Vereinbarung zur Auftragsverarbeitung

Inkrafttreten: Aktivierung ausstehend (nicht festgelegt für die Veröffentlichung reserviert).

Letzte Aktualisierung: Aktivierung ausstehend (nicht festgelegt für die Veröffentlichung reserviert).

Entwurf erstellt: 6. Oktober 2026. Diese Vereinbarung ist noch nicht in Kraft. Ihre Anlagen und die Angaben zur Bereitstellung müssen vor der Annahme vervollständigt werden.

Entwurf überarbeitet: 7. Oktober 2026. Die Aktivierung steht weiterhin aus.

Unverbindliche Zusammenfassung. Wenn wir personenbezogene Daten für Ihr Projekt oder Ihre gehostete Anwendung verarbeiten, erteilen Sie die Weisungen. Die Vereinbarung legt Pflichten zu Vertraulichkeit, Sicherheit, Anbietereinsatz und Löschung fest. Sie erlaubt weder Marketing noch Training mit den Daten Ihrer Anwendung. Diese Zusammenfassung gehört nicht zum verbindlichen Vertragstext.

1. Parteien und Weisungen

1.1. Der annehmende Kunde, der in seinem Konto oder seiner Bestellung angegeben ist („Verantwortlicher“), und Igor Tkachenko OwlMeans Software (unter der Kurzbezeichnung „OwlMeans Software, JDG“), NIP 6772507251, EU-Umsatzsteuer-Identifikationsnummer PL6772507251, REGON 527979906, ul. Ariańska 9/5, 31-505 Kraków, Polen; support@owlmeans.com; Telefon +48 780 256 571 („Auftragsverarbeiter“), schließen diese Vereinbarung nach Artikel 28 DSGVO. Ist der Kunde selbst Auftragsverarbeiter, muss er befugt sein, OwlMeans zu beauftragen und rechtmäßige Weisungen weiterzugeben; die Rollenbezeichnungen gelten dann entsprechend. Bei Widersprüchen zu Dienstleistungsbedingungen hat diese Vereinbarung für personenbezogene Kundendaten Vorrang. Gesetzliche Übermittlungsklauseln gehen im jeweiligen Anwendungsbereich vor.

1.2. Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur nach den dokumentierten Weisungen in der Bestellung, den aktivierten Funktionen und Anlage A, auch bei internationalen Übermittlungen, sofern keine abweichende gesetzliche Pflicht besteht. Über eine solche Pflicht informiert er den Verantwortlichen vor der Verarbeitung, soweit dies nicht verboten ist. Hält er eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin. Der Verantwortliche bestimmt Rechtsgrundlagen, Hinweise, Befugnisse und Datenminimierung. Keine Partei ist von ihren eigenen gesetzlichen Pflichten befreit.

1.3. OwlMeans ist nach Maßgabe der Datenschutzerklärung selbst Verantwortlicher für seine Interessenten- und Kontaktverwaltung, die Korrespondenz zum Dienst und die Aufzeichnungen über gesetzliche Anträge. Personenbezogene Daten, für die der Kunde Verantwortlicher ist und die für weisungsgebundenen Projektsupport bereitgestellt werden, einschließlich eines erforderlichen Anhangs, fallen weiterhin unter diese Vereinbarung. Werden sie über eine Anfrage übermittelt, werden sie dadurch nicht zu eigenständig nutzbaren Marketing- oder Trainingsdaten von OwlMeans. Bevor dieser Kanal für solche Daten genutzt wird, müssen die Parteien geeignete Weisungen, Datenminimierung, befugte E-Mail- und Postfachempfänger sowie die nötigen Angaben zu Übermittlungen und Sicherheit sicherstellen. Die Löschung in der temporären Datenbank des Anfragedienstes entfernt keine zugestellten E-Mails, Anhänge oder Sicherungskopien; diese unterliegen weiterhin den anwendbaren Weisungen und Ziffer 4.2. Anträge zu Daten, für die der Kunde verantwortlich ist, werden gemäß Ziffer 2.2 an den jeweiligen Verantwortlichen weitergeleitet.

1.4. „Personenbezogene Kundendaten“ sind personenbezogene Daten, die OwlMeans nach dokumentierten Weisungen des Kunden für dessen Projekt, Repository, Anwendung oder beauftragten Support verarbeitet, einschließlich Daten, für die der Kunde als befugter Auftragsverarbeiter eines anderen Verantwortlichen tätig ist. Ausgenommen sind Daten, die OwlMeans rechtmäßig als Verantwortlicher für seine eigene Konto-, Abrechnungs-, Sicherheits- oder Korrespondenzverwaltung verarbeitet; deren Rollen und Zwecke richten sich nach der Datenschutzerklärung. Gehen Daten über einen Supportkanal ein, ändert das allein nichts an der Rolle als Verantwortlicher oder Auftragsverarbeiter.

2. Personal, Sicherheit und Unterstützung

2.1. Zugriff erhalten nur befugte Personen, die zur Vertraulichkeit verpflichtet sind. Der Auftragsverarbeiter setzt risikogerechte Maßnahmen nach Artikel 32 DSGVO, wie in Anlage B beschrieben, um und hält sie aufrecht; dabei berücksichtigt er Vertraulichkeit, Integrität, Verfügbarkeit, Wiederherstellung und regelmäßige Bewertung. Ein Funktionsname oder ein vertragliches Versprechen belegt nicht, dass eine Maßnahme tatsächlich umgesetzt ist.

2.2. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Betroffenenanfragen, Sicherheitspflichten, Datenschutz-Folgenabschätzungen und der Konsultation von Aufsichtsbehörden, unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen. Einschlägige Anfragen leitet er weiter; inhaltlich beantwortet er sie nur auf Weisung oder aufgrund einer gesetzlichen Pflicht. Notwendige Unterstützung darf nicht durch unangemessene Entgelte verhindert werden; außergewöhnliche, gesondert angeforderte Arbeiten können im Voraus vereinbart werden.

2.3. Sobald dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt wird, benachrichtigt er den Verantwortlichen unverzüglich. Die Meldung enthält die verfügbaren Angaben zur Art der Verletzung, zu den betroffenen Kategorien und Zahlen, zur Kontaktstelle, zu den wahrscheinlichen Folgen und zur Eindämmung; weitere Angaben werden schrittweise nachgereicht. Dies ersetzt nicht die gegebenenfalls geltende 72-Stunden-Meldepflicht des Verantwortlichen. Eine kürzere betriebliche Frist ohne belastbare Grundlage wird nicht zugesagt.

3. Unterauftragsverarbeitung und Übermittlungen

3.1. Der Verantwortliche erteilt eine allgemeine Genehmigung nur für die bestätigten Unterauftragsverarbeiter in Anlage C und deren angegebene Verarbeitung. Beabsichtigte Hinzuziehungen oder Ersetzungen kündigt der Auftragsverarbeiter im Voraus an und räumt dabei die angemessene Einspruchsfrist ein, die in der vervollständigten Bestellung angegeben ist. Berechtigten Einsprüchen muss er abhelfen, eine praktikable Alternative anbieten oder die Beendigung der betroffenen Verarbeitung mit angemessener Anpassung vorausbezahlter Entgelte ermöglichen. Nicht benannte Ersatzempfänger sind nicht genehmigt.

3.2. Jeder Unterauftragsverarbeiter muss gleichwertigen Pflichten nach Artikel 28 DSGVO unterliegen; der Auftragsverarbeiter bleibt für deren Erfüllung verantwortlich. Beschränkte Übermittlungen erfordern vor ihrem Beginn eine gültige Grundlage nach Kapitel V DSGVO sowie, soweit erforderlich, eine Bewertung und ergänzende Maßnahmen. Nicht unterzeichnete Standardvertragsklauseln oder ungeprüfte Angemessenheitsbehauptungen werden nicht stillschweigend einbezogen. Für Daten, die britischem Datenschutzrecht unterliegen, ist der anwendbare britische Mechanismus gesondert festzulegen. Bei vom Kunden gewählten unabhängigen Diensten muss die jeweilige Rolle ausdrücklich geprüft werden.

4. Nachweise, Prüfung und Ende der Verarbeitung

4.1. Der Auftragsverarbeiter stellt die Informationen bereit, die zum Nachweis der Einhaltung erforderlich sind, und ermöglicht dem Verantwortlichen oder dessen unabhängigem Prüfer angemessene Überprüfungen, einschließlich erforderlicher Inspektionen, unter Wahrung von Vertraulichkeit und Sicherheit. Eine angemessene Terminplanung darf weder die Bearbeitung eines Vorfalls oder einer Behördenanfrage noch ein gesetzliches Prüfrecht vereiteln. Der Auftragsverarbeiter führt die anwendbaren Verzeichnisse von Verarbeitungstätigkeiten und arbeitet mit den Behörden zusammen.

4.2. Am Ende der Verarbeitung wählt der Verantwortliche zwischen Rückgabe und Löschung der personenbezogenen Kundendaten einschließlich vorhandener Kopien, soweit keine gesetzliche Aufbewahrungspflicht besteht. Die vervollständigte Anlage benennt Exportformate, den Umgang mit Sicherungskopien und den Löschplan. Aufbewahrte Daten bleiben geschützt, und ihre Verarbeitung bleibt eingeschränkt. Kontoschließung oder Projektlöschung allein dürfen nicht so dargestellt werden, als seien damit sämtliche Ablaufprotokolle oder Sicherungskopien gelöscht. Auf Anfrage bestätigt der Auftragsverarbeiter den Abschluss.

Anlage A. Beschreibung der Verarbeitung und Weisungen

Gegenstand sind die angeforderte KI-Softwareentwicklung, Repository-Vorgänge, Projektunterstützung sowie optionales Hosting und IAM. Die Dauer umfasst die weisungsgebundene Dienstleistungsbeziehung sowie die dokumentierte Rückgabe oder Löschung und die rechtmäßige Aufbewahrung. Die Verarbeitung umfasst Erhebung, Speicherung, Analyse und Inferenz, Erzeugung, Abruf, Übermittlung an befugte Anbieter, Zugangsverwaltung, Hosting, Export und Löschung. Zweck ist die Bereitstellung des vom Kunden festgelegten Projekts oder der Anwendung; ausgeschlossen sind eigenständiges Marketing, Profiling, eine Nutzung durch Partner, Datensätze zur Verbesserung von Agenten und Pipelines sowie das Training eigener Modelle.

Betroffen sind Beschäftigte des Kunden, Mitwirkende und Nutzer von Anwendungen, deren Daten der Kunde rechtmäßig übermittelt. Die Daten umfassen Kennungen, Kontakt-, Konto- und Rollendaten, vom Kunden eingereichte Prompts, Code und Inhalte, Verläufe, Betriebsmetadaten und weisungsgemäß verarbeitete Anwendungsdatensätze. Besondere Kategorien personenbezogener Daten, Daten über Straftaten und Daten von Kindern erfordern vor der Annahme eine gesonderte dokumentierte Bewertung und Schutzmaßnahmen; sie sind keine standardmäßigen Eingaben für optionales Training. Die Verarbeitung erfolgt auf Anfrage und während eines aktivierten Hostings. Vor ihrem Beginn werden der Kontakt des Verantwortlichen, der tatsächliche Datenbestand und die Kategorien, die Aufbewahrung sowie geografische Weisungen in der Anlage zum Konto oder zur Bestellung eingetragen.

Anlage B. Erforderliche Aufstellung der Sicherheitsmaßnahmen

Die vervollständigte Aufstellung für die Bereitstellung benennt die Trennung des Zugriffs zwischen Mandanten und Projekten, minimale Zugriffsrechte und Authentifizierung, den Umgang mit Geheimnissen und deren Rotation, den Schutz bei Übertragung und Speicherung, den Zugriff auf Ablaufprotokolle und Inhalte sowie Datenminimierung, das Schwachstellen- und Update-Management, die Eskalation von Vorfällen, Tests von Sicherung und Wiederherstellung sowie Verfahren für Löschung und Betroffenenrechte. Für jeden Punkt hält sie die tatsächlich umgesetzte Maßnahme, den zuständigen Ansprechpartner und relevante Einschränkungen fest. Weder diese Liste noch die Bezeichnung als Alpha belegt, dass eine Kontrolle vorhanden ist. Eine Verarbeitung, die eine fehlende Kontrolle voraussetzt, beginnt erst, wenn die Kontrolle umgesetzt oder die Verarbeitung rechtmäßig eingegrenzt ist.

Anlage C. Genehmigte Anbieter und Übermittlungen

Das Verzeichnis der Unterauftragsverarbeiter bildet nach seiner Annahme diese Anlage, sobald es um die tatsächlichen Vertragsunternehmen, Funktionen, Standorte, Übermittlungsgrundlagen, die Aufbewahrung bei den Anbietern und die Einspruchsfrist ergänzt ist. Seine Liste aktiver Dienste beschreibt die aktuelle Nutzung und ist keine pauschale Genehmigung jedes Empfängers oder jeder Verarbeitungsrolle durch den Verantwortlichen. Die Genehmigung gilt nur für die Verarbeitung personenbezogener Kundendaten, die in der vervollständigten Anlage tatsächlich bezeichnet ist. Google reCAPTCHA ist ein offengelegter Sicherheitsempfänger zur Abwehr von Bots, Betrug und Missbrauch. Seine Nutzung für Konto- oder Websitedaten, für die OwlMeans verantwortlich ist, macht Google für sich genommen nicht zum Unterauftragsverarbeiter für Kundendaten; jede weisungsgebundene Verarbeitung von Kundendaten erfordert die entsprechenden vervollständigten Anbieter- und Übermittlungsangaben. Kontakt und Anfragekanal des Verantwortlichen ergeben sich aus der Bestellung oder dem Konto; der Auftragsverarbeiter ist unter support@owlmeans.com erreichbar. Zwingende regionale Datenschutzrechte und Aufsichtsbefugnisse bleiben unberührt.