Vereinbarung zur Auftragsverarbeitung (AVV)

1. Vertragsparteien und Geltungsbereich

1.1 Die oben bezeichneten Parteien schließen diese AVV als Verantwortlicher nach Art. 4 Nr. 7 und Auftragsverarbeiter nach Art. 4 Nr. 8 DSGVO. Handelt der Kunde seinerseits als Auftragsverarbeiter, gelten die Pflichten entsprechend für eine weitere Auftragsverarbeitung; der Kunde stellt die erforderliche Genehmigung sicher.

1.2 Erfasst ist die serverseitige Verarbeitung von Kundenbildern über die RemBG-Webanwendung und API unter dem mit dem Auftragsverarbeiter geschlossenen Hauptvertrag. Alleiniger Vertragspartner dieser AVV ist der oben namentlich bezeichnete Anbieter von RemBG Deutschland. Arken AI LLC ist keine Vertragspartei dieser AVV. Bestehende Verträge mit dieser oder anderen Rechtspersonen werden hierdurch weder einbezogen noch auf den Auftragsverarbeiter übertragen. Rein lokale Browser-, Desktop- und CLI-Funktionen ohne Bildübermittlung sind ausgenommen.

1.3 Die eigene Konto-, Anmelde- und Vertragsverwaltung einschließlich der Zuordnung und Nachverfolgung von Abonnements, Abrechnung sowie die Durchsetzung eigener Nutzungsgrenzen und Missbrauchsabwehr erfolgen in eigener Verantwortlichkeit und richten sich nach der Datenschutzerklärung. Sie werden durch ihre technische Verbindung mit einer Bildanfrage nicht zu einer Verarbeitung auf Kundenweisung. Maßgeblich für die Rollenverteilung sind der tatsächliche Zweck und die Entscheidung über die wesentlichen Mittel der jeweiligen Verarbeitung.

1.4 „Auftragsdaten“ bezeichnet die vom Verantwortlichen übermittelten Bilddaten, zugehörigen Bearbeitungseingaben und daraus erzeugten Ergebnisse sowie technische Angaben, die ausschließlich seinem Auftrag dienen. Die Abgrenzung zu eigenen Kontodaten richtet sich nach Abschnitt 1.3 und gilt auch für Unterstützung, Auskunft, Rückgabe und Löschung nach dieser AVV.

2. Gegenstand und Dauer der Verarbeitung

2.1 Gegenstand ist die KI-gestützte Entfernung oder Veränderung von Bildhintergründen einschließlich vereinbarter Skalierung, Maskenerzeugung und Formatumwandlung. Leistungsumfang und Verarbeitung sind in Anlage 1 beschrieben.

2.2 Die AVV gilt ab ihrer Vereinbarung für die Dauer der beauftragten Leistung. Die SaaS-Bildbearbeitung erfolgt ausschließlich anfragegebunden im Arbeitsspeicher der Bildbearbeitungsanwendung, ohne persistente Ablage von Originalbildern oder Ergebnissen. Eine Speicherung für spätere Abrufe oder eine Ergebnisbibliothek ist nicht Bestandteil der Leistung. Die unmittelbare Freigabe der Originalbildpuffer und die Rückgabe des Ergebnisses richten sich nach Abschnitt 15.1. Vertraulichkeits-, Unterstützungs- und Nachweispflichten wirken fort, soweit erforderlich.

3. Art und Zweck der Verarbeitung

3.1 Der Auftragsverarbeiter verarbeitet Bildinhalte ausschließlich zur Ausführung der angeforderten Bildbearbeitung. Der technische Ablauf ist in Anlage 1 festgelegt. Sicherheitsmaßnahmen und technische Metadaten dürfen nicht zur weitergehenden inhaltlichen Auswertung der Bilder verwendet werden.

3.2 Jede unmittelbare oder mittelbare Nutzung von Kundenbildern, Masken, Ergebnissen und daraus gewonnenen Merkmalen für die Entwicklung, das Training, Nachtraining, Fine-Tuning, die Validierung, Bewertung oder Verbesserung von KI-Modellen ist ausgeschlossen. Das Verbot umfasst Originale, Ausschnitte, Kopien, abgeleitete Daten sowie anonymisierte oder pseudonymisierte Fassungen. Solche Inhalte werden weder intern noch durch Dritte in Trainings-, Benchmark-, Entwicklungs- oder Testdatensätze übernommen oder zu diesem Zweck offengelegt. Auch Protokollierung, Fehleranalyse, Support und Qualitätssicherung begründen keine Ausnahme. Zulässig bleibt allein die Ausführung bereits trainierter Modelle zur angeforderten Bildbearbeitung; dabei erfolgt kein Lernen aus Kundeninhalten. Werbung, Profilbildung und die Identifizierung abgebildeter Personen sind ebenfalls nicht Gegenstand der Leistung.

4. Kategorien personenbezogener Daten und betroffener Personen

4.1 Die Auftragsverarbeitung umfasst je nach übermitteltem Bild:

• Bildinhalte, mitübertragene Dateimetadaten und Bearbeitungsparameter;
• Masken, freigestellte Bilder und andere angeforderte Ergebnisse;
• technische Vorgangskennungen, soweit sie zur Durchführung des Kundenauftrags gehören.

4.2 Betroffen sein können abgebildete Personen, Beschäftigte, Kunden, Auftragnehmer oder sonstige Personen, deren Daten der Verantwortliche übermittelt. Aus dem Bildinhalt können auch besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sowie personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO hervorgehen. Die Auswahl und Rechtmäßigkeit der Übermittlung verantwortet der Kunde.

5. Rechte und Pflichten des Verantwortlichen

5.1 Der Verantwortliche gewährleistet Rechtsgrundlage, Informationspflichten und erforderliche Rechte an den übermittelten Daten. Er wählt geeignete Bearbeitungsparameter, schützt seine Zugangs- und API-Schlüssel und benennt Ansprechpartner für Weisungen und Sicherheitsmeldungen.

5.2 Er informiert über besondere Risiken und erkennbare Unregelmäßigkeiten, entscheidet über Betroffenenanträge und prüft die Eignung der vereinbarten Maßnahmen. Seine gesetzlichen Kontrollrechte bleiben unberührt.

5.3 Änderungen seiner Weisungen, Ansprechpartner oder mitgeteilten Risiken zeigt der Verantwortliche rechtzeitig an. Er darf die vereinbarte Verarbeitung und die Einhaltung dieser AVV vor Beginn und während der Leistung kontrollieren und bei festgestellten Mängeln Abhilfe verlangen.

6. Weisungsgebundene Verarbeitung

6.1 Verarbeitet wird ausschließlich auf dokumentierte Weisung. Diese AVV, der Hauptvertrag und die gewählten Bedien- oder API-Parameter bilden die anfänglichen Weisungen. Ergänzungen sind in Textform zu dokumentieren; mündliche Weisungen sind unverzüglich entsprechend zu bestätigen.

6.2 Verpflichtet Unionsrecht oder das Recht eines Mitgliedstaats zu einer anderen Verarbeitung, informiert der Auftragsverarbeiter vorab, soweit dies nicht aus wichtigen Gründen des öffentlichen Interesses gesetzlich untersagt ist.

6.3 Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtswidrig, informiert er den Verantwortlichen unverzüglich und setzt deren Ausführung bis zur Klärung aus. Weisungen und ihre Umsetzung werden nachvollziehbar dokumentiert.

6.4 Weisungen zu Übermittlungen, Empfängern oder einer erweiterten Nutzung von Auftragsdaten müssen ausdrücklich erteilt werden. Eine allgemeine Leistungsbuchung erlaubt keine Verwendung für eigene Zwecke. Kann eine Weisung technisch nicht umgesetzt werden, teilt der Auftragsverarbeiter dies und die verfügbaren Handlungsmöglichkeiten vor ihrer Ausführung mit.

7. Vertraulichkeit

7.1 Zur Verarbeitung befugte Personen sind vor Tätigkeitsaufnahme auf Vertraulichkeit zu verpflichten oder müssen einer entsprechenden gesetzlichen Pflicht unterliegen. Diese Pflicht besteht nach Ende der Tätigkeit fort.

7.2 Betriebliche Serverzugänge sind ausschließlich autorisierten RemBG-Ingenieuren nach dem Erforderlichkeitsprinzip vorbehalten. Berechtigungen sind regelmäßig zu prüfen und bei Wegfall zu entziehen. Die Infrastrukturleistungen von centron werden hiervon getrennt in Anlage 3 beschrieben.

8. Technische und organisatorische Maßnahmen

8.1 Der Auftragsverarbeiter trifft die Maßnahmen nach Anlage 2 und Art. 32 DSGVO. Sie berücksichtigen Stand der Technik, Implementierungskosten, Art und Umfang der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere der Risiken für Betroffene. HTTPS, der verschlüsselte Tunnel und der Verzicht auf eine persistente Bildablage in der Bildbearbeitungsanwendung begrenzen die Angriffsfläche und die zeitliche Verfügbarkeit von Bildinhalten. Die Schutzmaßnahmen erfassen auch die laufende Verarbeitung und den Schutz vor unbefugtem Zugriff während der Übertragung.

8.2 Maßnahmen sind regelmäßig und nach wesentlichen Änderungen auf Wirksamkeit zu prüfen. Anpassungen sind zulässig, sofern das vereinbarte Schutzniveau nicht sinkt; wesentliche Änderungen werden dokumentiert und dem Verantwortlichen mitgeteilt.

8.3 Erkennt der Auftragsverarbeiter, dass vereinbarte Maßnahmen nicht eingehalten werden können, informiert er den Verantwortlichen und veranlasst Abhilfe. Eine risikobehaftete Fortsetzung ist mit ihm abzustimmen; erforderlichenfalls wird die betroffene Verarbeitung bis zur Wiederherstellung eines angemessenen Schutzes ausgesetzt.

9. Einsatz von Unterauftragsverarbeitern

9.1 Mit Abschluss dieser AVV erteilt der Verantwortliche die allgemeine schriftliche Genehmigung für die in Anlage 3 ausdrücklich als Unterauftragsverarbeiter bezeichneten Unternehmen und Leistungen. Diese umfasst Cloudflare für den dort beschriebenen Tunnel- und Reverse-Proxy-Dienst. Für Hinzuziehungen oder Ersetzungen gelten die Vorabinformation und Widerspruchsmöglichkeit nach Abschnitt 9.2.

9.2 Bei allgemeiner Genehmigung informiert der Auftragsverarbeiter vor Hinzuziehung oder Ersetzung in Textform über Anbieter, Tätigkeit und Verarbeitungsort und gewährt eine angemessene Widerspruchsmöglichkeit. Bei einem ungelösten, sachlich begründeten Datenschutzwiderspruch kann die betroffene Leistung beendet werden; bis zur Klärung erfolgt keine Verarbeitung durch den beanstandeten Anbieter.

9.3 Weitere Auftragsverarbeiter sind vertraglich zu im Wesentlichen denselben Datenschutzpflichten einschließlich geeigneter Sicherheitsmaßnahmen zu verpflichten. Der Auftragsverarbeiter bleibt für deren Pflichterfüllung verantwortlich. Reine Infrastruktur- oder eigene Kontodienste sind nicht allein aufgrund ihrer Benennung in Anlage 3 für die Verarbeitung von Kundenbildern genehmigt.

9.4 Der Auftragsverarbeiter prüft die Eignung weiterer Auftragsverarbeiter vor ihrem Einsatz und während der Beauftragung. Auf Anfrage stellt er Informationen zu deren Tätigkeit und Datenschutzpflichten bereit. Vertragsnachweise dürfen zum Schutz fremder Geschäftsgeheimnisse angemessen geschwärzt werden, soweit die erforderliche Kontrolle dadurch nicht beeinträchtigt wird.

10. Übermittlung personenbezogener Daten in Drittländer

10.1 Die gesamte Bildbearbeitung einschließlich Dekodierung, Modellberechnung und Ergebniserzeugung erfolgt ausschließlich auf eigenen physischen Servern in Deutschland. Der Zugang zur API unter api.rembg.com erfolgt über Cloudflare Tunnel (cloudflared). Dieser vorgelagerte Vermittlungsdienst ist Teil der Übermittlungskette und kann eine Verarbeitung außerhalb des EWR einschließen. Die Genehmigung und Weisung des Verantwortlichen erstrecken sich auf den in Anlage 3 beschriebenen Umfang. Darüber hinausgehende Drittlandverarbeitungen einschließlich Fernzugriffen bedürfen dokumentierter Weisung oder einer gesetzlichen Verpflichtung nach Abschnitt 6.2.

10.2 Vor einer solchen Übermittlung sind die Voraussetzungen der Art. 44 bis 49 DSGVO nachzuweisen, erforderlichenfalls durch Standarddatenschutzklauseln, Transferprüfung und ergänzende Maßnahmen. Diese AVV ersetzt keine Transfergrundlage.

10.3 Für betroffene UK-Geschäftskunden gelten die entsprechenden Pflichten der UK GDPR einschließlich anwendbarer britischer Übermittlungsmechanismen. Die getrennte Verarbeitung eigener Konto- und Anmeldedaten ist in der Datenschutzerklärung beschrieben.

10.4 Davon getrennt werden Firebase-Dienste für die eigene Authentifizierung, Nutzungsbegrenzung (Rate-Limiting) und Verwaltung des Abonnementstatus eingesetzt. Hierfür werden Konto-, Anmelde-, Nutzungs- und Abonnementdaten, nicht jedoch Kundenbilder, Masken oder Bildbearbeitungsergebnisse verarbeitet. Je nach Dienst und Kontovertrag kann diese Verarbeitung außerhalb Deutschlands oder des EWR erfolgen. Für diese eigenen Zwecke gelten die Datenschutzerklärung und die einschlägigen Verträge und Übermittlungsgarantien mit Google; eine Genehmigung zur Verarbeitung von Bildinhalten durch Firebase wird damit nicht erteilt.

11. Unterstützung bei Betroffenenrechten

11.1 Der Auftragsverarbeiter unterstützt unter Berücksichtigung der Verarbeitungsart und der verfügbaren Möglichkeiten bei Anträgen nach Kapitel III DSGVO. Direkt eingehende, zuordenbare Anträge leitet er unverzüglich weiter und beantwortet sie nur auf Weisung oder aufgrund gesetzlicher Pflicht.

11.2 Die Unterstützung nutzt verfügbare Vorgangsinformationen und vermeidet eine erneute Erhebung von Bildinhalten allein zur Zuordnung. Es besteht keine Pflicht, zusätzliche Bildbestände zur späteren Beantwortung von Anträgen anzulegen.

11.3 Weisungen zu Auskunft, Berichtigung, Einschränkung, Datenübertragbarkeit und Löschung werden im Rahmen der tatsächlich vorhandenen Auftragsdaten umgesetzt. Ist eine Zuordnung oder Maßnahme nicht möglich, werden der Grund und die verfügbaren Informationen mitgeteilt. Die Verantwortung für die fristgerechte Antwort an Betroffene verbleibt beim Verantwortlichen.

12. Meldung von Datenschutzverletzungen

12.1 Nach Bekanntwerden einer Verletzung des Schutzes von Auftragsdaten informiert der Auftragsverarbeiter den benannten Kundenkontakt unverzüglich. Die Meldung beschreibt Art und Umfang, betroffene Daten und Personen, mögliche Folgen, Abhilfemaßnahmen und einen Rückfragekontakt, soweit diese Informationen verfügbar sind. Ergänzungen folgen ohne unangemessene Verzögerung.

12.2 Er dokumentiert und untersucht den Vorfall, wirkt an Eindämmung und Abhilfe mit und unterstützt die Pflichten nach Art. 33 und 34 DSGVO. Eine eigene Information von Behörden oder Betroffenen erfolgt nur auf Weisung oder gesetzlicher Grundlage.

12.3 Die Erstmeldung wird nicht bis zum Abschluss der Untersuchung zurückgestellt. Der Auftragsverarbeiter hält den Verantwortlichen über wesentliche Erkenntnisse und die Wirksamkeit der Abhilfe auf dem Laufenden. Zur Aufklärung werden nur die erforderlichen Informationen verwendet; eine zusätzliche Sammlung von Kundenbildern ist damit nicht erlaubt.

13. Unterstützung bei Datenschutz-Folgenabschätzungen

13.1 Der Auftragsverarbeiter unterstützt unter Berücksichtigung der Verarbeitungsart und verfügbarer Informationen bei Art. 32 bis 36 DSGVO, insbesondere Folgenabschätzungen und vorherigen Konsultationen. Er stellt dafür Angaben zum Datenfluss, zu Maßnahmen und eingesetzten Dienstleistern bereit; die Bewertung und Entscheidung verbleiben beim Verantwortlichen.

14. Nachweise, Kontrollen und Audits

14.1 Der Auftragsverarbeiter stellt alle zur Prüfung der Einhaltung von Art. 28 DSGVO erforderlichen Informationen bereit und ermöglicht sowie unterstützt Audits einschließlich Inspektionen durch den Verantwortlichen oder dessen beauftragten Prüfer.

14.2 Umfang, Zeitpunkt und Sicherheitsvorkehrungen werden angemessen abgestimmt. Vertraulichkeit, Rechte anderer Kunden und Betriebsabläufe sind zu schützen. Bei dringendem Anlass oder behördlichen Anforderungen dürfen Abstimmungen die wirksame und rechtzeitige Prüfung nicht verhindern.

14.3 Dokumente und Prüfberichte können Kontrollen ergänzen. Sie ersetzen eine erforderliche Inspektion nicht einseitig; gesetzliche Kontroll- und behördliche Zugangsrechte bleiben uneingeschränkt. Kostenregelungen dürfen diese Rechte nicht praktisch vereiteln.

15. Löschung und Rückgabe personenbezogener Daten

15.1 Das Originalbild wird nur für die laufende Bildbearbeitung in flüchtigen Anwendungspuffern vorgehalten. Unmittelbar nach Abschluss der Bildbearbeitung werden die zugehörigen Originalbildpuffer und Anwendungsreferenzen freigegeben; eine anschließende Aufbewahrung oder erneute Nutzung findet nicht statt. Das Ergebnis wird unmittelbar in der Antwort auf die Anfrage zurückgegeben; die Ergebnispuffer werden nach Abschluss der Übertragung freigegeben. Bei einem Abbruch werden die zur Anfrage gehörenden Bildpuffer unverzüglich freigegeben. Diese Freigabe beendet die Nutzung durch die Anwendung; sie ist keine Zusage, dass das Laufzeitsystem jede physische Speicherzelle sofort sicher überschreibt.

15.2 Nach Abschluss der Leistung sind etwa noch vorhandene Auftragsdaten nach Wahl des Verantwortlichen zurückzugeben oder zu löschen und vorhandene Kopien zu löschen, soweit keine gesetzliche Aufbewahrung vorgeschrieben ist. Eine solche Pflicht wird mit Zweck und Dauer mitgeteilt; betroffene Daten bleiben geschützt und zweckgebunden. Die Umsetzung wird auf Anfrage bestätigt.

15.3 Eine nachträgliche Rückgabe setzt voraus, dass betreffende Auftragsdaten tatsächlich noch vorliegen; eine bereits ausgegebene Antwort begründet keine Archivierungsleistung. Gesetzlich erforderliche Restbestände dürfen nach Wegfall ihres Aufbewahrungsgrundes nicht weiter vorgehalten werden. Eigene Vertrags- und Kontounterlagen bleiben von der Rückgabe der Kundenbilder getrennt.

16. Vertragsdauer, Vertragsende und Schlussbestimmungen

16.1 Die jeweils freigegebene Fassung einschließlich ihrer Anlagen kann elektronisch oder durch individuelle Vereinbarung abgeschlossen werden. Wird sie im Registrierungs- oder Anmeldeablauf ausdrücklich verlinkt und zur Annahme angeboten, kann der Geschäftskunde sie durch Fortsetzen nach diesem Hinweis annehmen. Ein bloßer Seitenaufruf, eine Zahlung oder eine frühere Registrierung ohne diesen Hinweis begründen keine rückwirkende Annahme. Die AVV endet mit vollständiger Beendigung der beauftragten Verarbeitung; fortwirkende Pflichten bleiben bestehen.

16.2 Bei Datenschutzwidersprüchen zum Hauptvertrag hat diese AVV Vorrang. Änderungen bedürfen mindestens der Textform; Abschnitt 8.2 bleibt unberührt. Im Übrigen gelten der Hauptvertrag und zwingendes Datenschutzrecht. Die Unwirksamkeit einzelner Bestimmungen berührt die übrige Vereinbarung nicht.

16.3 Bei erheblichen Verstößen gegen diese AVV kann der Verantwortliche die Verarbeitung aussetzen und Abhilfe verlangen. Wird ein wesentlicher Mangel nicht innerhalb angemessener Frist behoben oder ist eine rechtmäßige Fortsetzung nicht möglich, kann er die betroffene Leistung aus wichtigem Grund beenden. Weitergehende gesetzliche Rechte bleiben bestehen.