DSGVO-Konformität und AVV

AI Vision Institute gestaltet jeden AIVIO-Workflow so, dass er der Verordnung (EU) 2016/679 (DSGVO) und dem slowenischen Datenschutzgesetz (ZVOP-2) entspricht. Compliance ist eine Standardeigenschaft der Plattform, keine optionale Zusatzleistung.

Für Daten von Website-Besuchern und Interessenten sind wir Verantwortlicher. Für Geschäftsdaten, die Workflows im Auftrag eines Kunden verarbeiten (dessen Rechnungen, die Kontaktdaten seiner Kunden, seine Kommunikation), ist der Kunde Verantwortlicher und wir handeln als Auftragsverarbeiter auf Grundlage eines unterzeichneten Auftragsverarbeitungsvertrags.

Ein Auftragsverarbeitungsvertrag (AVV) ist fester Bestandteil jedes AIVIO-Vertrags und regelt: Gegenstand und Dauer der Verarbeitung, Art und Zweck, Kategorien betroffener Personen und personenbezogener Daten, die Klausel zu dokumentierten Weisungen (Art. 28 Abs. 3 lit. a), die Vertraulichkeit befugter Personen, Sicherheitsmaßnahmen nach Art. 32, Genehmigung und Liste von Unterauftragsverarbeitern, Unterstützung bei Betroffenenrechten, Meldung von Verletzungen innerhalb von 48 Stunden nach Kenntnis sowie Löschung oder Rückgabe der Daten bei Vertragsende.

Aktuelle AVV-Vorlage anfordern: Einführungspreis sichern.

Zu den Maßnahmen gehören: Hosting ausschließlich in der EU (Deutschland), Verschlüsselung bei der Übertragung (TLS 1.2+) und im Ruhezustand, getrennte Ablage von Zugangsdaten in Umgebungsvariablen und verschlüsselten Secret Stores, rollenbasierter Zugriff nach dem Need-to-know-Prinzip, laufende Überwachung der Workflows, tägliche verschlüsselte Backups mit 14 Tagen Aufbewahrung und Protokollierung automatisierter Aktionen.

Wir setzen eine kleine Zahl von Unterauftragsverarbeitern für Infrastruktur und KI ein, die alle an DSGVO-konforme Bedingungen gebunden sind. Die aktuelle Liste (einschließlich Hosting-Anbieter und KI-Modell-Anbieter) ist dem AVV beigefügt und wird mit 14 Tagen Vorankündigung aktualisiert; Kunden haben ein Widerspruchsrecht.

Sobald wir von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangen, informieren wir betroffene Kunden unverzüglich, spätestens innerhalb von 48 Stunden, mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben und unterstützen sie bei ihrer eigenen 72-Stunden-Meldepflicht gegenüber der Aufsichtsbehörde.