Vertrag über die Auftragsverarbeitung personenbezogener Daten

【Firma des Auftraggebers】 (nachfolgend „Auftraggeber“) und AlienPeoples (nachfolgend „Auftragnehmer“) schließen zur Beauftragung des Auftragnehmers mit der Verarbeitung personenbezogener Daten des Auftraggebers gemäß Artikel 26 des koreanischen Gesetzes zum Schutz personenbezogener Daten folgenden Vertrag.

Artikel 1Zweck

Dieser Vertrag bestimmt die Rechte und Pflichten beider Parteien, wenn der Auftraggeber dem Auftragnehmer die für den SiCusto KI-Kundenservice erforderliche Verarbeitung personenbezogener Daten überträgt und der Auftragnehmer diese Aufgaben gewissenhaft nach diesem Vertrag und den einschlägigen Rechtsvorschriften ausführt.

Artikel 2Begriffe

• Endkunde — Betroffene Person, die die Beratungsseite des Auftraggebers (https://sicusto.com/chat/{auftraggeber-id}) nutzt.
• Unterauftragnehmer — Person oder Unternehmen, der bzw. dem der Auftragnehmer einen Teil der Aufgaben weiterüberträgt. Aufgeführt in Anlage 1.
• Verwaltungsseite — Vom Auftragnehmer bereitgestellte Oberfläche, auf der Mitarbeitende des Auftraggebers Gesprächsprotokolle, Nutzung und Einstellungen einsehen (/portal/).
• Im Übrigen gelten die Begriffe des koreanischen Gesetzes zum Schutz personenbezogener Daten und der Nutzungsbedingungen.

Artikel 3Aufgabenumfang und verarbeitete Daten

① Der Auftragnehmer führt ausschließlich folgende Aufgaben aus.

② Ohne Weisung des Auftraggebers erweitert der Auftragnehmer die verarbeiteten Daten nicht. Der Auftraggeber wirkt daran mit, Hinweise auf der Beratungsseite aufrechtzuerhalten, wonach Endkunden keine koreanischen Personenregistrierungsnummern, Kartennummern, Kontonummern oder Passwörter eingeben sollen (der Auftragnehmer maskiert diese serverseitig; das auf regulären Ausdrücken beruhende Verfahren kann jedoch Daten übersehen).

Artikel 4Auftragsdauer

Die Auftragsdauer entspricht der Laufzeit des Dienstleistungsvertrags (【Beginn】 bis zu dessen Ende). Die Bestimmungen zu Vertraulichkeit, Vernichtung und Schadensersatz gelten nach Vertragsende bis zur Erfüllung ihres Zwecks fort.

Artikel 5Beschränkungen der Unterbeauftragung 【Rechtliche Prüfung】 Form der Zustimmung zur Unterbeauftragung

1. Ohne vorherige Zustimmung des Auftraggebers überträgt der Auftragnehmer die Aufgaben nicht an Dritte weiter. Mit Vertragsschluss stimmt der Auftraggeber der Unterbeauftragung der in Anlage 1 aufgeführten Unterauftragnehmer zu.
2. In der ersten Dienstleistungsphase werden für alle Kundenunternehmen dieselben 3 KI-Anbieter genutzt (Anlage 1); es wird kein Anbieter je Auftraggeber gesondert festgelegt.
3. Vor Hinzufügung oder Austausch eines Unterauftragnehmers informiert der Auftragnehmer den Auftraggeber 【N】 Tage vor Wirksamwerden schriftlich (auch per E-Mail). Widerspricht der Auftraggeber innerhalb dieser Frist, wendet der Auftragnehmer die Änderung auf ihn nicht an oder der Auftraggeber kann den Dienstleistungsvertrag ohne Vertragsstrafe kündigen.
4. Der Auftragnehmer verpflichtet Unterauftragnehmer zu einem gleichwertigen Schutzniveau und haftet dem Auftraggeber für deren Verarbeitung.

Artikel 6Sicherheitsmaßnahmen

Der Auftragnehmer trifft gemäß Artikel 29 des koreanischen Gesetzes zum Schutz personenbezogener Daten und den einschlägigen Bekanntmachungen folgende Maßnahmen.

• Speicherort und Trennung — Speicherung in der Region Seoul, Republik Korea (Google Cloud asia-northeast3), mit getrennten Datenpfaden je Auftraggeber. Der Speicher ist ausschließlich serverseitig zugänglich; Browser können nicht unmittelbar lesen oder schreiben.
• Zugriffskontrolle — Auf Auftragnehmerseite ist der Zugriff auf die betriebsverantwortliche Person beschränkt. Auf Auftraggeberseite haben nur Mitglieder der Verwaltungsseite (Eigentümer-/Mitgliederrolle) Zugriff; bei Eigentümeraktionen wie Wissensübernahme, Mitgliederänderung und Export wird eine kürzlich erfolgte Anmeldung (innerhalb von 12 Stunden) erneut geprüft.
• Minimale Speicherung — Gespeichert und an KI-Anbieter gesendet werden nur Kopien der Nachrichten mit maskierten sensiblen Daten (koreanische Personen- und Ausländerregistrierungsnummern, Karten- und Kontonummern, Passwörter), Telefonnummern und E-Mail-Adressen. Kontaktdaten aus Übergabeanfragen bleiben für die Rückmeldung im Original erhalten (Fristen gemäß Anlage 2).
• Zugriffsprotokolle — Das Lesen vollständiger Gespräche, Exporte, Einstellungsänderungen, Löschungen und Mitgliederänderungen auf der Verwaltungsseite werden protokolliert (Fristen gemäß Anlage 2).
• Übertragung — Beratungsseite, Verwaltungsseite und Aufrufe der KI-Anbieter-APIs nutzen HTTPS (TLS).
• Sicherung und Wiederherstellung — Zeitpunktbezogene Wiederherstellung und tägliche Sicherungen (7 Tage Aufbewahrung) werden betrieben; die Wiederherstellung folgt einem gesonderten Verfahren (Betriebsdokument D-5).

Artikel 7Verbot zweckfremder Nutzung

1. Der Auftragnehmer nutzt personenbezogene Daten nicht außerhalb der übertragenen Aufgaben und gibt sie nicht für andere Zwecke an Dritte weiter.
2. Der Auftragnehmer nutzt personenbezogene Daten weder zum KI-Modelltraining noch zur Verbesserung eigener Dienste und setzt KI-Unterauftragnehmer nur zu Bedingungen ein, die Trainingsnutzung ausschließen (Anlage 3).
3. Der Auftragnehmer gibt im Rahmen des Auftrags bekannt gewordene personenbezogene Daten weder während noch nach Vertragsende preis.

Artikel 8Verwaltung und Aufsicht

1. Der Auftraggeber kann Unterlagen zum Verarbeitungsstand, zur Umsetzung der Schutzmaßnahmen und zur Unterbeauftragung anfordern; der Auftragnehmer legt sie unverzüglich vor. Grundunterlagen sind Anlage 1 (Unterauftragnehmerliste), Anlage 2 (Aufbewahrungs-/Löschübersicht), Betriebsdokument D-5 und Aktivitätsprotokolle der Verwaltungsseite.
2. Der Auftraggeber kann jährlich 【1】 schriftliche Prüfung durchführen. Bei daraus folgendem Korrekturverlangen behebt der Auftragnehmer die Mängel innerhalb angemessener Frist und teilt das Ergebnis mit.

Artikel 9Schulung

Der Auftragnehmer schult mit der Datenverarbeitung betraute Personen (einschließlich der betriebsverantwortlichen Person) mindestens einmal jährlich im Datenschutz und legt auf Anforderung Schulungsnachweise vor. Der Auftraggeber kann erforderlichenfalls Schulungsinhalte vorgeben.

Artikel 10Rechte betroffener Personen

1. Der Auftraggeber nimmt Anträge von Endkunden auf Auskunft, Berichtigung, Löschung und Aussetzung der Verarbeitung entgegen und bearbeitet sie; der Auftragnehmer unterstützt ihn auf Anfrage. Direkt beim Auftragnehmer eingehende Anträge leitet dieser unverzüglich weiter.
2. Der Auftraggeber kann ein Gespräch mit dem Werkzeug zur Sitzungslöschung der Verwaltungsseite selbst löschen und den Auftragnehmer um Hilfe bitten, wenn Aufzeichnungen eines bestimmten Endkunden schwer zu finden sind. Umfang und Fristen richten sich nach Anlage 2.

Artikel 11Meldung von Datenschutzvorfällen 【Rechtliche Prüfung】 Fristen und Aufteilung der Meldepflichten

1. Erfährt der Auftragnehmer vom Verlust, Diebstahl oder Abfluss personenbezogener Daten im Zusammenhang mit dem Auftrag („Vorfall“), informiert er den Auftraggeber unverzüglich. Ziel für die Erstmeldung sind 24 Stunden ab Kenntnis; Unbestätigtes wird als „in Prüfung“ gekennzeichnet vorab gemeldet.
2. Die Meldung enthält den Hergang, betroffene Daten und Mengen (auch Schätzungen), ergriffene Maßnahmen, erforderliche Maßnahmen des Auftraggebers und eine Kontaktstelle. Bestätigte Erkenntnisse werden nachgemeldet.
3. Die Benachrichtigung betroffener Personen und Meldung an die koreanische Datenschutzkommission bzw. Fachstellen (Artikel 34 des Gesetzes) obliegt dem Auftraggeber als datenschutzrechtlich Verantwortlichem; der Auftragnehmer stellt Unterlagen und Unterstützung bereit. Diese vertragliche Benachrichtigungszusage ist von gesetzlichen Meldepflichten getrennt.
4. Verfahrensdetails (Meldekanäle · Beweissicherung · Ersatzverfahren bei Abwesenheit des Vertreters) richten sich nach „Vorfallsreaktion und Benachrichtigung“ in Betriebsdokument D-5.

Artikel 12Rückgabe und Vernichtung bei Vertragsende

1. Bei Vertragsende übergibt der Auftragnehmer innerhalb der vom Auftraggeber verlangten Frist Gesprächsaufzeichnungen, Übergabeanfragen und Nutzungsbücher als Exportdateien (JSON · CSV). Während der Laufzeit kann der Auftraggeber vollständige Gespräche über die Verwaltungsseite herunterladen.
2. Nach Rückgabe (oder, falls keine Rückgabe gewünscht wird, binnen 【30】 Tagen ab Vertragsende) löscht der Auftragnehmer die produktiven Originale und meldet das Ergebnis. Sicherungskopien entfallen nach der Aufbewahrungsfrist von 7 Tagen; Unterauftragnehmerkopien und bereits versandte E-Mails werden nach Anlage 2 behandelt.
3. Gesetzlich aufzubewahrende Transaktionsunterlagen (z. B. Steuerrechnungen) werden getrennt für die vorgeschriebene Dauer aufbewahrt und anschließend vernichtet. Nutzungsaggregate ohne personenbezogene Daten dürfen für Buchhaltungszwecke für die Fristen aus Anlage 2 verbleiben.

Artikel 13Verarbeitung im Ausland 【Rechtliche Prüfung】 Grundlage für Auslandsübermittlungen (Artikel 28-8 des Gesetzes)

1. Zur Antworterstellung werden maskierte Nachrichtenkopien und Wissensunterlagen an die KI-Anbieter in Anlage 1 (USA und andere Länder) übermittelt; E-Mails können ausländische Infrastruktur durchlaufen. Die Speicherung erfolgt in der Region Seoul, Republik Korea.
2. Dieser Vertrag regelt nur die Verarbeitung zwischen Auftraggeber und Auftragnehmer und bildet selbst keine Rechtsgrundlage für die Auslandsübermittlung von Endkundendaten. Der Auftraggeber veröffentlicht in seiner Datenschutzerklärung Daten, Länder, Zeitpunkt, Verfahren, Empfänger samt Kontakt, Zwecke, Aufbewahrungsfristen sowie Ablehnungsmöglichkeiten und Folgen oder holt erforderliche Einwilligungen ein. Der Auftragnehmer stellt die Texte bereit (KI-Hinweistexte D-3).
3. Der Auftraggeber bestimmt nach rechtlicher Prüfung die Grundlage (Einwilligung · Offenlegung der für die Vertragserfüllung erforderlichen Auftragsverarbeitung und Aufbewahrung usw.).

Artikel 14Schadensersatz 【Rechtliche Prüfung】 Haftungsgrenzen und -ausschlüsse

1. Verursacht eine Vertragsverletzung des Auftragnehmers oder eines Unterauftragnehmers einen Schaden beim Auftraggeber oder bei betroffenen Personen, ersetzt der Auftragnehmer diesen Schaden.
2. Die Haftungsgrenze beträgt 【Wahl: Nutzungsentgelte der 12 Monate vor dem Schadensmonat / Festbetrag ○○ KRW】; sie gilt nicht für vorsätzlich oder grob fahrlässig verursachte Schäden des Auftragnehmers oder gesetzlich nicht beschränkbare Haftung.
3. Hat der Auftraggeber eine betroffene Person entschädigt und liegt die Ursache beim Auftragnehmer, kann er diesen in Regress nehmen.

Artikel 15Vorrang und Sonstiges

• Bei personenbezogener Datenverarbeitung hat dieser Vertrag Vorrang vor Nutzungsbedingungen und Angeboten.
• Für nicht geregelte Fragen gelten einschlägige Gesetze, insbesondere das koreanische Datenschutzgesetz; der Gerichtsstand entspricht den Nutzungsbedingungen.

Vertragsdatum 【YYYY-MM-DD】

Anlage 1Liste der Unterauftragnehmer (Auftragnehmer)

Die bei Vertragsschluss aktuelle Fassung des Auftragnehmer-/Unterauftragnehmerregisters (D-2) wird beigefügt.

Anlage 2Aufbewahrungs- und Löschübersicht

Die Aufbewahrungs- und Löschfristen werden bei Vertragsschluss anhand dieser Tabelle und der Datenschutzerklärung bestätigt.

Löschung je Endkunde (auf Antrag des Auftraggebers)

Anlage 3Zusagen zu Trainingsnutzung und Nichtaufbewahrung