Vereinbarung zur Auftragsverarbeitung

Nach Art. 28 DSGVO, zwischen der Organisation des Unternehmenskontos („Verantwortlicher“) und Maximilian Asamer (1020.dev), Lichtenauergasse 4/8, 1020 Wien („Auftragsverarbeiter“). Sie kommt mit der Zustimmung zu den Nutzungsbedingungen zustande. Fassung vom 20. Oktober 2026.

1. Gegenstand und Dauer

Der Auftragsverarbeiter stellt dem Verantwortlichen Clausl KI bereit: Beantwortung arbeits- und sozialrechtlicher Fragen, Prüfung von Arbeitsverträgen und die dazugehörigen Nachweise. Die Vereinbarung gilt, solange die Organisation Clausl nutzt.

2. Art der Daten und betroffene Personen

Daten

Angaben, die Nutzer:innen in Fragen, Fallschilderungen und hochgeladenen Verträgen machen — etwa Beschäftigungsdaten (Eintritt, Entgelt, Arbeitszeit, Funktion), gegebenenfalls Namen und, wenn eingegeben, auch Gesundheitsdaten; außerdem die Kontodaten der Nutzer:innen der Organisation.

Betroffene

Beschäftigte und Bewerber:innen des Verantwortlichen, Mandant:innen und deren Beschäftigte, Nutzer:innen der Organisation.

Zweck

Ausschließlich die Erbringung des Dienstes für den Verantwortlichen.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten diese Vereinbarung und die Nutzung der Funktionen von Clausl (Frage stellen, Vertrag prüfen, Chat oder Bericht löschen). Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, sagt er es dem Verantwortlichen unverzüglich.

4. Vertraulichkeit

Zugang zu den Daten hat nur der Betreiber selbst. Er ist zur Verschwiegenheit verpflichtet, auch über das Ende der Vereinbarung hinaus. Einblick in Frageninhalte nimmt er nur, wenn es für Betrieb oder Fehlersuche nötig ist; jeder solche Einblick wird protokolliert.

5. Technische und organisatorische Maßnahmen

• Verschlüsselte Übertragung (TLS) zwischen Browser und Server.
• Server in Wien mit verschlüsseltem Datenträger.
• Passwörter nur als Argon2id-Hash, Sitzungs- und Link-Token nur als Hash gespeichert.
• Getrennte Organisationen: Mitglieder sehen nur die Daten ihrer Organisation; Rollen für Administrator:innen.
• Hochgeladene Verträge werden nicht gespeichert — nur der Prüfbericht; ein Zwischenstand während der Prüfung ist verschlüsselt und wird danach gelöscht.
• Chats und Berichte können Nutzer:innen jederzeit selbst löschen.
• Schutz vor dem Erraten von Passwörtern, Herkunftsprüfung jeder schreibenden Anfrage.

6. Unterauftragsverarbeiter

Der Verantwortliche stimmt diesen Unterauftragsverarbeitern zu:

Mistral AI SAS, Paris

erzeugt die Antworten und prüft Verträge; Verarbeitung in der EU.

Cloudflare, Inc., USA

leitet die verschlüsselte Verbindung zum Server weiter; EU-US Data Privacy Framework bzw. Standardvertragsklauseln.

Resend, Inc., USA

versendet E-Mails (Adresse und Inhalt der Mail, keine Fragen); EU-US Data Privacy Framework bzw. Standardvertragsklauseln.

Neue oder geänderte Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens 14 Tage vorher per E-Mail an. Der Verantwortliche kann widersprechen und die Nutzung beenden.

7. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung) und bei seinen Pflichten nach Art. 32 bis 36 DSGVO, soweit er dazu beitragen kann.

8. Verletzungen des Datenschutzes

Eine Verletzung des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, nach Möglichkeit binnen 48 Stunden nach Kenntnis, mit den Angaben, die für eine Meldung an die Datenschutzbehörde nötig sind.

9. Ende der Verarbeitung

Nach dem Ende der Nutzung löscht der Auftragsverarbeiter die Daten des Verantwortlichen binnen 30 Tagen, soweit keine Pflicht zur Aufbewahrung besteht. Auf Wunsch stellt er vorher die Chats und Berichte zur Verfügung.

10. Nachweise und Kontrollen

Der Auftragsverarbeiter gibt dem Verantwortlichen die Auskünfte, die zum Nachweis dieser Pflichten nötig sind, und ermöglicht Überprüfungen nach vorheriger Absprache.

11. Schluss

Bei Widersprüchen zu den Nutzungsbedingungen geht in Fragen des Datenschutzes diese Vereinbarung vor. Es gilt österreichisches Recht.

Fassung 2026-10-20 · Nutzungsbedingungen · Datenschutz · Impressum