Auftragsverarbeitungsvertrag (Vorlage)

Dies ist die Vorlage des Auftragsverarbeitungsvertrags (AVV), den GPT Workspace mit Geschäftskunden abschließt. Um ihn ausgefüllt zu erhalten, schreiben Sie an contact@gpt.space mit dem rechtlichen Namen Ihrer Firma, der Adresse, der Kontaktperson und der Anzahl der Lizenzen. Die darin genannten Auftragsverarbeiter sind im Trust Center aufgeführt und werden dort aktuell gehalten.

Diese Vorlage dient lediglich der Information und stellt keine Rechtsberatung dar. Lassen Sie sie vor der Unterzeichnung durch Ihren Rechtsbeistand prüfen. Felder in eckigen Klammern werden vor der Unterzeichnung ausgefüllt.

---

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Teil der Vereinbarung über die Nutzung von GPT Workspace (der „Dienst”) zwischen:

• [RECHTLICHER NAME DES KUNDEN], [ADRESSE DES KUNDEN], [REGISTERNUMMER] (der „Kunde” oder „Verantwortlicher“), und
• GPTW LLC, 150 Central Park, Los Alamos, New Mexico, USA (der „Anbieter” oder „Auftragsverarbeiter“),

gemeinsam die „Parteien“. Er wird am [WIRKSAMKEITSDATUM] geschlossen und gilt, solange der Anbieter personenbezogene Daten im Auftrag des Kunden verarbeitet.

„DSGVO” bezeichnet die Verordnung (EU) 2016/679 und, soweit anwendbar, die britische DSGVO gemäß Definition im Data Protection Act 2018. „Personenbezogene Daten“, „Verarbeitung”, „Verantwortlicher“, „Auftragsverarbeiter”, „betroffene Person“, „Aufsichtsbehörde” und „Verletzung des Schutzes personenbezogener Daten” haben die in Artikel 4 DSGVO genannten Bedeutungen. „Unterauftragsverarbeiter” bezeichnet einen Dritten, der vom Anbieter beauftragt wird, personenbezogene Daten im Auftrag des Kunden zu verarbeiten. „Kundendaten” bezeichnet die personenbezogenen Daten, die der Anbieter für den Kunden im Rahmen der Dienstvereinbarung verarbeitet, wie in Anhang 1 beschrieben.

2.1 Der Kunde ist der Verantwortliche und der Anbieter ist der Auftragsverarbeiter der Kundendaten. Wenn der Kunde als Auftragsverarbeiter für seine eigenen Auftraggeber auftritt, handelt der Anbieter als Unterauftragsverarbeiter, und der Kunde garantiert, dass seine eigenen Weisungen vom maßgeblichen Verantwortlichen autorisiert sind.

2.2 Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen sind in Anhang 1 festgelegt.

3.1 Der Anbieter verarbeitet Kundendaten ausschließlich nach der dokumentierten Weisung des Kunden, einschließlich in Bezug auf Übermittlungen in ein Drittland, es sei denn, der Anbieter ist durch Rechtsvorschriften der Union oder eines Mitgliedsstaats, denen er unterliegt, dazu verpflichtet; in diesem Fall informiert der Anbieter den Kunden vor der Verarbeitung über diese rechtliche Verpflichtung, es sei denn, das Gesetz untersagt dies.

3.2 Die Weisungen des Kunden sind: die Dienstvereinbarung, dieser AVV, die Konfiguration, die der Kunde und seine Nutzer im Dienst festlegen, sowie die Anfragen, die die Nutzer des Kunden an den Dienst senden. Der Anbieter informiert den Kunden unverzüglich, wenn nach seiner Meinung eine Weisung gegen die DSGVO verstößt.

Der Anbieter stellt sicher, dass Personen, die zur Verarbeitung der Kundendaten autorisiert sind, einer Vertraulichkeitsverpflichtung unterliegen oder einer entsprechenden gesetzlichen Verschwiegenheitspflicht unterliegen, und dass der Zugang auf das jeweils zur Erbringung des Dienstes Notwendige beschränkt ist.

Der Anbieter implementiert die in Anhang 2 aufgeführten technischen und organisatorischen Maßnahmen und überprüft diese regelmäßig. Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung gewährleisten die Maßnahmen ein dem Risiko angemessenes Sicherheitsniveau.

6.1 Der Kunde erteilt dem Anbieter eine allgemeine schriftliche Genehmigung, die in Anhang 3 aufgeführten Unterauftragsverarbeiter einzusetzen.

6.2 Der Anbieter informiert den Kunden über jede beabsichtigte Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters mindestens [30] Tage vor Wirksamwerden der Änderung per E-Mail an [BENACHRICHTIGUNGS-E-MAIL DES KUNDEN] und durch Aktualisierung der Liste unter https://gpt.space/trust. Der Kunde kann innerhalb dieses Zeitraums aus triftigen Datenschutzgründen widersprechen; wenn die Parteien den Widerspruch nicht beilegen können, kann der Kunde den betroffenen Teil des Dienstes ohne Strafe kündigen.

6.3 Der Anbieter legt jedem Unterauftragsverarbeiter durch vertragliche Vereinbarung dieselben Datenschutzverpflichtungen wie in diesem AVV auf, insbesondere mit ausreichenden Garantien zur Implementierung angemessener technischer und organisatorischer Maßnahmen. Wenn ein Unterauftragsverarbeiter seinen Verpflichtungen nicht nachkommt, haftet der Anbieter gegenüber dem Kunden voll für die Erfüllung der Pflichten dieses Unterauftragsverarbeiters.

Unter Berücksichtigung der Art der Verarbeitung unterstützt der Anbieter den Kunden durch angemessene technische und organisatorische Maßnahmen, soweit dies möglich ist, bei der Erfüllung der Pflicht des Kunden, Anfragen zur Ausübung der Rechte der betroffenen Person nach Kapitel III DSGVO zu beantworten. Der Anbieter leitet jede Anfrage, die er direkt von einer betroffenen Person in Bezug auf Kundendaten erhält, ohne unangemessene Verzögerung an den Kunden weiter und beantwortet sie nicht, es sei denn auf Weisung des Kunden oder soweit gesetzlich erforderlich.

Der Anbieter unterstützt den Kunden bei der Einhaltung der Pflichten nach den Artikeln 32 bis 36 DSGVO (Sicherheit, Verletzungsmitteilung, Datenschutz-Folgenabschätzungen und vorherige Konsultation), unter Berücksichtigung der Art der Verarbeitung und der dem Anbieter verfügbaren Informationen.

Der Anbieter benachrichtigt den Kunden ohne unangemessene Verzögerung und in jedem Fall innerhalb von [48] Stunden, nachdem er von einer Verletzung des Schutzes personenbezogener Daten erfahren hat, die Kundendaten betrifft, per E-Mail an [BENACHRICHTIGUNGS-E-MAIL DES KUNDEN]. Die Benachrichtigung beschreibt, soweit zum Zeitpunkt bekannt, die Art der Verletzung, die Kategorien und die ungefähre Anzahl betroffener Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und eine Kontaktperson; noch nicht verfügbare Informationen werden phasenweise ohne unangemessene weitere Verzögerung bereitgestellt.

10.1 Nach Wahl des Kunden löscht oder gibt der Anbieter alle Kundendaten nach Ende der Bereitstellung des Dienstes zurück und löscht vorhandene Kopien, es sei denn, Rechtsvorschriften der Union oder eines Mitgliedsstaats schreiben die Speicherung der personenbezogenen Daten vor.

10.2 Unabhängig von Ziffer 10.1 können der Kunde und jeder seiner Nutzer ihr Konto und die beim Anbieter gespeicherten Daten im Dienst jederzeit löschen; die Löschung erfolgt innerhalb von 24 Stunden nach der Anforderung. Rechnungen und Zahlungsunterlagen werden für die nach Steuerrecht erforderliche Dauer aufbewahrt.

11.1 Der Anbieter stellt dem Kunden alle notwendigen Informationen zur Verfügung, um die Einhaltung der in Artikel 28 DSGVO festgelegten Pflichten nachzuweisen, und ermöglicht und unterstützt Audits, einschließlich Inspektionen, die durch den Kunden oder einen vom Kunden beauftragten Prüfer durchgeführt werden.

11.2 Der Anbieter entspricht Audit-Anforderungen zunächst durch die Bereitstellung seines ISO 27001-Zertifikats und Auditberichts (https://firebasestorage.googleapis.com/v0/b/billing-js.appspot.com/o/audit_report%2FQualtir%20ISO%2027001%20Audit%20Report.pdf?alt=media), seiner CASA-Tier-III-Bewertung und schriftlichen Antworten auf einen Sicherheitsfragebogen. Eine Vor-Ort- oder Ferninspektion wird höchstens [einmal pro Jahr] mit [30] Tagen schriftlicher Vorankündigung während der Geschäftszeiten unter einer Vertraulichkeitsvereinbarung und auf Kosten des Kunden durchgeführt, es sei denn, eine Aufsichtsbehörde verlangt anderes oder eine Verletzung des Schutzes personenbezogener Daten ist eingetreten.

12.1 Der Anbieter hat seinen Sitz in den Vereinigten Staaten und der Dienst wird auf Google Cloud Platform in den Vereinigten Staaten gehostet. Wenn Kundendaten von betroffenen Personen im EWR, dem Vereinigten Königreich oder der Schweiz in ein Land ohne Angemessenheitsbeschluss übermittelt werden, stützen sich die Parteien auf die Standardvertragsklauseln, die von der Europäischen Kommission im Beschluss (EU) 2021/914 (Modul Zwei, Verantwortlicher an Auftragsverarbeiter, oder Modul Drei, Auftragsverarbeiter an Auftragsverarbeiter, je nach Anwendbarkeit) angenommen wurden, die hiermit in Bezug genommen werden, zusammen mit dem UK International Data Transfer Addendum, soweit britische Daten betroffen sind. Die Unterauftragsverarbeiter des Anbieters, die Kundendaten empfangen, nehmen am EU-US Data Privacy Framework teil, soweit ihnen dieses Rahmenwerk zur Verfügung steht; die Standardvertragsklauseln regeln jede Übermittlung, die der Anbieter selbst vornimmt.

12.2 Für die Optionen in den Standardvertragsklauseln: Klausel 7 (Docking) gilt; Klausel 9 Option 2 (allgemeine Genehmigung) mit der Frist aus Ziffer 6.2; Klausel 11 optionaler Text gilt nicht; Klausel 13 und Klausel 17: das Recht von [MITGLIEDSSTAAT, z. B. Irland]; Klausel 18: die Gerichte von [MITGLIEDSSTAAT]. Anhang I und Anhang II der Klauseln entsprechen den Anhängen 1 und 2 dieses AVV.

13.1 Die Haftung jeder Partei nach diesem AVV unterliegt den Haftungsbeschränkungen und -ausschlüssen in der Dienstvereinbarung, außer soweit diese nach anwendbarem Datenschutzrecht nicht beschränkt werden können.

13.2 Dieser AVV wird am Wirksamkeitsdatum wirksam und bleibt in Kraft, solange der Anbieter Kundendaten verarbeitet. Im Konfliktfall zwischen diesem AVV und der Dienstvereinbarung hat dieser AVV für die Verarbeitung personenbezogener Daten Vorrang.

13.3 Dieser AVV unterliegt dem Recht, das auch für die Dienstvereinbarung gilt, mit der Ausnahme, dass die Standardvertragsklauseln dem in Ziffer 12.2 gewählten Recht unterliegen.

Für den Kunden	Für den Anbieter
Name: [NAME]	Name: [NAME]
Titel: [TITEL]	Titel: [TITEL]
Datum: [DATUM]	Datum: [DATUM]
Unterschrift:	Unterschrift:

---

Punkt	Beschreibung
Gegenstand	Bereitstellung des Dienstes GPT Workspace: KI-Unterstützung in Google Docs, Sheets, Slides, Forms, Gmail, Drive, Google Chat, der Chrome-Erweiterung und MCP-Servern.
Dauer	Die Laufzeit der Dienstvereinbarung zuzüglich der Aufbewahrungsfristen in Anhang 2.
Art und Zweck	Lesen der Inhalte, auf die der Nutzer in seinem Google-Konto zeigt, Senden dieser zusammen mit dem Prompt des Nutzers an einen KI-Modellanbieter und Zurückschreiben der Antwort in die Datei oder den Chat des Nutzers. Kontoverwaltung, Abrechnung und Support.
Kategorien betroffener Personen	Mitarbeiter und Auftragnehmer des Kunden, die den Dienst nutzen; Personen, deren Daten in den Dokumenten, Tabellenkalkulationen, E-Mails und Dateien des Kunden erscheinen, die über den Dienst verarbeitet werden.
Arten personenbezogener Daten	Kontodaten (Name, E-Mail-Adresse, Profilbild, Google-Konto-Kennung); Abrechnungsdaten (Abrechnungsname, Adresse, USt-IdNr.); Nutzungsmetadaten (Anzahl der Anfragen, Daten, Dokumenttitel); der Inhalt der Prompts und der Google-Dateien, E-Mails und Anhänge, die der Nutzer übermittelt und die jede Kategorie personenbezogener Daten enthalten können, die der Kunde dort ablegt.
Besondere Kategorien	Keine per Design. Der Dienst erfordert keine besondere Datenkategorie; der Kunde entscheidet, was seine Nutzer übermitteln. [Kunde gibt an, ob besondere Kategorien erwartet werden: KEINE / BESCHREIBUNG]
Häufigkeit	Kontinuierlich, bei jeder Anfrage eines Nutzers.
Aufbewahrung	Siehe Anhang 2, „Aufbewahrung”.

Bereich	Maßnahme
Zertifizierungen	ISO 27001-zertifiziertes Managementsystem für Informationssicherheit (Auditbericht verfügbar). CASA Tier III (App Defense Alliance) Bewertung für die Google Workspace-Integration. Einhaltung der Google API Services User Data Policy, einschließlich der Limited-Use-Anforderungen.
Hosting	Google Cloud Platform (Firebase), Vereinigte Staaten, Regionen US East und US West. Komponenten, die Kundendaten verarbeiten, laufen im privaten Netzwerk des Anbieters hinter Lastverteilern und einer Web Application Firewall.
Verschlüsselung	TLS 1.2 oder höher für alle Daten in Übertragung. AES-256 serverseitige Verschlüsselung bei Speicherung auf Firebase, Schlüsselverwaltung über GCP IAM. Google-Zugriffs- und Aktualisierungstoken verschlüsselt bei Speicherung.
Keine Kopie von Kundendateien	Google-Dateien, E-Mails und Tabellenkalkulationen werden in Echtzeit mit dem eigenen OAuth-Token des Nutzers gelesen und nicht im Speicher des Anbieters kopiert. Die einzige Ausnahme ist eine Datei, die der Nutzer für die Dateisuche anhängt, die in einen OpenAI-Vektorspeicher hochgeladen wird (siehe Anhang 3): der Suchindex wird 1 Tag nach letzter Nutzung verworfen und die Kopie nach 7 Tagen gelöscht.
Modellanbieter	Genutzt unter API-Bedingungen, die das Training mit den Anfragen untersagen. Der Anbieter trainiert oder feinabstimmt niemals ein Modell mit Kundendaten.
Zugriffskontrolle	Zugriff auf Produktionssysteme beschränkt auf autorisierte Mitarbeiter mit Einzelkonten, Multi-Faktor-Authentifizierung und Least-Privilege-Prinzip über GCP IAM. Datenisolierung pro Nutzer durch Firebase-Sicherheitsregeln erzwungen. Multi-Faktor-Authentifizierung ist für jedes Konto mit Produktionszugang obligatorisch; Zugriffsrechte werden wöchentlich überprüft.
Überwachung und Tests	GCP Security Command Center kontinuierliche Schwachstellenprüfung aller im Geltungsbereich befindlichen Assets; Richtlinie zur Schwachstellenmeldung für externe Forscher.
Aufbewahrung	Kontodaten, Chat-Verläufe, Einstellungen und Nutzungsmetadaten: 18 Monate nach letzter Aktivität des Nutzers oder 24 Stunden nach einer Löschanforderung. Für die Dateisuche angehängte Dateien: Suchindex 1 Tag nach letzter Nutzung verworfen, hochgeladene Kopie nach 7 Tagen gelöscht. Modell-Gateway-Anfrageprotokolle: 30 Tage, nur für Supportzwecke. Prompts und Antworten: in Echtzeit verarbeitet, vom Anbieter nicht langfristig gespeichert. Rechnungen: die nach Steuerrecht erforderliche Dauer.
Löschung	Selbstbedienungslöschung des Kontos und aller zugehörigen Daten im Dienst; Löschung auf Anforderung innerhalb von 24 Stunden.
Geschäftskontinuität	Natives Google Cloud Backup und Multi-Region-Verfügbarkeitstools; vollständige Backups alle 7 Tage.
Personal	Vertraulichkeitsverpflichtungen in Arbeits- und Auftragnehmerverträgen; Sicherheitsbewusstsein für Mitarbeiter mit Produktionszugang.

Die aktuelle Liste wird unter https://gpt.space/trust gepflegt und hier mit Stand vom Wirksamkeitsdatum wiedergegeben.

Unterauftragsverarbeiter	Zweck	Standort
Google Cloud Platform / Firebase (Google LLC)	Hosting, Datenbank, Speicherung, Authentifizierung, Secrets	Vereinigte Staaten
OpenRouter, Inc.	Gateway, das jede Modellanfrage an den unten genannten Anbieter weiterleitet; Anfrageprotokolle 30 Tage nur für Supportzwecke aufbewahrt, nie für Training verwendet	Vereinigte Staaten
OpenAI	Text- und Bildmodelle; Vektorspeicher für Dateisuche	Vereinigte Staaten
Anthropic	Claude-Modelle (fixiert auf Anthropics eigenen Endpunkt)	Vereinigte Staaten
Google (AI Studio)	Gemini Text- und Bildmodelle	Vereinigte Staaten
Perplexity	Websuch-Modelle	Vereinigte Staaten
OpenRouter-Inferenzhosts	Inferenzhosts für die Open-Weight-Modelle GLM-5.3-flash und gpt-oss-120b	Über OpenRouter
Typesafe	Entscheidungsmodell hinter der GPT_CLASSIFY-Formel	Über OpenRouter
Google Programmable Search	Stockbildsuche für generierte Folien (nur Anfrage)	Vereinigte Staaten
Stripe	Zahlungen, Rechnungen, Abrechnungsportal	Vereinigte Staaten und Irland, unter dem Stripe DPA
PostHog (selbstgehostete Instanz)	Produktanalysen	Europäische Union
Sentry	Fehlerüberwachung	Europäische Union (EU-Datenregion)