Sie bestimmen, wir verarbeiten im Auftrag.

Was darin steht

Der Vertrag regelt in jedem Fall die Themen, die Art. 28 Abs. 3 DSGVO vorschreibt. Konkret:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen;
• Verarbeitung ausschließlich auf Ihre dokumentierten Weisungen, auch wenn es um eine Übermittlung geht;
• Vertraulichkeit für alle, die Zugang zu den Daten haben;
• die Sicherheitsmaßnahmen nach Art. 32 DSGVO — welche das sind, steht auf der Seite Sicherheit;
• Unterauftragsverarbeiter nur mit Ihrer Genehmigung, mit denselben weitergegebenen Pflichten, und Änderungen vorab mitgeteilt, damit Sie Einspruch erheben können (Art. 28 Abs. 2 und 4 DSGVO) — siehe die Übersicht der Unterauftragsverarbeiter;
• Unterstützung bei Anträgen betroffener Personen: Auskunft, Berichtigung, Löschung, Einschränkung und Widerspruch;
• Unterstützung bei der Sicherheit, bei der Meldung von Datenpannen, bei einer DSFA (Datenschutz-Folgenabschätzung) und bei einer vorherigen Konsultation (Art. 32 bis 36 DSGVO);
• Meldung einer Datenpanne an Sie ohne unangemessene Verzögerung, mit den Angaben, die Sie benötigen, um innerhalb von 72 Stunden an die Autoriteit Persoonsgegevens (AP), die niederländische Datenschutzaufsichtsbehörde, melden zu können (Art. 33 DSGVO); die genaue Frist steht im Vertrag;
• Löschung oder Rückgabe der Daten nach Abschluss, nach Ihrer Wahl;
• Informationen und Mitwirkung bei Audits, um die Einhaltung nachzuweisen.

Was wir nicht tun

• Wir verwenden Ihre Dokumente nicht für eigene Zwecke;
• wir verwenden sie nicht, um KI-Modelle zu trainieren;
• wir verkaufen oder vermieten sie nicht und geben sie nicht an Dritte weiter, außer an die genannten Unterauftragsverarbeiter.

Was nicht unter den Vertrag fällt

Verbinden Sie einen KI-Assistenten über die MCP-Verbindung mit PrivaSearch, dann ist der Anbieter dieses Assistenten kein Unterauftragsverarbeiter von uns, sondern ein eigener Auftragsverarbeiter Ihrer Organisation. Schließen Sie mit diesem Anbieter selbst einen Auftragsverarbeitungsvertrag, nutzen Sie ein geschäftliches Konto und prüfen Sie, ob dieser Anbieter außerhalb des Europäischen Wirtschaftsraums verarbeitet. Dasselbe gilt für Ihre SharePoint-Umgebung: Sie bleibt Ihre, mit Ihrem eigenen Vertrag mit Microsoft. PrivaSearch liest dort nur.