Auftragsverarbeitungsvertrag

Fassung 1.0. Dieser Vertrag befindet sich in der rechtlichen Prüfung. Er wird zwischen dem Kunden als Verantwortlichem und Resilic als Auftragsverarbeiter mit dem Anlegen einer Organisation in Resilic geschlossen und ist Bestandteil der Allgemeinen Geschäftsbedingungen.

1. Gegenstand und Dauer

Der Auftragsverarbeiter (Resilic AI – Christian Morgenthaler, Gartenstraße 24, 76307 Karlsbad, Deutschland, „Resilic“) verarbeitet personenbezogene Daten im Auftrag des Kunden („Verantwortlicher“) zur Erbringung der Leistungen nach dem Hauptvertrag (Allgemeine Geschäftsbedingungen). Die Dauer dieses Vertrags entspricht der Dauer des Hauptvertrags.

2. Art und Zweck der Verarbeitung, Datenarten, betroffene Personen

Zweck der Verarbeitung ist der Betrieb der Plattform Resilic für den Verantwortlichen: Verwaltung von Produkten, Software-Stücklisten, Lieferanten, Installationen und Schwachstellen, Vorbereitung von Meldungen nach Artikel 14 CRA, Nachweise zu Schulungen und Richtlinien sowie die Benachrichtigung von Nutzerinnen und Nutzern.

• Datenarten: Stammdaten der Nutzerinnen und Nutzer des Verantwortlichen (Name, E-Mail-Adresse, Rolle, Spracheinstellung); Angaben zu Beschäftigten im Rahmen von Schulungs- und Richtliniennachweisen (Name, E-Mail-Adresse, Funktion, Schulungsstand, Bestätigungen); Kontaktdaten von Ansprechpersonen bei Kunden und Lieferanten des Verantwortlichen (Name, E-Mail-Adresse, Funktion); Inhalte, die der Verantwortliche in Resilic einstellt, soweit sie personenbezogene Daten enthalten; technische Daten (IP-Adressen, Zeitstempel, Protokolldaten, Prüfpfad).
• Betroffene Personen: Beschäftigte und Beauftragte des Verantwortlichen; Ansprechpersonen bei dessen Kunden, Betreibern und Lieferanten; Empfängerinnen und Empfänger von Benachrichtigungen des Verantwortlichen.
• Resilic Edge erfasst Geräteinformationen aus Maschinennetzen (Hersteller, Typ, Firmware, Netzwerkadressen). Diese sind in der Regel nicht personenbezogen; soweit sie es im Einzelfall sind, gilt dieser Vertrag.

3. Weisungen

Resilic verarbeitet die Daten ausschließlich im Rahmen des Hauptvertrags und nach dokumentierten Weisungen des Verantwortlichen. Weisungen erteilt der Verantwortliche durch die Nutzung der Funktionen von Resilic und, soweit darüber hinaus erforderlich, in Textform. Hält Resilic eine Weisung für rechtswidrig, weist Resilic den Verantwortlichen unverzüglich darauf hin und darf die Ausführung bis zur Klärung aussetzen.

4. Pflichten von Resilic

• Resilic verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit; die Pflicht besteht über das Ende der Tätigkeit hinaus.
• Resilic trifft die technischen und organisatorischen Maßnahmen nach Anlage 2 und überprüft sie regelmäßig. Maßnahmen dürfen durch gleichwertige ersetzt werden, ohne das Schutzniveau zu senken.
• Resilic unterstützt den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen und bei den Pflichten aus Art. 32 bis 36 DSGVO, soweit dies Resilic möglich ist.
• Resilic meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 48 Stunden nach Kenntnis, mit den Angaben, die für die Meldung nach Art. 33 DSGVO benötigt werden.
• Resilic benennt eine Ansprechperson für den Datenschutz: info@resilic.ai.
• Resilic verarbeitet die Daten innerhalb der Europäischen Union. Eine Verarbeitung in einem Drittland findet nur über die in Anlage 1 genannten Unterauftragsverarbeiter und unter den dort genannten Garantien statt.

5. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der in Anlage 1 genannten Unterauftragsverarbeiter zu. Resilic informiert den Verantwortlichen über die Hinzuziehung oder den Austausch eines Unterauftragsverarbeiters mindestens vier Wochen im Voraus in Textform. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann jede Partei den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung kündigen. Resilic verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Pflichten, die denen dieses Vertrags entsprechen.

6. Rechte des Verantwortlichen

Resilic stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, insbesondere die Beschreibung der technischen und organisatorischen Maßnahmen und Berichte oder Nachweise Dritter, soweit vorhanden. Überprüfungen vor Ort sind nach Ankündigung von mindestens vier Wochen zu den üblichen Geschäftszeiten möglich, höchstens einmal jährlich, sofern kein konkreter Anlass besteht.

7. Löschung und Rückgabe

Nach Ende des Hauptvertrags kann der Verantwortliche seine Daten 30 Tage lang in gängigen, maschinenlesbaren Formaten exportieren. Danach löscht Resilic die Daten des Verantwortlichen einschließlich der Sicherungskopien innerhalb der regulären Sicherungszyklen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Auf Verlangen bestätigt Resilic die Löschung in Textform.

8. Haftung

Für die Haftung gelten die Regelungen des Hauptvertrags. Art. 82 DSGVO bleibt unberührt.

9. Schlussbestimmungen

Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags vor, soweit sie den Schutz personenbezogener Daten betreffen. Es gilt deutsches Recht. Änderungen bedürfen der Textform. Bei Abweichungen zwischen der deutschen und einer übersetzten Fassung ist die deutsche Fassung maßgeblich.

Anlage 1: Unterauftragsverarbeiter

• Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg: Hosting der Plattform und der Datenbanken sowie Versand von E-Mails (Amazon Simple Email Service), Region Frankfurt am Main (eu-central-1), Verarbeitung in der EU.
• Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA: DNS, Schutz und Auslieferung der öffentlichen Websites und der vom Verantwortlichen veröffentlichten Sicherheitshinweise (CSAF), E-Mail-Weiterleitung. Datenverarbeitung überwiegend in EU-Rechenzentren; Garantie für Drittlandübermittlungen: EU-US Data Privacy Framework und EU-Standardvertragsklauseln.
• Anthropic, PBC, 548 Market St, San Francisco, CA 94104, USA: Erzeugung von KI-Entwürfen aus Inhalten, die der Verantwortliche einer KI-Funktion übergibt. Keine Nutzung der Inhalte zum Training; Garantie für Drittlandübermittlungen: EU-US Data Privacy Framework und EU-Standardvertragsklauseln.
• Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland: Zahlungsabwicklung und Rechnungsstellung (Abrechnungsdaten der Organisation und der zahlenden Ansprechperson), Verarbeitung in der EU.
• Grafana Labs, Hosting in der EU-Region: Betriebsüberwachung der Plattform anhand technischer Protokoll- und Messdaten, ohne Inhalte des Verantwortlichen.

Anlage 2: Technische und organisatorische Maßnahmen

• Zugangskontrolle: Anmeldung über einen zentralen Identitätsdienst mit Passwortregeln, optionaler Zwei-Faktor-Authentifizierung und Anbindung an das Single Sign-on des Verantwortlichen; Sperre nach wiederholten Fehlversuchen.
• Zugriffskontrolle: rollenbasierte Berechtigungen innerhalb der Organisation; Vier-Augen-Prinzip für sicherheitsrelevante Änderungen; Zugriff des Betriebspersonals von Resilic nur im Rahmen von Wartung und Support.
• Trennungskontrolle: strikte Trennung der Daten je Organisation in der Datenbank durch zeilenbezogene Zugriffsregeln (Row-Level Security) und eigene Anmeldebereiche je Organisation.
• Verschlüsselung: Übertragung ausschließlich über TLS; Verschlüsselung gespeicherter Daten und Sicherungen; besonders schützenswerte Geheimnisse (etwa API-Schlüssel des Verantwortlichen) zusätzlich anwendungsseitig verschlüsselt.
• Verfügbarkeit: regelmäßige automatische Sicherungen mit Überwachung der Sicherungsläufe; redundanter Betrieb in mehreren Verfügbarkeitszonen des Rechenzentrums; Wiederherstellung wird geprobt.
• Protokollierung und Eingabekontrolle: Prüfpfad für Änderungen an Daten der Organisation; zentrale Betriebsüberwachung mit Alarmierung.
• Auftragskontrolle: schriftliche Verträge mit allen Unterauftragsverarbeitern; Prüfung ihrer Garantien vor dem Einsatz.
• Verfahren zur regelmäßigen Überprüfung: Sicherheitsaktualisierungen der eingesetzten Software im laufenden Betrieb, automatisierte Prüfung von Abhängigkeiten, Überprüfung dieser Maßnahmen mindestens jährlich.