Diese Vereinbarung über Auftragsverarbeitung („AVV“) wird geschlossen zwischen

Sebastian Spohr Media, Haydnstraße 17a, 93053 Regensburg, Deutschland

– nachfolgend „Tasia“ oder „Auftragsverarbeiter“ –

und

dem jeweiligen Kunden, der Tasia auf Grundlage einer Registrierung, Bestellung, eines Angebots oder einer sonstigen Vereinbarung nutzt

– nachfolgend „Kunde“, „Auftraggeber“ oder, soweit einschlägig, „Verantwortlicher“ –

zusammen die „Parteien“.

Diese AVV ergänzt den Vertrag über die Nutzung von Tasia einschließlich der Nutzungsbedingungen, Bestellung, Leistungsbeschreibung und individueller Vereinbarungen („Hauptvertrag“). Sie gilt, soweit Tasia personenbezogene Daten im Auftrag des Kunden im Sinne von Art. 28 DSGVO verarbeitet.

Handelt der Kunde gegenüber einem Dritten selbst als Auftragsverarbeiter, gilt Tasia in der betreffenden Verarbeitungskette als weiterer Auftragsverarbeiter. Der Kunde stellt sicher, dass er zu dessen Beauftragung berechtigt ist und die erforderlichen Weisungen erteilen darf.

1. Gegenstand, Dauer und Rollen

1. Tasia stellt ein SaaS-Angebot zur strukturierten Erfassung von Kundenanfragen und zur weitgehenden Vorbereitung von Angeboten bereit. Zum Dienst können insbesondere Anfrageformulare, Preis- und Leistungsregeln, Dokumentenimporte, Team-, Versand-, Export-, Schnittstellen- und KI-Funktionen gehören.

2. Diese AVV erfasst personenbezogene Daten, die der Kunde, seine Nutzer, Interessenten, Endkunden oder vom Kunden bestimmte Systeme in Tasia eingeben, hochladen, importieren, erzeugen, übermitteln, bearbeiten oder verarbeiten lassen („Kundendaten“).

3. Gegenstand, Art, Zweck und Dauer der Verarbeitung, Datenkategorien und betroffene Personen ergeben sich aus Anlage 1.

4. Der Kunde entscheidet über Zwecke, Rechtsgrundlagen, Inhalte, Empfänger, Freigaben und Löschfristen seiner Kundendaten. Werden Formulare eingebettet oder über eine Tasia-Adresse bereitgestellt, Angebote versendet, Daten exportiert oder an Drittsysteme übertragen, erfolgt dies auf Veranlassung und Verantwortung des Kunden.

5. Nicht unter diese AVV fallen Verarbeitungen, bei denen Tasia selbst über Zwecke und wesentliche Mittel entscheidet. Dazu gehören insbesondere Vertragsverwaltung, Abrechnung, Zahlungsabwicklung, Buchhaltung, eigene Geschäftskommunikation, Newsletter, eigene Websiteanalyse, Sicherheit und Missbrauchsabwehr in eigener Verantwortung, gesetzliche Aufbewahrung und Rechtsverteidigung.

6. Soweit dieselben technischen Daten zugleich zur Erbringung des Dienstes im Auftrag des Kunden verarbeitet werden, gilt diese AVV für diesen Verarbeitungszweck.

7. Die Auftragsverarbeitung beginnt mit der erstmaligen Verarbeitung von Kundendaten und dauert bis zu deren Rückgabe oder Löschung nach Beendigung des Hauptvertrags einschließlich der geregelten Abruf-, Backup- und Nachlauffristen.

2. Verantwortung und Weisungen des Kunden

1. Der Kunde ist für die Rechtmäßigkeit der Kundendaten und ihrer Verarbeitung verantwortlich. Er stellt insbesondere sicher, dass:

   • erforderliche Rechtsgrundlagen, Einwilligungen und Vereinbarungen bestehen;
   • betroffene Personen ordnungsgemäß informiert werden;
   • nur erforderliche und angemessene Daten erhoben werden;
   • Löschfristen und Zugriffsbeschränkungen festgelegt werden;
   • Tasia nur für zulässige geschäftliche Zwecke genutzt wird;
   • seine Anfrageformulare, Angebote und Endkundenprozesse rechtmäßig ausgestaltet sind.

2. Der Kunde bleibt insbesondere Verantwortlicher für die Erhebung und Verwendung von Angaben seiner Interessenten oder Endkunden. Er stellt seine Datenschutzhinweise am eingebetteten oder gehosteten Formular in geeigneter Weise bereit und benennt sich dort als Verantwortlichen, soweit dies zutrifft.

3. Der Kunde darf besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO oder sonstige besonders schutzbedürftige beziehungsweise regulierte Daten nur verarbeiten lassen, wenn Tasia dies für den konkreten Anwendungsfall ausdrücklich in Textform freigegeben hat, die Verarbeitung rechtmäßig und erforderlich ist und die Parteien erforderliche zusätzliche technische und organisatorische Maßnahmen vereinbart haben.

4. Tasia ist ohne ausdrückliche Vereinbarung nicht für Daten bestimmt, deren Verlust, Offenlegung oder Fehlverarbeitung typischerweise unmittelbare Gefahren für Leib, Leben, kritische Infrastruktur oder vergleichbare Hochrisikofolgen auslösen kann.

5. Weisungen ergeben sich aus dem Hauptvertrag, dieser AVV, den vom Kunden gewählten Einstellungen und Funktionen, Handlungen autorisierter Nutzer sowie dokumentierten Support- oder Administrationsanfragen. Zusätzliche Weisungen können in Textform erteilt werden.

6. Der Kunde benennt berechtigte Ansprechpartner und verwaltet Accounts, Rollen, Berechtigungen, API-Schlüssel, Freigabelinks und eigene Integrationen sicher. Tasia darf Weisungen über das Kundenkonto, Administratoren oder hinterlegte Kontaktadressen als autorisiert behandeln, solange keine begründeten Zweifel bestehen.

7. Hält Tasia eine Weisung für datenschutzrechtswidrig, informiert Tasia den Kunden unverzüglich. Tasia darf die Ausführung aussetzen, bis die Weisung bestätigt, geändert oder ihre Rechtmäßigkeit geklärt ist. Tasia schuldet keine umfassende rechtliche Prüfung der Weisungen.

8. Weisungen außerhalb des vereinbarten Leistungsumfangs oder solche, die technisch nicht ohne unverhältnismäßigen Aufwand umsetzbar sind, Sicherheit oder Stabilität beeinträchtigen oder Rechte anderer Kunden oder Dritter berühren, bedürfen einer gesonderten Abstimmung. Tasia kann hierfür eine angemessene Vergütung verlangen, wenn der Aufwand nicht durch einen von Tasia zu vertretenden Umstand verursacht wurde und der Kunde vorab informiert wird.

3. Pflichten von Tasia

1. Tasia verarbeitet Kundendaten ausschließlich nach dokumentierter Weisung des Kunden, soweit keine Verpflichtung durch das Recht der Europäischen Union oder eines Mitgliedstaats besteht. In diesem Fall informiert Tasia den Kunden vor der Verarbeitung, soweit das betreffende Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses untersagt.

2. Tasia stellt sicher, dass Personen mit Zugang zu Kundendaten zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

3. Zugriffe werden auf Personen beschränkt, die sie für Betrieb, Wartung, Sicherheit, Support, Fehleranalyse oder die Umsetzung dokumentierter Weisungen benötigen.

4. Tasia verkauft oder vermietet Kundendaten nicht und nutzt sie nicht für eigene Werbung.

5. Tasia verwendet personenbezogene Kundendaten, Formulareingaben, Prompts oder Angebotsinhalte ohne gesonderte ausdrückliche Vereinbarung weder selbst noch über eingesetzte KI-Dienstleister zum kundenübergreifenden Training, Fine-Tuning oder zur allgemeinen Verbesserung eigener oder fremder KI-Grundmodelle.

6. Die Nutzung freigegebener Angebote, Preis- und Leistungsregeln sowie manueller Korrekturen zur Verbesserung künftiger Ergebnisse für denselben Kunden ist Teil der beauftragten Verarbeitung, soweit die entsprechende Funktion im Kundenaccount freigeschaltet oder genutzt wird.

7. Tasia darf nicht personenbezogene, anonymisierte oder hinreichend aggregierte Informationen für Fehleranalyse, Sicherheit, Kapazitätsplanung, statistische Auswertung und Produktverbesserung verwenden, wenn eine Reidentifikation einzelner Personen oder Kunden ausgeschlossen ist. Solche Informationen sind keine personenbezogenen Kundendaten im Sinne dieser AVV.

8. Tasia trifft geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Die zum Stand dieser AVV vorgesehenen Maßnahmen sind in Anlage 2 beschrieben. Sie dürfen entsprechend der technischen Entwicklung und Risikolage angepasst werden, sofern das Schutzniveau insgesamt nicht wesentlich unterschritten wird.

9. Tasia unterstützt den Kunden im gesetzlich erforderlichen und unter Berücksichtigung der Art der Verarbeitung möglichen Umfang bei:

   • Anfragen und Rechten betroffener Personen;
   • Sicherheit der Verarbeitung;
   • Meldung und Dokumentation von Datenschutzverletzungen;
   • Datenschutz-Folgenabschätzungen;
   • vorherigen Konsultationen mit Aufsichtsbehörden;
   • Nachweisen gegenüber zuständigen Aufsichtsbehörden.

10. Erhält Tasia eine Anfrage einer betroffenen Person, die erkennbar Kundendaten betrifft, leitet Tasia sie grundsätzlich an den Kunden weiter und beantwortet sie nicht eigenständig, soweit Tasia hierzu nicht rechtlich verpflichtet ist. Der Kunde bleibt für die inhaltliche Prüfung und fristgerechte Beantwortung verantwortlich.

11. Unterstützungsleistungen, die über die üblichen Produkt- und Supportfunktionen sowie zwingende Pflichten von Tasia hinausgehen, können nach vorherigem Hinweis angemessen berechnet werden. Dies gilt nicht, soweit der Aufwand auf einer Pflichtverletzung von Tasia beruht.

4. Sicherheit der Verarbeitung

1. Tasia berücksichtigt bei seinen Maßnahmen den Stand der Technik, Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere möglicher Risiken für betroffene Personen.

2. Die in Anlage 2 beschriebenen Maßnahmen umfassen insbesondere Zugangs- und Berechtigungskontrollen, logische Mandantentrennung, verschlüsselte Übertragung, sichere Verwaltung von Geheimnissen, Sicherheitsprotokollierung, Backups, Wiederherstellungsverfahren, Schwachstellenbehandlung und Verfahren für Sicherheitsvorfälle.

3. Der Kunde erkennt an, dass Sicherheit eine gemeinsame Verantwortung ist. Er muss insbesondere:

   • verfügbare Zugangsschutzfunktionen verwenden;
   • Rollen und Berechtigungen regelmäßig prüfen;
   • Endgeräte und eigene Integrationen absichern;
   • Freigabelinks, API-Schlüssel und Zugangsdaten schützen;
   • nur erforderliche Daten erheben und bereitstellen;
   • Sicherheitsvorfälle unverzüglich melden.

4. Tasia darf Sicherheitsmaßnahmen kurzfristig ändern, wenn dies zur Schließung von Schwachstellen, Abwehr von Angriffen, Wahrung der Verfügbarkeit oder Erfüllung gesetzlicher Anforderungen erforderlich ist.

5. Planbare wesentliche Änderungen, die das vereinbarte Schutzniveau voraussichtlich nachteilig beeinflussen, werden dem Kunden nach Möglichkeit mit angemessener Vorlaufzeit mitgeteilt. Änderungen, die das Schutzniveau insgesamt nicht wesentlich unterschreiten, bedürfen keiner gesonderten Vorabinformation. Bei dringenden Sicherheits-, Rechts- oder Datenschutzgründen darf Tasia Änderungen kurzfristig umsetzen und informiert den Kunden, soweit erforderlich, ohne unangemessene Verzögerung.

6. Tasia übernimmt ohne gesonderte Vereinbarung keine Garantie dafür, dass jede kundenspezifische regulatorische, branchenbezogene oder interne Sicherheitsanforderung erfüllt wird. Der Kunde muss vor der Nutzung für besonders schutzbedürftige Verarbeitungen prüfen, ob die beschriebenen Maßnahmen für sein Risiko ausreichen.

5. Unterauftragsverarbeiter

1. Der Kunde erteilt Tasia die allgemeine vorherige Genehmigung, Unterauftragsverarbeiter einzusetzen. Die zum Stand dieser AVV eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.

2. Tasia verpflichtet Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die den einschlägigen Pflichten dieser AVV im Wesentlichen entsprechen. Tasia bleibt gegenüber dem Kunden für die Erfüllung der Pflichten eines Unterauftragsverarbeiters nach Art. 28 Abs. 4 DSGVO verantwortlich.

3. Tasia informiert den Kunden aktiv über die beabsichtigte Hinzunahme oder Ersetzung eines Unterauftragsverarbeiters mit angemessener Vorlaufzeit, in der Regel 14 Kalendertage vor dessen Einsatz, insbesondere per E-Mail an die hinterlegte administrative Kontaktadresse oder durch eine hervorgehobene Account-Mitteilung.

4. Eine dauerhaft zugängliche Unterauftragnehmerliste kann die aktive Mitteilung ergänzen und Änderungen dokumentieren, ersetzt sie aber nicht.

5. Erfordert ein dringender Sicherheits-, Verfügbarkeits- oder Rechtsgrund einen kurzfristigeren Einsatz, informiert Tasia den Kunden vorab, soweit dies möglich ist, andernfalls ohne unangemessene Verzögerung. Der Kunde behält sein Widerspruchsrecht. Tasia begrenzt einen kurzfristigen Einsatz auf das erforderliche Maß.

6. Der Kunde kann aus konkreten, nachvollziehbaren datenschutzrechtlichen Gründen innerhalb der mitgeteilten Frist widersprechen. Die Parteien bemühen sich um eine zumutbare Lösung. Ist eine Fortsetzung ohne den betroffenen Anbieter nicht möglich oder nur mit unverhältnismäßigem Aufwand verbunden, darf jede Partei die betroffene Leistung außerordentlich beenden. Ansprüche wegen bereits vertragsgemäß erbrachter Leistungen bleiben unberührt.

7. Tasia hält für alle an der Verarbeitung von Kundendaten beteiligten Unterauftragsverarbeiter Informationen über Name, Anschrift, Kontaktstelle, Rolle, Verarbeitungsort und relevante weitere Verarbeitungsketten aktuell. Ergänzende Angaben stellt Tasia dem Kunden unter privacy@tasia.io ohne unangemessene Verzögerung zur Verfügung.

8. Kein Unterauftragsverhältnis im Sinne dieser AVV liegt vor, soweit:

   • ein Dienstleister ausschließlich Verarbeitungen unterstützt, für die Tasia selbst Verantwortlicher ist, beispielsweise eigene Zahlungsabwicklung, Buchhaltung oder Newsletter;
   • der Kunde selbst einen Empfänger, ein Drittsystem oder einen Dienstleister auswählt und Tasia lediglich anweist, Daten an diesen zu übertragen.

Eine abweichende Rollenverteilung nach dem anwendbaren Datenschutzrecht bleibt möglich.

6. Drittlandübermittlungen und staatliche Zugriffe

1. Tasia verarbeitet Kundendaten grundsätzlich innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums und nutzt die in Anlage 3 beschriebenen EU-/EWR-Konfigurationen, soweit dort nichts Abweichendes angegeben ist.

2. Eine Übermittlung in ein Drittland oder an eine internationale Organisation erfolgt nur auf dokumentierte Weisung des Kunden oder unter Einhaltung der Art. 44 ff. DSGVO.

3. Als geeignete Mechanismen kommen insbesondere ein Angemessenheitsbeschluss, verbindliche interne Datenschutzvorschriften oder die Standardvertragsklauseln der Europäischen Kommission mit erforderlichen ergänzenden Maßnahmen in Betracht.

4. Reine Fernzugriffe aus einem Drittland werden wie Drittlandübermittlungen behandelt, soweit sie nach Datenschutzrecht als solche einzuordnen sind.

5. Gesetzlich verpflichtende Offenlegungen werden auf das erforderliche Maß begrenzt. Tasia informiert den Kunden vor einer Offenlegung, soweit dies rechtlich zulässig ist, prüft die Rechtmäßigkeit einer Anfrage und widerspricht unverhältnismäßigen oder rechtswidrigen Anfragen im zumutbaren Umfang.

6. Ändert sich der vorgesehene Verarbeitungsort eines Unterauftragsverarbeiters wesentlich, gelten die Informations- und Widerspruchsregeln nach Ziffer 5.

7. Datenschutzverletzungen

1. Tasia informiert den Kunden unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, soweit Kundendaten betroffen sind.

2. Die Mitteilung enthält, soweit zu diesem Zeitpunkt verfügbar:

   • Art und Umfang des Vorfalls;
   • betroffene Daten- und Personenkategorien;
   • voraussichtliche Folgen;
   • ergriffene oder vorgeschlagene Abhilfemaßnahmen;
   • einen Kontakt für Rückfragen.

3. Fehlende Informationen werden ohne unangemessene Verzögerung schrittweise nachgereicht.

4. Tasia trifft angemessene Maßnahmen zur Eindämmung, Untersuchung und Behebung des Vorfalls und dokumentiert ihn im gesetzlich erforderlichen Umfang. Die Mitteilung stellt kein Anerkenntnis einer Pflichtverletzung oder Haftung dar.

5. Der Kunde entscheidet über Meldungen an Aufsichtsbehörden und betroffene Personen, soweit er Verantwortlicher ist. Tasia unterstützt ihn im gesetzlich erforderlichen und verfügbaren Umfang.

8. Nachweise, Betroffenenrechte und Kontrollen

1. Tasia stellt dem Kunden die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen.

2. Tasia darf hierfür insbesondere TOM-Beschreibungen, Fragebögen, Eigenerklärungen, Prüfberichte, Zertifikate oder vergleichbare Unterlagen verwenden.

3. Der Kunde darf angemessene Kontrollen selbst oder durch einen zur Vertraulichkeit verpflichteten, unabhängigen Prüfer durchführen lassen. Kontrollen erfolgen grundsätzlich zunächst anhand von Unterlagen und durch Fernprüfung.

4. Vor-Ort-Prüfungen sind zulässig, wenn eine Dokumentenprüfung nicht ausreicht und ein berechtigter Anlass besteht.

5. Prüfungen sind in der Regel mindestens 30 Tage vorher anzukündigen, während üblicher Geschäftszeiten durchzuführen und auf den erforderlichen Umfang zu beschränken. Sie dürfen Betrieb, Sicherheit, Geschäftsgeheimnisse und Rechte anderer Kunden nicht unangemessen beeinträchtigen.

6. Ohne besonderen Anlass besteht ein Prüfungsrecht höchstens einmal pro Kalenderjahr.

7. Der Kunde trägt seine eigenen Kosten für von ihm eingesetzte Prüfer. Tasia trägt den angemessenen Aufwand zur Erfüllung seiner gesetzlichen Nachweis- und Mitwirkungspflichten. Nur zusätzlicher, vorab angekündigter und vom Kunden verlangter Aufwand außerhalb einer gesetzlich erforderlichen angemessenen Prüfung kann gesondert vereinbart und berechnet werden, insbesondere bei Sonderformaten, wiederholten Prüfungen ohne neuen Anlass oder kundenspezifischer Beratung. Kein Entgelt fällt an, soweit die Prüfung durch einen von Tasia zu vertretenden Verstoß, Sicherheitsvorfall oder begründeten Verdacht veranlasst ist. Anlassbezogene Prüfungen können mit kürzerer Frist erfolgen.

8. Gesetzliche Kontroll- und Zugriffsrechte zuständiger Aufsichtsbehörden bleiben unberührt.

9. Während der Vertragslaufzeit stellt Tasia dem Kunden die vorhandenen Funktionen zur Berichtigung, Einschränkung, Löschung und zum Export von Kundendaten bereit und unterstützt ihn nach Maßgabe von Ziffer 3 bei Betroffenenanfragen.

9. Rückgabe und Löschung

1. Während der Vertragslaufzeit kann der Kunde Kundendaten mit den bereitgestellten Funktionen berichtigen, löschen oder exportieren. Form und Umfang eines Exports richten sich nach dem Dienst, dem Hauptvertrag und zwingendem Recht.

2. Nach Ende des Hauptvertrags gibt Tasia Kundendaten nach Wahl des Kunden zurück oder löscht sie und löscht vorhandene Kopien, soweit nicht das Recht der Europäischen Union oder eines Mitgliedstaats eine weitere Speicherung verlangt.

3. Tasia darf eine elektronische Rückgabe über vorhandene Export-, Download-, Schnittstellen- oder Supportwege bereitstellen. Eine kundenspezifische Migration oder Überführung in ein bestimmtes Drittsystem ist nur geschuldet, wenn sie vereinbart oder gesetzlich zwingend ist.

4. Soweit nichts anderes vereinbart, gesetzlich vorgeschrieben oder vom Kunden rechtzeitig angewiesen wird, hält Tasia eine vorhandene Abruf- oder Exportmöglichkeit grundsätzlich 30 Tage nach Vertragsende beziehungsweise nach Ende einer anwendbaren Data-Act-Übergangsfrist bereit.

5. Danach werden Kundendaten in aktiven Systemen ohne unangemessene Verzögerung, spätestens innerhalb weiterer 30 Tage, gelöscht oder anonymisiert.

6. Als späteren vollständigen Löschzeitpunkt einschließlich technisch getrennter, nicht regulär zugänglicher Sicherungskopien vereinbaren die Parteien das Ende des regulären Backup-Zyklus, spätestens innerhalb von 90 Tagen nach der Löschung in aktiven Systemen.

7. Bis dahin werden die Daten in Sicherungskopien nicht für andere Zwecke verwendet und nur im erforderlichen Wiederherstellungsfall verarbeitet. Nach einer Wiederherstellung werden bereits wirksam gewordene Löschungen erneut umgesetzt.

8. Eine Zurückbehaltung inhaltlicher Kundendaten durch Tasia als Auftragsverarbeiter ist nur zulässig, soweit eine konkrete gesetzliche Aufbewahrungspflicht oder eine verbindliche behördliche beziehungsweise gerichtliche Sicherungsanordnung dies verlangt. Tasia informiert den Kunden hierüber, soweit dies rechtlich zulässig ist, beschränkt die Daten und Zugriffe auf das erforderliche Maß und löscht die Daten nach Wegfall der Pflicht. Eigenständige Vertrags-, Abrechnungs- und Nachweisdaten, die Tasia als Verantwortlicher rechtmäßig verarbeitet, fallen nicht unter diese AVV und umfassen nicht ohne Weiteres die inhaltlichen Kundendaten des Kundenprozesses.

9. Tasia kann keine Löschung aus Systemen gewährleisten, die nicht von Tasia kontrolliert werden, insbesondere nachdem der Kunde Daten exportiert, versendet, über eine Integration übertragen oder an Dritte weitergegeben hat.

10. Tasia bestätigt dem Kunden auf Anfrage in Textform den Abschluss der nach dieser Ziffer geschuldeten Rückgabe oder vollständigen Löschung. Solange nur der reguläre Backup-Zyklus aussteht, kann Tasia stattdessen den vorgesehenen vollständigen Löschzeitpunkt mitteilen.

10. KI-Funktionen und kundenspezifische Optimierung

1. Soweit eine KI-Funktion genutzt wird, verarbeitet Tasia die hierfür ausgewählten oder technisch erforderlichen Kundendaten zur Ausführung der jeweiligen Anfrage. Dazu können insbesondere gehören:

   • Prompts und Instruktionen;
   • Formulareingaben und Anforderungen;
   • Preis-, Leistungs-, Mengen- und Abhängigkeitsdaten;
   • bestehende Angebote, E-Mails, Dateien und Anhänge;
   • Angebotsentwürfe, Positionen und generierte Ausgaben;
   • manuelle Änderungen, Freigaben und Korrekturen;
   • technische Nutzungs- und Abrechnungsmetadaten.

2. Zwecke sind insbesondere Extraktion, Strukturierung, Klassifizierung, Erkennung fehlender Angaben, Vorschlag von Rückfragen, Zuordnung zu Preis- und Leistungsregeln, Formulierung und Vorbereitung von Angebotsentwürfen sowie kundenspezifische Verbesserung künftiger Ergebnisse.

3. Tasia setzt hierfür derzeit TensorX Limited (vormals Tensorix) als den in Anlage 3 genannten KI-Unterauftragsverarbeiter ein.

4. Tasia nutzt für Kundendaten die vertraglich vorgesehene EU-/EWR-Konfiguration. Nach dieser Konfiguration:

   • werden Anfrage- und Ausgabeinhalte bei TensorX nur vorübergehend zur Inferenz verarbeitet;
   • werden diese Inhalte dort nicht dauerhaft gespeichert oder protokolliert;
   • werden sie nicht an Modellentwickler oder sonstige Modellanbieter weitergegeben;
   • werden sie nicht zum Training, Fine-Tuning oder zur allgemeinen Verbesserung von KI-Modellen verwendet.

5. Technische Nutzungs-, Sicherheits- und Abrechnungsmetadaten können im erforderlichen Umfang gespeichert werden. Dazu können insbesondere Zeitstempel, Modellkennung, Tokenmengen, Status-, Fehler- und Kosteninformationen gehören. TensorX dokumentiert für Nutzungsmetadaten, API-Protokolle und Sicherheitsprotokolle zum Stand dieser AVV eine Aufbewahrung von bis zu zwölf Monaten. Anfrage- und Ausgabeinhalte sind hiervon nicht umfasst und werden nach der vorgesehenen Konfiguration nicht dauerhaft gespeichert oder protokolliert.

6. Tasia kann Formulareingaben, Dokumente, Regeln und vom Kunden übernommene oder gespeicherte Ergebnisse im eigenen System entsprechend dem Hauptvertrag und den Weisungen des Kunden speichern. Die vorübergehende Verarbeitung bei TensorX ändert diese Speicherung in Tasia nicht.

7. Die Verwendung freigegebener Angebote, kundenspezifischer Regeln und manueller Korrekturen zur Verbesserung künftiger Ergebnisse für denselben Kunden ist Teil der beauftragten Leistung. Eine kundenübergreifende Nutzung personenbezogener Kundendaten findet nicht statt.

8. Tasia darf Modelle und KI-Unterauftragsverarbeiter ändern, sofern die Vorgaben dieser AVV eingehalten werden. Änderungen von Unterauftragsverarbeitern oder der relevanten Verarbeitungskette richten sich nach Ziffer 5.

9. Der Kunde entscheidet, welche Daten an KI-Funktionen übermittelt werden, und ist für deren Rechtmäßigkeit verantwortlich. Besondere Kategorien personenbezogener Daten, Daten nach Art. 10 DSGVO, Berufsgeheimnisse oder vergleichbar hochsensible Inhalte dürfen nur nach der ausdrücklichen Freigabe und Zusatzvereinbarung gemäß Ziffer 2.3 verarbeitet werden.

10. KI-Ausgaben können unvollständig oder fehlerhaft sein. Der Kunde muss sie vor Verwendung mit rechtlichen, finanziellen, sicherheitsrelevanten oder sonstigen erheblichen Auswirkungen angemessen prüfen. Diese Qualitätsregelung ändert die datenschutzrechtlichen Pflichten von Tasia als Auftragsverarbeiter nicht.

11. Formulare, Versand und Integrationen

1. Stellt der Kunde ein Anfrageformular über eine Tasia-Adresse oder eingebettet in seine Website bereit, verarbeitet Tasia die Formulardaten auf Weisung des Kunden. Der Kunde entscheidet über Fragen, Pflichtfelder, Empfänger, Sichtbarkeit, Rechtsgrundlage und Löschung.

2. Tasia darf technisch erforderliche Sicherheits-, Transparenz- und Missbrauchshinweise bereitstellen. Der Kunde bleibt für seine eigenen Anbieter- und Datenschutzhinweise sowie erforderliche Einwilligungen verantwortlich.

3. Soweit der Kunde Tasia anweist, ein Angebot, eine Benachrichtigung oder andere Kundendaten an einen Interessenten, Endkunden oder sonstigen Empfänger zu versenden, verarbeitet Tasia die erforderlichen Empfänger-, Inhalts-, Versand- und Zustelldaten zur Ausführung dieser Weisung.

4. Soweit der Kunde Tasia mit einem CRM-, ERP-, Buchhaltungs-, Branchen- oder sonstigen Drittsystem verbindet, verarbeitet Tasia die vom Kunden freigegebenen Daten und technischen Berechtigungen zur Herstellung und Durchführung der Verbindung.

5. Ein vom Kunden selbst ausgewählter Empfänger oder Drittanbieter ist nicht allein deshalb Unterauftragsverarbeiter von Tasia. Der Kunde ist für seine Vertrags- und Datenschutzbeziehung zu diesem Empfänger oder Drittanbieter verantwortlich.

6. Tasia verarbeitet Zugangsdaten, Tokens oder API-Schlüssel nur im erforderlichen Umfang und schützt sie nach den in Anlage 2 beschriebenen Maßnahmen. Der Kunde muss Berechtigungen auf das notwendige Maß beschränken und nicht mehr benötigte Verbindungen widerrufen.

12. Haftung, Laufzeit und Schlussbestimmungen

1. Die Haftung der Parteien richtet sich nach dem Hauptvertrag und zwingendem Recht. Art. 82 DSGVO sowie sonstige zwingende Datenschutzhaftung bleiben unberührt.

2. Diese AVV tritt mit ihrer Einbeziehung in den Hauptvertrag oder ihrer elektronischen Annahme in Kraft und gilt für die Dauer der Auftragsverarbeitung.

3. Vertraulichkeits-, Rückgabe-, Lösch-, Nachweis- und Haftungsregelungen gelten fort, soweit ihr Zweck dies erfordert.

4. Tasia darf rein redaktionelle Berichtigungen sowie Anpassungen an zwingendes Recht, behördliche Vorgaben oder technische Sicherheitsanforderungen mit Mitteilung in Textform vornehmen, soweit dadurch Gegenstand, Umfang und Schutzniveau der Auftragsverarbeitung nicht wesentlich zulasten des Kunden verändert werden.

5. Nicht dringende wesentliche Änderungen werden mit angemessener Vorlaufzeit, regelmäßig 30 Kalendertage vor ihrem Wirksamwerden, in Textform oder über einen vertraglich vorgesehenen elektronischen Mechanismus mitgeteilt. Eine kürzere Frist ist zulässig, soweit zwingende gesetzliche, behördliche, Sicherheits- oder Datenschutzgründe dies erfordern.

6. Änderungen, die Gegenstand, Dauer, Art oder Zweck der Auftragsverarbeitung, die Arten personenbezogener Daten, Kategorien betroffener Personen oder das Schutzniveau wesentlich erweitern beziehungsweise vermindern und nicht bereits vom Hauptvertrag gedeckt sind, bedürfen einer ausdrücklichen Vereinbarung. Änderungen von TOMs und Unterauftragsverarbeitern richten sich zusätzlich nach den hierfür vorgesehenen Regelungen. Ist eine zwingend erforderliche Änderung für den Kunden aus konkreten datenschutzrechtlichen Gründen unzumutbar und kann keine angemessene Lösung gefunden werden, kann der Kunde die betroffene Leistung zum Änderungszeitpunkt außerordentlich beenden.

7. Bei Widersprüchen zwischen dieser AVV und dem Hauptvertrag geht diese AVV hinsichtlich der Auftragsverarbeitung vor. Zwingendes Datenschutzrecht bleibt vorrangig.

8. Änderungen und Ergänzungen können in Textform und elektronisch vereinbart werden. Sollte eine Bestimmung unwirksam oder undurchführbar sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

9. Es gilt deutsches Recht unter Ausschluss des Kollisionsrechts, soweit dem keine zwingenden Datenschutzvorschriften entgegenstehen. Gerichtsstand ist, soweit gesetzlich zulässig, Regensburg.

Anlage 1 – Beschreibung der Verarbeitung

Eigenständige Registrierungs-, Vertrags-, Abrechnungs-, Authentifizierungs- und mandantenunabhängige Sicherheitsdaten fallen nicht unter diese Anlage, soweit Tasia hierfür Zwecke und wesentliche Mittel selbst festlegt. Soweit dieselben technischen oder organisatorischen Daten zugleich für einen getrennten, vom Kunden bestimmten Verarbeitungszweck benötigt werden, gilt diese AVV für diesen Zweck.

Anlage 2 – Technische und organisatorische Maßnahmen

Die folgenden Maßnahmen beschreiben das zum Stand dieser AVV vorgesehene Schutzniveau. Einzelne technische Ausgestaltungen dürfen sich ändern, solange das Schutzniveau insgesamt nicht wesentlich unterschritten wird.

Anlage 3 – Unterauftragsverarbeiter

A. Direkte Unterauftragsverarbeiter von Tasia

B. Für die TensorX-Leistung eingesetzte weitere Unterauftrags- und Infrastrukturunternehmen

Die öffentliche TensorX-Dokumentation legt nicht offen, ob jede einzelne Anfrage sämtliche nachfolgend genannten Anbieter durchläuft. Abhängig von der konkret eingesetzten technischen Komponente können insbesondere die folgenden Unternehmen an der Bereitstellung der TensorX-Leistung beteiligt sein. Maßgeblich ist, ob der jeweilige Anbieter tatsächlich Kundendaten oder technisch erforderliche Metadaten von Tasia verarbeitet:

Cloudflare, AWS und Railway können trotz vorgesehener Verarbeitung in europäischen Rechenzentren einen gesellschafts- oder konzernrechtlichen Drittstaatenbezug aufweisen. EU-/EWR-Hosting allein schließt die Anwendbarkeit zusätzlicher Rechtsordnungen nicht aus. Soweit daraus eine datenschutzrechtlich relevante Drittlandübermittlung oder ein Drittlandzugriff entsteht, gelten Ziffer 6 und die vertraglich vereinbarten Schutzmechanismen.

TensorX erklärt für die vorgesehene Inferenzkonfiguration, dass:

• Tasia-Anfrage- und Ausgabeinhalte nicht an Modellentwickler oder sonstige Modellanbieter weitergegeben werden;
• diese Inhalte nicht dauerhaft gespeichert oder protokolliert werden;
• diese Inhalte nicht zum Training oder Fine-Tuning von KI-Modellen verwendet werden.

Weitere von TensorX für eigene Zahlungs-, CRM-, Newsletter-, Support- oder allgemeine Kommunikationszwecke eingesetzte Dienstleister sind nicht allein deshalb Teil des regulären Inferenzpfads für Tasia-Inhalte. Sollte ein solcher Anbieter künftig Kundendaten im Sinne dieser AVV verarbeiten, gelten vor seinem Einsatz die Informations- und Widerspruchsregeln nach Ziffer 5.

Die jeweils aktuelle TensorX-Unterauftragnehmerliste ist ergänzend unter www.tensorx.ai/sub-processors abrufbar. Tasia hält die für Tasia-Kundendaten tatsächlich relevante Verarbeitungskette nach Ziffer 5 aktuell. Die bloße Änderung einer externen Liste erweitert die Genehmigung des Kunden nicht automatisch; über relevante Änderungen informiert Tasia aktiv nach Ziffer 5.

C. Nicht unter diese AVV fallende Anbieter

STRATO wird ausschließlich für die eigene Reichweitenmessung von Tasia als Verantwortlichem eingesetzt und ist daher kein Unterauftragsverarbeiter unter dieser AVV.

Stripe, sevDesk und CleverReach werden für eigene Zahlungs-, Buchhaltungs- beziehungsweise Newsletterverarbeitungen von Tasia eingesetzt und sind ebenfalls grundsätzlich keine Unterauftragsverarbeiter unter dieser AVV, soweit sie nicht im Einzelfall Kundendaten im Auftrag des Kunden verarbeiten.