Version: 1.0 · Stand: 2026-09-28 · Deutsches Recht · maßgeblich ist die deutsche Fassung

Diese AVV ist Anhang A der AGB AUVY für Geschäftskunden. Sie gilt als geschlossen, sobald ein Workspace für den Kunden angelegt ist, auch wenn eine App ihn bei der Anmeldung anlegt, und spätestens mit Annahme der AGB; die elektronische Form genügt (Art. 28 Abs. 9 DSGVO), eine Gegenzeichnung ist nicht erforderlich. Inhaltlich setzt sie die Standardvertragsklauseln des Durchführungsbeschlusses (EU) 2021/915 um. Enterprise-Kunden können Abweichungen in Order Form oder AVV-Nachtrag vereinbaren. Versionshistorie: trust.auvy.ai/changelog.

Parteien

Auftragsverarbeiter: AUVY GmbH, Am Haag 8, 82166 Gräfelfing, Deutschland · Amtsgericht München, HRB 311039 · vertreten durch die Geschäftsführer Achim Ströbel und Patrick Schröppel (jeweils einzelvertretungsberechtigt) · Datenschutz: privacy@auvy.ai · Sicherheit: security@auvy.ai · Datenschutzbeauftragter: nicht benannt

Verantwortlicher („Kunde“): die Organisation, die im Checkout, Order Form oder einer Pilotvereinbarung als Vertragspartner bezeichnet ist oder für die ein Workspace angelegt wurde.

§ 1 Gegenstand

(1) AUVY verarbeitet personenbezogene Daten im Auftrag des Kunden ausschließlich, um AUVY als Software-as-a-Service bereitzustellen und zu betreiben, einschließlich Support.

(2) Die AVV gilt nicht, soweit AUVY selbst Verantwortlicher ist, insbesondere für Konten, Anmeldung, Abrechnung und Plattformsicherheit. Dafür gelten die Datenschutzhinweise. Für Verbraucherverträge besteht keine Auftragsverarbeitung, ebenso wenig für einen persönlichen Workspace, den eine App von AUVY für eine Person anlegt.

(3) Die Anlagen 1 bis 4 sind Bestandteil dieser AVV.

§ 2 Weisungen

(1) AUVY verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, es sei denn, Unionsrecht oder mitgliedstaatliches Recht verpflichtet AUVY dazu; in diesem Fall informiert AUVY den Kunden vorher, soweit das Recht dies nicht verbietet.

(2) Weisungen erteilt der Kunde durch die Nutzung und Konfiguration des Produkts, durch Support-Anfragen und in Textform an privacy@auvy.ai.

(3) Hält AUVY eine Weisung für datenschutzwidrig, informiert AUVY den Kunden unverzüglich.

(4) AUVY verwendet Customer Data nicht zum Training oder zur Feinabstimmung von KI-Modellen. Anonymisierte, aggregierte Nutzungsstatistiken ohne Personenbezug bleiben zulässig.

§ 3 Art der Verarbeitung

Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie Datenarten und betroffene Personen ergeben sich aus Anlage 1.

§ 4 Vertraulichkeit

AUVY gewährt Zugriff auf Customer Data nur Personen, die ihn für Betrieb, Support oder Sicherheit benötigen und die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 5 Sicherheit der Verarbeitung

AUVY trifft mindestens die technischen und organisatorischen Maßnahmen nach Anlage 2 (Art. 32 DSGVO). AUVY darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverarbeiter

(1) Der Kunde genehmigt allgemein den Einsatz der Unterauftragsverarbeiter in Anlage 3 (Art. 28 Abs. 2 DSGVO). Die aktuelle Liste steht unter trust.auvy.ai/subprocessors.

(2) AUVY kündigt jede Hinzufügung oder Ersetzung mindestens 30 Tage vorher per E-Mail an die Workspace-Inhaber und im Trust Center an. Der Kunde kann innerhalb dieser Frist aus datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann der Kunde die betroffene Leistung außerordentlich kündigen (§ 8 AGB). Muss ein Unterauftragsverarbeiter kurzfristig ersetzt werden, um die Sicherheit oder Verfügbarkeit des Dienstes zu wahren, darf AUVY die Ersetzung vor Ablauf der Frist vornehmen; AUVY informiert den Kunden dann unverzüglich, und Widerspruchs- und Kündigungsrecht laufen ab Zugang dieser Mitteilung.

(3) AUVY verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Datenschutzniveau und haftet gegenüber dem Kunden für dessen Pflichterfüllung.

(4) Integrationen, die der Kunde selbst aktiviert (z. B. Microsoft 365), sind keine Unterauftragsverarbeiter von AUVY; der verbundene Dienst ist Empfänger auf Veranlassung des Kunden. Dasselbe gilt für Apps Dritter, die ein Administrator des Kunden installiert oder die sich bei der Anmeldung einer Person des Kunden installieren: Sie sind Empfänger auf Weisung des Kunden und erhalten nur, was ihre Installation erlaubt. Apps von AUVY sind Marken der AUVY GmbH und in Anlage 3 genannt.

§ 7 Unterstützung des Kunden

(1) AUVY unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–22 DSGVO). Anträge, die AUVY direkt erreichen, leitet AUVY unverzüglich an den Kunden weiter.

(2) AUVY unterstützt den Kunden bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldungen, Datenschutz-Folgenabschätzung, Konsultation), soweit AUVY die dafür nötigen Informationen hat.

§ 8 Verletzungen des Schutzes personenbezogener Daten

(1) AUVY meldet dem Kunden eine Verletzung des Schutzes von Customer Data unverzüglich, spätestens 24 Stunden nachdem AUVY davon Kenntnis erlangt hat, an die hinterlegte Kontaktadresse des Kunden.

(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Fehlende Angaben reicht AUVY nach, sobald sie vorliegen.

§ 9 Nachweise und Audits

(1) AUVY stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind.

(2) Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer darf die Einhaltung höchstens einmal jährlich prüfen, mit mindestens 20 Werktagen Vorankündigung, während der Geschäftszeiten und ohne Beeinträchtigung anderer Kunden. Bei konkretem Anlass oder behördlicher Anordnung gelten diese Grenzen nicht. Vorhandene Zertifikate und Prüfberichte können eine Prüfung ersetzen. Die Kosten trägt der Kunde, es sei denn, die Prüfung deckt einen erheblichen Verstoß von AUVY auf.

§ 10 Übermittlung in Drittländer

AUVY übermittelt personenbezogene Daten in Drittländer nur unter Einhaltung von Kapitel V DSGVO. Die eingesetzten Garantien beschreibt Anlage 4.

§ 11 Rückgabe und Löschung

(1) Der Kunde kann Customer Data jederzeit über die Exportfunktionen herunterladen.

(2) Nach Vertragsende löscht AUVY die Customer Data innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Verschlüsselte Datensicherungen werden im regulären Rotationszyklus von 30 Tagen überschrieben; bis dahin werden sie nur zur Wiederherstellung verwendet. Auf Wunsch bestätigt AUVY die Löschung in Textform.

§ 12 Berufsgeheimnisse (§ 203 StGB)

(1) Fremde Geheimnisse im Sinne von § 203 StGB (z. B. von Anwälten, Steuerberatern, Ärzten) dürfen in AUVY nur verarbeitet werden, wenn der Kunde dies in Textform anzeigt und AUVY in Textform bestätigt hat. Ohne diese Aktivierung ist ihre Eingabe untersagt.

(2) AUVY bestätigt die Aktivierung nur, wenn (a) die befassten Mitarbeiter nach § 203 Abs. 4 StGB verpflichtet sind, (b) nur Unterauftragsverarbeiter mit gleichwertiger Verpflichtung eingesetzt werden (gegebenenfalls unter Abschaltung einzelner Funktionen wie der Websuche) und (c) die ergänzenden Maßnahmen für den Workspace dokumentiert sind. Die Aktivierung steht Kunden mit Business- oder Enterprise-Vertrag offen; der Antrag erfolgt aus dem Workspace oder in Textform an privacy@auvy.ai.

§ 13 Laufzeit, Haftung, Schlussbestimmungen

(1) Die AVV gilt, solange AUVY Customer Data für den Kunden verarbeitet.

(2) Die Haftung richtet sich nach Art. 82 DSGVO und § 14 AGB; Haftungsbegrenzungen der AGB gelten nicht für Ansprüche nach Art. 82 DSGVO (§ 14 Abs. 4 AGB).

(3) Es gilt deutsches Recht. Gerichtsstand ist München, soweit der Kunde Kaufmann oder juristische Person des öffentlichen Rechts ist. Bei Widersprüchen geht diese AVV den übrigen Vertragsbestimmungen vor, soweit es um den Schutz personenbezogener Daten geht.

Anlage 1: Beschreibung der Verarbeitung


Zweck	Bereitstellung von AUVY: Workspaces, Zusammenarbeit, KI-gestützte Verarbeitung, Websuche, Sprachfunktionen, Export, Löschung und Support; Apps von AUVY wie Outeva, soweit sie im Workspace installiert sind
Art	Speichern, Abrufen, Organisieren, Verarbeiten für KI-Anfragen, Übermitteln an Unterauftragsverarbeiter nach Anlage 3, Löschen
Dauer	Vertragslaufzeit zuzüglich Löschfrist nach § 11
Betroffene Personen	Beschäftigte und Beauftragte des Kunden; Personen, die in Workspace-Inhalten genannt sind; Teilnehmer von Besprechungen, wenn Sprachfunktionen genutzt werden; Ansprechpartner von Interessenten, Kunden und Geschäftspartnern des Kunden, wenn er Outeva nutzt
Datenarten	Workspace-Inhalte (Dokumente, Notizen, Nachrichten, Prompts, KI-Ausgaben), Dateien, Audio und Transkripte bei Sprachfunktionen, Audio und Video von Besprechungen sowie deren Aufzeichnungen, wenn eine Besprechung aufgezeichnet wird, Suchanfragen und abgerufene URLs bei der Websuche, vom Kunden verbundene E-Mail- und Kalenderinhalte, Inhalte in Apps von AUVY (bei Outeva Unternehmen, Kontakte, Termine, Angebote und Kampagnen), Nutzer- und Workspace-Kennungen
Besondere Kategorien (Art. 9 DSGVO)	Nicht vorgesehen. Nur zulässig, wenn der Kunde eine Rechtsgrundlage hat und AUVY vorher informiert
§ 203 StGB	Nur nach Aktivierung gemäß § 12

Anlage 2: Technische und organisatorische Maßnahmen

Stand 2026-09-28.

Bereich	Maßnahme
Speicherort	Customer Data wird ausschließlich in Rechenzentren von Hetzner in Helsinki (EU) gespeichert
Verschlüsselung bei Übertragung	TLS 1.2 oder höher für alle externen Verbindungen
Verschlüsselung gespeicherter Daten	Datensicherungen AES-256-GCM-verschlüsselt
Datensicherung	MongoDB und PostgreSQL (Identitäts- und Kontodaten) täglich, Vektorindex wöchentlich, verschlüsselt in Hetzner Object Storage (Helsinki), 30 Tage Aufbewahrung
Mandantentrennung	Logische Trennung je Workspace; der Server bestimmt den Workspace, nicht der Client
Zugang und Anmeldung	Rollenbasierte Rechte, Least Privilege für Betriebszugriffe; Passkeys/WebAuthn und Mehrfaktor-Anmeldung für Kundenkonten; Identitätsdaten in AUVY-betriebenem PostgreSQL in Helsinki
Physische Sicherheit	Über den Rechenzentrumsbetreiber Hetzner (ISO/IEC 27001-zertifizierte Rechenzentren)
Änderungen und Betrieb	Code-Review, kontrollierte Deployments, zeitnahe Sicherheitsupdates, Monitoring und Alarmierung
Protokollierung	Sicherheitsrelevante Ereignisse (Anmeldung, Fehlversuche, Administrationsaktionen) werden zentral protokolliert
Vorfallmanagement	Dokumentierter Prozess mit Meldung nach § 8
Datenminimierung	Optionale Funktionen erhalten Daten nur, wenn sie genutzt werden; keine Analyse-Dienste Dritter; kein Modelltraining mit Customer Data
Löschung und Export	Exportfunktion im Produkt; Löschung nach § 11

Anlage 3: Unterauftragsverarbeiter

Anbieter	Leistung	Daten	Ort
Hetzner Online GmbH	Hosting und Speicherung aller Customer Data	Alle Datenarten nach Anlage 1	EU (Helsinki)
Amazon Web Services EMEA SARL	KI-Modelle und Rechenleistung (Amazon Bedrock, EU-Inferenzprofile); Bedrock speichert keine Anfragen	Inhalt der jeweiligen KI-Anfrage (Prompts, übermittelte Workspace-Inhalte und Dateien)	EU (Frankfurt, Stockholm, Irland, Paris, Mailand, Spanien)
Microsoft Ireland Operations Ltd.	KI-Modelle und Rechenleistung (Azure OpenAI, Azure AI Foundry) und Spracherkennung; Microsoft kann Prompts und Antworten von Azure OpenAI bis zu 30 Tage zur Missbrauchsüberwachung speichern	Inhalt der jeweiligen KI-Anfrage; Audio und Transkripte bei Sprachfunktionen	EU (Frankfurt, Schweden)
Google Cloud EMEA Limited	KI-Modelle und Rechenleistung (Vertex AI: Gemini-Modelle und Text-Embeddings), Verarbeitung pro Anfrage; Google kann Eingaben bis zu 24 Stunden im Arbeitsspeicher zwischenspeichern	Inhalt der jeweiligen KI-Anfrage (Prompts, übermittelte Workspace-Inhalte und Dateien)	EU (Niederlande)
Linkup SAS	Websuche und Abruf öffentlicher Webseiten	Suchanfragen, angeforderte URLs	EU
Resend Inc.	Zustellung der System-E-Mails, die AUVY über OpenPulse Mail versendet, und Empfang von E-Mails an Projektadressen	Absender- und Empfängeradressen, E-Mail-Inhalt und Anhänge, Zustellstatus	EU (Irland)
Stripe Payments Europe, Ltd.	Zahlungsabwicklung, überwiegend eigene Abrechnungsdaten von AUVY, der Vollständigkeit halber genannt	Rechnungsdaten des Kunden, Zahlungsmittel	EU (Irland)

Keine dieser Stellen erhält Customer Data zum Modelltraining.

Von AUVY selbst betriebene Dienste (Marken der AUVY GmbH, kein Dritter, zur Transparenz genannt):

Dienst	Leistung	Daten	Ort
OpenPulse (AUVY GmbH)	Zusammenarbeit in Echtzeit, Besprechungen und System-E-Mails (OpenPulse Mail), auf AUVYs Servern bei Hetzner	Dokumentänderungen, Nachrichten und Anwesenheit in Echtzeit; Audio und Video von Besprechungen; Aufzeichnungen, wenn eine Besprechung aufgezeichnet wird; bei System-E-Mails (Anmeldung, Benachrichtigungen) Empfängeradresse, E-Mail-Inhalt und Zustellstatus	EU (Helsinki)
Outeva (AUVY GmbH)	Vertrieb, Marketing und Kundenbetreuung als App im Workspace, auf AUVYs Servern bei Hetzner	Unternehmen, Kontakte, Termine, Angebote und Kampagnen, die der Kunde in Outeva anlegt; Workspace-Inhalte in den Bereichen, für die Outeva installiert ist	EU (Helsinki)

Anlage 4: Übermittlung in Drittländer

(1) Customer Data wird in der EU gespeichert und verarbeitet (Anlage 3). Die Anbieter AWS, Microsoft und Stripe handeln über EU-Gesellschaften.

(2) Resend Inc. hat ihren Sitz in den USA; die Verarbeitung erfolgt in der EU (Irland), ein Zugriff aus den USA ist möglich. Grundlage ist das EU-US Data Privacy Framework, hilfsweise die Standardvertragsklauseln 2021/914 (Modul 3).

(3) Weitere Drittlandübermittlungen finden nur nach § 6 (Ankündigung) und mit Garantien nach Kapitel V DSGVO statt. Kopien der Garantien erhält der Kunde auf Anfrage an privacy@auvy.ai.

Unterschriften (optional, für Enterprise-Verträge)

	Kunde	AUVY GmbH
Name, Funktion
Ort, Datum
Unterschrift

§ 12-Aktivierung: ☐ beantragt am ________ ☐ bestätigt am ________