Klare Regeln.
Schriftlich festgehalten.

Vereinbarung zur Auftragsverarbeitung

Fehlt · Fassung 2026-10-15 · Entwurf für den vorgesehenen Betrieb

Zwischen dem im Deckblatt genannten Auftraggeber und der Coflnet GmbH, Dorfstraße 27a, 84163 Marklkofen, Deutschland, Amtsgericht Landshut HRB 13861, nachfolgend „Coflnet“. Datenschutzkontakt: [email protected]; Vertragskontakt: [email protected].

1. Gegenstand, Rollen und Dauer

Diese Vereinbarung ergänzt den Auftrag zur Nutzung von Fehlt. Der Auftraggeber bestimmt Zweck und Zulässigkeit der Verarbeitung; Coflnet verarbeitet personenbezogene Inhalte ausschließlich in seinem Auftrag nach Art. 28 DSGVO. Ist der Auftraggeber selbst Auftragsverarbeiter, bestätigt er die erforderliche Ermächtigung seines Verantwortlichen. Die Vereinbarung gilt ab ausdrücklicher Bestätigung durch beide Parteien für die Dauer des Dienstauftrags und darüber hinaus, solange Coflnet noch auftragsbezogene personenbezogene Daten verarbeitet. Sie geht bei Datenschutzwidersprüchen dem Dienstauftrag vor.

Der Auftraggeber darf den Dienst jederzeit nicht mehr nutzen und die Rückgabe oder Löschung noch vorhandener Auftragsdaten verlangen. Die Pflichten zur Vertraulichkeit bleiben nach Vertragsende bestehen. Diese Vereinbarung ersetzt weder die eigene Rechtsgrundlage des Auftraggebers noch erforderliche Informationen an betroffene Personen.

2. Verarbeitung und betroffene Daten

Fehlt empfängt weitergeleitete Fertigungsanfragen, extrahiert Text aus unterstützten Anhängen, führt OCR lokal für unterstützte Scans und Bilder aus und lässt begrenzte, lokal normalisierte Dokumentseiten visuell auswerten. Text und ausgewählte Bilder werden zur Prüfung auf fehlende oder widersprüchliche Angaben an TensorX übermittelt. Fehlt sendet einen gekennzeichneten Entwurf oder eine Vollständigkeitsmeldung per E-Mail zurück. Dabei erfolgen Empfang, kurzzeitige Speicherung, Extraktion, KI-Auswertung, Übermittlung und Löschung. Beschädigte oder nicht unterstützte Dateien sowie durch harte Limits abgeschnittene Inhalte werden als unvollständig behandelt. Bei schwacher OCR wird das Seitenbild zusätzlich visuell geprüft; eine vollständige Erkennung wird nicht garantiert. Es gibt keine automatisierte Fertigungsfreigabe oder andere Entscheidung mit rechtlicher Wirkung. Der Auftraggeber prüft Ergebnisse fachlich.

Betroffen sein können Beschäftigte, Ansprechpartner, Kunden und Lieferanten des Auftraggebers. Datenarten sind geschäftliche Kontakt- und Kommunikationsdaten, E-Mail-Adressen, Nachrichten, Zeichnungs- und Anhangstexte, lokal erzeugte OCR-Texte, begrenzte normalisierte Dokumentbilder, technische Anfragedaten sowie zur Bearbeitung notwendige Zustellinformationen. Besondere Kategorien nach Art. 9 DSGVO, strafrechtliche Daten, Zugangsdaten und private Inhalte sind nicht Gegenstand des Diensts und dürfen nicht absichtlich eingereicht werden.

3. Weisungen, Vertraulichkeit und Zweckbindung

Dokumentierte Weisungen sind der Dienstauftrag, diese Vereinbarung und nachweisbare ergänzende Anweisungen befugter Ansprechpartner. Inhalte normaler Anfragen einschließlich Anhängen dienen ausschließlich der angefragten Prüfung und Antwort, nicht dem Modelltraining, der Werbung oder einer automatischen Wissenssammlung. Eine zusätzliche Nutzung für Wissen oder Fehleranalyse setzt einen gesonderten ausdrücklichen Auftrag nach Abschnitt 4 voraus und bleibt auf diesen Zweck beschränkt. Weitere Weisungen können an [email protected] gerichtet werden. Coflnet informiert unverzüglich, wenn eine Weisung nach seiner Einschätzung gegen Datenschutzrecht verstößt, und setzt die betroffene Verarbeitung bis zur Klärung aus. Gesetzlich vorgeschriebene abweichende Verarbeitung wird vorab mitgeteilt, soweit das Gesetz dies erlaubt.

Nur zur Leistungserbringung erforderliche, berechtigte und zur Vertraulichkeit verpflichtete Personen erhalten Zugriff. Coflnet schützt auch nicht personenbezogene Geschäftsgeheimnisse, verwendet Kundeninhalte nicht für Werbung oder Verkauf und gibt sie nur an die vereinbarten Unterauftragsverarbeiter weiter.

4. Löschen, Rückgabe und ausdrücklich gewünschte Ausnahmen

• Normale E-Mails: Nach erfolgreicher Übergabe der Antwort an den ausgehenden Mailserver wird die empfangene Nachricht einschließlich Anhängen aus dem aktiven Dienstpostfach endgültig entfernt. Während erforderlicher Wiederholungsversuche bleibt sie dort. Bei einem endgültigen Verarbeitungsfehler wird eine feste Fehlermeldung versandt und die Anfrage danach entfernt. Schlägt der Versand fehl, bleibt die Anfrage bis zur erfolgreichen Wiederholung im Postfach. Es entsteht kein Inhaltsarchiv im Fehlt-Dienst.
• Nutzungsdaten: Je pseudonymisierter Absenderkennung bleiben ausschließlich die Anzahl bearbeiteter E-Mails und die verbrauchten Eingabe- und Ausgabetokens als Nutzungszähler. Für die Monatslimits je Absenderadresse und Domain sowie zuverlässige Zustellung werden zusätzlich zeitlich begrenzt pseudonymisierte Domainkennungen und inhaltsfreie technische Bearbeitungskennungen benötigt. Sie sind keine anonymen Daten und enthalten keine Betreffe, Textauszüge oder Anhänge.
• „lerne“ / „learn“: Nur eine ausdrücklich so betitelte Nachricht mit kryptografisch bestätigter Absenderdomain, signiertem Betreff und vollständigem signiertem Inhalt beauftragt eine Wissensänderung. Der Dienst prüft Absicht und Datenschutz automatisiert, verallgemeinert technische Regeln und fügt sie hinzu, ändert oder entfernt sie nach ausdrücklicher Weisung. Unklare oder unsichere Aufträge bewirken keine Änderung. Die Antwort benennt die übernommenen Änderungen. Aktive Regeln werden sofort ausschließlich für Anfragen derselben exakt bestätigten Domain genutzt und bleiben bis zur ausdrücklichen Ersetzung oder Löschung bestehen. Subdomains bleiben getrennt; eine bestätigte Domain beweist keine Unternehmenszugehörigkeit und gemeinsam genutzte Mailanbieter-Domains können mehrere Firmen umfassen. Originalmails, Bilder, Personenangaben, Kundenkennungen und vertrauliche kundenspezifische Details sollen nicht in die Wissensablage gelangen; die automatisierte Prüfung garantiert keine vollständige Anonymisierung. Die Domainkennung der Wissensablage ist pseudonymisiert, nicht anonym. Ältere inaktive Vorschläge bleiben inaktiv und werden spätestens 30 Tage nach ihrem ursprünglichen Eingang gelöscht. Die Ursprungsmail wird nach erfolgreichem Versand der Antwort gelöscht. Es erfolgt kein Training allgemeiner Modelle.
• „fehler“: Eine ausdrücklich so betitelte Nachricht einschließlich bewusst beigefügter Inhalte wird als Fehlermeldung getrennt und zugriffsbeschränkt gespeichert. Sie löst einen inhaltsfreien betrieblichen Hinweis aus und darf durch berechtigte Personen zur Fehleranalyse abgerufen werden. Sie wird gelöscht, sobald der Untersuchungszweck entfällt, spätestens drei Jahre nach Eingang. Eine Fehlermeldung erlaubt kein allgemeines Modelltraining und keine automatische Übernahme ihrer Inhalte in die Wissensablage.

Die Fristen beziehen sich auf Coflnets aktive Systeme. Kopien beim Auftraggeber und dessen Mailanbieter bleiben unter dessen Kontrolle. Für bereits gelöschte Nachrichten ist eine Wiederherstellung durch Fehlt nicht vorgesehen. Die konkrete Frist für Mailserver-Sicherungen muss in Anlage 2 vor Vertragsschluss festgelegt sein; ein zeitgleiches Löschen sämtlicher Sicherungskopien wird nicht behauptet. Nach Wiederherstellung einer Sicherung müssen bereits abgelaufene Daten vor erneuter Nutzung gelöscht werden.

Bei Vertragsende gibt Coflnet noch vorhandene Auftragsdaten auf Wunsch in einem gängigen Format zurück und löscht sie anschließend, einschließlich verbliebener Kopien nach den vereinbarten Sicherungszyklen. Gesetzliche Aufbewahrungspflichten bleiben unberührt; solche Daten werden gesperrt, auf das Erforderliche beschränkt und nach Wegfall der Pflicht gelöscht. Coflnet bestätigt die Umsetzung auf Anfrage.

5. Unterauftragsverarbeiter und Orte

Der Auftraggeber genehmigt die in Anlage 2 vollständig bezeichneten Unterauftragsverarbeiter für die genannten Aufgaben. Coflnet bindet sie durch gleichwertige Datenschutzpflichten und bleibt für deren Erfüllung verantwortlich. Beabsichtigte Ergänzungen oder Wechsel werden mindestens 30 Tage vor Einsatz per E-Mail angekündigt. Der Auftraggeber kann innerhalb dieser Frist aus nachvollziehbaren Datenschutzgründen widersprechen. Bis zur Einigung darf der neue Anbieter die betroffenen Daten nicht erhalten; ist keine geeignete Alternative möglich, kann der betroffene Dienst ohne Nachteile beendet werden.

Für die beauftragten E-Mail-Inhalte ist eine Verarbeitung innerhalb der EU vorgesehen. Eine Übermittlung oder ein Fernzugriff aus einem Drittland bedarf einer gesonderten dokumentierten Weisung und der erforderlichen Garantien nach Kapitel V DSGVO. Ein bloßer Verweis auf diese Vereinbarung erlaubt keinen Drittlandtransfer. Website-Auslieferung, Vertragskontakte und vom Auftraggeber gewählte Mailanbieter sind gesondert zu betrachten.

6. Unterstützung, Vorfälle und Kontrolle

Coflnet unterstützt den Auftraggeber unter Berücksichtigung von Art und Umfang der Verarbeitung bei Betroffenenrechten, Sicherheit, Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörden. Direkt eingehende Betroffenenanfragen werden unverzüglich weitergeleitet und nur auf Weisung beantwortet, soweit keine gesetzliche Pflicht zur eigenen Antwort besteht.

Bekannt gewordene Verletzungen des Schutzes personenbezogener Auftragsdaten werden dem Auftraggeber unverzüglich gemeldet. Die Meldung enthält, soweit verfügbar, Art und Umfang, betroffene Daten und Personen, wahrscheinliche Folgen, Abhilfemaßnahmen und eine Kontaktstelle. Fehlende Angaben werden nachgereicht; Coflnet wirkt an Eindämmung, Untersuchung und Dokumentation mit.

Coflnet stellt erforderliche Nachweise zur Verfügung und ermöglicht angemessene Prüfungen einschließlich Inspektionen durch den Auftraggeber, unabhängige zur Vertraulichkeit verpflichtete Prüfer und zuständige Behörden. Betriebs- und Drittdaten werden geschützt; eine starre jährliche Begrenzung schließt anlassbezogene oder gesetzlich erforderliche Kontrollen nicht aus. Wesentliche Änderungen der Schutzmaßnahmen werden mitgeteilt, ohne das vereinbarte Schutzniveau zu senken.

Anlage 1 · Technische und organisatorische Maßnahmen

Die folgenden Maßnahmen sind der zu bestätigende Mindeststandard des vorgesehenen Betriebs. Vor Freigabe werden ihre tatsächliche Umsetzung und die noch offenen Mailserver-Angaben geprüft.

• Zugriffe auf Anwendung, Mailpostfach, Speicher und Betriebswerkzeuge erfolgen zweckgebunden und nach dem Prinzip geringster Berechtigung; Verwaltungszugänge werden abgesichert und bei Wegfall des Bedarfs entzogen.
• IMAP, SMTP-Submission und KI-API verwenden verschlüsselte Verbindungen mit Zertifikatsprüfung. Die Zustellung über fremde Mailserver hängt zusätzlich von deren Transportkonfiguration ab; E-Mail ist keine Ende-zu-Ende-Verschlüsselung.
• Der Dienst läuft isoliert, ohne Root-Rechte, mit schreibgeschütztem Systemdateisystem und begrenzten Netzwerkfreigaben. Dauerhafte Arbeitsdaten liegen auf verschlüsseltem Speicher. Geheimnisse werden getrennt verwaltet.
• Anfrageinhalte, Modellantworten, Betreffe und Absender werden nicht in Anwendungslogs geschrieben. Betriebsmetriken enthalten keine Nachrichteninhalte oder Absenderkennungen. Sicherheits- und Zugriffsprotokolle unterliegen gesonderten begrenzten Fristen.
• Einzelne Nachrichten werden gezielt gelöscht; Zustellnachweise ohne Inhalte vermeiden erneuten Versand nach Wiederholungsversuchen. Fehlermeldungen und Wissensvorschläge sind vom normalen Arbeitsfluss getrennt; Fristen werden automatisch überprüft.
• Abhängigkeiten und Container werden auf bekannte Sicherheitslücken geprüft. Updates, Wiederanlauf, Berechtigungen, Löschabläufe und Vorfallbearbeitung werden regelmäßig und nach wesentlichen Änderungen überprüft.
• Sicherungen, Wiederherstellung und deren Löschzyklen werden nach Anlage 2 dokumentiert. Produktionsdaten werden nicht als Testdaten oder unbereinigt in Entwicklungssystemen verwendet.

Anlage 2 · Anbieter, Orte und offene Freigabepunkte

EU-Verarbeitungsort und Anbieterherkunft: Eine Verarbeitung in der EU bedeutet nicht, dass ausschließlich europäische Unternehmen beteiligt sind. TensorX nennt in seiner Unterauftragsverarbeiterliste auch Unternehmen mit US-Konzernbezug, darunter AWS für Cloud-Infrastruktur und Digital Realty für Rechenzentrumsinfrastruktur an EU-Standorten. Welche Unterauftragsverarbeiter welche Daten im konkret vereinbarten Dienst verarbeiten, ist vor Freigabe zu bestätigen. Eine Zusage ohne Beteiligung von US-Unternehmen wird mit diesem Entwurf nicht abgegeben.

Stand der Mailserver-Sicherungen: Der Ausschluss des gesamten Postfachs [email protected] einschließlich der Ordner für gesendete Nachrichten und des Papierkorbs ist vorbereitet und synthetisch getestet, aber noch nicht angewendet. Die bestehende tägliche Backup-Routine bereinigt lokale Staging-Verzeichnisse, die älter als drei Tage sind. Der aktuelle Backup-Export wird erst durch den nächsten erfolgreichen, gefilterten Lauf ersetzt. Historische und externe Sicherungen sowie deren Aufbewahrungsfristen sind noch zu klären; vorhandene Kopien werden durch die vorbereitete Änderung nicht rückwirkend gelöscht.

Die statische Website wird über Cloudflare Pages des US-Anbieters Cloudflare, Inc. ausgeliefert; dabei verarbeitet Cloudflare Website-Verbindungsdaten. Die Website nimmt keine Fertigungsanfragen oder Anhänge entgegen. Die Vertragseingaben in diesem Formular werden zunächst nur im Browser verarbeitet; eine Übermittlung erfolgt erst durch den vom Nutzer ausgelösten E-Mail-Versand. Website-Verbindungsdaten sind von der EU-Zusage für beauftragte Anfrageinhalte nicht umfasst. Die konkrete Unterauftragnehmerliste und Anbietervereinbarungen sind vor Freigabe vollständig zu bestätigen.

Vertragsnachweis und ergänzende Datenschutzhinweise

Vertragsparteien, Ansprechpartner, angenommene Dokumentfassung, Annahmeerklärungen und Bestätigungszeit werden als Vertragsnachweis getrennt von normalen Anfrageinhalten gespeichert. Diese notwendigen Vertragsunterlagen fallen nicht unter die Beschränkung auf Nutzungszähler. Für eigene Vertragsverwaltung sowie ausdrücklich gewünschte allgemeine Fehlerbehebung verarbeitet Coflnet Daten in eigener Verantwortung, soweit dafür eine Rechtsgrundlage besteht; die AVV allein begründet sie nicht. Fehlermeldungen bleiben in jedem Fall auf drei Jahre begrenzt. Weitere Informationen und Betroffenenrechte: Datenschutzerklärung von Coflnet.

Freigabestatus: Dieser Entwurf ist noch kein Vertragsangebot und begründet allein keinen wirksamen AVV. Vor dem verbindlichen Einsatz müssen Anlage 2, Sicherungsfristen und Umsetzung der Maßnahmen vervollständigt sowie die Fassung von Coflnet freigegeben werden.