Verantwortlicher ist der Kunde. Auftragsverarbeiter ist CoreGnition UG (haftungsbeschränkt), Leopoldstraße 31, 80802 München. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Dieser Vertrag wird mit Abschluss des Nutzungsvertrags automatisch dessen Bestandteil; ein gesonderter Abschluss ist nicht erforderlich.
Bereitstellung der Anwendung KI-Label zur Dokumentation des KI-Einsatzes, zur regelbasierten Einordnung nach Art. 50 der Verordnung (EU) 2024/1689, zur Erzeugung von Kennzeichnungstexten und zur Erstellung von Prüfberichten. Die Verarbeitung erfolgt für die Dauer des Nutzungsvertrags.
Datenarten: Name, dienstliche E-Mail-Adresse und Funktion von Beschäftigten des Verantwortlichen; Name der redaktionell verantwortlichen Person; Anmeldedaten der Nutzerkonten; pseudonyme Kennungen im Änderungsprotokoll.
Betroffene Personen: Beschäftigte und Beauftragte des Verantwortlichen, die die Anwendung nutzen oder darin erfasst werden.
Der Auftragsverarbeiter unterhält insbesondere: Mandantentrennung auf Datenbankebene durch zeilenbasierte Zugriffsregeln; Anmeldung ohne Passwort über zeitlich begrenzte Einmal-Links; Verschlüsselung der Übertragung; unveränderliches Änderungsprotokoll; Pseudonymisierung der handelnden Personen im Protokoll; Trennung von Produktiv- und Entwicklungsumgebung.
Zugriffskontrolle: Die Trennung der Mandanten wird auf Datenbankebene durch zeilenbasierte Zugriffsregeln erzwungen, nicht in der Oberfläche. Ein angemeldeter Nutzer kann technisch keine Daten einer fremden Organisation abrufen, auch nicht über direkte Schnittstellenaufrufe. Die anonyme Datenbankrolle besitzt keinerlei Tabellenrechte.
Authentifizierung: Zugang ausschließlich über zeitlich begrenzte Einmalcodes an die hinterlegte Adresse. Passwörter werden weder erhoben noch gespeichert und können daher auch nicht entwendet werden.
Protokollierung: Sicherheitsrelevante Vorgänge werden unveränderlich mit Zeitstempel festgehalten. Das Protokoll kann weder durch den Verantwortlichen noch durch den Auftragsverarbeiter nachträglich geändert oder gelöscht werden. Handelnde Personen erscheinen nur pseudonymisiert.
Übertragung: Verschlüsselung sämtlicher Verbindungen nach dem Stand der Technik. Server-Protokolle werden nach 14 Tage gelöscht.
Verfügbarkeit: Tägliche Sicherung der Datenbank, Aufbewahrung an einem vom Produktivsystem getrennten Ort innerhalb der Europäischen Union, Aufbewahrungsdauer 30 Tage. Die Wiederherstellung wird vierteljährlich erprobt. Angestrebte Wiederherstellungszeit: 24 Stunden.
Trennung: Produktiv- und Entwicklungsumgebung sind getrennt. Echtdaten werden nicht zu Entwicklungszwecken verwendet.
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
Wechsel oder Ergänzungen werden mindestens vier Wochen vor Wirksamwerden in Textform angekündigt. Dem Verantwortlichen steht innerhalb dieser Frist ein Widerspruchsrecht aus wichtigem Grund zu. Widerspricht er, kann jede Partei den Vertrag zum Zeitpunkt des Wechsels kündigen.
Eine Übermittlung in Drittländer findet nur statt, soweit die optionalen KI-Komfortfunktionen aktiviert sind. Grundlage sind die EU-Standardvertragsklauseln in der Fassung des Durchführungsbeschlusses (EU) 2021/914. Vor Aktivierung dieser Funktionen führt der Auftragsverarbeiter eine Bewertung der Übermittlungsfolgen durch und dokumentiert ergänzende Maßnahmen. Sind die Funktionen nicht aktiviert, findet keine Übermittlung in ein Drittland statt.
Der Auftragsverarbeiter unterstützt bei der Erfüllung von Betroffenenrechten. Für das Recht auf Löschung gilt eine Besonderheit: Das Änderungsprotokoll ist technisch unveränderlich, weil es sonst als Nachweis wertlos wäre. Es enthält deshalb keine Klarnamen, sondern nur pseudonyme Kennungen. Auf ein Löschverlangen hin wird die Zuordnung der Kennung zur E-Mail-Adresse entfernt. Der Ablauf bleibt damit nachweisbar, die Person ist darin aber nicht mehr bestimmbar.
Ergänzend beruft sich der Auftragsverarbeiter für das Änderungsprotokoll auf Art. 17 Abs. 3 lit. b und lit. e DSGVO. Das Protokoll dient der Erfüllung einer rechtlichen Dokumentationsobliegenheit gegenüber Aufsichtsbehörden sowie der Geltendmachung und Verteidigung von Rechtsansprüchen. Ein unveränderliches Protokoll, das nachträglich bearbeitet werden könnte, wäre als Nachweis wertlos. Durch die Pseudonymisierung bleibt der Eingriff auf das erforderliche Maß begrenzt.
Der Auftragsverarbeiter meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung, in Textform an die vom Verantwortlichen benannte Kontaktadresse. Die Meldung enthält die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit sie vorliegen.
Der Verantwortliche kann sich von der Einhaltung überzeugen. Der Nachweis erfolgt vorrangig durch Auskunft in Textform sowie durch Vorlage der Dokumentation der technischen und organisatorischen Maßnahmen. Eine Prüfung vor Ort ist einmal jährlich mit einer Ankündigungsfrist von vier Wochen während der üblichen Geschäftszeiten möglich; die dabei entstehenden Aufwände trägt der Verantwortliche, sofern sich kein Verstoß bestätigt.
Nach Beendigung werden die Daten nach Wahl des Verantwortlichen herausgegeben oder gelöscht. Der Verantwortliche kann seine Daten nach Vertragsende noch 90 Tage über die Berichtsfunktion ausleiten. Danach erfolgt die Löschung, mit Ausnahme des pseudonymisierten Änderungsprotokolls nach Abschnitt 7.