Auftrags­verarbeitungs­vertrag (AVV)

Wenn wir für Sie personenbezogene Daten verarbeiten, zum Beispiel Anrufe, Reservierungen oder Kundendaten, schließen wir vorher diesen Vertrag mit Ihnen ab. Die Felder in eckigen Klammern und die Anlagen füllen wir gemeinsam für Ihr Projekt aus. Eine unterschriftsreife Fassung senden wir Ihnen auf Anfrage an contact@digiflowhub.com.

Wie wir Daten auf dieser Website selbst verarbeiten, steht in der Datenschutzerklärung.

Vertragsparteien

[Name des Betriebs], [Rechtsform], [Straße Nr.], [PLZ Ort], vertreten durch [Name]
– nachfolgend „Verantwortlicher“ –

und

Kamalakkannan Perumal, handelnd unter Digiflowhub, Falkenring 26, 15732 Schulzendorf, E-Mail: contact@digiflowhub.com
– nachfolgend „Auftragsverarbeiter“ –

Präambel

Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen nach dem Hauptvertrag bzw. Angebot vom [Datum] („Hauptvertrag“). Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen. Dieser Vertrag regelt die datenschutzrechtlichen Pflichten beider Parteien. Er geht bei Widersprüchen zum Datenschutz den Regelungen des Hauptvertrags vor.

§ 1 Gegenstand, Dauer, Art und Zweck der Verarbeitung

1. Gegenstand, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.
2. Der Vertrag gilt ab Unterzeichnung und läuft so lange, wie der Auftragsverarbeiter personenbezogene Daten für den Verantwortlichen verarbeitet. Er endet nicht vor der vollständigen Löschung oder Rückgabe der Daten nach § 9.
3. Das Recht beider Parteien zur fristlosen Kündigung bei einem schweren Verstoß gegen diesen Vertrag oder gegen Datenschutzrecht bleibt unberührt.

§ 2 Weisungen

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Der Hauptvertrag, dieser Vertrag und Anlage 1 sind die Erstweisung. Weitere Weisungen erteilt der Verantwortliche in Textform (E-Mail genügt).
2. Ist der Auftragsverarbeiter gesetzlich zu einer anderen Verarbeitung verpflichtet, teilt er dies dem Verantwortlichen vorher mit, sofern das Gesetz dies nicht verbietet.
3. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

§ 3 Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Pflicht gilt über das Vertragsende hinaus.

§ 4 Sicherheit der Verarbeitung

1. Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 3 beschrieben sind.
2. Er darf die Maßnahmen an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert er und teilt sie auf Anfrage mit.

§ 5 Unterauftragsverarbeiter

1. Der Verantwortliche genehmigt die in Anlage 2 markierten Unterauftragsverarbeiter (allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 DSGVO).
2. Neue oder ersetzte Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens 14 Tage vorher in Textform an. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann der Verantwortliche die betroffene Leistung kündigen.
3. Der Auftragsverarbeiter legt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf wie in diesem Vertrag (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber dem Verantwortlichen für deren Einhaltung.
4. Reine Nebenleistungen ohne Zugriff auf personenbezogene Daten (z. B. Telekommunikation ohne Inhaltszugriff, Wartung der eigenen Hardware) sind keine Unteraufträge.

§ 6 Verarbeitung außerhalb der EU

Eine Übermittlung in ein Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere über einen Angemessenheitsbeschluss (z. B. EU-US Data Privacy Framework für zertifizierte US-Unternehmen) oder EU-Standardvertragsklauseln. Die Grundlage je Dienst steht in Anlage 2.

§ 7 Unterstützung des Verantwortlichen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei Anfragen betroffener Personen nach Art. 12 bis 23 DSGVO (Auskunft, Berichtigung, Löschung usw.). Anfragen, die direkt bei ihm eingehen, leitet er unverzüglich weiter und beantwortet sie nicht selbst.
2. Er unterstützt den Verantwortlichen bei den Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), soweit er die nötigen Informationen hat.
3. Unterstützung, die über das gesetzlich geschuldete Maß hinausgeht und nicht durch eigenes Fehlverhalten veranlasst ist, kann nach Aufwand zu den Stundensätzen des Hauptvertrags berechnet werden.

§ 8 Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, in Textform. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Er ergreift sofort Maßnahmen, um den Schaden zu begrenzen. Die Meldung an die Aufsichtsbehörde und an Betroffene bleibt Sache des Verantwortlichen.

§ 9 Löschung und Rückgabe

1. Nach Ende der Leistung löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen oder gibt sie nach dessen Wahl zurück (Art. 28 Abs. 3 lit. g DSGVO), spätestens innerhalb von 30 Tagen. Er löscht auch vorhandene Kopien, außer eine gesetzliche Pflicht verlangt die Speicherung.
2. Während der Laufzeit gelten die Speicherfristen aus Anlage 1. Die Löschung bestätigt er auf Anfrage in Textform.

§ 10 Nachweise und Kontrollen

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind.
2. Der Verantwortliche oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer darf die Einhaltung kontrollieren, in der Regel nach Anmeldung mit 14 Tagen Vorlauf, während der Geschäftszeiten und ohne unnötige Störung des Betriebs. Statt einer Vor-Ort-Kontrolle können aktuelle Nachweise der Unterauftragsverarbeiter (z. B. SOC-2- oder ISO-27001-Berichte) vorgelegt werden.

§ 11 Haftung

Die Haftung richtet sich nach Art. 82 DSGVO. Im Innenverhältnis trägt jede Partei den Schaden, den sie durch eigenen Verstoß verursacht hat. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.

§ 12 Schlussbestimmungen

1. Änderungen und Ergänzungen bedürfen der Textform.
2. Ist eine Bestimmung unwirksam, bleibt der Rest wirksam. Die Parteien ersetzen sie durch eine Regelung, die dem Zweck am nächsten kommt.
3. Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, der Sitz des Auftragsverarbeiters.

§ 13 KI-Verordnung (Verordnung (EU) 2024/1689)

1. Setzt der Auftragsverarbeiter ein KI-System ein, das direkt mit Menschen spricht oder schreibt (z. B. Telefon- oder Chatassistent), richtet er es so ein, dass die Personen zu Beginn erfahren, dass sie mit einer KI interagieren (Art. 50 Abs. 1 KI-Verordnung, anwendbar seit 2. August 2026).
2. Der Auftragsverarbeiter dokumentiert die eingesetzten KI-Modelle und Anbieter (Anlage 2), testet neue Versionen vor dem Livegang und informiert den Verantwortlichen über wesentliche Änderungen am Verhalten des Systems.
3. Der Verantwortliche sorgt dafür, dass seine Mitarbeiter, die mit dem System arbeiten, ausreichend damit vertraut sind (KI-Kompetenz, Art. 4 KI-Verordnung). Der Auftragsverarbeiter stellt dazu eine kurze Einweisung bereit.
4. Die eingesetzten Systeme sind nach Einschätzung der Parteien keine Hochrisiko-KI-Systeme im Sinne von Anhang III der KI-Verordnung. Ändert sich der Einsatzzweck, prüfen die Parteien die Einstufung neu.

Anlage 1: Beschreibung der Verarbeitung

Wird pro Projekt ausgefüllt. Die Beispielwerte gelten für einen KI-Telefonassistenten für Reservierungen und Bestellungen.

Anlage 2: Unterauftragsverarbeiter

Genehmigt sind nur die Dienste, die im unterschriebenen Vertrag markiert sind.

Anlage 3: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Digiflowhub ist ein Einzelunternehmen ohne eigene Server. Alle Systeme laufen bei den Anbietern aus Anlage 2, deren eigene Maßnahmen (u. a. SOC 2, ISO 27001) zusätzlich gelten.