Vertrag zur Auftragsverarbeitung

1.1 Gegenstand ist die Verarbeitung personenbezogener Daten, die der Verantwortliche im Rahmen der Nutzung von Faro Solutions einstellt oder entstehen lässt.

1.2 Die Laufzeit entspricht der des Nutzungsvertrages. Der Verantwortliche kann diesen Vertrag jederzeit kündigen, wenn ein Verstoß gegen datenschutzrechtliche Vorschriften vorliegt.

1.3 Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung. Weisungen erfolgen über die Einstellungen im Portal oder in Textform an support@llmspace.de. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung aussetzen.

1.4 Die Verarbeitung findet ausschließlich in der Europäischen Union statt, soweit nicht ein Unterauftragsverarbeiter nach Anlage 2 mit Drittlandbezug eingesetzt wird. Der Verantwortliche kann die Verarbeitung außerhalb der EU im Portal vollständig abschalten; ist das gesetzt, werden entsprechende Modelle nicht angeboten.

Art der Verarbeitung: Erheben, Speichern, Strukturieren, Auslesen, Verwenden, Übermitteln an Unterauftragsverarbeiter und Löschen — im Rahmen des Betriebs einer Software-as-a-Service-Anwendung.

Zweck: Bereitstellung der gebuchten Module: Pflichtschulung und Nachweisführung, durchsuchbares Firmenwissen, KI-Arbeitsplatz, Rechnungskontrolle, Abgleich von Auftragsbestätigungen und Auswertung von Ausschreibungen.

Kategorien betroffener Personen: Beschäftigte des Verantwortlichen, Ansprechpartner bei dessen Lieferanten und Kunden sowie Personen, die in eingestellten Dokumenten genannt werden.

Kategorien personenbezogener Daten:

• Stammdaten: Name, geschäftliche E-Mail-Adresse, Abteilung, Rolle
• Zugangsdaten: Passwort-Hash, Geheimnis für den zweiten Faktor, Sitzungskennungen
• Nutzungsdaten: Protokolleinträge mit Zeitpunkt und IP-Adresse, Verbrauchskennzahlen
• Schulungsdaten: Teilnahme, Ergebnisse, Nachweise, Fälligkeiten
• Inhaltsdaten: eingestellte Dokumente, Chatverläufe, Belege und die daraus gewonnenen Angaben
• Belegdaten: Angaben aus Rechnungen, Bestellungen und Auftragsbestätigungen einschließlich Ansprechpartnern

Besondere Kategorien nach Art. 9 DSGVO sind nicht vorgesehen. Stellt der Verantwortliche gleichwohl solche Daten ein, verantwortet er die Zulässigkeit selbst.

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragsdauer aufrecht. Änderungen dürfen das Schutzniveau nicht unterschreiten und werden auf Anfrage mitgeteilt.

Zur Verarbeitung eingesetzte Personen sind auf Vertraulichkeit verpflichtet und über die einschlägigen Vorschriften unterrichtet. Die Verpflichtung besteht über das Ende der Tätigkeit hinaus fort.

5.1 Der Verantwortliche stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu.

5.2 Weitere Unterauftragsverarbeiter darf der Auftragsverarbeiter hinzuziehen, wenn er dies mindestens vier Wochen vorher in Textform mitteilt. Der Verantwortliche kann innerhalb dieser Frist aus datenschutzrechtlichen Gründen widersprechen; wird der Widerspruch nicht ausgeräumt, kann er den Vertrag mit Wirkung zum Zeitpunkt der Änderung kündigen.

5.3 Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf dieselben Pflichten und haftet für dessen Verhalten wie für eigenes.

5.4 Nebenleistungen wie Telekommunikation, Post und Reinigung gelten nicht als Unterauftragsverarbeitung.

6.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen betroffener Personen. Wendet sich eine betroffene Person unmittelbar an ihn, leitet er sie unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.

6.2 Für Auskunft, Berichtigung, Löschung und Export stehen dem Verantwortlichen die Funktionen des Portals zur Verfügung. Er kann diese Rechte damit ohne Mitwirkung des Auftragsverarbeiters erfüllen.

6.3 Der Auftragsverarbeiter unterstützt bei Datenschutz-Folgenabschätzung und vorheriger Konsultation, soweit ihm die erforderlichen Angaben vorliegen.

Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, in Textform. Die Meldung enthält Art des Vorfalls, betroffene Kategorien und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen und ergriffene Maßnahmen. Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO obliegt dem Verantwortlichen.

8.1 Der Auftragsverarbeiter weist die Einhaltung durch die Beschreibung nach Anlage 1 sowie durch die Zertifizierungen seiner Unterauftragsverarbeiter nach.

8.2 Der Verantwortliche kann darüber hinaus Kontrollen durchführen oder durchführen lassen. Sie werden mit angemessener Vorlaufzeit von mindestens zwei Wochen angekündigt, finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unangemessen stören. Eine Kontrolle pro Kalenderjahr ist kostenfrei; weitere Kontrollen ohne konkreten Anlass werden nach Aufwand vergütet.

9.1 Nach Ende des Nutzungsvertrages löscht der Auftragsverarbeiter alle Daten des Verantwortlichen innerhalb von 30 Tagen; Sicherungen laufen im Rahmen ihrer Rotation binnen weiterer 14 Tage aus.

9.2 Vor der Löschung stellt er auf Verlangen einen Export in einem gängigen Format bereit.

9.3 Daten, für die eine gesetzliche Aufbewahrungspflicht besteht, bleiben bis zum Ablauf der Frist gespeichert und werden in der Verarbeitung eingeschränkt.

Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag geht dieser Vertrag vor, soweit die Verarbeitung personenbezogener Daten betroffen ist. Es gilt deutsches Recht.

Beschrieben ist der eingerichtete Zustand, nicht ein Sollzustand.

Vertraulichkeit

• Zutritt: Betrieb im Rechenzentrum der Hetzner Online GmbH in Nürnberg. Zutrittskontrolle, Videoüberwachung und Zertifizierung nach ISO/IEC 27001 durch den Betreiber des Rechenzentrums.
• Zugang: Anmeldung mit E-Mail und Passwort; Passwörter werden als Argon2id-Hash gespeichert, nie im Klartext. Für Firmen-Admins und den Betreiber ist ein zweiter Faktor verpflichtend. Sitzungscookies sind httpOnly, secure und SameSite-beschränkt und laufen automatisch ab. Der Serverzugang erfolgt ausschließlich über SSH mit Schlüsselauthentifizierung.
• Zugriff: Rollenmodell mit fester Rechtematrix; zusätzlich entscheidet die Buchungslage über den Zugang zu einem Modul. Ordner im Firmenwissen können auf Abteilungen begrenzt werden. Der Betreiber hat keinen Zugriff auf Chatverläufe der Kunden.

Trennung der Mandanten

• Die Trennung wird nicht von der Anwendung zugesichert, sondern von der Datenbank erzwungen: Jede Tabelle mit Kundenbezug trägt eine Row-Level-Security-Richtlinie auf die Firmenkennung.
• Die Anwendung verbindet sich mit einer eigenen Rolle portal_app ohne Superuser- und ohne BYPASSRLS-Recht. Wäre sie als Eigentümer verbunden, prüfte PostgreSQL die Richtlinien gar nicht erst — der Gesundheitsendpunkt meldet diesen Fall und antwortet mit einem Fehler.
• Zwei Prüfungen laufen vor jeder Auslieferung: eine statische, die jeden Datenbankzugriff ohne gesetzten Mandantenkontext meldet, und eine dynamische, die je Firma zählt und mit dem Gesamtbestand vergleicht.
• Dateiablagen sind je Modul getrennt, weil sich Aufbewahrungsfristen und Löschpflichten unterscheiden.

Integrität

• Weitergabe: Übertragung ausschließlich über TLS 1.2 oder höher, mit Zertifikaten von Let's Encrypt. Modellanbieter werden über TLS angesprochen und sind vertraglich zur Zero-Data-Retention verpflichtet; eine Verwendung zum Training ist ausgeschlossen.
• Eingabe: Sicherheitsrelevante Vorgänge werden mit Person, Zeitpunkt, Vorgang und IP-Adresse protokolliert. Inhaltsdaten stehen nicht im Protokoll. Aufbewahrung 12 Monate; Einsicht hat der Firmen-Admin.
• Maschinelle Eingänge für Rechnungen und Auftragsbestätigungen nehmen nur Sendungen mit einem gemeinsamen Geheimnis an.

Verfügbarkeit und Belastbarkeit

• Nächtliche Sicherung um 03:10 Uhr: Datenbank, Rollen, Vektorspeicher und sämtliche Dateiablagen. Rotation über 14 Tage. Fehler lösen eine Alarmierung aus.
• Wöchentlicher Rückspielversuch: Die jüngste Sicherung wird in eine Nebendatenbank eingespielt und Tabelle für Tabelle verglichen. Eine Sicherung, die nie zurückgespielt wurde, ist keine Sicherung.
• Ein Gesundheitsendpunkt meldet laufend den Betriebszustand und die Datenbankrolle, unter der die Anwendung verbunden ist.

Überprüfung und Bewertung

• Wiederkehrender Angriffsdurchgang gegen Rechteprüfung und Mandantentrennung vor jeder größeren Auslieferung.
• Eine Freigabeprüfung sperrt die Auslieferung, solange ein Modellanbieter ohne Auftragsverarbeitungsvertrag eingebunden oder ein Zugang nicht auf ein Geschäftskonto gestellt ist.
• Datenschutz durch Voreinstellung: Der Verarbeitungsort ist je Firma einschränkbar; Modelle ohne passenden Vertrag werden gar nicht erst angeboten.

Ein Modellanbieter, der hier nicht steht, wird im Portal nicht angeboten. Die Liste und das Modellregister der Anwendung stammen aus derselben Quelle.