Du bist Verantwortlicher, die TCB GmbH ist Auftragsverarbeiterin — allein für das Durchreichen der Denkanfragen an das Sprachmodell.
Vertrag zur Auftragsverarbeitung
Fassung vom 29. Juli 2026 · wird beim Kauf digital mitgeschlossen und liegt im Konto als PDF bereit
§ 1 Gegenstand und Dauer
Die TCB GmbH („Auftragsverarbeiterin“) verarbeitet für den Kunden („Verantwortlicher“) personenbezogene Daten ausschließlich, um Anfragen des Programms OCTOVO an ein Sprachmodell weiterzuleiten und die Antwort zurückzugeben. Die Verarbeitung dauert so lange wie der Hauptvertrag.
Nicht Gegenstand dieses Vertrages ist die Verarbeitung auf dem Gerät des Verantwortlichen: Postfach, Dateien, Kontakte, Kalender und das Gedächtnis verbleiben dort und sind für die Auftragsverarbeiterin technisch nicht zugänglich.
§ 2 Art, Zweck, Datenarten, Betroffene
| Art der Verarbeitung | Übermittlung (Durchleitung) an Unterauftragsverarbeiter, Zählung des Umfangs |
|---|---|
| Zweck | Erzeugen von Textentwürfen, Zusammenfassungen, Einstufungen und Handlungsvorschlägen |
| Datenarten | Inhalte der jeweiligen Anfrage: Auszüge aus Nachrichten, Dokumenten, Terminen, Kontaktangaben |
| Betroffene | Der Verantwortliche selbst sowie seine Kommunikationspartner (Kunden, Lieferanten, Mitarbeitende) |
§ 3 Weisungen
Die Auftragsverarbeiterin verarbeitet Daten ausschließlich auf dokumentierte Weisung. Die Nutzung von OCTOVO durch den Verantwortlichen gilt als Weisung. Hält die Auftragsverarbeiterin eine Weisung für rechtswidrig, teilt sie dies unverzüglich mit.
§ 4 Vertraulichkeit
Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet und in den Grundzügen des Datenschutzes geschult.
§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Verschlüsselung im Transport (TLS 1.3) und im Ruhezustand; Sicherungen verschlüsselt
- Keine Speicherung von Inhalten im Normalbetrieb — Durchleitung ohne Zwischenspeicher, Protokolle ohne Nutzlast
- Trennung von Entwicklungs-, Test- und Produktivumgebung
- Zugriff auf Produktivsysteme nur über persönliche Schlüssel, Zwei-Faktor-Pflicht, protokolliert
- Rollen- und Rechtekonzept nach dem Grundsatz der geringsten Berechtigung
- Meldewege für Vorfälle mit Reaktion binnen 24 Stunden, Meldung an den Verantwortlichen unverzüglich
- Jährliche Überprüfung der Maßnahmen, dokumentiert
- Löschkonzept mit automatischen Fristen (Diagnose-Aufzeichnungen höchstens 7 Tage)
§ 6 Unterauftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz der unter Unterauftragsverarbeiter genannten Dienstleister zu. Wechsel oder Ergänzungen kündigen wir mindestens 30 Tage vorher an; der Verantwortliche kann widersprechen und in diesem Fall außerordentlich kündigen. Mit allen Unterauftragsverarbeitern bestehen Verträge mit gleichwertigen Pflichten.
§ 7 Drittland
Die Sprachmodelle werden von Anthropic PBC in den USA betrieben. Die Übermittlung ist über Standardvertragsklauseln der EU-Kommission abgesichert, ergänzt um technische Maßnahmen (Transport- verschlüsselung, Minimierung der übermittelten Ausschnitte, beantragte Nichtspeicherung).
§ 8 Unterstützungspflichten
Die Auftragsverarbeiterin unterstützt den Verantwortlichen bei Betroffenenanfragen, Datenschutz- Folgenabschätzungen und Meldungen an Aufsichtsbehörden, soweit ihr das mit den ihr vorliegenden Informationen möglich ist. Da im Normalbetrieb keine Inhalte gespeichert werden, kann sie zu einzelnen Inhalten keine Auskunft erteilen — die entsprechenden Daten liegen beim Verantwortlichen auf dessen Gerät.
§ 9 Löschung und Rückgabe
Nach Vertragsende werden Konto- und Abrechnungsdaten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Inhalte sind nicht vorhanden und können daher weder herausgegeben noch gelöscht werden.
§ 10 Nachweise
Die Auftragsverarbeiterin weist die Einhaltung auf Anfrage durch Selbstauskunft und Dokumentation nach. Vor- Ort-Prüfungen sind nach Ankündigung mit angemessener Frist und ohne Beeinträchtigung des Betriebs möglich.