Auftragsverarbeitungsvertrag (AVV)

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO zwischen dem Kunden des Dienstes „DocuWhale Business“ (nachfolgend „Verantwortlicher“) und Pascal Raub – Flying Chair AI, Grüne Str. 70, 27749 Delmenhorst, Deutschland (nachfolgend „Auftragsverarbeiter“).

[PRÜFEN: Abschlussmechanik festlegen (Klick-Abschluss bei der Buchung, Download mit Unterschrift oder Einbeziehung über die AGB) und die Vertragsparteien-Klausel entsprechend fassen]

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen der Dokumentenverwaltung mit KI-gestützter Analyse gemäß dem Hauptvertrag (AGB nebst gebuchtem Plan). Gegenstand dieses Vertrags ist die dabei erfolgende Verarbeitung personenbezogener Daten, für die der Verantwortliche im Sinne der DSGVO verantwortlich ist.

(2) Die Dauer entspricht der Laufzeit des Hauptvertrags. Die Regelungen zur Löschung (§ 9) gelten über das Vertragsende hinaus.

§ 2 Art und Zweck der Verarbeitung

Speicherung, Texterkennung (OCR), automatisierte inhaltliche Analyse durch KI-Modelle (Klassifikation, Zusammenfassung, Extraktion von Beträgen, Fristen, Kontakten und Handlungspunkten), Erstellung eines Suchindexes, Bereitstellung von Aufgaben-, Ablage-, Buchhaltungs- und Exportfunktionen sowie einer Chat-Funktion über die Dokumente des Verantwortlichen — jeweils zum Zweck der Organisation und Auswertung der vom Verantwortlichen eingebrachten Dokumente.

§ 3 Art der Daten

Die Verarbeitung umfasst die Inhalte der vom Verantwortlichen eingebrachten Dokumente und Nachrichten. Typischerweise sind das:

• Stammdaten (Namen, Anschriften, Kontaktdaten),
• Vertrags- und Rechnungsdaten (Kunden-/Vertragsnummern, Beträge, Bankverbindungen, Zahlungsinformationen),
• Kommunikationsdaten (E-Mail-Absender, Betreff, Anhänge),
• Beschäftigtendaten (z. B. aus Lohn- und Personalunterlagen),
• im Einzelfall besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO (z. B. Gesundheitsdaten aus Arztrechnungen oder Bescheinigungen), soweit der Verantwortliche solche Dokumente einbringt.

§ 4 Kategorien betroffener Personen

• Kunden, Interessenten und Lieferanten des Verantwortlichen,
• Beschäftigte des Verantwortlichen,
• Ansprechpartner bei Geschäftspartnern und Behörden,
• sonstige Personen, deren Daten in den eingebrachten Dokumenten enthalten sind.

§ 5 Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt er dem Verantwortlichen diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Die Nutzung der Funktionen des Dienstes durch den Verantwortlichen (Upload, E-Mail-Einlieferung, Auslösen von Analysen, Exporten und Löschungen) gilt als Weisung. Darüber hinausgehende Weisungen bedürfen der Textform.

(3) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt, informiert er den Verantwortlichen unverzüglich.

§ 6 Pflichten des Auftragsverarbeiters

• Er setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
• Er trifft alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (Anlage A).
• Er unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen (Art. 12–23 DSGVO) zu beantworten — insbesondere durch die im Dienst eingebauten Auskunfts-, Export- und Löschfunktionen.
• Er unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation) unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.
• Er meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten, die dessen Daten betreffen, unverzüglich, spätestens innerhalb von [PRÜFEN: Frist festlegen, z. B. 48 Stunden] nach Kenntniserlangung.
• Er stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen — durch den Verantwortlichen oder einen von diesem beauftragten Prüfer. Nachweise können vorrangig durch geeignete Dokumentation, Testate oder Zertifikate der eingesetzten Infrastrukturanbieter erbracht werden.
• Er benachrichtigt den Verantwortlichen unverzüglich über Kontrollhandlungen und Maßnahmen von Aufsichtsbehörden, soweit sie diese Verarbeitung betreffen.

§ 7 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt allgemein die Einschaltung von Unterauftragsverarbeitern. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage B aufgeführt; die Liste ist identisch mit der in der Datenschutzerklärung geführten Dienstleisterliste.

(2) Beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) teilt der Auftragsverarbeiter dem Verantwortlichen vorab in Textform mit. Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von [PRÜFEN: Frist festlegen, z. B. 30 Tagen] widersprechen; widerspricht er, steht beiden Parteien ein Sonderkündigungsrecht für den Hauptvertrag zu.

(3) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter durch Vertrag auf im Wesentlichen dieselben Datenschutzpflichten, wie sie in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO).

§ 8 Übermittlung in Drittländer

Eine Verarbeitung in Drittländern findet nur unter den Voraussetzungen der Art. 44 ff. DSGVO statt (insbesondere Angemessenheitsbeschluss — EU-US Data Privacy Framework — oder EU-Standardvertragsklauseln). Einzelheiten je Unterauftragsverarbeiter enthält Anlage B. [PRÜFEN: Transfergrundlagen je Anbieter verifizieren und in Anlage B konkretisieren (siehe Datenschutzerklärung, Abschnitt 12)]

§ 9 Löschung und Rückgabe

(1) Der Verantwortliche kann Daten während der Laufzeit jederzeit über die Funktionen des Dienstes löschen (einzeln, über den Papierkorb oder durch Kontolöschung) und über die Exportfunktionen herausverlangen.

(2) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück, sofern nicht eine gesetzliche Pflicht zur Speicherung besteht. [PRÜFEN: Frist für die Löschung nach Vertragsende festlegen (inkl. Backup-Zyklen der Infrastrukturanbieter) — siehe die offene Papierkorb-/Backup-Frist in der Datenschutzerklärung]

§ 10 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO; im Innenverhältnis gelten die Haftungsregelungen des Hauptvertrags.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht in Fragen des Datenschutzes dieser Vertrag vor.

(3) Es gilt deutsches Recht; Gerichtsstand wie im Hauptvertrag.

Anlage A: Technische und organisatorische Maßnahmen (TOMs)

[PRÜFEN: Grundgerüst — vor Verwendung vollständig verifizieren und um organisatorische Maßnahmen des Betreibers ergänzen (Richtlinien, Schulungen, Auftragskontrolle, Incident-Prozess)]

• Verschlüsselung bei Übertragung: Sämtliche Verbindungen (Browser ↔ Dienst, Dienst ↔ Datenbank/Speicher, Dienst ↔ KI-Schnittstellen) sind mit TLS verschlüsselt.
• Verschlüsselung im Ruhezustand: Datenbank und Dateispeicher (Supabase) sowie die Google-Cloud-Infrastruktur verschlüsseln gespeicherte Daten standardmäßig (AES-256).
• Mandantentrennung: Trennung der Kundendaten auf Datenbankebene über Row Level Security (RLS); jede Abfrage ist technisch auf das jeweilige Konto begrenzt. Serverseitige Zugriffe mit erweiterten Rechten sind auf explizit gefilterte Abfragen beschränkt und werden im Review geprüft.
• Zugriffs- und Zugangskontrolle: Zugriff auf Produktionssysteme nur für autorisierte Personen nach dem Prinzip der geringsten Rechte; Authentifizierung über personengebundene Konten; [PRÜFEN: Details ergänzen: 2FA-Pflicht für Admin-Zugänge, Schlüsselverwaltung, Rollenkonzept]
• Eingabekontrolle/Protokollierung: Erteilte und widerrufene Einwilligungen werden als Ereignisprotokoll gespeichert; administrative Zugriffe werden protokolliert [PRÜFEN: Umfang der Admin-Protokollierung bestätigen].
• Datensparsamkeit im Monitoring: Keine Dokumentinhalte, OCR-Texte, Chat-Inhalte, Zugangstoken oder E-Mail-Adressen in Logs und Fehlerberichten (Betriebsregel, in der Fehlerdiagnose technisch durchgesetzt).
• Verfügbarkeitskontrolle: Betrieb auf redundanter Cloud-Infrastruktur (Google Cloud Run, Supabase); automatische Datenbank-Backups [PRÜFEN: Backup-Turnus und Aufbewahrung bestätigen].
• Trennungsgebot: Produktions- und Testumgebungen sind getrennt; [PRÜFEN: bestätigen, dass Tests ohne Produktionsdaten laufen]

Anlage B: Unterauftragsverarbeiter