Version 1.0 — Stand: 12.03.2026   |   English Version

zwischen dem Kunden der VIAVENDO.AI Cloud-Plattform (nachfolgend „Auftraggeber“) und der VIAVENDO.AI (nachfolgend „Auftragnehmer“)

— gemeinsam „Parteien“ —

§1 Gegenstand und Dauer der Verarbeitung

(1) Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten im Auftrag des Auftraggebers durch den Auftragnehmer gemäß Art. 28 der Verordnung (EU) 2016/679 (DSGVO).

(2) Gegenstand der Auftragsverarbeitung ist die Bereitstellung der VIAVENDO.AI Cloud-Plattform als Software-as-a-Service (SaaS), wie in den Allgemeinen Geschäftsbedingungen (AGB) und der Leistungsbeschreibung definiert.

(3) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrages (SaaS-Vertrag). Dieser AVV endet automatisch mit Beendigung des Hauptvertrages, unbeschadet etwaiger Aufbewahrungspflichten.

§2 Art und Zweck der Verarbeitung

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers ausschließlich zum Zweck der Bereitstellung und des Betriebs der VIAVENDO.AI Cloud-Plattform. Dies umfasst insbesondere:

• Speicherung und Verwaltung von Kundendaten in der Cloud-Instanz
• Verarbeitung von Eingabedaten durch KI-Sprachmodelle (LLM) zur Erzeugung von Chat-Antworten, Zusammenfassungen und Analysen
• Speicherung von Dokumenten und Wissensdatenbank-Inhalten (RAG — Retrieval Augmented Generation)
• Vektorisierung und Indexierung von Dokumenten für die semantische Suche
• Protokollierung von Nutzungsaktivitäten (Audit-Logging gem. EU AI Act)
• Erstellung und Versand von E-Mail-Benachrichtigungen im Auftrag des Auftraggebers
• Erstellung von Sicherungskopien (Backups)

§3 Art der personenbezogenen Daten und Kategorien betroffener Personen

(1) Art der personenbezogenen Daten: Die Art der verarbeiteten Daten richtet sich nach der Nutzung der Plattform durch den Auftraggeber. Typischerweise umfasst dies:

• Stammdaten der Nutzer (Name, E-Mail-Adresse, Unternehmenszugehörigkeit)
• Zugangsdaten (Benutzername, gehashte Passwörter, API-Schlüssel)
• Nutzungsdaten (Chat-Verläufe, Suchanfragen, Dokumenten-Uploads)
• Kommunikationsdaten (E-Mail-Adressen, Nachrichteninhalte)
• Technische Daten (IP-Adressen, Geräteinformationen, Zugriffsprotokolle)
• Inhaltsdaten (vom Auftraggeber hochgeladene Dokumente, Wissensdatenbank-Einträge)

(2) Kategorien betroffener Personen:

• Mitarbeiter und Beauftragte des Auftraggebers
• Kunden und Geschäftspartner des Auftraggebers (soweit deren Daten in die Plattform eingegeben werden)
• Sonstige Personen, deren personenbezogene Daten durch den Auftraggeber in die Plattform eingestellt werden

(3) Der Auftraggeber ist dafür verantwortlich, dass er keine besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO in die Plattform eingibt, es sei denn, er hat hierfür eine gesonderte Rechtsgrundlage und hat den Auftragnehmer vorab darüber informiert.

§4 Weisungsbindung

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers — auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation —, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragnehmer unterliegt, hierzu verpflichtet ist (Art. 28 Abs. 3 lit. a DSGVO).

(2) Die Weisungen des Auftraggebers sind in diesem AVV, den AGB und der Leistungsbeschreibung dokumentiert. Darüber hinausgehende Weisungen bedürfen der Textform (E-Mail ist ausreichend).

(3) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung bis zu einer Bestätigung oder Änderung durch den Auftraggeber auszusetzen.

§5 Pflichten des Auftragnehmers

(1) Der Auftragnehmer gewährleistet, dass die mit der Verarbeitung personenbezogener Daten befassten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

(2) Der Auftragnehmer trifft alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (TOM), um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die aktuellen TOM sind in Anlage 1 (Technische und Organisatorische Maßnahmen) dokumentiert.

(3) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung der Pflichten des Auftraggebers gegenüber betroffenen Personen (Art. 15–22 DSGVO).

(4) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in Art. 32–36 DSGVO genannten Pflichten (Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

(5) Der Auftragnehmer löscht nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten nach Wahl des Auftraggebers entweder oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der Daten besteht. Die Frist zur Datenlöschung nach Vertragsende beträgt 30 Tage (vgl. §19 Abs. 5 AGB).

§6 Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der betroffenen Personen allein verantwortlich („Verantwortlicher“ im Sinne der DSGVO).

(2) Der Auftraggeber erteilt alle Weisungen zur Datenverarbeitung und hat deren Rechtmäßigkeit sicherzustellen.

(3) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung seiner Daten feststellt.

(4) Der Auftraggeber benennt einen Ansprechpartner für Datenschutzfragen.

§7 Anfragen betroffener Personen

(1) Wendet sich eine betroffene Person mit Anfragen nach Art. 15–22 DSGVO direkt an den Auftragnehmer, leitet der Auftragnehmer diese Anfrage unverzüglich an den Auftraggeber weiter.

(2) Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei der Beantwortung und Erfüllung von Betroffenenrechten. Die Kosten hierfür trägt der Auftraggeber, sofern der Aufwand über die reguläre Leistungserbringung hinausgeht.

§8 Meldung von Datenschutzverletzungen

(1) Der Auftragnehmer informiert den Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird (Art. 33 Abs. 2 DSGVO).

(2) Die Meldung enthält mindestens folgende Angaben:

• Beschreibung der Art der Verletzung, soweit möglich einschließlich der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze
• Name und Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle
• Beschreibung der wahrscheinlichen Folgen der Verletzung
• Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und ggf. zur Abmilderung ihrer nachteiligen Auswirkungen

(3) Die Pflicht zur Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und zur Benachrichtigung der betroffenen Personen (Art. 34 DSGVO) obliegt dem Auftraggeber.

§9 Unterauftragnehmer (Subunternehmer)

(1) Der Auftraggeber erteilt dem Auftragnehmer hiermit die allgemeine schriftliche Genehmigung, weitere Auftragsverarbeiter (Unterauftragnehmer) hinzuzuziehen (Art. 28 Abs. 2 DSGVO).

(2) Die aktuell eingesetzten Unterauftragnehmer sind in Anlage 2 (Liste der Unterauftragnehmer) aufgeführt.

(3) Der Auftragnehmer informiert den Auftraggeber über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragnehmern. Der Auftraggeber hat die Möglichkeit, innerhalb von 14 Tagen nach Zugang der Information Einspruch gegen die Änderung zu erheben.

(4) Erhebt der Auftraggeber begründeten Einspruch, wird der Auftragnehmer den betreffenden Unterauftragnehmer nicht einsetzen. Kann in diesem Fall keine einvernehmliche Lösung gefunden werden, steht beiden Parteien ein Sonderkündigungsrecht zu.

(5) Der Auftragnehmer stellt sicher, dass jedem Unterauftragnehmer dieselben Datenschutzpflichten auferlegt werden, die in diesem AVV festgelegt sind, insbesondere durch Abschluss eines Auftragsverarbeitungsvertrages gemäß Art. 28 DSGVO.

(6) Erfüllt ein Unterauftragnehmer seine Datenschutzpflichten nicht, haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten des Unterauftragnehmers.

§10 Kontrollrechte und Nachweise

(1) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen — durch den Auftraggeber oder einen von diesem beauftragten Prüfer.

(2) Als Standardnachweis dienen:

• Die in Anlage 1 dokumentierten Technischen und Organisatorischen Maßnahmen (TOM)
• Berichte und Zertifikate der eingesetzten Rechenzentren (Hetzner Cloud: ISO 27001)
• Audit-Berichte oder Zertifizierungen, sofern vorhanden

(3) Vor-Ort-Kontrollen sind nach rechtzeitiger Ankündigung (mindestens 14 Tage) während der üblichen Geschäftszeiten möglich. Der Auftraggeber stellt sicher, dass die Kontrolle verhältnismäßig durchgeführt wird und den Geschäftsbetrieb des Auftragnehmers nicht unverhältnismäßig stört.

(4) Die Kosten einer Vor-Ort-Kontrolle trägt der Auftraggeber, sofern die Kontrolle nicht eine Pflichtverletzung des Auftragnehmers aufdeckt.

§11 Haftung

(1) Für die Haftung der Parteien gelten die Regelungen des Hauptvertrages (AGB §18) ergänzend.

(2) Die Haftung gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO.

§12 Schlussbestimmungen

(1) Im Falle von Widersprüchen zwischen diesem AVV und den AGB oder sonstigen Vereinbarungen zwischen den Parteien gehen die Regelungen dieses AVV in Bezug auf den Schutz personenbezogener Daten vor.

(2) Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Der Auftragnehmer ist berechtigt, diesen AVV mit einer Ankündigungsfrist von mindestens 30 Tagen einseitig anzupassen, sofern dies aufgrund geänderter Rechtsvorschriften, Rechtsprechung oder behördlicher Anforderungen erforderlich ist. Der Auftraggeber hat in diesem Fall ein Widerspruchsrecht. Im Falle eines begründeten Widerspruchs steht beiden Parteien ein Sonderkündigungsrecht zu.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragnehmers.

(4) Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. Anstelle der unwirksamen Bestimmung gilt die wirksame Bestimmung als vereinbart, die dem wirtschaftlichen Zweck am nächsten kommt (salvatorische Klausel).

Anlagen

• Anlage 1: Technische und Organisatorische Maßnahmen (TOM)
• Anlage 2: Liste der Unterauftragnehmer