Auftragsverarbeitungsvertrag

Version 1.0 · gültig ab 10. Oktober 2026 · Teil jedes Vertrags mit einem Geschäftskunden.

Parteien. Der Kunde als Verantwortlicher. Den Otter Consulting, handelnd unter dem Namen Keepstone, als Auftragsverarbeiter.

Artikel 1. Gegenstand und Dauer. Der Auftragsverarbeiter verarbeitet personenbezogene Daten von Kunden und Auftraggebern, Ansprechpersonen und E-Mail-Empfängern des Kunden, ausschließlich um das Second Brain zu erstellen und es bei einer Auffrischung zu aktualisieren. Dieser Vertrag gilt, solange der Auftragsverarbeiter Daten des Kunden aufbewahrt.

Artikel 2. Daten und betroffene Personen.

Besondere Kategorien personenbezogener Daten sind nicht erfasst. Der Kunde gibt sie nicht an (Allgemeine Geschäftsbedingungen, Artikel 4.5).

Artikel 3. Weisungen. Der Auftragsverarbeiter verarbeitet nur auf Weisung des Kunden. Diese Weisung lautet: das Second Brain erstellen, wie auf keepstoneai.eu und in diesem Vertrag beschrieben. Mit der Annahme legt der Kunde auch die Fragen, die Speicherdauer von 30 Tagen und die Liste der Unterauftragsverarbeiter fest. Möchte der Kunde eine kürzere Speicherdauer oder weniger Daten, folgt der Auftragsverarbeiter dieser Weisung. Verstößt eine Weisung nach Ansicht des Auftragsverarbeiters gegen die DSGVO, teilt er das dem Kunden unverzüglich mit. Verpflichtet das Recht der EU oder das niederländische Recht den Auftragsverarbeiter zur Verarbeitung der Daten, teilt er das dem Kunden vor der Verarbeitung mit, es sei denn, dieses Recht verbietet das.

Artikel 4. Vertraulichkeit. Der Auftragsverarbeiter behandelt die Daten vertraulich. Der Auftragsverarbeiter arbeitet allein und gibt niemandem sonst Zugang, außer den Unterauftragsverarbeitern in der Liste der Unterauftragsverarbeiter.

Artikel 5. Sicherheit. Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen zum Schutz der Daten, mindestens die folgenden. Namen, die der Kunde angibt, sowie E-Mail-Adressen und Telefonnummern werden vor der KI-Analyse durch Codes ersetzt. Die hochgeladenen Originaldateien werden gelöscht, sobald sie gelesen sind. Die n8n-Umgebung läuft in der EU und speichert keine Ausführungsprotokolle. Entwürfe werden bis spätestens 30 Tage nach der Lieferung aufbewahrt. Die Codierung ist eine Pseudonymisierung, keine Anonymisierung: Namen im freien Text, die nicht angegeben wurden, können unerkannt bleiben.

Artikel 6. Unterauftragsverarbeiter. Der Kunde genehmigt die Unterauftragsverarbeiter in der Liste der Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Kunden mindestens 30 Tage im Voraus über einen neuen Unterauftragsverarbeiter. Der Kunde kann widersprechen und den Vertrag dann kündigen. Der Auftragsverarbeiter legt den Unterauftragsverarbeitern dieselben Pflichten auf wie in diesem Vertrag. Er haftet gegenüber dem Kunden weiterhin dafür, dass seine Unterauftragsverarbeiter ihre Pflichten erfüllen.

Artikel 7. Unterstützung. Erhält der Auftragsverarbeiter einen Antrag einer betroffenen Person, leitet er ihn an den Kunden weiter und hilft bei der Bearbeitung. Der Auftragsverarbeiter unterstützt den Kunden auch bei einer Datenschutz-Folgenabschätzung (DSFA) und einer etwaigen vorherigen Konsultation der Aufsichtsbehörde, soweit diese Verarbeitung betroffen ist.

Artikel 8. Verletzungen des Schutzes personenbezogener Daten. Der Auftragsverarbeiter meldet eine Verletzung, die Daten des Kunden betrifft, unverzüglich, spätestens innerhalb von 48 Stunden, nachdem ihm die Verletzung bekannt geworden ist. Er gibt an, was er über die Art der Verletzung, die betroffenen Daten, die Folgen und die ergriffenen Maßnahmen weiß. Der Kunde entscheidet, ob er die Verletzung seiner Aufsichtsbehörde meldet.

Artikel 9. Ende. Nach Beendigung des Vertrags löscht der Auftragsverarbeiter alle Daten innerhalb von 30 Tagen, es sei denn, das Gesetz verlangt die Aufbewahrung. Möchte der Kunde die Daten vorher zurückerhalten, schickt der Auftragsverarbeiter sie auf Anfrage. Zu diesem Zeitpunkt hat der Kunde das Second Brain bereits erhalten.

Artikel 10. Überprüfung. Auf Anfrage stellt der Auftragsverarbeiter dem Kunden die Informationen zur Verfügung, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen. Er ermöglicht Überprüfungen, einschließlich Inspektionen, durch den Kunden oder einen vom Kunden beauftragten Prüfer und trägt dazu bei. Der Kunde kündigt eine Überprüfung mindestens 30 Tage im Voraus an und trägt die Kosten.

Artikel 11. Haftung. Für die Haftung aus diesem Vertrag gilt Artikel 10 der Allgemeinen Geschäftsbedingungen.

Artikel 12. Übermittlungen und Kunden außerhalb der EU.

1. Der Auftragsverarbeiter übermittelt Daten nur mit einer geeigneten Garantie in Länder außerhalb der EU, etwa einem Angemessenheitsbeschluss oder den Standardvertragsklauseln der Europäischen Kommission. Für Anthropic in den Vereinigten Staaten sind das die Standardvertragsklauseln im Auftragsverarbeitungsvertrag von Anthropic, mit dem britischen Zusatz (UK Addendum) für Daten aus dem Vereinigten Königreich.
2. Hat der Kunde seinen Sitz im Vereinigten Königreich, gilt dieser Vertrag auch als der nach Artikel 28 UK GDPR erforderliche Vertrag.
3. Hat der Kunde seinen Sitz in den Vereinigten Staaten, handelt der Auftragsverarbeiter als Dienstleister (service provider). Der Auftragsverarbeiter wird (i) die personenbezogenen Informationen weder verkaufen noch teilen, (ii) sie für keinen anderen Zweck aufbewahren, verwenden oder offenlegen als die Erbringung der in Artikel 1 beschriebenen Leistung und (iii) sie nicht mit personenbezogenen Informationen zusammenführen, die er von anderen erhält. Er hält den California Consumer Privacy Act (CCPA) ein und bietet dasselbe Schutzniveau. Kann er diese Pflichten nicht mehr erfüllen, teilt er das dem Kunden mit, und der Kunde kann angemessene Schritte ergreifen, um eine unbefugte Nutzung zu unterbinden.

Artikel 13. Annahme. Der Kunde nimmt diesen Vertrag beim Abschluss der Bestellung an, zusammen mit den Allgemeinen Geschäftsbedingungen.

Artikel 14. Sprache. Diesen Vertrag gibt es auf Niederländisch, Englisch und Deutsch. Bei Abweichungen gilt die niederländische Fassung.

Mustersatz für die eigene Datenschutzerklärung des Kunden. Der Kunde informiert seine eigenen Kunden selbst. Ein Satz, der verwendet werden kann: „Ich nutze Dienstleister, auch KI-Dienste, zur Unterstützung meiner Arbeit. Sie verarbeiten Daten nur nach meinen Weisungen.“