Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) wird geschlossen zwischen dem Nutzer des Dienstes Kaepsi, einem Gewerbetreibenden oder Handwerksbetrieb, als Verantwortlichem im Sinne des Art. 4 Nr. 7 DSGVO (nachfolgend „Verantwortlicher“) und der vayoblue GmbH, Steigerstraße 57, 66292 Riegelsberg, vertreten durch den Geschäftsführer Stefan Thömmes, als Betreiberin des Dienstes Kaepsi und Auftragsverarbeiterin im Sinne des Art. 4 Nr. 8 DSGVO (nachfolgend „Auftragsverarbeiter“). Er konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 Abs. 3 DSGVO; ergänzend gilt das österreichische Datenschutzgesetz (DSG).

Gegenstand des Vertrags ist die Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung des Dienstes Kaepsi, insbesondere die Erstellung, der Versand und die Verwaltung von Rechnungen, Angeboten, Leistungsnachweisen und Serviceverträgen, die Zeiterfassung sowie die Kunden- und Belegverwaltung. Dieser AVV ist Bestandteil des Nutzungsvertrags (AGB) und tritt mit dessen Abschluss in Kraft; die Zustimmung wird bei der Registrierung versioniert dokumentiert.

Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags. Die Regelungen zur Löschung und Rückgabe (§ 12) sowie gesetzliche Aufbewahrungspflichten bleiben von der Beendigung unberührt.

Die Verarbeitung umfasst das Erheben, Erfassen, Ordnen, Speichern, Auslesen, Verwenden, Übermitteln an die in § 8 genannten Unterauftragsverarbeiter sowie das Löschen personenbezogener Daten. Konkret: Entgegennahme und Auswertung von Nachrichten (Text, Sprachnachrichten, Fotos, Dokumente), KI-gestützte Extraktion von Beleg- und Rechnungsdaten, Erstellung und Versand von PDF-Dokumenten (Rechnungen, Angebote, Leistungsnachweise, Serviceverträge), Zeiterfassung, digitale Signatur von Dokumenten sowie Speicherung in Datenbank- und Objektspeichersystemen.

Zur Leistungserbringung setzt der Auftragsverarbeiter kommerzielle KI-/API-Dienste ein. Mistral AI übernimmt primär die Extraktion von Belegen und eingehenden Rechnungen, optische Texterkennung, Bildauswertung, die Erkennung von Firmendaten bei der Einrichtung des Kontos sowie die Bildung semantischer Suchrepräsentationen (Embeddings). Bei unzureichender Belegerkennung kann Anthropic ergänzend eingesetzt werden. Konversationsführung, Textaufträge und Bilderkennung erfolgen primär über Anthropic (Claude), mit OpenAI als Ausweichsystem. Sprachaufnahmen werden als Audioeingabe primär über Google (Gemini) und bei einem Fehler oder unbrauchbaren Ergebnis ersatzweise über OpenAI in Text umgewandelt. Aktuelle App-Versionen übertragen die vollständige Aufnahme nach dem Beenden; ältere Versionen können noch Abschnitte übertragen. Bis zur Empfangsbestätigung können verschlüsselte lokale Sicherungen auf dem Endgerät bestehen. Auf dem Server können zur Formatumwandlung kurzlebige, nur für den Dienst zugängliche Dateien entstehen; diese werden nach der Verarbeitung gelöscht. Eine dauerhafte Ablage der Audioaufnahme in Datenbank oder Objektspeicher ist nicht vorgesehen. Produktivdaten dürfen vom Auftragsverarbeiter nicht für eigenes oder fremdes Modelltraining freigegeben werden; eine optionale Nutzung zur Modellverbesserung in den API-Angeboten ist zu deaktivieren bzw. ihr ist zu widersprechen. Die Anbieter können Daten nach ihren vertraglichen Bedingungen zeitlich begrenzt zur Sicherheits- und Missbrauchskontrolle oder aufgrund gesetzlicher Pflichten aufbewahren. Eine vollständige sofortige Löschung bei sämtlichen Anbietern wird nicht zugesagt.

Zweck der Verarbeitung ist ausschließlich die Erbringung der vertraglich vereinbarten Leistungen des Dienstes Kaepsi. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt, soweit sie nicht in diesem AVV ausdrücklich geregelt (§ 12 Abs. 3) oder gesetzlich vorgeschrieben ist.

Von der Verarbeitung betroffen sind: (a) Endkunden des Verantwortlichen als Empfänger von Rechnungen, Angeboten, Leistungsnachweisen und Serviceverträgen; (b) Mitarbeitende und Teammitglieder des Verantwortlichen im Rahmen von Zeiterfassung und Abwesenheitsverwaltung; (c) Personen, die Leistungsnachweise oder Serviceverträge digital unterzeichnen; (d) Lieferanten und Rechnungssteller aus eingehenden Belegen und Fremdrechnungen; (e) Ansprechpartner, die auf Rechnungen und Angeboten benannt werden.

Konto-, Vertrags- und Zahlungsdaten des Verantwortlichen selbst verarbeitet der Auftragsverarbeiter als eigener Verantwortlicher; insoweit gilt die Datenschutzerklärung des Dienstes.

Verarbeitet werden: (a) Stamm- und Kontaktdaten der Endkunden: Name, Anschrift, E-Mail-Adresse, Telefonnummer, Steuernummer/USt-IdNr., Leitweg-ID; (b) Auftrags-, Angebots- und Rechnungsdaten: Leistungspositionen, Beträge, Zahlungsinformationen einschließlich IBAN aus Belegen; (c) Kommunikationsinhalte: Nachrichten (Text), Transkripte von Sprachnachrichten, Fotos und Dokumente (z. B. Baustellenfotos, Beleg- und Rechnungsfotos), Unterschriftsbilder; (d) Zeiterfassungs- und Abwesenheitsdaten der Mitarbeitenden einschließlich Freitextnotizen; (e) Signatur- und Auditdaten: Name und E-Mail-Adresse der unterzeichnenden Person, IP-Adresse, Browserkennung (User-Agent), Dokument-Prüfsumme, Einwilligungstext; (f) Adress- und Standortdaten einschließlich daraus abgeleiteter Geokoordinaten; (g) Daten aus eingehenden Fremdrechnungen: Lieferantenname, Anschrift, Beträge, IBAN, Steuerdaten.

Im Rahmen der Abwesenheitsverwaltung können besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) von Mitarbeitenden des Verantwortlichen verarbeitet werden, insbesondere Gesundheitsdaten (Abwesenheitsgrund „krank“ sowie Freitextnotizen). Der Verantwortliche stellt sicher, dass hierfür ein Erlaubnistatbestand nach Art. 9 Abs. 2 DSGVO vorliegt (für österreichische Verantwortliche insbesondere lit. b in Verbindung mit den einschlägigen arbeitsrechtlichen Vorschriften), und weist seine Mitarbeitenden entsprechend hin.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung in ein Drittland (§ 9), sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

Als dokumentierte Weisungen gelten der Nutzungsvertrag, dieser AVV sowie die Nutzung der Funktionen des Dienstes durch den Verantwortlichen (z. B. das Einreichen einer Nachricht, eines Belegs oder einer Sprachnachricht). Weitergehende Einzelweisungen bedürfen der Textform und sind an datenschutz@vayoblue.com zu richten.

Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO) und ist berechtigt, die Ausführung bis zur Bestätigung oder Änderung der Weisung auszusetzen.

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO). Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung der jeweiligen Tätigkeit fort.

Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung die folgenden technischen und organisatorischen Maßnahmen. Eine Weiterentwicklung der Maßnahmen ist zulässig, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

Verschlüsselung: Sämtliche Datenübertragungen erfolgen transportverschlüsselt (TLS); der Objektspeicher (Datei-, Foto- und PDF-Ablage) ist at-rest verschlüsselt. Einmal-Anmeldecodes (OTP) sind auf fünf Minuten befristet und werden nach fünf Fehlversuchen ungültig; Signatur- und Magic-Link-Tokens werden ausschließlich als kryptographischer Hash gespeichert.

Zugriffs- und Zugangskontrolle: Rollenbasierte Berechtigungen nach dem Least-Privilege-Prinzip; administrativer Zugriff nur für benannte Administratoren über schlüsselbasierte Authentifizierung; Zugangsdaten und Schlüssel werden zugriffsbeschränkt verwaltet.

Zutritts- und Infrastrukturkontrolle: Betrieb der gesamten Kerninfrastruktur (Datenbank, Cache, Objektspeicher, Anwendungsserver) in nach ISO/IEC 27001 zertifizierten Rechenzentren der Schwarz Digits Cloud GmbH & Co. KG (STACKIT) in Deutschland (Region eu01).

Trennungskontrolle: Logische Mandantentrennung; jeder Datenzugriff ist konsequent auf das jeweilige Nutzerkonto beschränkt.

Pseudonymisierung und Datenminimierung: Nachrichteninhalte, Transkripte und Freitextnotizen werden 90 Tage nach Eingang automatisiert anonymisiert (die betriebswirtschaftlichen Kerndaten wie erfasste Arbeitszeiten bleiben erhalten); Sprachnachrichten werden nach der Transkription nicht dauerhaft gespeichert; die Missbrauchsprüfung der Willkommens-Garantie erfolgt ausschließlich über pseudonymisierte kryptographische Prüfsummen (SHA-256) statt Klardaten, die spätestens fünf Jahre nach ihrer Erfassung durch einen automatischen Löschlauf gelöscht werden.

Verfügbarkeit und Belastbarkeit: Regelmäßige Backups in deutschen Rechenzentren; laufendes Monitoring mit automatischer Alarmierung; redundante Anbindung der KI-Anbieter (automatischer Ausfall-Fallback) zur Aufrechterhaltung des Dienstes.

Eingabekontrolle: Revisionsfähige Auditprotokolle, insbesondere bei digitalen Signaturen (Zeitstempel, IP-Adresse, Browserkennung, Dokument-Prüfsumme, Wortlaut der Einwilligung).

Vorfallmanagement: Dokumentierter Prozess zur Erkennung, Bewertung und Meldung von Sicherheitsvorfällen mit unmittelbarer interner Alarmierung (siehe § 11).

Der Verantwortliche erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO) zum Einsatz der nachfolgend aufgeführten Unterauftragsverarbeiter. Mit jedem eingesetzten Unterauftragsverarbeiter werden Verträge zur Auftragsverarbeitung geschlossen, die diesem im Wesentlichen dieselben Datenschutzpflichten auferlegen wie dieser AVV (Art. 28 Abs. 4 DSGVO). Angegeben sind jeweils Zweck, Sitz/Verarbeitungsort und Transfermechanismus:

1.Schwarz Digits Cloud GmbH & Co. KG (Dienst „STACKIT“), Am Campus 1, 74177 Bad Friedrichshall. Zweck: Hosting und Infrastruktur, nämlich Datenbank (PostgreSQL), Sitzungs-/Konversationsspeicher, Objektspeicher (PDFs, Fotos, Logos, Unterschriftsbilder), Containerbetrieb. Sitz/Verarbeitungsort: Deutschland (Region eu01). Transfermechanismus: EU; AVV nach Art. 28 DSGVO, kein Drittlandtransfer.

2.Mistral AI SAS, Paris, Frankreich. Zweck: primäre KI-Extraktion von Belegen und eingehenden Rechnungen (Lieferant, Betrag, Datum, Kategorie), optische Texterkennung (OCR), Bildauswertung, die Erkennung von Firmendaten bei der Einrichtung des Kontos und semantische Suchrepräsentationen (Embeddings). Sitz: Frankreich (EU). Verarbeitung nach den vereinbarten API-/DPA-Bedingungen; für mögliche Drittlandübermittlungen gilt § 9.

3.Anthropic Ireland, Limited, Irland (Dienst „Claude“). Zweck: primäres KI-Modell für Konversationsführung, Textaufträge und Bilderkennung (Foto-zu-Rechnung), ergänzende Belegextraktion. Verarbeitung kann auch durch Konzerngesellschaften und Unterauftragsverarbeiter außerhalb des EWR, insbesondere in den USA, erfolgen. Transfermechanismus: DPA und die in § 9 genannten Garantien.

4.OpenAI Ireland Ltd., Irland. Zweck: Ausweichsystem für Audioeingaben zur Sprachverarbeitung sowie für Konversationsführung, Textaufträge und Bilderkennung. Verarbeitung kann auch durch Konzerngesellschaften und Unterauftragsverarbeiter außerhalb des EWR, insbesondere in den USA, erfolgen. Transfermechanismus: DPA und die in § 9 genannten Garantien.

5.Google Cloud EMEA Limited, Irland (Dienst „Gemini“, kostenpflichtige Gemini API). Zweck: primäre Verarbeitung von Audioeingaben zur Umwandlung von Sprache in Text. Verarbeitung kann auch durch Konzerngesellschaften und Unterauftragsverarbeiter außerhalb des EWR, insbesondere in den USA, erfolgen. Transfermechanismus: DPA und die in § 9 genannten Garantien.

6.Google LLC (Maps Platform). Zweck: Geokodierung, Entfernungsberechnung (Anfahrtskosten) und Validierung von Nutzer- und Endkundenadressen. Sitz/Verarbeitungsort: USA. Transfermechanismus: DPA + EU-Standardvertragsklauseln (2021).

7.Lettermint B.V., Willemsvaart 16 B, 8019 AB Zwolle, Niederlande. Zweck: transaktionaler E-Mail-Versand (Dokumente, Benachrichtigungen) und E-Mail-Eingang von Belegen und Eingangsrechnungen über eine dem Betrieb zugeordnete Empfangsadresse; Weiterleitung an Kaepsi über einen signierten Webhook. Sitz/Verarbeitungsort: Niederlande/EU; nach dem AVV von Lettermint werden E-Mail-Daten in der EU durch dessen Infrastruktur und Dienst-Unterauftragsverarbeiter verarbeitet. Die Zustellung an vom Verantwortlichen gewählte Empfänger außerhalb der EU oder des EWR kann Daten an deren E-Mail-Systeme übermitteln. Die aktuelle Liste der Unterauftragsverarbeiter von Lettermint steht unter lettermint.co/subprocessors.

8.seven communications GmbH & Co. KG (seven.io). Zweck: Versand von Anmeldecodes (Einmalpasswort) per SMS an die eigene Mobilnummer des Nutzers sowie auf Anforderung des Betriebsinhabers von Betriebseinladungen an die eigene Mobilnummer des Mitglieds. Übermittelt werden die Mobilnummer und entweder der Einmal-Anmeldecode oder der Betriebsname (ersatzweise der Name des einladenden Inhabers) zusammen mit dem einmalig verwendbaren Einladungs- bzw. Registrierungslink. Sitz/Verarbeitungsort: Deutschland (Kiel). Transfermechanismus: EU; AVV nach Art. 28 DSGVO, kein Drittlandtransfer.

9.BunnyWay d.o.o. Zweck: Auslieferung aller öffentlichen Hostnamen über das Content-Delivery-Netz, DNS, TLS-Terminierung, Web Application Firewall und Zwischenspeicherung statischer Inhalte; verarbeitet werden IP-Adresse, Zeitstempel, angefragte Adresse und Browserkennung. Sitz/Verarbeitungsort: Slowenien (EU). Transfermechanismus: EU; AVV nach Art. 28 DSGVO, kein Drittlandtransfer.

10.Scaleway SAS. Zweck: genau eine unabhängige, unveränderliche Offsite-Sicherung der Kerndaten (Object Lock, WORM), ausschließlich zur Wiederherstellung. Sitz/Verarbeitungsort: Frankreich (EU, Region fr-par). Transfermechanismus: EU; AVV nach Art. 28 DSGVO, kein Drittlandtransfer.

Keine Unterauftragsverarbeiter im Sinne dieses Vertrags sind: GitHub, Inc. (Microsoft) für Build- und Deployment-Prozesse (dort werden ausschließlich Quellcode und Konfigurationsdaten, keine personenbezogenen Daten des Verantwortlichen verarbeitet) sowie Telegram für interne Betriebsalarme, an das ausschließlich aggregierte Betriebsmetriken und Fehlercodes ohne Personenbezug übermittelt werden. Die Zahlungsabwicklung über Mollie B.V. betrifft ausschließlich Konto-, Vertrags- und Zahlungsdaten des Verantwortlichen selbst, die der Auftragsverarbeiter nach § 3 Abs. 2 als eigener Verantwortlicher verarbeitet; Mollie ist daher ebenfalls kein Unterauftragsverarbeiter im Sinne dieses Vertrags (Einzelheiten in der Datenschutzerklärung des Dienstes).

Über eine nach Vertragsschluss beabsichtigte Ergänzung oder den Austausch der bei Vertragsschluss genehmigten Unterauftragsverarbeiter informiert der Auftragsverarbeiter den Verantwortlichen mindestens 30 Tage vor deren Einsatz (jeweils aktuelle Liste unter kaepsi.com/de/avv). Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichen Grund binnen 30 Tagen in Textform widersprechen. Kann dem Widerspruch nicht durch zumutbare Maßnahmen abgeholfen werden, steht dem Verantwortlichen ein Sonderkündigungsrecht zum Zeitpunkt des Wirksamwerdens der Änderung zu.

Die Kerndatenhaltung (Datenbank, Cache, Objektspeicher, Anwendungsbetrieb) erfolgt in Deutschland; die unveränderliche Offsite-Sicherung liegt in Frankreich (Scaleway), die Auslieferung über das Content-Delivery-Netz erfolgt über Bunny (Slowenien). Die in § 8 benannten KI-Vertragspartner haben ihren Sitz in Frankreich bzw. Irland. Daraus folgt keine Beschränkung sämtlicher KI-Verarbeitung auf die EU: Konzerngesellschaften und Unterauftragsverarbeiter können Daten auch in Drittländern, insbesondere in den USA, verarbeiten.

Soweit personenbezogene Daten in ein Drittland ohne einschlägigen Angemessenheitsbeschluss übermittelt werden, sind die einschlägigen EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, bei der Weitergabe vom Auftragsverarbeiter an Unterauftragsverarbeiter insbesondere Modul 3) und erforderliche ergänzende Maßnahmen einzusetzen. Dazu gehören Transportverschlüsselung und Zweckbindung. Soweit eine Übermittlung an einen nach dem EU-US Data Privacy Framework zertifizierten Empfänger von dessen Zertifizierung erfasst ist, kann der Angemessenheitsbeschluss der Kommission die Grundlage bilden. Der Verantwortliche erteilt zu den in diesem AVV beschriebenen Übermittlungen mit Abschluss dieses AVV seine dokumentierte Weisung (Art. 28 Abs. 3 lit. a DSGVO).

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Betroffenenrechte nach Kapitel III der DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Anträge betroffener Personen, die unmittelbar beim Auftragsverarbeiter eingehen, leitet er unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst, sofern keine Weisung vorliegt.

Der Dienst stellt hierfür insbesondere bereit: die Berichtigung und Löschung einzelner Endkunden- und Belegdaten über die Funktionen des Dienstes, den Export erstellter Dokumente sowie einen automatisierten, vollständigen Löschprozess für das gesamte Konto einschließlich aller Endkundendaten.

Der Auftragsverarbeiter unterstützt den Verantwortlichen ferner unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die im Rahmen dieses AVV verarbeitete Daten betrifft, unverzüglich nach Kenntniserlangung, in der Regel binnen 48 Stunden. Die Meldung enthält, soweit verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO (Art der Verletzung, Kategorien und ungefähre Anzahl der Betroffenen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Abhilfemaßnahmen); Informationen können schrittweise nachgereicht werden.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen Melde- und Benachrichtigungspflichten gegenüber Aufsichtsbehörde und Betroffenen, dokumentiert alle Verletzungen einschließlich der Abhilfemaßnahmen und nimmt Meldungen gegenüber Behörden oder Betroffenen nicht ohne vorherige Weisung des Verantwortlichen vor, es sei denn, er ist hierzu gesetzlich verpflichtet.

Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie in einem gängigen, strukturierten Format heraus und löscht anschließend vorhandene Kopien. Die Wahl ist innerhalb von 30 Tagen nach Vertragsende zu treffen; dieser Zeitraum entspricht dem Exportfenster des Dienstes. Trifft der Verantwortliche binnen dieser 30 Tage keine Wahl, werden die Daten anschließend vollständig gelöscht. Die Löschung wird dem Verantwortlichen auf Verlangen schriftlich bestätigt.

Von der Löschung ausgenommen sind Daten, deren Aufbewahrung gesetzlich vorgeschrieben ist (für österreichische Verantwortliche insbesondere unternehmens- und abgabenrechtliche Aufbewahrungspflichten nach § 212 UGB und § 132 BAO für Rechnungen und Buchungsbelege); diese Daten werden für die Dauer der Aufbewahrungsfrist gesperrt und nur für den Aufbewahrungszweck verarbeitet. Einwilligungs- und Signaturnachweise werden als Rechenschaftsnachweis (Art. 5 Abs. 2 DSGVO) für die Dauer der Geschäftsbeziehung und die anschließende regelmäßige Verjährungsfrist von drei Jahren (§ 195 BGB; deutsche Rechtswahl nach § 15) aufbewahrt.

Zur Verhinderung einer mehrfachen Inanspruchnahme der Willkommens-Garantie (Geltendmachung innerhalb von 30 Tagen ab Vertragsschluss; einmalig je Unternehmen und Mobilnummer; mit der Geltendmachung endet der Vertrag) speichert der Auftragsverarbeiter als eigener Verantwortlicher auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO ausschließlich kryptographische Prüfsummen (SHA-256) von Rufnummer, IBAN und Steuernummern. Es handelt sich um pseudonymisierte Prüfwerte, die keine Klardaten enthalten und ohne Vergleichswert keine Identifizierung erlauben. Sie bleiben von der Löschung und Rückgabe nach diesem § 12 unberührt, werden jedoch spätestens fünf Jahre nach ihrer Erfassung gelöscht; ein automatischer Löschlauf setzt diese Frist durch.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind (Art. 28 Abs. 3 lit. h DSGVO). Der Nachweis erfolgt vorrangig durch aktuelle Selbstauskünfte, die Dokumentation der technischen und organisatorischen Maßnahmen (§ 7) sowie Zertifikate und Prüfberichte der Unterauftragsverarbeiter (z. B. ISO/IEC-27001-Zertifizierung der Rechenzentren).

Der Verantwortliche ist berechtigt, die Einhaltung dieses AVV höchstens einmal je Kalenderjahr (bei konkretem Anlass, insbesondere nach einer Datenschutzverletzung oder auf behördliche Anordnung, auch häufiger) nach vorheriger Ankündigung mit einer Frist von 30 Tagen während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs selbst oder durch einen zur Verschwiegenheit verpflichteten, nicht im Wettbewerb zum Auftragsverarbeiter stehenden Prüfer zu kontrollieren. Der Auftragsverarbeiter kann für die Unterstützung von Kontrollen, die über die Bereitstellung vorhandener Nachweise hinausgehen, eine angemessene Vergütung verlangen.

Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei entsprechend ihrem Anteil an der Verantwortung für den Schaden; wird eine Partei für einen Schaden in Anspruch genommen, den die andere Partei allein zu verantworten hat, stellt diese sie insoweit frei.

Im Übrigen gelten die Haftungsregelungen des Nutzungsvertrags (AGB) auch für diesen AVV.

Bei Widersprüchen zwischen diesem AVV und dem Nutzungsvertrag gehen die Regelungen dieses AVV in datenschutzrechtlichen Fragen vor. Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; anstelle der unwirksamen Bestimmung gilt die gesetzliche Regelung.

Es gilt das Recht der Bundesrepublik Deutschland. Ausschließlicher Gerichtsstand ist, soweit gesetzlich zulässig, Saarbrücken. Maßgeblich ist die deutsche Fassung dieses AVV; Übersetzungen dienen der Information. Kontakt in Datenschutzfragen: datenschutz@vayoblue.com.

Dieser AVV trägt die Version avv-v7-2026-10. Die jeweils aktuelle Fassung einschließlich der Liste der Unterauftragsverarbeiter ist unter kaepsi.com/de/avv abrufbar.