Auftragsverarbeitungsvertrag (AVV / DPA)
Zuletzt aktualisiert: 14. Oktober 2026
Vorlage nach Art. 28 DSGVO für Geschäftskunden, die AACFlow zur Verarbeitung personenbezogener Daten ihrer Nutzer, Kunden oder Mitarbeiter einsetzen.
Dieser AVV wird zwischen dem Kunden („Verantwortlicher“) und Chibilyaev Alexandr, [[TO BE FILLED: street and number]], [[TO BE FILLED: postal code]] [[TO BE FILLED: city]], Germany („Auftragsverarbeiter“, AACFlow) geschlossen und ist Bestandteil der Nutzungsbedingungen, sobald der Kunde ihn akzeptiert oder unterzeichnet. Kontakt für die Unterzeichnung: legal@aacflow.io.
1. Gegenstand, Dauer, Art und Zweck
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur Bereitstellung der AACFlow-Plattform (Workflow-/Agenten-Automatisierung, Wissensdatenbanken, Tabellen, Logs) nach dokumentierter Weisung des Verantwortlichen. Die Dauer entspricht der Laufzeit des Hauptvertrags. Kategorien betroffener Personen und Daten: siehe Anlage I.
2. Weisungen (Art. 28 Abs. 3 lit. a)
Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung, auch bei Übermittlungen in Drittländer, es sei denn, er ist nach Unions- oder mitgliedstaatlichem Recht dazu verpflichtet; in diesem Fall teilt er dies vorab mit. Die Nutzung der Plattform-Funktionen gilt als Weisung. Hält er eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.
3. Vertraulichkeit (lit. b)
Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.
4. Sicherheit der Verarbeitung (lit. c, Art. 32)
Der Auftragsverarbeiter trifft die in Anlage II und im Sicherheitsüberblick beschriebenen technischen und organisatorischen Maßnahmen und entwickelt sie angemessen fort, ohne das vereinbarte Schutzniveau zu unterschreiten.
5. Unterauftragsverarbeiter (lit. d)
Der Verantwortliche erteilt eine allgemeine Genehmigung zum Einsatz der unter /subprocessors geführten Unterauftragsverarbeiter. Der Auftragsverarbeiter verpflichtet sie vertraglich auf mindestens gleichwertige Datenschutzpflichten und haftet für sie.
6. Änderungen bei Unterauftragsverarbeitern
Neue oder ersetzte Unterauftragsverarbeiter werden mindestens 30 Tage vorab auf der Unterauftragsverarbeiter-Seite und auf Anfrage per E-Mail angekündigt. Der Verantwortliche kann aus berechtigtem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen; gelingt keine Einigung, kann er den betroffenen Dienst mit anteiliger Erstattung vorausbezahlter, nicht genutzter Entgelte kündigen.
7. Unterstützung (lit. e, f)
Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei Betroffenenanfragen (Art. 12–22), bei Sicherheit, Meldepflichten, Datenschutz-Folgenabschätzungen und Konsultationen (Art. 32–36). Anfragen Betroffener leitet er unverzüglich weiter.
8. Verletzung des Schutzes personenbezogener Daten
Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung unverzüglich nach Kenntnis, Ziel: [[TO BE FILLED: Owner - breach-notification target, e.g. 48 hours]], mit den ihm bekannten Angaben nach Art. 33 Abs. 3.
9. Löschung und Rückgabe (lit. g)
Nach Vertragsende löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie zurück (Export über Plattform-Funktionen bzw. auf Anfrage), nach Wahl des Verantwortlichen, es sei denn, eine gesetzliche Aufbewahrungspflicht besteht. Backups werden im regulären Zyklus überschrieben. [[TO BE FILLED: Owner - Löschfrist nach Vertragsende, z. B. 30 Tage]]
10. Nachweise und Kontrollen (lit. h)
Der Auftragsverarbeiter stellt alle erforderlichen Informationen zum Nachweis der Einhaltung bereit und ermöglicht Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen beauftragten Prüfer; Prüfungen werden mit angemessener Vorankündigung (mind. 30 Tage), einmal jährlich, während der Geschäftszeiten und ohne unverhältnismäßige Beeinträchtigung des Betriebs durchgeführt. Die Kosten trägt der Verantwortliche, sofern kein Verstoß festgestellt wird.
11. Drittlandübermittlungen
Werden Daten in Länder ohne Angemessenheitsbeschluss übermittelt (insbesondere an Unterauftragsverarbeiter in den USA oder in Russland), gelten die EU-Standardvertragsklauseln (Beschluss (EU) 2021/914) – Modul 2 (Verantwortlicher an Auftragsverarbeiter) bzw. Modul 3 (Auftragsverarbeiter an Unterauftragsverarbeiter) – als vereinbart und werden hiermit einbezogen; für das Vereinigte Königreich gilt das UK-Addendum. Soweit anwendbar, stützt sich die Übermittlung auf das EU-US Data Privacy Framework. Ergänzende Maßnahmen: Verschlüsselung bei Übertragung, Zugriffsbeschränkung, Transparenz bei Behördenanfragen.
12. Haftung, Rang, anwendbares Recht
Die Haftung richtet sich nach dem Hauptvertrag; Art. 82 DSGVO bleibt unberührt. Bei Widersprüchen geht dieser AVV (und die Standardvertragsklauseln) den Nutzungsbedingungen in Datenschutzfragen vor. Es gilt [[TO BE FILLED: governing law]]; Gerichtsstand für Kaufleute ist [[TO BE FILLED: place of jurisdiction]], soweit zulässig.
Anlage I – Beschreibung der Verarbeitung
| Punkt | Beschreibung |
|---|---|
| Verantwortlicher | Kunde (Daten laut Bestellung/Konto) |
| Auftragsverarbeiter | Chibilyaev Alexandr, [[TO BE FILLED: street and number]], [[TO BE FILLED: postal code]] [[TO BE FILLED: city]], Germany |
| Datenschutzkontakt / DSB | [[TO BE FILLED: Data protection officer / privacy contact (if legally required)]] |
| Betroffene | Mitarbeiter und Nutzer des Kunden, Kunden/Interessenten des Kunden, sonstige Personen, deren Daten der Kunde in Workflows, Wissensdatenbanken oder Tabellen einbringt |
| Datenkategorien | Stammdaten (Name, E-Mail), Kommunikationsinhalte, Workflow-Ein-/Ausgaben, Prompts und KI-Ausgaben, Nutzungs- und Protokolldaten; keine besonderen Kategorien nach Art. 9 ohne ausdrückliche Vereinbarung |
| Art der Verarbeitung | Speicherung, Abruf, Übermittlung an vom Kunden gewählte Modelle/Integrationen, Löschung |
| Dauer | Laufzeit des Hauptvertrags zzgl. Rückgabe/Löschung |
Anlage II – Technische und organisatorische Maßnahmen
- Zugangskontrolle: Authentifizierung, Sitzungsverwaltung, optional SSO/SCIM.
- Zugriffskontrolle: rollenbasierte Berechtigungen, Audit-Protokollierung.
- Weitergabekontrolle: TLS bei Übertragung, Egress-/SSRF-Schutz für ausgehende Anfragen.
- Verschlüsselung gespeicherter Zugangsdaten (AES-256-GCM).
- Trennbarkeit: mandantenbezogene Workspaces/Organisationen.
- Verfügbarkeit und Wiederherstellung: [[TO BE FILLED: Owner - Backup-Konzept]]
- Details: Sicherheitsüberblick.
