B2B-Kunden benötigen für SaaS, Managed Services, Support, Remote und AI Gateway einen klaren Datenschutzrahmen. Diese Seite beschreibt die Vertragslogik.
Bei GETkondixo-Kundeninstanzen ist der Kunde regelmäßig Verantwortlicher für seine Fach-, Mitarbeiter-, Kunden-, Dokumenten- und Prozessdaten. Get-It-Soft verarbeitet diese Daten im Rahmen von SaaS, Managed NAS, Support, Remote, AI Gateway oder Wartung grundsätzlich als Auftragsverarbeiter.
Abweichende Rollen können entstehen, wenn Get-It-Soft eigene Zwecke verfolgt, etwa bei eigener Abrechnung, eigener Kundenkommunikation, Missbrauchsabwehr oder gesetzlicher Dokumentation.
Der AVV sollte Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenarten, Kategorien betroffener Personen, Weisungsrechte, Vertraulichkeit, TOMs, Unterauftragnehmer, Kontrollrechte, Meldungen, Rückgabe, Löschung und Nachweise regeln.
Für Hybridbetrieb und lokale NAS-Modelle muss zusätzlich geklärt werden, welche Daten in der Cloud liegen, welche beim Kunden verbleiben, welche Zugriffe Get-It-Soft hat und wer für Backups verantwortlich ist.
Die TOMs beschreiben unter anderem Zutritts-, Zugangs-, Zugriffs-, Weitergabe-, Eingabe-, Verfügbarkeits- und Trennungskontrolle. Dazu kommen Verschlüsselung, Backup, Wiederherstellung, Protokollierung, Rechteverwaltung, Updateprozesse und Incident Handling.
Die konkrete TOM-Anlage wird passend zum Betriebsmodell erstellt: SaaS, lokale Station, Managed NAS, Hybrid Storage, eigener KI Server oder voll kundeneigene Umgebung.
Je nach Leistungsumfang können Hosting, Rechenzentrum, Domain/DNS, Mail, Backup, Monitoring, Zahlungsanbieter, Fernwartung, KI-Provider, Lieferanten und Supportwerkzeuge als Unterauftragnehmer oder eigenständige Anbieter relevant sein.
Die konkrete Unterauftragnehmerliste wird produktiv als Vertragsanlage oder gepflegte Liste bereitgestellt. Kunden werden über wesentliche Änderungen nach Maßgabe des AVV informiert.
KI-Funktionen benötigen besondere Klarheit: Providerwahl, Speicherorte, Protokollierung, Trainingsausschluss, Rechtefilter, Prompt-/Dokumentenkontext, Kostenkontrolle, Modellgrenzen und menschliche Kontrolle müssen dokumentiert werden.
Wenn externe KI-Provider oder Drittlandtransfers eingesetzt werden, werden die dazu erforderlichen Datenschutzmechanismen und Freigaben im Vertrag abgebildet.
