Auftragsverarbeitungsvertrag (AVV)

Datenschutzkontakt der Auftragsverarbeiterin: datenschutz@innnow.de

§ 1 Gegenstand und Dauer

(1) Die Auftragsverarbeiterin stellt dem Verantwortlichen die innnow-Plattform bereit und verarbeitet dabei personenbezogene Daten in dessen Auftrag. Art, Umfang und Funktionalitäten der Leistung ergeben sich aus dem Angebot, den Allgemeinen Geschäftsbedingungen und etwaigen weiteren Leistungsvereinbarungen der Parteien (zusammen „Hauptvertrag“).

(2) Dieser Vertrag gilt für die Dauer des Hauptvertrags. Pflichten, die ihrer Natur nach fortgelten, bleiben unberührt.

§ 2 Art und Zweck der Verarbeitung

(1) Die Auftragsverarbeiterin verarbeitet personenbezogene Daten zur Bereitstellung und zum Betrieb der innnow-Plattform einschließlich der vom Verantwortlichen beauftragten oder aktivierten Funktionen nach Maßgabe des Hauptvertrags sowie der dokumentierten Weisungen des Verantwortlichen. Die Verarbeitung umfasst insbesondere die Erfassung, Speicherung, Organisation, Auswertung, Zusammenfassung, Bereitstellung und Löschung der hierfür erforderlichen personenbezogenen Daten.

(2) Eine Verarbeitung personenbezogener Daten zu eigenen Werbe-, Profilbildungs- oder Vermarktungszwecken der Auftragsverarbeiterin findet nicht statt.

(3) Die Auftragsverarbeiterin darf die im Auftrag verarbeiteten Daten zur Bildung aggregierter statistischer Kennzahlen anonymisieren und die anonymisierten Kennzahlen für einrichtungsübergreifende Vergleichsauswertungen und die Verbesserung ihrer Leistungen verwenden. Aus Freitextinhalten dürfen hierfür abstrakte Themen und Kategorien abgeleitet und aggregiert ausgezählt werden; Originaltexte, Zitate oder sinnerhaltende Paraphrasen werden nicht in den einrichtungsübergreifenden Datenbestand übernommen. Die Kennzahlen werden erst verwendet, wenn Rückschlüsse auf betroffene Personen, den Verantwortlichen, einzelne Einrichtungen, Standorte oder Organisationseinheiten mit Mitteln, die vernünftigerweise eingesetzt werden können, ausgeschlossen sind; eine Reidentifizierung oder eine Nutzung zum Training von KI-Modellen findet nicht statt. Der Verantwortliche kann dieser Verarbeitung jederzeit mit Wirkung für die Zukunft in Textform widersprechen.

§ 3 Daten und betroffene Personen

(1) Verarbeitet werden, abhängig von der Konfiguration des Verantwortlichen:

• Identifikations- und Kontaktdaten,
• Organisations- und Berechtigungsdaten,
• Nutzungs-, Bewertungs-, Vorgangs- und Freitextdaten sowie
• technische Protokoll- und Sitzungsdaten.

(2) Betroffen sind Beschäftigte, Nutzende und weitere vom Verantwortlichen zur Teilnahme oder Mitwirkung bestimmte Personen.

(3) Die Plattform ist nicht für Patientendaten, Behandlungsdaten oder die gezielte Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO bestimmt. Der Verantwortliche weist Nutzende entsprechend an. Werden solche Daten dennoch eingegeben, informiert die Auftragsverarbeiterin den Verantwortlichen nach Kenntnis und stimmt mit ihm die erforderlichen Maßnahmen ab. Auf dokumentierte Weisung des Verantwortlichen löscht oder sperrt sie die betreffenden Daten oder behandelt sie anderweitig nach dessen Weisung, soweit dem keine gesetzliche Pflicht entgegensteht.

§ 4 Verantwortlichkeit und Weisungen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, seine Informationspflichten, die Wahrung der Betroffenenrechte und die erforderliche Einbindung von Interessenvertretungen verantwortlich.

(2) Die Auftragsverarbeiterin verarbeitet personenbezogene Daten einschließlich ihrer Übermittlung an ein Drittland oder eine internationale Organisation ausschließlich auf dokumentierte Weisung des Verantwortlichen. Dieser Vertrag und der Hauptvertrag bilden die Weisungen bei Vertragsschluss. Weitere Weisungen sind an datenschutz@innnow.de zu richten. Dies gilt nicht, soweit die Auftragsverarbeiterin durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in diesem Fall informiert sie den Verantwortlichen vor der Verarbeitung, soweit dies rechtlich zulässig ist.

(3) Hält die Auftragsverarbeiterin eine Weisung für rechtswidrig, informiert sie den Verantwortlichen unverzüglich und darf die Umsetzung bis zur Klärung aussetzen. Bei einem akuten Rechts- oder Sicherheitsrisiko darf sie die betroffene Verarbeitung vorläufig beschränken.

§ 5 Vertraulichkeit und Sicherheit

(1) Die Auftragsverarbeiterin setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Sie trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Sie darf diese weiterentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

(3) Soweit die Auftragsverarbeiterin im Einzelfall als sonstige mitwirkende Person Zugang zu Geheimnissen im Sinne des § 203 StGB erhält, stellt sie sicher, dass die betreffenden Personen in ihrer Leistungskette vor einem möglichen Zugang zur Geheimhaltung verpflichtet sind.

§ 6 Unterauftragnehmer und Verarbeitungsorte

(1) Die genehmigten Unterauftragnehmer und ihre Verarbeitungsorte sind in Anlage 1 aufgeführt. Die Auftragsverarbeiterin verpflichtet Unterauftragnehmer gemäß Art. 28 Abs. 2 bis 4 DSGVO und bleibt gegenüber dem Verantwortlichen für deren Pflichten verantwortlich.

(2) Über neue oder ersetzte Unterauftragnehmer informiert sie mindestens 30 Tage vor deren Einsatz in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine zumutbare Lösung zustande, kann der Verantwortliche den Hauptvertrag oder, soweit abtrennbar, die betroffene Zusatzfunktion außerordentlich kündigen.

(3) Die dauerhafte Speicherung der in der Plattform geführten Inhaltsdaten erfolgt auf Servern in Deutschland. Weitere Verarbeitungen und mögliche Drittlandzugriffe ergeben sich aus Anlage 1. Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

§ 7 Optionale KI-gestützte Funktionen

(1) Die Absätze 2 bis 7 gelten nur, wenn der Verantwortliche KI-gestützte Funktionen freischalten lässt. Ohne Freischaltung werden keine Plattformdaten für KI-Zwecke verarbeitet oder an einen KI-Anbieter übermittelt. Die grundsätzliche Freischaltung erfolgt durch die Auswahl in Anlage 1 oder nachträglich durch dokumentierte Weisung in Textform einer weisungsbefugten Person des Verantwortlichen; die technische Umsetzung der Freischaltung erfolgt durch die Auftragsverarbeiterin erst nach dieser Weisung. Nach der Freischaltung gilt die Aktivierung oder der Aufruf einer KI-Funktion durch eine berechtigte Person als dokumentierte Weisung für die jeweilige Verarbeitung. Der Verantwortliche kann jederzeit die Deaktivierung einzelner oder sämtlicher KI-gestützter Funktionen verlangen.

(2) KI darf unterstützend zu den Zwecken nach § 2 eingesetzt werden, insbesondere zur Klassifikation und Verschlagwortung, Zusammenfassung und Aggregation von Board-Inhalten, Erzeugung von Text- und Maßnahmenvorschlägen sowie für Such-, Empfehlungs- und Assistenzfunktionen. Vergleichbare Funktionen innerhalb dieser Zwecke und der nachfolgenden Schranken sind umfasst.

(3) Je nach Funktion dürfen die hierfür erforderlichen Plattforminhalte verarbeitet werden, insbesondere Freitexte, Antworten, Bewertungen, Schlagwörter, Maßnahmen, Aufgaben und Statusinformationen. Zweck und Kategorien der für die jeweilige KI-Funktion erforderlichen Plattforminhalte werden dem Verantwortlichen vor der Aktivierung oder erstmaligen Nutzung in der Funktions- oder Produktbeschreibung ausgewiesen. Die zu diesem Zeitpunkt geltende Fassung wird dokumentiert und dem Verantwortlichen auf Anfrage in Textform zur Verfügung gestellt. Es werden nur die zur Ausführung der konkret aktivierten oder aufgerufenen Funktion erforderlichen Inhalte an den KI-Anbieter übermittelt. Identifikations-, Organisations- und Berechtigungsdaten werden nur verarbeitet, soweit dies für die jeweilige Funktion erforderlich und in der Funktions- oder Produktbeschreibung ausgewiesen ist. Verarbeitet werden ausschließlich Daten des Verantwortlichen innerhalb des für die Funktion freigegebenen Berechtigungs- und Nutzungskontexts. Eine Zusammenführung mit Daten anderer Verantwortlicher findet nicht statt.

(4) Für alle KI-gestützten Funktionen gilt:

• keine Nutzung der für KI-Funktionen verarbeiteten Plattforminhalte zum Training oder zur Verbesserung von KI-Modellen,
• keine Weitergabe von Eingaben oder Ausgaben an den jeweiligen Modellanbieter,
• keine Bewertung, Überwachung oder Profilbildung einzelner Beschäftigter,
• keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO,
• KI-Inferenz innerhalb der EU/des EWR,
• keine dauerhafte Inhaltsprotokollierung durch die Auftragsverarbeiterin oder durch von ihr konfigurierbare Protokollierungsfunktionen; eine vom KI-Dienst angebotene und konfigurierbare Inhaltsprotokollierung ist deaktiviert; technische Metadaten ohne Inhaltsbezug dürfen für Sicherheit, Fehleranalyse und Abrechnung verarbeitet werden und
• keine automatische Übernahme KI-erzeugter Ergebnisse; eine Weiterverwendung erfolgt durch eine berechtigte Person, die das Ergebnis prüfen, ändern oder verwerfen kann.

(5) Der Verantwortliche weist Nutzende darauf hin, keine Patientendaten, Behandlungsinformationen oder sonstigen besonderen Kategorien personenbezogener Daten in die für KI-Funktionen vorgesehenen Freitexte einzugeben. Wird der Auftragsverarbeiterin eine entsprechende Eingabe bekannt, wird sie nicht erneut an eine KI-Funktion übermittelt und nach § 3 Abs. 3 behandelt.

(6) KI-Anbieter und Verarbeitungsorte ergeben sich aus Anlage 1. Der Wechsel eines KI-Anbieters erfolgt nach dem Verfahren des § 6 Abs. 2. Neue oder geänderte KI-Funktionen innerhalb der Zwecke, Datenkategorien und Schutzvorgaben dieses Paragraphen dürfen ohne Änderung dieses Vertrages bereitgestellt werden. Änderungen des Verarbeitungszwecks, neue Kategorien personenbezogener Daten oder Abweichungen von den Schutzvorgaben dieses Paragraphen bedürfen vor Beginn der betreffenden Verarbeitung einer ergänzenden Vereinbarung.

(7) Der Verantwortliche verwendet KI-Funktionen nicht als Grundlage für Entscheidungen über einzelne Beschäftigte und stellt eine angemessene menschliche Prüfung sowie die erforderliche KI-Kompetenz der eingesetzten Personen sicher.

§ 8 Unterstützung und Datenschutzvorfälle

(1) Die Auftragsverarbeiterin unterstützt den Verantwortlichen im erforderlichen und angemessenen Umfang bei Betroffenenrechten sowie bei dessen Pflichten nach Art. 32 bis 36 DSGVO. Betroffenenanfragen leitet sie an den Verantwortlichen weiter.

(2) Soweit der Verantwortliche die erforderlichen Maßnahmen nicht mit den bereitgestellten Funktionen und Unterlagen selbst durchführen kann und die Unterstützung den gewöhnlichen Umfang überschreitet, kann die Auftragsverarbeiterin den zusätzlichen angemessenen Aufwand nach vorheriger Ankündigung zu den im Hauptvertrag vereinbarten oder sonst vorab abgestimmten Sätzen berechnen. Dies gilt nicht, soweit die Unterstützung aufgrund eines von der Auftragsverarbeiterin zu vertretenden Verstoßes erforderlich wird.

(3) Verletzungen des Schutzes personenbezogener Daten meldet sie dem Verantwortlichen unverzüglich nach Kenntnis. Eine erste Meldung erfolgt möglichst innerhalb von 24 Stunden und wird ergänzt, sobald weitere Informationen vorliegen.

(4) Die Meldung enthält, soweit verfügbar, Art und Umfang des Vorfalls, betroffene Daten und Personen, wahrscheinliche Folgen sowie ergriffene oder geplante Maßnahmen.

§ 9 Löschung und Rückgabe

(1) Nach Ende des Hauptvertrags löscht die Auftragsverarbeiterin die personenbezogenen Daten nach Wahl des Verantwortlichen oder gibt sie in einem gängigen maschinenlesbaren Format zurück und löscht anschließend verbleibende Kopien, soweit keine gesetzliche Aufbewahrungspflicht besteht.

(2) Der Verantwortliche teilt seine Wahl spätestens innerhalb von 30 Tagen nach Ende des Hauptvertrags mit. Ohne Mitteilung werden die Daten nach Ablauf dieser Frist gelöscht.

(3) Sicherungskopien werden im regulären Zyklus, spätestens innerhalb weiterer 30 Tage, überschrieben und bis dahin nicht produktiv genutzt. Die Löschung wird dokumentiert und auf Anfrage bestätigt.

(4) Anonyme Kennzahlen, die nach § 2 Abs. 3 rechtmäßig gebildet wurden, sind keine personenbezogenen Daten und bleiben von den Pflichten dieses Paragraphen unberührt.

§ 10 Nachweise und Kontrollen

(1) Die Auftragsverarbeiterin stellt die nach Art. 28 Abs. 3 lit. h DSGVO erforderlichen Informationen zur Verfügung und ermöglicht angemessene Kontrollen. Prüfungen erfolgen vorrangig durch Unterlagen, geeignete Prüfberichte oder Remote-Audits.

(2) Reichen diese Nachweise nicht aus, sind auch Vor-Ort-Prüfungen durch fachkundige, unabhängige und zur Vertraulichkeit verpflichtete Prüfer zulässig. Anlasslose Vor-Ort-Prüfungen sind regelmäßig auf einmal je Kalenderjahr begrenzt, mindestens 30 Tage vorher anzukündigen, während der üblichen Geschäftszeiten durchzuführen und auf einen Arbeitstag zu beschränken. Private Wohnräume von Beschäftigten sind von Vor-Ort-Prüfungen ausgenommen; die Einhaltung der dort geltenden Maßnahmen wird durch geeignete Unterlagen oder Remote-Prüfungen nachgewiesen.

(3) Die Beschränkungen nach Absatz 2 gelten nicht, soweit eine behördliche oder gesetzliche Anforderung, ein Datenschutz- oder Sicherheitsvorfall, begründete Zweifel an der Einhaltung dieses Vertrags oder unzureichende Nachweise eine weitergehende Prüfung erforderlich machen. Die Auftragsverarbeiterin kann einen Prüfer, der in unmittelbarem Wettbewerb zu ihr steht oder bei dem ein sonstiger wichtiger Ablehnungsgrund besteht, zurückweisen, sofern sie unverzüglich einen geeigneten alternativen Prüfer akzeptiert. Prüfungen müssen verhältnismäßig sein und dürfen Rechte Dritter, Geschäftsgeheimnisse und den sicheren Betrieb nicht unangemessen beeinträchtigen. Die Kosten trägt der Verantwortliche, sofern kein wesentlicher Verstoß festgestellt wird.

§ 11 Schlussbestimmungen

(1) Die Haftung richtet sich nach dem Hauptvertrag; Art. 82 DSGVO bleibt unberührt.

(2) Bei Widersprüchen geht dieser Vertrag in datenschutzrechtlichen Fragen dem Hauptvertrag vor. Änderungen bedürfen der Textform. Es gilt deutsches Recht.

Unterzeichnung

Dieser Vertrag einschließlich seiner Anlagen kann gemäß Art. 28 Abs. 9 DSGVO elektronisch geschlossen werden.

Anlage 1 – Unterauftragnehmer

Die primäre Verarbeitung und die dauerhafte Speicherung der Plattform-Inhaltsdaten erfolgen innerhalb der EU; die dauerhafte Speicherung erfolgt gemäß § 6 Abs. 3 auf Servern in Deutschland. Daneben kommen transiente Übermittlungen über das globale Netzwerk von Cloudflare sowie mögliche begrenzte Drittlandzugriffe der eingesetzten Anbieter, insbesondere im Supportfall, in Betracht. Soweit danach Übermittlungen in Drittländer oder Drittlandzugriffe erfolgen, stützen sich diese auf einen Angemessenheitsbeschluss der EU-Kommission einschließlich des EU-US Data Privacy Framework (DPF), soweit anwendbar, im Übrigen auf EU-Standardvertragsklauseln und ergänzende Garantien gemäß den mit den jeweiligen Anbietern abgeschlossenen Auftragsverarbeitungsverträgen.

Grundsätzliche Freischaltung KI-gestützter Funktionen nach § 7: ☐ ja  ☐ nein
Ist keine Auswahl getroffen, bleiben KI-gestützte Funktionen deaktiviert, bis der Verantwortliche ihre Freischaltung nachträglich durch eine weisungsbefugte Person in Textform verlangt. Bei grundsätzlicher Freischaltung erfolgt die konkrete Verarbeitung erst durch Aktivierung oder Aufruf der jeweiligen Funktion nach § 7.

Kontakt des Verantwortlichen für Datenschutzmeldungen:

Anlage 2 – Technische und organisatorische Maßnahmen

Die Maßnahmen werden risikobasiert überprüft und bei Bedarf angepasst.