Auftragsverarbeitungsvertrag (AVV)
Stand: 21. Juli 2026
Dieser Auftragsverarbeitungsvertrag („AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO im Rahmen der Nutzung von mAI transpaProgress, einem Produkt der Modulare Adaptive Intelligenz (mAI) UG (haftungsbeschränkt).
1. Parteien
- Verantwortlicher (Auftraggeber): das registrierende Unternehmen, das über Zweck und Mittel der Verarbeitung entscheidet.
- Auftragsverarbeiter (Auftragnehmer): Modulare Adaptive Intelligenz (mAI) UG (haftungsbeschränkt), Pepermölenbek 2, 22767 Hamburg, E-Mail: team@mAI-platform.de.
Mit Abschluss der Registrierung und Annahme dieses AVV kommt der Vertrag zwischen den Parteien zustande.
2. Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers, soweit dies zur Erbringung der Leistungen von mAI transpaProgress erforderlich ist. Die Dauer entspricht der Laufzeit des Hauptvertrags (Nutzungsvertrag/AGB).
3. Art, Zweck und betroffene Personen
- Art der Verarbeitung: Erheben, Speichern, Auswerten (inkl. KI-gestützter Analyse), Anzeigen, Löschen von Daten innerhalb der Anwendung.
- Zweck: Transparente Projekt- und Auftragsabwicklung auf Grundlage des Vertrags, Zeiterfassung, Rechnungsstellung, Dokumenten- und Änderungsmanagement sowie Kommunikation über das Kundenportal.
- Betroffene Personen: Nutzer des Auftraggebers (Projektteam, Administratoren) sowie Kunden des Auftraggebers und deren Ansprechpartner/Portalnutzer.
- Datenkategorien: Kontakt- und Nutzerdaten, Kunden- und Ansprechpartner-Stammdaten, Vertrags- und Projektdaten, Zeiterfassungs- und Leistungsdaten, Rechnungs- und Zahlungsdaten, Dokumente, Portal-Kommunikation, Protokolldaten.
Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung.
4. Weisungsbindung
Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Nutzung der Anwendung durch den Auftraggeber gilt als Weisung. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber.
5. Technische und organisatorische Maßnahmen (Art. 32)
Der Auftragnehmer trifft angemessene TOMs, insbesondere:
- Verschlüsselung im Ruhezustand: Datenträger über Azure Storage Service Encryption (
EncryptionAtRestWithPlatformKey). - Verschlüsselung im Transport: durchgehend TLS/HTTPS.
- Passwörter und API-Schlüssel: bcrypt-Hashing mit Salt.
- Zugriffskontrolle: rollenbasiert; sensible Aktionen mit erneuter Passwort-Abfrage.
- Mandantentrennung: strikte logische Trennung der Daten je Auftraggeber; jeder Auftraggeber sieht ausschließlich seine eigenen Daten.
- Datensparsame Protokollierung: sicherheits- und nachweisrelevantes Aktivitätslog ohne Speicherung von IP-Adressen.
- Serverstandort: Verarbeitung und Speicherung erfolgen ausschließlich in Rechenzentren in Deutschland (Region Germany West Central, Frankfurt am Main).
Details sind im internen TOM-Dokument beschrieben, das dem Auftraggeber auf Anfrage bereitgestellt wird.
6. Unterauftragsverarbeiter (Sub-Prozessoren)
Der Auftraggeber willigt in den Einsatz folgender Unterauftragsverarbeiter ein:
| Dienstleister | Zweck | Ort / Transfer-Garantie |
|---|---|---|
| Microsoft (für EWR: Microsoft Ireland Operations Ltd.) | Hosting und Infrastruktur (Microsoft Azure) | Rechenzentrum Deutschland (Region Germany West Central, Frankfurt am Main); Auftragsverarbeitungsvertrag über die Microsoft Products and Services Data Protection Addendum (DPA) abgeschlossen |
| 1&1 IONOS SE, Elgendorfer Str. 57, 56410 Montabaur | Versand transaktionaler E-Mails (z. B. Passwort-Zurücksetzung, Bestätigungs- und Sicherheitscodes, Benachrichtigungen) | Deutschland; Auftragsverarbeitungsvertrag abgeschlossen |
| OpenAI (für EWR: OpenAI Ireland Ltd.) | KI-gestützte Verarbeitung von Projekt-, Dokumenten- und Kommunikationsdaten | EU bzw. USA über SCC / EU-US Data Privacy Framework; Data Processing Addendum abgeschlossen; keine Nutzung zum Modelltraining |
Der Auftragnehmer informiert den Auftraggeber rechtzeitig über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern; der Auftraggeber kann aus wichtigem, datenschutzrechtlichem Grund widersprechen.
7. Unterstützung des Verantwortlichen
Der Auftragnehmer unterstützt den Auftraggeber angemessen bei der Erfüllung von Betroffenenrechten (Art. 15–22) sowie bei Meldepflichten (Art. 33/34). In der Anwendung stehen dafür Funktionen zur Verfügung (Datenexport, Löschung, Anonymisierung ausscheidender Beschäftigter, konfigurierbare Aufbewahrung).
8. Vertraulichkeit
Der Auftragnehmer verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit.
9. Löschung und Rückgabe
Nach Beendigung der Verarbeitung löscht der Auftragnehmer die Daten oder gibt sie zurück, soweit keine gesetzliche Aufbewahrungspflicht (z. B. Rechnungen, § 147 AO / § 257 HGB) entgegensteht. Ein strukturierter Export ist jederzeit über die Anwendung möglich.
10. Nachweise und Kontrollen
Der Auftragnehmer stellt dem Auftraggeber die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen.
Hinweis: Diese Vorlage sollte vor produktivem Einsatz an die individuellen Gegebenheiten angepasst und anwaltlich geprüft werden. Sie stellt keine Rechtsberatung dar.