Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Nutzungsbedingungen zwischen der FEYA, s.r.o., Pekná cesta 19, 831 52 Bratislava-Rača, Slowakische Republik, IČO 47 887 541 („Auftragsverarbeiter“, „Heabsy“) und dem Kunden („Verantwortlicher“, „Sie“). Er gilt, soweit Sie über die Heabsy Platform personenbezogene Daten verarbeiten. Wenn Sie für Ihre Unterlagen ein unterzeichnetes Exemplar benötigen, wenden Sie sich an legal@heabsy.com.
1. Rollen und Anwendungsbereich
Für Inhalte, die Sie an die Inferenz-API übermitteln (Prompts), und die daraus erzeugten Completions sind Sie Verantwortlicher und Heabsy ist Auftragsverarbeiter. Für die in der Datenschutzerklärung beschriebenen Website- und Kontodaten ist Heabsy eigenständiger Verantwortlicher, und dieser AVV findet keine Anwendung.
2. Gegenstand, Dauer, Art und Zweck
Gegenstand und Zweck: Erbringung der von Ihnen über den Dienst angeforderten Inferenz von KI-Modellen. Art: Übermittlung von Prompts und deren Verarbeitung im Arbeitsspeicher zur Erzeugung von Completions. Dauer: für die Laufzeit der Nutzungsbedingungen und je Anfrage nur für die zu ihrer Bearbeitung erforderliche Zeit. Bei Modellen, die auf Heabsy-Infrastruktur betrieben werden, speichert Heabsy Inhalte von Prompts und Completions nicht dauerhaft; bei Modellen, die von externen Inferenzanbietern bedient werden, werden die Inhalte an den jeweiligen Anbieter übermittelt und nach dessen eigenen Richtlinien behandelt (siehe § 5–§ 6 und die Datenschutzerklärung).
3. Art der Daten und Kategorien betroffener Personen
Sie werden von Ihnen bestimmt und kontrolliert, und zwar dadurch, was Sie zu senden beschließen. Dies kann alle personenbezogenen Daten umfassen, die in Ihren Prompts enthalten sind und sich auf betroffene Personen beziehen, die Sie einbeziehen. Sie dürfen keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO), staatlichen Kennnummern oder Daten von Kindern senden, es sei denn, Sie verfügen über eine Rechtsgrundlage und haben uns schriftlich darüber informiert; der Dienst ist für solche Daten nicht ausgelegt.
4. Pflichten des Auftragsverarbeiters
- Weisungen. Heabsy verarbeitet die Inhalte nur auf Ihre dokumentierten Weisungen — auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation —, die aus den Nutzungsbedingungen, diesem AVV und Ihrer Nutzung des Dienstes bestehen, sofern Heabsy nicht durch das Recht der Union oder der Mitgliedstaaten hierzu verpflichtet ist (in diesem Fall teilt Heabsy Ihnen dies mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet). Heabsy informiert Sie, wenn eine Weisung nach seiner Auffassung gegen die DSGVO verstößt.
- Vertraulichkeit. Die zur Verarbeitung der Inhalte befugten Personen sind zur Vertraulichkeit verpflichtet.
- Sicherheit (Art. 32 DSGVO). Heabsy trifft geeignete technische und organisatorische Maßnahmen — TLS bei der Übertragung, Authentifizierung und Zugriff nach dem Prinzip der minimalen Rechte, Verarbeitung von Inhalten auf den Inferenzknoten ausschließlich im Arbeitsspeicher ohne dauerhafte Speicherung von Inhalten, verschlüsselte Sicherungskopien der Metadaten und einen Prozess zur Reaktion auf Sicherheitsvorfälle.
- Anträge betroffener Personen (Art. 12–23 DSGVO). Unter Berücksichtigung der Art der Verarbeitung unterstützt Heabsy Sie mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen; da Inhalte nicht aufbewahrt werden, liegen bei Heabsy in der Regel keine Inhalte vor, die abgerufen werden könnten.
- Unterstützung (Art. 32–36 DSGVO). Heabsy unterstützt Sie unter Berücksichtigung der ihm zur Verfügung stehenden Informationen bei der Sicherheit der Verarbeitung, bei der Meldung von Verletzungen des Schutzes personenbezogener Daten und bei Datenschutz-Folgenabschätzungen.
- Meldung von Datenschutzverletzungen. Heabsy benachrichtigt Sie unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Ihre Inhalte betrifft.
- Löschung / Rückgabe. Bei Beendigung löscht Heabsy personenbezogene Daten nach Ihrer Wahl oder gibt sie zurück; da Inhalte nicht dauerhaft gespeichert werden, betrifft dies Konto- und Nutzungsmetadaten, vorbehaltlich gesetzlicher Aufbewahrungspflichten.
- Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO). Heabsy stellt die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht nach angemessener Vorankündigung und unter Wahrung der Vertraulichkeit Überprüfungen — einschließlich Inspektionen —, die von Ihnen oder einem von Ihnen beauftragten Prüfer durchgeführt werden, und trägt dazu bei.
5. Unterauftragsverarbeiter
Sie erteilen Heabsy die allgemeine Genehmigung, Unterauftragsverarbeiter in Anspruch zu nehmen, darunter GPU-Rechenkapazitätsanbieter im EWR (einschließlich Hosts auf GPU-Marktplätzen), die die Rechenleistung bereitstellen, auf der die Inferenz läuft, sowie — für Modelle, die als von Drittanbietern bedient gekennzeichnet sind — externe Inferenzanbieter. Heabsy erlegt Unterauftragsverarbeitern Datenschutzpflichten auf, die den in diesem AVV festgelegten im Wesentlichen gleichwertig sind. Schließt ein Unterauftragsverarbeiter für Recheninfrastruktur solche Bedingungen nicht ab, nimmt Heabsy ihn nur unter ausgleichenden technischen und organisatorischen Maßnahmen in Anspruch — insbesondere einer Verarbeitung von Inhalten ausschließlich im Arbeitsspeicher ohne dauerhafte Speicherung — und haftet Ihnen gegenüber in vollem Umfang dafür, dass dieser Unterauftragsverarbeiter seine Datenschutzpflichten erfüllt. Heabsy führt eine Liste der Unterauftragsverarbeiter (auf Anfrage erhältlich; siehe die Datenschutzerklärung, § 7) und informiert Sie mit angemessenem Vorlauf über jede beabsichtigte Hinzuziehung oder Ersetzung, sodass Sie aus nachvollziehbaren datenschutzrechtlichen Gründen Einspruch erheben können.
6. Internationale Übermittlungen
Die Inferenz für Modelle, die von Heabsy betrieben werden, wird innerhalb des EWR bereitgestellt. Befindet sich ein Unterauftragsverarbeiter außerhalb des EWR (bei von Drittanbietern bedienten Modellen oder bei Nebenleistungen), stützen sich Übermittlungen auf einen Angemessenheitsbeschluss, den EU-US-Datenschutzrahmen (EU-US Data Privacy Framework) oder auf Standardvertragsklauseln mit einer Transfer-Folgenabschätzung. Die Standardvertragsklauseln werden, soweit sie Anwendung finden, durch Verweis einbezogen.
7. Haftung und Vorrang
Die Haftungsbeschränkungen und -ausschlüsse der Nutzungsbedingungen gelten für diesen AVV. Bei Widersprüchen hinsichtlich der Verarbeitung personenbezogener Daten hat dieser AVV Vorrang vor den Nutzungsbedingungen. Dieser AVV unterliegt demselben Recht wie die Nutzungsbedingungen.
8. Kontakt
FEYA, s.r.o., Pekná cesta 19, 831 52 Bratislava-Rača, Slowakische Republik. Datenschutz: privacy@heabsy.com; Rechtliches: legal@heabsy.com.