Auftragsverarbeitungsvertrag

Präambel

Zwischen

dem Auftraggeber (Verantwortlicher)

-- nachfolgend der jeweilige Verlagskunde, der die Plattform ProsaBridge nutzt --

und

dem Auftragnehmer (Auftragsverarbeiter)

Andre Vornholt, handelnd unter der Geschäftsbezeichnung 'ProsaBridge' (Einzelunternehmen), Schlehenweg 8, 73230 Kirchheim unter Teck, E-Mail: [email protected]

-- nachfolgend „Auftragsverarbeiter" --

wird folgender Auftragsverarbeitungsvertrag (nachfolgend „AVV") geschlossen:

Dieser AVV ergänzt den zwischen den Parteien bestehenden Hauptvertrag, der sich aus den Allgemeinen Geschäftsbedingungen (AGB) der ProsaBridge-Plattform ergibt („Hauptvertrag"). Er konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Auftragsverarbeitung.

§ 1 Gegenstand und Dauer

(1) Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der KI-gestützten Übersetzungsdienstleistung der Plattform ProsaBridge.

(2) Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrages. Er beginnt mit Abschluss des Hauptvertrages und endet automatisch mit dessen Beendigung, gleich aus welchem Grund.

(3) Die Möglichkeit zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund liegt insbesondere vor, wenn der Auftragsverarbeiter wesentliche Bestimmungen dieses AVV verletzt.

§ 2 Art und Zweck der Verarbeitung

(1) Zweck der Verarbeitung:

Die Verarbeitung erfolgt zum Zweck der KI-gestützten Übersetzung von Manuskripten (.docx-Dateien), Glossaren und Referenzdaten, die der Verantwortliche über die Plattform ProsaBridge hochlädt.

(2) Art der personenbezogenen Daten:

• Personenbezogene Daten, die in hochgeladenen Manuskripten enthalten sein können (z.B. Autorennamen, biographische Informationen, Kontaktdaten)
• Gegebenenfalls besondere Kategorien personenbezogener Daten gem. Art. 9 DSGVO, sofern in religiösen, biographischen oder medizinischen Werken enthalten
• Metadaten der hochgeladenen Dateien
• Kommunikationsdaten zwischen Verantwortlichem und Plattform

(3) Kategorien betroffener Personen:

• Autoren der hochgeladenen Manuskripte
• In Manuskripten genannte natürliche Personen
• Mitarbeiter des Auftraggebers (Verantwortlichen)

(4) Art der Verarbeitung:

• Erhebung (Entgegennahme der hochgeladenen Daten)
• Speicherung (temporäre Speicherung auf Plattform-Servern)
• Übermittlung an Sub-Prozessoren (KI-API-Aufrufe)
• Maschinelle Verarbeitung (KI-gestützte Übersetzung)
• Temporäre Zwischenspeicherung der Übersetzungsergebnisse
• Löschung nach Ablauf der Aufbewahrungsfrist

§ 3 Pflichten des Auftragsverarbeiters

(1) Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf Grundlage dokumentierter Weisungen des Verantwortlichen, es sei denn, er ist durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Technisch-organisatorische Maßnahmen

Der Auftragsverarbeiter ergreift alle gemäß Art. 32 DSGVO erforderlichen technisch-organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung. Die konkreten Maßnahmen sind in Anlage 1 zu diesem AVV festgelegt.

(4) Unterauftragsverarbeitung

Der Auftragsverarbeiter nimmt keinen weiteren Auftragsverarbeiter ohne vorherige allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch. Die Regelungen hierzu finden sich in § 4 dieses AVV.

(5) Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen, soweit dies möglich ist, bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III DSGVO genannten Rechte der betroffenen Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

(6) Unterstützung bei Sicherheitspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in Art. 32--36 DSGVO genannten Pflichten, insbesondere bei:

• Sicherheit der Verarbeitung (Art. 32 DSGVO)
• Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde (Art. 33 DSGVO)
• Benachrichtigung der betroffenen Personen (Art. 34 DSGVO)
• Datenschutz-Folgenabschätzung (Art. 35 DSGVO)
• Vorherige Konsultation der Aufsichtsbehörde (Art. 36 DSGVO)

(7) Meldepflicht bei Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntniserlangung. Die Meldung enthält, soweit dem Auftragsverarbeiter zu diesem Zeitpunkt bekannt, eine Beschreibung der Art der Verletzung sowie der voraussichtlich betroffenen Kategorien und der ungefähren Anzahl betroffener Personen und Datensätze, um dem Verantwortlichen die Erfüllung seiner Pflichten nach Art. 33 und 34 DSGVO zu ermöglichen.

(8) Löschung und Rückgabe

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie an den Verantwortlichen zurück und löscht bestehende Kopien, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht. Die Löschung aus den Produktivsystemen erfolgt innerhalb von 14 Tagen nach Vertragsende bzw. nach Abschluss des jeweiligen Übersetzungsvorgangs; aus Datenbank-Backups werden Daten spätestens mit Ablauf der 14-tägigen Backup-Rotation entfernt. Manuskript- und Übersetzungsdateien im Objektspeicher werden nicht in Backups repliziert; ihre Löschung wirkt dort unmittelbar. Die Löschung wird dem Verantwortlichen auf Anforderung in angemessener Form bestätigt.

(9) Nachweispflichten und Audits

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten vorrangig durch geeignete Nachweise, Auditberichte, technische Beschreibungen oder vergleichbare Unterlagen zur Verfügung. Soweit diese Nachweise im Einzelfall nicht ausreichen, ermöglicht und unterstützt der Auftragsverarbeiter angemessene Überprüfungen -- einschließlich Inspektionen -- durch den Verantwortlichen oder einen von diesem beauftragten Prüfer. Näheres regelt § 7.

§ 4 Unterauftragsverarbeitung

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter hiermit die allgemeine schriftliche Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) hinzuzuziehen. Die zum Zeitpunkt des Abschlusses dieses AVV genehmigten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mindestens 30 Tage im Voraus schriftlich (E-Mail genügt). Der Verantwortliche kann gegen die beabsichtigte Änderung innerhalb von 30 Tagen nach Zugang der Information Widerspruch einlegen.

(3) Im Falle eines berechtigten Widerspruchs steht dem Verantwortlichen ein Sonderkündigungsrecht des Hauptvertrages und dieses AVV zu. Erfolgt kein Widerspruch innerhalb der Frist, gilt die Änderung als genehmigt.

(4) Der Auftragsverarbeiter erlegt dem Unterauftragsverarbeiter im Wege eines Vertrags dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind, wobei insbesondere hinreichende Garantien dafür geboten werden müssen, dass die geeigneten technisch-organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung entsprechend den Anforderungen der DSGVO erfolgt.

(5) Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters.

§ 5 Drittlandtransfer

(1) Eine Übermittlung personenbezogener Daten in Drittländer kann im Rahmen der in Anlage 2 aufgeführten Unterauftragsverarbeiter erfolgen, insbesondere bei Dienstleistern mit Sitz oder Konzernbezug in den USA sowie bei globalen Support-, Incident- oder Recovery-Zugriffen.

(2) Drittlandübermittlungen erfolgen nur, soweit hierfür eine geeignete Transfergrundlage besteht, insbesondere:

• EU-US Data Privacy Framework (DPF) gem. Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023, soweit der jeweilige Empfänger hierunter zertifiziert ist und der Registerstatus geprüft und dokumentiert wurde
• Standardvertragsklauseln (Standard Contractual Clauses, SCCs) gem. Durchführungsbeschluss (EU) 2021/914, soweit erforderlich ergänzt durch eine Transfer-Folgenabschätzung und zusätzliche Maßnahmen
• sonstige zulässige Garantien nach Art. 46 DSGVO, insbesondere genehmigte verbindliche interne Datenschutzvorschriften, soweit sie beim jeweiligen Dienstleister dokumentiert sind

(3) Bei KI-API-Aufrufen wird keine pauschale Zero-Data-Retention zugesagt. Der Auftragsverarbeiter stellt nach Maßgabe der jeweiligen Anbieterbedingungen sicher, dass Kundendaten nicht zum Training von KI-Modellen verwendet werden; Speicher-, Lösch- und Loggingbedingungen werden dienstleisterbezogen dokumentiert und in Anlage 2 ausgewiesen, soweit sie noch offen sind.

(4) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn sich die Transfergrundlage ändert (z.B. bei Unwirksamkeit des DPF, Änderung der Zertifizierung des Empfängers oder bei Änderung der Rechtslage im Drittland, die das Schutzniveau wesentlich beeinträchtigen könnte).

§ 6 Technisch-organisatorische Maßnahmen

(1) Der Auftragsverarbeiter setzt die in Anlage 1 beschriebenen technisch-organisatorischen Maßnahmen um, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Der Auftragsverarbeiter darf alternative Maßnahmen umsetzen, sofern das Sicherheitsniveau nicht unterschritten wird.

(3) Wesentliche Änderungen der technisch-organisatorischen Maßnahmen sind dem Verantwortlichen mitzuteilen.

§ 7 Audit- und Kontrollrechte

(1) Der Verantwortliche hat das Recht, die Einhaltung der Bestimmungen dieses AVV durch geeignete, verhältnismäßige Maßnahmen zu überprüfen. Vorrangig erfolgen Überprüfungen durch Vorlage geeigneter Nachweise, Auditberichte, technischer Beschreibungen, Zertifikate oder vergleichbarer Unterlagen.

(2) Vor-Ort-Prüfungen oder technische Inspektionen sind nur zulässig, soweit die nach Absatz 1 bereitgestellten Nachweise zur angemessenen Prüfung nicht ausreichen. Sie sind mit einer Vorlaufzeit von mindestens 14 Tagen anzukündigen, während der üblichen Geschäftszeiten durchzuführen und so auszugestalten, dass Betriebs- und Sicherheitsinteressen des Auftragsverarbeiters sowie Rechte Dritter gewahrt bleiben.

(3) Der Verantwortliche kann einen unabhängigen, zur Verschwiegenheit verpflichteten Dritten mit der Durchführung des Audits beauftragen. Der Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein.

(4) Der Auftragsverarbeiter kann aktuelle Auditberichte, Prüfberichte, Anbieterunterlagen, technische Beschreibungen, Sicherheitsnachweise oder vergleichbare Dokumentationen vorlegen, wenn diese die Einhaltung der vertraglichen Pflichten hinreichend nachweisen.

§ 8 Haftung

(1) Die Haftung der Parteien richtet sich nach den Bestimmungen der DSGVO, insbesondere Art. 82 DSGVO, sowie nach den gesetzlichen Vorschriften.

(2) Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen für Schäden, die durch eine nicht den Vorgaben der DSGVO oder dieses AVV entsprechende Verarbeitung verursacht werden.

(3) Im Verhältnis zwischen den Parteien trägt der Auftragsverarbeiter den Anteil der Haftung, der seinem Verschulden entspricht. Die Haftungsbeschränkungen des Hauptvertrages gelten ergänzend, soweit sie nicht im Widerspruch zu zwingenden gesetzlichen Bestimmungen stehen.

§ 9 Laufzeit und Beendigung

(1) Dieser AVV läuft für die Dauer des Hauptvertrages. Er endet automatisch mit der Beendigung des Hauptvertrages.

(2) Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund für den Verantwortlichen liegt insbesondere vor, wenn:

• der Auftragsverarbeiter Weisungen des Verantwortlichen nicht befolgt;
• der Auftragsverarbeiter wesentlich gegen diesen AVV verstößt;
• der Auftragsverarbeiter einer Aufsichtsbehörde den Zugang verweigert;
• der Auftragsverarbeiter ohne Genehmigung Unterauftragsverarbeiter einsetzt.

(3) Nach Beendigung des AVV gelten die Pflichten aus § 3 Abs. 8 (Löschung) sowie die Vertraulichkeitspflichten fort.

§ 10 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses AVV bedürfen der Schriftform. Dies gilt auch für die Aufhebung des Schriftformerfordernisses.

(2) Sollten einzelne Bestimmungen dieses AVV unwirksam oder undurchführbar sein oder werden, so berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. Die Parteien verpflichten sich, die unwirksame oder undurchführbare Bestimmung durch eine wirksame Regelung zu ersetzen, die dem wirtschaftlichen und datenschutzrechtlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

(3) Im Falle von Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Bestimmungen dieses AVV in Bezug auf den Schutz personenbezogener Daten vor.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist der Sitz des Auftragsverarbeiters, soweit gesetzlich zulässig.

Anlage 1: Technisch-organisatorische Maßnahmen (TOMs)

gemäß Art. 32 DSGVO

1. Vertraulichkeit

1.1 Zutrittskontrolle

• Plattform-Hosting in der Oracle Cloud Infrastructure, Region Germany Central (Frankfurt, eu-frankfurt-1)
• Physische Zutrittskontrolle der Rechenzentrumsinfrastruktur durch Oracle

1.2 Zugangskontrolle

• Authentifizierung der Plattformnutzer über Microsoft Entra ID / Single Sign-On; keine gesonderte Zusage einer MFA innerhalb der ProsaBridge-Anwendung
• Die Administrationskonsole ist nicht öffentlich erreichbar; administrativer Zugriff erfolgt ausschließlich über ein WireGuard-VPN mit gerätegebundenen, einzeln widerrufbaren Schlüsselpaaren pro Endgerät, zusätzlich abgesichert durch passwortlose Einmal-Anmeldelinks für die Betreiberkonsole
• Serverzugang ausschließlich per SSH mit Public-Key-Authentifizierung; Passwort-Anmeldung ist deaktiviert. Automatische Sperrung auffälliger Anmeldeversuche sowie eine host-basierte Firewall, die nur die benötigten Dienste freigibt. Zugangsdaten und Schlüssel werden ausschließlich verschlüsselt in der versionskontrollierten Konfiguration verwaltet.
• Übersetzungs-Backend und Konvertierungsdienst besitzen keine öffentliche Erreichbarkeit und sind nur über den vorgeschalteten Reverse-Proxy erreichbar; die Datenbank akzeptiert ausschließlich lokale, authentifizierte Verbindungen.
• Multi-Faktor-Authentifizierung für Infrastrukturkonten und individuelle administrative Zugänge
• Verschlüsselung der Datenübertragung mittels TLS sowie Verschlüsselung gespeicherter Daten at rest mittels AES-256, insbesondere durch OCI-Volume-Verschlüsselung; automatische Sitzungszeitbegrenzung (Endnutzer-Sitzungen längstens 10 Minuten, administrative Sitzungen längstens 7 Tage, jeweils serverseitig widerrufbar)

1.3 Zugriffskontrolle

• Zugriff auf Kundendaten ist auf den jeweiligen Mandanten beschränkt; die Mandantenzuordnung wird aus dem kryptografisch verifizierten Microsoft-Entra-Token abgeleitet
• Administrativer Zugriff ist auf namentlich benannte Personen beschränkt; es gilt das Prinzip der minimalen Berechtigung (Least Privilege)
• Protokollierung administrativer Zugriffe und Änderungen mit Benutzerkennung, Aktion, Zielobjekt und Zeitstempel
• Regelmäßige Überprüfung der administrativen Zugriffsberechtigungen

1.4 Trennungskontrolle

• Logische Mandantentrennung (Multi-Tenant-Architektur): Datenbankabfragen werden auf die verifizierte Mandanten-ID beschränkt
• Hochgeladene Manuskripte und erzeugte Übersetzungen werden in Cloudflare R2 mit EU-Jurisdiktion gespeichert
• Produktiv- und Entwicklungsumgebungen sind getrennt; Tests finden außerhalb des Produktivsystems statt

2. Integrität

2.1 Weitergabekontrolle

• Verschlüsselung der Datenübertragungen mittels TLS
• KI-API-Aufrufe erfolgen nur über die in Anlage 2 benannten Unterauftragsverarbeiter; die genutzten Modelle werden in EU-Regionen betrieben, soweit dort angegeben
• Keine Nutzung von Kundendaten zum Training von KI-Modellen nach Maßgabe der jeweiligen Anbieterbedingungen
• Die KI-Telemetrie erfasst ausschließlich Metadaten (etwa Token-Zahlen, Modell-Kennungen und Zeitstempel), keine Manuskript- oder Übersetzungsinhalte
• Dokumentation der eingesetzten Unterauftragsverarbeiter und der wesentlichen Datenübermittlungen

2.2 Eingabekontrolle

• Protokollierung administrativer Eingaben, Änderungen und Löschungen
• Nachvollziehbarkeit durch individuelle Benutzerkennung bzw. Microsoft-Entra-Kennung

3. Verfügbarkeit und Belastbarkeit

• Stündliche Datenbank-Backups mit automatischer Integritätsprüfung, verschlüsselter Speicherung und 14 Tagen Aufbewahrung
• Keine Backup-Replikation von Manuskript- und Übersetzungsdateien; deren Löschung im Objektspeicher wirkt unmittelbar
• Wiederherstellungskonzept auf Grundlage der Datenbank-Backups und Infrastrukturkonfiguration; keine Zusage redundanter Systemauslegung
• Automatischer Neustart der Anwendungsdienste bei Ausfall; nach jedem Deployment prüft ein Konvergenzdienst die Gesundheit aller Anwendungsendpunkte, bevor der öffentliche Zugang freigegeben wird. Eine kontinuierliche externe Verfügbarkeitsüberwachung mit Alarmierung sowie ein Offsite-Backup an einem zweiten Standort bestehen derzeit nicht; eine Zusage zur Wiederherstellbarkeit bei Totalverlust des Servers wird daher nicht abgegeben.

4. Verfahren zur regelmäßigen Überprüfung

• Regelmäßige Überprüfung und Bewertung der Wirksamkeit der TOMs
• Dokumentation von Sicherheitsvorfällen
• Der Auftragsverarbeiter hält als Einzelunternehmer seine Kenntnisse zu Datenschutz und IT-Sicherheit fortlaufend auf aktuellem Stand
• Aktualisierung der Maßnahmen bei veränderter Risikolage

5. Pseudonymisierung und Verschlüsselung

• Pseudonymisierung personenbezogener Daten, soweit dies nach dem Verarbeitungszweck möglich und verhältnismäßig ist
• Verschlüsselung personenbezogener Daten at rest mittels AES-256 (insbesondere OCI-Volume-Verschlüsselung) und in transit mittels TLS
• Automatische, stündliche Löschroutine für hochgeladene Manuskripte, erzeugte Übersetzungen, Speicherobjekte und zugehörige Datenbankeinträge spätestens 14 Tage nach Abschluss des Übersetzungsvorgangs; Abrechnungs- und Kontometadaten bleiben nach gesetzlichen Aufbewahrungspflichten erhalten

Anlage 2: Genehmigte Unterauftragsverarbeiter

Stand: 31. Juli 2026

Hinweis: Eine aktuelle Liste der Unterauftragsverarbeiter wird auf der Website des Auftragsverarbeiters veröffentlicht und bei Änderungen aktualisiert.