Vereinbarung zur Auftragsverarbeitung (AVV)

1. Geltung und Vertragsparteien

Diese Vereinbarung zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO gilt zwischen dem Kunden (Verantwortlicher) und der anycast.io UG (haftungsbeschränkt), Hintere Straße 125a, 90768 Fürth, Deutschland (Auftragsverarbeiter), soweit bei der Nutzung von 2342.ai personenbezogene Daten im Auftrag des Kunden verarbeitet werden.

Sie ist Bestandteil des Nutzungsvertrags für Geschäftskunden. Organisations-Owner und Admins akzeptieren die aktuelle Fassung im Organisationsbereich elektronisch. Der Akzeptanznachweis enthält Version, Zeitstempel, akzeptierende Person und die SHA-256-Fingerprints dieser Vereinbarung und ihrer Anlagen. Die dabei erzeugte PDF-Fassung trägt die elektronische Gegenzeichnung des Auftragsverarbeiters, wird per E-Mail zugestellt und steht im Organisationsbereich jederzeit zum Download bereit.

Anlagen: Anlage A ist diese Vereinbarung, Anlage B die Liste der Unterauftragsverarbeiter (https://2342.ai/de/unterauftragsverarbeiter), Anlage C das Modell-Datenblatt (https://2342.ai/de/modell-datenblatt). Die technischen und organisatorischen Maßnahmen stehen in Ziffer 10. Alle Anlagen werden mit der Akzeptanz per Fingerprint festgehalten und bleiben in dieser Fassung abrufbar.

2. Gegenstand, Dauer, Art und Zweck der Verarbeitung

Gegenstand ist der Betrieb der 2342.ai-Plattform: KI-Chat, API-Gateway, Research-Funktionen, Datei- und Vektorspeicher, Automationen, Team- und Budgetverwaltung sowie die geführte Erstellung von Werbematerial (Werbevideos) mit Recherche in öffentlichen Quellen, Text- und Bilderzeugung, Sprachsynthese, Videoerzeugung und automatisiertem Schnitt.

Die Dauer entspricht der Laufzeit des Nutzungsvertrags. Zweck der Verarbeitung ist die Bereitstellung der vom Kunden genutzten Plattformfunktionen einschließlich der Weiterleitung von Anfragen an den jeweils gewählten KI-Datenweg.

3. Datenarten und betroffene Personen

Betroffene Personen sind insbesondere Mitarbeitende und Endnutzer des Kunden sowie Dritte, deren Daten der Kunde in die Plattform einbringt, etwa Ansprechpartner von Geschäftspartnern.

• Account- und Stammdaten (Name, E-Mail-Adresse, Rollen)
• Inhaltsdaten (Chats, Prompts, Werkzeugaufrufe, Dateien, Vektor-Speicher, Research-Ergebnisse)
• Nutzungs- und Abrechnungsdaten (Modell, Datenweg, Token, Kosten, Zeitstempel)
• Technische Daten (IP-Adressen, Geräteinformationen, Protokolle)

4. Pflichten des Auftragsverarbeiters

• Verarbeitung nur auf dokumentierte Weisung des Kunden (Art. 28 Abs. 3 lit. a DSGVO); Weisungen erfolgen über die Konfiguration der Plattform (Modellwahl, Datenwege, Freischaltungen, Projektfreigaben) oder in Textform
• Hinweispflicht: Der Auftragsverarbeiter informiert den Kunden unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt (Art. 28 Abs. 3 UAbs. 2 DSGVO), und darf die Ausführung bis zur Bestätigung durch den Kunden aussetzen
• Vertraulichkeitsverpflichtung aller mit der Verarbeitung befassten Personen (Art. 28 Abs. 3 lit. b DSGVO)
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO (Ziffer 10)
• Meldung von Verletzungen des Schutzes personenbezogener Daten nach Ziffer 8
• Unterstützung des Kunden bei Betroffenenrechten, Datenschutz-Folgenabschätzungen und Anfragen von Aufsichtsbehörden (Art. 28 Abs. 3 lit. e und f DSGVO)
• Führung eines Verzeichnisses der Verarbeitungstätigkeiten als Auftragsverarbeiter (Art. 30 Abs. 2 DSGVO) und Vorlage auf Anfrage
• Nachweis der Einhaltung dieser Vereinbarung und Ermöglichung von Überprüfungen einschließlich Inspektionen nach angemessener Vorankündigung (Art. 28 Abs. 3 lit. h DSGVO)
• Ansprechpartner für Datenschutz: Franz Bettag, anycast.io UG (haftungsbeschränkt); Kontakt über die im Impressum unter https://2342.ai/de/impressum genannten Daten mit dem Betreff „Datenschutz“

5. Unterauftragsverarbeiter

Der Kunde erteilt die allgemeine Genehmigung zum Einsatz der in Anlage B genannten Unterauftragsverarbeiter. Für den Kunden gilt die mit seiner Akzeptanz per Fingerprint festgehaltene Fassung von Anlage B; sie bleibt unter ihrer versionierten Adresse abrufbar.

Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die in dieser Vereinbarung festgelegt sind, insbesondere auf hinreichende Garantien für geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Kunden für die Einhaltung dieser Pflichten (Art. 28 Abs. 4 DSGVO).

Beabsichtigte Hinzufügungen oder Ersetzungen von Unterauftragsverarbeitern kündigt der Auftragsverarbeiter den Organisations-Ownern und -Admins vor Wirksamwerden per E-Mail an und veröffentlicht die neue Fassung von Anlage B. Der Kunde kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann der Kunde die betroffenen Leistungen oder den Nutzungsvertrag außerordentlich kündigen; nicht verbrauchtes Guthaben wird erstattet. Bis zum Wirksamwerden bleibt die akzeptierte Fassung maßgeblich.

Bei Übermittlungen in Drittländer werden geeignete Garantien nach Kapitel V DSGVO eingesetzt. Anlage B nennt je Unterauftragsverarbeiter die Grundlage: Angemessenheitsbeschluss (etwa EU-U.S. Data Privacy Framework) oder EU-Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914 mit dokumentierter Transfer-Folgenabschätzung.

6. KI-Modellnutzung und Datenwege

Jedes Modell ist einem Datenweg zugeordnet. Anbieter, Verarbeitungsregion, anbieterseitige Speicherung, Missbrauchsüberwachung und Trainingsnutzung sind je Modell im Modell-Datenblatt (Anlage C) festgehalten und maschinenlesbar im Modellkatalog unter GET /v1/models in den Feldern data_path, zero_data_retention, provider_may_train und requires_org_unlock veröffentlicht. Datenblatt, Katalog und Modellauswahl stammen aus derselben Routing-Konfiguration.

Datenweg EU: Die Inferenz erfolgt ausschließlich in Rechenzentren innerhalb der EU/EWR. Die Anbieter verwenden Ein- und Ausgaben nicht zum Training. Eine etwaige anbieterseitige Missbrauchsüberwachung mit Speicherdauer ist je Modell in Anlage C angegeben. Dieser Datenweg steht allen Organisationen offen.

Externer Datenweg: Verarbeitung außerhalb der EU/EWR, ohne EU-Zusage oder bei einem Anbieter, der sich Training mit Ein- und Ausgaben vorbehält. Diese Modelle sind standardmäßig gesperrt und erst nach ausdrücklicher Freischaltung durch einen Organisations-Owner oder -Admin erreichbar. Der Kunde stellt sicher, dass über freigeschaltete externe Modelle keine personenbezogenen Daten verarbeitet werden, für die keine Rechtsgrundlage und keine geeignete Garantie vorliegt.

GLM 5.3 und GLM 5.3 Flash laufen auf dem Datenweg EU über In-Region-Routing bei EU-Endpunkten mit Zero Data Retention. GLM 5.2 sowie der Mistral-Weg für GLM (Public Preview mit Trainingsvorbehalt) sind externe Datenwege.

Der Kunde kann je Projekt festlegen, welche Modelle zulässig sind. Das Gateway lehnt Anfragen von Chats, Automationen und API-Schlüsseln dieses Projekts an andere Modelle ab. 2342.ai verwendet Kundendaten nicht zum Training eigener Grundmodelle.

Websuche in Recherchefunktionen: Suchanfragen werden vor der Übermittlung an den Suchdienst automatisiert auf personenbezogene Daten geprüft und bei Treffern abgelehnt; sie enthalten keine Nutzerkennungen. Push-Benachrichtigungen an mobile Geräte enthalten keine Prompt- oder Antwortinhalte, sondern neutrale Statusangaben.

Bei Werbevideos laufen Bilderzeugung, Sprachsynthese und Videoerzeugung auf Microsoft Azure und Google Cloud in EU-Regionen auf dem Datenweg EU. An diese Anbieter werden ausschließlich innerhalb der Plattform erzeugte Inhalte übermittelt: vom Modell formulierte Szenenbeschreibungen, KI-erzeugte Bilder und der Sprechtext, keine Konto- oder Nutzerdaten. Namen von Personen aus der Recherche werden nicht in diese Anfragen übernommen. Hochgeladene Bilder mit erkennbaren Personen werden gekennzeichnet und bleiben auf dem Datenweg EU. Schaltet der Kunde für Werbevideos externe Datenwege frei, nennt Anlage B die beteiligten Anbieter.

7. Protokollierung und Aufbewahrung

Prompt- und Antwortinhalte werden nicht in technische Protokolle geschrieben. Fehlerantworten der Modellanbieter werden nur als Länge und Hashwert protokolliert. Es gelten folgende Aufbewahrungsfristen:

• Technische Zugriffs- und Fehlerprotokolle (IP-Adresse, Zeitstempel, Endpunkt, Statuscode, Dauer, Anfrage-ID; ohne Inhalte): zentral 14 Tage, lokal rotierend und spätestens nach 30 Tagen gelöscht
• Nutzungsereignisse für Abrechnung und Budgets (Nutzer- und Schlüsselkennung, Modell, Datenweg, Token, Kosten, Dauer, Status; ohne Inhalte): 24 Monate; Abrechnungsbelege nach den handels- und steuerrechtlichen Fristen
• Audit-Protokoll der Organisation (Zeitpunkt, Nutzer, Projekt, Modell, Datenweg, Token, Kosten sowie Prompt und Antwort, verschlüsselt mit AES-256-GCM): 365 Tage, danach automatische Löschung; abrufbar nur für Owner und Admins der Organisation
• Zähler für Rate Limits je IP-Adresse und Konto: flüchtig, Löschung nach Ablauf des jeweiligen Zeitfensters
• Akzeptanznachweise für AGB und AVV (Version, Fingerprint, Zeitstempel, IP-Adresse, Browserkennung): Vertragslaufzeit zuzüglich gesetzlicher Verjährungsfristen

8. Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten, die Daten des Kunden betrifft, unverzüglich und spätestens 24 Stunden nach Kenntnis per E-Mail an die Owner und Admins der Organisation sowie an eine vom Kunden mitgeteilte Datenschutz-Kontaktadresse.

Die Meldung enthält, soweit bereits bekannt: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, betroffene Modelle, Datenwege und Unterauftragsverarbeiter, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen sowie die Kontaktstelle. Noch fehlende Angaben werden ohne unangemessene Verzögerung nachgereicht, damit der Kunde seine Frist von 72 Stunden nach Art. 33 DSGVO einhalten kann. Der Auftragsverarbeiter dokumentiert jede Verletzung mit Hergang, Auswirkungen und Abhilfemaßnahmen und unterstützt den Kunden bei Meldungen an Aufsichtsbehörden und betroffene Personen.

9. Löschung und Rückgabe

Kunden können Inhalte, Projekte, Konten und Organisationen jederzeit selbst löschen; ein vollständiger Datenexport steht über die Plattform zur Verfügung.

Nach Beendigung des Nutzungsvertrags oder Löschung der Organisation löscht der Auftragsverarbeiter alle personenbezogenen Daten des Kunden innerhalb von 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht besteht. Datenbanksicherungen werden täglich erstellt und nach 14 Tagen automatisch gelöscht, sodass gelöschte Daten spätestens 14 Tage nach der Löschung auch aus Sicherungen verschwunden sind. Audit-Protokolle werden spätestens mit Ablauf ihrer Frist nach Ziffer 7 gelöscht, technische Protokolle nach höchstens 30 Tagen. Sicherungen dienen ausschließlich der Wiederherstellung und werden nicht einzeln ausgewertet.

Abrechnungsbelege bleiben nach den handels- und steuerrechtlichen Fristen erhalten; sie enthalten keine Inhaltsdaten.

10. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die Maßnahmen gelten für die von 2342.ai betriebene Kernplattform. Die Maßnahmen der Unterauftragsverarbeiter ergeben sich aus deren in Anlage B genannten Verträgen und Zertifizierungen.

• Zutrittskontrolle: Betrieb auf eigener, dedizierter Hardware im zugangskontrollierten Rechenzentrum Deutschherrnkarree in Nürnberg (Colocation Core-Backbone GmbH); Zutritt nur für namentlich autorisierte Personen mit Protokollierung durch den Rechenzentrumsbetreiber
• Zugangskontrolle: Passwortlose Anmeldung über einmalige, zeitlich begrenzte Magic Links; Sitzungs-Tokens mit 24 Stunden Laufzeit und widerrufbaren Refresh-Tokens; API-Schlüssel werden ausschließlich als SHA-256-Hash gespeichert; administrativer Zugang zur Infrastruktur nur schlüsselbasiert über SSH für namentlich benannte Administratoren
• Zugriffskontrolle: Rollenmodell Owner, Admin und Mitglied je Organisation sowie Projektrollen; Freischaltung externer Datenwege und Modellfreigaben pro Projekt ausschließlich durch Owner und Admins; Client-Schlüssel mit begrenzten Berechtigungsbereichen
• Trennungskontrolle: Logische Mandantentrennung über Organisations- und Projektkennungen in jeder Datenbankabfrage; getrennte Vektorspeicher je Projekt; Testsysteme ohne Produktionsdaten
• Verschlüsselung: Transportverschlüsselung mit TLS für alle Verbindungen von Nutzern, Apps und API-Clients sowie zu allen Modellanbietern und Diensten; Audit-Inhalte, Integrationszugangsdaten und Geheimnisse werden auf Anwendungsebene mit AES-256-GCM und rotierbaren Schlüsseln verschlüsselt gespeichert. Die Datenträger der Kernplattform sind nicht vollverschlüsselt; der Schutz ruhender Daten beruht auf dedizierter Hardware, physischer Zutrittskontrolle und der Feldverschlüsselung besonders schutzbedürftiger Daten
• Weitergabekontrolle: Keine Prompt- und Antwortinhalte in technischen Protokollen; Fehlerantworten der Anbieter nur als Hashwert; automatisierter Filter für personenbezogene Daten vor der Websuche; Push-Benachrichtigungen ohne Inhalte; Übermittlung an Modellanbieter nur über den ausgewiesenen Datenweg
• Eingabekontrolle: Audit-Protokoll je Organisation mit Zeitpunkt, Nutzer, Projekt, Modell und Datenweg; Akzeptanznachweise mit Fingerprint für Vertragsdokumente
• Verfügbarkeit und Belastbarkeit: Mindestens zwei parallel laufende API-Instanzen mit kontrolliertem Abschalten; tägliche Datenbanksicherung mit 14 Tagen Aufbewahrung; Wiederherstellbarkeit wird mindestens jährlich durch eine Testwiederherstellung geprüft; Rate Limits und Budgetgrenzen gegen Missbrauch und Kostenausreißer
• Auftragskontrolle: Verarbeitung nur im Rahmen der Plattformkonfiguration und der Weisungen des Kunden; Auftragsverarbeitungsverträge mit allen Unterauftragsverarbeitern; Prüfung neuer Unterauftragsverarbeiter vor Aufnahme in Anlage B
• Überprüfung und Weiterentwicklung: Automatisierte Tests vor jeder Auslieferung, laufende Aktualisierung der Abhängigkeiten, Protokollierung administrativer Zugriffe auf die Infrastruktur; mindestens jährliche Überprüfung dieser Maßnahmen, der Löschfristen und der Unterauftragsverarbeiter; Änderungen an dieser Vereinbarung und ihren Anlagen bleiben als unveränderliche Fassungen abrufbar
• Umgang mit Vorfällen: Dokumentierter Meldeweg nach Ziffer 8 mit 24-Stunden-Frist, benannter Kontaktstelle und fester Meldevorlage

11. Schlussbestimmungen

Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Bei Widersprüchen zwischen dieser AVV und den Allgemeinen Geschäftsbedingungen geht diese AVV hinsichtlich des Datenschutzes vor.

Die elektronische Akzeptanz im Organisationsbereich ist der reguläre Abschluss dieser AVV. Die dabei erzeugte PDF-Fassung mit der elektronischen Gegenzeichnung des Auftragsverarbeiters ist die gegengezeichnete Fassung; eine zusätzliche handschriftliche Unterschrift ist nicht erforderlich, wird auf Wunsch aber bereitgestellt.