Auftragsverarbeitungsvertrag (AVV) für den Datenmigrationsservice „BrauMo Switch“
Hinweis: Dieser Vertrag gilt für jede Bestellung des Datenmigrationsservice „BrauMo Switch“ und wird über § 12 der AGB in die Bestellung einbezogen. Er betrifft ausschließlich diesen Service; für die Software BrauMo selbst ist der Anbieter kein Auftragsverarbeiter (siehe Datenschutzerklärung, Ziffer 7: die Software läuft ohne Datenübermittlung an den Anbieter).
Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO zwischen dem Kunden als Verantwortlichem und Jhael Tabrizi, Einzelunternehmen · BrauMo, Knaackstr. 68, 10435 Berlin, Deutschland (im Folgenden „Anbieter“ oder „Auftragsverarbeiter“).
Präambel
Der Kunde bestellt beim Anbieter die einmalige Überführung seiner bisherigen Aufzeichnungen (Tabellenkalkulation, CSV) in eine neue BrauMo-Datenbank („Migration“). Dabei können in den Aufzeichnungen personenbezogene Daten enthalten sein, für die der Kunde Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist. Der Anbieter verarbeitet diese Daten ausschließlich im Auftrag und nach den Weisungen des Kunden. Dieser Vertrag wird mit dem Zustandekommen des Servicevertrags (§ 12.6 der AGB) in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO); der Kunde erhält ihn auf Wunsch als PDF.
§ 1 Gegenstand und Dauer
Gegenstand ist die Migration nach Maßgabe von § 12 der AGB. Die Verarbeitung beginnt mit dem Eingang der Datei des Kunden beim Anbieter und endet mit der Löschung nach § 12 dieses Vertrags, 30 Tage nach der Lieferung der Datenbank.
§ 2 Art und Zweck der Verarbeitung
Der Anbieter erstellt aus der Datei ein Profil (Blattnamen, Spaltenüberschriften, Datentypen, Zählungen und Wertebereiche), lässt sich auf dieser Grundlage einen Zuordnungsplan vorschlagen, legt diesen dem Kunden zur Freigabe vor, überführt nach der Freigabe die Datensätze durch einen deterministischen Import in eine neue Datenbank, gleicht jede Zeile ab und liefert Datenbank, Zuordnungsplan und Abgleichbericht. Zweck ist allein die Durchführung des Migrationsauftrags. Die Datensätze werden verschoben und nicht bewertet; eine Prüfung nach Lebensmittel-, Steuer- oder sonstigem Recht findet nicht statt.
§ 3 Art der Daten
Je nach Inhalt der Aufzeichnungen des Kunden: Namen, Kontaktdaten, Anschriften und Zahlungsziele von Kunden und Lieferanten der Brauerei; Namen oder Kürzel von Mitarbeitern in Freitext- und Verantwortlichkeitsfeldern; Bemerkungen. Produktions-, Rezept- und Chargendaten sind in der Regel keine personenbezogenen Daten, werden aber als Geschäftsgeheimnis des Kunden mit derselben Sorgfalt behandelt. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand des Auftrags; der Kunde übermittelt solche Daten nicht.
§ 4 Kategorien betroffener Personen
Ansprechpartner und Mitarbeiter des Kunden; Kunden, Lieferanten und deren Ansprechpartner, soweit sie in den überführten Aufzeichnungen genannt sind.
§ 5 Weisungen
Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf die Übermittlung personenbezogener Daten in ein Drittland. Dokumentierte Weisungen sind die Bestellung, die Übermittlung der Datei, die Freigabe des Zuordnungsplans per E-Mail sowie Korrekturen und weitere Anweisungen per E-Mail. Vor der Freigabe wird keine Datenbank geschrieben. Hält der Anbieter eine Weisung für rechtswidrig, teilt er dies dem Kunden unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.
§ 6 Vertraulichkeit
Der Anbieter ist Einzelunternehmer und führt die Migration persönlich durch; Mitarbeiter sind nicht beteiligt. Er ist zur Vertraulichkeit verpflichtet und behandelt die Daten des Kunden als Geschäftsgeheimnis. Setzt er künftig Personen ein, verpflichtet er sie vorher schriftlich zur Vertraulichkeit.
§ 7 Technische und organisatorische Maßnahmen
Die Verarbeitung erfolgt in Deutschland, ausschließlich auf dem verschlüsselten Rechner des Anbieters (FileVault), in einem eigenen, nur für den Anbieter lesbaren Auftragsordner, der von jeder Cloud-Synchronisation und von der Datensicherung des Rechners ausgenommen ist. Über das Postfach nach § 8 hinaus wird die Datei in keinen Cloud-Dienst geladen. Die Übermittlung des Profils an den Unterauftragsverarbeiter (§ 8) erfolgt verschlüsselt (HTTPS). Ohne ausdrückliche Freigabe des Zuordnungsplans per E-Mail wird nichts geschrieben; die Freigabe-E-Mail wird aufbewahrt, und Freigebender und Zeitpunkt werden im Auftragsdatensatz festgehalten. Jede Zeile wird abgeglichen (Zeilen = angelegt + übersprungen + abgelehnt); bei einer Abweichung wird nichts geliefert. Die Zieldatei ist stets eine neue Datei. Eine ausführliche Beschreibung der Maßnahmen stellt der Anbieter auf Anfrage zur Verfügung.
§ 8 Unterauftragsverarbeiter
Der Kunde genehmigt mit der Bestellung die folgenden Unterauftragsverarbeiter:
| Unterauftragsverarbeiter | Zweck und Umfang | Grundlage |
|---|---|---|
| Anthropic Ireland Limited, Dublin, Irland (Vertragspartner für den EWR); Verarbeitung durch Anthropic PBC, San Francisco, USA | Vorschlag des Zuordnungsplans durch ein KI-Modell. Übermittelt wird ausschließlich ein Profil der Datei: der Dateiname und ein Prüfwert der Datei, die Blattnamen, die Nummer der Überschriftenzeile und die Zeilenzahl je Blatt; je Spalte die Überschrift wie geschrieben, der Datentyp, die Anzahl gefüllter und unterschiedlicher Zellen; bei jeder Textspalte die maximale Länge und die bis zu drei häufigsten maskierten Muster ihrer Werte mit Anzahl (Buchstaben zu A, Ziffern zu 9, Trennzeichen bleiben) anstelle von Beispielen (im Profil steht dort das Wort „withheld“); bei Zahlenspalten der kleinste und größte Wert sowie Hinweise auf Dezimaltrennzeichen und angehängte Einheiten; bei Datumsspalten die erkannten Formate sowie das früheste und späteste Datum; und eine in einer Überschrift geschriebene Zahl. Die Kleinst- und Größtwerte und die beiden Daten sind Werte aus der Datei des Kunden. Niemals die Datei, eine Zeile oder der Text einer Zelle. Blattnamen und Überschriften werden vor der Übermittlung auf E-Mail-Adressen, Telefonnummern, IBANs und Anrede-Namen-Muster („Herr Müller“) geprüft; bei einem Treffer wird der Auftrag angehalten und nur nach Rückfrage beim Kunden fortgesetzt. Anthropic verwendet die Inhalte nach seinen Commercial Terms nicht zum Training seiner Modelle und löscht Eingaben nach eigener Angabe binnen 30 Tagen. | Anthropic Commercial Terms of Service und Data Processing Addendum mit EU-Standardvertragsklauseln (Modul 2 und 3) |
| Microsoft Ireland Operations Ltd., Dublin, Irland (Microsoft 365 / Exchange Online) | Betrieb des Postfachs hello@braumo.com, über das der Kunde die Datei sendet und die Lieferung erhält, sofern kein anderer Kanal vereinbart ist | Microsoft Products and Services Data Protection Addendum |
Beabsichtigt der Anbieter, einen weiteren Unterauftragsverarbeiter einzusetzen oder einen bestehenden zu ersetzen, teilt er dies dem Kunden vor Beginn der Verarbeitung per E-Mail mit; der Kunde kann innerhalb von 14 Tagen widersprechen. Widerspricht der Kunde, kann jede Partei den Auftrag kündigen; ein bereits gezahltes Entgelt wird erstattet, soweit die Leistung noch nicht erbracht ist. Der Anbieter verpflichtet den Unterauftragsverarbeiter durch Vertrag auf dieselben Datenschutzpflichten, wie sie in diesem Vertrag festgelegt sind.
§ 9 Übermittlung in Drittländer
Das Profil nach § 8 wird in den USA verarbeitet. Grundlage der Übermittlung sind die EU-Standardvertragsklauseln als Bestandteil des Anthropic Data Processing Addendum. Eine weitere Übermittlung in ein Drittland nimmt der Anbieter nicht vor; für die Unterauftragsverarbeiter gelten deren in § 8 genannte Vertragsgrundlagen.
§ 10 Unterstützung bei Betroffenenrechten
Der Anbieter unterstützt den Kunden mit angemessenen technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen nach Art. 12 bis 22 DSGVO. Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet er das Ersuchen unverzüglich an den Kunden weiter.
§ 11 Meldung von Verletzungen des Schutzes personenbezogener Daten
Der Anbieter meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten, die den Auftrag betrifft, unverzüglich per E-Mail an die vom Kunden bei der Bestellung angegebene Adresse und unterstützt ihn bei der Erfüllung seiner Pflichten aus Art. 33 und 34 DSGVO. Er unterstützt den Kunden ferner bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde (Art. 35 und 36 DSGVO), soweit sie diesen Auftrag betreffen.
§ 12 Löschung
Die Datenbank, der Zuordnungsplan und der Abgleichbericht werden dem Kunden geliefert. 30 Tage nach der Lieferung löscht der Anbieter die Datei des Kunden, das Profil, die Antworten des KI-Modells, die Datenbank und beide Berichte von seinem Rechner einschließlich etwaiger Sicherungskopien sowie die E-Mails, mit denen die Datei einging und die Datenbank geliefert wurde, aus seinem Postfach (Posteingang und Gesendete Objekte), und bestätigt dies dem Kunden per E-Mail. Als Nachweis der ordnungsgemäßen Durchführung verbleiben beim Anbieter der Auftragsdatensatz und der maschinelle Zuordnungsplan sowie die Freigabe-E-Mail des Kunden; diese enthalten den Namen der Datei, die Namen der Blätter und Spalten, das Feld, dem jede Spalte zugeordnet wurde, Zählungen, die Annahmen des Plans (etwa ein Code-Präfix, ein Jahr, eine Gebindegröße) sowie Name und Zeitpunkt der Freigabe, jedoch keine Zeilen und keine Textwerte. Auf Verlangen des Kunden löscht der Anbieter auch diese Unterlagen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
§ 13 Nachweise und Kontrollen
Der Anbieter stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, insbesondere die Beschreibung der technischen und organisatorischen Maßnahmen und das Verzeichnis der Verarbeitungstätigkeiten, soweit es diesen Service betrifft. Eine Überprüfung vor Ort ist nach Ankündigung mit angemessener Frist und zu den üblichen Geschäftszeiten möglich.
§ 14 Haftung
Für die Haftung gelten § 8 und § 12.9 der AGB. Art. 82 DSGVO bleibt unberührt.
§ 15 Laufzeit und Schlussbestimmungen
Dieser Vertrag gilt für die Dauer des Auftrags nach § 1 und darüber hinaus, solange der Anbieter Unterlagen nach § 12 aufbewahrt. Es gilt deutsches Recht. Im Widerspruchsfall gehen die Regelungen dieses Vertrags den AGB vor, soweit es die Verarbeitung personenbezogener Daten betrifft; die DSGVO geht beiden vor. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.