Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag („AVV") konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien im Zusammenhang mit der Nutzung der SaaS-Plattform AIEUACT.

Er ergänzt die zwischen den Parteien geschlossene Hauptvereinbarung über die Nutzung der Plattform.

Verantwortlicher: Der jeweilige Kunde der Plattform AIEUACT. (nachfolgend „Verantwortlicher")

Auftragsverarbeiter:
YUUO Holding OÜ
Narva mnt 5
10117 Tallinn
Estland
Vertreten durch: Markus Goch
E-Mail: info@aieuact.de
(nachfolgend „Auftragsverarbeiter")

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag des Verantwortlichen.

Die Verarbeitung erfolgt zur Bereitstellung der SaaS-Plattform AIEUACT.

Die Verarbeitung umfasst insbesondere: Speicherung, Organisation, Strukturierung, Dokumentation, Abruf, Auswertung, Archivierung und Löschung von Daten im Rahmen der Nutzung der Plattform.

Die Verarbeitung erfolgt für die Dauer des Hauptvertrages.

Nach Vertragsende gelten die Regelungen gemäß Abschnitt 15 dieses Vertrages.

Je nach Nutzung können insbesondere folgende Daten verarbeitet werden:

• Stammdaten: Name, Vorname, Funktion, Unternehmen
• Kontaktdaten: E-Mail-Adresse, Telefonnummer
• Benutzerdaten: Login-Informationen, Rollen, Berechtigungen
• Compliance-Daten: KI-Inventare, Governance-Dokumentationen, Audit-Nachweise, Risikobewertungen
• Technische Daten: IP-Adressen, Logdaten, Zeitstempel

Mitarbeiter, Kunden, Geschäftspartner, Lieferanten, Berater und Ansprechpartner des Verantwortlichen.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen.

Weisungen können schriftlich oder in Textform erfolgen.

Der Auftragsverarbeiter verpflichtet alle Personen mit Datenzugriff auf Vertraulichkeit. Diese Verpflichtung besteht über das Vertragsende hinaus fort.

Der Auftragsverarbeiter setzt angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO um.

• 9.1 Zugangskontrolle: Benutzerkonten, Passwortschutz, Rollenmodell, MFA (soweit aktiviert)
• 9.2 Zugriffskontrolle: Least-Privilege-Prinzip, Berechtigungskonzepte, Protokollierung
• 9.3 Übertragungskontrolle: TLS-Verschlüsselung, HTTPS, verschlüsselte Datenübertragung
• 9.4 Eingabekontrolle: Audit-Logs, Änderungsprotokolle
• 9.5 Verfügbarkeitskontrolle: tägliche Backups, Monitoring, Wiederherstellungsverfahren
• 9.6 Wiederherstellbarkeit: Backup-Aufbewahrung 30 Tage, getestete Wiederherstellungsprozesse

Der Auftragsverarbeiter unterstützt den Verantwortlichen angemessen bei: Auskunftsersuchen, Löschersuchen, Berichtigungen, Einschränkungen, Datenschutz-Folgenabschätzungen und Behördenanfragen, soweit gesetzlich erforderlich.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, um dem Verantwortlichen die fristgerechte Erfüllung seiner Meldepflichten gemäß Art. 33 DSGVO (72-Stunden-Frist gegenüber der Aufsichtsbehörde) zu ermöglichen.

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Hetzner Online GmbH — Hosting, Server, Backups
• Supabase — Datenbank, Authentifizierung
• Vercel Inc. — Frontend Hosting, CDN
• Stripe Payments Europe Ltd. — Zahlungsabwicklung
• Microsoft Ireland Operations Limited — E-Mail-Kommunikation
• OpenAI Inc. — KI-gestützte Auswertungsfunktionen (ausschließlich nutzereingegebene Textinhalte; kein Training mit Kundendaten)
• Anthropic PBC — KI-gestützte Auswertungsfunktionen (ausschließlich nutzereingegebene Textinhalte; kein Training mit Kundendaten)

Bei wesentlichen Änderungen der Unterauftragsverarbeiter wird der Verantwortliche informiert.

Soweit personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden, erfolgt dies ausschließlich auf Grundlage geeigneter Garantien gemäß Art. 44 ff. DSGVO, insbesondere EU-Standardvertragsklauseln (SCCs) oder Angemessenheitsbeschlüssen der Europäischen Kommission.

Der Verantwortliche ist berechtigt, die Einhaltung dieses Vertrages angemessen zu überprüfen. Der Auftragsverarbeiter stellt die hierfür erforderlichen Informationen zur Verfügung.

Nach Vertragsende werden personenbezogene Daten nach Wahl des Verantwortlichen gelöscht oder exportiert und zurückgegeben, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Die Löschung erfolgt spätestens 30 Tage nach Vertragsende.

Die Haftung richtet sich nach Art. 82 DSGVO, den gesetzlichen Bestimmungen sowie den Haftungsregelungen des Hauptvertrages.

Es gilt deutsches Recht.

Ausschließlicher Gerichtsstand ist Berlin, Deutschland.

Änderungen dieses Vertrages bedürfen der Textform.

Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.