AVV: Auftragsverarbeitung für RAGSuite

Brauchen Sie einen AVV mit uns?

Den unterschriebenen AVV erhalten Sie über privacy@ragsuite.de. Der folgende Mustertext zeigt den Inhalt; verbindlich ist die unterzeichnete Fassung.

Mustertext: Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

zwischen dem Kunden (Verantwortlicher) und der NITSAN GmbH, Bischofsweg 6, 01097 Dresden (Auftragsverarbeiter).

§ 1 Gegenstand und Dauer. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Betrieb und Fehlerbehebung von RAGSuite betreibt für ihn die RAGSuite Engine, soweit gebucht, und, nur wenn vereinbart, eine eigene Instanz. Der Vertrag gilt, solange der Auftragsverarbeiter personenbezogene Daten im Auftrag verarbeitet.

§ 2 Art, Zweck und Betroffene. Art: Speicherung, Indexierung und Verarbeitung durch Sprachmodelle in der RAGSuite Engine; Einsicht, Analyse und gegebenenfalls Speicherung im Rahmen von Support oder Betrieb. Zweck: Bereitstellung der RAGSuite Engine, Fehlerbehebung und Betrieb. Datenarten: Inhalte aus Dokumenten und Verläufen, Nutzerkonten (Name, E-Mail), Protokolldaten. Betroffene: Beschäftigte, Kunden und sonstige Personen, deren Daten der Verantwortliche in RAGSuite verarbeitet.

§ 3 Weisungen. Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Hält er eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

§ 4 Vertraulichkeit. Personen mit Zugriff sind zur Vertraulichkeit verpflichtet (lit. b).

§ 5 Sicherheit. Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO aus Anlage 1 (lit. c).

§ 6 Unterauftragsverarbeiter. Unterauftragsverarbeiter setzt der Auftragsverarbeiter nur mit vorheriger Genehmigung ein; die genehmigten stehen in Anlage 2. Über geplante Änderungen informiert er vorab; der Verantwortliche kann widersprechen. Unterauftragsverarbeitern werden dieselben Pflichten auferlegt (lit. d, Abs. 2 und 4).

§ 7 Unterstützung. Der Auftragsverarbeiter unterstützt bei Anfragen Betroffener (lit. e) und bei den Pflichten aus Art. 32 bis 36 DSGVO, einschließlich der Meldung von Datenschutzverletzungen ohne schuldhaftes Zögern (lit. f).

§ 8 Löschung und Rückgabe. Nach Ende der Leistung löscht der Auftragsverarbeiter alle Daten oder gibt sie zurück, nach Wahl des Verantwortlichen, sofern keine Pflicht zur Speicherung besteht (lit. g). Support-Zugriffe hinterlassen keine Kopien, soweit nicht ausdrücklich vereinbart. In der RAGSuite Engine kann der Verantwortliche seine Daten vor Vertragsende exportieren; danach löscht der Auftragsverarbeiter sie innerhalb von 30 Tagen; Sicherungskopien spätestens nach weiteren 30 Tagen.

§ 9 Nachweise und Kontrollen. Der Auftragsverarbeiter stellt alle Informationen zum Nachweis der Pflichten bereit und ermöglicht Überprüfungen, auch vor Ort nach angemessener Ankündigung (lit. h).

§ 10 Drittländer. Eine Verarbeitung außerhalb der EU und des EWR erfolgt nur nach den Art. 44 ff. DSGVO, zum Beispiel mit Standardvertragsklauseln, und nur mit Genehmigung des Verantwortlichen. Die KI-Verarbeitung der RAGSuite Engine (Anlage 2) erfolgt in der EU und in EFTA-Staaten (z. B. Schweiz, Norwegen); Norwegen gehört zum EWR, für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission.

§ 11 Schlussbestimmungen. Es gilt deutsches Recht. Bei Widersprüchen geht dieser Vertrag anderen Vereinbarungen zum Datenschutz vor.

Anlage 1: Technische und organisatorische Maßnahmen (Kurzfassung)

• Zugriff nur auf Freigabe: Support-Zugriff nur nach ausdrücklicher Freigabe des Kunden, zeitlich begrenzt, bevorzugt per begleiteter Bildschirmfreigabe.
• Zugangskontrolle: persönliche Konten, Zwei-Faktor-Anmeldung, Rechte nach dem Need-to-know-Prinzip.
• Verschlüsselung: Übertragung per TLS; Datenträger verschlüsselt.
• Protokollierung: Support-Zugriffe werden dokumentiert.
• Löschung: keine Kopien von Kundendaten aus Support-Fällen, soweit nicht vereinbart.
• Schulung: Beschäftigte werden zu Datenschutz und Informationssicherheit geschult.
• RAGSuite Engine: Rechenzentrum in Deutschland (Hetzner Online GmbH, Falkenstein), Trennung der Kundendaten je Instanz, Verschlüsselung bei Übertragung und Speicherung, Sicherungen auf einem getrennten Backup-Speicher in Deutschland (Datenbank mit Transaktionsprotokoll, Snapshots von Suchindex und Dateien), Protokollierung administrativer Zugriffe; Inhalte werden nicht zum Training von Sprachmodellen genutzt.

Die ausführliche TOM-Beschreibung finden Sie im Trust Center.

Anlage 2: Unterauftragsverarbeiter

RAGSuite Engine (Stand: 5. November 2026):

Microsoft trainiert keine Modelle mit Kundendaten. Zur Missbrauchserkennung kann Microsoft auffällige Anfragen prüfen, bei Bedarf durch Personal im EWR; diese Daten bleiben in Deutschland. Mit eigenem API-Schlüssel (BYOK) ist Ihr Modellanbieter Ihr eigener Vertragspartner und kein Unterauftragsverarbeiter von RAGSuite. Bei selbst betriebenen Installationen ohne Support-Zugriff gibt es keine Unterauftragsverarbeiter von RAGSuite.