Auftragsverarbeitungs-Vertrag (DPA / AVV)

Anirag verarbeitet personenbezogene Daten ausschließlich auf Weisung des Kunden zur Bereitstellung der RAG-Plattform. Der AVV läuft synchron zum Hauptvertrag.

Verarbeitung umfasst: Speicherung von Dokumenten, Embedding-Erzeugung, Vector-Search, LLM-Inferenz mit Quellenangabe, Audit-Logging, Backup. Zweck ist die wissensbasierte Beantwortung von Anfragen durch autorisierte Nutzer des Kunden.

Mitarbeitende des Kunden (Account-Daten), Endkunden des Kunden (sofern in den hochgeladenen Dokumenten enthalten). Datenkategorien: Identifikations-, Kontakt- und Inhaltsdaten gemäß den vom Kunden bereitgestellten Quellen.

Anirag verpflichtet sich zu: Vertraulichkeit, technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO (siehe /sicherheit), Unterstützung bei Betroffenenrechten, unverzüglicher Meldung von Datenschutz- Vorfällen, Löschung oder Rückgabe nach Vertragsende, Audit-Mitwirkung.

Der Kunde stimmt der Hinzuziehung von Sub-Auftragsverarbeitern gemäß der Liste auf /sicherheit zu. Änderungen werden 30 Tage vorab via E-Mail-Newsletter angekündigt; ein Widerspruchsrecht besteht.

Verarbeitung erfolgt EU-only. Sofern im Einzelfall Sub-Anbieter mit Drittland-Bezug eingesetzt werden, geschieht dies nur auf Basis von Standardvertragsklauseln (SCC) gemäß Durchführungsbeschluss (EU) 2021/914 zzgl. ergänzender Maßnahmen (TIA).

Der Kunde ist berechtigt, die Einhaltung dieser Vereinbarung in zumutbarem Rahmen zu überprüfen, etwa durch Einsicht in Pen-Test-Berichte und ISO-27001-/BSI-C5-Zertifikate (sobald verfügbar). Vor-Ort-Audits sind im Enterprise-Plan möglich.