Anlage KI zum Auftragsverarbeitungsvertrag

Diese Anlage ergänzt den Auftragsverarbeitungsvertrag (AVV) zwischen dem Kunden („Verantwortlicher“) und Meisner-Ventures, Inhaber Max Meisner, Webergasse 30, 96450 Coburg („Auftragsverarbeiter“) für das Paket „NexAsset KI“. Sie gilt nur, solange das Paket freigeschaltet ist. Im Übrigen gelten AVV und AGB unverändert.

1. Gegenstand

Mit dem Paket beantwortet NexAsset Fragen zu den Daten des Verantwortlichen, fasst Inhalte zusammen, erklärt Auswertungen, erstellt Entwürfe (z. B. Nachrichten an Gäste oder Mieter, Antworten auf Bewertungen) und bereitet Änderungen vor. Dafür sendet NexAsset den jeweils nötigen Ausschnitt der Daten an ein KI-Modell und verarbeitet dessen Antwort. Es gibt einen Assistenten für alle Bereiche von NexAsset; welche Bereiche er nutzen kann, richtet sich nach den gebuchten Paketen.

2. Grundsätze

• Nur eigene Rechte: Die KI erhält ausschließlich Daten, die die anfragende Person in NexAsset selbst sehen darf, und nur den Ausschnitt, den die Anfrage braucht. Die Auswahl trifft NexAsset auf dem Server nach dem Rechtekonzept des Verantwortlichen, nicht das KI-Modell.
• Mensch entscheidet: Die KI trifft keine Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung (Art. 22 DSGVO). Vorbereitete Änderungen führt NexAsset erst nach Bestätigung durch eine berechtigte Person aus; Nachrichten an Dritte versendet immer eine Person. Rechte vergeben, Daten löschen, Zahlungen auslösen und Buchungen stornieren kann die KI nicht.
• Kennzeichnung und Protokoll: KI-Antworten und -Entwürfe sind in NexAsset als solche gekennzeichnet. Jede mit der KI vorbereitete und bestätigte Änderung wird mit Kennzeichen „KI“, Person und Zeitpunkt protokolliert. Je Unternehmen werden Anzahl und Kosten der Anfragen gespeichert, nicht deren Inhalt.
• Gesprächsverläufe mit dem Assistenten speichert NexAsset, soweit überhaupt, nur für die anfragende Person und höchstens 90 Tage; sie kann sie jederzeit löschen. Den Text von Dokumenten, die der Assistent auf Anfrage liest, speichert NexAsset höchstens 30 Tage zwischen, vorbereitete und nicht ausgeführte Änderungen höchstens einen Tag. Eine Erinnerung an das Morgenbriefing per Push enthält keine Inhalte; das Briefing entsteht erst, wenn die Person die App öffnet.

3. Daten, die an das KI-Modell gehen, und solche, die nie dorthin gehen

• Je nach Anfrage: Objekt-, Einheiten-, Mieter-, Gäste- und Buchungsdaten, Aufgaben, Termine, Dienst- und Urlaubsplanung, Finanz- und Rechnungsdaten, Inhalte von Dokumenten und Nachrichten, soweit die anfragende Person sie sehen darf.
• Automatisch entfernt werden vor dem Senden auch aus Freitexten: E-Mail-Adressen und Telefonnummern (außer der Verantwortliche erlaubt Kontaktdaten in den Paketeinstellungen), Bankverbindungen (IBAN), Zahlungskartennummern und Codes von Schlüsselkästen.
• Nicht übergeben werden gespeicherte Passwörter, API-Schlüssel und Zugangsdaten zu angebundenen Diensten sowie Felder mit Ausweis-, Steuer-, Geburts- oder Gesundheitsdaten; solche Daten übernimmt NexAsset aus angebundenen Systemen ohnehin nicht.
• Freitexte und Dokumente gehen inhaltlich so an das Modell, wie sie in NexAsset stehen. Der Verantwortliche sorgt dafür, dass darin keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO (z. B. Diagnosen) oder Zugangsdaten stehen, wenn sie mit der KI bearbeitet werden sollen.

4. Unterauftragsverarbeiter, Ort und Speicherdauer

Unterauftragsverarbeiter ist Anthropic PBC, San Francisco (USA), Anbieter der KI-Modelle „Claude“, auf Grundlage seiner geschäftlichen Nutzungsbedingungen mit Auftragsverarbeitungsvertrag einschließlich der EU-Standardvertragsklauseln (Modul 3). Die Verarbeitung findet in den USA bzw. weltweit statt; eine Verarbeitung ausschließlich in der EU bietet der Anbieter der Claude API derzeit nicht an. Anthropic verwendet die Daten nicht zum Training seiner Modelle. Anfragen und Antworten löscht Anthropic in der Regel innerhalb von 30 Tagen; länger nur, wenn Inhalte als Verstoß gegen die Nutzungsrichtlinien markiert werden (bis zu zwei Jahre) oder eine gesetzliche Pflicht besteht. Ist mit Anthropic eine Verarbeitung ohne Speicherung („Zero Data Retention“) vereinbart, speichert Anthropic Anfragen und Antworten nach der Antwort grundsätzlich nicht, mit denselben Ausnahmen. EU-Verarbeitung (wählbar): Vereinbaren die Parteien die Verarbeitung in der EU, ist Unterauftragsverarbeiter statt Anthropic die Google Cloud EMEA Limited, Dublin (Irland), mit Verarbeitung der Claude-Modelle über Vertex AI am Multi-Region-Standort „EU“ auf Grundlage der Google Cloud-Datenverarbeitungsbedingungen; Anthropic erhält dann keine Daten. Über eine Änderung des Unterauftragsverarbeiters oder des Verarbeitungsorts informiert der Auftragsverarbeiter nach Abschnitt 6 des AVV.

5. Pflichten des Verantwortlichen

• Er informiert die betroffenen Personen (z. B. Beschäftigte, Mieter, Gäste) in seinen Datenschutzhinweisen über den Einsatz der KI-Funktionen und prüft, ob eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) nötig ist.
• Er setzt die KI-Funktionen nicht für die in Ziffer 4a Abs. 3 der AGB ausgeschlossenen Zwecke ein (insbesondere keine Entscheidungen über Beschäftigte, Bewerber, Kreditwürdigkeit oder Mietinteressenten), sorgt für ausreichende KI-Kompetenz der Nutzenden (Art. 4 KI-Verordnung) und beteiligt eine bestehende Arbeitnehmervertretung, soweit erforderlich.
• Er legt fest, wer die KI nutzen und Änderungen vorbereiten darf (Rechte „KI nutzen“ und „KI darf Änderungen vorbereiten“), und lässt Ergebnisse vor der Verwendung prüfen.

6. Ende

Wird das Paket beendet, sendet NexAsset keine Daten mehr an das KI-Modell. Gespeicherte Gesprächsverläufe werden gelöscht; Protokolle und Verbrauchsangaben bleiben bis zum Ende der Nutzung nach Abschnitt 9 des AVV erhalten.