Auftragsverarbeitungsvertrag

Dieser Vertrag ist Teil der Nutzungsbedingungen. Er gilt für jede Organisation, deren Personen im Dienst arbeiten. Er entsteht in elektronischer Form (Art. 28 Abs. 9 DSGVO), wenn eine berechtigte Person die Nutzungsbedingungen für die Organisation annimmt. Ein gegengezeichnetes Exemplar erhalten Sie auf Anfrage. Widersprechen sich dieser Vertrag und die Nutzungsbedingungen beim Datenschutz, gilt dieser Vertrag. Er gilt, solange wir Daten für die Organisation verarbeiten.

Für die Konten ihrer Personen, also Anmeldung, Sitzung und Kontosicherheit, sind wir selbst verantwortlich. Dasselbe gilt für Server-Logdateien, Seitenstatistik, E-Mail-Protokoll und Supportanfragen, wie die Datenschutzerklärung beschreibt. Alles, was die Organisation über ihre Personen im Dienst anlegt oder was dort über sie entsteht, verarbeiten wir in ihrem Auftrag. Eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO besteht nicht.

Gegenstand ist der Betrieb des Dienstes für die Organisation in den Produkten, die sie gebucht hat. Wir speichern die Daten, zeigen sie an und übermitteln sie an die Personen, die die Organisation berechtigt. Im Planspiel werten wir sie aus. Ruft eine Person der Organisation eine KI-Funktion auf, verarbeitet ein KI-Modell den betroffenen Text. Zweck ist die Zusammenarbeit der Personen der Organisation, die Durchführung ihrer Seminare und Planspiele und die Unterstützung der Organisation durch unser Team. Die Verarbeitung dauert, solange die Organisation den Dienst nutzt. Sie endet mit der Rückgabe oder Löschung nach diesem Vertrag.

Betroffen sind die Mitglieder der Organisation, die Personen, die sie einlädt, und Personen, die in ihren Inhalten vorkommen. Die Daten sind Name, E-Mail-Adresse, die Berechtigungen je Produkt, die Teams und die erstellten Inhalte einschließlich hochgeladener Dokumente. Im Planspiel kommen die Züge, die aktuelle Seite jeder Person und die Dauer je Seite hinzu. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Dienstes, und die Organisation bringt sie nicht ein.

Wir verarbeiten diese Daten nur, um den Dienst zu betreiben, und nur auf dokumentierte Weisung der Organisation. Weisungen erteilt die Organisation über die Einstellungen des Dienstes, durch die Nutzung seiner Funktionen und in Textform durch ihre Administratoren an die unten genannte Adresse. Zu den Weisungen gehören die Einrichtung des Gebuchten, die Unterstützung ihrer Personen und die Sicherheit des Dienstes. Ruft eine Person der Organisation eine KI-Funktion auf, weist uns die Organisation damit an, den Text an den unten genannten Unterauftragsverarbeiter in einem Drittland zu übermitteln. In ihren Einstellungen legt die Organisation fest, ob die Spielleitung die Zeit je Seite für jede Person sieht oder nur die Summe je Unternehmen. Für die Rechtsgrundlage dieser Verarbeitung ist die Organisation verantwortlich. Sie informiert ihre Personen nach Art. 13 DSGVO. Wo nötig holt sie die Zustimmung des Betriebs- oder Personalrats ein, insbesondere für die Auswertung je Person (§ 87 Abs. 1 Nr. 6 BetrVG). Halten wir eine Weisung für einen Verstoß gegen Datenschutzrecht, sagen wir das der Organisation.

Die Organisation weist uns an, aus den Daten des Planspiels anonyme Summen zu bilden. Diese Summen nennen weder eine Person noch die Organisation. Die Organisation erlaubt uns, sie zur Verbesserung des Dienstes zu nutzen. Sie enthalten keine personenbezogenen Daten mehr.

Alle, die wir zur Verarbeitung ermächtigen, sind zur Vertraulichkeit verpflichtet. Benannte Mitglieder unseres Teams können eine Organisation zu den genannten Zwecken öffnen. Nur wer Organisationen verwaltet, kann deren Mitgliederliste lesen. Niemand kann sich als eine ihrer Personen anmelden. Jeden Zugriff protokollieren wir mit Person, Zeitpunkt und Vorgang und bewahren das Protokoll 365 Tage auf. Die Administratoren der Organisation können es auf deren Seite lesen.

Die Organisation erlaubt uns allgemein, die folgenden Unterauftragsverarbeiter einzusetzen. Jeder von ihnen ist durch einen Vertrag an dieselben Datenschutzpflichten gebunden wie wir durch diesen Vertrag. Für ihre Pflichterfüllung haften wir gegenüber der Organisation.

dataforest GmbH, Kriftel, Deutschland. Hosting unserer Server in Rechenzentren in Frankfurt, Deutschland.

AhaSend B.V., Amsterdam, Niederlande. Versand von E-Mails, verarbeitet in der Europäischen Union.

OpenRouter Inc., New York, USA. Leitet Text an den Anbieter des genutzten KI-Modells weiter, wenn eine Person eine KI-Funktion aufruft. Die Modellanbieter sind weitere Unterauftragsverarbeiter von OpenRouter. Sie können in den USA oder einem anderen Drittland sitzen und dürfen den Text weder speichern noch zum Training nutzen. Die Übermittlung beruht auf den Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO). Die derzeit genutzten Modelle: ….

Wollen wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, teilen wir das den Administratoren der Organisation mindestens 30 Tage vorher per E-Mail und im Dienst mit. Die Organisation kann bis zum Wirksamwerden aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Finden wir dann keine zumutbare Lösung, kann jede Seite die betroffenen Produkte zum Wirksamwerden kündigen.

Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die der nächste Abschnitt beschreibt. Unsere Server stehen in Frankfurt, Deutschland, in Rechenzentren von dataforest GmbH, Kriftel, Deutschland. dataforest arbeitet für uns nach einem eigenen Vertrag nach Art. 28 DSGVO und mit den in der Datenschutzerklärung genannten Zertifizierungen. Wir überprüfen die Maßnahmen regelmäßig und halten sie dem Risiko angemessen. Ihr Schutzniveau senken wir nicht, ohne es der Organisation mitzuteilen.

Die Anmeldung läuft über Einmalcodes per E-Mail, nicht über Passwörter. Rollen und Berechtigungen je Produkt bestimmen, was eine Person sieht und ändern darf. Der Server schneidet jede Antwort auf die berechtigte Person zu, bevor er sie sendet.

Jede Verbindung zum Dienst ist mit TLS verschlüsselt. Server und Datenbanken sind von außen nicht direkt erreichbar, sondern nur über einen Proxy, der die Verschlüsselung abschließt. Die Sperrliste der Marktbeobachtung ist zusätzlich verschlüsselt gespeichert.

Daten sind je Organisation gekennzeichnet, und jede Abfrage ist auf die Organisationen der anfragenden Person begrenzt. Keine Antwort enthält Daten einer anderen Organisation.

Jeden Zugriff unseres Teams auf eine Organisation protokollieren wir mit Person, Zeitpunkt und Vorgang. Ihre Administratoren können das Protokoll lesen. Die Seitenstatistik führen wir nur unter einem Tagespseudonym, dessen Schlüssel wir am nächsten Tag löschen.

Aufbewahrungsfristen setzt der Dienst selbst durch. Besuche im Planspiel, Zugriffsprotokolle, das E-Mail-Protokoll und die Fragen an den Strategiefuchs löscht er automatisch nach den Fristen in der Datenschutzerklärung. Wird eine Organisation gelöscht, werden ihre Inhalte mit ihr gelöscht.

Alle Personen unseres Teams sind zur Vertraulichkeit verpflichtet, und nur benannte Personen können eine Organisation öffnen. Sicherheitsvorfälle melden wir innerhalb der oben genannten Frist.

Erfahren wir von einer Verletzung des Schutzes der Daten, für die die Organisation verantwortlich ist, informieren wir ihre Administratoren innerhalb von 48 Stunden per E-Mail. Die Mitteilung nennt, soweit bekannt, die Art der Verletzung, die betroffenen Personen und Daten, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen (Art. 33 Abs. 3 DSGVO). Wissen wir mehr, ergänzen wir sie. Wir unterstützen die Organisation bei ihren eigenen Pflichten nach Art. 32 bis 36 DSGVO, auch bei einer Datenschutz-Folgenabschätzung, soweit uns die Angaben vorliegen.

Wir unterstützen die Organisation mit geeigneten Maßnahmen dabei, die Anfragen ihrer Personen nach Art. 15 bis 22 DSGVO zu beantworten. Erreicht uns eine solche Anfrage direkt, leiten wir sie unverzüglich an die Organisation weiter. Wir verweisen die Person an die Organisation, statt selbst zu antworten.

Wir geben der Organisation die Angaben, die sie braucht, um die Einhaltung dieses Vertrags nachzuweisen. Wir ermöglichen Überprüfungen durch die Organisation oder einen von ihr beauftragten Prüfer, der zur Vertraulichkeit verpflichtet ist, und wirken daran mit. Eine Überprüfung wird mindestens 14 Tage vorher angekündigt. Ohne konkreten Anlass findet sie maximal einmal im Jahr statt. Sie darf den Dienst nicht stören und keine Daten anderer Organisationen erreichen. Jede Seite trägt ihre eigenen Kosten.

Wird eine Organisation gelöscht oder endet die Verarbeitung, kann die Organisation bis 30 Tage danach die Rückgabe ihrer Daten in einem gängigen, maschinenlesbaren Format verlangen. Danach löschen wir die Daten mit allen Kopien, sofern uns das Gesetz nicht zur Aufbewahrung verpflichtet. Die Löschung bestätigen wir auf Anfrage. Einzelne Personen können ihr Konto jederzeit selbst löschen. Ihre Beiträge in der Organisation bleiben bei dieser.

Dieser Vertrag gilt in deutscher Sprache. Die englische Fassung ist eine unverbindliche Übersetzung zur Orientierung. Bei Abweichungen gilt die deutsche Fassung.

Für die Vereinbarung oder Fragen zu dieser Seite schreiben Sie an: dpa@techtropy.com.