Vertrag zur Auftrags­verarbeitung

Vertragsparteien

Zwischen dem Kunden als Verantwortlichem (im Folgenden „Kunde“) und Keyvan Hardani, Am Westpark 10, 81373 München (Vom Inhaber zu bestätigen: Firma, Rechtsform, Register und Vertretung) als Auftragsverarbeiter (im Folgenden „Zuschlag.ai“).

§ 1 Gegenstand und Dauer

1. Zuschlag.ai verarbeitet personenbezogene Daten im Auftrag des Kunden, um die Webanwendung Zuschlag.ai bereitzustellen, wie im Nutzungsvertrag (Hauptvertrag) vereinbart. Gegenstand, Art und Zweck, Art der Daten und Kategorien betroffener Personen stehen in Anlage 1.
2. Der Vertrag gilt für die Laufzeit des Hauptvertrags. Die Pflichten zu Löschung und Rückgabe (§ 9) gelten darüber hinaus, bis sie erfüllt sind.

§ 2 Weisungen

1. Zuschlag.ai verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch bei einer Übermittlung in ein Drittland. Das gilt nicht, wenn das Recht der Europäischen Union oder Deutschlands Zuschlag.ai zu einer Verarbeitung verpflichtet; dann teilt Zuschlag.ai dem Kunden diese Pflicht vorher mit, sofern das Recht das nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).
2. Weisungen sind dieser Vertrag, der Hauptvertrag und die Einstellungen und Aktionen des Kunden in der Anwendung. Weitere Weisungen erteilt der Kunde in Textform, zum Beispiel per E-Mail.
3. Hält Zuschlag.ai eine Weisung für rechtswidrig, weist es den Kunden unverzüglich darauf hin (Art. 28 Abs. 3 Satz 3 DSGVO).

§ 3 Vertraulichkeit

Zuschlag.ai setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Vom Inhaber zu bestätigen: Form der Verpflichtung der Beschäftigten.

§ 4 Sicherheit der Verarbeitung

1. Zuschlag.ai trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind (technische und organisatorische Maßnahmen).
2. Zuschlag.ai darf die Maßnahmen an den technischen Fortschritt anpassen, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert Zuschlag.ai und teilt sie dem Kunden auf Anfrage mit.

§ 5 Ort der Verarbeitung

Die Verarbeitung findet in Deutschland statt. Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums ist nur mit vorheriger Zustimmung des Kunden und unter den Voraussetzungen der Art. 44 bis 49 DSGVO zulässig.

§ 6 Unterauftragsverarbeiter

1. Der Kunde stimmt dem Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter zu (aktuelle Liste).
2. Über jede beabsichtigte Änderung, also das Hinzuziehen oder Ersetzen eines Unterauftragsverarbeiters, informiert Zuschlag.ai den Kunden vorab in Textform. Vorlauf: Vom Inhaber zu bestätigen: Frist der Vorankündigung. Der Kunde kann der Änderung widersprechen (Art. 28 Abs. 2 DSGVO).
3. Zuschlag.ai verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag (Art. 28 Abs. 4 DSGVO).
4. Keine Unterauftragsverarbeitung sind Nebenleistungen ohne Zugriff auf Daten des Kunden, etwa die Registrierung der Domain oder die Ausstellung von TLS-Zertifikaten.

§ 7 Rechte betroffener Personen

1. Zuschlag.ai unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen, damit er Anträge betroffener Personen nach Kapitel III DSGVO beantworten kann (Art. 28 Abs. 3 lit. e DSGVO).
2. Wendet sich eine betroffene Person direkt an Zuschlag.ai, leitet Zuschlag.ai die Anfrage unverzüglich an den Kunden weiter.

§ 8 Unterstützung und Meldung von Verletzungen

1. Zuschlag.ai unterstützt den Kunden bei den Pflichten aus Art. 32 bis 36 DSGVO, etwa bei der Meldung von Verletzungen des Schutzes personenbezogener Daten und bei Datenschutz-Folgenabschätzungen (Art. 28 Abs. 3 lit. f DSGVO).
2. Verletzungen des Schutzes personenbezogener Daten meldet Zuschlag.ai dem Kunden unverzüglich, nachdem sie bekannt geworden sind (Art. 33 Abs. 2 DSGVO). Frist und Weg: Vom Inhaber zu bestätigen: Frist und Weg der Meldung. Die Meldung enthält die Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.

§ 9 Löschung und Rückgabe

1. Nach Ende der Leistungen löscht Zuschlag.ai nach Wahl des Kunden alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern keine Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).
2. Fristen: Vom Inhaber zu bestätigen: Fristen für Rückgabe und Löschung, auch in Sicherungen.

§ 10 Nachweise und Kontrollen

1. Zuschlag.ai stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind (Art. 28 Abs. 3 lit. h DSGVO).
2. Zuschlag.ai ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer und trägt dazu bei. Termine stimmen die Parteien vorher ab; die Vertraulichkeit der Daten anderer Kunden bleibt gewahrt.

§ 11 Haftung

Die Haftung richtet sich nach Art. 82 DSGVO. Im Übrigen gilt der Hauptvertrag.

§ 12 Schlussbestimmungen

1. Dieser Vertrag kann in elektronischem Format geschlossen werden (Art. 28 Abs. 9 DSGVO). Änderungen bedürfen der Textform.
2. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes dem Hauptvertrag vor.
3. Es gilt deutsches Recht.

Anlage 1: Gegenstand, Daten und betroffene Personen

Gegenstand und Zweck

• Radar: öffentliche Bekanntmachungen finden und gegen das Firmenprofil des Kunden bewerten, Entscheidungen festhalten, Fristen und Änderungen verfolgen, Berichte per E-Mail.
• Angebote: Vergabeunterlagen von Vergabeplattformen abrufen, soweit diese sie ohne Anmeldung anbieten, Vergabeunterlagen lesen und analysieren, Bieterfragen, Kalkulation, Angebotsdokumente erstellen, Formblätter und Leistungsverzeichnisse ausfüllen, Abgabe prüfen.
• Firmenwissen: Firmendaten, Team, Referenzen, Nachweise, Textbausteine und Vorlagen pflegen; Einrichtung über die Website des Kunden.
• Assistent und Sprache: Fragen beantworten und Aufgaben in der Anwendung ausführen; Spracheingabe, Referenz-Interview und Sprachnachrichten.
• Team: Benutzerkonten, Einladungen und Rollen.

Art der Verarbeitung

Erheben, Speichern, Ordnen, Auslesen, Abfragen, Verwenden einschließlich der Auswertung durch die eigenen KI-Modelle, Bereitstellen für die Nutzer des Kunden, Versenden von E-Mails (Einladungen, Berichte) und Löschen.

Arten personenbezogener Daten

• Kontodaten der Nutzer: Name, E-Mail-Adresse, Funktion, Rolle, Passwort als Hash, Zeitpunkt der letzten Anmeldung.
• Nutzungs- und Protokolldaten: Verlauf von Aktionen mit Person und Zeitpunkt, Entscheidungen, fehlgeschlagene Anmeldeversuche mit E-Mail- und IP-Adresse.
• Inhalte des Kunden: Firmenprofil, Team- und Personalprofile, Referenzen mit Ansprechpartnern, Nachweise, Vergabeunterlagen, Bieterfragen, Kalkulationen, Angebotsdokumente, Notizen, Gespräche mit dem Assistenten, Texte aus Spracheingaben und erzeugte Sprachnachrichten.
• In Unterlagen und Korrespondenz enthaltene Daten Dritter, etwa von Ansprechpartnern der Vergabestellen.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung.

Kategorien betroffener Personen

• Beschäftigte und Beauftragte des Kunden, die Zuschlag.ai nutzen oder in Team- und Personalprofilen stehen.
• Ansprechpartner bei Referenzkunden, Partnern und Nachunternehmern des Kunden.
• Personen, die in Vergabeunterlagen und Korrespondenz genannt sind, etwa Mitarbeitende von Vergabestellen.

Anlage 2: Technische und organisatorische Maßnahmen

Die Maßnahmen nach Art. 32 DSGVO stehen auf der Seite Technische und organisatorische Maßnahmen.

Anlage 3: Unterauftragsverarbeiter

Die genehmigten Unterauftragsverarbeiter stehen auf der Seite Unterauftragsverarbeiter.