Auftragsverarbeitungsvertrag (AVV)

Datenschutzkontakt der Auftragsverarbeiterin: datenschutz@innnow.de

§ 1 Gegenstand und Dauer

(1) Die Auftragsverarbeiterin stellt dem Verantwortlichen die innnow-Plattform bereit und verarbeitet dabei personenbezogene Daten in dessen Auftrag. Art, Umfang und Funktionalitäten der Leistung ergeben sich aus dem Angebot, den Allgemeinen Geschäftsbedingungen und etwaigen weiteren Leistungsvereinbarungen der Parteien (zusammen „Hauptvertrag“).

(2) Dieser Vertrag gilt für die Dauer des Hauptvertrags. Pflichten, die ihrer Natur nach fortgelten, bleiben unberührt.

§ 2 Art und Zweck der Verarbeitung

(1) Die Auftragsverarbeiterin verarbeitet personenbezogene Daten zur Bereitstellung und zum Betrieb der innnow-Plattform einschließlich der vom Verantwortlichen beauftragten oder aktivierten Funktionen nach Maßgabe des Hauptvertrags sowie der dokumentierten Weisungen des Verantwortlichen. Hierzu gehören die Durchführung und Auswertung von Rückmeldungen und Erhebungen sowie die Zusammenführung, Auswertung und Darstellung objektiver Nutzungs-, System- und Kennzahlendaten zu den beim Verantwortlichen eingesetzten Anwendungen. Die Verarbeitung umfasst insbesondere die Erfassung, den Import, die Speicherung, Organisation, Auswertung, Zusammenfassung, Bereitstellung und Löschung der hierfür erforderlichen personenbezogenen Daten.

(2) Eine Verarbeitung personenbezogener Daten zu eigenen Werbe-, Profilbildungs- oder Vermarktungszwecken der Auftragsverarbeiterin findet nicht statt. Die Plattform dient nicht der Bewertung der Leistung oder des Verhaltens einzelner Beschäftigter; die Auftragsverarbeiterin stellt keine darauf gerichteten Auswertungen bereit, und der Verantwortliche verwendet die Plattform einschließlich KI-gestützter Funktionen nicht zu diesem Zweck.

(3) Der Verantwortliche weist die Auftragsverarbeiterin an, aus den im Auftrag verarbeiteten Daten anonymisierte und aggregierte Statistik- und Benchmarkdaten zu bilden. Daten gelten nur dann als anonymisiert, wenn weder betroffene Personen noch der Verantwortliche, einzelne Einrichtungen, Standorte oder Organisationseinheiten mit Mitteln, die vernünftigerweise eingesetzt werden können, identifiziert werden können. Die so anonymisierten Daten dürfen für einrichtungsübergreifende Vergleichsauswertungen und zur Verbesserung der Leistungen der Auftragsverarbeiterin verwendet werden. Eine Reidentifizierung oder Nutzung zum Training von KI-Modellen findet nicht statt. Der Verantwortliche kann die Weisung zur Bildung weiterer anonymisierter Statistik- und Benchmarkdaten jederzeit mit Wirkung für die Zukunft widerrufen.

(4) Objektive Nutzungsdaten sind Daten über die Nutzung der beim Verantwortlichen eingesetzten Anwendungen, die der Verantwortliche bereitstellt, hochlädt oder über eine von ihm freigegebene Schnittstelle übermitteln lässt, insbesondere Herstellerreports sowie Protokoll-, Anmelde-, Lizenz- und Berechtigungsdaten. Sie werden ausgewertet und mit Rückmeldungen sowie Lizenz- und Kostendaten zusammengeführt. Auswertungen erfolgen grundsätzlich auf Gruppenebene, insbesondere je Anwendung, Standort, Organisationseinheit oder Berufsgruppe; eine personenbezogene Zuordnung erfolgt nur, soweit sie für eine ausdrücklich vorgesehene Funktion erforderlich ist. Eine individuelle Nutzungs- oder Arbeitsdauer wird nicht ermittelt. Die Bereitstellung oder Freigabe einer Datenquelle durch eine berechtigte Person des Verantwortlichen (§ 4 Abs. 2) gilt als dokumentierte Weisung für die Verarbeitung nach Maßgabe des § 3 Abs. 4 und 5.

§ 3 Daten und betroffene Personen

(1) Verarbeitet werden, abhängig von der Konfiguration des Verantwortlichen:

• Identifikations- und Kontaktdaten,
• Organisations- und Berechtigungsdaten,
• Nutzungs-, Bewertungs-, Vorgangs- und Freitextdaten,
• objektive Nutzungsdaten nach § 2 Abs. 4, insbesondere aggregierte Nutzungskennzahlen, Nutzer-, Konto- oder technische Kennungen (auch pseudonymisiert), technische Ereigniszeitpunkte (etwa von Anmeldungen und Anwendungsstarts) sowie Lizenz- und Berechtigungszuordnungen zu den eingesetzten Anwendungen,
• System-, Portfolio-, Vertrags- und Kostendaten, soweit sie Personenbezug aufweisen, sowie
• technische Protokoll- und Sitzungsdaten.

(2) Betroffen sind Beschäftigte, Nutzende und weitere vom Verantwortlichen zur Teilnahme oder Mitwirkung bestimmte Personen, bei objektiven Nutzungsdaten die Nutzenden der ausgewerteten Anwendungen sowie bei System-, Portfolio- und Vertragsdaten Ansprechpersonen von Herstellern und Dienstleistern, soweit deren Daten in den bereitgestellten Daten enthalten sind.

(3) Patienten-, Behandlungs- und sonstige medizinische Falldaten dürfen im Rahmen der bestimmungsgemäßen Nutzung nicht in die Plattform eingestellt oder an die Auftragsverarbeiterin übermittelt werden; die Plattform ist nicht für die gezielte Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO bestimmt. Der Verantwortliche weist Nutzende entsprechend an. Werden solche Daten dennoch eingegeben, informiert die Auftragsverarbeiterin den Verantwortlichen nach Kenntnis und stimmt mit ihm die erforderlichen Maßnahmen ab. Auf dokumentierte Weisung des Verantwortlichen löscht oder sperrt sie die betreffenden Daten oder behandelt sie anderweitig nach dessen Weisung, soweit dem keine gesetzliche Pflicht entgegensteht.

(4) Der Verantwortliche bestimmt Quellen, Datenfelder und Detailgrad der objektiven Nutzungsdaten und stellt nur die für die Auswertung erforderlichen Daten bereit. Objektive Nutzungsdaten können abhängig von Datenquelle und beauftragter Funktion aggregiert, pseudonymisiert oder personenbezogen verarbeitet werden. Eine personenbezogene Verarbeitung erfolgt nur, soweit sie für die jeweilige Funktion erforderlich und in der für den konkreten Einsatz geltenden Funktions-, Transparenz- oder Verarbeitungsbeschreibung ausgewiesen ist; die geltende Fassung wird dokumentiert und dem Verantwortlichen vor Beginn der Verarbeitung in Textform zur Verfügung gestellt. Ein Personenbezug wird vermieden oder reduziert, soweit er für den vereinbarten Zweck nicht erforderlich ist. Pseudonymisiert der Verantwortliche die Daten vor der Übermittlung, verbleibt der Zuordnungsschlüssel bei ihm. Erfolgt eine Pseudonymisierung durch die Auftragsverarbeiterin, werden Zuordnungsinformationen getrennt und zugriffsbeschränkt verarbeitet.

(5) Beim Import übernimmt die Auftragsverarbeiterin nur die für die Auswertung vorgesehenen Datenfelder in den Auswertungsbestand. Die hochgeladene Ursprungsdatei wird zur Prüfung und Korrektur des Imports zugriffsbeschränkt aufbewahrt und nach dem Lösch- und Aufbewahrungskonzept (§ 9 Abs. 5) gelöscht.

§ 4 Verantwortlichkeit und Weisungen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, seine Informationspflichten, die Wahrung der Betroffenenrechte und die erforderliche Einbindung von Interessenvertretungen verantwortlich.

(2) Die Auftragsverarbeiterin verarbeitet personenbezogene Daten einschließlich ihrer Übermittlung an ein Drittland oder eine internationale Organisation ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, sie ist durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall informiert sie den Verantwortlichen vor der Verarbeitung, soweit dies rechtlich zulässig ist. Dieser Vertrag und der Hauptvertrag bilden die Weisungen bei Vertragsschluss. Weitere Weisungen erteilt eine weisungsbefugte Person des Verantwortlichen in Textform an datenschutz@innnow.de. Weisungsbefugt sind die in Anlage 1 benannten oder später vom Verantwortlichen in Textform benannten Personen. Als Weisung gelten auch Konfigurationen und Freigaben, die eine berechtigte Person in der Plattform vornimmt; berechtigt ist, wem der Verantwortliche eine entsprechende Rolle in der Plattform zugewiesen hat.

(3) Hält die Auftragsverarbeiterin eine Weisung für rechtswidrig, informiert sie den Verantwortlichen unverzüglich und darf die Umsetzung bis zur Klärung aussetzen. Bei einem akuten Rechts- oder Sicherheitsrisiko darf sie die betroffene Verarbeitung vorläufig beschränken.

§ 5 Vertraulichkeit und Sicherheit

(1) Die Auftragsverarbeiterin setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Sie trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Sie darf diese weiterentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

(3) Soweit § 203 StGB auf die jeweilige Verarbeitung Anwendung findet, beschränkt die Auftragsverarbeiterin den Zugang zu geschützten Geheimnissen auf das erforderliche Maß und stellt die gesetzlich erforderlichen Vertraulichkeitsverpflichtungen auch bei den von ihr eingesetzten weiteren mitwirkenden Personen vertraglich sicher.

§ 6 Unterauftragnehmer und Verarbeitungsorte

(1) Die genehmigten Unterauftragnehmer und ihre Verarbeitungsorte sind in Anlage 1 aufgeführt. Die Auftragsverarbeiterin verpflichtet Unterauftragnehmer gemäß Art. 28 Abs. 2 bis 4 DSGVO und bleibt gegenüber dem Verantwortlichen für deren Pflichten verantwortlich.

(2) Der Verantwortliche erteilt die allgemeine Genehmigung, weitere Unterauftragnehmer einzusetzen oder bestehende zu ersetzen. Die Auftragsverarbeiterin informiert hierüber mindestens 30 Tage vor dem Einsatz in Textform. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen; widerspricht er nicht, gilt die Änderung als genehmigt, worauf die Mitteilung hinweist. Kommt nach einem Widerspruch keine zumutbare Lösung zustande, kann der Verantwortliche den Hauptvertrag oder, soweit abtrennbar, die betroffene Zusatzfunktion außerordentlich kündigen. Dasselbe Verfahren gilt, wenn ein Verarbeitungsort in ein Drittland verlagert wird oder sich die Grundlage einer Drittlandübermittlung wesentlich ändert.

(3) Die dauerhafte Speicherung der in der Plattform geführten Inhaltsdaten (Rückmeldungen, Freitexte, Nutzungs-, Portfolio-, Vertrags- und Kostendaten sowie Auswertungen) erfolgt auf Servern in Deutschland. Konto- und Anmeldedaten werden zusätzlich beim Identitätsdienst, Versanddaten beim E-Mail-Dienst innerhalb der EU/des EWR gespeichert. Weitere Verarbeitungen und mögliche Drittlandzugriffe ergeben sich aus Anlage 1. Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

§ 7 Optionale KI-gestützte Funktionen

(1) KI-gestützte Funktionen sind standardmäßig deaktiviert. Ohne Freischaltung werden keine Plattformdaten für KI-Zwecke verarbeitet oder an einen KI-Anbieter übermittelt. KI darf unterstützend zu den Zwecken nach § 2 eingesetzt werden, insbesondere zur Klassifikation und Verschlagwortung, zur Zusammenfassung und Analyse von Plattforminhalten, zur Erzeugung von Text- und Maßnahmenvorschlägen sowie für Such-, Empfehlungs- und Assistenzfunktionen.

(2) Die KI-Funktionen sind in der Funktions- oder Produktbeschreibung in Funktionsgruppen zusammengefasst. Die Freischaltung erfolgt je Funktionsgruppe durch die Angabe in Anlage 1 oder nachträglich durch Weisung einer weisungsbefugten Person in Textform oder durch Aktivierung in der Plattform durch eine weisungsbefugte oder hierzu berechtigte Person (§ 4 Abs. 2). Vor der Freischaltung weist die Auftragsverarbeiterin Zweck, Funktionsweise, Datenkategorien und KI-Anbieter der Funktionsgruppe in der Funktions- oder Produktbeschreibung aus; die bei Freischaltung geltende Fassung stellt sie auf Anfrage in Textform zur Verfügung. Die Freischaltung gilt als dokumentierte Weisung für die Verarbeitungen der Funktionsgruppe einschließlich automatisch ablaufender Verarbeitungen, insbesondere der Verschlagwortung neu eingehender Rückmeldungen. Der Verantwortliche kann jederzeit die Deaktivierung verlangen.

(3) Verarbeitet werden nur die für die jeweilige Funktion erforderlichen Plattforminhalte des Verantwortlichen, insbesondere Freitexte, Antworten, Bewertungen, Schlagwörter, Maßnahmen, Aufgaben und Statusinformationen. Identifikations-, Organisations- und Berechtigungsdaten werden nur verarbeitet, soweit dies für die Funktion erforderlich und in der Funktions- oder Produktbeschreibung ausgewiesen ist. Für KI-Funktionen werden nur die erforderlichen Nutzungsdaten verarbeitet. Diese werden soweit möglich minimiert und abhängig von der jeweiligen Funktion aggregiert oder pseudonymisiert. Im Rahmen der KI-Verarbeitung werden Daten des Verantwortlichen nicht mit Daten anderer Verantwortlicher zusammengeführt; § 2 Abs. 3 bleibt unberührt.

(4) Für alle KI-gestützten Funktionen gilt:

• keine Nutzung der Plattforminhalte zum Training oder zur Verbesserung von KI-Modellen,
• Eingaben und Ausgaben werden ausschließlich dem Verantwortlichen und seinen berechtigten Nutzenden sowie den nach Anlage 1 genehmigten Unterauftragnehmern zugänglich gemacht, soweit dies zur Erbringung ihrer jeweiligen vertraglichen Leistung erforderlich ist; die Übermittlung zur KI-Inferenz erfolgt ausschließlich an den dort bezeichneten KI-Anbieter, und die Auftragsverarbeiterin setzt nur Konfigurationen ein, bei denen der KI-Anbieter Eingaben und Ausgaben nach seinen Vertrags- und Dienstbedingungen nicht an den Hersteller des eingesetzten Modells für dessen eigene Zwecke weitergibt,
• KI-Inferenz in Regionen innerhalb der EU/des EWR gemäß Anlage 1,
• keine Inhaltsprotokollierung durch die Auftragsverarbeiterin; eine konfigurierbare Inhaltsprotokollierung beim KI-Anbieter ist deaktiviert; im Übrigen verarbeitet der KI-Anbieter Inhaltsdaten nur im für die Inferenz technisch erforderlichen Umfang nach den für die eingesetzte Konfiguration geltenden Aufbewahrungsbedingungen,
• keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO und
• keine automatische Übernahme KI-erzeugter Ergebnisse mit Ausnahme von Schlagwörtern und Klassifikationen, die als KI-Zuordnung gekennzeichnet sind und von berechtigten Personen geändert oder entfernt werden können; andere Ergebnisse werden als KI-Entwurf gekennzeichnet und erst nach Prüfung durch eine berechtigte Person übernommen oder weiterverwendet.

(5) KI-Anbieter und Verarbeitungsorte ergeben sich aus Anlage 1; für den Wechsel eines KI-Anbieters gilt § 6 Abs. 2. Neue oder geänderte KI-Funktionen innerhalb einer freigeschalteten Funktionsgruppe und der Vorgaben dieses Paragraphen dürfen ohne Änderung dieses Vertrags bereitgestellt werden; neue Funktionsgruppen bedürfen der Freischaltung nach Absatz 2. Änderungen des Verarbeitungszwecks, neue Kategorien personenbezogener Daten oder Abweichungen von den Schutzvorgaben dieses Paragraphen bedürfen einer ergänzenden Vereinbarung.

§ 8 Unterstützung und Datenschutzvorfälle

(1) Die Auftragsverarbeiterin unterstützt den Verantwortlichen im erforderlichen und angemessenen Umfang bei Betroffenenrechten sowie bei dessen Pflichten nach Art. 32 bis 36 DSGVO. Betroffenenanfragen leitet sie an den Verantwortlichen weiter.

(2) Soweit der Verantwortliche die erforderlichen Maßnahmen nicht mit den bereitgestellten Funktionen und Unterlagen selbst durchführen kann und die Unterstützung den gewöhnlichen Umfang überschreitet, kann die Auftragsverarbeiterin den zusätzlichen angemessenen Aufwand nach vorheriger Ankündigung zu den im Hauptvertrag vereinbarten oder sonst vorab abgestimmten Sätzen berechnen. Dies gilt nicht, soweit die Unterstützung aufgrund eines von der Auftragsverarbeiterin zu vertretenden Verstoßes erforderlich wird.

(3) Verletzungen des Schutzes der im Auftrag verarbeiteten personenbezogenen Daten meldet sie dem Verantwortlichen unverzüglich nach Kenntnis an den in Anlage 1 benannten Kontakt und ergänzt die Meldung, sobald weitere Informationen vorliegen.

(4) Die Meldung enthält, soweit verfügbar, Art und Umfang des Vorfalls, betroffene Daten und Personen, wahrscheinliche Folgen sowie ergriffene oder geplante Maßnahmen.

§ 9 Löschung und Rückgabe

(1) Nach Ende des Hauptvertrags löscht die Auftragsverarbeiterin die personenbezogenen Daten nach Wahl des Verantwortlichen oder gibt sie in einem gängigen maschinenlesbaren Format zurück und löscht anschließend verbleibende Kopien, soweit keine gesetzliche Aufbewahrungspflicht besteht.

(2) Der Verantwortliche teilt seine Wahl spätestens innerhalb von 30 Tagen nach Ende des Hauptvertrags in Textform mit. Verlangt er die Rückgabe, stellt die Auftragsverarbeiterin die Daten innerhalb von 14 Tagen nach der Mitteilung bereit. Die Daten in den produktiven Systemen werden spätestens 30 Tage nach Ende des Hauptvertrags gelöscht; hat der Verantwortliche innerhalb dieser Frist die Rückgabe verlangt, erfolgt die Löschung abweichend davon unverzüglich nach Abschluss der Rückgabe. Ohne Mitteilung werden die Daten mit Ablauf der 30 Tage gelöscht.

(3) Sicherungskopien werden im regulären Zyklus, spätestens innerhalb weiterer 30 Tage nach Löschung der produktiven Daten, überschrieben und bis dahin nicht produktiv genutzt. Die Auftragsverarbeiterin dokumentiert die Löschung und bestätigt sie auf Anfrage des Verantwortlichen. Unterlagen und Protokolle ohne Inhaltsdaten, die dem Nachweis der auftrags- und ordnungsgemäßen Verarbeitung einschließlich der Löschung dienen, bewahrt sie zu eigenen Nachweiszwecken bis zum Ablauf der im Lösch- und Aufbewahrungskonzept genannten Frist auf.

(4) Anonymisierte Daten, die nach § 2 Abs. 3 rechtmäßig gebildet wurden, sind keine personenbezogenen Daten und bleiben von den Pflichten dieses Paragraphen unberührt.

(5) Die Löschfristen während der Vertragslaufzeit ergeben sich aus dem Lösch- und Aufbewahrungskonzept der Auftragsverarbeiterin, das dem Verantwortlichen bei Vertragsschluss und auf Anfrage zur Verfügung gestellt wird und unter innnow.de/loeschkonzept abrufbar ist. Die Auftragsverarbeiterin darf das Konzept fortschreiben; wesentliche Verlängerungen von Speicherfristen teilt sie dem Verantwortlichen vorab in Textform mit. Weisungen des Verantwortlichen zu einer früheren Löschung gehen vor.

§ 10 Nachweise und Kontrollen

(1) Die Auftragsverarbeiterin stellt die nach Art. 28 Abs. 3 lit. h DSGVO erforderlichen Informationen zur Verfügung und ermöglicht angemessene Kontrollen. Prüfungen erfolgen vorrangig durch Unterlagen, geeignete Prüfberichte oder Remote-Audits.

(2) Hält der Verantwortliche diese Nachweise aus nachvollziehbaren Gründen für nicht ausreichend, sind auch Vor-Ort-Prüfungen durch fachkundige, unabhängige und zur Vertraulichkeit verpflichtete Prüfer zulässig. Anlasslose Vor-Ort-Prüfungen sind regelmäßig auf einmal je Kalenderjahr begrenzt, mindestens 30 Tage vorher anzukündigen, während der üblichen Geschäftszeiten durchzuführen und auf einen Arbeitstag zu beschränken. Private Wohnräume von Beschäftigten sind von Vor-Ort-Prüfungen ausgenommen; die Einhaltung der dort geltenden Maßnahmen wird durch geeignete Unterlagen oder Remote-Prüfungen nachgewiesen.

(3) Die Beschränkungen nach Absatz 2 gelten nicht, soweit eine behördliche oder gesetzliche Anforderung, ein Datenschutz- oder Sicherheitsvorfall, begründete Zweifel an der Einhaltung dieses Vertrags oder unzureichende Nachweise eine weitergehende Prüfung erforderlich machen. Die Auftragsverarbeiterin kann einen Prüfer, der in unmittelbarem Wettbewerb zu ihr steht oder bei dem ein sonstiger wichtiger Ablehnungsgrund besteht, zurückweisen, sofern sie unverzüglich einen geeigneten alternativen Prüfer akzeptiert. Prüfungen müssen verhältnismäßig sein und dürfen Rechte Dritter, Geschäftsgeheimnisse und den sicheren Betrieb nicht unangemessen beeinträchtigen. Jede Partei trägt ihre eigenen Kosten der Prüfung. Übersteigt der Aufwand der Auftragsverarbeiterin für anlasslose Prüfungen einen Arbeitstag je Kalenderjahr, kann sie den Mehraufwand nach § 8 Abs. 2 berechnen; dies gilt nicht, soweit die Prüfung einen wesentlichen Verstoß der Auftragsverarbeiterin ergibt.

§ 11 Schlussbestimmungen

(1) Die Haftung richtet sich nach dem Hauptvertrag; Art. 82 DSGVO bleibt unberührt.

(2) Bei Widersprüchen geht dieser Vertrag in datenschutzrechtlichen Fragen dem Hauptvertrag vor. Änderungen bedürfen der Textform. Es gilt deutsches Recht.

(3) Soweit der Verantwortliche dem Gesetz über den Kirchlichen Datenschutz (KDG) oder dem Datenschutzgesetz der Evangelischen Kirche in Deutschland (DSG-EKD) unterliegt, dient dieser Vertrag zugleich der Erfüllung der Anforderungen an eine Auftragsverarbeitung nach § 29 KDG beziehungsweise § 30 DSG-EKD. Zwingende Vorschriften des jeweils anwendbaren kirchlichen Datenschutzrechts bleiben unberührt.

Unterzeichnung

Dieser Vertrag einschließlich seiner Anlagen kann gemäß Art. 28 Abs. 9 DSGVO elektronisch geschlossen werden.

Anlage 1 – Unterauftragnehmer, KI-Freischaltung und Kontakte

Maßgeblich für das Vertragsverhältnis ist diese Anlage in der vereinbarten Fassung einschließlich der nach § 6 Abs. 2 mitgeteilten Änderungen. Die Übersicht unter innnow.de/subunternehmer dient der Information.

Neben der Speicherung nach § 6 Abs. 3 kommen transiente Übermittlungen über das globale Netzwerk von Cloudflare sowie mögliche begrenzte Drittlandzugriffe der eingesetzten Anbieter, insbesondere im Supportfall, in Betracht. Soweit danach Übermittlungen in Drittländer oder Drittlandzugriffe erfolgen, stützen sich diese auf einen Angemessenheitsbeschluss der EU-Kommission einschließlich des EU-US Data Privacy Framework (DPF), soweit anwendbar, im Übrigen auf EU-Standardvertragsklauseln und ergänzende Garantien gemäß den mit den jeweiligen Anbietern abgeschlossenen Auftragsverarbeitungsverträgen.

KI-gestützte Funktionen nach § 7: ☐ nicht freigeschaltet  ☐ freigeschaltet ausschließlich für die hier bezeichneten Funktionsgruppen laut Funktionsbeschreibung (innnow.de/ki-funktionen):
Nicht bezeichnete Funktionsgruppen bleiben deaktiviert, bis ihre Freischaltung nach § 7 Abs. 2 veranlasst wird. Grundlage ist die bei Vertragsschluss geltende Fassung der Funktionsbeschreibung.

Weisungsbefugte Personen des Verantwortlichen:

Kontakt des Verantwortlichen für Datenschutzmeldungen:

Anlage 2 – Technische und organisatorische Maßnahmen

Die Maßnahmen werden risikobasiert überprüft und bei Bedarf angepasst.