Auftragsverarbeitungsvertrag

Zuletzt aktualisiert: 24. Oktober 2026

Diese Übersetzung dient nur der besseren Verständlichkeit. Bei Abweichungen ist die spanische Fassung maßgeblich.

Dieses Dokument regelt die Verarbeitung personenbezogener Daten, die BIOMAG, S.L.U. (der „Auftragsverarbeiter“) im Auftrag des Kunden (der „Verantwortliche“) bei der Erbringung des Dienstes AIM CODEX gemäß Artikel 28 DSGVO durchführt. Es ist Teil der Vertragsbedingungen und gilt, wenn der Kunde personenbezogene Daten Dritter in die Dokumente aufnimmt, die er über den Dienst verarbeitet.

1. Gegenstand und Rolle der Parteien

Der Verantwortliche (der Kunde) bestimmt Zwecke und Mittel der Verarbeitung der personenbezogenen Daten in seinen Dokumenten und zu seinen Empfängern. Der Auftragsverarbeiter (BIOMAG, S.L.U.) verarbeitet sie nur zur Erbringung des Dienstes und nach den dokumentierten Weisungen des Verantwortlichen, die in diesem Vertrag und in der Nutzung des Dienstes durch den Verantwortlichen enthalten sind.

2. Beschreibung der Verarbeitung

• Art und Zweck: Hosten, Versiegeln, Aufbewahren und Überprüfen der Dokumente des Verantwortlichen sowie das Teilen und Annehmen ermöglichen; Erzeugung und Aufbewahrung des zugehörigen Nachweises.
• Dauer: solange die Dienstbeziehung besteht, unbeschadet der vom Verantwortlichen bestimmten Aufbewahrungsfristen für den Nachweis.
• Datenarten: die Daten, die der Verantwortliche in seine Dokumente aufnimmt (typischerweise Identifikations- und Kontaktdaten; besondere Kategorien soll der Verantwortliche nur aufnehmen, wenn er eine Rechtsgrundlage hat und dies mitteilt).
• Kategorien betroffener Personen: die vom Verantwortlichen bestimmten (z. B. Kunden, Beschäftigte, Unterzeichner, Empfänger).

Die öffentliche Zeitstempelkette erhält nur den kryptografischen Fingerabdruck (Hash) des Dokuments; sie erhält weder den Inhalt noch personenbezogene Daten.

3. Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3 DSGVO)

• Die Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten, auch bei internationalen Übermittlungen, sofern keine gesetzliche Pflicht besteht (dann informiert er den Verantwortlichen, soweit das Gesetz es erlaubt).
• Gewährleisten, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind.
• Geeignete technische und organisatorische Sicherheitsmaßnahmen anwenden (Art. 32 DSGVO): Zugangskontrolle, Verschlüsselung bei der Übertragung, Unversehrtheit und Versiegelung des Nachweises, Protokollierung von Vorfällen und Sicherungskopien.
• Den Verantwortlichen unterstützen bei der Erfüllung der Rechte betroffener Personen und seiner Pflichten (Sicherheit, Meldung von Datenschutzverletzungen, Folgenabschätzungen und vorherige Konsultationen).
• Dem Verantwortlichen Datenschutzverletzungen, von denen er Kenntnis erlangt, unverzüglich melden.
• Nach Wahl des Verantwortlichen die Daten nach Ende der Leistung löschen oder zurückgeben, sofern keine gesetzliche Aufbewahrungspflicht besteht.
• Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung zur Verfügung stellen und Überprüfungen, einschließlich Inspektionen, ermöglichen und dazu beitragen.

4. Unterauftragsverarbeiter

Der Verantwortliche genehmigt dem Auftragsverarbeiter, die unter aim-codex.ai/subencargados veröffentlichten Unterauftragsverarbeiter einzusetzen: Railway (Hosting, Server in den Niederlanden), Resend (E-Mail, europäische Region), Migadu-Mail GmbH (Postfach und Ersatz-E-Mail, Schweiz) und, nur wenn der Verantwortliche oder seine Nutzer die KI-Funktionen verwenden, OpenRouter, Inc. (USA), mit Weiterleitung an Anbieter, die die Daten weder speichern noch zum Training verwenden. Der Auftragsverarbeiter legt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die dieses Dokument ihm auferlegt, und haftet gegenüber dem Verantwortlichen für deren Einhaltung. Jede Aufnahme oder Änderung eines Unterauftragsverarbeiters wird vor ihrer Anwendung auf dieser Seite veröffentlicht; der Verantwortliche kann per E-Mail an hola@aim-codex.ai widersprechen.

Die KI-Funktionen sind optional und verarbeiten nur, was an sie gesendet wird: den Text und, bei Besprechungsprotokollen, die Audioaufnahme, die zur Transkription an den KI-Anbieter gesendet und von CODEX nicht aufbewahrt wird (nur ihr Fingerabdruck und ihre Größe). Der Verantwortliche entscheidet, ob er sie nutzt, informiert die betroffenen Personen, deren Daten in diesen Dokumenten vorkommen können – und die Teilnehmenden vor der Aufnahme einer Besprechung –, und verwendet sie nicht mit besonderen Kategorien von Daten.

5. Internationale Übermittlungen

Die Daten werden in der Europäischen Union gehostet. Jede Übermittlung oder jeder Zugriff von außerhalb des Europäischen Wirtschaftsraums – weil Railway, Resend und OpenRouter US-Unternehmen sind und weil der an die KI gesendete Text und das Audio in den Vereinigten Staaten verarbeitet werden – ist durch die Standardvertragsklauseln der Europäischen Kommission in den Auftragsverarbeitungsverträgen dieser Anbieter abgesichert (bei OpenRouter Modul 2) und im Fall von Resend zusätzlich durch den EU-US-Datenschutzrahmen. Für die Schweiz und das Vereinigte Königreich besteht ein Angemessenheitsbeschluss.

6. Pflichten des Verantwortlichen

Der Verantwortliche garantiert, dass er für die Verarbeitung der Daten, die er in den Dienst aufnimmt, über eine Rechtsgrundlage verfügt, die betroffenen Personen gegebenenfalls informiert hat und dem Auftragsverarbeiter rechtmäßige Weisungen erteilt. Er ist allein verantwortlich für die Rechtmäßigkeit der Inhalte, die er versiegelt oder teilt.

7. Abschluss

Die Annahme der Vertragsbedingungen umfasst die Annahme dieses Auftragsverarbeitungsvertrags. Benötigt der Verantwortliche für seine Compliance-Unterlagen ein eigens unterzeichnetes Dokument, kann er es unter hola@aim-codex.ai anfordern.