Auftragsverarbeitungsvertrag

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, soweit dies zur Erbringung der in den Nutzungsbedingungen vereinbarten Leistungen erforderlich ist. Die Verarbeitung beginnt mit der Nutzung von delishy und endet mit dem Ende des Hauptvertrags, vorbehaltlich der Regelungen zur Löschung und Rückgabe in Ziffer 9.

Begriffe wie „personenbezogene Daten“, „Verarbeitung“ oder „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung der Verordnung (EU) 2016/679 (DSGVO).

2. Art und Zweck der Verarbeitung

Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

Die Verarbeitung findet in der Europäischen Union statt, mit Ausnahme der KI-Verarbeitung durch Anthropic in den USA und der in der Liste der Unterauftragsverarbeiter genannten weltweiten Auslieferung. Für Übermittlungen in Drittländer sorgt der Auftragsverarbeiter für geeignete Garantien nach Kapitel V DSGVO.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich der Übermittlung in Drittländer, es sei denn, er ist durch Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dies dem Verantwortlichen vorab mit, soweit rechtlich zulässig.

Weisungen sind der Hauptvertrag, dieser AVV und die Einstellungen des Verantwortlichen im Produkt. Weitere Weisungen erteilt der Verantwortliche in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

4. Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Zugriff auf Daten des Verantwortlichen ist auf Personen beschränkt, die ihn zur Erfüllung der Leistung benötigen.

5. Sicherheit der Verarbeitung

Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO, wie in Anlage 2 beschrieben. Er entwickelt die Maßnahmen entsprechend dem Stand der Technik weiter, darf sie ändern und darf dabei das vereinbarte Schutzniveau nicht unterschreiten.

6. Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in der Datenschutzerklärung aufgeführt.

Beabsichtigt der Auftragsverarbeiter, Unterauftragsverarbeiter hinzuzufügen oder zu ersetzen, informiert er den Verantwortlichen mindestens [zu prüfen: 30] Tage vorher in Textform oder über das Produkt. Der Verantwortliche kann aus wichtigem Grund innerhalb dieser Frist widersprechen. Bei Widerspruch suchen die Parteien eine einvernehmliche Lösung; gelingt sie nicht, kann der Verantwortliche den Hauptvertrag zum Wirksamwerden der Änderung außerordentlich kündigen.

Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die in diesem AVV festgelegt sind, und haftet für dessen Einhaltung gegenüber dem Verantwortlichen.

7. Unterstützung bei Rechten betroffener Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte zu beantworten. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.

Der Auftragsverarbeiter unterstützt den Verantwortlichen außerdem bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen der Aufsichtsbehörde (Art. 35 und 36 DSGVO), soweit dies für die Verarbeitung erforderlich ist.

8. Meldung von Verletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von [48 Stunden, zu prüfen] nach Bekanntwerden. Die Meldung enthält, soweit bekannt, Art der Verletzung, betroffene Daten und Personen, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Maßnahmen. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei den Pflichten nach Art. 33 und 34 DSGVO.

9. Löschung und Rückgabe

Nach Ende des Hauptvertrags stellt der Auftragsverarbeiter dem Verantwortlichen die Daten zum Export bereit und löscht sie danach, nach Wahl des Verantwortlichen binnen [30 Tage, zu prüfen], es sei denn, nach Unionsrecht oder dem Recht eines Mitgliedstaats besteht eine Speicherpflicht. Daten in Sicherungskopien werden im regulären Zyklus gelöscht [zu prüfen: Backup-Zeitraum]. Auf Anfrage bestätigt der Auftragsverarbeiter die Löschung in Textform.

Während der Vertragslaufzeit kann der Verantwortliche Daten selbst im Produkt löschen. Snapshots von Quellcode werden unabhängig davon nach den Vorgaben der Anlage 1 gelöscht.

10. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die erforderlichen Informationen zum Nachweis der Einhaltung dieses AVV zur Verfügung. Der Verantwortliche darf Überprüfungen, einschließlich Inspektionen, durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Kontrollen erfolgen nach angemessener Vorankündigung (mindestens [zu prüfen: 30] Tage), während der üblichen Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebs; Aufwände des Auftragsverarbeiters sind angemessen zu vergüten [zu prüfen]. Vorrangig genügt der Auftragsverarbeiter dieser Pflicht durch aktuelle Zertifikate, Berichte oder Auskünfte.

11. Haftung

Für die Haftung gelten die Regelungen der Nutzungsbedingungen. Hiervon unberührt bleibt die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO.

12. Schlussbestimmungen

Bei Widersprüchen zwischen diesem AVV und den Nutzungsbedingungen gehen für die Verarbeitung personenbezogener Daten die Regelungen dieses AVV vor. Änderungen bedürfen der Textform. Es gilt deutsches Recht; Gerichtsstand ist, soweit zulässig, der Sitz des Auftragsverarbeiters. Ist eine Bestimmung unwirksam, bleibt die Wirksamkeit der übrigen unberührt.

Soweit Kunden außerhalb der Europäischen Union ansässig sind oder Übermittlungen in Drittländer erfolgen, vereinbaren die Parteien bei Bedarf die einschlägigen Standardvertragsklauseln [zu prüfen].

Kontakt: privacy@delishy.ai.

Beschreibung der Verarbeitung

Diese Anlage konkretisiert Art, Zweck, Datenarten, betroffene Personen und Dauer der Verarbeitung nach Art. 28 Abs. 3 DSGVO.

Kategorien betroffener Personen

• Nutzer des Verantwortlichen (Mitglieder der Organisation)
• Personen, die im Quellcode oder in Screenshots abgebildet oder genannt sind
• Endkunden des Verantwortlichen, soweit sie in Testdaten des Quellcodes oder in Screenshots vorkommen

Arten personenbezogener Daten

• Kontodaten (E-Mail-Adresse, Name, Rolle)
• Quellcode und Konfiguration nach Bereinigung um Geheimnisse
• Screenshots
• Brand-Kit (Logos, Farben, Schriften, Texte)
• Erzeugte Assets (Videos, Standbilder)
• Nutzungsdaten (Jobs, Credit-Verbrauch, Zeitpunkte)

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Verantwortliche bringt sie nicht in die Plattform ein.

Zwecke der Verarbeitung

• Snapshot der verbundenen Quelle und Erkennung der Oberfläche
• Nachbau der Oberfläche als UI-Kit durch KI
• Rendering von Videos und Standbildern in verschiedenen Formaten und Sprachen
• Speicherung und Auslieferung der Ergebnisse

Dauer der Verarbeitung

Snapshots von Quellcode werden standardmäßig 7 Tage nach der Freigabe des UI-Kits gelöscht [einstellbar; zu prüfen]. Alle übrigen Daten werden für die Dauer des Hauptvertrags verarbeitet und danach nach Ziffer 9 gelöscht oder zurückgegeben.

Überblick

Der Auftragsverarbeiter trifft mindestens die folgenden Maßnahmen. Maßnahmen von Unterauftragsverarbeitern ergeben sich zusätzlich aus deren Dokumentation.

Vertraulichkeit und Zugriff

• Rollen- und Rechtekonzept in der Anwendung (Inhaber, Administrator, Mitglied, Betrachter)
• Mandantentrennung durch Row-Level-Security in der Datenbank
• Zugriff von Mitarbeitern auf Kundendaten nur nach Bedarf [zu prüfen]
• Geheimnisse und Zugangsdaten in Supabase Vault
• Bereinigung von Geheimnissen (.env-Dateien, Schlüssel, Tokens) vor der Analyse von Quellcode

Verschlüsselung und Übertragung

• Verschlüsselung der Übertragung (TLS)
• Verschlüsselung gespeicherter Daten (at rest)
• Signierte, kurzlebige Download-URLs für Dateien

Isolation von Kundencode

• Kit-Code läuft ausschließlich in einer isolierten Vorschau-Domain (sandboxed iframe, Content-Security-Policy)
• Render-Worker laufen ohne Geheimnisse und mit gesperrtem Netzwerk
• Ein Render-Job je isolierter virtueller Maschine

Verfügbarkeit und Wiederherstellung

• Rechenzentren in der EU (Frankfurt), außer bei der KI-Verarbeitung durch Anthropic
• Regelmäßige Backups [Intervall zu prüfen]

Nachvollziehbarkeit und Organisation

• Audit-Log für sicherheitsrelevante Aktionen
• Incident-Prozess für Sicherheitsvorfälle und Datenschutzverletzungen, einschließlich Meldewegen
• Verpflichtung der Mitarbeiter zur Vertraulichkeit [zu prüfen]
• Regelmäßige Überprüfung und Weiterentwicklung der Maßnahmen [zu prüfen]