Auftragsverarbeitungsvertrag (AVV)

Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 Abs. 3 DSGVO.

1. Allgemeine Bestimmungen und Auftragsgegenstand

1.1 Gegenstand des vorliegenden Vertrags ist die Verarbeitung personenbezogener Daten im Auftrag durch den Auftragsverarbeiter (Art. 28 DSGVO). Inhalt des Auftrags, Kategorien betroffener Personen und Datenarten sowie Zweck der Verarbeitung sind Anlage 1 zu entnehmen. 1.2 Der Auftraggeber ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Er allein ist für die Beurteilung der Zulässigkeit der Datenverarbeitungsvorgänge nach Art. 6 DSGVO und die Wahrung der Betroffenenrechte verantwortlich. 1.3 Die Verarbeitung der Daten findet grundsätzlich auf dem Gebiet der Bundesrepublik Deutschland, einem Mitgliedsstaat der Europäischen Union oder einem Vertragsstaat des EWR-Abkommens statt. Die Verarbeitung außerhalb dieser Staaten erfolgt nur unter den Voraussetzungen von Kapitel 5 der DSGVO (Art. 44 ff.) und mit vorheriger Zustimmung des Auftraggebers. 1.4 Die Vergütung wird außerhalb dieses Vertrags geregelt.

2. Vertragslaufzeit und Kündigung

Der vorliegende Vertrag wird auf unbestimmte Zeit geschlossen und entspricht der Laufzeit der Nutzung der Software "AuditFlow". Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.

3. Weisungen des Auftraggebers

3.1 Dem Auftraggeber steht ein umfassendes Weisungsrecht in Bezug auf Art, Umfang und Modalitäten der Datenverarbeitung zu. Der Auftragsverarbeiter ist verpflichtet, den Weisungen Folge zu leisten. 3.2 Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich, falls er der Auffassung ist, dass eine Weisung gegen gesetzliche Vorschriften verstößt.

4. Technische und organisatorische Maßnahmen

4.1 Der Auftragsverarbeiter hat geeignete technische und organisatorische Maßnahmen zur Gewährleistung eines angemessenen Schutzniveaus festgelegt und diese in Anlage 2 dieses Vertrags festgehalten. 4.2 Die Maßnahmen werden regelmäßig überprüft und bei Bedarf angepasst.

5. Einsatz von Unterauftragsverarbeitern (Subunternehmer)

5.1 Der Auftraggeber stimmt dem Einsatz der in Anlage 3 aufgezählten Subunternehmer zu. 5.2 Sämtliche Verträge mit Subunternehmern genügen den Anforderungen dieses Vertrags und den gesetzlichen Vorschriften der DSGVO.

6. Vertragsbeendigung, Löschung und Rückgabe der Daten

Nach Abschluss der vertragsgegenständlichen Datenverarbeitung hat der Auftragsverarbeiter alle personenbezogenen Daten nach Wahl des Auftraggebers zu löschen oder zurückzugeben, sofern keine gesetzliche Aufbewahrungspflicht besteht. Ort, Datum: _______________________ Unterschrift (Auftraggeber) ____________________________ Ort, Datum: 01.08.2026 Unterschrift (Auftragsverarbeiter)

Anlage 1 – Auftragsdetails

1. Gegenstand und Zweck der Verarbeitung: Bereitstellung und Betrieb der KI-gestützten Analyse-Software "AuditFlow | ISO 9001 Expert". Automatische Prüfung und Extraktion von Texten aus vom Auftraggeber hochgeladenen Qualitätsmanagement-Dokumenten (PDFs) zur Analyse der ISO 9001-Konformität. 2. Verarbeitete Datenarten:

• Daten aus hochgeladenen Qualitätsmanagement-Handbüchern und Prozessbeschreibungen (z. B. Namen von Prozessverantwortlichen, Unternehmensabläufe, Kontaktdaten in QM-Dokumenten)
• Technische Log-Dateien (IP-Adresse, Datum/Uhrzeit des Zugriffs)
• Metadaten der Audits (Analyse-Datum, Dateinamen, berechnete Compliance-Scores) 3. Betroffene Personengruppen:
• Mitarbeiter, Führungskräfte und Qualitätsmanagement-Beauftragte (QMB) des Auftraggebers.

Anlage 2 – Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter setzt folgende technische und organisatorische Maßnahmen nach Art. 32 DSGVO um:

I. Zweckbindung und Trennbarkeit

• Logische Mandantentrennung (softwareseitig)
• Berechtigungskonzept
• Trennung von Produktiv- und Testsystem

II. Vertraulichkeit und Integrität 1. Verschlüsselung:

• TLS/SSL-Verschlüsselung der Datenübertragung über HTTPS.
• Verschlüsselte API-Schnittstelle (TLS 1.2+) zur KI-Verarbeitung. 2. Zugangskontrolle (Schutz vor unbefugter Systemnutzung):
• Zuordnung von Benutzerrechten
• Authentifikation mit Benutzername / Passwort
• Einsatz von Anti-Viren-Software und Hardware-Firewall (über IONOS) 3. Zugriffskontrolle (Schutz vor unbefugtem Lesen/Kopieren):
• Berechtigungskonzept und Verwaltung der Rechte durch Systemadministrator
• Minimierung der Administrator-Zugänge auf das Notwendigste 4. Weitergabekontrolle:
• Verschlüsselung aller Kommunikationswege

III. Verfügbarkeit und Belastbarkeit

• Belastbares Datensicherungs- und Wiederherstellungskonzept (automatisierte Backups über Server-Infrastruktur)

Anlage 3 – Liste der genehmigten Subunternehmer

Zum Zeitpunkt des Vertragsschlusses werden folgende Subunternehmer eingesetzt: Name und Anschrift des Subunternehmers Beschreibung der Leistung Ort der Leistungserbringung IONOS SE Elgendorfer Str. 57 56410 Montabaur, Deutschland Cloud-Server-Hosting, Infrastruktur, Datenspeicherung Deutschland / EU Anthropic PBC 548 Market Street, PMB 72296 San Francisco, CA 94104, USA KI-Verarbeitung & API-Textanalyse (abgesichert durch DPA/EU-Standardvertragsklauseln) USA / Weltweit