Auftragsverarbeitungsvertrag (AVV)

Stand: September 2026 · Vorlage v2

1. Parteien

Verantwortlicher (Auftraggeber):
der Kunde gemäß den bei der Registrierung bzw. im Nutzungsvertrag angegebenen Firmendaten

– nachfolgend „Verantwortlicher" –

Auftragsverarbeiter (Anbieter von DerUno):
DeutscheKIAgenten UG (haftungsbeschränkt)
Essenheimer Straße 126
55128 Mainz, Deutschland
E-Mail: info@deutschekiagenten.de

– nachfolgend „Auftragsverarbeiter" –

2. Gegenstand und Dauer des Auftrags

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung und des Betriebs der Software „DerUno" (SaaS). Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Die Laufzeit entspricht der Laufzeit des zugrunde liegenden Hauptvertrags (Nutzungsvertrag). Der AVV endet mit dessen Beendigung.

3. Art, Zweck und Kategorien der Verarbeitung

Zweck: Betrieb eines agenten­gestützten CRM für die jeweilige Fachdomäne (Sterbefall-/Bestattungsabwicklung bzw. rechtliche Betreuung), inkl. Dokumentenerstellung, Fristen- und Aufgabenverwaltung sowie KI-gestützter Handlungsvorschläge mit menschlicher Freigabe.

Kategorien betroffener Personen: Verstorbene, Angehörige/Auftraggeber, Betreute, Behörden- und Einrichtungskontakte, Nutzer des Kunden.

Kategorien personenbezogener Daten: Stammdaten (Name, Anschrift, Geburts-/ Sterbedaten), Kontaktdaten, Aktenzeichen, Vorgangs- und Falldaten, Dokumente/Schriftverkehr, ggf. Zahlungs- und Kontodaten. Es können besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeitet werden (z. B. Gesundheits-, Religions- oder Konfessionsdaten).

4. Ort der Verarbeitung / Datenresidenz

Die Verarbeitung und Speicherung personenbezogener Daten findet ausschließlich in Rechenzentren in der EU statt, Anwendung und Daten in Deutschland:

• Anwendung, Datenbank & Dokumente: Rechenzentrum in Deutschland (Hetzner Online GmbH, Gunzenhausen).
• Datensicherung: eigener Server in Deutschland, getrennt vom Produktivsystem und gesondert verschlüsselt (Hetzner Online GmbH).
• KI-Verarbeitung (Sprachmodell): Amazon Web Services EMEA SARL, Luxemburg, Rechenzentrumsregion Frankfurt am Main.
• Öffentliche Website / Landingpage: Rechenzentrum in Deutschland (Alfahosting GmbH, Halle (Saale)).

Eine Übermittlung in Drittländer außerhalb der EU/des EWR ist nicht vorgesehen. Die Amazon Web Services EMEA SARL gehört zu einem Konzern mit Sitz in den USA; Zugriffe von Behörden nach US-Recht lassen sich daher nicht vollständig ausschließen. Hierfür gelten die Garantien nach Art. 44 ff. DSGVO, die der Anbieter vertraglich zusichert (EU-Standardvertragsklauseln; Zertifizierung nach dem EU-US Data Privacy Framework).

5. Einsatz von Sprachmodellen

Zur Klassifikation eingehender Dokumente, zum Lesen und Belegen von Angaben sowie zur Erstellung von Entwürfen setzt der Auftragsverarbeiter Sprachmodelle ein, die über den unter Ziffer 4 genannten Unterauftragsverarbeiter bereitgestellt werden. Es gelten folgende Zusicherungen:

• Kein Training beim Anbieter: Ein- und Ausgaben werden vom Anbieter nicht zum Training von Modellen verwendet und nicht an Modellhersteller weitergegeben.
• Training eigener Modelle nur auf Weisung: Inhalte, Dokumente und Falldaten des Verantwortlichen werden zum Training, zur Validierung oder zum Test eigener Modelle des Auftragsverarbeiters nur dann verwendet, wenn der Verantwortliche dies in Textform ausdrücklich angewiesen hat. Mit der Weisung sichert der Verantwortliche zu, dass hierfür eine tragfähige Rechtsgrundlage besteht und bei besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) die ausdrückliche Einwilligung der betroffenen Personen vorliegt. Die Weisung ist jederzeit mit Wirkung für die Zukunft widerrufbar.
• Kein Datenverkauf: Daten des Verantwortlichen werden nicht verkauft, vermietet oder zu Werbe-, Scoring- oder Auskunfteizwecken ausgewertet.
• Modelle entscheiden nicht: Kein Modell erzeugt den Wert eines amtlichen Formularfelds und kein Modell entscheidet über Anwendbarkeit, Frist oder Zuständigkeit. Diese Ergebnisse stammen aus einer regelbasierten Auswertung; jede Handlung mit Außenwirkung erfordert die Freigabe durch einen Menschen. Eine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt.
• Austauschbarkeit: Weil kein Modell entscheidet, kann der Modellanbieter nach dem Verfahren in Ziffer 7 gewechselt werden, ohne dass sich Regeln oder Ergebnisse ändern.

6. Pflichten des Auftragsverarbeiters

• Verarbeitung nur auf dokumentierte Weisung; Hinweis, falls eine Weisung gegen die DSGVO verstößt (Art. 28 Abs. 3 lit. h, S. 2).
• Verpflichtung der zur Verarbeitung befugten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29, 32 Abs. 4).
• Umsetzung der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (siehe Ziffer 9).
• Unterstützung des Verantwortlichen bei Betroffenenrechten (Art. 12–23) und bei Datenschutz-Folgenabschätzungen (Art. 35, 36).
• Unverzügliche Meldung von Verletzungen des Schutzes personenbezogener Daten (Art. 33 Abs. 2) an den Verantwortlichen.
• Nach Wahl des Verantwortlichen Löschung oder Rückgabe der Daten nach Ende der Verarbeitung (Art. 28 Abs. 3 lit. g); Datenexport wird über die Anwendung bereitgestellt.
• Nachweis der Einhaltung und Ermöglichung von Überprüfungen/Audits (Art. 28 Abs. 3 lit. h).

7. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern (Art. 28 Abs. 2 DSGVO) und stimmt dem Einsatz der folgenden zu. Der Auftragsverarbeiter kündigt die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 30 Tage vorher in Textform an. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, hat er ein Sonderkündigungsrecht. Mit allen Unterauftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO mit gleichwertigen Pflichten.

8. Betroffenenrechte & Weisungen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) zu erfüllen. Weisungen erfolgen in Textform bzw. über die dafür vorgesehenen Funktionen der Anwendung; mündliche Weisungen werden unverzüglich in Textform bestätigt.

9. Technische und organisatorische Maßnahmen (TOM, Art. 32 DSGVO)

• Verschlüsselung: TLS bei der Übertragung; Verschlüsselung sensibler Felder (z. B. Steuer-ID, Versicherungsnummern, SMTP-Zugangsdaten) im Ruhezustand (AES-256-GCM).
• Zugriffskontrolle: rollenbasierte Berechtigungen (Inhaber/Mitarbeiter/ Nur-Lesen), Mandanten- und Sichtbarkeitstrennung je Kunde.
• Datenminimierung gegenüber Dritten: An den KI-Anbieter gehen nur die Inhalte, die für den jeweiligen Lese- oder Entwurfsschritt nötig sind; kein Training beim Anbieter (Ziffer 5).
• Datensicherung: auf eigenem Server, getrennt vom Produktivsystem und gesondert verschlüsselt.
• Nachvollziehbarkeit: Audit-Log über sicherheitsrelevante Vorgänge; Freigabepflicht für Handlungen mit externem Effekt.
• Verfügbarkeit & Wiederherstellung: regelmäßige, verschlüsselte Backups; dokumentierter Wiederherstellungsprozess.
• Aktualität: regelmäßige Updates und Sicherheitsprüfungen.
• Infrastruktur: Betrieb von Anwendung, Datenbank und Dokumentenspeicher auf Servern mit BSI-C5-Testat Typ 2 des jeweiligen Anbieters (Ziffer 7). Das Testat erfasst die Infrastruktur, nicht die Anwendung DerUno selbst.

Eine ausführliche, versionierte TOM-Übersicht ist Anlage zu diesem AVV.

10. Löschung und Rückgabe

Nach Beendigung des Vertrags werden die personenbezogenen Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Verantwortliche kann die Daten jederzeit selbst über die Exportfunktion der Anwendung ausleiten.

11. Haftung, Nachweise, Schlussbestimmungen

Für die Haftung gelten die Regelungen des Hauptvertrags sowie Art. 82 DSGVO. Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt das Recht der Bundesrepublik Deutschland.

→ Zur Datenschutzerklärung · → Zum Impressum