Auftragsverarbeitungsvertrag

1. Parteien und Rollen

Der Kunde ist Verantwortlicher, soweit er personenbezogene Daten in SlideWizard (Web-App und PowerPoint-Add-in) eingibt oder durch Nutzer seiner Organisation verarbeiten lässt. Die slidewizard.ai GmbH handelt für diese Daten als Auftragsverarbeiter. Für eigene Zwecke (Vertragsverwaltung, Abrechnung, Sicherheit, Rechtsverteidigung) ist sie eigenständig Verantwortliche.

2. Abschluss, Gegenstand und Dauer

Der Kunde schließt diesen AVV bei der Registrierung seiner Organisation ab, indem die registrierende Person ihn im Namen der Organisation annimmt. SlideWizard speichert die angenommene Version mit Zeitpunkt und Person als Nachweis.

Gegenstand ist die Bereitstellung von Web-App und Add-in zur Erstellung, Bearbeitung, Verwaltung und zum Export von Präsentationen sowie die Verwaltung von Organisationen, Nutzern, Rollen, Abrechnung und Support. Die Verarbeitung dauert bis zum Vertragsende und der anschließenden Löschung nach Ziffer 12.

3. Art und Zweck der Verarbeitung

• Authentifizierung, Autorisierung und Sitzungsverwaltung.
• Verwaltung von Organisationen, Mitgliedschaften, Teams, Rollen und Einladungen.
• Erstellung, Bearbeitung, Speicherung, Vorschau und Export von Folien und Präsentationen.
• Automatisierte Verarbeitung von Prompts, Präsentationsinhalten, Vorlagen, Chatverläufen und Referenzen durch KI-Dienste (Ziffer 9).
• Speicherung des Agent-Chats in der PowerPoint-Datei, verschlüsselt für die jeweilige Person, die den Chat geführt hat.
• Abrechnung, Testphase, Nutzungsbudget, Mehrverbrauch und Abonnementverwaltung.
• Betrieb, Monitoring, Sicherheit, Fehleranalyse, Missbrauchsprävention und Support.

4. Datenarten und Betroffene

5. Weisungen

SlideWizard verarbeitet Kundendaten nur auf dokumentierte Weisung des Kunden, soweit keine gesetzliche Pflicht entgegensteht. Weisungen ergeben sich aus dem Vertrag, der Nutzung der App, den Einstellungen der Organisation (einschließlich Export und Löschung) und Support-Anfragen. Hält SlideWizard eine Weisung für rechtswidrig, informiert sie den Kunden.

6. Vertraulichkeit

Alle Personen mit möglichem Zugriff auf Kundendaten sind zur Vertraulichkeit verpflichtet. Zugriffe folgen dem Need-to-know-Prinzip.

7. Technische und organisatorische Maßnahmen

• Transportverschlüsselung (TLS). Verschlüsselung gespeicherter Daten bei AWS.
• Rollen- und organisationsbasierte Zugriffskontrolle. Trennung der Kundenorganisationen auf Anwendungsebene.
• Geheimnisverwaltung über AWS Secrets Manager. Mindestrechte für Laufzeitrollen.
• Protokollierung betrieblicher und sicherheitsrelevanter Ereignisse. Alarmierung.
• Versionierte, geprüfte Auslieferung über CI/CD.
• Verschlüsselung des im Add-in gespeicherten Agent-Chats mit einem personengebundenen Schlüssel (AES-256, HMAC-SHA256).
• Backups mit höchstens 14 Tagen Aufbewahrung nach einer Löschung. Dokumentierter Löschprozess mit unabhängigem Löschprotokoll.

8. Unterauftragsverarbeiter

Der Kunde genehmigt die folgenden Unterauftragsverarbeiter:

9. KI-Dienste

Die KI-Dienste erhalten nur die für die jeweilige Aufgabe nötigen Inhalte. SlideWizard setzt sie über Geschäftsschnittstellen ein, deren Bedingungen eine Nutzung der Kundendaten zum Modelltraining ausschließen.

10. Änderungen von Unterauftragsverarbeitern

SlideWizard kündigt neue oder ersetzende Unterauftragsverarbeiter mindestens 30 Tage vorher auf dieser Seite und per E-Mail an den Inhaber der Organisation an. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine zumutbare Lösung, kann der Kunde die betroffene Leistung kündigen.

11. Drittlandtransfers

Soweit Unterauftragsverarbeiter Daten außerhalb der EU/des EWR verarbeiten, stellt SlideWizard geeignete Garantien sicher, insbesondere Angemessenheitsbeschlüsse (EU-U.S. Data Privacy Framework) oder EU-Standardvertragsklauseln mit ergänzenden Maßnahmen.

12. Löschung und Rückgabe

• Der Inhaber der Organisation kann in den Einstellungen jederzeit eine Kopie der Daten herunterladen (ZIP mit Konten, Mitgliedern, Präsentationen und Chatverläufen) und die Löschung der Organisation beantragen. Mitglieder können die Löschung ihres eigenen Kontos beantragen oder die Organisation verlassen.
• Ein Löschantrag wird nach einer Wartefrist von 14 Tagen ausgeführt und kann bis dahin zurückgenommen werden.
• Bei der Ausführung kündigt SlideWizard ein laufendes Paddle-Abonnement, löscht Inhalte, Dateien, Konten und Anmeldeidentitäten und bestätigt die Löschung. Erhalten bleiben nur die Paddle-Kunden- und Subscription-ID als Nachweis für gesetzliche Aufbewahrungspflichten.
• Sicherungskopien werden spätestens 14 Tage nach der Löschung überschrieben.
• Präsentationen ausgeschiedener Mitglieder verbleiben bei der Organisation, sofern der Kunde nichts anderes bestimmt (Übertragung oder Löschung).

13. Betroffenenrechte und Unterstützung

SlideWizard unterstützt den Kunden angemessen bei Betroffenenrechten (insbesondere über Export und Löschung in der App), Datenschutz-Folgenabschätzungen, Sicherheitsvorfällen und Anfragen von Aufsichtsbehörden. Verletzungen des Schutzes personenbezogener Daten meldet SlideWizard unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis. Kontakt: info@slidewizard.ai.

14. Nachweise und Audits

SlideWizard stellt auf Anfrage angemessene Nachweise bereit. Audits erfolgen nach Abstimmung, während der Geschäftszeiten und ohne Gefährdung von Sicherheit, Betrieb oder Rechten anderer Kunden, vorrangig durch Dokumentation und Zertifikate.