Auftragsverarbeitungsvertrag (AVV / DPA)

Datenschutzkontakt

Für sämtliche datenschutzrechtlichen Anfragen im Zusammenhang mit diesem AVV:

GEKI Datenschutz — gdpr@geki.ai

1. Gegenstand, Rollen und Geltung

Dieser AVV regelt die Verarbeitung personenbezogener Daten durch GEKI im Rahmen der zwischen den Parteien geschlossenen Leistungsvereinbarung (z. B. Order Form der GEKI AI Factory, Reseller-/Routing-Vertrag).

Rollen: Der Auftraggeber ist entweder Verantwortlicher oder selbst Auftragsverarbeiter. GEKI handelt entsprechend als Auftragsverarbeiter bzw. — sofern der Auftraggeber selbst Auftragsverarbeiter ist — als Unterauftragsverarbeiter. GEKI verarbeitet personenbezogene Daten ausschließlich im Auftrag und zu den in diesem AVV und der Leistungsvereinbarung festgelegten Zwecken.

Bei Widersprüchen zwischen diesem AVV und der Leistungsvereinbarung gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor.

2. Art und Zweck der Verarbeitung

GEKI verarbeitet personenbezogene Daten ausschließlich soweit dies technisch erforderlich ist, um die vom Auftraggeber angeforderten AI-Inference-Leistungen zu erbringen.

Dies umfasst insbesondere die flüchtige Verarbeitung von:

• Prompts und Inputs
• Dokumentinhalten, soweit sie im jeweiligen Request übermittelt werden
• Model Context
• AI-generierten Outputs
• technisch erforderlichen temporären KV- und Prefix-Caches

Stateless Inference

Der GEKI Inference Service wird grundsätzlich stateless betrieben. GEKI speichert insbesondere keine Prompts, Inputs, Dokumentinhalte oder AI-generierten Outputs dauerhaft und führt keine inhaltlichen Prompt- oder Output-Logs.

Nach Abschluss der technisch erforderlichen Verarbeitung werden die verwendeten Inhalte nicht persistent gespeichert. Temporäre Daten in flüchtigen Speichern (RAM, GPU-Speicher, KV-/Prefix-Cache) werden nach Wegfall des technischen Zwecks verworfen bzw. überschrieben.

Technische Betriebs- und Sicherheitsmetadaten dürfen gespeichert werden, soweit sie keine Prompt-, Dokument- oder Output-Inhalte enthalten und für Betrieb, Abrechnung, Monitoring, Security oder Incident Management erforderlich sind.

Soweit der Auftraggeber einen zusätzlichen Dienst oder ein Modul mit persistenter Speicherung aktiviert, gelten dafür die in der Leistungsvereinbarung ausdrücklich vereinbarten Speicher- und Löschregeln (z. B. Observability-Logging: Haltedauer kundenbestimmt, max. 30 Tage).

3. Keine Verwendung von Daten für Training

GEKI verwendet die im Auftrag verarbeiteten Daten unter keinen Umständen zum Training, Fine-Tuning oder sonstigen Weiterentwickeln allgemeiner AI-Modelle für GEKI oder Dritte, sofern der Auftraggeber dies nicht ausdrücklich gesondert beauftragt. Dies gilt insbesondere für Prompts, Dokumente, Inputs, Outputs und Chat-Inhalte.

4. Kategorien betroffener Personen und Daten

Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Kategorien der Daten und der betroffenen Personen werden durch den Auftraggeber bestimmt; GEKI hat keinen Einfluss auf die Inhalte, die der Auftraggeber übermittelt.

• Betroffene Personen: durch den Auftraggeber bestimmt (z. B. dessen Nutzer, Mitarbeiter, Kunden, Endnutzer der Reseller).
• Datenarten: personenbezogene Daten, die in den vom Auftraggeber übermittelten Prompts, Inputs, Dokumenten und den daraus erzeugten Outputs enthalten sein können, sowie technische Request-Metadaten.
• Besondere Kategorien (Art. 9 DSGVO): nur soweit vom Auftraggeber übermittelt; deren Rechtmäßigkeit und etwaige zusätzliche Schutzmaßnahmen liegen in der Verantwortung des Auftraggebers.

5. Weisungsbindung

GEKI verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Als Weisung gelten dieser AVV, die Leistungsvereinbarung sowie die Nutzung des Dienstes durch den Auftraggeber im vereinbarten Rahmen. Weitere Einzelweisungen sind in Textform zu erteilen.

Ist GEKI der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert GEKI den Auftraggeber unverzüglich. GEKI verarbeitet Daten nur aufgrund einer gesetzlichen Verpflichtung abweichend von den Weisungen; in diesem Fall informiert GEKI den Auftraggeber vor der Verarbeitung, soweit rechtlich zulässig.

6. Vertraulichkeit

GEKI stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und dass sie nur im erforderlichen Umfang Zugriff erhalten.

7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

GEKI trifft die zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus erforderlichen technischen und organisatorischen Maßnahmen. Diese sind in den GEKI TOMs beschrieben und Bestandteil dieses AVV. GEKI überprüft und entwickelt die Maßnahmen regelmäßig weiter; Änderungen dürfen das vereinbarte Sicherheitsniveau nicht wesentlich reduzieren.

8. Ort der Verarbeitung / Datenstandort

Die Verarbeitung erfolgt innerhalb der EU/des EWR bzw. an dem in der Leistungsvereinbarung angegebenen Standort (z. B. vereinbartes Rechenzentrum). Eine persistente Speicherung von Prompt-, Input- oder Output-Inhalten durch den stateless Inference Service findet nicht statt.

9. Unterauftragsverarbeiter (Subprozessoren)

Der Auftraggeber erteilt GEKI eine allgemeine Genehmigung zum Einsatz der in der jeweils aktuellen GEKI Subprozessoren-Liste aufgeführten Unterauftragsverarbeiter. GEKI verpflichtet jeden Unterauftragsverarbeiter auf Datenschutzpflichten, die mindestens dem Niveau dieses AVV entsprechen (Art. 28 Abs. 4 DSGVO).

GEKI informiert den Auftraggeber mindestens einen Monat vor dem geplanten erstmaligen Einsatz eines neuen oder ersetzten Unterauftragsverarbeiters, in Textform an die vereinbarte Kontaktadresse (E-Mail ist ausreichend), mit Name, Zweck, Verarbeitungsstandort und ggf. Drittlandbezug.

Der Auftraggeber kann dem Einsatz innerhalb eines Monats aus berechtigten datenschutzrechtlichen Gründen widersprechen. GEKI setzt den betreffenden Unterauftragsverarbeiter nicht ein, bevor die Frist abgelaufen bzw. ein begründeter Widerspruch geklärt ist. GEKI bleibt für die Erfüllung der Datenschutzpflichten seiner Unterauftragsverarbeiter verantwortlich.

10. Unterstützung des Auftraggebers

GEKI unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen durch geeignete technische und organisatorische Maßnahmen bei:

• der Erfüllung von Anträgen betroffener Personen (Art. 12–22 DSGVO); an GEKI gerichtete Betroffenenanfragen werden nicht selbst beantwortet, sondern an den Auftraggeber weitergeleitet;
• der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

Aufgrund des stateless Betriebs hat GEKI in der Regel keinen inhaltlichen Zugriff, der eine eigenständige Beantwortung von Betroffenenanfragen ermöglichen würde.

11. Datenschutzverletzungen

GEKI informiert den Auftraggeber nach Kenntniserlangung unverzüglich über eine Verletzung des Schutzes personenbezogener Daten, soweit Daten des Auftraggebers betroffen sind. Meldungen erfolgen an den in der Leistungsvereinbarung angegebenen Datenschutzkontakt.

Datenschutzvorfälle können GEKI gemeldet werden an: gdpr@geki.ai.

12. Löschung und Rückgabe

Da der GEKI Inference Service stateless betrieben wird, werden Prompt-, Input- und Output-Inhalte grundsätzlich nicht persistent gespeichert. Soweit GEKI im Rahmen zusätzlicher vereinbarter Dienste personenbezogene Daten persistent speichert, werden diese nach Beendigung der Leistungsvereinbarung nach Wahl des Auftraggebers zurückgegeben oder gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschung wird auf Verlangen bestätigt.

13. Nachweise und Audits

GEKI stellt dem Auftraggeber die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen —, die vom Auftraggeber oder einem beauftragten Prüfer durchgeführt werden, mit angemessener Vorankündigung und ohne unverhältnismäßige Störung des Betriebs. Vorhandene Zertifizierungen und Prüfberichte (z. B. ISO 27001) können zum Nachweis herangezogen werden.

14. Internationale Datentransfers

Die Verarbeitung erfolgt grundsätzlich innerhalb der EU/des EWR. Sofern im Einzelfall eine Übermittlung in ein Drittland erforderlich ist, erfolgt diese nur bei Vorliegen geeigneter Garantien im Sinne der Art. 44 ff. DSGVO (z. B. Angemessenheitsbeschluss oder EU-Standardvertragsklauseln) und im Rahmen der freigegebenen Unterauftragsverarbeiter.

15. Laufzeit

Dieser AVV gilt für die Dauer der zugrunde liegenden Leistungsvereinbarung. Pflichten, die ihrer Natur nach fortbestehen (insbesondere Vertraulichkeit, Löschung/Rückgabe), gelten über deren Beendigung hinaus bis zur vollständigen Erfüllung.

16. Haftung und Schlussbestimmungen

Die Haftung richtet sich nach der zugrunde liegenden Leistungsvereinbarung — bei Kunden der GEKI AI Factory nach den GEKI AGB — und dem anwendbaren Recht; Art. 82 DSGVO bleibt unberührt. Es gilt österreichisches Recht; Rechtswahl und Gerichtsstand richten sich nach AGB Abschnitt 12 (Gerichtsstand Graz). Änderungen und Ergänzungen bedürfen der Textform. Ist eine Bestimmung unwirksam, bleibt der AVV im Übrigen wirksam.