AVV / Auftragsverarbeitung

1. Einordnung

Pitch & Deal kann für Unternehmenskunden als Auftragsverarbeiter handeln, wenn Trainings-, Team- und Nutzungsdaten im Auftrag des Kunden verarbeitet werden.

Dieser AVV-Text ist ein DPA-Entwurf. Für echte Kunden muss er vor produktiver Nutzung juristisch geprüft und passend abgeschlossen werden.

2. Gegenstand und Dauer

Gegenstand ist die Bereitstellung der SaaS-Plattform Pitch & Deal. Die Dauer entspricht der Vertragslaufzeit plus Lösch-, Export- und Abwicklungsfristen.

3. Art und Zweck der Verarbeitung

• Account- und Teamverwaltung.
• KI-Trainingssimulationen mit Gesprächspartnern.
• Voice- und Texttraining.
• Analyse, Feedback und Reports.
• Support, Sicherheit und Audit-Logs.

4. Kategorien personenbezogener Daten

• Stammdaten und Kontaktdaten.
• Login- und Nutzungsdaten.
• Trainingsinhalte, Transkripte, Analyse- und Score-Daten.
• Support- und Auditdaten.
• Zahlungs- und Abo-Metadaten, soweit erforderlich.

5. Kategorien betroffener Personen

• Beschäftigte des Kunden.
• Freie Mitarbeiter und Teammitglieder.
• Admins, Owner und Ansprechpartner des Kunden.
• Bewerber oder Teilnehmende nur, falls später ausdrücklich vorgesehen.

6. Rechte und Pflichten des Kunden

• Der Kunde bleibt Verantwortlicher und stellt Rechtsgrundlagen sicher.
• Weisungen müssen dokumentiert und rechtmäßig sein.
• Nutzer sind angemessen zu informieren.
• Betriebsrat oder Arbeitnehmervertretung sind zu prüfen, falls erforderlich.
• Unzulässige oder unnötig sensible Daten dürfen nicht eingegeben werden.

7. Pflichten von Pitch & Deal

• Verarbeitung nur auf dokumentierte Weisung.
• Vertraulichkeit verpflichteter Personen.
• Angemessene technische und organisatorische Maßnahmen.
• Unterstützung bei Betroffenenrechten und Art. 32-36 DSGVO, soweit erforderlich.
• Meldung relevanter Datenschutzvorfälle.
• Löschung oder Rückgabe nach Vertragsende nach vereinbartem Prozess.
• Nachweise in angemessenem Umfang.

8. Unterauftragsverarbeiter

9. Drittlandtransfer

Drittlandtransfers werden vor produktivem Einsatz geprüft. Soweit erforderlich, werden geeignete Garantien wie EU-Standardvertragsklauseln oder andere zulässige Mechanismen vereinbart.

Es wird keine EU-only Verarbeitung garantiert, solange die Dienstleister- und Regionseinstellungen nicht final geprüft sind.

10. Technische und organisatorische Maßnahmen

• Zugriffskontrolle über Login, Teamrollen und Plattformrollen.
• Rollen- und Rechtemodell mit owner, admin, member sowie platform_owner, platform_admin, customer_success, support_agent und content_manager.
• Company-basierte Mandantentrennung über Anwendung, Serverprüfungen und Datenbankregeln, soweit umgesetzt.
• Transportverschlüsselung über HTTPS/TLS.
• Backup- und Verfügbarkeitskonzept wird vor Livegang final geprüft.
• Audit-Logs für Plattformaktionen und Supportzugriffe.
• Supportzugriff nur rollenbasiert und ohne unsichtbare Impersonation.
• Löschkonzept, Incident Response und Dienstleistermanagement werden vor Livegang finalisiert.

11. Auditrechte

Kunden erhalten angemessene Nachweise. Audits dürfen Sicherheit, Vertraulichkeit, Geschäftsgeheimnisse und Rechte anderer Kunden nicht gefährden.

12. Rückgabe und Löschung

Nach Vertragsende werden Daten nach vereinbartem Prozess gelöscht oder zurückgegeben, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Backups werden nach technischem Zyklus gelöscht.

13. Schlussbestimmungen

Bei Datenschutzkonflikten geht der final vereinbarte AVV den allgemeinen Bedingungen vor. Änderungen erfolgen in Textform oder über einen vereinbarten digitalen Abschlussprozess.