Vertrag zur Auftragsverarbeitung

1. Gegenstand und Dauer

Der Auftragsverarbeiter stellt dem Verantwortlichen Klarto bereit. Die Dauer entspricht der Laufzeit des Hauptvertrags.

2. Art und Zweck der Verarbeitung

Betrieb von Meetings, Chat und Wissen je Raum, KI-Funktionen und, wenn der Verantwortliche es aktiviert, Transkription und Zusammenfassung. Ton und Video werden nur live verarbeitet und nicht gespeichert. Es gibt keine Auswertung je Person und keine Stimmungsanalyse.

3. Art der Daten und betroffene Personen

• Konto- und Stammdaten der Nutzer (Name, E-Mail-Adresse, Rolle)
• Chat-Nachrichten und Inhalte in Räumen
• Transkripte und Zusammenfassungen, nur nach Freigabe und Aktivierung durch den Verantwortlichen
• technische Nutzungs- und Protokolldaten

Betroffen sind Beschäftigte des Verantwortlichen sowie Gäste und weitere Teilnehmende.

4. Weisungen und Vertraulichkeit

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Hält er eine Weisung für rechtswidrig, weist er unverzüglich darauf hin. Personen mit Zugang sind zur Vertraulichkeit verpflichtet. Die Verwaltung liest keine Inhalte.

5. Technische und organisatorische Maßnahmen

• Betrieb in Rechenzentren der Hetzner Online GmbH in Nürnberg und Falkenstein, die nach ISO 27001 zertifiziert sind
• Verschlüsselte Übertragung (TLS) und gesicherte Ablage der Transkripte
• Rollenbasierte Zugriffskontrolle und Trennung der Daten je Kunde
• Kennzeichnung der KI und Freigabe vor jedem Redebeitrag

[OFFEN] Vollständige Beschreibung der Maßnahmen nach Art. 32 DSGVO als Anlage ergänzen.

6. Unterauftragsverarbeiter

Der Auftragsverarbeiter setzt nur Dienstleister aus der EU ein: Hetzner Online GmbH, Gunzenhausen (Rechenzentren Nürnberg und Falkenstein), für Hosting einschließlich GPU-Servern. Über neue Unterauftragsverarbeiter informiert er vorab; der Verantwortliche kann widersprechen.

[OFFEN] Liste vervollständigen, etwa Mistral AI SAS, Paris, falls Sprachmodell oder Stimme über die Mistral-API laufen, sowie E-Mail-Versand. Falls KI-Verarbeitung in Paris stattfindet, die Aussage „auch die KI läuft in Nürnberg und Falkenstein“ anpassen.

7. Ort der Verarbeitung

Die Verarbeitung findet ausschließlich in der EU statt. Eine Übermittlung in Drittländer, insbesondere in die USA, findet nicht statt.

8. Unterstützung und Meldungen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen Betroffener und bei den Pflichten nach Art. 32 bis 36 DSGVO. Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich.

9. Löschung und Rückgabe

Die Kontrolle über die Daten liegt beim Verantwortlichen. Auf seine Anfrage löscht der Auftragsverarbeiter Daten nach den Vorgaben der DSGVO. Nach Ende der Leistungen löscht er alle Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).

10. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt die Informationen bereit, die zum Nachweis der Pflichten nötig sind, und ermöglicht Überprüfungen nach rechtzeitiger Ankündigung.