Legal register
Vereinbarung zur Auftragsverarbeitung (AVV) Art. 28 DSGVO
Deutschavv-de
gemäß Art. 28 Abs. 3 und Abs. 4 DSGVO · Anhang A zu den AGB AUVY
Version: 1.10 · Stand: 2026-08-10
Recht: Recht der Bundesrepublik Deutschland · DSGVO · BDSG
Form: Schriftform einschließlich elektronischer Form (Art. 28 Abs. 9 DSGVO)
Rechtsrahmen: Inhaltlich ausgerichtet an den Standardvertragsklauseln des Durchführungsbeschlusses (EU) 2021/915 (Controller–Processor) sowie — für Drittlandtransfers — an den Standardvertragsklauseln des Durchführungsbeschlusses (EU) 2021/914 (Module 2 und 3)
Status: Öffentliche Standard-AVV für AUVY (B2B); verbindlich bei Annahme der AGB Geschäftskunden im Self-Serve-Checkout. Nachweis: Strukturelle Zuordnung zu Art. 28 Abs. 3/4 DSGVO und 2021/915 in der Verifikationsmatrix; keine Aussage über anwaltliche Zertifizierung. Öffentliche Versionshistorie: trust.auvy.ai/changelog Änderung v1.10: Subprozessoren-Register v3.1 — optionale Firecrawl- (SideGuide Technologies) und E2B-Pfade (FoundryLabs) aus der Baseline entfernt; Produkt-Websuche/
web_readweiterhin über Linkup (EU); Anlage 1 und Anlage 4 entsprechend bereinigt. Änderung v1.9: Subprozessoren-Register v3.0 — OpenPulse als AUVY-betriebene interne EU-Infrastruktur statt Dritt-Unterauftragsverarbeiter eingeordnet; optionale Firecrawl-URL-/PDF-Verarbeitung und E2B-Sandbox-Ausführung als produktionsfähige AUVY-Pfade aufgenommen; unbelegte AWS-Backup-Zuordnung entfernt. Änderung v1.8: Subprozessoren-Register v2.9 — OpenPulse (EU / Helsinki) als Baseline für verschlüsselte Echtzeit-Kommunikation (Kollaboration, Messaging, Agent-Streams, Workspace-Benachrichtigungen).
Änderung v1.7: Subprozessoren-Register v2.8 — Produkt-web_search/web_readausschließlich über Linkup SAS (EU / Azure EU); Exa und Firecrawl aus der Baseline entfernt. Änderung v1.6: Subprozessoren-Register v2.7 — Produkt-web_search/web_readausschließlich über Exa Labs (US); Linkup und Firecrawl aus der Baseline entfernt.
Änderung v1.5: Subprozessoren-Register v2.6 — Linkup SAS (EU / Azure EU) als Default für Produkt-web_search/web_read; Exa als optionaler US-Fallback.
Änderung v1.4: Subprozessoren-Register v2.5 — Firecrawl (SideGuide Technologies, US) für Vault-URL-/PDF-Ingest und optionalenweb_search/web_read-Fallback; Anlage 1 um Websuche/Scrape ergänzt; §-203-Filterhinweis für US-Webanbieter.
Änderung v1.3: Subprozessoren-Register v2.4 — Exa Labs (US) für Produkt-web_search/web_readaufgenommen; Spracherkennung klar Microsoft Azure (EU).
Änderung v1.2: Subprozessoren-Register v2.3 — OpenAI und Gladia aus der Baseline-Liste entfernt (kein Direktrouting); Inferenz über AWS Bedrock / Azure.
Änderung v1.1: Subprozessoren-Register v2.2 — Identity-/Product-Plane auf AUVY-betriebene Infrastruktur bei Hetzner hel1; TOMs und Anlagen angepasst.
Parteien
Auftragsverarbeiter („AUVY“ / „Auftragsverarbeiter“)
AUVY GmbH
Am Haag 8, 82166 Gräfelfing, Deutschland
Amtsgericht München · HRB 311039 · USt-IdNr. DE461400892
Vertreten durch die Geschäftsführer Achim Ströbel und Patrick Schröppel, jeweils einzelvertretungsberechtigt
Datenschutz: privacy@auvy.ai · Sicherheit: security@auvy.ai · Legal: legal@auvy.ai
Externer Datenschutzbeauftragter: derzeit nicht benannt
Verantwortlicher („Kunde“ / „Verantwortlicher“)
Die im Order Form, in der Pilotvereinbarung, im Self-Serve-Checkout oder in der Signaturseite dieser AVV bezeichnete Organisation, die AUVY-Workspaces nutzt und Zwecke und Mittel der Verarbeitung von Customer Data festlegt.
Diese AVV ist Anhang A der AGB AUVY — Geschäftskunden. Mit Annahme der AGB im B2B-Self-Serve-Checkout gilt diese Standard-AVV gemäß AGB § 10 Abs. 1 elektronisch als geschlossen; eine gesonderte Gegenzeichnung ist nicht erforderlich (Art. 28 Abs. 9 DSGVO). Enterprise-Kunden können Änderungen in Order Form, MSA oder AVV-Nachtrag verhandeln; nur diese verhandelten Änderungen können eine Gegenzeichnung erfordern. Bei Widerspruch gehen die Klauseln dieser AVV (einschließlich der übernommenen EU-Standardvertragsklauseln 2021/915) den übrigen Vertragsbestimmungen vor, soweit sie den Schutz personenbezogener Daten betreffen.
§ 1 Gegenstand und Geltung
(1) AUVY verarbeitet personenbezogene Daten im Auftrag des Kunden ausschließlich zur Erbringung von AUVY (Project OS / verified AI workspace für Beratungsteams) und zugehöriger Support-/Betriebsleistungen.
(2) Diese AVV regelt die Auftragsverarbeitung nach Art. 28 DSGVO. Sie gilt nicht für Verarbeitungen, in denen AUVY selbst Verantwortlicher ist (Account-Stammdaten, Authentifizierung, Abrechnung, Plattform-Sicherheitslogs, aggregierte Telemetrie) — hierzu gelten die Datenschutzhinweise.
(3) Für Verbraucher-Verträge (B2C) besteht keine Auftragsverarbeitung; dort ist AUVY Verantwortlicher (siehe DSH § Einleitung).
(4) Die Anlagen 1–4 sind integraler Bestandteil dieser AVV.
§ 2 Rollen, Weisungen, Zweckbindung
(1) Der Kunde ist Verantwortlicher i.S.v. Art. 4 Nr. 7 DSGVO; AUVY ist Auftragsverarbeiter i.S.v. Art. 4 Nr. 8, Art. 28 DSGVO.
(2) AUVY verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, es sei denn, AUVY ist nach Unionsrecht oder dem Recht eines Mitgliedstaats hierzu verpflichtet. In diesem Fall informiert AUVY den Kunden vor der Verarbeitung, sofern das Recht dies nicht aus wichtigem öffentlichem Interesse untersagt.
(3) Dokumentierte Weisungen erfolgen insbesondere über: Produktkonfiguration und Workspace-Einstellungen, Support-Tickets, Order Form / Pilotvereinbarung, API-Metadaten und schriftliche Anweisungen an privacy@auvy.ai bzw. security@auvy.ai.
(4) AUVY informiert den Kunden unverzüglich, wenn AUVY der Auffassung ist, dass eine Weisung gegen die DSGVO oder gegen sonstige Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt.
(5) AUVY verarbeitet Customer Data nicht zum Training oder zur Feinabstimmung eigener oder fremder KI-Modelle. Anonymisierte und aggregierte Nutzungsstatistiken ohne Personenbezug bleiben zulässig (AGB § 10 Abs. 5).
(6) Art. 50 EU-KI-Verordnung gilt seit dem 2. August 2026. AUVY adressiert erfasste Anbieterpflichten für eigene Systeme zur direkten KI-Interaktion; der Kunde behält seine einsatzbezogenen Betreiber- oder Anbieterpflichten. Maschinenlesbare Provenienz kann durch Kopieren, Bearbeiten, Konvertieren, Screenshots oder nachgelagerte Tools entfernt oder beeinträchtigt werden und belegt weder inhaltliche Richtigkeit noch Urheberschaft. Beide Parteien treffen rollenangemessene Maßnahmen zur KI-Kompetenz ihrer Beschäftigten. Diese Rollenverteilung ist keine pauschale Compliance-Zusage für den Einsatz des Kunden.
§ 3 Beschreibung der Verarbeitung (Anlage 1)
Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der personenbezogenen Daten und Kategorien betroffener Personen sind in Anlage 1 festgelegt. Soweit ein individueller Scope-Anhang (z. B. Pilot) vereinbart wird, konkretisiert dieser Anlage 1 für den jeweiligen Engagement-Scope, ersetzt jedoch nicht diese Stamm-AVV.
§ 4 Vertraulichkeit
(1) AUVY stellt sicher, dass Personen, die zur Verarbeitung der personenbezogenen Daten befugt sind, sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
(2) Zugang zu Customer Data erhalten Mitarbeiter und Beauftragte von AUVY nur, soweit dies für die Vertragserfüllung, den Betrieb, Support oder die Sicherheit zwingend erforderlich ist (Need-to-know / Least Privilege).
§ 5 Technische und organisatorische Maßnahmen (Anlage 2)
(1) AUVY trifft mindestens die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen (TOMs) gemäß Art. 32 DSGVO, unter Berücksichtigung des Stands der Technik, der Implementierungskosten, von Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen.
(2) AUVY darf TOMs fortschreiben, sofern das Schutzniveau nicht abgesenkt wird. Wesentliche Absenkungen werden dem Kunden mitgeteilt.
§ 6 Unterauftragsverarbeiter (Anlage 3)
(1) Der Kunde erteilt AUVY die allgemeine schriftliche Genehmigung (Art. 28 Abs. 2 DSGVO / Klausel 7.7 Option 2 der SCC 2021/915), Unterauftragsverarbeiter aus der vereinbarten Liste einzusetzen. Die aktuelle Liste ist Anlage 3 und live unter trust.auvy.ai/subprocessors (Register v3.1, Stand 2026-08-10) einsehbar.
(2) AUVY unterrichtet den Kunden über beabsichtigte Änderungen der Liste (Hinzufügung oder Ersetzung) mindestens 30 Tage vorher in Textform (E-Mail und/oder Trust Center), sodass der Kunde Widerspruch einlegen kann.
(3) Widerspricht der Kunde aus wichtigem datenschutzrechtlichem Grund innerhalb der Frist und können die Parteien keine zumutbare Lösung finden, kann der Kunde den betroffenen Teil der Leistung außerordentlich kündigen; im Übrigen gelten AGB § 16 und AGB § 10 Abs. 4.
(4) AUVY schließt mit Unterauftragsverarbeitern Verträge, die im Wesentlichen dieselben Datenschutzpflichten auferlegen wie diese AVV. AUVY bleibt gegenüber dem Kunden für die Erfüllung der Pflichten des Unterauftragsverarbeiters verantwortlich.
(5) Kundenseitig aktivierte Drittanbieter-Integrationen sind keine Unterauftragsverarbeitung durch AUVY im Sinne dieser Anlage, soweit der verbundene Dienst als eigenständiger Empfänger auf Veranlassung des Kunden tätig wird; AUVY verarbeitet dabei Verbindungsmetadaten und zur Ausführung erforderliche Tool-Daten gemäß DSH.
§ 7 Unterstützung bei Betroffenenrechten und Pflichten des Verantwortlichen
(1) AUVY unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen dabei, der Pflicht zur Beantwortung von Anträgen betroffener Personen nachzukommen (Art. 12–22 DSGVO).
(2) Erhält AUVY einen Antrag einer betroffenen Person, der erkennbar den Kunden betrifft, leitet AUVY den Antrag unverzüglich an den Kunden weiter und beantwortet ihn nicht selbst, es sei denn, der Kunde weist AUVY dazu an.
(3) AUVY unterstützt den Kunden ferner bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), soweit dies die Art der Verarbeitung und die AUVY vorliegenden Informationen zulassen.
§ 8 Meldepflicht bei Verletzungen des Schutzes personenbezogener Daten
(1) AUVY meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten, die AUVY betreffen und Customer Data betreffen, ohne unangemessene Verzögerung nach Bekanntwerden an security@auvy.ai-eskalierte Kanäle und an die dem Kunden hinterlegte Security-/Privacy-Kontaktadresse.
(2) Die Meldung enthält — soweit möglich — die Angaben nach Art. 33 Abs. 3 DSGVO bzw. die für den Kunden zur Erfüllung von Art. 33/34 DSGVO erforderlichen Informationen. Unvollständige Erstinformationen werden nachgereicht.
§ 9 Nachweis, Audits
(1) AUVY stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO und in dieser AVV niedergelegten Pflichten erforderlich sind.
(2) AUVY ermöglicht Überprüfungen — einschließlich Inspektionen — durch den Kunden oder einen von ihm beauftragten unabhängigen Prüfer und trägt dazu bei. Audits erfolgen in angemessenen Abständen, mit angemessener Vorankündigung (regelmäßig mindestens 20 Werktage, außer bei konkretem Verdacht oder behördlicher Anordnung), während der Geschäftszeiten und ohne Störung des Betriebs anderer Kunden.
(3) Der Kunde darf bei der Entscheidung über ein Audit vorhandene Zertifizierungen, SOC-/Pentest-Auszüge und Trust-Center-Unterlagen berücksichtigen. Kosten des Audits trägt der Kunde, es sei denn, es wird ein erheblicher Verstoß von AUVY gegen diese AVV festgestellt.
§ 10 Internationale Übermittlungen (Anlage 4)
(1) AUVY übermittelt personenbezogene Daten in Drittländer nur auf dokumentierte Weisung oder soweit Unions- oder Mitgliedstaatenrecht dies verlangt, und nur unter Einhaltung von Kapitel V DSGVO.
(2) Soweit Unterauftragsverarbeiter Daten in Drittländer übermitteln oder dort speichern, stützt AUVY den Transfer auf:
- Angemessenheitsbeschluss (soweit einschlägig), und/oder
- EU–US Data Privacy Framework, soweit der Empfänger zertifiziert ist, und/oder
- EU-Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914, Module 2 und/oder 3, sowie ergänzende TOMs (Verschlüsselung, Zugriffsbeschränkung, EU-Region-Pinning wo angeboten).
(3) Die für Transfers maßgeblichen Regelungen und Nachweiswege sind in Anlage 4 beschrieben. Kopien einschlägiger Garantien: privacy@auvy.ai.
§ 11 Rückgabe und Löschung
(1) Der Kunde kann Customer Data während der Vertragslaufzeit über die Exportfunktionen (Art. 20 DSGVO) exportieren.
(2) Nach Ende der Auftragsverarbeitung löscht AUVY — nach Wahl des Kunden, soweit technisch verfügbar: Rückgabe per Export und anschließende Löschung, oder direkte Löschung — alle Customer Data einschließlich vorhandener Kopien innerhalb von 30 Tagen, soweit nicht Unions- oder Mitgliedstaatenrecht eine Speicherung verlangt (insbesondere §§ 257 HGB, 147 AO für Verantwortlichen-Daten von AUVY; für Customer Data nur soweit zwingend).
(3) Bis zur Löschung oder Rückgabe gelten die Pflichten dieser AVV fort. Daten in routinemäßig rotierenden Backups unterliegen dem in AGB § 12 Abs. 4 beschriebenen Anonymisierungs-/Sicherheitsregime.
(4) Auf Anfrage bestätigt AUVY dem Kunden die Löschung in Textform.
§ 12 Berufsgeheimnisträger (§ 203 StGB) — Aktivierung
(1) Die Verarbeitung fremder Geheimnisse i.S.v. § 203 StGB (insbesondere Mandanten-, Patienten- oder vergleichbare anvertraute Geheimnisse von Berufsgeheimnisträgern nach § 203 Abs. 1 StGB) in AUVY ist nur zulässig, wenn diese Klausel beidseitig in Textform aktiviert wurde:
a) Textform-Anzeige des Kunden, dass er Berufsgeheimnisträger ist bzw. solche Daten verarbeiten will;
b) Textform-Gegenbestätigung von AUVY, dass die nach Absatz 3 erforderlichen Verpflichtungen vorliegen.
(2) Ohne Aktivierung ist die Eingabe solcher Daten untersagt (AUP / AGB § 11 Abs. 4). Es besteht keine technische Produktsperre; die Zulässigkeit ist ausschließlich vertraglich.
(3) Voraussetzungen der Gegenbestätigung durch AUVY (Enterprise-Pfad):
a) Verpflichtung der mit der Verarbeitung befassten eigenen Mitarbeiter auf Vertraulichkeit unter Hinweis auf § 203 Abs. 4 StGB;
b) Einsatz nur solcher Unterauftragsverarbeiter, für die AUVY nachweisen kann, dass eine mit § 203 Abs. 4 StGB vereinbare Verpflichtung bzw. ein gleichwertiger vertraglicher Schutz besteht, oder Filterung auf eine §-203-fähige Subprozessoren-Untermenge — einschließlich Abschaltung von Websuche für den aktivierten Workspace;
c) dokumentierte TOM-Ergänzungen (Zugriffsbeschränkung, Logging, Zweckbindung) für den aktivierten Workspace.
(4) Die Aktivierung ist faktisch Enterprise-Kunden vorbehalten. B2C-Verträge können § 203-Workflows nicht nutzen.
§ 13 Laufzeit und Kündigung
(1) Diese AVV gilt für die Dauer der Hauptvertragsbeziehung (AGB / Order Form / Pilot), in deren Rahmen AUVY Customer Data verarbeitet.
(2) Die Rechte zur Suspendierung und Kündigung bei Pflichtverletzungen richten sich nach Klausel 10 der SCC 2021/915 in der hier übernommenen Substanz sowie nach den AGB. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.
§ 14 Haftung
Datenschutzrechtliche Haftung richtet sich nach Art. 82 DSGVO und den AGB (§ 14), mit der Maßgabe, dass Haftungsbeschränkungen der AGB Bußgelder und Ansprüche nach Art. 82 DSGVO nicht unzulässig einschränken, soweit zwingendes Recht entgegensteht (AGB § 14 Abs. 4).
§ 15 Schlussbestimmungen
(1) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Vorrangig gelten die zwingenden Vorgaben der DSGVO und — soweit von den Parteien übernommen — die unveränderlichen Bestimmungen der Standardvertragsklauseln 2021/915.
(2) Gerichtsstand ist München, soweit der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.
(3) Änderungen dieser AVV bedürfen der Textform, soweit nicht die AGB-Änderungsmechanik für Anhänge eingreift und die unveränderlichen SCC-Klauseln nicht entgegenstehen.
(4) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.
(5) Maßgebliche Kontakte: privacy@auvy.ai · security@auvy.ai · legal@auvy.ai.
Anlage 1 — Beschreibung der Verarbeitung
| Feld | Inhalt |
|---|---|
| Gegenstand | Hosting, Speicherung, Anzeige, Suche, KI-gestützte Verarbeitung (Inferenz), Produkt-Websuche/web_read, Transkription (soweit Feature aktiv), Export/Löschung und Support bezogen auf Customer Data in AUVY |
| Art der Verarbeitung | Erheben (durch Kundeninput), Speichern, Auslesen, Abfragen, Organisieren, Anpassen, Auslesen für Inferenz, Übermitteln an genehmigte Unterauftragsverarbeiter (einschließlich Websuche-Anbieter, wenn der entsprechende Pfad aufgerufen wird), Löschen, Einschränken |
| Zweck(e) | Bereitstellung von AUVY als Project OS / verified AI workspace für den Kunden, inkl. Workspace-Zusammenarbeit, Engagement-Kontext, Verifikations-/Audit-Spuren, dokumentgestützte Recherche und vereinbartem Support |
| Dauer | Vertragslaufzeit + Löschfrist gemäß § 11 (regelmäßig 30 Tage nach Vertragsende), zuzüglich zwingender Aufbewahrung |
| Kategorien betroffener Personen | Mitarbeiter und Beauftragte des Kunden; vom Kunden in Workspace-Inhalten genannte Dritte (z. B. Mandanten-/Kundenkontakte, Projektbeteiligte); Meeting-Teilnehmer bei Transkription; ggf. Personen, die in öffentlich abrufbaren Webseiten genannt sind, soweit Websuche/web_read genutzt wird |
| Art der personenbezogenen Daten | Workspace-Inhalte (Dokumente, Traces, Notizen, Prompts, KI-Outputs), Dateien, Meeting-Transkripte/Audio (wenn Voice-Feature genutzt), Suchqueries und angeforderte URLs bei Websuche/web_read, E-Mail-/Integrationsinhalte soweit kundenseitig verbunden, Metadaten zur Zuordnung (Workspace-/Nutzer-IDs im Kundenkontext) |
| Besondere Kategorien (Art. 9) | Nicht vorgesehen im Standard. Nur zulässig, wenn der Kunde über eine wirksame Rechtsgrundlage verfügt, AUVY vorab informiert und AUP § 7 einhält. Zusätzliche TOMs nach Einzelfall. |
| § 203-Geheimnisse | Nur nach Aktivierung von § 12 dieser AVV |
Individuelle Scope-Anhänge (z. B. Pilot „Nordpack“) können Kategorien und Zwecke enger fassen; engere Fassungen gehen vor, erweitern aber nicht die Rechte von AUVY über diese Anlage hinaus.
Anlage 2 — Technische und organisatorische Maßnahmen (TOMs)
Konkrete Maßnahmen von AUVY (Stand 2026-08-10), Art. 32 DSGVO:
A. Vertraulichkeit
| Maßnahme | Umsetzung |
|---|---|
| Verschlüsselung in Transit | TLS 1.2+ |
| Verschlüsselung at rest | AES-256 bzw. gleichwertig bei Speicherdiensten / Volumes |
| Mandantentrennung | Logische Tenant-/Workspace-Isolation; autoritative Server-seitige Workspace-Bindung in produktiven Job-/API-Pfaden |
| Zugangskontrolle | RBAC, Least Privilege für Ops; Better-Auth-Sitzungskontrollen sowie MFA/WebAuthn für Kunden-Accounts, soweit aktiviert |
| Authentifizierung | Session-fähige Identity-Schicht (Passwort, Magic Link, OAuth/SSO); Secrets timing-safe verglichen; Identity-DB auf AUVY-betriebener PostgreSQL-Instanz (Hetzner HEL1) |
| Physische Sicherheit | Primär über EU-Rechenzentren der Unterauftragsverarbeiter (Hetzner HEL1; AWS eu-central-1 und Azure EU für Inferenz/STT); Echtzeit-Kommunikation über AUVY-betriebenes OpenPulse auf interner EU-Infrastruktur; Produkt-Websuche standardmäßig über Linkup (EU) gemäß Anlage 3 |
B. Integrität
| Maßnahme | Umsetzung |
|---|---|
| Änderungs- / Deploy-Kontrolle | Code-Review, kontrollierte Deployments |
| Schutz vor Malware / Härtung | Patch-Management der Infrastruktur, gehärtete Images/Hosts nach Betriebsstandard |
| Eingabekontrolle | Authentifizierte APIs; keine Vertrauensstellung client-gelieferter Workspace-IDs gegen Server-Authority |
C. Verfügbarkeit und Belastbarkeit
| Maßnahme | Umsetzung |
|---|---|
| Backups | Tägliche verschlüsselte Backups der Mongo-Dokument-/Trace-Plane; Identity-/Postgres-Backup separat betrieben |
| Wiederherstellung | Restore-Prozesse; Fähigkeit zur Wiederherstellung nach Incidents |
| Redundanz / Monitoring | Monitoring, Alerting, Queue-/Worker-Betrieb |
D. Belastbarkeit der Systeme / Evaluierung
| Maßnahme | Umsetzung |
|---|---|
| Logging | Zentrale Audit-/Sicherheitslogs (Login, Auth-Fehler, sicherheitsrelevante Aktionen) |
| Incident Response | Dokumentierter Prozess; Meldewege Art. 33 DSGVO / § 8 AVV |
| Prüfung | Security-Reviews / Pentest-Auszüge unter NDA; interne Audits der Tenant-Isolation |
E. Pseudonymisierung / Minimierung / Löschung
| Maßnahme | Umsetzung |
|---|---|
| Minimierung | Feature-flags; optionale Subprozessoren (z. B. PostHog) nur bei Aktivierung |
| Telemetrie | Plattform-Telemetrie pseudonymisiert/aggregiert; Customer Data nicht für Modelltraining |
| Löschung / Portabilität | Produkt-Export; Workspace-Löschung; Frist § 11 |
F. Unterstützung des Verantwortlichen
Export-/Lösch-APIs bzw. Produktfunktionen; Unterstützung bei Betroffenenanfragen und DSFA auf dokumentierte Weisung; Trust Center Unterlagen unter Vertraulichkeit.
Anlage 3 — Unterauftragsverarbeiter
Genehmigungsmodell: Allgemeine Genehmigung · Änderungen mit 30 Tagen Vorlauf
Live-Register (maßgeblich bei Abweichung der unten stehenden Momentaufnahme): https://trust.auvy.ai/subprocessors
Registerversion der Momentaufnahme: v3.1 · 2026-08-10
| Anbieter | Zweck | Datenkategorien (Customer Data / relevant) | Hosting | Optional |
|---|---|---|---|---|
| Hetzner Online GmbH | Primäre Cloud-Infra: App-Services, Worker und self-hosted Stores (PostgreSQL, MongoDB, Redis, Qdrant, Objektspeicher) | Account-/Session-Daten, Workspace-Dokumente/Traces, Uploads, Queue/Cache, Suchindex, Runtime, transient Logs | EU (Helsinki — hel1) | nein |
| Amazon Web Services EMEA SARL | EU-Cloud-Infrastruktur und AI/Model Gateway (Bedrock) | Workspace-Daten, Prompts, Dateien, Service-Logs | EU (Frankfurt) | nein |
| Microsoft Ireland Operations Ltd. | Azure-gehostete Modelldienste und Spracherkennung (voice features) | Workspace-Daten, Prompts, Dateien, Audio/Transkripte, Service-Logs | EU (Frankfurt, Schweden) | nein |
| Linkup SAS | Produkt-web_search / web_read (Websuche und Seiteninhalte) |
Suchqueries, angeforderte URLs, zurückgegebene öffentliche Web-Snippets/Seitentext | EU (Azure EU) | nein |
| Vercel Inc. | Frontend-/Edge-Hosting, Previews | Request-Metadaten, CDN-/Deploy-Metadaten | EU (Frankfurt); Edge-Metadaten ggf. global | nein |
| Stripe Payments Europe Ltd. | Billing (vorrangig Verantwortlichen-Daten; gelistet der Vollständigkeit/Transparenz halber) | Billing-Stammdaten, Zahlungsmittel bei Stripe | EU (Irland) | nein |
| Resend Inc. | Transaktions-Mails | Empfänger-E-Mail, Mailinhalt, Delivery-Metadaten | EU-Versand (Irland); Kontometadaten USA (DPA, SCCs, DPF) | nein |
| PostHog Inc. | Produktanalytik / Feature Flags | Pseudonyme IDs, Feature-Events, Workspace-Metadaten | EU (Frankfurt) | ja |
Fußnote Register: „Optional“ bedeutet, dass der Anbieter nur Daten erhält, wenn der einschlägige konfigurierte Feature-/Verarbeitungspfad aufgerufen wird. OpenPulse wird von AUVY auf interner EU-Infrastruktur in Helsinki betrieben; mangels gesondert verifizierter vertragsschließender Rechtseinheit ist es kein Dritt-Unterauftragsverarbeiter in dieser Tabelle. Kundenseitig aktivierte Drittanbieter-Integrationen und Ziele sind getrennte Empfänger unter Kontrolle des Kunden. Bei aktiviertem § 12 (§ 203 StGB) kann AUVY die zulässige Subprozessoren-Untermenge filtern, einschließlich Abschaltung von Websuche.
Anlage 4 — Drittlandtransfers / EU-SCC 2021/914
(1) Die primäre Speicherung von Workspace- und Account-Daten ist auf EU-Regionen ausgelegt (HEL1 für Identity, Application und Document Plane; Frankfurt und weitere EU-Standorte laut Anlage 3 für Standard-Inferenz, Billing und Edge).
(2) Soweit ein Transfer in ein Drittland erfolgt (z. B. begrenzte Kontometadaten bei Resend in den USA oder globale Edge-Request-Metadaten bei Vercel), gilt:
| Mechanismus | Einsatz |
|---|---|
| EU–US Data Privacy Framework | Soweit Empfänger zertifiziert |
| SCC 2021/914 Modul 2 | Verantwortlicher → Auftragsverarbeiter in Drittland (soweit einschlägig) |
| SCC 2021/914 Modul 3 | Auftragsverarbeiter → Unterauftragsverarbeiter in Drittland (soweit einschlägig) |
| Ergänzende TOMs | Verschlüsselung, Zugriffsbeschränkung, Region-Pinning, Minimierung der transferierten Daten |
(3) Die formellen SCC-Module 2021/914 werden auf Anforderung als ausgefüllte Anlage zum Order Form / Enterprise-Paket bereitgestellt. Für Self-Serve gilt die hier dokumentierte Transferbasis zuzüglich der mit den Unterauftragsverarbeitern geschlossenen DPAs/SCCs.
(4) Die Controller–Processor-Standardvertragsklauseln 2021/915 sind inhaltlich in §§ 2–11 dieser AVV umgesetzt; bei Auslegungszweifeln ist die amtliche Fassung des Beschlusses (EU) 2021/915 heranzuziehen. Zusatzklauseln (§ 12 § 203, deutsches Recht, Gerichtsstand) gelten nur, soweit sie den SCCs nicht widersprechen und den Schutz der betroffenen Personen nicht mindern.
Signaturseite (Textform / qualifizierte elektronische Signatur zulässig)
| Verantwortlicher (Kunde) | Auftragsverarbeiter (AUVY GmbH) | |
|---|---|---|
| Firma | AUVY GmbH | |
| Name, Funktion | ||
| Ort, Datum | ||
| Unterschrift / eSign |
§ 12 Aktivierung (optional, Enterprise): ☐ beantragt vom Kunden am ________ ☐ Gegenbestätigung AUVY am ________
Verifikationsmatrix Art. 28 Abs. 3 DSGVO
| Pflichtinhalt Art. 28 Abs. 3 | Umsetzung in dieser AVV | Status |
|---|---|---|
| Gegenstand und Dauer | § 3 / Anlage 1 | erfüllt |
| Art und Zweck | § 3 / Anlage 1 | erfüllt |
| Art der Daten / Kategorien Betroffener | Anlage 1 | erfüllt |
| Weisungsgebundenheit | § 2 | erfüllt |
| Vertraulichkeit | § 4 | erfüllt |
| TOMs Art. 32 | § 5 / Anlage 2 | erfüllt |
| Unterauftragsverarbeiter Art. 28 Abs. 2/4 | § 6 / Anlage 3 | erfüllt |
| Unterstützung Betroffenenrechte | § 7 | erfüllt |
| Unterstützung Art. 32–36 | § 7 Abs. 3 / § 8 | erfüllt |
| Löschung/Rückgabe | § 11 | erfüllt |
| Nachweise / Audits | § 9 | erfüllt |
| Hinweis bei rechtswidriger Weisung | § 2 Abs. 4 | erfüllt |
| Schriftform inkl. elektronisch | Kopf / Signaturseite | erfüllt |
| Drittland / Kap. V | § 10 / Anlage 4 | erfüllt |
| DE-Spezial § 203 | § 12 | erfüllt (Aktivierungspfad) |