nach Art. 28 DSGVO

Präambel Dieser Vertrag zur Auftragsverarbeitung (nachfolgend AVV) konkretisiert die datenschutzrechtlichen Pflichten der Parteien gemäß Art. 28 DSGVO. Grundlage ist der zwischen den Parteien geschlossene Hauptvertrag über die Nutzung der KIRA SecureSuite (KI-Unternehmensplattform), des KIRA-Schulungsprogramms sowie weiterer digitaler Leistungen der Headquarter Web 3.0 GmbH. Im Rahmen der Leistungserbringung verarbeitet der Auftragnehmer personenbezogene Daten des Auftraggebers auf dessen Weisung. Die Parteien vereinbaren daher die nachfolgenden Regelungen zur Gewährleistung eines DSGVO- und AI-Act-konformen Umgangs mit personenbezogenen Daten. Der Auftragnehmer betreibt die KIRA SecureSuite auf Basis der Langdock-Plattform mit Hosting über EU-basierte Infrastruktur (Hetzner, Finnland) sowie zusätzlichen spezialisierten Diensten für Vektordatenbank (Qdrant), Chunking (Poma AI), Kursmanagement (Memberspot), CRM (Pipedrive) und Zahlungsabwicklung (Stripe). § 1 Gegenstand, Art, Zweck und Dauer der Verarbeitung 1.1 Gegenstand Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten im Zusammenhang mit folgenden Leistungen des Auftragnehmers: KIRA SecureSuite: KI-Unternehmensplattform (gehostet über Langdock) für den Betrieb von KI-Workflows, KI-Agenten, Wissensbasen (RAG via Qdrant-Vektordatenbank), Dokumentenverarbeitung (Chunking via Poma AI) und Projektentwicklung KIRA-Schulungsprogramm: Kursplattform (Memberspot), Lernmanagementsystem, Zertifizierungsangebote, Live-Sessions und Schulungsunterlagen CRM und Kundenverwaltung: Verwaltung von Kundendaten über Pipedrive Zahlungsabwicklung: Verarbeitung von Zahlungsdaten über Stripe Infrastruktur: Serverbetrieb bei Hetzner Online GmbH (Finnland), CDN-Auslieferung über Bunnyway, Sicherheitsdienste über Cloudflare 1.2 Art und Zweck der Verarbeitung Die Verarbeitung erfolgt zum Zweck der: Bereitstellung, Betrieb und Weiterentwicklung der KIRA SecureSuite und aller dazugehörigen KI-Dienste Durchführung und Verwaltung von Schulungen, Zertifizierungen und Weiterbildungsprogrammen Verarbeitung von Kommunikationsinhalten und Dokumenten innerhalb der KI-Plattform (Prompts, Outputs, Agentenanfragen) Vektorisierung und semantischer Suche von Wissensinhalten über die Qdrant-Vektordatenbank Dokumenten-Chunking und Indizierung über Poma AI zur Nutzung in KI-Workflows Kundenverwaltung, Sales und Support über das CRM-System Pipedrive Abwicklung von Zahlungsvorgängen und Rechnungsstellung über Stripe Überwachung, Analyse und Optimierung der Leistungen zur Gewährleistung von Funktionsfähigkeit, Stabilität und Datensicherheit 1.3 Dauer Die Laufzeit dieser AVV entspricht der Laufzeit des Hauptvertrags. Pflichten, die ihrer Natur nach fortgelten (insbesondere Vertraulichkeit, Lösch- und Rückgabepflichten sowie Nachweispflichten), wirken über das Vertragsende hinaus. § 2 Rollen und Weisungsgebundenheit (1) Der Auftraggeber ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Der Auftragnehmer ist Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO. (2) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Weisungen werden mindestens in Textform erteilt (z. B. per E-Mail, Ticket oder Freigabeprotokoll). (3) Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. (4) Hält der Auftragnehmer eine Weisung des Auftraggebers für offensichtlich rechtswidrig, hat er den Auftraggeber unverzüglich darauf hinzuweisen. Bis zur Bestätigung oder Änderung ist der Auftragnehmer berechtigt, die Ausführung auszusetzen. (5) Der Auftraggeber bleibt für die Rechtmäßigkeit der Verarbeitung (Rechtsgrundlage, Transparenz- und Informationspflichten, Löschkonzepte, ggf. Datenschutz-Folgenabschätzung) verantwortlich. § 3 Vertraulichkeit und Pflichten des Auftragnehmers (1) Der Auftragnehmer stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet und mit den einschlägigen datenschutzrechtlichen Anforderungen sowie den Anforderungen des EU AI Acts vertraut sind. (2) Der Auftragnehmer erfüllt alle ihm als Auftragsverarbeiter nach Art. 28 bis 33 DSGVO obliegenden gesetzlichen Pflichten. (3) Soweit gesetzlich erforderlich, benennt der Auftragnehmer einen Datenschutzbeauftragten und stellt dessen Kontaktdaten auf Anfrage zur Verfügung. (4) Der Auftragnehmer überprüft regelmäßig die Einhaltung datenschutzrechtlicher Anforderungen sowie die Wirksamkeit der technischen und organisatorischen Maßnahmen. § 4 Technische und organisatorische Maßnahmen (TOMs) (1) Der Auftragnehmer trifft und unterhält die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Die Einzelheiten sind in Anlage 2 beschrieben. (2) Der Auftragnehmer ist berechtigt, Maßnahmen fortzuentwickeln oder durch gleichwertige oder höherwertige Maßnahmen zu ersetzen, sofern das vereinbarte Sicherheitsniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und dem Auftraggeber mitgeteilt. (3) Besondere Maßnahmen für KI-spezifische Risiken: Ausschließliche Nutzung EU-gehosteter LLM-Modelle für die Verarbeitung personenbezogener Daten (sofern keine explizite Drittlandfreigabe vorliegt) Keine dauerhafte Speicherung von Prompt- und Output-Inhalten außerhalb der konfigurierten KIRA SecureSuite-Umgebung Mandantentrennung zwischen den Kundensystemen auf Plattform- und Datenbankebene Vektordaten in Qdrant werden mandantengetrennt und verschlüsselt gespeichert Chunking-Prozesse über Poma AI erfolgen ausschließlich auf EU-Servern § 5 Betroffenenrechte und Unterstützungspflichten (1) Der Auftragnehmer unterstützt den Auftraggeber durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung von Betroffenenrechten gemäß Art. 12 bis 22 DSGVO. (2) Wendet sich eine betroffene Person mit einem Ersuchen unmittelbar an den Auftragnehmer, leitet dieser das Ersuchen unverzüglich an den Auftraggeber weiter. (3) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten, insbesondere bei Sicherheitsmaßnahmen, Meldung von Datenpannen, Datenschutz-Folgenabschätzungen und Konsultationsverfahren. § 6 Meldung von Datenschutzverletzungen (1) Der Auftragnehmer meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich - in der Regel innerhalb von 24 Stunden nach Bekanntwerden - an den Auftraggeber und unterstützt bei Gegenmaßnahmen. (2) Die Meldung enthält mindestens: eine Beschreibung der Art der Verletzung, die betroffenen Datenkategorien und Personengruppen (soweit bekannt), wahrscheinliche Folgen sowie ergriffene oder geplante Gegenmaßnahmen. (3) Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO. § 7 Kontrollrechte des Auftraggebers (1) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung seiner Pflichten erforderlich sind. (2) Der Auftraggeber ist berechtigt, nach angemessener Vorankündigung (mindestens 5 Werktage) Prüfungen - einschließlich Inspektionen - während der üblichen Geschäftszeiten durchzuführen oder durch zur Verschwiegenheit verpflichtete Dritte durchführen zu lassen. (3) Der Nachweis der Einhaltung kann insbesondere durch Zertifizierungen (z. B. ISO 27001, ISO 9001), Prüfberichte, Testate oder vergleichbare Dokumente erbracht werden. (4) Der Auftragnehmer ist berechtigt, berechtigte Geheimhaltungsinteressen gegenüber Dritten zu wahren. § 8 Unterauftragsverarbeiter (Subprozessoren) (1) Der Auftragnehmer ist berechtigt, die in Anlage 3 aufgeführten Unterauftragsverarbeiter einzusetzen. Der Auftraggeber erteilt hiermit seine allgemeine Genehmigung gemäß Art. 28 Abs. 2 DSGVO für deren Einsatz. (2) Der Auftragnehmer informiert den Auftraggeber vor Austausch oder Hinzunahme weiterer Unterauftragsverarbeiter. Der Auftraggeber kann binnen 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Ohne Widerspruch gilt die Änderung als genehmigt. (3) Der Auftragnehmer bleibt gegenüber dem Auftraggeber für die Einhaltung dieser AVV durch Unterauftragsverarbeiter voll verantwortlich. (4) Alle Unterauftragsverarbeiter werden vertraglich zu mindestens gleichwertigen Datenschutzpflichten verpflichtet. (5) Reine Hilfsleistungen (z. B. Telekommunikation, Postdienste) gelten nicht als Unterauftragsverarbeitung im Sinne dieser Vereinbarung. § 9 Internationale Datenübermittlungen (1) Soweit personenbezogene Daten in Drittländer (außerhalb EU/EWR) übermittelt oder dort verarbeitet werden, erfolgt dies ausschließlich auf dokumentierte Weisung des Auftraggebers und unter Einhaltung von Art. 44 ff. DSGVO (insbesondere EU-Standardvertragsklauseln und ggf. zusätzliche Schutzmaßnahmen). (2) Der Auftragnehmer dokumentiert die eingesetzten Transfermechanismen und stellt sie dem Auftraggeber auf Anfrage zur Verfügung. (3) Eine Verarbeitung in Drittländern ist nur für Dienste zulässig, für die geeignete Garantien im Sinne von Art. 46 DSGVO bestehen (z. B. EU-Standardvertragsklauseln, Data Privacy Framework). Die entsprechenden Dienste sind in Anlage 3 gekennzeichnet. § 10 Löschung, Rückgabe und Speicherfristen (1) Nach Beendigung der Auftragsverarbeitung oder auf Weisung des Auftraggebers löscht oder gibt der Auftragnehmer alle personenbezogenen Daten zurück, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. (2) Der Auftragnehmer erstellt ohne Zustimmung des Auftraggebers keine Kopien oder Duplikate verarbeiteter Daten, soweit dies nicht für Datensicherung oder gesetzliche Aufbewahrungspflichten erforderlich ist. (3) Die Löschung wird auf Verlangen des Auftraggebers dokumentiert und nachgewiesen. (4) Speicherfristen nach Kategorien: Prompt- und Output-Daten (SecureSuite): Gemäß Konfiguration im KIRA-Workspace; längstens Vertragsende Vektordaten (Qdrant): Solange Wissensbasis aktiv; Löschung auf Weisung Kurs- und Lernfortschrittsdaten (Memberspot): Solange Vertrag läuft; danach 30 Tage Aufbewahrungsfrist CRM-Daten (Pipedrive): Solange Geschäftsbeziehung besteht; danach gem. UGB/BAO Zahlungsdaten (Stripe): Gemäß Stripe-AGB; mind. 7 Jahre steuerrechtliche Pflicht Server-Logs (Hetzner): Max. 30 Tage Rollierendes Log; keine dauerhafte Speicherung Chunking-Ergebnisse (Poma AI): Bis Abschluss des Verarbeitungsauftrags; danach sofortige Löschung § 11 Haftung (1) Im Innenverhältnis haftet der Auftraggeber gegenüber betroffenen Personen allein für unzulässige oder fehlerhafte Datenverarbeitung, sofern der Auftragnehmer nachweist, dass ihn kein Verschulden trifft. (2) Der Auftragnehmer haftet unbegrenzt bei Vorsatz und grober Fahrlässigkeit sowie bei Schäden aus der Verletzung von Leben, Körper oder Gesundheit. (3) Bei leichter Fahrlässigkeit haftet der Auftragnehmer nur bei Verletzung wesentlicher Vertragspflichten (Kardinalpflichten), begrenzt auf den vertragstypischen, vorhersehbaren Schaden. § 12 Schlussbestimmungen (1) Rangfolge: Diese AVV hat Vorrang vor widersprechenden Regelungen des Hauptvertrags. (2) Schriftform: Änderungen und Ergänzungen bedürften der Schrift- oder Textform. Elektronischer Abschluss ist zulässig. (3) Salvatorische Klausel: Die Wirksamkeit der übrigen Bestimmungen bleibt von der Unwirksamkeit einzelner Klauseln unberührt. (4) Anwendbares Recht: Es gilt österreichisches Recht. Zuständige Aufsichtsbehörde ist die Österreichische Datenschutzbehörde (DSB), Barichgasse 40-42, 1030 Wien. (5) Gerichtsstand: Soweit gesetzlich zulässig, ist ausschließlicher Gerichtsstand der Sitz des Auftragnehmers (4040 Linz, Österreich). (6) Ein Zurückbehaltungsrecht des Auftragnehmers an verarbeiteten Daten ist ausgeschlossen.

Anlage 1: Beschreibung der Verarbeitung A. Eingesetzte Systeme und Komponenten KIRA SecureSuite (Langdock): KI-Unternehmensplattform: Workflows, Agenten, Integrationen, Wissensbasen, Promptmanagement Qdrant Vektordatenbank: Semantische Suche, RAG-Retrieval, Wissensbasis-Vektorisierung Poma AI Chunking: Aufbereitung und Segmentierung von Dokumenten für KI-Verarbeitung Hetzner (Finnland): Eigener Server für Infrastruktur, VPS, Applikationshosting Memberspot: Kursplattform, Lernmanagementsystem, Teilnehmerverwaltung, Zertifizierungen Pipedrive: CRM-System, Kundendaten, Sales-Pipeline, Kommunikationshistorie Stripe: Zahlungsabwicklung, Rechnungsstellung, Abonnementverwaltung Bunnyway CDN: Auslieferung von Videoinhalten und Kursmaterialien B. Kategorien personenbezogener Daten Nutzerdaten: Name, E-Mail-Adresse, Benutzerkennung, Rolle, Passwort-Hash, Profildaten Kommunikationsinhalte: Prompts, KI-generierte Outputs, Agentenanfragen, Chat-Verläufe innerhalb der SecureSuite Geschäftsdokumente: Vom Auftraggeber hochgeladene oder verarbeitete Dokumente, Dateianhänge Vektordaten: Semantisch aufbereitete Repräsentationen von Wissensinhalten (keine Klardaten) Lern- und Schulungsdaten: Kursfortschritt, Testergebnisse, Zertifizierungsstatus, Prüfungsnachweise CRM-Daten: Kundenkontakte, Kommunikationshistorie, Verkaufsvorgänge, Angebote, Vertragsdaten Zahlungsdaten: Transaktions-ID, Rechnungsadresse, Zahlungsstatus (Kartendaten ausschließlich bei Stripe) Technische Metadaten: IP-Adressen, API-Verbindungsdaten, Systemprotokolle, Session-Daten C. Kategorien betroffener Personen Mitarbeitende und Benutzer des Auftraggebers, die die KIRA SecureSuite nutzen Teilnehmende an Schulungen und Zertifizierungsprogrammen Kunden und Interessenten des Auftraggebers (in CRM-Systemen) Externe Kontaktpersonen im Rahmen von Support und Beratung D. Besondere Kategorien (Art. 9 DSGVO) Der Auftragnehmer hat keinen Einfluss auf den Inhalt der vom Auftraggeber verarbeiteten Daten. Das Vorhandensein besonderer Kategorien personenbezogener Daten kann daher nicht generell ausgeschlossen werden. Der Auftraggeber stellt sicher, dass besondere Kategorien entweder ausgeschlossen oder gesondert gekennzeichnet und freigegeben werden. Anlage 2: Technische und organisatorische Maßnahmen (TOMs) Der Auftragnehmer trifft angemessene TOMs im Sinne des Art. 32 DSGVO. Die konkret umgesetzten Maßnahmen werden intern dokumentiert und dem Auftraggeber auf Verlangen nachgewiesen. 1. Vertraulichkeit Physische Zugangskontrolle: gesicherte Serverräume bei Hetzner (Finnland), Besuchermanagement Logische Zugangskontrolle: Benutzername/Passwort, Multi-Faktor-Authentifizierung (MFA/2FA) für alle Admin-Zugänge Berechtigungskonzept: Rollenbasierte Zugriffsrechte (Least-Privilege-Prinzip), getrennte Admin-Konten Trennungskontrolle: Mandantentrennung auf Plattform- und Datenbankebene; getrennte Qdrant-Collections pro Auftraggeber Pseudonymisierung und Anonymisierung wo technisch möglich Vertraulichkeitsverpflichtungen aller Mitarbeitenden und Auftragnehmer 2. Integrität Transportverschlüsselung: TLS 1.2/1.3 für alle Datenübertragungen Verschlüsselung bei Speicherung: AES-256 für ruhende Daten auf Hetzner-Servern und in Qdrant Protokollierung und Monitoring: Logging relevanter Admin-, Workflow- und API-Aktivitäten Schutz vor unbefugter Datenveränderung: Integritätschecks, Versionierung kritischer Konfigurationen 3. Verfügbarkeit und Belastbarkeit Backup-Konzept: Regelmäßige automatisierte Backups auf Hetzner-Infrastruktur (Finnland) Ausfallschutz: Redundante Systeme, RAID-Konfiguration, Cloud-Redundanz über Hetzner Notfallplan: Dokumentierte Business-Continuity- und Disaster-Recovery-Prozesse DDoS-Schutz und WAF: über Cloudflare SLA und Monitoring: 24/7-Überwachung kritischer Dienste, definierte Reaktionszeiten 4. Wiederherstellbarkeit Regelmäßige Wiederherstellungstests der Backups Dokumentierte Notfallprozesse mit definierten Recovery-Time-Objectives (RTO) 5. Überprüfung und Evaluierung Interne Audits und regelmäßige Sicherheitsüberprüfungen Datenschutz-Managementsystem (ISO 9001 erfüllt, ISO 21001 in Bearbeitung) Schulungen und Sensibilisierung aller Mitarbeitenden Einhaltung der DSGVO- und AI-Act-Vorgaben als Teil der Unternehmenskultur 6. KI-spezifische Maßnahmen (AI-Act-Konformität) Ausschließliche Nutzung EU-gehosteter LLM-Modelle für personenbezogene Daten API-Key-Policy: Schlüsselrotation, Zugriffsdokumentation, Berechtigungen nur für benannte Admins Keine dauerhafte Speicherung von Prompt-Inhalten außerhalb der konfigurierten Workspace-Umgebung Logging-Minimalprinzip: Keine dauerhafte Speicherung vollständiger Datensätze in Logs Transparenz: Nutzer werden über den Einsatz von KI-Systemen informiert Anlage 3: Genehmigte Unterauftragsverarbeiter Folgende Unterauftragsverarbeiter sind zum Zeitpunkt des Vertragsabschlusses im Einsatz. Der Auftragnehmer informiert den Auftraggeber vor jeder Änderung (Hinzunahme / Austausch) mit einer Vorlauffrist von mindestens 14 Tagen. Langdock GmbH Leistung / Zweck: SaaS-Plattform SecureSuite Standort: EU Rechtsinstrument: Langdock DPA/AVV Kategorie: SecureSuite / KI Microsoft Azure (OpenAI) Leistung / Zweck: LLM über Azure OpenAI Standort: EU Rechtsinstrument: Microsoft DPA + EU SCCs Kategorie: LLM-Provider Amazon AWS EMEA SARL Leistung / Zweck: LLM über AWS Bedrock Standort: EU Rechtsinstrument: AWS DPA + EU SCCs Kategorie: LLM-Provider Google Cloud EMEA (Irland) Leistung / Zweck: LLM über Google Cloud Standort: EU Rechtsinstrument: Google DPA + EU SCCs Kategorie: LLM-Provider OpenAI Ireland Limited Leistung / Zweck: LLM (Modelle GPT-Serie) Standort: EU (Irland) Rechtsinstrument: OpenAI DPA + EU SCCs Kategorie: LLM-Provider Qdrant Solutions GmbH Leistung / Zweck: Vektordatenbank für RAG Standort: EU Rechtsinstrument: Qdrant DPA Kategorie: Vektordatenbank Poma AI GmbH (Berlin) Leistung / Zweck: Chunking / Dokumentenverarbeitung Standort: EU (Berlin) Rechtsinstrument: DPA Poma AI Kategorie: Chunking Hetzner Online GmbH Leistung / Zweck: Server-Hosting (Infrastruktur) Standort: Finnland / EU Rechtsinstrument: Hetzner DPA Kategorie: Hosting Memberspot GmbH Leistung / Zweck: Kurs-Hosting, Lernmanagement Standort: EU Rechtsinstrument: Memberspot DPA Kategorie: Lernplattform Pipedrive OEU (Estland) Leistung / Zweck: CRM, Kundendatenverwaltung Standort: EU (Estland) Rechtsinstrument: Pipedrive DPA + EU SCCs Kategorie: CRM Stripe Payments Europe Ltd. Leistung / Zweck: Zahlungsabwicklung Standort: EU (Irland) Rechtsinstrument: Stripe DPA Kategorie: Zahlung Bunnyway d.o.o. (Slowenien) Leistung / Zweck: CDN, Video-Auslieferung Standort: EU (verteilt) Rechtsinstrument: Bunnyway DPA Kategorie: CDN Black Forest Labs Inc. (USA) Leistung / Zweck: Bildgenerierung (KI-Modelle) Standort: EU-Server Rechtsinstrument: EU SCCs, UK SCCs Kategorie: KI-Bilder Functional Software (Sentry) Leistung / Zweck: Error Tracking Standort: EU-Server Rechtsinstrument: EU SCCs + DPF Kategorie: Error Tracking Cloudflare Inc. (USA) Leistung / Zweck: DDoS-Schutz, WAF Standort: Nutzerort Rechtsinstrument: EU SCCs + DPF Kategorie: Netzwerksicherheit Stripe verarbeitet Zahlungskartendaten in eigener datenschutzrechtlicher Verantwortung gemäß PCI-DSS-Zertifizierung. Kartendaten werden nicht beim Auftragnehmer gespeichert. Anlage 4: Governance-Vorgaben und AI-Act-Compliance Diese Anlage legt verbindliche Governance-Regeln für die KIRA SecureSuite und alle angebundenen KI-Dienste fest. 1. EU-Modell-Policy Für die Verarbeitung personenbezogener Daten dürfen ausschließlich EU-gehostete Sprachmodelle eingesetzt werden (Azure OpenAI EU-Region, AWS Bedrock EU-Region, Google Cloud EU-Region). Eine Drittlandverarbeitung ist nur mit expliziter schriftlicher Freigabe des Auftraggebers zulässig. 2. API-Key- und Zugriffspolicy Usage-Export-Berechtigungen nur an benannte Administratoren Regelmäßige Schlüsselrotation (mindestens quartalsweise) Vollständige Zugriffsdokumentation und -protokollierung Sofortige Sperrung bei Verdacht auf Kompromittierung 3. Datenzugang-Scope Der Auftragnehmer greift ausschließlich auf freigegebene API-Endpunkte und Datenbereiche zu Besonders sensible Datenkategorien (z. B. HR, Gesundheit) sind vom Auftraggeber vorab auszuschließen oder gesondert zu kennzeichnen Postfächer mit besonders sensiblen Inhalten sind explizit auszunehmen, sofern nicht gesondert freigegeben 4. Logging und Datenminimierung Minimalprinzip: Keine dauerhafte Speicherung vollständiger Prompt- oder Ausgabe-Datensätze in Systemlogs Retention für technische Protokolle: maximal 30 Tage rollierend Keine Verwendung von Produktivdaten in Test- oder Entwicklungsumgebungen ohne Pseudonymisierung 5. AI-Act-Konformität Klassifizierung eingesetzter KI-Systeme gemäß EU AI Act (Risikoklassen) Transparenzpflicht: Nutzer werden über den Einsatz von KI informiert Keine Nutzung von KI-Systemen mit unzulässigen Praktiken gemäß Art. 5 AI Act Laufende Dokumentation und Überprüfung eingesetzter KI-Modelle und -Systeme 6. Vektordatenbank (Qdrant) Strikte Mandantentrennung: Jeder Auftraggeber erhält eine isolierte Collection Verschlüsselung aller gespeicherten Vektoren Löschung auf Weisung des Auftraggebers innerhalb von 72 Stunden 7. Chunking (Poma AI) Verarbeitung ausschließlich auf EU-Servern (Berlin) Keine dauerhafte Speicherung von Rohdaten nach Abschluss des Chunking-Prozesses Ergebnisse werden ausschließlich in die KIRA SecureSuite übergeben Diese Anlage ist integraler Bestandteil des AVV und mit den Unterschriften rechtsverbindlich.