Auftragsverarbeitungsvertrag (AVV)

1. Parteien und Rollenverteilung

• Auftraggeber (Kunde): Verantwortlicher (oder Auftragsverarbeiter, der im Auftrag eines Verantwortlichen handelt, mit entsprechender Befugnis).
• FileGPT.dev-Betreiber: Auftragsverarbeiter für personenbezogene Daten des Kunden, die im Rahmen des Projekts verarbeitet werden.

2. Gegenstand und Laufzeit

Die Verarbeitung umfasst die Konzeption, Implementierung und den Betrieb privater RAG-Systeme für technische Dokumentenprozesse — ausschließlich innerhalb der vertraglich vereinbarten Infrastruktur (On-Premise, Private Cloud oder isolierte Umgebung). Dieser AVV gilt für die Dauer der Projektvereinbarung und besteht fort, solange personenbezogene Daten des Kunden im Auftrag verarbeitet werden.

3. Art und Zweck der Verarbeitung

• Aufnahme und Verarbeitung von Dokumenten aus freigegebenen Quellen (DMS, Dateisystem, SharePoint-Export).
• Parsing, Texterkennung (OCR), Normalisierung und Erzeugung von Einbettungen innerhalb der festgelegten Umgebung.
• Aufbau und Betrieb des Vektorindex für semantisches Retrieval mit Rollen- und Berechtigungskontrolle.
• Verarbeitung von Nutzeranfragen und Erzeugung quellengebundener Antworten durch das vereinbarte Sprachmodell.
• Protokollierung von Zugriffen, Änderungen und Systemereignissen für Audit- und Sicherheitszwecke.

4. Kategorien von Daten und betroffene Personen

Die Kategorien können umfassen: Kontaktdaten der Nutzer, Inhalte technischer Dokumente (Lastenhefte, RFQs, Handbücher, Qualitätsdokumente), Nutzeranfragen sowie technische Metadaten. Betroffene Personen können Mitarbeiter, Auftragnehmer und sonstige Personen sein, deren Daten in den verarbeiteten Dokumenten enthalten sind.

5. Pflichten des Auftragsverarbeiters

FileGPT.dev wird:

• personenbezogene Daten des Kunden nur auf dokumentierte Weisung des Kunden hin verarbeiten;
• sicherstellen, dass zugriffsberechtigte Personen zur Vertraulichkeit verpflichtet sind;
• geeignete technische und organisatorische Maßnahmen zum Schutz der Daten umsetzen;
• den Kunden bei der Erfüllung von Betroffenenanfragen technisch unterstützen, soweit möglich;
• bei der Durchführung von Datenschutz-Folgenabschätzungen (DSFA) oder Vorabkonsultationen mitwirken, soweit erforderlich; und
• den Kunden unverzüglich über Verletzungen des Schutzes personenbezogener Daten informieren.

6. Pflichten des Auftraggebers

• Erteilung rechtmäßiger Weisungen und Sicherstellung einer Rechtsgrundlage für die Verarbeitung.
• Gewährleistung, dass verarbeitete Daten rechtmäßig erhoben und bereitgestellt wurden.
• Konfiguration des Systems entsprechend den eigenen Compliance-Anforderungen.
• Bearbeitung von Betroffenenanfragen, die sich direkt an den Kunden als Verantwortlichen richten.

7. Unterauftragnehmer

Der Kunde erteilt eine allgemeine Genehmigung für Unterauftragnehmer, die für den Projektbetrieb eingesetzt werden. Die genaue Infrastruktur — Modell, Vektordatenbank, Hosting, Einbettungsdienst — wird im Rahmen des Assessments gemeinsam festgelegt und dokumentiert.

Bei wesentlichen Änderungen an Unterauftragnehmern wird der Kunde informiert. Begründete Einwände aus datenschutzrechtlichen Gründen können über info@filegpt.dev geltend gemacht werden.

8. Internationale Datenübermittlungen

Für On-Premise- und Private-Cloud-Deployments verbleiben Daten innerhalb der vom Kunden kontrollierten Infrastruktur. Soweit für den Website-Betrieb Unterauftragnehmer außerhalb des EWR eingesetzt werden, werden geeignete Transfermechanismen wie EU-Standardvertragsklauseln verwendet.

9. Technische und organisatorische Maßnahmen (Anlage II)

• Authentifizierter API-Zugang und rollenbasierte Zugriffskontrollen.
• Lokale oder mandantenkontrollierte Einbettungserzeugung und Vektorspeicherung.
• Eingabevalidierung, Ratenbegrenzung und Missbrauchsprävention.
• Logische Mandantentrennung nach Nutzer, Projekt und Berechtigungsmodell.
• Verschlüsselung bei der Übertragung (TLS) und im Ruhezustand über die Infrastrukturanbieter.
• Betriebsmonitoring, Protokollierung und Incident-Response-Verfahren.

Eine technische Übersicht mit bekannten Einschränkungen ist auf der Sicherheitsseite veröffentlicht.

10. Meldung von Datenschutzverletzungen

Wenn wir Kenntnis von einer bestätigten Verletzung des Schutzes personenbezogener Daten des Kunden erlangen, werden wir den Kunden unverzüglich benachrichtigen und die verfügbaren Informationen bereitstellen, die der Kunde für seine eigenen Meldepflichten benötigt.

11. Kontroll- und Informationsrechte

Der Kunde kann Informationen anfordern, die zur Nachweisführung der Einhaltung dieses AVV erforderlich sind. Audits sind auf angemessene Häufigkeit, Umfang, Vertraulichkeitsschutz und Sicherheitsanforderungen beschränkt.

12. Rückgabe und Löschung bei Vertragsende

Nach Projektabschluss oder auf dokumentierte Weisung werden Kundendaten gelöscht oder zurückgegeben — gemäß den vertraglichen Vereinbarungen und gesetzlichen Aufbewahrungspflichten.

13. Vorrang und Konfliktlösung

Soweit dieser AVV mit anderen Servicebedingungen in Bezug auf den Datenschutz in Konflikt steht, hat dieser AVV Vorrang für die Verarbeitung personenbezogener Daten. Für Enterprise-Kunden kann dieser AVV durch eine unterzeichnete, individuell ausgehandelte Vereinbarung ersetzt werden.

14. Kontakt und unterzeichnete Exemplare

Für Enterprise-Beschaffung, unterzeichnete AVV-Anfragen oder Compliance-Fragebögen wenden Sie sich an info@filegpt.dev.