Auftragsverarbeitungsvereinbarung

Parteien und Rollen

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO sind Sie als Kundin oder Kunde: Sie bestimmen, welche Inhalte gehostet werden und was in ihnen steht.

Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist der Betreiber von llmstxt.info. Die vollständige Anbieterkennzeichnung steht im Impressum.

Für alles, was nicht das Hosting Ihrer Dateien ist — Verzeichniseintrag, Zahlungsabwicklung, Server-Logfiles, Reichweitenmessung —, sind wir eigener Verantwortlicher. Was dort geschieht, steht in der Datenschutzerklärung.

Gegenstand, Dauer, Art und Zweck der Verarbeitung

Gegenstand

Speicherung und öffentliche Bereitstellung der von Ihnen bestimmten Inhalte als llms.txt und llms-full.txt unter llmstxt.info/hosted/….

Art der Verarbeitung

Erheben aus Ihren Angaben, Strukturieren in das Format des llms.txt-Standards, Speichern, Bereitstellen, Löschen.

Zweck

Erfüllung des Hosting-Vertrags: Ihre Inhalte sollen für KI-Systeme und Menschen unter einer stabilen Adresse abrufbar sein.

Art der Daten

Ausschließlich die Daten, die Sie in den gehosteten Inhalten bereitstellen — typischerweise Organisations- und Angebotsdaten, gegebenenfalls Namen von Ansprechpersonen, Kontaktangaben und Verweise auf Profile.

Kategorien betroffener Personen

Die von Ihnen benannten Personen, insbesondere Ansprechpersonen und Inhaberinnen bzw. Inhaber.

Dauer

Für die Laufzeit des Hosting-Vertrags; danach nach Ziffer 9.

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand dieser Vereinbarung. Bitte stellen Sie keine Gesundheits-, Religions-, Gewerkschafts-, biometrischen oder vergleichbaren Daten in gehostete Inhalte ein. Ebenso wenig sind Daten nach Art. 10 DSGVO (Straftaten) Gegenstand.

Weisungen

Wir verarbeiten personenbezogene Daten aus gehosteten Inhalten ausschließlich auf Ihre dokumentierte Weisung (Art. 28 Abs. 3 lit. a DSGVO). Als Weisung gilt der Hosting-Vertrag selbst sowie jede Änderung, die Sie über das Kundenportal oder per E-Mail veranlassen.

Halten wir eine Weisung für rechtswidrig, teilen wir Ihnen das mit und dürfen die Ausführung bis zur Klärung aussetzen. Eine Verarbeitung zu eigenen Zwecken findet für gehostete Inhalte nicht statt. Ausgenommen sind gesetzliche Pflichten — dann informieren wir Sie vorher, soweit das Recht es zulässt.

Eine Ausnahme, die wir offen benennen: Wir dürfen gehostete Inhalte entfernen oder unzugänglich machen, wenn sie gegen geltendes Recht oder Rechte Dritter verstoßen (AGB § 12a, Art. 16 der Verordnung (EU) 2022/2065). Das ist keine Verarbeitung zu eigenen Zwecken, sondern die Erfüllung einer eigenen rechtlichen Pflicht.

Vertraulichkeit

Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO). Der Dienst wird von einer Einzelperson betrieben; weitere Beschäftigte gibt es nicht. Soweit Dienstleister eingebunden sind, sind sie nach Ziffer 6 gebunden.

Technische und organisatorische Maßnahmen

Nach Art. 32 DSGVO sind insbesondere umgesetzt:

• Transportverschlüsselung (TLS) für alle Abrufe; HSTS aktiv.
• Zugriff auf den Server ausschließlich über SFTP mit persönlichen Zugangsdaten; kein unverschlüsselter Zugang.
• Getrennte Ablage der gehosteten Dateien je Kunde; Verzeichnisschutz gegen Auflistung und gegen Ausführung von Skripten.
• Administrationszugang mit bcrypt-Passworthash und Sperre nach fehlgeschlagenen Anmeldeversuchen.
• Regelmäßige Sicherungen durch den Hosting-Dienstleister im selben Rechenzentrumsverbund in Deutschland.
• Keine Einbindung fremder Ressourcen in ausgelieferte Seiten; keine Analyse- oder Werbedienste Dritter.

Die Maßnahmen des Hosting-Dienstleisters ergeben sich zusätzlich aus dessen Auftragsverarbeitungsvertrag und den dort vereinbarten technischen und organisatorischen Maßnahmen.

Unterauftragsverarbeiter und Serverstandort

Sie erteilen mit Abschluss des Hosting-Vertrags eine allgemeine schriftliche Genehmigung zum Einsatz der nachstehenden Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO). Mit jedem von ihnen besteht ein Vertrag nach Art. 28 Abs. 4 DSGVO, der ihm dieselben Pflichten auferlegt.

Der Hosting-Dienstleister setzt seinerseits verbundene Unternehmen für den Rechenzentrumsbetrieb ein; die Einzelheiten ergeben sich aus seinen Datenschutzinformationen.

Keine Übermittlung in Drittländer. Die gehosteten Inhalte werden ausschließlich auf Servern in Deutschland gespeichert und ausgeliefert. Eine Übermittlung in ein Land außerhalb der EU bzw. des EWR nach Kapitel V DSGVO findet für das Hosting nicht statt. Die Angabe zum Rechenzentrumsstandort beruht auf den Angaben des Dienstleisters.

Änderungen. Beabsichtigen wir, einen Unterauftragsverarbeiter hinzuzuziehen oder auszutauschen, informieren wir Sie mindestens 30 Tage vorher per E-Mail an die im Kundenkonto hinterlegte Adresse und aktualisieren diese Seite. Sie können innerhalb dieser Frist widersprechen. Widersprechen Sie aus einem sachlichen, datenschutzrechtlichen Grund und lässt sich keine Lösung finden, können Sie den Hosting-Vertrag zum Wirksamwerden der Änderung außerordentlich kündigen; bereits gezahlte Entgelte erstatten wir anteilig.

Unterstützung bei Betroffenenrechten

Wendet sich eine betroffene Person mit einem Auskunfts-, Berichtigungs-, Löschungs- oder Widerspruchsbegehren an uns und betrifft es gehostete Inhalte, leiten wir sie an Sie weiter und beantworten sie nicht selbst. Wir unterstützen Sie mit geeigneten Maßnahmen bei der Erfüllung (Art. 28 Abs. 3 lit. e DSGVO) und bei Ihren Pflichten aus Art. 32 bis 36 DSGVO (lit. f).

Praktisch ist das einfach: Sie können gehostete Inhalte jederzeit selbst über das Kundenportal ändern oder das Hosting beenden.

Meldung von Verletzungen des Schutzes personenbezogener Daten

Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, die gehostete Inhalte betrifft, informieren wir Sie unverzüglich — in der Regel innerhalb von 24 Stunden nach Kenntnis — mit den uns vorliegenden Angaben nach Art. 33 Abs. 3 DSGVO. Die Meldung an die Aufsichtsbehörde und gegebenenfalls an betroffene Personen obliegt Ihnen als Verantwortlichem.

Löschung und Rückgabe

Nach Beendigung des Hosting-Vertrags löschen wir die gehosteten Dateien innerhalb von 30 Tagen, sofern Sie nicht vorher deren Herausgabe verlangen. Auf Wunsch stellen wir Ihnen die Dateien vorher im Originalformat bereit. Sicherungskopien des Hosting-Dienstleisters werden im Rahmen der dortigen Aufbewahrungszyklen überschrieben.

Gesetzliche Aufbewahrungspflichten bleiben unberührt; sie betreffen die Vertrags- und Rechnungsdaten, nicht den Inhalt der gehosteten Dateien.

Nachweise und Kontrollen

Wir stellen Ihnen auf Anfrage die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglichen Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO). In der Regel geschieht das durch Auskunft in Textform sowie durch Vorlage des Auftragsverarbeitungsvertrags mit dem Hosting-Dienstleister. Eine Überprüfung vor Ort ist nach vorheriger Abstimmung und zu üblichen Geschäftszeiten möglich.

Ihre Pflichten als Verantwortlicher

Für die Inhalte, die Sie hosten lassen, bleiben Sie verantwortlich. Das bedeutet insbesondere:

• Sie brauchen für jede personenbezogene Angabe in den Inhalten eine Rechtsgrundlage nach Art. 6 DSGVO.
• Sie erfüllen die Informationspflichten nach Art. 13 und 14 DSGVO gegenüber den betroffenen Personen.
• Sie beantworten Betroffenenanfragen zu diesen Inhalten.
• Sie stellen sicher, dass die Inhalte keine Rechte Dritter verletzen — auch keine Urheber- und Markenrechte (AGB § 7).
• Sie stellen keine Daten nach Art. 9 oder Art. 10 DSGVO ein.

Eine inhaltliche Prüfung durch uns findet nicht statt und ist nicht geschuldet (AGB § 7 Abs. 0a). Das entspricht auch dem Verbot einer allgemeinen Überwachungspflicht nach Art. 8 der Verordnung (EU) 2022/2065.

Änderungen dieser Vereinbarung

Wir können diese Vereinbarung anpassen, wenn sich die Rechtslage, die eingesetzten Dienstleister oder der Leistungsumfang ändern. Über inhaltliche Änderungen informieren wir Sie mindestens 30 Tage vorher per E-Mail. Die jeweils gültige Fassung mit Versionsnummer und Datum steht oben auf dieser Seite.

Bei Widersprüchen zwischen dieser Vereinbarung und den Allgemeinen Geschäftsbedingungen geht diese Vereinbarung für die Verarbeitung personenbezogener Daten im Auftrag vor.