Auftragsverarbeitungsvertrag (AVV)

§ 1 Vertragsparteien

Verantwortlicher: Der Kunde im Sinne der AGB (die im Buchungs- und Registrierungsprozess identifizierte juristische oder natürliche Person, die die SaaS-Plattform aufträge.io für eigene unternehmerische Zwecke nutzt).

Auftragsverarbeiter:

§ 2 Gegenstand, Dauer, Art und Zweck der Verarbeitung

2.1 Gegenstand

Gegenstand des AVV ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der SaaS-Plattform aufträge.io.

2.2 Dauer

Die Verarbeitung beginnt mit der Freischaltung des Plattform-Zugangs und endet mit der vollständigen Löschung sämtlicher Verantwortlicher-Daten gemäß § 10 dieses AVV. Sie ist an die Laufzeit des Hauptvertrags (AGB) gebunden.

2.3 Art

Die Verarbeitung umfasst insbesondere das Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Verändern, Auslesen, Abfragen, Verwenden, Übermitteln, Verbreiten, Bereitstellen, Abgleichen, Verknüpfen, Einschränken, Löschen oder Vernichten personenbezogener Daten im Sinne von Art. 4 Nr. 2 DSGVO.

2.4 Zweck

Zweck der Verarbeitung ist die Bereitstellung der vertraglich vereinbarten Funktionen der Plattform aufträge.io, insbesondere die Aggregation und Strukturierung von Ausschreibungsdaten, die Verwaltung von Nutzerkonten, die Erstellung und Pflege individueller Such- und Leistungsprofile sowie die Kommunikation mit Nutzerinnen des Verantwortlichen.

§ 3 Art der personenbezogenen Daten und Kategorien betroffener Personen

3.1 Datenarten

Verarbeitet werden insbesondere folgende Kategorien personenbezogener Daten:

• Stammdaten der Nutzerinnen des Verantwortlichen (Name, Vorname, geschäftliche E-Mail-Adresse, Funktion im Unternehmen, gegebenenfalls Telefonnummer);
• Account- und Authentifizierungsdaten (Benutzername, gehashte Passwörter, Sitzungs-Tokens, OAuth-Identifikatoren bei Single-Sign-On);
• Nutzungs- und Protokolldaten (IP-Adresse – gekürzt, soweit technisch möglich; im Rahmen der CDN- und Sicherheitsverarbeitung, insbesondere durch Cloudflare als Reverse Proxy, vollständig –, Browser- und Geräteinformationen, Zeitstempel von Zugriffen, aufgerufene Funktionen);
• Inhaltsdaten (vom Verantwortlichen bzw. seinen Nutzerinnen eingegebene Suchprofile, Notizen, Markierungen, Alarme, Filtereinstellungen);
• Kommunikationsdaten im Zusammenhang mit Support- oder Newsletter-Kommunikation (sofern aktiviert);
• Zahlungs- und Vertragsdaten, sofern für die Plattform-Nutzung erforderlich (Rechnungsempfänger, Vertragsdokumentation – wobei die eigentliche Zahlungsabwicklung durch Stripe in eigener Verantwortlichkeit erfolgt, vgl. § 11 DSE).

3.2 Betroffenenkreise

Betroffenenkreise:

• Mitarbeiterinnen und sonstige Nutzerinnen des Verantwortlichen, die mit Zugangsdaten auf die Plattform zugreifen;
• Ansprechpartnerinnen des Verantwortlichen für vertragliche, technische und kaufmännische Belange;
• gegebenenfalls weitere natürliche Personen, deren Daten der Verantwortliche eigenständig in die Plattform einbringt (z. B. Notizen oder Hinweise, die personenbezogene Inhalte enthalten).

§ 4 Pflichten des Auftragsverarbeiters

4.1 Weisung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen – auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation –, sofern keine gesetzliche Verpflichtung zu einer abweichenden Verarbeitung besteht. Erteilte Weisungen dokumentiert der Auftragsverarbeiter angemessen. Der Hauptvertrag (AGB) sowie die Konfigurationen, die der Verantwortliche im Plattform-Backend eigenständig vornimmt, gelten als dokumentierte Weisungen im Sinne von Art. 28 Abs. 3 lit. a DSGVO.

4.2 Hinweispflicht

Erkennt der Auftragsverarbeiter, dass eine Weisung des Verantwortlichen gegen die DSGVO oder andere datenschutzrechtliche Vorschriften der Europäischen Union oder ihrer Mitgliedstaaten verstößt, wird er den Verantwortlichen unverzüglich darauf hinweisen.

4.3 Vertraulichkeit

Der Auftragsverarbeiter verpflichtet seine zur Verarbeitung befugten Mitarbeiterinnen sowie sonstige für ihn tätige Personen vor Aufnahme der Tätigkeit zur Vertraulichkeit nach Art. 28 Abs. 3 lit. b DSGVO oder stellt sicher, dass diese einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

4.4 TOM

Der Auftragsverarbeiter ergreift sämtliche nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zur Sicherheit der Verarbeitung. Eine Beschreibung dieser Maßnahmen findet sich in Anlage A.1 (TOM) zu diesem AVV.

4.5 Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Erfüllung von Betroffenenrechten nach Kapitel III DSGVO (insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit) sowie bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Datensicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation der Aufsichtsbehörde). Soweit ein Betroffener sich unmittelbar an den Auftragsverarbeiter wendet, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter.

4.6 Meldepflicht

Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von vierundzwanzig (24) Stunden ab Kenntnis. Die Meldung enthält insbesondere eine Beschreibung der Art der Datenschutzverletzung, soweit möglich Kategorien und ungefähre Zahl der betroffenen Personen sowie der betroffenen Datensätze, Name und Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle, eine Beschreibung der wahrscheinlichen Folgen sowie eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen.

4.7 Verzeichnis

Der Auftragsverarbeiter führt ein Verzeichnis über sämtliche Kategorien der für den Verantwortlichen durchgeführten Verarbeitungen nach Art. 30 Abs. 2 DSGVO und stellt dieses dem Verantwortlichen auf Anfrage zur Verfügung.

§ 5 Pflichten des Verantwortlichen

5.1 Rechtmäßigkeit

Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen verantwortlich. Er ist insbesondere dafür verantwortlich, dass er über eine wirksame Rechtsgrundlage für die Übermittlung personenbezogener Daten an den Auftragsverarbeiter verfügt.

5.2 Information seiner Nutzerinnen

Der Verantwortliche stellt sicher, dass Nutzerinnen des Verantwortlichen, die mit eigenen Zugangsdaten auf die Plattform zugreifen, über die Verarbeitung ihrer personenbezogenen Daten transparent informiert werden, insbesondere unter Verweis auf die Datenschutzerklärung des Auftragsverarbeiters.

5.3 Ansprechpartner

Der Verantwortliche benennt eine zuständige Kontaktperson für datenschutzrechtliche Belange. Wechselt die Kontaktperson, teilt der Verantwortliche dies dem Auftragsverarbeiter unverzüglich mit.

§ 6 Unterauftragsverarbeiter

6.1 Genehmigte Sub-Verarbeiter

Der Verantwortliche stimmt der Beauftragung der nachfolgend in Anlage A.2 (Sub-Verarbeiter-Liste) aufgeführten Unterauftragsverarbeiter zu. Maßgeblich für den Umfang der Auftragsverarbeitung ist ausschließlich Anlage A.2; § 10 der Datenschutzerklärung des Auftragsverarbeiters dokumentiert darüber hinaus auch Dienste, die der Auftragsverarbeiter in eigener Verantwortlichkeit einsetzt (z. B. für Webanalyse und Demo-Buchung auf den eigenen Websites) und die nicht Teil dieser Sub-Verarbeiter-Liste sind.

6.2 Wechsel

Der Auftragsverarbeiter informiert den Verantwortlichen mit einer Vorlaufzeit von mindestens dreißig (30) Tagen über jeden geplanten Wechsel oder die Hinzunahme eines Sub-Verarbeiters. Der Verantwortliche kann einem solchen Wechsel binnen dreißig (30) Tagen aus wichtigem, insbesondere datenschutzrechtlichem, Grund widersprechen. Im Fall eines berechtigten Widerspruchs und einer mangelnden einvernehmlichen Lösung steht dem Verantwortlichen ein außerordentliches Kündigungsrecht zum Ende der laufenden Vertragsperiode zu.

6.3 Pflichten

Der Auftragsverarbeiter stellt sicher, dass Sub-Verarbeiter durch vertragliche Vereinbarungen gemäß Art. 28 Abs. 4 DSGVO an datenschutzrechtliche Pflichten gebunden sind, die den Datenschutzpflichten aus diesem AVV entsprechen.

6.4 Drittlandtransfer

Für Drittlandtransfers gilt § 10 DSE: Die Übermittlung an Sub-Verarbeiter mit Sitz außerhalb des EWR erfolgt ausschließlich auf Grundlage geeigneter Garantien gem. Art. 44 ff. DSGVO, insbesondere Angemessenheitsbeschlüsse (EU-U.S. Data Privacy Framework, UK Adequacy Decision) sowie EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) als ergänzende Garantie.

§ 7 Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter stellt dem Verantwortlichen geeignete technische Werkzeuge zur Verfügung, mit denen dieser Auskunfts-, Berichtigungs- und Löschungsanfragen seiner Nutzerinnen erfüllen kann. Sollte eine automatisierte Bearbeitung nicht möglich sein, unterstützt der Auftragsverarbeiter im Rahmen seiner technischen und organisatorischen Möglichkeiten manuell. Eine Aufwandserstattung erfolgt nach tatsächlichem Aufwand, sofern die Anfrage offensichtlich unbegründet oder exzessiv ist (Art. 12 Abs. 5 DSGVO).

§ 8 Kontroll- und Auditrechte

8.1 Nachweispflicht

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage geeignete Nachweise über die Einhaltung der in Anlage A.1 beschriebenen technischen und organisatorischen Maßnahmen zur Verfügung. Geeignete Nachweise sind insbesondere aktuelle Zertifikate, Testate (z. B. ISO 27001, SOC 2), Selbstauskünfte, Beschreibungen der TOM oder vergleichbare Belege.

8.2 Vor-Ort-Audit

Über die Überlassung von Nachweisen hinaus kann der Verantwortliche maximal einmal pro Kalenderjahr eine Vor-Ort-Prüfung durchführen oder durch einen gemeinsam vereinbarten, unabhängigen Dritten durchführen lassen. Der Verantwortliche kündigt Prüfungen mindestens dreißig (30) Tage im Voraus schriftlich an und berücksichtigt dabei berechtigte Geschäftsinteressen des Auftragsverarbeiters (insbesondere Geheimhaltungsinteressen, Zutrittsbeschränkungen in Rechenzentren, IT-Sicherheitsinteressen). Bei Vorliegen eines konkreten Anlasses – insbesondere nach einer Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO oder aufgrund der Anordnung einer zuständigen Aufsichtsbehörde – ist der Verantwortliche darüber hinaus zu einer zusätzlichen, anlassbezogenen Prüfung mit angemessener, auch kürzerer Ankündigungsfrist berechtigt.

8.3 Kosten

Die Kosten einer solchen Prüfung trägt der Verantwortliche, sofern die Prüfung keinen erheblichen Verstoß des Auftragsverarbeiters gegen diesen AVV zutage fördert. Wird ein erheblicher Verstoß festgestellt, trägt der Auftragsverarbeiter die angemessenen Kosten der Prüfung.

§ 9 Haftung

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO sowie nach den Haftungsregelungen des Hauptvertrags (§ 12 AGB). Die Haftung des Auftragsverarbeiters im Innenverhältnis zum Verantwortlichen ist auf das vom Verantwortlichen in den letzten zwölf (12) Monaten an den Auftragsverarbeiter gezahlte Nettoentgelt begrenzt, soweit dies gesetzlich zulässig ist.

§ 10 Löschung und Rückgabe bei Beendigung

Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter die verarbeiteten personenbezogenen Daten des Verantwortlichen spätestens innerhalb von dreißig (30) Tagen, sofern keine gesetzliche Aufbewahrungspflicht (insbesondere § 132 BAO für rechnungs- und steuerrelevante Unterlagen) entgegensteht.

Der Verantwortliche kann bis zum Ablauf der vorgenannten Frist verlangen, dass ihm die Daten in einem gängigen, strukturierten Format zurückgegeben werden. Kommt der Verantwortliche diesem Verlangen nicht rechtzeitig nach, werden die Daten anschließend gelöscht.

§ 11 Schlussbestimmungen

Es gelten ergänzend die Schlussbestimmungen des Hauptvertrags (§ 16 AGB). Widersprüche zwischen den Dokumenten werden nach der Rangfolge in § 16.6 AGB aufgelöst.

Anlage A.1 – Technische und organisatorische Maßnahmen (TOM)

Version 1.0 · Stand 29. April 2026 · Gültig ab 29. April 2026.

Dieses Dokument beschreibt die Technischen und Organisatorischen Maßnahmen (TOM) gemäß Art. 32 DSGVO, die der Auftragsverarbeiter RFXSearch FlexCo zum Schutz personenbezogener Daten im Rahmen der Plattform aufträge.io umgesetzt hat. Es ist Anlage A.1 zum Auftragsverarbeitungsvertrag (AVV) und bildet gemeinsam mit dem AVV und den AGB den vertraglichen Datenschutz-Rahmen ab.

A.1.1 Zutrittskontrolle

Der Auftragsverarbeiter betreibt keine eigenen Rechenzentren – auch der von ihm selbst administrierte Server für die lokale KI-Verarbeitung (§ 13 DSE) steht in einem Rechenzentrum eines zertifizierten Anbieters. Die Verarbeitung personenbezogener Daten erfolgt ausschließlich in ISO/IEC-27001-zertifizierten Rechenzentren der eingesetzten Anbieter (insbesondere AWS eu-central-1 Frankfurt, Google Cloud europe-west3 Frankfurt, Cloudflare sowie Hetzner Online GmbH in Deutschland). Physische Zutrittskontrollen (Biometrie, Sicherheitspersonal, 24/7-Überwachung, Mehrfaktor-Zutritt) werden durch die jeweiligen Rechenzentrumsbetreiber gewährleistet und durch unabhängige Zertifizierungen nachgewiesen.

Büroflächen des Auftragsverarbeiters sind durch elektronische Zutrittskontrollen gesichert; ausschließlich autorisierte Personen erhalten Zutritt.

A.1.2 Zugangskontrolle

• Zugriff auf Produktivsysteme ausschließlich über personalisierte, namensgebundene Zugänge;
• verpflichtende Zwei-Faktor-Authentifizierung (2FA) für sämtliche administrativen Zugänge, Entwicklungswerkzeuge, Git-Repositories und Cloud-Konsolen;
• starke Passwort-Richtlinien (Mindestlänge, Komplexität) sowie regelmäßige Sensibilisierung im Team;
• Passwörter der Endnutzerinnen werden ausschließlich als starke Hashes (bcrypt/argon2) gespeichert; Klartext-Speicherung ist ausgeschlossen;
• automatische Sperrung inaktiver Sitzungen und Begrenzung fehlgeschlagener Anmeldeversuche (Rate-Limiting).

A.1.3 Zugriffskontrolle

• rollenbasiertes Berechtigungskonzept nach dem Least-Privilege-Prinzip;
• dokumentierter Genehmigungs- und Entzugsprozess für Berechtigungen (On-/Offboarding);
• regelmäßige Überprüfung bestehender Berechtigungen;
• Logging und Auditierung von administrativen Zugriffen auf Produktionssysteme;
• getrennte Umgebungen für Entwicklung, Test und Produktion.

A.1.4 Trennungskontrolle

Die Plattform ist mandantenfähig (Multi-Tenant) aufgebaut. Daten verschiedener Verantwortlicher werden logisch strikt getrennt; die Trennung erfolgt insbesondere über mandantengebundene Identifikatoren in der Datenbank, rollenbasierte Zugriffsbeschränkungen auf Anwendungsebene sowie durch Row-Level-Security auf Datenbankebene (Supabase/PostgreSQL).

A.1.5 Pseudonymisierung und Verschlüsselung

• sämtliche Datenübertragung zwischen Endnutzerinnen und der Plattform erfolgt ausschließlich verschlüsselt über TLS 1.2 oder höher (HTTPS);
• Daten in der Datenbank (Supabase/AWS eu-central-1) werden at rest verschlüsselt (AES-256);
• Backups werden verschlüsselt erstellt und übertragen;
• in Fehler-Monitoring-Werkzeugen (Sentry, EU-Region) ist PII-Scrubbing aktiviert; send_default_pii ist deaktiviert;
• in Analyse- und KI-Pipelines werden – soweit technisch möglich – pseudonymisierte Bezeichner statt direkter Identifikatoren verwendet.

A.1.6 Weitergabekontrolle

• Übertragung personenbezogener Daten nur über verschlüsselte Kanäle (TLS);
• klare vertragliche Regelung aller Unterauftragsverarbeiter über Auftragsverarbeitungsverträge nach Art. 28 DSGVO;
• Drittlandtransfers nur auf Grundlage geeigneter Garantien (DPF, SCCs; siehe § 10 DSE und Anlage A.2);
• keine Weitergabe personenbezogener Daten an nicht vertraglich gebundene Dritte.

A.1.7 Eingabekontrolle

• systemseitige Protokollierung relevanter Änderungen an personenbezogenen Datensätzen (Zeitstempel, auslösende Nutzerin, Aktion);
• lückenlose Nachvollziehbarkeit von administrativen Eingriffen in Produktivsysteme;
• Schutz der Protokolldaten vor unbefugter Veränderung (Write-Once-Prinzip, separate Zugriffskreise).

A.1.8 Verfügbarkeitskontrolle

• regelmäßige, verschlüsselte Backups (Point-in-Time-Recovery der Datenbank);
• georedundante Datenhaltung in der EU (AWS eu-central-1, Cloudflare-Edge);
• Monitoring von Verfügbarkeit und Performance sowie automatisierte Alarmierung;
• dokumentiertes Incident-Response-Verfahren mit definierten Eskalationsstufen;
• Disaster-Recovery-Konzept mit regelmäßigen Wiederherstellungstests.

A.1.9 Wiederherstellbarkeit

Bei einem sicherheitsrelevanten Vorfall oder Datenverlust ist eine Wiederherstellung betroffener Systeme aus Backups innerhalb definierter Recovery-Time-Objectives (RTO) und Recovery-Point-Objectives (RPO) vorgesehen. Die Wiederherstellungsverfahren werden regelmäßig getestet.

A.1.10 Auftragskontrolle

• mit allen Sub-Verarbeitern werden Auftragsverarbeitungsverträge nach Art. 28 DSGVO geschlossen;
• Sub-Verarbeiter werden sorgfältig ausgewählt und vor Beauftragung auf Datenschutz- und Sicherheitsniveau geprüft;
• dokumentierte Weisungslage gegenüber Sub-Verarbeitern sowie regelmäßige Überprüfung der Einhaltung;
• vollständige Sub-Verarbeiter-Liste abrufbar in Anlage A.2 sowie in § 10 der Datenschutzerklärung (dort Kategorie a).

A.1.11 Datenschutz-Management und Weiterbildung

• interne Datenschutz- und Informationssicherheits-Richtlinien;
• regelmäßige Sensibilisierung und Schulung des Teams;
• Verpflichtung auf Vertraulichkeit gem. Art. 28 Abs. 3 lit. b DSGVO;
• dokumentierter Prozess für Datenschutzverletzungen inkl. Meldung innerhalb von 24 Stunden an den Verantwortlichen (§ 4.6 AVV);
• regelmäßige Überprüfung und Weiterentwicklung der TOM entsprechend dem Stand der Technik.

Diese TOM werden regelmäßig überprüft und an den Stand der Technik angepasst. Änderungen werden dokumentiert und mit dem AVV versioniert.

Anlage A.2 – Liste der genehmigten Sub-Verarbeiter

Stand 21. September 2026. Änderungen werden gemäß § 6.2 mit mindestens dreißig (30) Tagen Vorlauf angekündigt.

• Supabase, Inc. (San Francisco, USA) – Datenbank, Authentifizierung, Backend. Hosting AWS eu-central-1 (Frankfurt). Sub-Processor: Supabase Pte. Ltd., Singapur. Transfergarantie: SCCs (EU 2021/914) Modul 2 + 3.
• Cloudflare, Inc. (San Francisco, USA) – CDN, DNS, Pages, Workers, DDoS-Schutz. Transfergarantie: EU-U.S. Data Privacy Framework + SCCs Modul 2 + 3 + Global PRP.
• Northflank Ltd. (London, Vereinigtes Königreich) – Container-Hosting des Backends. Transfergarantie: UK-Angemessenheitsbeschluss der EU-Kommission (gültig bis 27.12.2031).
• Hetzner Online GmbH (Gunzenhausen, Deutschland) – Server- und Infrastruktur-Hosting für Backend-Dienste. Verarbeitung in Rechenzentren in der EU (Deutschland/Finnland) – kein Drittlandtransfer.
• Weaviate B.V. (Amsterdam, Niederlande) – Vektordatenbank für KI-Matching. Gespeichert werden ausschließlich öffentliche Ausschreibungs- und Vergabedaten; Suchabfragen werden transient verarbeitet und nicht gespeichert. Sitz im EWR – kein Drittlandtransfer.
• Stripe Payments Europe Ltd. (Dublin, Irland) – Zahlungsabwicklung. Etwaige US-Transfers: EU-U.S. Data Privacy Framework + SCCs Modul 1 + 2. Doppelrolle gemäß § 11 DSE.
• Brevo GmbH, Köpenicker Straße 126, 10179 Berlin, Deutschland (USt-ID DE276534027) – Newsletter-Versand und Sammel-Benachrichtigungen. Verarbeitung in der EU.
• Plus Five Five, Inc. (d/b/a Resend, San Francisco, USA) – Versand von Authentifizierungs- und Transaktions-E-Mails. Verarbeitung in den USA (keine EU-Region verfügbar). Transfergarantie: EU-U.S. Data Privacy Framework + SCCs Modul 2.
• Functional Software, Inc. (Sentry, San Francisco, USA) – Fehler-Monitoring und Session Replay (§ 12 DSE), Verarbeitung in EU-Region eu.sentry.io. Transfergarantie: EU-U.S. Data Privacy Framework + SCCs Modul 2 + 3. PII-Scrubbing aktiv (§ 12 DSE).
• Raintank, Inc. (d/b/a Grafana Labs, New York, USA) – Betriebsüberwachung und Alarmierung über Grafana Cloud (§ 12 DSE); Stack in EU-Region. Verarbeitet werden technische Betriebsdaten sowie aggregierte Nutzungskennzahlen; Datenbankzugriff ausschließlich lesend über eine gesondert berechtigte Rolle. Transfergarantie: EU-U.S. Data Privacy Framework + SCCs.
• Google Cloud EMEA Ltd. (Dublin, Irland) – KI-Matching via Gemini / Vertex AI (Paid Tier). Verarbeitung in EU-Region europe-west3 (Frankfurt). Transfergarantie: EU-U.S. Data Privacy Framework + SCCs Modul 1–3. Kein Training mit Kundendaten gem. Google Cloud DPA.
• OpenAI Ireland Ltd. (Dublin, Irland) – KI-gestützte Analyse- und Aufbereitungsfunktionen (API). Etwaige US-Übermittlung an OpenAI, L.L.C.: EU-U.S. Data Privacy Framework + SCCs. Kein Training mit übermittelten Daten gem. OpenAI Data Processing Addendum.
• Anthropic Ireland, Limited (Dublin, Irland) – KI-gestützte Analyse- und Aufbereitungsfunktionen (API, Claude-Modelle). Etwaige US-Übermittlung: EU-Standardvertragsklauseln (SCCs) gem. Anthropic Data Processing Addendum. Kein Training mit übermittelten Daten.

Anlage A.3 – Eigenverantwortliche Verarbeitungen des Anbieters

Die folgenden Verarbeitungen führt der Auftragsverarbeiter nicht im Auftrag des Verantwortlichen, sondern als eigenständiger Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO zu eigenen Zwecken durch (vgl. Art. 28 Abs. 10 DSGVO). Sie unterliegen insoweit nicht der Weisungsbindung nach § 4.1; die Informationspflichten nach Art. 13 und 14 DSGVO erfüllt der Auftragsverarbeiter hierfür selbst, insbesondere über seine Datenschutzerklärung.

A.3.1 Missbrauchserkennung und Durchsetzung der Nutzungsbedingungen

Auswertung von Nutzungs- und Protokolldaten zur Erkennung und Abwehr verbotener Nutzung (§ 5 AGB, insbesondere automatisierter Zugriffe und systematischen Auslesens) sowie zur Durchsetzung der daran anknüpfenden Rechte (Sperre, Vertragsstrafe, Kündigung).

Datenarten

Protokolldaten (IP-Adresse, Zeitstempel, aufgerufene Funktionen, Account-Kennung), Geräte- und Browserinformationen

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz der Plattform-Datenbank und an der Durchsetzung vertraglicher Verbote)

Speicherdauer

Protokolldaten in der Regel 14 Tage (§ 17 DSE); im konkreten Verdachtsfall länger zur Beweissicherung bis zur Klärung

A.3.2 Produktverbesserung in pseudonymisierter Form

Pseudonymisierte Auswertung von Nutzungsdaten zur Produktverbesserung gemäß § 11.4 AGB (z. B. Funktionsnutzung, Trefferquoten, Suchmuster). Aggregierte oder anonymisierte Auswertungen ohne Personenbezug unterliegen nicht der DSGVO.

Datenarten

pseudonymisierte Nutzungsdaten ohne unmittelbare Rückschlussmöglichkeit auf einzelne Personen

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der laufenden Produktverbesserung, § 11.4 AGB)

Speicherdauer

bis zur Aggregation bzw. Anonymisierung, längstens für die Dauer des Vertragsverhältnisses

A.3.3 Abgrenzung und Begrenzung

Maßnahmen der Plattform-IT-Sicherheit einschließlich des Fehler-Monitorings und Session Replays (§ 12 DSE) bleiben Teil der Auftragsverarbeitung und dienen der Erfüllung der Pflichten aus Art. 32 DSGVO (Anlagen A.1 und A.2). Über die in dieser Anlage A.3 genannten Verarbeitungen hinaus verarbeitet der Auftragsverarbeiter personenbezogene Daten aus dem Auftragsverhältnis nicht zu eigenen Zwecken.

Stand: 21. September 2026 · Version 1.2