AVV

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen — einschließlich in Bezug auf Übermittlungen an ein Drittland oder eine internationale Organisation —, sofern er nicht durch das Recht der Europäischen Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen Grundes des öffentlichen Interesses verbietet. Die Konfiguration und Bedienung der Plattform durch den Verantwortlichen (z. B. Modellauswahl, Team-Einladungen, Speicherung von Chat-Inhalten) gilt als dokumentierte Weisung im Sinne dieser Bestimmung.

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Der Auftragsverarbeiter ergreift alle nach Art. 32 DSGVO erforderlichen Maßnahmen. Die konkret umgesetzten technischen und organisatorischen Maßnahmen sind in Anlage 3 beschrieben.

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter (Unterauftragsverarbeiter). Die aktuelle Liste der eingesetzten Unterauftragsverarbeiter ist in Anlage 2 geregelt und öffentlich unter gorilia.ai/subprozessoren einsehbar.

Über beabsichtigte Änderungen (Hinzufügung oder Ersetzung von Unterauftragsverarbeitern) informiert der Auftragsverarbeiter den Kontoinhaber mindestens 30 Tage im Voraus per E-Mail. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus nachvollziehbaren, datenschutzrechtlichen Gründen widersprechen; im Fall eines berechtigten Widerspruchs, den die Parteien nicht einvernehmlich lösen können, steht dem Verantwortlichen ein außerordentliches Kündigungsrecht für den betroffenen Teil der Leistung zu. Erfolgt kein Widerspruch innerhalb der Frist, gilt die Änderung als akzeptiert.

Ist die kurzfristige Hinzuziehung eines Unterauftragsverarbeiters aus technischen oder betrieblichen Gründen unaufschiebbar (z. B. zur Aufrechterhaltung der Sicherheit oder Verfügbarkeit der Plattform), informiert der Auftragsverarbeiter unverzüglich nachträglich; das Widerspruchsrecht bleibt davon unberührt.

Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter im Wege eines Vertrags oder eines anderen Rechtsinstruments zur Einhaltung von Datenschutzpflichten, die denen dieses AVV entsprechen.

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen, soweit dies möglich ist, bei der Erfüllung von dessen Pflicht, Anträge auf Wahrnehmung der in Kapitel III der DSGVO genannten Rechte der betroffenen Person zu beantworten. Der Verantwortliche kann Auskunft und Export der Team-Workspace-Inhalte über die Selbstbedienungsfunktion in den Konto- bzw. Team-Einstellungen selbst vornehmen (siehe Datenportabilität).

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

Bei Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten (Art. 33 DSGVO), die Daten betrifft, die der Auftragsverarbeiter im Auftrag des Verantwortlichen verarbeitet, informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden, unter der beim Team-Account hinterlegten E-Mail-Adresse des Kontoinhabers.

Nach Beendigung der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Beides steht dem Verantwortlichen jederzeit als Selbstbedienung zur Verfügung: die Rückgabe über die Exportfunktion in den Team-Einstellungen, die Löschung über die Löschung einzelner Inhalte bzw. des Team-Accounts. Der Auftragsverarbeiter löscht die Daten darüber hinaus auf Weisung des Verantwortlichen. Eine automatische Löschung allein aufgrund des Vertragsendes findet nicht statt — die Daten bleiben abrufbar, solange der Account besteht. Einzelheiten zum Export und zu den Löschwegen enthält das Kapitel „Wechsel und Vertragsende" der Datenportabilitätsseite.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen — einschließlich Vor-Ort-Überprüfungen —, die vom Verantwortlichen oder einem anderen von ihm beauftragten Prüfer durchgeführt werden. Ein Audit ist mit angemessener Vorlaufzeit (mindestens 30 Tage) schriftlich anzukündigen, auf die Dauer eines Arbeitstags pro Kalenderjahr zu beschränken und unterliegt einer Vertraulichkeitsvereinbarung. Der Auftragsverarbeiter kann statt eines eigenen Audits aussagekräftige Nachweise (z. B. Zusammenfassungen einschlägiger Nachweise Dritter) vorlegen, wenn diese die Einhaltung der Pflichten aus diesem AVV hinreichend belegen.

• Mandantentrennung auf Datenbankebene (Row-Level Security): jede Datenbankabfrage wird serverseitig durch Postgres-RLS-Richtlinien auf den jeweils berechtigten Account beschränkt — ein struktureller Schutz gegen Cross-Tenant-Zugriff, nicht nur eine Anwendungsprüfung.
• Spaltenscharfe Rechtevergabe (Column-Level Grants): besonders sensible Tabellenspalten sind zusätzlich zur RLS auf Spaltenebene berechtigt, sodass selbst berechtigte Rollen nur genau die Spalten schreiben können, die für ihre Funktion vorgesehen sind.
• Zwei-Faktor-Authentifizierung (TOTP): Nutzerkonten können durch einen zeitbasierten Einmalpasswort-Faktor zusätzlich abgesichert werden.
• Prinzip der geringsten Rechte bei Backend-Diensten: interne Server-Rollen (Service-Rollen) sind auf die für ihre jeweilige Funktion notwendigen Berechtigungen beschränkt, nicht pauschal privilegiert.

• Transportverschlüsselung (TLS): sämtliche Datenübertragung zwischen Client, Plattform und den eingesetzten Unterauftragsverarbeitern erfolgt verschlüsselt.

• Verschlüsselung im Ruhezustand: Daten werden bei der eingesetzten Datenbank- und Storage-Infrastruktur (Supabase) verschlüsselt gespeichert.

• Kein Training auf Kundeninhalten: die eingesetzten KI-Modellanbieter werden vertraglich bzw. über deren API-Bedingungen so eingebunden, dass Chat-Inhalte nicht zum Training ihrer Modelle verwendet werden — Details und Ausnahmen je Anbieter siehe Subprozessorenliste.
• Private Speicherung, signierte Zugriffs-URLs: hochgeladene Dateien liegen in einem nicht öffentlich zugänglichen Speicherbereich; der Zugriff erfolgt ausschließlich über zeitlich begrenzte, signierte URLs.

• Fehler- und Sicherheitsmonitoring ohne Klardaten-Übertragung: technisches Monitoring (Fehlerüberwachung) ist so konfiguriert, dass keine vollständigen Chat-Inhalte oder unnötige personenbezogene Daten in Fehlerberichte gelangen (Datenbereinigung vor Übermittlung).