Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag ("AVV") wird geschlossen zwischen der NMA Venture Capital GmbH ("Auftragsverarbeiter"), ansässig unter der Anschrift Am Sandtorkai 27, 20457 Hamburg, Deutschland, und dem Kunden, der die GRID-Plattform nutzt ("Verantwortlicher"), und bildet einen integralen Bestandteil der Allgemeinen Geschäftsbedingungen (AGB).

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der GRID-Plattform-SaaS-Plattform. Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrages (AGB).

2. Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zum Zweck der Erbringung der vertraglich vereinbarten Leistungen, einschließlich:

• Verwaltung und Authentifizierung von Benutzerkonten
• Speicherung und Verarbeitung von Aufgabenkonfigurationen und Arbeitsergebnissen
• KI-gestützte Agenten-Orchestrierung und Datenabrufe
• Zustellung transaktionaler Benachrichtigungen per E-Mail
• Abonnement- und Rechnungsverwaltung

3. Kategorien betroffener Personen und personenbezogener Daten

Betroffene Personen

Mitarbeiter und Vertreter des Verantwortlichen; Zielkontakte und Teammitglieder, deren Daten über die Plattform verarbeitet werden.

Kategorien personenbezogener Daten

• Kontaktdaten (Name, E-Mail-Adresse)
• Betriebsdaten (Aufgabenkonfigurationen, Scraing-Ergebnisse, Systemeingaben)
• Nutzungsprotokolle (IP-Adressen, Abfrageparameter, Ausführungszeiten)

4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich dazu:

• Personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten
• Sicherzustellen, dass sich die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet haben
• Geeignete technische und organisatorische Sicherheitsmaßnahmen zu implementieren (Art. 32 DSGVO)
• Den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen zu unterstützen
• Nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten zu löschen oder zurückzugeben
• Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten gemäß Art. 28 DSGVO bereitzustellen

5. Unterauftragsverarbeiter

Der Verantwortliche erteilt hiermit die allgemeine Genehmigung zur Nutzung von Unterauftragsverarbeitern. Aktuelle Partner:

• UpCloud Ltd (Finnland) — Primäre Serverknoten (ausschließlich EU)
• Mollie B.V. (Niederlande) — Zahlungsabwicklung (ausschließlich EU)
• Resend Inc. (USA/EU) — Transaktionaler E-Mail-Versand (auf Grundlage von EU-Standardvertragsklauseln)
• Cloudflare Inc. (USA) — CDN-, DNS- und Sicherheitsdienste (auf Grundlage von EU-Standardvertragsklauseln)
• Google Ireland Ltd. (Irland) — Cloud-Infrastruktur (EU-Rechenzentren)

Der Auftragsverarbeiter wird den Verantwortlichen über jede beabsichtigte Änderung bezüglich der Hinzufügung oder des Austauschs von Unterauftragsverarbeitern informieren, damit der Verantwortliche Einspruch erheben kann.

6. Technische und organisatorische Maßnahmen (TOMs)

• Verschlüsselung von Daten bei der Übertragung (TLS 1.3) und im Ruhezustand (AES-256)
• Zugriffskontrollen und Einhaltung des Minimalprinzips (Least Privilege)
• Regelmäßige Sicherheitsüberprüfungen und Audits
• Verfahren zur schnellen Wiederherstellung der Datenverfügbarkeit im Störungsfall
• Regelmäßige Schulung des Personals zum Datenschutz

7. Übermittlung in Drittländer

Soweit Daten an Dienstleister in Drittländern (z. B. USA) übermittelt werden, erfolgt dies auf Grundlage des EU-U.S. Data Privacy Frameworks oder von EU-Standardvertragsklauseln.

8. Kontakt

Für Fragen zum AVV: [email protected]