Vereinbarung zur Auftragsverarbeitung.

Präambel

Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Nutzung der Software Ormisi. Sie gilt für alle Verarbeitungen personenbezogener Daten, die der Anbieter im Auftrag des Kunden durchführt. Auftraggeber (Verantwortlicher) ist der die Plattform nutzende Träger der Kinder- und Jugendhilfe (nachfolgend „Verantwortlicher“). Auftragnehmer (Auftragsverarbeiter) ist die Limani Bildungsinstitut GmbH & Co. KG, Auf der Reihe 2, 45884 Gelsenkirchen (nachfolgend „Auftragsverarbeiter“).

§ 1 Gegenstand und Dauer

(1) Gegenstand der Verarbeitung ist die Bereitstellung der Plattform Ormisi und die damit verbundene Verarbeitung personenbezogener Daten, die der Verantwortliche in die Plattform eingibt oder dort verarbeiten lässt.

(2) Die Dauer dieser Vereinbarung entspricht der Laufzeit des zugrunde liegenden Hauptvertrags (Nutzungsvertrag/AGB). Sie endet mit dessen Beendigung, soweit nicht einzelne Pflichten (insbesondere zur Löschung und zur Geheimhaltung) darüber hinaus fortbestehen.

§ 2 Art und Zweck der Verarbeitung

(1) Art der Verarbeitung: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Bereitstellen durch Übermittlung innerhalb der Plattform, Einschränken, Löschen und Vernichten personenbezogener Daten im Rahmen der Software-Nutzung.

(2) Zweck: Führung von Fallakten, Dokumentation und Verlaufseinträgen, Planung von Terminen und Hausbesuchen, Erfassung von Fachleistungsstunden und Fahrten, Erstellung von Berichten, Abrechnung gegenüber Kostenträgern sowie stationäre Gruppenarbeit (z. B. Gruppenbuch, Übergaben) für Zwecke des Verantwortlichen.

(3) Soweit der Verantwortliche die KI-Funktionen nutzt, dient die Verarbeitung der Transkription von Diktaten der Fachkräfte und der Erstellung von Textentwürfen (Verlaufseinträge, Berichte), die erst nach Freigabe durch die Fachkraft übernommen werden. Die Verarbeitung erfolgt über Google Cloud Vertex AI mit dem Regionsendpunkt europe-west3 (Frankfurt am Main).

§ 3 Art der Daten und Kategorien betroffener Personen

(1) Kategorien personenbezogener Daten: Stamm- und Kontaktdaten, Fall- und Hilfedaten (z. B. Hilfeart, Kostenzusagen, Ziele), Termin-, Leistungs- und Fahrtdaten, Dokumentations- und Berichtsdaten, Abrechnungsdaten, Diktat-Aufnahmen und Transkripte, Nutzer- und Zugangsdaten der Mitarbeitenden des Verantwortlichen.

(2) Es werden regelmäßig Sozialdaten und besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO verarbeitet, insbesondere Gesundheitsdaten sowie Daten über Kinder und Jugendliche und ihre familiäre Situation, ferner nach § 65 SGB VIII anvertraute Inhalte, soweit der Verantwortliche solche Daten in die Plattform eingibt. Der Auftragsverarbeiter trifft hierfür die in § 6 genannten erhöhten Schutzmaßnahmen.

(3) Kategorien betroffener Personen: junge Menschen und ihre Familien (Sorgeberechtigte, Elternteile, Geschwister, Bezugspersonen), sonstige in der Dokumentation genannte Personen, Mitarbeitende und Fachkräfte des Verantwortlichen sowie Ansprechpersonen bei Kostenträgern.

§ 4 Weisungsbindung und Zweckbindung

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der EU oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Weisungen werden in der Regel durch die Konfiguration und Nutzung der Plattform sowie ergänzend in Textform erteilt. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt.

(3) Der Auftragsverarbeiter verwendet die Daten für keine eigenen Zwecke, insbesondere nicht zur Werbung, zur Auswertung über den Auftrag hinaus oder zum Training von KI-Modellen.

§ 5 Vertraulichkeit

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die zur Verarbeitung befugten Personen werden mit den einschlägigen Datenschutzbestimmungen vertraut gemacht.

§ 5a Schutz von Berufsgeheimnissen (§ 203 StGB)

(1) Zu den Mitarbeitenden des Verantwortlichen können Berufsgeheimnisträger im Sinne des § 203 Abs. 1 StGB gehören (insbesondere staatlich anerkannte Sozialarbeiterinnen und Sozialarbeiter bzw. Sozialpädagoginnen und Sozialpädagogen, Nr. 6, sowie Beraterinnen und Berater in anerkannten Beratungsstellen, Nr. 4) und, bei öffentlichen Trägern, Amtsträger (§ 203 Abs. 2 StGB). Der Auftragsverarbeiter wirkt an deren beruflicher Tätigkeit als sonstige mitwirkende Person im Sinne des § 203 Abs. 3 Satz 2 StGB mit. Die folgenden Pflichten gelten einheitlich für alle Daten des Verantwortlichen, unabhängig davon, ob die jeweilige Fachkraft selbst Berufsgeheimnisträger ist.

(2) Der Auftragsverarbeiter verpflichtet sich hiermit zur Geheimhaltung aller fremden Geheimnisse, die ihm bei oder bei Gelegenheit der Auftragsdurchführung bekannt werden. Er nimmt von solchen Geheimnissen nur Kenntnis, soweit dies für die Erbringung der Leistung erforderlich ist.

(3) Der Auftragsverarbeiter wurde darauf hingewiesen, dass sich eine mitwirkende Person nach § 203 Abs. 4 Satz 1 StGB strafbar macht, wenn sie ein ihr bei der Mitwirkung bekannt gewordenes fremdes Geheimnis unbefugt offenbart, und dass sie sich nach § 203 Abs. 4 Satz 2 Nr. 2 StGB auch dann strafbar machen kann, wenn sie sich einer weiteren mitwirkenden Person bedient, ohne dafür Sorge zu tragen, dass diese zur Geheimhaltung verpflichtet wurde.

(4) Der Auftragsverarbeiter verpflichtet seine Mitarbeitenden, die Zugang zu Daten des Verantwortlichen erhalten können, in Textform zur Geheimhaltung und weist sie auf die Strafbarkeit nach § 203 StGB hin. Er verpflichtet auch Unterauftragsverarbeiter (§ 7), die Kenntnis von Daten des Verantwortlichen erlangen können, zur Geheimhaltung, soweit dies vertraglich möglich ist, und informiert den Verantwortlichen auf Anfrage über den Stand dieser Verpflichtungen.

§ 5b Sozialdatenschutz (§ 80 SGB X)

(1) Ist der Verantwortliche eine in § 35 SGB I genannte Stelle (insbesondere ein Jugendamt), gilt für die Verarbeitung von Sozialdaten im Auftrag ergänzend § 80 SGB X. Die nach § 80 Abs. 1 SGB X erforderliche Anzeige an seine Rechts- oder Fachaufsichtsbehörde nimmt der Verantwortliche rechtzeitig vor der Auftragserteilung vor. Der Auftragsverarbeiter stellt ihm dafür die notwendigen Angaben bereit: Auftragsverarbeiter, technische und organisatorische Maßnahmen (§ 6), Art der Daten und Kreis der Betroffenen (§ 3), Aufgabe (§ 2) sowie Unterauftragsverhältnisse (§ 7).

(2) Nach § 80 Abs. 2 SGB X darf ein solcher Auftrag nur erteilt werden, wenn die Verarbeitung im Inland, in einem anderen Mitgliedstaat der EU, in einem gleichgestellten Staat oder in einem Drittstaat mit Angemessenheitsbeschluss erfolgt. Der Verantwortliche prüft dies anhand der Angaben zu Sitz und Verarbeitungsort der Unterauftragsverarbeiter in § 7; der Auftragsverarbeiter beantwortet Rückfragen dazu vollständig.

(3) Freie Träger sind keine Stellen nach § 35 SGB I. Haben sie sich gegenüber dem Jugendamt verpflichtet, den Schutz der Sozialdaten in entsprechender Weise zu gewährleisten (§ 61 Abs. 3 SGB VIII), unterstützt der Auftragsverarbeiter sie bei der Erfüllung dieser Pflichten in gleicher Weise.

(4) Der Auftragsverarbeiter verarbeitet Sozialdaten nur zu dem Zweck, zu dem sie ihm im Rahmen dieses Auftrags überlassen wurden, und hält sie in demselben Umfang geheim wie der Verantwortliche. Als nicht-öffentliche Stelle untersteht er insoweit der Aufsicht nach § 40 BDSG (§ 80 Abs. 4 SGB X).

§ 6 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

(1) Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dazu zählen insbesondere:

• Verschlüsselung der Datenübertragung (TLS) und Speicherung von Passwörtern nur als Hashwert.
• Server-Standort der Anwendung und der Datenbank in Frankfurt am Main (EU); zu Anbietersitz und möglichen Drittlandzugriffen siehe § 7.
• Strikte Mandantentrennung; rollenbasierte Zugriffsrechte, serverseitig bei jedem Datenzugriff geprüft; Sitzungen laufen nach höchstens 8 Stunden ab und werden regelmäßig gegen den Kontostatus geprüft.
• Als anvertraut gekennzeichnete Inhalte (§ 65 SGB VIII) sind nur für Berechtigte sichtbar und werden nicht von der KI verarbeitet.
• Protokollierung schreibender Vorgänge in einem Audit-Protokoll (ohne Inhalte), regelmäßige Aktualisierung der eingesetzten Systeme.
• Diktat-Aufnahmen werden vor dem Speichern mit AES-256-GCM verschlüsselt und spätestens 30 Tage nach der Aufnahme gelöscht.
• KI-Funktionen: Pseudonymisierung bekannter Namen, Adressen und Kennungen vor Text-Entwürfen, Verarbeitung über den Regionsendpunkt europe-west3, Sperre anderer KI-Anbieter im Produktivbetrieb, kein Training mit Kundendaten, Übernahme in die Akte erst nach Freigabe durch die Fachkraft.
• Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen.

(2) Aufgrund der Verarbeitung besonderer Datenkategorien (Art. 9 DSGVO) und von Sozialdaten gelten erhöhte Anforderungen an Zugriffsbeschränkung und Protokollierung. Der Auftragsverarbeiter stellt sicher, dass der Zugriff auf solche Daten auf das erforderliche Minimum beschränkt ist.

§ 7 Unterauftragsverarbeiter

(1) Der Verantwortliche stimmt dem Einsatz der nachfolgenden Unterauftragsverarbeiter zu:

• Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA – Hosting der Anwendung und der Website. Ausführungsregion Frankfurt am Main (fra1). Nach dem Vertrag des Anbieters ist eine Verarbeitung auch in den USA und an weiteren Standorten möglich (z. B. Auslieferungsnetz, Support). Garantien: EU-US Data Privacy Framework und EU-Standardvertragsklauseln.
• Databricks, Inc. (Neon), 160 Spear Street, 15th Floor, San Francisco, CA 94105, USA – Datenbank-Hosting (PostgreSQL) in der Region AWS Frankfurt am Main (eu-central-1). Support- und Betriebszugriffe durch Konzerngesellschaften und Unterauftragnehmer des Anbieters außerhalb der EU sind möglich. Garantien: EU-Standardvertragsklauseln bzw. Data Privacy Framework.
• Google Cloud EMEA Limited / Google Ireland Limited (Konzernmutter Google LLC, USA) – nur bei Nutzung der KI-Funktionen: Transkription und Textentwürfe über Vertex AI, Regionsendpunkt europe-west3 (Frankfurt am Main), Modellberechnung innerhalb der EU; Google Cloud Datenverarbeitungsbedingungen. Google verwendet Kundendaten nach diesen Bedingungen nicht zum Training von KI-Modellen.
• S3-kompatibler Objektspeicher – nur, wenn für Diktat-Aufnahmen eingerichtet: verschlüsselte Zwischenspeicherung in einer EU-Region. Der konkrete Anbieter wird vor dem Einsatz mit Sitz und Verarbeitungsort in dieser Liste ergänzt; § 7 Abs. 3 gilt.

(2) Mit allen Unterauftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO; bei Anbietern außerhalb der EU/EWR stützt sich die Übermittlung auf einen Angemessenheitsbeschluss (Art. 45 DSGVO) bzw. EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder den Austausch weiterer Unterauftragsverarbeiter. Der Verantwortliche kann einer Änderung aus wichtigem datenschutzrechtlichen Grund innerhalb von zwei Wochen widersprechen.

§ 8 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen seiner Möglichkeiten bei der Erfüllung der Betroffenenrechte (Art. 12–22 DSGVO). Geht eine Betroffenenanfrage direkt beim Auftragsverarbeiter ein, leitet er diese unverzüglich an den Verantwortlichen weiter.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO (Datensicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung), insbesondere indem er dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden mitteilt.

§ 9 Löschung und Rückgabe

Nach Abschluss der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach dem Recht der EU oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht. Bis zur Löschung stellt der Auftragsverarbeiter dem Verantwortlichen die Daten für einen Zeitraum von 30 Tagen nach Vertragsende zum Export bereit.

§ 10 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

(2) Der Auftragsverarbeiter ermöglicht Überprüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei. Inspektionen vor Ort sind mit angemessener Vorankündigung und während der üblichen Geschäftszeiten durchzuführen.

§ 11 Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Bei Widersprüchen zwischen dieser AVV und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieser AVV vor.

Auftragsverarbeiter

Limani Bildungsinstitut GmbH & Co. KG · Auf der Reihe 2, 45884 Gelsenkirchen · E-Mail: hallo@matiamu.de
Datenschutzbeauftragter: DataGAP GmbH, team@datagap.de

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO und § 80 SGB X.