Version: 23.10.2026
mellan
Kunden – nedan kallad ”den personuppgiftsansvarige” –
den kund som anges i kundkontot eller i beställningen
och
Sat-iTec – nedan kallad ”personuppgiftsbiträdet” –
Sat-iTec Systemhaus GmbH Heisinger Straße 21, 87437 Kempten (Allgäu) företrädd av Günther Löb (verkställande direktör)
– gemensamt ”parterna” –
Personuppgiftsbiträdet tillhandahåller tjänster åt den personuppgiftsansvarige via plattformen ”ChatiTec” (GDPR-kompatibel AI-/LLM-plattform, driftad i Tyskland, datacenter i Augsburg). Inom ramen för dessa tjänster behandlar personuppgiftsbiträdet personuppgifter för den personuppgiftsansvariges räkning och enligt dennes instruktioner. Detta avtal preciserar parternas dataskyddsrättsliga skyldigheter enligt art. 28 GDPR. Det gäller som komplement till det underliggande huvudavtalet (användaravtal/allmänna villkor).
(1) Föremålet för behandlingen är tillhandahållande och drift av plattformen ChatiTec, inklusive AI-/LLM-behandling av inmatat innehåll som överförs av den personuppgiftsansvarige eller dennes användare.
(2) Behandlingens art omfattar särskilt: insamling, registrering, lagring, läsning, användning, anonymisering/pseudonymisering (PII-tokenisering), överföring (till externa underbiträden endast i anonymiserad form), radering och förstöring.
(3) Ändamålet med behandlingen är tillhandahållandet av de avtalade plattforms- och AI-tjänsterna.
(4) Kategorier av registrerade: särskilt den personuppgiftsansvariges klienter/patienter, deras företrädare och tredje parter, den personuppgiftsansvariges anställda och användare samt övriga personer som nämns i det inmatade innehållet.
(5) Kategorier av personuppgifter: grunduppgifter, kontaktuppgifter, innehållsdata i inmatningarna (promptar/dokument) samt i förekommande fall särskilda kategorier av personuppgifter enligt art. 9 GDPR (särskilt uppgifter om hälsa) och uppgifter som omfattas av yrkesmässig tystnadsplikt (jfr det separata tilläggsavtalet om skydd för yrkesmässig tystnadsplikt).
(6) Varaktighet: Behandlingen sker under huvudavtalets löptid. Detta PUB-avtal upphör automatiskt när huvudavtalet upphör, utan att det påverkar kvarstående skyldigheter (särskilt § 9, § 10).
(1) Personuppgiftsbiträdet behandlar personuppgifter endast på dokumenterade instruktioner från den personuppgiftsansvarige, inbegripet när det gäller överföringar till tredjeland, om inte personuppgiftsbiträdet är skyldigt att göra det enligt unionsrätten eller en medlemsstats nationella rätt som personuppgiftsbiträdet omfattas av (art. 28.3 a GDPR). I ett sådant fall ska personuppgiftsbiträdet informera den personuppgiftsansvarige om det rättsliga kravet innan uppgifterna behandlas, såvida sådan information inte är förbjuden med hänvisning till ett viktigt allmänintresse enligt den rätten.
(2) Tillhandahållandet av de avtalade standardtjänsterna via plattformen anses utgöra en dokumenterad instruktion. Enskilda instruktioner lämnas i textform; muntliga instruktioner ska utan onödigt dröjsmål bekräftas i textform.
(3) Personuppgiftsbiträdet ska utan onödigt dröjsmål informera den personuppgiftsansvarige om det anser att en instruktion strider mot GDPR eller andra dataskyddsbestämmelser (art. 28.3 tredje meningen GDPR). Personuppgiftsbiträdet har rätt att skjuta upp genomförandet av den aktuella instruktionen till dess att den bekräftats eller ändrats.
(1) Personuppgiftsbiträdet säkerställer att de personer som har behörighet att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt (art. 28.3 b GDPR).
(2) Personuppgiftsbiträdet förpliktar dessutom de anställda som anlitas att iaktta tystnadsplikt avseende personuppgifter samt – i tillämpliga fall – att skydda yrkeshemligheter (§ 203 StGB [tyska brottsbalken]; jfr det separata tilläggsavtalet om skydd för yrkesmässig tystnadsplikt).
(3) Dessa skyldigheter kvarstår även efter avtalets upphörande.
(1) Personuppgiftsbiträdet vidtar de tekniska och organisatoriska åtgärder som krävs enligt art. 32 GDPR för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken. De vidtagna åtgärderna beskrivs i bilaga 1 (Tekniska och organisatoriska åtgärder), som utgör en del av detta avtal.
(2) TOM är föremål för den tekniska utvecklingen. Personuppgiftsbiträdet har rätt att vidareutveckla dem, förutsatt att den avtalade skyddsnivån inte underskrids. Väsentliga ändringar ska meddelas den personuppgiftsansvarige.
(1) Den personuppgiftsansvarige ger personuppgiftsbiträdet ett allmänt skriftligt förhandstillstånd att anlita andra personuppgiftsbiträden (underbiträden). De underbiträden som anlitas vid tidpunkten för avtalets ingående anges uttömmande i bilaga 2 (Förteckning över underbiträden).
(2) Personuppgiftsbiträdet ska i god tid i förväg och i textform informera den personuppgiftsansvarige om planerade förändringar avseende tillägg eller ersättning av underbiträden. Den personuppgiftsansvarige kan inom 14 dagar invända mot förändringen av ett viktigt dataskyddsrättsligt skäl (art. 28.2 GDPR).
(3) Personuppgiftsbiträdet ålägger genom avtal varje underbiträde samma skyldigheter i fråga om dataskydd som fastställs i detta avtal (art. 28.4 GDPR), särskilt att ge tillräckliga garantier om att genomföra lämpliga tekniska och organisatoriska åtgärder. Om underbiträdet inte fullgör sina skyldigheter i fråga om dataskydd ska personuppgiftsbiträdet vara fullt ansvarigt gentemot den personuppgiftsansvarige för utförandet av dessa skyldigheter.
(4) Överföring till externa AI-leverantörer (underbiträden) sker uteslutande i anonymiserad form (PII-tokenisering, påtvingad som standard). Vid användning av enbart lokala modeller anlitas inga externa underbiträden.
(1) Med beaktande av behandlingens art bistår personuppgiftsbiträdet den personuppgiftsansvarige genom lämpliga tekniska och organisatoriska åtgärder med att fullgöra dennes skyldighet att svara på begäran om utövande av de registrerades rättigheter (art. 12–23 GDPR; art. 28.3 e GDPR).
(2) Med beaktande av typen av behandling och den information som personuppgiftsbiträdet har att tillgå bistår personuppgiftsbiträdet den personuppgiftsansvarige med att se till att skyldigheterna enligt art. 32–36 GDPR fullgörs (säkerhet i samband med behandlingen, anmälan av personuppgiftsincidenter, konsekvensbedömning avseende dataskydd, förhandssamråd; art. 28.3 f GDPR).
(3) Om en registrerad vänder sig direkt till personuppgiftsbiträdet ska detta utan onödigt dröjsmål vidarebefordra ärendet till den personuppgiftsansvarige.
(1) Personuppgiftsbiträdet ska i textform underrätta den personuppgiftsansvarige om varje personuppgiftsincident som kommit till dess kännedom utan onödigt dröjsmål, dock senast inom 24 timmar efter att ha fått vetskap om den.
(2) Anmälan ska, i den mån de finns tillgängliga, innehålla minst de uppgifter som anges i art. 33.3 GDPR (incidentens art, kategorier av och ungefärligt antal registrerade och registerposter som berörs, sannolika konsekvenser, vidtagna/föreslagna åtgärder, kontaktpunkt).
(3) Anmälan till behörig tillsynsmyndighet (art. 33 GDPR) och i förekommande fall information till de registrerade (art. 34 GDPR) åligger den personuppgiftsansvarige. Personuppgiftsbiträdet bistår denne härvid i skälig omfattning.
(1) Personuppgiftsbiträdet ger den personuppgiftsansvarige tillgång till all information som krävs för att visa att de skyldigheter som fastställs i art. 28 GDPR har fullgjorts (art. 28.3 h GDPR).
(2) Personuppgiftsbiträdet möjliggör och bidrar till granskningar, inbegripet inspektioner, som genomförs av den personuppgiftsansvarige eller av en annan granskare som bemyndigats av den personuppgiftsansvarige. Bevis kan även lämnas genom lämpliga certifieringar, aktuella intyg eller revisionsrapporter från erkända organ.
(3) Kontroller på plats sker efter avisering i god tid (frist: 14 dagar i förväg), under normal kontorstid, utan att störa verksamheten och med iakttagande av sekretess- och säkerhetsintressen samt tredje parters rättigheter (särskilt andra kunders rättigheter och yrkeshemligheter). Kostnaderna för en kontroll som initierats av den personuppgiftsansvarige bärs – om inte annat avtalats – av den personuppgiftsansvarige, såvida det inte fastställs att personuppgiftsbiträdet har begått en överträdelse.
(1) Efter det att tillhandahållandet av behandlingstjänsterna har avslutats ska personuppgiftsbiträdet, beroende på vad den personuppgiftsansvarige väljer, radera alla personuppgifter eller återlämna dem och radera befintliga kopior, såvida inte lagring av personuppgifterna krävs enligt unionsrätten eller medlemsstaternas nationella rätt (art. 28.3 g GDPR).
(2) Återlämnandet sker i ett vanligt förekommande, maskinläsbart format (t.ex. JSON, Markdown eller PDF). Raderingen bekräftas på begäran i textform.
(3) Lokalt lagrade, Fernet-krypterade mappningsdata från PII-tokeniseringen förstörs också i samband med raderingen.
(1) För parternas ansvar gäller art. 82 GDPR. I övrigt gäller huvudavtalets ansvarsbestämmelser, i den mån dessa är förenliga med tvingande dataskyddsrätt.
(2) Den personuppgiftsansvarige ansvarar för att behandlingen är tillåten och för att de registrerades rättigheter tillvaratas. I förhållandet mellan parterna ska vardera parten hålla den andra skadeslös för anspråk som grundar sig på en pliktöverträdelse som den förstnämnda parten ansvarar för.
(1) Vid motstridigheter mellan detta PUB-avtal och huvudavtalet har bestämmelserna i detta PUB-avtal företräde i dataskyddsrättsligt hänseende.
(2) Ändringar och tillägg kräver textform. Detta gäller även för upphävande av detta formkrav.
(3) Om en bestämmelse är ogiltig påverkas inte giltigheten av övriga bestämmelser. Parterna ska ersätta den ogiltiga bestämmelsen med en giltig bestämmelse som ligger närmast det ekonomiska syftet.
(4) Förbundsrepubliken Tysklands lag är tillämplig. Behörig domstol är – i den mån det är tillåtet – Kempten (Allgäu).
(5) Bilagor:
Avtalets ingående: Detta avtal ingås i elektroniskt format (art. 28.9 GDPR) genom att den personuppgiftsansvarige uttryckligen godkänner det vid registrering eller beställning; tidpunkt och version för godkännandet loggas. Någon separat underskrift krävs inte. På begäran tillhandahåller Sat-iTec en version undertecknad av båda parter.
Version: 23.10.2026
Den tyska versionen av detta avtal är juridiskt bindande; översättningar tillhandahålls endast för information.