Vereinbarung zur Auftragsverarbeitung

1. Parteien und Abschluss

Verantwortlicher/Auftraggeber: das im individuellen Angebot und im zugehörigen Workspace bezeichnete Unternehmen („Kunde“).

Diese AVV wird mit Annahme des individuellen Angebots oder durch die protokollierte elektronische Bestätigung eines vertretungsberechtigten Nutzers abgeschlossen. Sie ergänzt den Hauptvertrag. Bei datenschutzrechtlichen Widersprüchen geht diese AVV vor.

2. Gegenstand, Dauer, Art und Zweck

Gegenstand ist die technische Bereitstellung, Speicherung, Sicherung, Verarbeitung, KI-gestützte Auswertung und der Export von Daten im werkstueck-Workspace. Die Verarbeitung dauert für die Laufzeit des Hauptvertrags einschließlich des vereinbarten Export- und Löschzeitraums.

Verarbeitungen umfassen insbesondere Erfassen, Strukturieren, Speichern, Auslesen, Übermitteln an bewusst aktivierte Unterauftragnehmer, Erzeugen von Entwürfen, Sichern, Exportieren, Einschränken und Löschen.

Datenarten

• Account-, Kontakt- und Nutzungsdaten von Beschäftigten oder Beauftragten des Kunden,
• Produkt-, Shop-, Listing-, Bild-, Datei-, Preis-, Sicherheits- und Versionsdaten,
• gegebenenfalls Namen oder Wunschtexte aus personalisierten Produktbeispielen,
• Prompts, KI-Eingaben und KI-Ausgaben,
• technische Protokoll-, Sicherheits- und Verbrauchsdaten.

Betroffene Personen

• Nutzer und Beschäftigte des Kunden,
• Endkunden, Interessenten oder Beschenkte, soweit der Kunde deren Daten in Produktinhalte einträgt,
• Fotografierte oder Rechteinhaber, soweit sie in zulässig hochgeladenen Bildern oder Dateien erscheinen.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO und Daten von Kindern sind nicht Gegenstand der regulären Leistung und dürfen nicht eingestellt werden.

3. Weisungen des Kunden

AX Holz verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, soweit keine gesetzliche Verpflichtung zu einer anderen Verarbeitung besteht. Der Hauptvertrag, die Konfiguration des Workspaces und bewusst ausgelöste Funktionen gelten als dokumentierte Weisungen.

Weitere Weisungen können in Textform an info@werkstueck.app erteilt werden. Hält AX Holz eine Weisung für datenschutzwidrig, wird der Kunde unverzüglich informiert und die Ausführung darf bis zur Klärung ausgesetzt werden.

4. Pflichten von AX Holz

• Verarbeitung nur für die vereinbarten Zwecke und nach Weisung,
• Verpflichtung aller zugriffsberechtigten Personen auf Vertraulichkeit,
• Beschränkung des Zugriffs nach Erforderlichkeit,
• Unterstützung des Kunden bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen, Konsultationen und Nachweispflichten, soweit die verarbeiteten Daten und verfügbaren Informationen betroffen sind,
• keine eigenständige Nutzung von Kundeninhalten zu Werbung oder allgemeinem Modelltraining,
• Führung der erforderlichen Verzeichnisse und Zusammenarbeit mit Aufsichtsbehörden im gesetzlichen Umfang.

Erhält AX Holz eine Anfrage einer betroffenen Person zu Kundendaten, wird sie grundsätzlich an den Kunden verwiesen und nicht ohne dessen Weisung beantwortet, soweit keine gesetzliche Pflicht besteht.

5. Technische und organisatorische Maßnahmen

AX Holz trifft die in den TOM beschriebenen, dem Risiko angemessenen Maßnahmen nach Art. 32 DSGVO. Die Maßnahmen dürfen technisch weiterentwickelt werden, sofern das vereinbarte Sicherheitsniveau nicht abgesenkt wird.

Der Kunde trägt Verantwortung für sichere Endgeräte, interne Berechtigungen, vertrauliche Zugangsdaten, rechtmäßige Datenerhebung und die Datenminimierung seiner Eingaben.

6. Unterauftragnehmer und Drittlandtransfers

Der Kunde erteilt die allgemeine Genehmigung zum Einsatz der in der Unterauftragnehmerliste genannten Stellen. AX Holz informiert über beabsichtigte wesentliche Änderungen grundsätzlich mindestens 30 Tage vor deren Einsatz. Der Kunde kann aus begründeten datenschutzrechtlichen Gründen widersprechen. Können die Parteien keine angemessene Lösung finden, kann die betroffene optionale Funktion deaktiviert oder der Vertrag hinsichtlich der betroffenen Leistung beendet werden.

Unterauftragnehmer werden mindestens zu gleichwertigen Datenschutzpflichten verpflichtet. Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses, geeigneter Garantien oder einer gesetzlichen Ausnahme.

Bildprompts werden nicht automatisch an externe Bildgeneratoren übertragen. Eine vom Kunden außerhalb von werkstueck veranlasste Nutzung eines Drittangebots ist nicht Bestandteil der Auftragsverarbeitung durch AX Holz.

7. Unterstützung bei Betroffenenrechten

AX Holz unterstützt den Kunden durch vorhandene Such-, Berichtigungs-, Export- und Löschfunktionen sowie auf angemessene Einzelanfrage bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Der Kunde bleibt für die rechtliche Prüfung und fristgerechte Beantwortung verantwortlich.

Entsteht durch eine über den normalen Funktionsumfang hinausgehende, vom Kunden verursachte Anfrage erheblicher Zusatzaufwand, kann dieser nach vorheriger Abstimmung angemessen berechnet werden.

8. Datenschutzverletzungen und Behörden

AX Holz informiert den Kunden unverzüglich, nachdem eine Verletzung des Schutzes personenbezogener Kundendaten bekannt geworden ist. Die Mitteilung enthält, soweit verfügbar, Art des Vorfalls, betroffene Daten und Personen, wahrscheinliche Folgen, ergriffene Maßnahmen und einen Ansprechpartner.

AX Holz unterstützt den Kunden mit den verfügbaren Informationen bei Meldungen nach Art. 33 und 34 DSGVO. Eine Meldung durch AX Holz an Betroffene erfolgt nur auf Weisung oder bei eigener gesetzlicher Verpflichtung.

9. Nachweise und Kontrollen

AX Holz stellt die zur Prüfung der Einhaltung erforderlichen Informationen, die TOM und geeignete Nachweise zur Verfügung. Der Kunde kann nach angemessener Vorankündigung grundsätzlich einmal jährlich sowie zusätzlich bei konkretem Anlass eine Prüfung durchführen oder durch einen zur Vertraulichkeit verpflichteten Prüfer durchführen lassen.

Prüfungen müssen Betriebsablauf, Sicherheit und Rechte anderer Kunden schützen. Vorrangig werden Dokumentenprüfungen und vorhandene Prüfberichte genutzt. Unverhältnismäßiger Zusatzaufwand kann nach vorheriger Abstimmung berechnet werden; dies gilt nicht, wenn eine von AX Holz zu vertretende Pflichtverletzung den Anlass gesetzt hat.

10. Rückgabe, Löschung und Schlussbestimmungen

Nach Ende der Leistung erhält der Kunde den vertraglich vorgesehenen 30-tägigen Nur-Lesen- und Exportzeitraum. Anschließend löscht AX Holz die Kundendaten oder gibt sie nach dokumentierter Weisung zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

Sicherungskopien werden bis zur turnusmäßigen Überschreibung gesperrt aufbewahrt und nicht für andere Zwecke genutzt. Der Kunde kann eine Bestätigung der Löschung anfordern.

Änderungen dieser AVV bedürfen mindestens der Textform. Im Übrigen gelten die Schlussbestimmungen des Hauptvertrags.

Verantwortungsgrenze: Für eigene Account-, Vertrags-, Abrechnungs- und Supportdaten verarbeitet AX Holz Daten als Verantwortlicher. Diese Verarbeitung wird in der Datenschutzerklärung erläutert und ist nicht Gegenstand dieser AVV.