Vereinbarung zur Auftragsverarbeitung (AVV) für sicherAI

Stand: 2026-11-03

Dokumentenkennung: ergibt sich aus dem Zustimmungsnachweis; Textfassung vom 2026-11-03

Vertragsparteien: Fabio Hossli (Einzelunternehmen nach Schweizer Recht), Produktname sicherAI, Unterdorfstrasse 10, 5082 Kaisten, Schweiz (Kanton Aargau), UID CHE-410.145.754, MWST-Nr. CHE-410.145.754 MWST und dem Kunden, das heißt der Organisation, für die diese AVV in sicherAI unterzeichnet wird; Firma, Rechtsform, Anschrift und Registerangaben ergeben sich aus dem Organisationsprofil und dem Zustimmungsnachweis.

Kontakt des Anbieters: support@sicherai.com; Datenschutzkontakt: datenschutz@sicherai.com.

Präambel

Diese AVV ergänzt den Rahmenvertrag ("Vertrag") zwischen Fabio Hossli (Einzelunternehmen nach Schweizer Recht) ("Anbieter") und dem Kunden, der auf diese AVV Bezug nimmt (Anbieter und der Kunde zusammen die "Parteien"). Diese AVV tritt automatisch mit dem Abschluss des Vertrages in Kraft und gilt ab demselben Datum wie der Vertrag. Im Rahmen der Erfüllung des Vertrages verarbeitet Anbieter die vom Kunden bereitgestellten personenbezogenen Daten. Die Parteien vereinbaren, dass Anbieter solche personenbezogenen Daten im Auftrag des Kunden verarbeitet, entweder als Auftragsverarbeiter, wenn der Kunde Verantwortlicher ist, oder als Unterauftragsverarbeiter, wenn der Kunde seinerseits ein Auftragsverarbeiter ist. Daher gilt diese AVV, wenn und soweit Anbieter bei der Erbringung von Dienstleistungen im Rahmen des Vertrags personenbezogene Daten für den Kunden verarbeitet. Die Parteien vereinbaren, dass diese AVV alle bestehenden Datenschutzbestimmungen ersetzt, die die Parteien zuvor in Verbindung mit den Dienstleistungen abgeschlossen haben.

1. Definitionen

1.1 "Kundendaten" sind alle personenbezogenen Daten, die im Rahmen der Nutzung der Dienstleistungen hochgeladen werden und die Anbieter im Rahmen der Erbringung der Dienstleistungen im Auftrag des Kunden verarbeitet.

1.2 "Verantwortlicher" ist die Person oder Gesellschaft, die die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt.

1.3 "Auftragsverarbeiter" ist die Person oder Gesellschaft, die personenbezogene Daten im Auftrag eines für die Datenverarbeitung Verantwortlichen verarbeitet.

1.4 "Datenschutzgesetze" sind alle Datenschutzgesetze, die auf die Verarbeitung personenbezogener Daten anwendbar sind. Für die EU und den EWR umfasst dies insbesondere die Datenschutz-Grundverordnung (DSGVO) und die e-Privacy-Richtlinie 2002/58/EG sowie die lokalen Gesetze der Mitgliedstaaten zum Datenschutz. Für die Schweiz umfasst dies insbesondere das Bundesgesetz über den Datenschutz (DSG) und die Datenschutzverordnung (DSV).

1.5 "EWR" ist der Europäische Wirtschaftsraum.

1.6 "EU" ist die Europäische Union.

1.7 "Personenbezogene Daten" sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

1.8 "Verarbeitung" hat die in der DSGVO festgelegte Bedeutung und umfasst jeden Vorgang oder jede Reihe von Vorgängen, die mit personenbezogenen Daten durchgeführt werden, wie das Erheben, das Erfassen, die Organisation, die Strukturierung, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung oder das Löschen von personenbezogenen Daten.

1.9 "Sicherheitsvorfall" ist jede unbefugte oder unrechtmäßige Verletzung der Sicherheit, die zur versehentlichen oder unrechtmäßigen Zerstörung, zum Verlust, zur Änderung, zur unbefugten Offenlegung von oder zum Zugriff auf Kundendaten führt.

1.10 "Dienstleistungen" hat die im Vertrag festgelegte Bedeutung.

1.11 "SCC" sind die im Anhang des Durchführungsbeschlusses (EU) 2021/914 der Kommission vom 4. Juni 2021 enthaltenen Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer.

1.12 "Unterauftragsverarbeiter" ist jeder Auftragsverarbeiter, der von Anbieter beauftragt wird, um bei der Erbringung der Dienstleistungen zu unterstützen.

2. Gegenstand dieser AVV

2.1 Diese AVV legt die Rechte und Pflichten der Parteien in Bezug auf die Verarbeitung von Kundendaten durch Anbieter im Zusammenhang mit der Erbringung der Dienstleistungen fest.

2.2 Zu diesem Zweck beauftragt der Kunde hiermit Anbieter als Auftragsverarbeiter, wenn der Kunde als Verantwortlicher handelt, oder als Unterauftragsverarbeiter, wenn der Kunde seinerseits als Auftragsverarbeiter handelt.

2.3 Diese AVV gilt für alle Kundendaten gemäß Spezifikation in Anlage 1, auf die Anbieter während der Erbringung der Dienstleistungen Zugriff hat. Dazu gehören Kundendaten, die Anbieter vom Kunden für die Erbringung der Dienstleistungen zur Verfügung gestellt werden, Kundendaten, die von Anbieter während der Erbringung der Dienstleistungen generiert werden, oder Kundendaten, auf die Anbieter auf andere Weise, z. B. direkt von betroffenen Personen, im Rahmen der Erbringung der Dienstleistungen Zugriff erhält. Diese AVV gilt nicht für Daten, die nicht als Kundendaten gelten, einschließlich nicht personenbezogener Daten, die vom Kunden zur Verfügung gestellt werden, oder Daten, die nicht als Teil der Dienstleistungen verarbeitet werden.

3. Grundsatz der Verarbeitung im Auftrag des Kunden

3.1 Anbieter ergreift geeignete technische und organisatorische Maßnahmen, um sicherzustellen, dass die Verarbeitung von Kundendaten den Anforderungen der geltenden Datenschutzgesetze entspricht und die Rechte der betroffenen Personen gewahrt werden.

3.2 Die Verarbeitung von Kundendaten durch Unterauftragsverarbeiter erfolgt an den in Anlage 2 genannten Orten, grundsätzlich im Gebiet des EWR. Anbieter hat seinen Sitz in der Schweiz; für die Schweiz hat die Europäische Kommission ein angemessenes Schutzniveau festgestellt (Entscheidung 2000/518/EG). Übertragungen von Kundendaten in ein Drittland außerhalb des EWR und der Schweiz finden nur statt, wenn Anbieter die Einhaltung der Anforderungen der geltenden Datenschutzgesetze sicherstellt und wenn solche Übertragungen durch eine geeignete Rechtsgrundlage gestützt werden, wie z. B. einen Angemessenheitsbeschluss, SCC oder andere geltende Garantien.

3.3 Der Kunde ist für die Rechtmäßigkeit der Verarbeitung der Kundendaten sowie für die Wahrung der Rechte der Betroffenen im Verhältnis der Parteien allein verantwortlich. Dazu gehört insbesondere, vor der Verarbeitung von Gesundheitsdaten oder anderen besonderen Kategorien personenbezogener Daten sicherzustellen, dass eine Voraussetzung nach Art. 9 Abs. 2 DSGVO vorliegt, etwa eine ausdrückliche Einwilligung der betroffenen Personen, und, soweit erforderlich, eine Entbindung von der Schweigepflicht einzuholen. Sollten Dritte gegen Anbieter aufgrund der Verarbeitung von Kundendaten nach Maßgabe dieser AVV Ansprüche geltend machen, wird der Kunde Anbieter von solchen Ansprüchen freistellen.

4. Weisungsrecht des Kunden

4.1 Die unter diese AVV fallenden Kundendaten werden nur in Übereinstimmung mit dokumentierten Weisungen des Kunden verarbeitet, einschließlich Weisungen zur Übermittlung von Kundendaten in ein Drittland. Wenn Anbieter nach geltendem Recht verpflichtet ist, Kundendaten ohne solche Weisungen zu verarbeiten, wird Anbieter den Kunden vor der Verarbeitung über die gesetzliche Verpflichtung informieren, es sei denn, eine solche Mitteilung ist aus Gründen des öffentlichen Interesses gesetzlich verboten.

4.2 Das Weisungsrecht des Kunden hinsichtlich Art, Umfang und Verfahren der Verarbeitung von Kundendaten ist auf den in dieser AVV und im Vertrag festgelegten Umfang beschränkt. Stimmt Anbieter einer darüber hinausgehenden Weisung zu, so hat der Kunde Anbieter die damit verbundenen Kosten und Aufwendungen zu ersetzen.

4.3 Der Kunde erteilt seine Anweisungen schriftlich, per E-Mail (in Textform) oder über die Nutzung der Funktionalitäten der Dienstleistungen.

4.4 Anbieter darf Kundendaten nicht für andere Zwecke als die Erbringung der Dienstleistungen verwenden. Diese Einschränkung gilt nicht für Sicherungskopien, die zur Sicherstellung einer ordnungsgemäßen Verarbeitung erforderlich sind, oder für Daten, die zur Erfüllung gesetzlicher Aufbewahrungspflichten aufbewahrt werden, oder für anonymisierte oder aggregierte Daten, die nicht wieder identifiziert werden können und ausschließlich für interne Geschäftszwecke, wie z. B. Analysen oder Serviceverbesserungen, verwendet werden. Kundendaten sowie daraus gewonnene anonymisierte oder aggregierte Daten werden nicht zum Training von KI-Modellen verwendet.

5. Unterauftragsverarbeiter

5.1 Anbieter wird ohne vorherige schriftliche Zustimmung des Kunden, die entweder als Einzelzustimmung oder als generelle Zustimmung erteilt werden kann, keinen Unterauftragsverarbeiter einschalten.

5.2 Der Kunde erteilt hiermit seine Zustimmung zur Beauftragung der in Anlage 2 aufgeführten Unterauftragsverarbeiter mit Wirkung ab dem Datum dieser AVV.

5.3 Der Kunde erteilt hiermit auch seine allgemeine Zustimmung zur Beauftragung weiterer Unterauftragsverarbeiter. Anbieter informiert den Kunden mindestens 30 Tage vor der erstmaligen Verarbeitung durch einen neuen Unterauftragsverarbeiter über alle beabsichtigten Änderungen der Liste der Unterauftragsverarbeiter, einschließlich der Hinzufügung oder des Austauschs eines Unterauftragsverarbeiters, und gibt dem Kunden die Möglichkeit, gegen diese Änderungen Einspruch zu erheben. Der Kunde kann aus angemessenen Gründen innerhalb von 14 Tagen nach der Benachrichtigung schriftlich Einspruch erheben, und die Parteien werden nach Treu und Glauben zusammenarbeiten, um den Einspruch zu lösen.

5.4 Beauftragt Anbieter einen Unterauftragsverarbeiter mit der Durchführung bestimmter Verarbeitungstätigkeiten im Auftrag des Kunden, so legt Anbieter dem Unterauftragsverarbeiter dieselben Datenschutzverpflichtungen auf, wie sie in dieser AVV festgelegt sind. Dies erfolgt durch einen Vertrag oder ein anderes rechtsverbindliches Instrument gemäß den geltenden Datenschutzgesetzen, wobei sichergestellt wird, dass der Unterauftragsverarbeiter ausreichende Garantien bietet, insbesondere die Umsetzung geeigneter technischer und organisatorischer Maßnahmen zur Einhaltung der Anforderungen der DSGVO und anderer geltender Datenschutzgesetze. Die Vertragsparteien stellen klar, dass es ausreicht, wenn das vom Unterauftragsverarbeiter gebotene Schutzniveau dem Schutzniveau gemäß dieser AVV entspricht.

5.5 Unterliegt die Beauftragung von Unterauftragsverarbeitern durch Anbieter den Artikeln 44 ff. DSGVO, schließt Anbieter, soweit erforderlich, die anwendbaren SCC und stellt sicher, dass seine Unterauftragsverarbeiter geeignete technische und organisatorische Maßnahmen ergreifen, um die Einhaltung der geltenden Datenschutzgesetze zu gewährleisten.

5.6 Für den Fall, dass die SCC ungültig werden oder anderweitig nicht mehr als gültiger Datenübermittlungsmechanismus unter der DSGVO oder anderen Datenschutzgesetzen anerkannt sind, kann Anbieter auf jede alternative Garantie zurückgreifen, die unter den Datenschutzgesetzen zugelassen ist, wie z. B. verbindliche unternehmensinterne Regeln (BCR) oder andere angemessene Schutzmaßnahmen oder Ausnahmen, die unter Kapitel V der DSGVO oder entsprechenden Datenschutzgesetzen zulässig sind.

5.7 Kommt ein Unterauftragsverarbeiter seinen Datenschutzverpflichtungen nicht nach, ist Anbieter dem Kunden gegenüber dafür verantwortlich.

5.8 Die Beauftragung eines Dritten mit der Erbringung von Nebenleistungen (z. B. Telekommunikation, Wartung, Benutzerunterstützung, Reinigung, Prüfung oder Entsorgung von Datenträgern) gilt nicht als Beauftragung eines Unterauftragsverarbeiters. Anbieter stellt jedoch sicher, dass geeignete rechtliche Vereinbarungen bestehen und Kontrollmaßnahmen ergriffen werden, um die Sicherheit und Vertraulichkeit der Kundendaten zu schützen, wenn Dritte solche Nebenleistungen erbringen.

6. Kontrollrechte des Kunden

6.1 Anbieter verpflichtet sich, auf schriftliche Anfrage des Kunden innerhalb eines angemessenen Zeitraums die Informationen zur Verfügung zu stellen, die erforderlich sind, um die Einhaltung der Verpflichtungen aus dieser AVV nachzuweisen.

6.2 Der Kunde oder ein vom Kunden beauftragter Prüfer kann die Einhaltung dieser AVV durch Anbieter überprüfen. Die Prüfungen werden während der regulären Geschäftszeiten und in einer Weise durchgeführt, die den Betrieb von Anbieter so wenig wie möglich stört.

6.3 Anbieter kann zum Nachweis der Einhaltung dieser AVV aktuelle Prüfzeugnisse, Berichte oder Auszüge daraus von unabhängigen Stellen (z.B. Wirtschaftsprüfern, Datenschutzbeauftragten, IT-Sicherheitsabteilungen oder Datenschutzauditoren) oder geeignete Zertifizierungen aus anerkannten IT-Sicherheits- oder Datenschutzaudits vorlegen.

7. Verpflichtung zur Vertraulichkeit

Anbieter gewährleistet, dass alle Personen, die zur Verarbeitung von Kundendaten im Rahmen dieser AVV berechtigt sind, zur Vertraulichkeit verpflichtet sind, entweder durch vertragliche Verpflichtungen oder durch gesetzliche Verschwiegenheitspflichten.

8. Technische und organisatorische Maßnahmen

8.1 Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung sowie der unterschiedlichen Wahrscheinlichkeit und Schwere von Risiken für die Rechte und Freiheiten der betroffenen Personen werden sowohl der Kunde als auch Anbieter in ihrem jeweiligen Verantwortungsbereich geeignete technische und organisatorische Maßnahmen ergreifen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, insbesondere im Hinblick auf Sicherheitsvorfälle.

8.2 Die von Anbieter getroffenen technischen und organisatorischen Maßnahmen sind in Anlage 3 aufgeführt. Eine Verschlüsselung ruhender Kundendaten sagt Anbieter nur für die in Anlage 3 ausdrücklich genannten Daten zu; darüber hinaus sagt Anbieter derzeit keine Verschlüsselung der Datenbank, der Speicher für hochgeladene Dateien und der lokalen Sicherungen zu. Hochgeladene Dateien werden derzeit nicht gesondert gesichert. Der Kunde kennt diese Maßnahmen und ihre Grenzen und prüft vor der Verarbeitung, ob sie für die von ihm verarbeiteten Daten, insbesondere für Gesundheitsdaten, ein dem Risiko angemessenes Schutzniveau gewährleisten.

8.3 Anbieter ist jederzeit berechtigt, die technischen und organisatorischen Maßnahmen durch gleich- oder höherwertige Maßnahmen zu ersetzen, sofern diese den Anforderungen der Ziffer 8 genügen.

9. Informationspflichten von Anbieter

9.1 Anbieter wird den Kunden unverzüglich informieren, wenn Anbieter Kenntnis von einem Sicherheitsvorfall erhält.

10. Aufgaben zur Unterstützung des Kunden

10.1 Unter Berücksichtigung der Art der Verarbeitung unterstützt Anbieter den Kunden mit angemessenen technischen und organisatorischen Maßnahmen bei der Erfüllung der Verpflichtungen des Kunden zur Beantwortung von Anfragen der betroffenen Personen und anderer Verpflichtungen nach den Datenschutzgesetzen.

10.2 Anbieter wird den Kunden unverzüglich informieren, wenn Anbieter der Auffassung ist, dass eine vom Kunden erteilte Weisung gegen Datenschutzgesetze verstößt.

11. Laufzeit

11.1 Diese AVV tritt automatisch mit dem Abschluss des Vertrages in Kraft und bleibt mindestens für die Dauer des Vertrages in Kraft, sofern nichts anderes bestimmt ist.

11.2 Eine vorzeitige oder anderweitige Beendigung des Vertrages, gleich aus welchem Grund, hat die automatische Beendigung dieser AVV zur Folge. Die Bestimmungen dieser AVV bleiben jedoch insoweit in Kraft, als dies erforderlich ist, um den ordnungsgemäßen Abschluss der Verarbeitung von Kundendaten im Rahmen dieser AVV in Übereinstimmung mit den Datenschutzgesetzen zu gewährleisten, insbesondere in Bezug auf die Löschung oder Rückgabe von Kundendaten. Sobald eine solche Verarbeitung abgeschlossen ist, endet diese AVV ohne weitere Mitteilung.

12. Verpflichtung zur Löschung und Rückgabe nach Beendigung

Nach Beendigung der Dienstleistungen wird Anbieter nach Weisung des Kunden alle Kundendaten entweder löschen oder zurückgeben. Der Kunde muss Anbieter innerhalb von 30 Tagen nach Beendigung der Dienstleistungen über seine Wahl informieren. Erfolgt innerhalb dieser Frist keine Mitteilung, kann Anbieter die Kundendaten löschen, es sei denn, das geltende Recht schreibt eine weitere Speicherung vor. Aufbewahrungs- und Archivierungspflichten nach geltendem Recht bleiben hiervon unberührt. Anbieter wird die Löschung oder Rückgabe auf Anfrage des Kunden bestätigen.

13. Datenschutzkontakt

Ein Datenschutzbeauftragter ist derzeit nicht benannt. Datenschutzkontakt des Anbieters ist datenschutz@sicherai.com.

14. Vergütung

14.1 Alle von Anbieter im Rahmen dieser AVV erbrachten Leistungen sind vollständig durch die im Vertrag vereinbarte Vergütung abgegolten, sofern in dieser AVV nicht ausdrücklich etwas anderes bestimmt ist.

14.2 Soweit Leistungen im Rahmen dieser AVV als vergütungspflichtig bezeichnet sind, werden diese Leistungen nach Aufwand zu den im Vertrag vereinbarten Sätzen vergütet. Sind keine Vergütungssätze vereinbart, gelten die zum Zeitpunkt der Leistung in der Leistungsbeschreibung unter https://sicherai.com/limits ausgewiesenen Sätze, hilfsweise 150 EUR je angefangener Stunde.

15. Haftung

15.1 Die Haftungsbestimmungen des Vertrages gelten entsprechend für diese AVV.

15.2 Behördliche Strafen oder Bußgelder, die direkt gegen den Kunden verhängt werden, können von Anbieter nicht zurückgefordert werden, es sei denn, sie sind auf einen Verstoß von Anbieter gegen diese AVV oder Datenschutzgesetze zurückzuführen. In solchen Fällen ist die Haftung von Anbieter auf das Mitverschulden beschränkt, das durch eine rechtskräftige Entscheidung eines zuständigen Gerichts oder einer zuständigen Behörde festgestellt wird, und unterliegt den Haftungsbestimmungen des Vertrags.

16. Schlussbestimmungen

16.1 Diese AVV ist integraler Bestandteil des Vertrages. Im Falle eines Widerspruchs zwischen den Bestimmungen des Vertrages und dieser AVV haben die Bestimmungen dieser AVV ausschließlich in Bezug auf die Verarbeitung von Kundendaten Vorrang.

16.2 Anbieter behält sich das Recht vor, diese AVV bei Bedarf zu ändern, um Änderungen der geltenden Datenschutzgesetze, regulatorischen Anforderungen oder verbindlichen Entscheidungen der zuständigen Aufsichtsbehörden Rechnung zu tragen. Anbieter wird den Kunden mindestens 30 Tage im Voraus schriftlich oder in Textform (z.B. per E-Mail) über solche Änderungen informieren, es sei denn, eine sofortige Änderung ist gesetzlich oder regulatorisch vorgeschrieben. Widerspricht der Kunde solchen Änderungen aus berechtigten Gründen, werden die Parteien nach Treu und Glauben zusammenarbeiten, um eine für beide Seiten akzeptable Lösung zu finden. Widerspricht der Kunde solchen Änderungen und wird innerhalb einer angemessenen Frist keine einvernehmliche Lösung erzielt, kann der Kunde den Vertrag in Bezug auf die betroffenen Verarbeitungstätigkeiten durch schriftliche Mitteilung kündigen.

16.3 Sollte eine Bestimmung dieser AVV ganz oder teilweise unwirksam oder undurchführbar sein oder werden, so wird dadurch die Wirksamkeit der übrigen Bestimmungen dieser AVV nicht berührt. Das Gleiche gilt, wenn und soweit sich eine Lücke in dieser AVV zeigt. Anstelle der unwirksamen oder undurchführbaren Bestimmung oder zur Ausfüllung der Lücke soll eine angemessene Regelung gelten, die, soweit rechtlich möglich, dem am nächsten kommt oder entspricht, was die Parteien wirtschaftlich gewollt haben oder nach dem Sinn und Zweck dieser AVV gewollt hätten, sofern sie diesen Punkt bedacht hätten.

16.4 Im Übrigen gelten die Schlussbestimmungen des Vertrages entsprechend für diese AVV. Abweichend von Ziffer 15.5 der AGB unterliegt diese AVV dem Recht des Mitgliedstaats der Europäischen Union oder des Vertragsstaats des Abkommens über den Europäischen Wirtschaftsraum, in dem der Kunde seinen Sitz hat; Ziffer 15.6 der AGB bleibt unberührt.

17. Ergänzende Bestimmungen für Kunden in der Schweiz

17.1 Diese Ziffer gilt, soweit das Bundesgesetz über den Datenschutz (DSG) auf die Verarbeitung der Kundendaten anwendbar ist, insbesondere wenn der Kunde seinen Sitz in der Schweiz hat. Die AVV ist dann zugleich ein Vertrag über die Bearbeitung durch einen Auftragsbearbeiter nach Art. 9 DSG. Der Kunde ist Verantwortlicher im Sinne von Art. 5 lit. j DSG, Anbieter ist Auftragsbearbeiter im Sinne von Art. 5 lit. k DSG. Verweise auf die DSGVO gelten zugleich als Verweise auf die entsprechenden Bestimmungen des DSG und der Datenschutzverordnung (DSV). „Verarbeitung“ entspricht dem „Bearbeiten“ nach Art. 5 lit. d DSG, „Sicherheitsvorfall“ der „Verletzung der Datensicherheit“ nach Art. 5 lit. h DSG und „besondere Kategorien personenbezogener Daten“ den „besonders schützenswerten Personendaten“ nach Art. 5 lit. c DSG. Weicht diese Ziffer von anderen Ziffern dieser AVV ab, geht sie vor.

17.2 Anbieter bearbeitet Kundendaten nur so, wie der Kunde selbst es tun dürfte (Art. 9 Abs. 1 lit. a DSG). Für die Datensicherheit nach Art. 8 DSG und Art. 1 bis 3 DSV gelten Ziffer 8 und Anlage 3; die Prüfung des Kunden nach Ziffer 8.2 ist zugleich seine Prüfung nach Art. 9 Abs. 2 DSG. Die Zustimmung nach Ziffer 5.2 und die allgemeine Zustimmung nach Ziffer 5.3 sind die vorgängige Genehmigung nach Art. 9 Abs. 3 DSG; Ziffer 5.3 regelt die Information über Änderungen. Kunden in der Schweiz können gegen die Änderung nach Art. 7 Abs. 2 DSV innerhalb der Frist nach Ziffer 5.3 auch ohne Angabe von Gründen Widerspruch erheben; einigen sich die Parteien nicht, kann jede Partei den Vertrag auf das Wirksamwerden der Änderung kündigen.

17.3 Der Kunde prüft vor der Übertragung, dass keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung der Kundendaten an Anbieter verbietet (Art. 9 Abs. 1 lit. b DSG), insbesondere nach Art. 321 StGB, Art. 62 DSG oder kantonalem Gesundheitsrecht. Eine Einwilligung der betroffenen Personen verlangt diese AVV nicht; Anbieter bearbeitet die Kundendaten nur nach Weisung des Kunden und ist nach Ziffer 11 der AGB, für die zur Verarbeitung berechtigten Personen nach Ziffer 7 dieser AVV und, soweit der Kunde sie abgeschlossen hat, nach der Verschwiegenheitsvereinbarung zur Verschwiegenheit verpflichtet, doch ist nicht abschließend geklärt, ob Anbieter und seine Unterauftragsverarbeiter im Einzelfall als Hilfspersonen des Kunden gelten, sodass der Kunde in eigener Verantwortung entscheidet, ob er zusätzlich die Einwilligung der berechtigten Person oder die Bewilligung der zuständigen Behörde einholt. Holt der Kunde eine Einwilligung ein, muss sie für Daten über die Gesundheit ausdrücklich erfolgen (Art. 6 Abs. 7 lit. a DSG). Ziffer 3.3 gilt entsprechend.

17.4 Anbieter meldet dem Kunden eine Verletzung der Datensicherheit so rasch als möglich (Art. 24 Abs. 3 DSG; Ziffer 9.1) und teilt ihm, soweit bekannt, die Angaben nach Art. 15 Abs. 1 DSV mit. Die Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) und die Information der betroffenen Personen (Art. 24 Abs. 1 und 4 DSG) übernimmt der Kunde. Anbieter unterstützt den Kunden nach Ziffer 10.1 auch bei einer Datenschutz-Folgenabschätzung und einer Konsultation des EDÖB (Art. 22 und 23 DSG).

17.5 Anbieter gibt Kundendaten nur ins Ausland bekannt, wenn der Bundesrat den Staat in Anhang 1 der DSV als Staat mit angemessenem Datenschutz aufführt (Art. 16 Abs. 1 DSG) oder ein geeigneter Datenschutz nach Art. 16 Abs. 2 DSG gewährleistet ist, etwa durch Standarddatenschutzklauseln nach Art. 16 Abs. 2 lit. d DSG. Für die Vereinigten Staaten gilt ein angemessener Datenschutz nach Anhang 1 der DSV nur für Empfänger, die unter dem Swiss-U.S. Data Privacy Framework zertifiziert sind. Orte und Garantien nennt Anlage 2; Ziffer 5.5 gilt entsprechend. Die Unterauftragsverarbeiter nach Anlage 2 haben ihren Sitz in Staaten, die Anhang 1 der DSV aufführt; ihre Garantien für Weiterübermittlungen in andere Staaten enthalten nicht bei jedem Unterauftragsverarbeiter die Anpassungen für die Schweiz, die der EDÖB für Standarddatenschutzklauseln verlangt.

17.6 Hat der Kunde seinen Sitz in der Schweiz, unterliegt diese AVV wie der Vertrag dem Recht der Schweiz (Ziffer 15.5 der AGB); die Rechtswahl in Ziffer 16.4 gilt nur für Kunden mit Sitz in einem Mitgliedstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum. Die Aufsicht des EDÖB nach dem DSG bleibt unberührt.

Anlage 1 zum AVV: Details der Verarbeitung für sicherAI

Stand: 2026-11-02

1. Kategorien von betroffenen Personen

• Nutzer der Dienstleistungen

• Mitarbeiter des Kunden

• Personen, auf die sich Daten beziehen, die von Nutzern eingegeben werden

• Personen, auf die sich Daten beziehen, die Anwendungen des Kunden über die Programmierschnittstelle übermitteln

• Patienten oder Klienten des Kunden und Personen, die beim Kunden eine Behandlung oder Beratung anfragen, sowie deren Angehörige und gesetzliche Vertreter

2. Arten von Kundendaten

• Namen, E-Mail-Adressen von Nutzern und Mitarbeitern des Kunden

• Daten, die von den Nutzern eingegeben werden

• Bilder und gescannte Dokumente, die Nutzer an Chatnachrichten anhängen, mit ihrem gesamten sichtbaren Inhalt (zum Beispiel Text, Handschrift, Stempel, Grafiken und Fotos)

• Texte, die Anwendungen des Kunden über die Programmierschnittstelle (API) übermitteln

• Kennung, Präfix und Prüfwert von API-Schlüsseln sowie die zugeordnete Mitgliedschaft

• Einträge des persönlichen Gedächtnisses: vom Nutzer einzeln bestätigte Texte mit dem zugehörigen Bereich, dem Verweis auf die Ausgangsnachricht sowie Bestätigungs- und Ablaufzeitpunkt

• Besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO beziehungsweise besonders schützenswerte Personendaten nach Art. 5 lit. c DSG, insbesondere Gesundheitsdaten, soweit sie in Daten enthalten sind, die Nutzer eingeben oder hochladen (einschließlich Eingaben per Sprache oder als Bild und daraus erkannter Texte), die die Plattform aus verbundenen Ablagen liest oder die Anwendungen des Kunden über die Programmierschnittstelle übermitteln

3. Umfang und Art der Verarbeitung

• Kommunikationsinhalte mit LLMs

• Bilder und PDF-Seiten aus den Anhängen einer Chatnachricht, insbesondere gescannte Seiten, die die Plattform mit dieser Nachricht als Bild an das gewählte KI-Modell übermittelt, soweit die Plattform für dieses Modell Bildeingaben vorsieht; je Nachricht höchstens 10 Bilder oder Seiten, je Bild höchstens 2048 Pixel an der längsten Kante und höchstens 2 MiB, zusammen höchstens 10 MiB

• Texterkennung hochgeladener Bilder und gescannter Dokumente; der erkannte Text bleibt gespeichert und wird anstelle des Bildes verwendet, wenn ein Anhang nicht als Bild an das Modell geht, zum Beispiel bei Chatmodellen von Mistral oder beim Überschreiten dieser Grenzen

• Dokumente und Informationen, die der Kunde auf der Plattform hochlädt und speichert

• Dokumente aus vom Kunden verbundenen Ablagen (Microsoft 365, Google Drive, Dropbox, WebDAV/Nextcloud), die die Plattform im Auftrag des Kunden liest, als Kopie im Company Brain speichert und fortlaufend abgleicht, sowie Inhalte, die Nutzer aus der Plattform in diese Ablagen speichern; Zugangsdaten des Kunden zu diesen Ablagen (verschlüsselt, nur zum Abgleich)

• Kommunikationsinhalte, die Anwendungen des Kunden mit einem API-Schlüssel an das gewählte KI-Modell senden, nur Text; die Plattform übermittelt sie und speichert sie nicht als Chat oder Datei

• Verwendung bestätigter Gedächtniseinträge als gekennzeichneter Kontext in Chats, die der Nutzer einem Bereich zugeordnet hat, sowie Vorschläge für Einträge auf Wunsch des Nutzers aus seinen eigenen Nachrichten des Chats

4. Zweck der Verarbeitung

• Bereitstellung der Dienstleistungen gemäß den Anweisungen des Kunden; die Plattform dient dabei als allgemeines Werkzeug für Texte und Organisation ohne medizinische Zweckbestimmung (Ziffer 5.1 der AGB)

Anlage 2 zum AVV: Unterauftragsverarbeiter von sicherAI

Stand: 2026-11-04

Der Kunde erteilt seine Zustimmung zur Beauftragung der nachfolgend aufgeführten Unterauftragsverarbeiter.

Vertrags- und Zusicherungsstatus

Die in der Tabelle genannten Auftragsverarbeitungsverträge verpflichten die Unterauftragsverarbeiter zu einem der AVV gleichwertigen Schutzniveau.

Die Verarbeitung erfolgt an den in der Tabelle bezeichneten Orten.

Kundendaten, Prompts, Outputs und Embeddings werden nicht zum Training oder zur Verbesserung fremder Modelle verwendet und nur entsprechend den vertraglich vereinbarten Aufbewahrungsregeln gespeichert.

Änderungen dieser Liste werden dem Kunden mit einer Frist von 30 Tagen angekündigt; der Kunde kann innerhalb von 14 Tagen aus angemessenen datenschutzrechtlichen Gründen widersprechen.

Anlage 3 zum AVV: Technische und organisatorische Maßnahmen für sicherAI

Stand: 2026-11-03

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Wahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der betroffenen Personen hat Anbieter angemessene technische und organisatorische Sicherheitsmaßnahmen ergriffen und wird diese beibehalten, um die Kundendaten vor Sicherheitsvorfällen zu schützen und die Sicherheit und Vertraulichkeit der Kundendaten zu wahren ("technische und organisatorische Maßnahmen"). Diese Maßnahmen beinhalten folgende Aspekte:

Anbieter hat diese Maßnahmen für die Verarbeitung von Gesundheitsdaten am 02.11.2026 nach Art. 32 DSGVO bewertet und stellt das Ergebnis dem Kunden auf Anfrage zur Verfügung.

1. Vertraulichkeit

1.1 Zutrittskontrolle

Anbieter betreibt keine eigenen Rechenzentren oder Serverräume. Die Anwendung wird auf Cloud-Infrastruktur in ISO/IEC 27001-zertifizierten Rechenzentren betrieben. Die physische Zutrittskontrolle der Rechenzentren wird durch die Hosting-Anbieter gemäß deren vertraglich vereinbarten technischen und organisatorischen Maßnahmen gewährleistet. Für die Geschäftsräume von Anbieter gelten folgende Maßnahmen:

• Die Geschäftsräume sind abschließbar; Zutritt haben nur der Inhaber und von ihm zugelassene Personen.

• Kundendaten werden in den Geschäftsräumen nicht auf lokalen Datenträgern vorgehalten, sondern ausschließlich in der gehosteten Umgebung verarbeitet.

• Besucher und externe Dienstleister halten sich in den Geschäftsräumen nicht unbeaufsichtigt auf.

1.2 Zugangskontrolle

Anbieter wird angemessene Maßnahmen treffen, die geeignet sind zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können.

• Technische Maßnahmen:

• Verwendung individueller Benutzerkonten und starker, eindeutiger Authentisierungsmerkmale.

• Einsatz von Multi-Faktor-Authentifizierung oder Passkeys, soweit dies technisch unterstützt wird und insbesondere für privilegierte oder sicherheitsrelevante Zugänge.

• Verwendung eines vom Inhaber freigegebenen Passwortmanagements zur Erzeugung und sicheren Speicherung eindeutiger Zugangsdaten.

• Änderung von Zugangsdaten bei bekannt gewordener oder vermuteter Kompromittierung sowie bei sonstigem sicherheitsbezogenem Anlass.

• Ablauf von Sitzungen spätestens nach sieben Tagen ohne Nutzung; bei Nutzung wird die Laufzeit nach einem Aktualisierungsintervall von 24 Stunden auf weitere sieben Tage verlängert. Beim Zurücksetzen des Passworts werden alle Sitzungen widerrufen; bei einer Passwortänderung in den Sicherheitseinstellungen kann der Nutzer die anderen Sitzungen widerrufen. Der Nutzer kann Sitzungen jederzeit selbst beenden.

• Betrieb der von Anbieter genutzten Endgeräte mit aktuellen Betriebssystemen, automatischen Sicherheitsupdates und Bildschirmsperre.

• Vollständige Festplattenverschlüsselung der von Anbieter bereitgestellten Endgeräte.

• Verwaltung von Benutzerberechtigungen.

• API-Schlüssel werden zufällig erzeugt und nur einmal angezeigt; gespeichert werden nur ein sichtbares Präfix und ein Prüfwert. Ein Schlüssel hat einen Ablauf oder gilt bis zu seinem Widerruf, wenn der Kunde das bei der Anlage so festlegt; jeder Schlüssel lässt sich einzeln widerrufen.

• Nur Personen mit der Rolle Inhaber oder Administrator in der Organisation des Kunden verwalten API-Schlüssel; ein Schlüssel wirkt nur, solange die zugeordnete Person diese Rolle hat und ihr Konto nicht gesperrt ist.

• Organisatorische Maßnahmen:

• Vom Inhaber festzuhaltende IT-Sicherheitsrichtlinie, die den sicheren Umgang mit Passwörtern, Zugangsdaten und mobilen Geräten regelt.

• Verarbeitung von Kundendaten ausschließlich über vom Inhaber freigegebene Endgeräte.

• Vergabe von Benutzerkonten nach dem Prinzip der minimalen Rechtevergabe.

• Regelmäßige Fortbildung des Inhabers, mindestens jährlich, um das Bewusstsein für Phishing und andere Bedrohungen zu schärfen; die Nachweise sind festzuhalten.

1.3 Zugriffskontrolle

Anbieter wird angemessene Maßnahmen treffen, um sicherzustellen, dass die zur Benutzung der Datenverarbeitungssysteme Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden personenbezogenen Daten zugreifen können, und dass Kundendaten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Hierzu trifft Anbieter folgende Vorkehrungen:

• Technische Maßnahmen:

• Implementierung eines differenzierten Berechtigungskonzepts, das den Zugriff auf Kundendaten auf das notwendige Minimum beschränkt.

• In der Anwendung sind Einträge des persönlichen Gedächtnisses nur für die jeweilige Person in der jeweiligen Organisation zugänglich; auch Personen mit der Rolle Inhaber oder Administrator in der Organisation des Kunden sehen sie nicht. Jede Person kann ihre eigenen Einträge als Datei exportieren; einen Export dieser Einträge für den Kunden bietet die Anwendung nicht.

• Einsatz von Netzwerk- und Anwendungsfiltern, einschließlich Ratenbegrenzungen und Zugriffsfiltern für öffentlich erreichbare Anwendungsendpunkte.

• Protokollierung sicherheits- und datenschutzrelevanter Aktionen in einem organisationsgebundenen Audit-Log (insbesondere Einladungen, Rollenänderungen, Entzug von Mitgliedschaften, Änderungen der Aufbewahrungsregeln und Löschung von Brain-Dokumenten) für die Dauer des Vertrags; die Protokolle werden mit der Löschung der Organisation entfernt. Abweichend davon werden Protokolleinträge zu API-Schlüsseln, zur Freigabe und zu Grenzen der Programmierschnittstelle nach 180 Tagen gelöscht. Wird ein Nutzerkonto gelöscht, bleibt seine interne Kennung als Pseudonym in diesen Protokollen bis zu deren Löschung erhalten; Name und E-Mail-Adresse werden mit dem Konto gelöscht. Lesezugriffe und einzelne Chat-Eingaben werden nicht protokolliert.

• Datenbankzugang über die Anwendung und den administrativen Zugang des Anbieters; kein öffentlicher Datenbankport. Administrative Zugriffe erfolgen ausschließlich per SSH-Schlüssel.

• Administrativer Zugriff auf die Hosting-Infrastruktur ausschließlich über verschlüsselte und zugangsgeschützte Verbindungen.

• Ablage von Produktionsgeheimnissen auf dem Produktionsserver in nur für den Administrator lesbaren Konfigurationsdateien und Bereitstellung ausschließlich an die jeweils erforderlichen Dienste; getrennte, durch Dateirechte geschützte Verwahrung des Off-Site-Schlüssels beim Inhaber. Ablage-Zugangsdaten und Organisations-Gateway-Schlüssel in der Datenbank werden mit Envelope-Verschlüsselung (AES-256-GCM) gespeichert.

• Verschlüsselte Speicherung der Zugriffs- und Aktualisierungstoken aus der Anmeldung mit Google oder Microsoft; Passwörter werden nur als Hash gespeichert, Sitzungskennungen unverschlüsselt in der zugangsgeschützten Datenbank. Kundendaten liegen auf zugangsgeschützten Systemen des Hosting-Anbieters innerhalb der Europäischen Union.

• Organisatorische Maßnahmen:

• Vom Inhaber festzuhaltende Richtlinie zur Vergabe und Entziehung von Zugriffsrechten, die sich am "Need-to-know"-Prinzip orientiert.

• Regelmäßige, mindestens jährliche und anlassbezogene Überprüfung von Zugriffsberechtigungen durch den Inhaber, insbesondere für privilegierte Zugänge; die Ergebnisse sind festzuhalten.

• Besondere Autorisierung für den Zugriff auf besonders sensible Datenkategorien.

• Beschränkung privilegierter betrieblicher Zugriffe auf den Inhaber und erforderlichenfalls von ihm beauftragte Dienstleister nach dem Prinzip der minimalen Rechtevergabe.

• Der Inhaber und gegebenenfalls hinzugezogene Personen, die bei ihrer Tätigkeit Kenntnis von Kundendaten erlangen können, werden vor dem Zugriff in Textform zur Vertraulichkeit und, soweit anwendbar, zur Wahrung fremder Geheimnisse gemäß § 203 StGB (Deutschland) beziehungsweise Art. 321 StGB und Art. 62 DSG (Schweiz) verpflichtet.

• Wählt der Kunde nach Ziffer 12 der AVV die Rückgabe, gibt Anbieter ihm auch die Einträge des persönlichen Gedächtnisses zurück.

1.4 Trennungskontrolle

Anbieter wird angemessene Maßnahmen treffen, um sicherzustellen, dass zu unterschiedlichen Zwecken erhobene Kundendaten getrennt verarbeitet werden können. Hierzu trifft Anbieter folgende Vorkehrungen:

• Technische Maßnahmen:

• Strikte logische Mandantentrennung innerhalb der zentralen Datenbank durch den Einsatz von Row-Level Security (RLS).

• Sicherstellung der Mandantentrennung auf Anwendungsebene, um den Zugriff auf Daten anderer Mandanten zu unterbinden.

• Getrennte Umgebungen für Entwicklung, Tests und Produktion.

• Ein differenziertes Berechtigungskonzept, das den Zugriff regelt.

• Organisatorische Maßnahmen:

• Richtlinie zur Datenklassifizierung und zur getrennten Verarbeitung von Daten verschiedener Mandanten und Zwecke.

• Regelmäßige Kontrolle der technischen und organisatorischen Maßnahmen zur Datentrennung.

2. Integrität

2.1 Weitergabekontrolle

Anbieter wird angemessene Maßnahmen treffen, um das Risiko zu reduzieren, dass Kundendaten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträgern unbefugt gelesen, kopiert, verändert oder entfernt werden können. Hierzu trifft Anbieter folgende Vorkehrungen:

• Technische Maßnahmen:

• Konsequente Verschlüsselung sämtlicher Übertragungen von Kundendaten über externe oder öffentliche Netze unter Verwendung von TLS 1.2 oder höher.

• Die Programmierschnittstelle nimmt Anfragen nur über TLS an; unverschlüsselte Anfragen weist sie ohne Weiterleitung ab.

• Nutzung freigegebener, zugangsgeschützter Übertragungswege und Cloud-Dienste für den Austausch und die Bereitstellung von Kundendaten.

• Organisatorische Maßnahmen:

• Richtlinie zur sicheren Übertragung und Weitergabe von Kundendaten, die die Nutzung unsicherer Kanäle untersagt.

• Sensibilisierung des Inhabers für die Risiken unsicherer Datenübertragung im Rahmen seiner mindestens jährlichen Fortbildung; die Nachweise sind festzuhalten.

• Klare Regelungen zur Nutzung von Cloud-Diensten und zur Übermittlung von Daten an Dritte.

• Dokumentierte Übersicht über regelmäßige Abruf- und Übermittlungsverfahren.

2.2 Eingabekontrolle

Anbieter wird angemessene Maßnahmen treffen, um sicherzustellen, dass für die nachfolgend protokollierten Aktionen nachträglich geprüft und festgestellt werden kann, ob und von wem Kundendaten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind. Hierzu trifft Anbieter folgende Vorkehrungen:

• Technische Maßnahmen:

• Protokollierung sicherheits- und datenschutzrelevanter Aktionen in einem organisationsgebundenen Audit-Log (insbesondere Einladungen, Rollenänderungen, Entzug von Mitgliedschaften, Änderungen der Aufbewahrungsregeln und Löschung von Brain-Dokumenten) für die Dauer des Vertrags; die Protokolle werden mit der Löschung der Organisation entfernt. Abweichend davon werden Protokolleinträge zu API-Schlüsseln, zur Freigabe und zu Grenzen der Programmierschnittstelle nach 180 Tagen gelöscht. Lesezugriffe und einzelne Chat-Eingaben werden nicht protokolliert.

• Datenbankzugang über die Anwendung und den administrativen Zugang des Anbieters; kein öffentlicher Datenbankport. Administrative Zugriffe erfolgen ausschließlich per SSH-Schlüssel.

• Plausibilitäts- und Validierungsprüfungen bei der Dateneingabe.

• Nachvollziehbarkeit von Änderungen durch Zeitstempel oder Versionierung, soweit dies für den jeweiligen Verarbeitungsvorgang technisch vorgesehen ist.

• Organisatorische Maßnahmen:

• Klare Zuständigkeiten für die Dateneingabe und -pflege.

• Vergabe von Rechten zur Eingabe, Änderung und Löschung von Daten auf der Grundlage eines Berechtigungskonzepts.

• Regelmäßige, mindestens jährliche und anlassbezogene Überprüfung sicherheitsrelevanter Protokolle durch den Inhaber; die Ergebnisse sind festzuhalten.

3. Verfügbarkeit und Belastbarkeit

Anbieter wird angemessene Maßnahmen treffen, um sicherzustellen, dass Kundendaten gegen zufällige Zerstörung oder Verlust geschützt sind. Hierzu trifft Anbieter folgende Vorkehrungen:

• Technische Maßnahmen:

• Hosting der Anwendung und Kundendaten in ISO/IEC 27001-zertifizierten Rechenzentren.

• Tägliche Sicherung der Produktionsdatenbank; reguläre lokale Aufbewahrung für 14 Tage. Die Bereinigung älterer lokaler Sicherungen erfolgt nach erfolgreicher Erstellung einer neuen Sicherung.

• Zusätzlich täglich eine verschlüsselte Off-Site-Kopie der Datenbanksicherung auf einem getrennten Speicher bei Hetzner; reguläre Aufbewahrung für 14 Tage, wobei mindestens die drei jüngsten Stände unabhängig von ihrem Alter erhalten bleiben.

• Hochgeladene Dateien liegen im Objektspeicher des Hosting-Anbieters Hetzner in Deutschland und werden derzeit nicht gesondert gesichert. Die Plattform ist nicht als Behandlungsakte (Patientenakte) im Sinne des § 630f BGB, nicht als Patienten- oder Behandlungsdokumentation nach kantonalem Gesundheitsrecht der Schweiz und nicht zur Erfüllung von Aufbewahrungspflichten des Kunden bestimmt (Ziffer 5.1 der AGB). Die im Repository geführten Konfigurationen sind versioniert.

• Protokollierung der Off-Site-Sicherung in einer Logdatei und wöchentlicher Restore-Check durch Herunterladen, Entschlüsseln und Prüfen der Archivlesbarkeit; dieser Check ist kein vollständiger Datenbank-Restore.

• Regelmäßige und anlassbezogene Tests der Wiederherstellbarkeit von Sicherungen, mindestens vierteljährlich.

• Prüfung von Dateitypen und Dateigrößen sowie Container-Isolation zur Begrenzung von Sicherheitsbedrohungen; eine Prüfung hochgeladener Dateien durch Malware-Scans erfolgt nicht.

• Physische Schutz- und Redundanzmaßnahmen der Rechenzentrumsbetreiber, insbesondere für Stromversorgung, Klimatisierung, Brandschutz und Speichersysteme.

• Organisatorische Maßnahmen:

• Vom Inhaber zu dokumentierendes Sicherungs- und Wiederherstellungskonzept, das sich an der Kritikalität der Daten und Systeme orientiert und Verantwortlichkeiten, Eskalationswege sowie automatisierungsunterstützte Wiederherstellungsschritte festlegt.

• Notfallpläne für relevante Ausfallszenarien, die der Inhaber mindestens jährlich überprüft, aktualisiert und erprobt; die Ergebnisse sind festzuhalten.

• Der Inhaber ist verantwortlich für Notfälle, technische Sicherheitsvorfälle und erforderliche Wiederherstellungsmaßnahmen.

• Nutzung der vertraglich vereinbarten Standardverfügbarkeiten und Supportleistungen der Hosting-Anbieter.

• Vom Inhaber festzuhaltende Informationssicherheitsrichtlinie mit Vorgaben zur Verfügbarkeit, Wiederherstellung und zum Notfallbetrieb.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

Anbieter implementiert Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.

4.1 Datenschutz-Management

• Ein Datenschutzbeauftragter ist derzeit nicht benannt. Anbieter prüft die Pflicht nach Art. 37 DSGVO und § 38 BDSG erneut, wenn sich Art oder Umfang der Verarbeitung wesentlich ändern. Datenschutzkontakt ist datenschutz@sicherai.com.

• Ein vom Inhaber geführtes und zu dokumentierendes Datenschutz-Managementsystem (DSMS), angepasst an die Größe und Komplexität des Einzelunternehmens.

• Regelmäßige interne Überprüfungen der Datenschutzmaßnahmen und -prozesse durch den Inhaber, mindestens jährlich; die Ergebnisse sind festzuhalten.

• Dokumentation und Bearbeitung von Datenschutzvorfällen durch den Inhaber.

• Regelmäßige Fortbildung des Inhabers zum Datenschutz, mindestens jährlich; die Nachweise sind festzuhalten.

• Prozesse bezüglich Informationspflichten gemäß Artikel 13 und 14 DSGVO sowie Art. 19 DSG umgesetzt.

• Datenschutz-Checkpoints, soweit möglich und sinnvoll, in die Risikobewertung integriert.

• Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO beziehungsweise Art. 22 DSG wird bei Bedarf für neue Verarbeitungstätigkeiten mit voraussichtlich hohem Risiko durchgeführt.

• Datenschutzaspekte sind Teil des allgemeinen Risikomanagements des Unternehmens.

4.2 Incident-Response-Management

• Einsatz eines auf technische Fehler- und Performanceinformationen beschränkten Monitorings mit Maßnahmen zur Vermeidung der Erfassung von Prompts, Modellantworten, Dokumentinhalten, Authentifizierungstoken und vollständigen Request-Bodies.

• Benannter Verantwortlicher (Inhaber) für die Koordination und Bearbeitung von Sicherheitsvorfällen und Datenschutzverletzungen.

• Zentrale Dokumentation und Nachverfolgung von Sicherheitsvorfällen und Datenschutzverletzungen.

• Einsatz von Ratenbegrenzungen und Zugriffsfiltern zum Schutz öffentlich erreichbarer Anwendungsendpunkte.

• Nutzung zentraler Spam-, Phishing- und Malware-Schutzmechanismen für die geschäftliche E-Mail-Kommunikation.

• Regelmäßige Fortbildung des Inhabers im Umgang mit Sicherheitsvorfällen und Phishing-Versuchen, mindestens jährlich; die Nachweise sind festzuhalten.

• Regelmäßige Überprüfung und Weiterentwicklung des Vorgehens bei Sicherheitsvorfällen durch den Inhaber, mindestens jährlich; die Ergebnisse sind festzuhalten.

4.3 Sichere Softwareentwicklung und Schwachstellenmanagement

• Geregelte Merge-, Freigabe- und Release-Prozesse für Änderungen am Anwendungscode.

• Festgestellte Schwachstellen werden nach Schweregrad und tatsächlicher Betroffenheit priorisiert und zeitnah behoben.