Auftrags­verarbeitungs­vertrag

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch den im Hauptvertrag bezeichneten Anbieter von ohnetippen als Auftragsverarbeiter für den jeweiligen Kunden als Verantwortlichen. Er ergänzt die Vereinbarung über die Nutzung der gebuchten Funktionen.

Der vollständige Rechtsträger, seine ladungsfähige Anschrift, die vertretungsberechtigten Personen sowie die Daten des Kunden werden in der Vertragsbestätigung festgehalten. Die Anbieterangaben sind im Impressum zu vervollständigen. Ohne Zuordnung dieser Vertragsparteien ist der Vertrag nicht abschließend vereinbart.

Die Begriffe richten sich nach Artikel 4 DSGVO. Verarbeitet ohnetippen Daten zu eigenen gesetzlich zulässigen Zwecken, etwa zur Abrechnung, gelten dafür die Datenschutzhinweise und nicht die Weisungen dieses Vertrags.

Gegenstand ist die Verarbeitung von Sprache und Text für Diktate, sprachliche Überarbeitung, persönliche Wörterbücher und vereinbarte Teamfunktionen. Soweit gebucht und technisch bereitgestellt, können eine dokumentengestützte Wissensbasis, geteiltes Fachvokabular und kontextbezogene Antwortvorschläge hinzukommen. Eine Produktvorschau erweitert den vereinbarten Leistungsumfang nicht.

Die Verarbeitung beginnt mit der Bereitstellung der betreffenden Funktion und endet nach Vertragsende mit der Rückgabe oder Löschung der Auftragsdaten. Vertraulichkeits-, Nachweis- und Löschungspflichten wirken fort, soweit dies erforderlich ist.

Art, Zweck, Datenkategorien und betroffene Personen ergeben sich aus Anlage A und ergänzenden dokumentierten Weisungen. Konfiguration, Verarbeitungsorte und Speicherfristen sind vor Beginn der Verarbeitung festzulegen.

ohnetippen verarbeitet Auftragsdaten auf dokumentierte Weisung des Kunden. Hauptvertrag, diese Vereinbarung und aktivierte Einstellungen bilden den Weisungsrahmen. Zusätzliche Weisungen sind in Textform an die in der Vertragsbestätigung benannte Kontaktstelle zu richten.

Hält ohnetippen eine Weisung für rechtswidrig, wird der Kunde darauf hingewiesen. Die betreffende Verarbeitung kann bis zur Klärung ausgesetzt werden. Bei einer gesetzlichen Verpflichtung zur abweichenden Verarbeitung wird der Kunde vorab informiert, soweit das Gesetz dies zulässt.

Eine Nutzung von Diktaten, Dokumenten oder Gesprächsinhalten für eigene Werbezwecke oder zum Training allgemein verfügbarer Modelle ist von diesem Auftrag nicht umfasst. Abweichende Verarbeitungen erfordern eine eigenständige rechtliche Grundlage und transparente Information; sie werden nicht aus der allgemeinen Nutzung abgeleitet.

Der Kunde legt die zulässigen Zwecke fest und stellt sicher, dass er die Daten übermitteln und verarbeiten lassen darf. Er erfüllt seine Informationspflichten und entscheidet über die Erforderlichkeit einer Datenschutz-Folgenabschätzung.

Der Kunde verwaltet Teamzugänge, vergibt Berechtigungen nach dem Erforderlichkeitsprinzip und entfernt nicht mehr benötigte Zugriffe. Dokumente dürfen nur in geteilte Wissensbestände eingestellt werden, wenn ihre gemeinsame Nutzung erlaubt ist.

Für Gesundheitsdaten, Mandatsinformationen und andere besonders geschützte Inhalte sind zusätzlich Rechtsgrundlagen und Verschwiegenheitspflichten zu prüfen. KI-Ausgaben bleiben vor ihrer fachlichen Verwendung zu kontrollieren; dieser Vertrag ersetzt keine medizinische oder juristische Prüfung.

ohnetippen verpflichtet die zur Verarbeitung befugten Personen auf Vertraulichkeit oder stellt eine entsprechende gesetzliche Verpflichtung sicher. Zugriffe werden auf Personen beschränkt, die sie für ihre zugewiesene Aufgabe benötigen.

Die Verpflichtung gilt auch nach dem Ende der Tätigkeit. Zuständigkeiten für Freigabe, Entzug und regelmäßige Überprüfung von Zugriffsrechten sind zu dokumentieren.

ohnetippen trifft dem Risiko entsprechende Maßnahmen. Maßgeblich sind Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit sowie die Möglichkeit, Daten und Zugänge nach einem Vorfall angemessen wiederherzustellen.

Verbindliche Maßnahmen werden in Anlage B bei Abschluss konkretisiert. Eine Produktbeschreibung oder ein EU-Serverstandort ersetzt diesen Nachweis nicht. Zertifizierungen, Prüfberichte oder bestimmte Verschlüsselungsverfahren werden nur zugesagt, wenn sie im vereinbarten Umfang nachgewiesen sind.

Maßnahmen können an technische Entwicklungen angepasst werden. Das vereinbarte Schutzniveau darf dadurch nicht sinken. Wesentliche Änderungen werden nachvollziehbar dokumentiert.

Die Beauftragung weiterer Unternehmen mit Auftragsdaten setzt eine vorherige spezifische oder allgemeine schriftliche Genehmigung des Kunden voraus. Die bei Vertragsbeginn genehmigten Unternehmen, Aufgaben und Verarbeitungsorte werden in einer datierten Anbieterliste festgehalten.

Bei allgemeiner Genehmigung wird der Kunde vor einer beabsichtigten Änderung über Anbieter, Aufgabe, Ort und vorgesehenen Beginn informiert. Benachrichtigungskanal, Vorlauf und Verfahren für begründete Einwände werden konkret vereinbart. Schweigen begründet keine über die erteilte Genehmigung hinausgehende Zustimmung.

Weitere Auftragsverarbeiter werden zu gleichwertigen Datenschutzpflichten verpflichtet. ohnetippen bleibt für die Erfüllung der übertragenen Pflichten verantwortlich. Wartung oder Support sind nicht allein wegen ihrer Bezeichnung vom Genehmigungsverfahren ausgenommen.

Für Diktate ist EU-Verarbeitung vorgesehen. Andere Leistungsbestandteile und Zugriffe mit Drittlandbezug werden gesondert geprüft und offengelegt. Übermittlungen außerhalb des EWR setzen zusätzlich die Voraussetzungen der Artikel 44 ff. DSGVO voraus. Dieser Vertrag erlaubt keine beliebige weltweite Verarbeitung.

ohnetippen unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Hierzu werden Verwaltungsfunktionen und erforderlichenfalls dokumentierte Unterstützungsanfragen genutzt.

Unmittelbar eingehende Anfragen zu Auftragsdaten werden dem zuständigen Kunden zugeordnet und ohne unangemessene Verzögerung weitergeleitet. Eine eigenständige inhaltliche Beantwortung erfolgt nur im Rahmen einer Weisung oder gesetzlichen Verpflichtung.

Umfang und Art der Unterstützung richten sich nach den verfügbaren Informationen und gesetzlichen Pflichten. Vertragliche Kostenregelungen dürfen deren Wahrnehmung nicht praktisch verhindern.

Wird ohnetippen eine Verletzung des Schutzes personenbezogener Auftragsdaten bekannt, wird der Kunde unverzüglich informiert. Erste Informationen können ergänzt werden, sobald weitere belastbare Erkenntnisse vorliegen. Eine interne Untersuchung darf die erste Meldung nicht unangemessen verzögern.

Soweit verfügbar enthält die Meldung Art und Umfang des Vorfalls, betroffene Daten und Personengruppen, absehbare Auswirkungen, ergriffene Maßnahmen und eine erreichbare Kontaktstelle. Ablauf und Abhilfe werden dokumentiert.

ohnetippen unterstützt den Kunden bei Pflichten nach den Artikeln 32 bis 36 DSGVO. Über Meldungen an Behörden und betroffene Personen entscheidet der Kunde als Verantwortlicher, soweit keine eigene gesetzliche Pflicht von ohnetippen besteht.

Nach Abschluss der Leistungen werden Auftragsdaten nach Wahl des Kunden zurückgegeben oder gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Exportformat, Abruffenster und anschließende Löschfristen werden vor Vertragsbeginn dokumentiert.

Für flüchtige Diktatverarbeitung, Wissensbestände, lokale Verläufe, technische Protokolle und Sicherungskopien gelten getrennte Regeln. Zero Data Retention für Diktate löscht nicht automatisch bewusst gespeicherte Dokumente oder Texte in der Zielanwendung.

Nicht sofort einzeln löschbare Sicherungskopien werden bis zum vereinbarten Überschreibungszeitpunkt gegen operative Nutzung geschützt. Gesetzlich aufzubewahrende Daten werden zweckgebunden gesperrt und nach Fristablauf gelöscht. Die Umsetzung wird auf Anfrage nachvollziehbar bestätigt.

ohnetippen stellt die zum Nachweis der Pflichten aus Artikel 28 DSGVO erforderlichen Informationen bereit. Der Kunde kann diese selbst prüfen oder eine geeignete, zur Vertraulichkeit verpflichtete Prüfstelle beauftragen.

Kontrollen berücksichtigen Risiko, Sicherheit anderer Kunden und laufenden Betrieb. Geeignete vorhandene Nachweise können zunächst herangezogen werden; erforderliche weitergehende Prüfungen und Inspektionen bleiben möglich.

Anlass, Umfang und Ablauf werden abgestimmt. Bei konkreten Anhaltspunkten für einen Vorfall oder einer behördlichen Anforderung muss eine zeitgerechte Prüfung möglich bleiben.

Diese Vereinbarung gilt während der Auftragsverarbeitung. Bei Widersprüchen haben ihre Datenschutzregelungen für die Auftragsverarbeitung Vorrang. Zwingendes Recht bleibt unberührt.

Die Haftung richtet sich nach Gesetz und wirksam vereinbarten Regelungen des Hauptvertrags. Rechte betroffener Personen, insbesondere nach Artikel 82 DSGVO, werden durch interne Haftungsabreden nicht eingeschränkt.

Änderungen werden in Textform dokumentiert. Die Unwirksamkeit einzelner Bestimmungen lässt die übrigen Regelungen bestehen, soweit der Vertrag sinnvoll fortgeführt werden kann. Eine unzulässige Klausel wird nicht automatisch durch eine wirtschaftlich möglichst weitgehende Regelung ersetzt.

Die folgende Struktur bezeichnet die für den Vertrag zu konkretisierenden Maßnahmen. Sie ist kein Nachweis einer bereits produktiven Umsetzung oder Zertifizierung.