[ Rechtliches ] Art. 28 DSGVO

Vertrag über die Auftragsverarbeitung

Wenn Sie Diktum einsetzen und dabei personenbezogene Daten Ihrer Kundinnen und Kunden verarbeiten, verarbeiten wir diese Daten in Ihrem Auftrag. Sie bleiben Verantwortlicher im Sinne der DSGVO, wir sind Auftragsverarbeiter. Diese Rollenverteilung ist keine Formalie, sondern bestimmt, wem die Daten gehören und wer über sie entscheidet.

Zwischen dem Auftraggeber und dem Auftragnehmer wird der nachfolgende Vertrag über die Verarbeitung personenbezogener Daten im Auftrag geschlossen, nachfolgend „Vereinbarung“ oder „AVV“.

Vertragsparteien

Auftraggeber (Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO)

Firma oder Name: ________________________________________
Anschrift: ____________________________________________
Vertreten durch: ______________________________________
E-Mail und Telefon: ___________________________________
– nachfolgend „Auftraggeber“ –

Auftragnehmer

InnovaCore UG (haftungsbeschränkt)
Goethestraße 24, 99096 Erfurt
Vertreten durch den Geschäftsführer Martin Maack
Datenschutzbeauftragter: Rechtsanwalt Michael Menzel, Goethestraße 24, 99096 Erfurt
– nachfolgend „Auftragnehmer“ oder „Anbieter“ –

Präambel

Der Auftragnehmer stellt dem Auftraggeber die Software Diktum als Software-as-a-Service zur Verfügung. Diktum erstellt aus aufgezeichneten Beratungsgesprächen ein strukturiertes Beratungsprotokoll, belegt jede Aussage mit einer Fundstelle im Transkript und versiegelt das Dokument nach der Freigabe durch die beratende Person.

Der Auftraggeber verarbeitet mithilfe der Software personenbezogene Daten seiner eigenen Kundinnen, Kunden und Interessenten und ist hinsichtlich dieser Daten Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Der Auftragnehmer verarbeitet diese Daten ausschließlich weisungsgebunden und ohne eigene Zweckbestimmung; es liegt eine Auftragsverarbeitung nach Art. 28 DSGVO vor.

Der Auftraggeber und der Auftragnehmer sind rechtlich selbstständige Personen. Diese Vereinbarung regelt die datenschutzrechtlichen Rechte und Pflichten der Parteien und konkretisiert den zwischen ihnen bestehenden Vertrag über die Nutzung der Software, nachfolgend „Hauptvertrag“.

§ 1 Gegenstand und Dauer des Auftrags

(1) Gegenstand des Auftrags ist die Bereitstellung und der Betrieb der Software Diktum als Software-as-a-Service einschließlich der damit verbundenen Speicherung und Verarbeitung der vom Auftraggeber eingegebenen und aufgezeichneten personenbezogenen Daten. Die konkrete Leistung ergibt sich aus dem Hauptvertrag und den gebuchten Modulen.

(2) Die Verarbeitung umfasst sämtliche Tätigkeiten des Auftragnehmers, die eine Verarbeitung personenbezogener Daten im Sinne der DSGVO darstellen, insbesondere Erheben, Speichern, Bereithalten, Auslesen, Transkribieren, KI-gestütztes Auswerten, Sichern sowie Löschen im Rahmen des Betriebs der Software.

(3) Die Vereinbarung beginnt mit ihrer beidseitigen Annahme, auch durch elektronische Bestätigung im Rahmen des Login-Prozesses, wird auf unbestimmte Zeit geschlossen und endet mit Beendigung des Hauptvertrags. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.

§ 2 Art und Zweck der Verarbeitung

(1) Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Verwenden einschließlich der Transkription und der KI-gestützten Strukturierung, Übermitteln an vom Auftraggeber veranlasste Empfänger, Einschränken, Löschen und Vernichten personenbezogener Daten im Rahmen der Nutzung der Software.

(2) Zweck der Verarbeitung: Bereitstellung und Betrieb der Aufzeichnungs-, Transkriptions-, Protokollierungs- und Dokumentationsfunktionen von Diktum für den Auftraggeber, insbesondere zur Erfüllung von dessen eigenen Dokumentationspflichten. Der Auftragnehmer verarbeitet die Daten ausschließlich zu diesen Zwecken und nicht für eigene Zwecke. Eine Nutzung der Gesprächsdaten des Auftraggebers zum Training von KI-Modellen findet nicht statt.

§ 3 Art der Daten und Kategorien betroffener Personen

Gegenstand der Verarbeitung sind, abhängig von den vom Auftraggeber genutzten Funktionen, insbesondere folgende Datenarten:

Kategorien personenbezogener Daten

• Stammdaten (Name, Anrede, Firma, Geburtsdatum, Beruf)
• Kontaktdaten (Adresse, Telefon, Mobil, E-Mail)
• Vertrags- und Spartendaten sowie Angaben zur Bedarfssituation, soweit im Gespräch erhoben
• Gesprächsaufnahmen (Audio), daraus erzeugte Transkripte und deren Zeitmarken
• Beratungsprotokolle einschließlich Entwurfs- und Freigabeversionen sowie der zugehörigen Siegel- und Hashwerte
• Dokumente und erzeugte PDF-Dateien
• Nachweise über die Einwilligung der aufgezeichneten Person in die Aufnahme
• Nutzer- und Zugangsdaten der Beschäftigten des Auftraggebers (Name, E-Mail, Rolle, Login-Zeiten, Zwei-Faktor-Authentifizierung)

Hinweis: Diktum ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO bestimmt. Werden solche Daten dennoch in ein Gespräch eingebracht, sind hierfür eine gesonderte Rechtsgrundlage, insbesondere § 22 BDSG oder eine ausdrückliche Einwilligung, sowie ergänzende Weisungen des Auftraggebers maßgeblich.

Kategorien betroffener Personen

• Kundinnen, Kunden und Interessenten des Auftraggebers
• weitere am Gespräch beteiligte Personen, deren Äußerungen aufgezeichnet werden
• Beschäftigte und Ansprechpartner des Auftraggebers

Art und Umfang der konkret verarbeiteten Daten bestimmt allein der Auftraggeber durch seine Eingaben und die genutzten Funktionen. Dem Auftragnehmer sind die konkreten Inhalte im Regelfall nicht bekannt; sensible Inhalte werden verschlüsselt gespeichert, siehe § 8 und Anlage 1.

§ 4 Weisungsrecht des Auftraggebers

(1) Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach den dokumentierten Weisungen des Auftraggebers, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaates zur Verarbeitung verpflichtet.

(2) Die Weisungen werden zunächst durch diesen Vertrag und den Hauptvertrag festgelegt und können danach in Textform durch Einzelweisungen geändert oder ergänzt werden. Die im Rahmen der Software vorgesehenen Konfigurations- und Bedienmöglichkeiten, etwa Modulbuchung, Aufbewahrungsfristen, Export und Löschung, gelten als dokumentierte Weisungen. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(3) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, und kann deren Umsetzung bis zur Bestätigung oder Änderung aussetzen.

§ 5 Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich insbesondere:

• die Verarbeitung ausschließlich weisungsgebunden und im Rahmen dieser Vereinbarung durchzuführen und die Daten des Auftraggebers nicht für eigene Zwecke zu nutzen oder unbefugt an Dritte weiterzugeben;
• die zur Verarbeitung befugten Personen zur Vertraulichkeit zu verpflichten, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen; die Vertraulichkeit besteht auch nach Beendigung des Auftrags fort;
• die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß § 8 und Anlage 1 einzuhalten und dem Stand der Technik anzupassen;
• den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO im Rahmen seiner Möglichkeiten zu unterstützen;
• den Auftraggeber unverzüglich zu informieren, wenn ihm eine Verletzung des Schutzes personenbezogener Daten des Auftraggebers bekannt wird, und ihn bei den erforderlichen Meldungen nach Art. 33 und 34 DSGVO zu unterstützen;
• dem Auftraggeber die zur Erfüllung von Betroffenenrechten nach § 6 erforderliche Unterstützung durch geeignete technische und organisatorische Maßnahmen zu leisten;
• dem Auftraggeber alle zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung zu stellen und Überprüfungen zu ermöglichen, siehe § 9;
• einen Datenschutzbeauftragten bestellt zu haben, Herrn Rechtsanwalt Michael Menzel, und einen Ansprechpartner für Datenschutzfragen zu benennen.

§ 6 Rechte betroffener Personen

(1) Wendet sich eine betroffene Person mit einem Antrag auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch unmittelbar an den Auftragnehmer, leitet dieser den Antrag unverzüglich an den Auftraggeber weiter und beantwortet ihn nicht selbst.

(2) Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei der Beantwortung solcher Anträge. Die Software stellt hierfür Werkzeuge zur Verfügung, unter anderem den Export der zu einer Person gespeicherten Daten sowie deren Anonymisierung oder Löschung. Für über die vertragliche Leistung hinausgehende Unterstützung kann der Auftragnehmer eine angemessene Vergütung verlangen.

§ 7 Pflichten des Auftraggebers

(1) Der Auftraggeber ist als Verantwortlicher für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen allein verantwortlich. Dies umfasst insbesondere das Vorliegen einer Rechtsgrundlage für die Aufzeichnung des Gesprächs und die Einholung sowie Dokumentation der Einwilligung aller aufgezeichneten Personen.

(2) Der Auftraggeber erteilt alle Weisungen dokumentiert und informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten in datenschutzrechtlicher Hinsicht feststellt.

(3) Der Auftraggeber ist für die von ihm vergebenen Zugangsberechtigungen, Rollen und Rechte innerhalb der Software sowie für die Sensibilisierung seiner Beschäftigten verantwortlich, insbesondere für die Nutzung der Zwei-Faktor-Authentifizierung und für Datensparsamkeit bei Aufnahmen.

(4) Der Auftraggeber prüft und gibt die von der Software erzeugten Protokolle vor deren Verwendung frei. Die inhaltliche Richtigkeit des Protokolls verantwortet der Auftraggeber.

§ 8 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

(1) Der Auftragnehmer trifft die zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus erforderlichen Maßnahmen nach Art. 32 DSGVO. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 1 dargestellt.

(2) Die Maßnahmen können an den Stand der Technik angepasst werden; das geschuldete Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren.

(3) Der Auftragnehmer betreibt ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit dieser Maßnahmen nach Art. 32 Abs. 1 lit. d DSGVO, unter anderem durch fortlaufende Datei-Integritätsüberwachung und Audit-Logging.

§ 9 Nachweise und Kontrollen

(1) Der Auftragnehmer weist die Einhaltung der Pflichten aus Art. 28 DSGVO auf Anforderung durch geeignete Nachweise nach, etwa durch die Beschreibung der technischen und organisatorischen Maßnahmen sowie durch Nachweise und Zertifizierungen der eingesetzten Unterauftragnehmer.

(2) Der Auftraggeber ist berechtigt, sich von der Einhaltung dieser Vereinbarung zu überzeugen. Kontrollen sind nach rechtzeitiger Ankündigung, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs zulässig, soweit tatsächliche Anhaltspunkte dies rechtfertigen. Vorrangig erfolgt der Nachweis durch aussagekräftige Unterlagen.

(3) Für über den üblichen Umfang hinausgehende Nachweis- und Unterstützungsleistungen kann der Auftragnehmer eine angemessene Vergütung verlangen.

§ 10 Unterauftragsverhältnisse

(1) Der Auftraggeber erteilt seine allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragnehmer sind in Anlage 2 aufgeführt und werden hiermit ausdrücklich genehmigt.

(2) Der Auftragnehmer schließt mit jedem Unterauftragnehmer einen Vertrag zur Auftragsverarbeitung ab, der im Wesentlichen dieselben Datenschutzpflichten enthält, und haftet gegenüber dem Auftraggeber für deren Einhaltung (Art. 28 Abs. 4 DSGVO).

(3) Der Auftragnehmer informiert den Auftraggeber rechtzeitig über jede beabsichtigte Änderung, also über die Hinzuziehung oder Ersetzung von Unterauftragnehmern. Der Auftraggeber kann aus wichtigem datenschutzrechtlichen Grund innerhalb angemessener Frist widersprechen.

(4) Soweit ein Unterauftragnehmer außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums verarbeitet, stellt der Auftragnehmer geeignete Garantien nach Art. 44 ff. DSGVO sicher, siehe Anlage 2, Abschnitt Drittlandbezug.

§ 11 Löschung und Rückgabe von Daten

(1) Nach Abschluss der Verarbeitungsleistungen löscht der Auftragnehmer nach Wahl des Auftraggebers alle personenbezogenen Daten oder gibt sie in einem gängigen Format zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Dies gilt ausdrücklich auch für vorhandene Sicherungskopien.

(2) Die Löschung ist auf Verlangen des Auftraggebers zu dokumentieren.

§ 12 Haftung

(1) Für die Haftung gelten die gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO, sowie die im Hauptvertrag vereinbarten Haftungsregelungen, soweit diese nicht gegen zwingendes Recht verstoßen.

(2) Bei Ansprüchen betroffener Personen unterstützen sich die Parteien gegenseitig bei der Aufklärung des Sachverhalts.

§ 13 Schlussbestimmungen

(1) Werden die Daten des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter oder ein Insolvenzverfahren gefährdet, informiert der Auftragnehmer den Auftraggeber unverzüglich und weist auf die alleinige Datenhoheit des Auftraggebers hin.

(2) Änderungen und Ergänzungen bedürfen der Schrift- oder Textform. Dies gilt auch für die Aufhebung dieses Formerfordernisses.

(3) Widersprechen sich diese Vereinbarung und der Hauptvertrag, gehen in Bezug auf den Datenschutz die Regelungen dieser Vereinbarung vor.

(4) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck möglichst nahekommt.

(5) Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die folgenden Maßnahmen des Auftragnehmers gewährleisten ein dem Risiko angemessenes Schutzniveau. Der Betrieb erfolgt bei den in Anlage 2 genannten Unterauftragnehmern; deren Rechenzentrums- und Infrastrukturmaßnahmen sind Bestandteil dieser Maßnahmen.

1. Verschlüsselung und Pseudonymisierung (Art. 32 Abs. 1 lit. a)

• Feldverschlüsselung personenbezogener Datenbankfelder mit AES-256 und je Wert eigenem Initialisierungsvektor: unter anderem Stammdaten, Kontaktdaten, Notizen, Transkripte und Protokollinhalte.
• Verschlüsselung ruhender Daten: Gesprächsaufnahmen und hochgeladene Dokumente werden verschlüsselt im geschützten Speicher abgelegt, nicht im öffentlich erreichbaren Verzeichnis.
• Blind Index auf Basis von HMAC-SHA256 für die exakte Suche über verschlüsselte Felder, ohne diese zu entschlüsseln. Gesucht wird nie über Klartext.
• Verschlüsselte Datenübertragung: HTTPS-Zwang mit HSTS, Zertifikatsprüfung bei allen ausgehenden Verbindungen, Auslieferung von Audiodateien nur über zeitlich begrenzte, signierte Adressen.
• Datensparsamkeit bei Aufnahmen: Die Aufnahme bleibt technisch gesperrt, solange die Einwilligung der aufgezeichneten Person nicht dokumentiert ist.

2. Vertraulichkeit, Zugangs- und Zugriffskontrolle (Art. 32 Abs. 1 lit. b)

• Passwörter ausschließlich als bcrypt-Hash; Klartext-Passwörter werden nie gespeichert.
• Zwei-Faktor-Authentifizierung nach RFC 6238 (TOTP) für Nutzer und Administratoren; die TOTP-Geheimnisse werden verschlüsselt gespeichert.
• Sitzungen mit Secure-, HttpOnly- und SameSite-Cookies, Erneuerung der Sitzungskennung bei Anmeldung und nach der Zwei-Faktor-Prüfung als Schutz gegen Session-Fixation.
• Brute-Force-Schutz serverseitig, mit Sperren je Konto und je IP-Adresse und eskalierender Verzögerung.
• CSRF-Schutz bei allen verändernden Anfragen.
• Betrieb in zutrittskontrollierten, zertifizierten Rechenzentren mit Zutrittskontrolle, Videoüberwachung und Bewachung.

3. Trennungskontrolle und Berechtigungen

• Strikte Mandantentrennung: Jede Datenzeile trägt die Kennung ihres Mandanten, die Filterung auf den angemeldeten Mandanten wird im Datenzugriff erzwungen. Ein mandantenübergreifender Zugriff ist nicht vorgesehen.
• Rollen- und Rechtekonzept mit feingranularen Rechten je Aktion sowie der Möglichkeit, die Sichtbarkeit auf die eigenen Kunden zu beschränken.
• Getrennter Administrations- und Betreiberbereich mit eigener Anmeldung und eigener Zwei-Faktor-Authentifizierung.

4. Integrität (Art. 32 Abs. 1 lit. b)

• Protokollversionen sind nach der Freigabe unveränderbar und über eine fortlaufende Hash-Kette abgesichert; jede nachträgliche Änderung ist erkennbar und erzeugt eine neue Version.
• Jeder Protokollsatz trägt seine Fundstelle im Transkript. Sätze ohne Fundstelle blockieren die Freigabe.
• Upload-Allowlist, Größenbegrenzung, keine Ausführung im Upload-Verzeichnis, Integritäts-Hash nach SHA-256 je Dokument.
• Datei-Integritätsüberwachung: SHA-256-Basislinie aller Programm- und Konfigurationsdateien, Erkennung geänderter, neuer und gelöschter Dateien, automatischer Abgleich mit Alarmierung per E-Mail.
• Prepared Statements gegen SQL-Injection, Ausgabe-Escaping gegen Cross-Site-Scripting, Sicherheits-Header (nosniff, X-Frame-Options, Referrer-Policy, Permissions-Policy, HSTS, Content-Security-Policy).

5. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b, c)

• Redundante Strom-, Kühl- und Netzanbindung sowie Brandschutz in den Rechenzentren der Anbieter, DDoS- und Firewall-Schutz, Web Application Firewall.
• Regelmäßige, verschlüsselte Datensicherungen mit definierten Aufbewahrungszeiträumen und geprüfter Wiederherstellbarkeit.
• Überwachung der automatischen Abläufe mit Ausfallerkennung.

6. Nachvollziehbarkeit und Überprüfung (Art. 32 Abs. 1 lit. d, Art. 25)

• Audit-Log sicherheits- und datenschutzrelevanter Aktionen: Anlegen, Ändern und Löschen, Ansehen sensibler Daten, Downloads und Anmeldungen.
• Löschfristen je Mandant einstellbar; Soft-Delete mit Wiederherstellbarkeit, endgültige Löschung dort, wo eine Löschung nach der DSGVO geboten ist.
• Regelmäßige Sicherheitsupdates, datenschutzfreundliche Voreinstellungen (Privacy by Design und by Default), Verpflichtung aller Beteiligten auf Vertraulichkeit.

Anlage 2 — Genehmigte Unterauftragnehmer

Der Auftraggeber genehmigt den Einsatz der nachfolgend aufgeführten Unterauftragnehmer (Art. 28 Abs. 2 DSGVO):

Drittlandbezug: Die Speicherung sowie die KI-Verarbeitung finden in der Europäischen Union statt. Ein regelmäßiger Drittlandtransfer besteht nicht. Da Deepgram, Inc. ein US-Unternehmen ist, werden für ein etwaiges Restrisiko Standardvertragsklauseln beziehungsweise das EU-US Data Privacy Framework herangezogen und ein Transfer-Impact-Assessment geführt.

Änderungen: Der Auftragnehmer informiert den Auftraggeber rechtzeitig über beabsichtigte Änderungen dieser Liste. Dem Auftraggeber steht ein Widerspruchsrecht aus wichtigem datenschutzrechtlichen Grund zu, siehe § 10 Abs. 3.

Vertrag anfordern

Diesen Vertrag stellen wir Ihnen vor Vertragsschluss unterschriftsreif zur Verfügung. Schreiben Sie uns, dann senden wir Ihnen die auf Ihr Unternehmen ausgefüllte Fassung zu.

AVV anfordern

Stand: 08.09.2026