Auftragsverarbeitungsvertrag (AVV) — Vorlage

1. Vertragsparteien

Dieser Vertrag wird geschlossen zwischen dem Auftraggeber (Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO) und der K-Labs GmbH, Birkheckenstraße 78a, 70599 Stuttgart (nachfolgend „azena“, Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO).

2. Gegenstand und Dauer

azena verarbeitet personenbezogene Daten im Rahmen der Leistungen, die im Hauptvertrag vereinbart sind, zum Beispiel die KI-Schnittstelle Model Garden, Entwicklung und Betrieb von Anwendungen, Beratung oder Weiterbildung. Der Vertrag läuft so lange wie der Hauptvertrag.

3. Art und Zweck der Verarbeitung, Datenkategorien, betroffene Personen

Die Verarbeitung dient ausschließlich der Erbringung der vereinbarten Leistungen. azena nutzt die Daten nicht für eigene Zwecke und nicht zum Training von KI-Modellen. Typischerweise werden verarbeitet:

• Stamm- und Kontaktdaten von Beschäftigten des Auftraggebers (Name, Rolle, E-Mail-Adresse)
• Daten von Kunden und Geschäftspartnern des Auftraggebers, soweit sie in den Anwendungen vorkommen
• Inhalte, die der Auftraggeber zur Verarbeitung übergibt (z. B. Dokumente, Texte, Bilder, Eingaben an KI-Modelle)
• Nutzungs- und Protokolldaten (z. B. Zeitpunkt, Kennung, Umfang einer Anfrage)

Betroffen sind insbesondere Beschäftigte, Kunden und Geschäftspartner des Auftraggebers. Die Angaben im Einzelfall stehen im Hauptvertrag.

4. Weisungen

azena verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch bei einer Übermittlung in ein Drittland, es sei denn, azena ist gesetzlich zur Verarbeitung verpflichtet. Weisungen erfolgen in Textform. Hält azena eine Weisung für rechtswidrig, weist azena den Auftraggeber unverzüglich darauf hin.

5. Vertraulichkeit

azena setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

6. Sicherheit der Verarbeitung

azena trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Dazu gehören unter anderem:

• Verschlüsselung aller Verbindungen mit TLS, Verschlüsselung gespeicherter Daten durch die Cloud-Anbieter
• Datenbanken in EU-Regionen, eine eigene Datenbank je Kundenanwendung
• Zugang nur mit eigener Anmeldung oder eigenem Schlüssel, Passwörter und Schlüssel nur als Hash gespeichert
• Rollen mit abgestuften Rechten, Protokolle ohne Inhalte
• automatische Datensicherung und Überwachung der Systeme

azena darf die Maßnahmen an den technischen Fortschritt anpassen, solange das Schutzniveau nicht sinkt. Die aktuelle Fassung von Anlage 1 erhält der Auftraggeber auf Anfrage.

7. Unterauftragsverarbeiter

Der Auftraggeber erlaubt den Einsatz der folgenden Unterauftragsverarbeiter. Welche davon ein Auftrag tatsächlich nutzt, steht im Hauptvertrag.

• Cloudflare, Inc.: Hosting von Webanwendungen und Schnittstellen, Datenbanken in Westeuropa
• Microsoft: E-Mail und Dokumente (Microsoft 365); Betrieb in Azure-Umgebungen des Auftraggebers (Westeuropa)
• Supabase, Inc.: Datenbank und Anmeldung einzelner Anwendungen (Frankfurt)
• Railway Corp.: Hosting von Anwendungsdiensten
• Resend, Inc.: Versand von Systemmails (Irland)
• KI-Modelle, je nach Auftrag: Anthropic PBC (USA), OpenAI, L.L.C. (USA), Nebius B.V. (Niederlande)

Einen neuen oder geänderten Unterauftragsverarbeiter kündigt azena vorher in Textform an. Der Auftraggeber kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. azena verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten.

Übermittlungen in Drittländer erfolgen nur mit geeigneten Garantien nach Art. 44 ff. DSGVO, zum Beispiel auf Grundlage des EU-US Data Privacy Framework oder der EU-Standardvertragsklauseln. Auf Wunsch beschränkt azena die Verarbeitung auf Anbieter mit Verarbeitung in der EU; das wird im Hauptvertrag festgelegt.

8. Unterstützung des Auftraggebers

azena unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 22 DSGVO). azena unterstützt ihn außerdem bei seinen Pflichten aus Art. 32 bis 36 DSGVO: Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation. Wendet sich eine betroffene Person direkt an azena, leitet azena die Anfrage unverzüglich an den Auftraggeber weiter.

9. Meldung von Verletzungen

azena meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten oder einen begründeten Verdacht unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, in Textform an die benannte Kontaktstelle. Die Meldung enthält die Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie bekannt sind.

10. Löschung und Rückgabe

Nach Ende der Leistungen löscht azena alle personenbezogenen Daten oder gibt sie nach Wahl des Auftraggebers zurück, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Für die Übergabe gilt eine Frist von höchstens 90 Tagen. Kopien in Datensicherungen werden mit Ablauf der jeweiligen Sicherungsfrist gelöscht. Auf Wunsch bestätigt azena die Löschung in Textform.

11. Nachweise und Kontrollen

azena stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind, insbesondere Anlage 1 in der aktuellen Fassung. Der Auftraggeber oder ein von ihm beauftragter Prüfer kann die Einhaltung nach rechtzeitiger Ankündigung während der üblichen Geschäftszeiten überprüfen, vorrangig anhand von Unterlagen.

12. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regelungen des Hauptvertrags. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes dem Hauptvertrag vor. Änderungen bedürfen der Textform.

Stand: November 2026 — Vorlage. Die finale Fassung wird vor Projektbeginn mit den Angaben des Auftrags ausgefertigt und beidseitig unterzeichnet.

Weitere Rechtstexte

Impressum, Datenschutz, AGB.