Anlage 2 — Auftragsverarbeitung

Vertrag zur Auftragsverarbeitung nach Art. 28 Abs. 3 DSGVO zwischen dem Kunden als Verantwortlichem und

Dieser Vertrag wird mit Abschluss des Vertrages über die Nutzung von Mint einbezogen (§ 17 Abs. 2 der AGB) und gilt für alle Verarbeitungen personenbezogener Daten, die wir im Auftrag des Kunden durchführen.

Er gilt nicht für Verarbeitungen, bei denen wir selbst Verantwortlicher sind, insbesondere für Bestands-, Vertrags- und Abrechnungsdaten des Kunden sowie für die Bildung anonymisierter Korpusdaten. Dafür gilt die Datenschutzerklärung.

Gegenstand

Bereitstellung und Betrieb von Mint einschließlich der KI-gestützten Erzeugungs- und Auswertungsfunktionen

Art

Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln, Einschränken, Löschen, Vernichten

Zweck

ausschließlich die Erbringung der vertraglich geschuldeten Leistungen, keine Verarbeitung zu eigenen Zwecken

Dauer

Laufzeit des Hauptvertrages, Beendigung nach § 10

Ort

EU und EWR, Drittlandverarbeitung nur nach Maßgabe des § 8

(1) Kategorien betroffener Personen, abhängig davon, welche Daten der Verantwortliche einbringt:

• Nutzer des Verantwortlichen
• Interessenten und Leads des Verantwortlichen
• Bestands-, Neu- und ehemalige Kunden des Verantwortlichen
• Ansprechpartner bei Geschäftspartnern
• Empfänger von Nachrichten und Kampagnen des Verantwortlichen

(2) Kategorien personenbezogener Daten:

• Stammdaten: Name, Vorname, Anrede
• Kontaktdaten: geschäftliche E-Mail, Telefon, Anschrift
• Berufliche Daten: Position, Funktion, Arbeitgeber, Branche, Standort, Profil-URL
• Firmenbezogene Daten mit Personenbezug: Größe, Finanzierungsstand, Tech-Stack
• Interaktions- und Vertriebsdaten: Deal-Status, Kontakthistorie, Kampagnenzugehörigkeit, Bewertungswerte
• Nutzungsdaten: Zugriffszeitpunkte, Protokolldaten, IP-Adressen
• Inhaltsdaten: alle in Freitextfelder oder Dateiuploads eingebrachten Angaben

(3) Ausschluss besonderer Kategorien. Die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO sowie von Daten nach Art. 10 DSGVO ist nicht Gegenstand dieses Vertrages. Der Verantwortliche stellt sicher, dass solche Daten nicht in Mint eingebracht werden. Geschieht dies gleichwohl, erfolgt es auf sein alleiniges Risiko; er stellt uns insoweit von Ansprüchen Dritter und von Bußgeldern frei.

(1) Wir verarbeiten personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, wir sind nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilen wir die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Nutzung der Funktionen von Mint durch den Verantwortlichen und seine Nutzer gilt als Weisung. Ergänzende Einzelweisungen sind in Textform zu erteilen.

(3) Weisungsberechtigt sind die im Workspace als administrationsberechtigt hinterlegten Personen. Unser Ansprechpartner ist Mario Schäfer, kontakt@nima-labs.de.

(4) Halten wir eine Weisung für rechtswidrig, informieren wir den Verantwortlichen unverzüglich. Wir sind berechtigt, die Ausführung auszusetzen, bis der Verantwortliche die Weisung bestätigt oder ändert.

(5) Weisungen werden für die Dauer ihrer Geltung und drei Jahre darüber hinaus dokumentiert.

(1) Zur Verarbeitung setzen wir nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht über das Ende der Tätigkeit hinaus fort.

(2) Wir stellen sicher, dass die zur Verarbeitung befugten Personen mit den einschlägigen Bestimmungen des Datenschutzrechts vertraut sind.

(3) Der Zugriff auf personenbezogene Daten des Verantwortlichen ist auf das für die Leistungserbringung erforderliche Maß beschränkt.

(1) Wir treffen die zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus erforderlichen Maßnahmen nach Art. 32 DSGVO. Der aktuelle Stand ist in Unteranlage 1 dokumentiert.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Wir sind berechtigt, sie fortzuentwickeln, sofern das Schutzniveau nicht unterschritten wird.

(3) Der Verantwortliche hat sich vor Beginn der Verarbeitung von der Angemessenheit der Maßnahmen zu überzeugen und sich hiervon regelmäßig zu vergewissern. Unteranlage 1 dient hierfür als Nachweis.

(1) Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung zur Hinzuziehung von Unterauftragsverarbeitern im Sinne des Art. 28 Abs. 2 Satz 2 DSGVO.

(2) Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Unteranlage 2 aufgeführt und hiermit genehmigt.

(3) Wir informieren mindestens dreißig Tage vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform.

(4) Der Verantwortliche kann einer Änderung innerhalb von vierzehn Tagen nach Zugang der Information aus einem wichtigen, datenschutzbezogenen Grund in Textform widersprechen. Bei berechtigtem Widerspruch bemühen sich die Parteien um eine einvernehmliche Lösung. Kommt eine solche nicht zustande und können wir die Leistung ohne den betreffenden Unterauftragsverarbeiter nicht in vertragsgemäßer Qualität erbringen, sind beide Parteien berechtigt, den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung außerordentlich zu kündigen. Im Voraus gezahlte Entgelte werden anteilig erstattet.

(5) Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Pflichten aus diesem Vertrag im Wesentlichen entsprechen, und haften dem Verantwortlichen für deren Einhaltung wie für eigenes Handeln.

(6) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen wie Telekommunikationsleistungen, Post- und Transportdienste, Wartung von Endgeräten sowie Entsorgungsdienste, sofern wir angemessene Schutzmaßnahmen treffen.

(1) Betroffenenrechte. Wir unterstützen den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen nach Kapitel III DSGVO. Wendet sich eine betroffene Person unmittelbar an uns, leiten wir das Anliegen unverzüglich weiter und beantworten es nicht selbst.

(2) Datenschutzverletzungen. Wir melden jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, in Textform. Die Meldung enthält, soweit verfügbar:

• Art der Verletzung, betroffene Datenkategorien, ungefähre Zahl betroffener Personen und Datensätze;
• Name und Kontaktdaten der Auskunftsstelle;
• Beschreibung der wahrscheinlichen Folgen;
• ergriffene oder vorgeschlagene Abhilfemaßnahmen.

Nicht sofort verfügbare Angaben reichen wir unverzüglich nach.

(3) Wir unterstützen den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen.

(4) Wir führen ein Verzeichnis aller Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und stellen es auf Anfrage bezogen auf die Verarbeitungen des Verantwortlichen zur Verfügung.

(1) Eine Übermittlung in ein Drittland erfolgt nur, wenn die Voraussetzungen des Kapitels V DSGVO erfüllt sind.

(2) Zulässige Grundlagen sind insbesondere ein Angemessenheitsbeschluss nach Art. 45 DSGVO einschließlich einer wirksamen Zertifizierung nach dem EU-US Data Privacy Framework sowie Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, ergänzt um eine dokumentierte Übermittlungsfolgenabschätzung.

(3) Die einschlägige Grundlage je Unterauftragsverarbeiter ist in Unteranlage 2 ausgewiesen.

(4) Entfällt eine Übermittlungsgrundlage, informieren wir unverzüglich und setzen die betroffene Übermittlung aus oder stellen sie auf eine tragfähige Grundlage um.

(1) Wir stellen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

(2) Der Nachweis kann geführt werden durch die Dokumentation in Unteranlage 1, durch aktuelle Testate oder Prüfberichte anerkannter Stellen oder durch eine ausgefüllte Selbstauskunft.

(3) Reichen diese Nachweise im Einzelfall nicht aus, kann der Verantwortliche eine Überprüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten, nicht mit uns im Wettbewerb stehenden Prüfer durchführen lassen. Die Überprüfung ist mit einer Frist von mindestens vier Wochen anzukündigen, auf Geschäftszeiten zu beschränken und darf den Betriebsablauf nicht unangemessen beeinträchtigen. Sie erfolgt höchstens einmal jährlich, es sei denn, es liegt ein besonderer Anlass vor.

(4) Für den durch anlasslose Überprüfungen entstehenden Aufwand können wir eine angemessene Vergütung nach Aufwand verlangen. Bei anlassbezogenen Überprüfungen entfällt dies, wenn sich der Anlass bestätigt.

(1) Nach Beendigung des Hauptvertrages löschen wir alle im Auftrag verarbeiteten personenbezogenen Daten oder geben sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

(2) Die Umsetzung erfolgt nach Maßgabe des § 16 der AGB: Export während des Übergangszeitraums und mindestens dreißig Kalendertage darüber hinaus in einem strukturierten, gängigen und maschinenlesbaren Format. Danach vollständige Löschung.

(3) Sicherungskopien werden im Rahmen der regulären Rotationszyklen gelöscht. Bis dahin bleiben sie ausschließlich für Wiederherstellungszwecke gesperrt.

(4) Wir bestätigen die Löschung auf Anfrage in Textform.

(5) Anonymisierte Korpusdaten im Sinne des § 17 Abs. 4 der AGB weisen keinen Personenbezug auf und unterliegen nicht der Löschungspflicht nach diesem Paragraphen.

(1) Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gilt ergänzend § 14 der AGB, soweit dies mit Art. 82 DSGVO vereinbar ist.

(2) Änderungen dieses Vertrages bedürfen der Textform.

(3) Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen die Regelungen dieses Vertrages vor, soweit sie die Verarbeitung personenbezogener Daten betreffen.

(4) Es gilt deutsches Recht. Die Unwirksamkeit einzelner Bestimmungen berührt die Wirksamkeit der übrigen nicht.

Maßnahmen nach Art. 32 DSGVO.

1. Vertraulichkeit

• Zutritt: Betrieb ausschließlich in Rechenzentren der eingesetzten Hosting-Dienstleister mit Vereinzelungsanlagen, Videoüberwachung, protokollierter Besucherverwaltung und Zertifizierung nach ISO/IEC 27001. Eigene Serverräume werden nicht betrieben.
• Zugang: persönliche Zugangsdaten, Passwortrichtlinie mit Mindestlänge und Komplexitätsanforderung, Speicherung ausschließlich als kryptografischer Hashwert mit Salt, Sperrung nach wiederholten Fehlversuchen, Sitzungsbeendigung nach Inaktivität, TLS-Verschlüsselung aller Übertragungen.
• Zugriff: Rollen- und Rechtekonzept nach dem Prinzip der geringsten Rechte, Protokollierung administrativer Zugriffe, getrennte Umgebungen für Entwicklung, Test und Produktion, keine Produktivdaten in Test- und Entwicklungsumgebungen.
• Trennung: logische Mandantentrennung je Workspace auf Datenbankebene, zweckgebundene Verarbeitung, Anbindung der KI-Modellanbieter ausschließlich über API-Zugänge ohne Trainingsnutzung.
• Anonymisierung: Korpusdaten werden vor Speicherung generalisiert — Zahlenwerte in Klassen, konkrete Werkzeuge in Kategorien, Bezeichnungen in normalisierte Cluster. Keine Fremdschlüsselbeziehung zwischen Korpusdaten und Workspace. Löschkennung als kryptografischer Hashwert unter Verwendung eines ausschließlich serverseitig vorgehaltenen Zusatzwerts. Mindestkohortengröße vor Einbeziehung in die Kalibrierung.

2. Integrität

• Weitergabe: Transportverschlüsselung bei allen externen Übertragungen, Übermittlung an Unterauftragsverarbeiter ausschließlich über verschlüsselte Verbindungen, keine Datenträgerversendung.
• Eingabe: Protokollierung von Anlage, Änderung und Löschung mit Zeitstempel und Nutzerkennung, Versionierung erzeugter Inhalte mit Wiederherstellbarkeit früherer Stände.

3. Verfügbarkeit und Belastbarkeit

• regelmäßige Sicherung nach Anlage 1 Ziffer 7
• Überwachung von Systemzustand und Fehlerraten mit Alarmierung
• Schutz vor Überlastung durch Ratenbegrenzung
• Redundanz und Ausfallsicherung durch die eingesetzten Infrastrukturanbieter

4. Regelmäßige Überprüfung

• Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO
• Verpflichtung aller Beteiligten auf Vertraulichkeit
• Prozess zur Behandlung von Datenschutzverletzungen mit Meldekette und 24-Stunden-Vorgabe
• Prozess zur Bearbeitung von Betroffenenanfragen
• datenschutzfreundliche Voreinstellungen und Datenminimierung bei Neuentwicklungen
• regelmäßige Aktualisierung eingesetzter Abhängigkeiten und Sicherheitsprüfung

Mit allen genannten Dienstleistern besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Details zu den Website-Diensten stehen in der Datenschutzerklärung. Die für den Betrieb der Anwendung eingesetzten Dienste sind in den Datenschutzhinweisen unter app.mintgtm.de ausgewiesen.

Änderungen dieser Liste teilen wir nach § 6 Abs. 3 mindestens dreißig Tage vorher mit.