Vertrag zur Auftragsverarbeitung
Parteien
Auftragsverarbeiter: Dietrich Peters, Projekt „SRG Wissen“ (in Gründung), Kutenhauser Straße 169, 32425 Minden
Verantwortlicher: [Firma des Kunden]
§ 1 Gegenstand und Dauer
Gegenstand: Bereitstellung und Betrieb der Plattform SRG Wissen für Compliance-, Unterweisungs- und Qualitätsmanagement.
Dauer: für die Laufzeit des Hauptvertrags zwischen den Parteien.
§ 2 Art und Zweck der Verarbeitung
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur Erbringung der vereinbarten Leistungen, insbesondere:
- Speicherung von Mitarbeiter-Stammdaten (Name, E-Mail, Rolle, Sprache)
- Speicherung von Unterweisungs-Nachweisen und Quiz-Ergebnissen
- Verarbeitung von hochgeladenen Fotos und Audio-Aufnahmen
- Erzeugung von Audit-Protokollen
§ 3 Art der personenbezogenen Daten
- Identifikationsdaten (Name, E-Mail)
- Authentifizierungsdaten (gehashtes Passwort)
- Sprach- und Bildaufnahmen (zur Diagnose und Dokumentation)
- Aktivitäts- und Audit-Daten (Login-Zeiten, durchgeführte Unterweisungen)
§ 4 Kategorien der betroffenen Personen
- Mitarbeiter:innen des Auftraggebers
- Führungskräfte (Meister, Unterweiser)
- Administrative Nutzer:innen
§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Verschlüsselung at-rest mit AWS KMS (Customer Managed Keys)
- Verschlüsselung in-transit (TLS 1.2 oder höher)
- Tenant-Isolation auf Datenbank-Ebene
- Multi-Faktor-Authentifizierung für Administratoren in Vorbereitung
- Web Application Firewall (WAF) gegen typische Web-Angriffe
- Regelmäßige Backups, Wiederherstellungstests
- Zugriffsprotokollierung auf alle administrativen Zugriffe
§ 6 Unterauftragsverarbeiter
Der Verantwortliche willigt mit Vertragsschluss in den Einsatz folgender Unterauftragsverarbeiter ein:
- Amazon Web Services EMEA SARL (Hosting in eu-central-1, Frankfurt) — Stand: aktiv
- Anthropic / Amazon Bedrock (KI-Sprach- und Bildverarbeitung in EU-Region) — Stand: aktiv
- ElevenLabs (Sprachsynthese und -erkennung) — Stand: aktiv
Änderungen werden dem Verantwortlichen mit angemessenem Vorlauf mitgeteilt. Ein Widerspruchsrecht besteht.
§ 7 Datentransfer in Drittländer
Es findet kein Transfer personenbezogener Daten in Drittländer außerhalb der EU statt. Sämtliche Verarbeitung erfolgt in der Region eu-central-1 (Frankfurt).
§ 8 Pflichten des Auftragsverarbeiters
- Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen
- Vertraulichkeit (Verpflichtung der mit Verarbeitung betrauten Personen)
- Unterstützung bei der Erfüllung von Betroffenenrechten
- Meldung von Datenschutzverletzungen ohne unangemessene Verzögerung, spätestens innerhalb von 24 Stunden nach Kenntniserlangung
- Unterstützung bei Datenschutz-Folgenabschätzungen
- Nach Vertragsende: Löschung oder Rückgabe aller Daten nach Wahl des Verantwortlichen
§ 9 Pflichten des Verantwortlichen
- Erfassung der Rechtsgrundlage für die Verarbeitung
- Information der betroffenen Personen
- Wahrung der Betroffenenrechte
- Wahl geeigneter Tarife und Funktionen
§ 10 Kontrollrechte
Der Verantwortliche kann die Einhaltung der vereinbarten technischen und organisatorischen Maßnahmen kontrollieren. Vor-Ort-Kontrollen sind nach Vereinbarung möglich und werden vom Auftragsverarbeiter unterstützt.
§ 11 Haftung
Die Haftung richtet sich nach Art. 82 DSGVO und den Allgemeinen Geschäftsbedingungen.
§ 12 Vertragsübergang bei Gründung
Der Auftragsverarbeiter Dietrich Peters wird im Rahmen des Projekts „SRG Wissen“ einen Rechtsträger (voraussichtlich GmbH) gründen. Der Verantwortliche stimmt bereits jetzt zu, dass mit Gründung dieses Rechtsträgers sämtliche Rechte und Pflichten aus diesem Auftragsverarbeitungsvertrag auf den neuen Rechtsträger übergehen. Der Verantwortliche wird unverzüglich über die Gründung schriftlich informiert.