Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag gilt automatisch, sobald Sie bei der Anmeldung zu Kideon Assist unsere Nutzungsbedingungen annehmen – eine gesonderte Unterschrift brauchen Sie dafür nicht. Für Ihre eigenen Unterlagen können Sie diese Seite über den Button oben als PDF drucken oder speichern.

gemäß Art. 28 DSGVO zwischen der Kanzlei oder dem Unternehmen, das das Konto zu Kideon Assist angelegt hat – nachfolgend „Verantwortlicher" –, und der Kideon Innovation, S.L., Av. Colón 10A, 38109 Radazul, Spanien, CIF B24804379, vertreten durch Dr. Jörg Bartnick und Justus Weweler – nachfolgend „Auftragsverarbeiter" oder „wir".

§ 1 Gegenstand, Art, Zweck und Dauer der Verarbeitung

1. Gegenstand ist die Verarbeitung der Sprachaufnahmen und Chat-Nachrichten der vom Verantwortlichen eingeladenen Nutzer und der daraus erzeugten Texte, Zeiteinträge, Aufgaben und Gesprächsnotizen mit Kideon Assist, Paket „Assist".
2. Art und Zweck: Entgegennahme der Sprachaufnahme und von Chat-Nachrichten, automatisierte Umwandlung in Text und Auswertung (Erkennung von Tätigkeit, Dauer, Aufgabe, Inhalt einer Notiz, Mandant oder Projekt, Beantwortung von Abfragen), Darstellung im Produkt sowie Speicherung der Ergebnisse und, soweit diese Funktion aktiviert ist, der Sprachaufnahme zusammen mit dem Eintrag, Export als Excel-Datei. Eine darüber hinausgehende Verarbeitung findet nicht statt; die Daten werden nicht zum Training von KI-Modellen verwendet.
3. Dauer: für die Dauer des Vertragsverhältnisses zwischen dem Verantwortlichen und uns; nach dessen Beendigung Löschung gemäß § 8.
4. Wir verarbeiten die Daten ausschließlich in der EU; unsere Unterauftragsverarbeiter sind nach Anlage C auf die Verarbeitung in der EU verpflichtet.

§ 2 Art der Daten und Kategorien betroffener Personen

1. Kategorien personenbezogener Daten (Einzelheiten Anlage A): Sprachaufnahmen der nutzenden Personen, Texte und Transkripte, Mandats- und Projektbezeichnungen, Zeit- und Leistungsdaten, Nutzerdaten der eingeladenen Personen (Name, E-Mail-Adresse).
2. Kategorien betroffener Personen: die vom Verantwortlichen eingeladenen Nutzer, dessen Mandanten und deren Ansprechpartner sowie in Sprachaufnahmen erwähnte Dritte.
3. Datenminimierung: Die Mandatsliste entsteht durch die Nutzung; eine Übergabe eines Mandantenstamms ist nicht erforderlich. Eine gezielte Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) findet nicht statt; der Verantwortliche wirkt darauf hin, dass seine Nutzer solche Angaben nicht einsprechen.

§ 3 Weisungsgebundenheit

1. Wir verarbeiten die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen und nur im Rahmen des in § 1 beschriebenen Vertragszwecks.
2. Halten wir eine Weisung für rechtswidrig, informieren wir den Verantwortlichen unverzüglich und dürfen die Ausführung bis zur Bestätigung aussetzen.

§ 4 Technische und organisatorische Maßnahmen

Wir treffen die in Anlage B beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, insbesondere verschlüsselte Datenübertragung, Hosting in der EU, personengebundene Zugänge, Trennung der Daten je Auftraggeber und ein Löschkonzept.

§ 5 Unterauftragsverarbeiter

1. Der Verantwortliche stimmt dem Einsatz der in Anlage C aufgeführten Unterauftragsverarbeiter zu.
2. Wir informieren den Verantwortlichen über beabsichtigte Änderungen des Kreises der Unterauftragsverarbeiter; der Verantwortliche kann aus wichtigem Grund widersprechen.
3. Für dieses Paket ist der eingesetzte KI-Unterauftragsverarbeiter festgelegt (Anlage C); er wird nicht erst nach Vertragsschluss benannt.

§ 6 Unterstützung des Verantwortlichen

Wir unterstützen den Verantwortlichen im Rahmen des Möglichen bei der Erfüllung von Betroffenenrechten (Art. 12–22 DSGVO) sowie bei Datenschutz-Folgenabschätzungen und Meldepflichten (Art. 32–36 DSGVO).

§ 7 Meldung von Verletzungen

Wir melden dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, mit allen für dessen Meldepflicht erforderlichen Informationen.

§ 8 Löschung und Rückgabe nach Beendigung

1. Nach Beendigung des Vertragsverhältnisses löschen wir sämtliche verarbeiteten Daten einschließlich der Datensicherungen vollständig, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht.
2. Auf Wunsch geben wir dem Verantwortlichen die Zeiteinträge, Aufgaben und Gesprächsnotizen zuvor in einem gängigen Format (Excel) heraus.
3. Die Löschung bestätigen wir dem Verantwortlichen auf Verlangen.

§ 9 Nachweise und Kontrollen

Wir stellen dem Verantwortlichen die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung und ermöglichen Überprüfungen mit angemessener Vorankündigung, soweit der Schutz der Daten anderer Auftraggeber gewahrt bleibt.

§ 10 Berufliche Verschwiegenheit (§ 203 StGB)

1. Für dieses Paket übernehmen wir keine eigene Verpflichtung zur Verschwiegenheit nach § 203 StGB; der nach Anlage C eingesetzte Unterauftragsverarbeiter Mistral AI SAS hat uns gegenüber ebenfalls keine solche Verpflichtung abgegeben.
2. Ob und in welchem Umfang der Verantwortliche über dieses Paket Informationen verarbeiten lässt, die einem Berufsgeheimnis unterliegen, entscheidet er in eigener berufsrechtlicher Verantwortung (§ 14 Abs. 5 der Nutzungsbedingungen).
3. Für eine vollständige Verpflichtungskette einschließlich des KI-Unterauftragsverarbeiters bieten wir das Paket „Assist + DATEV" an, für das wir einen eigenen Auftragsverarbeitungsvertrag mit § 203-Verpflichtungserklärung gesondert abschließen (§ 14 Abs. 4 der Nutzungsbedingungen).

§ 11 Fassung, Änderungen und Schlussbestimmungen

1. Mit der Annahme der Nutzungsbedingungen bei der Anmeldung zu Kideon Assist gilt die zu diesem Zeitpunkt aktuelle Fassung dieses Vertrags (s. Versionsangabe oben) als zwischen den Parteien geschlossen.
2. Ändern wir diesen Vertrag, kündigen wir das auf demselben Weg und mit derselben Frist wie Änderungen der Nutzungsbedingungen an (§ 15 der Nutzungsbedingungen): mindestens sechs Wochen vorher in Textform, mit deutlicher Kennzeichnung der Änderung und des Zeitpunkts des Inkrafttretens. Die zu diesem Zeitpunkt jeweils aktuelle Fassung finden Sie unter kideon.de/avv; frühere Fassungen senden wir auf Anfrage an hallo@kideon.de zu.
3. Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen gehen in datenschutzrechtlichen Fragen die Regelungen dieses Vertrags vor.
4. Es gilt das Recht der Bundesrepublik Deutschland.

Anlage A — Kategorien personenbezogener Daten und betroffener Personen

Kategorien betroffener Personen:

• vom Verantwortlichen eingeladene und nutzende Personen
• Mandanten des Verantwortlichen (natürliche Personen sowie Ansprechpartner/Vertreter juristischer Personen)
• in Sprachaufnahmen erwähnte Dritte

Kategorien personenbezogener Daten:

• Sprachaufnahmen der nutzenden Personen (Stimme)
• Texte und Transkripte der Aufnahmen (können Mandanten-/Personennamen, Mandats-/Projektbezeichnungen und Tätigkeitsbeschreibungen enthalten)
• Mandats- und Projektdaten, wie sie durch die Nutzung entstehen
• Zeit- und Leistungsdaten (Datum, Dauer, Tätigkeit, Inhalt einer Aufgabe oder Notiz)
• Nutzerdaten der eingeladenen Personen (Name, E-Mail-Adresse, Gerätezugang)

Besondere Kategorien (Art. 9 DSGVO): Eine gezielte Verarbeitung besonderer Kategorien findet nicht statt. Da die nutzenden Personen frei diktieren, kann nicht ausgeschlossen werden, dass Aufnahmen im Einzelfall solche Angaben enthalten; sie werden ausschließlich im Rahmen des Vertragszwecks verarbeitet. Der Verantwortliche wirkt darauf hin, dass solche Inhalte nicht diktiert werden.

Anlage B — Technische und organisatorische Maßnahmen (TOM)

1. Vertraulichkeit

• Zutrittskontrolle: Hosting in einem Rechenzentrum der Hetzner Online GmbH (Serverstandort Deutschland, EU); physische Sicherung durch den Betreiber.
• Zugangskontrolle: personengebundene Zugänge je nutzender Person über das Microsoft- oder Google-Konto der Kanzlei; administrativer Zugang auf eine definierte Personen-Whitelist beschränkt, Mehr-Faktor-Authentifizierung auf den administrativen Infrastruktur-Zugängen.
• Trennungskontrolle: Trennung der Daten je Auftraggeber (getrennte Datenhaltung).

2. Integrität

• Übertragungskontrolle: verschlüsselte Übertragung über TLS/HTTPS, auch zum eingesetzten KI-Unterauftragsverarbeiter (Anlage C).
• Eingabe-/Protokollkontrolle: Zuordnungen werden den Nutzern angezeigt; Lösch- und Exportvorgänge werden protokolliert.

3. Verfügbarkeit und Belastbarkeit

• Datensicherung: Für unsere Datenbanken steht ein Sicherungs- und Wiederherstellungsverfahren zur Verfügung; Sicherungen können verschlüsselt (AES-256) abgelegt werden.

4. Löschung und Datenminimierung

• Löschkonzept: Löschung der Daten einschließlich Sicherungen nach Beendigung des Vertragsverhältnisses (§ 8).
• Datenminimierung: keine Übernahme eines Mandantenstamms; Mandate entstehen durch Nutzung.
• KI-Verarbeitung: Der eingesetzte KI-Unterauftragsverarbeiter (Anlage C) verarbeitet Sprachaufnahme und Text ausschließlich zur Transkription und Zuordnung und speichert beides nach eigener Zusage nicht über diesen Vorgang hinaus (Zero Data Retention).

Anlage C — Unterauftragsverarbeiter

Ändern wir den eingesetzten KI-Unterauftragsverarbeiter, informieren wir den Verantwortlichen vorab und ergänzen diese Anlage entsprechend (§ 5 Abs. 2).

Fragen zu diesem Vertrag beantworten wir gern unter hallo@kideon.de. Eine Liste unserer Unterauftragsverarbeiter über alle Produkte hinweg erhalten Sie auf Anfrage ebenfalls dort.