Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO
Dieser AVV wird mit Abschluss eines kostenpflichtigen HanseGPT-Abonnements automatisch Vertragsbestandteil. Eine separate Unterzeichnung ist nicht erforderlich.
Dieser Vertrag zur Auftragsverarbeitung (nachfolgend „AVV") wird geschlossen zwischen:
Auftraggeber:
Der Kunde gemäß Hauptvertrag
(HanseGPT-Nutzungsvertrag)
Auftragnehmer:
KI-Werke Bremen GmbH
Karl-Ferdinand-Braun-Str. 5
28359 Bremen
Deutschland
E-Mail: info@hansegpt.de
Auftraggeber und Auftragnehmer werden nachfolgend gemeinsam als „Parteien" bezeichnet.
Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Bereitstellung der KI-Plattform „HanseGPT". Die Einzelheiten der Verarbeitung, insbesondere Art, Zweck und Umfang der Datenverarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen ergeben sich aus Anlage A dieses Vertrags.
Dieser AVV gilt für die Dauer des Hauptvertrags (HanseGPT-Nutzungsvertrag). Er beginnt mit Abschluss des Hauptvertrags und endet automatisch mit dessen Beendigung, sofern sich aus diesem AVV keine darüber hinausgehenden Pflichten ergeben.
Die Verarbeitung personenbezogener Daten durch den Auftragnehmer erfolgt ausschließlich:
Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers, insbesondere zum Training von KI-Modellen, findet nicht statt.
Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist durch Unionsrecht oder das Recht eines EU-Mitgliedstaats zur Verarbeitung verpflichtet.
Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
Der Auftragnehmer trifft alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die konkreten Maßnahmen sind in Anlage B beschrieben.
Der Auftragnehmer nimmt keine weiteren Auftragsverarbeiter ohne vorherige schriftliche Genehmigung des Auftraggebers in Anspruch. Der Auftraggeber erteilt hiermit eine allgemeine Genehmigung für die in Anlage C aufgeführten Unterauftragnehmer. Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen mit einer Frist von 30 Tagen.
Der Auftragnehmer unterstützt den Auftraggeber bei der Beantwortung von Anträgen betroffener Personen (Art. 12-22 DSGVO) sowie bei der Einhaltung der Pflichten aus Art. 32-36 DSGVO.
Nach Beendigung des Hauptvertrags löscht der Auftragnehmer alle personenbezogenen Daten innerhalb von 90 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht.
Der Auftraggeber genehmigt den Einsatz der in Anlage C aufgeführten Unterauftragnehmer.
Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage im Voraus über beabsichtigte Änderungen bei Unterauftragnehmern. Der Auftraggeber kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen Einspruch erheben.
Der Einsatz bestimmter KI-Modelle (OpenAI, Google Gemini, Anthropic Claude) erfordert die ausdrückliche Aktivierung durch den Auftraggeber im System. Ohne diese Aktivierung werden keine Daten an diese Anbieter übermittelt.
Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Pflichten gegenüber betroffenen Personen, insbesondere bei:
Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter.
Der Auftraggeber ist berechtigt, die Einhaltung dieses AVV zu überprüfen. Der Auftragnehmer unterstützt solche Überprüfungen.
Vor-Ort-Prüfungen sind nach vorheriger Ankündigung (mindestens 14 Tage) während der üblichen Geschäftszeiten möglich. Der Auftraggeber trägt die Kosten der Prüfung, sofern dabei keine Verstöße festgestellt werden.
Nach Beendigung des Hauptvertrags hat der Auftraggeber die Möglichkeit, seine Daten innerhalb von 30 Tagen zu exportieren.
Nach Ablauf der 30-tägigen Exportfrist bzw. spätestens 90 Tage nach Vertragsende löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers unwiderruflich, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
Die Haftung der Parteien richtet sich nach den gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei für Schäden, die durch von ihr zu vertretende Verstöße gegen diesen AVV oder die DSGVO verursacht wurden.
Bereitstellung der KI-gestützten Plattform HanseGPT zur Verarbeitung von Nutzeranfragen und Dokumenten.
| Datenkategorie | Beispiele |
|---|---|
| Nutzerdaten | Name, E-Mail-Adresse, Unternehmenszugehörigkeit |
| Chat-Verläufe | Prompts/Anfragen der Nutzer, KI-Antworten |
| Dokumente | Vom Auftraggeber hochgeladene Dateien und deren Inhalte |
| Nutzungsdaten | Zugriffsprotokolle, Zeitstempel, verwendete Funktionen |
| Datenkategorie | Speicherfrist |
|---|---|
| Nutzerdaten, Chat-Verläufe, Dokumente | 90 Tage nach Vertragsende |
| Rechnungsdaten | 10 Jahre (gesetzliche Aufbewahrungspflicht) |
| Technische Logs | 7 Tage |
Die vollständigen technisch-organisatorischen Maßnahmen sind unter HanseGPT TOM dokumentiert. Zusammenfassung:
Die vollständige Unterauftragnehmerliste ist unter HanseGPT Unterauftragnehmer dokumentiert.
| Unternehmen | Zweck | Standort | Garantien |
|---|---|---|---|
| Hetzner Online GmbH | Hosting & Infrastruktur | Deutschland | ISO 27001 |
| Mistral AI | KI-Verarbeitung (Standard) | Frankreich (EU) | – |
| Stripe Payments Europe Ltd. | Zahlungsabwicklung | Irland (EU) / USA | SCC, DPF |
| Jina AI GmbH | Websuche | Deutschland | SOC 2 Type I+II |
Die folgenden Unterauftragnehmer werden nur eingesetzt, wenn der Auftraggeber die entsprechenden KI-Modelle explizit im System aktiviert:
| Unternehmen | Zweck | Standort | Garantien |
|---|---|---|---|
| OpenAI, LLC | KI-Verarbeitung (GPT-4) | USA | SCC, DPF |
| Google LLC | KI-Verarbeitung (Gemini) | USA / EU | SCC, DPF |
| Anthropic PBC | KI-Verarbeitung (Claude) | USA | SCC, DPF |
Legende: SCC = EU-Standardvertragsklauseln, DPF = EU-US Data Privacy Framework
Version: 1.0
Stand: Januar 2026
Nächste Überprüfung: Januar 2027
Tragen Sie sich auf die Warteliste ein und erfahren Sie als Erste, wenn wir starten.
Warteliste beitreten →