Vertrag zur Auftragsverarbeitung

Fassung 2026-11 · Stand: November 2026

zwischen dem Kunden (Verantwortlicher, im Folgenden „Auftraggeber“) und der oasoft EDV-Service GmbH, Ahornstr. 5, 82296 Schöngeising (Auftragsverarbeiter, im Folgenden „oasoft“). Der Vertrag wird mit Test, Aktivierung oder Bestellung von Kitana elektronisch geschlossen (Art. 28 Abs. 9 DSGVO) und ergänzt die AGB.

§ 1 Gegenstand, Dauer

1. oasoft verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, soweit dieser mit Kitana Texte und E-Mails bearbeitet, die personenbezogene Daten enthalten.
2. Die Dauer entspricht der Laufzeit der Testphase beziehungsweise des Hauptvertrags.

§ 2 Art und Zweck, Daten, Betroffene

§ 3 Weisungen

1. oasoft verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus diesem Vertrag, den AGB und der Bedienung von Kitana durch die Benutzer. Dies gilt auch für Übermittlungen in Drittländer, es sei denn, oasoft ist gesetzlich zu einer Verarbeitung verpflichtet. In diesem Fall informiert oasoft den Auftraggeber vorab, soweit das Gesetz dies nicht verbietet.
2. oasoft informiert den Auftraggeber unverzüglich, wenn eine Weisung nach Auffassung von oasoft gegen Datenschutzrecht verstößt.
3. oasoft verwendet die Daten nicht für eigene Zwecke und nicht zum Training von KI-Modellen.

§ 4 Pflichten von oasoft

1. Die zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet.
2. oasoft trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 (Art. 32 DSGVO) und darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.
3. oasoft unterstützt den Auftraggeber im Rahmen des Zumutbaren bei der Erfüllung der Betroffenenrechte, bei Meldungen nach Art. 33 und 34 DSGVO sowie bei Datenschutz-Folgenabschätzungen (Art. 35, 36 DSGVO). Anfragen Betroffener leitet oasoft an den Auftraggeber weiter.
4. oasoft meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

§ 5 Unterauftragsverarbeiter

1. Der Auftraggeber genehmigt allgemein den Einsatz weiterer Auftragsverarbeiter. Bei Vertragsschluss sind eingesetzt:

   Unternehmen	Leistung	Ort der Verarbeitung
   Strato AG, Otto-Ostrowski-Straße 7, 10249 Berlin	Hosting des Kitana-Dienstes und der Lizenzdatenbank	Deutschland
   OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland	KI-Sprachmodell (Verarbeitung der Inhalte zur Erzeugung der Antwort)	EU, gegebenenfalls USA mit Garantien nach Art. 44 ff. DSGVO (EU-U.S. Data Privacy Framework, Standardvertragsklauseln)

2. oasoft informiert den Auftraggeber mindestens 30 Tage vorher in Textform oder in der Anwendung über einen geplanten Wechsel oder neue Unterauftragsverarbeiter. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, können beide Seiten den Vertrag zum Zeitpunkt des Wechsels kündigen.
3. oasoft verpflichtet Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht, und haftet für deren Pflichtverletzungen wie für eigene.
4. Eine Verarbeitung außerhalb der EU und des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

§ 6 Kontrollrechte

1. oasoft stellt dem Auftraggeber auf Anfrage alle Informationen bereit, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind.
2. Der Auftraggeber darf die Einhaltung dieses Vertrags nach Anmeldung mit angemessener Frist zu den üblichen Geschäftszeiten selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer kontrollieren. oasoft darf zunächst auf geeignete Nachweise verweisen (zum Beispiel Zertifikate und Prüfberichte der Unterauftragsverarbeiter). Vor-Ort-Prüfungen ohne besonderen Anlass vergütet der Auftraggeber nach Aufwand zu den üblichen Stundensätzen von oasoft.

§ 7 Löschung und Rückgabe

1. Inhalte der Anfragen werden bei oasoft nicht gespeichert. Eine Rückgabe entfällt daher.
2. Nutzungs- und Arbeitsplatzdaten löscht oasoft nach Vertragsende gemäß den Fristen der Datenschutzhinweise, soweit keine gesetzliche Aufbewahrungspflicht besteht. Auf Wunsch erhält der Auftraggeber vorher eine Auswertung des Verbrauchs.

§ 8 Pflichten des Auftraggebers

1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Betroffenenrechte verantwortlich. Er entscheidet, welche Inhalte seine Benutzer an Kitana übergeben dürfen, und regelt dies intern.
2. Der Auftraggeber informiert oasoft unverzüglich über Fehler oder Unregelmäßigkeiten, die er bei der Verarbeitung feststellt.

§ 9 Haftung, Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO. Im Verhältnis der Parteien gelten ergänzend die Haftungsregeln der AGB.
2. Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in Fragen des Datenschutzes vor.

Anlage 1: Technische und organisatorische Maßnahmen