Auftragsverarbeitungsvertrag

zwischen dem Kunden, der ein Abo des KI-Denkraums oder einen Einzelvertrag über ein Team abschließt (Verantwortlicher), und der lennartgehl.com GmbH, Hans-Henny-Jahnn-Weg 53, 22085 Hamburg, Amtsgericht Hamburg HRB 173152, vertreten durch den Geschäftsführer Lennart Maximilian Gehl (Anbieter, Auftragsverarbeiter).

§ 1 Vertragsschluss und Anwendungsbereich

(1) Dieser Vertrag ist Anlage der AGB des KI-Denkraums. Kunde und Anbieter vereinbaren ihn mit dem Abschluss eines Abos oder eines Einzelvertrags über ein Team nach den AGB, etwa eines Piloten, ohne dass es einer gesonderten Erklärung bedarf. Maßgeblich ist die bei Vertragsschluss gültige Fassung; der Anbieter speichert, welche Fassung galt, beim Einzelvertrag nennt dieser sie.

(2) Der Vertrag gilt, soweit der Anbieter personenbezogene Daten der Nutzer im Auftrag des Kunden verarbeitet. Das ist der Fall, sobald der Kunde im KI-Denkraum ein Team anlegt oder der Anbieter es nach einem Einzelvertrag für ihn anlegt, und solange das Team besteht. Nutzer sind die natürlichen Personen, denen der Kunde über das Team eine Einzellizenz gibt, einschließlich der Personen mit der Rolle Inhaber oder Admin.

(3) Der Vertrag ist in jeder Fassung unter kidenkraum.com als Seite und als PDF abrufbar und lässt sich speichern und ausdrucken (elektronisches Format nach Art. 28 Abs. 9 DSGVO); dasselbe gilt für jeden Stand seiner Anlagen.

(4) Für die Verarbeitung im Auftrag geht dieser Vertrag den AGB vor. Im Übrigen gelten die Begriffe der AGB.

§ 2 Gegenstand, Art, Zweck und Dauer

(1) Gegenstand ist die Bereitstellung der Plattform an die vom Kunden berechtigten Nutzer im Rahmen des Abos oder Einzelvertrags eines Teams, mit den Funktionen, die die Plattform jeweils bietet. Dazu gehören insbesondere:

1. Einladungen an die geschäftlichen E-Mail-Adressen, die Inhaber oder Admins angeben, und bei einem Team nach Einzelvertrag an die Adressen, die der Kunde dem Anbieter nennt;
2. die Teamverwaltung: Mitgliedschaft, Rollen (Inhaber, Admin, Mitglied), Einzellizenzen, Einladungsstatus und das Protokoll dieser Vorgänge;
3. die Konten der eingeladenen Nutzer, soweit sie dem Teamzugang dienen, einschließlich Anmeldung, Herunterladen der eigenen Daten und Löschen des Kontos;
4. die zugehörigen Mails;
5. die Funktionen, die ein Nutzer in seinem Konto nutzt, etwa das Speichern und Bewerten von Inhalten, die Suche und Dienste, die er selbst mit seinem Konto verbindet.

(2) Art der Verarbeitung: Erheben, Speichern, Ordnen, Abgleichen, Anzeigen für den Nutzer selbst und für Inhaber und Admins, Versenden per E-Mail, Löschen.

(3) Die Daten dienen ausschließlich den Leistungen nach Absatz 1. Setzt der Anbieter ein KI-Modell ein, geschieht das über einen Unterauftragsverarbeiter mit Verarbeitung in der EU (Anlage 2), der die Eingaben nicht speichert. Ein KI-Modell erhält höchstens den eingegebenen Suchbegriff ohne Bezug zum Konto und, für Support und Betrieb in einer dafür getrennten Arbeitssitzung, die für den Fall nötigen Angaben. Zum Training von KI-Modellen und für Werbung nutzt der Anbieter die Daten nicht.

(4) Die Verarbeitung dauert so lange wie das Abo oder der Einzelvertrag des Teams; § 10 gilt darüber hinaus.

§ 3 Betroffene Personen und Arten von Daten

(1) Betroffen sind Beschäftigte des Kunden und sonstige vom Kunden berechtigte Personen, insbesondere für ihn tätige freie Mitarbeitende, sowie Personen, die der Kunde einlädt, schon vor Annahme der Einladung.

(2) Verarbeitet werden:

1. Kontodaten: Name, geschäftliche E-Mail-Adresse, Name des Unternehmens, Sprache, Anmeldedaten einschließlich der Kennungen eines gewählten Anmeldedienstes oder eines Identitätsanbieters des Kunden;
2. Teamdaten: Zugehörigkeit zum Team, Rolle, Zeitpunkt des Beitritts;
3. Einladungsdaten: eingeladene Adresse, vorgesehene Rolle, einladende Person und die Zeitpunkte der Einladung;
4. Protokolldaten der Teamverwaltung und der Anmeldung: Vorgänge mit Zeitpunkt und handelnder Person, Zeitpunkte von Registrierung und Anmeldungen, IP-Adresse, Browserkennung;
5. Kommunikationsdaten: Mails mit Empfängeradresse, Name, Inhalt und Zustellstatus;
6. Einstellungen und gespeicherte Einträge des Nutzers in seinem Konto, etwa gespeicherte Inhalte und Bewertungen mit Zeitpunkt und Dienste, die er mit seinem Konto verbindet;
7. Eingaben zur Ausführung einer Funktion, etwa Suchbegriffe, nur für die Dauer der Verarbeitung; wie lange technische Protokolle sie enthalten, nennt die Anlage 1.

(3) Besondere Kategorien personenbezogener Daten (Art. 9 und 10 DSGVO) sind nicht Gegenstand. Der Kunde trägt solche Daten auch nicht in Freitextfelder ein, etwa in den Namen des Teams.

(4) Nicht erfasst ist das Leseverhalten: Der Anbieter wertet nicht nutzerbezogen aus, welche Inhalte ein Nutzer aufruft, sucht oder herunterlädt, und zeigt Inhabern und Admins nichts davon. Aufrufe erscheinen nur in den technischen Protokollen des Hostings. Gespeicherte Einträge und Bewertungen (Absatz 2 Nr. 6) sind nur für den Nutzer selbst sichtbar, nie für Inhaber oder Admins. Zusammengefasste Auswertungen, mit denen der Anbieter Auswahl und Darstellung der Inhalte verbessert, nimmt er in eigener Verantwortung vor (§ 4 Abs. 1 Nr. 7).

§ 4 Abgrenzung zur eigenen Verantwortung des Anbieters

(1) Nicht Gegenstand dieses Vertrags sind Verarbeitungen, für die der Anbieter selbst verantwortlich ist:

1. Vertragsabwicklung und Abrechnung mit dem Kunden, einschließlich Kasse, Zahlung, Rechnungen und der Zahl der gebuchten Einzellizenzen;
2. das Konto der Person, die das Abo für den Kunden bestellt oder die der Kunde als Ansprechperson eines Einzelvertrags nennt, soweit es der Vertragsabwicklung dient;
3. Nachweise über die Bestätigung der Unternehmereigenschaft und die Annahme der AGB und dieses Vertrags;
4. die Sicherheit der Plattform insgesamt und die Abwehr von Missbrauch, etwa die Auswertung technischer Protokolle zur Erkennung von Angriffen und das Sperren missbräuchlicher Zugriffe;
5. die Erfüllung gesetzlicher Pflichten, etwa zur Aufbewahrung;
6. die Testphase und Konten außerhalb eines Teams, etwa ein Konto, das schon vor der Einladung bestand, und ein Konto nach Ende der Teamzugehörigkeit (§ 10 Abs. 3);
7. das Zusammenfassen gespeicherter Einträge und Bewertungen zu Summen ohne Bezug zu einzelnen Personen, nie je Team oder Kunde und nur über mindestens zehn Nutzer; die Summen enthalten keine personenbezogenen Daten.

(2) Diese Abgrenzung verkürzt die Verarbeitung im Auftrag nicht. Einladungen, Teamverwaltung und die Konten der Nutzer bleiben, soweit sie dem Teamzugang dienen, Verarbeitung im Auftrag, auch wenn der Anbieter daraus Angaben für einen Zweck nach Absatz 1 braucht. Er nutzt dann nur das dafür Erforderliche; der Zahlungsdienstleister erhält aus der Teamverwaltung etwa nur die Zahl der Einzellizenzen, keine Namen oder Adressen, aus einem Team nach Einzelvertrag gar nichts. Die Maßnahmen nach Anlage 1 bleiben Pflicht aus diesem Vertrag.

(3) Für die Verarbeitungen nach Absatz 1 gilt die Datenschutzerklärung des KI-Denkraums.

§ 5 Weisungen

(1) Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch bei einer Übermittlung in ein Drittland. Verpflichtet ihn das Recht der Europäischen Union oder Deutschlands zu einer anderen Verarbeitung, teilt er dem Kunden diese Pflicht vorher mit, sofern das Recht die Mitteilung nicht verbietet.

(2) Die Weisungen des Kunden sind die AGB, dieser Vertrag und die Einstellungen und Eingaben, die Nutzer, Inhaber und Admins in den Funktionen der Plattform vornehmen, insbesondere in der Teamverwaltung: einladen, Einladungen erneut senden oder zurücknehmen, Rollen ändern, Mitglieder entfernen. Dazu gehört es, wenn ein Nutzer selbst einen Dienst mit seinem Konto verbindet; der Anbieter übermittelt an den Dienst nur, was der Nutzer dafür freigibt. Solche Dienste sind keine Unterauftragsverarbeiter des Anbieters; für sie ist der Kunde oder der Dienst selbst verantwortlich. Bei einem Team nach Einzelvertrag sind Weisungen auch der Einzelvertrag mit seinen Änderungen, die Adressen und Rollen, die der Kunde dem Anbieter für Einladungen nennt, und ein Wechsel des Inhabers, den er in Textform verlangt. Der Kunde weist den Anbieter außerdem an, jedem Nutzer in seinem Konto das Herunterladen seiner Daten und das Löschen seines Kontos zu ermöglichen.

(3) Weitere Weisungen erteilen die gesetzlichen Vertreter des Kunden oder der Inhaber des Teams in Textform an hallo@kidenkraum.com. Der Anbieter dokumentiert sie. Eine Weisung, die über den vereinbarten Leistungsumfang hinausgeht, behandelt er als Wunsch nach einer Vertragsänderung.

(4) Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert.

§ 6 Vertraulichkeit und Sicherheit

(1) Der Anbieter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen, und gibt ihnen nur den Zugriff, den ihre Aufgabe erfordert. Die Pflicht besteht nach Vertragsende fort.

(2) Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die Anlage 1 in der jeweils veröffentlichten Fassung beschreibt; maßgeblich bei Vertragsschluss ist der zuletzt davor veröffentlichte Stand, frühere Stände bleiben abrufbar. Er darf sie weiterentwickeln, solange das Schutzniveau dieses Standes nicht sinkt, und teilt wesentliche Änderungen in Textform mit.

(3) Ansprechpartner für Datenschutz ist die Geschäftsführung unter hallo@kidenkraum.com. Einen Datenschutzbeauftragten hat der Anbieter nicht benannt, weil keine Pflicht dazu besteht (Art. 37 DSGVO, § 38 BDSG).

§ 7 Unterauftragsverarbeiter

(1) Der Kunde erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO). Die eingesetzten Unterauftragsverarbeiter nennt Anlage 2; genehmigt sind die Unterauftragsverarbeiter des zuletzt vor Vertragsschluss veröffentlichten Standes, frühere Stände bleiben abrufbar. Jeden späteren Stand, der einen Unterauftragsverarbeiter hinzufügt oder ersetzt, kündigt der Anbieter nach Absatz 2 an; der Kunde kann nach Absatz 3 widersprechen.

(2) Bevor der Anbieter einen Unterauftragsverarbeiter hinzuzieht oder ersetzt, informiert er den Kunden mindestens 30 Tage vorher in Textform, per E-Mail an den Inhaber des Teams.

(3) Der Kunde kann der Änderung aus einem sachlichen datenschutzrechtlichen Grund innerhalb von 14 Tagen nach Zugang der Information in Textform widersprechen. Die Parteien suchen dann eine Lösung. Gelingt das nicht, kann der Kunde das Abo oder den Einzelvertrag des Teams außerordentlich zu dem Zeitpunkt kündigen, zu dem die Änderung wirksam wird; im Voraus gezahlte Entgelte erstattet der Anbieter nach der Regel der AGB zur Erstattung bei vorzeitigem Vertragsende anteilig.

(4) Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf die Datenschutzpflichten dieses Vertrags, soweit sie für dessen Leistung gelten, in der Regel über dessen Vertrag zur Auftragsverarbeitung. Für die Erfüllung dieser Pflichten haftet der Anbieter gegenüber dem Kunden (Art. 28 Abs. 4 DSGVO).

§ 8 Übermittlung in Drittländer

(1) Verarbeitet ein Unterauftragsverarbeiter Daten außerhalb der EU und des EWR oder greift er von dort auf sie zu, geschieht das nur unter den Voraussetzungen der Art. 44 bis 49 DSGVO: auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795) bei zertifizierten Empfängern oder von Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914). Anlage 2 nennt die Grundlage je Dienst.

(2) Entfällt eine Grundlage, stellt der Anbieter die Übermittlung auf eine andere Garantie um oder beendet sie und informiert den Kunden.

§ 9 Unterstützung und Datenschutzverletzungen

(1) Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei den Rechten betroffener Personen (Art. 12 bis 22 DSGVO). Inhaber und Admins können Mitglieder entfernen und Einladungen zurücknehmen; jeder Nutzer kann seine Daten herunterladen und sein Konto löschen. Bittet ein Nutzer den Anbieter um Export oder Löschung seines Kontos, erledigt der Anbieter das nach § 5 Abs. 2. Andere Anfragen zur Teamverwaltung leitet er unverzüglich an den Kunden weiter.

(2) Bei den Pflichten nach Art. 32 bis 36 DSGVO unterstützt der Anbieter den Kunden mit den Informationen, die ihm vorliegen.

(3) Eine Verletzung des Schutzes personenbezogener Daten, die im Auftrag verarbeitete Daten betrifft, meldet der Anbieter dem Kunden unverzüglich, nachdem sie ihm bekannt geworden ist, nach Möglichkeit innerhalb von 48 Stunden. Die Meldung geht per E-Mail an den Inhaber des Teams und enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben reicht er nach. Er ergreift unverzüglich Maßnahmen, um die Verletzung zu beheben und ihre Folgen zu mildern. Aufsichtsbehörde und Betroffene benachrichtigt der Kunde; der Anbieter tut das nur auf Weisung oder aufgrund eigener gesetzlicher Pflicht.

(4) Für Unterstützung, die über die Funktionen der Plattform und einen geringen Aufwand hinausgeht, kann der Anbieter eine angemessene Vergütung verlangen, außer sie beruht auf einer eigenen Pflichtverletzung.

§ 10 Löschung und Rückgabe

(1) Während der Laufzeit löscht der Anbieter die Teamzugehörigkeit eines Mitglieds, sobald Inhaber oder Admins es entfernen, und eine Einladung 30 Tage nach ihrer Annahme, Rücknahme oder ihrem Ablauf; wann eine Einladung abläuft, regeln die AGB. Einträge im Protokoll der Teamverwaltung löscht er zwölf Monate nach ihrer Entstehung. Gespeicherte Einträge und Bewertungen löscht er, sobald der Nutzer sie entfernt oder sein Konto löscht.

(2) Nach Ende des Abos oder Einzelvertrags des Teams löscht der Anbieter innerhalb von 30 Tagen die Teamdaten, die Einladungen und das Protokoll der Teamverwaltung. Verlangt der Kunde vor dem Ende in Textform die Rückgabe, übergibt der Anbieter ihm vorher eine Liste der Mitglieder und Einladungen in einem gängigen maschinenlesbaren Format. Kopien in Datensicherungen werden im regulären Zyklus überschrieben. Daten, die der Anbieter gesetzlich aufbewahren muss, sperrt er bis zum Ablauf der Frist. Auf Verlangen bestätigt er die Löschung in Textform.

(3) Die Konten der Nutzer löscht der Anbieter mit dem Ende der Teamzugehörigkeit nicht. Endet sie, durch Entfernen aus dem Team oder mit dem Ende des Abos oder Einzelvertrags des Teams, bleibt das Konto mit Zugang zur Vorschau bestehen, bis der Nutzer es löscht (Regeln der AGB zum Vertragsende). Von da an verarbeitet der Anbieter die Kontodaten sowie gespeicherte Einträge und Bewertungen in eigener Verantwortung wie bei jedem Konto außerhalb eines Teams; darüber informiert die Datenschutzerklärung.

§ 11 Nachweise und Überprüfungen

(1) Der Anbieter stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die den Nachweis der Pflichten aus Art. 28 DSGVO ermöglichen, vorrangig durch Unterlagen: diesen Vertrag mit Anlagen, schriftliche Auskünfte, etwa Antworten auf Fragebögen, sowie Verträge, Zertifikate und Prüfberichte der Unterauftragsverarbeiter, soweit diese sie zur Weitergabe bereitstellen.

(2) Reichen die Unterlagen im Einzelfall nicht aus, kann der Kunde den Anbieter vor Ort prüfen, selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber des Anbieters ist. Der Kunde meldet die Prüfung mindestens 30 Tage vorher in Textform an. Sie findet zu üblichen Geschäftszeiten und höchstens einmal im Kalenderjahr statt, außer bei konkretem Anlass wie einer Datenschutzverletzung, und darf den Betrieb nicht unverhältnismäßig stören. Die Kosten trägt der Kunde, soweit angemessen auch den Aufwand des Anbieters; das gilt nicht, wenn die Prüfung einen wesentlichen Verstoß des Anbieters ergibt.

(3) Der Anbieter betreibt keine eigenen Server. Die Rechenzentren beurteilt der Kunde anhand der Zertifikate und Prüfberichte der Unterauftragsverarbeiter.

(4) Die Befugnisse der Aufsichtsbehörden bleiben unberührt.

§ 12 Pflichten des Kunden

(1) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass er Nutzer einladen und ihre Daten dem Anbieter überlassen darf. Er informiert die Nutzer über die Verarbeitung (Art. 13 und 14 DSGVO). Der Anbieter unterstützt ihn, indem jede Mail an Nutzer auf die Datenschutzerklärung des KI-Denkraums verweist.

(2) Der Kunde lädt nur geschäftliche Adressen ein und entfernt Nutzer, die keinen Zugang mehr haben sollen, etwa nach ihrem Ausscheiden. Er stellt sicher, dass seine Nutzer nur Dienste mit ihrem Konto verbinden, die er zulässt.

(3) Stellt der Kunde Fehler oder Unregelmäßigkeiten bei der Verarbeitung fest, informiert er den Anbieter unverzüglich.

(4) Ansprechpartner des Kunden ist der Inhaber des Teams, sofern der Kunde in Textform keine andere Person benennt.

§ 13 Haftung

(1) Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO.

(2) Im Verhältnis zwischen Kunde und Anbieter gelten die Haftungsregeln der AGB auch für Ansprüche aus diesem Vertrag. Art. 82 DSGVO bleibt unberührt.

§ 14 Laufzeit, Änderungen, Schlussbestimmungen

(1) Dieser Vertrag gilt für die Laufzeit des Abos oder Einzelvertrags und endet mit ihr, ohne dass es einer Kündigung bedarf. § 6 Abs. 1 und § 10 wirken über das Ende hinaus.

(2) Änderungen dieses Vertrags vereinbaren die Parteien in Textform oder nach dem Änderungsverfahren der AGB. Für die Anlagen gelten § 6 Abs. 2 und § 7.

(3) Die deutsche Fassung ist maßgeblich, die englische Fassung ist eine Übersetzung.

(4) Im Übrigen gelten die Schlussbestimmungen der AGB, insbesondere zu anwendbarem Recht und Gerichtsstand.

Anlage 1: Technische und organisatorische Maßnahmen

Die Maßnahmen stehen in einem eigenen Dokument unter kidenkraum.com/de/tom, in der jeweils veröffentlichten Fassung mit Datum; frühere Stände bleiben dort abrufbar (§ 6 Abs. 2).

Anlage 2: Unterauftragsverarbeiter

Die Unterauftragsverarbeiter stehen in Teil A der Liste der Dienstleister unter kidenkraum.com/de/dienstleister, in der jeweils veröffentlichten Fassung mit Datum; frühere Stände bleiben dort abrufbar (§ 7).