Vertrag über die Verarbeitung personenbezogener Daten im Auftrag (Art. 28 DSGVO)
Fassung 2026-10-v2 · Stand: 01.10.2026
zwischen
dem Kunden, der die Software des Auftragsverarbeiters nutzt und diesem Vertrag bei der Registrierung oder bei Vertragsschluss zustimmt, nachfolgend „Verantwortlicher“,
und
der DeutscheKIAgenten UG (haftungsbeschränkt), Essenheimer Straße 126, 55128 Mainz, vertreten durch den Geschäftsführer Janis Ebert, E-Mail: info@deutschekiagenten.de. Registergericht: Amtsgericht Mainz, HRB 54965. Nachfolgend „Auftragsverarbeiter“.
Der Auftragsverarbeiter stellt dem Verantwortlichen eine Software zur Bearbeitung seiner beruflichen Fälle bereit (Software as a Service). Dabei verarbeitet er personenbezogene Daten Dritter im Auftrag. Dieser Vertrag konkretisiert die Pflichten der Parteien nach Art. 28 DSGVO.
Der Verantwortliche kann Berufsgeheimnisträger im Sinne des § 203 StGB sein. Soweit er es ist, wird der Auftragsverarbeiter als „sonstige mitwirkende Person“ im Sinne des § 203 Abs. 3 Satz 2 StGB einbezogen (§ 5 Abs. 6).
Der Auftragsverarbeiter handelt für die in § 2 beschriebene Leistung ausschließlich weisungsgebunden. Er verwendet Daten des Verantwortlichen nicht zu eigenen Zwecken, insbesondere nicht zur Entwicklung oder zum Training von Sprachmodellen. Sollte er eine solche Verwendung künftig anbieten, geschähe dies nur auf Grundlage einer gesonderten, freiwilligen Vereinbarung außerhalb dieses Vertrags; die Leistungen nach § 2 hängen davon nicht ab.
Dieser Vertrag geht den Allgemeinen Geschäftsbedingungen vor, soweit er von ihnen abweicht.
(1) Gegenstand ist die Verarbeitung personenbezogener Daten, die der Verantwortliche im Rahmen seiner Nutzung der Software eingibt, hochlädt oder erzeugen lässt.
(2) Die Dauer entspricht der Laufzeit des Hauptvertrags. Der Vertrag endet mit dessen Beendigung; die Pflichten nach § 9 (Löschung und Rückgabe) und § 5 Abs. 4 (Vertraulichkeit) bestehen fort.
(1) Art: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln auf Weisung, Einschränken, Löschen.
(2) Zweck: ausschließlich die Erbringung der vertraglich vereinbarten Leistungen, insbesondere:
a) Führung von Fall- und Klientenakten,
b) Erfassung, Ablage und Einordnung eingehender Dokumente,
c) Erkennung und Überwachung von Fristen und Terminen,
d) Vorbereitung von Schreiben, Anträgen, Berichten und amtlichen Formularen,
e) Erzeugung von Vorschlägen zur Freigabe durch den Verantwortlichen,
f) auf Freigabe des Verantwortlichen: Versand von Schreiben über einen vom Verantwortlichen selbst hinterlegten Mailzugang,
g) Umwandlung von Sprachaufnahmen in Text,
h) Bereitstellung, Wartung, Sicherung und Störungsbeseitigung.
(3) Der Zweck ist abschließend. Eine Verarbeitung zu anderen Zwecken, insbesondere zu eigenen Zwecken des Auftragsverarbeiters, findet nicht statt (§ 5 Abs. 5).
(4) Rolle der Sprachmodelle. Das Sprachmodell liest und belegt, die Regelauswertung entscheidet, der Mensch gibt frei. Sprachmodelle werden ausschließlich eingesetzt, um Dokumente zu lesen und jede gelesene Angabe mit ihrer Quelle zu belegen. Kein Sprachmodell erzeugt einen Feldwert und keines entscheidet über Anwendbarkeit, Frist oder Zuständigkeit; das entscheidet eine nachvollziehbare Regelauswertung. Jede Handlung mit Außenwirkung gibt ein Mensch auf Seiten des Verantwortlichen frei.
(1) Kategorien betroffener Personen: betreute Personen; Verstorbene und deren Angehörige; Auftraggeber, Bevollmächtigte, Angehörige; Ansprechpartner bei Behörden, Gerichten, Einrichtungen, Banken und Versicherungen; Beschäftigte und sonstige Nutzer des Verantwortlichen; sonstige Personen, die in den vom Verantwortlichen eingebrachten Unterlagen oder Freitexten genannt sind.
(2) Datenkategorien:
a) Stammdaten (Name, Geburtsname, Geburtsdatum und -ort, Anschrift, Geschlecht, Staatsangehörigkeit, Familienstand, Beruf, Aktenzeichen);
b) Kontaktdaten;
c) besondere Kategorien nach Art. 9 Abs. 1 DSGVO:
Gesundheitsdaten, etwa Art der Behinderung, Angaben zum Versorgungsamt, behandelnde Ärzte, Krankenkasse und Krankenversicherungsnummer, Aufgabenkreis Gesundheit, Wohn- und Betreuungsform, sowie gesundheitsbezogene Angaben in Freitextfeldern, in eingehenden Dokumenten und deren Texterkennung; im Fachbereich Bestattung zusätzlich Todesart, Sterbeort, Angaben zur Leichenschau und zum bescheinigenden Arzt, Angaben zu einer Tot- oder Fehlgeburt sowie zu einer erforderlichen staatsanwaltschaftlichen Freigabe;
Religion und Weltanschauung, etwa Konfession und Art der Trauerfeier;
sonstige besondere Kategorien, soweit sie in Unterlagen oder Freitexten enthalten sind;
d) Finanz- und Vermögensdaten (Konten, IBAN, Kontoumsätze einschließlich Verwendungszwecken und Zahlungsempfängern, die gesundheitsbezogene Rückschlüsse zulassen können, etwa Zahlungen an Ärzte, Apotheken oder Pflegeeinrichtungen; Vermögenswerte, Verbindlichkeiten);
e) Kennnummern (Steuer-Identifikationsnummer, Sozialversicherungs-, Renten- und Krankenversicherungsnummer);
f) Verfahrensdaten (Gericht, Rechtspfleger, Aktenzeichen, Betreuungszeitraum, Aufgabenkreise, Fristen);
g) Dokumente in Text- und Bildform sowie deren Texterkennung; Unterschriftsbilder;
h) Sprachaufnahmen und deren Transkripte;
i) Freitext (Notizen, Vermerke, Rohdaten aus Datenübernahmen);
j) Nutzungs- und Protokolldaten, Zugangsdaten der Nutzer;
k) Daten über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln (Art. 10 DSGVO), soweit sie in Unterlagen oder Freitexten enthalten sind.
(3) Die Parteien sind sich einig, dass die Verarbeitung besondere Kategorien personenbezogener Daten über besonders schutzbedürftige Personen umfasst und dass diese Daten überwiegend in Freitextfeldern und Dokumenteninhalten anfallen. Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen.
(1) Der Auftragsverarbeiter verarbeitet ausschließlich auf dokumentierte Weisung. Die Nutzung der Software durch berechtigte Nutzer gilt als Weisung im Rahmen des in § 2 bestimmten Zwecks.
(2) Weisungen darüber hinaus bedürfen der Textform. Weisungsberechtigt sind der Inhaber des Kundenkontos und die von ihm in Textform benannten Personen. Weisungen richtet der Verantwortliche an info@deutschekiagenten.de. Weisungen, die über den Leistungsumfang des Hauptvertrags hinausgehen und nicht der Erfüllung von Pflichten nach Art. 28 DSGVO dienen, führt der Auftragsverarbeiter aus, soweit ihm dies technisch und organisatorisch zumutbar ist; einen dadurch entstehenden Mehraufwand kann er nach vorheriger Mitteilung angemessen berechnen.
(3) Der Auftragsverarbeiter informiert unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Ausführung bis zur Klärung aussetzen.
(4) Verarbeitet der Auftragsverarbeiter Daten außerhalb der Weisung, gilt er insoweit als Verantwortlicher (Art. 28 Abs. 10 DSGVO). Die Freistellung richtet sich nach § 11 Abs. 3.
(5) Weisungen und Widersprüche werden dokumentiert und für die Vertragsdauer zuzüglich drei Jahren aufbewahrt.
(1) Verarbeitung nur nach Weisung, auch hinsichtlich der Übermittlung in Drittländer, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats dazu verpflichtet; in diesem Fall informiert er vorab, sofern das Recht dies nicht verbietet.
(2) Vertraulichkeit: Alle zugriffsberechtigten Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht (Art. 28 Abs. 3 lit. b DSGVO).
(3) Sicherheit: Der Auftragsverarbeiter ergreift alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Sie sind in Anlage 1 mit ihrem jeweiligen Umsetzungsstand beschrieben. Der Auftragsverarbeiter darf die Maßnahmen an die technische Entwicklung anpassen, sofern das Schutzniveau nicht unterschritten wird; wesentliche Änderungen dokumentiert er und teilt sie dem Verantwortlichen mit.
(4) Fortwirkung: Die Vertraulichkeitspflicht besteht über das Vertragsende hinaus fort.
(5) Zweckbindung.
a) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich zu den in § 2 genannten Zwecken. Eine Verarbeitung zu eigenen Zwecken ist ausgeschlossen.
b) Insbesondere verwendet er Daten des Verantwortlichen nicht zur Entwicklung oder zum Training von Sprachmodellen, auch nicht pseudonymisiert und auch nicht in Auszügen.
c) Zulässig bleibt die Personalisierung innerhalb desselben Verantwortlichen: Ablehnungen und Korrekturen des Verantwortlichen werden gespeichert und ausschließlich Anfragen desselben Verantwortlichen als Beispiele beigefügt. Das Modell wird dabei nicht verändert. Eine Verwendung für andere Kunden ist ausgeschlossen.
d) Der Auftragsverarbeiter setzt nur KI-Dienste ein, deren Bedingungen eine Verwendung der übermittelten Inhalte zum Training von Modellen ausschließen.
e) Ein Verstoß gegen diesen Absatz berechtigt zur fristlosen Kündigung aus wichtigem Grund.
(6) Berufsgeheimnis (§ 203 StGB).
a) Soweit der Verantwortliche Berufsgeheimnisträger ist, wird der Auftragsverarbeiter als „sonstige mitwirkende Person“ im Sinne des § 203 Abs. 3 Satz 2 StGB einbezogen. Er verpflichtet sich hiermit gegenüber dem Verantwortlichen zur Geheimhaltung der ihm dabei bekannt werdenden fremden Geheimnisse (§ 203 Abs. 4 Satz 2 Nr. 1 StGB).
b) Er verpflichtet die bei ihm tätigen Personen mit Zugriffsmöglichkeit in Textform zur Geheimhaltung, weist sie dabei auf die Strafbarkeit einer unbefugten Offenbarung hin und dokumentiert dies. Unterauftragsverarbeiter verpflichtet er vertraglich zur Vertraulichkeit. Der Auftragsverarbeiter weist die Verpflichtungen auf Verlangen in Textform nach.
c) Der Zugriff beschränkt sich auf das für die Leistungserbringung Erforderliche. Modelltraining ist nicht erforderlich im Sinne des § 203 Abs. 3 Satz 2 StGB und bleibt ausgeschlossen.
d) Setzt der Auftragsverarbeiter weitere mitwirkende Personen ein, verpflichtet er sie in gleicher Weise.
(7) Unterstützung des Verantwortlichen nach Art. 28 Abs. 3 lit. e und f DSGVO: bei Betroffenenrechten (§ 7), bei der Sicherheit der Verarbeitung, bei Meldungen nach Art. 33 und 34 DSGVO (§ 8) sowie bei Datenschutz-Folgenabschätzungen und Konsultationen (Art. 35 und 36 DSGVO).
(8) Verzeichnis: Ein Verzeichnis nach Art. 30 Abs. 2 DSGVO wird geführt und auf Verlangen vorgelegt.
(9) Ort der Verarbeitung: ausschließlich innerhalb der EU. Anwendung, Datenbank, Dokumente, die Sprachtranskription und das getrennte, gesondert verschlüsselte Backup liegen in Deutschland auf Servern der Hetzner Online GmbH. Die KI-Verarbeitung erfolgt über Amazon Web Services (Amazon Bedrock) mit dem EU-Geo-Profil in Rechenzentren in der EU; eine Verarbeitung der KI-Anfragen ausschließlich in Deutschland ist mit diesem Dienst derzeit nicht möglich.
Hinweis zum US-Konzern: Amazon Web Services gehört zu einem Konzern mit Sitz in den USA (Amazon.com Inc.). Nach US-Recht, insbesondere dem CLOUD Act, können US-Behörden ein US-Unternehmen verpflichten, Daten herauszugeben, auf die es Zugriff hat, auch wenn diese in der EU verarbeitet werden. Solche Zugriffe sind nicht auszuschließen. Die Akte selbst (Anwendung, Datenbank, Dokumente, Sicherungen) liegt davon getrennt bei Hetzner in Deutschland.
(1) Der Verantwortliche erteilt die allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 Satz 2 DSGVO für die in Anlage 2 genannten Unterauftragsverarbeiter.
(2) Bei Hinzuziehung oder Ersetzung informiert der Auftragsverarbeiter mindestens 30 Tage vorab in Textform und übermittelt die geänderte Liste; die jeweils aktuelle Liste ist Anlage 2 und zusätzlich in der Anwendung abrufbar. Eines neuen Vertragsschlusses bedarf es nicht. Der Verantwortliche kann binnen 14 Tagen ab Zugang aus wichtigem datenschutzrechtlichem Grund widersprechen. Bei berechtigtem Widerspruch, dem nicht abgeholfen werden kann, ist der Verantwortliche zur Kündigung ohne Einhaltung einer Frist und ohne Nachteil berechtigt; bereits gezahlte Entgelte werden zeitanteilig erstattet.
(3) Der Auftragsverarbeiter setzt nur Unterauftragsverarbeiter ein, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Er schließt mit jedem einen Vertrag, der diesem die Datenschutzpflichten dieses Vertrags auferlegt, soweit sie auf dessen Leistung anwendbar sind (Art. 28 Abs. 4 DSGVO).
(4) Er haftet für seine Unterauftragsverarbeiter wie für eigenes Handeln (Art. 28 Abs. 4 Satz 2 DSGVO).
(5) Übermittlungen in Drittländer finden nur bei einem Angemessenheitsbeschluss (Art. 45 DSGVO) oder geeigneten Garantien (Art. 46 DSGVO) statt. Derzeit ist keine Übermittlung in Drittländer vorgesehen; der Hinweis in § 5 Abs. 9 bleibt davon unberührt.
(6) Keine Unterauftragsverarbeitung sind Nebenleistungen ohne Zugriff auf Kundendaten, etwa Telekommunikation oder Postdienste.
(1) Die Wahrung der Betroffenenrechte obliegt dem Verantwortlichen.
(2) Wendet sich eine betroffene Person an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst (Art. 29 DSGVO).
(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen, insbesondere durch Bereitstellung der zu einem Fall gespeicherten Daten auf Anforderung, Berichtigung über die Anwendung, Löschung von Klienten durch den Verantwortlichen selbst in der Anwendung und im Übrigen auf Weisung nach § 9 und Auskunft über eingesetzte Unterauftragsverarbeiter.
(4) Unterstützungsleistungen nach diesem Paragraphen und nach § 5 Abs. 7, die über die Funktionen der Anwendung hinausgehen, kann der Auftragsverarbeiter nach vorheriger Mitteilung angemessen berechnen, es sei denn, der Anlass beruht auf einem Verstoß des Auftragsverarbeiters gegen diesen Vertrag oder gegen Datenschutzrecht.
(1) Der Auftragsverarbeiter meldet jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich in Textform an den Verantwortlichen (Art. 33 Abs. 2 DSGVO), so dass dieser seine Frist von 72 Stunden nach Art. 33 Abs. 1 DSGVO wahren kann.
(2) Meldeweg: E-Mail an die Adresse des Inhaberkontos des Verantwortlichen oder an eine andere vom Verantwortlichen in Textform benannte Meldeadresse. Liegen noch nicht alle Angaben nach Abs. 3 vor, meldet der Auftragsverarbeiter zunächst, was bekannt ist, und reicht den Rest unverzüglich nach (Art. 33 Abs. 4 DSGVO). Meldungen seiner Unterauftragsverarbeiter leitet er unverzüglich nach eigener Kenntnis weiter. Kontaktstelle beim Auftragsverarbeiter: info@deutschekiagenten.de.
(3) Die Meldung enthält, soweit bekannt, mindestens: Beschreibung der Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Betroffenen und Datensätze, Kontaktstelle, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen.
(4) Der Auftragsverarbeiter unterstützt bei Meldungen nach Art. 33 und Benachrichtigungen nach Art. 34 DSGVO und trifft unverzüglich Maßnahmen zur Eindämmung.
(5) Meldungen an die Aufsichtsbehörde oder an Betroffene erfolgen ausschließlich durch den Verantwortlichen, soweit nicht gesetzlich anders geboten.
(6) Der Auftragsverarbeiter dokumentiert Verletzungen einschließlich Ursache und Abhilfe und legt die Dokumentation auf Verlangen vor.
(1) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht anschließend vorhandene Kopien, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).
(2) Durchführung. Klienten einschließlich der zugehörigen Dokumente, Dateien und abhängigen Datensätze kann der Verantwortliche jederzeit selbst in der Anwendung löschen. Die Löschung des gesamten Kontos sowie die Löschung nach Vertragsende führt der Auftragsverarbeiter auf Weisung des Verantwortlichen in Textform durch. Eine Löschung nach Ablauf von Aufbewahrungsfristen gehört nicht zum Leistungsumfang; die Einhaltung von Aufbewahrungs- und Löschfristen obliegt dem Verantwortlichen.
(3) Frist. Löschungen auf Weisung führt der Auftragsverarbeiter binnen 30 Tagen nach Zugang der Weisung durch. Nach Vertragsende teilt der Verantwortliche seine Wahl nach Abs. 1 binnen 30 Tagen mit; ohne Mitteilung löscht der Auftragsverarbeiter nach vorherigem Hinweis in Textform binnen weiterer 30 Tage. Bei einem Anbieterwechsel nach § 12 Ziff. 5 der Allgemeinen Geschäftsbedingungen beginnt die Frist nach Satz 2 mit dem Ende des Übergangszeitraums.
(4) Bestätigung. Der Auftragsverarbeiter bestätigt jede Löschung auf Weisung in Textform mit Datum und Umfang.
(5) Rückgabe erfolgt in einem gängigen, maschinenlesbaren Format.
(6) Sicherungen. Sicherungen liegen verschlüsselt auf einem eigenen, vom Produktivsystem getrennten Server. Nach einer Löschung bleiben die Daten aus Sicherheitsgründen noch bis zu 60 Tage in diesen Sicherungen und werden danach mit der Rotation endgültig entfernt. Bis dahin sind sie für die Verarbeitung gesperrt. Eine Wiederherstellung aus einer Sicherung erfolgt ausschließlich zur Wiederherstellung des Betriebs, nicht für andere Zwecke; bereits gelöschte Daten löscht der Auftragsverarbeiter danach erneut.
(1) Der Auftragsverarbeiter stellt alle Informationen zum Nachweis der Pflichten nach Art. 28 DSGVO bereit und ermöglicht Überprüfungen einschließlich Inspektionen (Art. 28 Abs. 3 lit. h DSGVO).
(2) Der Nachweis kann erfolgen durch Vorlage der aktuellen Anlage 1, Selbstauskunft in Textform, Testate, Zertifikate oder Prüfberichte unabhängiger Stellen oder auf Verlangen eine Vor-Ort-Kontrolle.
(3) Vor-Ort-Kontrollen finden nach Anmeldung mit angemessener Frist (mindestens 14 Tage) während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs statt, höchstens einmal jährlich; bei konkretem Anlass, insbesondere nach einer Verletzung oder auf behördliche Anordnung, auch häufiger und kurzfristiger.
(4) Der Kontrollierende darf keine Wettbewerber einsetzen und ist zur Vertraulichkeit zu verpflichten.
(5) Der Auftragsverarbeiter ermöglicht der zuständigen Aufsichtsbehörde jederzeit die Kontrolle nach Art. 58 DSGVO.
(6) Hinsichtlich der Unterauftragsverarbeiter kann der Nachweis durch deren aktuelle Testate, Zertifikate oder Prüfberichte erbracht werden.
(7) Jede Partei trägt ihre eigenen Kosten. Für Vor-Ort-Kontrollen ohne konkreten Anlass kann der Auftragsverarbeiter nach vorheriger Mitteilung Ersatz seines angemessenen Aufwands verlangen; die Vorlage von Nachweisen nach Abs. 2 ist unentgeltlich.
(1) Es gilt Art. 82 DSGVO.
(2) Im Innenverhältnis haftet jede Partei für die von ihr zu vertretenden Verstöße.
(3) Der Auftragsverarbeiter stellt den Verantwortlichen von Ansprüchen Dritter frei, die auf einer von ihm zu vertretenden Verarbeitung außerhalb der Weisung (§ 4 Abs. 4) oder einem von ihm zu vertretenden Verstoß gegen § 5 Abs. 5 oder Abs. 6 beruhen.
(4) Im Verhältnis der Parteien zueinander gelten im Übrigen die Haftungsregeln der Allgemeinen Geschäftsbedingungen (dort § 9); sie gelten auch für Abs. 3. Die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt.
(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform (Art. 28 Abs. 9 DSGVO). Individuelle Vereinbarungen haben Vorrang (§ 305b BGB).
(2) Änderungen dieses Vertrags durch den Auftragsverarbeiter bedürfen der ausdrücklichen Zustimmung des Verantwortlichen. Schweigen gilt nicht als Zustimmung. Unberührt bleiben die Änderung der Anlage 2 im Verfahren nach § 6 Abs. 2 und die Anpassung der Maßnahmen nach § 5 Abs. 3.
(3) Bei Unwirksamkeit einzelner Bestimmungen bleibt der Vertrag im Übrigen wirksam.
(4) Bei Widersprüchen gilt: dieser Vertrag vor Anlage 1, Anlage 1 vor Anlage 2, Anlage 2 vor den Allgemeinen Geschäftsbedingungen.
(5) Es gilt deutsches Recht. Für den Gerichtsstand gilt § 14 Ziff. 2 der Allgemeinen Geschäftsbedingungen.
Anlage 1: Technische und organisatorische Maßnahmen nach Art. 32 DSGVO; der Auftragsverarbeiter stellt sie dem Verantwortlichen vor Vertragsschluss auf Anforderung und während der Vertragsdauer in der jeweils aktuellen Fassung in Textform zur Verfügung.
Anlage 2: Genehmigte Unterauftragsverarbeiter (unten).
Stand: 01.10.2026
Allgemeine Genehmigung nach § 6 Abs. 1. Jede Hinzuziehung oder Ersetzung wird mindestens 30 Tage vorab in Textform angekündigt (§ 6 Abs. 2).
| # | Unternehmen | Leistung | Ort der Verarbeitung | Drittland |
|---|---|---|---|---|
| 1 | Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen | Hosting von Anwendung, Datenbank und Dokumenten; getrenntes, gesondert verschlüsseltes Backup; Betrieb der vom Auftragsverarbeiter selbst betriebenen Sprachtranskription (Hetzner ist dafür nur Hoster). Rechenzentren mit BSI-C5-Testat und ISO/IEC 27001 | Deutschland | nein |
| 2 | Amazon Web Services; Konzernmutter Amazon.com Inc., USA | KI-Verarbeitung über Amazon Bedrock, nur Lesen von Dokumentinhalten und Belegen jeder gelesenen Angabe mit ihrer Quelle; kein Feldwert, keine Entscheidung (§ 2 Abs. 4) | Rechenzentren in der EU (EU-Geo-Profil) | nein; Hinweis zum US-Konzern und CLOUD Act in § 5 Abs. 9 |
Sprachaufnahmen werden ausschließlich auf dem Server des Auftragsverarbeiters bei Hetzner transkribiert und an keinen weiteren Dritten übermittelt.