Auftragsverarbeitungsvertrag (AVV)

Entwurf zur rechtlichen Prüfung. Dieser AVV ist Bestandteil der Nutzungsbedingungen und gilt, wann immer AACSearch personenbezogene Daten im Auftrag eines Kunden verarbeitet. Er folgt Art. 28 Abs. 3 DSGVO; für Übermittlungen außerhalb des EWR werden die Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) durch Bezugnahme einbezogen.

1. Parteien und Rollen

Der Kunde ist Verantwortlicher; [не задано: legalName] ist Auftragsverarbeiter.

2. Gegenstand, Dauer, Art und Zweck

  • Gegenstand: Hosting von Suchindizes, Beantwortung von Such- und Assistentenanfragen, Berechnung von Empfehlungen und Analysen für die Websites und Apps des Kunden.
  • Dauer: für die Laufzeit des Abonnements des Kunden zuzüglich der Löschfrist nach Abschnitt 9.
  • Art: Speicherung, Indexierung, Abruf, Aggregation, Löschung.
  • Zweck: Erbringung des AACSearch-Dienstes für den Kunden.

3. Personenbezogene Daten und betroffene Personen

  • Betroffene Personen: Besucher und Nutzer der Websites und Anwendungen des Kunden; Beschäftigte des Kunden.
  • Daten: Suchanfragen, Klick- und Conversion-Ereignisse mit pseudonymen Besucher- und Besuchskennungen, IP-Adresse (Sicherheitsprotokolle), alle personenbezogenen Daten, die der Kunde in indexierte Dokumente aufnimmt, Assistenten-Konversationen.
  • Besondere Kategorien: nicht vorgesehen; der Kunde darf Daten besonderer Kategorien nur nach schriftlicher Vereinbarung indexieren.

4. Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3 DSGVO)

Der Auftragsverarbeiter wird:

  1. personenbezogene Daten nur auf dokumentierte Weisung des Kunden verarbeiten — dieser AVV, die Nutzungsbedingungen und die Konfiguration des Kunden —, auch in Bezug auf Übermittlungen, und den Kunden informieren, wenn eine Weisung gegen Datenschutzrecht verstößt;
  2. gewährleisten, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben;
  3. die technischen und organisatorischen Maßnahmen gemäß Anlage 1 umsetzen (Art. 32 DSGVO);
  4. Unterauftragsverarbeiter nur gemäß Abschnitt 5 einsetzen;
  5. den Kunden bei Anträgen betroffener Personen (Art. 12–22 DSGVO) unterstützen, auch durch die Export- und Löschfunktionen in der Konsole und der API;
  6. bei der Sicherheit, der Meldung von Verletzungen (Art. 33–34 DSGVO) und Datenschutz-Folgenabschätzungen (Art. 35–36 DSGVO) unterstützen;
  7. nach Ende der Leistungserbringung alle personenbezogenen Daten löschen oder zurückgeben (Abschnitt 9);
  8. alle erforderlichen Informationen zum Nachweis der Einhaltung zur Verfügung stellen und Überprüfungen, einschließlich Inspektionen, durch den Kunden oder einen von ihm beauftragten Prüfer nach angemessener Vorankündigung ermöglichen.

5. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung für die unter Unterauftragsverarbeiter aufgeführten Unterauftragsverarbeiter. Jede Hinzuziehung oder Ersetzung kündigen wir mindestens 30 Tage im Voraus auf dieser Seite und per E-Mail an Kunden an, die sich dafür angemeldet haben. Der Kunde kann aus berechtigten datenschutzrechtlichen Gründen Einspruch erheben; können wir den Einspruch nicht ausräumen, kann der Kunde den betroffenen Dienst kündigen und erhält eine anteilige Erstattung. Jeder Unterauftragsverarbeiter ist an Pflichten gebunden, die diesem AVV gleichwertig sind (Art. 28 Abs. 4 DSGVO); wir haften weiterhin für deren Leistung.

6. Verletzungen des Schutzes personenbezogener Daten

Wir benachrichtigen den Kunden unverzüglich, in jedem Fall innerhalb von 48 Stunden, nachdem uns eine Verletzung bekannt wird, die Daten des Kunden betrifft, mit den zu diesem Zeitpunkt verfügbaren Informationen nach Art. 33 Abs. 3 DSGVO, und ergänzen diese, sobald weitere Tatsachen bekannt werden.

7. Übermittlungen in Drittländer

Übermittlungen außerhalb des EWR erfolgen nur auf Grundlage eines Angemessenheitsbeschlusses oder der Standardvertragsklauseln (Modul 2 Verantwortlicher an Auftragsverarbeiter bzw. Modul 3 Auftragsverarbeiter an Auftragsverarbeiter für Unterauftragsverarbeiter), soweit erforderlich mit einer Transfer-Folgenabschätzung und ergänzenden Maßnahmen.

8. Pflichten des Kunden

Der Kunde verfügt über eine Rechtsgrundlage für die Verarbeitung, stellt seinen eigenen Nutzern die erforderlichen Informationen bereit (Formulierungsvorschlag in Anlage 2), holt die Einwilligung für die Speicherung auf Endgeräten ein, soweit erforderlich (siehe Cookie-Richtlinie), und konfiguriert Speicherdauer und Personalisierung entsprechend seinen Datenschutzhinweisen.

9. Löschung und Rückgabe

Während des Abonnements kann der Kunde Daten jederzeit exportieren und löschen. Nach Vertragsende bewahren wir die Daten für einen Abrufzeitraum von 30 Tagen auf (Art. 25 Datenverordnung) und löschen sie anschließend, einschließlich Backups innerhalb weiterer 30 Tage, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht.

10. Haftung und Rangfolge

Die Haftung richtet sich nach den Nutzungsbedingungen. Im Fall eines Widerspruchs gehen die Standardvertragsklauseln vor, danach dieser AVV, danach die Nutzungsbedingungen.

Anlage 1 — Technische und organisatorische Maßnahmen

  • Isolierung: Jeder Index ist eine separate Collection; jede Anfrage enthält einen serverseitigen Mandantenfilter.
  • Zugriffskontrolle: rollenbasierter Zugriff in der Konsole; API-Schlüssel als SHA-256-Hashes gespeichert, mit Ablauf und Rotation; Browserzugriff nur über kurzlebige, auf einen Index beschränkte Session-Tokens.
  • Berechtigungen auf Dokumentebene: ACL-Filter werden angewendet, bevor Ergebnisse, Anzahlen und Facetten berechnet werden.
  • Verschlüsselung: TLS bei der Übertragung; verschlüsselte Speicherung beim Hosting-Anbieter.
  • Protokollierung und Audit: administrative Änderungen werden mit Akteur und Zeitpunkt protokolliert; Sicherheitsprotokolle werden 90 Tage aufbewahrt.
  • Speicherdauer: Suchprotokolle standardmäßig 90 Tage, Klickereignisse 365 Tage, je Kunde konfigurierbar.
  • Netzwerksicherheit: Crawler rufen nur öffentliche Adressen ab und prüfen jede Weiterleitung erneut.
  • Verfügbarkeit: Backups, Monitoring, Statusseite.
  • Betroffenenrechte: organisationsweiter Export und vollständige Löschung über Konsole und API.

Anlage 2 — Formulierungsvorschlag für die Datenschutzerklärung des Kunden

Die Seitensuche und Empfehlungen auf dieser Website werden von AACSearch bereitgestellt, das Ihre Suchanfragen und Klicks in unserem Auftrag verarbeitet, um Ergebnisse anzuzeigen und, sofern Sie eingewilligt haben, diese zu personalisieren. Fragen zu dieser Verarbeitung: [Ihr Kontakt].

Anlage 3 — KI-Assistent

Aktiviert der Kunde den KI-Assistenten, wird dieser gegenüber dem Endnutzer spätestens bei der ersten Interaktion als KI-System gekennzeichnet (Art. 50 Abs. 1 KI-Verordnung); generierte Antworten werden in der API-Antwort als KI-generiert markiert. Der Kunde darf die Kennzeichnung nicht entfernen.