Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

Präambel

Dieser Auftragsverarbeitungsvertrag („AVV”) wird zwischen dem Kunden, der die Software „Valiro” (valiro.ai) durch Registrierung und Zustimmung zu den Nutzungsbedingungen (AGB) nutzt — der dadurch zustande kommende Nutzungsvertrag nachfolgend „Hauptvertrag”, der Kunde nachfolgend „Auftraggeber” —, und der Valiro Solutions UG (haftungsbeschränkt) (nachfolgend „Auftragnehmer” oder „wir”/„uns”) geschlossen; beide jeweils auch als „Partei” bzw. gemeinsam als „Parteien” bezeichnet. Im Rahmen der Durchführung des Hauptvertrags kann es erforderlich sein, dass der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers verarbeitet. Zur Konkretisierung der beiderseitigen datenschutzrechtlichen Rechte und Pflichten nach der Datenschutz-Grundverordnung (DSGVO) schließen die Parteien den vorliegenden AVV.

Angaben zum Auftragnehmer

Valiro Solutions UG (haftungsbeschränkt), Eduard-Kandl-Str. 23, 82211 Herrsching am Ammersee, vertreten durch die Geschäftsführerin Olga Ryannel; Amtsgericht München, HRB 311011; E-Mail: info@valiro.ai, Website: www.valiro.ai. Datenschutz-Kontakt: info@valiro.ai. Ein Datenschutzbeauftragter ist nicht bestellt, da die Voraussetzungen des Art. 37 DSGVO / § 38 BDSG derzeit nicht vorliegen.

Die den Auftraggeber identifizierenden Angaben (Unternehmens- und Kontaktdaten) ergeben sich aus seiner Registrierung bzw. dem Bestellprozess. Dieser AVV ist Bestandteil des Hauptvertrags.

§ 1 Gegenstand, Art, Zweck und Dauer der Verarbeitung

Gegenstand, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich aus dem Hauptvertrag und sind in Anlage 1 festgelegt. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. (Art. 28 Abs. 3 Satz 1 DSGVO)

§ 2 Weisungsbindung

2.1 Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, auch hinsichtlich einer Übermittlung in Drittländer, sofern er nicht durch Unions- oder mitgliedstaatliches Recht zu einer anderen Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet. Die Nutzung der Anwendung gemäß Hauptvertrag gilt als Weisung. (Art. 28 Abs. 3 lit. a DSGVO)

2.2 Der Auftraggeber bleibt Verantwortlicher i. S. d. Art. 4 Nr. 7 DSGVO und ist allein für die Rechtmäßigkeit der Verarbeitung verantwortlich. Weitergehende oder abweichende Weisungen erteilt er in Textform.

2.3 Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies dem Auftraggeber unverzüglich mit. (Art. 28 Abs. 3 Satz 3 DSGVO)

§ 3 Vertraulichkeit

Der Auftragnehmer stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. (Art. 28 Abs. 3 lit. b DSGVO)

§ 4 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die zur Gewährleistung eines angemessenen Schutzniveaus erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Diese sind in Anlage 3 beschrieben und dürfen dem Stand der Technik entsprechend fortentwickelt werden, sofern das Schutzniveau nicht unterschritten wird. (Art. 28 Abs. 3 lit. c DSGVO)

§ 5 Unterauftragnehmer

5.1 Der Auftraggeber genehmigt den Einsatz der in Anlage 2 genannten Unterauftragnehmer. (Art. 28 Abs. 2 DSGVO)

5.2 Der Auftragnehmer informiert den Auftraggeber vorab über beabsichtigte Änderungen (Textform genügt). Der Auftraggeber kann innerhalb von 14 Tagen aus wichtigem Grund widersprechen; erfolgt kein Widerspruch, gilt die Änderung als genehmigt. Widerspricht der Auftraggeber fristgerecht und lässt sich der Widerspruch nicht einvernehmlich ausräumen, ist der Auftraggeber berechtigt, den Hauptvertrag außerordentlich zu kündigen; ein Anspruch, dem Auftragnehmer den Einsatz des Unterauftragnehmers zu untersagen, besteht nicht.

5.3 Der Auftragnehmer verpflichtet jeden Unterauftragnehmer vertraglich auf dieselben Datenschutzpflichten, wie sie in diesem AVV festgelegt sind, insbesondere auf hinreichende Garantien nach Art. 32 DSGVO. Er haftet für die Einhaltung durch den Unterauftragnehmer. (Art. 28 Abs. 4 DSGVO)

§ 6 Unterstützung des Auftraggebers

6.1 Der Auftragnehmer unterstützt den Auftraggeber durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung der Betroffenenrechte nach Art. 12–23 DSGVO. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er das Ersuchen unverzüglich weiter. (Art. 28 Abs. 3 lit. e DSGVO)

6.2 Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen. (Art. 28 Abs. 3 lit. f DSGVO)

6.3 Der Auftragnehmer benachrichtigt den Auftraggeber unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten und stellt die nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen bereit, soweit sie ihm bekannt sind, damit der Auftraggeber seine Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO) erfüllen kann.

§ 7 Löschung und Rückgabe

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragnehmer nach Wahl des Auftraggebers alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern keine unionsrechtliche oder mitgliedstaatliche Aufbewahrungspflicht besteht. Vor der Löschung ermöglicht der Auftragnehmer dem Auftraggeber den Export seiner Daten in einem gängigen, strukturierten und maschinenlesbaren Format. (Art. 28 Abs. 3 lit. g DSGVO)

§ 8 Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen —, die der Auftraggeber oder ein von ihm beauftragter Prüfer durchführt, und trägt zu diesen bei. Der Nachweis kann auch durch aktuelle Testate, Zertifizierungen oder vergleichbare Nachweise (auch solche eingesetzter Unterauftragnehmer) erbracht werden. (Art. 28 Abs. 3 lit. h DSGVO)

Vor-Ort-Prüfungen kündigt der Auftraggeber mit angemessener Frist (in der Regel zwei Wochen) an und führt sie zu den üblichen Geschäftszeiten sowie grundsätzlich höchstens einmal pro Kalenderjahr durch (weitergehende Prüfungen nur aus konkretem Anlass, insbesondere nach einem Sicherheitsvorfall). Ein vom Auftraggeber beauftragter Prüfer ist zur Vertraulichkeit zu verpflichten; ein unmittelbarer Wettbewerber des Auftragnehmers darf nicht beauftragt werden. Die durch aufwändige Vor-Ort-Prüfungen beim Auftragnehmer entstehenden Kosten trägt der Auftraggeber.

§ 9 Drittlandübermittlung

Erfolgt eine Verarbeitung außerhalb der EU/des EWR, stützt der Auftragnehmer die Übermittlung vorrangig auf einen Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO (insbesondere das EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist). Ergänzend und für den Fall, dass eine Zertifizierung oder der Angemessenheitsbeschluss entfällt, stellt der Auftragnehmer geeignete Garantien nach Art. 46 DSGVO sicher (insbesondere EU-Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914 nebst erforderlicher zusätzlicher Maßnahmen). Die betroffenen Unterauftragnehmer und die jeweilige Übermittlungsgrundlage sind in Anlage 2 ausgewiesen.

§ 10 Schlussbestimmungen

10.1 Es gilt das Recht der Bundesrepublik Deutschland. 10.2 Bei Widersprüchen in datenschutzrechtlichen Fragen geht dieser AVV dem Hauptvertrag vor. 10.3 Änderungen bedürfen der Textform. 10.4 Ist eine Bestimmung unwirksam, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Dieser AVV wird mit Abschluss des Hauptvertrags wirksam. Sofern elektronisch mit Zustimmung zum Hauptvertrag geschlossen, entfällt die Unterschrift.

Anlage 1 — Gegenstand, Art, Zweck der Verarbeitung; Datenarten; Kategorien betroffener Personen

Gegenstand und Zweck: Bereitstellung und Betrieb der SaaS-Anwendung „Valiro” (Verwaltung von Projekten, Arbeitspaketen, Aufgaben und Ressourcen) gemäß Hauptvertrag, einschließlich der hierfür genutzten Funktionen — insbesondere KI-gestützte Suche/Assistenz, Adress-Geocodierung, Versand transaktionaler E-Mails sowie, soweit aktiviert, Zahlungsabwicklung (Unterauftragnehmer hierzu siehe Anlage 2).

Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln an Unterauftragnehmer (Anlage 2), Einschränken und Löschen mittels automatisierter Verfahren.

Kategorien betroffener Personen: Nutzer der Anwendung (Mitarbeiter des Auftraggebers); Ansprechpartner des Auftraggebers; in Inhalten/Dokumenten genannte Dritte, insbesondere Endkunden/Auftraggeber des Auftraggebers (auch Privatpersonen), deren Kontakt- und Adressdaten im Rahmen von Projekten/Aufträgen erfasst werden (z. B. Name, Telefon, E-Mail, Objekt-/Wohnadresse).

Kategorien personenbezogener Daten:

• Stammdaten (Name, ggf. Organisation/Arbeitsstandort)
• Kontaktdaten (E-Mail, ggf. Telefonnummer, Anschrift — geschäftlich oder, bei Endkunden, privat)
• Zugangs-/Authentifizierungsdaten (Login-Kennung, Passwort-Hash, ggf. 2FA-Secret)
• Nutzungs-/Protokolldaten (IP-Adresse, Zeitstempel, Aktivitäts-/Log-Daten)
• Inhalts-/Eingabedaten (Projekte, Aufgaben, Dokumente, Nachrichten, Kommentare); hierzu zählen auch Prompt-/Ausgabedaten, die bei Nutzung der KI-Funktionen an das Sprachmodell übergeben werden, sowie Adress-/Standortdaten, die zur Geocodierung übermittelt werden
• Vertrags-/Abrechnungsdaten (nur bei aktivierter Zahlungsfunktion; Kartendaten werden ausschließlich bei Stripe erhoben, nicht beim Auftragnehmer)

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung.

Dauer: Für die Laufzeit des Hauptvertrags; Löschung/Rückgabe gemäß § 7.

Anlage 2 — Genehmigte Unterauftragnehmer

Nr.	Unterauftragnehmer	Sitz / Verarbeitungsort	Zweck	Übermittlungsgrundlage
1	Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, DE	Deutschland (EU)	Hosting, Speicher, Backups (Betrieb der Anwendung/Infrastruktur)	EU/EWR — kein Drittlandtransfer
2	EDEN AI SAS (Handelsname DATAGENIUS), 19 Rue Louis Guérin, 69100 Villeurbanne, FR	Frankreich (EU)	KI-Dienst: Orchestrierung/Bereitstellung des Sprachmodells (Chat + Embeddings); Verarbeitung von Prompt-/Inhaltsdaten	EU/EWR; Modellanbieter siehe Nr. 3
3	Google (Gemini) als Sub-Unterauftragnehmer via EdenAI — Google Ireland Ltd.; Modellverarbeitung über Google Vertex AI (EU-Multiregion)	EU (Vertex AI EU-Multiregion)	KI-Modellverarbeitung der über den EU-Endpunkt von EdenAI (api.eu.edenai.run) übermittelten Nutzereingaben; Routing ausschließlich über EU-fähige Anbieter	EU/EWR — kein Drittlandtransfer
4	Google Maps Platform / Places — Google Ireland Ltd. / Google LLC (USA)	USA	Auflösung/Geocodierung von Adress-/Standortangaben (Arbeitspaket-Standorte)	Drittland USA: EU-US DPF, ergänzend EU-Standardvertragsklauseln + TIA
5	Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, IE	Irland (EU)	Zahlungs-/Abo-Abwicklung (sitzplatzbasiert)	EU-Vertragspartner; Stripe, Inc. (USA) als Sub-UAN: EU-US DPF, ergänzend SCC
6	Brevo GmbH (vormals Sendinblue), Köpenicker Str. 126, 10179 Berlin, DE	Deutschland (EU)	Versand transaktionaler E-Mails	EU/EWR
7	Cloudflare Germany GmbH, Rosenheimer Str. 143C, 81671 München, DE (Konzernmutter Cloudflare, Inc., USA)	Deutschland (EU); global (CDN)	DNS für die Domain sowie Auslieferung/Absicherung der öffentlichen Landing-Page (Website); die Anwendung selbst läuft direkt auf Hetzner (kein Cloudflare-Proxy)	Bei US-Konzernbezug: EU-US DPF, ergänzend EU-Standardvertragsklauseln + TIA

Hinweise:

• Google wird in zwei Funktionen eingesetzt: als Modellanbieter hinter dem KI-Dienst (Nr. 3, nur bei Nutzung der KI-Funktionen) sowie für die Adress-Geocodierung (Nr. 4).
• Die Web-Analyse erfolgt mit selbst betriebener Software (Umami) auf der Infrastruktur des Auftragnehmers (Hetzner); es erfolgt kein Datentransfer an Dritte.
• Mit jedem gelisteten Unterauftragnehmer besteht ein Auftragsverarbeitungsvertrag nach Art. 28 Abs. 4 DSGVO.

Anlage 3 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

• Zutrittskontrolle: Betrieb in einem zertifizierten Rechenzentrum (Hetzner, ISO 27001); physischer Zutrittsschutz obliegt dem Betreiber. Kein eigener Serverbetrieb.
• Zugangskontrolle: Anmeldung mit Benutzername/Passwort; Passwörter ausschließlich als sichere Hashes (bcrypt); optionale 2-Faktor-Authentifizierung (TOTP, Secret AES-256-GCM-verschlüsselt); Sperrung nach wiederholten Fehlversuchen; Session-Verwaltung.
• Zugriffskontrolle: Rollenbasiertes Rechtesystem (Owner/Admin/Member), Least-Privilege, Protokollierung von Zugriffen.
• Trennungskontrolle: Mandantentrennung je Organisation (org_id); Trennung von Produktiv- und Testsystem.

2. Integrität

• Weitergabekontrolle: Verschlüsselte Übertragung (TLS/HTTPS); JWT-basierte API-Authentifizierung.
• Eingabekontrolle: Aktivitäts-/Audit-Logs (wer, wann, was) für Änderungen und Löschungen.

3. Verfügbarkeit und Belastbarkeit

• Regelmäßige, automatisierte Backups (getrennt vom Produktivsystem); Monitoring; zeitnahe Sicherheitsupdates; Firewalls.

4. Löschung

• Personenbezogene Daten werden auf Weisung des Auftraggebers bzw. nach Vertragsende aus den produktiven Datenbank- und Dateisystemen gelöscht.
• In Sicherungskopien (Backups) enthaltene Daten werden im Rahmen des regulären Backup-Zyklus überschrieben.
• Die physische Vernichtung von Datenträgern obliegt dem Hosting-Anbieter (Hetzner) nach dessen Verfahren.
• Bei Unterauftragnehmern erfolgt die Löschung nach Maßgabe der jeweiligen DPAs.

5. Überprüfung

• Überprüfung der Maßnahmen mindestens jährlich sowie anlassbezogen; sorgfältige Auswahl und Prüfung der Unterauftragnehmer; Verpflichtung der Mitarbeiter auf Vertraulichkeit.