Vereinbarung zur Auftragsverarbeitung

§ 1 Gegenstand und Rollen

Der Kunde ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO, die Rau Advisory GmbH (nachfolgend „Auftragnehmer"; siehe Impressum) ist Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO.

Gegenstand der Verarbeitung ist die Bereitstellung von meineredaktion: das Abrufen der vom Kunden hinterlegten öffentlich zugänglichen Quellen, das Erzeugen von Textentwürfen daraus und die Übergabe dieser Entwürfe in das vom Kunden benannte Redaktionssystem.

Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags zuzüglich der in § 7 genannten Löschfristen.

§ 2 Art der Daten und betroffene Personen

Verarbeitet werden:

• Bestandsdaten der Nutzer des Kunden: Name, dienstliche E-Mail-Adresse, Zugangsdaten in gehashter Form.
• Inhaltsdaten: die vom Kunden hinterlegten Quellen-Adressen sowie die daraus abgerufenen Texte und die erzeugten Entwürfe. Diese Texte können personenbezogene Daten enthalten, soweit sie in der Quelle enthalten sind.
• Nutzungs- und Protokolldaten: Zeitpunkte von Abrufen, Fehlerprotokolle, Verbrauchszähler.

Betroffene Personen sind die Beschäftigten und Beauftragten des Kunden sowie Personen, über die in den vom Kunden ausgewählten Quellen berichtet wird.

§ 3 Weisungsbindung

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden. Die Nutzung der Software durch den Kunden — insbesondere die Auswahl der Quellen und das Auslösen einer Aufbereitung — gilt als Weisung. Weitergehende Weisungen bedürfen der Textform.

Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, weist er den Kunden darauf hin und darf die Ausführung bis zur Bestätigung aussetzen.

§ 4 Vertraulichkeit

Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzvorgaben vertraut gemacht worden sind.

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragnehmer trifft die in Anlage A beschriebenen technischen und organisatorischen Maßnahmen. Er darf sie fortentwickeln, solange das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

Der Kunde stimmt dem Einsatz von Unterauftragsverarbeitern allgemein zu. Eingesetzt werden Dienstleister aus den folgenden Kategorien:

• Hosting und Betrieb der Anwendung,
• Datenbank- und Speicherdienste,
• Anbieter der eingesetzten Sprachmodelle,
• Versand von System- und Benachrichtigungsnachrichten.

Die jeweils aktuelle namentliche Liste der Unterauftragsverarbeiter einschließlich Sitz und Verarbeitungszweck stellt der Auftragnehmer auf Anfrage in Textform bereit: hallo (at) meineredaktion.com .

Beabsichtigte Wechsel oder Neuaufnahmen teilt der Auftragnehmer mindestens vier Wochen vorher in Textform mit. Der Kunde kann innerhalb von zwei Wochen aus wichtigem, datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann jede Partei den Hauptvertrag zum Wirksamwerden der Änderung kündigen.

Erfolgt eine Verarbeitung außerhalb der EU beziehungsweise des EWR, geschieht dies nur auf Grundlage eines Angemessenheitsbeschlusses oder der Standardvertragsklauseln nebst ergänzender Maßnahmen.

§ 7 Löschung und Rückgabe

Nach Beendigung des Hauptvertrags löscht der Auftragnehmer die verarbeiteten Daten binnen 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Auf Verlangen des Kunden, das innerhalb dieser Frist zu stellen ist, werden die Inhaltsdaten zuvor in einem gängigen Format herausgegeben. Sicherungskopien laufen nach spätestens 90 Tagen aus dem Rotationszyklus.

§ 8 Unterstützung des Kunden

Der Auftragnehmer unterstützt den Kunden im erforderlichen Umfang bei Betroffenenanfragen nach Art. 15 bis 22 DSGVO, bei Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO und bei Meldungen nach Art. 33 und 34 DSGVO. Von einer Verletzung des Schutzes personenbezogener Daten unterrichtet er den Kunden unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.

§ 9 Nachweise und Kontrollen

Der Auftragnehmer weist die Einhaltung dieser Vereinbarung auf Anfrage in Textform nach, insbesondere durch Auskunft und Vorlage der Dokumentation zu Anlage A. Vor-Ort-Kontrollen sind nach rechtzeitiger Ankündigung, während der üblichen Geschäftszeiten und ohne Betriebsstörung zulässig.

§ 10 Haftung und Vorrang

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Regelungen des Hauptvertrags. Bei Widersprüchen zwischen dieser Anlage und den AGB geht diese Anlage in Fragen der Auftragsverarbeitung vor.

Anlage A — Technische und organisatorische Maßnahmen

Vertraulichkeit

• Zutritt: Der Betrieb erfolgt in Rechenzentren professioneller Anbieter mit Zutrittskontrolle; eigene Serverräume werden nicht betrieben.
• Zugang: Persönliche Benutzerkonten, Passwörter ausschließlich als Hash gespeichert, keine geteilten Sammelkonten für administrative Zugriffe.
• Zugriff: Rollentrennung zwischen Kundenzugang und Betreiberzugang. Die Daten eines Kunden sind über die Kundenkennung getrennt; Zugriffe des Betreibers erfolgen über gesonderte, protokollierte Wege.
• Trennung: Produktiv- und Testumgebung sind getrennt. Für Tests werden keine echten Kundendaten verwendet.

Integrität

• Transport: Alle Verbindungen sind mit TLS verschlüsselt, sowohl zur Anwendung als auch zu Datenbank und Unterauftragsverarbeitern.
• Eingabe: Änderungen an Inhalten und Zugängen sind einem Konto zuordenbar und werden protokolliert.
• Weitergabe: Inhalte werden an den Anbieter der Sprachmodelle ausschließlich zum Zweck der Erzeugung des jeweiligen Entwurfs übermittelt. Eine Nutzung zum Training von Modellen ist vertraglich ausgeschlossen.

Verfügbarkeit und Belastbarkeit

• Tägliche Sicherung der Datenbank mit einer Aufbewahrung von mindestens sieben Tagen; Wiederherstellung wird stichprobenhaft geprüft.
• Getrennte Ablage von Sicherungen und Produktivdaten.
• Überwachung von Erreichbarkeit und Fehlerraten mit Alarmierung.

Verfahren zur Überprüfung

• Überprüfung dieser Maßnahmen mindestens jährlich sowie anlassbezogen nach wesentlichen Änderungen.
• Auftragskontrolle über diese Vereinbarung und die schriftliche Verpflichtung der Unterauftragsverarbeiter.
• Datenschutzfreundliche Voreinstellungen: Es werden nur die Daten erhoben, die für den Betrieb erforderlich sind; ein Tracking von Besuchern findet nicht statt.

Stand

Fassung vom 27. Juli 2026.