Auftragsverarbeitungsvertrag (AVV)

Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO

zwischen dem Kunden gemäß Hauptvertrag („Verantwortlicher")
und der draft ai GbR, In der Au 17, 56589 Niederbreitbach, vertreten durch die Gesellschafterin Sophia Berger („Auftragsverarbeiter")

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Vertrag über die Nutzung der SaaS-Plattform „draft" („Hauptvertrag"). Er ist Bestandteil des Hauptvertrags und gilt für alle Verarbeitungen personenbezogener Daten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen durchführt.

(2) Die Dauer entspricht der Laufzeit des Hauptvertrags. Die Pflichten aus § 10 (Löschung und Rückgabe) bestehen darüber hinaus fort.

§ 2 Art, Zweck und Umfang der Verarbeitung, Datenarten, betroffene Personen

(1) Zweck: Bereitstellung und Betrieb der Plattform „draft" für den Verantwortlichen, insbesondere Verwaltung von Nutzerkonten, Bereitstellung von Analysen und Berichten, Support und Abrechnung.

(2) Art der Verarbeitung: Erhebung, Speicherung, Organisation, Anzeige, Übermittlung, Löschung.

(3) Kategorien betroffener Personen:

• Mitarbeiter und sonstige Nutzer des Verantwortlichen mit Zugang zur Plattform
• Ansprechpartner des Verantwortlichen (z. B. für Vertrags- und Rechnungsfragen)

(4) Kategorien personenbezogener Daten:

• Stammdaten (Name, geschäftliche E-Mail-Adresse, Position/Rolle, Firmenzugehörigkeit)
• Zugangs- und Nutzungsdaten (Login-Zeitpunkte, Protokolldaten, IP-Adressen)
• Kommunikationsdaten (Support-Anfragen)
• Abrechnungsbezogene Kontaktdaten

(5) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Verantwortliche stellt sicher, dass über die Plattform keine solchen Daten verarbeitet werden.

§ 3 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch Unions- oder mitgliedstaatliches Recht zur Verarbeitung verpflichtet ist; in einem solchen Fall informiert er den Verantwortlichen vor der Verarbeitung, sofern das Recht dies nicht verbietet.

(2) Der Hauptvertrag, dieser AVV und die Nutzung der Plattform in ihrem bestimmungsgemäßen Funktionsumfang gelten als dokumentierte Weisung. Zusätzliche Weisungen bedürfen der Textform.

(3) Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, informiert er den Verantwortlichen unverzüglich und ist berechtigt, die Ausführung bis zur Bestätigung auszusetzen.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO), und die mit den einschlägigen Datenschutzbestimmungen vertraut gemacht wurden.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie weiterentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird.

§ 6 Subunternehmer (weitere Auftragsverarbeiter)

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zur Einschaltung der in Anlage 1 aufgeführten Subunternehmer.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung von Subunternehmern) mindestens vier Wochen im Voraus in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Bei Widerspruch kann jede Partei den Hauptvertrag zum Zeitpunkt des geplanten Einsatzes des neuen Subunternehmers kündigen, wenn keine zumutbare Alternative gefunden wird.

(3) Der Auftragsverarbeiter verpflichtet Subunternehmer durch Vertrag auf im Wesentlichen gleichwertige Datenschutzpflichten, wie sie in diesem AVV festgelegt sind. Bei Übermittlungen in Drittländer stellt er geeignete Garantien gemäß Kapitel V DSGVO sicher (Angemessenheitsbeschluss/EU-U.S. Data Privacy Framework oder Standardvertragsklauseln).

§ 7 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO). Anfragen betroffener Personen, die erkennbar den Verantwortlichen betreffen, leitet er unverzüglich an diesen weiter und beantwortet sie nicht selbst.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die Daten aus diesem Auftragsverhältnis betrifft, unverzüglich nach Bekanntwerden. Die Meldung enthält — soweit bereits verfügbar — die Angaben nach Art. 33 Abs. 3 DSGVO (Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen).

§ 9 Nachweis- und Kontrollrechte

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung, insbesondere geeignete Nachweise wie Zertifizierungen, Auditberichte oder Selbstauskünfte (auch solche der eingesetzten Subunternehmer, z. B. SOC-2-Berichte der Hosting-Anbieter).

(2) Der Verantwortliche kann darüber hinaus nach angemessener Vorankündigung (mindestens 14 Tage) während der üblichen Geschäftszeiten Überprüfungen durchführen oder durch einen zur Verschwiegenheit verpflichteten, nicht im Wettbewerb zum Auftragsverarbeiter stehenden Prüfer durchführen lassen — höchstens einmal jährlich, sofern kein konkreter Anlass besteht. Der Auftragsverarbeiter kann für den Aufwand eine angemessene Vergütung verlangen, außer die Prüfung ergibt wesentliche Verstöße.

§ 10 Löschung und Rückgabe

(1) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten aus dem Auftragsverhältnis oder gibt sie zurück (Exportmöglichkeit gemäß Hauptvertrag), sofern keine gesetzliche Pflicht zur weiteren Speicherung besteht.

(2) Erfolgt innerhalb von 30 Tagen nach Vertragsende keine Weisung, ist der Auftragsverarbeiter zur Löschung berechtigt. Daten in Sicherungskopien werden im Rahmen der regulären Backup-Zyklen gelöscht; bis dahin sind sie gegen Zugriff geschützt und werden nicht anderweitig verarbeitet.

§ 11 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen hinsichtlich der Verarbeitung personenbezogener Daten die Regelungen dieses AVV vor.

(2) Die Haftung richtet sich nach den Regelungen des Hauptvertrags; Art. 82 DSGVO bleibt unberührt.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist der des Hauptvertrags.

Anlage 1: Genehmigte Subunternehmer

* Die KI-Schnittstellen verarbeiten regelmäßig nur unternehmensbezogene Analysedaten, keine personenbezogenen Daten der Nutzer des Verantwortlichen. Sie sind vorsorglich aufgeführt für den Fall, dass in Analyseinhalten ausnahmsweise personenbezogene Daten enthalten sind.

Anlage 2: Technische und organisatorische Maßnahmen (TOMs)

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle: Verarbeitung ausschließlich in zertifizierten Rechenzentren der eingesetzten Cloud-Anbieter (u. a. ISO 27001, SOC 2); physische Zutrittskontrollen liegen in deren Verantwortung. Keine eigene Serverinfrastruktur.

Zugangskontrolle: Personalisierte Accounts, starke Passwortrichtlinien, Zwei-Faktor-Authentifizierung für administrative Zugänge, verschlüsselte Geräte der Mitarbeiter.

Zugriffskontrolle: Rollen- und Berechtigungskonzept nach dem Need-to-know-Prinzip, mandantengetrennte Datenhaltung (Row Level Security), Protokollierung administrativer Zugriffe.

Trennungskontrolle: Logische Trennung der Daten verschiedener Kunden; Trennung von Produktions-, Test- und Entwicklungsumgebung.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Übertragungskontrolle: Verschlüsselung sämtlicher Datenübertragungen (TLS 1.2+); Verschlüsselung gespeicherter Daten (Encryption at Rest).

Eingabekontrolle: Protokollierung von Änderungen an Kundendaten (Audit-Logs auf Datenbankebene).

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

Tägliche automatisierte Backups mit definierter Aufbewahrung, Wiederherstellungsverfahren, redundante Infrastruktur der Cloud-Anbieter, Monitoring und Alerting.

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

Regelmäßige Überprüfung der TOMs, Datenschutz-Sensibilisierung der Mitarbeiter, dokumentiertes Verfahren zum Umgang mit Sicherheitsvorfällen, Einbindung von Sicherheitsupdates in den Entwicklungsprozess.