Auftragsverarbeitungsvertrag

Atelyr B.V.
Version: 1
Gültig ab: 1. Mai 2026

1. Parteien

Dieser Auftragsverarbeitungsvertrag ("AVV") wird zwischen dem Verantwortlichen (dem Partner oder Endkunden, der den Hauptvertrag geschlossen hat) und Atelyr B.V. als Auftragsverarbeiter geschlossen.

Für datenschutzbezogene Fragen erreichen Sie den DSB unter [email protected].

2. Vorbemerkungen

Bei der Durchführung des Hauptvertrags verarbeitet Atelyr personenbezogene Daten im Auftrag des Verantwortlichen im Sinne von Artikel 28 DSGVO. Dieser AVV ist Bestandteil des Hauptvertrags.

3. Begriffsbestimmungen

• KI-Anbieter: ein dritter Anbieter generativer KI-Dienste.
• Datenpanne: eine Verletzung gemäß Artikel 4 Absatz 12 DSGVO.
• Endnutzer: die natürliche Person, die über die Software mit einem KI-Agenten interagiert.
• Software: die Plattform und Anwendungen von Atelyr.
• Unterauftragsverarbeiter: ein Dritter, der von Atelyr eingeschaltet wird.

4. Gegenstand und Laufzeit

Atelyr verarbeitet personenbezogene Daten ausschließlich für die Durchführung des Hauptvertrags und gemäß dokumentierten Weisungen des Verantwortlichen. Die Verarbeitungstätigkeiten sind in Anlage A aufgeführt.

5. Pflichten von Atelyr

Atelyr handelt ausschließlich nach dokumentierten Weisungen, gewährleistet Vertraulichkeit, setzt geeignete Sicherheitsmaßnahmen ein (Verschlüsselung, Zugriffskontrolle, Monitoring, Backups, Audits, Vorfallsmanagement, Schulungen), unterstützt den Verantwortlichen bei DSGVO-Pflichten und verwendet Gesprächsinhalte nicht für kommerzielle Zwecke oder Profilerstellung.

6. Automatisierte Entscheidungsfindung

Atelyr setzt keine vollständig automatisierte Entscheidungsfindung mit Rechtswirkung im Sinne von Artikel 22 DSGVO ein.

7. Pflichten des Verantwortlichen

Der Verantwortliche gewährleistet die Rechtmäßigkeit der Verarbeitung, sorgt für eine gültige Rechtsgrundlage, informiert Endnutzer und stellt Atelyr von Ansprüchen Dritter frei.

8. Unterauftragsverarbeiter

Der Verantwortliche erteilt allgemeine Genehmigung zur Einschaltung von Unterauftragsverarbeitern. Änderungen werden angekündigt. Eine aktuelle Übersicht ist unter docs.atelyr.ai verfügbar. Für vom Verantwortlichen ausgewählte KI-Anbieter schließt Atelyr in dessen Auftrag einen AVV ab.

9. Übermittlung außerhalb des EWR

Übermittlungen außerhalb des EWR erfolgen nur auf Grundlage von Angemessenheitsbeschlüssen, Standardvertragsklauseln oder anderen geeigneten Garantien.

10. Audits

Der Verantwortliche hat das Recht, die Einhaltung mit mindestens 30 Tagen schriftlicher Vorankündigung zu prüfen. Atelyr kann der Prüfpflicht durch ein aktuelles ISO 27001- oder SOC 2-Zertifikat nachkommen.

11. Rechte betroffener Personen

Atelyr unterstützt den Verantwortlichen bei der Bearbeitung von Anträgen. Direkt eingegangene Anträge werden innerhalb von fünf Werktagen weitergeleitet.

12. Datenpannen

Atelyr unterrichtet den Verantwortlichen unverzüglich und innerhalb von 48 Stunden nach Entdeckung einer Datenpanne.

13. Vertraulichkeit

Atelyr behandelt alle personenbezogenen Daten als vertraulich.

14. Beendigung und Rückgabe oder Löschung

Nach Beendigung löscht Atelyr alle personenbezogenen Daten, sofern keine gesetzliche Aufbewahrungspflicht besteht. Rückgabe kann innerhalb von 30 Tagen verlangt werden.

15. Haftung

Die Haftungsregelung des Hauptvertrags gilt. Atelyr haftet nicht für Schäden aus Weisungen des Verantwortlichen oder von ihm ausgewählten KI-Anbietern.

16. Änderungen

Atelyr kann diesen AVV mit mindestens 30 Tagen Vorankündigung ändern. Wesentliche Änderungen begründen ein Kündigungsrecht.

17. Allgemeine Bestimmungen

Dieser AVV unterliegt niederländischem Recht. Kontakt: [email protected].

Anlage A - Verarbeitungstätigkeiten

Kategorien betroffener Personen sind Nutzer und Endnutzer. Verarbeitete personenbezogene Daten umfassen Kontaktdaten, technische Daten, Audioaufzeichnungen, KI-Transkripte, Interaktionsmetadaten und Rechnungsdaten. Endnutzer-Gesprächsdaten werden maximal 90 Tage aufbewahrt.