(1) Auftraggeber (Verantwortlicher): Der Nutzer der Plattform „klarofix" (Unternehmer gemäß § 14 BGB), dessen individuelle Angaben bei Vertragsschluss im Nutzerprofil erfasst werden.
(2) Auftragnehmer (Auftragsverarbeiter):
Maximilian Hertwig (Einzelunternehmen)(3) Dieser Vertrag konkretisiert die datenschutzrechtlichen Verpflichtungen der Parteien, die sich aus der Nutzung der SaaS-Plattform ergeben. Im Falle von Widersprüchen zwischen diesem AVV und anderen Vereinbarungen (z. B. AGB) gehen die Bestimmungen dieses AVV vor.
(1) Der Auftragnehmer stellt dem Auftraggeber die SaaS-Plattform „klarofix" zur Verfügung. Die Verarbeitung umfasst die Speicherung und Verwaltung von Kundenstammdaten, Angeboten, Rechnungen, Mahnungen, DATEV-Exporten, Ausgaben, Verträgen und Projektbeschreibungen. Nutzt der Auftraggeber die Sprachfunktion „KlaroVoice", umfasst die Verarbeitung zusätzlich Sprachaufnahmen und die daraus erzeugten Texte (§ 16).
(2) Zweck der Verarbeitung ist die Bereitstellung der Software-Funktionen zur digitalen Büroorganisation und Kundenverwaltung des Auftraggebers.
(3) Kategorien betroffener Personen sind Kunden und Geschäftspartner des Auftraggebers sowie dessen Beschäftigte, soweit sie die Plattform nutzen. Bei Nutzung der Sprachfunktion sind zusätzlich die sprechenden Personen betroffen, da die Aufnahme ihre Stimme enthält.
Die Dauer dieses Vertrages entspricht der Laufzeit des Hauptvertrages (Nutzungsvertrag klarofix).
(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers.
(2) Weisungen erfolgen in der Regel durch die Nutzung der Softwareoberfläche; darüber hinausgehende Weisungen sind in Textform zu erteilen.
(3) Hält der Auftragnehmer eine Weisung für datenschutzrechtswidrig, hat er den Auftraggeber unverzüglich zu informieren.
(1) Der Auftragnehmer gewährleistet, dass alle zur Verarbeitung berechtigten Personen zur Vertraulichkeit verpflichtet wurden.
(2) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).
Der Auftragnehmer setzt gemäß Art. 32 DSGVO folgende Maßnahmen um:
(1) Als Unterauftragsverarbeiter sind derzeit genehmigt:
(2) Beabsichtigt der Auftragnehmer, weitere Unterauftragnehmer hinzuzuziehen oder zu ersetzen, informiert er den Auftraggeber 30 Tage vorab in Textform. Dem Auftraggeber steht ein Widerspruchsrecht aus wichtigem Grund zu.
(3) Der Auftragnehmer hat mit jedem Unterauftragsverarbeiter einen Vertrag geschlossen, der ihm dieselben Datenschutzpflichten auferlegt, die dieser Vertrag vorsieht (Art. 28 Abs. 4 DSGVO).
Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit bei der Beantwortung von Anfragen zur Ausübung von Betroffenenrechten (Auskunft, Löschung etc.). Erhält der Auftragnehmer eine solche Anfrage direkt, leitet er diese unverzüglich an den Auftraggeber weiter.
Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch binnen 48 Stunden nach Bekanntwerden. Die Meldung muss mindestens die Art der Verletzung, die betroffenen Datenkategorien und die ergriffenen Abhilfemaßnahmen enthalten.
(1) Nach Beendigung des Hauptvertrages wird der Auftragnehmer sämtliche vom Auftraggeber verarbeiteten Daten nach 30 Tagen unwiderruflich löschen.
(2) Der Auftraggeber ist verpflichtet, seine Daten vor Vertragsende eigenständig über die Exportfunktionen der Software zu sichern.
(3) Eine Speicherung über das Vertragsende hinaus erfolgt nur, soweit gesetzliche Aufbewahrungspflichten des Auftragnehmers (z. B. für eigene Rechnungsstellung gegenüber dem Auftraggeber) dies erfordern.
Der Auftraggeber hat das Recht, die Einhaltung dieser Vereinbarung durch Audits zu kontrollieren. Diese sind mit einer Frist von zwei Wochen anzukündigen. Der Auftragnehmer kann dieses Recht auch durch die Vorlage aktueller Testate oder Zertifikate (z. B. von IONOS) erfüllen.
Die Haftung richtet sich nach den Regelungen der DSGVO. Ergänzend gelten die Haftungsbeschränkungen des Hauptvertrages (AGB).
Der Auftragnehmer stellt lediglich die technische Export-Schnittstelle im DATEV-Format bereit. Für die inhaltliche Richtigkeit der Buchungsdaten und die steuerrechtliche Konformität der Exporte trägt allein der Auftraggeber die Verantwortung.
Sofern der Auftraggeber eigene SMTP-Server nutzt, werden die Zugangsdaten mittels AES-256-GCM verschlüsselt gespeichert. Der Auftragnehmer verwendet diese Daten ausschließlich im Auftrag des Nutzers für den technischen Mailversand aus der Applikation heraus.
Bei Nutzung öffentlicher Angebotslinks entscheidet der Auftraggeber eigenverantwortlich über die Freigabe der Inhalte. Der Auftragnehmer stellt hierfür lediglich die Infrastruktur und das View-Tracking bereit.
(1) Ablauf der Verarbeitung. Der Auftraggeber nimmt einen gesprochenen Text auf. Diese Aufnahme wird an OpenAI Ireland Ltd. übermittelt, dort in Text umgewandelt und in strukturierte Belegangaben (Positionen, Mengen, Preise) übersetzt. Die Zuordnung zu Kunden des Auftraggebers und zu dessen Leistungskatalog erfolgt anschließend ausschließlich auf den Systemen des Auftragnehmers. Ergebnis ist ein Entwurf; ob daraus ein Beleg entsteht, entscheidet allein der Auftraggeber durch eine eigene Handlung.
(2) Freigabe. Die Sprachfunktion ist standardmäßig gesperrt. Sie wird erst nutzbar, wenn der Auftraggeber sie in der Anwendung ausdrücklich freigibt und damit den Einsatz von OpenAI Ireland Ltd. als weiteren Unterauftragsverarbeiter genehmigt sowie die Weisung erteilt, Sprachaufnahme und erzeugten Text dort verarbeiten zu lassen. Der Auftragnehmer dokumentiert Zeitpunkt, handelnde Person und die zugrunde liegende Fassung dieser Regelung. Ohne Freigabe wird keine Aufnahme übermittelt.
(3) Widerruf. Der Auftraggeber kann die Freigabe jederzeit ohne Angabe von Gründen in den Einstellungen widerrufen. Die Sprachfunktion ist danach unmittelbar gesperrt. Bereits erstellte Belege bleiben unberührt.
(4) Umfang der übermittelten Daten. Übermittelt wird ausschließlich die Aufnahme. Kundenstammdaten und Leistungskatalog des Auftraggebers werden nicht übermittelt (§ 6). Enthält die Aufnahme personenbezogene Daten — etwa den Namen eines Kunden —, weil der Auftraggeber sie einspricht, werden diese als Bestandteil der Aufnahme mit übermittelt. Der Auftraggeber entscheidet durch seine Wortwahl, welche Angaben die Aufnahme enthält.
(5) Speicherung. Der Auftragnehmer speichert weder Aufnahme noch erzeugten Text. Die Aufnahme wird durchgehend im Arbeitsspeicher gehalten und auf kein dauerhaftes Speichermedium geschrieben; sie kann damit auch nicht in eine Datensicherung gelangen. Gespeichert werden je Vorgang ausschließlich Zeitpunkt, gemessene Dauer, verwendete Modellbezeichnungen, Verbrauchszahlen und eine Kostenschätzung — erforderlich für die Abrechnung des Sprachkontingents. Diese Angaben werden mit dem Nutzerkonto gelöscht.
(6) Verarbeitung durch den Unterauftragsverarbeiter. OpenAI Ireland Ltd. verwendet die über die Programmierschnittstelle übermittelten Daten nach eigenen Angaben nicht zum Training seiner Modelle. Eingaben und Ausgaben können bis zu 30 Tage zur Erkennung von Missbrauch aufbewahrt und danach gelöscht werden, soweit keine gesetzliche Aufbewahrungspflicht besteht.
(7) Drittlandbezug. Vertragspartner ist die in Irland ansässige OpenAI Ireland Ltd. Soweit diese Daten an Gesellschaften außerhalb des Europäischen Wirtschaftsraums übermittelt, geschieht dies auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO) oder eines Angemessenheitsbeschlusses nach Art. 45 DSGVO.
(8) Keine automatisierte Entscheidung. Die Sprachfunktion erzeugt ausschließlich einen Entwurf zur Prüfung durch den Auftraggeber. Eine automatisierte Entscheidung im Einzelfall im Sinne des Art. 22 DSGVO findet nicht statt.
(9) Eigene Pflichten des Auftraggebers. Der Auftraggeber bleibt gegenüber den betroffenen Personen Verantwortlicher. Er hat sie nach Art. 13, 14 DSGVO über diese Verarbeitung zu unterrichten; der Auftragnehmer stellt hierfür in den Einstellungen einen Formulierungsvorschlag bereit. Setzt der Auftraggeber Beschäftigte ein, hat er die Vorgaben des Beschäftigtendatenschutzes zu beachten; besteht ein Betriebsrat, kann die Einführung nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig sein.
(1) Es gilt deutsches Recht.
(2) Änderungen dieses AVV bedürfen der Textform.
(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Gültigkeit der übrigen Regelungen unberührt.