Nach Art. 28 DSGVO · Stand: 4. September 2026
(1) Die Auftragsverarbeiterin verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen ausschließlich zur Erbringung der im Hauptvertrag vereinbarten Leistungen (Betrieb konfigurierbarer KI-Agenten, insbesondere Verarbeitung der vom Verantwortlichen hochgeladenen Projektunterlagen wie Leistungsverzeichnisse, Pläne, Verträge, Fotos und Korrespondenz sowie der Chateingaben und der erzeugten Ausgaben).
(2) Die Dauer dieses Vertrages entspricht der Laufzeit des Hauptvertrages.
(3) Die Auftragsverarbeiterin verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, einschließlich der im Rahmen der Plattformnutzung erteilten Einzelweisungen (Hochladen, Auslösen von Verarbeitungsvorgängen, Löschen). Ist die Auftragsverarbeiterin gesetzlich zu einer weitergehenden Verarbeitung verpflichtet, unterrichtet sie den Verantwortlichen vorab, sofern das Gesetz dies nicht verbietet.
(4) Die Auftragsverarbeiterin informiert den Verantwortlichen unverzüglich, wenn sie der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt.
(1) Verarbeitet werden je nach Nutzung durch den Verantwortlichen insbesondere: Stammdaten und Kontaktdaten (Name, dienstliche Anschrift, E-Mail, Telefon), Inhalte hochgeladener Dokumente einschließlich darin enthaltener personenbezogener Daten, Kommunikationsinhalte, Nutzungs- und Protokolldaten.
(2) Kategorien betroffener Personen: Beschäftigte und Ansprechpartner des Verantwortlichen, dessen Auftraggeber, Nachunternehmer und sonstige an den Projekten des Verantwortlichen beteiligte Personen. Der Verantwortliche lädt keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) hoch.
(1) Vertraulichkeit. Die Auftragsverarbeiterin verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
(2) Technische und organisatorische Maßnahmen. Die Auftragsverarbeiterin trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Der Stand ist in Anlage 2 beschrieben. Die Maßnahmen können im Lauf der Zeit weiterentwickelt werden; das Schutzniveau darf dabei nicht unterschritten werden.
(3) Unterstützung. Die Auftragsverarbeiterin unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO) sowie bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Datenschutzverletzungen, Datenschutz-Folgenabschätzung).
(4) Datenschutzverletzungen. Die Auftragsverarbeiterin meldet dem Verantwortlichen jede ihr bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die die im Auftrag verarbeiteten Daten betrifft, unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den zur Erfüllung der Meldepflichten des Verantwortlichen erforderlichen Angaben.
(5) Löschung und Rückgabe. Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht die Auftragsverarbeiterin alle personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht. Der Verantwortliche kann seine Inhalte innerhalb von 30 Tagen nach Vertragsende exportieren; danach erfolgt die Löschung.
(6) Nachweise und Überprüfungen. Die Auftragsverarbeiterin stellt dem Verantwortlichen die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen. Überprüfungen erfolgen mit angemessener Vorankündigung, während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und unter Wahrung der Geschäfts- und Datengeheimnisse Dritter; die Auftragsverarbeiterin kann vorrangig geeignete Nachweise (Berichte, Zertifikate, Prüfergebnisse) vorlegen.
(1) Der Verantwortliche erteilt der Auftragsverarbeiterin die allgemeine Genehmigung, die in Anlage 1 aufgeführten Unterauftragsverarbeiter einzusetzen.
(2) Die Auftragsverarbeiterin informiert den Verantwortlichen mindestens vier Wochen vorab über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung weiterer Unterauftragsverarbeiter, in Textform oder durch Aktualisierung der Anlage 1 mit gesonderter Mitteilung. Der Verantwortliche kann einer Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von zwei Wochen widersprechen; kann in diesem Fall keine einvernehmliche Lösung gefunden werden, steht beiden Parteien ein Sonderkündigungsrecht zum Hauptvertrag zu.
(3) Die Auftragsverarbeiterin erlegt jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind.
(1) Die Verarbeitung findet grundsätzlich innerhalb der Europäischen Union statt. Die KI-Verarbeitung erfolgt über Amazon Bedrock im EU-Inferenzprofil, Region Frankfurt.
(2) Soweit einzelne Unterauftragsverarbeiter (Anlage 1) Daten in ein Drittland übermitteln, geschieht dies auf Grundlage eines Angemessenheitsbeschlusses oder der Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO nebst ergänzenden Maßnahmen.
(3) Nutzt der Verantwortliche die Möglichkeit, einen eigenen KI-Zugangsschlüssel (Anthropic-API-Key) zu hinterlegen, ist er für diese konkrete Übermittlung selbst Verantwortlicher und Datenexporteur; die Auftragsverarbeiterin führt die Anfrage in diesem Fall lediglich technisch aus.
(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte betroffener Personen verantwortlich. Er stellt insbesondere sicher, dass er die hochgeladenen Daten verarbeiten und der Auftragsverarbeiterin überlassen darf.
(2) Für die Haftung gelten die Regelungen der AGB § 10 entsprechend, soweit Art. 82 DSGVO nicht zwingend etwas anderes vorsieht.
(1) Bei Widerspruch zwischen diesem Vertrag und dem Hauptvertrag gehen im Hinblick auf den Datenschutz die Regelungen dieses Vertrages vor.
(2) Änderungen bedürfen der Textform. Es gilt deutsches Recht. Gerichtsstand ist der Sitz der Auftragsverarbeiterin, soweit gesetzlich zulässig.
Stand: 4. September 2026.
Der jeweils aktuelle, ausführliche Stand der technischen und organisatorischen Maßnahmen wird intern dokumentiert und auf Anfrage in geeigneter Form nachgewiesen.
BAS Future Solutions UG (haftungsbeschränkt) i. G., vertreten durch den Geschäftsführer Barthold Schalkewitz, Am Goldenen Eck 31, 30890 Barsinghausen. Weitere Angaben im Impressum. Stand dieses Vertrages: 4. September 2026.