Vertrag zur Auftragsverarbeitung
Nach Art. 28 DSGVO · Fassung 2026-10 (Entwurf – vor Livegang anwaltlich prüfen lassen)
Zwischen dem Kunden (Verantwortlicher, „Auftraggeber") und der W + F GmbH, Hospitalstraße 15, 01097 Dresden (Auftragsverarbeiter, „Auftragnehmer"). Der Vertrag kommt zustande, indem der Auftraggeber ihm im Kundenbereich zustimmt; Zeitpunkt und Fassung werden gespeichert.
1. Gegenstand und Dauer
Der Auftragnehmer prüft für den Auftraggeber dessen Personalunterlagen auf Vollständigkeit (Lohnakten-Check). Der Vertrag gilt, solange der Auftragnehmer Daten des Auftraggebers verarbeitet.
2. Art und Zweck der Verarbeitung
Speichern der hochgeladenen Unterlagen und der Mitarbeiterliste, Auslesen von Text und Seitenbildern, automatisierte Einordnung der Dokumente, Zuordnung zu den Beschäftigten, Abgleich mit den zu erwartenden Nachweisen, Erstellen des Berichts, Löschen.
3. Art der Daten und Kreis der Betroffenen
- Betroffene: Beschäftigte des Auftraggebers, ggf. deren Angehörige (z. B. Kinder in Geburtsurkunden).
- Daten: Namen, Personalnummern, Angaben zur Beschäftigung, Inhalte der Unterlagen – insbesondere Arbeitsverträge, Bescheinigungen der Kranken- und Rentenversicherung, Angaben zu Staatsangehörigkeit und Aufenthaltstitel, zu Kindern, zu Entsendungen sowie zu Pflegezeiten. Je nach Unterlagen können besondere Kategorien nach Art. 9 DSGVO betroffen sein.
4. Weisungen
Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers; die Weisung ergibt sich aus diesem Vertrag und den Aktionen im Kundenbereich. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich.
5. Pflichten des Auftragnehmers
- Vertraulichkeit: Zugriff haben nur Personen, die zur Vertraulichkeit verpflichtet sind.
- Technische und organisatorische Maßnahmen nach Art. 32 DSGVO (Anlage).
- Unterstützung des Auftraggebers bei Betroffenenrechten, Meldepflichten und Datenschutz-Folgenabschätzungen.
- Meldung von Datenschutzverletzungen ohne unangemessene Verzögerung, möglichst binnen 24 Stunden.
- Löschung: Unterlagen nach Freigabe des Berichts, spätestens 7 Tage nach dem Upload; Bericht und Mitarbeiterliste 30 Tage nach Fertigstellung oder früher auf Weisung.
- Nachweis der Einhaltung und Ermöglichung von Kontrollen nach Absprache.
6. Unterauftragsverarbeiter
Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
- Hosting: [Hoster und Standort eintragen] – Betrieb der Server, Speicherung.
- OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Irland – Auslesen und Einordnen der Dokumente; Verarbeitung in Europa, keine Nutzung zum Training.
Über neue Unterauftragsverarbeiter informiert der Auftragnehmer vorab; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen.
7. Rechte des Auftraggebers
Der Auftraggeber kann sich von der Einhaltung dieses Vertrags überzeugen, in der Regel durch Auskünfte und Nachweise, nach Absprache auch vor Ort.
Anlage: Technische und organisatorische Maßnahmen
- Übertragung ausschließlich verschlüsselt (TLS).
- Unterlagen getrennt je Auftrag außerhalb des öffentlich erreichbaren Bereichs, nur über die Anwendung abrufbar.
- Zugang zum Kundenbereich nur mit bestätigter E-Mail-Adresse und Passwort; Passwörter nur als Hash.
- Administrativer Zugriff nur für berechtigte Mitarbeiter mit eigenem Zugang.
- Automatische Löschung nach den Fristen in Ziffer 5; Protokolle ohne Dokumentinhalte.
- Datensparsamkeit: An den KI-Dienstleister geht nur, was zum Einordnen nötig ist (Text bzw. Seitenbilder).
- Regelmäßige Sicherheitsupdates der Server und Software.