AVV – Vertragsrahmen und Produktinformation

Vor Verarbeitung im Auftrag ist ein bindender Vertrag erforderlich

Art. 28 DSGVO verlangt einen Vertrag oder anderen Rechtsakt, der Kasp gegenüber dem Verantwortlichen bindet und Gegenstand, Dauer, Art, Zweck, Datenarten, betroffene Personen sowie Rechte und Pflichten festlegt. Ein AVV wird nur dann Vertragsbestandteil, wenn er mit eindeutiger Versionsangabe ausdrücklich in ein Angebot, Bestellformular oder einen Enterprise-Vertrag einbezogen und von beiden Parteien wirksam angenommen wurde.

Bevor Kasp personenbezogene Daten im Auftrag verarbeitet, müssen die maßgebliche Unterauftragsverarbeiterliste, Datenregionen, Drittlandmechanismen, Lösch- und Backupfristen sowie die vereinbarten technischen und organisatorischen Maßnahmen dokumentiert und dem Vertrag als Anlagen zugeordnet sein. Fehlen diese Angaben oder eine wirksame Vereinbarung, darf Kasp die betreffende Verarbeitung nicht im Auftrag durchführen.

Eine zur Unterzeichnung oder elektronischen Annahme bestimmte Fassung kann über kontakt@kasp.ai angefordert werden. Diese Fassung muss vor Verwendung durch eine qualifizierte Rechtsberatung oder Datenschutzfachperson geprüft werden.

Vertragsparteien und Rollen

Auftragnehmer im vereinbarten AVV: Anel Alicic, handelnd unter der Geschäftsbezeichnung KASP, Brigitte-Frauendorfstr. 6, 60486 Frankfurt am Main, Deutschland, E-Mail: kontakt@kasp.ai.

Auftraggeber: die im angenommenen Angebot, Bestellformular oder Enterprise-Vertrag eindeutig bezeichnete juristische oder natürliche Person.

Der Auftraggeber ist Verantwortlicher, soweit er Zwecke und Mittel der Verarbeitung festlegt. Kasp ist nur insoweit Auftragsverarbeiter, wie Kasp Kundeninhalte ausschließlich nach dokumentierter Weisung verarbeitet. Für eigene Zwecke wie Vertragsverwaltung, Abrechnung, Produktsicherheit, Missbrauchsabwehr, Rechtsverteidigung und gesetzliche Aufbewahrung kann Kasp eigenständig Verantwortlicher sein. Die Rollen sind für jeden Datenfluss gesondert zu dokumentieren.

Gegenstand, Dauer und dokumentierte Weisungen

Gegenstand kann die technische Bereitstellung ausdrücklich beauftragter Kasp-Funktionen sein, insbesondere Workspace, Chat, Evidenzprüfung auf bereits qualifizierten Kasp-Quellen, aufgabenbasierte Analyse, Dateiverarbeitung, Artefakte, Speicherung, Export und Support. Welche Funktionen, Regionen und Datenarten tatsächlich umfasst sind, muss der Hauptvertrag oder eine Anlage abschließend bezeichnen.

Die Verarbeitung dauert grundsätzlich so lange wie der Hauptvertrag und endet nach Rückgabe oder Löschung der Auftragsdaten, soweit keine gesetzliche Aufbewahrungspflicht besteht. Konkrete Fristen für aktive Systeme, Warteschlangen, Protokolle und Sicherungskopien sind in der angenommenen Vertragsanlage festzuhalten.

Als Weisungen gelten nur der angenommene Hauptvertrag, die dort bezeichnete Produktkonfiguration und zusätzliche dokumentierte Anweisungen befugter Ansprechpartner. Hält Kasp eine Weisung für datenschutzwidrig, informiert Kasp den Auftraggeber und setzt die Ausführung bis zur Klärung aus, soweit keine zwingende Rechtsnorm entgegensteht.

Beschäftigtendaten und ausgeschlossene Zwecke

Der Standardzweck organisationsbezogener Kasp-Verarbeitungen, einschließlich Orbit, umfasst ausschließlich Rollen, Aufgaben, Skills und aggregierte Organisationsstrukturen. Nicht umfasst sind personenbezogene Bewerber- oder Beschäftigtenprofile, Ranking, Leistungs- oder Verhaltensüberwachung, Beförderungs- oder Kündigungsempfehlungen sowie personenbezogene Aufgabenverteilung auf Grundlage individueller Merkmale.

Namen, Personalnummern, Lebensläufe, Leistungs-, Gesundheits- oder Disziplinardaten dürfen nicht für diese ausgeschlossenen Zwecke übermittelt werden. Eine Erweiterung wäre keine bloße Weisung im bestehenden Leistungsumfang, sondern eine wesentliche Zweckänderung. Sie bedarf vorab einer neuen Rechtsgrundlagen-, Datenschutz-Folgenabschätzungs-, Mitbestimmungs-, Sicherheits- und AI-Act-Prüfung sowie einer ausdrücklichen vertraglichen Vereinbarung und einer dafür geeigneten technischen Ausgestaltung.

Weitere Grenzen stehen in der Datenschutzerklärung, unter KI-Transparenz und in den Nutzungsregeln.

Mindestpflichten des Auftragsverarbeiters

Die bindende Vertragsfassung muss Kasp insbesondere verpflichten:

• personenbezogene Daten nur auf dokumentierte Weisung zu verarbeiten, einschließlich Weisungen zu Drittlandübermittlungen;
• befugte Personen auf Vertraulichkeit zu verpflichten und Zugriffe rollenbezogen zu begrenzen;
• nachweisbar angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO umzusetzen und regelmäßig zu prüfen;
• den Auftraggeber bei Betroffenenrechten, Sicherheit, Datenschutzverletzungen, Datenschutz-Folgenabschätzung und einer gegebenenfalls erforderlichen vorherigen Konsultation zu unterstützen;
• nach Ende des Auftrags Daten nach Wahl des Auftraggebers zurückzugeben oder zu löschen, soweit keine gesetzliche Aufbewahrungspflicht besteht;
• erforderliche Nachweise bereitzustellen und angemessene Prüfungen zu ermöglichen.

Pflichten des Auftraggebers

Der Auftraggeber bleibt für Rechtmäßigkeit, Transparenz, Datenqualität, Rechtsgrundlagen, Betroffenenrechte, Löschfristen und die Zulässigkeit seiner Weisungen verantwortlich. Er muss Ansprechpartner und weisungsberechtigte Personen benennen, Rollen und Zugänge nach dem Need-to-know-Prinzip konfigurieren und nur Daten übermitteln, die für den vereinbarten Zweck erforderlich sind.

Besondere Kategorien personenbezogener Daten, Strafdaten, Berufsgeheimnisse oder personenbezogene Beschäftigten- und Bewerberdaten sind nicht allein deshalb vom Vertragsumfang erfasst, weil ein technisches Uploadfeld vorhanden ist. Sie dürfen nur verarbeitet werden, wenn Datenart und Zweck ausdrücklich vertraglich bezeichnet, für die gebuchte Leistung vorgesehen und durch eine dokumentierte Risikoprüfung abgesichert sind.

Mögliche Dienste und vertragliche Einordnung

Art. 28 Abs. 2 DSGVO verlangt eine vorherige besondere oder allgemeine schriftliche Genehmigung für Unterauftragsverarbeiter. Die folgende Tabelle bezeichnet Dienste, die je nach gebuchter Leistung eingesetzt werden können. Welche Anbieter tatsächlich eingesetzt werden, ergibt sich ausschließlich aus dem kundenspezifisch vereinbarten AVV und der dazu geltenden Unterauftragnehmerinformation. Diese Tabelle allein ist keine ausreichende Grundlage für eine allgemeine Genehmigung.

Eine bindende Vertragsfassung muss eine aktuelle, vereinbarte Liste, ein Änderungs- und Widerspruchsverfahren sowie die Weitergabe gleichwertiger Datenschutzpflichten an jeden Unterauftragsverarbeiter enthalten. Stripe kann für eigene Zahlungs- und Compliance-Zwecke eigenständig Verantwortlicher sein; die konkrete Rolle ist anhand der gewählten Stripe-Leistung zu bestimmen.

Perplexity ist im hier beschriebenen Auftragsverarbeitungsrahmen kein Empfänger von Kunden-, Konto-, Chat-, Datei-, Workspace-, Orbit- oder Abrechnungsdaten. Soweit Kasp einen getrennten Dienst zur Beschaffung öffentlicher Quellen einsetzt, darf dieser ausschließlich öffentliche, nicht personenbezogene Quellen suchen. Seine Treffer dürfen erst nach gesonderter Prüfung von Quelle, Rechten, Zuordnung und fachlicher Tragfähigkeit in Kundenergebnisse einfließen. Eine Erweiterung dieses Datenflusses wäre eine wesentliche Änderung und benötigt vorab eine neue Rechts-, Datenschutz-, Sicherheits- und Vertragsprüfung.

Drittlandübermittlungen

Verarbeitungen außerhalb der EU bzw. des EWR dürfen nur stattfinden, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Für jeden Datenfluss sind Empfänger, Land, Weiterübermittlungen und der tatsächlich verwendete Mechanismus zu dokumentieren. Möglich sind insbesondere ein einschlägiger Angemessenheitsbeschluss oder EU-Standardvertragsklauseln mit den erforderlichen ergänzenden Maßnahmen.

Die bloße Möglichkeit, Standardvertragsklauseln oder das EU-US Data Privacy Framework zu verwenden, belegt noch keinen rechtmäßigen Transfer. Zertifizierung, Vertragsmodul, Anlagen und Transfer Impact Assessment müssen zum konkreten Empfänger und Datenfluss passen.

Betroffenenrechte, Vorfälle und Audits

Kasp muss Anfragen zu Auftragsdaten grundsätzlich an den Auftraggeber weiterleiten und ihn mit den verfügbaren Funktionen und Informationen unterstützen. Bestätigte Verletzungen des Schutzes von Auftragsdaten sind ohne unangemessene Verzögerung mit den verfügbaren Angaben zu Art, Umfang, Folgen und Abhilfemaßnahmen zu melden.

Nachweise können zunächst durch aktuelle Sicherheits- und Datenschutzunterlagen erbracht werden. Wenn diese nicht ausreichen, muss die Vertragsfassung angemessene Prüfungen durch den Auftraggeber oder einen unabhängigen Prüfer ermöglichen, ohne Sicherheit, Vertraulichkeit oder Rechte anderer Kunden zu beeinträchtigen. Kosten-, Frist- und Vertraulichkeitsregeln dürfen zwingende Rechte aus Art. 28 DSGVO nicht ausschließen.

Rückgabe, Löschung und Sicherungskopien

Nach Ende des Auftrags muss Kasp Auftragsdaten nach dokumentierter Wahl des Auftraggebers in einem vereinbarten gängigen Format zurückgeben oder löschen, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Daten in Sicherungskopien müssen bis zur regulären, nachgewiesenen Überschreibung gesperrt bleiben und dürfen nicht für normale Produktzwecke wiederhergestellt werden.

Aktive Daten, Warteschlangen, temporäre Extrakte, Protokolle, Providerkopien und Backups benötigen jeweils überprüfbare Löschfristen. Eine pauschale Aussage zum „regulären Backup-Zyklus“ genügt ohne dokumentierte Rotation und Wiederherstellungsregeln nicht.

Anlage 1 – auszufüllende Beschreibung der Verarbeitung

Die bindende Vertragsfassung muss mindestens die konkret gebuchten Funktionen, Verarbeitungszwecke und -vorgänge, Laufzeit, Datenkategorien, Kategorien betroffener Personen, Frequenz, Speicherorte, Löschfristen und Weisungswege enthalten.

Der allgemeine Produktumfang kann Identitäts- und Kontaktdaten, Konto- und Berechtigungsdaten, technische Nutzungs- und Sicherheitsdaten, Kommunikationsinhalte, berufliche und organisatorische Angaben, Dokument- und Dateiinhalte sowie daraus erzeugte Ergebnisse umfassen. Welche dieser Kategorien tatsächlich zulässig sind, muss kundenspezifisch festgelegt werden.

Bewerber- oder Beschäftigtenprofile zur personenbezogenen Bewertung, besondere Datenkategorien und Strafdaten gehören nicht zum Standardumfang.

Anlage 2 – technische und organisatorische Maßnahmen

Die bindende Vertragsanlage muss je nach Risiko insbesondere die folgenden Kategorien konkret beschreiben:

• individuelle Konten, sichere Authentifizierung und kontrollierte privilegierte Zugriffe,
• Mandanten- und Berechtigungstrennung einschließlich serverseitiger Autorisierung und Row Level Security,
• Transportverschlüsselung und nachweisbare Verschlüsselung gespeicherter Daten,
• Protokollierung sicherheitsrelevanter und administrativer Vorgänge mit begrenzten Aufbewahrungsfristen,
• Rate-Limits, Eingabevalidierung, Uploadkontrollen und getrennte öffentliche sowie privilegierte Endpunkte,
• Backup-, Wiederherstellungs-, Verfügbarkeits- und Löschverfahren mit regelmäßigen Tests,
• Incident Management, Schwachstellenbehandlung und vertraglich geregelte Benachrichtigung,
• Datenminimierung, restriktive Weitergabe und erneute Prüfung bei Modell-, Anbieter- oder Zweckänderungen.

Nur die für die jeweilige Leistung vertraglich dokumentierten Maßnahmen gelten als zugesichert. Ihre Konfiguration und Wirksamkeit müssen angemessen belegt und prüfbar sein. Diese allgemeine Produktinformation ist keine uneingeschränkte TOM-Zertifizierung.