Auftrags­verarbeitungs­vertrag

Stand: 12.11.2026

nach Art. 28 DSGVO zwischen dem Kunden (Verantwortlicher) und Mads Zeller, Einzelunternehmer, handelnd unter der Geschäftsbezeichnung „Aunelo“, Westring 23, 90542 Eckental (Auftragsverarbeiter). Er wird mit der Registrierung bei Aunelo Bestandteil des Nutzungsvertrags.

1. Gegenstand und Dauer

Der Auftragsverarbeiter betreibt für den Verantwortlichen die Software Aunelo (Büroassistent für Anfragen, Angebote, Termine, Rechnungen, Erinnerungen und Bewertungsanfragen). Der Vertrag gilt für die Dauer des Nutzungsvertrags.

2. Art der Daten und betroffene Personen

• Betroffene: Kundinnen, Kunden und Interessenten des Verantwortlichen; Beschäftigte des Verantwortlichen mit Zugang.
• Daten: Namen, Kontaktdaten (Anschrift, E-Mail, Telefon), Inhalte von Anfragen und E-Mails, Angebote, Rechnungs- und Zahlungsdaten, Termine, Bewertungsanfragen; bei Zugängen Name, E-Mail und Nutzungsprotokoll.
• Keine besonderen Kategorien nach Art. 9 DSGVO, außer der Verantwortliche gibt sie selbst ein; dann trägt er die Verantwortung für die Rechtmäßigkeit.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen sind die Nutzung der Funktionen von Aunelo und Mitteilungen per E-Mail. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

Der Verantwortliche weist den Auftragsverarbeiter mit Abschluss dieses Vertrags ausdrücklich an, die zur Auswertung von Anfragen und zum Entwurf von Texten erforderlichen Daten an den Unterauftragsverarbeiter Anthropic Ireland, Limited, Dublin, Irland, zu übermitteln, und erklärt sich damit einverstanden, dass dieser die Daten durch die Anthropic, PBC, San Francisco, USA, und weitere von ihm eingesetzte Unterauftragsverarbeiter auch in den USA verarbeiten lässt. Die Übermittlung in die USA erfolgt auf Grundlage der Standardvertragsklauseln der EU-Kommission nach dem Durchführungsbeschluss (EU) 2021/914 (Modul 3, Auftragsverarbeiter an Auftragsverarbeiter) gemäß Art. 46 Abs. 2 lit. c DSGVO, die der Auftragsverarbeiter mit Anthropic vereinbart hat; der Auftragsverarbeiter hat die Übermittlung vorab bewertet (Transfer Impact Assessment) und stellt dem Verantwortlichen die Bewertung und die Klauseln auf Anforderung zur Verfügung. Übermittlungen in weitere Drittländer bedürfen einer gesonderten Weisung in Textform. Widerruft der Verantwortliche die Weisung nach Satz 1, stehen ihm die auf dem KI-Dienstleister beruhenden Funktionen nicht mehr zur Verfügung; die Vergütung bleibt davon unberührt.

4. Vertraulichkeit

Alle Personen, die Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet.

5. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft Maßnahmen nach Art. 32 DSGVO (Anlage 1) und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.

Der Auftragsverarbeiter verschlüsselt sämtliche Datensicherungen nach dem Stand der Technik (AES-256), bevor sie abgelegt werden. Zugangsdaten zu Postfächern und Kalendern verschlüsselt er gesondert auf Feldebene mit AES-256-GCM. Die Schlüssel werden getrennt von den verschlüsselten Daten aufbewahrt.

6. Unterauftragsverarbeiter

Der Verantwortliche stimmt diesen Unterauftragsverarbeitern zu:

Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens 4 Wochen vorher per E-Mail. Der Verantwortliche kann aus wichtigem Grund widersprechen; ist keine Lösung möglich, kann er den Vertrag kündigen. Das E-Mail-Postfach, das der Verantwortliche selbst verbindet, ist sein eigener Dienstleister und kein Unterauftragsverarbeiter.

7. Unterstützung und Meldungen

• Der Auftragsverarbeiter unterstützt bei Anfragen Betroffener (Auskunft, Löschung, Berichtigung) und bei Datenschutz-Folgenabschätzungen, soweit nötig.
• Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, mit den Angaben nach Art. 33 Abs. 3 DSGVO.

8. Kontrollen

Der Verantwortliche kann sich nach Absprache von der Einhaltung überzeugen, vorrangig durch Auskünfte und Nachweise (z. B. Zertifikate des Rechenzentrums), vor Ort nur mit angemessener Vorankündigung.

9. Löschung, Datensicherung und Löschkonzept

Nach Vertragsende stellt der Auftragsverarbeiter die Daten auf Wunsch 30 Tage zum Export bereit und löscht sie danach, einschließlich Kopien in Sicherungen spätestens nach weiteren 30 Tagen, soweit keine gesetzliche Pflicht zur Speicherung besteht.

Der Auftragsverarbeiter prüft die Wiederherstellbarkeit der Datensicherungen mindestens einmal je Kalendervierteljahr, indem er die neueste Sicherung in eine vom Produktivbestand getrennte Kopie wiederherstellt und deren Vollständigkeit und Unversehrtheit prüft. Er dokumentiert Datum, geprüften Sicherungsstand, Ergebnis und festgestellte Mängel und weist dem Verantwortlichen die Dokumentation der letzten 12 Monate auf Anforderung nach. Die Kopie wird nach Abschluss des Tests gelöscht.

Der Auftragsverarbeiter löscht Daten nach folgendem Löschkonzept:

Der Auftragsverarbeiter bestätigt dem Verantwortlichen die Löschung nach Vertragsende auf Anforderung in Textform. Gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters für eigene Rechnungsdaten bleiben unberührt.

10. Haftung und Schlussbestimmungen

Der Verantwortliche ist allein dafür verantwortlich, dass die Daten, die er oder seine Nutzer in den Dienst eingeben oder über angebundene Postfächer und Kalender einspielen, rechtmäßig erhoben wurden und verarbeitet werden dürfen, und dass er die betroffenen Personen nach Art. 13 und 14 DSGVO informiert hat. Er stellt den Auftragsverarbeiter von Ansprüchen Dritter und von Bußgeldern frei, soweit diese darauf beruhen, dass der Verantwortliche diese Pflichten schuldhaft verletzt oder rechtswidrige Weisungen erteilt hat; § 7 Abs. 5 der AGB gilt entsprechend.

Die Haftung gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO und bleibt von diesem Vertrag unberührt. Im Innenverhältnis tragen die Parteien Schadensersatz, der nach Art. 82 DSGVO an betroffene Personen gezahlt wurde, entsprechend ihrem Anteil an der Verantwortung für den Schaden (Art. 82 Abs. 5 DSGVO); der Auftragsverarbeiter haftet im Innenverhältnis nur, soweit er seine speziell den Auftragsverarbeitern auferlegten Pflichten aus der DSGVO oder rechtmäßig erteilte Weisungen des Verantwortlichen missachtet hat (Art. 82 Abs. 2 Satz 2 DSGVO). Für sonstige Ansprüche zwischen den Parteien gilt § 8 der AGB.

Bei Widersprüchen geht dieser Vertrag den AGB in Datenschutzfragen vor.

Anlage 1: Technische und organisatorische Maßnahmen