Rechtliches
Auftragsverarbeitungsvertrag
Zuletzt aktualisiert am 12. Oktober 2026
Diese Übersetzung dient nur der Orientierung. Weicht sie von der englischen Fassung ab, ist die englische Fassung maßgeblich. Englische Fassung lesen.
Dies ist der Standard-Auftragsverarbeitungsvertrag (AVV) von Incbury. Er ist Teil unserer Nutzungsbedingungen für Kunden, die Incbury im Namen einer Organisation nutzen, und gilt ohne Unterschrift.
Wenn du ein gegengezeichnetes Exemplar brauchst, fordere es an und nenne den vollständigen Namen deiner Organisation. Wir senden es unterzeichnet von Foundry Systems Ltd (Handelsregisternummer 16940612, 71–75 Shelton Street, Covent Garden, London WC2H 9JQ, United Kingdom) zurück.
1. Geltungsbereich und Rollen
Dieser AVV gilt, wenn Foundry Systems Ltd („Incbury“) personenbezogene Daten im Auftrag eines Kunden („Kunde“) über Incbury Chat, Teams, Business oder die Entwicklerplattform (der „Dienst“) verarbeitet. Der Kunde ist Verantwortlicher, Incbury Auftragsverarbeiter. Er gilt nach UK GDPR, dem Data Protection Act 2018 und gegebenenfalls der EU-DSGVO.
2. Weisungen
Incbury verarbeitet personenbezogene Daten des Kunden nur auf dessen dokumentierte Weisung, also gemäß Vertrag, diesem AVV sowie der Nutzung und Konfiguration des Dienstes durch den Kunden. Incbury informiert den Kunden, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt.
3. Vertraulichkeit
Incbury stellt sicher, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind und nur den Zugriff haben, den ihre Rolle erfordert.
4. Sicherheit
Incbury setzt die technischen und organisatorischen Maßnahmen in Anhang 2 um und darf sie aktualisieren, solange das Schutzniveau insgesamt nicht sinkt. Aktuelle Details stehen im Trust Center.
5. Unterauftragsverarbeiter
Der Kunde genehmigt die Unterauftragsverarbeiter in unserer Liste der Unterauftragsverarbeiter. Incbury kündigt neue mindestens 30 Tage vorher an, der Kunde kann aus berechtigten Datenschutzgründen widersprechen, und Incbury verpflichtet jeden Unterauftragsverarbeiter gleichwertig und bleibt für ihn verantwortlich.
6. Internationale Übermittlungen
Werden personenbezogene Daten des Kunden aus dem Vereinigten Königreich oder dem EWR übermittelt, stützt sich Incbury auf Angemessenheitsbeschlüsse oder auf das UK International Data Transfer Agreement bzw. Addendum und die EU-Standardvertragsklauseln, die durch Verweis einbezogen werden.
7. Unterstützung
Incbury unterstützt den Kunden bei Betroffenenanfragen über die Export-, Lösch-, SCIM- und Compliance-API-Funktionen des Dienstes und leistet angemessene Hilfe bei Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und der Konsultation von Aufsichtsbehörden.
8. Verletzungen des Schutzes personenbezogener Daten
Incbury informiert den Kunden unverzüglich, spätestens jedoch 48 Stunden nachdem ihm eine Verletzung bekannt wird, die personenbezogene Daten des Kunden betrifft, mit den verfügbaren Informationen und weiteren Updates.
9. Prüfungen
Incbury stellt die zum Nachweis der Einhaltung dieses AVV nötigen Informationen bereit, einschließlich Zertifikaten und Prüfberichten, sobald sie vorliegen. Der Kunde kann einmal jährlich mit 30 Tagen Vorlauf auf eigene Kosten prüfen oder wann immer eine Aufsichtsbehörde dies verlangt.
10. Löschung und Rückgabe
Der Kunde kann seine Daten jederzeit exportieren. Nach Vertragsende löscht Incbury personenbezogene Daten des Kunden innerhalb von 30 Tagen aus den Live-Systemen und innerhalb von 90 Tagen aus Sicherungen, sofern keine gesetzliche Aufbewahrungspflicht besteht.
11. Kein Training, kein Verkauf
Incbury nutzt personenbezogene Daten des Kunden nicht zum Training seiner Modelle und verkauft sie nicht.
12. Haftung und Vorrang
Die Haftung nach diesem AVV unterliegt den Beschränkungen des Vertrags. Bei Widersprüchen zum Vertrag in Datenschutzfragen gilt dieser AVV; bei Widersprüchen zu den Standardvertragsklauseln oder dem Übermittlungsvertrag gelten diese.
Anhang 1: Angaben zur Verarbeitung
| Gegenstand | Bereitstellung des Dienstes für den Kunden. |
|---|---|
| Dauer | Die Vertragslaufzeit zuzüglich der Löschfristen in Ziffer 10. |
| Art und Zweck | Speicherung, Übertragung und Verarbeitung von Inhalten mit KI-Modellen, um Antworten zu erzeugen, zu suchen, Werkzeuge auszuführen und Workspace-Funktionen bereitzustellen. |
| Betroffene Personen | Berechtigte Nutzer des Kunden und Personen, deren personenbezogene Daten in vom Kunden übermittelten Inhalten vorkommen. |
| Personenbezogene Daten | Konto- und Profilangaben, Unterhaltungen, Eingaben und Ausgaben, hochgeladene Dateien, vom Kunden freigegebene Konnektor-Inhalte sowie Nutzungs- und Geräteinformationen. |
| Besondere Kategorien | Nicht vorgesehen. Der Kunde entscheidet, ob er solche Daten übermittelt, und benötigt dafür eine Rechtsgrundlage. |
| Häufigkeit | Fortlaufend, solange der Kunde den Dienst nutzt. |
Anhang 2: Technische und organisatorische Maßnahmen
- Verschlüsselung bei der Übertragung mit TLS 1.2 oder neuer und im Ruhezustand für Datenbanken, Objektspeicher und Sicherungen.
- Single Sign-on, SCIM-Bereitstellung, Zwei-Faktor-Authentifizierung und rollenbasierte Zugriffskontrolle.
- Produktionszugriff nach dem Prinzip der minimalen Rechte, Geheimnisverwaltung und ein manipulationssicheres Audit-Protokoll.
- Isolierte, kurzlebige Sandboxes für Codeausführung und Browsing.
- Netzwerkkontrollen einschließlich IP-Zulassungslisten für Business-Workspaces.
- Code-Reviews, automatisierte Tests und Continuous Integration vor dem Deployment.
- Tägliche verschlüsselte Sicherungen verwalteter Datenbanken und dokumentierte Wiederherstellungsverfahren.
- Vorfallreaktion mit Meldung von Verletzungen gemäß Ziffer 8.
- Konfigurierbare Aufbewahrung und Löschung sowie jederzeitiger Datenexport.
Anhang 3: Unterauftragsverarbeiter
Die aktuelle Liste der Unterauftragsverarbeiter mit Zweck und Standort steht in unserer Datenschutzerklärung.