Auftragsverarbeitungsvertrag (AVV)

<!-- MARKER:START avv-parteien -->

Parteien

Zwischen Janeway.io UG (haftungsbeschränkt), August-Bebel-Straße 16, 16816 Neuruppin, eingetragen im Handelsregister des Amtsgericht Neuruppin unter HRB 15191 NP, vertreten durch den Geschäftsführer Lukas Pritzkow (nachfolgend „Auftragnehmer")

und

[Firmenname des Auftraggebers], [Straße, Hausnummer], [PLZ Ort], [Land], eingetragen im Handelsregister des [Amtsgericht], HRB [Nummer], vertreten durch [Name, Funktion] (nachfolgend „Auftraggeber")

— gemeinsam die „Parteien" —

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") regelt die Verarbeitung personenbezogener Daten durch Janeway.io UG (haftungsbeschränkt) (nachfolgend „Auftragsverarbeiter") im Auftrag des Auftraggebers (nachfolgend „Verantwortlicher") gemäß Art. 28 DSGVO.

<!-- MARKER:END avv-parteien --> <!-- MARKER:START avv-praeambel -->

Präambel und Rahmenangaben

Der Verantwortliche beauftragt den Auftragsverarbeiter mit einer datenverarbeitenden Hauptleistung. Hierzu zählen insbesondere (a) die Bereitstellung der cloudbasierten KI-Software-Suite (Janeway Suite) einschließlich KI-Assistenz, Workflow-Automatisierung, Kontakt- und Aufgabenverwaltung, Kalender, Notizen, Übersetzungsdienste sowie ergänzender Module, (b) der laufende Betrieb, die Wartung und der Support von Software-Systemen (Managed Services / Hosting) sowie (c) die Entwicklung von Software einschließlich etwaiger Testläufe mit personenbezogenen Testdaten. Die jeweils beauftragte Leistung ergibt sich aus dem zugrunde liegenden Vertrag — d.h. dem Abonnement-/Nutzungsvertrag über die Suite oder dem Rahmenvertrag nebst Leistungsanlagen (Managed Services, Softwareentwicklung) und Leistungsscheinen (nachfolgend einheitlich „Hauptvertrag" bzw. „Dienste"). Die nachstehenden Verweise auf die Janeway Suite sind beispielhaft und beschränken den Anwendungsbereich dieses AVV nicht.

Im Rahmen dieser Leistungserbringung verarbeitet der Auftragsverarbeiter personenbezogene Daten für und im Auftrag des Verantwortlichen. Die nachfolgenden Regelungen konkretisieren die datenschutzrechtlichen Pflichten beider Parteien.

1. Gegenstand der Verarbeitung

Gegenstand der Verarbeitung ist die technische Bereitstellung und der Betrieb der nach dem Hauptvertrag beauftragten Leistung für den Verantwortlichen — je nach Hauptvertrag die Bereitstellung und der Betrieb der Janeway Suite, der Betrieb/die Wartung gehosteter Software-Systeme (Managed Services) oder die Entwicklung von Software (einschließlich Testbetrieb) — einschließlich der Speicherung, Verarbeitung, Übermittlung und Nutzung der vom Verantwortlichen oder seinen Nutzern eingegebenen Daten zur Erbringung der vertraglich vereinbarten Funktionen.

2. Dauer der Verarbeitung

Die Verarbeitung erfolgt für die Dauer des Hauptvertrags (Abonnement-/Nutzungsvertrag bzw. Rahmenvertrag nebst Leistungsanlagen). Nach Beendigung des Hauptvertrags endet die Verarbeitung gemäß § 7 dieses AVV (Löschung und Rückgabe).

3. Art und Zweck der Verarbeitung

Die Verarbeitung dient ausschließlich der Erbringung der im Hauptvertrag vereinbarten Dienste. Art der Verarbeitung: Erhebung, Speicherung, Verarbeitung (inkl. KI-gestützter Analyse, soweit die Suite genutzt wird), Übermittlung, Bereitstellung, Abruf, Löschung personenbezogener Daten über die jeweils genutzte Infrastruktur (Janeway Suite bzw. die im Rahmen von Managed Services/Softwareentwicklung betriebenen oder bereitgestellten Systeme).

4. Art der personenbezogenen Daten

Je nach genutzten Modulen können folgende Datenkategorien betroffen sein:

• Stammdaten: Name, E-Mail-Adresse, Telefonnummer, Anschrift, Organisationszugehörigkeit
• Kommunikationsinhalte: Chat-Verläufe, KI-Antworten, Notizinhalte, Aufgabenbeschreibungen, Kalendereinträge
• Verkehrsdaten: Log-Daten, Nutzungsstatistiken, Zeitstempel, IP-Adressen
• Audio-/Sprachdaten: Sprachaufnahmen (Voice-Funktion), Transkripte (nur bei Nutzung KI-Telefonie)
• Transaktionsdaten: Abrechnungsdaten, Credit-Verbrauch (soweit durch Verantwortlichen eingegeben)
• Inhaltsdaten: Dokumente, Dateien, Medien, Exposé-Daten (bei Nutzung Immobilien-Modul)

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der bestimmungsgemäßen Verarbeitung. Sollte der Verantwortliche solche Daten gleichwohl eingeben, liegt die datenschutzrechtliche Verantwortung hierfür beim Verantwortlichen; der Verantwortliche hat sicherzustellen, dass eine entsprechende Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO vorliegt.

5. Kategorien betroffener Personen

• Mitarbeiter, Beschäftigte und Auftragnehmer des Verantwortlichen
• Kunden, Interessenten und Geschäftspartner des Verantwortlichen
• Kontaktpersonen Dritter (soweit vom Verantwortlichen in die Dienste eingegeben)

6. Rechte und Pflichten des Verantwortlichen

Der Verantwortliche bleibt im Sinne des Datenschutzrechts allein verantwortlich für die Rechtmäßigkeit der Datenverarbeitung. Er ist insbesondere berechtigt und verpflichtet:

• dem Auftragsverarbeiter Weisungen zur Verarbeitung zu erteilen (§ 1 dieses AVV);
• die Einhaltung dieses AVV zu kontrollieren (§ 8 dieses AVV);
• Betroffenenrechte sicherzustellen und den Auftragsverarbeiter dabei in Anspruch zu nehmen (§ 5 dieses AVV);
• den Auftragsverarbeiter unverzüglich zu informieren, wenn er Weisungsverstöße feststellt.

<!-- MARKER:END avv-praeambel --> <!-- MARKER:START avv-pflichtklauseln -->

§ 1 Weisungsgebundenheit (Art. 28 Abs. 3 Satz 2 lit. a DSGVO)

<!-- lit. a: Weisungsgebundenheit -->

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Europäischen Union oder des Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet. In diesem Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

(2) Weisungen erteilt der Verantwortliche in Textform (E-Mail genügt). Der Auftragsverarbeiter führt ein Weisungsregister, in dem Datum, Inhalt und ausführende Person jeder Weisung dokumentiert werden. Das Weisungsregister ist dem Verantwortlichen auf Verlangen vorzulegen.

(3) Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, bedürfen einer gesonderten Vereinbarung einschließlich etwaiger Vergütungsregelungen.

(4) Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, hat er den Verantwortlichen unverzüglich zu informieren. Er ist berechtigt, die Ausführung bis zur Klärung auszusetzen.

(5) Weisungen im Sinne dieses AVV umfassen auch Weisungen zur Datenübermittlung in Drittländer. Ohne ausdrückliche Weisung des Verantwortlichen erfolgt keine Übermittlung in Drittländer, es sei denn, dies ist nach diesem AVV (Anlage 3) ausdrücklich vorgesehen.

§ 2 Vertraulichkeit der Verarbeitungsbefugten (Art. 28 Abs. 3 Satz 2 lit. b DSGVO)

<!-- lit. b: Vertraulichkeit -->

(1) Der Auftragsverarbeiter stellt sicher, dass alle zur Verarbeitung befugten Personen die Vertraulichkeit der Daten gewährleisten. Die zur Verarbeitung befugten Personen haben sich schriftlich zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.

(2) Die Vertraulichkeitsverpflichtungen werden in Form von Vertraulichkeitserklärungen dokumentiert. Diese sind für die Dauer des AVV und darüber hinaus aufzubewahren und dem Verantwortlichen auf Verlangen nachweisbar vorzulegen.

(3) Nur solche Personen erhalten Zugang zu den Daten des Verantwortlichen, die diesen für die Erfüllung des Hauptvertrags benötigen (Need-to-know-Prinzip).

§ 3 Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 Satz 2 lit. c DSGVO)

<!-- lit. c: TOM -->

(1) Der Auftragsverarbeiter trifft alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (TOM), um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die TOM sind in Anlage 2 dieses AVV dokumentiert, einschließlich des jeweiligen Umsetzungsstands.

(2) Der Auftragsverarbeiter ist berechtigt, die TOM weiterzuentwickeln, soweit das Schutzniveau nicht unterschritten wird. Über wesentliche Änderungen an den TOM informiert er den Verantwortlichen vorab in Textform.

(3) Die TOM sind Mindeststandard. Der Verantwortliche kann weitergehende Maßnahmen durch Weisung gemäß § 1 vorgeben; etwaige Mehrkosten trägt der Verantwortliche.

§ 4 Sub-Auftragsverarbeiter (Art. 28 Abs. 2 und Abs. 4 DSGVO)

<!-- lit. d: Sub-Auftragsverarbeiter -->

(1) Allgemeine Genehmigung: Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zur Beauftragung von Sub-Auftragsverarbeitern gemäß der in Anlage 3 geführten Liste.

(2) Informationspflicht vor Änderungen: Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen — Hinzufügung oder Ersetzung von Sub-Auftragsverarbeitern — mindestens 30 Tage vor dem geplanten Einsatz in Textform.

(3) Einspruchsrecht: Der Verantwortliche kann gegen einen neuen oder geänderten Sub-Auftragsverarbeiter aus berechtigtem Grund in Textform Einspruch erheben. Berechtigte Gründe sind insbesondere: unzureichende TOM, Drittlandtransfer ohne geeigneten Schutzmechanismus, Konkurrenzsituation zum Verantwortlichen. Der Einspruch ist innerhalb von 14 Tagen ab Zugang der Mitteilung nach Abs. 2 in Textform zu erklären.

(3a) Suspensiveffekt: Erhebt der Verantwortliche fristgerecht Einspruch, setzt der Auftragsverarbeiter den betroffenen Sub-Auftragsverarbeiter bis zur einvernehmlichen Klärung nicht für die Verarbeitung personenbezogener Daten des Verantwortlichen ein. Kommt keine einvernehmliche Lösung zustande, ist der Verantwortliche berechtigt, diesen AVV und den Hauptvertrag außerordentlich zu kündigen.

(4) Back-to-Back: Der Auftragsverarbeiter legt jedem Sub-Auftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die ihm nach diesem AVV gegenüber dem Verantwortlichen obliegen (Art. 28 Abs. 4 DSGVO). Die Haftung des Auftragsverarbeiters gegenüber dem Verantwortlichen bleibt davon unberührt.

(5) Drittlandtransfers durch Sub-Auftragsverarbeiter: Soweit Sub-Auftragsverarbeiter ihren Sitz in Drittländern haben oder dort Verarbeitungen vornehmen, werden die in Anlage 3 je Empfänger angegebenen geeigneten Garantien vorgehalten. Maßgeblich ist der jeweils einschlägige Mechanismus: Angemessenheitsbeschluss nach Art. 45 DSGVO (EU-U.S. Data Privacy Framework) für DPF-zertifizierte Anbieter, ergänzend EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO; für Anbieter ohne gesicherte DPF-Zertifizierung EU-Standardvertragsklauseln (Art. 46 DSGVO) nebst Transfer-Impact-Assessment sowie — bei aktiver Auswahl eines US-Modells (insbesondere im Apex-Modus) — ergänzend die ausdrückliche Einwilligung nach Art. 49 Abs. 1 lit. a DSGVO. Die anbieterspezifische Zuordnung des jeweils einschlägigen Mechanismus — einschließlich der jeweils einschlägigen US-Empfänger — ergibt sich abschließend aus der Sub-Prozessoren-Übersicht in Anlage 3. Der Echtzeit-Medientransport (Voice) läuft über selbst betriebenes LiveKit auf Hetzner-Infrastruktur (Deutschland) und stellt keinen eigenen Sub-Auftragsverarbeiter dar.

§ 5 Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 Satz 2 lit. e DSGVO)

<!-- lit. e: Unterstützung Betroffenenrechte -->

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen dabei, seinen Pflichten gegenüber betroffenen Personen nachzukommen, insbesondere bei:

• Auskunft (Art. 15 DSGVO), Datenportabilität (Art. 20 DSGVO): Bereitstellung von Datenexporten auf Anfrage
• Berichtigung (Art. 16 DSGVO): Korrektur oder Aktualisierung von Datensätzen
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO): technische Umsetzung auf Weisung
• Widerspruch (Art. 21 DSGVO): Markierung betroffener Datensätze

(2) Eingehende Anfragen betroffener Personen, die sich an den Auftragsverarbeiter richten, leitet dieser unverzüglich, spätestens innerhalb von 72 Stunden, an den Verantwortlichen weiter. Diese kurze Weiterleitungsfrist stellt sicher, dass dem Verantwortlichen die volle gesetzliche Frist zur Beantwortung gegenüber der betroffenen Person (ein Monat ab Eingang, Art. 12 Abs. 3 DSGVO) zur Verfügung steht. Der Auftragsverarbeiter beantwortet Betroffenenanfragen nicht im eigenen Namen, es sei denn, der Verantwortliche weist ihn ausdrücklich an.

(3) Die Unterstützungsleistungen nach Abs. 1 sind — soweit sie über den vertraglich vereinbarten Leistungsumfang hinausgehen — vergütungspflichtig. Die Vergütung richtet sich nach dem im jeweiligen Leistungsschein oder Angebot vereinbarten Stundensatz.

§ 6 Unterstützung bei Sicherheit und behördlichen Pflichten (Art. 28 Abs. 3 Satz 2 lit. f DSGVO)

<!-- lit. f: Unterstützung Art. 32–36 -->

(1) Sicherheit (Art. 32 DSGVO): Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung seiner Pflichten nach Art. 32 DSGVO, insbesondere durch Bereitstellung der in Anlage 2 dokumentierten TOM-Nachweise.

(2) Meldepflicht Datenpanne (Art. 33 DSGVO): Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 48 Stunden nach Bekanntwerden. Die Meldung erfolgt per E-Mail an die vom Verantwortlichen benannte Kontaktstelle und enthält mindestens:

• eine Beschreibung der Art der Verletzung,
• die Kategorien und die ungefähre Anzahl der betroffenen Personen und Datensätze,
• die wahrscheinlichen Folgen und
• die ergriffenen oder vorgeschlagenen Maßnahmen.

Der Auftragsverarbeiter kann zunächst eine vorläufige Meldung mit den verfügbaren Informationen übermitteln und diese schrittweise ergänzen. Die gegenüber der gesetzlichen Frist verkürzte Meldefrist des Auftragsverarbeiters gewährleistet, dass dem Verantwortlichen ausreichend Zeit zur Erfüllung seiner 72-Stunden-Meldefrist (Art. 33 Abs. 1 DSGVO) gegenüber der Aufsichtsbehörde bleibt.

(3) Benachrichtigung Betroffener (Art. 34 DSGVO): Der Auftragsverarbeiter unterstützt den Verantwortlichen auf Weisung bei der Benachrichtigung betroffener Personen.

(4) Datenschutz-Folgenabschätzung (Art. 35 DSGVO): Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen für die Durchführung einer DSFA bereit.

(5) Vorabkonsultation (Art. 36 DSGVO): Der Auftragsverarbeiter unterstützt den Verantwortlichen auf Anfrage bei der Vorabkonsultation der Aufsichtsbehörde.

(6) Unterstützungsleistungen nach Abs. 3–5, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, sind vergütungspflichtig. Die Vergütung richtet sich nach dem im jeweiligen Leistungsschein oder Angebot vereinbarten Stundensatz.

§ 7 Löschung und Rückgabe nach Vertragsende (Art. 28 Abs. 3 Satz 2 lit. g DSGVO)

<!-- lit. g: Löschung/Rückgabe -->

(1) Wahlrecht des Verantwortlichen: Nach Beendigung des Hauptvertrags — gleich aus welchem Grund — hat der Verantwortliche das Wahlrecht, vom Auftragsverarbeiter zu verlangen:

a) Rückgabe aller personenbezogenen Daten in einem maschinenlesbaren Format (CSV, JSON oder XML nach Wahl des Verantwortlichen), verschlüsselt übertragen, oder
b) Löschung aller personenbezogenen Daten (einschließlich etwaiger Kopien), oder
c) eine Kombination aus Rückgabe bestimmter Datenkategorien und Löschung der übrigen.

(2) Frist und Default-Regel: Der Verantwortliche teilt seine Wahl nach Abs. 1 dem Auftragsverarbeiter spätestens 30 Tage nach Beendigung des Hauptvertrags mit. Der Auftragsverarbeiter führt Rückgabe oder Löschung innerhalb von 30 Tagen nach Eingang der Weisung durch. Teilt der Verantwortliche seine Wahl nicht innerhalb der genannten 30 Tage mit, weist der Auftragsverarbeiter ihn vor Ablauf dieser Frist mindestens einmal in Textform auf die ausstehende Wahl und die Folge der unterbleibenden Mitteilung hin. Erfolgt auch danach keine Wahl, löscht der Auftragsverarbeiter nach Ablauf der 30-Tage-Frist datenschutzkonform alle personenbezogenen Daten (Default-Löschung); eine etwaige Rückgabe ist dann nicht mehr möglich. Gesetzliche Aufbewahrungspflichten nach Abs. 6 bleiben unberührt.

(3) Format und Übertragung: Die Datenrückgabe erfolgt in einem offenen, maschinenlesbaren Format (CSV, JSON oder XML). Der Transport erfolgt verschlüsselt (HTTPS/SFTP). Details zu Format und Übertragungsweg regelt Anlage 4 (Löschkonzept).

(4) Backups: Sicherungskopien (Backups) werden spätestens 90 Tage nach dem Datum der Rückgabe oder Löschung endgültig und unwiederbringlich gelöscht.

(5) Löschstandard: Löschvorgänge erfolgen nach dem Standard DIN 66399 / NIST SP 800-88 (Kategorie nach Datenträgertyp). Dies schließt die Löschung von Daten bei Sub-Auftragsverarbeitern gemäß § 4 Abs. 4 ein.

(6) Gesetzliche Aufbewahrungspflichten: Daten, die gesetzlichen Aufbewahrungspflichten unterliegen (insbesondere §§ 257, 261 HGB, § 147 AO), werden bis zum Ablauf der jeweiligen gesetzlichen Frist gesperrt, d.h. von der aktiven Verarbeitung ausgeschlossen und ausschließlich zur Erfüllung der Aufbewahrungspflicht vorgehalten. Nach Ablauf der Frist werden sie unverzüglich gelöscht. Der Verantwortliche ist hiervon vorab in Kenntnis zu setzen.

(7) Löschprotokoll: Der Auftragsverarbeiter erstellt nach Abschluss der Löschung ein schriftliches Löschprotokoll, das Datum, angewandte Methode und verantwortliche Person ausweist, und übermittelt dieses an den Verantwortlichen. Auf Verlangen legt der Auftragsverarbeiter entsprechende Löschnachweise der Sub-Auftragsverarbeiter vor.

§ 8 Audit- und Kontrollrechte (Art. 28 Abs. 3 Satz 2 lit. h DSGVO)

<!-- lit. h: Audit/Nachweis -->

(1) Informationsrecht: Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses AVV zur Verfügung, insbesondere Dokumentationen, Weisungsregister, TOM-Nachweise und Vertraulichkeitserklärungen.

(2) Kontrollrechte: Der Verantwortliche oder ein von ihm beauftragter Drittprüfer (z.B. Datenschutzbeauftragter, Wirtschaftsprüfer, zertifizierter Datenschutzauditor) ist berechtigt, die Einhaltung dieses AVV durch Vor-Ort-Prüfungen, Dokumentensichtungen oder Fragebogen zu kontrollieren.

(3) Ankündigung und Frequenz: Audits sind dem Auftragsverarbeiter mindestens 4 Wochen im Voraus in Textform anzukündigen und auf das erforderliche Maß zu beschränken. Pro Kalenderjahr ist ein Audit-Recht ohne gesonderte Begründung vorgesehen; weitere Audits bedürfen eines besonderen Anlasses (z.B. sicherheitsrelevantes Ereignis).

(4) Kostenträger: Die Kosten der Vorbereitung und Begleitung durch den Auftragsverarbeiter für ein reguläres Jahres-Audit sind im Auftragsverarbeitungsverhältnis eingeschlossen; bei Anlassaudits und bei Beauftragung externer Prüfer trägt der Verantwortliche die entstehenden Mehrkosten des Auftragsverarbeiters nach Aufwand.

(5) Nachweisersatz: Statt Vor-Ort-Audits kann der Auftragsverarbeiter anerkannte Zertifizierungen oder Testate (z.B. ISO 27001, SOC 2, BSI C5) als gleichwertigen Nachweis vorlegen. Das Recht auf eigene Vor-Ort-Kontrolle nach Abs. 2 bleibt davon unberührt.

<!-- MARKER:END avv-pflichtklauseln --> <!-- MARKER:START avv-haftung -->

§ 9 Haftung

(1) Jede Partei haftet gegenüber der jeweils anderen Partei für Schäden, die durch Verstöße gegen diesen AVV entstehen, nach den allgemeinen gesetzlichen Bestimmungen, soweit nachfolgend nicht abweichend geregelt.

(2) Die Haftung des Auftragsverarbeiters gegenüber dem Verantwortlichen für einfache Fahrlässigkeit ist — soweit gesetzlich zulässig — auf den im Hauptvertrag für das jeweilige Vertragsjahr gezahlten Vergütungsbetrag begrenzt, mindestens jedoch auf 5.000 EUR je Schadensfall. Diese Begrenzung gilt nicht für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, für Schäden aus der Verletzung wesentlicher Vertragspflichten (Kardinalpflichten), für Vorsatz oder grobe Fahrlässigkeit sowie bei Ansprüchen nach dem Produkthaftungsgesetz und aus zugesicherten Eigenschaften.

(3) Im Außenverhältnis zu Betroffenen nach Art. 82 DSGVO haftet jede Partei nur für den Schaden, den sie zu verantworten hat. Das Regressverhältnis der Parteien untereinander richtet sich nach Art. 82 Abs. 4 und 5 DSGVO: Der Auftragsverarbeiter kann sich gegenüber dem Verantwortlichen auf Entlastung berufen, soweit er nachweist, dass ihn kein Verschulden trifft.

<!-- MARKER:END avv-haftung --> <!-- MARKER:START avv-schluss -->

§ 10 Schlussbestimmungen

(1) Vorrang: Dieser AVV geht im Falle von Widersprüchen mit dem Hauptvertrag in Bezug auf datenschutzrechtliche Regelungen vor.

(2) Schriftform: Änderungen und Ergänzungen dieses AVV bedürfen der Textform.

(3) Anwendbares Recht: Es gilt deutsches Recht. Gerichtsstand ist Neuruppin, soweit gesetzlich zulässig.

(4) Salvatorische Klausel: Sollte eine Bestimmung dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit des übrigen AVV unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

<!-- MARKER:END avv-schluss -->

---

<!-- MARKER:START avv-anlage-1 -->

Anlage 1: Beschreibung der Verarbeitung

Diese Anlage konkretisiert die Rahmenangaben nach Art. 28 Abs. 3 Satz 2 DSGVO und ist Bestandteil des AVV.

<!-- MARKER:END avv-anlage-1 -->

---

<!-- MARKER:START avv-anlage-2 -->

Anlage 2: Technische und organisatorische Maßnahmen (TOM)

Diese Anlage ergänzt § 3 dieses AVV und dokumentiert die nach Art. 32 DSGVO getroffenen Maßnahmen.

<!-- Partial: TOM (Art. 32 DSGVO) — wiederverwendet in datenschutz.md und avv.md -->

Wir treffen geeignete technische und organisatorische Maßnahmen (Art. 32 DSGVO), um ein dem Risiko angemessenes Schutzniveau zu gewährleisten:

• Transportverschlüsselung: Alle Datenübertragungen sind durchgängig durch TLS 1.2/1.3 (HTTPS) verschlüsselt.
• Verschlüsselung von Geheimnissen: Zugangsdaten und Geheimnisse (Provider- und Voice-Credentials) werden spaltenweise mit AES-256-GCM verschlüsselt abgelegt (encrypt-on-write). Die Übertragung erfolgt durchgängig TLS-verschlüsselt; das Hosting erfolgt im Hetzner-Rechenzentrum (DE). Eine vollständige Datenträger-Verschlüsselung (Verschlüsselung at rest auf Volume-Ebene) wird eingeführt.
• Zugriffskontrollen: Strikte rollenbasierte Zugriffsberechtigungen begrenzen den Datenzugriff auf das jeweils erforderliche Minimum (Need-to-know). Hochgeladene Nutzerinhalte (Chat-Anhänge, KI-generierte Bilder, Notiz-Bilder) liegen in zugriffsbeschränkten Speicher-Buckets und werden ausschließlich über einen authentifizierten Server-Proxy mit Workspace-Berechtigungsprüfung ausgeliefert. Bewusst über öffentlich abrufbare Adressen bereitgestellt werden lediglich Profilbilder (Avatare) sowie die zur Veröffentlichung bestimmten Immobilienmedien (Exposé-/Portalverteilung).
• Multi-Faktor-Authentifizierung (MFA): Die MFA-Funktion (TOTP) ist implementiert; die serverseitige Aktivierung und die verpflichtende Nutzung für administrative Zugänge sind in Vorbereitung. Bis dahin gilt die MFA-Nutzung als organisatorische Vorgabe für Administratoren.
• Sicherheitsüberprüfungen: Wir führen regelmäßige interne Sicherheitsreviews durch; externe Penetrationstests sind vorgesehen.
• Hosting in DE-Rechenzentren: Das Kern-Hosting erfolgt bei der Hetzner Online GmbH in Deutschland.
• Datensparsamkeit: Wir verarbeiten personenbezogene Daten nur im erforderlichen Umfang und löschen diese nach definierten Fristen (siehe Abschnitt Speicherdauer und Löschung).
• Verfügbarkeit / Backups: Derzeit erfolgt die Datensicherung anlassbezogen und manuell; ein automatisiertes tägliches Datenbank-Backup auf DE-Infrastruktur befindet sich in Einrichtung. Ein erster Wiederherstellungstest (Restore-Test) steht noch aus; regelmäßige Wiederherstellungstests werden mit Fertigstellung der automatisierten Sicherung etabliert.

Ergänzende AVV-spezifische Maßnahmen

• Pseudonymisierung/Datentrennung (Trennungskontrolle): Kundendaten werden mandantenfähig und logisch getrennt verarbeitet; kein Zugriff zwischen verschiedenen Kundenmandanten.
• Backup und Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO): Derzeit erfolgt die Datensicherung anlassbezogen und manuell; ein automatisiertes tägliches Datenbank-Backup auf Infrastruktur in Deutschland mit angestrebter Aufbewahrung von 30 Tagen befindet sich in Einrichtung. Ein erster Wiederherstellungstest (Restore-Test) steht noch aus; regelmäßige Wiederherstellungstests werden mit Fertigstellung der automatisierten Sicherung etabliert. Angestrebte Wiederherstellungsziele nach Fertigstellung: RPO ≤ 24 Stunden, RTO ≤ 8 Stunden (kritische Verarbeitungen). Eine verschlüsselte Backup-Ablage wird eingeführt.
• Belastbarkeit und Verfügbarkeit: DDoS-Schutz auf Infrastrukturebene; Wiederherstellung aus Backups (angestrebte Ziele nach Fertigstellung: RTO ≤ 8 Stunden, RPO ≤ 24 Stunden); angestrebte Verfügbarkeit 99,5 % im Monatsmittel, gemessen außerhalb geplanter Wartungsfenster.
• Weitergabekontrolle (Logging): Zugriffe auf personenbezogene Daten werden protokolliert und für die nachstehend vereinbarte Aufbewahrungsdauer (Audit-/Systemprotokolle) aufbewahrt.
• Regelmäßige Überprüfung (Art. 32 Abs. 1 lit. d DSGVO): Regelmäßige interne Sicherheitsreviews; automatisierte Vulnerability-Scans; externe Penetrationstests sind vorgesehen; Ergebnisse werden dokumentiert und Maßnahmen verfolgt.

Aufbewahrungsdauer / automatische Löschung (workspace-bezogen vereinbart)

Die Aufbewahrungsdauer der nachstehenden Datenkategorien ist je Workspace konfigurierbar; die automatische Löschung erfolgt täglich nach Ablauf der jeweils gesetzten Frist. Die nachstehend genannten Standardwerte sind zugleich die datenschutzfreundlichen Mindestwerte (eine Unterschreitung ist technisch nicht vorgesehen); eine Verlängerung ist im Rahmen der angegebenen Höchstwerte möglich. Der für diesen Workspace geltende Wert wird durch Ankreuzen genau einer der beiden Optionen vereinbart:

• ☐ Standard-Aufbewahrung: Audit-/Systemprotokolle 90 Tage · Voice-Transkripte 30 Tage · Call-Metadaten 90 Tage.
• ☐ Abweichend vereinbart (nur Verlängerung, technisch gedeckelt): Audit-/Systemprotokolle ____ Tage (max. 730) · Voice-Transkripte ____ Tage (max. 365) · Call-Metadaten ____ Tage (max. 365).

Genau eine Option ankreuzen; bei „abweichend" gilt der eingetragene, im Workspace gesetzte Wert; die automatische Löschung erfolgt nach Ablauf der jeweils gesetzten Frist.

<!-- MARKER:END avv-anlage-2 -->

---

<!-- MARKER:START avv-anlage-3 -->

Anlage 3: Genehmigte Sub-Auftragsverarbeiter

Diese Anlage ergänzt § 4 dieses AVV. Änderungen werden dem Verantwortlichen gemäß § 4 Abs. 2 mit einer Frist von 30 Tagen vorab mitgeteilt.

<!-- Partial: Sub-Prozessoren (Art. 28 DSGVO) — wiederverwendet in datenschutz.md und avv.md -->

Zur Erbringung unserer Dienste setzen wir folgende Auftragsverarbeiter ein, mit denen Verträge zur Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO abgeschlossen wurden. Bei Empfängern in Drittländern ist der konkrete Übermittlungsmechanismus angegeben (Art. 45 Angemessenheitsbeschluss / EU-US Data Privacy Framework, Art. 46 Standardvertragsklauseln oder Art. 49 Abs. 1 lit. a ausdrückliche Einwilligung).

Die in der Tabelle angegebenen Übermittlungsmechanismen sind anbieterbezogen festgelegt; die DPF-Listung der in den USA ansässigen Anbieter (Stripe, Microsoft, Vonage, Twilio, Cloudflare, CARTO, Google) wurde anhand der offiziellen Liste (dataprivacyframework.gov) als aktiv geführt geprüft und wird mindestens jährlich überprüft; der aktive Status ist vor Veröffentlichung final zu verifizieren. Verliert ein Anbieter seine DPF-Listung, stützt sich die Übermittlung ergänzend auf die jeweils angegebenen EU-Standardvertragsklauseln (Art. 46 DSGVO). Für OpenAI, Anthropic, Groq, KIE, Perplexity und Tavily besteht keine gesicherte DPF-Zertifizierung; deren Übermittlungen stützen sich auf Standardvertragsklauseln (Art. 46 DSGVO) nebst Transfer-Impact-Assessment und bei aktiver Nutzung einer US-Komponente (insbesondere im Apex-Modus, bei direkt wählbaren US-Modellen oder bei der Web-Such-Funktion) zusätzlich auf die ausdrückliche Einwilligung (Art. 49 Abs. 1 lit. a DSGVO). Web-Suche: Die Recherche-/Web-Such-Funktion in KI-Tools und Automatisierungs-Workflows nutzt vorrangig eine selbst gehostete Metasuche (SearXNG, kein Drittlandtransfer), sofern konfiguriert; ist diese nicht aktiviert, wird als Standard-Backend Tavily, Inc. (USA) eingesetzt, ergänzend kann als Recherche-Komponente Perplexity (USA, Sonar) genutzt werden. Übermittelt wird dabei jeweils die Suchanfrage; die Übermittlung in die USA stützt sich auf Standardvertragsklauseln (Art. 46 DSGVO) nebst Transfer-Impact-Assessment und die ausdrückliche Einwilligung (Art. 49 Abs. 1 lit. a DSGVO). Perplexity ist nicht mehr als direkt im Chat wählbares Modell freigeschaltet, sondern nur noch als Such-/Recherche-Komponente in Tools, Workflows und im Apex-Modus. Cloudflare Turnstile: Bei Anmeldung und Registrierung setzen wir zum Bot-/Spam-Schutz Cloudflare Turnstile ein; dabei wird die IP-Adresse des Nutzers an Cloudflare, Inc. (USA) übermittelt; Cloudflare ist unter dem EU-U.S. Data Privacy Framework gelistet (Art. 45 DSGVO), ergänzend gelten Standardvertragsklauseln (Art. 46 DSGVO). Der Aggregator OpenRouter ist derzeit deaktiviert und nicht freischaltbar; eine Übermittlung an ihn findet aktuell nicht statt (die Auflistung erfolgt vorsorglich für den Fall einer künftigen Freischaltung). Die Telefonie-/SMS-Dienste Vonage (SIP) und Twilio (SMS) sind als Provider vorgesehen, derzeit jedoch nicht produktiv genutzt (keine aktiven Zugangsdaten hinterlegt); eine Übermittlung an Vonage bzw. Twilio findet aktuell nicht statt und erfolgt nur, sofern der SIP- bzw. SMS-Versand genutzt wird. Eingegebene Inhalte werden nicht zum Training von KI-Modellen verwendet.

Sprachdienste (Voice): Sprache-zu-Text (Scaleway, Frankreich/EU; Whisper-Modell), Text-zu-Sprache/Sprachsynthese (Kugelaudio, Deutschland/EU) und der Gesprächs-LLM-Teil (Mistral AI, Frankreich/EU) werden im Voice-Standard vollständig über in der EU gehostete Dienste erbracht; es findet kein Drittlandtransfer und kein US-Fallback statt. Ein zusätzlicher EU-Voice-Modus über Microsoft Azure (West Europe) ist vorbereitet, derzeit jedoch nicht operativ einsatzbereit.

Stand der Sub-Prozessoren-Liste: Juni 2026. Die Liste wird bei Änderungen aktualisiert; das jeweilige Versionsdatum ist hier ausgewiesen.

KI-Verarbeitungsmodi

Sentinel & Cortex (DSGVO-konformer Modus): Diese KI-Dienste nutzen ausschließlich Modelle, die in Rechenzentren innerhalb der EU/des EWR gehostet werden. Eine Übermittlung von Inhalten in Drittländer findet dabei nicht statt. Die EU-Einstufung bezieht sich auf die Sprachmodell-Inferenz (Mistral, Frankreich); etwaige von Cortex genutzte Werkzeug- bzw. Gateway-Datenflüsse (z. B. Aufrufe einzelner Suite-Funktionen) sind hiervon zu unterscheiden und richten sich nach dem jeweils betroffenen Dienst.

Apex (optionaler Modus): Apex ist ein optionaler Modus, der nur nach Ihrer aktiven Auswahl genutzt wird und außerhalb des EU-Standard- und Datenresidenz-Betriebs liegt. Apex bündelt leistungsstärkere Modelle aus einem gemischten Pool: Er enthält US-Anbieter (Anthropic, Groq sowie den Aggregator KIE, der über eine US-Schnittstelle u. a. Gemini- und GPT-Modelle bereitstellt) und zusätzlich EU-Modelle (Mistral). Der gesamte Apex-Modus wird vorsorglich als Drittland-Übermittlung behandelt. Bei aktiver Auswahl werden Anfrageinhalte an die genannten US-Anbieter übermittelt; realer Empfänger der über KIE bereitgestellten Modelle ist KIE, nicht der jeweilige Modell-Hersteller. Rechtsgrundlage der Übermittlung ist Ihre ausdrückliche Einwilligung nach Art. 49 Abs. 1 lit. a DSGVO nach Hinweis auf das ggf. fehlende EU-Datenschutzniveau bei Anbietern ohne Angemessenheitsbeschluss. Wir empfehlen, im Apex-Modus keine besonders sensiblen personenbezogenen Daten zu verarbeiten.

Daneben können — außerhalb des Apex-Pools — weitere KI-Modelle einzeln und direkt ausgewählt werden, darunter Modelle von OpenAI (US). Die Auswahl eines solchen US-Modells löst denselben Einwilligungs- und Drittland-Hinweis aus wie der Apex-Modus. Die KI-Web-Such-Funktion (Backend Tavily bzw. Perplexity/Sonar, beide USA, sofern keine selbst gehostete Metasuche aktiv ist) löst bei Nutzung denselben Einwilligungs- und Drittland-Hinweis aus (Übermittlung der Suchanfrage in die USA auf Grundlage Art. 46 SCC + TIA und Art. 49 Abs. 1 lit. a DSGVO); Perplexity ist dabei nicht als direkt im Chat wählbares Modell, sondern nur als Such-/Recherche-Komponente in Tools, Workflows und im Apex-Modus verfügbar. Der weltweit weiterleitende Aggregator OpenRouter ist derzeit deaktiviert und nicht freischaltbar; sollte er künftig freigeschaltet werden, gälte zusätzlich, dass Anfrageinhalte an weltweit ansässige Sub-Anbieter weitergeleitet werden können.

Der einsetzbare KI-Modell-Katalog ist konfigurierbar; ein Modell ist nur aktiv, wenn die hierfür erforderlichen Zugangsdaten hinterlegt sind. Anbieter mit Datenverarbeitung in Drittländern ohne Angemessenheitsbeschluss und ohne tragfähige Garantien — insbesondere Anbieter mit Verarbeitung in der Volksrepublik China (z. B. DeepSeek) — sind hierfür nicht vorgesehen.

Google Analytics (nur Marketing-Website): Die Reichweitenmessung auf janeway.io mit Google Analytics 4 (Google Ireland Limited, Übermittlung auch an Google LLC/USA) betrifft ausschließlich Besucher der öffentlichen Marketing-Website und wird erst nach deren ausdrücklicher Einwilligung geladen. Sie ist nicht Gegenstand der Auftragsverarbeitung nach diesem Vertrag: im eingeloggten App-Bereich findet keine Webanalyse statt und es werden keine Daten der Auftraggeber an Google übermittelt.

Die konkreten Drittland-Schutzmechanismen je Sub-Auftragsverarbeiter ergeben sich abschließend aus der vorstehenden Sub-Prozessoren-Übersicht (Spalte „Drittland-Mechanismus"): Angemessenheitsbeschluss (Art. 45 DSGVO / EU-U.S. Data Privacy Framework) für die dort als DPF-zertifiziert ausgewiesenen Anbieter, ergänzend EU-Standardvertragsklauseln (Art. 46 DSGVO); für Anbieter ohne gesicherte DPF-Zertifizierung EU-Standardvertragsklauseln (Art. 46 DSGVO) nebst Transfer-Impact-Assessment sowie — bei aktiver Auswahl eines US-Modells (insbesondere im Apex-Modus) — ergänzend die ausdrückliche Einwilligung (Art. 49 Abs. 1 lit. a DSGVO); Anbieter mit Sitz in der EU (insbesondere Mistral AI, Frankreich, und Microsoft Azure, West Europe): kein Drittlandtransfer. Der Echtzeit-Medientransport (Voice) erfolgt über selbst betriebenes LiveKit auf Hetzner-Infrastruktur in Deutschland und ist kein eigener Sub-Auftragsverarbeiter. Die DPF-Zertifizierung der zertifizierten Anbieter wird vom Auftragsverarbeiter mindestens jährlich überprüft.

<!-- MARKER:END avv-anlage-3 -->

---

<!-- MARKER:START avv-anlage-4 -->

Anlage 4: Löschkonzept

Diese Anlage ergänzt § 7 dieses AVV und beschreibt das Vorgehen bei Datenrückgabe und -löschung nach Vertragsende.

Wahlrecht und Frist

Der Verantwortliche teilt seine Wahl (Rückgabe, Löschung oder Kombination) innerhalb von 30 Tagen nach Vertragsende schriftlich mit (§ 7 Abs. 2). Vor Ablauf dieser Frist erinnert der Auftragsverarbeiter den Verantwortlichen mindestens einmal in Textform an die ausstehende Wahl. Ohne fristgerechte Mitteilung löscht der Auftragsverarbeiter nach Ablauf der 30-Tage-Frist datenschutzkonform alle personenbezogenen Daten endgültig (Default-Löschung). Gesetzliche Aufbewahrungspflichten bleiben unberührt.

Datenrückgabe

Löschung

Löschprotokoll

Nach Abschluss erstellt der Auftragsverarbeiter ein Löschprotokoll mit Angabe von:

• Datum der Löschung/Rückgabe
• Angewandter Methode
• Verantwortliche Person (Name/Funktion)
• Bestätigung der Löschung bei Sub-AV (oder Verweis auf deren Nachweis)

Das Löschprotokoll wird dem Verantwortlichen innerhalb von 14 Tagen nach Abschluss übermittelt.

<!-- MARKER:END avv-anlage-4 -->