Version 20. August 2026
Auftragsverarbeitungsvertrag
Wenn du Union AI nutzt, um personenbezogene Daten anderer Menschen zu verarbeiten, brauchst du einen Auftragsverarbeitungsvertrag. Das hier ist die Zusammenfassung; den Text zum Unterschreiben bekommst du auf Anfrage.
Dies ist eine Übersetzung. Weicht sie von der englischen Fassung ab, ist die englische Fassung maßgeblich.
Entwurf
Die unterschriftsreife Fassung anfordern
Rollen: Verantwortlicher und Auftragsverarbeiter
Du bist Verantwortlicher für die personenbezogenen Daten, die in deinen Prompts landen. Union AI ist Auftragsverarbeiter: Wir verarbeiten diese Daten ausschließlich, um deine Anfrage auszuführen, und nur auf deine Weisung. Für deine eigenen Kontodaten sind wir selbst Verantwortlicher, wie in der Datenschutzerklärung beschrieben. Welche Daten überhaupt in ein KI-Tool gehören, ist eine eigene Frage, die wir in ist ChatGPT DSGVO-konform für Unternehmensdaten durchgehen.
Gegenstand und Dauer der Verarbeitung
Die Verarbeitung umfasst den Inhalt der Prompts und die generierten Antworten und dauert so lange, wie du den Dienst nutzt. Prompts und Antworten werden nicht gespeichert: Es gibt sie nur im Arbeitsspeicher, während deine Anfrage verarbeitet wird. Es gibt also keine Aufbewahrungsfrist zu vereinbaren und am Ende nichts zu löschen.
Unterauftragsverarbeiter und Ankündigung von Änderungen
Wir setzen die Unterauftragsverarbeiter ein, die auf der Seite Unterauftragsverarbeiter stehen, die vollständige Liste, einschließlich der Anbieter mit US-Muttergesellschaft. Änderungen kündigen wir mindestens 30 Tage im Voraus an, damit du widersprechen kannst. Widersprichst du und finden wir keine Lösung, kannst du den Vertrag kündigen und bekommst nicht genutztes Guthaben erstattet.
| Kategorie | Wer | Was sie sehen |
|---|---|---|
| Inferenz | Scaleway SAS, Europäische Union | Den Prompt und die Antwort |
| Hosting | Cloudflare, Inc. | Verschlüsselten Datenverkehr am Edge |
| Datenbank | Neon (Databricks), EU-Region | Konto und Nutzung, keine Prompt-Inhalte |
| Zahlungen | Stripe Payments Europe Ltd, Irland | Abrechnungsdaten |
Übermittlungen außerhalb der EU
Die Inferenz findet ausschließlich in der Europäischen Union statt. Unsere Unterauftragsverarbeiter für Hosting, Datenbank und Zahlungen verarbeiten in europäischen Regionen, haben aber eine US-Muttergesellschaft; für sie gelten die Standardvertragsklauseln der Europäischen Kommission, zusammen mit den zusätzlichen Maßnahmen, die diese Anbieter treffen. Wir behaupten nicht, dass damit jede Frage der Rechtsordnung geklärt ist: Unsere ungeschönte Einschätzung steht unter Unterauftragsverarbeiter.
Sicherheitsmaßnahmen
Verschlüsselung bei der Übertragung und im Ruhezustand, Zugriff nur nach dem Need-to-know-Prinzip, API-Schlüssel ausschließlich als Hash gespeichert, Secrets in einem Key Vault statt im Code und regelmäßig getestete Backups der Datenbank. Wir lesen deine Prompts nicht.
Datenpannen und Unterstützung
Bei einer Verletzung des Schutzes personenbezogener Daten informieren wir dich unverzüglich, mit den Informationen, die du für deine eigene Meldepflicht brauchst. Wir unterstützen dich bei Anfragen betroffener Personen, bei einer Datenschutz-Folgenabschätzung und bei Fragen der Aufsichtsbehörde, soweit das von einem Auftragsverarbeiter vernünftigerweise verlangt werden kann.
Audits: Einmal im Jahr kannst du eine Prüfung durch eine unabhängige Stelle durchführen lassen oder unsere Berichte anfordern. Fragen zu diesem Vertrag gehen an hello@europeanailab.eu.
Häufige Fragen
Brauche ich einen AVV, um KI im Unternehmen zu nutzen?
Wenn personenbezogene Daten anderer Menschen in deinen Prompts landen, ja. Nach Art. 28 DSGVO muss ein Verantwortlicher mit jedem Auftragsverarbeiter einen schriftlichen Vertrag schließen, und ein KI-Dienst, der Daten deiner Kunden oder Beschäftigten verarbeitet, ist ein Auftragsverarbeiter. Abos für Privatkunden kommen meist ganz ohne einen solchen Vertrag.
Wer ist Verantwortlicher und wer Auftragsverarbeiter?
Du bist Verantwortlicher für die personenbezogenen Daten in deinen Prompts: Du entscheidest, was hineinkommt und wozu. Union AI ist für diese Inhalte Auftragsverarbeiter und handelt auf deine Weisung. Für deine eigenen Kontodaten sind wir selbst Verantwortlicher, wie in der Datenschutzerklärung beschrieben.
Brauche ich eine Datenschutz-Folgenabschätzung für ein KI-Tool?
Du brauchst eine, wenn die Verarbeitung voraussichtlich ein hohes Risiko für Menschen mit sich bringt. Aufsichtsbehörden sehen das bei umfangreicher Verarbeitung, bei besonderen Kategorien personenbezogener Daten und bei Entscheidungen, die Rechte einer Person berühren. KI auf Gesundheitsdaten, biometrische Daten oder Bewerbungen anzuwenden, überschreitet diese Schwelle in der Regel, deine eigene öffentliche Dokumentation damit zusammenzufassen nicht.
Wie bekomme ich den unterschriftsreifen AVV?
Schreib an hello@europeanailab.eu, und wir schicken dir den vollständigen Auftragsverarbeitungsvertrag als Dokument. Einen Download-Button gibt es bewusst nicht, solange der Text rechtlich geprüft wird, denn eine datierte Datei, die im Umlauf ist, lässt sich schwerer zurückholen als eine E-Mail.
Werden Daten außerhalb der EU übermittelt?
Die Inferenz bleibt innerhalb der Europäischen Union. Hosting, Datenbank und Zahlungen verarbeiten in europäischen Regionen, haben aber eine Muttergesellschaft in den USA, deshalb gelten für sie die Standardvertragsklauseln der Europäischen Kommission. Wir behaupten nicht, dass damit jede Frage der Rechtsordnung geklärt ist; die Seite zu den Unterauftragsverarbeitern legt unsere ungeschönte Einschätzung dar.
Wie schnell werden Datenpannen gemeldet?
Wir informieren dich unverzüglich, mit den Informationen, die du für deine eigene Meldepflicht brauchst, und die Aufsichtsbehörde wird binnen 72 Stunden benachrichtigt, wenn die Verletzung ein Risiko darstellt. Außerdem kannst du einmal im Jahr eine unabhängige Prüfung durchführen lassen oder stattdessen unsere Berichte anfordern.