Vertrag zur Auftragsverarbeitung

§ 1 Gegenstand, Vertragsschluss und Dauer

1. Parteien dieses Vertrags sind der Kunde der Software-as-a-Service-Plattform wissa.ai (nachfolgend „Verantwortlicher“ oder „Kunde“) und die Coding 9 GmbH, Am Unterfeld 10, 83101 Rohrdorf, eingetragen im Handelsregister des Amtsgericht Traunstein unter HRB 31594, vertreten durch den Geschäftsführer Alexander Schikowsky (nachfolgend „Auftragsverarbeiter“ oder „Anbieter“). Hauptvertrag ist der Nutzungsvertrag über die Plattform nach den Allgemeinen Geschäftsbedingungen des Anbieters unter https://wissa.ai/de/agb (nachfolgend „AGB“).
2. Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen, soweit sie zur Erbringung der Leistungen des Hauptvertrags erforderlich ist: die Durchführung KI-gestützter Interviews mit den vom Verantwortlichen benannten Personen, die Auswertung der Antworten, die Erzeugung und Bereitstellung der Prozessdokumentation, der Kundenbereich zur Verwaltung von Personen und Ergebnissen, der Versand von Einladungen und Erinnerungen sowie die Weitergabe von Ergebnissen über Nur-Lese-Links an vom Verantwortlichen bestimmte Empfänger. Art und Zweck der Verarbeitung, die Datenkategorien und die betroffenen Personen sind in § 2 beschrieben.
3. Dieser Vertrag kommt zustande, indem eine für den Verantwortlichen vertretungsberechtigte oder bevollmächtigte Person mit der Rolle Organisations-Administrator ihn im Kundenbereich der Plattform abschließt (im Rechnungsprofil oder über den Hinweis „AVV jetzt abschließen“ auf der Abrechnungsseite). Der Abschluss ist Voraussetzung jeder Verarbeitung im Auftrag: Vorher sperrt die Plattform die Funktionen, mit denen personenbezogene Daten anderer Personen eingebracht oder verarbeitet werden, insbesondere das Anlegen, Importieren und Einladen von Personen, das Hochladen von Unterlagen und die Durchführung von Interviews. Der Auftragsverarbeiter speichert am Kundenkonto den Zeitpunkt des Abschlusses, das handelnde Nutzerkonto und den Versionsstand der abgeschlossenen Fassung; den Zeitpunkt kann der Verantwortliche jederzeit im Kundenbereich einsehen, die übrigen Angaben teilt ihm der Auftragsverarbeiter auf Anfrage mit. Die jeweils aktuelle Fassung ist unter https://wissa.ai/de/avv abrufbar und kann vom Verantwortlichen gespeichert und ausgedruckt werden. Vertragssprache ist Deutsch.
4. Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Er endet mit der vollständigen Löschung oder Rückgabe der personenbezogenen Daten nach § 11. Eine isolierte Kündigung dieses Vertrags ist ausgeschlossen; die Kündigung des Hauptvertrags erfasst zugleich diesen Vertrag.
5. Für die Verarbeitung personenbezogener Daten im Auftrag geht dieser Vertrag den AGB vor. Für Daten, die der Anbieter als eigener Verantwortlicher verarbeitet (Kundenkonto, Rechnungsprofil, Zahlung, Kommunikation mit dem Kunden), gilt die Datenschutzerklärung unter https://wissa.ai/de/datenschutz.

§ 2 Art und Zweck der Verarbeitung, Datenkategorien, betroffene Personen

1. Zweck. Zweck der Verarbeitung ist die Sicherung und Dokumentation von Prozesswissen des Verantwortlichen: Die Plattform befragt die vom Verantwortlichen benannten Personen in KI-gestützten Interviews zu ihren Tätigkeiten und Abläufen, wertet die Antworten aus und erzeugt daraus eine strukturierte, fortlaufend aktualisierbare Prozessdokumentation. Eine Bewertung der Leistung oder des Verhaltens einzelner Personen ist nicht Zweck der Verarbeitung. wissa dient der Dokumentation von Arbeitsabläufen, Rollen und Systemen. wissa ist nicht dazu bestimmt, Leistung oder Verhalten von Personen zu bewerten, Aufgaben nach persönlichen Merkmalen zuzuweisen oder Entscheidungen über Einstellung, Beförderung, Arbeitsbedingungen oder Kündigung vorzubereiten (Zweckbestimmung, § 2 Abs. 1 AGB).
2. Art der Verarbeitung. Erhebung und Speicherung der Stammdaten nach Absatz 3 lit. a, auch durch Import einer Soll-Organisation; Versand von Einladungen, Einmal-Zugangslinks und höchstens zwei Erinnerungen je Einladung im Abstand von mindestens 72 Stunden per E-Mail aus festen Textvorlagen, ergänzt um Prozess und Bereich, zu denen die Person befragt wird; Durchführung der Interviews per Texteingabe, per Spracheingabe nur, soweit sie nach § 6 Abs. 7 eingerichtet ist; KI-gestützte Lesung von im Interview angehängten Bildern und PDF-Dokumenten sowie von Unterlagen, die der Verantwortliche hochlädt; Auswertung der Inhalte mit Hilfe von KI-Modellen (Ableitung von Aussagen, Prozessschritten, Rollen, Werkzeugen und Übergaben); Zuordnung von Zuständigkeiten und Werkzeugkenntnissen zu Personen und Rollen sowie Ermittlung von Abhängigkeiten von einzelnen Personen (Wissensrisiken) und bereichsübergreifenden Erkenntnissen; Abgleich der Aussagen verschiedener Personen (Widersprüche, beidseitig bestätigte Übergaben); Einladung zu Folge- und Aktualisierungsinterviews nach den Einstellungen des Verantwortlichen; Beantwortung von Fragen der Nutzer des Kundenbereichs anhand des Wissensbestands mit Speicherung des Frageverlaufs je Nutzerkonto; Erzeugung, Versionierung und Bereitstellung der Dokumentation im Kundenbereich; Bereitstellung des Übergabe-Pakets und des Betriebsrat-Pakets über befristete, widerrufbare Nur-Lese-Links an vom Verantwortlichen bestimmte Empfänger (Anlage 1 Nummer 2); Erhebung freiwilliger Rückmeldungen der befragten Personen zum Gespräch (§ 3 Abs. 2); Export; Berichtigung, Löschung und Anonymisierung nach Weisung des Verantwortlichen.
3. Datenkategorien. Verarbeitet werden:
   1. Stammdaten der befragten Personen, der zur Befragung vorgesehenen Personen und der vom Verantwortlichen erfassten Beschäftigten (Soll-Organisation): Name, geschäftliche E-Mail-Adresse, Rolle beziehungsweise Funktion, Abteilung oder Bereich, Leitungsfunktion, Kennzeichnung als interne oder externe Person sowie Berichts-, Vertretungs- und Zusammenarbeitsbeziehungen, soweit der Verantwortliche oder die befragten Personen sie angeben; ferner Name, Rolle, Bereich und, soweit in einer Antwort genannt, die geschäftliche E-Mail-Adresse von Personen, die im Interview als Ansprechpartner genannt und als mögliche weitere Befragte geführt werden;
   2. Interview-Inhalte: Texteingaben und, soweit die Spracheingabe eingerichtet ist (§ 6 Abs. 7), die von der befragten Person vor dem Absenden geprüften Transkripte ihrer Spracheingaben; die Sprachaufnahme selbst wird nur flüchtig zur Umwandlung in Text verarbeitet und nicht gespeichert. Ferner im Interview freiwillig angehängte Dateien (etwa Bildschirmfotos, kurze Videos, PDF-Dokumente), jeweils einschließlich der darin enthaltenen Angaben zu Tätigkeiten, Abläufen, Werkzeugen, Zuständigkeiten und Schwierigkeiten. Ein noch nicht abgeschickter Antwortentwurf wird nur im Browser der befragten Person zwischengespeichert;
   3. vom Verantwortlichen hochgeladene Unterlagen (etwa Prozessbeschreibungen, Organigramme, Arbeitsanweisungen als PDF oder Bild) einschließlich der darin enthaltenen personenbezogenen Daten, deren KI-gestützte Lesung und die daraus abgeleiteten Aussagen;
   4. die daraus erzeugte Prozessdokumentation einschließlich der abgeleiteten Aussagen, Prozessschritte, Übergaben, offenen Fragen und Widersprüche, der Zuordnung von Zuständigkeiten und Werkzeugkenntnissen zu Personen, der Erkenntnisse zu Wissensrisiken sowie der Quellverweise auf die jeweils befragte Person;
   5. Einwilligungs-, Status- und Steuerungsdaten der befragten Personen: Einladungs-, Erinnerungs- und Freigabeverlauf, Interviewstatus, Zeitpunkt, Fassung und Sprache der vor dem Interview erteilten Zustimmung, der Ablehnung oder des Widerrufs, vom Verantwortlichen gesetzte Kennzeichen (etwa „nicht mehr befragen“), persönliches Gesprächsziel und Terminwunsch für Folgegespräche, Sprachwahl, Vorbereitungsnotizen für Folgegespräche sowie Zeitstempel der Sitzungen;
   6. freiwillige Rückmeldungen der befragten Personen zum Gespräch (Bewertungsstufe, Antworten auf Diagnosefragen, freiwilliger Freitext);
   7. Fragen der Nutzer des Kundenbereichs an den Wissensbestand samt Antworten (Frageverlauf je Nutzerkonto) sowie Bezeichnung des Empfängers, Gültigkeit, Zahl und Zeitpunkt der Abrufe der Nur-Lese-Links;
   8. Nutzungs- und Protokolldaten: Rollen der Nutzer des Kundenbereichs, Zeitpunkte sicherheitsrelevanter Kontoaktionen (Anlage 1 Nummer 5) sowie technische Verbindungsdaten aller Personen, die die Plattform aufrufen, einschließlich der befragten Personen und der Empfänger von Nur-Lese-Links (IP-Adresse, Browserkennung, Zeitpunkt, aufgerufene Adresse), in Serverprotokollen zur Absicherung und Fehleranalyse. Die Anmeldedaten der Nutzer des Kundenbereichs (E-Mail-Adresse, Passwort ausschließlich als kryptografischer Hash) und das Protokoll nach Anlage 1 Nummer 5 verarbeitet der Anbieter zugleich als eigener Verantwortlicher zur Sicherheit der Plattform und zum Nachweis seiner Pflichten; insoweit gilt die Datenschutzerklärung (§ 1 Abs. 5).
4. Besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung; die Interviews fragen nach Tätigkeiten und Abläufen, nicht nach solchen Angaben. Die Parteien sind sich bewusst, dass befragte Personen in freier Rede beiläufig solche Angaben machen können (etwa die Erwähnung einer Krankheitsvertretung oder einer Betriebsratszugehörigkeit). Der Verantwortliche weist die befragten Personen an, keine solchen Angaben zu machen; der Auftragsverarbeiter verarbeitet dennoch gemachte Angaben ausschließlich im Rahmen dieses Vertrags. Die Plattform erkennt Gesundheitsangaben zu einzelnen Personen bei der Auswertung, neutralisiert sie oder übernimmt die Aussage nicht in die Dokumentation; eine dabei verworfene Aussage hält sie in einem internen Verwerfungsprotokoll nur mit Kategorie, Grund und Zeitpunkt fest, ohne Wortlaut. Angaben, die dennoch in die Dokumentation gelangen, kann der Verantwortliche über die Berichtigungs- und Rücknahmefunktionen des Kundenbereichs aus der Dokumentation entfernen. Im Gesprächsverlauf (Rohtranskript) bleiben sie gespeichert, bis die Plattform ihn 180 Tage nach Abschluss der jeweiligen Sitzung automatisch löscht; in früheren Fassungen von Aussagen und in angehängten Dateien bleiben sie gespeichert, bis die Erhebung zurückgesetzt oder die Person auf Weisung nach § 7 Abs. 2 gelöscht wird. Eine gezielte Erhebung solcher Daten bedarf einer gesonderten Vereinbarung (§ 4 Abs. 5).
5. Betroffene Personen. Mitarbeitende des Verantwortlichen und sonstige von ihm zur Befragung eingeladene oder vorgesehene Personen (etwa freie Mitarbeitende, Dienstleister, Steuer- oder Unternehmensberater); Beschäftigte, die der Verantwortliche als Soll-Organisation erfasst, ohne sie zu befragen; Koordinator:innen, Administrator:innen und sonstige Nutzer:innen des Kundenbereichs des Verantwortlichen; Personen, die in den Interview-Inhalten oder in hochgeladenen Unterlagen genannt werden (etwa Kolleg:innen sowie Ansprechpartner bei Kunden und Lieferanten des Verantwortlichen); Empfänger von Nur-Lese-Links, soweit sie die Plattform aufrufen; bei Partner-Projekten (§ 12 Abs. 3) auch Beschäftigte und Beauftragte des Endkunden.

§ 3 Pflichten des Auftragsverarbeiters

1. Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich im Rahmen dieses Vertrags und auf dokumentierte Weisung des Verantwortlichen (§ 10), es sei denn, er ist durch das Recht der Europäischen Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).
2. Der Auftragsverarbeiter verarbeitet die Daten vorbehaltlich Satz 4 nicht für eigene Zwecke. Insbesondere verwendet er die Interview-Inhalte und die erzeugte Dokumentation nicht zum Training oder zur Verbesserung von KI-Modellen, nicht zur Produktentwicklung über den Auftrag hinaus und gibt sie nicht an Dritte weiter, die nicht Unterauftragsverarbeiter nach § 6 sind. Zulässig bleibt die Verarbeitung von Nutzungskennzahlen ohne Personenbezug (etwa Anzahl der Interviews, verbrauchte Credits) zur Abrechnung und zum Betrieb der Plattform. Zulässig ist ferner, dass der Auftragsverarbeiter die freiwilligen Rückmeldungen der befragten Personen zum Gespräch (§ 2 Abs. 3 lit. f) plattformweit auswertet, um die Gesprächsführung der Plattform zu verbessern. Die Auswertung zeigt weder Kunde noch Person an; Bewertungsstufen erscheinen nur gezählt, Verteilungen der Diagnosefragen erst ab fünf Rückmeldungen. Freitexte speichert und liest der Auftragsverarbeiter nur, wenn die befragte Person im Rückmeldeformular ausdrücklich eingewilligt hat (Art. 6 Abs. 1 lit. a DSGVO); ohne Einwilligung wird kein Freitext gespeichert. Für diese Auswertung ist der Auftragsverarbeiter selbst Verantwortlicher (Art. 28 Abs. 10 DSGVO); für Stufen und Diagnosefragen stützt er sie auf Art. 6 Abs. 1 lit. f DSGVO und informiert die befragten Personen darüber im Rückmeldeformular und in seiner Datenschutzerklärung. Die Rückmeldungen werden mit dem Zurücksetzen der Erhebung, mit der Löschung der Person nach § 7 Abs. 2 und mit der Löschung nach § 11 Abs. 2 gelöscht; Freitexte löscht die Plattform spätestens zwölf Monate nach ihrer Abgabe.
3. Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung besteht auch nach dem Ende ihrer Tätigkeit fort. Zugriff auf Daten des Verantwortlichen erhalten nur Personen, die ihn zur Erfüllung ihrer Aufgaben benötigen.
4. Der Auftragsverarbeiter trifft alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (§ 5 und Anlage 1).
5. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen des Schutzes personenbezogener Daten (§ 8), der Datenschutz-Folgenabschätzung und der vorherigen Konsultation der Aufsichtsbehörde. Geht die Unterstützung über die Funktionen der Plattform und über Auskünfte hinaus, kann der Auftragsverarbeiter hierfür eine angemessene, vorher vereinbarte Vergütung verlangen.
6. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Rechte betroffener Personen nach Maßgabe von § 7.
7. Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie zurück (§ 11). Während der Laufzeit stehen dem Verantwortlichen hierfür die Export- und Zurücksetzen-Funktionen des Kundenbereichs sowie die Löschung auf Weisung (§ 7 Abs. 2) zur Verfügung.
8. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung seiner Pflichten zur Verfügung und ermöglicht Überprüfungen nach Maßgabe von § 9.
9. Der Auftragsverarbeiter hat keinen Datenschutzbeauftragten benannt, da die gesetzlichen Voraussetzungen hierfür nicht vorliegen. Ansprechstelle für alle Fragen des Datenschutzes ist info@wissa.ai. Ändert sich dies, teilt der Auftragsverarbeiter es dem Verantwortlichen unverzüglich mit.
10. Die Speicherung der Daten erfolgt in Rechenzentren in der Bundesrepublik Deutschland; die KI-gestützte Gesprächsführung und Auswertung erfolgt über einen Dienstleister mit Sitz in Deutschland und Verarbeitung in der Europäischen Union (Anlage 2 Nummer 3). Eine Verarbeitung außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums findet nur durch die in Anlage 2 ausdrücklich als Drittlandbezug gekennzeichneten Unterauftragsverarbeiter, nur für die dort beschriebene Leistung und nur unter den Voraussetzungen des § 6 Abs. 6 statt.

§ 4 Pflichten des Verantwortlichen

1. Der Verantwortliche ist im Verhältnis der Parteien allein für die Zulässigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Er stellt insbesondere sicher, dass eine Rechtsgrundlage für die Befragung der von ihm benannten Personen besteht (bei Beschäftigten Art. 88 DSGVO in Verbindung mit § 26 BDSG, im Übrigen etwa Art. 6 Abs. 1 lit. b oder f DSGVO), informiert die befragten Personen vor dem ersten Interview nach Art. 13 und 14 DSGVO über Zweck, Ablauf und Datenverarbeitung einschließlich des Einsatzes von KI-Modellen und der in Anlage 2 genannten Empfänger, und beachtet die im Unternehmen geltenden Mitbestimmungs- und Beteiligungsrechte (insbesondere § 87 Abs. 1 Nr. 6 BetrVG, soweit ein Betriebsrat besteht). Die Plattform zeigt jeder befragten Person vor dem ersten Interview einen Hinweis auf Zweck, Ablauf und KI-Einsatz und holt ihre Zustimmung zur Teilnahme ein; dieser Hinweis ersetzt die Information durch den Verantwortlichen nicht.
2. Der Verantwortliche entscheidet allein, welche Personen er zur Befragung einlädt, welche Inhalte in die Plattform eingebracht werden und welche Aussagen er freigibt, ändert oder zurücknimmt. Er stellt sicher, dass er hierzu berechtigt ist.
3. Weisungen erteilt der Verantwortliche grundsätzlich über die Funktionen des Kundenbereichs (§ 10). Er benennt dem Auftragsverarbeiter durch die Vergabe der Administratorrolle im Kundenbereich die Personen, die für ihn weisungsberechtigt sind, hält deren Kontaktdaten aktuell und sorgt dafür, dass seine Nutzer ihre Zugangsdaten vor dem Zugriff Unberechtigter schützen.
4. Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt, insbesondere Anzeichen für einen unberechtigten Zugriff auf sein Kundenkonto.
5. Beabsichtigt der Verantwortliche, besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) oder Daten mit erhöhtem Schutzbedarf verarbeiten zu lassen, hat er dies vorher mit dem Auftragsverarbeiter abzustimmen; hierfür ist eine gesonderte Vereinbarung erforderlich.
6. Der Verantwortliche ist dafür verantwortlich, seine Daten vor dem Ende des Hauptvertrags und vor dem Zurücksetzen seines Arbeitsbereichs über die Exportfunktionen der Plattform zu sichern (§ 11).
7. Der Verantwortliche verwendet die Plattform und ihre Ausgaben nur im Rahmen der Zweckbestimmung (§ 2 Abs. 1). Er nutzt sie insbesondere nicht, um Leistung oder Verhalten einzelner Beschäftigter zu bewerten, um Personalentscheidungen (etwa über Einstellung, Beförderung, Arbeitsbedingungen oder Kündigung) vorzubereiten oder zu treffen oder um einzelnen Personen auf Grundlage der Ausgaben Aufgaben zuzuweisen. Eine davon abweichende Nutzung kann den Verantwortlichen zum Anbieter oder Betreiber eines Hochrisiko-KI-Systems im Sinne der Verordnung (EU) 2024/1689 machen (Art. 25 Abs. 1 lit. c KI-VO); die daraus folgenden Pflichten treffen dann den Verantwortlichen.

§ 5 Technische und organisatorische Maßnahmen

1. Der Auftragsverarbeiter hat unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der betroffenen Personen die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen getroffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 32 DSGVO).
2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie weiterentwickeln und durch gleichwertige oder bessere Maßnahmen ersetzen, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er in Anlage 1; die jeweils aktuelle Fassung ist an dieser Stelle abrufbar.
3. Der Auftragsverarbeiter überprüft, bewertet und evaluiert die Wirksamkeit der Maßnahmen regelmäßig (Art. 32 Abs. 1 lit. d DSGVO) und stellt dem Verantwortlichen auf Anfrage das Ergebnis in zusammengefasster Form zur Verfügung.

§ 6 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO), die in Anlage 2 genannten Unterauftragsverarbeiter für die dort beschriebenen Leistungen einzusetzen.
2. Unterauftragsverarbeiter im Sinne dieses Vertrags sind Dienstleister, deren Leistung sich unmittelbar auf die Verarbeitung personenbezogener Daten des Verantwortlichen bezieht. Nebenleistungen, die der Auftragsverarbeiter zur Unterstützung seiner Geschäftstätigkeit in Anspruch nimmt (etwa Telekommunikationsdienste, Wartung und Nutzerbetreuung ohne Datenzugriff, Reinigung, Wirtschafts- und Steuerprüfung), sind keine Unterauftragsverarbeitung; der Auftragsverarbeiter stellt auch insoweit angemessene Vertraulichkeits- und Sicherheitsvorkehrungen sicher.
3. Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der ihm im Wesentlichen dieselben Datenschutzpflichten auferlegt, wie sie in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO), und überzeugt sich vor dem Einsatz von dessen technischen und organisatorischen Maßnahmen. Die Anbieter der KI-Modelle werden nicht vom Auftragsverarbeiter unmittelbar, sondern vom KI-Gateway (Anlage 2 Nummer 3) als dessen Unterauftragsverarbeiter eingesetzt; der Auftragsverarbeiter stellt durch seinen Vertrag zur Auftragsverarbeitung mit dem Gateway sicher, dass die Pflichten dieses Vertrags in der Kette weitergegeben werden, und wählt in der Konfiguration des Gateways ausschließlich Modelle, die in der Europäischen Union betrieben werden. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Erfüllung der Pflichten des Unterauftragsverarbeiters wie für eigenes Verhalten.
4. Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, informiert er die Organisations-Administratoren des Verantwortlichen in Textform an die im Kundenkonto hinterlegten E-Mail-Adressen, und zwar mindestens 30 Tage vor dem beabsichtigten Einsatz, unter Angabe von Name, Sitz, Leistung und gegebenenfalls Drittlandbezug samt Übermittlungsgrundlage. Der Verantwortliche kann der Änderung innerhalb von 30 Tagen nach Zugang der Mitteilung aus wichtigem datenschutzrechtlichen Grund in Textform widersprechen. Widerspricht er nicht, gilt die Änderung als genehmigt; hierauf weist der Auftragsverarbeiter in der Mitteilung hin. Die Anlage 2 wird entsprechend fortgeschrieben. Für Änderungen bei den Unterauftragsverarbeitern des KI-Gateways (Anlage 2 Nummer 4), die das Gateway selbst vornimmt, leitet der Auftragsverarbeiter dessen Ankündigung unverzüglich, spätestens zwei Werktage nach Eingang, weiter; die Widerspruchsfrist beträgt in diesem Fall zehn Tage ab Zugang.
5. Widerspricht der Verantwortliche, bemühen sich die Parteien um eine einvernehmliche Lösung, etwa den Verzicht auf den Unterauftragsverarbeiter für den Verantwortlichen oder eine Änderung des Leistungsumfangs. Ist eine solche Lösung für den Auftragsverarbeiter nicht mit zumutbarem Aufwand möglich, kann jede Partei den Hauptvertrag mit Wirkung zum Zeitpunkt des beabsichtigten Einsatzes in Textform kündigen; bereits bezahlte, noch nicht verbrauchte Leistungen erstattet der Anbieter in diesem Fall anteilig (§ 8 Abs. 4 AGB entsprechend). Bis zur Wirksamkeit der Kündigung setzt der Auftragsverarbeiter den neuen Unterauftragsverarbeiter für den Verantwortlichen nicht ein. Ist bei einem Unterauftragsverarbeiter des KI-Gateways ein Verzicht für den Verantwortlichen nicht möglich, kann der Verantwortliche den Hauptvertrag außerordentlich mit sofortiger Wirkung kündigen; Satz 3 gilt insoweit nicht.
6. Eine Verarbeitung außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums (Drittland) ist nur zulässig, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind: entweder ein Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO, etwa die Zertifizierung des Empfängers nach dem EU-US Data Privacy Framework) oder geeignete Garantien, insbesondere die von der Kommission erlassenen Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), ergänzt um zusätzliche Maßnahmen, soweit sie nach einer Bewertung des Empfängerlands erforderlich sind. Die jeweilige Grundlage ist in Anlage 2 angegeben.
7. Die KI-Modelle, mit denen die Plattform Interviews führt, Anhänge und Unterlagen liest, Inhalte auswertet, Einladungen formuliert und Fragen an den Wissensbestand beantwortet, betreibt der Auftragsverarbeiter nicht selbst, sondern ruft sie über das in Anlage 2 Nummer 3 genannte KI-Gateway mit Sitz in Deutschland und Verarbeitung in der Europäischen Union auf. Der Auftragsverarbeiter stellt durch seinen Vertrag zur Auftragsverarbeitung mit dem Gateway sicher, dass Gateway und Modellanbieter die übermittelten Inhalte ausschließlich zur Beantwortung der jeweiligen Anfrage verarbeiten, nicht zum Training oder zur Verbesserung ihrer Modelle verwenden und nicht über die Abwicklung der Anfrage hinaus speichern (Zero-Data-Retention gegenüber den Modellanbietern). Übermittelt werden nur die für die jeweilige Anfrage erforderlichen Inhalte: Interview-Text, im Interview angehängte Bilder und PDF-Dokumente sowie vom Verantwortlichen hochgeladene Unterlagen zur Lesung, bereits abgeleitete Aussagen als Kontext, Fragen der Nutzer des Kundenbereichs an den Wissensbestand mit den dazu gefundenen Belegen sowie Name, Rolle und Bereich der befragten Person und die von ihr genannten Namen, soweit sie für die Gesprächsführung, die Formulierung von Einladungen und die Zuordnung der Aussagen erforderlich sind. Nicht übermittelt werden Zugangsdaten, Rechnungsdaten und Daten anderer Kunden. E-Mail-Adressen übermittelt die Plattform nicht gezielt; eine Anfrage kann sie aber enthalten, wenn sie in einer Antwort der befragten Person (etwa auf die Frage nach Ansprechpartnern) oder in einer hochgeladenen Unterlage stehen oder wenn zu einer befragten Person kein Name hinterlegt ist und die Plattform sie deshalb mit ihrer E-Mail-Adresse bezeichnet. Eine Spracheingabe bietet die Plattform nur an, wenn die Umwandlung von Sprachaufnahmen in Text über das KI-Gateway eingerichtet ist (Anlage 2 Nummer 4). Dann gehen die Sprachaufnahme und die Anweisung, sie wörtlich in Text umzuwandeln, an das Gateway; die Aufnahme wird dabei nicht gespeichert. Ist die Umwandlung nicht eingerichtet, steht die Spracheingabe nicht zur Verfügung; eine Spracherkennung durch Dienste des Browser-Herstellers findet nicht statt.

§ 7 Rechte der betroffenen Personen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Rechte betroffener Personen nach Art. 12 bis 22 DSGVO nachzukommen (Art. 28 Abs. 3 lit. e DSGVO).
2. Die Plattform stellt dem Verantwortlichen hierfür insbesondere folgende Funktionen bereit: den Export der Erhebungsdaten des Arbeitsbereichs in einem gängigen, maschinenlesbaren Format, aus dem die Daten einer einzelnen Person entnommen werden können (Auskunft, Datenübertragbarkeit; angehängte Dateien enthält der Export nur als Verzeichnis, § 11 Abs. 1); die Berichtigung von Aussagen durch Ablösung mit einer neuen Fassung sowie die Rücknahme fehlerhafter Aussagen (Berichtigung); das Beenden der Befragung einzelner Personen durch den Verantwortlichen; das Zurücksetzen der Erhebung oder des gesamten Arbeitsbereichs (Löschung, § 11 Abs. 1); die Ablehnung oder der Abbruch der Befragung durch die befragte Person selbst, wonach keine weiteren Interviews mit ihr geführt und keine Einladungen oder Erinnerungen mehr an sie versandt werden (Widerruf, Widerspruch). Den Widerruf erklärt die Person über den Link, den jede Einladung und jede Erinnerung enthält, oder im Interview; die Nennung ihres Namens als Quelle gegenüber Dritten ist ein eigenes Häkchen und einzeln widerrufbar. Beruht die Befragung auf einer Einwilligung, löscht der Widerruf die Daten der Person im nachfolgend beschriebenen Umfang. Die Daten einer einzelnen befragten Person löschen Administratoren des Verantwortlichen im Kundenbereich selbst (Personen-Ansicht, Aktion „Person löschen“), auch nach einem Widerruf; auf Weisung des Verantwortlichen nach § 10 Abs. 2 führt der Auftragsverarbeiter die Löschung innerhalb von 14 Tagen aus. Gelöscht oder überschrieben werden die Stammdaten der Person (Name, E-Mail-Adresse, Rolle, Bereich, Sprache), ihr Einladungsverlauf und ihre Zugangslinks, die Fragen und Antworten ihrer Interviews, ihre angehängten Dateien einschließlich der Dateien im Dateispeicher, die aus ihren Interviews abgeleiteten und die sie betreffenden Aussagen, ihre Rückmeldungen zum Gespräch, die Einträge des Verwerfungsprotokolls zu ihren Gesprächen sowie ihre Zuordnungen zu Rollen, Werkzeugkenntnissen, Prozessschritten, Übergaben und im Organigramm. Nennungen ihres Namens in den übrigen Inhalten des Arbeitsbereichs (Aussagen und Antworten anderer Personen, Dokumentation einschließlich früherer Fassungen, Erkenntnisse, Quellverweise, Erhebungsauftrag, Protokoll des Vertraulichkeitsschutzes) werden geschwärzt. Als Nachweis bleibt ein Datensatz ohne Namen mit einer zufälligen Kennung und den Zeitpunkten von Zustimmung und Widerruf; hat die Person ihre Zustimmung widerrufen, bleibt zusätzlich ihre E-Mail-Adresse als Sperrvermerk, damit sie nicht erneut eingeladen wird. Die Löschung wird mit Zeitpunkt und Umfang ohne Inhalte protokolliert und dem Verantwortlichen auf Anfrage in Textform bestätigt.
3. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er den Antrag unverzüglich an den Verantwortlichen weiter. Er beantwortet den Antrag nicht selbst, es sei denn, der Verantwortliche weist ihn dazu an oder der Auftragsverarbeiter ist hierzu gesetzlich verpflichtet. Der Auftragsverarbeiter berichtigt, löscht oder schränkt die Verarbeitung von Daten des Verantwortlichen im Übrigen nur auf dessen Weisung ein.
4. Soweit die Unterstützung über die Funktionen der Plattform und über Auskünfte hinausgeht, erbringt der Auftragsverarbeiter sie im Rahmen des Zumutbaren; er kann hierfür eine angemessene, vorher vereinbarte Vergütung verlangen.

§ 8 Meldepflichten

1. Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO), die Daten des Verantwortlichen betrifft, unverzüglich, spätestens jedoch 48 Stunden, nachdem er von ihr Kenntnis erlangt hat; Kenntnis eines Unterauftragsverarbeiters, die dem Auftragsverarbeiter mitgeteilt wird, steht seiner eigenen gleich. Die Meldung erfolgt in Textform an die Organisations-Administratoren des Verantwortlichen an die im Kundenkonto hinterlegten E-Mail-Adressen. Sie darf zunächst vorläufig sein; der Auftragsverarbeiter reicht die in Art. 33 Abs. 3 DSGVO genannten Angaben (Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen, Kontaktstelle) unverzüglich nach, sobald sie ihm vorliegen.
2. Der Auftragsverarbeiter ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten, zur Eindämmung und zur Aufklärung des Vorfalls, dokumentiert den Vorfall einschließlich seiner Auswirkungen und Abhilfemaßnahmen und unterstützt den Verantwortlichen bei der Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und bei der Benachrichtigung der betroffenen Personen (Art. 34 DSGVO). Die Entscheidung über Meldung und Benachrichtigung trifft der Verantwortliche.
3. Der Auftragsverarbeiter informiert den Verantwortlichen darüber hinaus unverzüglich über Anfragen und Kontrollhandlungen von Aufsichtsbehörden sowie über Ersuchen von Strafverfolgungs- oder sonstigen Behörden, soweit sie Daten des Verantwortlichen betreffen und eine Mitteilung rechtlich zulässig ist; über erhebliche Störungen des Betriebs, die die Verfügbarkeit oder Integrität der Daten beeinträchtigen; sowie über Verstöße gegen datenschutzrechtliche Vorschriften oder gegen die Bestimmungen dieses Vertrags, die ihm oder den bei ihm beschäftigten Personen unterlaufen sind.

§ 9 Kontrollrechte und Nachweise

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO und in diesem Vertrag niedergelegten Pflichten erforderlich sind (Art. 28 Abs. 3 lit. h DSGVO). Hierzu gehören insbesondere die Beschreibung der technischen und organisatorischen Maßnahmen (Anlage 1), die Liste der Unterauftragsverarbeiter (Anlage 2), Auskünfte über Löschvorgänge aus dem Protokoll der Plattform sowie vorhandene Prüfberichte, Zertifikate oder Bestätigungen unabhängiger Stellen der Unterauftragsverarbeiter. Der Auftragsverarbeiter selbst ist nicht zertifiziert; Prüfberichte unabhängiger Stellen über ihn liegen derzeit nicht vor.
2. Der Verantwortliche ist berechtigt, die Einhaltung der Pflichten des Auftragsverarbeiters zu überprüfen. Die Überprüfung erfolgt vorrangig durch die Einholung von Auskünften, durch Selbstauskünfte des Auftragsverarbeiters anhand eines angemessenen Fragenkatalogs und durch Vorlage der in Absatz 1 genannten Nachweise.
3. Reichen diese Nachweise im Einzelfall nicht aus oder besteht ein konkreter Anlass (etwa eine Verletzung des Schutzes personenbezogener Daten oder eine Anordnung der Aufsichtsbehörde), kann der Verantwortliche selbst oder durch einen zur Verschwiegenheit verpflichteten, nicht im Wettbewerb mit dem Auftragsverarbeiter stehenden Prüfer eine Inspektion beim Auftragsverarbeiter durchführen: nach vorheriger Ankündigung in Textform mit einer Frist von in der Regel 14 Tagen, während der üblichen Geschäftszeiten, ohne unverhältnismäßige Störung des Betriebs und ohne konkreten Anlass höchstens einmal je Kalenderjahr. Rechenzentren der Unterauftragsverarbeiter werden nicht besichtigt; an ihre Stelle treten deren Zertifikate und Prüfberichte. Für Inspektionen ohne konkreten Anlass, die über eine je Kalenderjahr hinausgehen, kann der Auftragsverarbeiter eine angemessene Vergütung seines Aufwands verlangen.
4. Der Auftragsverarbeiter duldet Kontrollen der zuständigen Aufsichtsbehörde, die den Verantwortlichen betreffen, und wirkt an ihnen mit.

§ 10 Weisungen

1. Weisungen erteilt der Verantwortliche vorrangig über die Funktionen des Kundenbereichs: das Anlegen, Importieren und Einladen von Personen, das Hochladen von Unterlagen, das Starten, Erinnern und Abbrechen von Interviews, das Freigeben, Ändern und Zurücknehmen von Aussagen, das Beenden der Befragung einzelner Personen, das Anlegen und Widerrufen von Nur-Lese-Links, den Export, das Zurücksetzen der Erhebung oder des gesamten Arbeitsbereichs sowie die Einstellungen des Arbeitsbereichs. Diese Handlungen sind dokumentierte Weisungen im Sinne des Art. 28 Abs. 3 lit. a DSGVO; der Auftragsverarbeiter protokolliert die in Anlage 1 Nummer 5 genannten unter ihnen mit Zeitpunkt und handelndem Nutzerkonto.
2. Weitere Weisungen erteilt der Verantwortliche in Textform an info@wissa.ai. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Weisungsberechtigt sind die Personen, denen der Verantwortliche im Kundenbereich die Administratorrolle zugewiesen hat. Der Auftragsverarbeiter dokumentiert Weisungen, die außerhalb der Plattform erteilt werden.
3. Weisungen, die über den vertraglich vereinbarten Funktionsumfang der Plattform hinausgehen, gelten als Antrag auf Leistungsänderung. Der Auftragsverarbeiter setzt sie um, soweit ihm dies zumutbar ist, und kann hierfür eine angemessene, vorher vereinbarte Vergütung verlangen.
4. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er ist berechtigt, die Ausführung der Weisung auszusetzen, bis der Verantwortliche sie bestätigt oder ändert.

§ 11 Löschung und Rückgabe

1. Während der Laufzeit kann der Verantwortliche seine Daten jederzeit selbst über den Kundenbereich exportieren und die Erhebung oder den gesamten Arbeitsbereich zurücksetzen. Der Export umfasst Personen samt Einladungs- und Zustimmungsstand, Interviews, Aussagen und Dokumentation in einem gängigen, maschinenlesbaren Format; angehängte Dateien und hochgeladene Unterlagen enthält er nur als Verzeichnis, die Dateien selbst übergibt der Auftragsverarbeiter auf Weisung nach § 10 Abs. 2. Das Zurücksetzen der Erhebung löscht Interview-Inhalte, Aussagen, Dokumentation, angehängte Dateien und hochgeladene Unterlagen; das Zurücksetzen des gesamten Arbeitsbereichs löscht zusätzlich die Stammdaten der befragten Personen samt Einladungs- und Zustimmungsstand, jeweils unwiderruflich. Die Plattform bietet vor dem Zurücksetzen den Export an. Bei Kunden, die auf Rechnung abgerechnet werden, löst der Auftragsverarbeiter das Zurücksetzen des gesamten Arbeitsbereichs auf Weisung nach § 10 Abs. 2 innerhalb von 14 Tagen aus. Die Löschung einzelner Personen erfolgt auf Weisung nach § 7 Abs. 2. Welche Daten das Zurücksetzen nicht erfasst, regelt Absatz 4.
2. Nach Beendigung des Hauptvertrags hält der Auftragsverarbeiter die Daten des Verantwortlichen noch 30 Tage zum Export bereit (§ 8 Abs. 6 AGB). In diesem Zeitraum kann der Verantwortliche die Daten durch Export zurückholen und die Löschung jederzeit durch Zurücksetzen des Arbeitsbereichs auslösen, bei Abrechnung auf Rechnung auf Weisung nach Absatz 1. Mit Ablauf der Frist löscht der Auftragsverarbeiter automatisch alle personenbezogenen Daten des Verantwortlichen in sämtlichen Arbeitsbereichen der Organisation einschließlich der Stammdaten der befragten Personen, der Interview-Inhalte, der Dokumentation und der angehängten Dateien, soweit Absatz 4 nichts anderes bestimmt. Die Löschung wird mit Zeitpunkt und Umfang inhaltsfrei protokolliert; der Verantwortliche erhält eine Bestätigung per E-Mail an die Organisations-Administratoren, auf Anfrage auch in anderer Textform.
3. Daten in Sicherungskopien werden mit dem turnusmäßigen Löschen der Sicherungen gelöscht, spätestens 30 Tage nach der Löschung im Produktivsystem. Bis dahin werden Sicherungskopien nicht dazu verwendet, gelöschte Daten einzelner Personen wiederherzustellen; muss ein System aus einer Sicherung wiederhergestellt werden, führt der Auftragsverarbeiter zwischenzeitlich erfolgte Löschungen erneut aus. Auszüge in Serverprotokollen werden spätestens 14 Tage nach ihrer Entstehung gelöscht (Anlage 1 Nummer 5).
4. Von der Löschung nach den Absätzen 1 und 2 ausgenommen sind:
   1. Daten, die der Auftragsverarbeiter aufgrund gesetzlicher Aufbewahrungspflichten weiter speichern muss (insbesondere Rechnungs- und Vertragsdaten);
   2. das Protokoll nach Anlage 1 Nummer 5 einschließlich des inhaltsfreien Protokolls der Löschung (Zeitpunkt, Auslöser, Umfang) sowie die Nutzerkonten des Kundenbereichs; für beide gilt die Datenschutzerklärung (§ 2 Abs. 3 lit. h). Nach der Löschung eines Arbeitsbereichs oder einer Person entfernt die Plattform aus den zugehörigen Protokolleinträgen Wortlaute und Namen und ersetzt Kennungen von Personen und Sitzungen durch Hashwerte;
   3. nur beim Zurücksetzen der Erhebung: das Protokoll des Vertraulichkeitsschutzes (Zeitpunkt, Prüfstufe und Grund jeder Frage, die die Plattform vor dem Versand verworfen hat, weil sie Namen, Kontaktdaten oder Inhalte aus anderen Gesprächen enthalten hätte). Der Grund kann den erkannten Namen, die erkannte E-Mail-Adresse oder das erkannte Textfragment im Wortlaut enthalten; die verworfene Frage selbst wird gelöscht. Das Protokoll weist gegenüber befragten Personen und Betriebsrat nach, dass der Schutz gegriffen hat. Beim Zurücksetzen des gesamten Arbeitsbereichs und bei der Löschung nach Absatz 2 wird es vollständig gelöscht;
   4. nur beim Zurücksetzen nach Absatz 1: der Erhebungsauftrag des Arbeitsbereichs mit seinen Fassungen, die auch Formulierungen aus einer Antwort der befragten Person im ersten Gespräch enthalten können, sowie die Liste der für Einladungen freigegebenen E-Mail-Adressen und Domains. Bei der Löschung nach Absatz 2 werden sie vollständig gelöscht.
   Diese Daten werden in der Verarbeitung eingeschränkt. Die Daten nach lit. a werden nach Ablauf der jeweiligen gesetzlichen Frist gelöscht, die Einträge des Protokolls nach lit. b automatisch 360 Tage nach ihrer Entstehung, die Nutzerkonten nach lit. b nach Maßgabe der Datenschutzerklärung; die Daten nach lit. d löscht der Auftragsverarbeiter mit der Löschung nach Absatz 2, während der Laufzeit auf Weisung des Verantwortlichen nach § 10 Abs. 2 innerhalb von 14 Tagen. Einen Nachweis der Zustimmungen der befragten Personen bewahrt der Auftragsverarbeiter über das Zurücksetzen des gesamten Arbeitsbereichs hinaus nicht auf; der Verantwortliche sichert ihn bei Bedarf vorher über den Export (Absatz 1).
5. Der Auftragsverarbeiter dokumentiert jede Löschung ohne Inhalte der gelöschten Daten, Löschungen über die Plattform in deren Protokoll, Löschungen auf Weisung in Textform, und stellt dem Verantwortlichen den Nachweis auf Anfrage zur Verfügung.

§ 12 Haftung und Schlussbestimmungen

1. Für die Haftung der Parteien gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander haftet jede Partei für den Schaden, den sie durch eine ihr zurechenbare Verletzung dieses Vertrags oder der Datenschutzvorschriften verursacht hat; die Haftungsregelungen des Hauptvertrags (§ 13 AGB) gelten auch für Ansprüche aus diesem Vertrag, soweit zwingendes Recht nicht entgegensteht. Die gesamtschuldnerische Haftung gegenüber betroffenen Personen bleibt unberührt; im Innenverhältnis stellt die Partei, die den Schaden zu verantworten hat, die andere von Ansprüchen betroffener Personen frei. Geldbußen trägt jede Partei für die ihr zurechenbaren Verstöße selbst; ein Rückgriff ist insoweit ausgeschlossen, als er gesetzlich nicht zulässig ist.
2. Für die Vertraulichkeit der im Rahmen dieses Vertrags erlangten Informationen gilt § 10 Abs. 4 AGB entsprechend.
3. Wurde der Verantwortliche von einem Vertriebspartner des Anbieters (§ 10 Abs. 3 AGB) auf die Plattform hingewiesen, bleibt der Anbieter alleiniger Auftragsverarbeiter. Der Vertriebspartner erhält keinen Zugriff auf Daten der befragten Personen; er erfährt nur, dass ein Kunde über seinen Empfehlungslink registriert wurde, welche Pakete gebucht wurden und welche Provision daraus folgt. Begleitet der Vertriebspartner die Wissenserhebung auf Wunsch des Verantwortlichen inhaltlich (etwa als Berater mit Zugang zum Kundenbereich), geschieht dies in einem eigenen Vertragsverhältnis zwischen dem Verantwortlichen und dem Vertriebspartner; der Verantwortliche entscheidet durch die Rollenvergabe im Kundenbereich, welche Zugriffe er einräumt. Führt ein Vertriebspartner in seinem eigenen Kundenkonto ein Projekt für einen Endkunden (Partner-Projekt), ist der Vertriebspartner Kunde und Verantwortlicher im Sinne dieses Vertrags; er hat in diesem Projekt vollen Zugriff auf die Daten der befragten Personen. Handelt er dabei im Auftrag des Endkunden, ist er dessen Auftragsverarbeiter und der Anbieter sein Unterauftragsverarbeiter; der Vertriebspartner sichert zu, dass mit dem Endkunden ein Vertrag nach Art. 28 DSGVO besteht, der den Einsatz des Anbieters als Unterauftragsverarbeiter erlaubt und mit diesem Vertrag vereinbar ist.
4. Der Auftragsverarbeiter kann diesen Vertrag und seine Anlagen mit Wirkung für die Zukunft anpassen, soweit dies zur Anpassung an eine geänderte Rechtslage oder Rechtsprechung, an technische Entwicklungen oder an Änderungen des Leistungsangebots erforderlich ist und das vereinbarte Schutzniveau nicht unterschritten wird. Für das Verfahren gilt § 14 Abs. 2 AGB (Ankündigung in Textform sechs Wochen vor Wirksamwerden, Widerspruchsrecht); für Änderungen der Anlage 2 gilt vorrangig § 6 Abs. 4. Der Versionsstand der vom Verantwortlichen bestätigten Fassung bleibt am Kundenkonto protokolliert; frühere Fassungen stellt der Auftragsverarbeiter auf Anfrage in Textform zur Verfügung.
5. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist nach Maßgabe von § 14 Abs. 3 AGB der Sitz des Anbieters in Rohrdorf.
6. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform; dies gilt auch für die Aufhebung dieses Textformerfordernisses. Individuelle Vereinbarungen zwischen den Parteien gehen vor.
7. Sollten einzelne Bestimmungen dieses Vertrags ganz oder teilweise unwirksam sein oder den Anforderungen des Art. 28 DSGVO nicht genügen, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung; die Parteien werden sie durch eine wirksame Bestimmung ersetzen, die dem Zweck des Art. 28 DSGVO am nächsten kommt.

Anlage 1 – Technische und organisatorische Maßnahmen

Stand der Maßnahmen zum unten angegebenen Datum. Die Plattform wird auf Servern der Hetzner Online GmbH in der Bundesrepublik Deutschland betrieben.

1. Zutritts- und Zugangskontrolle

• Betrieb in Rechenzentren in Deutschland mit Zutrittskontrolle, Videoüberwachung und Sicherheitsdienst des Hosting-Anbieters; kein physischer Zugriff durch den Auftragsverarbeiter, Administration ausschließlich über verschlüsselte Verbindungen mit Schlüssel-Authentifizierung.
• Passwörter der Nutzer des Kundenbereichs werden ausschließlich als kryptografischer Hash nach dem Verfahren Argon2id gespeichert; Anmeldeversuche sind je Konto und je IP-Adresse begrenzt.
• Befragte Personen benötigen kein Konto: Sie erhalten personalisierte Einmal-Links (Magic-Links), die nur einmal einlösbar und zeitlich befristet sind (72 Stunden) und danach entwertet werden; anschließende Sitzungen sind zeitlich begrenzt. Links zum Zurücksetzen des Passworts verfallen nach 60 Minuten.

2. Zugriffskontrolle

• Rollenkonzept im Kundenbereich (Organisations-Administrator, Koordinator, befragte Person); befragte Personen sehen ausschließlich ihre eigenen Beiträge und Anhänge, Koordinatoren nur den Arbeitsbereich ihrer Organisation.
• Zugriff des Betreibers auf Kundendaten nur durch benannte Personen mit Betreiberrolle und nur zu Support- und Betriebszwecken. Eingriffe über den Betreiberbereich in Freischaltung, Abrechnung und Vertragsstatus eines Kunden (etwa das Anpassen einer Freischaltung oder das Sperren eines Kontos) und dessen Abrufe von Kunden- und Kontodaten werden mit Zeitpunkt und handelndem Konto protokolliert. Greift eine Person mit Betreiberrolle auf einen Arbeitsbereich zu, dem sie nicht als Mitglied angehört, wird das mit Zeitpunkt, Konto, Arbeitsbereich und aufgerufener Funktion protokolliert (je Konto und Arbeitsbereich mindestens der erste Zugriff jeder Stunde); für ihre Handlungen dort gilt zusätzlich die Protokollierung des Kundenbereichs nach Nummer 5.
• Die Nur-Lese-Links für das Übergabe-Paket und das Betriebsrat-Paket sind die einzigen Ausgaben ohne Anmeldung. Sie sind mit einem zufälligen Token geschützt, von dem nur ein Hashwert gespeichert wird, befristet und vom Verantwortlichen jederzeit widerrufbar. Das Übergabe-Paket enthält die Dokumentation sowie Name, Rolle und Bereich der befragten Personen mit abgeschlossenem Gespräch, aber keine Kontaktdaten und keine Rohantworten. Das Betriebsrat-Paket enthält den Gesprächsleitfaden, die Fassungen des Erhebungsauftrags und eine Zählung der vom Vertraulichkeitsschutz abgefangenen Fragen ohne Personenbezug. Gespeichert werden Bezeichnung des Empfängers, Zahl und Zeitpunkt der Abrufe. Der Verantwortliche entscheidet, ob und an wen er einen Link weitergibt.

3. Trennungskontrolle

• Mandantentrennung in der Anwendung: Kundendaten tragen die Kennung ihres Arbeitsbereichs; vor jeder Anfrage prüft die Anwendung serverseitig, ob das angemeldete Konto der Organisation oder dem Arbeitsbereich angehört. Ausgenommen ist die Betreiberrolle nach Nummer 2.
• Trennung von Produktiv-, Test- und Entwicklungsumgebung; in Test- und Entwicklungsumgebungen werden keine Produktivdaten verwendet.
• Stammdaten der befragten Personen (Name, E-Mail-Adresse) werden getrennt von den Aussagen geführt; Aussagen verweisen nur über eine interne Kennung auf die Person. Wird eine Person gelöscht, werden ihre Aussagen, Interview-Inhalte und angehängten Dateien mitgelöscht (§ 7 Abs. 2).

4. Übertragungs- und Weitergabekontrolle

• Transportverschlüsselung (TLS) für alle Verbindungen über öffentliche Netze: Browser zur Plattform (über das Netz des in Anlage 2 genannten Edge-Dienstleisters bis zum Server), Aufrufe des KI-Gateways und E-Mail-Versand (STARTTLS verpflichtend). Die Anwendungsdienste untereinander (Anwendung, Datenbank, Warteschlange) kommunizieren ausschließlich in einem internen, von außen nicht erreichbaren Container-Netz auf demselben Server.
• An Unterauftragsverarbeiter werden nur die für die jeweilige Leistung erforderlichen Daten übermittelt (§ 6 Abs. 7); Zahlungsdaten werden nicht auf der Plattform gespeichert.
• Exporte stehen nur angemeldeten Nutzern mit entsprechender Rolle zur Verfügung. Den vollständigen Export eines Arbeitsbereichs erhalten nur Nutzer mit Administratorrolle in diesem Arbeitsbereich; er wird protokolliert (Nummer 5).

5. Eingabekontrolle und Protokollierung

• Sicherheitsrelevante Kontoaktionen werden mit Zeitpunkt und handelndem Nutzerkonto (Kennung und E-Mail-Adresse) in einem Audit-Protokoll festgehalten: Änderungen an Mitgliedschaften der Organisation durch deren Administratoren, Einladungen von Nutzern des Kundenbereichs, das erstmalige Setzen eines Passworts, Änderungen der E-Mail-Adresse, Abmeldungen, Änderungen an Einstellungen und Erhebungsauftrag des Arbeitsbereichs, das Zurücksetzen, der vollständige Export des Arbeitsbereichs, Freigaben und Änderungen von Buchungen, Abrechnung und Vertragsstatus sowie Eingriffe über den Betreiberbereich (Nummer 2). Einladungen befragter Personen stehen in deren Einladungsverlauf (§ 2 Abs. 3 lit. e) und werden mit ihm gelöscht. Das Protokoll enthält keine Interview-Inhalte; bei Änderungen des Erhebungsauftrags hält es Fassungsnummer, Zeitpunkt und Art der Änderung fest, nicht den Wortlaut und keinen Bezug zu einer befragten Person. Es überlebt das Zurücksetzen des Arbeitsbereichs (§ 11 Abs. 4); jeder Eintrag wird 360 Tage nach seiner Entstehung automatisch gelöscht. Der Abschluss von AGB und AVV wird mit Zeitpunkt, Nutzerkonto und Versionsstand am Kundenkonto gespeichert. Erfolgreiche Anmeldungen werden nicht im Audit-Protokoll festgehalten; fehlgeschlagene Anmeldeversuche fließen nur in die zeitlich begrenzte Sperre nach Nummer 1 ein.
• Aussagen der Dokumentation werden versioniert: Eine Änderung erzeugt eine neue Fassung, eine Rücknahme markiert die alte Fassung als zurückgenommen; Herkunft und Verlauf jeder Aussage bleiben nachvollziehbar.
• Serverprotokolle werden nur zur Fehleranalyse und Abwehr von Angriffen geführt. Sie enthalten IP-Adresse, Browserkennung, Zeitpunkt und aufgerufene Adresse jedes Aufrufs und können darüber hinaus E-Mail-Adressen von Empfängern, Namen sowie kurze Auszüge aus Antworten und Aussagen enthalten. Sie liegen ausschließlich auf dem Server der Plattform, werden rollierend überschrieben und spätestens 14 Tage nach ihrer Entstehung gelöscht. In den Zugriffsprotokollen werden Zugangs-Tokens aus Einladungs-, Zustimmungs- und Übergabelinks maskiert: Parameter einer Adresse werden nicht protokolliert, Tokens im Pfad unkenntlich gemacht und die Herkunftsadresse (Referer) nur als Domain festgehalten. Fehlerprotokolle können bei Störungen die vollständige aufgerufene Adresse einschließlich eines Tokens enthalten; für sie gilt dieselbe Höchstfrist.

6. Verfügbarkeitskontrolle

• Tägliche, rollierende Sicherung der Datenbank, der angehängten Dateien und der Rechnungsbelege auf vom Produktivsystem getrennten Speicher in Deutschland; die Sicherungen werden vor dem Verlassen des Servers verschlüsselt, der Schlüssel zum Entschlüsseln liegt nicht auf dem Server. Sicherungen werden nach 30 Tagen gelöscht (§ 11 Abs. 3). Die Wiederherstellung aus der Sicherung ist dokumentiert und wird erprobt.
• Verarbeitungsaufträge (Auswertung, Versand) laufen über eine Warteschlange mit automatischem Wiederanlauf; Überwachung der Dienste mit Alarmierung des Betreibers.
• Regelmäßige Sicherheitsaktualisierungen der Systeme; Redundanz und Brandschutz in den Rechenzentren des Hosting-Anbieters.

7. Datenminimierung, Löschung und Belastbarkeit

• Löschregeln mit definierten Auslösern: Zurücksetzen der Erhebung oder des Arbeitsbereichs durch den Verantwortlichen, Löschung einzelner Personen durch den Verantwortlichen im Kundenbereich, nach Widerruf der Einwilligung oder auf Weisung durch den Auftragsverarbeiter (§ 7 Abs. 2), automatische Löschung des Rohtranskripts 180 Tage nach Abschluss der Sitzung (§ 2 Abs. 4) und der Freitexte von Rückmeldungen nach zwölf Monaten (§ 3 Abs. 2), Löschung spätestens 30 Tage nach Vertragsende; Löschungen über die Plattform werden inhaltsfrei protokolliert, Löschungen auf Weisung dokumentiert der Auftragsverarbeiter mit Zeitpunkt und Umfang ohne Inhalte.
• Befragte Personen können die Teilnahme vor dem ersten Interview in der Plattform ablehnen; bei Ablehnung werden keine Interview-Inhalte erhoben. Die vom Verantwortlichen angelegten Stammdaten und der Ablehnungsstatus bleiben bis zur Löschung auf Weisung des Verantwortlichen (§ 7 Abs. 2) oder bis zum Zurücksetzen des gesamten Arbeitsbereichs gespeichert, damit die Person nicht erneut eingeladen wird.
• Begrenzung der Anfragen je Nutzer und je IP-Adresse gegen Missbrauch und Überlastung.

8. Organisatorische Maßnahmen

• Verpflichtung aller mit der Verarbeitung befassten Personen zur Vertraulichkeit; Zugriff nach dem Need-to-know-Prinzip; Entzug von Zugängen beim Ausscheiden.
• Verträge zur Auftragsverarbeitung mit allen Unterauftragsverarbeitern (Anlage 2) und Prüfung ihrer Maßnahmen vor dem Einsatz.
• Verfahren zur Erkennung, Bewertung und Meldung von Sicherheitsvorfällen (§ 8); regelmäßige Überprüfung und Weiterentwicklung der Maßnahmen (§ 5 Abs. 3).

Anlage 2 – Unterauftragsverarbeiter

Der Verantwortliche genehmigt nach § 6 den Einsatz der folgenden Unterauftragsverarbeiter. Änderungen werden nach § 6 Abs. 4 angekündigt.

1. Hosting der Plattform

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland
• Leistung: Betrieb der Server, der Datenbank, des Dateispeichers für angehängte Medien und der Sicherungen der Plattform.
• Daten: alle in § 2 genannten Datenkategorien.
• Verarbeitungsort: Deutschland. Keine Übermittlung in ein Drittland. Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

2. Edge-Netz und Schutz vor Angriffen

• Cloudflare Germany GmbH, Rosental 7, 80331 München, Deutschland (Muttergesellschaft Cloudflare, Inc., San Francisco, USA)
• Leistung: Vorschaltung vor die Server der Plattform (Reverse-Proxy), Auflösung des Domainnamens, Abwehr von Überlastungs- und Bot-Angriffen. Jede Verbindung zwischen Browser und Plattform wird am Rand des Netzes entschlüsselt und zum Server neu verschlüsselt; dabei sind alle übertragenen Daten für den Dienstleister technisch zugänglich. Über die Weiterleitung hinaus speichert er sie nur in kurzlebigen Sicherheits- und Verbindungsprotokollen.
• Daten: alle zwischen Browser und Plattform übertragenen Daten (§ 2), technische Verbindungsdaten (IP-Adresse, Browserkennung).
• Verarbeitungsort: weltweites Netz des Dienstleisters; eine Anfrage bearbeitet in der Regel das Rechenzentrum nahe dem Aufrufenden, bei Aufrufen aus Europa also in Europa. Muttergesellschaft Cloudflare, Inc., San Francisco, Vereinigte Staaten von Amerika (Drittland). Grundlage der Übermittlung: für die Vereinigten Staaten die Zertifizierung nach dem EU-US Data Privacy Framework (Art. 45 DSGVO), im Übrigen ein Angemessenheitsbeschluss für das jeweilige Land (Art. 45 DSGVO); ergänzend Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO). Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

3. KI-Gateway (Gesprächsführung und Auswertung)

• Langdock GmbH, Greifswalder Str. 212, 10405 Berlin, Deutschland
• Leistung: Bereitstellung der KI-Modelle über eine Programmierschnittstelle in der EU-Region des Anbieters (Interviewführung, Umwandlung von Sprachaufnahmen in Text, Lesung von Anhängen und hochgeladenen Unterlagen, Auswertung der Inhalte, Formulierung von Einladungen, Beantwortung von Fragen an den Wissensbestand). Der Anbieter setzt hierfür die in Nummer 4 genannten Unternehmen als eigene Unterauftragsverarbeiter ein und betreibt die Modelle in Rechenzentren in der Europäischen Union; die jeweils gültige Liste mit Sitz, Verarbeitungsort und Übermittlungsgrundlage veröffentlicht er unter https://trust.langdock.com/subprocessors. Der Anbieter kündigt Änderungen dieser Liste mindestens 14 Tage vorher an; der Auftragsverarbeiter hat diese Benachrichtigung abonniert und gibt sie nach § 6 Abs. 4 Satz 5 innerhalb von zwei Werktagen weiter.
• Daten: Interview-Text, Sprachaufnahmen der Spracheingabe (nur zur Umwandlung in Text, ohne Speicherung), im Interview angehängte Bilder und PDF-Dokumente, vom Verantwortlichen hochgeladene Unterlagen, bereits abgeleitete Aussagen als Kontext der Anfrage, Fragen der Nutzer des Kundenbereichs an den Wissensbestand, Name, Rolle und Bereich der befragten Person und die von ihr genannten Namen; keine Zugangs- oder Rechnungsdaten; E-Mail-Adressen nur in den Fällen des § 6 Abs. 7.
• Verarbeitungsort: Europäische Union. Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO (Bestandteil der Nutzungsbedingungen des Anbieters). Die Inhalte werden nur zur Abwicklung der Anfrage verarbeitet, nicht zum Training verwendet und gegenüber den Modellanbietern ohne Speicherung verarbeitet (Zero-Data-Retention). Sämtliche in Nummer 4 genannten Unterauftragsverarbeiter verarbeiten in der Europäischen Union; eine Übermittlung in ein Drittland findet nicht statt (zur einzigen Ausnahme, die in der Hand des Auftragsverarbeiters liegt, siehe Nummer 4).

4. Unterauftragsverarbeiter des KI-Gateways

• Für die Verarbeitung der Interview-Inhalte eingesetzt (Stand 12. Oktober 2026): Der Auftragsverarbeiter betreibt Modelle der Claude-Reihe (Sonnet für die Gesprächsführung, Haiku für die Auswertung). Für die Umwandlung von Sprachaufnahmen in Text (Spracheingabe) setzt er zusätzlich das Modell Gemini 3.5 Flash von Google ein; es erhält nur die Sprachaufnahme und die Anweisung, sie wörtlich in Text umzuwandeln, die Nachbearbeitung des Textes übernimmt Claude. Diese Modelle werden vom Gateway über Google Cloud (Vertex AI) und Amazon Web Services (Bedrock) in deren EU-Regionen bereitgestellt; die Plattform des Gateways selbst wird bei Microsoft Azure in der Europäischen Union betrieben. Hinzu kommen Sentry(Fehlerüberwachung) und Cloudflare (Abwehr schädlichen Datenverkehrs), beide mit Verarbeitung in der Europäischen Union.
• In der Liste des Gateways geführt, hier aber NICHT eingesetzt: OpenAI Ireland Ltd. und Mistral. Beide stehen dem Gateway als Modellanbieter zur Verfügung; da nur die genannten Modelle konfiguriert sind, erreicht sie kein Inhalt aus dieser Auftragsverarbeitung. Wechselt der Auftragsverarbeiter das Modell, ändert sich dieser Absatz und die Änderung wird nach § 6 Abs. 4 angekündigt.
• Verarbeitungsort Europäische Union - mit einer Ausnahme, die der Auftragsverarbeiter selbst in der Hand hat: Nach den Bedingungen des Gateways verlässt eine Anfrage die Europäische Union nur dann, wenn im Gateway-Arbeitsbereich ausdrücklich ein Modell mit weltweiter Bereitstellung („global deployment“) aktiviert wird. Eine solche Aktivierung gilt nach dem Vertrag mit dem Gateway als Weisung zur Drittlandübermittlung. Der Auftragsverarbeiter verzichtet darauf: Es werden ausschließlich Modelle der EU-Region eingesetzt. Welche Modelle das sind, bestimmt die jeweils aktuelle Konfiguration der Plattform.
• Für alle gilt § 6 Abs. 7: Verarbeitung nur zur Beantwortung der Anfrage, keine Nutzung zum Training, keine Speicherung über die Abwicklung hinaus.

5. E-Mail-Versand

• Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Genf, Schweiz
• Leistung: Versand der E-Mails der Plattform über ein SMTP-Relay (Einladungen und Einmal-Links an befragte Personen, Erinnerungen, Konto- und Rechnungs-E-Mails an die Nutzer des Kundenbereichs) sowie Empfang und Speicherung der an info@wissa.ai gerichteten Weisungen, Anfragen und Meldungen (E-Mail-Postfach) und der Kopien versandter E-Mails.
• Daten: E-Mail-Adresse und Name der Empfänger, Betreff und Inhalt der E-Mail; Inhalt von Weisungen und Anfragen des Verantwortlichen einschließlich darin genannter personenbezogener Daten befragter Personen.
• Verarbeitungsort: Schweiz (Rechenzentren des Anbieters in der Schweiz und im Europäischen Wirtschaftsraum). Die Schweiz ist ein Drittland mit Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO, Beschluss 2000/518/EG); zusätzliche Garantien sind nicht erforderlich. Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; Transportverschlüsselung verpflichtend.

Kein Unterauftragsverarbeiter ist der Zahlungsdienstleister Mollie B.V.: Er verarbeitet die Zahlungsdaten des Kunden als eigenständig Verantwortlicher (siehe Datenschutzerklärung, Abschnitt 9). Der Zahlungsvorgang berührt keine Daten der befragten Personen. Ebenfalls keine Unterauftragsverarbeiter sind Vertriebspartner des Anbieters, soweit sie Kunden nur empfehlen (§ 12 Abs. 3 Satz 1 bis 3); sie erhalten keine Daten befragter Personen. Zu Partner-Projekten siehe § 12 Abs. 3 Satz 4.