AVV-Generator (Auftragsverarbeitung, Art. 28 DSGVO)

§ 1 Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen ausschließlich zur Erbringung der vereinbarten Leistung (KI-gestützte Erstellung von Werbe-/Videoinhalten, Video-Orchestrierung, Auslieferung von Webhooks, API-Zugang). Die Dauer entspricht der Laufzeit des zugrunde liegenden Hauptvertrags zzgl. einer 30-tägigen Export-Frist nach Beendigung (§ 9).

§ 2 Art, Umfang und Zweck der Verarbeitung

Die Verarbeitung umfasst das Authentifizieren von Nutzern, das Speichern und Abrufen von Pipeline-Läufen, das Erzeugen KI-abgeleiteter Inhalte aus den Vorgaben des Verantwortlichen, die Auslieferung von Webhooks an vom Verantwortlichen angegebene URLs sowie die Nutzungsabrechnung. Zweck ist allein die Leistungserbringung; eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.

§ 3 Art der personenbezogenen Daten und Kategorien betroffener Personen

Datenarten: Konto-Identifikatoren (E-Mail, gehashtes Passwort), Nutzungsdaten (Token-Zähler, API-Metadaten), vom Verantwortlichen bereitgestellte Inhalte (Prompts, Briefings, erzeugte Assets, die ggf. personenbezogene Daten der Endkunden des Verantwortlichen enthalten).

Betroffene Personen: Beschäftigte des Verantwortlichen mit Arcamatrix-Konten sowie natürliche Personen, auf die sich vom Verantwortlichen bereitgestellte Inhalte beziehen.

§ 4 Weisungsbindung (Art. 28 Abs. 3 lit. a DSGVO)

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf Drittlandübermittlungen, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist. In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, soweit dies gesetzlich zulässig ist.

§ 5 Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)

Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind.

§ 6 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO. Diese sind in der Anlage TOM beschrieben und unter arcamatrix.com/trust/toms abrufbar; sie sind Bestandteil dieses Vertrags.

§ 7 Unterauftragsverarbeiter (Art. 28 Abs. 2 und 4 DSGVO)

Der Verantwortliche genehmigt den Einsatz der in Anlage 2 aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage im Voraus über die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Verantwortliche kann innerhalb von 30 Tagen widersprechen; in diesem Fall schlägt der Auftragsverarbeiter eine wirtschaftlich angemessene Alternative vor oder der Verantwortliche kann den betroffenen Dienst mit anteiliger Erstattung kündigen. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf und haftet für deren Einhaltung. Die jeweils aktuelle Liste ist unter arcamatrix.com/subprocessors abrufbar.

§ 8 Unterstützung des Verantwortlichen (Art. 28 Abs. 3 lit. e und f DSGVO)

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit) sowie bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung). Eine Verletzung des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntniserlangung.

§ 9 Rückgabe und Löschung (Art. 28 Abs. 3 lit. g DSGVO)

Nach Abschluss der Leistung kann der Verantwortliche die Daten innerhalb von 30 Tagen über die dokumentierten Schnittstellen exportieren. Danach löscht der Auftragsverarbeiter alle personenbezogenen Daten innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

§ 10 Nachweise und Kontrollen (Art. 28 Abs. 3 lit. h DSGVO)

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen — höchstens einmal je 12 Monate und auf Kosten des Verantwortlichen — durch Einsicht in den aktuellen unabhängigen Prüfbericht (unter Geheimhaltung) oder durch Vor-Ort-Kontrolle mit mindestens 30 Tagen Vorankündigung.

§ 11 Internationale Datenübermittlung (SCC Modul 2)

Soweit personenbezogene Daten in ein Land ohne EU-Angemessenheits- beschluss übermittelt werden, gelten die EU-Standardvertragsklauseln Modul Zwei (Verantwortlicher an Auftragsverarbeiter, Durchführungsbeschluss (EU) 2021/914) als einbezogen; auf nachgelagerte Übermittlungen finden zusätzlich Modul Drei sowie eine dokumentierte Transfer-Folgenabschätzung Anwendung. Die konkrete Übermittlungs- grundlage je Dienstleister ist im EU-Transfer-Anhang (arcamatrix.com/trust/transfers) beschrieben.

§ 12 Schlussbestimmungen

Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht dieser AVV in Datenschutzfragen vor. Änderungen bedürfen der Textform. Es gilt das Recht der Bundesrepublik Deutschland.