Auftragsverarbeitungsvertrag

Vereinbarung nach Art. 28 DSGVO · Fassung vom 2026-07-31

Dieser Vertrag wird mit Abschluss des Hauptvertrags zwischen dem Kunden (nachfolgend „Verantwortlicher“) und Automindz Solutions L.L.C-FZ (nachfolgend „Auftragsverarbeiter“) Bestandteil der Allgemeinen Geschäftsbedingungen. Eine gesondert unterzeichnete Fassung stellen wir auf Anfrage an niklas.huetzen@automindz-solutions.com bereit.

Abgrenzung: Für den allgemeinen Kandidatenpool ist der Auftragsverarbeiter selbst Verantwortlicher (siehe Abschnitt 6 der Datenschutzerklärung). Dieser Vertrag gilt für die Daten, die der Verantwortliche in seinem Workspace verarbeitet: übernommene Profile, Suchen, Bewertungen, Kampagnen und Versandprotokolle.

§ 1 Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter zum Zweck der Bereitstellung der im Hauptvertrag beschriebenen Leistungen. Die Dauer entspricht der Laufzeit des Hauptvertrags.

§ 2 Art, Zweck und Umfang der Verarbeitung

Art der Verarbeitung

Erheben, Speichern, Ordnen, Auslesen, Verwenden, Übermitteln an das eingesetzte Sprachmodell, Löschen.

Zweck

Sourcing, maschinelle Bewertung gegen eine Stellenbeschreibung, Entwurf und Nachverfolgung von Erstansprachen.

Kategorien betroffener Personen

Kandidatinnen und Kandidaten, Beschäftigte und Nutzer des Verantwortlichen.

Kategorien personenbezogener Daten

Name, öffentliche Profil-URL, Berufsbezeichnung, Arbeitsort, beruflicher Werdegang, Ausbildung, Kenntnisse, Sprachen; Bewertungsergebnisse und Nachrichtentexte; bei Nutzern des Verantwortlichen: Name, E-Mail-Adresse, Rolle im Workspace, Nutzungsprotokolle.

Besondere Kategorien (Art. 9 DSGVO)

Werden nicht verarbeitet.

§ 3 Weisungen

1. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Anwendung durch den Verantwortlichen gilt als Weisung; darüber hinausgehende Einzelweisungen bedürfen der Textform.
2. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung bis zur Bestätigung aussetzen.
3. Eine Übermittlung in ein Drittland erfolgt nur, soweit in § 6 beschrieben, oder wenn der Auftragsverarbeiter rechtlich dazu verpflichtet ist; in diesem Fall unterrichtet er den Verantwortlichen vorher, sofern das Recht dies nicht verbietet.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzvorschriften vertraut gemacht wurden.

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Mandantentrennung: Alle Anwendungsdaten sind einem Workspace zugeordnet und über Row-Level-Security der Datenbank getrennt; die Trennung wird auf Datenbankebene erzwungen, nicht erst in der Anwendung.
• Zugangskontrolle: Anmeldung über einen dedizierten Authentifizierungsdienst, Passwörter ausschließlich als Hashwert gespeichert. API-Schlüssel der Chrome-Erweiterung werden nur als Hashwert abgelegt und sind einzeln widerrufbar.
• Rechtevergabe: Administrative Datenbankschlüssel liegen ausschließlich serverseitig; die privilegierten Funktionen für Abrechnung und Profilsuche sind auf die Server-Rolle beschränkt und zusätzlich durch ein separates Geheimnis geschützt.
• Übertragung: Transportverschlüsselung (TLS) für alle Verbindungen, Verschlüsselung ruhender Daten durch den Datenbankanbieter.
• Verfügbarkeit: Tägliche automatische Sicherungen durch den Datenbankanbieter mit Point-in-Time-Wiederherstellung.
• Missbrauchsbegrenzung: Tageslimits je Workspace für die kostenpflichtigen Auswertungen, Protokollierung sicherheits- und abrechnungsrelevanter Ereignisse.
• Datenminimierung: An das Sprachmodell wird nur der für die jeweilige Anfrage benötigte Ausschnitt übermittelt; es findet kein Training auf den übermittelten Daten statt.

Der Auftragsverarbeiter darf die Maßnahmen fortentwickeln, solange das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:

Wechsel oder Hinzunahme kündigt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform an. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; wird daraufhin keine Einigung erzielt, darf er den Hauptvertrag zum geplanten Wirksamwerden kündigen. Bei Verarbeitung außerhalb der EU/des EWR stützt sich der Auftragsverarbeiter auf einen Angemessenheitsbeschluss oder auf Standardvertragsklauseln nebst ergänzenden Maßnahmen.

§ 7 Unterstützungspflichten

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Betroffenenanfragen (Art. 12 bis 23 DSGVO). Wendet sich eine betroffene Person direkt an ihn, leitet er die Anfrage unverzüglich weiter.
2. Er unterstützt bei Datenschutz-Folgenabschätzungen, bei der vorherigen Konsultation der Aufsichtsbehörde und bei der Einhaltung der Art. 32 bis 36 DSGVO.
3. Verletzungen des Schutzes personenbezogener Daten meldet er dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben.

§ 8 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung, insbesondere aktuelle Nachweise seiner Unterauftragsverarbeiter. Vor-Ort-Kontrollen sind nach Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs möglich; der Aufwand kann bei mehr als einer Kontrolle pro Jahr angemessen berechnet werden.

§ 9 Löschung und Rückgabe

Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten binnen 90 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Auf Verlangen des Verantwortlichen, das innerhalb dieser Frist zu stellen ist, werden die Daten zuvor in einem gängigen Format herausgegeben. Sicherungskopien werden im Rahmen der regulären Rotation gelöscht.

§ 10 Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrags. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor. Es gilt deutsches Recht.