Vertrag zur Auftragsverarbeitung

nach Art. 28 Datenschutz-Grundverordnung (DSGVO) · Stand: November 2026

zwischen dem Kunden, der ein Angebot von Automatisier angenommen hat („Auftraggeber“), und Automatisier, Inhaber Cecilio Reinhardt, Emser Straße 33, 56076 Koblenz („Auftragnehmer“). Dieser Vertrag wird mit der Annahme des Angebots geschlossen und gilt für alle Leistungen, bei denen der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers verarbeitet.

1. Gegenstand und Dauer

(1) Der Auftragnehmer richtet für den Auftraggeber Software, CRM-Systeme und KI-Automatisierungen ein, betreibt und betreut sie (Hauptvertrag: angenommenes Angebot und AGB). Dabei verarbeitet er personenbezogene Daten im Auftrag des Auftraggebers.

(2) Dieser Vertrag gilt, solange der Hauptvertrag läuft, und darüber hinaus, solange der Auftragnehmer noch Daten des Auftraggebers verarbeitet.

2. Art, Zweck und Umfang der Verarbeitung

Zweck: Bereitstellung und Betrieb des Systems für den Auftraggeber, insbesondere Kunden- und Projektverwaltung, Planung, Kommunikation mit Kunden, Erstellung von Dokumenten (z. B. Zusammenfassungen, Skripte, Angebote), Automatisierungen, Vertrieb sowie Wartung, Fehlerbehebung und Support.

Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Abgleichen, Übermitteln an die Unterauftragsverarbeiter nach Anlage 2, Löschen.

Einsatz von künstlicher Intelligenz: Soweit der Auftraggeber die jeweiligen Funktionen nutzt, werden Daten mit KI verarbeitet, um

Gespräche und Aufnahmen (z. B. Kickoff-Calls, Rohmaterial von Videodrehs) in Text umzuwandeln,
daraus Zusammenfassungen, Projektbeschreibungen, Zeitpläne, Shotlisten, Skripte und E-Mail-Entwürfe zu erstellen,
Angebote und Rechnungen aus Spracheingaben vorzubereiten,
eingehende E-Mails zu sortieren und Belege zu erkennen,
Videos vorzubereiten (z. B. Szenen markieren, Untertitel, kurze Clips) und
Interessenten und Vertriebsgespräche zu unterstützen (z. B. Gesprächsnotizen, Vorschläge für nächste Schritte).

KI-Ergebnisse sind Vorschläge, die der Auftraggeber prüft. Es werden keine automatisierten Entscheidungen mit rechtlicher Wirkung gegenüber betroffenen Personen getroffen (Art. 22 DSGVO). Die KI-Dienste werden über geschäftliche Schnittstellen genutzt; nach deren Bedingungen werden die übermittelten Daten nicht zum Training der KI-Modelle verwendet. Wo möglich, laufen Verarbeitungen (z. B. Umwandlung von Aufnahmen in Text) auf eigenen Servern des Auftragnehmers.

Arten von Daten: Kontaktdaten (Name, Firma, Anschrift, Telefon, E-Mail), Vertrags- und Projektdaten, Kommunikationsinhalte (E-Mails, Notizen, Gesprächsaufnahmen und -abschriften, sofern genutzt), Termin- und Planungsdaten, Rechnungsdaten, Bild- und Videomaterial (sofern genutzt), Zugangs- und Nutzungsdaten der Nutzer des Systems.

Betroffene Personen: Kunden, Interessenten und Ansprechpartner des Auftraggebers, Beschäftigte und freie Mitarbeiter des Auftraggebers, Personen in Bild- und Tonaufnahmen (sofern genutzt).

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nur verarbeitet, wenn der Auftraggeber dies ausdrücklich vorgibt.

3. Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf die Übermittlung in Drittländer, es sei denn, er ist durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Auftraggeber diese Pflicht vor der Verarbeitung mit, sofern das Recht dies nicht verbietet. Der Hauptvertrag und dieser Vertrag sind die Weisungen. Weitere Weisungen erteilt der Auftraggeber in Textform.

(2) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin und darf die Ausführung bis zur Klärung aussetzen.

(3) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass er die Daten erheben und dem Auftragnehmer überlassen darf und die betroffenen Personen informiert sind.

4. Pflichten des Auftragnehmers

(1) Der Auftragnehmer verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit.

(2) Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt.

(3) Er unterstützt den Auftraggeber bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 23 DSGVO) und bei den Pflichten nach Art. 32 bis 36 DSGVO. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich weiter.

(4) Er meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

(5) Ansprechpartner für den Datenschutz beim Auftragnehmer ist Cecilio Reinhardt, info@automatisier.de. Ein Datenschutzbeauftragter ist nach Art. 37 DSGVO und § 38 BDSG derzeit nicht vorgeschrieben. Der Auftragnehmer führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

(6) Die Verarbeitung findet grundsätzlich in der Europäischen Union statt. Eine Übermittlung in Drittländer erfolgt nur über die in Anlage 2 genannten Unterauftragsverarbeiter und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss / EU-U.S. Data Privacy Framework oder Standardvertragsklauseln).

5. Unterauftragsverarbeiter

(1) Der Auftraggeber stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu.

(2) Neue oder geänderte Unterauftragsverarbeiter kündigt der Auftragnehmer mindestens 14 Tage vorher in Textform an. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Ist dann keine Lösung möglich, können beide Seiten die betroffene Leistung kündigen.

(3) Der Auftragnehmer verpflichtet die Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht.

6. Kontrollrechte

Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind. Kontrollen vor Ort sind nach rechtzeitiger Anmeldung zu den üblichen Geschäftszeiten möglich, ohne den Betrieb unangemessen zu stören. Nachweise der Unterauftragsverarbeiter (z. B. Zertifikate, Prüfberichte) gelten als geeignete Nachweise.

7. Löschung und Rückgabe

Nach Ende des Hauptvertrags gibt der Auftragnehmer die Daten nach Wahl des Auftraggebers innerhalb von 30 Tagen in einem gängigen Format heraus oder löscht sie; herausgegebene Daten löscht er danach, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Daten in Datensicherungen werden im Rahmen der regulären Löschzyklen gelöscht. Die Löschung bestätigt der Auftragnehmer auf Anfrage in Textform.

8. Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor.

(3) Änderungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt der Rest wirksam. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen

Zutritt und Zugang: Die Systeme laufen in zertifizierten Rechenzentren der Unterauftragsverarbeiter; eigene Serverräume betreibt der Auftragnehmer nicht. Zugang zum System nur mit persönlichem Login und Passwort. Die Verwaltungszugänge des Auftragnehmers (Datenbank, Hosting, Code) sind mit Zwei-Faktor-Anmeldung geschützt. Arbeitsgeräte des Auftragnehmers sind mit Passwort und Festplattenverschlüsselung geschützt.

Zugriff und Trennung: Jede Firma ist ein eigener Mandant mit getrennten Daten. Datenbankregeln (Row Level Security) stellen sicher, dass Nutzer nur die Daten ihrer Firma und nur gemäß ihrer Rolle sehen. Zugangsdaten zu angebundenen Diensten werden verschlüsselt gespeichert.

Weitergabe: Übertragungen erfolgen verschlüsselt (TLS/HTTPS).

Eingabe: Anmeldungen und Zugriffe auf die Datenbank werden beim Datenbank-Anbieter protokolliert; Datensätze speichern, wann sie angelegt und geändert wurden.

Verfügbarkeit: Regelmäßige automatische Datensicherungen beim Datenbank-Anbieter; Überwachung auf Fehler.

Datensparsamkeit: An KI-Dienste werden nur die Daten übermittelt, die für die jeweilige Funktion nötig sind.

Überprüfung: Die Maßnahmen werden regelmäßig, mindestens einmal im Jahr, überprüft.

Anlage 2: Unterauftragsverarbeiter

Supabase Inc., USA – Datenbank, Dateispeicher und Anmeldung. Serverstandort: Frankfurt am Main (EU). Grundlage für etwaige Zugriffe aus den USA: Auftragsverarbeitungsvertrag des Anbieters mit Standardvertragsklauseln der EU-Kommission.

Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA – Hosting der Anwendung und Serverfunktionen, Region Frankfurt (EU). EU-U.S. Data Privacy Framework und Standardvertragsklauseln.

Anthropic PBC, USA – KI-Verarbeitung (z. B. Zusammenfassungen, Skripte, Textvorschläge). Grundlage: Auftragsverarbeitungsvertrag des Anbieters mit Standardvertragsklauseln der EU-Kommission.

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – Server für den Betrieb des Systems, Automatisierungen und Rechenleistung (z. B. Umwandlung von Aufnahmen in Text, Videoverarbeitung). Serverstandort: Europäische Union.

Hostinger International Ltd., Zypern (EU) – E-Mail-Postfach und Versand von E-Mails aus dem System (z. B. Bestätigungen, Angebote, Rechnungen).