Auftragsverarbeitungsvertrag

Präambel

Zwischen

dem Auftraggeber (Verantwortlicher)

-- nachfolgend der jeweilige Verlagskunde, der die Plattform ProsaBridge nutzt --

und

dem Auftragnehmer (Auftragsverarbeiter)

Andre Vornholt, handelnd unter der Geschäftsbezeichnung 'ProsaBridge' (Einzelunternehmen), Schlehenweg 8, 73230 Kirchheim unter Teck, E-Mail: [email protected]

-- nachfolgend „Auftragsverarbeiter" --

wird folgender Auftragsverarbeitungsvertrag (nachfolgend „AVV") geschlossen:

Dieser AVV ergänzt den zwischen den Parteien bestehenden Hauptvertrag, der sich aus den Allgemeinen Geschäftsbedingungen (AGB) der ProsaBridge-Plattform ergibt („Hauptvertrag"). Er konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Auftragsverarbeitung.

§ 1 Gegenstand und Dauer

(1) Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der KI-gestützten Übersetzungsdienstleistung der Plattform ProsaBridge.

(2) Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrages. Er beginnt mit Abschluss des Hauptvertrages und endet automatisch mit dessen Beendigung, gleich aus welchem Grund.

(3) Die Möglichkeit zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund liegt insbesondere vor, wenn der Auftragsverarbeiter wesentliche Bestimmungen dieses AVV verletzt.

§ 2 Art und Zweck der Verarbeitung

(1) Zweck der Verarbeitung:

Die Verarbeitung erfolgt zum Zweck der KI-gestützten Übersetzung von Manuskripten (Word-, LibreOffice-, InDesign- und PDF-Dateien), Glossaren und Referenzdaten, die der Verantwortliche über die Plattform ProsaBridge hochlädt. Daneben verarbeitet der Auftragsverarbeiter Kontodaten der Mitarbeiter des Verantwortlichen, damit sie die Web-App von ProsaBridge (app.prosabridge.com) nutzen können.

(2) Art der personenbezogenen Daten:

• Personenbezogene Daten, die in hochgeladenen Manuskripten enthalten sein können (z.B. Autorennamen, biographische Informationen, Kontaktdaten)
• Gegebenenfalls besondere Kategorien personenbezogener Daten gem. Art. 9 DSGVO, sofern in religiösen, biographischen oder medizinischen Werken enthalten
• Metadaten der hochgeladenen Dateien
• Kommunikationsdaten zwischen Verantwortlichem und Plattform
• Kontodaten der Mitarbeiter des Verantwortlichen, die die Web-App nutzen: E-Mail-Adresse, Name (sofern angegeben), Organisation, Rolle, Spracheinstellung und Benachrichtigungseinstellungen
• Anmelde- und Sicherheitsdaten dieser Konten: Passwort (nur als Hash gespeichert), Geheimnis der zweistufigen Anmeldung (verschlüsselt gespeichert), Wiederherstellungscodes sowie Einladungs- und Passwort-Links (jeweils nur als Hash gespeichert), Anmeldesitzungen mit Zeitpunkten und Browserkennung (User-Agent), Zahl fehlgeschlagener Anmeldeversuche und Sperrzeiten, Zeitpunkt der letzten Anmeldung, IP-Adresse von Anmelde- und Link-Anfragen zur Begrenzung dieser Anfragen sowie Protokolleinträge zu administrativen Änderungen an diesen Konten

(3) Kategorien betroffener Personen:

• Autoren der hochgeladenen Manuskripte
• In Manuskripten genannte natürliche Personen
• Mitarbeiter des Auftraggebers (Verantwortlichen)

(4) Art der Verarbeitung:

• Erhebung (Entgegennahme der hochgeladenen Daten)
• Speicherung (temporäre Speicherung auf Plattform-Servern)
• Übermittlung an Sub-Prozessoren (KI-API-Aufrufe)
• Maschinelle Verarbeitung (KI-gestützte Übersetzung)
• Temporäre Zwischenspeicherung der Übersetzungsergebnisse
• Löschung nach Ablauf der Aufbewahrungsfrist
• Speicherung und Verwendung der Kontodaten für Anmeldung, Zugriffsschutz und Verwaltung der Konten der Web-App sowie Versand von E-Mails an die betroffenen Mitarbeiter zu Einladung, Passwort, zweistufiger Anmeldung und Änderungen der Anmeldeadresse sowie, soweit sie diese nicht abgeschaltet haben, zu Übersetzungsaufträgen, die sie gestartet haben

§ 3 Pflichten des Auftragsverarbeiters

(1) Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf Grundlage dokumentierter Weisungen des Verantwortlichen, es sei denn, er ist durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Technisch-organisatorische Maßnahmen

Der Auftragsverarbeiter ergreift alle gemäß Art. 32 DSGVO erforderlichen technisch-organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung. Die konkreten Maßnahmen sind in Anlage 1 zu diesem AVV festgelegt.

(4) Unterauftragsverarbeitung

Der Auftragsverarbeiter nimmt keinen weiteren Auftragsverarbeiter ohne vorherige allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch. Die Regelungen hierzu finden sich in § 4 dieses AVV.

(5) Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen, soweit dies möglich ist, bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III DSGVO genannten Rechte der betroffenen Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

(6) Unterstützung bei Sicherheitspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in Art. 32--36 DSGVO genannten Pflichten, insbesondere bei:

• Sicherheit der Verarbeitung (Art. 32 DSGVO)
• Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde (Art. 33 DSGVO)
• Benachrichtigung der betroffenen Personen (Art. 34 DSGVO)
• Datenschutz-Folgenabschätzung (Art. 35 DSGVO)
• Vorherige Konsultation der Aufsichtsbehörde (Art. 36 DSGVO)

(7) Meldepflicht bei Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntniserlangung. Die Meldung enthält, soweit dem Auftragsverarbeiter zu diesem Zeitpunkt bekannt, eine Beschreibung der Art der Verletzung sowie der voraussichtlich betroffenen Kategorien und der ungefähren Anzahl betroffener Personen und Datensätze, um dem Verantwortlichen die Erfüllung seiner Pflichten nach Art. 33 und 34 DSGVO zu ermöglichen.

(8) Löschung und Rückgabe

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie an den Verantwortlichen zurück und löscht bestehende Kopien, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht. Die Löschung aus den Produktivsystemen erfolgt innerhalb von 14 Tagen nach Vertragsende bzw. nach Abschluss des jeweiligen Übersetzungsvorgangs; aus Datenbank-Backups werden Daten spätestens mit Ablauf der 14-tägigen Backup-Rotation entfernt. Manuskript- und Übersetzungsdateien im Objektspeicher werden nicht in Backups repliziert; ihre Löschung wirkt dort unmittelbar. Die Löschung wird dem Verantwortlichen auf Anforderung in angemessener Form bestätigt.

(9) Nachweispflichten und Audits

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten vorrangig durch geeignete Nachweise, Auditberichte, technische Beschreibungen oder vergleichbare Unterlagen zur Verfügung. Soweit diese Nachweise im Einzelfall nicht ausreichen, ermöglicht und unterstützt der Auftragsverarbeiter angemessene Überprüfungen -- einschließlich Inspektionen -- durch den Verantwortlichen oder einen von diesem beauftragten Prüfer. Näheres regelt § 7.

§ 4 Unterauftragsverarbeitung

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter hiermit die allgemeine schriftliche Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) hinzuzuziehen. Die zum Zeitpunkt des Abschlusses dieses AVV genehmigten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mindestens 30 Tage im Voraus schriftlich (E-Mail genügt). Der Verantwortliche kann gegen die beabsichtigte Änderung innerhalb von 30 Tagen nach Zugang der Information Widerspruch einlegen.

(3) Im Falle eines berechtigten Widerspruchs steht dem Verantwortlichen ein Sonderkündigungsrecht des Hauptvertrages und dieses AVV zu. Erfolgt kein Widerspruch innerhalb der Frist, gilt die Änderung als genehmigt.

(4) Der Auftragsverarbeiter erlegt dem Unterauftragsverarbeiter im Wege eines Vertrags dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind, wobei insbesondere hinreichende Garantien dafür geboten werden müssen, dass die geeigneten technisch-organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung entsprechend den Anforderungen der DSGVO erfolgt.

(5) Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters.

§ 5 Drittlandtransfer

(1) Eine Übermittlung personenbezogener Daten in Drittländer kann im Rahmen der in Anlage 2 aufgeführten Unterauftragsverarbeiter erfolgen, insbesondere bei Dienstleistern mit Sitz oder Konzernbezug in den USA sowie bei globalen Support-, Incident- oder Recovery-Zugriffen.

(2) Drittlandübermittlungen erfolgen nur, soweit hierfür eine geeignete Transfergrundlage besteht, insbesondere:

• EU-US Data Privacy Framework (DPF) gem. Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023, soweit der jeweilige Empfänger hierunter zertifiziert ist und der Registerstatus geprüft und dokumentiert wurde
• Standardvertragsklauseln (Standard Contractual Clauses, SCCs) gem. Durchführungsbeschluss (EU) 2021/914, soweit erforderlich ergänzt durch eine Transfer-Folgenabschätzung und zusätzliche Maßnahmen
• sonstige zulässige Garantien nach Art. 46 DSGVO, insbesondere genehmigte verbindliche interne Datenschutzvorschriften, soweit sie beim jeweiligen Dienstleister dokumentiert sind

(3) Der Auftragsverarbeiter verwendet Kundendaten nicht zum Training von KI-Modellen und setzt nur KI-Dienste ein, deren Anbieter eine Verwendung der Ein- und Ausgaben zum Training ausschließen. Eine pauschale Zero-Data-Retention wird nicht zugesagt: Bei den über AWS Bedrock genutzten Sprachmodellen von OpenAI speichert AWS zur automatisierten Missbrauchserkennung nur Ein- und Ausgaben, die ein automatischer Klassifikator als auffällig einstuft, bis zu 30 Tage in der AWS-Region, in der die Anfrage verarbeitet wurde. AWS gibt diese Daten nicht an OpenAI weiter.

(4) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn sich die Transfergrundlage ändert (z.B. bei Unwirksamkeit des DPF, Änderung der Zertifizierung des Empfängers oder bei Änderung der Rechtslage im Drittland, die das Schutzniveau wesentlich beeinträchtigen könnte).

§ 6 Technisch-organisatorische Maßnahmen

(1) Der Auftragsverarbeiter setzt die in Anlage 1 beschriebenen technisch-organisatorischen Maßnahmen um, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Der Auftragsverarbeiter darf alternative Maßnahmen umsetzen, sofern das Sicherheitsniveau nicht unterschritten wird.

(3) Wesentliche Änderungen der technisch-organisatorischen Maßnahmen sind dem Verantwortlichen mitzuteilen.

§ 7 Audit- und Kontrollrechte

(1) Der Verantwortliche hat das Recht, die Einhaltung der Bestimmungen dieses AVV durch geeignete, verhältnismäßige Maßnahmen zu überprüfen. Vorrangig erfolgen Überprüfungen durch Vorlage geeigneter Nachweise, Auditberichte, technischer Beschreibungen, Zertifikate oder vergleichbarer Unterlagen.

(2) Vor-Ort-Prüfungen oder technische Inspektionen sind nur zulässig, soweit die nach Absatz 1 bereitgestellten Nachweise zur angemessenen Prüfung nicht ausreichen. Sie sind mit einer Vorlaufzeit von mindestens 14 Tagen anzukündigen, während der üblichen Geschäftszeiten durchzuführen und so auszugestalten, dass Betriebs- und Sicherheitsinteressen des Auftragsverarbeiters sowie Rechte Dritter gewahrt bleiben.

(3) Der Verantwortliche kann einen unabhängigen, zur Verschwiegenheit verpflichteten Dritten mit der Durchführung des Audits beauftragen. Der Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein.

(4) Der Auftragsverarbeiter kann aktuelle Auditberichte, Prüfberichte, Anbieterunterlagen, technische Beschreibungen, Sicherheitsnachweise oder vergleichbare Dokumentationen vorlegen, wenn diese die Einhaltung der vertraglichen Pflichten hinreichend nachweisen.

§ 8 Haftung

(1) Die Haftung der Parteien richtet sich nach den Bestimmungen der DSGVO, insbesondere Art. 82 DSGVO, sowie nach den gesetzlichen Vorschriften.

(2) Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen für Schäden, die durch eine nicht den Vorgaben der DSGVO oder dieses AVV entsprechende Verarbeitung verursacht werden.

(3) Im Verhältnis zwischen den Parteien trägt der Auftragsverarbeiter den Anteil der Haftung, der seinem Verschulden entspricht. Die Haftungsbeschränkungen des Hauptvertrages gelten ergänzend, soweit sie nicht im Widerspruch zu zwingenden gesetzlichen Bestimmungen stehen.

§ 9 Laufzeit und Beendigung

(1) Dieser AVV läuft für die Dauer des Hauptvertrages. Er endet automatisch mit der Beendigung des Hauptvertrages.

(2) Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund für den Verantwortlichen liegt insbesondere vor, wenn:

• der Auftragsverarbeiter Weisungen des Verantwortlichen nicht befolgt;
• der Auftragsverarbeiter wesentlich gegen diesen AVV verstößt;
• der Auftragsverarbeiter einer Aufsichtsbehörde den Zugang verweigert;
• der Auftragsverarbeiter ohne Genehmigung Unterauftragsverarbeiter einsetzt.

(3) Nach Beendigung des AVV gelten die Pflichten aus § 3 Abs. 8 (Löschung) sowie die Vertraulichkeitspflichten fort.

§ 10 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses AVV bedürfen der Schriftform. Dies gilt auch für die Aufhebung des Schriftformerfordernisses.

(2) Sollten einzelne Bestimmungen dieses AVV unwirksam oder undurchführbar sein oder werden, so berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. Die Parteien verpflichten sich, die unwirksame oder undurchführbare Bestimmung durch eine wirksame Regelung zu ersetzen, die dem wirtschaftlichen und datenschutzrechtlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

(3) Im Falle von Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Bestimmungen dieses AVV in Bezug auf den Schutz personenbezogener Daten vor.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist der Sitz des Auftragsverarbeiters, soweit gesetzlich zulässig.

Anlage 1: Technisch-organisatorische Maßnahmen (TOMs)

gemäß Art. 32 DSGVO

1. Vertraulichkeit

1.1 Zutrittskontrolle

• Plattform-Hosting in der Oracle Cloud Infrastructure, Region Germany Central (Frankfurt, eu-frankfurt-1)
• Physische Zutrittskontrolle der Rechenzentrumsinfrastruktur durch Oracle

1.2 Zugangskontrolle

• Authentifizierung der Plattformnutzer im Word-Add-in über Microsoft Entra ID / Single Sign-On; für diese Anmeldung keine gesonderte Zusage einer MFA innerhalb der ProsaBridge-Anwendung
• Authentifizierung in der Web-App mit E-Mail-Adresse und Passwort. Jede Person kann zusätzlich eine zweistufige Anmeldung mit Einmalcodes aus einer Authenticator-App (TOTP) einschalten. Statt eines Codes kann ein Wiederherstellungscode verwendet werden, der nur einmal gilt. Die zweistufige Anmeldung ist freiwillig und wird nicht je Organisation erzwungen.
• Passwörter der Web-App müssen mindestens 8 Zeichen lang sein und werden nur als Argon2id-Hash gespeichert. Das Geheimnis der zweistufigen Anmeldung wird mit AES-256-GCM verschlüsselt gespeichert; Wiederherstellungscodes sowie die Tokens von Sitzungen, Einladungs- und Passwort-Links werden nur als Hash gespeichert.
• Schutz der Web-App gegen das Ausprobieren von Passwörtern: Nach 5 Fehlversuchen in Folge wird das Konto für 1 Minute gesperrt, jeder weitere Fehlversuch verdoppelt die Sperre bis höchstens 1 Stunde. Falsche Codes im zweiten Anmeldeschritt zählen dabei mit; nach 5 falschen Codes endet außerdem der begonnene Anmeldevorgang. Zusätzlich begrenzt das Backend Anmeldeversuche, Anfragen zum Zurücksetzen des Passworts und Aufrufe von Einladungs- und Passwort-Links je IP-Adresse (bei IPv6 je /64-Netz) innerhalb von 10 Minuten.
• Einladungslinks gelten 7 Tage, Links zum Zurücksetzen des Passworts 60 Minuten; beide sind nur einmal verwendbar, und ein neuer Link zum Zurücksetzen macht frühere ungültig. Der zweite Schritt der zweistufigen Anmeldung muss innerhalb von 10 Minuten nach der Passworteingabe erfolgen. Ein zurückgesetztes Passwort beendet alle Sitzungen des Kontos.
• Die Administrationskonsole ist nicht öffentlich erreichbar; administrativer Zugriff erfolgt ausschließlich über ein WireGuard-VPN mit gerätegebundenen, einzeln widerrufbaren Schlüsselpaaren pro Endgerät, zusätzlich abgesichert durch passwortlose Einmal-Anmeldelinks für die Betreiberkonsole
• Serverzugang ausschließlich per SSH mit Public-Key-Authentifizierung; Passwort-Anmeldung ist deaktiviert. Automatische Sperrung auffälliger Anmeldeversuche sowie eine host-basierte Firewall, die nur die benötigten Dienste freigibt. Zugangsdaten und Schlüssel werden ausschließlich verschlüsselt in der versionskontrollierten Konfiguration verwaltet.
• Übersetzungs-Backend und Konvertierungsdienst besitzen keine öffentliche Erreichbarkeit und sind nur über den vorgeschalteten Reverse-Proxy erreichbar; die Datenbank akzeptiert ausschließlich lokale, authentifizierte Verbindungen.
• Multi-Faktor-Authentifizierung für Infrastrukturkonten und individuelle administrative Zugänge
• Verschlüsselung der Datenübertragung mittels TLS sowie Verschlüsselung gespeicherter Daten at rest mittels AES-256, insbesondere durch OCI-Volume-Verschlüsselung; automatische Sitzungszeitbegrenzung (Sitzungen im Word-Add-in dauern längstens 10 Minuten; Sitzungen der Web-App enden spätestens 7 Tage nach der letzten Nutzung und spätestens 30 Tage nach der Anmeldung; administrative Sitzungen enden spätestens 30 Tage nach der letzten Nutzung und spätestens 90 Tage nach der Anmeldung; Sitzungen der Web-App und administrative Sitzungen sind serverseitig widerrufbar)

1.3 Zugriffskontrolle

• Zugriff auf Kundendaten ist auf den jeweiligen Mandanten beschränkt; die Mandantenzuordnung wird im Word-Add-in aus dem kryptografisch verifizierten Microsoft-Entra-Token und in der Web-App aus der serverseitig gespeicherten Sitzung des angemeldeten Kontos abgeleitet
• Durch die Verwaltung des Verantwortlichen oder über die Administrationskonsole gesperrte Konten und Konten deaktivierter Organisationen können sich nicht anmelden; ihre bestehenden Sitzungen und offenen Links werden nicht mehr angenommen. Wird ein Konto auf diese Weise gesperrt oder seine E-Mail-Adresse geändert, enden alle seine Sitzungen und bisher offene Links werden ungültig.
• Administrativer Zugriff ist auf namentlich benannte Personen beschränkt; es gilt das Prinzip der minimalen Berechtigung (Least Privilege)
• Protokollierung von Zugriffen und Änderungen über die Administrationskonsole des Auftragsverarbeiters mit Benutzerkennung, Aktion, Zielobjekt und Zeitstempel
• Regelmäßige Überprüfung der administrativen Zugriffsberechtigungen

1.4 Trennungskontrolle

• Logische Mandantentrennung (Multi-Tenant-Architektur): Datenbankabfragen werden auf die verifizierte Mandanten-ID beschränkt
• Hochgeladene Manuskripte und erzeugte Übersetzungen werden in Cloudflare R2 mit EU-Jurisdiktion gespeichert
• Produktiv- und Entwicklungsumgebungen sind getrennt; Tests finden außerhalb des Produktivsystems statt

2. Integrität

2.1 Weitergabekontrolle

• Verschlüsselung der Datenübertragungen mittels TLS
• KI-API-Aufrufe erfolgen nur über die in Anlage 2 benannten Unterauftragsverarbeiter. Die Plattform ruft AWS Bedrock in der AWS-Region Frankfurt (eu-central-1) auf; AWS wählt für jede Anfrage eine AWS-Region weltweit, in der sie verarbeitet wird (globales Cross-Region-Routing). Die Daten bleiben dabei im AWS-Netz.
• Keine Nutzung von Kundendaten zum Training von KI-Modellen; eingesetzt werden nur KI-Dienste, deren Anbieter eine Verwendung der Ein- und Ausgaben zum Training ausschließen
• Die KI-Telemetrie erfasst ausschließlich Metadaten (etwa Token-Zahlen, Modell-Kennungen und Zeitstempel), keine Manuskript- oder Übersetzungsinhalte
• Dokumentation der eingesetzten Unterauftragsverarbeiter und der wesentlichen Datenübermittlungen

2.2 Eingabekontrolle

• Protokollierung von Eingaben, Änderungen und Löschungen über die Administrationskonsole des Auftragsverarbeiters
• Nachvollziehbarkeit durch individuelle Benutzerkennung bzw. Microsoft-Entra-Kennung
• Änderungen an Konten der Web-App über die Administrationskonsole, etwa Einladungen, Rollenwechsel, Sperrungen, geänderte E-Mail-Adressen, das Zurücksetzen der zweistufigen Anmeldung oder das Senden eines Links zum Zurücksetzen des Passworts, werden in derselben Datenbanktransaktion protokolliert. Die Protokolleinträge enthalten keine Passwörter, Link-Tokens oder Geheimnisse der zweistufigen Anmeldung. Änderungen durch die Verwaltung des Verantwortlichen in der Web-App werden nicht in einem solchen Änderungsprotokoll erfasst.

3. Verfügbarkeit und Belastbarkeit

• Stündliche Datenbank-Backups mit automatischer Integritätsprüfung, verschlüsselter Speicherung und 14 Tagen Aufbewahrung
• Keine Backup-Replikation von Manuskript- und Übersetzungsdateien; deren Löschung im Objektspeicher wirkt unmittelbar
• Wiederherstellungskonzept auf Grundlage der Datenbank-Backups und Infrastrukturkonfiguration; keine Zusage redundanter Systemauslegung
• Automatischer Neustart der Anwendungsdienste bei Ausfall; nach jedem Deployment prüft ein Konvergenzdienst die Gesundheit aller Anwendungsendpunkte, bevor der öffentliche Zugang freigegeben wird. Eine kontinuierliche externe Verfügbarkeitsüberwachung mit Alarmierung sowie ein Offsite-Backup an einem zweiten Standort bestehen derzeit nicht; eine Zusage zur Wiederherstellbarkeit bei Totalverlust des Servers wird daher nicht abgegeben.

4. Verfahren zur regelmäßigen Überprüfung

• Regelmäßige Überprüfung und Bewertung der Wirksamkeit der TOMs
• Dokumentation von Sicherheitsvorfällen
• Der Auftragsverarbeiter hält als Einzelunternehmer seine Kenntnisse zu Datenschutz und IT-Sicherheit fortlaufend auf aktuellem Stand
• Aktualisierung der Maßnahmen bei veränderter Risikolage

5. Pseudonymisierung und Verschlüsselung

• Pseudonymisierung personenbezogener Daten, soweit dies nach dem Verarbeitungszweck möglich und verhältnismäßig ist
• Verschlüsselung personenbezogener Daten at rest mittels AES-256 (insbesondere OCI-Volume-Verschlüsselung) und in transit mittels TLS
• Automatische, stündliche Löschroutine für hochgeladene Manuskripte, erzeugte Übersetzungen, Speicherobjekte und zugehörige Datenbankeinträge spätestens 14 Tage nach Abschluss des Übersetzungsvorgangs; Abrechnungs- und Kontometadaten bleiben nach gesetzlichen Aufbewahrungspflichten erhalten
• Kontodaten der Web-App werden nicht automatisch gelöscht. Wird eine noch nicht angenommene Einladung in der Web-App zurückgezogen, wird das zugehörige Konto gelöscht. Wird eine Person nach Annahme der Einladung aus dem Team entfernt, wird ihr Konto gesperrt; die Kontodaten bleiben bestehen. Das Sperren eines Kontos durch die Verwaltung des Verantwortlichen oder über die Administrationskonsole sowie das Deaktivieren einer Organisation verhindert die Anmeldung, lässt die Kontodaten aber bestehen. Die übrigen Kontodaten bleiben für die Dauer des Vertrags gespeichert und werden nach Vertragsende gemäß § 3 Abs. 8 gelöscht; wird eine Organisation gelöscht, löscht die Datenbank ihre Konten mit Sitzungen, Links und Wiederherstellungscodes.

Anlage 2: Genehmigte Unterauftragsverarbeiter

Stand: 6. Oktober 2026

Hinweis: Eine aktuelle Liste der Unterauftragsverarbeiter wird auf der Website des Auftragsverarbeiters veröffentlicht und bei Änderungen aktualisiert.