Auftragsverarbeitungsvertrag (AVV)

Stand: 2026-09-16

Dokumentenkennung: ergibt sich aus dem Signaturnachweis (Yousign); Textfassung vom 2026-09-16

Vertragsparteien: Fabio Hossli (Einzelunternehmen nach Schweizer Recht), Produktname sicherAI, Unterdorfstrasse 10, 5082 Kaisten, Schweiz (Kanton Aargau), UID CHE-410.145.754, nicht im Handelsregister eingetragen (bei Schweizer Einzelunternehmen unter 100 000 CHF Jahresumsatz nicht pflichtig) und dem Kunden, das heißt der Organisation, für die diese AVV in sicherAI unterzeichnet wird; Firma, Rechtsform, Anschrift und Registerangaben ergeben sich aus dem Organisationsprofil und dem Signaturnachweis (Yousign)

Kontakt des Anbieters: support@sicherai.com; Datenschutzkontakt: datenschutz@sicherai.com.

Präambel

Diese AVV ergänzt den Rahmenvertrag ("Vertrag") zwischen Fabio Hossli (Einzelunternehmen nach Schweizer Recht) ("Anbieter") und dem Kunden, der auf diese AVV Bezug nimmt (Anbieter und der Kunde zusammen die "Parteien"). Diese AVV tritt automatisch mit dem Abschluss des Vertrages in Kraft und gilt ab demselben Datum wie der Vertrag. Im Rahmen der Erfüllung des Vertrages verarbeitet Anbieter die vom Kunden bereitgestellten personenbezogenen Daten. Die Parteien vereinbaren, dass Anbieter solche personenbezogenen Daten im Auftrag des Kunden verarbeitet, entweder als Auftragsverarbeiter, wenn der Kunde Verantwortlicher ist, oder als Unterauftragsverarbeiter, wenn der Kunde seinerseits ein Auftragsverarbeiter ist. Daher gilt diese AVV, wenn und soweit Anbieter bei der Erbringung von Dienstleistungen im Rahmen des Vertrags personenbezogene Daten für den Kunden verarbeitet. Die Parteien vereinbaren, dass diese AVV alle bestehenden Datenschutzbestimmungen ersetzt, die die Parteien zuvor in Verbindung mit den Dienstleistungen abgeschlossen haben.

1. Definitionen

1.1 "Kundendaten" sind alle personenbezogenen Daten, die im Rahmen der Nutzung der Dienstleistungen hochgeladen werden und die Anbieter im Rahmen der Erbringung der Dienstleistungen im Auftrag des Kunden verarbeitet.

1.2 "Verantwortlicher" ist die Person oder Gesellschaft, die die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt.

1.3 "Auftragsverarbeiter" ist die Person oder Gesellschaft, die personenbezogene Daten im Auftrag eines für die Datenverarbeitung Verantwortlichen verarbeitet.

1.4 "Datenschutzgesetze" sind alle Datenschutzgesetze, die auf die Verarbeitung personenbezogener Daten anwendbar sind. Für die EU und den EWR umfasst dies insbesondere die Datenschutz-Grundverordnung (DSGVO) und die e-Privacy-Richtlinie 2002/58/EG sowie die lokalen Gesetze der Mitgliedstaaten zum Datenschutz.

1.5 "EWR" ist der Europäischen Wirtschaftsraum.

1.6 "EU" ist die Europäische Union.

1.7 "Personenbezogene Daten" sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

1.8 "Verarbeitung" hat die in der DSGVO festgelegte Bedeutung und umfasst jeden Vorgang oder jede Reihe von Vorgängen, die mit personenbezogenen Daten durchgeführt werden, wie das Erheben, das Erfassen, die Organisation, die Strukturierung, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung oder das Löschen von personenbezogenen Daten.

1.9 "Sicherheitsvorfall" ist jede unbefugte oder unrechtmäßige Verletzung der Sicherheit, die zur versehentlichen oder unrechtmäßigen Zerstörung, zum Verlust, zur Änderung, zur unbefugten Offenlegung von oder zum Zugriff auf Kundendaten führt.

1.10 "Dienstleistungen" hat die im Vertrag festgelegte Bedeutung.

1.11 "SCC" sind die im Anhang des Durchführungsbeschlusses (EU) 2021/914 der Kommission vom 4. Juni 2021 enthaltenen Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer.

1.12 "Unterauftragsverarbeiter" ist jeder Auftragsverarbeiter, der von Anbieter beauftragt wird, um bei der Erbringung der Dienstleistungen zu unterstützen.

2. Gegenstand dieser AVV

2.1 Diese AVV legt die Rechte und Pflichten der Parteien in Bezug auf die Verarbeitung von Kundendaten durch Anbieter im Zusammenhang mit der Erbringung der Dienstleistungen fest.

2.2 Zu diesem Zweck beauftragt der Kunde hiermit Anbieter als Auftragsverarbeiter, wenn der Kunde als Verantwortlicher handelt, oder als Unterauftragsverarbeiter, wenn der Kunde seinerseits als Auftragsverarbeiter handelt.

2.3 Diese AVV gilt für alle Kundendaten gemäß Spezifikation in Anlage 1, auf die Anbieter während der Erbringung der Dienstleistungen Zugriff hat. Dazu gehören Kundendaten, die Anbieter vom Kunden für die Erbringung der Dienstleistungen zur Verfügung gestellt werden, Kundendaten, die von Anbieter während der Erbringung der Dienstleistungen generiert werden, oder Kundendaten, die Anbieter auf andere Weise, z. B. direkt von betroffenen Personen, im Rahmen der Erbringung der Dienstleistungen Zugriff erhält. Diese AVV gilt nicht für Daten, die nicht als Kundendaten gelten, einschließlich nicht personenbezogener Daten, die vom Kunden zur Verfügung gestellt werden, oder Daten, die nicht als Teil der Dienstleistungen verarbeitet werden.

3. Grundsatz der Verarbeitung im Auftrag des Kunden

3.1 Anbieter ergreift geeignete technische und organisatorische Maßnahmen, um sicherzustellen, dass die Verarbeitung von Kundendaten den Anforderungen der geltenden Datenschutzgesetze entspricht und die Rechte der betroffenen Personen gewahrt werden.

3.2 Die Verarbeitung von Kundendaten durch Anbieter und ggf. beauftragte Unterauftragsverarbeiter erfolgt grundsätzlich im Gebiet des EWR. Übertragungen von Kundendaten in ein Drittland außerhalb des EWR finden nur statt, wenn Anbieter die Einhaltung der Anforderungen der geltenden Datenschutzgesetze sicherstellt und wenn solche Übertragungen durch eine geeignete Rechtsgrundlage gestützt werden, wie z. B. einen Angemessenheitsbeschluss, SCC oder andere geltende Garantien.

3.3 Der Kunde ist für die Rechtmäßigkeit der Verarbeitung der Kundendaten sowie für die Wahrung der Rechte der Betroffenen im Verhältnis der Parteien allein verantwortlich. Sollten Dritte gegen Anbieter aufgrund der Verarbeitung von Kundendaten nach Maßgabe dieser AVV Ansprüche geltend machen, wird der Kunde Anbieter von solchen Ansprüchen freistellen.

4. Weisungsrecht des Kunden

4.1 Die unter diese AVV fallenden Kundendaten werden nur in Übereinstimmung mit dokumentierten Weisungen des Kunden verarbeitet, einschließlich Weisungen zur Übermittlung von Kundendaten in ein Drittland. Wenn Anbieter nach geltendem Recht verpflichtet ist, Kundendaten ohne solche Weisungen zu verarbeiten, wird Anbieter den Kunden vor der Verarbeitung über die gesetzliche Verpflichtung informieren, es sei denn, eine solche Mitteilung ist aus Gründen des öffentlichen Interesses gesetzlich verboten.

4.2 Das Weisungsrecht des Kunden hinsichtlich Art, Umfang und Verfahren der Verarbeitung von Kundendaten ist auf den in dieser AVV und im Vertrag festgelegten Umfang beschränkt. Stimmt Anbieter einer darüber hinausgehenden Weisung zu, so hat der Kunde Anbieter die damit verbundenen Kosten und Aufwendungen zu ersetzen.

4.3 Der Kunde erteilt seine Anweisungen schriftlich, per E-Mail (in Textform) oder über die Nutzung der Funktionalitäten der Dienstleistungen.

4.4 Anbieter darf Kundendaten nicht für andere Zwecke als die Erbringung der Dienstleistungen verwenden. Diese Einschränkung gilt nicht für Sicherungskopien, die zur Sicherstellung einer ordnungsgemäßen Verarbeitung erforderlich sind, oder für Daten, die zur Erfüllung gesetzlicher Aufbewahrungspflichten aufbewahrt werden, oder für anonymisierte oder aggregierte Daten, die nicht wieder identifiziert werden können und ausschließlich für interne Geschäftszwecke, wie z. B. Analysen oder Serviceverbesserungen, verwendet werden. Kundendaten sowie daraus gewonnene anonymisierte oder aggregierte Daten werden nicht zum Training von KI-Modellen verwendet.

5. Unterauftragsverarbeiter

5.1 Anbieter wird ohne vorherige schriftliche Zustimmung des Kunden, die entweder als Einzelzustimmung oder als generelle Zustimmung erteilt werden kann, keinen Unterauftragsverarbeiter einschalten

5.2 Der Kunde erteilt hiermit seine Zustimmung zur Beauftragung der in Anlage 2 aufgeführten Unterauftragsverarbeiter mit Wirkung ab dem Datum dieser AVV.

5.3 Der Kunde erteilt hiermit auch seine allgemeine Zustimmung zur Beauftragung weiterer Unterauftragsverarbeiter. Anbieter informiert den Kunden mindestens 30 Tage vor der erstmaligen Verarbeitung durch einen neuen Unterauftragsverarbeiter über alle beabsichtigten Änderungen der Liste der Unterauftragsverarbeiter, einschließlich der Hinzufügung oder des Austauschs eines Unterauftragsverarbeiters, und gibt dem Kunden die Möglichkeit, gegen diese Änderungen Einspruch zu erheben. Der Kunde kann aus angemessenen Gründen innerhalb von 14 Tagen nach der Benachrichtigung schriftlich Einspruch erheben, und die Parteien werden nach Treu und Glauben zusammenarbeiten, um den Einspruch zu lösen.

5.4 Beauftragt Anbieter einen Unterauftragsverarbeiter mit der Durchführung bestimmter Verarbeitungstätigkeiten im Auftrag des Kunden, so legt Anbieter dem Unterauftragsverarbeiter dieselben Datenschutzverpflichtungen auf, wie sie in dieser AVV festgelegt sind. Dies erfolgt durch einen Vertrag oder ein anderes rechtsverbindliches Instrument gemäß den geltenden Datenschutzgesetzen, wobei sichergestellt wird, dass der Unterauftragsverarbeiter ausreichende Garantien bietet, insbesondere die Umsetzung geeigneter technischer und organisatorischer Maßnahmen zur Einhaltung der Anforderungen der DSGVO und anderer geltender Datenschutzgesetze. Die Vertragsparteien stellen klar, dass es ausreicht, wenn das vom Unterauftragsverarbeiter gebotene Schutzniveau dem Schutzniveau gemäß dieser AVV entspricht.

5.5 Unterliegt die Beauftragung von Unterauftragsverarbeitern durch Anbieter den Artikeln 44 ff. DSGVO, schließt Anbieter, soweit erforderlich, das anwendbaren SCC und stellt sicher, dass seine Unterauftragsverarbeiter geeignete technische und organisatorische Maßnahmen ergreifen, um die Einhaltung der geltenden Datenschutzgesetze zu gewährleisten.

5.6 Für den Fall, dass die SCC ungültig werden oder anderweitig nicht mehr als gültiger Datenübermittlungsmechanismus unter der DSGVO oder anderen Datenschutzgesetzen anerkannt sind, kann Anbieter auf jede alternative Garantie zurückgreifen, die unter den Datenschutzgesetzen zugelassen ist, wie z. B. verbindliche unternehmensinterne Regeln (BCR) oder andere angemessene Schutzmaßnahmen oder Ausnahmen, die unter Kapitel V der DSGVO oder entsprechenden Datenschutzgesetzen zulässig sind.

5.7 Kommt ein Unterauftragsverarbeiter seinen Datenschutzverpflichtungen nicht nach, ist Anbieter dem Kunden gegenüber dafür verantwortlich.

5.8 Die Beauftragung eines Dritten mit der Erbringung von Nebenleistungen (z. B. Telekommunikation, Wartung, Benutzerunterstützung, Reinigung, Prüfung oder Entsorgung von Datenträgern) gilt nicht als Beauftragung eines Unterauftragsverarbeiters. Anbieter stellt jedoch sicher, dass geeignete rechtliche Vereinbarungen bestehen und Kontrollmaßnahmen ergriffen werden, um die Sicherheit und Vertraulichkeit der Kundendaten zu schützen, wenn Dritte solche Nebenleistungen erbringen.

6. Kontrollrechte des Kunden

6.1 Anbieter verpflichtet sich, auf schriftliche Anfrage des Kunden innerhalb eines angemessenen Zeitraums die Informationen zur Verfügung zu stellen, die erforderlich sind, um die Einhaltung der Verpflichtungen aus dieser AVV nachzuweisen.

6.2 Der Kunde oder ein vom Kunden beauftragter Prüfer kann die Einhaltung dieser AVV durch Anbieter überprüfen. Die Prüfungen werden während der regulären Geschäftszeiten und in einer Weise durchgeführt, die den Betrieb von Anbieter so wenig wie möglich stört.

6.3 Anbieter kann zum Nachweis der Einhaltung dieser AVV aktuelle Prüfzeugnisse, Berichte oder Auszüge daraus von unabhängigen Stellen (z.B. Wirtschaftsprüfern, Datenschutzbeauftragten, IT-Sicherheitsabteilungen oder Datenschutzauditoren) oder geeignete Zertifizierungen aus anerkannten IT-Sicherheits- oder Datenschutzaudits vorlegen.

7. Verpflichtung zur Vertraulichkeit

Anbieter gewährleistet, dass alle Personen, die zur Verarbeitung von Kundendaten im Rahmen dieser AVV berechtigt sind, zur Vertraulichkeit verpflichtet sind, entweder durch vertragliche Verpflichtungen oder durch gesetzliche Verschwiegenheitspflichten.

8. Technische und organisatorische Maßnahmen

8.1 Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung sowie der unterschiedlichen Wahrscheinlichkeit und Schwere von Risiken für die Rechte und Freiheiten der betroffenen Personen werden sowohl der Kunde als auch Anbieter in ihrem jeweiligen Verantwortungsbereich geeignete technische und organisatorische Maßnahmen ergreifen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, insbesondere im Hinblick auf Sicherheitsvorfälle.

8.2 Die von Anbieter getroffenen technischen und organisatorischen Maßnahmen sind in Anlage 3 aufgeführt. Der Kunde bestätigt, dass diese Maßnahmen die Anforderungen erfüllen und ein angemessenes Schutzniveau für die Verarbeitung von Kundendaten gewährleisten.

8.3 Anbieter ist jederzeit berechtigt, die technischen und organisatorischen Maßnahmen durch gleich- oder höherwertige Maßnahmen zu ersetzen, sofern diese den Anforderungen der Ziffer 8 genügen.

9. Informationspflichten von Anbieter

9.1 Anbieter wird den Kunden unverzüglich informieren, wenn Anbieter Kenntnis von einem Sicherheitsvorfall erhält.

10. Aufgaben zur Unterstützung des Kunden

10.1 Unter Berücksichtigung der Art der Verarbeitung unterstützt Anbieter den Kunden mit angemessenen technischen und organisatorischen Maßnahmen bei der Erfüllung der Verpflichtungen des Kunden zur Beantwortung von Anfragen der betroffenen Personen und anderer Verpflichtungen nach den Datenschutzgesetzen.

10.2 Anbieter wird den Kunden unverzüglich informieren, wenn Anbieter der Auffassung ist, dass eine vom Kunden erteilte Weisung gegen Datenschutzgesetze verstößt

11. Laufzeit

11.1 Diese AVV tritt automatisch mit dem Abschluss des Vertrages in Kraft und bleibt mindestens für die Dauer des Vertrages in Kraft, sofern nichts anderes bestimmt ist.

11.2 Eine vorzeitige oder anderweitige Beendigung des Vertrages, gleich aus welchem Grund, hat die automatische Beendigung dieser AVV zur Folge. Die Bestimmungen dieser AVV bleiben jedoch insoweit in Kraft, als dies erforderlich ist, um den ordnungsgemäßen Abschluss der Verarbeitung von Kundendaten im Rahmen dieser AVV in Übereinstimmung mit den Datenschutzgesetzen zu gewährleisten, insbesondere in Bezug auf die Löschung oder Rückgabe von Kundendaten. Sobald eine solche Verarbeitung abgeschlossen ist, endet diese AVV ohne weitere Mitteilung.

12. Verpflichtung zur Löschung und Rückgabe nach Beendigung

Nach Beendigung der Dienstleistungen wird Anbieter nach Weisung des Kunden alle Kundendaten entweder löschen oder zurückgeben. Der Kunde muss Anbieter innerhalb von 30 Tagen nach Beendigung der Dienstleistungen über seine Wahl informieren. Erfolgt innerhalb dieser Frist keine Mitteilung, kann Anbieter die Kundendaten löschen, es sei denn, das geltende Recht schreibt eine weitere Speicherung vor. Aufbewahrungs- und Archivierungspflichten nach geltendem Recht bleiben hiervon unberührt. Anbieter wird die Löschung oder Rückgabe auf Anfrage des Kunden bestätigen.

13. Datenschutzkontakt

Ein Datenschutzbeauftragter ist nicht bestellt; bei der Größe des Einzelunternehmens besteht keine Pflicht zur Bestellung. Datenschutzkontakt des Anbieters ist datenschutz@sicherai.com.

14. Vergütung

14.1 Alle von Anbieter im Rahmen dieser AVV erbrachten Leistungen sind vollständig durch die im Vertrag vereinbarte Vergütung abgegolten, sofern in dieser AVV nicht ausdrücklich etwas anderes bestimmt ist.

14.2 Soweit Leistungen im Rahmen dieser AVV als vergütungspflichtig bezeichnet sind, werden diese Leistungen nach Aufwand zu den im Vertrag vereinbarten Sätzen vergütet. Sind keine Vergütungssätze vereinbart, gelten die in der Leistungsbeschreibung unter https://app.sicherai.com/limits ausgewiesenen Sätze, hilfsweise 150 EUR je angefangener Stunde.

15. Haftung

15.1 Die Haftungsbestimmungen des Vertrages gelten entsprechend für dieses AVV.

15.2 Behördliche Strafen oder Bußgelder, die direkt gegen den Kunden verhängt werden, können von Anbieter nicht zurückgefordert werden, es sei denn, sie sind auf einen Verstoß von Anbieter gegen diese AVV oder Datenschutzgesetze zurückzuführen. In solchen Fällen ist die Haftung von Anbieter auf das Mitverschulden beschränkt, das durch eine rechtskräftige Entscheidung eines zuständigen Gerichts oder einer zuständigen Behörde festgestellt wird, und unterliegt den Haftungsbestimmungen des Vertrags.

16. Schlussbestimmungen

16.1 Diese AVV ist integraler Bestandteil des Vertrages. Im Falle eines Widerspruchs zwischen den Bestimmungen des Vertrages und dieser AVV haben die Bestimmungen dieser AVV ausschließlich in Bezug auf die Verarbeitung von Kundendaten Vorrang.

16.2 Anbieter behält sich das Recht vor, diese AVV bei Bedarf zu ändern, um Änderungen der geltenden Datenschutzgesetze, regulatorischen Anforderungen oder verbindlichen Entscheidungen der zuständigen Aufsichtsbehörden Rechnung zu tragen. Anbieter wird den Kunden mindestens 30 Tage im Voraus schriftlich oder in Textform (z.B. per E-Mail) über solche Änderungen informieren, es sei denn, eine sofortige Änderung ist gesetzlich oder regulatorisch vorgeschrieben. Widerspricht der Kunde solchen Änderungen aus berechtigten Gründen, werden die Parteien nach Treu und Glauben zusammenarbeiten, um eine für beide Seiten akzeptable Lösung zu finden. Widerspricht der Kunde solchen Änderungen und wird innerhalb einer angemessenen Frist keine einvernehmliche Lösung erzielt, kann der Kunde den Vertrag in Bezug auf die betroffenen Verarbeitungstätigkeiten durch schriftliche Mitteilung kündigen.

16.3 Sollte eine Bestimmung dieser AVV ganz oder teilweise unwirksam oder undurchführbar sein oder werden, so wird dadurch die Wirksamkeit der übrigen Bestimmungen dieser AVV nicht berührt. Das Gleiche gilt, wenn und soweit sich eine Lücke in dieser AVV zeigt. Anstelle der unwirksamen oder undurchführbaren Bestimmung oder zur Ausfüllung der Lücke soll eine angemessene Regelung gelten, die, soweit rechtlich möglich, dem am nächsten kommt oder entspricht, was die Parteien wirtschaftlich gewollt haben oder nach dem Sinn und Zweck dieser AVV gewollt hätten, sofern sie diesen Punkt bedacht hätten.

16.4 Im Übrigen gelten die Schlussbestimmungen des Vertrages entsprechend für diese AVV.

Anlage 1 zum AVV: Details der Verarbeitung für sicherAI

Stand: 2026-09-16

1. Kategorien von betroffenen Personen

Nutzer der Dienstleistungen
Mitarbeiter des Kunden
Personen, auf die sich Daten beziehen, die von Nutzern eingegeben werden

2. Arten von Kundendaten

Namen, E-Mailadressen von Nutzern und Mitarbeitern des Kunden
Daten, die von den Nutzern eingegeben werden

3. Umfang und Art der Verarbeitung

Kommunikationsinhalte mit LLMs
Dokumente und Informationen, die der Kunde auf der Plattform hochlädt und speichert
Dokumente aus vom Kunden verbundenen Ablagen (Microsoft 365, Google Drive, Dropbox, WebDAV/Nextcloud), die die Plattform im Auftrag des Kunden liest, als Kopie im Company Brain speichert und fortlaufend abgleicht, sowie Inhalte, die Nutzer aus der Plattform in diese Ablagen speichern; Zugangsdaten des Kunden zu diesen Ablagen (verschlüsselt, nur zum Abgleich)

4. Zweck der Verarbeitung

Bereitstellung der Dienstleistungen gemäß den Anweisungen des Kunden

Anlage 2 zum AVV: Unterauftragsverarbeiter von sicherAI

Stand: 2026-09-16

Der Kunde erteilt seine Zustimmung zur Beauftragung der nachfolgend aufgeführten Unterauftragsverarbeiter.

Anbieter / Dienst	Vertragspartner und Sitz	Aufgabe	Ort der Verarbeitung	Garantie gemäß Art. 44 ff. DSGVO	Nachweis
Hetzner	Hetzner Online GmbH, Gunzenhausen (Deutschland)	Hosting, Datenbank und Objektspeicher	Deutschland	nicht erforderlich (Verarbeitung im EWR)	Auftragsverarbeitungsvertrag des Anbieters (Standardvertrag, mit den Nutzungsbedingungen angenommen)
Brevo	Sendinblue SAS (Brevo), Paris (Frankreich)	Transaktionale E-Mails und Kommunikation	EU (laut Anbieter Frankreich, Deutschland und Belgien)	nicht erforderlich (Verarbeitung im EWR)	Auftragsverarbeitungsvertrag des Anbieters (Standardvertrag, mit den Nutzungsbedingungen angenommen)
Mistral	Mistral AI SAS, Paris (Frankreich)	Bereitstellung von KI-Modellen	EU-Endpunkt api.eu.mistral.ai (Frankreich/EU)	nicht erforderlich (Verarbeitung im EWR)	Auftragsverarbeitungsvertrag des Anbieters (Standardvertrag, mit den Nutzungsbedingungen angenommen)
Microsoft Azure	Microsoft Ireland Operations Limited, Dublin (Irland)	Cloud-Infrastruktur und Bereitstellung von KI-Modellen	EU-Datenzone, Ressource Sweden Central (Schweden), Deployment-Typ DataZone EU	EU-Standardvertragsklauseln des Anbieters für etwaige Drittlandzugriffe	Auftragsverarbeitungsvertrag des Anbieters (Standardvertrag, mit den Nutzungsbedingungen angenommen)
Google Vertex	Google Cloud EMEA Limited, Dublin (Irland)	Cloud-Infrastruktur und Bereitstellung von Gemini 2.5 Flash, Gemini 2.5 Pro (Niederlande, europe-west4), Gemini 3.5 Flash (Frankfurt, europe-west3)	Niederlande (`europe-west4`: Gemini 2.5 Flash und Pro); Frankfurt, Deutschland (`europe-west3`: Gemini 3.5 Flash)	EU-Standardvertragsklauseln des Anbieters für etwaige Drittlandzugriffe	Technische Routen: `gateway/config.prod.yaml`, Direkt-Smokes 2026-09-10 siehe `docs/nachweise/provider-nachweis.md`; Auftragsverarbeitungsvertrag des Anbieters (Standardvertrag, mit den Nutzungsbedingungen angenommen)
AWS Bedrock	Amazon Web Services EMEA SARL, Luxemburg	Cloud-Infrastruktur und Bereitstellung von KI-Modellen	eu-central-1 (Frankfurt, Deutschland), EU-Inferenzprofil	EU-Standardvertragsklauseln des Anbieters für etwaige Drittlandzugriffe	Auftragsverarbeitungsvertrag des Anbieters (Standardvertrag, mit den Nutzungsbedingungen angenommen)
Stripe	Stripe Payments Europe, Limited, Dublin (Irland)	Zahlungsabwicklung	EU und USA (Stripe-Konzern)	EU-Standardvertragsklauseln (Stripe Data Processing Agreement)	Auftragsverarbeitungsvertrag des Anbieters (Standardvertrag, mit den Nutzungsbedingungen angenommen)
Yousign	Yousign SAS, Paris (Frankreich)	Elektronische Signatur und Signaturnachweis	EU (Frankreich)	nicht erforderlich (Verarbeitung im EWR)	Auftragsverarbeitungsvertrag des Anbieters (Standardvertrag, mit den Nutzungsbedingungen angenommen)
Brave Search API	Brave Software Inc., San Francisco (USA)	Websuche, nur bei ausdrücklicher Auswahl des Werkzeugs; Suchanfrage wird vorher automatisiert von Personen- und Mandatsbezügen bereinigt	USA; Suchanfragen verlassen die EU	Drittlandübermittlung auf Basis der EU-Standardvertragsklauseln (Modul 2), vorgesehen; Vertragsnachweis und Abdeckung der Suchdaten ausstehend	Zero-Data-Retention-Vereinbarung angefragt, Status ausstehend; Standard-Retention bis zu 90 Tage; Key noch nicht hinterlegt. Derzeit nicht aktiviert.

Vertrags- und Zusicherungsstatus

Die in der Tabelle genannten Auftragsverarbeitungsverträge verpflichten die Unterauftragsverarbeiter zu einem der AVV gleichwertigen Schutzniveau.

Die Verarbeitung erfolgt an den in der Tabelle bezeichneten Orten; mögliche Fernzugriffe und Konzernzugriffe aus Drittländern sind gesondert zu prüfen.

Kundendaten, Prompts, Outputs und Embeddings werden nicht zum Training oder zur Verbesserung fremder Modelle verwendet und nur entsprechend den vertraglich vereinbarten Aufbewahrungsregeln gespeichert.

Änderungen dieser Liste werden dem Kunden mit einer Frist von 30 Tagen angekündigt; der Kunde kann innerhalb von 14 Tagen aus angemessenen datenschutzrechtlichen Gründen widersprechen.

Anlage 3 zum AVV: Technische und organisatorische Maßnahmen für sicherAI

Stand: 2026-09-16

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Wahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der betroffenen Personen hat Anbieter angemessene technische und organisatorische Sicherheitsmaßnahmen ergriffen und wird diese beibehalten, um die Kundendaten vor Sicherheitsvorfällen zu schützen und die Sicherheit und Vertraulichkeit der Kundendaten zu wahren ("technische und organisatorische Maßnahmen"). Diese Maßnahmen beinhalten folgende Aspekte:

1. Vertraulichkeit

1.1 Zutrittskontrolle

Anbieter betreibt keine eigenen Rechenzentren oder Serverräume. Die Anwendung wird auf Cloud-Infrastruktur in ISO/IEC 27001 zertifizierten Rechenzentren betrieben. Die physische Zutrittskontrolle der Rechenzentren wird durch die Hosting-Anbieter gemäß deren vertraglich vereinbarten technischen und organisatorischen Maßnahmen gewährleistet. Für die Geschäftsräume von Anbieter gelten folgende Maßnahmen:

Die Geschäftsräume sind abschließbar; Zutritt haben nur der Inhaber und von ihm zugelassene Personen.
Kundendaten werden in den Geschäftsräumen nicht auf lokalen Datenträgern vorgehalten, sondern ausschließlich in der gehosteten Umgebung verarbeitet.
Besucher und externe Dienstleister halten sich in den Geschäftsräumen nicht unbeaufsichtigt auf.

1.2 Zugangskontrolle

Anbieter wird angemessene Maßnahmen treffen, die geeignet sind zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können.

Technische Maßnahmen:
Verwendung individueller Benutzerkonten und starker, eindeutiger Authentisierungsmerkmale.
Einsatz von Multi-Faktor-Authentifizierung oder Passkeys, soweit dies technisch unterstützt wird und insbesondere für privilegierte oder sicherheitsrelevante Zugänge.
Verwendung eines zentral freigegebenen Passwortmanagements zur Erzeugung und sicheren Speicherung eindeutiger Zugangsdaten.
Änderung von Zugangsdaten bei bekannt gewordener oder vermuteter Kompromittierung sowie bei sonstigem sicherheitsbezogenem Anlass.
Automatische Sperrung inaktiver Sitzungen nach 15 Minuten.
Betrieb der von Anbieter genutzten Endgeräte mit aktuellen Betriebssystemen, automatischen Sicherheitsupdates und Bildschirmsperre.
Vollständige Festplattenverschlüsselung der von Anbieter bereitgestellten Endgeräte.
Verwaltung von Benutzerberechtigungen.
Organisatorische Maßnahmen:
IT-Sicherheitsrichtlinie, die den sicheren Umgang mit Passwörtern, Zugangsdaten und mobilen Geräten regelt.
Verarbeitung von Kundendaten ausschließlich über von Anbieter freigegebene Endgeräte.
Vergabe von Benutzerkonten nach dem Prinzip der minimalen Rechtevergabe.
Regelmäßige Sicherheitsschulungen für Mitarbeiter, um das Bewusstsein für Phishing und andere Bedrohungen zu schärfen.

1.3 Zugriffskontrolle

Anbieter wird angemessene Maßnahmen treffen, um sicherzustellen, dass die zur Benutzung der Datenverarbeitungssysteme Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden personenbezogenen Daten zugreifen können, und dass Kundendaten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Hierzu trifft Anbieter folgende Vorkehrungen:

Technische Maßnahmen:
Implementierung eines differenzierten Berechtigungskonzepts, das den Zugriff auf Kundendaten auf das notwendige Minimum beschränkt.
Einsatz von Netzwerk- und Anwendungsfiltern, einschließlich Ratenbegrenzungen und Zugriffsfiltern für öffentlich erreichbare Anwendungsendpunkte.
Umfassende Protokollierung aller Zugriffe auf Kundendaten in Audit-Logs für die Dauer des Vertrags; die Protokolle werden mit der Löschung der Organisation entfernt.
Gesonderte Protokollierung sicherheitsrelevanter Datenbankzugriffe.
Administrativer Zugriff auf die Hosting-Infrastruktur ausschließlich über verschlüsselte und zugangsgeschützte Verbindungen.
Zentrale, verschlüsselte Verwaltung von Produktionsgeheimnissen und kryptografischen Schlüsseln; Zugriffe und Bereitstellung werden auf die jeweils erforderlichen Personen und Dienste beschränkt.
Verschlüsselte Speicherung von Zugangsdaten, Berechtigungsnachweisen und kryptografischen Schlüsseln (Envelope-Verschlüsselung); Kundendaten liegen auf zugangsgeschützten Systemen des Hosting-Anbieters innerhalb der Europäischen Union.
Organisatorische Maßnahmen:
Richtlinie zur Vergabe und Entziehung von Zugriffsrechten, die sich am "Need-to-know"-Prinzip orientiert.
Regelmäßige und anlassbezogene Überprüfung von Zugriffsberechtigungen, insbesondere für privilegierte Zugänge.
Besondere Autorisierung für den Zugriff auf besonders sensible Datenkategorien.
Beschränkung privilegierter Zugriffe auf einen kleinen, betrieblich erforderlichen Personenkreis nach dem Prinzip der minimalen Rechtevergabe.
Mitarbeiter, die bei ihrer Tätigkeit Kenntnis von Kundendaten erlangen können, werden vor dem Zugriff in Textform zur Vertraulichkeit und zur Wahrung fremder Geheimnisse gemäß § 203 StGB verpflichtet.

1.4 Trennungskontrolle

Anbieter wird angemessene Maßnahmen treffen, um sicherzustellen, dass zu unterschiedlichen Zwecken erhobene Kundendaten getrennt verarbeitet werden können. Hierzu trifft Anbieter folgende Vorkehrungen:

Technische Maßnahmen:
Strikte logische Mandantentrennung innerhalb der zentralen Datenbank durch den Einsatz von Row-Level Security (RLS).
Sicherstellung der Mandantentrennung auf Anwendungsebene, um den Zugriff auf Daten anderer Mandanten zu unterbinden.
Getrennte Umgebungen für Entwicklung, Tests und Produktion.
Ein differenziertes Berechtigungskonzept, das den Zugriff regelt.
Organisatorische Maßnahmen:
Richtlinie zur Datenklassifizierung und zur getrennten Verarbeitung von Daten verschiedener Mandanten und Zwecke.
Regelmäßige Kontrolle der technischen und organisatorischen Maßnahmen zur Datentrennung.

2. Integrität

2.1 Weitergabekontrolle

Anbieter wird angemessene Maßnahmen treffen, um das Risiko zu reduzieren, dass Kundendaten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger unbefugt gelesen, kopiert, verändert oder entfernt werden können. Hierzu trifft Anbieter folgende Vorkehrungen:

Technische Maßnahmen:
Konsequente Verschlüsselung sämtlicher Übertragungen von Kundendaten über externe oder öffentliche Netze unter Verwendung von TLS 1.2 oder höher.
Nutzung freigegebener, zugangsgeschützter Übertragungswege und Cloud-Dienste für den Austausch und die Bereitstellung von Kundendaten.
Organisatorische Maßnahmen:
Richtlinie zur sicheren Übertragung und Weitergabe von Kundendaten, die die Nutzung unsicherer Kanäle untersagt.
Sensibilisierung der Mitarbeiter für die Risiken unsicherer Datenübertragung.
Klare Regelungen zur Nutzung von Cloud-Diensten und zur Übermittlung von Daten an Dritte.
Dokumentierte Übersicht über regelmäßige Abruf- und Übermittlungsverfahren.

2.2 Eingabekontrolle

Anbieter wird angemessene Maßnahmen treffen, um sicherzustellen, dass nachträglich geprüft und festgestellt werden kann, ob und von wem Kundendaten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind. Hierzu trifft Anbieter folgende Vorkehrungen:

Technische Maßnahmen:
Umfassende Protokollierung aller Eingaben, Änderungen und Löschungen von Kundendaten in Audit-Logs für die Dauer des Vertrags; die Protokolle werden mit der Löschung der Organisation entfernt.
Gesonderte Protokollierung sicherheitsrelevanter Datenbankzugriffe.
Plausibilitäts- und Validierungsprüfungen bei der Dateneingabe.
Nachvollziehbarkeit von Änderungen durch Zeitstempel oder Versionierung, soweit dies für den jeweiligen Verarbeitungsvorgang technisch vorgesehen ist.
Organisatorische Maßnahmen:
Klare Zuständigkeiten für die Dateneingabe und -pflege.
Vergabe von Rechten zur Eingabe, Änderung und Löschung von Daten auf der Grundlage eines Berechtigungskonzepts.
Regelmäßige und anlassbezogene Überprüfung sicherheitsrelevanter Protokolle.

3. Verfügbarkeit und Belastbarkeit

Anbieter wird angemessene Maßnahmen treffen, um sicherzustellen, dass Kundendaten gegen zufällige Zerstörung oder Verlust geschützt sind. Hierzu trifft Anbieter folgende Vorkehrungen:

Technische Maßnahmen:
Hosting der Anwendung und Kundendaten in ISO/IEC 27001 zertifizierten Rechenzentren.
Tägliche Sicherung produktiver Kundendaten sowie der für den sicheren Betrieb erforderlichen Systeme und Konfigurationen.
Speicherung der Sicherungen innerhalb der Europäischen Union auf zugangsgeschützten Systemen des Hosting-Anbieters.
Reguläre Aufbewahrung der Sicherungen für 14 Tage; ältere Sicherungen werden automatisch endgültig gelöscht.
Überwachung der Sicherungsprozesse sowie regelmäßige Kontrolle und Dokumentation der Sicherungsergebnisse.
Regelmäßige und anlassbezogene Tests der Wiederherstellbarkeit von Sicherungen, mindestens vierteljährlich.
Technische Maßnahmen zur Erkennung und Abwehr von Schadsoftware und sonstigen Sicherheitsbedrohungen.
Physische Schutz- und Redundanzmaßnahmen der Rechenzentrumsbetreiber, insbesondere für Stromversorgung, Klimatisierung, Brandschutz und Speichersysteme.
Organisatorische Maßnahmen:
Dokumentiertes Sicherungs- und Wiederherstellungskonzept, das sich an der Kritikalität der Daten und Systeme orientiert und Verantwortlichkeiten, Eskalationswege sowie automatisierungsunterstützte Wiederherstellungsschritte festlegt.
Notfallpläne für relevante Ausfallszenarien, die regelmäßig überprüft, aktualisiert und erprobt werden.
Benannte interne Verantwortliche für Notfälle, technische Sicherheitsvorfälle und erforderliche Wiederherstellungsmaßnahmen.
Nutzung der vertraglich vereinbarten Standardverfügbarkeiten und Supportleistungen der Hosting-Anbieter.
Informationssicherheitsrichtlinie mit Vorgaben zur Verfügbarkeit, Wiederherstellung und zum Notfallbetrieb.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

Anbieter implementiert Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.

4.1 Datenschutz-Management

Ein Datenschutzbeauftragter ist nicht bestellt; bei der Größe des Einzelunternehmens besteht keine Pflicht zur Bestellung. Datenschutzkontakt ist datenschutz@sicherai.com.
Implementierung eines Datenschutz-Managementsystems (DSMS) in Anlehnung an bewährte Standards (z.B. ISO 27701, BSI IT-Grundschutz), angepasst an die Größe und Komplexität des Unternehmens.
Regelmäßige interne Überprüfungen der Datenschutzmaßnahmen und -prozesse, mindestens jährlich.
Dokumentation und Bearbeitung von Datenschutzvorfällen gemäß einem definierten internen Prozess.
Regelmäßige Schulungen der Mitarbeiter zum Datenschutz, mindestens jährlich.
Prozesse bezüglich Informationspflichten gemäß Artikel 13 und 14 DSGVO umgesetzt.
Formalisiertes Verfahren für Auskunftsersuchen von betroffenen Personen eingerichtet.
Datenschutz-Checkpoints, soweit möglich und sinnvoll, in die Risikobewertung integriert.
Datenschutz-Folgenabschätzung (DSFA) wird bei Bedarf für neue Verarbeitungstätigkeiten mit voraussichtlich hohem Risiko durchgeführt.
Datenschutzaspekte sind Teil des allgemeinen Risikomanagements des Unternehmens.

4.2 Incident-Response-Management

Einsatz eines auf technische Fehler- und Performanceinformationen beschränkten Monitorings mit Maßnahmen zur Vermeidung der Erfassung von Prompts, Modellantworten, Dokumentinhalten, Authentifizierungstoken und vollständigen Request-Bodies.
Dokumentierter Incident-Response-Prozess für die Erkennung, Meldung, Analyse, Reaktion und Nachbereitung von Sicherheitsvorfällen und Datenschutzverletzungen, einschließlich der Prüfung gesetzlicher Meldepflichten.
Benannter Verantwortlicher (Inhaber) für die Koordination und Bearbeitung von Sicherheitsvorfällen und Datenschutzverletzungen.
Zentrale Dokumentation und Nachverfolgung von Sicherheitsvorfällen und Datenschutzverletzungen.
Einsatz von Ratenbegrenzungen und Zugriffsfiltern zum Schutz öffentlich erreichbarer Anwendungsendpunkte.
Nutzung zentraler Spam-, Phishing- und Malware-Schutzmechanismen für die geschäftliche E-Mail-Kommunikation.
Regelmäßige Schulung der Mitarbeiter im Umgang mit Sicherheitsvorfällen und Phishing-Versuchen.
Regelmäßige Überprüfung und Weiterentwicklung des Incident-Response-Verfahrens.

4.3 Sichere Softwareentwicklung und Schwachstellenmanagement

Geschützte Entwicklungszweige sowie geregelte Merge-, Freigabe- und Release-Prozesse für Änderungen am Anwendungscode.
Prüfung von Änderungen in einer vom Produktivbetrieb getrennten Testumgebung vor der Produktivsetzung.
In den Entwicklungsprozess integrierte sowie regelmäßig ausgeführte Sicherheits-, Abhängigkeits- und Schwachstellenscans.
Festgestellte Schwachstellen werden nach Schweregrad und tatsächlicher Betroffenheit priorisiert und zeitnah behoben.