Unterlagen für Institutionen

Auftragsverarbeitung transparent geregelt.

Wenn eine Hochschule, ein Institut oder eine andere Organisation Acadex so einsetzt, dass wir personenbezogene Daten in ihrem Auftrag verarbeiten, schließen wir einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ab.

Der Vertrag beschreibt nicht nur allgemein, dass Acadex Daten verarbeitet.

Er legt fest:

• welche Daten betroffen sind,
• zu welchen Zwecken wir sie verarbeiten dürfen,
• welche technischen und organisatorischen Maßnahmen gelten,
• welche Unterauftragsverarbeiter eingesetzt werden,
• und welche Vorgaben die Institution für die Verarbeitung macht.

Wann ein AVV relevant ist

Bei einem institutionell bereitgestellten Acadex-Account kann die jeweilige Institution Verantwortlicher für die fachliche Verarbeitung ihrer Nutzenden sein.

Das kann insbesondere betreffen:

• Gesprächsinhalte,
• hochgeladene Dokumente,
• gespeicherte Erinnerungen,
• Watchlists,
• Forschungs- und Arbeitskontext.

Acadex verarbeitet diese Daten dann nach den dokumentierten Weisungen der jeweiligen Institution.

Daneben gibt es Verarbeitungsvorgänge, für die Acadex selbst verantwortlich ist – beispielsweise bestimmte Vertrags-, Abrechnungs-, Sicherheits- und minimal gehaltene Produktmetriken.

Diese Rollen werden im AVV voneinander abgegrenzt.

Was im AVV geregelt wird

Unser AVV enthält insbesondere Regelungen zu:

Gegenstand und Dauer

Welche Verarbeitung Acadex im Auftrag übernimmt und wie lange diese Verarbeitung dauert.

Art und Zweck

Welche Funktionen Acadex für die jeweilige Institution bereitstellt und wofür personenbezogene Daten dabei verarbeitet werden.

Daten und betroffene Personen

Welche Kategorien personenbezogener Daten verarbeitet werden können und welche Personengruppen davon betroffen sein können.

Weisungen

Acadex verarbeitet die im Auftrag erhaltenen personenbezogenen Daten nur nach dokumentierten Weisungen des Verantwortlichen, soweit keine gesetzliche Verpflichtung etwas anderes verlangt.

Vertraulichkeit

Personen mit Zugriff auf die entsprechenden Daten werden auf Vertraulichkeit verpflichtet.

Sicherheit

Die technischen und organisatorischen Maßnahmen von Acadex werden als eigene Anlage zum AVV dokumentiert.

Unterauftragsverarbeiter

Der AVV regelt, unter welchen Voraussetzungen weitere Auftragsverarbeiter eingesetzt werden dürfen und wie Institutionen über Änderungen informiert werden.

Betroffenenrechte

Acadex unterstützt die Institution bei der Bearbeitung datenschutzrechtlicher Rechte ihrer Nutzer, soweit dies für die jeweilige Verarbeitung erforderlich ist.

Sicherheitsvorfälle

Der AVV beschreibt, wie Acadex institutionelle Kunden informiert, wenn ein relevanter Datenschutz- oder Sicherheitsvorfall bekannt wird.

Löschung und Rückgabe

Es wird geregelt, was nach Ende der Auftragsverarbeitung mit den im Auftrag verarbeiteten Daten geschieht.

Nachweise und Kontrollen

Acadex stellt die erforderlichen Informationen zur Verfügung, damit institutionelle Kunden die Einhaltung der vereinbarten Datenschutzmaßnahmen beurteilen können.

Provider gehören zur konkreten Konfiguration.

Acadex ist nicht an einen einzelnen KI-Anbieter gebunden.

Technisch können unterschiedliche Modelle und Verarbeitungspfade unterstützt werden.

Das bedeutet jedoch nicht, dass jeder dieser Anbieter automatisch Daten einer Institution erhält.

Im AVV beziehungsweise dessen Anlagen wird dokumentiert, welche Anbieter und Providerprofile für die jeweilige Institution tatsächlich zulässig sind.

Ein Modellname reicht nicht.

Dass Acadex ein Modell wie Gemini, Claude, GPT oder Mistral unterstützt, sagt noch nicht vollständig aus, wie eine Anfrage verarbeitet wird.

Ein Modell kann über unterschiedliche technische Pfade erreichbar sein.

Diese können sich beispielsweise unterscheiden hinsichtlich:

• Verarbeitungsregion,
• Datenaufbewahrung,
• verwendeter Infrastruktur,
• Vertragspartner,
• Unterauftragsverarbeiter,
• verfügbarer Provider-Funktionen.

Deshalb dokumentieren wir nicht nur Modellnamen, sondern – soweit erforderlich – das tatsächlich freigegebene Verarbeitungsprofil.

Institutionelle Vorgaben werden technisch durchgesetzt.

Eine Institution kann festlegen, welche Modellanbieter und Verarbeitungsprofile in ihrem Acadex-Account erlaubt sind.

Beispielsweise kann vereinbart werden:

• nur bestimmte Anbieter zu verwenden,
• Gesprächsinhalte nur über europäische Verarbeitungspfade zu senden,
• globale API-Endpunkte auszuschließen,
• bestimmte Retention-Einstellungen vorauszusetzen,
• einzelne Provider-Funktionen nicht freizugeben.

Diese Vorgaben werden nicht nur als organisatorische Regel hinterlegt.

Sie werden technisch in der Acadex-Konfiguration durchgesetzt.

Ein einzelner Nutzer kann innerhalb eines entsprechend eingeschränkten Accounts keinen nicht freigegebenen Provider aktivieren.

Ein neuer Acadex-Provider verändert bestehende Institutionen nicht automatisch.

Wenn Acadex künftig einen weiteren Modellanbieter integriert, bedeutet dies nicht, dass dieser Anbieter sofort Daten bestehender institutioneller Kunden erhält.

Ein neuer Verarbeitungspfad wird erst dann für eine Institution genutzt, wenn er mit deren Konfiguration vereinbar und entsprechend freigegeben ist.

Soweit dadurch ein neuer Unterauftragsverarbeiter relevant wird, greifen die im AVV vereinbarten Informations- und Widerspruchsregelungen.

Product Metrics sind getrennt von Forschungsinhalten.

Acadex erstellt auf eigener Infrastruktur einige begrenzte Betriebs-, Produkt- und Geschäftskennzahlen.

Dazu können beispielsweise gehören:

• Registrierungen,
• Aktivierungen,
• Tarifwechsel,
• Kündigungen,
• aggregierte Seitenaufrufe,
• MRR und ARR.

Diese Verarbeitung wird im AVV von der eigentlichen Auftragsverarbeitung fachlicher Inhalte getrennt.

Gesprächsinhalte, Dokumente, gespeicherte Erinnerungen und Forschungsanfragen werden nicht für eigene Product-Analytics-Zwecke von Acadex ausgewertet.

Weitere Informationen dazu findest du in unserer:

Datenschutzerklärung →

Die TOM gehören zum AVV.

Die technischen und organisatorischen Maßnahmen von Acadex werden als eigene Anlage zum AVV dokumentiert.

Darin beschreiben wir unter anderem:

• administrative Zugriffe,
• Authentifizierung,
• Verschlüsselung,
• Secret-Management,
• Trennung von Entwicklungs- und Produktionssystemen,
• Logging,
• Product Metrics,
• Löschprozesse,
• Datensicherung,
• Wiederherstellung,
• Entwicklungs- und Deployment-Prozesse,
• Sicherheitsvorfälle.

Die TOM beschreiben den tatsächlichen technischen und organisatorischen Zustand.

Geplante Maßnahmen werden nicht als bereits umgesetzt dargestellt.

Technische und organisatorische Maßnahmen ansehen →

Unterauftragsverarbeiter werden konkret dokumentiert.

Unsere öffentliche Seite zu externen Diensten zeigt, welche Anbieter grundsätzlich zum Einsatz kommen können.

Für eine konkrete Institution ist jedoch entscheidend, welche davon tatsächlich personenbezogene Daten dieser Institution verarbeiten.

Deshalb unterscheidet Acadex zwischen:

technisch unterstützt

und

für diese Institution freigegeben.

Die tatsächliche Konfiguration wird im institutionellen AVV beziehungsweise dessen Anlagen dokumentiert.

Externe Dienste & Unterauftragsverarbeiter ansehen →

Was passiert bei Änderungen?

Technische Systeme entwickeln sich weiter.

Acadex kann beispielsweise:

• Sicherheitsmaßnahmen verbessern,
• einen bestehenden Dienst ersetzen,
• neue Modellanbieter integrieren,
• zusätzliche europäische Providerprofile ermöglichen.

Eine solche Änderung verändert nicht automatisch die vertraglich zulässige Verarbeitung einer Institution.

Wenn ein neuer Unterauftragsverarbeiter für die institutionelle Verarbeitung eingesetzt werden soll, informieren wir nach Maßgabe des AVV vor dessen Einsatz.

Eigener AVV der Institution?

Ja.

Wenn eine Hochschule oder Organisation einen eigenen Standardvertrag zur Auftragsverarbeitung verwendet, können wir diesen prüfen.

Wir bestehen nicht darauf, dass ausschließlich unser eigenes Vertragsmuster verwendet wird.

Wichtig ist, dass der Vertrag die tatsächliche technische Verarbeitung korrekt beschreibt.

Welche Dokumente stellen wir bereit?

Für eine institutionelle Prüfung können wir insbesondere folgende Unterlagen bereitstellen:

• Auftragsverarbeitungsvertrag,
• Beschreibung der Verarbeitung,
• Liste der tatsächlich relevanten Unterauftragsverarbeiter,
• technische und organisatorische Maßnahmen,
• Informationen zu Provider- und Verarbeitungsprofilen,
• Sicherheitsinformationen,
• gegebenenfalls Antworten auf einen Security- oder Datenschutzfragebogen.

Unser aktueller Stand

Acadex befindet sich noch im Early Access.

Unsere Datenschutz- und Sicherheitsdokumentation entwickelt sich deshalb gemeinsam mit der technischen Plattform weiter.

Wir versionieren AVV und TOM und aktualisieren sie, wenn sich relevante Verarbeitungsvorgänge oder Sicherheitsmaßnahmen verändern.

Wir dokumentieren dabei lieber einen offenen Punkt als eine Garantie, die technisch noch nicht erfüllt wird.

Vor einer verbindlichen institutionellen Verwendung wird die endgültige Vertragsfassung juristisch geprüft.

AVV herunterladen

Unsere aktuelle Arbeitsfassung des Auftragsverarbeitungsvertrags enthält:

• den eigentlichen AVV,
• Anlage 1 zur Beschreibung der Verarbeitung,
• Anlage 2 zu Unterauftragsverarbeitern und Provider-Konfiguration,
• Verweis auf die jeweils maßgeblichen technischen und organisatorischen Maßnahmen.

Institutionellen Einsatz besprechen

Keine zwei Hochschulen haben exakt dieselben Anforderungen.

Wenn vor einem Einsatz Fragen zu:

• Datenschutz,
• Modellanbietern,
• EU-Verarbeitung,
• Unterauftragsverarbeitern,
• Auftragsverarbeitung,
• Beschaffung,
• Abrechnung,
• oder Sicherheitsanforderungen

geklärt werden müssen, können wir die konkrete Konfiguration gemeinsam durchgehen.

Institutionellen Einsatz besprechen →

Weitere Dokumente

Sicherheit & Datenschutz →

Externe Dienste & Unterauftragsverarbeiter →

Technische und organisatorische Maßnahmen →

Datenschutzerklärung →