Auftragsverarbeitungsvertrag (AVV) – Muster für Geschäftskunden

Parteien

Verantwortlicher (Auftraggeber): der geschäftlich nutzende Kunde. Auftragsverarbeiter (Auftragnehmer): Kontor NullEins UG (haftungsbeschränkt), Am Schloß 7, 08538 Weischlitz.

§ 1 Gegenstand, Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Nutzung von pitcheroo (KI-gestützte Erstellung und Analyse von Präsentationen). Die Dauer entspricht der Laufzeit des Hauptvertrags (Nutzungsvertrag/AGB).

§ 2 Art, Zweck, Datenarten, Betroffene

• Art und Zweck: Speicherung, Verarbeitung und KI-gestützte Auswertung der hochgeladenen oder erzeugten Inhalte zur Erbringung des Dienstes.
• Datenarten: in Präsentationen/Uploads enthaltene personenbezogene Daten (z. B. Namen, Kontaktdaten, berufliche Angaben Dritter), Folientexte, Bilder, Notizen, Prompts.
• Kategorien Betroffener: vom Auftraggeber bestimmte Personen (Kunden, Geschäftspartner, Mitarbeitende, sonstige genannte Dritte).
• Besondere Kategorien (Art. 9 DSGVO) sind nicht Gegenstand und sollen nicht hochgeladen werden.

§ 3 Weisungsrecht

Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Nutzung des Dienstes gilt als Weisung; Einzelweisungen sind in Textform an hey@pitcheroo.de zu richten. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber.

§ 4 Pflichten des Auftragnehmers

• Vertraulichkeit: eingesetzte Personen sind zur Vertraulichkeit verpflichtet.
• Sicherheit der Verarbeitung (Art. 32 DSGVO): es gelten die TOM nach Anlage 1.
• Unterstützung bei Betroffenenrechten (Art. 12–23) und Pflichten nach Art. 32–36 DSGVO, insb. durch die vorhandenen Export- und Löschfunktionen.
• Meldung von Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden.
• Löschung/Rückgabe nach Vertragsende; gesetzliche Aufbewahrungspflichten bleiben unberührt.
• Nachweis/Audit: Bereitstellung der erforderlichen Informationen und Ermöglichung angemessener Überprüfungen.

§ 5 Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu (allgemeine Genehmigung, Art. 28 Abs. 2 DSGVO). Wechsel/Hinzunahme teilt der Auftragnehmer vorab mit; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Unterauftragsverarbeiter werden auf ein gleichwertiges Schutzniveau verpflichtet.

§ 6 Drittlandbezug

Die KI-Verarbeitung erfolgt über AWS Bedrock ausschließlich in der EU (Region Frankfurt). Soweit eingesetzte Anbieter US-Konzernen angehören, sind geeignete Garantien (Standardvertragsklauseln) über die jeweiligen DPA inkorporiert.

§ 7 Haftung, Schlussbestimmungen

Es gilt Art. 82 DSGVO. Im Übrigen gelten die Regelungen des Hauptvertrags. Änderungen bedürfen der Textform. Bei Widerspruch zwischen AGB und diesem AVV geht dieser AVV für die Auftragsverarbeitung vor.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Vertraulichkeit: Zugriffskontrolle über individuelle Konten; Passwörter nur als scrypt-Hash mit zufälligem Salt; httpOnly-, HMAC-signierte Sitzungs-Cookies; rollenbasierte Rechte.
• Integrität: TLS-Transportverschlüsselung; getrennte Verarbeitungsumgebungen; Nachvollziehbarkeit über Logs.
• Verfügbarkeit/Belastbarkeit: tägliche, integritätsgeprüfte Vollbackups (DB, Daten, Konfiguration), mehrere Stände, Wiederherstellungsverfahren.
• Verarbeitung in der EU: eigene Datenhaltung (Datenbank und Dateien) auf Servern in der EU; KI-Verarbeitung in der EU-Region; eigene Rechtschreibprüfung ohne Datenweitergabe.
• Regelmäßige Überprüfung: Backup-Integritätsprüfung; Aktualisierung der Maßnahmen bei Änderungen.

Anlage 2 – Genehmigte Unterauftragsverarbeiter

• netcup GmbH — Hosting/Infrastruktur — DE/EU (Nürnberg).
• Amazon Web Services EMEA SARL (AWS Bedrock) — KI-Verarbeitung — EU (Frankfurt).
• Anthropic (Claude über AWS Bedrock) — KI-Modellanbieter — EU-Inferenz über AWS.
• Stripe Payments Europe, Ltd. — Zahlungsabwicklung — IE/EU.