Auftragsverarbeitungsvertrag (AVV)

Version 2, Entwurf, nicht anwaltlich geprüft, auf Grundlage von legal-tpl-dpa v1

Zuletzt aktualisiert: 29. Oktober 2026 · Version: 2 · Gültig ab: 29. Oktober 2026

Dauerhafter Link zu Version 2

Dieser AVV ist Teil des Vertrags zwischen dem Geschäftskunden („Verantwortlicher“) und der Human Synthesis SRL, Sat Buciumeni, Comuna Buciumeni, Nr. 279, Kreis Dâmbovița, 137065, Rumänien, Handelsregister J15/860/12.06.2024, USt-IdNr. RO50224420 („Auftragsverarbeiter“) für aiactaudit.ai (der „Dienst“). Der Kunde nimmt ihn bei der Registrierung zusammen mit den AGB an, und wir speichern die angenommene Version.

Wenn der Kunde selbst Auftragsverarbeiter ist. Expertinnen und Experten wie externe Datenschutzbeauftragte und Beratende verarbeiten die Daten ihrer Mandanten oft im Auftrag dieser Mandanten. Dann handelt der Kunde als Auftragsverarbeiter seines Mandanten, und dieser AVV ist ein Unterauftragsverarbeitungsvertrag zwischen dem Kunden und uns zu denselben Bedingungen; „Verantwortlicher“ meint dann den Kunden, der die Weisungen seines Mandanten weitergibt.

1. Gegenstand, Dauer, Art und Zweck: Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur, um den Dienst wie im Vertrag beschrieben zu erbringen (Mandanten-Arbeitsbereiche, KI-Inventar, Einstufung, Pflichtenregister, Zeitleiste, Erinnerungen, Änderungsprotokoll, Export und Hinweise der Gesetzesbeobachtung), für die Vertragsdauer und bis zur Löschung nach Ziffer 10.
2. Art der Daten und betroffene Personen: die Ansprechpersonen der Mandanten des Verantwortlichen, die als Gäste eingeladen werden: Namen, E-Mail-Adressen, Funktionen; Beschäftigte der Mandanten des Verantwortlichen, deren personenbezogene Daten der Verantwortliche in Zeilen des KI-Inventars, Nachweisnotizen oder Antworten zur Einstufung eingibt: Namen, Funktionen, dienstliche Kontaktdaten und die eingegebenen Angaben. Keine besonderen Kategorien personenbezogener Daten: Der Dienst ist dafür nicht ausgelegt, und der Verantwortliche soll sie nicht eingeben. Keine dieser Daten wird jemals an einen KI-Anbieter gesendet.
3. Weisungen: Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen (der Vertrag, dieser AVV und die Nutzung der Einstellungen des Dienstes durch den Verantwortlichen), auch bei Übermittlungen, es sei denn, das Recht der EU oder eines Mitgliedstaats verlangt etwas anderes; dann informiert er den Verantwortlichen vorher, sofern das Gesetz dies nicht verbietet. Er weist den Verantwortlichen darauf hin, wenn eine Weisung gegen Datenschutzrecht zu verstoßen scheint.
4. Vertraulichkeit: Die zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet.
5. Sicherheit (Art. 32 DSGVO): Der Auftragsverarbeiter trifft die Maßnahmen nach Anlage 1.
6. Unterauftragsverarbeiter: Der Verantwortliche erteilt eine allgemeine Genehmigung für die unter https://aiactaudit.ai/de/unterauftragsverarbeiter aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter kündigt neue Unterauftragsverarbeiter mindestens 30 Tage vorher an (per E-Mail oder auf dieser Seite, mit Abonnementmöglichkeit); der Verantwortliche kann aus berechtigten Datenschutzgründen widersprechen und, wenn keine Lösung gefunden wird, den betroffenen Dienst kündigen. Der Auftragsverarbeiter erlegt den Unterauftragsverarbeitern dieselben Pflichten auf und haftet für sie.
7. Unterstützung: Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung bei der Beantwortung von Anfragen betroffener Personen sowie bei Sicherheit, Meldung von Datenpannen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation.
8. Verletzungen des Schutzes personenbezogener Daten: Der Auftragsverarbeiter meldet sie dem Verantwortlichen unverzüglich und innerhalb von 48 Stunden nach Kenntnis mit den verfügbaren Informationen.
9. Übermittlungen: Die Daten werden von Cloudflare gespeichert (Cloudflare D1 und R2); die Konfiguration des Auftragsverarbeiters legt keine Speicherregion fest, Cloudflare wählt den Standort, der außerhalb des EWR liegen kann. Übermittlungen außerhalb des EWR erfolgen nur nach Art. 44 bis 49 DSGVO (Angemessenheit, einschließlich des EU-US Data Privacy Framework, oder Standardvertragsklauseln, Modul 3 für Unterauftragsverarbeiter).
10. Löschung oder Rückgabe: Am Ende des Dienstes kann der Verantwortliche seine Daten 30 Tage lang exportieren; danach löscht der Auftragsverarbeiter sie einschließlich Kopien innerhalb von 90 Tagen (Sicherungen durch Rotation), sofern nicht eine gesetzliche Aufbewahrungspflicht besteht.
11. Prüfungen: Der Auftragsverarbeiter stellt die zum Nachweis der Einhaltung nötigen Informationen bereit (dieser AVV, Sicherheitsdokumentation, Zertifizierungen seiner Hosting-Anbieter) und ermöglicht Prüfungen durch den Verantwortlichen oder dessen Prüfer, höchstens einmal im Jahr, mit 30 Tagen Vorankündigung, auf Kosten des Verantwortlichen, ohne Zugang zu Daten anderer Kunden.
12. Haftung und Rangfolge: Es gelten die Haftungsgrenzen des Vertrags. Widerspricht dieser AVV dem Vertrag, geht dieser AVV in Datenschutzfragen vor.
13. Anwendbares Recht und Gerichtsstand: Dieser AVV unterliegt rumänischem Recht. Zuständig sind die Gerichte am Sitz des Auftragsverarbeiters.

Anlage 1: Sicherheitsmaßnahmen Verschlüsselung bei der Übertragung (TLS) und im Ruhezustand durch den Hosting-Anbieter; rollenbasierter Zugriff mit Zwei-Faktor-Authentifizierung für Mitarbeitende; Protokollierung administrativer Zugriffe; tägliche Sicherungen mit Wiederherstellungstests; Trennung der Kundendaten (ein Kundenschlüssel in jedem Datensatz, kundenübergreifender Zugriff wird verweigert und protokolliert); sichere Entwicklung mit Code-Review, automatisierten Tests und Sicherheitsprüfungen jedes Endpunkts; Aktualisierung von Abhängigkeiten; Reaktion auf Vorfälle mit einem Datenpannen-Protokoll; Vertraulichkeit der Mitarbeitenden.