Vertrag zur Auftragsverarbeitung
Stand: Juli 2026. Diese Bedingungen gelten für Verträge ab diesem Datum. Wenn Sie Fragen zu einzelnen Punkten haben, sprechen Sie mich gern vorab an — ich erkläre jede Klausel in Klartext.
Dieser Vertrag zur Auftragsverarbeitung („AVV“) konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Nutzung der KI-Automatisierungs-Dienste und ist Bestandteil des Hauptvertrags (AGB).
1. Parteien und Rollen
Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde. Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist Younes Badaoui, YouDesignFFM, Ringstraße 16, 65439 Flörsheim am Main. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen.
2. Gegenstand, Art und Zweck der Verarbeitung
Gegenstand ist die Verarbeitung personenbezogener Daten zur Erbringung der vom Kunden gebuchten KI-Automatisierung(en) gemäß Leistungsbeschreibung. Art und Zweck ergeben sich aus dem jeweils gewählten Baustein (z. B. Vorsortierung und Beantwortung von Anfragen, Erstellung von Angebotsentwürfen, Terminorganisation, Belegerfassung, Bewertungs- oder Nachfass-Kommunikation).
3. Dauer
Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags.
4. Kategorien betroffener Personen und Daten
Je nach gebuchtem Baustein können betroffen sein:
- Betroffene Personen: Kunden, Interessenten, Ansprechpartner, ggf. Bewerber und Beschäftigte des Verantwortlichen.
- Datenkategorien: Kontakt- und Kommunikationsdaten (Name, E-Mail, Telefon, Nachrichteninhalte), Vertrags- und Vorgangsdaten, ggf. in Belegen/Dokumenten enthaltene Daten. Bei Recruiting-Bausteinen ggf. Bewerbungsdaten.
Der Verantwortliche verpflichtet sich, keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) zu übermitteln, sofern dies nicht ausdrücklich vereinbart und durch geeignete zusätzliche Maßnahmen abgesichert wurde.
5. Pflichten des Auftragsverarbeiters
- Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO);
- Verpflichtung der zur Verarbeitung befugten Personen auf Vertraulichkeit;
- Umsetzung geeigneter technischer und organisatorischer Maßnahmen (Art. 32 DSGVO, siehe Ziffer 8);
- Unterstützung des Verantwortlichen bei der Beantwortung von Betroffenenanfragen (Art. 12–23 DSGVO) sowie bei Pflichten nach Art. 32–36 DSGVO, soweit möglich;
- unverzügliche Meldung von Verletzungen des Schutzes personenbezogener Daten;
- nach Wahl des Verantwortlichen Löschung oder Rückgabe der Daten nach Beendigung, soweit keine gesetzliche Aufbewahrungspflicht besteht;
- Bereitstellung der zur Nachweisführung erforderlichen Informationen und Ermöglichung von Überprüfungen.
Es findet keine Nutzung der Daten zu eigenen Zwecken und keine Verwendung zum Training von KI-Modellen statt.
6. Unterauftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu. Über beabsichtigte Änderungen informiert der Auftragsverarbeiter vorab; der Verantwortliche kann berechtigten Einwänden Ausdruck verleihen.
- Google Cloud / Vertex AI – KI-Verarbeitung. Für den Live-Betrieb mit echten Kundendaten wird nach Möglichkeit eine EU-Region eingesetzt; ist das für einen konkreten Dienst nicht möglich, wird dies vorab offengelegt. Es besteht ein Datenverarbeitungsvertrag (Google Cloud DPA).
- Netlify, Inc. (USA) – Hosting/Bereitstellung; AVV vorhanden, Übermittlungen gestützt auf Standardvertragsklauseln bzw. EU-US Data Privacy Framework.
- Resend, Inc. (USA) – E-Mail-Zustellung; AVV vorhanden, Absicherung wie vor.
- Stripe Payments Europe, Ltd. – Zahlungsabwicklung (soweit im Rahmen der Buchung relevant).
7. Ort der Verarbeitung / Drittlandübermittlung
Die Verarbeitung erfolgt grundsätzlich innerhalb der EU/des EWR. Soweit einzelne Unterauftragsverarbeiter Daten in ein Drittland übermitteln, geschieht dies nur bei Vorliegen geeigneter Garantien nach Kapitel V DSGVO (insbesondere Standardvertragsklauseln bzw. Angemessenheitsbeschluss). Die KI-Verarbeitung echter Kundendaten erfolgt nach Möglichkeit in einer EU-Region; ist das für einen einzelnen Dienst nicht möglich, wird dies vorab offengelegt und vertraglich abgesichert.
8. Technische und organisatorische Maßnahmen (TOM)
- Zugriff auf Systeme nur für berechtigte Personen, Zugangsschutz durch starke Authentifizierung;
- Verschlüsselung bei Übertragung (TLS) und, soweit möglich, im Ruhezustand;
- Trennung der Daten verschiedener Kunden (mandantenbezogene Konfiguration);
- Grundsatz der Datenminimierung und Zweckbindung; keine Weiterverwendung zu Trainingszwecken;
- Protokollierung sicherheitsrelevanter Vorgänge; regelmäßige Aktualisierung eingesetzter Komponenten;
- Verfahren zur Wiederherstellung der Verfügbarkeit nach einem Zwischenfall.
9. Weisungen
Weisungen erfolgen in der Regel in Textform. Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, informiert er den Verantwortlichen.