Auftragsverarbeitungsvertrag (AVV)

Der nachfolgende Vertrag regelt die Auftragsverarbeitung nach Art. 28 DSGVO für die Nutzung der SaaS-Plattform Rechtskataster.com. Rechtskataster.com ist eine organisatorische Compliance-Plattform und erbringt keine Rechtsdienstleistungen im Sinne des Rechtsdienstleistungsgesetzes (RDG).

Vertragsparteien

Auftraggeber (Verantwortlicher):
[wird vom Auftraggeber ausgefüllt]

Auftragnehmer (Auftragsverarbeiter):
Privates Institut für Qualität und Innovation GmbH
Niedensteinsweg 8
59846 Sundern
Deutschland
Vertreten durch die Geschäftsführung: Leif vom Lehn, Paula vom Lehn
Telefon: 02933 786 3185
E-Mail: info@iqi-gmbh.de

Präambel

Der Auftraggeber nutzt die SaaS-Plattform Rechtskataster.com (nachfolgend „Plattform") des Auftragnehmers zur Verwaltung und Pflege eines unternehmensspezifischen Rechtskatasters, zur Verwaltung von Pflichten, zur Änderungsüberwachung von Rechtsvorschriften sowie zur KI-gestützten Analyse von Rechtsinhalten. Im Rahmen dieser Nutzung verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers. Dieser Vertrag regelt die Auftragsverarbeitung gemäß Art. 28 DSGVO. Rechtskataster.com ist eine organisatorische Compliance-Plattform und erbringt keine Rechtsdienstleistungen im Sinne des Rechtsdienstleistungsgesetzes (RDG).

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung und Nutzung der Plattform Rechtskataster.com gemäß den Bestimmungen des zwischen den Parteien geschlossenen Nutzungsvertrages.

(2) Die Verarbeitung erfolgt ausschließlich im Rahmen der Nutzung der Plattform als Rechtskataster- und Pflichtenmanagement-System.

(3) Dieser Vertrag gilt für die Dauer des Nutzungsvertrages über die Plattform. Er endet automatisch mit Beendigung des Nutzungsvertrages, unbeschadet der Regelungen zur Löschung und Rückgabe in § 12.

§ 2 Art, Umfang und Zweck der Verarbeitung

(1) Zweck der Verarbeitung ist die Bereitstellung der Plattform als webbasiertes Rechtskataster- und Pflichtenmanagementsystem, insbesondere:

• Verwaltung und Pflege eines individuellen Rechtskatasters
• Abbildung von Gesetzen, Vorschriften und Pflichten (EU, Bund, Länder, DGUV, BAuA)
• KI-gestützte Verschlagwortung und Analyse von Rechtsinhalten
• Änderungsüberwachung von Rechtsvorschriften
• Verwaltung und Zuweisung von Pflichten an Personen
• Auslesen und Analyse hochgeladener Dokumente per KI (KI-Anbieter aus der EU)
• Berichtswesen und Reporting
• Stoffmanager-Funktionalität (Gefahrstoffe, wassergefährdende Stoffe)
• Optional und nur nach Buchung des Zusatzmoduls: KI-gestützter Pflichten-Assistent für Fragen zu den Pflichten des eigenen Katasters (§ 10a, Anlage 4)

(2) Die Verarbeitung erfolgt ausschließlich auf Weisung des Auftraggebers, soweit in diesem Vertrag oder im Nutzungsvertrag nicht anders geregelt.

(3) Der Umfang der Verarbeitung ergibt sich aus dem Nutzungsvertrag, den auf der Plattform verfügbaren Funktionen sowie den vom Auftraggeber eingegebenen und hochgeladenen Daten.

§ 3 Arten personenbezogener Daten und Kategorien betroffener Personen

(1) Die im Rahmen der Plattformnutzung verarbeiteten personenbezogenen Daten umfassen:

• Bestandsdaten: Name, E-Mail-Adresse, Organisation/Zugehörigkeit, Rolle/Berechtigung
• Anmeldedaten: Benutzername, Passwort (ausschließlich gehasht), Session-Token
• Nutzungsdaten: Zugriffszeiten, aufgerufene Funktionen, Änderungsprotokolle
• Inhaltsdaten: Vom Auftraggeber im Rechtskataster gepflegte Inhalte, zugewiesene Pflichten, hochgeladene Dokumente
• Server-Logfiles: IP-Adresse, Browsertyp/-version, Betriebssystem, Referrer-URL, Uhrzeit der Serveranfrage
• E-Mail-Versanddaten: Empfängeradresse und -name, Inhalt und Anhänge der System-E-Mails, Zustellstatus, Rückläufer, Spam-Beschwerden und Abmeldungen
• Nur bei Buchung des Zusatzmoduls „Pflichten-Assistent" (§ 10a): Fragetexte der Nutzer an den Assistenten (vor der Übermittlung automatisch bereinigt) und die zugehörigen Antworten

(2) Kategorien betroffener Personen:

• Mitarbeiter und sonstige Nutzer des Auftraggebers, denen ein Plattform-Zugang eingerichtet wurde
• Personen, die in den vom Auftraggeber im Rechtskataster gepflegten Inhalten oder hochgeladenen Dokumenten genannt werden

(3) Hinweis zur Datenminimierung (Privacy by Design, Art. 25 DSGVO): Die Plattform unterstützt die Nutzung von Funktionspostfächern (z. B. hr@firma.de) anstelle persönlicher E-Mail-Adressen und Klarnamen. Der Auftraggeber kann dadurch die Verarbeitung personenbezogener Daten minimieren. Die Vergabe von Berechtigungen und die Zuweisung von Pflichten sind auch ohne Verwendung von Klarnamen möglich.

(4) Datenminimierung vor dem Upload: Der Auftraggeber wählt die hochgeladenen Dokumente eigenverantwortlich aus. Er wird vor dem Upload personenbezogene Daten, die für die Ermittlung von Rechtspflichten nicht erforderlich sind, nach Möglichkeit entfernen oder unkenntlich machen, und Dokumente mit besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO nur hochladen, soweit deren Auswertung tatsächlich erforderlich ist. Der Auftragnehmer weist an der Upload-Funktion auf diesen Grundsatz hin (Art. 5 Abs. 1 lit. c, Art. 25 DSGVO).

§ 4 Weisungsrecht

(1) Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich auf Weisung des Auftraggebers, es sei denn, er ist durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. In diesem Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Weisungen werden durch den Nutzungsvertrag, diesen Vertrag sowie durch die Konfiguration und Nutzung der Plattform durch den Auftraggeber erteilt. Weisungen können auch durch die Einstellungen und Softwarefunktionalitäten der Plattform erteilt werden.

(3) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzbestimmungen verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.

§ 5 Pflichten des Auftragsverarbeiters

(1) Der Auftragnehmer verarbeitet die ihm im Rahmen des Auftragsverhältnisses überlassenen personenbezogenen Daten nicht für eigene Zwecke. Kopien oder Duplikate der personenbezogenen Daten werden ohne Wissen des Auftraggebers nicht erstellt.

(2) Der Auftragnehmer hält die einschlägigen datenschutzrechtlichen Vorschriften ein, insbesondere die DSGVO und das BDSG.

(3) Der Auftragnehmer unterstützt den Auftraggeber bei der Führung des Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 DSGVO, indem er die erforderlichen Informationen über die im Rahmen der Plattform durchgeführten Verarbeitungstätigkeiten bereitstellt.

§ 6 Verschwiegenheitspflicht

(1) Der Auftragnehmer stellt sicher, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Verschwiegenheit verpflichtet sind, soweit sie keiner gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Die Verschwiegenheitspflicht besteht über das Ende des Beschäftigungsverhältnisses bzw. der Beauftragung hinaus.

§ 7 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

(1) Der Auftragnehmer ergreift alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Maßnahmen sind in Anlage 1 (TOM) dieses Vertrages detailliert beschrieben.

(2) Die Maßnahmen umfassen insbesondere:

• TLS-Verschlüsselung der Datenübertragung, zur Kundendatenbank mit TLS 1.3; System-E-Mails TLS-verschlüsselt, soweit der Mailserver des Empfängers dies unterstützt
• Mandantentrennung (Rechtsinhalte und Kundendaten in getrennten Datenbeständen)
• HMAC-SHA-256-signierte Session-Tokens
• Passwörter ausschließlich gehasht (keine Klartextspeicherung)
• Hosting und Speicherung der Plattformdaten in der EU (Rechenzentrumsregion Frankfurt am Main, Deutschland); Drittlandbezug nur nach § 10 Abs. 3 (Versand der System-E-Mails, etwaige Fernzugriffe des Hosting-Anbieters) und § 10a (Zusatzmodul, nur bei Buchung)
• Kein Tracking, keine Werbe-Cookies, ausschließlich technisch nötige Cookies
• Privacy by Design: Unterstützung von Funktionspostfächern zur Datenminimierung
• Trennung von Rechtsinhalten und personenbezogenen Kundendaten

(3) Der Auftragnehmer passt die Maßnahmen der technischen und organisatorischen Weiterentwicklung an und informiert den Auftraggeber über wesentliche Änderungen.

(4) Für Auftraggeber, die ein ISMS nach ISO/IEC 27001 betreiben, über TISAX zertifiziert sind oder BSIG-Vorgaben zu beachten haben: Die TOM des Auftragnehmers sind so ausgestaltet, dass sie den Anforderungen an die Sicherheit der Verarbeitung gemäß Art. 32 DSGVO in Verbindung mit den jeweiligen normativen Anforderungen (ISO/IEC 27001 Annex A, BSI IT-Grundschutz, TISAX-Assessment-Kriterien) gerecht werden. Die in Anlage 1 dokumentierten Maßnahmen können als Nachweis im Rahmen von Audits und Assessment-Ergebnissen herangezogen werden.

(5) Einzelheiten zu Schlüsselmanagement, Backup-Verschlüsselung, Löschkonzept produktiver Systeme, Wiederherstellungszeiten (RTO/RPO) und Prüfturnus stellt der Auftragnehmer dem Auftraggeber und dessen Datenschutzbeauftragtem auf Anforderung in einem nicht-öffentlichen, versionierten TOM-Detaildokument gegen Vertraulichkeitsvereinbarung zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO).

§ 8 Unterstützung des Verantwortlichen

(1) Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen auf Wahrung der Rechte betroffener Personen nach Kapitel III DSGVO (Art. 28 Abs. 3 lit. e DSGVO).

(2) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Durchführung von Datenschutz-Folgenabschätzungen, soweit diese die spezifische Verarbeitung auf der Plattform betreffen (Art. 28 Abs. 3 lit. f DSGVO).

(3) Soweit eine betroffene Person sich unmittelbar an den Auftragnehmer wendet, leitet der Auftragnehmer das Ersuchen unverzüglich an den Auftraggeber weiter.

§ 9 Meldepflicht bei Datenschutzverletzungen

(1) Der Auftragnehmer teilt dem Auftraggeber unverzüglich Störungen, Verstöße sowie den Verdacht auf Datenschutzverletzungen oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten mit.

(2) Die Meldung erfolgt unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung, um dem Auftraggeber die Einhaltung seiner Meldefristen nach Art. 33 und Art. 34 DSGVO zu ermöglichen. Maßgeblich ist die Kenntnis des Auftragnehmers als Unternehmen; auf die Kenntnis der Geschäftsführung kommt es nicht an.

(3) Der Auftragnehmer unterstützt den Auftraggeber erforderlichenfalls bei der Meldung an die zuständige Aufsichtsbehörde (Art. 33 DSGVO) und der Benachrichtigung betroffener Personen (Art. 34 DSGVO).

(4) Die Meldung enthält mindestens: Art der Verletzung, Art und Umfang der betroffenen personenbezogenen Daten, Zeitpunkt der Feststellung, wahrscheinliche Folgen, Maßnahmen zur Behebung und Schadensbegrenzung.

§ 10 Subunternehmer / Weitere Auftragsverarbeiter

(1) Der Auftragnehmer setzt zur Erfüllung des Nutzungsvertrages folgende weitere Auftragsverarbeiter ein. Eine detaillierte Übersicht befindet sich in Anlage 2. Die ausschließlich im Rahmen des optionalen Zusatzmoduls „Pflichten-Assistent" eingesetzten weiteren Auftragsverarbeiter sind in Anlage 4 aufgeführt; sie werden nur tätig, wenn und solange der Auftraggeber das Zusatzmodul gebucht hat (§ 10a).

(2) Mit allen Dienstleistern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Die Kunden- und Vertragsverwaltung (CRM) sowie die technische Automatisierung zwischen den eingesetzten Systemen führt der Auftragnehmer in einer eigenen Anwendung durch, die auf der in Absatz 1 genannten Hosting-Infrastruktur in Deutschland betrieben wird; ein weiterer Auftragsverarbeiter ist hierfür nicht eingeschaltet.

(3) Die in Absatz 1 genannten weiteren Auftragsverarbeiter haben ihren Sitz in der Europäischen Union und verarbeiten dort; ausgenommen ist allein der Dienstleister für den Versand der System-E-Mails der Plattform (AC PM, LLC, USA; Anlage 2 Nr. 4). Die Übermittlung an ihn stützt sich auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework (Art. 45 Abs. 3 DSGVO), nach dem der Anbieter nach eigener Angabe zertifiziert ist; daneben sieht sein Data Processing Addendum, das Bestandteil seiner Nutzungsbedingungen ist, die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) vor. Außerhalb des Zusatzmoduls „Pflichten-Assistent" ist kein weiterer Auftragsverarbeiter mit Sitz in einem Drittland eingeschaltet. Der Hosting-Anbieter verarbeitet die Daten ausschließlich in Rechenzentren in Deutschland (Region Frankfurt am Main); für etwaige Fernzugriffe des Hosting-Anbieters aus Drittländern im Rahmen von Betrieb und Support gelten die in dessen Datenverarbeitungszusatz vereinbarten EU-Standardvertragsklauseln. Für die Anbieter des Zusatzmoduls „Pflichten-Assistent" gilt Anlage 4.

(4) Die KI-Modelle werden nicht mit Inhalten des Auftraggebers trainiert. Die KI-Verarbeitung der Plattform nach § 2 Abs. 1 erfolgt ausschließlich über europäische Anbieter mit Rechenzentren in der EU; eine Übermittlung personenbezogener Daten an KI-Anbieter außerhalb der EU findet insoweit nicht statt. Allein im Rahmen des optionalen Zusatzmoduls „Pflichten-Assistent" werden auf Weisung des Auftraggebers (Buchung) Anbieter mit Sitz in den USA eingesetzt; die Einzelheiten regeln § 10a und Anlage 4.

(5) Der Auftragnehmer informiert den Auftraggeber in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines weiteren Auftragsverarbeiters, und zwar mindestens vier Wochen vor deren Wirksamwerden, unter Angabe von Name, Sitz und Verarbeitungszweck. Der Auftraggeber kann der Änderung innerhalb von 14 Tagen nach Zugang der Information aus einem datenschutzrechtlich begründeten Grund in Textform widersprechen. Erfolgt innerhalb dieser Frist kein Widerspruch, gilt die Änderung als genehmigt.

(6) Widerspricht der Auftraggeber, teilt der Auftragnehmer ihm innerhalb von 14 Tagen nach Zugang des Widerspruchs in Textform mit, ob er von der Änderung absieht, sie für den Auftraggeber nicht anwendet oder eine gleichwertige Lösung anbietet. Kommt innerhalb von 30 Tagen nach Zugang des Widerspruchs keine Einigung zustande, ist der Auftraggeber berechtigt, diesen Vertrag und den Nutzungsvertrag außerordentlich mit Wirkung zum Zeitpunkt des Wirksamwerdens der Änderung zu kündigen. Im Voraus entrichtete Entgelte für den nicht mehr in Anspruch genommenen Leistungszeitraum werden anteilig erstattet.

§ 10a Zusatzmodul „Pflichten-Assistent" (optional)

(1) Geltung nur bei Buchung: Die Bestimmungen dieses § 10a und die in Anlage 4 aufgeführten weiteren Auftragsverarbeiter gelten ausschließlich, wenn und solange der Auftraggeber das Zusatzmodul „Pflichten-Assistent" gebucht hat. Ohne Buchung findet keine Verarbeitung nach diesem § 10a statt, und die in Anlage 4 genannten Auftragsverarbeiter erhalten keine Daten des Auftraggebers. Die übrigen Bestimmungen dieses Vertrages bleiben unberührt.

(2) Buchung und Beendigung: Die Buchung erfolgt durch Auftrag des Auftraggebers in Textform. Der Auftragnehmer schaltet das Zusatzmodul im Administrationsbereich frei; Zeitpunkt und bearbeitende Person werden protokolliert. Mit der Buchung weist der Auftraggeber den Auftragnehmer an, die Verarbeitung nach Absatz 4 durchzuführen (§ 4); er bestätigt, die Angaben zur Drittlandübermittlung in Anlage 4 zur Kenntnis genommen zu haben. Der Auftraggeber kann die Buchung jederzeit mit Wirkung für die Zukunft beenden; mit der Beendigung steht die Funktion in der Anwendung nicht mehr zur Verfügung, und die Verarbeitung nach diesem § 10a endet.

(3) Gegenstand und Datenumfang: Der Pflichten-Assistent beantwortet Fragen der Nutzer des Auftraggebers zu den im Pflichtenkataster der Organisation erfassten Rechtspflichten (Umsetzung, Nachweisführung, Anlässe) durch ein Sprachmodell eines externen Anbieters. Je Frage übermittelt der Auftragnehmer an den Anbieter den automatisch bereinigten Fragetext (Entfernung von E-Mail-Adressen, Telefonnummern, IBAN, Namen mit Anrede sowie des Organisationsnamens) nebst den vorangegangenen Zügen derselben Sitzung, Auszüge des Rechtskatasters (Rechtstexte der betroffenen Pflichten) sowie — soweit vorhanden — vom Auftraggeber selbst angelegte Pflichten (aus hochgeladenen Dokumenten oder manuell erfasst: Titel, Beschreibung, Belegstelle als Zitat aus dem Dokument, Adressat, Frist; nicht das Dokument selbst), den anonymen Bearbeitungsstand dieser Pflichten (Status, Turnus, Fälligkeit, Anzahl hinterlegter Nachweise) sowie anonyme Unternehmensangaben ohne Identifikationsmerkmale (Bundesländer, Rollen, Tätigkeiten, Anlagen, Stoffe, Kennzahlen). Nicht übermittelt werden Name und Anschrift der Organisation, Namen und Kontaktdaten von Personen, Zuweisungen, Notizen, Maßnahmen und Nachweise. Die Auswahl der Pflichten erfolgt technisch ausschließlich aus dem Pflichtenbestand des Auftraggebers. Für selbst angelegte Pflichten gilt § 3 Abs. 4 entsprechend: welche Inhalte sie tragen, bestimmt der Auftraggeber beim Upload bzw. bei der Erfassung. Die Einzelheiten beschreibt Anlage 4.

(4) Verarbeitungskette und Drittlandübermittlung: Die Verarbeitung erfolgt über die in Anlage 4 aufgeführten Anbieter mit Sitz in den USA, die in der dort genannten Reihenfolge angesprochen werden; steht ein Anbieter nicht zur Verfügung, wird der nächste genutzt. Die Übermittlung in ein Drittland erfolgt auf Grundlage der mit dem jeweiligen Anbieter vereinbarten EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) nebst den in Anlage 4 beschriebenen ergänzenden Maßnahmen. Die übermittelten Inhalte werden nicht zum Training von KI-Modellen verwendet; soweit ein Anbieter eine Betriebsart ohne Speicherung der Eingaben anbietet, nutzt der Auftragnehmer diese. Soweit ein Anbieter die Anfrage an nachgelagerte Betreiber des Sprachmodells vermittelt (Anlage 4 Nr. 3), sind diese dessen Unterauftragsverarbeiter; der Auftragnehmer beschränkt die Vermittlung durch eine Vorgabe in jeder Anfrage auf Betreiber, die Eingaben nicht speichern und nicht zum Training verwenden (Anlage 4 D).

(5) Speicherung und Löschung beim Auftragnehmer: Der Auftragnehmer protokolliert je Frage Zeitpunkt, Benutzer- und Organisationskennung, die Kennungen der herangezogenen und in der Antwort genannten Pflichten, Anbieter, Modell, Dauer und Umfang (Token) sowie den bereinigten Fragetext und die Antwort. Fragetext und Antwort werden 30 Tage nach der Anfrage automatisch entfernt; die übrigen Angaben bleiben für Abrechnung und Nachweis der ordnungsgemäßen Verarbeitung erhalten und unterliegen § 12. Der Gesprächsverlauf wird nur in der Browsersitzung des Nutzers gehalten.

(6) Pflichten des Auftraggebers: Der Auftraggeber weist seine Nutzer an, keine personenbezogenen Daten Dritter in Fragen einzugeben; die Anwendung weist bei jeder Eingabe darauf hin. Die Bereinigung nach Absatz 3 ist musterbasiert und kann Personenbezug in anderer Formulierung nicht sicher erkennen.

(7) Die Antworten des Pflichten-Assistenten sind Hinweise zur Umsetzung und keine Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes (RDG).

§ 11 Kontrollrechte und Audit

(1) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.

(2) Der Auftragnehmer ermöglicht dem Auftraggeber nach entsprechender Terminvereinbarung Überprüfungen einschließlich Inspektionen, die vom Auftraggeber oder einem von ihm beauftragten Prüfer durchgeführt werden.

(3) Für Auftraggeber mit ISMS nach ISO/IEC 27001, TISAX-Assessment oder BSIG-Konformität: Die Überprüfung kann im Rahmen der internen Audits, TISAX-Assessment-Prozesse oder BSI-Konformitätsprüfungen des Auftraggebers erfolgen. Der Auftragnehmer unterstützt diese Prüfungen durch Bereitstellung relevanter Dokumentation (TOM, Subunternehmer-Verzeichnis, Sicherheitskonzepte).

(4) Soweit der Auftragnehmer durch eine anerkannte Zertifizierung oder ein genehmigtes Zertifizierungsverfahren nach Art. 42 DSGVO nachweist, dass er die erforderlichen Maßnahmen getroffen hat, kann dies als Faktor für den Nachweis herangezogen werden. Eine zwingende Vor-Ort-Kontrolle ist dann nicht erforderlich.

§ 12 Löschung und Rückgabe

(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen hat der Auftragnehmer alle personenbezogenen Daten nach Wahl des Auftraggebers zu löschen, zu vernichten oder zurückzugeben.

(2) Die Löschung bzw. Vernichtung ist dem Auftraggeber mit Datumsangabe schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen.

(3) Backups werden spätestens 30 Tage nach Beendigung des Vertrages gelöscht.

(4) Soweit gesetzliche Aufbewahrungspflichten bestehen, kann der Auftragnehmer die Daten bis zum Ablauf der Aufbewahrungsfrist speichern, verpflichtet sich jedoch, diese Daten ausschließlich zur Erfüllung der gesetzlichen Pflichten zu verarbeiten.

§ 13 Haftung

(1) Die Haftung der Parteien richtet sich nach den Bestimmungen der DSGVO, insbesondere Art. 82 DSGVO, sowie den gesetzlichen Vorschriften.

(2) Der Auftragnehmer haftet dem Auftraggeber für Schäden, die er durch nicht vorschriftsmäßige Verarbeitung verursacht hat, soweit er seinen Pflichten nach Art. 28 DSGVO nicht nachgekommen ist.

§ 14 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrages bedürfen der Schriftform. Dies gilt auch für die Aufhebung der Schriftform.

(2) Sollten einzelne Bestimmungen dieses Vertrages unwirksam oder undurchführbar sein, so bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien werden die unwirksame Bestimmung durch eine wirksame ersetzen, die dem wirtschaftlichen Zweck am nächsten kommt.

(3) Dieser Vertrag unterliegt dem Recht der Bundesrepublik Deutschland.

(4) Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragnehmers.

(5) Anlagen sind Bestandteil dieses Vertrages: Anlage 1 (TOM), Anlage 2 (Subunternehmer-Verzeichnis), Anlage 3 (Beschreibung der Verarbeitungstätigkeit), Anlage 4 (Zusatzmodul „Pflichten-Assistent" — gilt nur bei Buchung).

Anlage 1 — Technische und organisatorische Maßnahmen (TOM)

Anlage 2 — Verzeichnis der Subunternehmer

Zusage zum Verarbeitungsweg (Mistral AI): Verarbeitet werden Rechtsinhalte sowie die Inhalte der vom Auftraggeber hochgeladenen Dokumente. Ob diese personenbezogene Daten enthalten, bestimmt allein der Auftraggeber durch die Auswahl der hochgeladenen Dokumente; der Auftragnehmer trifft hierzu keine inhaltliche Vorauswahl. Unabhängig vom Inhalt gilt für diese Verarbeitung: Sie erfolgt ausschließlich über den in dieser Anlage benannten Anbieter mit Sitz in der Europäischen Union, und zwar über dessen EU-Endpunkt (api.eu.mistral.ai). Ein Ausweichen auf Anbieter außerhalb der EU ist für diese Verarbeitung technisch ausgeschlossen; steht der benannte Anbieter nicht zur Verfügung, unterbleibt die Verarbeitung. Die übergebenen Inhalte werden nicht zum Training von KI-Modellen verwendet. Über die Bearbeitung des jeweiligen Auftrags hinaus werden die an das Modell übergebenen Inhalte beim Auftragnehmer nicht gesondert vorgehalten; das hochgeladene Dokument selbst verbleibt im Bestand des Auftraggebers und unterliegt dessen Löschweisung. Die verbindlichen Bedingungen des Anbieters: Data Processing Addendum, Unterauftragsverarbeiter.

Unterlagen des Dienstleisters für den E-Mail-Versand (Nr. 4, Postmark), abgerufen am 23.09.2026: Data Processing Addendum, Nutzungsbedingungen, Datenschutzhinweise für Kunden in der EU und Unterauftragsverarbeiter. Der Anbieter hält Inhalt, Anhänge und Ereignisdaten der E-Mails nach seiner Voreinstellung 45 Tage vor und löscht sie danach; Statistiken zu Rückläufern und Spam-Beschwerden bewahrt er dauerhaft auf, Adressen auf seiner Sperrliste (Rückläufer, Spam-Beschwerden, Abmeldungen) führt er bis zur Aufhebung.

Der KI-Anbieter der Plattform (Mistral AI) verarbeitet ausschließlich in der EU. Der unter Nr. 3 genannte Dienstleister (easybill) wird erst mit Zustandekommen eines Vertragsverhältnisses tätig. Der unter Nr. 4 genannte Dienstleister (Postmark) versendet die System-E-Mails der Plattform und verarbeitet dafür in den USA; die Grundlage der Übermittlung nennt die Tabelle. Die Kunden- und Vertragsverwaltung führt der Auftragnehmer in einer eigenen Anwendung auf der Infrastruktur nach Nr. 1 durch; ein externer CRM- oder Automatisierungsdienst ist nicht eingeschaltet. Die Anbieter des optionalen Zusatzmoduls „Pflichten-Assistent" sind in Anlage 4 aufgeführt und werden nur nach Buchung des Zusatzmoduls tätig (§ 10a).

Anlage 3 — Beschreibung der Verarbeitungstätigkeit

Anlage 4 — Zusatzmodul „Pflichten-Assistent": Verarbeitungsbeschreibung und Unterauftragsverarbeiter

Diese Anlage gilt nur, wenn und solange der Auftraggeber das Zusatzmodul „Pflichten-Assistent" gebucht hat (§ 10a Abs. 1). Ohne Buchung erhalten die hier genannten Anbieter keine Daten des Auftraggebers; die Funktion ist in der Anwendung dann nicht verfügbar.

A. Verarbeitung je Anfrage

Die Bereinigung ist musterbasiert und kann Personenbezug in anderer Formulierung nicht sicher erkennen; die Anwendung weist die Nutzer vor jeder Eingabe darauf hin, keine personenbezogenen Daten einzugeben (§ 10a Abs. 6).

B. Speicherung und Löschung beim Auftragnehmer

Je Frage werden Zeitpunkt, Benutzer- und Organisationskennung, die Kennungen der herangezogenen und genannten Pflichten, Anbieter, Modell, Dauer und Umfang (Token) sowie der bereinigte Fragetext und die Antwort protokolliert. Fragetext und Antwort werden 30 Tage nach der Anfrage automatisch entfernt; die übrigen Angaben bleiben für Abrechnung und Nachweis der ordnungsgemäßen Verarbeitung erhalten (§ 10a Abs. 5, § 12). Der Gesprächsverlauf wird nur in der Browsersitzung gehalten.

C. Verarbeitungskette und Unterauftragsverarbeiter

Die Anfragen werden an die folgenden Anbieter in der angegebenen Reihenfolge gerichtet; steht ein Anbieter nicht zur Verfügung oder antwortet er nicht brauchbar, wird der nächste genutzt (§ 10a Abs. 4). Angesprochen werden alle fünf genannten Anbieter. Alle Anbieter haben ihren Sitz in den USA; Grundlage der Übermittlung sind die mit dem jeweiligen Anbieter vereinbarten EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und die ergänzenden Maßnahmen nach Abschnitt D. Der dritte Anbieter (OpenRouter) betreibt das Sprachmodell nicht selbst, sondern vermittelt die Anfrage an nachgelagerte Betreiber — seine Unterauftragsverarbeiter, deren Datenrichtlinien er veröffentlicht; Abschnitt D beschreibt die dafür gesetzte Beschränkung. Die verbindlichen Bedingungen der Anbieter sind verlinkt.

Übermittelt werden in jeder Anfrage nur die in Abschnitt A genannten Daten (bereinigter Fragetext, Rechtstexte, anonymer Stand, anonyme Unternehmensangaben). Abrufdatum der verlinkten Unterlagen: 29.08.2026.

D. Ergänzende Maßnahmen

• Übermittlung ausschließlich TLS-verschlüsselt; Bereinigung des Fragetextes vor der Übermittlung (Abschnitt A); keine Übermittlung von Namen, Kontaktdaten, Zuweisungen, Notizen oder Nachweisen.
• Kein Training: Die übermittelten Inhalte werden von keinem Anbieter zum Training von KI-Modellen verwendet (vertragliche Zusicherung des jeweiligen Anbieters, Unterlagen oben).
• Keine Speicherung der Eingaben: Die Anbieter speichern Eingaben und Ausgaben nach ihren Bedingungen nicht über die Bearbeitung der Anfrage hinaus (Baseten: keine Speicherung von Eingaben und Ausgaben der Inferenz; Fireworks: kein Protokollieren von Eingaben und Ausgaben ohne ausdrückliches Opt-in; OpenRouter: keine Speicherung von Eingaben und Ausgaben, solange der Kunde die Protokollierung nicht selbst einschaltet — der Auftragnehmer schaltet sie nicht ein; Together: Betriebsart ohne Speicherung der Eingaben, im Konto des Auftragnehmers aktiviert; Deep Infra: keine Speicherung von Eingaben und Ausgaben nach den Nutzungsbedingungen, kein Training).
• Vermittlung nur an Betreiber ohne Speicherung: Bei OpenRouter fordert die Anwendung in jeder Anfrage an, dass ausschließlich nachgelagerte Betreiber genutzt werden, die Eingaben nicht speichern und nicht zum Training verwenden (Routing-Vorgabe „data_collection: deny“); Betreiber ohne diese Zusicherung werden nicht angesprochen. Die verfügbaren Betreiber und ihre Datenrichtlinien veröffentlicht OpenRouter (Unterlagen oben).
• Feste Reihenfolge und Beschränkung: Die Kette enthält nur die hier genannten Anbieter; im Programmcode existiert kein Aufruf an andere Anbieter. Ein weiterer Anbieter wird nicht ohne Information nach § 10 Abs. 5 hinzugezogen.
• Beendigung jederzeit: Der Auftraggeber kann die Buchung jederzeit mit Wirkung für die Zukunft beenden; die Verarbeitung nach § 10a endet damit (§ 10a Abs. 2).

Änderungsvermerk

Dieser Auftragsverarbeitungsvertrag ist ein Standard-Vertrag der Privates Institut für Qualität und Innovation GmbH (IQI) für die Nutzung der Plattform rechtskataster.com. Die rechtliche Prüfung im Einzelfall obliegt dem Auftraggeber. IQI erbringt keine Rechtsdienstleistungen im Sinne des RDG.

← Zurück zur Datenschutzerklärung