Auftragsverarbeitungsvertrag (AVV / DPA)

Datenschutzkontakt

Für sämtliche datenschutzrechtlichen Anfragen im Zusammenhang mit diesem AVV:

GEKI Datenschutz — gdpr@geki.ai

1. Gegenstand, Rollen und Geltung

Dieser AVV regelt die Verarbeitung personenbezogener Daten durch GEKI im Rahmen der zwischen den Parteien geschlossenen Leistungsvereinbarung (z. B. Order Form der GEKI AI Factory, Order Form von GEKI Companybots, Reseller-/Routing-Vertrag oder — bei Selbstregistrierung auf console.geki.ai — die Nutzungsbedingungen Self-Service).

Abschluss: Dieser AVV wird mit Unterzeichnung des Order Forms geschlossen. Bei Selbstregistrierung wird er elektronisch geschlossen, indem der Auftraggeber bei der Registrierung den Nutzungsbedingungen Self-Service und diesem AVV zustimmt; GEKI protokolliert Zeitpunkt und Fassung der Zustimmung (Art. 28 Abs. 9 DSGVO).

Rollen: Der Auftraggeber ist entweder Verantwortlicher oder selbst Auftragsverarbeiter. GEKI handelt entsprechend als Auftragsverarbeiter bzw. — sofern der Auftraggeber selbst Auftragsverarbeiter ist — als Unterauftragsverarbeiter. GEKI verarbeitet personenbezogene Daten ausschließlich im Auftrag und zu den in diesem AVV und der Leistungsvereinbarung festgelegten Zwecken.

Bots für Endkunden: Betreibt der Auftraggeber Bots für Endkunden (insbesondere in Kundenorganisationen nach der Leistungsbeschreibung GEKI Companybots), ist der jeweilige Endkunde Verantwortlicher, der Auftraggeber dessen Auftragsverarbeiter und GEKI Unterauftragsverarbeiter. Weisungen erteilt GEKI gegenüber ausschließlich der Auftraggeber; er stellt sicher, dass sie den Weisungen des Endkunden entsprechen, und informiert den Endkunden über GEKI und die Subprozessoren. Mitteilungen nach Abschnitt 9 gibt der Auftraggeber an seine Endkunden weiter.

Bei Widersprüchen zwischen diesem AVV und der Leistungsvereinbarung gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor.

2. Art und Zweck der Verarbeitung

GEKI verarbeitet personenbezogene Daten ausschließlich soweit dies technisch erforderlich ist, um die vom Auftraggeber angeforderten Leistungen der GEKI KI-Fabrik und von GEKI Companybots zu erbringen.

Überblick nach Produkt:

Produkt	Inhalte (Prompts, Inputs, Outputs)	Ort der Verarbeitung
GEKI KI-Fabrik	keine persistente Speicherung (stateless)	im Order Form vereinbartes Rechenzentrum
GEKI Companybots	persistente Speicherung, soweit für Bots und Web-App erforderlich (Abschnitt 2.1)	Speicherung in einem Rechenzentrum in der EU; Inference über die gewählte Token-Quelle (siehe Subprozessoren-Liste)

Die Inference umfasst insbesondere die flüchtige Verarbeitung von:

• Prompts und Inputs
• Dokumentinhalten, soweit sie im jeweiligen Request übermittelt werden
• Model Context
• AI-generierten Outputs
• technisch erforderlichen temporären KV- und Prefix-Caches

GEKI KI-Fabrik und Inference: keine persistente Speicherung

Die GEKI KI-Fabrik und jede Inference, auch über den Europäischen Router, werden stateless betrieben. GEKI speichert insbesondere keine Prompts, Inputs, Dokumentinhalte oder AI-generierten Outputs dauerhaft und führt keine inhaltlichen Prompt- oder Output-Logs.

Nach Abschluss der technisch erforderlichen Verarbeitung werden die verwendeten Inhalte nicht persistent gespeichert. Temporäre Daten in flüchtigen Speichern (RAM, GPU-Speicher, KV-/Prefix-Cache) werden nach Wegfall des technischen Zwecks verworfen bzw. überschrieben.

Technische Betriebs- und Sicherheitsmetadaten dürfen gespeichert werden, soweit sie keine Prompt-, Dokument- oder Output-Inhalte enthalten und für Betrieb, Abrechnung, Monitoring, Security oder Incident Management erforderlich sind. GEKI darf Metadaten der Nutzung der Services, die keine Prompt-, Dokument- oder Output-Inhalte enthalten (z. B. aufgerufene Funktionen, Zeitpunkte, Fehlercodes, Bewertungen von Antworten), als eigener Verantwortlicher zur Verbesserung der Services und für Statistiken verarbeiten.

Soweit der Auftraggeber einen zusätzlichen Dienst oder ein Modul mit persistenter Speicherung aktiviert, gelten dafür die in der Leistungsvereinbarung ausdrücklich vereinbarten Speicher- und Löschregeln (z. B. Bots und Web-App: Abschnitt 2.1).

2.1 GEKI Companybots: persistente Speicherung

Nutzt der Auftraggeber GEKI Companybots (Bots, Bot API oder Web-App) (siehe Leistungsbeschreibung GEKI Companybots), speichert GEKI abweichend vom stateless Inference Service persistent, soweit dies für die Funktion dieser Dienste erforderlich ist:

• Chat-Verläufe (Eingaben und Ausgaben) und Konversationskontext
• vom Auftraggeber in Bots hinterlegte Quellen (z. B. Dokumente) sowie Bot-Konfigurationen
• Nutzerkonten der Web-App (insbesondere Name, E-Mail-Adresse, Berechtigungen) und die Protokollierung der Zustimmung zu Nutzungsbedingungen
• vom Auftraggeber hochgeladene Branding-Elemente (z. B. Logo)

Speicherort: Die Daten werden in einem Rechenzentrum in der EU gespeichert (siehe Subprozessoren-Liste). Die Inference erfolgt über die vom Auftraggeber gewählte Token-Quelle (eigene GEKI KI-Fabrik oder Europäischer Router) und bleibt stateless.

Löschung: Der Auftraggeber kann Chat-Verläufe und gespeicherten Kontext jederzeit selbst über GEKI Companybots löschen. Nach Beendigung der Leistungsvereinbarung gilt Abschnitt 12.

Web-Suche: Aktiviert der Auftraggeber für einen Bot die Web-Suche, werden die daraus abgeleiteten Suchanfragen an den in der Subprozessoren-Liste ausgewiesenen Web-Search-Provider übermittelt.

Europäischer Router: Wählt der Auftraggeber für GEKI Companybots die Token-Quelle „Europäischer Router“, werden die Modell-Requests der Bots über den in der Subprozessoren-Liste ausgewiesenen europäischen Router oder direkt an dort ausgewiesene europäische Inference-Anbieter übermittelt; es gelten die Grundsätze der stateless Inference. Dasselbe gilt für die Model API im Self-Service. Die Auswahl der Token-Quelle erfolgt durch den Auftraggeber und gilt als Weisung im Sinne von Abschnitt 5.

3. Keine Verwendung von Daten für Training

GEKI verwendet die im Auftrag verarbeiteten Daten unter keinen Umständen zum Training, Fine-Tuning oder sonstigen Weiterentwickeln allgemeiner AI-Modelle für GEKI oder Dritte, sofern der Auftraggeber dies nicht ausdrücklich gesondert beauftragt. Dies gilt insbesondere für Prompts, Dokumente, Inputs, Outputs und Chat-Inhalte.

4. Kategorien betroffener Personen und Daten

Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Kategorien der Daten und der betroffenen Personen werden durch den Auftraggeber bestimmt; GEKI hat keinen Einfluss auf die Inhalte, die der Auftraggeber übermittelt.

• Betroffene Personen: durch den Auftraggeber bestimmt (z. B. dessen Nutzer, Mitarbeiter, Kunden, Endnutzer der Reseller).
• Datenarten: personenbezogene Daten, die in den vom Auftraggeber übermittelten Prompts, Inputs, Dokumenten und den daraus erzeugten Outputs enthalten sein können, sowie technische Request-Metadaten; bei Nutzung von Bots und Web-App zusätzlich Chat-Verläufe, Konversationskontext, in Bots hinterlegte Quellen sowie Konto- und Berechtigungsdaten der Web-App-Nutzer (Abschnitt 2.1).
• Besondere Kategorien (Art. 9 DSGVO): nur soweit vom Auftraggeber übermittelt; deren Rechtmäßigkeit und etwaige zusätzliche Schutzmaßnahmen liegen in der Verantwortung des Auftraggebers.

5. Weisungsbindung

GEKI verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Als Weisung gelten dieser AVV, die Leistungsvereinbarung sowie die Nutzung des Dienstes durch den Auftraggeber im vereinbarten Rahmen. Weitere Einzelweisungen sind in Textform zu erteilen.

Ist GEKI der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert GEKI den Auftraggeber unverzüglich. GEKI verarbeitet Daten nur aufgrund einer gesetzlichen Verpflichtung abweichend von den Weisungen; in diesem Fall informiert GEKI den Auftraggeber vor der Verarbeitung, soweit rechtlich zulässig.

6. Vertraulichkeit

GEKI stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und dass sie nur im erforderlichen Umfang Zugriff erhalten.

7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

GEKI trifft die zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus erforderlichen technischen und organisatorischen Maßnahmen. Diese sind in den GEKI TOMs beschrieben und Bestandteil dieses AVV. GEKI überprüft und entwickelt die Maßnahmen regelmäßig weiter; Änderungen dürfen das vereinbarte Sicherheitsniveau nicht wesentlich reduzieren.

8. Ort der Verarbeitung / Datenstandort

Die Verarbeitung erfolgt innerhalb der EU/des EWR:

• GEKI KI-Fabrik: in dem in der Leistungsvereinbarung vereinbarten Rechenzentrum; Prompt-, Input- und Output-Inhalte werden nicht persistent gespeichert (Abschnitt 2).
• GEKI Companybots: Die persistent gespeicherten Daten (Abschnitt 2.1) liegen in einem Rechenzentrum in der EU; die Inference erfolgt über die gewählte Token-Quelle, bei der eigenen KI-Fabrik dort, beim Europäischen Router bei den in der Subprozessoren-Liste ausgewiesenen europäischen Anbietern.

Ein Fernzugriff durch Subprozessoren aus Drittländern, etwa für Sicherheit und Wartung, erfolgt nur auf Grundlage eines Angemessenheitsbeschlusses oder von Standardvertragsklauseln (Art. 44 ff. DSGVO).

9. Unterauftragsverarbeiter (Subprozessoren)

Der Auftraggeber erteilt GEKI eine allgemeine Genehmigung zum Einsatz der in der jeweils aktuellen GEKI Subprozessoren-Liste aufgeführten Unterauftragsverarbeiter. GEKI verpflichtet jeden Unterauftragsverarbeiter auf Datenschutzpflichten, die mindestens dem Niveau dieses AVV entsprechen (Art. 28 Abs. 4 DSGVO).

GEKI informiert den Auftraggeber mindestens 20 Tage vor dem geplanten erstmaligen Einsatz eines neuen oder ersetzten Unterauftragsverarbeiters, in Textform an die vereinbarte Kontaktadresse (E-Mail ist ausreichend; im Self-Service die E-Mail-Adresse des Inhabers der Organisation), mit Name, Zweck, Verarbeitungsstandort und ggf. Drittlandbezug.

Der Auftraggeber kann dem Einsatz innerhalb von 15 Tagen nach Zugang der Mitteilung aus berechtigten datenschutzrechtlichen Gründen widersprechen. GEKI setzt den betreffenden Unterauftragsverarbeiter nicht ein, bevor die Frist abgelaufen bzw. ein begründeter Widerspruch geklärt ist. GEKI bleibt für die Erfüllung der Datenschutzpflichten seiner Unterauftragsverarbeiter verantwortlich.

10. Unterstützung des Auftraggebers

GEKI unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen durch geeignete technische und organisatorische Maßnahmen bei:

• der Erfüllung von Anträgen betroffener Personen (Art. 12–22 DSGVO); an GEKI gerichtete Betroffenenanfragen werden nicht selbst beantwortet, sondern an den Auftraggeber weitergeleitet;
• der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

Beim stateless Inference Service hat GEKI in der Regel keinen inhaltlichen Zugriff, der eine eigenständige Beantwortung von Betroffenenanfragen ermöglichen würde. Für die nach Abschnitt 2.1 gespeicherten Daten stellt GEKI dem Auftraggeber Funktionen zum Auffinden, Exportieren und Löschen zur Verfügung bzw. unterstützt ihn auf Anfrage bei der Beantwortung von Betroffenenanfragen.

11. Datenschutzverletzungen

GEKI informiert den Auftraggeber nach Kenntniserlangung unverzüglich über eine Verletzung des Schutzes personenbezogener Daten, soweit Daten des Auftraggebers betroffen sind. Meldungen erfolgen an den in der Leistungsvereinbarung angegebenen Datenschutzkontakt.

Datenschutzvorfälle können GEKI gemeldet werden an: gdpr@geki.ai.

12. Löschung und Rückgabe

Da der GEKI Inference Service stateless betrieben wird, werden Prompt-, Input- und Output-Inhalte grundsätzlich nicht persistent gespeichert. Soweit GEKI im Rahmen zusätzlicher vereinbarter Dienste personenbezogene Daten persistent speichert, werden diese nach Beendigung der Leistungsvereinbarung nach Wahl des Auftraggebers zurückgegeben oder gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschung wird auf Verlangen bestätigt.

13. Nachweise und Audits

GEKI stellt dem Auftraggeber die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen —, die vom Auftraggeber oder einem beauftragten Prüfer durchgeführt werden, mit angemessener Vorankündigung und ohne unverhältnismäßige Störung des Betriebs. Vorhandene Zertifizierungen und Prüfberichte (z. B. ISO 27001) können zum Nachweis herangezogen werden.

14. Internationale Datentransfers

Die Verarbeitung erfolgt grundsätzlich innerhalb der EU/des EWR. Sofern im Einzelfall eine Übermittlung in ein Drittland erforderlich ist, erfolgt diese nur bei Vorliegen geeigneter Garantien im Sinne der Art. 44 ff. DSGVO (z. B. Angemessenheitsbeschluss oder EU-Standardvertragsklauseln) und im Rahmen der freigegebenen Unterauftragsverarbeiter.

Der Router für KI-Inference verarbeitet in der EU; für die Web-Suche gilt der in der Subprozessoren-Liste ausgewiesene Verarbeitungsort des jeweiligen Web-Search-Providers. Einzelne in der Subprozessoren-Liste ausgewiesene Dienstleister für E-Mail-Versand und Produktanalyse verarbeiten in der EU, gehören aber zu Konzernen mit Sitz in den USA; soweit ein Zugriff aus einem Drittland nicht ausgeschlossen werden kann, stützt sich GEKI auf den Angemessenheitsbeschluss für das EU-US Data Privacy Framework bzw. auf EU-Standardvertragsklauseln.

15. Laufzeit

Dieser AVV gilt für die Dauer der zugrunde liegenden Leistungsvereinbarung. Pflichten, die ihrer Natur nach fortbestehen (insbesondere Vertraulichkeit, Löschung/Rückgabe), gelten über deren Beendigung hinaus bis zur vollständigen Erfüllung.

16. Haftung und Schlussbestimmungen

Die Haftung richtet sich nach der zugrunde liegenden Leistungsvereinbarung — bei Kunden der GEKI AI Factory nach den GEKI AGB — und dem anwendbaren Recht; Art. 82 DSGVO bleibt unberührt. Es gilt österreichisches Recht; Rechtswahl und Gerichtsstand richten sich nach AGB Abschnitt 12 (Gerichtsstand Graz). Änderungen und Ergänzungen bedürfen der Textform. Ist eine Bestimmung unwirksam, bleibt der AVV im Übrigen wirksam.