Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag gilt zwischen Ihnen als Kunde (Verantwortlicher) und Ad Vitam Invest AB (firmiert als ProfitLens Consulting) (Auftragsverarbeiter) und wird mit Beginn der Nutzung des Dienstes wirksam. Eine Unterschrift ist nicht erforderlich; es gilt die jeweils veröffentlichte Fassung, die auf dieser Seite heruntergeladen werden kann.

Bei Widersprüchen zwischen diesem Vertrag und den Kaufbedingungen geht dieser Vertrag in Fragen der Verarbeitung personenbezogener Daten vor.

Die Verarbeitung umfasst die automatisierte Preisanalyse: Speicherung von Kundendateien, Qualitätsprüfungen, deterministische Berechnungen im Browser des Kunden, Interviews, Transkripte, Analyseergebnisse, Berichte und Präsentationsinhalte. Die KI-Unterstützung nutzt Azure OpenAI in der EU. Die Sprachfunktion ist optional, wird ausschließlich von der befragten Person aktiviert und kann deaktiviert werden; ProfitLens zeichnet keine Audiodaten auf und speichert diese nicht, sondern speichert ausschließlich schriftliche Transkripte.

Für Hilfestellungen durch den Hilfeassistenten wird eine begrenzte Zusammenfassung von Spaltennamen, Zuordnungen, Prüfergebnissen und, sofern aktiviert, pseudonymisierten Beispielzeilen an Azure OpenAI in der EU übermittelt. Der Kunde kann die Weitergabe von Beispielzeilen deaktivieren. Microsoft verwendet diese Inhalte nicht zum Training von Basismodellen; seine jeweils geltenden Bedingungen zu Sicherheit und Missbrauchsüberwachung können eine begrenzte Aufbewahrung gestatten.

Die Verarbeitung dauert an, solange Sie den Dienst nutzen, sowie für die in der Datenschutzerklärung genannten Speicherfristen.

Betroffene: Ihre Mitarbeitenden, die den Dienst nutzen, Interviewteilnehmende sowie Personen, die in hochgeladenen Daten vorkommen können, etwa Vertriebsmitarbeitende oder Ansprechpartner Ihrer Kunden.

Daten: Name, Funktion, E-Mail, Kundenkennungen und Transaktionsdaten. Besondere Kategorien nach Art. 9 DSGVO dürfen nicht hochgeladen werden. Kundennamen können maskiert werden, sofern die Maskierung konsistent ist.

Wir verarbeiten personenbezogene Daten ausschließlich nach Ihren dokumentierten Weisungen; die Nutzung des Dienstes und diese Bedingungen bilden die Weisung.

Zugriffsberechtigtes Personal ist zur Vertraulichkeit verpflichtet. Der Zugriff ist rollenbasiert und auf das Erforderliche beschränkt.

Wir treffen geeignete technische und organisatorische Maßnahmen nach Art. 32: Verschlüsselung im Ruhezustand und bei der Übertragung, Trennung je Konto und Analyse, Protokollierung und Wiederherstellungsverfahren.

Wir unterstützen Sie bei der Beantwortung von Betroffenenanfragen sowie bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen im zumutbaren Umfang.

Wir informieren Sie unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, über Verletzungen des Schutzes Ihrer Daten.

Nach Vertragsende löschen wir Ihre personenbezogenen Daten oder geben sie auf Wunsch innerhalb von dreißig Tagen zurück, soweit keine gesetzliche Aufbewahrungspflicht besteht.

Sie erteilen eine allgemeine vorherige Genehmigung zum Einsatz von Unterauftragsverarbeitern. Wir verpflichten jeden Unterauftragsverarbeiter mindestens im Umfang dieses Vertrags und haften für deren Verarbeitung wie für unsere eigene.

Aktuelle Unterauftragsverarbeiter und Funktionen: Microsoft Ireland Operations Limited (Azure Blob Storage, Kundendateien in Schweden; Azure Database for PostgreSQL, Transkripte, Analysen, Berichte und Präsentationsinhalte in Irland; Azure OpenAI, Text-KI und optionale Sprachverarbeitung/Transkription in der EU Data Zone). Supabase (Website und Anwendungsplattform, serverseitiger Zugriff und Dienstorchestrierung, Konten, Authentifizierung, Zugriffsmetadaten und Guthaben). E-Mail-Anbieter stellen Systembenachrichtigungen zu. Diese Zuordnung beschreibt die genutzten Dienste; sie enthält keine Aussage dahingehend, dass Hosting oder Support ausschließlich in der EU erfolgen.

Wir informieren Sie, bevor ein neuer Unterauftragsverarbeiter eingesetzt wird. Sie können aus sachlichen Gründen widersprechen; können wir dem nicht abhelfen, dürfen Sie den Dienst kündigen und erhalten nicht genutzte Guthaben erstattet.

Die primäre Speicherung von Kundeninhalten erfolgt in Azure-EU-Regionen: Dateien in Sweden Central (Schweden) sowie Transkripte, Analyseergebnisse, Berichte und Präsentationsinhalte in North Europe (Irland). Die Inferenz durch Azure OpenAI in der EU Data Zone kann in verschiedenen EU-Mitgliedstaaten stattfinden. Globale KI-Bereitstellungen werden nicht genutzt. Deterministische Berechnungen werden lokal im Browser des Kunden ausgeführt. Speicherung und Inferenz in der EU bedeuten nicht, dass jeder Anwendungsserver oder unterstützende Dienstleister Daten ausschließlich innerhalb der EU verarbeitet.

Vorübergehende Kopien von Kundeninhalten im bisherigen Supabase-EU-Speicher bleiben während der Überprüfung und zur Absicherung eines Rückfalls bestehen. Die endgültige Entfernung bedarf einer gesondert genehmigten Löschung und erfolgt nicht automatisch bei einer Änderung dieser Bedingungen. Für Zugriffe aus Drittländern oder Übermittlungen in Drittländer durch unterstützende Dienstleister wenden wir die Übermittlungsgarantien der GDPR an, einschließlich Standardvertragsklauseln, soweit erforderlich. Die jeweils geltenden Datenschutz- und Dienstbedingungen von Microsoft regeln auch die Sicherheits- und Missbrauchsüberwachung; eine Ausnahme, die jegliche Aufbewahrung ausschließt, wurde nicht verifiziert.

Auf Anfrage stellen wir die Unterlagen bereit, die zum Nachweis der Pflichten nach Art. 28 DSGVO erforderlich sind. Eine Prüfung kann einmal jährlich mit angemessener Vorankündigung erfolgen, ohne Daten anderer Kunden offenzulegen.

KI-Unterstützung wird nur in wenigen Schritten eingesetzt und erhält niemals den vollständigen hochgeladenen Datensatz. Die Berechnungen erfolgen in versioniertem Code ohne KI.

Bevor Beispielwerte an einen KI-Unterauftragsverarbeiter gesendet werden, werden Kundennamen, Artikelnamen, Vertriebsmitarbeitende und Segmente durch stabile Codes ersetzt. Die Übersetzungstabelle wird temporär im Arbeitsspeicher erzeugt und nicht gespeichert.

Der Kunde kann Standard (codierte Beispielwerte), Eingeschränkt (nur Spalten- und Blattnamen) oder Keine KI auf Daten (KI-Unterstützung in den Datenschritten abgeschaltet) wählen. Die Einstellung gilt für das Konto und kann je Analyse geändert werden.

Vor jedem KI-Aufruf kann der Kunde den exakt gesendeten Text einsehen. Jeder Aufruf wird pro Analyse protokolliert – mit Zeitpunkt, Schritt, Modus, Zeichenanzahl und ob Beispielwerte enthalten waren; das Protokoll ist herunterladbar und unterstützt Ihre Dokumentation nach Art. 30 DSGVO.