Auftragsverarbeitung

Dies ist die verbindliche Fassung. Zum Verständnis gibt es Übersetzungen ins Englische und Französische; verbindlich ist allein dieser deutsche Text.

§ 1 Gegenstand, Parteien, Dauer

Dieser Vertrag konkretisiert die Pflichten aus Art. 28 DSGVO für Institutslizenzen: BlueAgent als eigene Installation, die wir für Ihre Einrichtung betreiben. Verantwortlicher ist die Einrichtung, die die Institutsvereinbarung schließt; Auftragsverarbeiter ist der im Impressum genannte Unternehmer („wir“). Der Vertrag gilt für die Dauer der Institutsvereinbarung; eine unterschriebene Fassung gehört zu ihr.

Wer über den Shop Plätze für Dritte kauft und dafür eine Auftragsverarbeitung braucht, bekommt denselben Vertrag auf Anfrage.

§ 2 Was verarbeitet wird

Zweck der Verarbeitung ist der Betrieb der Installation: Speichern, Bereitstellen und Verarbeiten dessen, was Ihre Nutzer darin anlegen — einschließlich der KI-Inferenz, wenn sie den Agenten verwenden.

Datenarten

Kontodaten (Name, E-Mail-Adresse, Passwort als Hash). Inhaltsdaten (Reaktorentwürfe, CAD-Modelle und Plots, Dateien, Notizen der Wissensbasis, Unterhaltungen mit dem Agenten). Protokoll- und Nutzungsdaten (IP-Adressen in Serverprotokollen; je Interaktion Zeitpunkt, Modell und Tokenzahl — nicht der Inhalt).

Betroffene

Die Nutzer, die Ihre Einrichtung anlegt oder einlädt: Studierende, Forschende, Mitarbeiter.

§ 3 Weisungen

Wir verarbeiten nur auf dokumentierte Weisung. Die Institutsvereinbarung samt diesem Vertrag ist die erste; weitere brauchen Textform. Halten wir eine Weisung für datenschutzwidrig, sagen wir das, bevor wir sie ausführen.

§ 4 Vertraulichkeit

Auf unserer Seite arbeitet mit Ihren Daten genau eine Person: der im Impressum Genannte, der Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO). Kommt jemals jemand dazu, wird er vor dem ersten Zugriff genauso verpflichtet.

§ 5 Sicherheit

Die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO stehen in der Anlage. Wir dürfen sie fortschreiben, solange das Schutzniveau dabei nicht sinkt.

§ 6 Unterauftragsverarbeiter

Sie genehmigen die unten genannten Unterauftragsverarbeiter allgemein. Änderungen an dieser Liste kündigen wir mindestens 30 Tage vorher per E-Mail an; widersprechen Sie aus einem datenschutzrechtlichen Grund, können Sie die Institutsvereinbarung zum Wirksamwerden der Änderung kündigen. Jedem Unterauftragsverarbeiter legen wir die Pflichten dieses Vertrags auf (Art. 28 Abs. 4 DSGVO).

netcup GmbH

Hosting. Daimlerstraße 25, 76185 Karlsruhe, Deutschland.

Scaleway SAS

Zustellung unserer E-Mails, nur Konto- und Vorgangsmail. Frankreich.

Anthropic PBC

KI-Inferenz, nur soweit sie auf unserem Key läuft: die Nachricht und der zugehörige Projektkontext gehen zur Beantwortung an Anthropic (USA). Grundlage der Übermittlung sind die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) im Data Processing Addendum von Anthropic; nach dessen API-Bedingungen wird mit diesen Daten nicht trainiert. Bringt Ihre Einrichtung ihren eigenen Anthropic-Key mit, ist Anthropic ihr eigener Vertragspartner und kein Unterauftragsverarbeiter von uns.

§ 7 Rechte der Betroffenen

Wendet sich eine betroffene Person an uns, leiten wir die Anfrage unverzüglich an Ihre Einrichtung weiter und beantworten sie nicht selbst. Bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit unterstützen wir mit dem, was die Installation hergibt: Export, Korrektur und echtes Löschen der gespeicherten Daten.

§ 8 Meldungen und Unterstützung

Eine Verletzung des Schutzes personenbezogener Daten melden wir Ihrer Einrichtung unverzüglich, nachdem wir von ihr wissen — mit dem, was Art. 33 Abs. 3 DSGVO nennt, soweit es uns zu dem Zeitpunkt bekannt ist. Bei Meldung, Benachrichtigung, Datenschutz-Folgenabschätzung und Konsultation (Art. 32 bis 36 DSGVO) unterstützen wir mit dem, was wir wissen und haben.

§ 9 Löschen und Zurückgeben

Endet die Institutsvereinbarung, exportieren wir auf Wunsch zuerst die Inhaltsdaten in gängigen Formaten. Danach löschen wir alle personenbezogenen Daten des Auftrags binnen 30 Tagen; Serverprotokolle laufen in ihrem eigenen Zyklus aus (Anlage). Unsere eigenen Belege — die Rechnungen an Ihre Einrichtung — behalten wir sieben Jahre (§ 132 BAO); dafür sind wir Verantwortlicher, nicht Auftragsverarbeiter.

§ 10 Nachweise und Prüfungen

Wir stellen die Informationen bereit, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind — diese Seite und ihre Anlage sind der Anfang. Prüfungen, auch vor Ort, sind nach angemessener Ankündigung zu üblichen Zeiten möglich; auf Daten anderer Mandanten erstreckt sich keine Prüfung. Soweit aussagekräftige Unterlagen genügen, dürfen wir den Nachweis damit führen.

§ 11 Schluss

Es gilt österreichisches Recht. Vertragssprache ist Deutsch. Übersetzungen dieses Vertrags — derzeit eine englische und eine französische Fassung — dienen nur der Verständlichkeit; verbindlich ist allein der deutsche Text. Im Übrigen gilt die Institutsvereinbarung.

Anlage: Technische und organisatorische Maßnahmen

Transport

TLS auf allen Verbindungen.

Trennung

Ein Mandant je Einrichtung. Dateien, Threads und Entwürfe sind auf Mandantenebene getrennt; die Arbeit einer anderen Gruppe berührt Ihre nicht.

Zugriff

Zugriff auf Server und Datenbank hat genau eine Person. Passwörter der Nutzer werden nur als Hash gespeichert, hinterlegte API-Keys verschlüsselt.

Ausgeführter Code

Python, das Nutzer ausführen, läuft in einer isolierten Sandbox ohne Netzzugang; sie verlässt nichts außer der Geometrie und den Plots, die der Nutzer erzeugt.

Protokolle

Täglich gewechselt und nach 90 Tagen gelöscht. Passwörter, Token und Schlüssel werden entfernt, bevor eine Zeile auf die Platte geht.

Keine Dritten im Browser

Kein CDN, keine Analyse-Dienste, keine Schriften von außen — die Seiten laden nur sich selbst.