Auftragsverarbeitungsvertrag (AVV) & TOMs
Status: Vorlage für die Beta-Phase. Unternehmen: Theron Echo GmbH.
Teil A · 1. Gegenstand und Dauer des Auftrags
Der Auftragnehmer stellt dem Auftraggeber ein KI-basiertes Sprachmemo-Tool zur Verfügung, welches Sprachaufnahmen transkribiert und Berichte für die Kinder- und Jugendhilfe automatisiert zusammenfasst. Die Laufzeit richtet sich nach dem Hauptvertrag (Beta-Nutzungsvereinbarung).
Teil A · 2. Art und Zweck der Verarbeitung
Die Verarbeitung umfasst das Erfassen, Speichern, Transkribieren und Zusammenfassen von Audio-Daten durch KI-Modelle zum Zweck der Dokumentationserleichterung in sozialen Einrichtungen sowie ambulanten Diensten.
Teil A · 3. Kategorien betroffener Personen und Daten
Aufgrund der Tätigkeit in der Jugendhilfe werden besonders sensible Daten verarbeitet:
- Betroffene Personen: Kinder, Jugendliche, Sorgeberechtigte, Mitarbeiter der Einrichtung.
- Datenarten (besonders sensibel): Gesundheitsdaten, Sozialdaten (§ 64 SGB VIII), Verhaltensdaten, biometrische Daten (Stimmprofile).
Teil A · 4. Pflichten des Auftragnehmers
- Verarbeitung nur nach Weisung des Auftraggebers.
- Sicherstellung der Vertraulichkeit durch alle beteiligten Mitarbeiter.
- Unterstützung bei Betroffenenrechten.
- Löschung von Daten nach Abschluss der Verarbeitung gemäß Löschkonzept.
Teil B · Technisch-organisatorische Maßnahmen (TOMs)
Gemäß Art. 32 DSGVO garantiert der Auftragnehmer folgende Sicherheitsstandards:
1. Vertraulichkeit
- Zutrittskontrolle: Hosting in zertifizierten Rechenzentren (ISO 27001).
- Zugangskontrolle: Strenge Passwortrichtlinien, Multi-Faktor-Authentifizierung (MFA) für Admin-Zugänge und OTP.
- Zugriffskontrolle: Berechtigungskonzept nach dem „Need-to-know“-Prinzip. Nur der Developer hat in Ausnahmefällen technischen Zugriff auf Rohdaten zur Fehlerbehebung.
- Trennungskontrolle: Mandantentrennung auf Datenbankebene; Test- und Livesysteme sind strikt getrennt.
2. Integrität
- Eingabekontrolle: Protokollierung von Datenänderungen und Zugriffen.
3. Verfügbarkeit und Belastbarkeit
- Regelmäßige Backups der Datenbanken.
- Einsatz von skalierbarer Cloud-Infrastruktur mit Hochverfügbarkeit.
4. Verfahren zur regelmäßigen Überprüfung
- Jährliches Audit der internen Prozesse durch den COO.
- Code-Reviews durch die Entwickler vor jedem Major-Release.
Teil C · Unterauftragnehmer
Für die Erbringung der Leistung werden folgende Sub-Dienstleister eingesetzt:
- OpenAI Ireland Ltd. – KI-Infrastruktur – Standort: Germany West Central.
- Mittwald CM Service GmbH & Co. KG – Hosting Web-Applikation – Deutschland (Espelkamp).