Verantwortlicher ist der Kunde. Auftragsverarbeiter ist [[Firmenname, Anschrift]]. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen.
Bereitstellung der Anwendung KI-Label zur Dokumentation des KI-Einsatzes, zur regelbasierten Einordnung nach Art. 50 der Verordnung (EU) 2024/1689, zur Erzeugung von Kennzeichnungstexten und zur Erstellung von Prüfberichten. Die Verarbeitung erfolgt für die Dauer des Nutzungsvertrags.
Datenarten: Name, dienstliche E-Mail-Adresse und Funktion von Beschäftigten des Verantwortlichen; Name der redaktionell verantwortlichen Person; Anmeldedaten der Nutzerkonten; pseudonyme Kennungen im Änderungsprotokoll.
Betroffene Personen: Beschäftigte und Beauftragte des Verantwortlichen, die die Anwendung nutzen oder darin erfasst werden.
Der Auftragsverarbeiter unterhält insbesondere: Mandantentrennung auf Datenbankebene durch zeilenbasierte Zugriffsregeln; Anmeldung ohne Passwort über zeitlich begrenzte Einmal-Links; Verschlüsselung der Übertragung; unveränderliches Änderungsprotokoll; Pseudonymisierung der handelnden Personen im Protokoll; Trennung von Produktiv- und Entwicklungsumgebung.
[[Vor Vertragsschluss zu vervollständigen: Sicherungskonzept und Wiederherstellungszeiten, Zugriffsverwaltung, Protokollierung administrativer Zugriffe, Verfahren bei Sicherheitsvorfällen, Aufbewahrungsdauer von Server-Protokollen. Art. 32 DSGVO verlangt eine belastbare Beschreibung, keine Aufzählung von Schlagworten.]]
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
Wechsel oder Ergänzungen werden mit angemessener Frist angekündigt. Dem Verantwortlichen steht ein Widerspruchsrecht zu. [[Frist anwaltlich festlegen.]]
Eine Übermittlung in Drittländer findet nur statt, soweit die optionalen KI-Komfortfunktionen aktiviert sind. Grundlage sind die EU-Standardvertragsklauseln. [[Anwaltlich zu ergänzen: Transfer Impact Assessment und ergänzende Maßnahmen. Werden die Funktionen nicht genutzt, findet keine Drittlandübermittlung statt und dieser Abschnitt entfällt.]]
Der Auftragsverarbeiter unterstützt bei der Erfüllung von Betroffenenrechten. Für das Recht auf Löschung gilt eine Besonderheit: Das Änderungsprotokoll ist technisch unveränderlich, weil es sonst als Nachweis wertlos wäre. Es enthält deshalb keine Klarnamen, sondern nur pseudonyme Kennungen. Auf ein Löschverlangen hin wird die Zuordnung der Kennung zur E-Mail-Adresse entfernt. Der Ablauf bleibt damit nachweisbar, die Person ist darin aber nicht mehr bestimmbar.
[[Anwaltlich zu bestätigen: Ob diese Konstruktion den Löschanspruch im Einzelfall vollständig erfüllt oder ob eine Berufung auf Art. 17 Abs. 3 DSGVO ergänzend erforderlich ist. Dieser Punkt sollte vor dem ersten Kunden geklärt sein.]]
Der Auftragsverarbeiter meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Kenntniserlangung. [[Konkrete Frist und Meldeweg festlegen.]]
Der Verantwortliche kann sich von der Einhaltung überzeugen. [[Anwaltlich ausgestalten: Ankündigungsfrist, Häufigkeit, Nachweis durch Bericht statt Vor-Ort-Prüfung, Kostentragung.]]
Nach Beendigung werden die Daten nach Wahl des Verantwortlichen herausgegeben oder gelöscht. [[Frist festlegen und mit den Löschfristen in der Datenschutzerklärung abstimmen.]]