Auftragsverarbeitungs-Vertrag (AVV)

1. Anwendbarkeit

Im Rahmen der Vorbereitung und Durchführung von KI-Sessions, Workshops und Beratungsleistungen kann die BOCK Agentur personenbezogene Daten verarbeiten, die ihr von Kundenunternehmen zur Verfügung gestellt werden (z. B. Teilnehmerdaten, Case-Inhalte). In diesen Konstellationen handelt die BOCK Agentur als Auftragsverarbeiterin im Sinne des Art. 28 DSGVO.

2. Gegenstand und Dauer

Gegenstand der Auftragsverarbeitung ist die Verarbeitung personenbezogener Daten zur Erbringung der im Hauptauftrag beschriebenen Leistungen. Die Dauer dieses AVV ist an die Laufzeit des jeweiligen Hauptauftrags gekoppelt; sie endet automatisch mit dessen Beendigung.

3. Art und Zweck der Verarbeitung

Zweck der Verarbeitung ist die Vorbereitung, Durchführung und Nachbereitung von KI-Sessions, Workshops und Beratungsterminen sowie die zugehörige Kommunikation mit Teilnehmenden. Eine Verarbeitung zu anderen Zwecken erfolgt nicht.

4. Art der Daten

• Namen, Funktion / Rolle im Unternehmen
• Geschäftliche E-Mail-Adressen und Telefonnummern
• Case-Beschreibungen und vom Kunden bereitgestellte Inhalte
• Teilnahme- und Anwesenheitsdaten

5. Kategorien betroffener Personen

Mitarbeitende, Führungskräfte und gegebenenfalls externe Beraterinnen und Berater des Kundenunternehmens, die an den beauftragten Leistungen teilnehmen.

6. Pflichten des Auftragsverarbeiters

• Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen
• Verpflichtung aller Mitarbeitenden und Subunternehmer zur Vertraulichkeit
• Umsetzung angemessener technischer und organisatorischer Maßnahmen (TOMs) gemäß Art. 32 DSGVO (Verschlüsselung im Transit und at Rest, Zugriffskontrollen, Backups, Logging)
• Unterstützung des Verantwortlichen bei Betroffenenrechten und Meldepflichten
• Meldung von Datenpannen ohne unangemessene Verzögerung

7. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Supabase (Hosting der Datenbank, Region Frankfurt / EU)
• Vercel (Hosting der Web-Applikation, Region EU/USA, SCC vorhanden)
• Resend (Transaktionsmails, USA, SCC vorhanden)
• Anthropic (KI-Modelle, USA, SCC vorhanden — nur bei expliziter Opt-In-Nutzung durch den Verantwortlichen)

Eine Änderung des Kreises der Unterauftragsverarbeiter wird dem Verantwortlichen rechtzeitig angekündigt; ein Widerspruchsrecht bleibt gewahrt.

8. Rechte des Verantwortlichen

Der Verantwortliche hat das Recht, die Einhaltung dieses Vertrags sowie der gesetzlichen Pflichten in angemessenem Umfang zu kontrollieren (Auskunft, Audit-Recht — auch durch beauftragte Dritte unter Wahrung der Vertraulichkeit). Weisungen werden in Textform erteilt; mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.

9. Löschung und Rückgabe nach Vertragsende

Nach Beendigung des Hauptauftrags werden sämtliche personenbezogenen Daten — nach Wahl des Verantwortlichen — innerhalb von 30 Tagen gelöscht oder zurückgegeben, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Backups werden im Rahmen der regulären Rotation überschrieben.

10. Kontakt & Anfrage

Vor Vertragsabschluss können Sie eine an Ihr Unternehmen angepasste Version per Mail anfragen: datenschutz@ai-bock.at.