Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag

Zugleich Anlage 1 zu den Allgemeinen Geschäftsbedingungen der Schmidt & Ullrich AI Services UG (haftungsbeschränkt) i.G. für die Plattform createyourclone.app. Diese Vereinbarung wird mit Abschluss des Nutzungsvertrages ohne gesonderte Unterzeichnung wirksam. Sie kann auf Verlangen des Verantwortlichen zusätzlich als eigenständiges Dokument gezeichnet werden; inhaltliche Abweichungen bestehen in diesem Fall nicht.

zwischen

dem Expert nach Maßgabe der bei Vertragsschluss hinterlegten Registrierungsdaten – nachfolgend „Verantwortlicher" –

und

Schmidt & Ullrich AI Services UG (haftungsbeschränkt) i.G., Kolonnenstraße 8, 10827 Berlin, Deutschland, vertreten durch den Geschäftsführer Jan Philipp Schmidt. Die Gesellschaft befindet sich in Gründung; die Eintragung in das Handelsregister beim Amtsgericht Charlottenburg ist beantragt. Mit Eintragung gehen die Rechte und Pflichten aus dieser Vereinbarung ohne weitere Erklärung auf die eingetragene Gesellschaft über. – nachfolgend „Auftragsverarbeiter" –

– gemeinsam nachfolgend „Parteien" –

§ 1 Gegenstand, Rangverhältnis, Rollenverteilung

(1) Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen nach Maßgabe des Nutzungsvertrages (nachfolgend „Hauptvertrag"). Dabei verarbeitet er personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen. Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO.

(2) Der Verantwortliche ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für a) die in dem von ihm bereitgestellten Content enthaltenen personenbezogenen Daten Dritter, b) die Konversationsdaten der End User, die im Rahmen der Interaktion mit dem Zwilling anfallen, c) die Stammdaten der End User, die der Verantwortliche über die Plattform erhebt oder verwalten lässt.

(3) Der Auftragsverarbeiter ist eigener Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für a) die Registrierungs-, Vertrags- und Abrechnungsdaten des Verantwortlichen, b) Protokoll- und Sicherheitsdaten, die er zur Abwehr von Missbrauch, zur Gewährleistung der Netz- und Informationssicherheit und zur Erfüllung eigener gesetzlicher Pflichten verarbeitet, c) die automatisierte Prüfung von Eingaben der End User auf verbotene Inhalte, d) die statistische Auswertung der Nutzung, den Vergleich von Anwendungsvarianten und die Weiterentwicklung der Plattform, e) die Verarbeitung irreversibel anonymisierter Daten, die dem sachlichen Anwendungsbereich der DSGVO nicht unterfallen.

Für diese Verarbeitungen gilt diese Vereinbarung nicht; maßgeblich ist insoweit die Datenschutzerklärung des Auftragsverarbeiters.

(4) Eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO wird zwischen den Parteien nicht begründet. Die Parteien sind sich einig, dass die Zwecke und Mittel der Verarbeitung nach Absatz 2 allein vom Verantwortlichen bestimmt werden.

(5) Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag oder dessen sonstigen Anlagen geht diese Vereinbarung vor, soweit es die Verarbeitung personenbezogener Daten nach Absatz 2 betrifft.

§ 2 Gegenstand, Art und Zweck der Verarbeitung

(1) Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb einer KI-basierten Anwendung („Zwilling"), die auf Grundlage des vom Verantwortlichen bereitgestellten Contents in dessen Namen mit End Usern kommuniziert, einschließlich der hierfür erforderlichen Hosting-, Speicher-, Übermittlungs- und Auswertungsvorgänge.

(2) Zweck der Verarbeitung ist ausschließlich die Erfüllung der Pflichten des Auftragsverarbeiters aus dem Hauptvertrag. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt, soweit sie nicht nach § 1 Absatz 3 der eigenen Verantwortlichkeit unterfällt.

(3) Art der Verarbeitung sind insbesondere: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Verändern, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung an Unterauftragsverarbeiter, Abgleichen, Verknüpfen, Einschränken, Löschen und Vernichten. Umfasst sind ferner die Umwandlung von Content in Vektorrepräsentationen, die Übermittlung von Eingaben und Kontextdaten an Programmierschnittstellen von KI-Modell-Anbietern zur Erzeugung von Ausgaben sowie – soweit gebucht – die Umwandlung von Text in Sprache und von Sprache in Text.

(4) Dauer der Verarbeitung: Die Verarbeitung beginnt mit Wirksamwerden des Hauptvertrages und endet mit dessen Beendigung, im Übrigen mit Abschluss der Löschung oder Rückgabe nach § 11.

(5) Der Verantwortliche bleibt im Rahmen dieser Vereinbarung für die Beurteilung der Zulässigkeit der Verarbeitung nach Art. 6 Absatz 1 und, soweit einschlägig, Art. 9 Absatz 2 DSGVO sowie für die Wahrung der Rechte der betroffenen Personen allein verantwortlich.

§ 3 Art der personenbezogenen Daten und Kategorien betroffener Personen

(1) Kategorien betroffener Personen: a) End User des Verantwortlichen, b) Beschäftigte, Auftragnehmer und sonstige vom Verantwortlichen benannte berechtigte Nutzer, c) Dritte, deren personenbezogene Daten im Content des Verantwortlichen enthalten sind.

(2) Kategorien personenbezogener Daten: a) Identifikations- und Kontaktdaten (Name, Benutzername, E-Mail-Adresse, gegebenenfalls Telefonnummer), b) Konversationsdaten (Eingaben der End User, Ausgaben des Zwillings, Chat- und Gesprächsverläufe, Zeitstempel, Sitzungskennungen), c) Sprach- und Audiodaten, soweit sprachbasierte Funktionen genutzt werden, d) Nutzungs- und Metadaten (Aufrufzeitpunkte, verwendete Funktionen, Gerätekennungen, gekürzte IP-Adressen), e) im Content enthaltene personenbezogene Daten Dritter, f) sonstige vom Verantwortlichen freiwillig übermittelte Daten.

(3) Die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ist nicht Gegenstand dieser Vereinbarung und nicht Bestandteil der Zweckbestimmung der Plattform. Der Verantwortliche hat durch geeignete organisatorische Maßnahmen, insbesondere durch Hinweise an seine End User und durch die Gestaltung der Konfiguration seines Zwillings, darauf hinzuwirken, dass solche Daten nicht übermittelt werden. Werden solche Daten gleichwohl durch End User eingegeben, verarbeitet der Auftragsverarbeiter sie im Rahmen der allgemeinen Verarbeitungsvorgänge mit; der Verantwortliche trägt insoweit die Verantwortung für die Rechtsgrundlage nach Art. 9 Absatz 2 DSGVO.

(4) Der Verantwortliche stellt sicher, dass sein Zwilling nicht auf Personen ausgerichtet ist, die das 16. Lebensjahr nicht vollendet haben. Der Auftragsverarbeiter weist End User vor der ersten Nutzung des Chats auf diese Altersgrenze hin und lässt sie bestätigen.

§ 4 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf die Übermittlung in ein Drittland. Etwas anderes gilt nur, soweit der Auftragsverarbeiter nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Der Hauptvertrag einschließlich dieser Vereinbarung stellt die Erstweisung des Verantwortlichen dar. Weitere Weisungen erteilt der Verantwortliche a) durch Nutzung der Konfigurations-, Verwaltungs- und Löschfunktionen der Plattform oder b) in Textform an datenschutz@createyourclone.app.

(3) Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(4) Weisungen sind vom Auftragsverarbeiter zu dokumentieren und für die Dauer von drei Jahren nach Vertragsende aufzubewahren.

(5) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, hat er den Verantwortlichen unverzüglich darauf hinzuweisen. Der Auftragsverarbeiter ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung durch den Verantwortlichen auszusetzen. Offensichtlich rechtswidrige Weisungen darf der Auftragsverarbeiter nicht ausführen.

(6) Zusätzlicher Aufwand des Auftragsverarbeiters, der durch Weisungen entsteht, die über die vertraglich vereinbarten Leistungen hinausgehen, wird nach dem jeweils gültigen Stundensatz des Auftragsverarbeiters vergütet. Der Auftragsverarbeiter wird den Verantwortlichen vor Entstehen des Aufwands hierauf hinweisen.

§ 5 Vertraulichkeit

(1) Der Auftragsverarbeiter setzt zur Verarbeitung ausschließlich Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung wirkt über die Beendigung des jeweiligen Beschäftigungsverhältnisses hinaus fort.

(2) Der Auftragsverarbeiter macht die mit der Verarbeitung betrauten Personen vor Aufnahme der Tätigkeit mit den für sie geltenden datenschutzrechtlichen Bestimmungen vertraut und schult sie in angemessenen Abständen.

(3) Der Zugriff auf Konversationsdaten durch Beschäftigte des Auftragsverarbeiters erfolgt nur, soweit dies zur Störungsbeseitigung, zur Erfüllung einer Weisung des Verantwortlichen, zur Abwehr eines konkreten Missbrauchsverdachts, zur Bewertung der Antwortqualität oder zur Erfüllung einer gesetzlichen Pflicht erforderlich ist. Sitzungen, in denen sich Beschäftigte des Auftragsverarbeiters zur Fehleranalyse zeitlich begrenzt in ein Nutzerkonto versetzen, werden protokolliert.

§ 6 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage A zu dieser Vereinbarung beschrieben.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter ist berechtigt, sie anzupassen, darf das vereinbarte Schutzniveau dabei jedoch nicht unterschreiten. Wesentliche Änderungen dokumentiert er und teilt sie dem Verantwortlichen auf Anforderung mit.

(3) Der Auftragsverarbeiter überprüft die Wirksamkeit der Maßnahmen in angemessenen Abständen, mindestens jährlich, und dokumentiert das Ergebnis.

§ 7 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung nach Art. 28 Absatz 2 Satz 2 DSGVO zur Hinzuziehung weiterer Auftragsverarbeiter (Unterauftragsverarbeiter). Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage B aufgeführt und werden zusätzlich unter https://staging.createyourclone.app/de/unterauftragsverarbeiter veröffentlicht.

(2) Nicht als Unterauftragsverarbeitung im Sinne dieser Vereinbarung gelten Nebenleistungen, die der Auftragsverarbeiter bei Dritten in Anspruch nimmt und die die Verarbeitung der Daten nach § 2 nicht zum Gegenstand haben, insbesondere Telekommunikationsleistungen, Post- und Transportdienstleistungen sowie Wartung von Einrichtungen, bei denen ein Zugriff auf personenbezogene Daten nicht bestimmungsgemäß erfolgt. Der Auftragsverarbeiter trifft insoweit angemessene Maßnahmen zum Schutz der Daten.

(3) Der Auftragsverarbeiter unterrichtet den Verantwortlichen über jede beabsichtigte Hinzuziehung eines neuen oder jeden Austausch eines bestehenden Unterauftragsverarbeiters mindestens 30 Tage vor dem geplanten Wirksamwerden in Textform oder über eine im Nutzerkonto abrufbare Benachrichtigung. Die Unterrichtung enthält Name, Anschrift, Verarbeitungsgegenstand, Verarbeitungsort und – bei Drittlandbezug – die Übermittlungsgrundlage.

(4) Der Verantwortliche kann der Änderung innerhalb von 14 Tagen nach Zugang der Unterrichtung aus einem datenschutzrechtlich begründeten Anlass in Textform widersprechen. Der Widerspruch ist zu begründen.

(5) Im Fall eines begründeten Widerspruchs bemühen sich die Parteien um eine einvernehmliche Lösung, insbesondere um zusätzliche Garantien oder einen alternativen Unterauftragsverarbeiter. Kommt binnen 30 Tagen keine Einigung zustande, ist der Verantwortliche berechtigt, den Hauptvertrag mit einer Frist von 30 Tagen zu kündigen; bereits im Voraus gezahlte Entgelte werden anteilig erstattet.

(6) Bei unaufschiebbarem Austausch eines Unterauftragsverarbeiters aus Gründen der Sicherheit, der Verfügbarkeit oder aufgrund einer Beendigung durch den Unterauftragsverarbeiter kann die Unterrichtung ausnahmsweise unverzüglich nachgeholt werden. Das Widerspruchsrecht nach Absatz 4 bleibt unberührt.

(7) Der Auftragsverarbeiter wählt Unterauftragsverarbeiter sorgfältig unter besonderer Berücksichtigung der Eignung ihrer technischen und organisatorischen Maßnahmen aus. Er verpflichtet sie vertraglich auf datenschutzrechtliche Pflichten, die den Pflichten aus dieser Vereinbarung im Wesentlichen entsprechen, insbesondere auf die Gewährung hinreichender Garantien nach Art. 28 Absatz 4 DSGVO.

(8) Der Auftragsverarbeiter stellt sicher, dass eingesetzte Anbieter von Antwortmodellen und von Transkriptionsdiensten vertraglich verpflichtet sind, über die Programmierschnittstelle übermittelte Eingabe- und Ausgabedaten nicht zum Training, zur Feinabstimmung oder zur sonstigen Verbesserung ihrer Modelle zu verwenden. Bei Anbietern der Sprachausgabe stellt der Auftragsverarbeiter dies durch eine entsprechende Kontoeinstellung sicher, soweit eine vertragliche Verpflichtung nicht besteht. Die KI-Modell-Anbieter speichern übermittelte Daten für einen begrenzten Zeitraum, in der Regel bis zu 30 Tage, zur Erkennung und Abwehr von Missbrauch und löschen sie anschließend, soweit keine gesetzlichen Pflichten entgegenstehen.

(9) Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen für die Einhaltung der datenschutzrechtlichen Pflichten durch die von ihm eingesetzten Unterauftragsverarbeiter nach Maßgabe des Art. 28 Absatz 4 Satz 2 DSGVO.

§ 8 Verarbeitung in Drittländern

(1) Eine Verarbeitung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums findet nur statt, soweit die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

(2) Der Auftragsverarbeiter stützt Übermittlungen in Drittländer auf a) einen Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO, insbesondere im Fall zertifizierter Empfänger im Rahmen des EU-US Data Privacy Framework, oder b) die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914) in dem jeweils einschlägigen Modul, ergänzt um erforderliche zusätzliche Maßnahmen nach einer dokumentierten Transfer-Folgenabschätzung.

(3) Der Verantwortliche bevollmächtigt den Auftragsverarbeiter, die Standardvertragsklauseln mit Unterauftragsverarbeitern in seinem Namen abzuschließen. Kopien werden dem Verantwortlichen auf Anforderung in dem rechtlich zulässigen Umfang zur Verfügung gestellt; Geschäftsgeheimnisse dürfen geschwärzt werden.

(4) Hosting, Datenbank und Dateispeicher befinden sich innerhalb des Europäischen Wirtschaftsraums. Der Verantwortliche wird jedoch gesondert darauf hingewiesen, dass zur Erzeugung der Ausgaben sowie zur automatisierten Inhaltsprüfung und zur Vektorisierung Eingaben, Kontextdaten und Teile des Contents an KI-Modell-Anbieter mit Verarbeitungsstandort außerhalb des Europäischen Wirtschaftsraums übermittelt werden. Die jeweils eingesetzten Anbieter, deren Verarbeitungsstandorte und die Übermittlungsgrundlage ergeben sich aus Anlage B.

(5) Eine Beschränkung der Verarbeitung auf Anbieter mit Verarbeitungsstandort im Europäischen Wirtschaftsraum bietet der Auftragsverarbeiter derzeit nicht an.

§ 9 Unterstützungspflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung der Rechte nach Art. 15 bis 22 DSGVO nachzukommen. Hierzu stellt er Funktionen im Nutzerkonto bereit und unterstützt den Verantwortlichen im Übrigen auf Anforderung, insbesondere durch die Bereitstellung eines Datenexports in strukturierter Form und durch die Ausführung von Löschungen.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser den Antrag unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst, es sei denn, der Verantwortliche weist ihn hierzu an, eine gesetzliche Pflicht besteht oder der Antrag betrifft eine Verarbeitung in eigener Verantwortlichkeit des Auftragsverarbeiters nach § 1 Absatz 3.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei der Datenschutz-Folgenabschätzung und der vorherigen Konsultation der Aufsichtsbehörde, unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

(4) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind.

(5) Für Unterstützungsleistungen, die über den gesetzlich geschuldeten Umfang hinausgehen oder die auf einem Verhalten des Verantwortlichen oder seiner End User beruhen, kann der Auftragsverarbeiter eine angemessene Vergütung nach seiner jeweils gültigen Preisübersicht verlangen.

§ 10 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten im Sinne des Art. 4 Nr. 12 DSGVO, die die nach § 2 verarbeiteten Daten betrifft, unverzüglich nach Bekanntwerden, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung, in Textform an die vom Verantwortlichen hinterlegte Kontaktadresse.

(2) Die Meldung enthält, soweit verfügbar: a) eine Beschreibung der Art der Verletzung einschließlich, soweit möglich, der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze, b) den Namen und die Kontaktdaten der Anlaufstelle des Auftragsverarbeiters, c) eine Beschreibung der wahrscheinlichen Folgen, d) eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Schadensminderung.

(3) Sind nicht alle Angaben zum Zeitpunkt der Erstmeldung verfügbar, meldet der Auftragsverarbeiter unverzüglich nach und stellt die weiteren Informationen ohne unangemessene Verzögerung bereit.

(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen Meldepflichten nach Art. 33 DSGVO gegenüber der Aufsichtsbehörde und bei der Benachrichtigung betroffener Personen nach Art. 34 DSGVO. Die Meldefrist des Verantwortlichen nach Art. 33 Absatz 1 DSGVO von 72 Stunden bleibt hiervon unberührt; die Parteien stimmen sich unverzüglich ab, damit der Verantwortliche diese Frist einhalten kann.

(5) Meldungen an die Aufsichtsbehörde oder an betroffene Personen nimmt der Auftragsverarbeiter im Namen des Verantwortlichen nur auf dessen ausdrückliche Weisung vor.

(6) Der Auftragsverarbeiter dokumentiert alle Verletzungen des Schutzes personenbezogener Daten einschließlich der ergriffenen Abhilfemaßnahmen.

§ 11 Löschung und Rückgabe nach Beendigung

(1) Nach Beendigung der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter alle nach § 2 verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück.

(2) Der Verantwortliche teilt seine Wahl innerhalb von 30 Tagen nach Vertragsende in Textform mit. Trifft er keine Wahl, erfolgt die Löschung.

(3) Die Rückgabe erfolgt in einem strukturierten, gängigen und maschinenlesbaren Format (JSON) innerhalb von 15 Werktagen nach Zugang der Anforderung.

(4) Die Löschung produktiver Daten erfolgt innerhalb von 30 Tagen nach Ablauf der Frist nach Absatz 2. In verschlüsselten Sicherungskopien vorhandene Daten werden im Rahmen des regulären Sicherungszyklus, spätestens innerhalb von 30 Tagen, gelöscht; bis zur Löschung bleiben sie von der Verarbeitungsbeschränkung dieser Vereinbarung erfasst.

(5) Eine Aufbewahrungspflicht des Auftragsverarbeiters nach dem Recht der Union oder der Mitgliedstaaten bleibt unberührt. In diesem Fall wird die Verarbeitung auf den zur Erfüllung der Aufbewahrungspflicht erforderlichen Umfang beschränkt.

(6) Der Auftragsverarbeiter bestätigt die vollständige Löschung auf Anforderung in Textform.

§ 12 Kontroll- und Auditrechte

(1) Der Verantwortliche hat das Recht, sich von der Einhaltung dieser Vereinbarung zu überzeugen. Der Auftragsverarbeiter ermöglicht Überprüfungen und trägt zu ihnen bei.

(2) Der Nachweis erfolgt vorrangig durch Vorlage geeigneter Nachweise, insbesondere durch a) die Dokumentation der technischen und organisatorischen Maßnahmen, b) die Beantwortung eines Prüffragebogens des Verantwortlichen in angemessenem Umfang, c) soweit vorhanden, aktuelle Testate, Zertifikate oder Prüfberichte unabhängiger Stellen sowie zusammengefasste Berichte über durchgeführte Penetrationstests.

(3) Genügen die Nachweise nach Absatz 2 im begründeten Einzelfall nicht, kann der Verantwortliche eine Vor-Ort-Prüfung während der üblichen Geschäftszeiten nach vorheriger Anmeldung mit einer Frist von mindestens 30 Tagen durchführen, in der Regel höchstens einmal je Kalenderjahr. Bei Vorliegen eines konkreten Anlasses, insbesondere nach einer Verletzung des Schutzes personenbezogener Daten oder auf Anordnung einer Aufsichtsbehörde, entfallen die Beschränkungen nach Häufigkeit und Frist.

(4) Der Verantwortliche kann die Prüfung durch einen zur Verschwiegenheit verpflichteten Dritten durchführen lassen. Der Auftragsverarbeiter kann einen Prüfer ablehnen, der Wettbewerber des Auftragsverarbeiters ist; in diesem Fall benennt der Verantwortliche einen anderen Prüfer.

(5) Prüfungen sind so durchzuführen, dass der Geschäftsbetrieb des Auftragsverarbeiters nicht unverhältnismäßig beeinträchtigt wird und die Vertraulichkeit der Daten anderer Kunden gewahrt bleibt.

(6) Der Auftragsverarbeiter kann für den Aufwand einer Vor-Ort-Prüfung eine angemessene Vergütung verlangen, es sei denn, die Prüfung ergibt einen vom Auftragsverarbeiter zu vertretenden Verstoß gegen diese Vereinbarung.

(7) Der Auftragsverarbeiter duldet Kontrollen der zuständigen Aufsichtsbehörden und wirkt an ihnen mit.

§ 13 Weitere Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art. 30 Absatz 2 DSGVO.

(2) Der Auftragsverarbeiter hat keinen Datenschutzbeauftragten bestellt, da die gesetzlichen Voraussetzungen des Art. 37 Absatz 1 DSGVO in Verbindung mit § 38 BDSG derzeit nicht vorliegen. Ansprechpartner für Datenschutzfragen ist der Geschäftsführer, erreichbar unter datenschutz@createyourclone.app.

(3) Der Auftragsverarbeiter setzt das Prinzip des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen nach Art. 25 DSGVO um, soweit er auf die Gestaltung der Verarbeitung Einfluss hat.

(4) Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich über Kontrollhandlungen und Maßnahmen einer Aufsichtsbehörde sowie über Ermittlungsmaßnahmen von Strafverfolgungsbehörden, die die Verarbeitung nach § 2 betreffen, soweit dem keine gesetzliche Verpflichtung entgegensteht.

(5) Die Verarbeitung findet ausschließlich in den in Anlage B bezeichneten Verarbeitungsorten statt.

§ 14 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen allein verantwortlich.

(2) Der Verantwortliche hat insbesondere sicherzustellen, dass a) für die Verarbeitung durch den Zwilling eine wirksame Rechtsgrundlage besteht, b) die End User nach Art. 13, 14 DSGVO informiert werden, einschließlich eines Hinweises auf die automatisierte Erzeugung der Ausgaben und auf die Einbindung von KI-Modell-Anbietern sowie auf Drittlandübermittlungen, c) er eine eigene, auf sein Angebot bezogene Datenschutzerklärung vorhält, d) er eine erforderliche Datenschutz-Folgenabschätzung durchführt.

(3) Der Verantwortliche unterrichtet den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Ergebnisse des Auftragsverarbeiters feststellt.

§ 15 Haftung, Schlussbestimmungen

(1) Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Innenverhältnis haften die Parteien nach Maßgabe ihrer jeweiligen Verantwortungsbeiträge.

(2) Die Haftungsbeschränkungen des Hauptvertrages finden auf Ansprüche wegen Verletzung dieser Vereinbarung sowie auf Ansprüche nach Art. 82 DSGVO keine Anwendung.

(3) Diese Vereinbarung endet mit Beendigung des Hauptvertrages, jedoch nicht vor vollständiger Erfüllung der Pflichten nach § 11. Die §§ 5, 10 Absatz 6 und 12 gelten für die Dauer der jeweiligen Aufbewahrungsfristen fort.

(4) Änderungen dieser Vereinbarung bedürfen der Textform. § 19 der AGB gilt entsprechend.

(5) Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(6) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit gesetzlich zulässig, Berlin.

Anlage A – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Diese Anlage beschreibt den zum Stand 31. Juli 2026 tatsächlich umgesetzten Stand. Maßnahmen, die noch nicht umgesetzt sind, sind als solche gekennzeichnet und nicht Vertragsinhalt.

A.1 Pseudonymisierung und Verschlüsselung

• Verschlüsselung sämtlicher Datenübertragungen über öffentliche Netze mittels TLS in der Version 1.2 oder höher.
• Verschlüsselung ruhender Daten (Encryption at Rest) auf Datenträgern und in Datenbanken durch die eingesetzten Hosting- und Speicherdienstleister.
• Verschlüsselte Ablage von Sicherungskopien.
• Speicherung von Passwörtern ausschließlich als Hashwerte unter Verwendung eines anerkannten Verfahrens mit Salt.
• Speicherung von IP-Adressen gesperrter Zugänge ausschließlich als kryptografischer Hashwert.
• Pseudonymisierung von Kennungen in Auswertungs- und Protokolldaten, soweit der Verarbeitungszweck dies zulässt.

A.2 Vertraulichkeit

Zutrittskontrolle: Betrieb ausschließlich in Rechenzentren der eingesetzten Hosting-Dienstleister mit Zutrittssicherung, Videoüberwachung und dokumentierter Zutrittsberechtigung. Eigene Serverräume werden nicht betrieben.

Zugangskontrolle: Individuelle Benutzerkonten ohne Sammelkonten; Passwortrichtlinie mit Mindestkomplexität; Speicherung von Passwörtern ausschließlich gehasht; Sitzungen mit begrenzter Gültigkeit; administrativer Zugriff ausschließlich über gesicherte Verbindungen. Eine Mehr-Faktor-Authentifizierung für administrative Zugänge der Plattform ist in Vorbereitung und derzeit noch nicht umgesetzt.

Zugriffskontrolle: Rollenbasiertes Berechtigungskonzept nach dem Erforderlichkeitsprinzip (Least Privilege) mit getrennten Rollen für administrative und reguläre Nutzer; Überprüfung der vergebenen Berechtigungen in angemessenen Abständen; Protokollierung von Sitzungen, in denen sich administrative Nutzer zur Fehleranalyse in ein Nutzerkonto versetzen.

Trennungskontrolle: Mandantenfähige Architektur mit logischer Trennung der Daten je Expert; der Content und die Konversationsdaten eines Experts werden nicht für den Betrieb des Zwillings eines anderen Experts verwendet; getrennte Systemumgebungen für Entwicklung und Produktion.

A.3 Integrität

Weitergabekontrolle: Übermittlung an Unterauftragsverarbeiter ausschließlich über verschlüsselte Verbindungen und authentifizierte Programmierschnittstellen; dokumentierte Übermittlungswege; keine Übermittlung auf mobilen Datenträgern.

Eingabekontrolle: Protokollierung von Erstellung, Änderung und Löschung von Datensätzen mit Benutzerkennung und Zeitstempel; Schutz der Protokolldaten gegen unbefugte Änderung durch beschränkte Zugriffsrechte; Aufbewahrung der Protokolle für die Dauer, die zur Aufklärung von Sicherheitsvorfällen erforderlich ist.

A.4 Verfügbarkeit und Belastbarkeit

• Betrieb auf einer Infrastruktur mit automatisierter Wiederherstellung nach Ausfällen.
• Automatisierte, verschlüsselte Datensicherung durch den Hosting-Dienstleister in regelmäßigem Turnus.
• Überprüfung der Wiederherstellbarkeit der Sicherungen in angemessenen Abständen.
• Schutz vor Schadsoftware, Begrenzung der Anfragen pro Zeiteinheit (Rate Limiting) und Schutzmaßnahmen der eingesetzten Infrastrukturanbieter gegen Überlastungsangriffe.
• Überwachung der Systemverfügbarkeit mit Alarmierung.
• Ein dokumentierter Notfall- und Wiederanlaufplan mit definierten Wiederherstellungszielen (RTO/RPO) befindet sich im Aufbau.

A.5 Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Datenschutz-Management mit dokumentierten Verantwortlichkeiten und Überprüfung der Maßnahmen mindestens jährlich.
• Verfahren zur Behandlung von Sicherheitsvorfällen mit definierten Eskalationswegen und Meldefristen.
• Schwachstellenmanagement: laufende Aktualisierung eingesetzter Komponenten und Behebung bekannt gewordener Schwachstellen nach Kritikalität.
• Verpflichtung aller Beschäftigten auf die Vertraulichkeit; Unterweisung in Datenschutz und Informationssicherheit in angemessenen Abständen.
• Auftragskontrolle: dokumentierte Auswahl und Überwachung von Unterauftragsverarbeitern, vertragliche Verpflichtung nach Art. 28 DSGVO.
• Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen nach Art. 25 DSGVO.
• Regelmäßige Penetrationstests durch unabhängige Dritte sind derzeit nicht Bestandteil des Verfahrens.

Anlage B – Verzeichnis der Unterauftragsverarbeiter

Stand: 31. Juli 2026. Die jeweils aktuelle Fassung ist abrufbar unter https://staging.createyourclone.app/de/unterauftragsverarbeiter.

Die Reichweitenmessung erfolgt mit selbst betriebener Software (Umami) auf eigener Infrastruktur; ein externer Analysedienstleister wird nicht eingesetzt.

Ein Zahlungsdienstleister wird derzeit nicht eingesetzt; die Aufnahme erfolgt vor Beginn des entgeltlichen Betriebs nach Maßgabe des § 7 Absätze 3 bis 6.

Die unter Nummern 2 und 3 aufgeführten KI-Modell-Anbieter sind vertraglich verpflichtet, die übermittelten Eingabe- und Ausgabedaten nicht zum Training oder zur Verbesserung ihrer Modelle zu verwenden. Bei dem unter Nummer 7 aufgeführten Anbieter ist die Nutzung zu Trainingszwecken durch eine vom Auftragsverarbeiter gesetzte Kontoeinstellung ausgeschlossen; eine entsprechende vertragliche Verpflichtung besteht insoweit nicht.