AVV
Vereinbarung über die Verarbeitung personenbezogener Daten
Zwischen
(1) Forgent AI GmbH, Humboldtinsel 33, 13507 Berlin (nachfolgend „Auftragsverarbeiter“; Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO)
und
(2) dem Kunden in seiner im Hauptvertrag (Service Order nebst Allgemeinem Vertragsteil) bezeichneten Identität (nachfolgend „Auftraggeber"; Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO)
– nachfolgend gemeinsam „Parteien“ und einzeln „Partei“ –
wird dieser Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung – DSGVO) geschlossen.
Soweit in untenstehendem AVV der Begriff „Kunde“ verwendet wird, ist damit stets der Auftraggeber gemeint.
PRÄAMBEL
Der Auftragsverarbeiter ist ein Anbieter von Software- und Produktlösungen im Bereich der künstlichen Intelligenz („KI"), insbesondere mit Fokus auf Beschaffung und Ausschreibungen. Der Auftragsverarbeiter bietet dem Kunden Zugang zu KI-Softwaretools, die die Identifizierung, Verwaltung und Durchführung von Ausschreibungsmöglichkeiten durch Automatisierung relevanter administrativer und analytischer Aufgaben unterstützen („Leistung"), gemäß dem Hauptvertrag zwischen den Parteien („Hauptvertrag").
Im Rahmen der Durchführung des Hauptvertrags stellt der Kunde (als Verantwortlicher) dem Auftragsverarbeiter personenbezogene Daten zur Verfügung („personenbezogene Daten des Kunden"), die der Auftragsverarbeiter im Auftrag des Kunden verarbeitet.
Soweit dieser AVV Begriffe verwendet, die in der DSGVO definiert sind, haben diese die ihnen in der DSGVO festgelegte Bedeutung.
Gegenstand und Umfang des AVV
Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten des Kunden im Auftrag und nach Weisung des Kunden (Auftragsverarbeitung im Sinne von Art. 28 DSGVO). Der Kunde bleibt Verantwortlicher.
Umfang, Art und Zweck der Verarbeitung der personenbezogenen Daten des Kunden durch den Auftragsverarbeiter sind im Hauptvertrag und in Anlage 1 zu diesem AVV festgelegt; die Verarbeitung bezieht sich auf die dort genannten Arten der personenbezogenen Daten und Kategorien betroffener Personen. Die personenbezogenen Daten umfassen keine besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO.
Die Parteien schließen diesen AVV, um die gegenseitigen Rechte und Pflichten nach der DSGVO zu konkretisieren. Im Zweifel haben die Bestimmungen dieses AVV Vorrang vor den Bestimmungen des Hauptvertrags in Bezug auf die Verarbeitung der personenbezogenen Daten des Kunden. Regelungen, die in der Service Order ausdrücklich als Abweichung von oder Ergänzung zu einer bestimmten Bestimmung dieses AVV bezeichnet sind, gehen der jeweils bezeichneten Bestimmung dieses AVV jedoch vor.
Der Auftragsverarbeiter verpflichtet sich ausdrücklich, dass die über die Leistung verarbeiteten vertraulichen geschäftlichen Informationen des Kunden, einschließlich, aber nicht beschränkt auf Ausschreibungsunterlagen, Angebote, Preisinformationen, Angebotsstrategien und sonstige inhaltliche Unterlagen („Kundeninhalte"), NICHT verwendet werden für:
Training, Verbesserung oder Entwicklung von KI-Modellen, die anderen Kunden zugänglich sind
Erstellung von Branchen-Benchmarks oder Wettbewerbsanalysen
Jeder andere Zweck als die Erbringung der vertraglich geschuldeten Leistung für diesen Kunden
Diese Verpflichtung gilt unabhängig davon, ob Kundeninhalte personenbezogene Daten enthalten.
Der Kunde kann auf freiwilliger Basis und nur aufgrund einer gesonderten Vereinbarung sowie ausdrücklicher Einwilligung an optionalen Datenaustauschprogrammen teilnehmen. Solche Programme unterliegen separaten Bedingungen; die Leistung für nicht teilnehmende Kunden bleibt hiervon unberührt.
Der Auftragsverarbeiter darf Nutzungsdaten für eigene Zwecke (als Verantwortlicher) verarbeiten, soweit dies aufgrund einer gesetzlichen Erlaubnis oder einer Einwilligung der betroffenen Person zulässig ist. Dies umfasst insbesondere:
Technische Nutzungsinformationen (Funktionsnutzung, Performance-Kennzahlen, Fehlerprotokolle)
Benutzerinteraktionsmuster (Navigationspfade, Funktionspräferenzen, Sitzungsdauer)
Systemfeedback-Daten (Genauigkeitsbewertungen, Fehlerkorrekturen – unter Ausschluss der zugrunde liegenden Kundeninhalte)
Such- und Abfragemuster (verwendete Suchbegriffe, Filterkombinationen, Sortierpräferenzen – unter Ausschluss der konkreten Ausschreibungsinhalte)
Dokumentenverarbeitungsmetadaten (Dateitypen, Dateigrößen, Verarbeitungszeiten, Seitenanzahl – unter Ausschluss der Dokumenteninhalte)
Integrations- und API-Nutzung (genutzte Integrationen, API-Aufrufmuster, Datensynchronisierungsfrequenzen)
Zeitliche Nutzungsmuster (Anmeldezeiten, Spitzennutzungszeiten, saisonale Funktionsnutzung)
Modellleistungsmetriken (Inferenzzeiten, Konfidenzbewertungen, Ressourcenverbrauch – unter Ausschluss von Eingabe- und Ausgabeinhalten)
User-Journey-Analysen (Onboarding-Abschlussraten, Funktionsadoptionssequenzen, Time-to-Value-Kennzahlen)
Support-Interaktionsmetadaten (Ticketkategorien, Lösungszeiten, FAQ-Nutzung – unter Ausschluss der Inhalte einzelner Supportfälle)
Zusammenarbeitsmuster (Teamgröße, Häufigkeit der Freigaben, Berechtigungsmuster – unter Ausschluss der geteilten Inhalte)
Sonstige technische Metadaten, die für den Betrieb, die Sicherheit und die Leistungsoptimierung erforderlich sind und keine Kundeninhalte enthalten oder offenbaren
Eine solche Nutzungsdatenverarbeitung erfolgt ausschließlich für:
Erfüllung des Hauptvertrags
Technische Verbesserung und Optimierung der Leistung
Bereitstellung von Nutzungsanalysen für den Kunden
IT- und Datensicherheitszwecke
Fehlerdiagnose und -behebung
Der Auftragsverarbeiter verpflichtet sich, auch bei Verarbeitung als Verantwortlicher die in Abschnitt 5 dieses AVV vorgesehenen Datenschutzmaßnahmen in gleicher Weise anzuwenden. Der Auftragsverarbeiter darf Nutzungsdaten (wie in Abschnitt 2.5 definiert) anonymisieren und aggregieren, sodass eine Identifizierung einzelner betroffener Personen oder bestimmter Kunden nicht mehr möglich ist, und diese Daten zur Verbesserung der Leistung verwenden. Solche anonymisierten und aggregierten Daten:
Schließen alle Kundeninhalte aus
Lassen keine Rückschlüsse auf einzelne Kunden oder betroffene Personen zu
Gelten für die Zwecke dieses AVV nicht als personenbezogene Daten
Die Verarbeitung der personenbezogenen Daten des Kunden durch den Auftragsverarbeiter erfolgt grundsätzlich innerhalb der Europäischen Union oder eines anderen Vertragsstaats des Europäischen Wirtschaftsraums (EWR). Eine Verarbeitung außerhalb des EWR ist zulässig, sofern der Auftragsverarbeiter den Kunden vorab über den Ort der Verarbeitung informiert und die Voraussetzungen der Art. 44 bis 48 DSGVO erfüllt sind oder ein Ausnahmetatbestand nach Art. 49 DSGVO eingreift.
Pflichten des Kunden
Der Kunde ist als Verantwortlicher allein für die Beurteilung der Rechtmäßigkeit der Verarbeitung der personenbezogenen Daten sowie für die Wahrung der Rechte der betroffenen Personen im Verhältnis zwischen den Parteien verantwortlich; dies gilt unbeschadet der gesetzlichen Pflichten des Auftragsverarbeiters sowie seiner Unterstützungs- und Mitwirkungspflichten nach diesem AVV.
Auf Anfrage stellt der Kunde dem Auftragsverarbeiter die in Art. 30 Abs. 2 DSGVO genannten Informationen zur Verfügung, soweit sie dem Auftragsverarbeiter nicht selbst vorliegen.
Sofern der Auftragsverarbeiter verpflichtet ist, einer Behörde oder sonstigen öffentlichen Stelle Auskunft über die Verarbeitung der personenbezogenen Daten des Kunden zu erteilen oder in sonstiger Weise mit diesen Stellen zu kooperieren, ist der Kunde verpflichtet, den Auftragsverarbeiter auf erstes Anfordern bei der Erteilung solcher Auskünfte und bei der Erfüllung sonstiger Mitwirkungspflichten zu unterstützen.
Weisungsrecht
Der Auftragsverarbeiter darf die personenbezogenen Daten des Kunden nur im Rahmen des Hauptvertrags, dieses AVV und nach Weisung des Kunden verarbeiten. Ist der Auftragsverarbeiter aufgrund des Rechts der Europäischen Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, zu einer weitergehenden Verarbeitung der personenbezogenen Daten des Kunden verpflichtet, teilt der Auftragsverarbeiter dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, soweit dies rechtlich zulässig ist.
Die Weisungen des Kunden sind zunächst im Hauptvertrag und diesem AVV festgelegt und können vom Kunden nachträglich in Textform durch Einzelweisungen geändert, ergänzt oder ersetzt werden. Der Kunde ist berechtigt, entsprechende Weisungen jederzeit zu erteilen. Dies umfasst insbesondere Weisungen zur Berichtigung und Löschung der personenbezogenen Daten des Kunden sowie zur Einschränkung der Verarbeitung. Für beide Parteien sind zur Erteilung bzw. Entgegennahme von Weisungen ausschließlich bevollmächtigte Personen berechtigt, sofern die Parteien nichts Abweichendes vereinbaren.
Sämtliche erteilten Weisungen sind vom Kunden und vom Auftragsverarbeiter in Textform zu dokumentieren. Weisungen, die über die im Hauptvertrag vereinbarte Leistung hinausgehen, werden als Änderungsantrag behandelt und unterliegen dem im Hauptvertrag geregelten Änderungsverfahren.
Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung des Kunden gegen diesen AVV oder geltende Datenschutzvorschriften verstößt, hat er den Kunden unverzüglich zu informieren. Der Auftragsverarbeiter ist berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis sie vom Kunden bestätigt oder geändert wird.
Schutzmaßnahmen des Auftragsverarbeiters
Der Auftragsverarbeiter gestaltet in seinem Verantwortungsbereich seine interne Organisation so, dass sie den besonderen Anforderungen der geltenden Datenschutzgesetze entspricht. Der Auftragsverarbeiter ist verpflichtet, unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung der personenbezogenen Daten des Kunden sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der betroffenen Personen gemäß Art. 32 DSGVO geeignete technische und organisatorische Maßnahmen zu treffen, mindestens einschließlich der in Anlage 2 aufgeführten Maßnahmen, und diese für die Laufzeit dieses AVV aufrechtzuerhalten. Eine vollständige Übersicht aller technischen und organisatorischen Maßnahmen, einschließlich etwaiger zusätzlicher Maßnahmen über die in Anlage 2 aufgeführten hinaus, ist im Trust Center des Auftragsverarbeiters zu finden (hier: https://trust.forgent.ai/).
Die technischen und organisatorischen Maßnahmen können an zukünftige technologische Entwicklungen angepasst werden. Die angepassten Maßnahmen müssen mindestens dem Sicherheitsniveau der in Anlage 2 vereinbarten Maßnahmen entsprechen. Der Auftragsverarbeiter informiert den Kunden über wesentliche Änderungen in Textform.
Beim Auftragsverarbeiter tätigen Personen ist es untersagt, personenbezogene Daten des Kunden ohne Berechtigung zu verarbeiten. Der Auftragsverarbeiter verpflichtet alle Personen, die mit der Verarbeitung personenbezogener Daten des Kunden oder der Erfüllung dieses AVV befasst sind, entsprechend und belehrt sie über die besonderen datenschutzrechtlichen Pflichten aus diesem AVV sowie über die bestehende Weisungs- und Zweckbindung. Der Auftragsverarbeiter verpflichtet diese Personen zur Vertraulichkeit in Bezug auf die Verarbeitung personenbezogener Daten des Kunden.
Anfragen und Rechte betroffener Personen
Der Auftragsverarbeiter unterstützt den Kunden im zumutbaren und erforderlichen Umfang durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung der Pflichten des Kunden gemäß Art. 12 bis 22 DSGVO; etwaige zusätzliche Aufwände und Kosten des Auftragsverarbeiters sind vom Kunden zu erstatten.
Macht eine betroffene Person Betroffenenrechte unmittelbar gegenüber dem Auftragsverarbeiter geltend, verweist dieser die betroffene Person unverzüglich an den Kunden, informiert sie über seine Rolle als Auftragsverarbeiter und leitet das Ersuchen an den Kunden weiter; eine eigenständige inhaltliche Beantwortung erfolgt nur auf Weisung des Kunden.
Unterstützungs- und Mitteilungspflichten des Auftragsverarbeiters
Der Auftragsverarbeiter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Pflichten des Kunden gemäß Art. 32 DSGVO.
Soweit der Kunde aufgrund einer Verletzung des Schutzes der personenbezogenen Daten des Kunden einer gesetzlichen Meldepflicht unterliegt (insbesondere gemäß Art. 33, 34 DSGVO), informiert der Auftragsverarbeiter den Kunden unverzüglich über meldepflichtige Ereignisse in seinem Verantwortungsbereich. Der Auftragsverarbeiter unterstützt den Kunden auf dessen Anfrage bei der Erfüllung der Meldepflichten im zumutbaren und erforderlichen Umfang gegen Erstattung der dem Auftragsverarbeiter dadurch entstehenden zusätzlichen Aufwendungen und Kosten.
Der Auftragsverarbeiter unterstützt den Kunden im zumutbaren und erforderlichen Umfang bei der Durchführung von Datenschutz-Folgenabschätzungen sowie – falls erforderlich – bei anschließenden Konsultationen mit der Aufsichtsbehörde gemäß Art. 35, 36 DSGVO; etwaige zusätzliche Aufwände und Kosten des Auftragsverarbeiters sind vom Kunden zu erstatten.
Kontrollrechte des Kunden
Der Auftragsverarbeiter stellt dem Kunden auf dessen Anfrage sämtliche ihm verfügbaren Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten des Auftragsverarbeiters aus diesem AVV erforderlich sind.
Der Kunde ist berechtigt, den Auftragsverarbeiter hinsichtlich der Einhaltung der Bestimmungen dieses AVV zu prüfen; dies umfasst insbesondere die Überprüfung der Umsetzung der technischen und organisatorischen Maßnahmen einschließlich Inspektionen.
Der Kunde führt Inspektionen nur im erforderlichen Umfang und gegen Erstattung zusätzlicher Kosten und Aufwände durch. Inspektionen dürfen die betrieblichen Abläufe des Auftragsverarbeiters nicht unverhältnismäßig stören. Nach rechtzeitiger Vorankündigung gemäß Abschnitt 8.4 ist der Kunde zur Durchführung von Inspektionen berechtigt, die Geschäftsräume des Auftragsverarbeiters, in denen personenbezogene Daten des Kunden verarbeitet werden, während der üblichen Geschäftszeiten (Montag bis Freitag von 9:00 bis 18:00 Uhr MEZ/MESZ) auf eigene Kosten, ohne Störung des Geschäftsbetriebs und unter strikter Wahrung der Geschäfts- und Betriebsgeheimnisse des Auftragsverarbeiters zu betreten.
Der Kunde informiert den Auftragsverarbeiter mindestens zwei Wochen im Voraus über die Einzelheiten und Modalitäten der Durchführung der Prüfung. Der Kunde darf eine Prüfung pro Kalenderjahr durchführen. Diese Regelung gilt nicht für Prüfungen nach einem Sicherheitsvorfall, der die Voraussetzungen des Art. 33 oder Art. 34 DSGVO erfüllt.
Der Auftragsverarbeiter ist berechtigt, im Rahmen der Prüfung Informationen nicht offenzulegen, soweit dies zum Schutz von Betriebs- und Geschäftsgeheimnissen oder sonstigen vertraulichen Informationen erforderlich ist oder eine Offenlegung gegen gesetzliche Vorschriften oder vertragliche Pflichten verstoßen würde. Gesetzliche Prüfungs- und Auskunftsrechte des Kunden bleiben unberührt. Der Kunde ist nicht berechtigt, Zugang zu Daten oder Informationen über andere Kunden des Auftragsverarbeiters, Kosteninformationen, Qualitätskontroll- und Vertragsmanagementberichte oder sonstige vertrauliche Daten des Auftragsverarbeiters zu erhalten, soweit diese für die vereinbarten Prüfungszwecke nicht unmittelbar relevant sind.
Beauftragt der Kunde einen Dritten mit der Durchführung der Prüfung, verpflichtet der Kunde den Dritten schriftlich in gleicher Weise, wie der Kunde gegenüber dem Auftragsverarbeiter gemäß diesem Abschnitt des AVV verpflichtet ist. Darüber hinaus verpflichtet der Kunde den Dritten zur Geheimhaltung und Vertraulichkeit, sofern der Dritte nicht bereits einer beruflichen Verschwiegenheitspflicht unterliegt. Auf Verlangen des Auftragsverarbeiters übermittelt der Kunde dem Auftragsverarbeiter unverzüglich eine Kopie der Verpflichtungsvereinbarung mit dem Dritten. Der Kunde darf keinen Wettbewerber des Auftragsverarbeiters mit der Durchführung der Prüfung beauftragen.
Der Kunde dokumentiert die Ergebnisse der von ihm durchgeführten oder beauftragten Prüfungen und informiert den Auftragsverarbeiter über deren Ergebnis. Stellt der Kunde während der Prüfung Fehler oder Unregelmäßigkeiten fest, informiert er den Auftragsverarbeiter unverzüglich. Werden im Rahmen der Prüfung Umstände festgestellt, die zur Vermeidung vergleichbarer Vorkommnisse künftig Änderungen des beauftragten Verfahrens erfordern, teilt der Kunde dem Auftragsverarbeiter die erforderlichen Verfahrensänderungen unverzüglich mit.
Nach (pflichtgemäßem) Ermessen des Auftragsverarbeiters kann der Nachweis der Einhaltung der Verpflichtungen aus diesem AVV anstelle einer Inspektion durch die Vorlage eines geeigneten und aktuellen Gutachtens oder Berichts einer unabhängigen Stelle (z. B. Wirtschaftsprüfer, Revisionsabteilung, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzprüfer oder Qualitätsprüfer) oder durch eine geeignete Zertifizierung im Bereich IT-Sicherheit oder Datenschutz (z. B. nach BSI-Grundschutz) erbracht werden. Dies gilt, sofern der Prüfbericht dem Kunden in angemessener Weise ermöglicht, sich von der Einhaltung der vertraglichen Verpflichtungen zu überzeugen, und sofern zwingendes Recht nichts Abweichendes vorsieht.
Einsatz von Unterauftragsverarbeitern
Der Kunde erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Beauftragung weiterer Unterauftragsverarbeiter mit der Verarbeitung der personenbezogenen Daten des Kunden. Die im Trust Center des Auftragsverarbeiters (abrufbar unter https://trust.forgent.ai) aufgeführten Unterauftragsverarbeiter gelten als vom Kunden genehmigt. Der Auftragsverarbeiter ist berechtigt, im Rahmen seiner vertraglichen Verpflichtungen weitere Unterauftragsverhältnisse mit Unterauftragsverarbeitern zu begründen. Der Auftragsverarbeiter ist verpflichtet, Unterauftragsverarbeiter sorgfältig nach ihrer Eignung und Zuverlässigkeit auszuwählen.
Der Auftragsverarbeiter informiert den Kunden über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern rechtzeitig in Textform (z. B. per E-Mail oder über eine im Trust Center abonnierbare Benachrichtigung). Im Einzelfall hat der Kunde das Recht, der Beauftragung eines potenziellen Unterauftragsverarbeiters zu widersprechen. Ein Widerspruch kann nur aus wichtigen Gründen erhoben werden, die näher zu klären sind. Soweit der Kunde nicht innerhalb von 14 Tagen nach Erhalt der Mitteilung in Textform widerspricht, erlischt sein Widerspruchsrecht gegen die entsprechende Beauftragung. Widerspricht der Kunde, ist der Auftragsverarbeiter berechtigt, den Hauptvertrag und diesen AVV mit einer Kündigungsfrist von drei Monaten zu kündigen.
Die Vereinbarung zwischen dem Auftragsverarbeiter und dem weiteren Unterauftragsverarbeiter muss dieselben Pflichten auferlegen, wie sie dem Auftragsverarbeiter nach diesem AVV obliegen. Die Parteien sind sich einig, dass diese Anforderung erfüllt ist, wenn der Vertrag ein dem AVV entsprechendes Schutzniveau gewährleistet.
Vorbehaltlich der Einhaltung der Anforderungen gemäß Abschnitt 2.7 gelten die Bestimmungen dieses Abschnitts auch, wenn ein weiterer Unterauftragsverarbeiter in einem Drittland einbezogen wird. Die Parteien sind sich einig, dass in diesem Fall die Anforderungen gemäß Abschnitt 9.3 erfüllt sind, wenn die anwendbaren EU-Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer mit dem weiteren Unterauftragsverarbeiter im Drittland abgeschlossen werden. Der Kunde erklärt seine Bereitschaft, bei der Erfüllung der Anforderungen des Art. 49 DSGVO im erforderlichen Umfang mitzuwirken.
Die Beauftragung Dritter mit Leistungen, die als reine Nebenleistungen des Auftragsverarbeiters anzusehen sind, stellt kein Unterauftragsverhältnis im Sinne dieser Bestimmungen dar. Dies umfasst beispielsweise Post-, Transport- und Versanddienstleistungen, Reinigungsdienste, Telekommunikationsdienstleistungen ohne spezifischen Bezug zu Leistungen, die der Auftragsverarbeiter für den Kunden erbringt, sowie Sicherheitsdienste und sonstige Maßnahmen zur Gewährleistung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hardware und Software von Datenverarbeitungssystemen. Die Pflicht des Auftragsverarbeiters, die Einhaltung von Datenschutz und Datensicherheit in diesen Fällen sicherzustellen, bleibt unberührt.
Haftung
Es gelten die Haftungsbeschränkungen des Hauptvertrags.
Soweit Dritte Ansprüche gegen den Auftragsverarbeiter geltend machen, die auf einer schuldhaften Verletzung dieses AVV oder einer Pflicht des Kunden als Verantwortlicher nach der DSGVO beruhen, stellt der Kunde den Auftragsverarbeiter von diesen Ansprüchen frei und hält ihn schadlos.
Der Kunde verpflichtet sich, den Auftragsverarbeiter von gegen ihn verhängten Bußgeldern freizustellen, in dem Umfang, in dem diese auf einem Verstoß beruhen, für den der Kunde (mit-)verantwortlich ist.
Laufzeit und Kündigung
Die Laufzeit dieses AVV richtet sich nach der Laufzeit des Hauptvertrags, sofern dieser AVV nichts Abweichendes erfordert.
Die Beendigung dieses AVV richtet sich nach den jeweiligen Bestimmungen des Hauptvertrags. Mit Beendigung des Hauptvertrags endet dieser AVV. Eine gesonderte Kündigung dieses AVV ist ausgeschlossen.
Löschung der personenbezogenen Daten des Kunden
Nach Beendigung des Hauptvertrags oder jederzeit auf schriftliches Verlangen des Kunden (Textform ist ausreichend) löscht der Auftragsverarbeiter sämtliche ihm vom Kunden überlassenen personenbezogenen Daten, sofern er nicht aufgrund gesetzlicher Aufbewahrungspflichten zu einer weiteren Speicherung verpflichtet ist.
Schlussbestimmungen
Dieser AVV ist Bestandteil des Hauptvertrags und wird mit dessen Abschluss (Unterzeichnung der Service Order) zwischen den Parteien wirksam; eine gesonderte Unterzeichnung dieses AVV ist nicht erforderlich. Mit Unterzeichnung der Service Order bestätigt der Kunde, diesen AVV in seiner zum Zeitpunkt des Vertragsschlusses auf der Website von Forgent AI GmbH veröffentlichten Fassung zur Kenntnis genommen zu haben und als verbindlich anzuerkennen.
Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden oder eine Lücke aufweisen, bleiben die übrigen Bestimmungen unberührt. Die Parteien verpflichten sich, die unwirksame Bestimmung durch eine rechtlich zulässige Bestimmung zu ersetzen, die dem Zweck der unwirksamen Bestimmung am nächsten kommt und dabei die Anforderungen des Art. 28 DSGVO erfüllt.
Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit dem AVV ist Berlin, Deutschland. Der Auftragsverarbeiter ist darüber hinaus berechtigt, den Kunden am Sitz des Kunden oder vor einem zuständigen Gericht zu verklagen.
Es gilt das Recht der Bundesrepublik Deutschland.
Anlagen zu diesem AVV
Anlage 1: Beschreibung der Datenarten und Kategorien betroffener Personen
Anlage 2: Technische und organisatorische Maßnahmen des Auftragsverarbeiters
Anlage 3: Genehmigte Unterauftragsverarbeiter
Anlage 1: Beschreibung der Datenarten und Kategorien betroffener Personen
Betroffene Personen und Personengruppen
Insbesondere:
• Beschäftigte, Freiberufler und Vertreter des Kunden
• Beschäftigte und Vertreter der Kunden des Kunden (z. B. öffentliche Auftraggeber (ausschreibende Stelle))
Datenarten oder Datenkategorien
Insbesondere:
• Kontodaten (Name, geschäftliche E-Mail-Adresse, IP-Adresse, Telefonnummer)
• Zahlungsdaten (Name, Rechnungsadresse, E-Mail-Adresse)
• Kommunikationsdaten
• Zugangs- und Nutzungsdaten
• Berufserfahrungsdaten (einschl. Ausbildung, frühere/aktuelle Arbeitgeber)
• Kontaktdaten (Name, E-Mail-Adresse und Telefonnummer, Adresse)
Art und Zweck der Verarbeitung
Art der Verarbeitung:
• Erhebung, Nutzung, Speicherung, Anonymisierung und Löschung personenbezogener Daten
Zweck der Verarbeitung:
• Bereitstellung der Leistungen des Auftragsverarbeiters über das Internet (d. h. SaaS-Vertrieb, KI-gestützte Analyse von Ausschreibungsunterlagen)
• Bereitstellung von Support-Leistungen für den Kunden und seine Beschäftigten
Anlage 2: Technische und organisatorische Maßnahmen des Auftragsverarbeiters
§ 1 Vertraulichkeit gemäß Art. 32 Abs. 1 DSGVO
(1) Zutrittskontrolle
Maßnahmen, die geeignet sind, Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten des Kunden verarbeitet oder genutzt werden, zu verwehren:
Technische Maßnahmen
X Manuelles Schließsystem
X Automatisches Zugangskontrollsystem
X Zugangsprotokollierung
Organisatorische Maßnahmen
X Schlüsselregelung/-liste
X Begleitung von Besuchern durch Beschäftigte
X Sorgfältige Auswahl des Reinigungsdienstes
X Regelmäßige Überprüfung der Zugangsberechtigungen
X Dienstanweisungen zum Umgang mit Zugangskontrollen
X Besucherbuch
X Begleitung von Besuchern durch Beschäftigte
(2) Zugangskontrolle
Maßnahmen, die geeignet sind, zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können:
Technische Maßnahmen
X Anmeldung mit Benutzername und Passwort
X Passwort selbst durch Hash-Funktionen oder ähnliche Verfahren gesichert
X Sperrung des Benutzerkontos nach einer bestimmten Anzahl fehlgeschlagener Anmeldeversuche
X Systemseitige Verpflichtung zur Einhaltung von Passwortrichtlinien
X Verschlüsselung von Datenträgern
X Firewall
X Intrusion Detection System
X Protokollierung von Fernzugriffen
X BitLocker oder andere Notebooks-/Tablets-Verschlüsselung
Organisatorische Maßnahmen
X Verwaltung von Benutzerberechtigungen
X Richtlinie 'Sicheres Passwort'
X Vergabe von Benutzerberechtigungen nach dem Need-to-know-Prinzip
X Richtlinie 'Datenschutz und/oder Informationssicherheit'
X Richtlinie 'Mobile Geräte'
X Richtlinie 'Mobiles Arbeiten'
X Verwendung von 2-Faktor-Authentifizierung für Fernzugriff
(3) Zugriffskontrolle
Maßnahmen, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden personenbezogenen Daten des Kunden zugreifen können und dass personenbezogene Daten des Kunden bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können:
Technische Maßnahmen
X Protokollierung von Zugriffen auf Anwendungsebene (Eingabe, Änderung, Löschung)
X Authentifizierung über IDP, SAML 2.0, OAuth 2.0
Organisatorische Maßnahmen
X Verwaltung von Benutzerrechten durch Administratoren
X 2-Faktor-Authentifizierung für Administratoren
(4) Trennungskontrolle
Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene personenbezogene Daten des Kunden getrennt verarbeitet werden:
Technische Maßnahmen
X Trennung von Produktions- und Testumgebung
X E-Mail-Verschlüsselung (Ende-zu-Ende oder Transport)
X Logische Mandantentrennung
X Laufwerksverschlüsselung
Organisatorische Maßnahmen
X Definition von Datenbankrechten
X Datensätze werden mit Zweckattributen versehen
§ 2 Pseudonymisierung und Verschlüsselung gemäß Art. 32 Abs. 1 lit. a und Art. 25 Abs. 1 DSGVO
Maßnahmen, die gewährleisten, dass personenbezogene Daten des Kunden ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen:
Technische Maßnahmen
Pseudonymisierung: Trennung der Zuordnungsdaten und Speicherung in separaten und sicheren Systemen (möglichst verschlüsselt)
Organisatorische Maßnahmen
Interne Anweisung zur Anonymisierung/Pseudonymisierung personenbezogener Daten des Kunden nach Übermittlung oder nach Ablauf der gesetzlichen Löschfrist
§ 3 Vertraulichkeit (Beschäftigtenbelehrung), Art. 32 Abs. 1 lit. b DSGVO
Maßnahmen, die gewährleisten, dass Beschäftigte hinreichend auf die geltenden rechtlichen Verpflichtungen hingewiesen werden:
Technische Maßnahmen
Organisatorische Maßnahmen
X Datenschutzschulung für neue Beschäftigte erfolgt zeitnah
X Informationssicherheitsschulungen werden regelmäßig durchgeführt
X Relevante Richtlinien sind leicht auffindbar
X Sensibilisierung der Beschäftigten für den Umgang mit personenbezogenen Daten des Kunden im Umgang mit externen Partnern
§ 4 Integrität gemäß Art. 32 Abs. 1 DSGVO
(1) Weitergabekontrolle
Maßnahmen, die gewährleisten, dass personenbezogene Daten des Kunden bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträgern nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten des Kunden durch Einrichtungen zur Datenübertragung vorgesehen ist:
Technische Maßnahmen
X Data Loss Prevention
X E-Mail-Verschlüsselung
X Protokollierung von Zugriffen und Abrufen
X Verschlüsselte Verbindungen (Daten bei Übertragung)
X Verschlüsselte Speicherung (Daten im Ruhezustand: Festplatten/Ausdrucke)
Organisatorische Maßnahmen
X Dokumentation der Datenempfänger und der Dauer der geplanten Übermittlung oder Löschfristen
(2) Dokumentationskontrolle
Technische Maßnahmen
Organisatorische Maßnahmen
X Dokumentation der verwendeten IT-Systeme und deren Systemkonfiguration
§ 5 Verfügbarkeit und Belastbarkeit gemäß Art. 32 Abs. 1 lit. b DSGVO sowie Wiederherstellbarkeit nach einem physischen oder technischen Zwischenfall gemäß Art. 32 Abs. 1 lit. c DSGVO
Maßnahmen, die gewährleisten, dass personenbezogene Daten des Kunden gegen zufällige Zerstörung oder Verlust geschützt sind:
Technische Maßnahmen
X Redundante Internetverbindung
X Schwachstellenmanagement (z. B. Pentest)
X Vorausschauendes Kapazitäts- und Ressourcenmanagement
Organisatorische Maßnahmen
X Vorhandensein eines Notfallplans (z. B. BSI IT-Grundschutz 200-4)
X Risikoanalyse zur Ableitung der Sicherheitsmaßnahmen einschließlich Dokumentation
X Schulungen und Richtlinien
§ 6 Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung gemäß Art. 32 Abs. 1 lit. d DSGVO
(1) Datenschutzmanagement
Maßnahmen zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen:
Technische Maßnahmen
X Einsatz einer Softwarelösung für das Datenschutzmanagement
X Zentrale Dokumentation aller Verfahren und Regelungen zum Datenschutz mit Zugriff für Beschäftigte nach Bedarf oder Berechtigung
X Sicherheitszertifizierung nach ISO 27001
X Die Wirksamkeit der technischen Schutzmaßnahmen wird mindestens einmal jährlich überprüft
Organisatorische Maßnahmen
X Interner/externer Datenschutzbeauftragter (DSB) ist bestellt
X Beschäftigte werden geschult und auf Vertraulichkeit/Datengeheimnis verpflichtet
X Regelmäßige Sensibilisierung der Beschäftigten (mindestens jährlich)
X Interner/externer Informationssicherheitsbeauftragter (ISB) ist bestellt
X Datenschutz-Folgenabschätzung wird bei Bedarf durchgeführt
(2) Incident-Response-Management
Maßnahmen zur Unterstützung der Reaktion auf Sicherheitsverletzungen:
Technische Maßnahmen
X Einsatz von Firewalls und regelmäßige Updates
X Einsatz von Spam-Filtern und regelmäßige Updates
X Intrusion Detection System (IDS)
Organisatorische Maßnahmen
X Dokumentierter Prozess zur Erkennung und Meldung von Sicherheitsvorfällen/Datenschutzverletzungen (auch in Bezug auf die Meldepflicht gegenüber Aufsichtsbehörden)
X Dokumentiertes Verfahren zum Umgang mit Sicherheitsvorfällen
X Einbindung des DSB bei Sicherheitsvorfällen und Datenschutzverletzungen
X Dokumentation von Sicherheitsvorfällen und Datenschutzverletzungen, z. B. über Ticketsystem
X Formaler Prozess und Verantwortlichkeiten für die Nachbereitung von Sicherheitsvorfällen und Datenschutzverletzungen
§ 7 Weisungsgebundenheit der Untergebenen gemäß Art. 32 Abs. 4 DSGVO
Maßnahmen, die gewährleisten, dass unterstellte natürliche Personen, die Zugang zu Personenbezogenen Daten des Kunden haben, diese nur auf Weisung des Verantwortlichen verarbeiten:
Technische Maßnahmen
X Verbot der Verarbeitung personenbezogener Daten des Kunden außerhalb der Weisung
Organisatorische Maßnahmen
X Zugang zu personenbezogenen Daten des Kunden wird nur gewährt, wenn dies für die vereinbarten Zwecke erforderlich ist
§ 8 Datenschutzfreundliche Voreinstellungen Art. 25 Abs. 2 DSGVO
Maßnahmen, die gewährleisten, dass standardmäßig nur personenbezogene Daten des Kunden verarbeitet werden, die für den jeweiligen bestimmten Verarbeitungszweck erforderlich sind:
Technische Maßnahmen
X Es werden nicht mehr personenbezogene Daten des Kunden erhoben als für den jeweiligen Zweck erforderlich
Organisatorische Maßnahmen
X Einfache Ausübung des Widerspruchsrechts der betroffenen Person durch technische Maßnahmen
X Ermittlung personenbezogener Daten des Kunden bei Auskunftsersuchen wird durch technische Maßnahmen unterstützt
Anlage 3: Genehmigte Unterauftragsverarbeiter
Die jeweils aktuelle Liste der vom Kunden genehmigten Unterauftragsverarbeiter (jeweils mit Name, Anschrift, erbrachter Leistung und Verarbeitungsort) wird vom Auftragsverarbeiter in seinem Trust Center geführt und ist dort abrufbar unter: https://trust.forgent.ai. Maßgeblich ist die zum jeweiligen Zeitpunkt im Trust Center veröffentlichte Fassung. Änderungen richten sich nach Abschnitt 9.2 dieses AVV.
Stand: 27. Juli 2026
