Auftragsverarbeitungsvertrag
Art. 28 DSGVO · Version 2026-06-16 · English version
Dieser Auftragsverarbeitungsvertrag („AVV") regelt die Verarbeitung personenbezogener Daten durch die Gus IT LLC („Gus IT", Auftragsverarbeiter), registriert in Florida, USA, im Auftrag des Kunden (Verantwortlicher) im Rahmen der Bereitstellung des Luca-Express-/AIOS-AI-Workforce-Dienstes. Er wird beim Checkout vorgelegt und akzeptiert; jede Annahme wird mit Version und Zeitstempel protokolliert.
1. Gegenstand und Umfang
Persona-Orchestrierung, laufender Betrieb, Deployment und Support rund um das eigene Claude-Abonnement des Kunden.
2. Rollen — die Aufteilung der Anthropic-Geschäftsbedingungen
Der AI-Workforce-Dienst ist Bring-your-own-Key (BYO-Key):
- Die Claude-Inferenz läuft über das eigene Anthropic-Konto bzw. den eigenen API-Schlüssel des Kunden, zu den Geschäftsbedingungen und im Datenverarbeitungsverhältnis von Anthropic — direkt zwischen dem Kunden und der Anthropic PBC. Nach den Geschäftsbedingungen von Anthropic werden kommerzielle API-Daten nicht zum Training der Modelle von Anthropic verwendet. Dies ist das Verhältnis des Kunden zu Anthropic und nicht etwas, das Gus IT im Namen von Anthropic kontrolliert.
- Die Verarbeitung durch Gus IT nach diesem AVV umfasst nur die personenbezogenen Daten, die Gus IT selbst zur Erbringung des Dienstes verarbeitet (Konto/Identität, Abrechnungs-Metadaten, Betriebs-Telemetrie, Support-Inhalte).
Deshalb ist die Aussage „Ihre Daten trainieren niemals unsere Modelle" zutreffend: Wir trainieren keine Modelle mit Kundendaten, und die No-Training-Position von Claude ist das eigene Anthropic-Verhältnis des Kunden.
3. Dauer
Für die Laufzeit des Abonnements des Kunden, zuzüglich der Rückgabe-/Löschpflichten nach §9.
4. Art und Zweck der Verarbeitung
Hosting, Integration, Orchestrierung, Deployment, Abrechnung, Support und Sicherheit des Dienstes.
5. Arten personenbezogener Daten
Identität des Kontoinhabers (Name, geschäftliche E-Mail), Authentifizierungs-Kennungen, Abrechnungs-/USt-Metadaten, Support-Korrespondenz, Betriebsprotokolle sowie alle personenbezogenen Daten, die der Kunde durch den Dienst leitet.
6. Kategorien betroffener Personen
Die autorisierten Nutzer des Kunden sowie die eigenen Kontakte des Kunden, soweit sie durch den Dienst geleitet werden.
7. Pflichten des Auftragsverarbeiters
Gus IT verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden; stellt die Vertraulichkeit der befugten Personen sicher; ergreift geeignete technische und organisatorische Maßnahmen (Art. 32); beachtet die Unterauftragsverarbeiter-Bedingungen in §8; unterstützt bei Betroffenenrechten und Art. 32–36; löscht oder gibt personenbezogene Daten am Ende der Leistung zurück; und stellt die zum Nachweis der Einhaltung erforderlichen Informationen bereit und ermöglicht Audits.
8. Unterauftragsverarbeiter
Der Kunde erteilt eine allgemeine Genehmigung für die Unterauftragsverarbeiter in unserer Unterauftragsverarbeiter-Liste. Gus IT informiert mindestens 30 Tage im Voraus, bevor ein Unterauftragsverarbeiter hinzugefügt oder ersetzt wird; der Kunde kann aus berechtigten Datenschutzgründen widersprechen.
9. Rückgabe und Löschung
Bei Beendigung löscht oder gibt Gus IT alle personenbezogenen Daten zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht. Mandantenweise Residenz-Pinning und Crypto-Shred-Löschung sind verfügbar.
10. Internationale Datenübermittlung
Die Gus IT LLC ist ein US-Unternehmen. Übermittlungen stützen sich auf die EU-Standardvertragsklauseln und ergänzende Maßnahmen; mandantenweises EU-Residenz-Pinning ist für die Hosted-Stufe verfügbar. Der EU-Vertreter des Kunden nach Art. 27 DSGVO (OBSECOM) ist in der Datenschutzerklärung genannt.
11. Technische und organisatorische Maßnahmen (Art. 32)
Verschlüsselung bei Übertragung und Speicherung, Schema-pro-Mandant-Isolation, gVisor-Laufzeitisolation, RBAC nach dem Least-Privilege-Prinzip und manipulationssichere Audit-Protokollierung.