RateLoop-Auftragsverarbeitungsvereinbarung

Fassung: September 2026

Diese Auftragsverarbeitungsvereinbarung („AVV“) ist Bestandteil der Vereinbarung zwischen dem Geschäftskunden („Kunde“) und der Hawig Ventures UG (haftungsbeschränkt), Herzogin-Juliana-Straße 7, 55469 Simmern, Deutschland („RateLoop“), wenn RateLoop personenbezogene Kundendaten im Auftrag des Kunden verarbeitet. Sie soll Artikel 28 DSGVO erfüllen. Enthält ein unterzeichnetes Bestellformular abweichende Datenschutzbedingungen, ist dieses maßgeblich.

1. Rollen und Geltungsbereich

Der Kunde ist Verantwortlicher und RateLoop Auftragsverarbeiter für personenbezogene Kundendaten, die in einen privaten Workspace, ein Projekt, eine Bewertung, eine Prüfergruppe oder eine kundengesteuerte Integration übermittelt und ausschließlich nach Kundenweisung zur Diensterbringung verarbeitet werden. Jede Partei bleibt für die Bestimmung ihrer tatsächlichen Rolle verantwortlich. RateLoop handelt als eigenständiger Verantwortlicher für Kontosicherheit, Abrechnung, Betrugsprävention, gesetzliche Pflichten und dokumentierten Dienstbetrieb.

2. Einzelheiten der Verarbeitung

Gegenstand und Zweck: Hosting und Schutz privaten Prüfmaterials; Verwaltung des Zugangs zu Workspaces und für Prüfende; Einholung verblindeter menschlicher Antworten und, wenn gesondert aktiviert, beratender KI-Bewertungen; Textgenerierung durch Chat oder die vom Eigentümer erlaubte API und Versand geprüfter Nachrichten auf Anforderung; Erstellung angeforderter Nachweise und Exporte sowie Support, Löschung, Ausfallsicherheit und Vorfallbearbeitung.
Dauer: für die Dienstlaufzeit und danach nur für die konfigurierte Aufbewahrungsfrist, Löschabgleiche, Sicherungen, aktive rechtliche Aufbewahrung oder dokumentierte gesetzliche Pflichten.
Betroffene Personen: Personal, Beauftragte und Auftragnehmer des Kunden; vom Kunden eingeladene Prüfende; sowie Personen, deren Daten der Kunde rechtmäßig in Material aufnimmt.
Datenarten: Konto- und geschäftliche Kontaktdaten, Rollen im Workspace, eingereichte Texte und Medien, Kriterien und Anweisungen, Antworten und Begründungen der Prüfenden, optionale KI-Bewertungen und Lernbeispiele, Chat- und API-Eingaben, Nachrichten und Systemanweisungen, generierte Entwürfe und Versandangaben, Zuweisungs- und Zugriffsprotokolle, Audit- und Sicherheitsmetadaten sowie Support- oder Löschanweisungen.
Sensible Daten: Der Dienst ist nicht für Geheimnisse, Zugangsdaten, besondere Datenkategorien, Straftatendaten oder Daten von Kindern bestimmt, sofern die Parteien nicht zuvor schriftliche Weisungen und angemessene Schutzmaßnahmen vereinbaren.

3. Dokumentierte Weisungen

RateLoop verarbeitet personenbezogene Kundendaten nur auf dokumentierte Weisung, einschließlich Vereinbarung, konfigurierter Workspace-Kontrollen, autorisierter API-Aufrufe, Supportanfragen und rechtmäßiger Lösch- oder Exportanfragen. RateLoop informiert den Kunden vor einer nach Unionsrecht oder dem Recht eines Mitgliedstaats erforderlichen Verarbeitung, sofern die Mitteilung nicht untersagt ist. RateLoop weist unverzüglich auf nach seiner Auffassung rechtswidrige Weisungen hin und darf sie bis zur Klärung aussetzen.

4. Vertraulichkeit und Sicherheit

RateLoop beschränkt Zugriff auf Personal und Auftragnehmer, die ihn zur Erbringung oder zum Schutz des Dienstes benötigen und zur Vertraulichkeit verpflichtet sind. RateLoop unterhält risikogerechte Maßnahmen: mandanten- und projektbezogene Berechtigungen, kurzlebige Prüferzugriffe, verblindete Zuweisungen, Transportverschlüsselung, zweckgetrennte authentifizierte Verschlüsselung bestimmter privater Felder und Objekte, ausschließlich serverseitige Schlüssel, gehashte Sitzungsdaten, Zugriffs- und Integritätsprotokolle, Abhängigkeits- und Quellcodekontrollen, dokumentierte Sicherungs- und Löschverfahren sowie Vorfallreaktion. Anlage 1 nennt den heutigen Nachweisstand und dessen Grenzen. RateLoop darf Maßnahmen aktualisieren, ohne das Gesamtschutzniveau wesentlich zu senken.

RateLoop trainiert standardmäßig nicht mit personenbezogenen Kundendaten oder Ausgabetexten des Kunden. Die optionale Bewertungs-KI übermittelt autorisiertes Prüfmaterial aus dem Workspace-Speicher erst nach einer Inferenzfreigabe des Kunden an einen von RateLoop betriebenen Evaluator, gehostet auf Railway in Amsterdam oder auf einem verbundenen Gerät. Training erfordert eine gesonderte Lernfreigabe und geeignete Beispiele mit gültiger Einwilligung; die Inferenzfreigabe allein erlaubt kein Training. Der Ablauf der Bewertungs-KI sendet dieses Material nicht an einen externen Modellanbieter.

Wenn berechtigte Nutzer eines Workspaces gehosteten Chat wählen oder ein Agent die vom Eigentümer erlaubte Generierungs-API nutzt, sendet RateLoop die übermittelten Eingaben, Nachrichten und Systemanweisungen an Vercel AI Gateway und den vom Gateway gewählten Modellanbieter, um mit dem konfigurierten OpenAI-Modell Text zu erzeugen. Chat enthält ausgewählte Teile des Gesprächsverlaufs. Dieser externe Generierungsweg ist von der Bewertungs-KI getrennt. Anbieterrollen, Verarbeitungsorte, Aufbewahrung, Trainingseinschränkungen und Transfergarantien hängen von der tatsächlichen Routing-Konfiguration und den Vereinbarungen ab; die Region des Webhostings belegt diese nicht. Die Alpha bleibt auf öffentliche, synthetische oder sicher geschwärzte Inhalte beschränkt.

Optionale Online-Quellenprüfungen senden die ausgewählte Antwort und ihren Prüfkontext über Vercel AI Gateway an das konfigurierte OpenAI-Modell und dessen Websuche, erst nach ausdrücklicher Erlaubnis. Diese Funktion ist bei lokalen Entwürfen oder lokalen Bewertungen nicht verfügbar. Berichte werden mit dem Chat gespeichert und unterliegen dessen Zugriffs- und Löschkontrollen. Die Beschränkung der Alpha auf öffentliche, synthetische oder sicher geschwärzte Inhalte gilt weiterhin.

5. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine schriftliche Genehmigung für die Unterauftragsverarbeiter auf der Liste der Unterauftragsverarbeiter von RateLoop. RateLoop verpflichtet sie für die betreffende Verarbeitung zu mindestens ebenso schützenden Datenschutzpflichten und bleibt nach Artikel 28 Absatz 4 DSGVO verantwortlich. Aufnahme oder Ersetzung werden mindestens 30 Tage vorher angekündigt. Der Kunde kann binnen 14 Tagen aus angemessenen Datenschutzgründen widersprechen. Die Parteien suchen nach Treu und Glauben eine angemessene Alternative; fehlt sie, kann jede Partei den betroffenen Dienst beenden, ohne dass der Kunde den neuen Unterauftragsverarbeiter akzeptieren muss.

6. Unterstützung und Anträge betroffener Personen

Unter Berücksichtigung der Verarbeitung unterstützt RateLoop den Kunden angemessen mit technischen und organisatorischen Maßnahmen bei Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit und Widerspruch. Anträge zu Kundendaten werden an den Kunden verwiesen, sofern RateLoop nicht antworten darf oder muss. Der Kunde entscheidet und erteilt rechtmäßige Weisungen. RateLoop unterstützt außerdem angemessen bei Sicherheitsobliegenheiten, Verletzungsmeldungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation nach Artikeln 32–36 DSGVO.

7. Verletzungen des Schutzes personenbezogener Daten

RateLoop benachrichtigt den Kunden unverzüglich und spätestens 48 Stunden nach Bekanntwerden einer Verletzung personenbezogener Kundendaten. RateLoop stellt verfügbare Informationen über Art, betroffene Kategorien und Größenordnung, wahrscheinliche Folgen, Abhilfe und Kontaktstelle bereit und ergänzt sie im Untersuchungsverlauf. Die Mitteilung ist kein Schuldeingeständnis. Der Kunde bleibt für Meldungen verantwortlich, für die er Verantwortlicher ist.

8. Rückgabe, Löschung und Aufbewahrung

Nach Wahl des Kunden und im Rahmen der Produktmöglichkeiten stellt RateLoop einen verfügbaren Export bereit und löscht oder anonymisiert personenbezogene Kundendaten nach Vertragsende. Die Löschung kann während des Abgleichs privater Objekte, Auftragsverarbeiterkopien und Sicherungen noch laufen. RateLoop darf unions- oder mitgliedstaatlich vorgeschriebene Unterlagen, rechtmäßig gesperrte Daten und Prüfbelege mit geltender Aufbewahrungspflicht behalten; ihr Zugriff bleibt auf den Aufbewahrungszweck beschränkt.

9. Informationen und Prüfungen

RateLoop stellt die vernünftigerweise erforderlichen Informationen zum Nachweis dieser AVV bereit und ermöglicht eine Prüfung durch den Kunden oder eine unabhängige, zur Vertraulichkeit verpflichtete prüfende Stelle. RateLoop hat derzeit keinen SOC-2- oder ISO-Zertifizierungsbericht. Das aktuelle Sicherheits- und Beschaffungspaket ist die Standardantwort auf Sicherheitsfragebögen und enthält reproduzierbare Prüfanweisungen. Rückfragen werden anhand der eingesetzten Konfiguration beantwortet, nicht durch pauschale Vertrauensbehauptungen. Prüfungen nutzen normalerweise zuerst diese Antwort und Fernbelege; Vor-Ort-Zugang erfordert Vorankündigung, darf andere Kunden oder Sicherheit nicht gefährden und ist auf einmal jährlich begrenzt, sofern nicht eine bestätigte Verletzung des Schutzes personenbezogener Daten oder eine Aufsichtsbehörde mehr erfordert. Jede Partei trägt eigene Kosten; außergewöhnliche Hilfe über das Standardbelegpaket hinaus trägt der Kunde.

10. Internationale Übermittlungen

RateLoop übermittelt personenbezogene Kundendaten nur nach dokumentierter Weisung und mit rechtmäßigem Übermittlungsmechanismus außerhalb des EWR. Fehlt ein Angemessenheitsbeschluss, vereinbaren die Parteien die einschlägigen Standardvertragsklauseln der Europäischen Kommission und erforderliche ergänzende Maßnahmen.

11. Pflichten des Kunden und Vorrang

Der Kunde benötigt eine Rechtsgrundlage, erteilt erforderliche Hinweise, konfiguriert geeignete Aufbewahrung und Prüfzugänge, minimiert Daten und vermeidet verbotenes Material. Er weist RateLoop nicht zur Erhebung roher Identitätsdokumente an, wenn ein engeres Prädikat genügt. Bei Widersprüchen zum Schutz personenbezogener Kundendaten geht diese AVV vor; ansonsten regelt der unterzeichnete Auftrag die wirtschaftlichen Bedingungen.

12. Kontakt

Datenschutzweisungen, Sicherheitsmitteilungen, Prüfanfragen und Widersprüche gegen Unterauftragsverarbeiter sind an hello@rateloop.ai zu senden und müssen den Kunden-Workspace sowie einen autorisierten Kontakt benennen.

Anlage 1 – Technische und organisatorische Maßnahmen

Dies sind die heute umgesetzten Maßnahmen. Ist eine Maßnahme umgesetzt, aber nicht durch eine Aufzeichnung ihrer Durchführung belegt, sagt diese Anlage das, statt die stärkere Lesart offenzulassen. Die Seite zu den technischen und organisatorischen Maßnahmen nennt Eintrag für Eintrag, was RateLoop einer lesenden Person zeigen kann und wo die ehrliche Antwort derzeit nichts lautet.

Zugangskontrolle: undurchsichtige Nutzerkennungen, gehashte HttpOnly-Sitzungen, begrenzte API-Zugangsdaten, Workspace- und Projektberechtigungen nach dem Prinzip der geringsten Rechte und von selbst ablaufende Prüfzugriffe. Wird ein Mitglied entfernt, endet damit sein Zugang zum Workspace. RateLoop misst nicht, wie lange ein Entzug braucht, um jedes System zu erreichen, das ihn umsetzen muss, und nennt hier deshalb keine Frist für den Rechteentzug.
Verschlüsselung: TLS beim Transport und authentifizierte Envelope-Verschlüsselung im Ruhezustand für bestimmte private Felder und Objekte mit mandanten- und zweckgetrennten Wrapping-Schlüsseln und serverseitigem Schlüsselmaterial. Diese Verschlüsselung erfasst die bestimmten Felder und Objekte, nicht jede Spalte der Datenbank.
Integrität und Rechenschaft: hashverkettete Audit-Aufzeichnungen, signierte Nachweispakete, Zugriffsprotokolle, Abhängigkeitskontrollen, Codeprüfung sowie im Code getrennte und durch Tests abgedeckte Befugnisse von Operator, Eigentümer, Admin und Mitglied. Jeder Audit-Prüfwert deckt die vorangehende Aufzeichnung ab, sodass eine gelöschte oder veränderte Aufzeichnung ohne Vertrauen in RateLoop erkennbar ist. Zwei Grenzen gehören daneben: Kein Turnus wertet diese Aufzeichnungen aus, und keine festgehaltene Attestierung nennt, wer Produktionszugang hat. Die Kette zeigt, dass die Aufzeichnung unversehrt ist, nicht dass jemand sie gelesen hat.
Verfügbarkeit und Wiederherstellung: vom Anbieter verwaltete Sicherungen, die die dokumentierte Grenze der Verarbeitungsregion ausnimmt, begrenzte Wiederholungs- und Dead-Letter-Verarbeitung, Löschabgleich und ein schriftlich festgehaltenes Wiederherstellungsverfahren. Dieses Verfahren wurde für die gehostete Bereitstellung noch nicht ausgeführt: Es ist dokumentiert, und diese Anlage behauptet nicht mehr. Die oben genannte Maßnahmenseite veröffentlicht die Prüfungen, die eine Wiederherstellungsübung bestehen muss, und das Verzeichnis der Durchführungen, das leer ist.
Vorfalls- und Schwachstellenmanagement: strukturierte Fehlerereignisse, die die Anwendung ausgibt, Sicherheitstriage, automatisierte Abhängigkeitsscans, koordinierte Behebung und die oben genannte vertragliche Höchstfrist von 48 Stunden für Verletzungsmitteilungen. Diese Ereignisse nimmt derzeit nichts entgegen – es gibt keinen Log-Drain und keine Alarmregel –, sodass RateLoop weder eine laufende Überwachung noch eine Erkennungszeit angibt. Die Frist von 48 Stunden läuft ab dem Zeitpunkt, zu dem RateLoop Kenntnis von einer Verletzung erlangt; diese Anlage stellt diese Kenntnis nicht als automatisch dar.