DSGVO — Auftragsverarbeitungsvertrag
Zuletzt aktualisiert: 30. September 2026
Diese Übersetzung dient nur zur Information; im Falle von Abweichungen ist die englische Fassung maßgeblich.
Dieser Auftragsverarbeitungsvertrag („AVV“, engl. DPA) ist Bestandteil der Nutzungsbedingungen von Multibase und gilt überall dort, wo der Kunde mithilfe des Dienstes personenbezogene Daten im Anwendungsbereich der EU-DSGVO oder der UK GDPR verarbeitet.
Kunde = Verantwortlicher (Sie entscheiden, welche Daten zu welchem Zweck verarbeitet werden)
Multi Labs LLC (30 N Gould St Ste N, Sheridan, WY 82801, United States) = Auftragsverarbeiter (wir verarbeiten Daten ausschließlich auf Ihre Weisung)
Geltungsbereich
| Daten | Betroffene Personen | Zweck |
|---|---|---|
| Suchanfragen von Lesern | Die Leser Ihres Portals | Bereitstellung von KI-Suche und Analysen |
| E-Mail-Adressen (private Portale) | Authentifizierte Leser | Zugriffskontrolle |
| Autorenprofile (Name, Avatar) | Ihre Teammitglieder | Anzeige bei veröffentlichten Artikeln |
| Aggregierte Portal-Analysen | Portal-Leser | Analyse-Dashboard |
Unsere Pflichten als Auftragsverarbeiter
Wir verpflichten uns:
- Personenbezogene Daten nur auf Ihre dokumentierte Weisung oder soweit gesetzlich vorgeschrieben zu verarbeiten
- Sicherzustellen, dass alle Personen mit Zugriff auf Ihre Daten zur Vertraulichkeit verpflichtet sind
- Geeignete technische und organisatorische Sicherheitsmaßnahmen umzusetzen
- Sie innerhalb von 72 Stunden nach Entdeckung einer Verletzung des Schutzes personenbezogener Daten zu benachrichtigen
- Sie bei der Beantwortung von Anfragen betroffener Personen innerhalb von 5 Werktagen zu unterstützen
- Alle Ihre Daten auf Anfrage oder innerhalb von 30 Tagen nach Kontoschließung zu löschen oder zurückzugeben
- Keine neuen Unterauftragsverarbeiter einzusetzen, ohne Sie mindestens 14 Tage im Voraus zu informieren
Sicherheitsmaßnahmen
| Maßnahme | Umsetzung |
|---|---|
| Verschlüsselung bei der Übertragung | TLS 1.2+ für sämtliche Datenübertragungen |
| Verschlüsselung im Ruhezustand | AES-256 für Datenbanken und Dateispeicher |
| Zugriffskontrolle | Zugriff nach dem Least-Privilege-Prinzip; MFA für die Infrastruktur; rollenbasierter Zugriff in der Anwendung |
| Datentrennung | Kundendaten sind logisch getrennt — kein kontoübergreifender Zugriff möglich |
| Backups | Tägliche automatisierte Backups, 30 Tage Aufbewahrung, verschlüsselt, in einer geografisch getrennten Region |
| Patch-Management | Kritische CVEs werden innerhalb von 7 Tagen gepatcht |
| Reaktion auf Vorfälle | Dokumentierter Prozess; Bereitschaftsüberwachung; Nachbetrachtung von Vorfällen |
Unterauftragsverarbeiter
Sie erteilen eine allgemeine Genehmigung für die unten aufgeführten Unterauftragsverarbeiter. Bevor wir einen neuen Unterauftragsverarbeiter hinzufügen, der Ihre Portaldaten verarbeitet, informieren wir Sie 14 Tage im Voraus. Innerhalb dieser Frist können Sie widersprechen.
| Unterauftragsverarbeiter | Standort | Funktion | Übermittlungsgrundlage |
|---|---|---|---|
| Amazon Web Services | EU (Frankfurt) | Infrastruktur, Speicher | EWR — keine Übermittlung |
| Anthropic | USA | KI-Funktionen (nur vorübergehend) | Standardvertragsklauseln |
| OpenAI | USA | Text-Embeddings (nur vorübergehend) | Standardvertragsklauseln |
| Stripe | USA / EU | Zahlungsabwicklung | SCCs / Angemessenheitsbeschluss |
Hinweis: Inhalte, die für KI-Funktionen an Anthropic und OpenAI gesendet werden, werden nur vorübergehend verarbeitet, um eine Antwort zu erzeugen. Sie werden weder gespeichert noch protokolliert noch für das Training von Modellen verwendet.
Meldung von Datenschutzverletzungen
Wenn wir eine Verletzung des Schutzes personenbezogener Daten feststellen, informieren wir Sie innerhalb von 72 Stunden über:
- Was geschehen ist und wann wir es entdeckt haben
- Kategorien und ungefähre Anzahl der betroffenen Personen
- Wahrscheinliche Folgen
- Ergriffene oder geplante Maßnahmen
Sie sind dafür verantwortlich, Ihre Aufsichtsbehörde und die betroffenen Personen gemäß geltendem Recht zu benachrichtigen.
Internationale Übermittlungen
Kundendaten werden auf AWS eu-central-1 (Frankfurt) gespeichert und verlassen den EWR zur Speicherung nicht. Soweit Übermittlungen in Drittländer erforderlich sind (KI-Anbieter), stützen wir uns auf Standardvertragsklauseln (Durchführungsbeschluss 2021/914 der EU-Kommission) und gegebenenfalls auf das UK IDTA. Kopien sind auf Anfrage unter legal@multibase.io erhältlich.
Rechte betroffener Personen
Erhalten wir eine Anfrage einer betroffenen Person zu Ihren Portaldaten, leiten wir sie umgehend an Sie weiter. Auf Ihre Weisung unterstützen wir Sie innerhalb von 5 Werktagen bei Auskunft, Löschung oder Export.
Audits
Sie können unsere Compliance einmal pro Kalenderjahr mit einer Vorankündigung von 30 Tagen prüfen. Wir können dies erfüllen, indem wir unseren aktuellsten SOC-2-Bericht vorlegen oder eine einvernehmlich vereinbarte Prüfung durch Dritte beauftragen.
Ihre Pflichten als Verantwortlicher
Sie bleiben verantwortlich für:
- Eine Rechtsgrundlage für die Verarbeitung von Leserdaten über Ihre Portale
- Die Veröffentlichung einer Datenschutzerklärung auf Ihren eigenen Marken-Portalen
- Die Einholung der Cookie-Einwilligung von Lesern, soweit erforderlich
- Das Unterlassen des Hochladens besonderer Kategorien personenbezogener Daten ohne geeignete Rechtsgrundlage
- Das Führen eines Verzeichnisses von Verarbeitungstätigkeiten (VVT/ROPA), in dem Multibase als Auftragsverarbeiter aufgeführt ist
- Die Meldung von Verletzungen an Ihre Aufsichtsbehörde innerhalb von 72 Stunden, nachdem Ihnen diese bekannt geworden sind
Haftung und anwendbares Recht
Die Haftung aus diesem AVV unterliegt den Beschränkungen der Nutzungsbedingungen. Dieser AVV unterliegt dem Recht des Bundesstaates Wyoming, USA, sofern nicht das Datenschutzrecht der EU oder des Vereinigten Königreichs etwas anderes vorschreibt. Hat der Kunde seinen Sitz in einem EU-Mitgliedstaat, erfüllt dieser AVV die Anforderungen von Artikel 28 EU-DSGVO.
Fragen: legal@multibase.io