Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer der Verarbeitung

Dieser AVV definiert die Bedingungen, unter denen Sens-AI personenbezogene Daten im Auftrag des Kunden verarbeitet, im Rahmen der Bereitstellung des SaaS-KI-Chatbot-Dienstes.

Der AVV tritt mit dem Datum der Dienstanmeldung in Kraft und gilt waehrend der gesamten Vertragsdauer sowie waehrend des Zeitraums, in dem Sens-AI personenbezogene Daten im Auftrag des Kunden aufbewahrt.

2. Art und Zweck der Verarbeitung

Sens-AI bietet einen SaaS-KI-Chatbot-Dienst an, der unter anderem Folgendes ermoeglicht:

• Verwaltung von Konversationen zwischen Endnutzern und dem Chatbot
• Hosting, Speicherung, Suche und Analyse von Konversationsinhalten
• Indexierung und semantische Suche in der Wissensdatenbank des Kunden
• Verwaltung von Benutzerkonten und Zugriffsrechten
• Support-, Verbesserungs- und Ueberwachungsfunktionen

3. Arten verarbeiteter personenbezogener Daten

Abhaengig von der Konfiguration des Kunden koennen die verarbeiteten Daten umfassen:

• Identifikationsdaten: Name, berufliche E-Mail-Adresse, Benutzer-ID
• Verbindungsdaten: Protokolle, IP-Adresse, Sitzungskennungen, Zeitstempel
• Konversationsinhalte: im Chatbot eingegebene Textnachrichten
• Wissensdatenbankdaten: Inhalte hochgeladener Dateien (PDF, DOCX, CSV) und gecrawlter Webseiten
• Nutzungsdaten: Nutzungsstatistiken, Konfigurationen, Einstellungen
• Abrechnungsdaten: Kunden-ID, Abonnementplan, Zahlungsverlauf

4. Kategorien betroffener Personen

Personen, deren Daten verarbeitet werden, koennen umfassen:

• Endnutzer des Chatbots: Kunden, Interessenten und interne Nutzer des Verantwortlichen
• Teammitglieder des Kunden: Administratoren und Operatoren, die das Dashboard nutzen
• Rechnungskontakte: Personen, die fuer die Zahlung und Verwaltung von Abonnements verantwortlich sind

5. Pflichten des Auftragsverarbeiters (Sens-AI)

Sens-AI verpflichtet sich zu:

• Dokumentierte Weisungen: personenbezogene Daten nur gemaess den dokumentierten Weisungen des Kunden zu verarbeiten
• Vertraulichkeit: sicherzustellen, dass autorisierte Personen einer Vertraulichkeitspflicht unterliegen
• Sicherheit: geeignete technische und organisatorische Massnahmen umzusetzen (Artikel 32 DSGVO)
• Meldung von Verletzungen: den Kunden unverzueglich ueber jede Verletzung personenbezogener Daten zu informieren
• Unterstuetzung bei Rechten: den Kunden bei der Ausuebung der Rechte betroffener Personen zu unterstuetzen

6. Pflichten des Verantwortlichen (Kunde)

Der Kunde verpflichtet sich:

• Sicherzustellen, dass die Sens-AI anvertraute Verarbeitung den geltenden Datenschutzgesetzen entspricht
• Sens-AI dokumentierte, rechtmaessige und verhaeltnismaessige Weisungen zu erteilen
• Sens-AI ueber alle Aenderungen zu informieren, die diese Weisungen betreffen

7. Unterauftragsverarbeiter

Der Kunde genehmigt Sens-AI, die folgenden Unterauftragsverarbeiter zur Erbringung des Dienstes einzusetzen.

8. Sicherheitsmassnahmen

Gemaess Artikel 32 der DSGVO setzt Sens-AI folgende Massnahmen um:

• Verschluesselung bei der Uebertragung: alle Kommunikationen werden via TLS/HTTPS verschluesselt
• Verschluesselung im Ruhezustand: gespeicherte Daten werden im Ruhezustand verschluesselt
• Zugriffskontrolle: Authentifizierung mit gehashten Passwoertern (bcrypt), mandantenbasierte Zugriffsverwaltung
• Datenisolierung: logische Trennung pro Mandant
• Ratenbegrenzung: Schutz vor Missbrauch und Denial-of-Service-Angriffen
• Protokollierung: Zugriffs- und Betriebsprotokolle fuer Rueckverfolgbarkeit

9. Uebermittlungen ausserhalb des EWR

Die Hauptinfrastruktur von Sens-AI wird in der Europaeischen Union gehostet. Wenn Uebermittlungen ausserhalb des EWR erforderlich sind, unterliegen sie den von der Europaeischen Kommission verabschiedeten Standardvertragsklauseln (SCCs).

10. Meldung von Datenschutzverletzungen

Im Falle einer Verletzung personenbezogener Daten verpflichtet sich Sens-AI:

• Den Kunden unverzueglich nach Kenntnis der Verletzung zu benachrichtigen
• Verfuegbare Informationen zur Bewertung der Verletzung bereitzustellen
• Den Kunden bei der Meldung an die Aufsichtsbehoerde (CNIL) und gegebenenfalls an die betroffenen Personen zu unterstuetzen

11. Audit und Ueberpruefung

Der Kunde hat das Recht, die Einhaltung dieses AVV und der DSGVO durch Sens-AI zu ueberpruefen:

• Durch Informationsanfragen und Sicherheitsdokumentation
• Durch Audits vor Ort oder aus der Ferne nach angemessener Vorankuendigung
• Durch einen vom Kunden beauftragten unabhaengigen Pruefer

12. Datenverarbeitung nach Vertragsende

Nach Vertragsende waehlt der Kunde zwischen:

• Rueckgabe: Export personenbezogener Daten mit anschliessender Loeschung durch Sens-AI
• Loeschung: dauerhafte Loeschung personenbezogener Daten

Der Kunde hat 30 Tage nach Vertragsende Zeit, den Datenexport zu beantragen.

13. Kontakt DSB

Bei Fragen zu diesem AVV oder zur Verarbeitung Ihrer personenbezogenen Daten koennen Sie unseren Datenschutzbeauftragten kontaktieren:

Dieser AVV unterliegt dem franzoesischen Recht. Jeder Streit bezueglich seiner Auslegung oder Ausfuehrung unterliegt der ausschliesslichen Zustaendigkeit der Gerichte in Paris.