninhalte) — im Auftrag des Verantwortlichen innerhalb seines Mandanten zur Kalibrierung verarbeitet; ihre Nutzung für die gemeinsamen Modelle ist die eigenverantwortliche Nutzung des Auftragsverarbeiters nach § 8 der AGB

Anonymisierte Strukturstatistiken (aggregierte Kennzahlen wie Thread-Länge, Zahl der Beteiligten, Antwortlatenz und Anteile je Entscheidungsklasse) sind keine personenbezogenen Daten und werden hier nur der Vollständigkeit halber genannt.

4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich dazu:

• Personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten
• Sicherzustellen, dass sich die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet haben
• Geeignete technische und organisatorische Sicherheitsmaßnahmen zu implementieren (Art. 32 DSGVO)
• Den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen zu unterstützen
• Nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten zu löschen oder zurückzugeben
• Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten gemäß Art. 28 DSGVO bereitzustellen

5. Unterauftragsverarbeiter

Der Verantwortliche erteilt hiermit die allgemeine Genehmigung zur Nutzung von Unterauftragsverarbeitern. Aktuelle Partner:

• UpCloud Ltd (Finnland) — Primäre Serverknoten (ausschließlich EU)
• Mollie B.V. (Niederlande) — Zahlungsabwicklung (ausschließlich EU)
• Resend Inc. (USA/EU) — Transaktionaler E-Mail-Versand (auf Grundlage von EU-Standardvertragsklauseln)
• Cloudflare Inc. (USA) — CDN-, DNS- und Sicherheitsdienste (auf Grundlage von EU-Standardvertragsklauseln)
• Google Ireland Ltd. (Irland) — Cloud-Infrastruktur (EU-Rechenzentren)

Der Auftragsverarbeiter wird den Verantwortlichen über jede beabsichtigte Änderung bezüglich der Hinzufügung oder des Austauschs von Unterauftragsverarbeitern informieren, damit der Verantwortliche Einspruch erheben kann.

6. Technische und organisatorische Maßnahmen (TOMs)

• Verschlüsselung von Daten bei der Übertragung (TLS 1.3) und im Ruhezustand (AES-256)
• Zugriffskontrollen und Einhaltung des Minimalprinzips (Least Privilege)
• Regelmäßige Sicherheitsüberprüfungen und Audits
• Verfahren zur schnellen Wiederherstellung der Datenverfügbarkeit im Störungsfall
• Regelmäßige Schulung des Personals zum Datenschutz

7. Übermittlung in Drittländer

Soweit Daten an Dienstleister in Drittländern (z. B. USA) übermittelt werden, erfolgt dies auf Grundlage des EU-U.S. Data Privacy Frameworks oder von EU-Standardvertragsklauseln.

8. Kontakt

Für Fragen zum AVV: [email protected]