Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO

Vertragsparteien

Verantwortlicher: Das im Registrierungsformular bezeichnete Unternehmen, nachfolgend Kunde genannt.

Auftragsverarbeiter: Neuronize GmbH, Heimstättenstraße 31, 9020 Klagenfurt am Wörthersee, Österreich, Firmenbuchnummer FN 616746 f, UID ATU80201559, office@neuronize.at, nachfolgend Neuronize genannt.

1. Gegenstand und Rollen

Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien, wenn Neuronize bei der Bereitstellung des ERP personenbezogene Daten im Auftrag des Kunden verarbeitet. Sie ist Bestandteil des zugrunde liegenden Nutzungs- oder Dienstleistungsvertrags.

Der Kunde ist Verantwortlicher im Sinne der Datenschutz-Grundverordnung. Er bestimmt Zwecke und wesentliche Mittel der Verarbeitung und bleibt insbesondere für Rechtsgrundlagen, Transparenzinformationen, die Wahrung von Betroffenenrechten und die Zulässigkeit der in das ERP eingegebenen Daten verantwortlich. Neuronize verarbeitet diese Daten als Auftragsverarbeiter ausschließlich nach dokumentierter Weisung des Kunden.

2. Art, Zweck und Umfang der Verarbeitung

Neuronize stellt das ERP bereit und übernimmt Hosting, Speicherung, Wartung, Fehlerbehebung, Datensicherung, Wiederherstellung und Support. Die Verarbeitung kann das Erheben, Erfassen, Ordnen, Speichern, Anpassen, Auslesen, Verwenden, Übermitteln, Bereitstellen, Sichern und Löschen personenbezogener Daten umfassen.

Zur Fehleranalyse, zur Nachvollziehbarkeit von Bedienabläufen und zur Unterstützung im Support setzt Neuronize im Produktivbetrieb eine selbst betriebene OpenReplay-Instanz ein. Dabei können Seitenaufrufe, Klick-, Eingabe- und Navigationsabläufe, dargestellte nicht geheime Oberflächeninhalte, technische Sitzungs- und Geräteinformationen sowie bei angemeldeten Nutzern deren E-Mail-Adresse oder Benutzername als Sitzungskennung aufgezeichnet werden. Passwortfelder, als geheim gekennzeichnete URLs und durch das OpenReplay-SDK geschützte Netzwerkdaten werden nicht aufgezeichnet. Eine gemeinsame Live-Support-Sitzung wird erst nach Bestätigung des Nutzers gestartet.

KI-Funktionen werden nur verarbeitet, wenn der Kunde oder ein von ihm berechtigter Nutzer die jeweilige Funktion ausdrücklich aufruft oder aktiviert. Je nach verwendeter Funktion können dafür die erforderlichen Eingaben, Dokumente, Audioinhalte, Transkripte, Metadaten und Ausgaben an den eingesetzten KI-Anbieter übertragen werden.

Der ERP-Chat verwendet zur Fortführung zusammenhängender Unterhaltungen gespeicherte Antworten des KI-Anbieters. Ohne eine für das OpenAI-Projekt freigeschaltete Zero-Data-Retention werden Antwortdaten dort nach den veröffentlichten Anbieterbedingungen grundsätzlich 30 Tage als Anwendungszustand gespeichert; Sicherheitsprotokolle können bis zu 30 Tage bestehen bleiben. OpenAI verwendet API-Daten nach seinen veröffentlichten Bedingungen nicht zum Modelltraining, sofern Neuronize einer solchen Verwendung nicht ausdrücklich zustimmt.

• ERP-Chat mit MCP-Funktionen, einschließlich Fragen zu ERP-Daten, Anhängen, Auswertungen und erzeugten Antworten
• KI-gestützte Beleganalyse sowie Extraktion und Zuordnung von Rechnungs- und Buchhaltungsdaten
• KI-gestützte Rechnungsauswertung und Erstellung von Vorschlägen aus erfassten Daten
• Embeddings zur semantischen Suche und Zuordnung von Inhalten
• Akquise- und Unternehmensanalysen auf Grundlage der vom Nutzer ausgewählten Daten
• Produktanalyse, Fehlerbehebung und Support mittels OpenReplay-Sitzungsaufzeichnungen sowie optionaler, durch den Nutzer bestätigter gemeinsamer Live-Support-Sitzungen
• optionaler Call-Concierge mit Telefonnummern, Beteiligten, Gesprächsaufzeichnungen, Transkriptionen, Zusammenfassungen und daraus abgeleiteten Vorschlägen

3. Betroffene Personen und Datenarten

Betroffen sein können insbesondere Beschäftigte und ERP-Nutzer des Kunden, Kunden, Interessenten, Lieferanten, Ansprechpartner, Gesprächsbeteiligte und sonstige Geschäftspartner des Kunden.

• Stamm-, Kontakt-, Adress- und Identifikationsdaten
• Benutzerkonten, Rollen, Berechtigungen und Authentifizierungsdaten
• Arbeitszeit-, Leistungs-, Abwesenheits- und Mitarbeiterdaten
• Kunden-, Lieferanten-, Projekt-, Aufgaben- und Aktivitätsdaten
• Rechnungs-, Zahlungs-, Buchhaltungs-, Steuer- und Bankdaten
• Dokumente, Dateien, Belege, Notizen und Kommunikationsinhalte
• OpenReplay-Sitzungsdaten, insbesondere Seitenaufrufe, Navigations-, Klick- und Eingabeabläufe, dargestellte nicht geheime Oberflächeninhalte, technische Sitzungs- und Geräteinformationen sowie E-Mail-Adresse oder Benutzername als Sitzungskennung
• Telefonnummern, Gesprächsbeteiligte, Audioaufnahmen, Transkripte und Gesprächsauswertungen bei Nutzung des Call-Concierge
• technische Protokoll-, Geräte-, Nutzungs- und Sicherheitsdaten

4. Besondere Kategorien personenbezogener Daten

Das ERP ist nicht darauf ausgelegt, besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO ohne konkreten Bedarf zu verarbeiten. Gibt der Kunde solche Daten dennoch ein oder lässt er sie über optionale Funktionen verarbeiten, muss er zuvor eine geeignete Rechtsgrundlage, eine dokumentierte Weisung und angemessene Schutzmaßnahmen sicherstellen.

5. Weisungen des Kunden

Die Nutzung und Konfiguration des ERP im vereinbarten Funktionsumfang gilt als dokumentierte Weisung. Zusätzliche Weisungen können in Textform an office@neuronize.at erteilt werden. Neuronize informiert den Kunden unverzüglich, wenn eine Weisung nach Auffassung von Neuronize gegen Datenschutzrecht verstößt, und darf ihre Ausführung bis zur Klärung aussetzen.

Übermittlungen in ein Drittland erfolgen nur auf dokumentierte Weisung und unter Einhaltung der Art. 44 bis 49 DSGVO. Gesetzlich verpflichtende Verarbeitungen teilt Neuronize dem Kunden vorab mit, soweit eine solche Mitteilung rechtlich zulässig ist.

6. Pflichten von Neuronize

• Verarbeitung personenbezogener Daten nur im vereinbarten Umfang und nach dokumentierter Weisung
• Zugriff nur durch Personen, die ihn für ihre Tätigkeit benötigen und zur Vertraulichkeit verpflichtet sind
• Umsetzung und regelmäßige Überprüfung angemessener technischer und organisatorischer Maßnahmen
• Unterstützung des Kunden bei Betroffenenanfragen sowie bei Pflichten nach Art. 32 bis 36 DSGVO, soweit dies nach Art und Umfang der Verarbeitung möglich ist
• Weiterleitung unmittelbar an Neuronize gerichteter Betroffenenanfragen an den Kunden, sofern keine gesetzliche Pflicht zur eigenen Bearbeitung besteht
• Bereitstellung der zur Prüfung der Einhaltung dieser Vereinbarung erforderlichen Informationen

7. Datenschutzverletzungen

Neuronize informiert den Kunden unverzüglich nach Bekanntwerden einer Verletzung des Schutzes von im Auftrag verarbeiteten personenbezogenen Daten. Die Meldung enthält die verfügbaren Informationen über Art und Umfang des Vorfalls, betroffene Daten und Personen, wahrscheinliche Folgen sowie ergriffene oder geplante Abhilfemaßnahmen. Fehlende Angaben werden ohne unangemessene Verzögerung nachgereicht.

8. Call-Concierge und Gesprächsaufzeichnungen

Der Call-Concierge ist ein ausdrücklich zu aktivierendes Modul. Er kann Telefonate aufzeichnen, Audioinhalte speichern, an einen KI-Dienst zur Transkription übermitteln und Transkripte, Zusammenfassungen sowie Handlungsvorschläge erzeugen.

Der Kunde muss vor jeder Nutzung sicherstellen, dass alle Gesprächsbeteiligten rechtzeitig und verständlich über Aufzeichnung, Transkription, KI-Auswertung, Zwecke, Speicherdauer, Empfänger und ihre Rechte informiert wurden und freiwillig zugestimmt haben. Die Zustimmung ist nachweisbar einzuholen. Ohne diese Voraussetzungen darf die Aufzeichnung und Auswertung nicht eingesetzt werden. Diese Vereinbarung ersetzt weder die Information der Gesprächsbeteiligten noch deren Zustimmung.

9. Unterauftragsverarbeiter

Der Kunde erteilt Neuronize eine allgemeine Genehmigung zum Einsatz der nachstehend genannten Unterauftragsverarbeiter. Neuronize informiert den Kunden mindestens 30 Tage vor einer beabsichtigten Ergänzung oder Ersetzung. Der Kunde kann aus begründeten datenschutzrechtlichen Gründen widersprechen. Kann keine zumutbare Alternative bereitgestellt werden, können die Parteien die betroffene optionale Funktion oder, wenn dies nicht genügt, den Vertrag beenden.

Neuronize verpflichtet Unterauftragsverarbeiter vertraglich zu einem Schutzniveau, das den Anforderungen dieser Vereinbarung entspricht, und bleibt dem Kunden gegenüber für deren Pflichterfüllung verantwortlich.

10. Datenstandorte und Drittlandübermittlungen

Die von Neuronize angemietete Kerninfrastruktur wird bei Hetzner in Deutschland betrieben. Bei ausdrücklicher Nutzung optionaler KI- oder Kommunikationsfunktionen können Daten an die dafür genannten Anbieter übertragen werden. Soweit dabei ein Zugriff oder eine Übermittlung außerhalb des Europäischen Wirtschaftsraums stattfindet, setzt Neuronize oder der jeweilige Unterauftragsverarbeiter einen Mechanismus nach Art. 45 oder 46 DSGVO ein, insbesondere einen Angemessenheitsbeschluss oder Standardvertragsklauseln der Europäischen Kommission.

Die OpenReplay-Instanz wird von Neuronize selbst innerhalb der EU beziehungsweise des EWR betrieben. Aufzeichnungsdaten werden nicht an den Anbieter der OpenReplay-Software übermittelt.

Bei vom Kunden selbst ausgewählten und konfigurierten E-Mail-Diensten verarbeitet der jeweilige Anbieter Daten nach dem unmittelbaren Vertragsverhältnis und den Weisungen des Kunden. Der Kunde ist für die Auswahl und rechtmäßige Konfiguration dieses Anbieters verantwortlich.

11. Technische und organisatorische Maßnahmen

Neuronize setzt risikoorientiert insbesondere folgende Maßnahmen ein und entwickelt sie entsprechend dem Stand der Technik weiter, ohne das vereinbarte Schutzniveau wesentlich zu unterschreiten.

• TLS-verschlüsselte Datenübertragung und Verschlüsselung gespeicherter Daten
• logische Mandantentrennung sowie rollenbasierte Zugriffs- und Berechtigungskonzepte
• Mehrfaktor-Authentifizierung für privilegierte und administrative Zugriffe
• Passwort-, Sitzungs- und Berechtigungsmanagement mit geregelter Vergabe und Entziehung von Zugriffen
• Protokollierung und Überwachung sicherheitsrelevanter Vorgänge
• Patch-, Schwachstellen- und Änderungsmanagement sowie sichere Softwareentwicklung und Code-Prüfungen
• Datensicherungen, Wiederherstellungsverfahren und regelmäßige Wiederherstellungstests
• Maßnahmen zur Verfügbarkeit, Belastbarkeit und Wiederanlauffähigkeit der Systeme
• Vertraulichkeitsverpflichtungen, Zugriff nach Erforderlichkeit und geregeltes Offboarding
• Datenminimierung, Löschprozesse und ein dokumentierter Prozess für Sicherheitsvorfälle
• physische Sicherheitsmaßnahmen der eingesetzten Rechenzentren

12. Rückgabe und Löschung

Der Kunde kann vor Ende des Vertrags einen Export seiner Daten in einem verfügbaren, gängigen Format anfordern. Nach Vertragsende löscht Neuronize die im Auftrag verarbeiteten Produktivdaten und vorhandenen Kopien auf den von Neuronize kontrollierten Systemen einschließlich betrieblicher Sicherungskopien innerhalb von 14 Tagen, sofern keine unionsrechtliche oder österreichische Aufbewahrungspflicht entgegensteht. Während einer gesetzlich erforderlichen Aufbewahrung werden die Daten gesperrt und nicht für andere Zwecke verarbeitet.

OpenReplay-Aufzeichnungen und zugehörige Sicherungskopien werden spätestens nach 14 Tagen gelöscht.

Bei ausdrücklich genutzten OpenAI-Funktionen werden Antwortdaten ohne freigeschaltete Zero-Data-Retention nach den Anbieterbedingungen grundsätzlich 30 Tage als Anwendungszustand gespeichert; Sicherheitsprotokolle können bis zu 30 Tage bestehen bleiben. Neuronize veranlasst verfügbare Löschungen und verarbeitet solche Restbestände nicht weiter. Wird Zero-Data-Retention für das eingesetzte OpenAI-Projekt verbindlich aktiviert, gilt diese Ausnahme nur, soweit der Anbieter eine längere Aufbewahrung gesetzlich verlangt.

Bei einer kostenlosen Testinstanz erfolgt die Löschung bei ausdrücklicher Aufgabe oder Löschung des Testkontos unverzüglich. Gesetzlich aufzubewahrende eigene Vertrags-, Abrechnungs- und Nachweisdaten von Neuronize sind von der Löschung der ERP-Mandantendaten getrennt.

Auf Verlangen bestätigt Neuronize dem Kunden die vertragsgemäße Löschung in Textform.

13. Nachweise und Prüfungen

Neuronize stellt dem Kunden auf Anfrage geeignete Nachweise zur Verfügung. Der Kunde kann bei begründetem Bedarf selbst oder durch einen zur Vertraulichkeit verpflichteten Prüfer Audits durchführen. Prüfungen sind grundsätzlich mindestens 14 Tage vorher anzukündigen, auf den erforderlichen Umfang zu beschränken und so durchzuführen, dass Betrieb, Sicherheit und Rechte anderer Kunden nicht beeinträchtigt werden. Bei einem konkreten Datenschutzvorfall oder einer behördlichen Anordnung gilt die Ankündigungsfrist nicht, soweit eine kurzfristige Prüfung erforderlich ist.

14. Laufzeit und Schlussbestimmungen

Diese Vereinbarung gilt ab ihrer elektronischen Annahme und für die Dauer der Verarbeitung im Auftrag. Änderungen werden versioniert und dem Kunden vor ihrem Wirksamwerden mitgeteilt, wenn sie seine Rechte oder Pflichten wesentlich betreffen.

Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt österreichisches Recht. Zwingende datenschutzrechtliche Zuständigkeiten bleiben unberührt.

Kontakt und weitere Informationen

Kontakt für Datenschutz- und Vertragsfragen: office@neuronize.at

Informationen zu den aktuellen OpenAI-Unterauftragsverarbeitern finden Sie in der Unterauftragsverarbeiterliste von OpenAI.

Angaben zur Speicherung und zu Zero-Data-Retention finden Sie in den Datenkontrollen der OpenAI API.