Auftragsverarbeitungsvertrag (Vorlage)

Dies ist die Vorlage des Auftragsverarbeitungsvertrags (AVV), den GPT Workspace mit Geschäftskunden abschließt. Um ein vorausgefülltes Exemplar zu erhalten, schreiben Sie an contact@gpt.space mit dem rechtlichen Namen Ihrer Firma, der Adresse, der Kontaktperson und der Anzahl der Lizenzen. Die darin genannten Auftragsverarbeiter sind im Trust Center aufgeführt und werden dort aktuell gehalten.

Diese Vorlage dient nur der Information und stellt keine Rechtsberatung dar. Lassen Sie sie vor der Unterzeichnung durch Ihren Rechtsbeistand prüfen. Felder in eckigen Klammern werden vor der Unterzeichnung ausgefüllt.

---

Dieser Auftragsverarbeitungsververtrag („AVV“) ist Teil der Vereinbarung über die Nutzung von GPT Workspace (der „Dienst”) zwischen:

• [RECHTLICHER NAME DES KUNDEN], [ADRESSE DES KUNDEN], [REGISTERNUMMER] (der „Kunde” oder „Verantwortliche“), und
• GPTW LLC, 150 Central Park, Los Alamos, New Mexico, USA (der „Anbieter” oder „Auftragsverarbeiter“),

zusammen die „Parteien“. Er wird am [WIRKSAMKEITSDATUM] geschlossen und gilt, solange der Anbieter personenbezogene Daten im Auftrag des Kunden verarbeitet.

„DSGVO” bezeichnet die Verordnung (EU) 2016/679 und, soweit anwendbar, die UK-DSGVO gemäß Definition im Data Protection Act 2018. „Personenbezogene Daten“, „Verarbeitung”, „Verantwortlicher“, „Auftragsverarbeiter”, „betroffene Person“, „Aufsichtsbehörde” und „Verletzung des Schutzes personenbezogener Daten” haben die in Artikel 4 DSGVO angegebenen Bedeutungen. „Unterauftragsverarbeiter” bezeichnet einen Dritten, der vom Anbieter beauftragt wird, personenbezogene Daten im Auftrag des Kunden zu verarbeiten. „Kundendaten” bezeichnet die personenbezogenen Daten, die der Anbieter für den Kunden im Rahmen der Dienstvereinbarung verarbeitet, wie in Anhang 1 beschrieben.

2.1 Der Kunde ist der Verantwortliche und der Anbieter ist der Auftragsverarbeiter der Kundendaten. Soweit der Kunde als Auftragsverarbeiter für seine eigenen Mandanten auftritt, handelt der Anbieter als Unterauftragsverarbeiter, und der Kunde gewährleistet, dass seine eigenen Weisungen durch den maßgeblichen Verantwortlichen autorisiert sind.

2.2 Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen sind in Anhang 1 festgelegt.

3.1 Der Anbieter verarbeitet Kundendaten ausschließlich nach dokumentierten Weisungen des Kunden, einschließlich im Hinblick auf Übermittlungen in ein Drittland, es sei denn, der Anbieter ist durch Rechtsvorschriften der Union oder eines Mitgliedstaats, denen er unterliegt, dazu verpflichtet; in diesem Fall informiert der Anbieter den Kunden vor der Verarbeitung über diese rechtliche Verpflichtung, es sei denn, das Recht untersagt dies.

3.2 Die Weisungen des Kunden umfassen: die Dienstvereinbarung, diesen AVV, die Konfiguration, die der Kunde und seine Nutzer im Dienst festlegen, und die Anfragen, die die Nutzer des Kunden an den Dienst senden. Der Anbieter informiert den Kunden unverzüglich, wenn nach seiner Ansicht eine Weisung gegen die DSGVO verstößt.

Der Anbieter stellt sicher, dass Personen, die zur Verarbeitung der Kundendaten autorisiert sind, einer Vertraulichkeitsverpflichtung unterliegen oder einer entsprechenden gesetzlichen Verschwiegenheitspflicht unterworfen sind, und dass der Zugriff auf das jeweils zur Erbringung des Dienstes Notwendige beschränkt ist.

Der Anbieter setzt die in Anhang 2 aufgeführten technischen und organisatorischen Maßnahmen um und überprüft diese fortlaufend. Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung gewährleisten die Maßnahmen ein dem Risiko angemessenes Sicherheitsniveau.

6.1 Der Kunde erteilt dem Anbieter eine allgemeine schriftliche Genehmigung, die in Anhang 3 aufgeführten Unterauftragsverarbeiter einzubeziehen.

6.2 Der Anbieter informiert den Kunde über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens [30] Tage vor Wirksamwerden der Änderung per E-Mail an [KUNDEN-BENACHRICHTIGUNGS-E-MAIL] und durch Aktualisierung der Liste unter https://gpt.space/trust. Der Kunde kann innerhalb dieses Zeitraums aus triftigen Datenschutzgründen widersprechen; wenn die Parteien den Widerspruch nicht beilegen können, kann der Kunde den betroffenen Teil des Dienstes ohne Strafe kündigen.

6.3 Der Anbieter legt jedem Unterauftragsverarbeiter vertraglich die gleichen Datenschutzverpflichtungen wie in diesem AVV fest, insbesondere mit ausreichenden Garantien zur Umsetzung geeigneter technischer und organisatorischer Maßnahmen. Wenn ein Unterauftragsverarbeiter seinen Verpflichtungen nicht nachkommt, bleibt der Anbieter dem Kunden für die Erfüllung der Pflichten dieses Unterauftragsverarbeiters voll verantwortlich.

Unter Berücksichtigung der Art der Verarbeitung unterstützt der Anbieter den Kunden durch geeignete technische und organisatorische Maßnahmen, soweit dies möglich ist, bei der Erfüllung der Pflicht des Kunden, Anfragen zur Ausübung der Rechte der betroffenen Person nach Kapitel III DSGVO zu beantworten. Der Anbieter leitet jede Anfrage, die er unmittelbar von einer betroffenen Person bezüglich der Kundendaten erhält, unverzüglich an den Kunde weiter und beantwortet sie nicht, es sei denn auf Weisung des Kunden oder soweit gesetzlich erforderlich.

Der Anbieter unterstützt den Kunden bei der Einhaltung der Pflichten nach den Artikeln 32 bis 36 DSGVO (Sicherheit, Benachrichtigung bei Verletzungen, Datenschutz-Folgenabschätzungen und Vorabkontrolle), unter Berücksichtigung der Art der Verarbeitung und der dem Anbieter verfügbaren Informationen.

Der Anbieter benachrichtigt den Kunden unverzüglich, in jedem Fall jedoch innerhalb von [48] Stunden, nachdem er von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, die die Kundendaten betrifft, per E-Mail an [KUNDEN-BENACHRICHTIGUNGS-E-MAIL]. Die Benachrichtigung beschreibt, soweit zum Zeitpunkt bekannt, die Art der Verletzung, die Kategorien und die ungefähre Anzahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und eine Kontaktperson; noch nicht verfügbare Informationen werden phasenweise ohne weitere undue Verzögerung nachgeliefert.

10.1 Nach Wahl des Kunden löscht oder gibt der Anbieter alle Kundendaten nach Ende der Bereitstellung des Dienstes zurück und löscht vorhandene Kopien, es sei denn, Rechtsvorschriften der Union oder eines Mitgliedstaats verlangen die Aufbewahrung der personenbezogenen Daten.

10.2 Unabhängig von Ziffer 10.1 können der Kunde und jeder seiner Nutzer ihr Konto sowie die beim Anbieter gespeicherten Daten jederzeit aus dem Dienst löschen; die Löschung erfolgt innerhalb von 24 Stunden nach der Anfrage. Rechnungen und Zahlungsunterlagen werden für die steuerrechtlich vorgeschriebene Dauer aufbewahrt.

11.1 Der Anbieter stellt dem Kunden alle Informationen zur Verfügung, die notwendig sind, um die Einhaltung der Pflichten nach Artikel 28 DSGVO nachzuweisen, und ermöglicht und unterstützt Audits, einschließlich Inspektionen, die durch den Kunden oder einen vom Kunden beauftragten Prüfer durchgeführt werden.

11.2 Der Anbieter entspricht Audit-Anfragen zunächst durch die Bereitstellung seines ISO 27001-Zertifikats und Auditberichts (https://firebasestorage.googleapis.com/v0/b/billing-js.appspot.com/o/audit_report%2FQualtir%20ISO%2027001%20Audit%20Report.pdf?alt=media), seiner CASA-Tier-III-Bewertung und schriftlicher Antworten auf einen Sicherheitsfragebogen. Eine Vor-Ort- oder Remote-Inspektion wird höchstens [einmal pro Jahr] mit [30] Tagen schriftlicher Vorankündigung, während der Geschäftszeiten, unter einer Vertraulichkeitsvereinbarung und auf Kosten des Kunden durchgeführt, es sei denn, eine Aufsichtsbehörde verlangt anderes oder eine Verletzung des Schutzes personenbezogener Daten ist eingetreten.

12.1 Der Anbieter hat seinen Sitz in den Vereinigten Staaten, und der Dienst wird auf der Google Cloud Platform in den Vereinigten Staaten gehostet. Soweit Kundendaten von betroffenen Personen im EWR, im Vereinigten Königreich oder in der Schweiz in ein Land ohne Angemessenheitsbeschluss übermittelt werden, stützen sich die Parteien auf die Standardvertragsklauseln, die von der Europäischen Kommission im Beschluss (EU) 2021/914 angenommen wurden (Modul Zwei, Verantwortlicher zu Auftragsverarbeiter, oder Modul Drei, Auftragsverarbeiter zu Auftragsverarbeiter, je nach Anwendbarkeit), die durch Verweis einbezogen werden, zusammen mit dem UK International Data Transfer Addendum, soweit es um UK-Daten geht. Die Unterauftragsverarbeiter des Anbieters, die Kundendaten erhalten, nehmen am EU-US Data Privacy Framework teil, soweit ihnen dieses Framework zur Verfügung steht; die Standardvertragsklauseln regeln jede Übermittlung, die der Anbieter selbst vornimmt.

12.2 Für die Optionen in den Standardvertragsklauseln gilt: Klausel 7 (Docking) findet Anwendung; Klausel 9 Option 2 (allgemeine Genehmigung) mit der Frist nach Ziffer 6.2; die optionale Sprache in Klausel 11 findet keine Anwendung; Klausel 13 und Klausel 17: das Recht von [MITGLIEDSTAAT, z. B. Irland]; Klausel 18: die Gerichte von [MITGLIEDSTAAT]. Anhang I und Anhang II der Klauseln entsprechen den Anhängen 1 und 2 dieses AVV.

13.1 Die Haftung jeder Partei nach diesem AVV unterliegt den Haftungsbegrenzungen und -ausschlüssen in der Dienstvereinbarung, soweit diese nach anwendbarem Datenschutzrecht nicht begrenzt werden können.

13.2 Dieser AVV wird am Wirksamkeitsdatum wirksam und bleibt in Kraft, solange der Anbieter Kundendaten verarbeitet. Im Konfliktfall zwischen diesem AVV und der Dienstvereinbarung hat dieser AVV für die Verarbeitung personenbezogener Daten Vorrang.

13.3 Dieser AVV unterliegt dem Recht, das auch für die Dienstvereinbarung gilt, mit der Ausnahme, dass die Standardvertragsklauseln dem in Ziffer 12.2 gewählten Recht unterliegen.

Für den Kunden	Für den Anbieter
Name: [NAME]	Name: [NAME]
Titel: [TITEL]	Titel: [TITEL]
Datum: [DATUM]	Datum: [DATUM]
Unterschrift:	Unterschrift:

---

Punkt	Beschreibung
Gegenstand	Bereitstellung des Dienstes GPT Workspace: KI-Unterstützung in Google Docs, Sheets, Slides, Forms, Gmail, Drive, Google Chat, der Chrome-Erweiterung und MCP-Servern.
Dauer	Laufzeit der Dienstvereinbarung zzgl. der Aufbewahrungsfristen in Anhang 2.
Art und Zweck	Lesen der Inhalte, auf die der Nutzer in seinem Google-Konto zeigt, Senden dieser Inhalte mit dem Prompt des Nutzers an einen KI-Modellanbieter und Zurückschreiben der Antwort in die Datei oder den Chat des Nutzers. Kontoverwaltung, Abrechnung und Support.
Kategorien betroffener Personen	Mitarbeiter und Auftragnehmer des Kunden, die den Dienst nutzen; Personen, deren Daten in Dokumenten, Tabellen, E-Mails und Dateien des Kunden erscheinen, die über den Dienst verarbeitet werden.
Arten personenbezogener Daten	Kontodaten (Name, E-Mail-Adresse, Profilbild, Google-Konto-Kennung); Abrechnungsdaten (Rechnungsname, Adresse, USt-IdNr.); Nutzungsmetadaten (Anzahl der Anfragen, Daten, Dokumenttitel); Inhalte der Prompts und der Google-Dateien, E-Mails und Anhänge, die der Nutzer einreicht, welche jede Kategorie personenbezogener Daten enthalten können, die der Kunde dort ablegt.
Besondere Kategorien	Keine vorgesehen. Der Dienst erfordert keine besonderen Kategorien personenbezogener Daten; der Kunde entscheidet, was seine Nutzer einreichen. [Kunde anzugeben, falls besondere Kategorien erwartet werden: KEINE / BESCHREIBEN]
Häufigkeit	Fortlaufend, bei jeder Anfrage eines Nutzers.
Aufbewahrung	Siehe Anhang 2, „Aufbewahrung”.

Bereich	Maßnahme
Zertifizierungen	ISO 27001-zertifiziertes Informationssicherheitsmanagementsystem (Auditbericht verfügbar). CASA Tier III (App Defense Alliance) Bewertung für die Google Workspace-Integration. Einhaltung der Google API Services User Data Policy, einschließlich der Limited-Use-Anforderungen.
Hosting	Google Cloud Platform (Firebase), Vereinigte Staaten, Regionen US East und US West. Komponenten, die Kundendaten verarbeiten, laufen im privaten Netzwerk des Anbieters hinter Load Balancern und einer Web Application Firewall.
Verschlüsselung	TLS 1.2 oder höher für alle Daten in Übertragung. AES-256 serverseitige Verschlüsselung ruhender Daten auf Firebase, Schlüsselverwaltung über GCP IAM. Google Access- und Refresh-Tokens verschlüsselt im Ruhezustand.
Keine Kopie von Kundendateien	Google-Dateien, E-Mails und Tabellen werden in Echtzeit mit dem eigenen OAuth-Token des Nutzers gelesen und nicht auf den Speicher des Anbieters kopiert. Die einzige Ausnahme ist eine Datei, die der Nutzer für die Dateisuche anhängt und die in einen OpenAI Vector Store hochgeladen wird (siehe Anhang 3): der Suchindex wird 1 Tag nach der letzten Nutzung verworfen und die Kopie nach 7 Tagen gelöscht.
Modellanbieter	Nutzung gemäß API-Bedingungen, die ein Training mit den Anfragen untersagen. Der Anbieter trainiert oder optimiert niemals ein Modell mit Kundendaten.
Zugriffskontrolle	Zugriff auf Produktionssysteme beschränkt auf autorisierte Mitarbeiter mit individuellen Konten, Multi-Faktor-Authentifizierung und Least Privilege über GCP IAM. Datenisolierung pro Nutzer durch Firebase-Sicherheitsregeln durchgesetzt. Multi-Faktor-Authentifizierung ist für jedes Konto mit Produktionszugang obligatorisch; Zugriffsrechte werden wöchentlich überprüft.
Überwachung und Tests	GCP Security Command Center kontinuierliche Schwachstellenscan aller assets im Scope; Schwachstellen-Disclosure-Richtlinie für externe Forscher.
Aufbewahrung	Kontodaten, Chat-Verläufe, Einstellungen und Nutzungsmetadaten: 18 Monate nach der letzten Aktivität des Nutzers oder 24 Stunden nach einer Löschanfrage. Für die Dateisuche angehängte Dateien: Suchindex 1 Tag nach der letzten Nutzung verworfen, hochgeladene Kopie nach 7 Tagen gelöscht. Model-Gateway-Anfrageprotokolle: 30 Tage, nur für Support. Prompts und Antworten: in Echtzeit verarbeitet, vom Anbieter nicht langfristig gespeichert. Rechnungen: steuerrechtlich vorgeschriebene Dauer.
Löschung	Self-Service-Löschung des Kontos und aller zugehörigen Daten im Dienst; Löschung auf Anfrage innerhalb von 24 Stunden.
Geschäftskontinuität	Native Google Cloud Backups und Multi-Region-Verfügbarkeitstools; vollständige Backups alle 7 Tage.
Mitarbeiter	Vertraulichkeitsverpflichtungen in Arbeits- und Auftragnehmerverträgen; Sicherheitsbewusstsein für Mitarbeiter mit Produktionszugang.

Die aktuelle Liste wird unter https://gpt.space/trust gepflegt und hiermit zum Wirksamkeitsdatum wiedergegeben.

Unterauftragsverarbeiter	Zweck	Standort
Google Cloud Platform / Firebase (Google LLC)	Hosting, Datenbank, Speicher, Authentifizierung, Secrets	Vereinigte Staaten
OpenRouter, Inc.	Gateway, das jede Modellanfrage an den unten genannten Anbieter weiterleitet; Anfrageprotokolle 30 Tage nur für Support aufbewahrt, nie für Training verwendet	Vereinigte Staaten
OpenAI	Text- und Bildmodelle; Vector Store für Dateisuche	Vereinigte Staaten
Anthropic	Claude-Modelle (festgelegt auf Anthropics eigenen Endpunkt)	Vereinigte Staaten
Google (AI Studio)	Gemini Text- und Bildmodelle	Vereinigte Staaten
Perplexity	Websuch-Modelle	Vereinigte Staaten
OpenRouter Inference Hosts	Inference Hosts für die Open-Weight-Modelle GLM-5.3-flash und gpt-oss-120b	Über OpenRouter
Typesafe	Entscheidungsmodell hinter der GPT_CLASSIFY-Formel	Über OpenRouter
Google Programmable Search	Stock-Image-Suche für generierte Folien (nur Abfrage)	Vereinigte Staaten
Stripe	Zahlungen, Rechnungen, Abrechnungsportal	Vereinigte Staaten und Irland, unter der Stripe DPA
PostHog (selbstgehostete Instanz)	Produktanalytik	Europäische Union
Sentry	Fehlerüberwachung	Europäische Union (EU-Datenregion)