Auftragsverarbeitung — Überblick

Version: 1.6 · Stand: 2026-08-10

Dieses Dokument fasst die Rollen nach Art. 28 DSGVO zusammen, wenn AUVY GmbH Weisungen von organisatorischen Verantwortlichen in AUVY erhält.

Verbindlicher Vertragstext

Die vollständige Vereinbarung zur Auftragsverarbeitung (AVV) — Anhang A zu den AGB AUVY, Art.-28-vollständig inkl. TOMs, Unterauftragsverarbeiter, Transferregeln und §-203-Aktivierung — ist:

→ AVV Art. 28 DSGVO (DE) · Datei AUVY_AVV_DE.md · Version 1.10 (2026-08-10) · Live-Subprozessoren-Register v3.1

Die veröffentlichte Standard-AVV ist verbindlich, wenn ein B2B-Kunde im Self-Serve-Checkout die AUVY-AGB Geschäftskunden annimmt; die elektronische Form erfüllt Art. 28 Abs. 9 DSGVO und eine gesonderte Gegenzeichnung ist nicht erforderlich. Enterprise-Kunden können Änderungen in Order Form, MSA oder AVV-Nachtrag verhandeln; nur diese verhandelten Änderungen können eine Gegenzeichnung erfordern. Der deutsche Text ist der maßgebliche Vertragstext. Eine vollständige englische Arbeitsübersetzung ist öffentlich, geht dem deutschen Text aber nicht vor. Öffentliche Versionshistorie: trust.auvy.ai/changelog.

Verantwortlicher vs Auftragsverarbeiter

• Die Organisation, die Nutzer in einen B2B-AUVY-Workspace einlädt, ist für Workspace-Inhalte regelmäßig Verantwortlicher im Sinne der DSGVO.
• AUVY GmbH verarbeitet personenbezogene Daten (Customer Data) auf dokumentierte Weisung gemäß Art. 28, 29 und 32 DSGVO.
• Für Account-, Authentifizierungs-, Abrechnungs- und Plattform-Sicherheitsverarbeitung nach den Datenschutzhinweisen bleibt AUVY Verantwortlicher. Bei B2C-Verbraucher-Workspaces ist AUVY für den Verbraucherkontext Verantwortlicher; die AVV gilt dort nicht.
• Betroffene behalten ihre Rechte — zunächst über die Organisation, sonst privacy@auvy.ai / security@auvy.ai.

Weisungen und Übermittlungen

Weisungen erfolgen über Onboarding, Workspace-Einstellungen, Tickets, API-Metadaten, Order Form / Pilotvereinbarung und schriftliche Anweisungen. Drittlandtransfers: AVV § 10 / Anlage 4 (SCC 2021/914 und Angemessenheitsbeschlüsse, soweit einschlägig). Linkup stellt den standardmäßigen EU-Websuchpfad bereit. Begrenzte Drittlandverarbeitung für Resend-Kontometadaten und Vercel-Edge-Metadaten bleibt in der AVV dokumentiert. Kundenseitig ausgewählte Ziele bleiben getrennte Empfänger unter Kontrolle des Kunden.

Unterauftragsverarbeiter

Das Live-Register: trust.auvy.ai/subprocessors (Register v3.1, 2026-08-10). OpenPulse ist ein von AUVY auf interner EU-Infrastruktur betriebener Dienst und kein gesondert verifizierter vertragsschließender Unterauftragsverarbeiter.

KI-Verantwortlichkeiten

Art. 50 EU-KI-Verordnung gilt seit dem 2. August 2026. Anbieter- und Betreiberpflichten bleiben rollenspezifisch: AUVY adressiert erfasste Anbieterpflichten für AUVY-Systeme zur direkten Interaktion; Kunden behalten einsatzbezogene Transparenz- und KI-Kompetenzpflichten. Maschinenlesbare Provenienz kann nachgelagert entfernt oder beeinträchtigt werden und garantiert weder Herkunft noch Urheberschaft oder Richtigkeit. Verbotene und nicht freigegebene Hochrisiko-Nutzungen richten sich nach der AUP.

Nachweise

Trust Center (trust.auvy.ai), Pentest-Auszüge und Fragebögen werden unter Vertraulichkeitsvereinbarungen ausgetauscht.