Entwurfsfassung — noch nicht anwaltlich geprüft. Mit «…» markierte Angaben sind Platzhalter.
zwischen
«Name und Anschrift des Kunden» — nachfolgend „Verantwortlicher" —
und
Sellium GmbH, Carolastraße 4-6, 09111 Chemnitz — nachfolgend „Auftragsverarbeiter" —
(1) Der Auftragsverarbeiter betreibt für den Verantwortlichen die Implementa-Plattform (KI-Transformations-Plattform) als zentral gehosteten Dienst und verarbeitet dabei personenbezogene Daten im Auftrag.
(2) Die Laufzeit dieses Vertrags folgt der Laufzeit des Hauptvertrags «Bezeichnung/Datum des Hauptvertrags». Eine Kündigung des Hauptvertrags beendet auch diesen Vertrag.
(1) Zweck: Bereitstellung der Plattformfunktionen (Prozessaufnahme, Modellierung, Prognosen, TCO, Dokumentenerzeugung, Service Desk) für die KI-Transformation des Verantwortlichen.
(2) Kategorien betroffener Personen: Beschäftigte des Verantwortlichen sowie von ihm benannte Ansprechpartner.
(3) Datenkategorien: Benutzerkonten (Name, dienstliche E-Mail, Rolle, Initialen), Prozessverantwortliche in erfassten Use Cases, Urheber von Tickets und Änderungen (Protokolldaten), Ansprechpartner von IT-Systemen (Name, dienstliche E-Mail). Details: Anlage 3 (Verzeichnis der Verarbeitungstätigkeiten, Personendaten-Inventar).
(4) Eine Verarbeitung besonderer Kategorien (Art. 9 DSGVO) ist nicht Vertragsgegenstand; die Freigabe-Matrix der Plattform ist entsprechend zu konfigurieren.
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO); die Nutzung der Plattformfunktionen durch berechtigte Nutzer des Verantwortlichen gilt als Weisung.
(2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Klärung aussetzen.
Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden (Art. 28 Abs. 3 lit. b DSGVO). Der Plattformzugriff des Implementa-Teams ist rollenbasiert beschränkt und mit Zwei-Faktor-Authentisierung sowie Protokollierung abgesichert.
(1) Der Auftragsverarbeiter trifft die in Anlage 1 (TOM) beschriebenen Maßnahmen nach Art. 32 DSGVO. Wesentlich: Betrieb auf eigener Infrastruktur in Deutschland, KI-Inferenz lokal (kein Datenabfluss an externe Modellanbieter), TLS, rollenbasierte Zugriffe, revisionsfähiges Audit-Protokoll, Mandantentrennung mit automatisierten Tests.
(2) Die Maßnahmen dürfen fortentwickelt werden, solange das Schutzniveau nicht unterschritten wird; wesentliche Änderungen werden in Anlage 1 fortgeschrieben.
(1) Die aktuell eingesetzten Unterauftragsverarbeiter ergeben sich aus Anlage 2. Zum Stand dieses Musters werden keine Unterauftragsverarbeiter eingesetzt; die Verarbeitung erfolgt vollständig auf Infrastruktur des Auftragsverarbeiters.
(2) Die Beauftragung oder der Wechsel von Unterauftragsverarbeitern wird dem Verantwortlichen vorab in Textform angekündigt. Widerspricht der Verantwortliche nicht innerhalb von «Frist, z. B. 30 Tagen», gilt die Änderung als genehmigt; bei berechtigtem Widerspruch steht beiden Parteien ein Sonderkündigungsrecht zu.
(1) Betroffenenrechte (Art. 12-23): Die Plattform stellt Auskunft (Art. 15), Berichtigung (Art. 16) und Löschung (Art. 17) als geprüfte, protokollierte Funktionen bereit; darüber hinausgehende Anfragen unterstützt der Auftragsverarbeiter unverzüglich.
(2) Art. 32-36: Der Auftragsverarbeiter unterstützt bei Sicherheit der Verarbeitung, Meldepflichten und Datenschutz-Folgenabschätzungen mit den ihm verfügbaren Informationen (u. a. Verarbeitungsverzeichnis, TOM, Modell-Dokumentation).
Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten (Art. 33 Abs. 2 DSGVO) unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, mit den zur Erfüllung der Meldepflichten erforderlichen Informationen.
(1) Der Auftragsverarbeiter weist die Einhaltung dieses Vertrags auf Anforderung nach (Dokumentation, Audit-Protokolle, Prüfberichte).
(2) Der Verantwortliche kann Kontrollen nach angemessener Ankündigung («Frist, z. B. 14 Tage») während der Geschäftszeiten durchführen oder durch beauftragte Dritte durchführen lassen; Betriebsgeheimnisse des Auftragsverarbeiters bleiben gewahrt.
(1) Nach Vertragsende löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen oder gibt sie zurück (Wahl des Verantwortlichen), soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Einzelheiten und Fristen: Anlage 4 (Löschkonzept).
(2) Die Löschung von Benutzerkonten während der Laufzeit erfolgt über die Art.-17-Funktion der Plattform und wird protokolliert.
(1) Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, Chemnitz.
(2) Änderungen bedürfen der Textform. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht in datenschutzrechtlichen Fragen dieser Vertrag vor.
(3) Die deutsche Fassung ist maßgeblich.
---
ENTWURF — Muster auf Basis der tatsächlichen Verarbeitung der Implementa-Plattform. Vor Verwendung anwaltlich prüfen; mit «…» markierte Angaben sind je Kunde auszufüllen.
Stand: 11. August 2026