Vereinbarung zur Auftragsverarbeitung Für Geschäftskunden von Sano Work · gemäß Art. 28 DSGVO Fassung: 2026-10-27 1. Parteien und Einbeziehung Diese Vereinbarung zur Auftragsverarbeitung („AVV“) regelt die Verarbeitung personenbezogener Daten durch die SanoAI GmbH, Wittelsbacherstr. 34, 10707 Berlin, Deutschland („SanoAI“), im Auftrag des im Angebot, Bestellformular oder sonstigen Leistungsvertrag bezeichneten Geschäftskunden („Auftraggeber“). Sie ergänzt den zwischen den Parteien geschlossenen Vertrag über Sano Work und die darin vereinbarten Dienste („Hauptvertrag“). Die AVV wird durch ausdrückliche Einbeziehung in den Hauptvertrag oder gesonderte Vereinbarung in Textform, auch elektronisch, geschlossen. Es gilt die dabei bezeichnete Fassung. Die Veröffentlichung einer neuen Fassung auf der Website ändert bestehende Vereinbarungen nicht automatisch. Anlagen 1 und 2 sowie das dem Auftraggeber vor Vertragsschluss bereitgestellte und einbezogene Unterauftragsverarbeiter-Verzeichnis nach Anlage 3 sind Bestandteil dieser AVV. Für datenschutzrechtliche Pflichten bei der Auftragsverarbeitung geht diese AVV widersprechenden Regelungen des Hauptvertrags vor. Individuelle Vereinbarungen und zwingendes Recht bleiben unberührt. Ansprechpartner für Mitteilungen zu dieser AVV ist SanoAI unter contact@sanowork.ai. 2. Gegenstand, Dauer und Rollenverteilung SanoAI verarbeitet die vom Auftraggeber zur Nutzung der vereinbarten Funktionen übermittelten personenbezogenen Inhalte ausschließlich zur Leistungserbringung nach dessen dokumentierten Weisungen. Gegenstand, Art, Zweck, Datenarten und betroffene Personen ergeben sich aus Anlage 1. Der Umfang bestimmt sich nach den tatsächlich vereinbarten und aktivierten Funktionen; diese AVV begründet keinen Anspruch auf zusätzliche Produkte oder Funktionen. Die Verarbeitung erfolgt für die Dauer des Hauptvertrags und, soweit erforderlich, während der vereinbarten Abwicklung. Sano Work führt die kanonischen Unterhaltungen, Dateien und Zuordnungen im vom Nutzer gewählten lokalen Speicherbereich. SanoAI betreibt hierfür kein serverseitiges Gesprächsarchiv. Für angeforderte Cloud-Funktionen werden die erforderlichen Inhalte vorübergehend durch SanoAI und die eingesetzten Dienste verarbeitet. Soweit SanoAI Zwecke und Mittel einer Verarbeitung selbst bestimmt, insbesondere für eigene Vertragsverwaltung, Abrechnung, gesetzliche Nachweise und erforderliche Missbrauchsabwehr, handelt SanoAI als eigenständig Verantwortlicher. Diese Verarbeitungen richten sich nach den geltenden Datenschutzbestimmungen und werden nicht allein durch diese AVV zu einer Auftragsverarbeitung. 3. Weisungen und Mitwirkung des Auftraggebers Der Hauptvertrag, diese AVV und die von autorisierten Nutzern ausgelösten oder entsprechend eingerichteten Funktionen bilden die dokumentierten Weisungen. Ergänzende Weisungen erteilt der Auftraggeber in Textform über seine benannten Ansprechpartner. Weisungen, die den vereinbarten Leistungsumfang verändern, bedürfen einer gesonderten Vereinbarung über Umsetzung und Vergütung. Gesetzlich gebotene Maßnahmen bleiben davon unberührt. Der Auftraggeber ist für die Rechtmäßigkeit der Datenbereitstellung, die erforderlichen Rechtsgrundlagen, Informationen an betroffene Personen und die Berechtigung seiner Nutzer verantwortlich. Er beschränkt die Verarbeitung auf erforderliche Inhalte und prüft vor der Nutzung, ob die vereinbarten Funktionen und Maßnahmen für seine Daten und Zwecke geeignet sind. Die Nutzung der Software oder die Bestätigung einer Datenschutzerklärung ersetzt keine erforderliche Einwilligung Dritter. Der Auftraggeber verantwortet die Verwaltung seiner Nutzer und Berechtigungen, die Sicherheit seiner Endgeräte sowie die Sicherung und Löschung seiner lokalen Dateien. Dies umfasst die Auswahl und Konfiguration eigener Synchronisations-, Sicherungs- und verbundener Dienste. Lokale Schutzfunktionen unterstützen ihn bei der Datenminimierung; sie ersetzen weder seine Prüfung noch die erforderliche Rechtsgrundlage. Hält SanoAI eine Weisung für datenschutzrechtswidrig, informiert SanoAI den Auftraggeber unverzüglich. SanoAI darf die betroffene Verarbeitung aussetzen, bis die Weisung bestätigt oder geändert und ihre rechtmäßige Ausführung geklärt ist. Wird SanoAI durch Unionsrecht oder mitgliedstaatliches Recht zu einer Verarbeitung verpflichtet, informiert SanoAI den Auftraggeber vorab, soweit das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses untersagt. 4. Vertraulichkeit und Sicherheit SanoAI verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit, soweit diese nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriffe werden auf den für die jeweilige Aufgabe erforderlichen Umfang beschränkt. SanoAI trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen unter Berücksichtigung von Art. 32 DSGVO. SanoAI darf Maßnahmen entsprechend der technischen Entwicklung und der Risikolage durch gleichwertige oder wirksamere Maßnahmen ersetzen; das vereinbarte Schutzniveau darf dadurch nicht unterschritten werden. SanoAI nutzt die im Auftrag verarbeiteten Inhalte nicht für eigene Werbung oder zum Training allgemeiner KI-Modelle. Die Verarbeitung durch Unterauftragsverarbeiter wird durch die vereinbarten Zwecke, Weisungen und vertraglichen Verpflichtungen begrenzt. 5. Unterauftragsverarbeiter und Verarbeitungsorte Der Auftraggeber erteilt SanoAI eine allgemeine schriftliche Genehmigung zum Einsatz weiterer Auftragsverarbeiter gemäß Art. 28 Abs. 2 DSGVO. Die bei Vertragsschluss genehmigten Unternehmen, Leistungen und Verarbeitungsorte ergeben sich aus dem einbezogenen Verzeichnis nach Anlage 3. SanoAI verpflichtet Unterauftragsverarbeiter vertraglich zu den einschlägigen Datenschutzpflichten dieser AVV und bleibt gegenüber dem Auftraggeber für deren Erfüllung nach Art. 28 Abs. 4 DSGVO verantwortlich. Über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert SanoAI den Auftraggeber mindestens 30 Kalendertage vor dessen Einsatz in Textform. Der Auftraggeber kann innerhalb dieser Frist aus nachvollziehbaren datenschutzrechtlichen Gründen widersprechen. Die Parteien bemühen sich um eine wirtschaftlich und technisch angemessene Lösung. Kann der begründete Widerspruch nicht ausgeräumt werden, kann jede Partei den ausschließlich betroffenen Leistungsteil vor dem vorgesehenen Einsatz beenden. Vorauszahlungen für danach nicht erbrachte Leistungen werden anteilig erstattet; bis zur Klärung erfolgt keine Übermittlung der betroffenen Daten an den beanstandeten neuen Unterauftragsverarbeiter. Die Verarbeitung erfolgt an den für die vereinbarten Dienste ausgewiesenen Orten. Eine Übermittlung in ein Drittland erfolgt nur auf dokumentierter Weisung oder im Rahmen der vereinbarten Leistung und unter Einhaltung von Kapitel V DSGVO. SanoAI stellt dem Auftraggeber Informationen zu den einschlägigen Garantien zur Verfügung. Dienste, die der Auftraggeber selbst beauftragt oder unter eigenen Zugangsdaten unabhängig mit Sano Work verbindet, werden nicht allein durch diese Verbindung zu Unterauftragsverarbeitern von SanoAI. Maßgeblich bleiben die tatsächlichen Aufgaben und Vertragsbeziehungen. Die Verarbeitung solcher Dienste und die Übermittlung an sie müssen von den Weisungen und Berechtigungen des Auftraggebers gedeckt sein. 6. Betroffenenrechte und Unterstützung SanoAI unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten sowie seiner Pflichten nach Art. 32 bis 36 DSGVO. Dies umfasst erforderliche Informationen für Sicherheitsbewertungen, Datenschutz-Folgenabschätzungen und vorherige Konsultationen. Geht bei SanoAI ein Antrag ein, der Daten betrifft, für die der Auftraggeber verantwortlich ist, leitet SanoAI diesen unverzüglich an ihn weiter. SanoAI beantwortet solche Anträge inhaltlich nur auf Weisung oder aufgrund einer gesetzlichen Verpflichtung. Für eigene Verantwortungsbereiche bearbeitet SanoAI Anträge selbst. Für zusätzliche, individuell angeforderte Unterstützung außerhalb des vereinbarten Leistungsumfangs kann SanoAI eine angemessene, zuvor vereinbarte Vergütung nach tatsächlichem Aufwand verlangen. Dies gilt nicht, soweit der Aufwand auf einer von SanoAI zu vertretenden Verletzung dieser AVV beruht. Gesetzliche Pflichten und fristgebundene erforderliche Unterstützung werden nicht von einer vorherigen Zahlung abhängig gemacht. 7. Datenschutzverletzungen SanoAI unterrichtet den Auftraggeber unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, die SanoAI im Auftrag verarbeitet. Die Mitteilung enthält die zu diesem Zeitpunkt verfügbaren Angaben zur Art der Verletzung, zu betroffenen Daten und Personen, zu voraussichtlichen Folgen sowie zu ergriffenen oder vorgesehenen Gegenmaßnahmen. Noch fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht. SanoAI ergreift angemessene Maßnahmen zur Eindämmung und Behebung der Verletzung und unterstützt den Auftraggeber bei dessen gesetzlichen Melde- und Benachrichtigungspflichten. Die Entscheidung über Meldungen in seinem Verantwortungsbereich trifft der Auftraggeber. Eine Mitteilung durch SanoAI stellt für sich genommen kein Anerkenntnis einer Pflichtverletzung oder Haftung dar. 8. Nachweise und Kontrollen SanoAI stellt dem Auftraggeber die Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus dieser AVV und Art. 28 DSGVO erforderlich sind, und ermöglicht sowie unterstützt entsprechende Kontrollen einschließlich Inspektionen. Zum Schutz des laufenden Betriebs nutzen die Parteien zunächst geeignete Dokumentationen, Auskünfte und vorhandene Prüfberichte, soweit diese den Prüfzweck erfüllen. Soweit weitere Prüfungen erforderlich sind, erfolgen sie durch den Auftraggeber oder einen von ihm beauftragten unabhängigen, fachkundigen und zur Vertraulichkeit verpflichteten Prüfer. Umfang, Ablauf und Sicherheitsmaßnahmen werden vorab abgestimmt. Regelprüfungen finden grundsätzlich während üblicher Geschäftszeiten mit mindestens zehn Werktagen Vorankündigung und nicht häufiger als einmal innerhalb von zwölf Monaten statt. Diese organisatorischen Regelungen begrenzen keine erforderlichen Kontrollen bei konkreten Anhaltspunkten für einen Verstoß, nach relevanten Datenschutzverletzungen oder auf Anforderung einer Aufsichtsbehörde. In dringenden Fällen wird die Vorankündigung angemessen verkürzt oder entfällt. Rechte von Aufsichtsbehörden bleiben unberührt. Die Prüfung beschränkt sich auf die vertragsgegenständliche Verarbeitung. Geschäftsgeheimnisse, Sicherheitsinteressen und Daten anderer Kunden sind zu schützen; SanoAI kann hierfür gleichwertige Nachweise oder angemessene Schutzvorkehrungen vorsehen, ohne den erforderlichen Nachweis zu vereiteln. Der Auftraggeber trägt die Kosten seines Prüfers. Für zusätzliche Unterstützung durch SanoAI gilt Ziffer 6; eine von SanoAI zu vertretende Pflichtverletzung begründet keine zusätzliche Vergütung für deren Aufklärung. 9. Beendigung, Rückgabe und Löschung Nach Abschluss der Verarbeitung löscht SanoAI die im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Auftraggebers zurück und löscht vorhandene Kopien, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. SanoAI stimmt die erforderlichen Abwicklungsschritte mit dem Auftraggeber ab und bestätigt die Durchführung auf Anfrage. Die lokalen Unterhaltungen und Dateien verbleiben im Verfügungsbereich des Auftraggebers. SanoAI schuldet weder die Herausgabe eines nicht vorhandenen serverseitigen Gesprächsarchivs noch die Fernlöschung von Endgeräten, eigenen Sicherungen oder unabhängig beauftragten Synchronisationsdiensten des Auftraggebers. Der Auftraggeber sichert benötigte lokale Inhalte und verwaltet deren Löschung selbst. Soweit technisch erforderliche Sicherungskopien auftragsbezogene personenbezogene Daten enthalten, werden sie bis zu ihrer Löschung gesperrt beziehungsweise von der gewöhnlichen Verarbeitung ausgeschlossen und im vereinbarten Sicherungszyklus gelöscht. Bei einer Wiederherstellung werden bestehende Löschanweisungen erneut umgesetzt. Gesetzlich aufzubewahrende Daten werden auf den erforderlichen Umfang beschränkt und ausschließlich für den jeweiligen Aufbewahrungszweck verarbeitet. Eigenständig verantwortete Vertrags- und Abrechnungsdaten richten sich nach den hierfür geltenden gesetzlichen Pflichten und Datenschutzhinweisen. 10. Haftung und Schlussbestimmungen Für die Haftung im Verhältnis der Parteien gelten die wirksam vereinbarten Haftungsregelungen des Hauptvertrags. Zwingende Haftung, insbesondere die Rechte betroffener Personen nach Art. 82 DSGVO und die gesetzliche Verantwortlichkeit gegenüber Aufsichtsbehörden, bleibt unberührt. Diese AVV erweitert den vereinbarten Leistungsumfang nicht und begründet keine verschuldensunabhängige Garantie. Änderungen und Ergänzungen dieser AVV werden in Textform vereinbart; elektronische Form genügt. Gesetzlich notwendige Anpassungen stimmen die Parteien unter Wahrung des vereinbarten Schutzniveaus ab. Es gelten das Recht und der wirksam vereinbarte Gerichtsstand des Hauptvertrags. Fehlt eine solche Vereinbarung, gilt deutsches Recht; gesetzlich zwingende Zuständigkeitsregeln bleiben unberührt. Anlage 1 — Beschreibung der Verarbeitung Gegenstand und Zweck: Bereitstellung der vereinbarten KI-Arbeitsfunktionen von Sano Work, insbesondere Bearbeitung vom Auftraggeber bereitgestellter Inhalte, Erstellung von Ergebnissen, auftragsbezogene Modellentscheidungen sowie vereinbarte Recherche-, Transkriptions- und Integrationsfunktionen. Nicht aktivierte oder nicht vereinbarte Funktionen sind nicht Gegenstand des Auftrags. Art der Verarbeitung: Entgegennahme und Übermittlung der erforderlichen Anfrageinhalte, vorübergehende Verarbeitung für Inferenz, Auswertung oder Transkription, Rückübermittlung der Ergebnisse sowie weisungsgebundener Abruf und Bearbeitung von Inhalten verbundener Dienste. Dauer und Häufigkeit richten sich nach den vom Auftraggeber ausgelösten Vorgängen und der Vertragslaufzeit. Datenarten: Je nach Nutzung Namen, Kontaktdaten, berufliche Angaben, Korrespondenz, Kalenderdaten, Dokument- und Dateiinhalte, Bild- und Audioinhalte, Transkripte sowie weitere vom Auftraggeber rechtmäßig bereitgestellte personenbezogene Inhalte. Die Verarbeitung erfolgt nur im für die angeforderte Funktion erforderlichen Umfang. Betroffene Personen: Nutzer und Beschäftigte des Auftraggebers, dessen Kunden, Interessenten und Geschäftspartner sowie Korrespondenten, Gesprächsteilnehmer und sonstige Personen, deren Daten der Auftraggeber rechtmäßig verarbeitet. Besondere Kategorien personenbezogener Daten und Daten nach Art. 10 DSGVO dürfen nur verarbeitet werden, soweit hierfür eine geeignete Rechtsgrundlage besteht und die Parteien die erforderlichen besonderen Schutzmaßnahmen und den zulässigen Funktionsumfang vorab vereinbart haben. Diese AVV allein begründet keine Freigabe für jeden sensiblen Einsatzfall. Lokale Datenhaltung: Kanonische Unterhaltungen, Dateien und lokale Schutzzuordnungen liegen im vom Nutzer bestimmten Speicherbereich. Wählt der Auftraggeber einen von einem Drittanbieter synchronisierten Ordner, verantwortet er dessen Beauftragung und Konfiguration. Die lokale Schutzfunktion betrifft die ausgewählten Eingaben; nachfolgende Werkzeugaufrufe, Bildinhalte und verbundene Dienste werden dadurch nicht pauschal anonymisiert. Anlage 2 — Technische und organisatorische Maßnahmen Datenminimierung und Trennung: Die Anwendung hält kanonische Arbeitsinhalte im nutzerbestimmten Speicherbereich. Der API-Dienst verarbeitet die für Cloud-Funktionen erforderlichen Inhalte getrennt von Konto-, Nutzungs- und Abrechnungsmetadaten. Ein serverseitiges Gesprächsarchiv ist nicht Bestandteil des Dienstes. Zugang und Berechtigungen: Geschützte API-Funktionen erfordern eine gültige Authentifizierung. Berechtigungen werden anhand der Konto- und gegebenenfalls Unternehmenszuordnung geprüft. Zugangsdaten der Anwendung werden im sicheren Anmeldespeicher des Betriebssystems verwaltet. Zugriffe auf Verarbeitungssysteme werden auf befugte Personen und erforderliche Aufgaben beschränkt. Übertragung und Empfänger: Für die Übertragung an die vorgesehenen Cloud-Schnittstellen werden verschlüsselte Verbindungen eingesetzt. Modellanfragen verwenden die für den jeweiligen Dienst freigegebenen Routen. Die Auswahl externer Dienste und deren Datenschutzpflichten werden vertraglich geregelt. Lokale Sicherheit: Unterhaltungen und Arbeitsdateien werden als nutzbare Dateien im ausgewählten Ordner gespeichert. Der Schutz ruhender lokaler Daten erfolgt durch die Sicherheitsmaßnahmen des Endgeräts und Speicherorts, insbesondere Betriebssystemberechtigungen und eine vom Auftraggeber eingerichtete Geräteverschlüsselung. Die sichere Speicherung von Zugangsdaten ist davon getrennt. Protokollierung und Diagnose: Betriebs- und Abrechnungsprozesse verwenden technische Metadaten anstelle eines Gesprächsarchivs. Optionale Produktanalyse und Fehlerdiagnose sind getrennt steuerbar. Die Fehlerdiagnose reduziert übermittelte Daten durch technische Filter; Gesprächsinhalte sind nicht Gegenstand der vorgesehenen Diagnosedaten. Organisation und Weiterentwicklung: Vertraulichkeit, geregelte Zuständigkeiten und aufgabenbezogene Zugriffsrechte schützen die Verarbeitung. Sicherheitsrelevante Änderungen werden geprüft. Maßnahmen zur Verfügbarkeit, Wiederherstellung und regelmäßigen Überprüfung werden risikogerecht für die von SanoAI betriebenen Systeme ausgestaltet. Der Auftraggeber bleibt für Sicherung und Wiederherstellung seiner lokalen Arbeitsdateien verantwortlich. Anlage 3 — Unterauftragsverarbeiter-Verzeichnis Das dem Auftraggeber vor Vertragsschluss in Textform bereitgestellte Verzeichnis bezeichnet die für seine vereinbarten Dienste eingesetzten Unterauftragsverarbeiter mit vollständiger Unternehmensbezeichnung, Leistung, Verarbeitungsort und gegebenenfalls einschlägigen Drittlandgarantien. Es umfasst die erforderlichen Infrastruktur- und Inferenzdienste sowie weitere ausdrücklich vereinbarte Funktionen. Das Verzeichnis wird mit der AVV in den Hauptvertrag einbezogen und dem Auftraggeber in speicherbarer Form zur Verfügung gestellt. Das für Ihr Angebot geltende Verzeichnis und die Vertragsunterlagen erhalten Sie unter contact@sanowork.ai. Änderungen an der genehmigten Liste richten sich nach Ziffer 5. Die bloße Auswahl einer Marke auf einer Produktseite ersetzt weder dieses Verzeichnis noch die vertragliche Genehmigung.