Vereinbarung zur Auftragsverarbeitung
Parteien und Dauer
Auftragnehmerin ist Numikeral GmbH; Auftraggeber ist das im Einzelauftrag bezeichnete Unternehmen. Die Auftragsverarbeitung umfasst die vereinbarte Forschungsleistung während der Vertragsdauer. Nach deren Ende erfolgen Rückgabe und Löschung nach den festgelegten Fristen einschließlich des Auslaufens der Sicherungen.
Gegenstand
Gegenstand ist die Verarbeitung der Eingaben „Modellportfolio und Index“ für die Ausgabe „Vergleich mit Referenzindex“. Die vereinbarte Analyse umfasst KI-gestützte Extraktion und Erklärung von Abweichungen. Verarbeitet werden Uploads, Autorenangaben, Nutzerkennungen und Ergebnisse; betroffene Personen sind Beschäftigte und Geschäftskontakte.
Echte sensible personenbezogene Daten dürfen nicht eingebracht werden. Der Kunde liefert korrekte Portfolio- und Indexbestände, klärt die Berechtigung zur Übermittlung und prüft die Ausgabe. Die Analyse ist weder Portfolioverwaltung noch Anlageempfehlung; die fachliche Entscheidung verbleibt beim Kunden.
Weisungen und Vertraulichkeit
Die Auftragnehmerin verarbeitet Kundeninhalte ausschließlich auf dokumentierte Weisung für die vereinbarte Analyse. Training mit Kundendaten und eigene Vermarktung dieser Inhalte sind ausgeschlossen. Das eingesetzte Personal ist zur Vertraulichkeit zu verpflichten; Zugriffe sind nach der jeweiligen Rolle zu begrenzen.
Problematische Weisungen werden bis zur Klärung ausgesetzt. Bei überlappenden direkten und fondsvermittelten Positionen entscheidet der verantwortliche Kundenanalyst über eine zulässige Zusammenführung; die Auftragnehmerin ersetzt diese Entscheidung nicht.
Unterauftragnehmer
Für Hosting und Sicherungen wird Wolkensteg Rechenzentren GmbH in Frankfurt eingesetzt. Modellschmiede Inferenz GmbH in Frankfurt übernimmt die isolierte Inferenz im Mandanten; Kundendaten werden nicht zum Training genutzt. Diese Leistungen bleiben auf den beauftragten Forschungszweck beschränkt.
Änderungen bei Unterauftragnehmern sind dem Kunden 14 Tage vorher mitzuteilen. Begründete Einwände und mögliche Alternativen sind zu prüfen; eine Mitteilung ersetzt diese Prüfung nicht.
Unterstützung und Prüfung
Die technischen Maßnahmen und der Löschplan dieser Fassung sind Anlagen der Vereinbarung. Die Auftragnehmerin unterstützt den Kunden bei Betroffenenanfragen, Datenschutzvorfällen und der Folgenbewertung und ermöglicht die vereinbarte Einsicht in einschlägige Unterlagen.
Die Prüfung stützt sich auf die verfügbaren Nachweise. Eine unabhängige Zertifizierung nach ISO 27001 oder SOC 2 liegt nicht vor; aus der Einsicht darf keine solche Zertifizierung abgeleitet werden.
Vorfälle
Bestätigte Vorfälle sind dem Auftraggeber ohne vermeidbare Verzögerung zu melden. Das interne vertragliche Meldeziel beträgt 24 Stunden nach Bestätigung. Dieses Ziel ist keine Aussage über gesetzliche Meldefristen und ersetzt nicht die Prüfung der Pflichten des verantwortlichen Kunden.
Rückgabe und Löschung
Der Kunde soll benötigte Ergebnisse vor Vertragsende exportieren. Uploads unterliegen einer Frist von 7 Tagen, Ergebnisse einer Frist von 30 Tagen; Kontodaten sind spätestens 30 Tage nach Vertragsende zu löschen. Die Auftragnehmerin stellt ein Löschprotokoll bereit.
Sicherungen laufen nach 30 Tagen aus. Bei einer Wiederherstellung müssen Löschmarkierungen erneut angewandt werden. Die Sicherungsfrist begründet weder eine unbegrenzte Ergebnisgeschichte noch eine garantierte Wiederherstellungsdauer.
Annahme
Die Vereinbarung wird durch Annahme seitens einer bevollmächtigten Kundenperson und Stefan Hartmann wirksam. Der Einzelauftrag muss den Auftraggeber und den vereinbarten Leistungsumfang bestimmen. Die Veröffentlichung dieses Vertragstextes allein begründet noch keinen geschlossenen Einzelvertrag.