Auftragsverarbeitungsvertrag (AVV)

Stand: 2026-09-28

Dokumentenkennung: ergibt sich aus dem Zustimmungsnachweis; Textfassung vom 2026-09-28

Vertragsparteien: Fabio Hossli (Einzelunternehmen nach Schweizer Recht), Produktname sicherAI, Unterdorfstrasse 10, 5082 Kaisten, Schweiz (Kanton Aargau), UID CHE-410.145.754, MWST-Nr. CHE-410.145.754 MWST und dem Kunden, das heißt der Organisation, für die diese AVV in sicherAI unterzeichnet wird; Firma, Rechtsform, Anschrift und Registerangaben ergeben sich aus dem Organisationsprofil und dem Zustimmungsnachweis.

Kontakt des Anbieters: support@sicherai.com; Datenschutzkontakt: datenschutz@sicherai.com.

Präambel

Diese AVV ergänzt den Rahmenvertrag ("Vertrag") zwischen Fabio Hossli (Einzelunternehmen nach Schweizer Recht) ("Anbieter") und dem Kunden, der auf diese AVV Bezug nimmt (Anbieter und der Kunde zusammen die "Parteien"). Diese AVV tritt automatisch mit dem Abschluss des Vertrages in Kraft und gilt ab demselben Datum wie der Vertrag. Im Rahmen der Erfüllung des Vertrages verarbeitet Anbieter die vom Kunden bereitgestellten personenbezogenen Daten. Die Parteien vereinbaren, dass Anbieter solche personenbezogenen Daten im Auftrag des Kunden verarbeitet, entweder als Auftragsverarbeiter, wenn der Kunde Verantwortlicher ist, oder als Unterauftragsverarbeiter, wenn der Kunde seinerseits ein Auftragsverarbeiter ist. Daher gilt diese AVV, wenn und soweit Anbieter bei der Erbringung von Dienstleistungen im Rahmen des Vertrags personenbezogene Daten für den Kunden verarbeitet. Die Parteien vereinbaren, dass diese AVV alle bestehenden Datenschutzbestimmungen ersetzt, die die Parteien zuvor in Verbindung mit den Dienstleistungen abgeschlossen haben.

1. Definitionen

1.1 "Kundendaten" sind alle personenbezogenen Daten, die im Rahmen der Nutzung der Dienstleistungen hochgeladen werden und die Anbieter im Rahmen der Erbringung der Dienstleistungen im Auftrag des Kunden verarbeitet.

1.2 "Verantwortlicher" ist die Person oder Gesellschaft, die die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt.

1.3 "Auftragsverarbeiter" ist die Person oder Gesellschaft, die personenbezogene Daten im Auftrag eines für die Datenverarbeitung Verantwortlichen verarbeitet.

1.4 "Datenschutzgesetze" sind alle Datenschutzgesetze, die auf die Verarbeitung personenbezogener Daten anwendbar sind. Für die EU und den EWR umfasst dies insbesondere die Datenschutz-Grundverordnung (DSGVO) und die e-Privacy-Richtlinie 2002/58/EG sowie die lokalen Gesetze der Mitgliedstaaten zum Datenschutz.

1.5 "EWR" ist der Europäische Wirtschaftsraum.

1.6 "EU" ist die Europäische Union.

1.7 "Personenbezogene Daten" sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

1.8 "Verarbeitung" hat die in der DSGVO festgelegte Bedeutung und umfasst jeden Vorgang oder jede Reihe von Vorgängen, die mit personenbezogenen Daten durchgeführt werden, wie das Erheben, das Erfassen, die Organisation, die Strukturierung, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung oder das Löschen von personenbezogenen Daten.

1.9 "Sicherheitsvorfall" ist jede unbefugte oder unrechtmäßige Verletzung der Sicherheit, die zur versehentlichen oder unrechtmäßigen Zerstörung, zum Verlust, zur Änderung, zur unbefugten Offenlegung von oder zum Zugriff auf Kundendaten führt.

1.10 "Dienstleistungen" hat die im Vertrag festgelegte Bedeutung.

1.11 "SCC" sind die im Anhang des Durchführungsbeschlusses (EU) 2021/914 der Kommission vom 4. Juni 2021 enthaltenen Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer.

1.12 "Unterauftragsverarbeiter" ist jeder Auftragsverarbeiter, der von Anbieter beauftragt wird, um bei der Erbringung der Dienstleistungen zu unterstützen.

2. Gegenstand dieser AVV

2.1 Diese AVV legt die Rechte und Pflichten der Parteien in Bezug auf die Verarbeitung von Kundendaten durch Anbieter im Zusammenhang mit der Erbringung der Dienstleistungen fest.

2.2 Zu diesem Zweck beauftragt der Kunde hiermit Anbieter als Auftragsverarbeiter, wenn der Kunde als Verantwortlicher handelt, oder als Unterauftragsverarbeiter, wenn der Kunde seinerseits als Auftragsverarbeiter handelt.

2.3 Diese AVV gilt für alle Kundendaten gemäß Spezifikation in Anlage 1, auf die Anbieter während der Erbringung der Dienstleistungen Zugriff hat. Dazu gehören Kundendaten, die Anbieter vom Kunden für die Erbringung der Dienstleistungen zur Verfügung gestellt werden, Kundendaten, die von Anbieter während der Erbringung der Dienstleistungen generiert werden, oder Kundendaten, auf die Anbieter auf andere Weise, z. B. direkt von betroffenen Personen, im Rahmen der Erbringung der Dienstleistungen Zugriff erhält. Diese AVV gilt nicht für Daten, die nicht als Kundendaten gelten, einschließlich nicht personenbezogener Daten, die vom Kunden zur Verfügung gestellt werden, oder Daten, die nicht als Teil der Dienstleistungen verarbeitet werden.

3. Grundsatz der Verarbeitung im Auftrag des Kunden

3.1 Anbieter ergreift geeignete technische und organisatorische Maßnahmen, um sicherzustellen, dass die Verarbeitung von Kundendaten den Anforderungen der geltenden Datenschutzgesetze entspricht und die Rechte der betroffenen Personen gewahrt werden.

3.2 Die Verarbeitung von Kundendaten durch Anbieter und ggf. beauftragte Unterauftragsverarbeiter erfolgt grundsätzlich im Gebiet des EWR. Übertragungen von Kundendaten in ein Drittland außerhalb des EWR finden nur statt, wenn Anbieter die Einhaltung der Anforderungen der geltenden Datenschutzgesetze sicherstellt und wenn solche Übertragungen durch eine geeignete Rechtsgrundlage gestützt werden, wie z. B. einen Angemessenheitsbeschluss, SCC oder andere geltende Garantien.

3.3 Der Kunde ist für die Rechtmäßigkeit der Verarbeitung der Kundendaten sowie für die Wahrung der Rechte der Betroffenen im Verhältnis der Parteien allein verantwortlich. Sollten Dritte gegen Anbieter aufgrund der Verarbeitung von Kundendaten nach Maßgabe dieser AVV Ansprüche geltend machen, wird der Kunde Anbieter von solchen Ansprüchen freistellen.

4. Weisungsrecht des Kunden

4.1 Die unter diese AVV fallenden Kundendaten werden nur in Übereinstimmung mit dokumentierten Weisungen des Kunden verarbeitet, einschließlich Weisungen zur Übermittlung von Kundendaten in ein Drittland. Wenn Anbieter nach geltendem Recht verpflichtet ist, Kundendaten ohne solche Weisungen zu verarbeiten, wird Anbieter den Kunden vor der Verarbeitung über die gesetzliche Verpflichtung informieren, es sei denn, eine solche Mitteilung ist aus Gründen des öffentlichen Interesses gesetzlich verboten.

4.2 Das Weisungsrecht des Kunden hinsichtlich Art, Umfang und Verfahren der Verarbeitung von Kundendaten ist auf den in dieser AVV und im Vertrag festgelegten Umfang beschränkt. Stimmt Anbieter einer darüber hinausgehenden Weisung zu, so hat der Kunde Anbieter die damit verbundenen Kosten und Aufwendungen zu ersetzen.

4.3 Der Kunde erteilt seine Anweisungen schriftlich, per E-Mail (in Textform) oder über die Nutzung der Funktionalitäten der Dienstleistungen.

4.4 Anbieter darf Kundendaten nicht für andere Zwecke als die Erbringung der Dienstleistungen verwenden. Diese Einschränkung gilt nicht für Sicherungskopien, die zur Sicherstellung einer ordnungsgemäßen Verarbeitung erforderlich sind, oder für Daten, die zur Erfüllung gesetzlicher Aufbewahrungspflichten aufbewahrt werden, oder für anonymisierte oder aggregierte Daten, die nicht wieder identifiziert werden können und ausschließlich für interne Geschäftszwecke, wie z. B. Analysen oder Serviceverbesserungen, verwendet werden. Kundendaten sowie daraus gewonnene anonymisierte oder aggregierte Daten werden nicht zum Training von KI-Modellen verwendet.

5. Unterauftragsverarbeiter

5.1 Anbieter wird ohne vorherige schriftliche Zustimmung des Kunden, die entweder als Einzelzustimmung oder als generelle Zustimmung erteilt werden kann, keinen Unterauftragsverarbeiter einschalten.

5.2 Der Kunde erteilt hiermit seine Zustimmung zur Beauftragung der in Anlage 2 aufgeführten Unterauftragsverarbeiter mit Wirkung ab dem Datum dieser AVV.

5.3 Der Kunde erteilt hiermit auch seine allgemeine Zustimmung zur Beauftragung weiterer Unterauftragsverarbeiter. Anbieter informiert den Kunden mindestens 30 Tage vor der erstmaligen Verarbeitung durch einen neuen Unterauftragsverarbeiter über alle beabsichtigten Änderungen der Liste der Unterauftragsverarbeiter, einschließlich der Hinzufügung oder des Austauschs eines Unterauftragsverarbeiters, und gibt dem Kunden die Möglichkeit, gegen diese Änderungen Einspruch zu erheben. Der Kunde kann aus angemessenen Gründen innerhalb von 14 Tagen nach der Benachrichtigung schriftlich Einspruch erheben, und die Parteien werden nach Treu und Glauben zusammenarbeiten, um den Einspruch zu lösen.

5.4 Beauftragt Anbieter einen Unterauftragsverarbeiter mit der Durchführung bestimmter Verarbeitungstätigkeiten im Auftrag des Kunden, so legt Anbieter dem Unterauftragsverarbeiter dieselben Datenschutzverpflichtungen auf, wie sie in dieser AVV festgelegt sind. Dies erfolgt durch einen Vertrag oder ein anderes rechtsverbindliches Instrument gemäß den geltenden Datenschutzgesetzen, wobei sichergestellt wird, dass der Unterauftragsverarbeiter ausreichende Garantien bietet, insbesondere die Umsetzung geeigneter technischer und organisatorischer Maßnahmen zur Einhaltung der Anforderungen der DSGVO und anderer geltender Datenschutzgesetze. Die Vertragsparteien stellen klar, dass es ausreicht, wenn das vom Unterauftragsverarbeiter gebotene Schutzniveau dem Schutzniveau gemäß dieser AVV entspricht.

5.5 Unterliegt die Beauftragung von Unterauftragsverarbeitern durch Anbieter den Artikeln 44 ff. DSGVO, schließt Anbieter, soweit erforderlich, die anwendbaren SCC und stellt sicher, dass seine Unterauftragsverarbeiter geeignete technische und organisatorische Maßnahmen ergreifen, um die Einhaltung der geltenden Datenschutzgesetze zu gewährleisten.

5.6 Für den Fall, dass die SCC ungültig werden oder anderweitig nicht mehr als gültiger Datenübermittlungsmechanismus unter der DSGVO oder anderen Datenschutzgesetzen anerkannt sind, kann Anbieter auf jede alternative Garantie zurückgreifen, die unter den Datenschutzgesetzen zugelassen ist, wie z. B. verbindliche unternehmensinterne Regeln (BCR) oder andere angemessene Schutzmaßnahmen oder Ausnahmen, die unter Kapitel V der DSGVO oder entsprechenden Datenschutzgesetzen zulässig sind.

5.7 Kommt ein Unterauftragsverarbeiter seinen Datenschutzverpflichtungen nicht nach, ist Anbieter dem Kunden gegenüber dafür verantwortlich.

5.8 Die Beauftragung eines Dritten mit der Erbringung von Nebenleistungen (z. B. Telekommunikation, Wartung, Benutzerunterstützung, Reinigung, Prüfung oder Entsorgung von Datenträgern) gilt nicht als Beauftragung eines Unterauftragsverarbeiters. Anbieter stellt jedoch sicher, dass geeignete rechtliche Vereinbarungen bestehen und Kontrollmaßnahmen ergriffen werden, um die Sicherheit und Vertraulichkeit der Kundendaten zu schützen, wenn Dritte solche Nebenleistungen erbringen.

6. Kontrollrechte des Kunden

6.1 Anbieter verpflichtet sich, auf schriftliche Anfrage des Kunden innerhalb eines angemessenen Zeitraums die Informationen zur Verfügung zu stellen, die erforderlich sind, um die Einhaltung der Verpflichtungen aus dieser AVV nachzuweisen.

6.2 Der Kunde oder ein vom Kunden beauftragter Prüfer kann die Einhaltung dieser AVV durch Anbieter überprüfen. Die Prüfungen werden während der regulären Geschäftszeiten und in einer Weise durchgeführt, die den Betrieb von Anbieter so wenig wie möglich stört.

6.3 Anbieter kann zum Nachweis der Einhaltung dieser AVV aktuelle Prüfzeugnisse, Berichte oder Auszüge daraus von unabhängigen Stellen (z.B. Wirtschaftsprüfern, Datenschutzbeauftragten, IT-Sicherheitsabteilungen oder Datenschutzauditoren) oder geeignete Zertifizierungen aus anerkannten IT-Sicherheits- oder Datenschutzaudits vorlegen.

7. Verpflichtung zur Vertraulichkeit

Anbieter gewährleistet, dass alle Personen, die zur Verarbeitung von Kundendaten im Rahmen dieser AVV berechtigt sind, zur Vertraulichkeit verpflichtet sind, entweder durch vertragliche Verpflichtungen oder durch gesetzliche Verschwiegenheitspflichten.

8. Technische und organisatorische Maßnahmen

8.1 Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung sowie der unterschiedlichen Wahrscheinlichkeit und Schwere von Risiken für die Rechte und Freiheiten der betroffenen Personen werden sowohl der Kunde als auch Anbieter in ihrem jeweiligen Verantwortungsbereich geeignete technische und organisatorische Maßnahmen ergreifen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, insbesondere im Hinblick auf Sicherheitsvorfälle.

8.2 Die von Anbieter getroffenen technischen und organisatorischen Maßnahmen sind in Anlage 3 aufgeführt. Der Kunde bestätigt, dass diese Maßnahmen die Anforderungen erfüllen und ein angemessenes Schutzniveau für die Verarbeitung von Kundendaten gewährleisten.

8.3 Anbieter ist jederzeit berechtigt, die technischen und organisatorischen Maßnahmen durch gleich- oder höherwertige Maßnahmen zu ersetzen, sofern diese den Anforderungen der Ziffer 8 genügen.

9. Informationspflichten von Anbieter

9.1 Anbieter wird den Kunden unverzüglich informieren, wenn Anbieter Kenntnis von einem Sicherheitsvorfall erhält.

10. Aufgaben zur Unterstützung des Kunden

10.1 Unter Berücksichtigung der Art der Verarbeitung unterstützt Anbieter den Kunden mit angemessenen technischen und organisatorischen Maßnahmen bei der Erfüllung der Verpflichtungen des Kunden zur Beantwortung von Anfragen der betroffenen Personen und anderer Verpflichtungen nach den Datenschutzgesetzen.

10.2 Anbieter wird den Kunden unverzüglich informieren, wenn Anbieter der Auffassung ist, dass eine vom Kunden erteilte Weisung gegen Datenschutzgesetze verstößt.

11. Laufzeit

11.1 Diese AVV tritt automatisch mit dem Abschluss des Vertrages in Kraft und bleibt mindestens für die Dauer des Vertrages in Kraft, sofern nichts anderes bestimmt ist.

11.2 Eine vorzeitige oder anderweitige Beendigung des Vertrages, gleich aus welchem Grund, hat die automatische Beendigung dieser AVV zur Folge. Die Bestimmungen dieser AVV bleiben jedoch insoweit in Kraft, als dies erforderlich ist, um den ordnungsgemäßen Abschluss der Verarbeitung von Kundendaten im Rahmen dieser AVV in Übereinstimmung mit den Datenschutzgesetzen zu gewährleisten, insbesondere in Bezug auf die Löschung oder Rückgabe von Kundendaten. Sobald eine solche Verarbeitung abgeschlossen ist, endet diese AVV ohne weitere Mitteilung.

12. Verpflichtung zur Löschung und Rückgabe nach Beendigung

Nach Beendigung der Dienstleistungen wird Anbieter nach Weisung des Kunden alle Kundendaten entweder löschen oder zurückgeben. Der Kunde muss Anbieter innerhalb von 30 Tagen nach Beendigung der Dienstleistungen über seine Wahl informieren. Erfolgt innerhalb dieser Frist keine Mitteilung, kann Anbieter die Kundendaten löschen, es sei denn, das geltende Recht schreibt eine weitere Speicherung vor. Aufbewahrungs- und Archivierungspflichten nach geltendem Recht bleiben hiervon unberührt. Anbieter wird die Löschung oder Rückgabe auf Anfrage des Kunden bestätigen.

13. Datenschutzkontakt

Ein Datenschutzbeauftragter ist nicht bestellt; bei der Größe des Einzelunternehmens besteht keine Pflicht zur Bestellung. Datenschutzkontakt des Anbieters ist datenschutz@sicherai.com.

14. Vergütung

14.1 Alle von Anbieter im Rahmen dieser AVV erbrachten Leistungen sind vollständig durch die im Vertrag vereinbarte Vergütung abgegolten, sofern in dieser AVV nicht ausdrücklich etwas anderes bestimmt ist.

14.2 Soweit Leistungen im Rahmen dieser AVV als vergütungspflichtig bezeichnet sind, werden diese Leistungen nach Aufwand zu den im Vertrag vereinbarten Sätzen vergütet. Sind keine Vergütungssätze vereinbart, gelten die zum Zeitpunkt der Leistung in der Leistungsbeschreibung unter https://sicherai.com/limits ausgewiesenen Sätze, hilfsweise 150 EUR je angefangener Stunde.

15. Haftung

15.1 Die Haftungsbestimmungen des Vertrages gelten entsprechend für diese AVV.

15.2 Behördliche Strafen oder Bußgelder, die direkt gegen den Kunden verhängt werden, können von Anbieter nicht zurückgefordert werden, es sei denn, sie sind auf einen Verstoß von Anbieter gegen diese AVV oder Datenschutzgesetze zurückzuführen. In solchen Fällen ist die Haftung von Anbieter auf das Mitverschulden beschränkt, das durch eine rechtskräftige Entscheidung eines zuständigen Gerichts oder einer zuständigen Behörde festgestellt wird, und unterliegt den Haftungsbestimmungen des Vertrags.

16. Schlussbestimmungen

16.1 Diese AVV ist integraler Bestandteil des Vertrages. Im Falle eines Widerspruchs zwischen den Bestimmungen des Vertrages und dieser AVV haben die Bestimmungen dieser AVV ausschließlich in Bezug auf die Verarbeitung von Kundendaten Vorrang.

16.2 Anbieter behält sich das Recht vor, diese AVV bei Bedarf zu ändern, um Änderungen der geltenden Datenschutzgesetze, regulatorischen Anforderungen oder verbindlichen Entscheidungen der zuständigen Aufsichtsbehörden Rechnung zu tragen. Anbieter wird den Kunden mindestens 30 Tage im Voraus schriftlich oder in Textform (z.B. per E-Mail) über solche Änderungen informieren, es sei denn, eine sofortige Änderung ist gesetzlich oder regulatorisch vorgeschrieben. Widerspricht der Kunde solchen Änderungen aus berechtigten Gründen, werden die Parteien nach Treu und Glauben zusammenarbeiten, um eine für beide Seiten akzeptable Lösung zu finden. Widerspricht der Kunde solchen Änderungen und wird innerhalb einer angemessenen Frist keine einvernehmliche Lösung erzielt, kann der Kunde den Vertrag in Bezug auf die betroffenen Verarbeitungstätigkeiten durch schriftliche Mitteilung kündigen.

16.3 Sollte eine Bestimmung dieser AVV ganz oder teilweise unwirksam oder undurchführbar sein oder werden, so wird dadurch die Wirksamkeit der übrigen Bestimmungen dieser AVV nicht berührt. Das Gleiche gilt, wenn und soweit sich eine Lücke in dieser AVV zeigt. Anstelle der unwirksamen oder undurchführbaren Bestimmung oder zur Ausfüllung der Lücke soll eine angemessene Regelung gelten, die, soweit rechtlich möglich, dem am nächsten kommt oder entspricht, was die Parteien wirtschaftlich gewollt haben oder nach dem Sinn und Zweck dieser AVV gewollt hätten, sofern sie diesen Punkt bedacht hätten.

16.4 Im Übrigen gelten die Schlussbestimmungen des Vertrages entsprechend für diese AVV.

Anlage 1 zum AVV: Details der Verarbeitung für sicherAI

Stand: 2026-10-26

1. Kategorien von betroffenen Personen

Nutzer der Dienstleistungen
Mitarbeiter des Kunden
Personen, auf die sich Daten beziehen, die von Nutzern eingegeben werden
Personen, auf die sich Daten beziehen, die Anwendungen des Kunden über die Programmierschnittstelle übermitteln

2. Arten von Kundendaten

Namen, E-Mail-Adressen von Nutzern und Mitarbeitern des Kunden
Daten, die von den Nutzern eingegeben werden
Bilder und gescannte Dokumente, die Nutzer an Chatnachrichten anhängen, mit ihrem gesamten sichtbaren Inhalt (zum Beispiel Text, Handschrift, Stempel, Grafiken und Fotos)
Texte, die Anwendungen des Kunden über die Programmierschnittstelle (API) übermitteln
Kennung, Präfix und Prüfwert von API-Schlüsseln sowie die zugeordnete Mitgliedschaft
Einträge des persönlichen Gedächtnisses: vom Nutzer einzeln bestätigte Texte mit dem zugehörigen Bereich, dem Verweis auf die Ausgangsnachricht sowie Bestätigungs- und Ablaufzeitpunkt

3. Umfang und Art der Verarbeitung

Kommunikationsinhalte mit LLMs
Bilder und PDF-Seiten aus den Anhängen einer Chatnachricht, insbesondere gescannte Seiten, die die Plattform mit dieser Nachricht als Bild an das gewählte KI-Modell übermittelt, soweit die Plattform für dieses Modell Bildeingaben vorsieht; je Nachricht höchstens 10 Bilder oder Seiten, je Bild höchstens 2048 Pixel an der längsten Kante und höchstens 2 MiB, zusammen höchstens 10 MiB
Texterkennung hochgeladener Bilder und gescannter Dokumente; der erkannte Text bleibt gespeichert und wird anstelle des Bildes verwendet, wenn ein Anhang nicht als Bild an das Modell geht, zum Beispiel bei Chatmodellen von Mistral oder beim Überschreiten dieser Grenzen
Dokumente und Informationen, die der Kunde auf der Plattform hochlädt und speichert
Dokumente aus vom Kunden verbundenen Ablagen (Microsoft 365, Google Drive, Dropbox, WebDAV/Nextcloud), die die Plattform im Auftrag des Kunden liest, als Kopie im Company Brain speichert und fortlaufend abgleicht, sowie Inhalte, die Nutzer aus der Plattform in diese Ablagen speichern; Zugangsdaten des Kunden zu diesen Ablagen (verschlüsselt, nur zum Abgleich)
Kommunikationsinhalte, die Anwendungen des Kunden mit einem API-Schlüssel an das gewählte KI-Modell senden, nur Text; die Plattform übermittelt sie und speichert sie nicht als Chat oder Datei
Verwendung bestätigter Gedächtniseinträge als gekennzeichneter Kontext in Chats, die der Nutzer einem Bereich zugeordnet hat, sowie Vorschläge für Einträge auf Wunsch des Nutzers aus seinen eigenen Nachrichten des Chats

4. Zweck der Verarbeitung

Bereitstellung der Dienstleistungen gemäß den Anweisungen des Kunden

Anlage 2 zum AVV: Unterauftragsverarbeiter von sicherAI

Stand: 2026-10-17

Der Kunde erteilt seine Zustimmung zur Beauftragung der nachfolgend aufgeführten Unterauftragsverarbeiter.

Unterauftragsverarbeiter / Dienst	Vertragspartner und Sitz	Aufgabe	Ort der Verarbeitung	Garantie gemäß Art. 44 ff. DSGVO	Nachweis
Hetzner	Hetzner Online GmbH, Gunzenhausen (Deutschland)	Hosting, Datenbank und Objektspeicher	Deutschland	nicht erforderlich (Verarbeitung im EWR)	Auftragsverarbeitungsvertrag des Unterauftragsverarbeiters (Standardvertrag, mit den Nutzungsbedingungen angenommen)
Brevo	Sendinblue SAS (Brevo), Paris (Frankreich)	Transaktionale E-Mails und Kommunikation	EU (laut Brevo Frankreich, Deutschland und Belgien)	nicht erforderlich (Verarbeitung im EWR)	Auftragsverarbeitungsvertrag des Unterauftragsverarbeiters (Standardvertrag, mit den Nutzungsbedingungen angenommen)
Hostinger	Hostinger International Ltd. (Zypern)	E-Mail-Postfächer für Support- und Datenschutzanfragen	laut Hostinger in der EU (Litauen, Niederlande, Zypern) und im Vereinigten Königreich; Übermittlungen in Drittländer laut Hostinger über EU-Standardvertragsklauseln	Bei Verarbeitung im EWR nicht erforderlich; für Übermittlungen in Drittländer laut Hostinger EU-Standardvertragsklauseln	Auftragsverarbeitungsvertrag des Unterauftragsverarbeiters (Standardvertrag)
Mistral	Mistral AI SAS, Paris (Frankreich)	Bereitstellung von KI-Modellen	EU-Endpunkt api.eu.mistral.ai (Frankreich/EU)	nicht erforderlich (Verarbeitung im EWR)	Auftragsverarbeitungsvertrag des Unterauftragsverarbeiters (Standardvertrag, mit den Nutzungsbedingungen angenommen)
Microsoft Azure	Microsoft Ireland Operations Limited, Dublin (Irland)	Cloud-Infrastruktur und Bereitstellung von KI-Modellen	EU-Datenzone, Ressource Sweden Central (Schweden), Deployment-Typ DataZone EU	EU-Standardvertragsklauseln des Unterauftragsverarbeiters für etwaige Drittlandzugriffe	Auftragsverarbeitungsvertrag des Unterauftragsverarbeiters (Standardvertrag, mit den Nutzungsbedingungen angenommen)
Google Vertex	Google Cloud EMEA Limited, Dublin (Irland)	Cloud-Infrastruktur und Bereitstellung von Gemini 3.5 Flash (Frankfurt, europe-west3) und Gemini 3.8 Flash (Multiregion eu)	Frankfurt, Deutschland (`europe-west3`: Gemini 3.5 Flash); Multiregion `eu` über den EU-Endpunkt `aiplatform.eu.rep.googleapis.com` (Gemini 3.8 Flash), mit Verarbeitung in Rechenzentren in EU-Mitgliedstaaten ohne festgelegtes Land	EU-Standardvertragsklauseln des Unterauftragsverarbeiters für etwaige Drittlandzugriffe	Auftragsverarbeitungsvertrag des Unterauftragsverarbeiters (Standardvertrag, mit den Nutzungsbedingungen angenommen)
AWS Bedrock	Amazon Web Services EMEA SARL, Luxemburg	Cloud-Infrastruktur und Bereitstellung von KI-Modellen	Aufrufregion Frankfurt (eu-central-1) über ein EU-Inferenzprofil; die Verarbeitung erfolgt in AWS-Regionen innerhalb der EU	EU-Standardvertragsklauseln des Unterauftragsverarbeiters für etwaige Drittlandzugriffe	Auftragsverarbeitungsvertrag des Unterauftragsverarbeiters (Standardvertrag, mit den Nutzungsbedingungen angenommen)
Stripe	Stripe Payments Europe, Limited, Dublin (Irland)	Zahlungsabwicklung	EU und USA (Stripe-Konzern)	EU-Standardvertragsklauseln (Stripe Data Processing Agreement)	Auftragsverarbeitungsvertrag des Unterauftragsverarbeiters (Standardvertrag, mit den Nutzungsbedingungen angenommen)

Vertrags- und Zusicherungsstatus

Die in der Tabelle genannten Auftragsverarbeitungsverträge verpflichten die Unterauftragsverarbeiter zu einem der AVV gleichwertigen Schutzniveau.

Die Verarbeitung erfolgt an den in der Tabelle bezeichneten Orten.

Kundendaten, Prompts, Outputs und Embeddings werden nicht zum Training oder zur Verbesserung fremder Modelle verwendet und nur entsprechend den vertraglich vereinbarten Aufbewahrungsregeln gespeichert.

Änderungen dieser Liste werden dem Kunden mit einer Frist von 30 Tagen angekündigt; der Kunde kann innerhalb von 14 Tagen aus angemessenen datenschutzrechtlichen Gründen widersprechen.

Anlage 3 zum AVV: Technische und organisatorische Maßnahmen für sicherAI

Stand: 2026-10-26

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Wahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der betroffenen Personen hat Anbieter angemessene technische und organisatorische Sicherheitsmaßnahmen ergriffen und wird diese beibehalten, um die Kundendaten vor Sicherheitsvorfällen zu schützen und die Sicherheit und Vertraulichkeit der Kundendaten zu wahren ("technische und organisatorische Maßnahmen"). Diese Maßnahmen beinhalten folgende Aspekte:

1. Vertraulichkeit

1.1 Zutrittskontrolle

Anbieter betreibt keine eigenen Rechenzentren oder Serverräume. Die Anwendung wird auf Cloud-Infrastruktur in ISO/IEC 27001-zertifizierten Rechenzentren betrieben. Die physische Zutrittskontrolle der Rechenzentren wird durch die Hosting-Anbieter gemäß deren vertraglich vereinbarten technischen und organisatorischen Maßnahmen gewährleistet. Für die Geschäftsräume von Anbieter gelten folgende Maßnahmen:

Die Geschäftsräume sind abschließbar; Zutritt haben nur der Inhaber und von ihm zugelassene Personen.
Kundendaten werden in den Geschäftsräumen nicht auf lokalen Datenträgern vorgehalten, sondern ausschließlich in der gehosteten Umgebung verarbeitet.
Besucher und externe Dienstleister halten sich in den Geschäftsräumen nicht unbeaufsichtigt auf.

1.2 Zugangskontrolle

Anbieter wird angemessene Maßnahmen treffen, die geeignet sind zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können.

Technische Maßnahmen:
Verwendung individueller Benutzerkonten und starker, eindeutiger Authentisierungsmerkmale.
Einsatz von Multi-Faktor-Authentifizierung oder Passkeys, soweit dies technisch unterstützt wird und insbesondere für privilegierte oder sicherheitsrelevante Zugänge.
Verwendung eines vom Inhaber freigegebenen Passwortmanagements zur Erzeugung und sicheren Speicherung eindeutiger Zugangsdaten.
Änderung von Zugangsdaten bei bekannt gewordener oder vermuteter Kompromittierung sowie bei sonstigem sicherheitsbezogenem Anlass.
Ablauf von Sitzungen spätestens nach sieben Tagen ohne Nutzung; bei Nutzung wird die Laufzeit nach einem Aktualisierungsintervall von 24 Stunden auf weitere sieben Tage verlängert. Beim Zurücksetzen des Passworts werden alle Sitzungen widerrufen; bei einer Passwortänderung in den Sicherheitseinstellungen kann der Nutzer die anderen Sitzungen widerrufen. Der Nutzer kann Sitzungen jederzeit selbst beenden.
Betrieb der von Anbieter genutzten Endgeräte mit aktuellen Betriebssystemen, automatischen Sicherheitsupdates und Bildschirmsperre.
Vollständige Festplattenverschlüsselung der von Anbieter bereitgestellten Endgeräte.
Verwaltung von Benutzerberechtigungen.
API-Schlüssel werden zufällig erzeugt und nur einmal angezeigt; gespeichert werden nur ein sichtbares Präfix und ein Prüfwert. Ein Schlüssel hat einen Ablauf oder gilt bis zu seinem Widerruf, wenn der Kunde das bei der Anlage so festlegt; jeder Schlüssel lässt sich einzeln widerrufen.
Nur Personen mit der Rolle Inhaber oder Administrator in der Organisation des Kunden verwalten API-Schlüssel; ein Schlüssel wirkt nur, solange die zugeordnete Person diese Rolle hat und ihr Konto nicht gesperrt ist.
Organisatorische Maßnahmen:
Vom Inhaber festzuhaltende IT-Sicherheitsrichtlinie, die den sicheren Umgang mit Passwörtern, Zugangsdaten und mobilen Geräten regelt.
Verarbeitung von Kundendaten ausschließlich über vom Inhaber freigegebene Endgeräte.
Vergabe von Benutzerkonten nach dem Prinzip der minimalen Rechtevergabe.
Regelmäßige Fortbildung des Inhabers, mindestens jährlich, um das Bewusstsein für Phishing und andere Bedrohungen zu schärfen; die Nachweise sind festzuhalten.

1.3 Zugriffskontrolle

Anbieter wird angemessene Maßnahmen treffen, um sicherzustellen, dass die zur Benutzung der Datenverarbeitungssysteme Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden personenbezogenen Daten zugreifen können, und dass Kundendaten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Hierzu trifft Anbieter folgende Vorkehrungen:

Technische Maßnahmen:
Implementierung eines differenzierten Berechtigungskonzepts, das den Zugriff auf Kundendaten auf das notwendige Minimum beschränkt.
In der Anwendung sind Einträge des persönlichen Gedächtnisses nur für die jeweilige Person in der jeweiligen Organisation zugänglich; auch Personen mit der Rolle Inhaber oder Administrator in der Organisation des Kunden sehen sie nicht. Jede Person kann ihre eigenen Einträge als Datei exportieren; einen Export dieser Einträge für den Kunden bietet die Anwendung nicht.
Einsatz von Netzwerk- und Anwendungsfiltern, einschließlich Ratenbegrenzungen und Zugriffsfiltern für öffentlich erreichbare Anwendungsendpunkte.
Protokollierung sicherheits- und datenschutzrelevanter Aktionen in einem organisationsgebundenen Audit-Log (insbesondere Einladungen, Rollenänderungen, Entzug von Mitgliedschaften, Änderungen der Aufbewahrungsregeln und Löschung von Brain-Dokumenten) für die Dauer des Vertrags; die Protokolle werden mit der Löschung der Organisation entfernt. Abweichend davon werden Protokolleinträge zu API-Schlüsseln, zur Freigabe und zu Grenzen der Programmierschnittstelle nach 180 Tagen gelöscht. Wird ein Nutzerkonto gelöscht, bleibt seine interne Kennung als Pseudonym in diesen Protokollen bis zu deren Löschung erhalten; Name und E-Mail-Adresse werden mit dem Konto gelöscht. Lesezugriffe und einzelne Chat-Eingaben werden nicht protokolliert.
Datenbankzugang über die Anwendung und den administrativen Zugang des Anbieters; kein öffentlicher Datenbankport. Administrative Zugriffe erfolgen ausschließlich per SSH-Schlüssel.
Administrativer Zugriff auf die Hosting-Infrastruktur ausschließlich über verschlüsselte und zugangsgeschützte Verbindungen.
Ablage von Produktionsgeheimnissen auf dem Produktionsserver in nur für den Administrator lesbaren Konfigurationsdateien und Bereitstellung ausschließlich an die jeweils erforderlichen Dienste; getrennte, durch Dateirechte geschützte Verwahrung des Off-Site-Schlüssels beim Inhaber. Ablage-Zugangsdaten und Organisations-Gateway-Schlüssel in der Datenbank werden mit Envelope-Verschlüsselung (AES-256-GCM) gespeichert.
Verschlüsselte Speicherung der Zugriffs- und Aktualisierungstoken aus der Anmeldung mit Google oder Microsoft; Passwörter werden nur als Hash gespeichert, Sitzungskennungen unverschlüsselt in der zugangsgeschützten Datenbank. Kundendaten liegen auf zugangsgeschützten Systemen des Hosting-Anbieters innerhalb der Europäischen Union.
Organisatorische Maßnahmen:
Vom Inhaber festzuhaltende Richtlinie zur Vergabe und Entziehung von Zugriffsrechten, die sich am "Need-to-know"-Prinzip orientiert.
Regelmäßige, mindestens jährliche und anlassbezogene Überprüfung von Zugriffsberechtigungen durch den Inhaber, insbesondere für privilegierte Zugänge; die Ergebnisse sind festzuhalten.
Besondere Autorisierung für den Zugriff auf besonders sensible Datenkategorien.
Beschränkung privilegierter betrieblicher Zugriffe auf den Inhaber und erforderlichenfalls von ihm beauftragte Dienstleister nach dem Prinzip der minimalen Rechtevergabe.
Der Inhaber und gegebenenfalls hinzugezogene Personen, die bei ihrer Tätigkeit Kenntnis von Kundendaten erlangen können, werden vor dem Zugriff in Textform zur Vertraulichkeit und zur Wahrung fremder Geheimnisse gemäß § 203 StGB verpflichtet.
Wählt der Kunde nach Ziffer 12 der AVV die Rückgabe, gibt Anbieter ihm auch die Einträge des persönlichen Gedächtnisses zurück.

1.4 Trennungskontrolle

Anbieter wird angemessene Maßnahmen treffen, um sicherzustellen, dass zu unterschiedlichen Zwecken erhobene Kundendaten getrennt verarbeitet werden können. Hierzu trifft Anbieter folgende Vorkehrungen:

Technische Maßnahmen:
Strikte logische Mandantentrennung innerhalb der zentralen Datenbank durch den Einsatz von Row-Level Security (RLS).
Sicherstellung der Mandantentrennung auf Anwendungsebene, um den Zugriff auf Daten anderer Mandanten zu unterbinden.
Getrennte Umgebungen für Entwicklung, Tests und Produktion.
Ein differenziertes Berechtigungskonzept, das den Zugriff regelt.
Organisatorische Maßnahmen:
Richtlinie zur Datenklassifizierung und zur getrennten Verarbeitung von Daten verschiedener Mandanten und Zwecke.
Regelmäßige Kontrolle der technischen und organisatorischen Maßnahmen zur Datentrennung.

2. Integrität

2.1 Weitergabekontrolle

Anbieter wird angemessene Maßnahmen treffen, um das Risiko zu reduzieren, dass Kundendaten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträgern unbefugt gelesen, kopiert, verändert oder entfernt werden können. Hierzu trifft Anbieter folgende Vorkehrungen:

Technische Maßnahmen:
Konsequente Verschlüsselung sämtlicher Übertragungen von Kundendaten über externe oder öffentliche Netze unter Verwendung von TLS 1.2 oder höher.
Die Programmierschnittstelle nimmt Anfragen nur über TLS an; unverschlüsselte Anfragen weist sie ohne Weiterleitung ab.
Nutzung freigegebener, zugangsgeschützter Übertragungswege und Cloud-Dienste für den Austausch und die Bereitstellung von Kundendaten.
Organisatorische Maßnahmen:
Richtlinie zur sicheren Übertragung und Weitergabe von Kundendaten, die die Nutzung unsicherer Kanäle untersagt.
Sensibilisierung des Inhabers für die Risiken unsicherer Datenübertragung im Rahmen seiner mindestens jährlichen Fortbildung; die Nachweise sind festzuhalten.
Klare Regelungen zur Nutzung von Cloud-Diensten und zur Übermittlung von Daten an Dritte.
Dokumentierte Übersicht über regelmäßige Abruf- und Übermittlungsverfahren.

2.2 Eingabekontrolle

Anbieter wird angemessene Maßnahmen treffen, um sicherzustellen, dass für die nachfolgend protokollierten Aktionen nachträglich geprüft und festgestellt werden kann, ob und von wem Kundendaten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind. Hierzu trifft Anbieter folgende Vorkehrungen:

Technische Maßnahmen:
Protokollierung sicherheits- und datenschutzrelevanter Aktionen in einem organisationsgebundenen Audit-Log (insbesondere Einladungen, Rollenänderungen, Entzug von Mitgliedschaften, Änderungen der Aufbewahrungsregeln und Löschung von Brain-Dokumenten) für die Dauer des Vertrags; die Protokolle werden mit der Löschung der Organisation entfernt. Abweichend davon werden Protokolleinträge zu API-Schlüsseln, zur Freigabe und zu Grenzen der Programmierschnittstelle nach 180 Tagen gelöscht. Lesezugriffe und einzelne Chat-Eingaben werden nicht protokolliert.
Datenbankzugang über die Anwendung und den administrativen Zugang des Anbieters; kein öffentlicher Datenbankport. Administrative Zugriffe erfolgen ausschließlich per SSH-Schlüssel.
Plausibilitäts- und Validierungsprüfungen bei der Dateneingabe.
Nachvollziehbarkeit von Änderungen durch Zeitstempel oder Versionierung, soweit dies für den jeweiligen Verarbeitungsvorgang technisch vorgesehen ist.
Organisatorische Maßnahmen:
Klare Zuständigkeiten für die Dateneingabe und -pflege.
Vergabe von Rechten zur Eingabe, Änderung und Löschung von Daten auf der Grundlage eines Berechtigungskonzepts.
Regelmäßige, mindestens jährliche und anlassbezogene Überprüfung sicherheitsrelevanter Protokolle durch den Inhaber; die Ergebnisse sind festzuhalten.

3. Verfügbarkeit und Belastbarkeit

Anbieter wird angemessene Maßnahmen treffen, um sicherzustellen, dass Kundendaten gegen zufällige Zerstörung oder Verlust geschützt sind. Hierzu trifft Anbieter folgende Vorkehrungen:

Technische Maßnahmen:
Hosting der Anwendung und Kundendaten in ISO/IEC 27001-zertifizierten Rechenzentren.
Tägliche Sicherung der Produktionsdatenbank; reguläre lokale Aufbewahrung für 14 Tage. Die Bereinigung älterer lokaler Sicherungen erfolgt nach erfolgreicher Erstellung einer neuen Sicherung.
Zusätzlich täglich eine verschlüsselte Off-Site-Kopie der Datenbanksicherung auf einem getrennten Speicher bei Hetzner; reguläre Aufbewahrung für 14 Tage, wobei mindestens die drei jüngsten Stände unabhängig von ihrem Alter erhalten bleiben.
Hochgeladene Dateien liegen im Objektspeicher des Hosting-Anbieters Hetzner in Deutschland und werden derzeit nicht gesondert gesichert. Die im Repository geführten Konfigurationen sind versioniert.
Protokollierung der Off-Site-Sicherung in einer Logdatei und wöchentlicher Restore-Check durch Herunterladen, Entschlüsseln und Prüfen der Archivlesbarkeit; dieser Check ist kein vollständiger Datenbank-Restore.
Regelmäßige und anlassbezogene Tests der Wiederherstellbarkeit von Sicherungen, mindestens vierteljährlich.
Prüfung von Dateitypen und Dateigrößen sowie Container-Isolation zur Begrenzung von Sicherheitsbedrohungen; eine Prüfung hochgeladener Dateien durch Malware-Scans erfolgt nicht.
Physische Schutz- und Redundanzmaßnahmen der Rechenzentrumsbetreiber, insbesondere für Stromversorgung, Klimatisierung, Brandschutz und Speichersysteme.
Organisatorische Maßnahmen:
Vom Inhaber zu dokumentierendes Sicherungs- und Wiederherstellungskonzept, das sich an der Kritikalität der Daten und Systeme orientiert und Verantwortlichkeiten, Eskalationswege sowie automatisierungsunterstützte Wiederherstellungsschritte festlegt.
Notfallpläne für relevante Ausfallszenarien, die der Inhaber mindestens jährlich überprüft, aktualisiert und erprobt; die Ergebnisse sind festzuhalten.
Der Inhaber ist verantwortlich für Notfälle, technische Sicherheitsvorfälle und erforderliche Wiederherstellungsmaßnahmen.
Nutzung der vertraglich vereinbarten Standardverfügbarkeiten und Supportleistungen der Hosting-Anbieter.
Vom Inhaber festzuhaltende Informationssicherheitsrichtlinie mit Vorgaben zur Verfügbarkeit, Wiederherstellung und zum Notfallbetrieb.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

Anbieter implementiert Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.

4.1 Datenschutz-Management

Ein Datenschutzbeauftragter ist nicht bestellt; bei der Größe des Einzelunternehmens besteht keine Pflicht zur Bestellung. Datenschutzkontakt ist datenschutz@sicherai.com.
Implementierung eines vom Inhaber geführten und zu dokumentierenden Datenschutz-Managementsystems (DSMS) in Anlehnung an bewährte Standards (z.B. ISO 27701, BSI IT-Grundschutz), angepasst an die Größe und Komplexität des Einzelunternehmens.
Regelmäßige interne Überprüfungen der Datenschutzmaßnahmen und -prozesse durch den Inhaber, mindestens jährlich; die Ergebnisse sind festzuhalten.
Dokumentation und Bearbeitung von Datenschutzvorfällen durch den Inhaber.
Regelmäßige Fortbildung des Inhabers zum Datenschutz, mindestens jährlich; die Nachweise sind festzuhalten.
Prozesse bezüglich Informationspflichten gemäß Artikel 13 und 14 DSGVO umgesetzt.
Datenschutz-Checkpoints, soweit möglich und sinnvoll, in die Risikobewertung integriert.
Datenschutz-Folgenabschätzung (DSFA) wird bei Bedarf für neue Verarbeitungstätigkeiten mit voraussichtlich hohem Risiko durchgeführt.
Datenschutzaspekte sind Teil des allgemeinen Risikomanagements des Unternehmens.

4.2 Incident-Response-Management

Einsatz eines auf technische Fehler- und Performanceinformationen beschränkten Monitorings mit Maßnahmen zur Vermeidung der Erfassung von Prompts, Modellantworten, Dokumentinhalten, Authentifizierungstoken und vollständigen Request-Bodies.
Benannter Verantwortlicher (Inhaber) für die Koordination und Bearbeitung von Sicherheitsvorfällen und Datenschutzverletzungen.
Zentrale Dokumentation und Nachverfolgung von Sicherheitsvorfällen und Datenschutzverletzungen.
Einsatz von Ratenbegrenzungen und Zugriffsfiltern zum Schutz öffentlich erreichbarer Anwendungsendpunkte.
Nutzung zentraler Spam-, Phishing- und Malware-Schutzmechanismen für die geschäftliche E-Mail-Kommunikation.
Regelmäßige Fortbildung des Inhabers im Umgang mit Sicherheitsvorfällen und Phishing-Versuchen, mindestens jährlich; die Nachweise sind festzuhalten.
Regelmäßige Überprüfung und Weiterentwicklung des Vorgehens bei Sicherheitsvorfällen durch den Inhaber, mindestens jährlich; die Ergebnisse sind festzuhalten.

4.3 Sichere Softwareentwicklung und Schwachstellenmanagement

Geregelte Merge-, Freigabe- und Release-Prozesse für Änderungen am Anwendungscode.
Festgestellte Schwachstellen werden nach Schweregrad und tatsächlicher Betroffenheit priorisiert und zeitnah behoben.