1. Geltung und Vertragsparteien
Diese Vereinbarung zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO gilt zwischen dem Kunden (Verantwortlicher) und der anycast.io UG (haftungsbeschränkt), Hintere Straße 125a, 90768 Fürth, Deutschland (Auftragsverarbeiter), soweit bei der Nutzung von 2342.ai personenbezogene Daten im Auftrag des Kunden verarbeitet werden.
Sie ist Bestandteil des Nutzungsvertrags für Geschäftskunden. Organisations-Owner und Admins können die aktuelle Fassung im Organisationsbereich elektronisch akzeptieren; der Akzeptanznachweis enthält Version, Zeitstempel, akzeptierende Person und Dokument-Fingerprint. Eine gegengezeichnete Fassung stellen wir auf Anfrage über die im Impressum genannten Kontaktdaten bereit.
2. Gegenstand, Dauer, Art und Zweck der Verarbeitung
Gegenstand ist der Betrieb der 2342.ai-Plattform: KI-Chat, API-Gateway, Research-Funktionen, Datei- und Vektorspeicher, Automationen sowie Team- und Budgetverwaltung.
Die Dauer entspricht der Laufzeit des Nutzungsvertrags. Zweck der Verarbeitung ist die Bereitstellung der vom Kunden genutzten Plattformfunktionen einschließlich der Weiterleitung von Anfragen an den jeweils gewählten externen KI-Datenweg.
3. Datenarten und betroffene Personen
Betroffene Personen sind insbesondere Mitarbeitende und Endnutzer des Kunden sowie Dritte, deren Daten der Kunde in die Plattform einbringt.
- Account- und Stammdaten (Name, E-Mail-Adresse, Rollen)
- Inhaltsdaten (Chats, Prompts, Dateien, Vektor-Speicher, Research-Ergebnisse)
- Nutzungs- und Abrechnungsdaten (Modell, Token, Kosten, Zeitstempel)
- Technische Daten (IP-Adressen, Geräteinformationen, Logs)
4. Pflichten des Auftragsverarbeiters
- Verarbeitung nur auf dokumentierte Weisung des Kunden (Art. 28 Abs. 3 lit. a DSGVO)
- Vertraulichkeitsverpflichtung aller mit der Verarbeitung befassten Personen
- Technische und organisatorische Maßnahmen nach Art. 32 DSGVO (Ziffer 8)
- Unverzügliche Meldung von Verletzungen des Schutzes personenbezogener Daten
- Unterstützung des Kunden bei Betroffenenrechten, Datenschutz-Folgenabschätzungen und Anfragen von Aufsichtsbehörden
- Nachweis der Einhaltung dieser Vereinbarung und Ermöglichung von Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO)
5. Unterauftragsverarbeiter
Der Kunde erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die aktuelle Liste ist veröffentlicht unter https://2342.ai/de/unterauftragsverarbeiter.
Über beabsichtigte Änderungen informieren wir Kunden mit AVV vorab. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen.
Bei Übermittlungen in Drittländer werden geeignete Garantien nach Kapitel V DSGVO eingesetzt, insbesondere EU-Standardvertragsklauseln oder ein Angemessenheitsbeschluss (z. B. EU-U.S. Data Privacy Framework).
6. KI-Modellnutzung
GLM 5.2 wird über einen regionalen europäischen Endpunkt verarbeitet. Für diesen Datenweg geben wir keine Deutschland- oder Zero-Data-Retention-Zusage. Bei externen Modellen werden die für die jeweilige Anfrage erforderlichen Daten an den nach Modell und Konfiguration beteiligten Unterauftragsverarbeiter übermittelt.
Verarbeitungsort, Aufbewahrung, Missbrauchserkennung und eine etwaige Nutzung von Ein- und Ausgaben richten sich bei externen Modellen nach den konkret anwendbaren Verträgen. 2342.ai verwendet Kundendaten nicht zum Training eigener Grundmodelle. Für GLM 5.2 als Public-Preview-Modell behält sich Mistral die Nutzung von Ein- und Ausgaben zum Training vor; der allgemeine Trainings-Opt-out und ZDR gelten laut Preview-Bedingungen hierfür nicht.
7. Löschung und Rückgabe
Nach Abschluss der Erbringung der Verarbeitungsleistungen werden personenbezogene Daten nach Wahl des Kunden gelöscht oder zurückgegeben, soweit keine gesetzliche Aufbewahrungspflicht besteht.
Kunden können Inhalte, Konten und Organisationen selbst löschen; ein vollständiger Datenexport steht über die Plattform zur Verfügung.
8. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Betrieb der 2342.ai-Kernplattform auf eigener zugangskontrollierter Infrastruktur im Nürnberger Deutschherrnkarree; Core-Backbone stellt Colocation und Netzanbindung bereit
- Verschlüsselung der Datenübertragung mit TLS
- Rollenbasierte Zugriffskontrolle und Mandantentrennung für Organisationsdaten
- Technische Zugriffs- und Fehlerprotokolle für sicheren Betrieb und Missbrauchsschutz
- Regionale GLM-Inferenz
9. Schlussbestimmungen
Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
Bei Widersprüchen zwischen dieser AVV und den Allgemeinen Geschäftsbedingungen geht diese AVV hinsichtlich des Datenschutzes vor.
Die elektronische Akzeptanz im Organisationsbereich ist für Self-Service- und Beta-Kunden der reguläre Abschluss dieser AVV. Auf Wunsch kann zusätzlich eine gegengezeichnete Fassung bereitgestellt werden.
