Auftragsverarbeitungs-Vereinbarung (AVV)

Gemäß Art. 28 DSGVO — zwischen Kunde (Verantwortlicher) und aqm3 (Auftragsverarbeiter).

Präambel

Die Parteien haben einen Nutzungsvertrag über die aqm3-Plattform abgeschlossen. Im Rahmen dieser Nutzung verarbeitet aqm3 personenbezogene Daten im Auftrag des Kunden. Diese AVV regelt die Pflichten gemäß Art. 28 DSGVO.

§ 1 Gegenstand und Dauer

Verarbeitung zur Plattform-Bereitstellung (Doku-Lenkung, Audits, KPIs, KI-Analysen). Laufzeit = Hauptvertrag.

§ 2 Art der Daten und Kategorien Betroffener

• Stammdaten (Name, E-Mail) von Mitarbeitenden
• Inhaltsdaten (Dokumente, Risiken, Audits)
• Nutzungsmetadaten (Logins, IPs)
• Optional Sprachaufzeichnungen (Voice-to-Answer) — Server DE

§ 3 Pflichten aqm3

1. Verarbeitung nur auf dokumentierte Weisung
2. Vertraulichkeits-Verpflichtung aller Mitarbeitenden
3. TOM nach Art. 32 DSGVO (§ 5)
4. Unterstützung bei Betroffenen-Rechten + DPIA
5. Unverzügliche Meldung von Datenschutzverletzungen
6. Löschung/Rückgabe nach Ende

§ 4 Unterauftragsverarbeiter

• Hetzner Online GmbH — Infra-Hosting (DE)
• Mollie B.V. — Zahlungsabwicklung (NL)
• KAS All-Inkl. — E-Mail-Versand (DE)
• ggf. Cloudflare — DNS/Proxy, EU-Datenzentren

Änderungen werden 30 Tage vorher angekündigt, Widerspruch aus wichtigem Grund möglich.

§ 5 TOM (Technische und organisatorische Maßnahmen)

• TLS 1.2+, AES-256-GCM für Integrations-Credentials
• RBAC + Row-Level-Security auf DB-Ebene
• 2FA verfügbar
• Tägliche verschlüsselte Backups, 14 Tage
• Logische Mandantentrennung
• Keine Weitergabe an externe KI-Anbieter; alle KI-Verarbeitung self-hosted DE

§ 6 Kontrollrechte

Kunde kann Einhaltung prüfen. aqm3 stellt TOM-Dokumentation bereit. Vor-Ort-Prüfung mit 30-Tage-Vorlauf möglich.

§ 7 Löschung / Rückgabe

Nach Vertragsende nach Wahl des Kunden Export oder datenschutzkonforme Löschung innerhalb 90 Tagen. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

§ 8 Sonstiges

Bei Widersprüchen geht diese AVV der AGB vor.

Stand: TODO · Version 0.1 (Rahmentext)