Auftragsverarbeitungsvertrag

§ 1 Vertragsparteien und Gegenstand

1. Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers im Rahmen der Nutzung der SaaS-Plattform BASIO, wie in den Allgemeinen Geschäftsbedingungen (AGB) von BASIO beschrieben.
2. Dieser AVV wird mit Abschluss des Hauptvertrags (Abonnement oder Pass) und Bestätigung im Bestellprozess wirksamer Vertragsbestandteil, ohne dass es einer gesonderten Unterzeichnung bedarf.

§ 2 Art und Zweck der Verarbeitung

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich zur Erbringung der vertraglich vereinbarten SaaS-Leistungen gemäß den AGB von BASIO, insbesondere:

• Speicherung, Analyse und Aufbereitung hochgeladener Wettbewerbs- und Projektunterlagen mithilfe von KI-Modellen,
• Bereitstellung von Projekten für die Teammitglieder des Auftraggebers,
• Speicherung des Chatverlaufs von BASIO-GPT je Nutzer,
• Übertragung ausgewählter Inhalte nach Microsoft 365, sofern der Auftraggeber dies auslöst,
• technische Bereitstellung, Sicherung und Wartung der Plattform.

Der Auftragnehmer nutzt die Daten nicht zum Training von KI-Modellen und nicht für eigene Zwecke.

§ 3 Art der Daten und Kategorien betroffener Personen

Daten

• Kontodaten der Nutzer des Auftraggebers (Name, E-Mail-Adresse, Rolle im Team),
• Inhalte der hochgeladenen Wettbewerbsunterlagen und Projektdokumente, einschließlich darin enthaltener Namen und Kontaktdaten,
• von den Nutzern erstellte Inhalte (Analysen, Konzepte, Notizen, Visualisierungen, Chat-Nachrichten),
• Nutzungs- und Protokolldaten,
• bei verbundenem Microsoft-Konto: Kontokennung und Zugriffs-Token.

Betroffene Personen

Nutzer und Teammitglieder des Auftraggebers sowie in den Unterlagen genannte Projektbeteiligte und sonstige natürliche Personen des Auftraggebers und seiner Vertragspartner.

§ 4 Laufzeit

Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrags (Abonnement oder Pass gemäß AGB). Er endet mit Beendigung des Hauptvertrags, unbeschadet fortbestehender Pflichten nach § 5 Nr. 5.

§ 5 Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich:

1. personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers zu verarbeiten, es sei denn, er ist gesetzlich zu einer anderen Verarbeitung verpflichtet; als Weisung gelten der Hauptvertrag, dieser AVV und die Nutzung der Funktionen der Plattform durch den Auftraggeber;
2. die Vertraulichkeit der Daten zu gewährleisten und alle mit der Verarbeitung befassten Personen zur Vertraulichkeit zu verpflichten;
3. technische und organisatorische Maßnahmen nach Art. 32 DSGVO zu treffen (§ 6);
4. den Auftraggeber bei der Beantwortung von Anfragen betroffener Personen (Art. 12–22 DSGVO) angemessen zu unterstützen;
5. nach Beendigung des Hauptvertrags die Daten noch 7 Tage zum Ansehen und Herunterladen bereitzuhalten und sie anschließend für 12 Monate gespeichert zu lassen, damit der Auftraggeber bei erneuter Buchung weiterarbeiten kann; danach werden die Daten gelöscht, soweit keine gesetzliche Pflicht zur weiteren Speicherung besteht. Auf Verlangen des Auftraggebers löscht der Auftragnehmer die Daten bereits früher;
6. Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden, an den Auftraggeber zu melden.

§ 6 Technische und organisatorische Maßnahmen

Die Maßnahmen im Sinne des Art. 32 DSGVO umfassen insbesondere: Verschlüsselung der Datenübertragung (TLS/SSL); rollenbasierte Zugriffskontrolle auf Datenebene (Projekte sind nur für Eigentümer bzw. Teammitglieder lesbar, Chatverläufe nur für den jeweiligen Nutzer); Absicherung interner Schnittstellen durch geheime Schlüssel; Speicherung von Zugangsdaten zu Drittdiensten in verschlüsselten Zugangsdatenspeichern; regelmäßige Datensicherungen durch die Plattform; fortlaufende Überprüfung und Verbesserung der Maßnahmen. Ergänzend gilt die Datenschutzerklärung von BASIO.

§ 7 Unterauftragsverarbeiter

Der Auftraggeber genehmigt den Einsatz der nachfolgend aufgeführten Unterauftragsverarbeiter. Mit allen Unterauftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Soweit eine Verarbeitung außerhalb der EU bzw. des EWR stattfindet, ist sie durch einen Angemessenheitsbeschluss, das EU-US Data Privacy Framework und/oder EU-Standardvertragsklauseln abgesichert.

DPF = EU-US Data Privacy Framework · SCC = EU-Standardvertragsklauseln. Die jeweils aktuelle Liste der Unterauftragsverarbeiter von Base44 ist unter base44.com/dpa abrufbar.

Vom Auftraggeber selbst ausgelöste Übertragungen nach Microsoft 365 erfolgen in dessen eigenes Microsoft-Konto; Microsoft ist insoweit kein Unterauftragsverarbeiter des Auftragnehmers.

Der Auftragnehmer informiert den Auftraggeber unverzüglich per E-Mail, nachdem er von einer beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters Kenntnis erlangt hat. Der Auftraggeber kann der Änderung innerhalb von 14 Tagen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Ist dem Auftragnehmer die Leistungserbringung ohne den betreffenden Unterauftragsverarbeiter nicht oder nur mit unverhältnismäßigem Aufwand möglich, sind beide Parteien berechtigt, den Vertrag über die betroffenen Leistungen mit angemessener Frist außerordentlich zu kündigen; bereits im Voraus gezahlte Entgelte für den Zeitraum nach Vertragsende werden anteilig erstattet.

§ 8 Rechte und Pflichten des Auftraggebers

1. Der Auftraggeber hat das Recht, sich von der Einhaltung der technischen und organisatorischen Maßnahmen zu überzeugen (Audit-Recht), insbesondere durch Einholung von Auskünften. Vor-Ort-Prüfungen sind mit angemessener Vorankündigung (mindestens 14 Tage) und unter Wahrung der Betriebsabläufe des Auftragnehmers möglich.
2. Der Auftraggeber kann alle für die Erfüllung seiner datenschutzrechtlichen Pflichten erforderlichen Informationen verlangen.
3. Der Auftraggeber bleibt Verantwortlicher im Sinne der DSGVO für die von ihm und seinen Teammitgliedern hochgeladenen Daten und stellt deren Rechtmäßigkeit sicher, insbesondere die Berechtigung zum Hochladen von Wettbewerbsunterlagen (AGB § 11).
4. Der Auftraggeber entscheidet, welche Personen er in sein Team einlädt; Team-Projekte sind für alle aktiven Teammitglieder sichtbar.

§ 9 Meldung von Datenpannen

Wird dem Auftragnehmer eine Verletzung des Schutzes personenbezogener Daten bekannt, die im Rahmen dieses AVV verarbeitete Daten betrifft, informiert er den Auftraggeber unverzüglich unter Angabe der ihm bekannten Umstände, um ihm die Erfüllung seiner Meldepflichten nach Art. 33 und 34 DSGVO zu ermöglichen.

§ 10 Schlussbestimmungen

1. Es gilt deutsches Recht.
2. Für Gerichtsstand und ergänzende Bestimmungen gelten §§ 19 und 20 der AGB von BASIO entsprechend.
3. Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Stand: 03.10.2026 · Version 2 · cook up studio UG (haftungsbeschränkt) · Moritz Koch · info@basio.at