Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO

zwischen

[Kunde] – nachfolgend „Auftraggeber“ (Verantwortlicher)

und

Kevin Loutfi, Einzelunternehmen unter der Geschäftsbezeichnung „Mailich“, Sperlingstraße 10, 33790 Halle (Westf.) – nachfolgend „Auftragnehmer“ (Auftragsverarbeiter)

§ 1 Gegenstand und Abgrenzung

1. Hauptvertrag. Der Auftragnehmer stellt dem Auftraggeber die Software Mailich nach den AGB des Auftragnehmers bereit (Hauptvertrag).
2. Gegenstand dieses Vertrags. Der Auftragnehmer leitet Mailausschnitte und Kontextdaten, die die App des Auftraggebers sendet – mit verbundenem Kalender auch freie Zeitfenster und die Terminregel –, über seinen Server (Abo-Server) an einen KI-Dienst weiter und gibt dessen Antworten zurück. Art, Zweck, Datenarten und Betroffene stehen in Anlage 1.
3. Abgrenzung.
   • Die App läuft auf Geräten des Auftraggebers. Was die App dort lokal verarbeitet, verarbeitet der Auftraggeber selbst: Abruf, Speicherung, Einordnung ohne KI, Kontextbasis (Kontakt-Notizen, Themen-Statistik), Suche, Versand sowie Abruf und Eintragen von Terminen im Kalender des Auftraggebers.
   • Der Auftragnehmer hat darauf keinen Zugriff. Insoweit ist er nicht Auftragsverarbeiter.
   • Eine Fernwartung findet nicht statt.

4. Eigene Verantwortung des Auftragnehmers. Daten, die der Auftragnehmer als Verantwortlicher verarbeitet, fallen nicht unter diesen Vertrag. Dazu gehören:

   • Abo- und Abrechnungsdaten;
   • Server-Protokolle zur Missbrauchsabwehr.

   Dafür gilt die Datenschutzerklärung des Auftragnehmers.

5. Laufzeit. Dieser Vertrag gilt für die Laufzeit des Hauptvertrags und darüber hinaus, solange der Auftragnehmer Daten des Auftraggebers verarbeitet.

§ 2 Weisungen

1. Grundsatz. Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers. Ausnahme: Er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats dazu verpflichtet. Dann teilt er dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, soweit das Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).
2. Weisungen.
   • Der Hauptvertrag, dieser Vertrag und die Einstellungen, die der Auftraggeber in der App vornimmt, bilden die Weisungen.
   • Einstellungen in der App sind z. B. Modus, Einwilligungen, Freigaben, blockierte Absender und die Kalender-Verbindung.
   • Weitere Weisungen erteilt der Auftraggeber in Textform.
3. Bedenken. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich. Er darf die Ausführung bis zur Klärung aussetzen.

§ 3 Pflichten des Auftragnehmers

1. Vertraulichkeit. Der Auftragnehmer verpflichtet alle Personen, die Zugang zu den Daten haben können, zur Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO). Mailinhalte werden auf dem Abo-Server nur im Arbeitsspeicher durchgereicht, nicht gespeichert und nicht protokolliert (Anlage 2). Zugang zum Server hat nur der Auftragnehmer selbst; ein Mitlesen der Durchleitung wäre nur durch einen Eingriff in den Dienst möglich und ist untersagt.
2. Sicherheit. Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Anlage 2 (Art. 32 DSGVO). Er darf sie weiterentwickeln, wenn das Schutzniveau nicht sinkt.
3. Unterstützung bei Betroffenenrechten. Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen Betroffener (Art. 12 bis 22 DSGVO) mit geeigneten technischen und organisatorischen Maßnahmen, insbesondere:
   • mit allen Informationen über die Durchleitung, die beteiligten Unterauftragsverarbeiter und deren Speicherfristen;
   • indem er Lösch- und sonstige Anträge, die Daten beim KI-Dienst betreffen, auf Weisung an diesen weitergibt, soweit der KI-Dienst das ermöglicht;
   • durch die Funktionen der App, mit denen der Auftraggeber lokale Daten selbst exportiert und löscht (Datenschutz → Exportieren / Alles löschen; einzelne Kontakt-Notizen unter Mein Stil).
4. Weitere Unterstützung. Der Auftragnehmer unterstützt den Auftraggeber bei Sicherheit, Meldungen von Datenschutzverletzungen, Datenschutz-Folgenabschätzung und vorheriger Konsultation (Art. 32 bis 36 DSGVO). Dabei berücksichtigt er die Art der Verarbeitung und die ihm verfügbaren Informationen.
5. Datenschutzverletzungen. Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis. Die Meldung enthält die Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.
6. Ansprechpartner für Datenschutz: Kevin Loutfi, support@mailich.de, Telefon +49 174 5693600.
7. Verzeichnis. Der Auftragnehmer führt ein Verzeichnis der Verarbeitungstätigkeiten als Auftragsverarbeiter (Art. 30 Abs. 2 DSGVO).
8. Ort der Verarbeitung. Der Auftragnehmer verarbeitet die Daten in der EU (Abo-Server in Deutschland). Übermittlungen in Drittländer erfolgen nur nach § 6.
9. Berufsgeheimnisse und besondere Kategorien. Mailich ist derzeit nicht für Berufsgeheimnisträger (§ 203 StGB) und nicht für Postfächer bestimmt, über die regelmäßig besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) laufen (Hauptvertrag, AGB § 2 Abs. 7). Solche Verarbeitungen sind nicht Gegenstand dieses Vertrags.

§ 4 Pflichten des Auftraggebers

1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich. Dazu gehören insbesondere:
   • die Rechtsgrundlage für die Verarbeitung von Daten der Absender und anderer Dritter;
   • die Information der Betroffenen (Art. 13, 14 DSGVO).
2. Er informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.
3. Er sorgt für die Sicherheit seiner Geräte, insbesondere für Festplattenverschlüsselung und Zugriffsschutz. Die lokale Datenbank der App ist derzeit nicht zusätzlich verschlüsselt.

§ 5 Unterauftragsverarbeiter

1. Genehmigung. Der Auftraggeber genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter.
2. Änderungen.
   • Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung, z. B. per E-Mail und Hinweis in der App.
   • Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen.
   • Ist keine Einigung möglich, kann der Auftraggeber den Hauptvertrag zum Wirksamwerden der Änderung kündigen.
3. Weitergabe der Pflichten. Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf (Art. 28 Abs. 4 DSGVO). Er haftet für dessen Pflichtverletzungen wie für eigene.

§ 6 Übermittlung in Drittländer

1. Die Verarbeitung durch Anthropic findet in den USA statt.
2. Grundlage sind die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914), Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter). Anthropic hat sie in sein Data Processing Addendum aufgenommen.
3. Ein Transfer Impact Assessment liegt vor bzw. wird vor Abschluss erstellt.
4. Weitere Drittlandübermittlungen erfolgen nur mit Garantien nach Art. 44 ff. DSGVO.

§ 7 Nachweise und Kontrollen

1. Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis seiner Pflichten zur Verfügung. Dazu gehören z. B. diese Anlagen, Nachweise der Unterauftragsverarbeiter und Testprotokolle der Durchleitung (tests/test_relay.py).
2. Der Auftraggeber kann Überprüfungen einschließlich Inspektionen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen (Art. 28 Abs. 3 lit. h DSGVO).
   • Vorankündigung mit angemessener Frist, in der Regel 30 Tage.
   • Durchführung während der Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebs. -

§ 8 Löschung und Rückgabe

1. Keine Speicherung von Inhalten. Durchgeleitete Mailausschnitte und KI-Antworten speichert der Auftragnehmer nicht. Sie sind nach Abschluss der jeweiligen Anfrage nicht mehr beim Auftragnehmer vorhanden.
2. Speicherung beim KI-Dienst. Anthropic löscht API-Eingaben und -Ausgaben nach eigenen Angaben in der Regel innerhalb von 30 Tagen.
   • Ausnahmen bestehen für gesetzliche Pflichten und Verstöße gegen die Nutzungsrichtlinien: dann bis zu 2 Jahre. -
3. Vertragsende. Nach Ende der Verarbeitungsleistungen löscht der Auftragnehmer alle personenbezogenen Daten, die er im Auftrag verarbeitet, oder gibt sie nach Wahl des Auftraggebers zurück, soweit nicht eine Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Da er keine Inhalte speichert, betrifft das beim Auftragnehmer selbst keine Mailinhalte; beim KI-Dienst laufen die Fristen nach Abs. 2 ab. Die Löschung bestätigt der Auftragnehmer auf Verlangen in Textform. Daten, die die App auf den Geräten des Auftraggebers speichert, verbleiben in dessen Verfügung; er löscht sie selbst (Datenschutz → Alles löschen).

§ 9 Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.
2. Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in Fragen des Datenschutzes vor.
3. Änderungen bedürfen der Textform.
4. Es gilt deutsches Recht. Gerichtsstand ist der des Hauptvertrags.

Abschluss: elektronisch mit der Bestellung als Unternehmer (Annahme auf der Bezahlseite). Der vollständige Vertrag mit allen Anlagen hängt der Vertragsbestätigung an und ist unter https://mailich.de/avv.html abrufbar (Textform, Art. 28 Abs. 9 DSGVO).

Anlage 1: Beschreibung der Verarbeitung

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

A. Abo-Server (Verantwortungsbereich des Auftragnehmers)

B. App (Maßnahmen, die die Software beim Auftraggeber mitbringt)

Anlage 3: Unterauftragsverarbeiter

Ohne Zugriff auf Auftragsdaten (zur Information, keine Unterauftragsverarbeiter im Sinne dieses Vertrags):

Nach oben