Auftragsverarbeitungsvertrag (AVV)

Entwurf — fachlich vollständig, vor Launch anwaltlich final prüfen. Diese Vorlage implementiert Art. 28 DSGVO. Bitte füllen Sie die Platzhalter aus, unterzeichnen Sie die Vorlage und senden Sie sie an help@rciid.at, bevor Sie personenbezogene Daten hochladen.

§ 1 Vertragsparteien

Verantwortlicher (der Kunde, der Subsumio zur Verarbeitung personenbezogener Daten nutzt):

[Name des Verantwortlichen]
[Anschrift]
[Vertretungsberechtigter]
[E-Mail]

Auftragsverarbeiter (Anbieter des gehosteten Subsumio-Dienstes):

RCIID — Rocket Chain Investigation & Intelligence Division
Hauslabgasse 42/3/2
1050 Wien, Österreich
E-Mail: help@rciid.at

§ 2 Gegenstand, Dauer, Art und Zweck

(1) Gegenstand: Bereitstellung des gehosteten Subsumio-Cloud-Dienstes zur Organisation, Suche und Synthese von Dokumenten und Aktendaten.

(2) Dauer: Für die Laufzeit des Hauptvertrags (gemäß AGB), sofern nicht früher beendet.

(3) Art und Zweck: Speicherung, Volltext- und semantische Suche, KI-gestützte Synthese und Agenten-Workflows auf vom Verantwortlichen hochgeladenen Dokumenten. Keine Nutzung von Inhalten zum KI-Training.

(4) Art personenbezogener Daten: Bestandsdaten (E-Mail, Name) sowie alle personenbezogenen Daten, die der Verantwortliche innerhalb von Inhalten hochlädt (z. B. Akten, Mandantenkorrespondenz, Rechnungen).

(5) Kategorien betroffener Personen: Mandanten, Gegenseite, Zeugen, Mitarbeiter und weitere Personen, deren Daten in den Dokumenten des Verantwortlichen enthalten sind.

§ 3 Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3 DSGVO)

Der Auftragsverarbeiter:

• verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich der Übermittlung an Drittländer, sofern nicht EU- oder mitgliedstaatliches Recht dies erfordert;
• stellt sicher, dass zur Verarbeitung befugte Personen einer Verschwiegenheitspflicht unterliegen;
• trifft geeignete technische und organisatorische Maßnahmen (TOM, § 5);
• beachtet die Bedingungen für die Heranziehung von Unterauftragsverarbeitern (§ 4);
• unterstützt den Verantwortlichen bei der Beantwortung von Auskunftsersuchen betroffener Personen;
• unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten nach den Art. 32–36 DSGVO (Sicherheit, Verletzungsmitteilung, DSFA, Vorabkonsultation);
• löscht oder gibt alle personenbezogenen Daten nach Ende der Leistung zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht;
• macht alle Informationen verfügbar, die zur Demonstration der Compliance erforderlich sind, und ermöglicht und trägt zu Audits bei.

§ 4 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung für die in der Datenschutzerklärung (§ 7) aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen hinzuzufügender oder ersetzender Unterauftragsverarbeiter und gibt ihm die Möglichkeit zum Widerspruch.

(2) Aktuelle Unterauftragsverarbeiter: Hosting (Hetzner, DE/EU); Anbieter von KI-Sprachmodellen und Suchfunktionen (OpenRouter, US — EU-Standardvertragsklauseln); Zahlung (Stripe, US — EU-Standardvertragsklauseln); E-Mail (Resend, US — EU-Standardvertragsklauseln); optionaler Dienst zur Ratenbegrenzung (Upstash, US — EU-Standardvertragsklauseln).

(3) Bei Unterauftragsverarbeitern außerhalb des EWR erfolgen Übermittlungen auf Basis von EU-Standardvertragsklauseln (Art. 46 DSGVO) und ergänzenden Maßnahmen, soweit erforderlich.

(4) Der Auftragsverarbeiter haftet voll für Unterauftragsverarbeiter wie für eigene Verarbeitung.

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft folgende TOM:

• Verschlüsselung: TLS 1.2+ in Transit, AES-256 at-rest für Datenbank und Backups.
• Zugriffskontrolle: Rollenbasierte Zugriffskontrolle (RBAC), Least-Privilege, eindeutige Benutzerkonten, MFA verfügbar.
• Authentifizierung: Scrypt-gehashte Passwörter, Session-Tokens signiert mit HMAC-SHA-256.
• Netzwerksicherheit: Firewall, isoliertes Datenbanknetzwerk, kein öffentlicher DB-Zugriff.
• Protokollierung & Monitoring: Unveränderliches Audit-Log mit Hash-Chain (manipulationssicher), Sentry Fehler-Monitoring.
• Backup: Tägliche verschlüsselte Backups mit Verify- und Restore-Verfahren; Aufbewahrung nach gesetzlichen Vorgaben.
• Datenisolation: Multi-Tenant-Isolation via brain_id; Source-Level-Zugriffskontrolle verhindert Cross-Tenant-Datenlecks.
• Verfügbarkeit: Health-Checks, Auto-Restart, Hetzner EU-Rechenzentren.
• Pseudonymisierung: Interne IDs wo möglich; keine Nutzung von Inhalten zum KI-Training.
• Incident Response: Dokumentiertes Verletzungsmitteilungsverfahren innerhalb von 72 Stunden an den Verantwortlichen.

§ 6 Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Pflicht, auf Auskunftsersuchen betroffener Personen zu antworten (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch). Der Verantwortliche kann alle Daten über Einstellungen → Account → Daten exportieren exportieren. Löschungsanfragen können über den GDPR-Data-Deletion-Endpunkt ausgelöst werden.

§ 7 Verletzung des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung.

(2) Die Meldung beschreibt Art der Verletzung, voraussichtliche Folgen und ergriffene oder vorgeschlagene Maßnahmen. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und betroffene Personen (Art. 34 DSGVO), soweit erforderlich.

§ 8 Audit-Rechte

(1) Der Verantwortliche ist berechtigt, die Einhaltung dieses AVV und des Art. 28 DSGVO durch den Auftragsverarbeiter zu prüfen, nach angemessener Ankündigung und während der Geschäftszeiten.

(2) Prüfungen werden durch eigenes Personal des Verantwortlichen oder durch eine verschwiegenheitsgebundene dritte Partei durchgeführt. Der Auftragsverarbeiter stellt die erforderlichen Informationen und Zugänge bereit.

(3) Audit-Berichte, etwaige Zertifizierungen und das unveränderliche Audit-Log können beim Auftragsverarbeiter angefordert werden.

§ 9 Löschung bei Vertragsende

Auf Wunsch des Verantwortlichen löscht der Auftragsverarbeiter alle personenbezogenen Daten nach Ende des Dienstvertrages, sofern keine gesetzliche Aufbewahrungspflicht (§ 132 BAO) besteht. Ein vollständiger Export kann vor der Löschung ausgelöst werden. Die Löschung wird im unveränderlichen Audit-Trail protokolliert.

§ 10 Haftung

Die Haftung unter diesem AVV richtet sich nach den AGB (§ 8), ergänzt durch Art. 82 DSGVO. Der Auftragsverarbeiter haftet für Schäden, die durch eine Verarbeitung in Verletzung der DSGVO entstanden sind, nur soweit er seinen spezifischen Pflichten nicht nachgekommen ist.

§ 11 Schlussbestimmungen

(1) Dieser AVV ist Teil des Hauptvertrags und geht im Konfliktfall bezüglich Datenschutz vor. (2) Es gilt österreichisches Recht unter Ausschluss des UN-Kaufrechts. (3) Ausschließlicher Gerichtsstand für Unternehmer ist Wien, Österreich. (4) Änderungen werden mit angemessener Frist mitgeteilt.

Siehe auch: Datenschutz · AGB · Impressum