Auftragsverarbeitungsvertrag (AVV)

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") konkretisiert die Pflichten der Vertragsparteien zum Datenschutz, die sich aus dem zwischen ihnen geschlossenen Hauptvertrag über die Nutzung der Software-as-a-Service-Plattform (nachfolgend „Hauptvertrag") ergeben.

Der AVV findet Anwendung auf alle Tätigkeiten, die mit dem Hauptvertrag in Zusammenhang stehen und bei denen Beschäftigte des Auftragsverarbeiters oder durch ihn beauftragte Dritte personenbezogene Daten des Auftraggebers verarbeiten.

§ 1 Vertragsparteien

Verantwortlicher (Auftraggeber): Der Nutzer der Plattform — d. h. die selbstständig tätige Person oder das Unternehmen, das die Plattform vertraglich nutzt. Identität ergibt sich aus den Kontodaten des Nutzers.

Auftragsverarbeiter (Auftragnehmer):

Octon Holding GmbH
vertreten durch: Mio McQueen (Geschäftsführer)
Paul-Ehrlich-Straße 7
79106 Freiburg im Breisgau
Amtsgericht Freiburg im Breisgau, HRB 736329
E-Mail: team@octonholding.de
(nachfolgend „Auftragsverarbeiter")

§ 2 Gegenstand und Dauer der Verarbeitung

(1) Gegenstand der Verarbeitung ist die Bereitstellung der Plattform gemäß den Bestimmungen des Hauptvertrags. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zu diesem Zweck und nur im Auftrag und auf Weisung des Auftraggebers.

(2) Die Verarbeitung erfolgt für die Dauer des Hauptvertrags. Sie endet mit dessen Beendigung, vorbehaltlich der in § 11 geregelten Lösch- und Rückgabepflichten.

§ 3 Art und Zweck der Verarbeitung

(1) Der Auftragsverarbeiter erbringt für den Auftraggeber folgende Verarbeitungsleistungen:

• Bereitstellung der Plattform (SaaS) zur Unterstützung beim Aufbau und Betrieb eines eigenen Business
• Speicherung, Strukturierung und Analyse von Geschäftsdaten des Auftraggebers (Kontakte, Angebote, Rechnungen, Zahlungen, Dokumente)
• Bereitstellung KI-gestützter Funktionen zur Unterstützung der unternehmerischen Tätigkeit
• Anbindung an verbundene Drittsysteme (Buchhaltung, Zahlungsabwicklung) auf Wunsch des Auftraggebers
• Erstellung und Versand von Benachrichtigungen und Berichten

(2) Zweck der Verarbeitung ist die Erfüllung des Hauptvertrags. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt — insbesondere werden Daten nicht zum Training eigener oder fremder KI-Modelle verwendet.

§ 4 Art der personenbezogenen Daten

(1) Folgende Datenkategorien werden im Auftrag verarbeitet:

• Stammdaten (Namen, Anschriften, Kontaktdaten von Kunden, Leads, Kontaktpersonen des Auftraggebers)
• Kommunikationsdaten (E-Mail-Adressen, Telefonnummern, Nachrichteninhalte sofern in die Plattform eingegeben)
• Vertragsdaten (Angebots-, Rechnungs- und Zahlungsdaten)
• Finanzdaten (Ausgaben, Belege, Buchhaltungsdaten)
• Nutzungsdaten (Login-Zeiten, IP-Adressen, Browser-Informationen zu Sicherheitszwecken)
• Inhaltliche Daten, die der Auftraggeber freiwillig in der Plattform speichert
• Bilddateien, Bildbeschreibungen und zugehörige Arbeitsanweisungen, soweit der Auftraggeber Bildfunktionen nutzt

(2) Eine Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht Gegenstand des Vertrags. Sollte der Auftraggeber solche Daten in die Plattform einstellen, geschieht dies in seiner alleinigen Verantwortung.

§ 5 Kategorien betroffener Personen

Die Verarbeitung betrifft folgende Kategorien betroffener Personen:

• Kunden und potenzielle Kunden des Auftraggebers
• Lieferanten und Dienstleister des Auftraggebers
• Endkunden der vom Auftraggeber betriebenen Verkaufsseiten oder Webanwendungen
• Kontaktpersonen und Geschäftspartner des Auftraggebers
• Sonstige Personen, deren Daten der Auftraggeber in der Plattform verarbeitet

§ 6 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verpflichtet sich, personenbezogene Daten:

• nur im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers zu verarbeiten
• nicht zu eigenen Zwecken zu verwenden und insbesondere nicht für das Training eigener oder fremder KI-Modelle einzusetzen
• nicht an unbefugte Dritte weiterzugeben

(2) Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich, falls er der Auffassung ist, dass eine Weisung gegen Datenschutzvorschriften verstößt.

(3) Der Auftragsverarbeiter stellt sicher, dass alle Personen, die mit der Verarbeitung betraut sind, zur Vertraulichkeit verpflichtet und über die relevanten datenschutzrechtlichen Bestimmungen informiert sind.

(4) Datenschutzanfragen sind an team@octonholding.de zu richten.

(5) Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Erfüllung der Pflichten gemäß Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).

§ 7 Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter trifft die in Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Diese umfassen:

Vertraulichkeit

• Zugangskontrolle: Cloud-Hosting in EU-Rechenzentren mit Zugangskontrollen; Multi-Faktor-Authentifizierung für Administratoren
• Zugriffskontrolle: Strikte Mandantentrennung auf Datenbankebene (Row-Level-Isolation, jede Query an userId/businessId gebunden); Zugriff nur benannte Administratoren
• Auth ohne Passwörter: Magic-Link-Authentifizierung (Token gehasht, 15 min, einmalig); kein Passwort-Speicher
• Verschlüsselte Speicherung sensibler Zugangsdaten und Tokens (AES-256-GCM, HKDF-abgeleitet aus Server-Secret)
• Trennungskontrolle: Logische Trennung der Daten verschiedener Auftraggeber durch Mandanten-IDs in allen Datenbankzugriffen

Integrität

• Eingabekontrolle: Protokollierung sensibler Vorgänge (Vertrags-Akzeptanz, externe Aktionen mit Außenwirkung)
• Weitergabekontrolle: TLS 1.2+ Verschlüsselung aller Datenübertragungen

Verfügbarkeit und Belastbarkeit

• Tägliche verschlüsselte Backups nach S3, 30 Tage Aufbewahrung, automatische Rotation
• Monitoring kritischer Dienste
• Schutz gegen DoS/DDoS auf Infrastruktur-Ebene

Regelmäßige Überprüfung

• Dokumentierte Datenschutz-Richtlinien
• Vorfall-Reaktionsprozess (Incident Response) für Datenschutzverletzungen
• Regelmäßige Sicherheits-Updates der eingesetzten Software-Komponenten

Eine detaillierte, aktuelle Übersicht der TOMs wird auf Anforderung in gesonderter Anlage zur Verfügung gestellt.

§ 8 Subunternehmer (weitere Auftragsverarbeiter)

(1) Der Auftraggeber erteilt hiermit die allgemeine Genehmigung zur Beauftragung folgender Subunternehmer für die Bereitstellung der Plattform:

• Amazon Web Services EMEA SARL (Hosting, Datenspeicherung, E-Mail-Versand via SES) — Sitz: Luxemburg; Server-Standort: Frankfurt am Main, Deutschland
• Stripe Payments Europe Ltd. (Zahlungsabwicklung, Stripe Connect) — Sitz: Irland
• Anthropic PBC (KI-Verarbeitung) — Sitz: USA; Data Processing Addendum (DPA) abgeschlossen; SCC; keine Verwendung für Training
• OpenAI (API-Bildgenerierung; Bildbeschreibungen und Ausgabeparameter). Eine Verarbeitung außerhalb der EU kann erfolgen. Die Anforderungen aus Art. 28 und Kapitel V DSGVO gelten auch für diesen Dienst.
• Lexware GmbH (lexoffice) (Buchhaltungs-Anbindung, nur bei aktivierter Integration) — Sitz: Deutschland
• PostHog EU B.V./Ltd. (Produktanalyse, nur bei Einwilligung via Cookie-Banner) — EU-Hosting (eu.posthog.com)

(2) Bei Drittlandtransfers (USA: Anthropic) ist die Übermittlung durch EU-Standardvertragsklauseln (SCC) abgesichert.

(3) Der Auftragsverarbeiter informiert den Auftraggeber über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter. Der Auftraggeber hat ein Widerspruchsrecht innerhalb von 30 Tagen. Bei berechtigtem Widerspruch ist der Auftraggeber zur außerordentlichen Kündigung berechtigt.

(4) Der Auftragsverarbeiter stellt sicher, dass jeder Subunternehmer datenschutzrechtlich gleichwertig verpflichtet ist (DSGVO Art. 28 Abs. 4).

§ 9 Rechte der betroffenen Personen / Unterstützung des Auftraggebers

(1) Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Erfüllung der Pflicht zur Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO).

(2) Über die Plattform stehen folgende Funktionen zur Verfügung:

• Daten-Export aller gespeicherten Daten (Art. 20 DSGVO)
• Lösch-Funktion für einzelne Datensätze und das Gesamtkonto (Art. 17 DSGVO)
• Korrektur-Funktion für unrichtige Daten (Art. 16 DSGVO)

§ 10 Meldung von Datenschutzverletzungen

(1) Der Auftragsverarbeiter meldet dem Auftraggeber unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Bekanntwerden, jede Verletzung des Schutzes personenbezogener Daten in seinem Verantwortungsbereich.

(2) Die Meldung enthält mindestens:

• Beschreibung der Art der Verletzung
• Kategorien und Anzahl betroffener Personen und Datensätze (soweit möglich)
• Name und Kontaktdaten des Ansprechpartners
• Beschreibung der wahrscheinlichen Folgen
• Ergriffene oder vorgeschlagene Maßnahmen

§ 11 Löschung und Rückgabe nach Vertragsende

(1) Nach Beendigung des Hauptvertrags hat der Auftraggeber die Möglichkeit, innerhalb einer Karenzzeit von 30 Tagen alle Daten über die in der Plattform integrierte Export-Funktion herunterzuladen.

(2) Nach Ablauf der Karenzzeit löscht der Auftragsverarbeiter alle personenbezogenen Daten des Auftraggebers, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

(3) Daten in Backup-Systemen werden im Rahmen der regulären Backup-Zyklen (max. 90 Tage) gelöscht.

(4) Eine Löschbestätigung wird auf schriftliche Anforderung ausgestellt.

§ 12 Kontrollrechte des Auftraggebers

(1) Der Auftraggeber hat das Recht, sich von der Einhaltung der Pflichten dieses Vertrages zu überzeugen. Der Auftragsverarbeiter ermöglicht dies durch:

• Schriftliche Auskünfte auf Anfrage
• Bereitstellung aktueller Dokumentation zu TOMs und Subunternehmern
• Ermöglichung von Inspektionen nach vorheriger Terminabstimmung (bei begründetem Anlass, auf Kosten des Auftraggebers)

(2) Soweit verfügbar, werden Auditberichte und Zertifizierungen anerkannter Prüfstellen der eingesetzten Hosting-Provider zur Verfügung gestellt.

§ 13 Haftung

Die Haftung der Parteien für Schäden aufgrund einer Verletzung von Datenschutzvorschriften richtet sich nach Art. 82 DSGVO und den Regelungen des Hauptvertrags (AGB § 10).

§ 14 Schlussbestimmungen

(1) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein, berührt dies nicht die Wirksamkeit der übrigen Bestimmungen.

(2) Bei Widersprüchen zwischen diesem AVV und den Bestimmungen des Hauptvertrags haben die Regelungen dieses AVV in datenschutzrechtlichen Fragen Vorrang.

(3) Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform (E-Mail genügt). Bei wesentlichen Änderungen wird der Auftraggeber rechtzeitig informiert.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Freiburg im Breisgau, sofern der Auftraggeber Kaufmann oder eine juristische Person des öffentlichen Rechts ist.

Vertragsschluss

Dieser AVV gilt als geschlossen mit Annahme der Allgemeinen Geschäftsbedingungen des Auftragsverarbeiters durch den Auftraggeber bei der Registrierung. Der Auftragsverarbeiter dokumentiert Zeitpunkt und Version der Annahme.