Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag nach Art. 28 DSGVO („AVV“) wird zwischen der Synaptix GmbH, Auerstr. 5, 10249 Berlin („Kontinent“ oder „Auftragsverarbeiter“), und dem Kunden („Kunde“ oder „Verantwortlicher“) geschlossen. Er wird mit Abschluss der Allgemeinen Nutzungsbedingungen oder eines individuellen Hauptvertrags Bestandteil des Vertragsverhältnisses.

Soweit der Kunde personenbezogene Daten im Auftrag eines Dritten verarbeitet, gilt er für diesen AVV als Auftragsverarbeiter und Kontinent als weiterer Auftragsverarbeiter. Der Kunde gewährleistet, dass seine Weisungen und die Beauftragung von Kontinent durch den jeweiligen Verantwortlichen gedeckt sind.

1. Gegenstand und Anwendungsbereich

Dieser AVV regelt die Verarbeitung personenbezogener Daten durch Kontinent im Auftrag des Kunden bei Bereitstellung der Kontinent-Plattform, insbesondere des API-Gateways, der Konsole sowie der Routing- und Inferenzdienste nach dem Hauptvertrag. Er gilt nur für Verarbeitungen, bei denen Kontinent nach den tatsächlichen Umständen als Auftragsverarbeiter tätig ist.

Nicht erfasst sind Verarbeitungen, für deren Zwecke und Mittel Kontinent selbst verantwortlich ist. Hierzu gehören insbesondere die Anbahnung und Verwaltung der Geschäftsbeziehung, Vertrags- und Ansprechpartnerdaten, Zahlungsabwicklung, Buchhaltung und steuerliche Nachweise, eigene Rechtsverteidigung, Produktkommunikation, Missbrauchs- und Betrugsprävention sowie die Sicherheit der eigenen Plattform, soweit Kontinent hierfür eigene Zwecke festlegt. Für diese Verarbeitungen gelten die Datenschutzhinweise.

Dieselbe Datenart kann je nach konkretem Zweck in unterschiedlichen Rollen verarbeitet werden. Maßgeblich ist nicht ihre Bezeichnung, sondern der tatsächliche Verarbeitungszweck. Eine gemeinsame Verantwortlichkeit wird durch diesen AVV nicht begründet.

2. Definitionen

• „Kundenbezogene personenbezogene Daten“ sind personenbezogene Daten, die Kontinent im Auftrag des Kunden nach Anlage 1 verarbeitet. Der Begriff umfasst keine Daten, die Kontinent nach Ziffer 1 in eigener Verantwortlichkeit verarbeitet.
• „Kundeninhalte“ sind vom Kunden oder seinen Nutzern übermittelte Prompts, Eingaben, Dateiinhalte und sonstige Inhalte sowie die hierauf erzeugten Outputs.
• „Inferenzprovider“ ist ein Anbieter, an den Kontinent Kundeninhalte zur Ausführung eines vom Kunden zugelassenen KI-Modells weiterleitet.
• „Unterauftragsverarbeiter“ ist ein von Kontinent beauftragter weiterer Auftragsverarbeiter, der kundenbezogene personenbezogene Daten verarbeitet.
• „ZDR“ oder „Zero Data Retention“ bezeichnet eine dokumentierte Zusage des jeweiligen Inferenzproviders, Kundeninhalte nach Abschluss der erforderlichen Verarbeitung nicht aufzubewahren. Dokumentierte Ausnahmen führen zur Kennzeichnung „teilweise ZDR“.
• Im Übrigen gelten die Begriffsbestimmungen der DSGVO, insbesondere aus Art. 4 DSGVO.

3. Gegenstand, Dauer, Art und Zweck der Verarbeitung

Gegenstand, Art und Zweck der Verarbeitung, die Datenarten und Kategorien betroffener Personen ergeben sich aus Anlage 1 und dem Hauptvertrag. Die Verarbeitung beginnt mit der erstmaligen Nutzung einer von diesem AVV erfassten Leistung und dauert grundsätzlich für die Laufzeit des Hauptvertrags. Gesetzliche Nachweis- und Aufbewahrungspflichten sowie die in Ziffer 16 geregelten Löschfristen bleiben unberührt.

Kontinent erhebt, ordnet, speichert, liest, übermittelt, kombiniert, beschränkt und löscht kundenbezogene personenbezogene Daten nur, soweit dies zur Erbringung, Absicherung und Abrechnung der beauftragten Leistung oder zur Ausführung dokumentierter Weisungen erforderlich ist. Kundeninhalte werden im Standardbetrieb des Kontinent-Gateways nur im Arbeitsspeicher verarbeitet und von Kontinent nicht als Anfrage- oder Antwortinhalt persistent gespeichert. Hiervon zu unterscheiden ist eine mögliche providerseitige Retention nach Anlage 2.

4. Kategorien betroffener Personen und personenbezogener Daten

Die Kategorien sind in Anlage 1 abschließend für den üblichen Leistungsumfang beschrieben. Der Kunde entscheidet, welche personenbezogenen Daten er als Kundeninhalte übermittelt. Er soll besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sowie Daten über strafrechtliche Verurteilungen und Straftaten nur verarbeiten, wenn dies rechtmäßig ist, der ausgewählte Provider hierfür vertraglich zugelassen ist und die Konfiguration ein angemessenes Schutzniveau gewährleistet.

5. Rechte und Pflichten des Kunden

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung, die Wahrung der Betroffenenrechte, die Richtigkeit seiner Weisungen sowie die Auswahl einer geeigneten Konfiguration verantwortlich. Er informiert betroffene Personen transparent über die Verarbeitung und stellt erforderliche Rechtsgrundlagen, Einwilligungen und Berechtigungen sicher.

Der Kunde nutzt die verfügbaren Steuerungsmöglichkeiten, insbesondere Provider- und Modellfreigaben, Routingregeln, ZDR- und Trainingsausschluss-Anforderungen, entsprechend seinem Risiko und seinen rechtlichen Anforderungen. Er übermittelt keine Zugangsdaten, Geheimnisse oder personenbezogenen Daten, die für den jeweiligen Zweck nicht erforderlich sind, und informiert Kontinent unverzüglich über erkennbare Fehler oder Unregelmäßigkeiten bei der Verarbeitung.

Der Kunde benennt einen für Weisungen und Datenschutzfragen erreichbaren Kontakt. Weisungen dürfen nur durch hierzu autorisierte Personen und über die vereinbarten Kommunikations- oder Konfigurationswege erteilt werden.

6. Verarbeitung nach dokumentierten Weisungen

Kontinent verarbeitet kundenbezogene personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, einschließlich Weisungen zu Übermittlungen in Drittländer, sofern Kontinent nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zu einer Verarbeitung verpflichtet ist. In diesem Fall informiert Kontinent den Kunden vor der Verarbeitung über die rechtliche Anforderung, soweit das betreffende Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses untersagt.

Die anfänglichen Weisungen ergeben sich aus diesem AVV, dem Hauptvertrag, der vom Kunden vorgenommenen Konfiguration und der vertragsgemäßen Nutzung. Änderungen an Providerfreigaben, Routing- oder Datenschutzregeln in der Konsole gelten als dokumentierte Weisungen. Zusätzliche Weisungen sind in Textform an legal@kontinent.ai zu richten.

Ist Kontinent der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert Kontinent den Kunden unverzüglich. Kontinent darf die Ausführung der betroffenen Weisung aussetzen, bis sie bestätigt, geändert oder ihre Rechtmäßigkeit nachvollziehbar dargelegt wurde. Ist eine Weisung technisch nicht vom vereinbarten Leistungsumfang gedeckt, stimmen die Parteien eine praktikable Umsetzung und gegebenenfalls den erforderlichen Zusatzaufwand vorab ab.

7. Vertraulichkeit

Kontinent stellt sicher, dass Personen, die zur Verarbeitung kundenbezogener personenbezogener Daten befugt sind, diese Daten nur im erforderlichen Umfang und nach Weisung verarbeiten. Diese Personen werden vor Aufnahme ihrer Tätigkeit zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht. Die Verpflichtung besteht nach Ende ihrer Tätigkeit fort.

Zugriff auf Kundeninhalte ist im normalen Gatewaybetrieb nicht erforderlich. Soweit ein Zugriff ausnahmsweise für Support, Störungsbeseitigung oder Sicherheitsuntersuchungen notwendig ist, erfolgt er nur auf dokumentierter Grundlage, durch autorisierte Personen und unter angemessener Protokollierung.

8. Technische und organisatorische Maßnahmen

Kontinent trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und Zwecke der Verarbeitung sowie der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Die zum Stand dieses AVV vereinbarten Maßnahmen sind in der versionierten Anlage 3 beschrieben.

Kontinent darf Maßnahmen an technische Entwicklungen anpassen, sofern das vereinbarte Sicherheitsniveau in seiner Gesamtheit nicht wesentlich abgesenkt wird. Wesentliche Änderungen, die das Schutzniveau nachteilig berühren können, werden dem Kunden in angemessener Weise mitgeteilt.

9. Unterstützung des Kunden

Kontinent unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der Kontinent zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Bewertung der Sicherheit, Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen. Kontinent stellt hierzu vorhandene Informationen über die Plattform, Datenflüsse, Unterauftragsverarbeiter und Maßnahmen nach Anlage 3 bereit.

Unterstützung, die im Rahmen der Standardleistung mit vertretbarem Aufwand erbracht werden kann, ist mit der vereinbarten Vergütung abgegolten. Für außergewöhnliche, kundenindividuelle Leistungen, die nicht durch einen Verstoß von Kontinent verursacht wurden, kann Kontinent nach vorheriger Abstimmung eine angemessene Vergütung verlangen. Zwingende gesetzliche Pflichten bleiben unberührt.

10. Betroffenenrechte

Kontinent unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu erfüllen. Soweit möglich, stellt Kontinent Self-Service-Funktionen für Berichtigung, Export, Einschränkung und Löschung bereit.

Erhält Kontinent eine Anfrage, die erkennbar kundenbezogene personenbezogene Daten betrifft, leitet Kontinent sie unverzüglich an den Kunden weiter und beantwortet sie nicht in der Sache, sofern der Kunde Kontinent nicht entsprechend anweist oder eine gesetzliche Pflicht besteht. Anfragen zu Verarbeitungen, für die Kontinent selbst Verantwortlicher ist, bearbeitet Kontinent in eigener Zuständigkeit.

Dass Kontinent Kundeninhalte im Standard-Gateway nicht persistent speichert, schließt Betroffenenrechte nicht aus. Die Unterstützung erstreckt sich auf die bei Kontinent oder einem eingesetzten Unterauftragsverarbeiter tatsächlich vorhandenen Daten und Informationen.

11. Datenschutz-Folgenabschätzung und Behördenanfragen

Soweit eine vom Kunden beabsichtigte Verarbeitung voraussichtlich ein hohes Risiko im Sinne des Art. 35 DSGVO zur Folge hat, unterstützt Kontinent den Kunden mit den verfügbaren Informationen über die beauftragte Leistung. Die Entscheidung über Erforderlichkeit und Inhalt einer Datenschutz-Folgenabschätzung sowie einer vorherigen Konsultation liegt beim Kunden.

Erhält Kontinent von einer Behörde oder einem Gericht eine rechtlich verbindliche Anfrage nach kundenbezogenen personenbezogenen Daten, informiert Kontinent den Kunden vor einer Offenlegung, soweit dies rechtlich zulässig ist. Kontinent prüft die formelle Zuständigkeit und Reichweite der Anfrage, beschränkt eine Offenlegung auf das rechtlich erforderliche Maß und nutzt verfügbare Rechtsbehelfe gegen offensichtlich rechtswidrige oder unverhältnismäßige Anfragen, soweit dies nach den Umständen zumutbar ist.

12. Verletzungen des Schutzes personenbezogener Daten

Kontinent informiert den Kunden über eine Verletzung des Schutzes kundenbezogener personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden bei Kontinent. Die Erstmitteilung enthält die zu diesem Zeitpunkt verfügbaren Informationen, insbesondere Art und Umfang des Vorfalls, voraussichtlich betroffene Daten und Personen, mögliche Folgen, ergriffene oder vorgeschlagene Abhilfemaßnahmen sowie einen Kontakt für Rückfragen. Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht.

Kontinent ergreift unverzüglich angemessene Maßnahmen zur Eindämmung, Untersuchung und Behebung und dokumentiert den Vorfall nach Maßgabe von Art. 33 Abs. 5 DSGVO. Kontinent unterstützt den Kunden bei dessen Pflichten nach Art. 33 und 34 DSGVO. Eine Meldung stellt kein Anerkenntnis einer Pflichtverletzung oder Haftung dar.

13. Unterauftragsverarbeiter

Der Kunde erteilt Kontinent die allgemeine schriftliche Genehmigung, die in Anlage 2 aufgeführten Unterauftragsverarbeiter einzusetzen. Kontinent schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem im Wesentlichen dieselben Datenschutzpflichten auferlegt, die für Kontinent nach diesem AVV gelten, soweit sie auf die jeweilige Leistung anwendbar sind. Kontinent bleibt dem Kunden gegenüber für die Erfüllung der Pflichten des Unterauftragsverarbeiters nach Art. 28 Abs. 4 DSGVO verantwortlich.

Dauerhaft benötigte Infrastruktur-Unterauftragsverarbeiter und kundenabhängige Inferenzprovider werden in Anlage 2 getrennt ausgewiesen. Ein Inferenzprovider verarbeitet Kundeninhalte nur, wenn er durch die Konfiguration des Kunden, eine vom Kunden gewählte Routingregel oder eine dort zugelassene Fallback-Kette tatsächlich erreichbar ist.

Kontinent informiert den Kunden mindestens 14 Kalendertage vor dem beabsichtigten Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters per E-Mail an die hinterlegte Administratoradresse und durch Aktualisierung der Liste im Trust Center. Die Mitteilung enthält Name, Zweck, Datenarten, Verarbeitungsort und gegebenenfalls Transfermechanismus. Bei einer dringenden Änderung zur Abwehr einer Sicherheitsgefahr, zur Einhaltung zwingenden Rechts oder zur Vermeidung eines erheblichen Dienstausfalls darf die Information ausnahmsweise kurzfristiger erfolgen; Kontinent informiert dann ohne unangemessene Verzögerung und erläutert den Grund.

Der Kunde kann einer Änderung innerhalb von 14 Kalendertagen nach Zugang aus nachvollziehbaren datenschutzrechtlichen Gründen in Textform widersprechen. Die Parteien prüfen zunächst, ob der betroffene Unterauftragsverarbeiter deaktiviert, durch eine Alternative ersetzt oder die Verarbeitung anderweitig angepasst werden kann. Ist innerhalb von 30 Tagen keine zumutbare Lösung möglich, kann der Kunde den unmittelbar betroffenen Leistungsteil außerordentlich zum Einsatzdatum kündigen. Bereits entstandene Zahlungsansprüche bleiben unberührt; vorausbezahlte Entgelte für den nicht mehr nutzbaren Zeitraum werden anteilig erstattet.

14. Internationale Datenübermittlungen

Kontinent übermittelt kundenbezogene personenbezogene Daten außerhalb des EWR nur auf dokumentierte Weisung des Kunden und unter Einhaltung der Art. 44 ff. DSGVO. Eine Weisung kann insbesondere in der Nutzung eines in Anlage 2 transparent beschriebenen Dienstes oder Inferenzproviders liegen.

Der automatisierte Gateway- und Datenbankbetrieb erfolgt derzeit in der AWS-Region Frankfurt. Die in Anlage 2 aufgeführten Inferenzendpunkte sind für die maschinelle Verarbeitung von Kundeninhalten auf EU-Regionen konfiguriert. Dies ist keine pauschale Zusage, dass sämtliche Datenarten oder sämtliche Zugriffe ausschließlich im EWR verbleiben. Insbesondere Abrechnungsdaten, technische Logs, Supportzugriffe und providerseitige Missbrauchsprüfungen können nach Maßgabe von Anlage 2 Drittlandbezug haben.

Soweit kein Angemessenheitsbeschluss nach Art. 45 DSGVO greift, verwendet Kontinent geeignete Garantien nach Art. 46 DSGVO, insbesondere die anwendbaren Module der Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914. Kontinent bewertet erforderlichenfalls das Schutzniveau im Drittland und vereinbart ergänzende technische, vertragliche oder organisatorische Maßnahmen. Ist kein im Wesentlichen gleichwertiges Schutzniveau herstellbar, wird die betroffene Übermittlung ausgesetzt oder beendet.

Nähere Regelungen enthält Anlage 4. Kontinent stellt dem Kunden auf Anfrage Informationen über den einschlägigen Transfermechanismus und, soweit rechtlich und vertraglich zulässig, eine Kopie oder aussagekräftige Zusammenfassung der relevanten Garantien bereit.

15. Nachweise und Auditrechte

Kontinent stellt dem Kunden alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung dieses AVV und der Pflichten aus Art. 28 DSGVO nachzuweisen. Die Prüfung erfolgt gestuft:

1. Zunächst stellt Kontinent vorhandene Sicherheits- und Datenschutzdokumentation, ausgefüllte angemessene Fragebögen, relevante Auszüge aus unabhängigen Berichten oder Zertifizierungen sowie die TOM-Anlage bereit. Eine Zertifizierung von Kontinent nach ISO/IEC 27001 oder SOC 2 wird derzeit nicht zugesichert.
2. Reichen diese Informationen für einen berechtigten Prüfzweck nicht aus oder besteht eine regulatorische Verpflichtung, ermöglicht Kontinent ergänzende schriftliche Auskünfte und ein Remote-Audit.
3. Reicht auch dies berechtigterweise nicht aus, ermöglicht Kontinent ein Vor-Ort-Audit der für die Auftragsverarbeitung relevanten Prozesse.

Audits sind grundsätzlich mindestens 30 Kalendertage vorher anzukündigen, während üblicher Geschäftszeiten durchzuführen und auf den erforderlichen Umfang zu beschränken. Bei einer Datenschutzverletzung, einer konkreten behördlichen Anforderung oder einem sonstigen dringenden Anlass gilt eine angemessen kürzere Frist. Der Kunde darf regelmäßig ein Audit pro Kalenderjahr durchführen; zusätzliche Audits sind bei einem Sicherheitsvorfall, wesentlichen Änderungen, begründeten Hinweisen auf einen Verstoß oder regulatorischer Notwendigkeit zulässig.

Der Prüfer muss fachkundig, unabhängig und zur Vertraulichkeit verpflichtet sein. Prüfungen dürfen die Sicherheit, Verfügbarkeit und Vertraulichkeit der Plattform nicht unangemessen beeinträchtigen und keinen Zugriff auf Daten anderer Kunden, Quellcode ohne Sicherheitsrelevanz oder nicht erforderliche Geschäftsgeheimnisse verlangen. Kontinent bietet geeignete alternative Nachweise an, wenn eine direkte Offenlegung diese Schutzgüter gefährden würde.

Der Kunde trägt seine Auditkosten. Kontinent kann angemessenen Aufwand für ein kundenindividuelles Vor-Ort-Audit nach vorheriger Mitteilung berechnen, es sei denn, das Audit weist eine wesentliche Pflichtverletzung von Kontinent nach oder wird aufgrund eines von Kontinent zu vertretenden Vorfalls behördlich verlangt. Prüfungsrechte der zuständigen Aufsichtsbehörden bleiben unberührt.

16. Rückgabe und Löschung

Nach Ende der Verarbeitung wählt der Kunde, ob Kontinent die kundenbezogenen personenbezogenen Daten zurückgibt oder löscht. Die Weisung muss spätestens innerhalb von 30 Tagen nach Beendigung des Hauptvertrags in Textform eingehen. Erfolgt keine Weisung, löscht Kontinent die Daten. Soweit technisch verfügbar, erfolgt eine Rückgabe in einem gängigen, maschinenlesbaren Format. Nach abgeschlossener Rückgabe löscht Kontinent verbleibende Kopien.

Daten in aktiven Systemen werden grundsätzlich innerhalb von 30 Tagen nach Wirksamwerden der Beendigung oder der Löschweisung gelöscht oder anonymisiert. Kundeninhalte des Standard-Gateways werden von Kontinent nicht persistent gespeichert. Providerseitig vorhandene Inhalte unterliegen den in Anlage 2 beschriebenen Retention- und Löschregeln.

Sicherungskopien der Produktionsdatenbank werden derzeit für bis zu sieben Tage vorgehalten und anschließend im normalen Überschreibzyklus gelöscht. Sie sind nicht für den operativen Zugriff vorgesehen. Wird eine Sicherung ausnahmsweise wiederhergestellt, stellt Kontinent sicher, dass bereits wirksam gelöschte Daten nicht erneut produktiv genutzt und entsprechend dem Löschkonzept erneut gelöscht werden.

Technische Cloud-Logs werden im Produktionsbetrieb grundsätzlich 30 Tage vorgehalten. Technische Telemetrie und Fehlerdaten in der von Kontinent selbst betriebenen PostHog-Instanz werden nur so lange aufbewahrt, wie dies für Diagnose, Sicherheit, Nachweisführung oder Rechtsverteidigung erforderlich ist. Soweit diese Daten für diese Zwecke länger benötigt werden, werden sie in ihrer Verwendung beschränkt und nur für den jeweiligen Zweck verarbeitet.

Gesetzliche Aufbewahrungspflichten bleiben unberührt. Insbesondere dürfen Rechnungs-, Zahlungs-, Vertrags- und steuerlich relevante Daten, die Kontinent als eigener Verantwortlicher verarbeitet, für die gesetzlichen Fristen aufbewahrt werden; diese Daten fallen nicht allein wegen ihrer Aufbewahrung unter diesen AVV. Kontinent bestätigt die vertragsgemäße Löschung auf Anfrage in Textform.

17. Laufzeit und Beendigung

Dieser AVV gilt für die Laufzeit des Hauptvertrags. Er kann nicht isoliert ordentlich gekündigt werden. Das Recht zur außerordentlichen Kündigung und das Widerspruchsrecht nach Ziffer 13 bleiben unberührt. Pflichten, die ihrer Natur nach über das Vertragsende hinausreichen, insbesondere Vertraulichkeit, Unterstützung, Nachweis sowie Rückgabe und Löschung, gelten bis zu ihrer vollständigen Erfüllung fort.

18. Rangfolge und sonstige Regelungen

Bei Widersprüchen gehen die Regelungen dieses AVV für die Verarbeitung kundenbezogener personenbezogener Daten dem Hauptvertrag vor. Individuell vereinbarte, ausdrücklich als vorrangig bezeichnete Datenschutzbestimmungen gehen diesem Standard-AVV vor. Die Anlagen sind Bestandteil des AVV. Das Trust Center und der Compliance Index dienen als Transparenz- und Nachweisquelle; bei Widersprüchen ist die konkret datierte Fassung dieses AVV maßgeblich.

Haftung und Haftungsbegrenzung richten sich nach dem Hauptvertrag. Zwingende gesetzliche Haftungsregelungen, insbesondere Art. 82 DSGVO, bleiben unberührt. Änderungen dieses AVV erfolgen in Textform oder nach dem im Hauptvertrag vereinbarten Änderungsverfahren; eine Änderung darf zwingende Rechte des Kunden nach Art. 28 DSGVO nicht einschränken.

Sollten einzelne Bestimmungen unwirksam sein oder werden, bleiben die übrigen Bestimmungen unberührt. Es gilt das im Hauptvertrag vereinbarte Recht und der dort vereinbarte Gerichtsstand. Nur die deutsche Fassung dieses AVV ist verbindlich; Übersetzungen dienen der Information.

Anlage 1 – Beschreibung der Verarbeitung

Version 1.0 – Stand 22. August 2026

Verarbeitungsvorgänge: Entgegennahme, flüchtige Verarbeitung, Übermittlung an den ausgewählten Inferenzprovider, Rückübermittlung, Speicherung von Metadaten, Organisation, Abgleich, Bereitstellung, Protokollierung, Einschränkung, Export und Löschung.

Anlage 2 – Liste der Unterauftragsverarbeiter

Version 1.1 – Stand 13. Oktober 2026. Maßgeblich für die Genehmigung ist diese Liste einschließlich ordnungsgemäß angekündigter Änderungen nach Ziffer 13. Gegenüber Version 1.0 entfällt PostHog, Inc. als Unterauftragsverarbeiter; die Telemetrie wird von Kontinent selbst betrieben.

A. Permanente Infrastruktur-Unterauftragsverarbeiter

Technische Telemetrie verarbeitet Kontinent in einer selbst betriebenen Instanz der Software PostHog. Die Instanz läuft auf der vorstehend genannten AWS-Infrastruktur in der EU, insbesondere in Frankfurt (eu-central-1). Erfasst sind die Aggregation technischer Protokolle, die Fehlerdiagnose und, nur bei gesonderter Einwilligung, die Produktanalyse. Kundeninhalte werden dabei nicht planmäßig übermittelt. PostHog, Inc. ist für diese Verarbeitung kein Unterauftragsverarbeiter; die Daten werden nicht an PostHog, Inc. übermittelt.

B. Kundenabhängige Inferenzprovider

Jeder Inferenzprovider erhält die zur Inferenz erforderlichen Kundeninhalte und technischen Requestdaten nur, wenn er nach der Kundenkonfiguration oder einer zugelassenen Routingregel eingesetzt wird. Die Retention-Angaben beschreiben den geprüften Stand; „teilweise“ oder „keine allgemeine ZDR-Zusage“ bedeutet, dass Kontinent keine vollständige providerseitige Speicherfreiheit zusagt. Der Kunde kann die Verarbeitung technisch auf Provider mit ausgewiesener vertraglicher ZDR- und/oder Trainingsausschluss-Zusage beschränken.

Die Detailbewertungen, Belegstellen und Prüfzeitpunkte sind im Compliance Index dokumentiert. Bei Abweichungen zwischen einer allgemeinen Kurzbezeichnung und dem providerspezifischen Vertrag gilt die vertraglich vereinbarte Leistungskonfiguration.

C. Dienstleister bei eigener Verantwortlichkeit von Kontinent

Die folgende Übersicht dient der Rollenabgrenzung und ist keine Genehmigung als Unterauftragsverarbeiter nach diesem AVV, soweit diese Unternehmen ausschließlich Daten verarbeiten, für die Kontinent selbst Verantwortlicher ist:

Anlage 3 – Technische und organisatorische Maßnahmen

TOM-Version 1.1 – Stand 13. Oktober 2026

Diese Anlage beschreibt das vereinbarte Sicherheitsniveau. Mit „regelmäßig“ bezeichnete Intervalle werden risikobasiert anhand der Schutzbedürftigkeit, der technischen Entwicklung und wesentlicher Änderungen festgelegt.

1. Datenschutz- und Sicherheitsorganisation

• Zuständigkeiten für Datenschutz, Informationssicherheit, Plattformbetrieb und Sicherheitsvorfallmanagement werden festgelegt und dokumentiert. Datenschutzbeauftragter ist Maximilian Josef Keller; als zentraler Kontakt dient legal@kontinent.ai.
• Beschäftigte und sonstige berechtigte Personen werden vor Zugriff auf personenbezogene Daten zur Vertraulichkeit verpflichtet.

2. Zugangs- und Zugriffskontrolle

• Kunden- und interne Zugriffe werden rollenbasiert und nach dem Least-Privilege-Prinzip vergeben. Die Kundenkonsole unterscheidet Berechtigungen für Organisationsinhaber, Administratoren und Mitglieder.
• Produktionszugriffe werden auf autorisierte Personen und den erforderlichen Zweck beschränkt. Privilegierte Berechtigungen und Service-Rollen werden getrennt von normalen Nutzerrechten verwaltet.
• Für Workload-Zugriffe auf AWS-Dienste werden IAM-Rollen und zweckbezogene Berechtigungen verwendet. Provider- und Anwendungsgeheimnisse werden nicht in den Images oder im Quellcode hinterlegt.
• API-Schlüssel des Kunden werden nur bei Erstellung im Klartext angezeigt und anschließend als SHA-256-Hash gespeichert. Schlüssel können widerrufen und in ihrer Nutzung beschränkt werden.

3. Infrastruktur und Mandantentrennung

• Die produktive Kontinent-Anwendungsinfrastruktur wird in AWS eu-central-1 (Frankfurt) betrieben. Anwendungen laufen containerisiert in privaten Subnetzen; die produktive Datenbank ist nicht öffentlich erreichbar.
• Netzwerkzugriffe zwischen Load Balancer, Anwendungsdiensten, Datenbank und Cache werden über getrennte Sicherheitsgruppen auf die erforderlichen Verbindungen beschränkt.
• Kundendaten werden logisch anhand der Organisations- und API-Schlüsselzuordnung getrennt. Serverseitige Autorisierungsprüfungen und automatisierte Isolationstests sichern diese Trennung ab.
• Entwicklungs-, Staging- und Produktionsumgebungen werden getrennt betrieben. Produktive Geheimnisse und Kundendaten werden nicht planmäßig in Entwicklungsumgebungen verwendet.
• Infrastrukturkonfiguration wird als Code verwaltet; Geheimnisse werden über AWS Secrets Manager in Laufzeitumgebungen eingebunden.

4. Verschlüsselung und Schlüsselmanagement

• Öffentliche Web- und API-Verbindungen werden über HTTPS abgesichert; HSTS ist für Webantworten aktiviert. Datenbankverbindungen sind für TLS konfiguriert.
• Die produktive RDS-Datenbank und der ElastiCache-Datenspeicher sind mit AWS-seitiger Verschlüsselung ruhender Daten konfiguriert.
• Anwendungsverbindungen zum produktiven Cache verwenden TLS.
• Schlüssel- und Zertifikatsverwaltung erfolgt über die eingesetzten Cloud-Dienste und den Secrets Manager.

5. Sichere Softwareentwicklung und Änderungsmanagement

• Änderungen durchlaufen eine automatisierte CI-Prüfung. Diese umfasst für die Webanwendung Typprüfung, automatisierte Tests und Produktionsbuild sowie für das Gateway statische Prüfung, Tests und Race Detection.
• Deployments erfolgen über versionierte Containerimages, automatisierte Datenbankmigrationen, Gesundheitsprüfungen und einen Deployment-Circuit-Breaker mit Rollback bei fehlgeschlagenem Rollout.

6. Protokollierung, Monitoring und Erkennung

• Strukturierte Anwendungs- und Infrastrukturprotokolle enthalten vorrangig technische Kennungen, Status, Dauer und Fehlercodes. Anfrage- und Antwortkörper, API-Schlüssel und Authentifizierungsgeheimnisse sind von der planmäßigen Protokollierung ausgeschlossen.
• Ein automatisierter Sentinel-Test prüft, ob markierte Promptinhalte in Gateway- oder Worker-Logs erscheinen.
• Sicherheits- und Verfügbarkeitsmonitoring umfasst Gesundheitszustände der Dienste, Load-Balancer-Fehler, Datenbankkapazität, Cache-Zustand und die Funktionsfähigkeit der Abrechnungspipeline.
• Technische Produktionslogs in AWS CloudWatch haben grundsätzlich eine Aufbewahrungsdauer von 30 Tagen. Technische Telemetrie in der von Kontinent selbst betriebenen PostHog-Instanz wird nach dem jeweiligen Diagnose-, Sicherheits- und Nachweiszweck aufbewahrt und anschließend gelöscht oder in ihrer Verwendung beschränkt. Eine Übermittlung dieser Daten an PostHog, Inc. findet nicht statt.
• Sicherheits- und verwaltungsrelevante Kundenaktionen werden in einem organisationsbezogenen Audit-Log erfasst. Die Aufbewahrungsdauer kann organisationsbezogen zwischen 35 und 3.650 Tagen oder unbegrenzt konfiguriert werden.

7. Sicherheitsvorfallmanagement

• Sicherheitsereignisse werden erfasst, bewertet, eingedämmt, untersucht, behoben und dokumentiert.
• Infrastrukturalarme werden an einen betrieblichen Benachrichtigungskanal geleitet; interne Eskalationen richten sich nach Auswirkung und Dringlichkeit.
• Datenschutzverletzungen werden nach Ziffer 12 an den Kunden gemeldet. Nach wesentlichen Vorfällen erfolgt eine Ursachen- und Maßnahmenanalyse.

8. Verfügbarkeit, Backups und Wiederherstellung

• Das produktive Gateway wird redundant über mehrere Tasks betrieben; die produktive RDS-Datenbank ist Multi-AZ konfiguriert.
• Für die produktive RDS-Datenbank ist eine siebentägige Point-in-Time-Recovery-fähige Backup-Aufbewahrung konfiguriert. Löschschutz und ein abschließender Snapshot bei kontrollierter Datenbankstilllegung sind aktiviert.
• Gesundheitsprüfungen, Deployment-Rollback und Kapazitätsalarme unterstützen die Betriebsstabilität.
• Es werden in diesem AVV keine nicht verifizierten RTO- oder RPO-Werte zugesichert.

9. Management von Unterauftragsverarbeitern

• Inferenzprovider werden anhand ihrer Verträge, Datenschutzbedingungen, Subprozessorkette, Datenresidenz, Retention, Trainingsnutzung und verfügbaren Sicherheitsnachweise geprüft.
• Unterauftragsverarbeiter werden vertraglich zu anwendbaren Datenschutz- und Sicherheitsanforderungen verpflichtet; Drittlandtransfers werden nach Anlage 4 bewertet.
• Bewertungen werden mit Quelle und Prüfdatum dokumentiert und bei relevanten Änderungen aktualisiert.

10. Datenminimierung, Löschung und sichere Entsorgung

• Kundeninhalte werden im Standard-Gateway nur flüchtig verarbeitet. Persistente Nutzungsdatensätze enthalten Metadaten, nicht planmäßig den Inhalt von Prompts oder Antworten.
• Der Kunde kann Providerfreigaben und Regeln für ZDR sowie Trainingsausschlüsse konfigurieren. Kontinent selbst verwendet Kundeninhalte nicht zum Training oder zur Verbesserung eigener KI-Modelle.
• Aktive Daten, Backups und Logs werden nach dem Löschkonzept und den Fristen in Ziffer 16 entfernt oder anonymisiert. Löschung in verwalteten Cloud-Diensten erfolgt über deren vorgesehene sichere Löschmechanismen.

11. Überprüfung der Wirksamkeit

Kontinent überprüft die Angemessenheit der Maßnahmen risikobasiert und nach wesentlichen Änderungen oder Sicherheitsvorfällen.

Anlage 4 – Internationale Transfers und Standardvertragsklauseln

Version 1.0 – Stand 22. August 2026

1. Kontinent dokumentiert je Drittlandübermittlung Datenexporteur, Datenimporteur, Rollen, Datenarten, Zweck, Empfängerland und eingesetzten Transfermechanismus.
2. Bei einer Übermittlung von Kontinent als EWR-Auftragsverarbeiter an einen Drittland-Unterauftragsverarbeiter wird grundsätzlich Modul 3 der Standardvertragsklauseln aus dem Durchführungsbeschluss (EU) 2021/914 verwendet, sofern kein Angemessenheitsbeschluss oder anderer geeigneter Mechanismus greift. Die Anlagen der SCC werden providerspezifisch ausgefüllt.
3. Kontinent führt, soweit erforderlich, eine Transfer-Folgenabschätzung durch und berücksichtigt Rechtslage, praktische Zugriffswahrscheinlichkeit, Datenarten, Zwecke und technische Schutzmaßnahmen. Erforderliche ergänzende Maßnahmen werden dokumentiert.
4. Eine Zertifizierung nach dem EU-U.S. Data Privacy Framework wird nur berücksichtigt, wenn der konkrete Datenimporteur aktiv zertifiziert ist und die betreffende Datenart und Verarbeitung vom Zertifizierungsumfang erfasst sind.
5. Widersprechen zwingende Vorschriften dieses AVV den anwendbaren SCC, gehen die SCC für die betreffende Übermittlung vor. Die SCC werden durch diesen AVV nicht geändert.
6. Die auf einen konkreten Empfänger und Datenfluss anwendbaren Transferinstrumente und ergänzenden Maßnahmen richten sich nach dem jeweiligen Dienst, Verarbeitungsort und Vertragsstand. Kontinent stellt dem Kunden hierzu auf Anfrage die nach Art. 28 Abs. 3 lit. h DSGVO erforderlichen Informationen zur Verfügung, soweit dadurch keine Rechte Dritter oder schutzbedürftigen Sicherheitsinformationen beeinträchtigt werden.