Rechtliches
Vereinbarung zur Auftragsverarbeitung
Auftragsverarbeitung gemäß Art. 28 DSGVO für die Nutzung der cloudbasierten Software JJO-Labs Business Suite. Stand: Juli 2026. Diese Vereinbarung erfüllt die Mindestanforderungen an einen Auftragsverarbeitungsvertrag; eine gesonderte PDF-Fassung mit Anlagen stellen wir auf Wunsch bereit.
1. Gegenstand und Dauer
(1) Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Nutzung der Software „JJO-Labs Business Suite“ (SaaS).
(2) Gegenstand sind insbesondere die vom Kunden in die Plattform eingegebenen Unternehmens-, Nutzer-, Projekt- und Personaldaten, soweit diese personenbezogene Daten im Sinne der DSGVO enthalten.
(3) Die Vereinbarung gilt für die Dauer des SaaS-Vertrags zwischen den Parteien und endet mit dessen Beendigung, vorbehaltlich gesetzlicher Aufbewahrungspflichten.
2. Vertragsparteien
Verantwortlicher (Kunde): Das Unternehmen, das den SaaS-Vertrag mit JJO-Labs geschlossen hat und die Plattform für eigene betriebliche Zwecke nutzt.
Auftragsverarbeiter:
JJO-Labs · Jan Jonas, Einzelunternehmen
Pemöllers Weg 20
22941 Delingsdorf
Deutschland
E-Mail: kontakt@jjo-labs.de
Telefon: +49 (0) 173 7846148
Ergänzend gelten die AGB (insbesondere § 12) und die Datenschutzerklärung.
3. Art und Zweck der Verarbeitung
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen zum Zweck der Bereitstellung und des Betriebs der vereinbarten Softwarefunktionen (z. B. Aufgaben, Zeiterfassung, Kundenverwaltung, Auswertungen).
Soweit der Verantwortliche KI-gestützte Funktionen der Plattform (Assistent „Jay-Jay-O") aktiviert, werden die vom Nutzer eingegebenen Inhalte zur Erzeugung von Textvorschlägen, Zusammenfassungen oder Auswertungen an die API von OpenAI, LLC (USA) übermittelt. Die Verarbeitung erfolgt ausschließlich im Auftrag und nach Weisung des Verantwortlichen; eine eigenständige Nutzung der übermittelten Daten durch OpenAI findet im Rahmen der API-Nutzung nicht statt.
Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters (z. B. Werbung, Profilbildung) findet nicht statt.
4. Kategorien betroffener Personen und Daten
Typischerweise betroffen sind:
- Mitarbeiter und Nutzer des Kunden,
- Kontaktpersonen von Kunden, Lieferanten und Geschäftspartnern des Kunden,
- sonstige Personen, deren Daten der Kunde in die Plattform eingibt.
Verarbeitete Datenarten können u. a. sein: Name, Kontaktdaten, Rollen/Berechtigungen, Zeiterfassungs- und Aufgabendaten, Kunden- und Projektdaten, Kommunikationsinhalte – jeweils abhängig von der vom Kunden genutzten Konfiguration.
Bei Nutzung der KI-Funktionen (Jay-Jay-O) werden zusätzlich die vom Nutzer in das KI-Eingabefeld eingegebenen Inhalte verarbeitet (z. B. Freitexte, Aufgabenbeschreibungen, Zusammenfassungsanfragen). Personaldaten, Zeiterfassungsdaten oder andere Plattformdaten werden nicht automatisch an den KI-Dienst übermittelt.
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung.
5. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet sich insbesondere:
- personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten,
- Vertraulichkeit sicherzustellen und nur befugtes Personal einzusetzen,
- angemessene technische und organisatorische Maßnahmen (TOMs) zum Schutz der Daten umzusetzen,
- den Verantwortlichen bei Anfragen betroffener Personen und bei Datenschutz-Folgenabschätzungen soweit möglich zu unterstützen,
- Datenpanne unverzüglich nach Kenntnis zu melden,
- nach Vertragsende die Daten nach Weisung des Verantwortlichen zu löschen oder zurückzugeben, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
6. Pflichten des Verantwortlichen
Der Verantwortliche stellt sicher, dass die Verarbeitung in der Plattform rechtmäßig ist, erforderliche Einwilligungen und Informationspflichten gegenüber betroffenen Personen erfüllt werden und Weisungen an den Auftragsverarbeiter rechtskonform erteilt werden.
7. Unterauftragsverarbeiter
(1) Der Verantwortliche erteilt hiermit die Genehmigung zum Einsatz folgender Unterauftragsverarbeiter, soweit diese für Hosting und Betrieb erforderlich sind:
ALL-INKL.COM – Neue Medien Münnich
Inhaber: René Münnich
Hauptstraße 68, 02742 Friedersdorf, Deutschland
(Webhosting, Serverbetrieb)
OpenAI, L.L.C.
3180 18th Street, San Francisco, CA 94110, USA
(KI-gestützte Funktionen via Sprachmodell-API: Textvorschläge, Zusammenfassungen, Auswertungen, Chat-Assistent „Jay-Jay-O" – ausschließlich bei aktivierter KI-Funktion)
Die Übermittlung an OpenAI in die USA erfolgt auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) sowie ergänzenden technischen und organisatorischen Maßnahmen (verschlüsselte Übertragung, Minimierung der übermittelten Daten). Mit OpenAI besteht ein Data Processing Addendum (Auftragsverarbeitungsvertrag), das die Anforderungen der DSGVO abbildet. Bei API-Nutzung speichert OpenAI die übermittelten Daten nicht dauerhaft und verwendet sie nicht zum Training eigener Modelle (Speicherung nur für vertraglich vereinbarte Missbrauchserkennung, maximal 30 Tage).
(2) Der Auftragsverarbeiter informiert den Verantwortlichen über geplante Änderungen bei Unterauftragsverarbeitern in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen.
8. Technische und organisatorische Maßnahmen (TOMs)
Der Auftragsverarbeiter setzt u. a. folgende Maßnahmen ein (nicht abschließend):
- HTTPS-Verschlüsselung bei Datenübertragung,
- Zugangsbeschränkungen auf Server und Anwendung,
- rollenbasierte Berechtigungen in der Plattform,
- regelmäßige Sicherheitsupdates,
- Backups und Wiederherstellungskonzepte,
- Spam- und Missbrauchsschutz bei öffentlichen Formularen.
Für die KI-Funktionen (Jay-Jay-O) gelten ergänzend:
- Übermittlung an OpenAI ausschließlich über verschlüsselte API-Verbindungen (TLS),
- keine dauerhafte Speicherung der übermittelten Inhalte durch OpenAI (Zero Data Retention bei API-Nutzung),
- keine Verwendung der Daten zum Training von KI-Modellen durch OpenAI,
- KI-Funktionen vom Verantwortlichen jederzeit deaktivierbar – ohne Aktivierung findet keine Übermittlung statt,
- KI-Ausgaben sind in der Plattform als maschinell generiert gekennzeichnet.
Auf Anfrage stellt der Auftragsverarbeiter eine nähere Beschreibung der TOMs in Textform bereit.
9. Kontrollrechte
Der Verantwortliche ist berechtigt, die Einhaltung dieser Vereinbarung in zumutbarem Umfang zu überprüfen. Der Auftragsverarbeiter stellt hierfür die erforderlichen Informationen bereit und ermöglicht – nach vorheriger Ankündigung und in angemessenem Rahmen – Nachweise.
10. Löschung und Rückgabe von Daten
Nach Beendigung des SaaS-Vertrags exportiert der Kunde seine Daten innerhalb der in den AGB § 8 genannten Frist. Anschließend löscht der Auftragsverarbeiter die Daten des Mandanten, sofern der Verantwortliche keine abweichende Weisung erteilt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
11. Schlussbestimmungen
(1) Änderungen dieser Vereinbarung bedürfen der Textform.
(2) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
(3) Es gilt deutsches Recht. Gerichtsstand richtet sich nach den AGB, sofern zulässig.
(4) Mit Vertragsschluss über die Business Suite gilt diese Vereinbarung als akzeptiert. Auf Wunsch senden wir eine PDF- oder Textform-Version an kontakt@jjo-labs.de.