Version: 1.0 · Stand: 2026-09-26 · Deutsches Recht · maßgeblich ist die deutsche Fassung

Diese AVV ist Anhang A der AGB AUVY für Geschäftskunden. Sie gilt mit Annahme der AGB als geschlossen; die elektronische Form genügt (Art. 28 Abs. 9 DSGVO), eine Gegenzeichnung ist nicht erforderlich. Inhaltlich setzt sie die Standardvertragsklauseln des Durchführungsbeschlusses (EU) 2021/915 um. Enterprise-Kunden können Abweichungen in Order Form oder AVV-Nachtrag vereinbaren. Versionshistorie: trust.auvy.ai/changelog.

Parteien

Auftragsverarbeiter: AUVY GmbH, Am Haag 8, 82166 Gräfelfing, Deutschland · Amtsgericht München, HRB 311039 · vertreten durch die Geschäftsführer Achim Ströbel und Patrick Schröppel (jeweils einzelvertretungsberechtigt) · Datenschutz: privacy@auvy.ai · Sicherheit: security@auvy.ai · Datenschutzbeauftragter: nicht benannt

Verantwortlicher („Kunde“): die Organisation, die im Checkout, Order Form oder einer Pilotvereinbarung als Vertragspartner bezeichnet ist.

§ 1 Gegenstand

(1) AUVY verarbeitet personenbezogene Daten im Auftrag des Kunden ausschließlich, um AUVY als Software-as-a-Service bereitzustellen und zu betreiben, einschließlich Support.

(2) Die AVV gilt nicht, soweit AUVY selbst Verantwortlicher ist, insbesondere für Konten, Anmeldung, Abrechnung und Plattformsicherheit. Dafür gelten die Datenschutzhinweise. Für Verbraucherverträge besteht keine Auftragsverarbeitung.

(3) Die Anlagen 1 bis 4 sind Bestandteil dieser AVV.

§ 2 Weisungen

(1) AUVY verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, es sei denn, Unionsrecht oder mitgliedstaatliches Recht verpflichtet AUVY dazu; in diesem Fall informiert AUVY den Kunden vorher, soweit das Recht dies nicht verbietet.

(2) Weisungen erteilt der Kunde durch die Nutzung und Konfiguration des Produkts, durch Support-Anfragen und in Textform an privacy@auvy.ai.

(3) Hält AUVY eine Weisung für datenschutzwidrig, informiert AUVY den Kunden unverzüglich.

(4) AUVY verwendet Customer Data nicht zum Training oder zur Feinabstimmung von KI-Modellen. Anonymisierte, aggregierte Nutzungsstatistiken ohne Personenbezug bleiben zulässig.

§ 3 Art der Verarbeitung

Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie Datenarten und betroffene Personen ergeben sich aus Anlage 1.

§ 4 Vertraulichkeit

AUVY gewährt Zugriff auf Customer Data nur Personen, die ihn für Betrieb, Support oder Sicherheit benötigen und die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 5 Sicherheit der Verarbeitung

AUVY trifft mindestens die technischen und organisatorischen Maßnahmen nach Anlage 2 (Art. 32 DSGVO). AUVY darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverarbeiter

(1) Der Kunde genehmigt allgemein den Einsatz der Unterauftragsverarbeiter in Anlage 3 (Art. 28 Abs. 2 DSGVO). Die aktuelle Liste steht unter trust.auvy.ai/subprocessors.

(2) AUVY kündigt jede Hinzufügung oder Ersetzung mindestens 30 Tage vorher per E-Mail oder im Trust Center an. Der Kunde kann innerhalb dieser Frist aus datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann der Kunde die betroffene Leistung außerordentlich kündigen (§ 8 AGB).

(3) AUVY verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Datenschutzniveau und haftet gegenüber dem Kunden für dessen Pflichterfüllung.

(4) Integrationen, die der Kunde selbst aktiviert (z. B. Microsoft 365), sind keine Unterauftragsverarbeiter von AUVY; der verbundene Dienst ist Empfänger auf Veranlassung des Kunden.

§ 7 Unterstützung des Kunden

(1) AUVY unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–22 DSGVO). Anträge, die AUVY direkt erreichen, leitet AUVY unverzüglich an den Kunden weiter.

(2) AUVY unterstützt den Kunden bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldungen, Datenschutz-Folgenabschätzung, Konsultation), soweit AUVY die dafür nötigen Informationen hat.

§ 8 Verletzungen des Schutzes personenbezogener Daten

(1) AUVY meldet dem Kunden eine Verletzung des Schutzes von Customer Data unverzüglich, spätestens 24 Stunden nachdem AUVY davon Kenntnis erlangt hat, an die hinterlegte Kontaktadresse des Kunden.

(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Fehlende Angaben reicht AUVY nach, sobald sie vorliegen.

§ 9 Nachweise und Audits

(1) AUVY stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind.

(2) Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer darf die Einhaltung höchstens einmal jährlich prüfen, mit mindestens 20 Werktagen Vorankündigung, während der Geschäftszeiten und ohne Beeinträchtigung anderer Kunden. Bei konkretem Anlass oder behördlicher Anordnung gelten diese Grenzen nicht. Vorhandene Zertifikate und Prüfberichte können eine Prüfung ersetzen. Die Kosten trägt der Kunde, es sei denn, die Prüfung deckt einen erheblichen Verstoß von AUVY auf.

§ 10 Übermittlung in Drittländer

AUVY übermittelt personenbezogene Daten in Drittländer nur unter Einhaltung von Kapitel V DSGVO. Die eingesetzten Garantien beschreibt Anlage 4.

§ 11 Rückgabe und Löschung

(1) Der Kunde kann Customer Data jederzeit über die Exportfunktionen herunterladen.

(2) Nach Vertragsende löscht AUVY die Customer Data innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Verschlüsselte Datensicherungen werden im regulären Rotationszyklus von 30 Tagen überschrieben; bis dahin werden sie nur zur Wiederherstellung verwendet. Auf Wunsch bestätigt AUVY die Löschung in Textform.

§ 12 Berufsgeheimnisse (§ 203 StGB)

(1) Fremde Geheimnisse im Sinne von § 203 StGB (z. B. von Anwälten, Steuerberatern, Ärzten) dürfen in AUVY nur verarbeitet werden, wenn der Kunde dies in Textform anzeigt und AUVY in Textform bestätigt hat. Ohne diese Aktivierung ist ihre Eingabe untersagt.

(2) AUVY bestätigt die Aktivierung nur, wenn (a) die befassten Mitarbeiter nach § 203 Abs. 4 StGB verpflichtet sind, (b) nur Unterauftragsverarbeiter mit gleichwertiger Verpflichtung eingesetzt werden (gegebenenfalls unter Abschaltung einzelner Funktionen wie der Websuche) und (c) die ergänzenden Maßnahmen für den Workspace dokumentiert sind. Die Aktivierung steht nur Enterprise-Kunden offen.

§ 13 Laufzeit, Haftung, Schlussbestimmungen

(1) Die AVV gilt, solange AUVY Customer Data für den Kunden verarbeitet.

(2) Die Haftung richtet sich nach Art. 82 DSGVO und § 14 AGB; Haftungsbegrenzungen der AGB gelten nicht für Ansprüche nach Art. 82 DSGVO (§ 14 Abs. 4 AGB).

(3) Es gilt deutsches Recht. Gerichtsstand ist München, soweit der Kunde Kaufmann oder juristische Person des öffentlichen Rechts ist. Bei Widersprüchen geht diese AVV den übrigen Vertragsbestimmungen vor, soweit es um den Schutz personenbezogener Daten geht.

Anlage 1: Beschreibung der Verarbeitung


Zweck	Bereitstellung von AUVY: Workspaces, Zusammenarbeit, KI-gestützte Verarbeitung, Websuche, Sprachfunktionen, Export, Löschung und Support
Art	Speichern, Abrufen, Organisieren, Verarbeiten für KI-Anfragen, Übermitteln an Unterauftragsverarbeiter nach Anlage 3, Löschen
Dauer	Vertragslaufzeit zuzüglich Löschfrist nach § 11
Betroffene Personen	Beschäftigte und Beauftragte des Kunden; Personen, die in Workspace-Inhalten genannt sind; Teilnehmer von Besprechungen, wenn Sprachfunktionen genutzt werden
Datenarten	Workspace-Inhalte (Dokumente, Notizen, Nachrichten, Prompts, KI-Ausgaben), Dateien, Audio und Transkripte bei Sprachfunktionen, Audio und Video von Besprechungen sowie deren Aufzeichnungen, wenn eine Besprechung aufgezeichnet wird, Suchanfragen und abgerufene URLs bei der Websuche, vom Kunden verbundene E-Mail- und Kalenderinhalte, Nutzer- und Workspace-Kennungen
Besondere Kategorien (Art. 9 DSGVO)	Nicht vorgesehen. Nur zulässig, wenn der Kunde eine Rechtsgrundlage hat und AUVY vorher informiert
§ 203 StGB	Nur nach Aktivierung gemäß § 12

Anlage 2: Technische und organisatorische Maßnahmen

Stand 2026-09-26.

Bereich	Maßnahme
Speicherort	Customer Data wird ausschließlich in Rechenzentren von Hetzner in Helsinki (EU) gespeichert
Verschlüsselung bei Übertragung	TLS 1.2 oder höher für alle externen Verbindungen
Verschlüsselung gespeicherter Daten	Datensicherungen AES-256-GCM-verschlüsselt
Datensicherung	MongoDB und PostgreSQL (Identitäts- und Kontodaten) täglich, Vektorindex wöchentlich, verschlüsselt in Hetzner Object Storage (Helsinki), 30 Tage Aufbewahrung
Mandantentrennung	Logische Trennung je Workspace; der Server bestimmt den Workspace, nicht der Client
Zugang und Anmeldung	Rollenbasierte Rechte, Least Privilege für Betriebszugriffe; Passkeys/WebAuthn und Mehrfaktor-Anmeldung für Kundenkonten; Identitätsdaten in AUVY-betriebenem PostgreSQL in Helsinki
Physische Sicherheit	Über den Rechenzentrumsbetreiber Hetzner (ISO/IEC 27001-zertifizierte Rechenzentren)
Änderungen und Betrieb	Code-Review, kontrollierte Deployments, zeitnahe Sicherheitsupdates, Monitoring und Alarmierung
Protokollierung	Sicherheitsrelevante Ereignisse (Anmeldung, Fehlversuche, Administrationsaktionen) werden zentral protokolliert
Vorfallmanagement	Dokumentierter Prozess mit Meldung nach § 8
Datenminimierung	Optionale Funktionen erhalten Daten nur, wenn sie genutzt werden; keine Analyse-Dienste Dritter; kein Modelltraining mit Customer Data
Löschung und Export	Exportfunktion im Produkt; Löschung nach § 11

Anlage 3: Unterauftragsverarbeiter

Anbieter	Leistung	Daten	Ort
Hetzner Online GmbH	Hosting und Speicherung aller Customer Data	Alle Datenarten nach Anlage 1	EU (Helsinki)
Amazon Web Services EMEA SARL	KI-Inferenz (Amazon Bedrock, EU-Inferenzprofile), keine Speicherung	Inhalt der jeweiligen KI-Anfrage (Prompts, übermittelte Workspace-Inhalte und Dateien)	EU (Frankfurt, Stockholm, Irland, Paris, Mailand, Spanien)
Microsoft Ireland Operations Ltd.	KI-Inferenz (Azure OpenAI) und Spracherkennung; Microsoft kann Prompts und Antworten von Azure OpenAI bis zu 30 Tage zur Missbrauchsüberwachung speichern	Inhalt der jeweiligen KI-Anfrage; Audio und Transkripte bei Sprachfunktionen	EU (Frankfurt, Schweden)
Linkup SAS	Websuche und Abruf öffentlicher Webseiten	Suchanfragen, angeforderte URLs	EU
Resend Inc.	Versand von System-E-Mails	Empfängeradresse, E-Mail-Inhalt, Zustellstatus	EU (Irland)
Stripe Payments Europe, Ltd.	Zahlungsabwicklung, überwiegend eigene Abrechnungsdaten von AUVY, der Vollständigkeit halber genannt	Rechnungsdaten des Kunden, Zahlungsmittel	EU (Irland)

Keine dieser Stellen erhält Customer Data zum Modelltraining.

Von AUVY selbst betriebene Dienste (kein Dritter, zur Transparenz genannt):

Dienst	Leistung	Daten	Ort
OpenPulse (AUVY GmbH)	Zusammenarbeit in Echtzeit und Besprechungen, auf AUVYs Servern bei Hetzner	Dokumentänderungen, Nachrichten und Anwesenheit in Echtzeit; Audio und Video von Besprechungen; Aufzeichnungen, wenn eine Besprechung aufgezeichnet wird	EU (Helsinki)

Anlage 4: Übermittlung in Drittländer

(1) Customer Data wird in der EU gespeichert und verarbeitet (Anlage 3). Die Anbieter AWS, Microsoft und Stripe handeln über EU-Gesellschaften.

(2) Resend Inc. hat ihren Sitz in den USA; die Verarbeitung erfolgt in der EU (Irland), ein Zugriff aus den USA ist möglich. Grundlage ist das EU-US Data Privacy Framework, hilfsweise die Standardvertragsklauseln 2021/914 (Modul 3).

(3) Weitere Drittlandübermittlungen finden nur nach § 6 (Ankündigung) und mit Garantien nach Kapitel V DSGVO statt. Kopien der Garantien erhält der Kunde auf Anfrage an privacy@auvy.ai.

Unterschriften (optional, für Enterprise-Verträge)

	Kunde	AUVY GmbH
Name, Funktion
Ort, Datum
Unterschrift

§ 12-Aktivierung: ☐ beantragt am ________ ☐ bestätigt am ________