Vereinbarung zur Auftragsverarbeitung
Einleitung
Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch revzper SAS (Auftragsverarbeiter) im Auftrag des Kunden (Verantwortlicher).
1. Geltungsbereich und Weisungen
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf schriftliche Weisungen, die über einen sicheren Kanal erteilt und in den Verarbeitungsunterlagen des Verantwortlichen aufgezeichnet werden. revzper SAS bestätigt den Erhalt der Weisungen und dokumentiert alle daraufhin ergriffenen Maßnahmen zur Einhaltung der Vorschriften. Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet haben. Der Auftragsverarbeiter setzt geeignete technische und organisatorische Maßnahmen um, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Sicherstellung der Einhaltung von Verpflichtungen.
2. Quellcode und Repository-Metadaten
Soweit der Verantwortliche sie zur Analyse übermittelt, umfassen die im Rahmen dieser Vereinbarung verarbeiteten personenbezogenen Daten Quellcode und Repository-Metadaten: Dateipfade, Commit-Betreffzeilen, Datumsangaben und Anzahlen sowie Konfigurationszeilen, die die Mitwirkenden des Verantwortlichen identifizieren können, sowie die Namen, Prozessnummern und Startzeiten von Programmen, die auf den Computern des Verantwortlichen ausgeführt werden.
Ref.: DSGVO Art. 28(3)
3. Kein Training mit personenbezogenen Daten
revzper SAS verwendet die im Rahmen dieser Vereinbarung verarbeiteten personenbezogenen Daten nicht zum Trainieren oder Feinabstimmen von KI-Modellen. Das Feinabstimmen eines Modells für den Verantwortlichen setzt eine gesonderte schriftliche Vereinbarung mit dem Verantwortlichen voraus und erfolgt ausschließlich mit Daten, die der Verantwortliche ausdrücklich für diesen Zweck bestimmt hat. Die einzige Ausnahme sind Rückmeldungen, die ein Nutzer über eine Anwendung übermittelt, nachdem er für diese Rückmeldung ein gesondertes Kontrollkästchen aktiviert hat, das jedes Mal deaktiviert ist und niemals für den Nutzer aktiviert wird. revzper SAS verarbeitet diese Rückmeldung anschließend als Verantwortlicher auf Grundlage der Einwilligung des Nutzers: Es entfernt die Geheimnisse und die Daten, die eine Person identifizieren, bevor die Rückmeldung in einen Datensatz aufgenommen wird; es verwendet diesen Datensatz ausschließlich zum Testen, Trainieren und Feinabstimmen der KI-Modelle, die die Funktionen der Plattform für alle Nutzer bereitstellen, niemals eines für einen anderen Kunden erstellten Modells; es kann das Training durch einen in der Europäischen Union tätigen KI-Anbieter als seinen Auftragsverarbeiter durchführen lassen, und zwar auf Grundlage eines Vertrags, der es diesem Anbieter untersagt, den Datensatz für eigene Zwecke zu verwenden; und es bewahrt jedes Element höchstens ein Jahr lang auf. Der Verantwortliche bleibt dafür verantwortlich, dass seine Nutzer berechtigt sind, die von ihnen an ihre Rückmeldung angehängten Inhalte zu teilen.
Ref.: DSGVO Art. 28(3)(a), DSGVO Art. 28(10)
4. Maßnahmen nach Beendigung
Bei Beendigung dieser Vereinbarung oder auf Weisung des Verantwortlichen wird revzper SAS:
Standardmaßnahmen
- alle personenbezogenen Daten innerhalb von 30 Tagen nach der Beendigung löschen, sofern der Verantwortliche nicht schriftlich etwas anderes anweist.
- alle personenbezogenen Daten an den Verantwortlichen in einem strukturierten, gängigen und maschinenlesbaren Format zurückgeben, sofern der Verantwortliche dies innerhalb von 15 Tagen nach der Beendigung schriftlich verlangt.
- dem Verantwortlichen eine schriftliche Bestätigung übermitteln, die den Abschluss der Löschung oder Rückgabe einschließlich Datum und Art der Maßnahme bestätigt.
- dem Verantwortlichen auf angemessene Anfrage gestatten, die Einhaltung dieser Klausel zu überprüfen.
Zusätzliche Verpflichtungen
- revzper SAS darf über den Abschluss der oben genannten Maßnahmen hinaus keine personenbezogenen Daten aufbewahren, es sei denn, dies ist gesetzlich vorgeschrieben.
Ort der Verarbeitung und Unterauftragsverarbeiter
Die gesamte Verarbeitung personenbezogener Daten im Rahmen dieser Vereinbarung findet innerhalb der Europäischen Union statt. Personenbezogene Daten werden in Frankreich (Region Paris) von Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, Frankreich, gehostet. Zahlungsdaten werden von Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande, als unabhängiger Verantwortlicher auf Grundlage der eigenen Bedingungen verarbeitet. KI-Funktionen werden von Microsoft Ireland Operations Limited, Dublin, Irland (Microsoft Foundry, Azure OpenAI Service, Bereitstellungen in der Datenzone der Europäischen Union auf einer Ressource in Frankreich) und von Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich (La Plateforme, Daten in der Europäischen Union gehostet), als Unterauftragsverarbeitern verarbeitet. Ein auf Wunsch des Verantwortlichen konfigurierter KI-Anbieter wird dem Verantwortlichen vor der Nutzung benannt. revzper SAS informiert den Verantwortlichen, bevor ein anderer Unterauftragsverarbeiter beauftragt wird.
2. Vom Verantwortlichen ausgewählte KI-Anbieter und Modelle
Wenn der Verantwortliche oder ein für ihn handelnder Nutzer über eine KI-Funktion verfügt, die von einem KI-Anbieter bereitgestellt wird, der mit dem eigenen Konto des Verantwortlichen oder des Nutzers konfiguriert ist, oder von einem Modell, das auf den eigenen Geräten des Verantwortlichen ausgeführt wird, wird dieser Anbieter oder dieses Modell vom Verantwortlichen eingesetzt und ist kein Unterauftragsverarbeiter von revzper SAS; revzper SAS leitet die Anfragen höchstens an ihn weiter. Der Verantwortliche ist für diese Wahl, für seine Vereinbarung mit diesem Anbieter und für die Rechtmäßigkeit der daraus resultierenden Übermittlung personenbezogener Daten verantwortlich, unabhängig von der Rolle des Nutzers, der diese Wahl im Dienst getroffen hat, einschließlich der Rolle als Ersteller oder Administrator.
Ref.: DSGVO Art. 24, DSGVO Art. 28(2)