VERTRAUEN · DPA

Auftragsverarbeitungs-
vertrag (DPA).

Als Aitamit-Kunde sind Sie Verantwortlicher (Controller) und wir sind Auftragsverarbeiter (Processor) gemäß DSGVO Art. 28. Hier erläutern wir den Standard-Auftragsverarbeitungsvertrag von EDS: Rollen, gegenseitige Pflichten, Kundenrechte, Unterauftragsverarbeiter und internationale Transfers. Auf Anfrage unter legal@aitamit.com verfügbar.

Preise ansehen DPA anfordern

Warum Sie mit uns einen DPA haben

Wenn Sie Aitamit nutzen, übermitteln Sie uns personenbezogene Daten: Namen, E-Mails, IP-Adressen, Mitarbeiterkennungen, technische Endpoint-Daten und Audit-Logs. DSGVO Art. 28 verlangt einen verbindlichen Vertrag mit dem Verantwortlichen, der Folgendes festlegt: Gegenstand und Dauer der Verarbeitung, Art und Zweck, Art der personenbezogenen Daten und Kategorien der betroffenen Personen, Pflichten und Rechte des Verantwortlichen.

Der Standard-DPA von EDS ist für alle Pläne auf Anfrage unter legal@aitamit.com verfügbar. Für Enterprise und regulierte Sektoren werden spezifische Anforderungen (Aufbewahrung, Branchenklauseln) im Einzelfall gemeinsam mit Ihrem Rechtsteam geprüft.

Die Dienstinfrastruktur (Hosting, E-Mail und Backups) läuft in der EU: IONOS-VPS in Deutschland plus EDS-eigene Infrastruktur. Die einzigen Übermittlungen außerhalb der EU betreffen Stripe (Zahlungen) und Anthropic (optionaler KI-Assistent), beide abgesichert durch Standardvertragsklauseln (SCC).

DPA-INHALT

Was der DPA abdeckt

Rollen und Verantwortlichkeiten

Sie = Verantwortlicher (Controller), Sie bestimmen Zwecke und Mittel. EDS = Auftragsverarbeiter (Processor), verarbeitet Daten ausschließlich gemäß Ihren dokumentierten Weisungen. EDS verwendet Ihre Daten zu keinen anderen Zwecken (kein KI-Training, kein Cross-Marketing, keine verkaufsfähigen anonymen Aggregate).

Datenarten und Kategorien

Verarbeitete personenbezogene Daten: Namen, E-Mails, IP-Adressen, eindeutige Mitarbeiterkennungen, technische Endpoint-Daten (OS-Version, installierte Software), Audit-Logs mit Zeitstempel. Besondere Kategorien (Art. 9): nur wenn Ihre Organisation sie in Notizen/Kommentaren eingibt — Aitamit fordert sie nicht an.

Unterauftragsverarbeiter

Öffentliche Liste unter /sub-procesadores: IONOS (Hosting, Deutschland), Stripe (Zahlungen, USA, SCC) und Anthropic (optionaler KI-Assistent, USA, SCC). Benachrichtigung 30 Tage vor jeder Hinzufügung/Änderung/Entfernung. EDS haftet für die Handlungen seiner Unterauftragsverarbeiter wie für eigene.

Internationale Transfers

Hosting, E-Mail und Backups: in der EU (Deutschland, IONOS + EDS-eigene Infrastruktur). Übermittlungen außerhalb der EU: Stripe und Anthropic, abgesichert durch SCC. Keine weiteren internationalen Übermittlungen.

Kundenrechte

Recht auf dokumentierte Weisungen und auf Informationen über die Verarbeitung. Recht, neuen Unterauftragsverarbeitern zu widersprechen und den Vertrag ohne Strafe zu kündigen, wenn Sie sie nicht akzeptieren. Unterstützung durch EDS bei der Bearbeitung von Betroffenenrechten (Auskunft, Berichtigung, Löschung).

Laufzeit und Beendigung

DPA gültig, solange Sie einen aktiven Tenant haben. Nach der Kündigung: Löschung der Daten und Backups Ihres Tenants innerhalb von maximal 90 Tagen.

Branchenanhänge und spezifische Anforderungen

Wir unterhalten keine vorgefertigten Branchenanhänge (BAA, DORA, ENS, CCN-STIC). Wenn Ihr regulierter Sektor spezifische Klauseln verlangt, prüfen wir diese vor Vertragsschluss im Einzelfall gemeinsam mit Ihrem Rechtsteam. Schreiben Sie an legal@aitamit.com unter Angabe des anwendbaren Regulierungsrahmens, und wir sagen Ihnen klar, was wir übernehmen können und was nicht.

Standard-DPA auf Anfrage unter legal@aitamit.com verfügbar
Hosting, E-Mail und Backups in der EU; Stripe und Anthropic außerhalb der EU mit SCC
Öffentliche Liste der Unterauftragsverarbeiter mit 30 Tagen Vorlauf
Löschung der Tenant-Daten und Backups innerhalb von maximal 90 Tagen nach Kündigung
Branchenanhänge: Prüfung im Einzelfall

FAQ

Fragen zum DPA

Muss ich den DPA unterschreiben?

Ja, gemäß DSGVO ist er für alle Kunden verpflichtend: Ohne unterzeichneten DPA können wir den Service nicht erbringen. Fordern Sie ihn unter legal@aitamit.com an, und wir formalisieren ihn mit Ihnen vor oder während des Onboardings.

Kann ich den Standard-DPA ändern?

Der Standard-DPA deckt die Pflichten der DSGVO Art. 28 ab und ist für alle Pläne identisch. Zusätzliche Klauseln kommen nur für Enterprise und Sovereign in Betracht und werden im Einzelfall mit Ihrem Rechtsteam geprüft.

Ist EDS Verantwortlicher oder Auftragsverarbeiter?

Für Daten IHRER Mitarbeiter/Endpoints: EDS ist Auftragsverarbeiter (Sie sind der Verantwortliche). Für Daten IHRES Unternehmens als Aitamit-Kunde (Konto- und Abrechnungsdaten): EDS handelt als Verantwortlicher für seine eigenen Zwecke. Der DPA deckt beide Fälle ab.

Was passiert mit den Daten nach Vertragsende?

Nach der Kündigung löschen wir die Daten und Backups Ihres Tenants innerhalb von maximal 90 Tagen. Wenn Sie Informationen exportieren müssen, kontaktieren Sie soporte@aitamit.com vor der Kündigung.

Standard-DPA anfordern

Schreiben Sie an legal@aitamit.com, und wir senden Ihnen den Aitamit-EDS DPA.