Vertrag zur Auftragsverarbeitung

Der Auftragsverarbeiter (Manuel Grasse, kreativwolke, Alte Stollberger Straße 6b, 08297 Zwönitz) betreibt für den Verantwortlichen (den Kunden) eine eigene Instanz von Maildeck nach den Allgemeinen Geschäftsbedingungen. Dabei verarbeitet er personenbezogene Daten im Auftrag des Kunden.

Die Laufzeit entspricht der des Nutzungsvertrags einschließlich der Testphase und der anschließenden Aufbewahrung nach Ziffer 9.

Zweck

Abruf, Speicherung, Einordnung und Verschieben von E-Mails, Vorschläge und Antwortentwürfe, Auslesen von Belegen, Versand von Mails auf Veranlassung des Kunden

Art

Erheben, Speichern, Ordnen, Auslesen, Übermitteln an ein Sprachmodell (gekürzt, geschwärzt), Löschen

Datenarten

Namen und E-Mail-Adressen, Inhalte und Anhänge von E-Mails, darin enthaltene Kontakt-, Vertrags- und Rechnungsdaten, Zugangsdaten der Postfächer (verschlüsselt), Protokolle der Aktionen

Betroffene

Kommunikationspartner des Kunden, seine Beschäftigten und Nutzer der Instanz

Besondere Kategorien

Nicht beabsichtigt. Enthalten Mails solche Daten, kann der Kunde die betreffenden Ordner von der Übermittlung an das Sprachmodell ausschließen.

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen ergeben sich aus diesem Vertrag, den AGB und den Einstellungen, die der Kunde in seiner Instanz vornimmt, etwa Regeln, ausgeschlossene Ordner, Stufe der Schwärzung und Wahl des Sprachmodells. Weitere Weisungen erteilt der Kunde in Textform an hallo@maildeck.cloud.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Kunden unverzüglich darauf hin.

Der Auftragsverarbeiter verpflichtet alle Personen mit Zugriff auf die Daten zur Vertraulichkeit. Er verarbeitet die Daten ausschließlich in der Instanz des Kunden und nicht für eigene Zwecke, insbesondere nicht zum Training von Modellen.

Er meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

Der Kunde genehmigt die folgenden Unterauftragsverarbeiter:

• Vautron Serverhosting GmbH, Regensburg: Rechenzentrum und Server in Deutschland.
• Langdock GmbH, Berlin: Bereitstellung des Sprachmodells, Verarbeitung in der EU.

Wählt der Kunde in seiner Instanz einen anderen Anbieter mit eigenem Zugang, schließt er den Vertrag mit diesem Anbieter selbst; der Auftragsverarbeiter übermittelt dann nur auf diese Weisung hin.

Über beabsichtigte Änderungen informiert der Auftragsverarbeiter mindestens vier Wochen im Voraus in Textform. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen und, wenn keine Einigung gelingt, den Vertrag außerordentlich kündigen.

• Trennung: eigene Instanz je Kunde mit eigener Datenbank, eigenem Prozess und eigenem Schlüssel.
• Verschlüsselung: Transport ausschließlich über TLS; Zugangsdaten der Postfächer verschlüsselt mit einem Schlüssel, der nur in der Instanz liegt.
• Zugang: Anmeldung mit Passwort, Sitzungen mit Ablauf; administrativer Serverzugang nur per SSH-Schlüssel.
• Datensparsamkeit: an das Sprachmodell nur gekürzte, geschwärzte Auszüge; Ordner ausschließbar; die übermittelte Fassung ist je Mail einsehbar.
• Nachvollziehbarkeit: jede Aktion am Postfach wird mit Quelle und Grund protokolliert und lässt sich rückgängig machen.
• Verfügbarkeit: Rechenzentrum in Deutschland, regelmäßige Sicherungen, Überwachung der Dienste.

Der Auftragsverarbeiter passt die Maßnahmen dem Stand der Technik an, ohne das Schutzniveau zu senken.

Der Auftragsverarbeiter unterstützt den Kunden mit geeigneten Maßnahmen bei der Beantwortung von Anträgen Betroffener sowie bei den Pflichten nach Art. 32 bis 36 DSGVO. Wendet sich eine betroffene Person direkt an ihn, leitet er die Anfrage unverzüglich an den Kunden weiter.

Der Auftragsverarbeiter stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind. Kontrollen vor Ort sind nach rechtzeitiger Anmeldung zu den üblichen Geschäftszeiten möglich, ohne den Betrieb zu stören.

Nach Vertragsende bleibt die Instanz 90 Tage gesperrt erhalten und wird danach mit allen Daten gelöscht. Auf Weisung des Kunden löscht der Auftragsverarbeiter früher. Gesetzliche Aufbewahrungspflichten bleiben unberührt. Die Mails selbst verbleiben beim E-Mail-Anbieter des Kunden.

Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht. Es gilt deutsches Recht. Eine unterschriebene Fassung stellen wir auf Anfrage an hallo@maildeck.cloud bereit.