Auftragsverarbeitungsvertrag (AVV)

§ 1 Vertragsparteien und Anwendungsbereich

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der jeweilige Kunde (nachfolgend „Verantwortlicher“). Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist:

AAA BW GmbH
Robert-Koch-Weg 3, 72555 Metzingen, Deutschland
Registergericht: Amtsgericht Stuttgart, Registernummer: HRB 806390
E-Mail: [email protected]

Dieser AVV konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Nutzung der Plattform Tendova und ergänzt die Allgemeinen Geschäftsbedingungen (AGB). Im Falle von Widersprüchen zwischen diesem AVV und den AGB geht dieser AVV in datenschutzrechtlichen Fragen vor.

§ 2 Gegenstand, Dauer und Art der Verarbeitung

Gegenstand der Auftragsverarbeitung ist die Bereitstellung eines Ausschreibungs-Intelligence-Dienstes (Suche, Matching, Alerts, KI-gestützte Zusammenfassungen und Dokumentenanalyse) auf Basis der Plattform Tendova. Die Dauer der Verarbeitung entspricht der Laufzeit des zwischen den Parteien bestehenden Nutzungsvertrags (Abonnement) zuzüglich der in § 10 genannten Löschfristen. Art und Zweck der Verarbeitung ergeben sich aus dem gebuchten Tarif und den vom Verantwortlichen aktiv genutzten Funktionen, insbesondere dem Hochladen von Ausschreibungsunterlagen zur KI-gestützten Auswertung.

§ 3 Kategorien betroffener Daten und Personen

Im Rahmen der Auftragsverarbeitung werden folgende Datenkategorien verarbeitet:

• Konto- und Profildaten (Name, geschäftliche E-Mail-Adresse, Unternehmenszugehörigkeit)
• Von Nutzern des Verantwortlichen hochgeladene Ausschreibungsunterlagen und deren Inhalte
• Nutzungs- und Protokolldaten (Suchanfragen, Interaktionen, IP-Adresse, Zeitstempel)
• Vertrags- und Abrechnungsdaten des Verantwortlichen (Rechnungsanschrift, Ansprechpartner, USt-IdNr., Zahlungsstatus; Zahlungsmittel selbst verbleiben beim Zahlungsdienstleister)

Betroffene Personen sind die Mitarbeitenden und sonstigen Nutzer, die der Verantwortliche zur Nutzung der Plattform autorisiert hat, sowie gegebenenfalls natürliche Personen, deren Daten in hochgeladenen Ausschreibungsunterlagen enthalten sind.

§ 4 Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Europäischen Union oder eines Mitgliedstaats zu einer anderweitigen Verarbeitung verpflichtet. Die Konfiguration und Nutzung der Plattform durch den Verantwortlichen (z. B. das Hochladen von Dokumenten, die Aktivierung von KI-Funktionen) gilt als Weisung im Sinne dieser Regelung.

Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis der Verantwortliche sie bestätigt oder ändert.

§ 5 Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass sämtliche zur Verarbeitung der personenbezogenen Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 6 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die zum Schutz der personenbezogenen Daten erforderlichen technischen und organisatorischen Maßnahmen im Sinne des Art. 32 DSGVO und entwickelt sie entsprechend dem Stand der Technik fort. Derzeit umgesetzt sind insbesondere:

Vertraulichkeit und Zugriffskontrolle

• Verschlüsselte Datenübertragung (TLS) für sämtliche Client-Server-Verbindungen sowie für die Anbindung der in § 7 genannten Dienste
• Betrieb der primären Infrastruktur auf dedizierten Servern in Rechenzentren in Deutschland (§ 8); Zugriff auf Produktivsysteme ausschließlich für autorisierte Administratoren
• Mandantentrennung: jeder Datenzugriff der Plattform ist technisch an die Organisation des Verantwortlichen gebunden
• Passwortlose Anmeldung über E-Mail-Anmeldelinks bzw. Anmeldung über Google (OAuth); es werden keine Kundenpasswörter gespeichert
• Rollenbasierte Berechtigungen innerhalb der Organisation des Verantwortlichen und Beschränkung des Zugriffs auf das Erforderliche
• Web Application Firewall und DDoS-Schutz vor der Plattform (Cloudflare)

Integrität und Verfügbarkeit

• Tägliche Datensicherungen der Datenbank mit begrenzter Aufbewahrungsdauer sowie dokumentiertes Wiederherstellungsverfahren
• Protokollierung sicherheitsrelevanter Ereignisse zur Erkennung von Anomalien
• Überwachung der Dienstverfügbarkeit und automatischer Neustart ausgefallener Komponenten

Verfahren zur regelmäßigen Überprüfung

• Selbstbedienungsfunktionen für Datenexport und vollständige Löschung (§ 9, § 10), sodass Betroffenenrechte ohne manuellen Eingriff umgesetzt werden
• Regelmäßige Aktualisierung der eingesetzten Software-Komponenten und Überprüfung der Maßnahmen auf ihre Wirksamkeit (Art. 32 Abs. 1 lit. d DSGVO)

§ 7 Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zum Einsatz der nachfolgend gelisteten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzufügung oder Ersetzung von Unterauftragsverarbeitern) rechtzeitig im Voraus per E-Mail oder über die Plattform; der Verantwortliche kann derartigen Änderungen innerhalb von 14 Tagen aus nachvollziehbaren datenschutzrechtlichen Gründen widersprechen.

Der Auftragsverarbeiter legt jedem Unterauftragsverarbeiter im Wege eines Vertrags dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten dieses Unterauftragsverarbeiters.

Stripe Payments Europe, Ltd. wird als Unterauftragsverarbeiter erst mit Aktivierung kostenpflichtiger Abonnements auf tendova.eu operativ tätig.

KI-Anfragen werden über OpenRouter mit fester Anbieterzuweisung ausschließlich an den in der Tabelle jeweils genannten Anbieter geleitet; ein Ausweichen auf andere Hosting-Anbieter desselben Modells ist technisch ausgeschlossen. Die automatisierte Übersetzung verarbeitet ausschließlich öffentliche Ausschreibungstexte aus TED, keine Daten des Verantwortlichen.

§ 8 Drittlandübermittlung, KI-Verarbeitung und Datenresidenz

Die primäre Datenspeicherung und -verarbeitung erfolgt auf dedizierten Servern der Hetzner Online GmbH in Deutschland. Sofern der Verantwortliche KI-gestützte Funktionen aktiv nutzt (z. B. Zusammenfassungen, Dokumenten-Fragen), werden die betreffenden Ausschreibungstexte bzw. Auszüge aus hochgeladenen Dokumenten zur Verarbeitung an die in § 7 genannten KI-Anbieter übermittelt. Daten des Verantwortlichen — insbesondere Inhalte hochgeladener Dokumente — werden nur dann an KI-Anbieter übermittelt, wenn ein Nutzer des Verantwortlichen die betreffende KI-Funktion aktiv auslöst (z. B. eine Zusammenfassung oder eine Dokumenten-Frage anfordert). Automatisiert erzeugte KI-Inhalte (z. B. die Markteinschätzung im wöchentlichen Digest) beruhen ausschließlich auf aggregierten Kennzahlen und öffentlichen Ausschreibungsdaten, nicht auf personenbezogenen Daten des Verantwortlichen. Wer jede Übermittlung an KI-Anbieter vermeiden möchte, nutzt die betreffenden KI-Funktionen nicht. Gemäß den Auftragsverarbeitungs- und Nutzungsbedingungen der eingesetzten KI-Anbieter werden über die Plattform übermittelte Kundendaten nicht zum Training von KI-Modellen verwendet.

§ 9 Unterstützung bei Betroffenenrechten und Datenschutz-Folgenabschätzung

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anfragen betroffener Personen (Art. 15 bis 22 DSGVO). Zentrale Selbstbedienungsfunktionen für Datenauskunft und -export stehen dem Verantwortlichen jederzeit über Kontoeinstellungen → Datenschutz zur Verfügung.

Der Auftragsverarbeiter unterstützt den Verantwortlichen ferner unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Durchführung von Datenschutz-Folgenabschätzungen und einer etwaigen vorherigen Konsultation der Aufsichtsbehörde (Art. 35, 36 DSGVO).

§ 10 Löschung und Rückgabe nach Vertragsende

Der Verantwortliche kann Organisationsdaten über Kontoeinstellungen → Datenschutz jederzeit selbst exportieren oder vollständig löschen. Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten personenbezogenen Daten, soweit nicht gesetzliche Aufbewahrungspflichten (z. B. handels- und steuerrechtliche Fristen für Abrechnungsdaten) entgegenstehen.

§ 11 Kontroll- und Prüfrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden, im Rahmen des wirtschaftlich Zumutbaren und unter angemessener Vorankündigung.

§ 12 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, sobald ihm eine Verletzung des Schutzes personenbezogener Daten im Sinne des Art. 4 Nr. 12 DSGVO bekannt wird, die im Rahmen dieses AVV verarbeitete Daten betrifft, und unterstützt ihn bei der Erfüllung etwaiger Melde- und Benachrichtigungspflichten gegenüber Aufsichtsbehörden und betroffenen Personen.

§ 13 Haftung und Schlussbestimmungen

Die Haftung der Parteien im Zusammenhang mit diesem AVV richtet sich nach den Haftungsregelungen der AGB sowie den zwingenden Vorgaben der DSGVO. Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt.