Auftragsverarbeitungsvertrag (AVV)

1. Parteien und Einbeziehung

Dieser Auftragsverarbeitungsvertrag ("AVV") wird geschlossen zwischen

Verantwortlicher: dem Kunden / der nutzenden Organisation, die über die Plattform Next Realities personenbezogene Daten Dritter (insbesondere Interviewpartner) verarbeitet ("Verantwortlicher"), und

Auftragsverarbeiter:
Salma Gonder
Sperlstraße 25
81476 München
Deutschland
E-Mail: info@nextrealities.com
("Auftragsverarbeiter" / "Next Realities").

Dieser AVV ist integraler Bestandteil der AGB und gilt automatisch, soweit der Verantwortliche personenbezogene Daten über den Dienst verarbeitet und Next Realities als Auftragsverarbeiter nach Art. 28 DSGVO handelt. Bei Widersprüchen zwischen diesem AVV und den AGB in Datenschutzfragen geht dieser AVV vor.

2. Gegenstand und Dauer

Der Auftragsverarbeiter stellt die SaaS-Plattform "Next Realities" zur Speicherung, Analyse und kollaborativen Auswertung von Interview-Research bereit (Transkription, PII-Redaktion, KI-Analyse, Suche, Reports, Sharing, Workspaces). Einzelheiten der Verarbeitung ergeben sich aus Anlage 1.

Dieser AVV gilt für die Dauer der Erbringung des Dienstes und der Verarbeitung personenbezogener Daten im Auftrag sowie danach, solange der Auftragsverarbeiter noch personenbezogene Daten unter diesem AVV speichert (einschließlich residualer Datenbank-Backup- Kopien für bis zu 7 Tage unter Supabase Pro).

3. Art und Zweck der Verarbeitung

Die Verarbeitung beschränkt sich auf die Erbringung der vertraglichen Funktionen, einschließlich Hosting, Speicherung, Transkription, optionaler PII-Redaktion, KI-gestützter Analyse und Generierung, semantischer Suche (Embeddings), Chat/Ask, Reporting, Team-Zusammenarbeit, öffentlicher Share-Links (nur wenn vom Verantwortlichen aktiviert) sowie notwendiger Support-/Betriebsmaßnahmen. Der Auftragsverarbeiter verarbeitet Kundeninhalte nicht zu eigenen Zwecken (z. B. kein Training von Foundation-KI-Modellen mit Kundeninhalten).

4. Weisungen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder dem Recht der Mitgliedstaaten dazu verpflichtet. Weisungen erfolgen insbesondere durch die Nutzung des Dienstes (Konfiguration, Uploads, Privacy-Einstellungen, Share-Links, Löschaktionen) und erforderlichenfalls schriftlich (einschließlich E-Mail) an info@nextrealities.com.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt.

5. Pflichten des Auftragsverarbeiters

• Sicherstellen, dass sich zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Geheimhaltungspflicht unterliegen.
• Geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO treffen (siehe Anlage 3).
• Unterauftragsverarbeiter nur gemäß Ziffer 7 und Anlage 2 einsetzen.
• Den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen soweit möglich bei der Erfüllung seiner Pflicht zur Beantwortung von Betroffenenanfragen unterstützen.
• Den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO unterstützen.
• Nach Beendigung der Verarbeitungsleistungen personenbezogene Daten nach Wahl des Verantwortlichen löschen oder zurückgeben und vorhandene Kopien löschen, sofern nicht Unionsrecht oder das Recht der Mitgliedstaaten eine Speicherung verlangt (siehe Ziffer 10).
• Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung von Art. 28 DSGVO zur Verfügung stellen und Überprüfungen/Audits ermöglichen und dazu beitragen (siehe Ziffer 11).

6. Pflichten des Verantwortlichen

• Stellt sicher, dass die Verarbeitung personenbezogener Daten über den Dienst auf einer geeigneten Rechtsgrundlage beruht (Art. 6 und ggf. Art. 9 DSGVO), einschließlich Interviewaufnahmen und besonderer Kategorien.
• Ist für Information der Betroffenen und erforderliche Einwilligungen verantwortlich (z. B. Aufnahme nach geltendem Recht, in Deutschland etwa § 201 StGB).
• Konfiguriert Privacy-Einstellungen, Share-Links und Workspace-Mitgliedschaften angemessen und erteilt keine rechtswidrigen Weisungen.
• Bleibt verantwortlich für Entscheidungen, die über die Standard-Schutzmaßnahmen hinausgehen (z. B. Deaktivieren von PII-Kategorien oder ausdrückliche Bestätigung ohne Redaktion).

7. Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung, die in Anlage 2 genannten Unterauftragsverarbeiter (sowie Ersatzunternehmen mit gleichwertigen Leistungen) einzusetzen, sofern:

• der Auftragsverarbeiter jedem Unterauftragsverarbeiter Datenschutzpflichten auferlegt, die nicht weniger schützend sind als in diesem AVV, insbesondere ausreichende Garantien für geeignete TOMs;
• der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Erfüllung der Pflichten des Unterauftragsverarbeiters verantwortlich bleibt;
• der Auftragsverarbeiter über beabsichtigte Änderungen (Hinzufügung oder Ersetzung) den Verantwortlichen durch eine In-App-Mitteilung im Dienst informiert und dem Verantwortlichen 14 Tage ab Mitteilung Zeit gibt, aus berechtigten datenschutzrechtlichen Gründen zu widersprechen. Eine bloße Veröffentlichung auf der öffentlichen Website genügt nicht. Eine Mitteilung per E-Mail erfolgt nicht. Können die Parteien den Widerspruch nicht lösen, kann der Verantwortliche den betroffenen Dienst kündigen.

Aktuelle Unterauftragsverarbeiter und Standorte stehen in Anlage 2 und näher in der Datenschutzerklärung.

8. Internationale Übermittlungen

Verarbeitet ein Unterauftragsverarbeiter personenbezogene Daten außerhalb des EWR/UK in einem Land ohne Angemessenheitsbeschluss, stellt der Auftragsverarbeiter geeignete Garantien nach Kapitel V DSGVO sicher (z. B. EU-Standardvertragsklauseln und/oder EU-US Data Privacy Framework, soweit anwendbar), wie in der Datenschutzerklärung beschrieben.

9. Verletzung des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich, nachdem er von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, die unter diesen AVV fallende Daten betrifft. Die Meldung enthält soweit bekannt: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen.

Der Auftragsverarbeiter wirkt bei Untersuchung und Eindämmung angemessen mit. Für Meldungen an Aufsichtsbehörden und Betroffene nach Art. 33 und 34 DSGVO bleibt der Verantwortliche zuständig, soweit gesetzlich nichts anderes gilt.

10. Löschung und Rückgabe

Während der Laufzeit kann der Verantwortliche Inhalte über den Dienst löschen (einschließlich Soft-Delete / Papierkorb mit 30 Tagen Aufbewahrung vor endgültiger Löschung oder früherer manueller Endlöschung) und Kundeninhalte über die verfügbaren In-App-Exportfunktionen exportieren.

Nach Beendigung der Verarbeitungsleistungen (z. B. Kontolöschung oder Kündigung der Nutzungsbeziehung) kann der Verantwortliche zwischen Rückgabe und Löschung der unter diesem AVV verarbeiteten personenbezogenen Daten wählen:

• Rückgabe / Export: Verlangt der Verantwortliche innerhalb von 30 Tagen nach Beendigung die Rückgabe (schriftlich oder über den Dienst), stellt der Auftragsverarbeiter vor der endgültigen Löschung aus den Primärsystemen einen angemessenen Export der noch vorhandenen Kundeninhalte bereit (ausgenommen Inhalte, die für verbleibende Mitglieder geteilter Workspaces erhalten bleiben müssen).
• Löschung: Wählt der Verantwortliche die Löschung oder verlangt er innerhalb von 30 Tagen keine Rückgabe, löscht der Auftragsverarbeiter persönliche Kontodaten und Allein-Mitglied-Workspaces aus den Primärsystemen wie in der Datenschutzerklärung beschrieben. Inhalte in geteilten Workspaces bleiben für verbleibende Mitglieder erhalten.

Residuale Kopien von Datenbankinhalten können bis zu 7 Tage in verschlüsselten täglichen Backups unseres Primärdatenbank-Anbieters (Supabase Pro) verbleiben. Diese Datenbank-Backups enthalten keine Storage-Objekte (z. B. Audio-/Videodateien). Flüchtige Verarbeitungskopien bei Transkriptions-/KI-Subprozessoren unterliegen deren Retention und ggf. Löschanfragen nach Verarbeitung (siehe Datenschutzerklärung).

11. Nachweise und Audits

Der Auftragsverarbeiter stellt Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung dieses AVV nachzuweisen, einschließlich Zusammenfassungen der TOMs (Anlage 3) und der aktuellen Unterauftragsverarbeiter-Liste (Anlage 2).

Vor-Ort- oder invasive Audits sind nur zulässig, soweit zur Überprüfung der Einhaltung erforderlich, nach vorheriger schriftlicher Ankündigung von mindestens 30 Tagen, während der üblichen Geschäftszeiten, ohne Betriebsstörung und unter Vertraulichkeit. Der Verantwortliche nutzt zunächst weniger invasive Mittel (Fragebögen, vorhandene Dokumentation). Der Verantwortliche trägt seine eigenen Kosten; der Auftragsverarbeiter kann angemessene Kosten für Unterstützung über die übliche Mitwirkung hinaus berechnen. Audits dürfen keine Geschäftsgeheimnisse Dritter oder Daten anderer Kunden verlangen.

12. Haftung

Die Haftung unter diesem AVV richtet sich nach den Haftungsregelungen der AGB (unbeschränkte Haftung bei Vorsatz und grober Fahrlässigkeit; bei leichter Fahrlässigkeit nur bei Verletzung wesentlicher Vertragspflichten und begrenzt auf den vorhersehbaren, vertragstypischen Schaden), unbeschadet zwingender Haftung nach der DSGVO (einschließlich Art. 82).

13. Schlussbestimmungen

Wesentliche Änderungen dieses AVV (einschließlich Anlagen) werden dem Verantwortlichen in der App (In-App) angezeigt und bedürfen seiner ausdrücklichen Zustimmung, bevor sie für ihn gelten. Die bloße Veröffentlichung einer aktualisierten Version auf der Website genügt für wesentliche Änderungen nicht als Zustimmung. Eine Mitteilung per E-Mail erfolgt nicht. Der Verantwortliche kann die Zustimmung verweigern und den Dienst nach den AGB kündigen, wenn keine Einigung erzielt wird.

Es gilt deutsches Recht. Gerichtsstand ist München, soweit gesetzlich zulässig. Sollte eine Bestimmung unwirksam sein, bleibt der Rest wirksam.

Anlage 1 – Beschreibung der Verarbeitung

Anlage 2 – Genehmigte Unterauftragsverarbeiter

Optionale Analytics (Vercel Analytics / Speed Insights) nur mit Einwilligung der Endnutzer; sie ist nicht erforderlich für die Kernverarbeitung von Kundeninhalten unter diesem AVV und wird in der Datenschutzerklärung beschrieben.

Anlage 3 – Technische und organisatorische Maßnahmen (TOMs)

• TLS-Verschlüsselung bei der Übertragung (HTTPS)
• Verschlüsselung ruhender Daten für Datenbank und Objektspeicher über EU-Cloud-Anbieter (Supabase / darunterliegende Cloud); kryptografische Schlüssel über das Key-Management des Cloud-Anbieters
• Workspace-Isolation über Row-Level Security (RLS); Passwörter als Einweg-Hashes
• Zugriff auf Produktionssysteme nur für autorisierte Betreiber nach Need-to-know; Vertraulichkeitsverpflichtungen
• Audit-Logging sicherheitsrelevanter Kontoereignisse; Anwendungs- und Infrastruktur-Logs werden nach Provider-Defaults und betrieblichen Erfordernissen aufbewahrt
• Plattform- und OS-Patching der Managed Infrastructure erfolgt durch die EU-Cloud-Anbieter (Vercel, Supabase, Microsoft Azure); Anwendungsabhängigkeiten werden im Rahmen der Entwicklungspraxis regelmäßig aktualisiert
• Standardmäßige PII-Redaktion von Transkripten vor Speicherung/nachgelagerter KI (konfigurierbar; keine volle Anonymisierung); Fail-closed, wenn Redaktion nicht verfügbar ist, außer der Verantwortliche überschreibt ausdrücklich. Audio-/Videodateien unterliegen nicht der Transkript-PII-Redaktion
• Vorrangig EU-Verarbeitung für Kern-Hosting und KI (Vercel Functions auf fra1 konfiguriert; Azure OpenAI Data Zone Standard auf Resource in Germany West Central, Inference in Microsofts EUR Data Zone; Supabase Frankfurt; AssemblyAI EU-Endpunkt)
• Soft-Delete / Papierkorb (30 Tage), danach Purge aus Primärsystemen; Kontolöschung wie in der Datenschutzerklärung; Unterauftragsverarbeiter vertraglich/operativ zur Löschung wo anwendbar. Verschlüsselte tägliche Datenbank-Backups (Supabase Pro) werden bis zu 7 Tage aufbewahrt und enthalten keine Storage-Objekte; residuale Datenbankkopien entfallen mit Ablauf dieser Backups
• Kenntnisnahme von Datenschutzverletzungen und ein dokumentierter interner Reaktionsprozess mit unverzüglicher Meldung an den Verantwortlichen (Ziffer 9)
• Business Continuity stützt sich auf Managed-Cloud- / Provider-Recovery-Fähigkeiten; ein separates kundenexklusives DR-Rechenzentrum betreibt der Auftragsverarbeiter nicht

Weitere operative Details stellen wir Verantwortlichen auf begründete Anfrage zur Verfügung, soweit zum Nachweis der Einhaltung dieses AVV erforderlich.