Data processing agreement (DPA)

Zwischen

dem Kunden gemäß Angebot
– im Folgenden „Auftraggeber“, „Kunde“ oder „Verantwortlicher“ –

und

basebox GmbH
Bahnhofplatz 3
86919 Utting am Ammersee
Deutschland
– im Folgenden „basebox“, „Auftragnehmer“ oder „Auftragsverarbeiter“ –

gemeinsam die „Parteien“.

Präambel

(1) Die Parteien haben einen Software-Lizenzvertrag über die basebox KI-Plattform geschlossen oder beabsichtigen, einen solchen Vertrag zu schließen.

(2) Die basebox KI-Plattform kann je nach Angebot in unterschiedlichen Enterprise-Betriebsmodellen bereitgestellt werden, insbesondere als:
a) Managed Private Cloud,
b) Managed On-Premises,
c) Self-Managed On-Premises,
d) Demoversion basebox.

(3) Diese Auftragsverarbeitungsvereinbarung gilt ausschließlich für Enterprise-Deployments der basebox KI-Plattform einschließlich der Demoversion.

(4) Soweit basebox im Rahmen der vereinbarten Leistungen personenbezogene Daten im Auftrag des Kunden verarbeitet, erfolgt dies ausschließlich nach Maßgabe dieser Auftragsverarbeitungsvereinbarung, des Hauptvertrags, des Angebots, der einbezogenen Anlagen und der dokumentierten Weisungen des Kunden.

(5) Diese Auftragsverarbeitungsvereinbarung konkretisiert die Rechte und Pflichten der Parteien nach Art. 28 DSGVO.

1. Begriffe

(1) Hauptvertrag bezeichnet den Software-Lizenzvertrag über die basebox KI-Plattform.

(2) Angebot bezeichnet das vom Kunden angenommene Angebot von basebox, in dem insbesondere das Betriebsmodell, der Leistungsumfang, die Nutzerzahl, die Vergütung, die einbezogenen Anlagen und besondere Vereinbarungen festgelegt werden.

(3) Betriebsmodell bezeichnet das im Angebot vereinbarte Deployment-Modell der basebox KI-Plattform, insbesondere Managed Private Cloud, Managed On-Premises, Self-Managed On-Premises oder Demoversion.

(4) TOM-Anlage bezeichnet die Anlage mit den technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

(5) Unterauftragsverarbeiterliste bezeichnet die im Angebot oder in einer gesonderten Anlage einbezogene Liste der für den konkreten Kunden eingesetzten Unterauftragsverarbeiter.

(6) Kundendaten bezeichnet alle Daten, Inhalte, Prompts, Dokumente, Dateien, Wissensquellen, RAG-Daten, Ausgaben, Protokolle und sonstigen Informationen, die der Kunde oder seine Nutzer in die basebox KI-Plattform einbringen oder dort verarbeiten lassen.

2. Gegenstand und Anwendungsbereich

2.1 Gegenstand

(1) Gegenstand dieser Auftragsverarbeitungsvereinbarung ist die Verarbeitung personenbezogener Daten durch basebox im Auftrag des Kunden im Zusammenhang mit der Bereitstellung, dem Betrieb, der Wartung, dem Support und der Nutzung der basebox KI-Plattform.

(2) Der konkrete Umfang der Verarbeitung richtet sich nach:
a) dem Hauptvertrag,
b) dem Angebot,
c) dem vereinbarten Betriebsmodell,
d) den im Angebot einbezogenen Anlagen,
e) der TOM-Anlage,
f) der Unterauftragsverarbeiterliste,
g) der Produktdokumentation, soweit sie vertraglich einbezogen ist,
h) den dokumentierten Weisungen des Kunden.

2.2 Rollen der Parteien

(1) Der Kunde ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO, soweit er über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.

(2) basebox ist Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO, soweit basebox personenbezogene Daten im Auftrag des Kunden verarbeitet.

(3) Soweit basebox personenbezogene Daten zu eigenen Zwecken verarbeitet, insbesondere zur eigenen Vertragsverwaltung, Abrechnung, Buchhaltung, Forderungsdurchsetzung, Geschäftskommunikation oder Erfüllung gesetzlicher Pflichten, erfolgt diese Verarbeitung nicht als Auftragsverarbeitung, sondern in eigener datenschutzrechtlicher Verantwortung von basebox.

3. Betriebsmodellabhängige Verarbeitung

3.1 Managed Private Cloud

(1) Bei Managed Private Cloud verarbeitet basebox personenbezogene Daten insbesondere im Rahmen der Bereitstellung, des Hostings, des Betriebs, des Monitorings, der Wartung, des Supports und der technischen Administration einer kundenisolierten Umgebung.

(2) Hosting-, Infrastruktur-, Modell- oder sonstige Dienstleister werden nur dann als Unterauftragsverarbeiter von basebox eingesetzt, wenn sie im Angebot oder in der Unterauftragsverarbeiterliste genannt sind.

(3) Der konkrete Hosting- oder Infrastrukturprovider ergibt sich aus dem Angebot oder der Unterauftragsverarbeiterliste.

3.2 Managed On-Premises

(1) Bei Managed On-Premises verarbeitet basebox personenbezogene Daten insbesondere im Rahmen der Einrichtung, des Betriebs, der Wartung, des Supports, der Fehleranalyse und der technischen Administration der basebox KI-Plattform auf Infrastruktur des Kunden.

(2) Die kundenseitig bereitgestellte Infrastruktur ist nicht Bestandteil der Auftragsverarbeitung durch basebox, soweit basebox diese nicht ausdrücklich betreibt oder kontrolliert.

(3) Der Kunde bleibt verantwortlich für die kundenseitig bereitgestellte Infrastruktur, deren physische Sicherheit, Netzwerk, Basisplattform, Backup, Monitoring, Logging und kundenseitige technische und organisatorische Maßnahmen, soweit im Angebot nichts Abweichendes vereinbart ist.

3.3 Self-Managed On-Premises

(1) Bei Self-Managed On-Premises verarbeitet basebox personenbezogene Daten grundsätzlich nur, soweit dies im Rahmen von Support, Wartung, Fehleranalyse, Updates, Professional Services oder sonstigen ausdrücklich vereinbarten Leistungen erforderlich ist.

(2) Der Betrieb der basebox KI-Plattform erfolgt durch den Kunden.

(3) Der Kunde bleibt verantwortlich für die Kundenumgebung, die kundenseitige Infrastruktur, den laufenden Betrieb, Backup, Monitoring, Logging, Löschung, Zugriffsverwaltung und kundenseitige technische und organisatorische Maßnahmen, soweit im Angebot nichts Abweichendes vereinbart ist.

3.4 Demoversion

(1) Bei der Demoversion verarbeitet basebox personenbezogene Daten insbesondere im Rahmen der Bereitstellung, des Hostings, des Betriebs, des Monitorings, der Wartung, des Supports und der technischen Administration einer gemeinsam genutzten Umgebung.

(2) Die Kunden sind in der Demoversion als Mandanten logisch voneinander getrennt. Eine eigene Umgebung und eine eigene Identitätsverwaltung je Kunde bestehen nicht.

(3) Der eingesetzte Hosting-Anbieter ergibt sich aus der Unterauftragsverarbeiterliste.

(4) Für besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO empfiehlt basebox die Managed Private Cloud oder den Betrieb auf eigener Infrastruktur. Die Entscheidung über die in der Demoversion verarbeiteten Daten trifft der Kunde.

3.5 Websuche

(1) Die Websuche stellt basebox in allen Betriebsmodellen über einen in der Unterauftragsverarbeiterliste genannten Anbieter bereit.

(2) Die Websuche ist standardmäßig ausgeschaltet. Daten werden an den Anbieter nur übermittelt, wenn der Kunde die Websuche freischaltet. Übertragen wird nur der Suchbegriff, ohne Nutzeridentität.

4. Weisungen des Kunden

4.1 Dokumentierte Weisungen

(1) basebox verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, sofern basebox nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats zu einer Verarbeitung verpflichtet ist.

(2) Die anfänglichen Weisungen ergeben sich aus dem Hauptvertrag, dem Angebot, dieser AVV, den einbezogenen Anlagen, der Produktkonfiguration und der Nutzung des Systems durch den Kunden.

(3) Der Kunde kann Weisungen in Textform erteilen, insbesondere per E-Mail oder über ein von basebox bereitgestelltes System.

(4) Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

4.2 Weisungen außerhalb des Leistungsumfangs

(1) Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, gelten als Antrag auf Leistungsänderung.

(2) basebox ist nicht verpflichtet, solche Weisungen umzusetzen, bevor die Parteien eine entsprechende Leistungsänderung vereinbart haben.

(3) Mehraufwand durch zusätzliche oder geänderte Weisungen kann als Professional Services berechnet werden, soweit der Aufwand nicht bereits vom vereinbarten Leistungsumfang umfasst ist.

4.3 Rechtswidrige Weisungen

(1) basebox informiert den Kunden unverzüglich, wenn basebox der Auffassung ist, dass eine Weisung gegen die DSGVO oder sonstige Datenschutzvorschriften verstößt.

(2) basebox ist berechtigt, die Durchführung einer offensichtlich rechtswidrigen Weisung auszusetzen, bis der Kunde die Weisung bestätigt, ändert oder zurücknimmt.

5. Art, Zweck und Dauer der Verarbeitung

5.1 Zweck der Verarbeitung

Zweck der Verarbeitung ist die Bereitstellung, der Betrieb, die Wartung, der Support und die Nutzung der basebox KI-Plattform nach Maßgabe des Hauptvertrags, des Angebots und der einbezogenen Anlagen.

Die Verarbeitung kann insbesondere erfolgen im Rahmen von:
a) Bereitstellung und Betrieb der basebox KI-Plattform,
b) Hosting und Betrieb einer Managed Private Cloud,
c) Betrieb auf Kundeninfrastruktur bei Managed On-Premises,
d) Support und Fehleranalyse bei Self-Managed On-Premises,
e) Hosting und Betrieb der Demoversion,
f) Bereitstellung der Websuche nach Freischaltung durch den Kunden,
g) Initial Deployment Package,
h) Professional Services,
i) Nutzer- und Rechteverwaltung,
j) Identitätsintegration,
k) SMTP-, SIEM-, Monitoring- oder Logging-Integration,
l) technischer Betriebsunterstützung,
m) Audit-Logging und Protokollierung im vereinbarten Umfang,
n) Sicherheits-, Wartungs- und Updateprozessen,
o) Verarbeitung von Prompts, Eingaben, Dokumenten, Datenquellen, RAG-Daten und KI-Ausgaben im Rahmen der Nutzung durch den Kunden.

5.2 Art der Verarbeitung

Die Verarbeitung kann insbesondere folgende Vorgänge umfassen:
a) Erheben,
b) Erfassen,
c) Organisieren,
d) Ordnen,
e) Speichern,
f) Anpassen oder Verändern,
g) Auslesen,
h) Abfragen,
i) Verwenden,
j) Offenlegen durch Übermittlung,
k) Bereitstellen,
l) Abgleichen oder Verknüpfen,
m) Einschränken,
n) Löschen,
o) Vernichten.

5.3 Dauer der Verarbeitung

(1) Die Verarbeitung dauert für die Laufzeit des Hauptvertrags oder der jeweiligen Beauftragung an.

(2) Nach Beendigung der Leistungen löscht basebox personenbezogene Daten oder gibt sie an den Kunden zurück, soweit dies technisch möglich ist und keine gesetzliche Pflicht zur weiteren Speicherung besteht.

(3) Einzelheiten zur Rückgabe, zum Export und zur Löschung ergeben sich aus dem Hauptvertrag, dem Angebot, dieser AVV, der TOM-Anlage und dem jeweiligen Betriebsmodell.

6. Kategorien betroffener Personen und personenbezogener Daten

6.1 Kategorien betroffener Personen

Je nach Einsatz der basebox KI-Plattform können insbesondere folgende Kategorien betroffener Personen verarbeitet werden:
a) Beschäftigte des Kunden,
b) Nutzer und Administratoren,
c) Patienten,
d) Bürger,
e) Versicherte oder Leistungsempfänger,
f) Kunden, Interessenten oder Geschäftspartner des Kunden,
g) Lieferanten und Dienstleister,
h) Kommunikationspartner des Kunden,
i) Bewerber, soweit der Kunde entsprechende Daten einbringt,
j) Personen, deren Daten in Prompts, Dokumenten, Wissensquellen, RAG-Daten, Dateien oder sonstigen Inhalten enthalten sind,
k) sonstige Personen, deren Daten der Kunde in die basebox KI-Plattform einbringt.

6.2 Kategorien personenbezogener Daten

Je nach Einsatz der basebox KI-Plattform können insbesondere folgende Kategorien personenbezogener Daten verarbeitet werden:
a) Nutzerstammdaten, insbesondere Name, E-Mail-Adresse, Organisationseinheit, Rolle und Berechtigungen,
b) Kontaktdaten,
c) Authentifizierungs- und Berechtigungsdaten,
d) Kommunikationsdaten,
e) technische Nutzungs-, System- und Protokolldaten,
f) Prompts, Eingaben, Anfragen und sonstige Nutzereingaben,
g) Dokumente, Dateien, Datenquellen und sonstige vom Kunden eingebrachte Inhalte,
h) RAG-Daten, Wissensquellen und eingebundene Dokumentbestände,
i) KI-Ausgaben und Verarbeitungsergebnisse,
j) Support-, Kommunikations- und Ticketdaten,
k) Konfigurationsdaten und Metadaten,
l) Daten, die im Rahmen von Installation, Wartung, Support, Fehleranalyse oder Professional Services verarbeitet werden.

6.3 Besondere Kategorien personenbezogener Daten

(1) Je nach vereinbartem Einsatzkontext können auch besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO verarbeitet werden.

(2) Dazu können insbesondere gehören:
a) Gesundheitsdaten,
b) Patientendaten,
c) genetische Daten,
d) biometrische Daten, soweit sie zur eindeutigen Identifizierung verarbeitet werden,
e) Daten über religiöse oder weltanschauliche Überzeugungen,
f) Daten über politische Meinungen,
g) Daten über Gewerkschaftszugehörigkeit,
h) Daten zum Sexualleben oder zur sexuellen Orientierung.

(3) Darüber hinaus können je nach Einsatzkontext andere besonders schutzbedürftige Daten verarbeitet werden, insbesondere Sozialdaten, Bürgerdaten, Finanzdaten, Berufsgeheimnisse, Geschäftsgeheimnisse und sonstige vertrauliche Informationen.

(4) Die konkrete Verarbeitung solcher Daten erfolgt nach Maßgabe des Angebots, des vereinbarten Betriebsmodells, dieser AVV, der TOM-Anlage und der dokumentierten Weisungen des Kunden.

(5) Der Kunde ist verantwortlich dafür, zu prüfen und festzulegen, welche Datenarten im konkreten Einsatz verarbeitet werden dürfen und welche gesetzlichen, regulatorischen, behördlichen oder internen Anforderungen hierfür gelten.

6.4 Verschlusssachen

(1) Die Verarbeitung von Verschlusssachen, insbesondere VS-NfD oder höher eingestufter Informationen, ist nicht Bestandteil der Standardleistung.

(2) Eine Verarbeitung solcher Informationen ist nur zulässig, wenn sie im Angebot ausdrücklich vereinbart wurde und die hierfür erforderlichen technischen, organisatorischen, rechtlichen und behördlichen Voraussetzungen erfüllt sind.

7. Pflichten von basebox

7.1 Verarbeitung nach Weisung

basebox verarbeitet personenbezogene Daten ausschließlich nach Maßgabe dieser AVV und der dokumentierten Weisungen des Kunden.

7.2 Vertraulichkeit

(1) basebox stellt sicher, dass Personen, die zur Verarbeitung personenbezogener Daten befugt sind, zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Der Zugriff auf personenbezogene Daten wird auf Personen beschränkt, die den Zugriff zur Erbringung der vereinbarten Leistungen benötigen.

7.3 Sicherheit der Verarbeitung

(1) basebox trifft geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO.

(2) Die Maßnahmen ergeben sich aus der TOM-Anlage in der jeweils einbezogenen Fassung.

(3) basebox ist berechtigt, technische und organisatorische Maßnahmen weiterzuentwickeln, sofern das vereinbarte Sicherheitsniveau nicht wesentlich unterschritten wird.

(4) basebox betreibt ein Informationssicherheitsmanagementsystem nach ISO/IEC 27001 im Umfang des jeweils gültigen Zertifikats.

7.4 Unterstützung des Kunden

basebox unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der basebox zur Verfügung stehenden Informationen angemessen bei:
a) der Beantwortung von Betroffenenanfragen,
b) der Erfüllung von Pflichten nach Art. 32 DSGVO,
c) der Meldung von Datenschutzverletzungen nach Art. 33 und 34 DSGVO,
d) Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO,
e) vorherigen Konsultationen nach Art. 36 DSGVO.

7.5 Meldung von Datenschutzverletzungen

(1) basebox meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten unverzüglich, nachdem basebox eine solche Verletzung bekannt geworden ist.

(2) Die Meldung enthält, soweit verfügbar:
a) eine Beschreibung der Art der Verletzung,
b) Kategorien und ungefähre Zahl betroffener Personen,
c) Kategorien und ungefähre Zahl betroffener Datensätze,
d) wahrscheinliche Folgen der Verletzung,
e) ergriffene oder vorgeschlagene Maßnahmen zur Behebung oder Abmilderung,
f) eine Anlaufstelle für Rückfragen.

(3) Soweit Informationen nicht gleichzeitig bereitgestellt werden können, stellt basebox diese ohne unangemessene Verzögerung nach.

7.6 Keine Verwendung zu eigenen Zwecken, kein Training

(1) basebox verwendet Kundendaten nicht zu eigenen Zwecken.

(2) basebox verwendet Kundendaten insbesondere nicht zum Training, zum Finetuning oder zur sonstigen Verbesserung von KI-Modellen, soweit im Angebot nichts Abweichendes ausdrücklich vereinbart ist.

(3) basebox setzt Unterauftragsverarbeiter, die KI-Modelle oder KI-gestützte Dienste bereitstellen, nur ein, wenn deren Vertrag die Nutzung der übermittelten Daten zum Training ausschließt.

8. Pflichten des Kunden

8.1 Rechtmäßigkeit der Verarbeitung

(1) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten im Rahmen des Einsatzes der basebox KI-Plattform verantwortlich.

(2) Der Kunde stellt sicher, dass die Verarbeitung auf einer geeigneten Rechtsgrundlage erfolgt.

(3) Der Kunde ist verantwortlich für die Einhaltung von Informationspflichten, Transparenzpflichten, Löschpflichten, Betroffenenrechten und sonstigen Pflichten des Verantwortlichen.

8.2 Zulässigkeit der eingebrachten Daten

(1) Der Kunde ist verantwortlich für die Rechtmäßigkeit der Daten, Prompts, Dokumente, Dateien, Wissensquellen und sonstigen Inhalte, die in die basebox KI-Plattform eingebracht werden.

(2) Der Kunde stellt sicher, dass nur solche Daten verarbeitet werden, deren Verarbeitung im konkreten Einsatz zulässig ist.

8.3 Konfiguration

(1) Der Kunde ist verantwortlich für die datenschutzgerechte Konfiguration des Systems, soweit die jeweilige Produktversion entsprechende Konfigurationsmöglichkeiten vorsieht.

(2) Dies betrifft insbesondere:
a) Nutzer- und Rollenrechte,
b) Zugriff auf Anwendungen und Datenquellen,
c) Audit-Log-Einstellungen,
d) serverseitige Protokollierung von Prompts oder Antworten,
e) Aufbewahrungs- und Löschfristen,
f) Einbindung externer Modelle, APIs oder Datenquellen,
g) Freischaltung der Websuche.

8.4 Mitwirkung

(1) Der Kunde stellt basebox alle Informationen, Freigaben, Zugänge und Ansprechpartner bereit, die zur Erfüllung dieser AVV erforderlich sind.

(2) Der Kunde benennt mindestens eine Ansprechperson für Datenschutzfragen im Zusammenhang mit dieser AVV.

(3) Soweit keine andere Ansprechperson benannt ist, gilt die im Angebot benannte technische oder administrative Kontaktperson als Ansprechperson.

9. Audit Logs, Prompts und Inhaltsdaten

(1) Die basebox KI-Plattform kann technische Protokolle und Audit-Logs erzeugen.

(2) Umfang, Aufbewahrung, Zugriff, Export und Löschung von Protokollen und Audit-Logs richten sich nach dem Angebot, der Produktdokumentation, der TOM-Anlage und dem vereinbarten Betriebsmodell.

(3) Soweit die basebox KI-Plattform ein Audit Log bereitstellt, kann dieses insbesondere technische Ereignisse, administrative Aktionen, sicherheitsrelevante Ereignisse, Nutzeraktionen und systembezogene Verarbeitungsvorgänge erfassen.

(4) Ob und in welchem Umfang Prompts, Eingaben, Antworten oder sonstige Inhaltsdaten serverseitig im Audit Log erfasst werden, richtet sich nach der vom Kunden gewählten Konfiguration, soweit die jeweilige Produktversion diese Konfiguration unterstützt.

(5) Der Kunde ist verantwortlich dafür, die Protokollierungs- und Audit-Log-Konfiguration entsprechend seinem Einsatzkontext, seinen datenschutzrechtlichen Vorgaben, internen Richtlinien und gesetzlichen Anforderungen festzulegen.

(6) Der Kunde ist insbesondere verantwortlich dafür zu prüfen, ob eine serverseitige Erfassung von Prompts, Eingaben, Antworten oder sonstigen Inhaltsdaten zulässig ist und welche Informations-, Schutz-, Zugriffs-, Lösch- und Aufbewahrungspflichten hierfür gelten.

(7) basebox schuldet keine bestimmte Protokollierungs- oder Audit-Log-Konfiguration, sofern diese nicht im Angebot oder in einer einbezogenen Anlage ausdrücklich vereinbart ist.

(8) Bei On-Premises-Betriebsmodellen ist der Kunde für Speicherung, Aufbewahrung, Zugriff, Export, Löschung und Auswertung von Logs verantwortlich, soweit diese auf Kundeninfrastruktur verarbeitet werden und nichts Abweichendes vereinbart ist.

10. Modelle, externe APIs und kundenseitige Anbieter

(1) Soweit im Rahmen der basebox KI-Plattform KI-Modelle, Modell-APIs, Hyperscaler-Dienste oder sonstige Drittanbieter-Dienste eingesetzt werden, richtet sich deren Einsatz nach dem Angebot, der Produktkonfiguration und der Unterauftragsverarbeiterliste.

(2) Anbieter, Dienste, Modell-APIs, Hyperscaler, Hostingprovider oder sonstige Drittanbieter, die der Kunde selbst beauftragt, bereitstellt, auswählt oder freigibt, sind keine Unterauftragsverarbeiter von basebox, soweit basebox diese nicht im eigenen Namen und zur Erbringung der vereinbarten Leistung beauftragt.

(3) Der Kunde ist für solche kundenseitig beauftragten, ausgewählten, bereitgestellten oder freigegebenen Anbieter selbst verantwortlich.

(4) Dies betrifft insbesondere deren Auswahl, Zulässigkeit, Lizenzierung, Datenschutz, Sicherheit, Kosten, Konfiguration, Einsatz und rechtliche Bewertung.

(5) basebox übernimmt keine Verantwortung für die Verarbeitung personenbezogener Daten durch kundenseitig beauftragte oder freigegebene Anbieter, soweit basebox diese nicht ausdrücklich als eigene Leistung im Angebot übernommen hat.

11. Unterauftragsverarbeiter

11.1 Allgemeine Genehmigung

(1) Der Kunde erteilt basebox eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern.

(2) Die jeweils eingesetzten Unterauftragsverarbeiter ergeben sich aus dem Angebot oder der jeweils einbezogenen Unterauftragsverarbeiterliste.

(3) Nur die dort genannten Unterauftragsverarbeiter sind für den konkreten Kunden beauftragt.

11.2 Änderungen bei Unterauftragsverarbeitern

(1) basebox informiert den Kunden über beabsichtigte Änderungen bei Unterauftragsverarbeitern durch Hinzufügen oder Ersetzen von Unterauftragsverarbeitern mit angemessener Frist vorab.

(2) Die Information kann per E-Mail, über ein Kundenportal oder auf sonstige geeignete Weise erfolgen.

(3) Der Kunde kann aus wichtigem datenschutzrechtlichem Grund gegen die Änderung widersprechen.

(4) Erfolgt kein Widerspruch innerhalb der mitgeteilten Frist, gilt die Änderung als genehmigt.

(5) Widerspricht der Kunde aus wichtigem datenschutzrechtlichem Grund und ist basebox die Leistungserbringung ohne den betreffenden Unterauftragsverarbeiter nicht oder nur mit unverhältnismäßigem Aufwand möglich, werden die Parteien eine angemessene Lösung abstimmen. Gelingt dies nicht, können die Parteien die betroffene Leistung aus wichtigem Grund kündigen.

11.3 Pflichten gegenüber Unterauftragsverarbeitern

(1) basebox verpflichtet Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Pflichten von basebox aus dieser AVV im Wesentlichen entsprechen.

(2) basebox bleibt gegenüber dem Kunden für die Erfüllung der Datenschutzpflichten durch Unterauftragsverarbeiter verantwortlich.

11.4 Abgrenzung kundenseitiger Anbieter

(1) Anbieter, Dienste, Modell-APIs, Hyperscaler, Hostingprovider oder sonstige Drittanbieter, die der Kunde selbst beauftragt, bereitstellt, auswählt oder freigibt, sind keine Unterauftragsverarbeiter von basebox, soweit basebox diese nicht im eigenen Namen und zur Erbringung der vereinbarten Leistung beauftragt.

(2) Der Kunde ist für solche kundenseitig beauftragten oder freigegebenen Anbieter selbst verantwortlich.

12. Internationale Datenübermittlungen

(1) Eine Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation erfolgt nur, soweit dies im Angebot, in der Unterauftragsverarbeiterliste oder in einer sonstigen Vereinbarung vorgesehen ist oder auf dokumentierte Weisung des Kunden erfolgt.

(2) Soweit eine Drittlandübermittlung erfolgt, stellt basebox sicher, dass die Anforderungen der Art. 44 ff. DSGVO eingehalten werden.

(3) Dies kann insbesondere erfolgen durch:
a) Angemessenheitsbeschluss der Europäischen Kommission,
b) EU-Standardvertragsklauseln,
c) zusätzliche technische und organisatorische Schutzmaßnahmen, soweit erforderlich,
d) sonstige geeignete Garantien nach der DSGVO.

(4) EU-Standardvertragsklauseln für internationale Datenübermittlungen werden nur einbezogen, soweit im Rahmen der vereinbarten Leistung eine Übermittlung personenbezogener Daten in ein Drittland ohne Angemessenheitsbeschluss erfolgt.

(5) Werden EU-Standardvertragsklauseln einbezogen, gelten sie unverändert in der jeweils anwendbaren Fassung. Die Parteien füllen lediglich die erforderlichen Anhänge aus und wählen das jeweils einschlägige Modul aus.

(6) Ergänzende Regelungen gelten nur, soweit sie den EU-Standardvertragsklauseln nicht widersprechen und die Rechte betroffener Personen nicht einschränken.

13. Technische und organisatorische Maßnahmen

(1) Die technischen und organisatorischen Maßnahmen ergeben sich aus der jeweils einbezogenen TOM-Anlage.

(2) Die TOMs gelten im Rahmen des jeweiligen Betriebsmodells und nur für die Verantwortungsbereiche von basebox.

(3) Bei Managed Private Cloud gelten die TOMs insbesondere für die von basebox bereitgestellte und betriebene Umgebung.

(4) Bei Managed On-Premises gelten die TOMs für die von basebox verantworteten Betriebs-, Wartungs- und Supportleistungen. Die kundenseitige Infrastruktur und deren technische und organisatorische Maßnahmen liegen beim Kunden, soweit im Angebot nichts Abweichendes vereinbart ist.

(5) Bei Self-Managed On-Premises gelten die TOMs für die von basebox erbrachten Support-, Wartungs-, Update- oder Professional-Services-Leistungen. Der Betrieb der Kundenumgebung und die dortigen TOMs liegen beim Kunden.

(6) Bei der Demoversion gelten die TOMs für die von basebox bereitgestellte und betriebene gemeinsam genutzte Umgebung.

(7) Soweit basebox per Fernzugriff tätig wird, erfolgt der Zugriff über ein vereinbartes sicheres Zugriffsverfahren, insbesondere PAM, VPN, Bastion Host oder ein vergleichbares Verfahren.

(8) basebox ist berechtigt, technische und organisatorische Maßnahmen an den Stand der Technik, Sicherheitsanforderungen, Produktentwicklungen oder geänderte Betriebsprozesse anzupassen, sofern das vereinbarte Sicherheitsniveau nicht wesentlich unterschritten wird.

14. Kontrollen und Nachweise

(1) basebox stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten aus dieser AVV nachzuweisen.

(2) Der Kunde kann einschlägige Zertifizierungen, Prüfberichte, TOM-Dokumentationen, Sicherheitsdokumentationen oder sonstige geeignete Nachweise berücksichtigen.

(3) Inspektionen vor Ort sind nur erforderlich, wenn die bereitgestellten Nachweise nicht ausreichen und ein berechtigter Anlass besteht.

(4) Inspektionen sind mit angemessener Frist vorab anzukündigen und während der üblichen Geschäftszeiten durchzuführen.

(5) Inspektionen dürfen den Geschäftsbetrieb von basebox, anderer Kunden oder Unterauftragsverarbeiter nicht unverhältnismäßig beeinträchtigen.

(6) Der Kunde darf nur fachkundige, unabhängige und zur Vertraulichkeit verpflichtete Prüfer einsetzen.

(7) Kosten und Aufwand einer Prüfung trägt der Kunde, soweit die Prüfung nicht durch einen von basebox zu vertretenden erheblichen Verstoß veranlasst wurde.

15. Betroffenenrechte

(1) Soweit eine betroffene Person Rechte gegenüber basebox geltend macht und die Verarbeitung Kundendaten betrifft, wird basebox den Kunden unverzüglich informieren.

(2) basebox beantwortet solche Anfragen nicht selbst, es sei denn, der Kunde hat basebox hierzu angewiesen oder basebox ist gesetzlich hierzu verpflichtet.

(3) basebox unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der basebox zur Verfügung stehenden Informationen angemessen bei der Beantwortung von Betroffenenanfragen.

(4) Soweit der Kunde selbst Zugriff auf die betreffenden Daten hat, erfüllt der Kunde Betroffenenrechte grundsätzlich selbst.

16. Berichtigung, Löschung und Einschränkung

(1) basebox berichtigt, löscht oder schränkt personenbezogene Daten nur nach dokumentierter Weisung des Kunden ein, soweit basebox hierzu nicht gesetzlich verpflichtet ist.

(2) Soweit der Kunde selbst Zugriff auf die Daten hat, nimmt der Kunde Berichtigung, Löschung oder Einschränkung grundsätzlich selbst vor.

(3) basebox unterstützt den Kunden im erforderlichen und angemessenen Umfang, soweit der Kunde die Maßnahme nicht selbst durchführen kann.

(4) Bei On-Premises-Betriebsmodellen ist der Kunde für Berichtigung, Löschung, Einschränkung, Export und Aufbewahrung der Daten verantwortlich, soweit diese auf Kundeninfrastruktur verarbeitet werden und basebox keinen Zugriff oder keine technische Kontrolle hat.

17. Datenschutz-Folgenabschätzung und vorherige Konsultation

(1) Soweit der Kunde eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchführt, unterstützt basebox den Kunden unter Berücksichtigung der Art der Verarbeitung und der basebox zur Verfügung stehenden Informationen im angemessenen Umfang.

(2) Gleiches gilt für eine vorherige Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO.

(3) Die rechtliche Bewertung, ob eine Datenschutz-Folgenabschätzung oder vorherige Konsultation erforderlich ist, obliegt dem Kunden.

(4) Unterstützung, die über den vereinbarten Leistungsumfang hinausgeht, kann als Professional Services berechnet werden, soweit sie nicht durch eine von basebox zu vertretende Pflichtverletzung veranlasst ist.

18. Beendigung der Verarbeitung

(1) Nach Beendigung der vereinbarten Leistungen gibt basebox personenbezogene Daten nach Wahl des Kunden zurück oder löscht sie, soweit dies technisch möglich ist und keine gesetzliche Pflicht zur weiteren Speicherung besteht.

(2) Die Rückgabe oder Löschung richtet sich nach dem Hauptvertrag, dem Angebot, dem Betriebsmodell und den technischen Möglichkeiten.

(3) Bei Managed Private Cloud und bei der Demoversion ist basebox berechtigt, die Kundenumgebung oder den Mandanten des Kunden nach Ablauf vereinbarter Rückgabe- und Löschfristen außer Betrieb zu nehmen und zu löschen.

(4) Bei Managed On-Premises und Self-Managed On-Premises liegen Daten und Systeme grundsätzlich auf Infrastruktur des Kunden. Der Kunde ist daher für Sicherung, Export, Aufbewahrung und Löschung verantwortlich, soweit basebox keinen Zugriff oder keine technische Kontrolle hat.

(5) Nach Ende der Leistung ist basebox berechtigt, Supportzugänge, Betriebszugänge, Lizenzzugänge, Updatezugänge oder technische Verbindungen zu deaktivieren.

(6) Gesetzliche Aufbewahrungspflichten von basebox bleiben unberührt.

19. Haftung und Freistellung

(1) Die Haftung der Parteien richtet sich nach dem Hauptvertrag, soweit diese AVV oder zwingendes Datenschutzrecht nichts Abweichendes bestimmt.

(2) Eine Haftung nach Art. 82 DSGVO bleibt unberührt.

(3) Der Kunde stellt basebox von Ansprüchen frei, die darauf beruhen, dass der Kunde personenbezogene Daten rechtswidrig in die basebox KI-Plattform eingebracht hat, eine rechtswidrige Weisung erteilt hat oder seiner Verantwortung als Verantwortlicher nicht nachgekommen ist, soweit basebox den anspruchsbegründenden Umstand nicht zu vertreten hat.

(4) basebox stellt den Kunden von Ansprüchen frei, die darauf beruhen, dass basebox gegen Pflichten als Auftragsverarbeiter aus dieser AVV oder der DSGVO verstoßen hat, soweit basebox den anspruchsbegründenden Umstand zu vertreten hat.

20. Vorrang und Verhältnis zu anderen Dokumenten

(1) Bei Widersprüchen zwischen dieser AVV und dem Hauptvertrag gehen die datenschutzrechtlichen Regelungen dieser AVV vor, soweit der Widerspruch die Auftragsverarbeitung betrifft.

(2) Bei Widersprüchen zwischen dieser AVV und EU-Standardvertragsklauseln für internationale Datenübermittlungen gehen die EU-Standardvertragsklauseln vor.

(3) Das Angebot kann die konkrete Verarbeitung, das Betriebsmodell, Unterauftragsverarbeiter und technische Besonderheiten für den jeweiligen Kunden näher bestimmen.

(4) Die TOM-Anlage und die Unterauftragsverarbeiterliste sind Bestandteil dieser AVV, soweit sie im Angebot oder in dieser AVV einbezogen werden.

21. Schlussbestimmungen

(1) Änderungen und Ergänzungen dieser AVV bedürfen der Textform, soweit nicht zwingend eine strengere Form vorgeschrieben ist.

(2) Dies gilt auch für Änderungen der TOM-Anlage, der Unterauftragsverarbeiterliste oder sonstiger Anlagen, soweit hierfür keine abweichende Regelung getroffen wurde.

(3) Es gilt das im Hauptvertrag vereinbarte Recht.

(4) Sollten einzelne Bestimmungen dieser AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anhang I – Parteien

1. Verantwortlicher / Auftraggeber

Der Kunde gemäß Angebot.

Kontaktdaten, Ansprechpartner und Datenschutzbeauftragter ergeben sich aus dem Angebot oder werden vom Kunden gesondert mitgeteilt.

2. Auftragsverarbeiter

basebox GmbH
Bahnhofplatz 3
86919 Utting am Ammersee
Deutschland
E-Mail: support@basebox.ai

Datenschutzkontakt: datenschutz@basebox.ai

Datenschutzbeauftragter: Philipp Gärtner

Anhang II – Beschreibung der Verarbeitung

1. Gegenstand der Verarbeitung

Bereitstellung, Betrieb, Wartung, Support und Nutzung der basebox KI-Plattform im vereinbarten Enterprise-Betriebsmodell.

2. Betriebsmodell

Das konkret beauftragte Betriebsmodell ergibt sich aus dem Angebot.

Mögliche Betriebsmodelle sind:
a) Managed Private Cloud,
b) Managed On-Premises,
c) Self-Managed On-Premises,
d) Demoversion basebox.

3. Zweck der Verarbeitung

Zweck der Verarbeitung ist die Erbringung der vereinbarten Leistungen im Zusammenhang mit der basebox KI-Plattform.

Dies umfasst insbesondere:
a) Bereitstellung der Plattform,
b) Betrieb der Plattform, soweit durch basebox übernommen,
c) Wartung und Updates,
d) Support und Fehleranalyse,
e) technische Administration,
f) Nutzer- und Rechteverwaltung,
g) Identitätsintegration,
h) Verarbeitung von Prompts, Eingaben, Dokumenten, RAG-Daten und KI-Ausgaben,
i) Bereitstellung der Websuche nach Freischaltung durch den Kunden,
j) Audit-Logging und Protokollierung im vereinbarten Umfang,
k) Initial Deployment und Professional Services.

4. Kategorien betroffener Personen

Je nach Einsatz können insbesondere betroffen sein:
a) Beschäftigte des Kunden,
b) Nutzer und Administratoren,
c) Patienten,
d) Bürger,
e) Versicherte oder Leistungsempfänger,
f) Kunden, Interessenten oder Geschäftspartner des Kunden,
g) Lieferanten und Dienstleister,
h) Kommunikationspartner,
i) Bewerber, soweit der Kunde entsprechende Daten einbringt,
j) sonstige Personen, deren Daten durch den Kunden eingebracht werden.

5. Kategorien personenbezogener Daten

Je nach Einsatz können insbesondere verarbeitet werden:
a) Nutzerstammdaten,
b) Kontaktdaten,
c) Authentifizierungs- und Berechtigungsdaten,
d) technische Nutzungs-, System- und Protokolldaten,
e) Prompts, Eingaben und Anfragen,
f) Dokumente, Dateien und Wissensquellen,
g) RAG-Daten,
h) KI-Ausgaben und Verarbeitungsergebnisse,
i) Suchbegriffe, soweit der Kunde die Websuche freischaltet,
j) Support- und Ticketdaten,
k) Konfigurationsdaten und Metadaten,
l) sonstige vom Kunden eingebrachte personenbezogene Daten.

6. Besondere Kategorien personenbezogener Daten

Je nach Einsatz können besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO verarbeitet werden, insbesondere Gesundheitsdaten und Patientendaten.

Darüber hinaus können je nach Einsatz andere besonders schutzbedürftige Daten verarbeitet werden, insbesondere Sozialdaten, Bürgerdaten, Finanzdaten, Berufsgeheimnisse, Geschäftsgeheimnisse und sonstige vertrauliche Informationen.

Die Verarbeitung solcher Daten erfolgt nach Maßgabe des Angebots, der TOM-Anlage, des vereinbarten Betriebsmodells und der Weisungen des Kunden.

7. Verschlusssachen

Verschlusssachen, insbesondere VS-NfD oder höher eingestufte Informationen, sind nicht Bestandteil der Standardleistung und dürfen nur verarbeitet werden, wenn dies im Angebot ausdrücklich vereinbart wurde und die hierfür erforderlichen Voraussetzungen erfüllt sind.

8. Audit Logs und Prompt Logging

Die basebox KI-Plattform kann Audit Logs und technische Protokolle erzeugen.

Ob und in welchem Umfang Prompts, Eingaben, Antworten oder sonstige Inhaltsdaten serverseitig im Audit Log erfasst werden, richtet sich nach der vom Kunden gewählten Konfiguration, soweit die jeweilige Produktversion diese Konfiguration unterstützt.

Der Kunde ist verantwortlich für die datenschutzrechtliche Bewertung und Konfiguration dieser Funktion.

9. Dauer der Verarbeitung

Die Verarbeitung erfolgt für die Dauer des Hauptvertrags oder der jeweiligen Beauftragung.

Nach Beendigung erfolgt Rückgabe oder Löschung nach Maßgabe dieser AVV, des Hauptvertrags, des Angebots und des jeweiligen Betriebsmodells.

Anhang III – Technische und organisatorische Maßnahmen

(1) Es gilt die TOM-Anlage der basebox KI-Plattform in der im Angebot genannten oder jeweils einbezogenen Fassung.

(2) Die TOM-Anlage beschreibt die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

(3) Die Maßnahmen gelten jeweils im Rahmen des vereinbarten Betriebsmodells und nur für die Verantwortungsbereiche von basebox.

(4) Bei Managed Private Cloud gelten die TOMs insbesondere für die von basebox bereitgestellte und betriebene Umgebung.

(5) Bei Managed On-Premises gelten die TOMs insbesondere für die von basebox verantworteten Betriebs-, Wartungs- und Supportleistungen. Die kundenseitige Infrastruktur liegt im Verantwortungsbereich des Kunden, soweit im Angebot nichts Abweichendes vereinbart ist.

(6) Bei Self-Managed On-Premises gelten die TOMs insbesondere für Support-, Wartungs-, Update- und Professional-Services-Leistungen von basebox. Der Betrieb der Kundenumgebung liegt im Verantwortungsbereich des Kunden.

(7) Bei der Demoversion gelten die TOMs insbesondere für die von basebox bereitgestellte und betriebene gemeinsam genutzte Umgebung.

(8) Soweit basebox per Fernzugriff tätig wird, erfolgt der Zugriff über ein vereinbartes sicheres Zugriffsverfahren, insbesondere PAM, VPN, Bastion Host oder ein vergleichbares Verfahren.

(9) basebox betreibt ein Informationssicherheitsmanagementsystem nach ISO/IEC 27001 im Umfang des jeweils gültigen Zertifikats.

Anhang IV – Unterauftragsverarbeiter

(1) Die jeweils eingesetzten Unterauftragsverarbeiter ergeben sich aus dem Angebot oder der jeweils einbezogenen Unterauftragsverarbeiterliste.

(2) Die Unterauftragsverarbeiterliste enthält insbesondere:
a) Name und Anschrift des Unterauftragsverarbeiters,
b) Art der Leistung,
c) Ort der Verarbeitung,
d) Art der Verarbeitung,
e) Angabe, ob eine Drittlandübermittlung stattfindet,
f) eingesetzte Garantien bei Drittlandübermittlungen.

(3) Hosting-, Infrastruktur-, Modell- oder API-Anbieter werden nur dann Unterauftragsverarbeiter von basebox, wenn basebox sie im eigenen Namen zur Erbringung der vereinbarten Leistung einsetzt.

(4) Anbieter, die der Kunde selbst beauftragt, auswählt, bereitstellt oder freigibt, sind keine Unterauftragsverarbeiter von basebox.

Anhang V – EU-Standardvertragsklauseln für internationale Datenübermittlungen

(1) Soweit im Rahmen der vereinbarten Leistungen eine Übermittlung personenbezogener Daten in ein Drittland ohne Angemessenheitsbeschluss erfolgt, werden die jeweils erforderlichen EU-Standardvertragsklauseln der Europäischen Kommission unverändert einbezogen.

(2) Die Parteien wählen das jeweils einschlägige Modul aus und füllen die hierzu erforderlichen Anhänge aus.

(3) Ergänzende Regelungen gelten nur, soweit sie den EU-Standardvertragsklauseln nicht widersprechen und die Rechte betroffener Personen nicht einschränken.

(4) Die konkreten Angaben zu Datenexporteur, Datenimporteur, Verarbeitung, technischen und organisatorischen Maßnahmen sowie Unterauftragsverarbeitern ergeben sich aus dem Angebot, der Unterauftragsverarbeiterliste und den jeweils einbezogenen Anlagen.