Auftragsverarbeitungsvertrag (AVV)

§ 1 Vertragsparteien

Verantwortlicher (Auftraggeber): Der Nutzer des PII-Anonymisierungsdienstes (nachfolgend „Auftraggeber")

§ 2 Gegenstand und Dauer der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen des PII-Anonymisierungsdienstes.

• Zweck: Automatisierte Erkennung und Pseudonymisierung personenbezogener Daten in Texten, bevor diese an KI-Sprachmodelle (LLMs) übermittelt werden.
• Dauer: Die Verarbeitung erfolgt ausschließlich für die Dauer des einzelnen API-Aufrufs. Originaltexte werden nur im Arbeitsspeicher (RAM) verarbeitet und nicht gespeichert. Zuordnungstabellen werden temporär für maximal 1 Stunde im Cache gehalten und danach automatisch gelöscht.
• Art der Verarbeitung: Automatisierte Texterkennung, Musterabgleich (Pattern Matching), KI-basierte Named Entity Recognition, Pseudonymisierung durch Platzhalter-Ersetzung.

§ 3 Art der personenbezogenen Daten

Folgende Kategorien personenbezogener Daten können im Rahmen der Verarbeitung betroffen sein:

• Vollständige Namen, Vor- und Nachnamen
• E-Mail-Adressen, Telefonnummern
• Postadressen (Straße, PLZ, Stadt)
• IBANs, Kreditkartennummern, Kryptowährungs-Wallets
• Personalausweisnummern, Steuernummern, Sozialversicherungsnummern (EU-weit)
• Geburtsdaten
• IP-Adressen
• Profil-URLs auf Social-Media- und Entwicklerplattformen (35+ Plattformen, nur Username-Teil)
• Unternehmens- und Bereichsabkürzungen (3-4 Großbuchstaben)

§ 4 Kategorien betroffener Personen

Betroffene Personen sind diejenigen natürlichen Personen, deren personenbezogene Daten in den vom Auftraggeber übermittelten Texten enthalten sind. Dies können insbesondere sein:

• Mitarbeiter und Beschäftigte des Auftraggebers
• Kunden und Geschäftspartner des Auftraggebers
• Kontaktpersonen und Ansprechpartner
• Sonstige in Texten erwähnte natürliche Personen

§ 5 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

• Weisungsgebundenheit: Die Verarbeitung erfolgt ausschließlich auf Grundlage der dokumentierten Weisungen des Auftraggebers. Die Nutzung der API stellt eine solche Weisung dar.
• Vertraulichkeit: Alle mit der Verarbeitung betrauten Personen sind zur Vertraulichkeit verpflichtet.
• Sicherheit der Verarbeitung: Der Auftragsverarbeiter trifft die in der Anlage TOM beschriebenen technisch-organisatorischen Maßnahmen (Art. 32 DSGVO).
• Unterauftragsverarbeiter: Es werden keine Unterauftragsverarbeiter eingesetzt. Die gesamte Verarbeitung erfolgt auf eigenen Servern in Deutschland.
• Unterstützung: Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Erfüllung seiner Pflichten nach Art. 32-36 DSGVO.
• Löschung: Originaltexte werden nach der Verarbeitung sofort aus dem RAM gelöscht. Zuordnungstabellen werden nach spätestens 1 Stunde automatisch gelöscht. Eine manuelle Sofortlöschung ist per API möglich.
• Nachweispflicht: Der Auftragsverarbeiter stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung seiner Pflichten zur Verfügung.

§ 6 Pflichten des Auftraggebers

Der Auftraggeber ist dafür verantwortlich, dass:

• die Übermittlung der personenbezogenen Daten an den Auftragsverarbeiter rechtmäßig erfolgt
• die Rechte der betroffenen Personen gewährleistet sind
• der Dienst nur für Texte genutzt wird, deren Verarbeitung der Auftraggeber verantworten darf

§ 7 Technisch-organisatorische Maßnahmen

Die konkreten technisch-organisatorischen Maßnahmen sind in einem separaten TOM-Dokument beschrieben:

→ TOM-Dokument anzeigen

Zusammenfassung der wichtigsten Maßnahmen:

• ✓ Verschlüsselung: TLS 1.3 für alle Übertragungen, Session-basierte Isolation (UUID)
• ✓ Lokale Verarbeitung: Alle Server in Deutschland, kein Datentransfer in Drittländer
• ✓ Datenminimierung: Nur RAM-Verarbeitung, keine dauerhafte Speicherung von Originaltexten
• ✓ Keine Inhalts-Logs: Es werden keine übermittelten Texte oder PII-Inhalte protokolliert
• ✓ Automatische Löschung: Zuordnungstabellen nach maximal 1 Stunde

§ 8 Datenübermittlung in Drittländer

Eine Übermittlung personenbezogener Daten in Drittländer oder an internationale Organisationen findet nicht statt. Die gesamte Verarbeitung erfolgt ausschließlich auf Servern in Deutschland. Die eingesetzten KI-Modelle (SpaCy NER) laufen lokal auf denselben Servern.

§ 9 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich über jede Verletzung des Schutzes personenbezogener Daten gemäß Art. 33 DSGVO. Kontakt: info@schiller-partners.de

§ 10 Beendigung

Nach Beendigung der Nutzung des Dienstes werden alle temporären Daten automatisch gelöscht. Da keine personenbezogenen Daten dauerhaft gespeichert werden (RAM-only-Verarbeitung, max. 1h Cache für Zuordnungstabellen), entfällt eine gesonderte Lösch- oder Rückgabepflicht.

§ 11 Haftung

Die Haftung richtet sich nach Art. 82 DSGVO. Der Auftragsverarbeiter haftet für Schäden, die durch eine nicht den Weisungen des Auftraggebers entsprechende Verarbeitung oder durch Verstöße gegen seine Pflichten aus diesem Vertrag entstehen.

§ 12 Schlussbestimmungen

• Es gilt deutsches Recht.
• Gerichtsstand ist Dortmund.
• Änderungen und Ergänzungen bedürfen der Schriftform.
• Dieser AVV tritt mit der ersten Nutzung des PII-Anonymisierungsdienstes durch den Auftraggeber in Kraft.