Zum Inhalt

Auftragsverarbeitungsvertrag (AVV)

Vorlage nach Art. 28 DSGVO · Stand: 18. Oktober 2026

B2B-Kunden: Wenn Sie personenbezogene Daten Dritter über knowmind verarbeiten (z. B. Kunden- oder Mitarbeiterdaten), schließen Sie diesen AVV durch Annahme der AGB mit ab. Eine signierte Fassung auf Briefbogen senden wir auf Anfrage an info@schuebeler-consulting.de.

§ 1 Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch Schübeler Consulting (Auftragsverarbeiter) im Rahmen der Bereitstellung der knowmind-Plattform für den Kunden (Verantwortlicher). Die Dauer entspricht der Laufzeit des Hauptvertrags (AGB).

§ 2 Art und Zweck der Verarbeitung

Speicherung, Indexierung und Wiederabruf von Texten („Memories“) sowie der zugehörigen Metadaten, die der Verantwortliche selbst in knowmind einbringt. Zweck ist die Bereitstellung der vertraglich geschuldeten SaaS-Funktionalität.

Der Auftragsverarbeiter gibt Inhalte an keinen KI-Anbieter weiter. Indexierung und Sortierung der Treffer laufen mit Modellen auf den eigenen Servern in Deutschland. Verbindet der Verantwortliche ein KI-Werkzeug mit knowmind, erhält dieses Werkzeug die Treffer, die es abruft; der Anbieter des Werkzeugs ist kein Sub-Auftragsverarbeiter nach § 5. Richtet der Verantwortliche einen Zugang für ein KI-Werkzeug ein, ist das eine dokumentierte Weisung nach § 6, die abgerufenen Treffer an dieses Werkzeug herauszugeben, auch soweit das Werkzeug außerhalb der EU oder des EWR betrieben wird. Die Rechtsgrundlage und die Anforderungen des Kapitels V DSGVO gegenüber dem Anbieter des Werkzeugs stellt der Verantwortliche selbst sicher.

§ 3 Art der Daten und Kategorien betroffener Personen

Verarbeitet werden alle Daten, die der Verantwortliche in knowmind einstellt — typischerweise:

  • Geschäftsnotizen, Projekt-Dokumentation, Wissens-Artefakte
  • Optionale personenbezogene Daten (Namen, E-Mail-Adressen, Kontaktdaten), die im Memory-Text vorkommen

Betroffene Personenkategorien werden vom Verantwortlichen bestimmt (typischerweise: eigene Mitarbeiter, Kunden, Geschäftspartner).

Konnektoren: Richtet der Verantwortliche einen Konnektor ein, übergibt ein von ihm betriebenes System Inhalte an knowmind. Der Auftragsverarbeiter ruft dabei nichts ab und besitzt keine Zugangsdaten zu diesem System; welche Ereignisse übergeben werden, bestimmt allein der Verantwortliche. Übergeben werden dabei regelmäßig auch Namen beteiligter Personen (etwa Bearbeiter oder Verfasser von Kommentaren). Diese Daten unterliegen denselben Weisungen, Fristen und Löschansprüchen wie alle übrigen Inhalte.

§ 4 Technische und organisatorische Maßnahmen (TOM)

  • Betrieb bei Hetzner Online GmbH (Nürnberg, Deutschland) — ISO 27001-zertifiziertes Rechenzentrum
  • Strikte Mandantentrennung direkt auf Datenbank-Ebene
  • Verschlüsselung hinterlegter Zugangsgeheimnisse (etwa für die Anmeldung über das Firmenverzeichnis) mit AES-256-GCM und einem eigenen Schlüssel je Arbeitsbereich
  • Transportverschlüsselung TLS 1.3 für alle Anwender-Verbindungen
  • Zugriffsgrenze unterhalb des Arbeitsbereichs: Wissen lässt sich Domänen zuordnen; ohne Zugehörigkeit zur Domäne ist es weder abrufbar noch auffindbar
  • Anmeldung über das Firmenverzeichnis des Kunden (OpenID Connect) mit Zuordnung der Rollen aus dessen Gruppen; das Kennwort verlässt das Verzeichnis des Kunden nicht
  • Zugriffsprotokoll: Änderungen sind gesperrt, jeder neue Eintrag hängt rechnerisch an seinem Vorgänger, und der jeweils letzte Stand wird stündlich mit einem Zeitstempel nach RFC 3161 von einer unabhängigen Stelle bezeugt
  • Sicherheits-Protokoll mit Vorhaltung gemäß Tarif (Privat 1 Monat, Pro 3 Monate, Team 12 Monate, Business 24 Monate, Enterprise 5 Jahre)
  • Mehrstufige Authentifizierung: Magic-Link via eigenen SMTP-Versand + zeitlich begrenzte API-Tokens
  • Tägliche Sicherung der Datenbank samt Datenbankrollen, Aufbewahrung 14 Tage; die Sonntagssicherung zusätzlich 8 Wochen. Die jüngsten Stände holt jede Nacht ein eigenes Gerät an einem zweiten Standort in Deutschland ab. Die Wiederherstellung wird erprobt und protokolliert
  • Software-Aktualisierungen: Sicherheits-Patches innerhalb von 7 Tagen nach Bekanntwerden eines CVE

§ 5 Sub-Auftragsverarbeiter

Der Auftragsverarbeiter setzt folgende Sub-Auftragsverarbeiter ein:

  • Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (Betrieb)
  • Stripe Payments Europe Ltd., The One Building, 1 Grand Canal Street Lower, Dublin 2 (Zahlungsabwicklung — Standard- Vertragsklauseln)
  • ALL-INKL.COM — Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland (Transaktions-E-Mail)

Eine Änderung der Sub-Auftragsverarbeiter wird mit 30 Tagen Vorlauf per E-Mail an die im Account hinterlegte Adresse angekündigt. Der Verantwortliche kann innerhalb dieser Frist widersprechen und den Vertrag außerordentlich kündigen.

§ 6 Weisungsbindung

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen — auch hinsichtlich der Übermittlung in ein Drittland —, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, soweit das jeweilige Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO). Die Bestimmungen dieses Vertrags, der AGB sowie die im Dashboard getroffenen Einstellungen gelten als dokumentierte Weisung. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 UAbs. 2 DSGVO).

§ 7 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Der Zugriff auf Kundendaten ist auf die Personen beschränkt, die ihn zur Erbringung und Wartung der Leistung benötigen.

§ 8 Rechte der Betroffenen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen — soweit möglich — bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen Betroffener auf Wahrnehmung ihrer Rechte nach Art. 15-22 DSGVO (Art. 28 Abs. 3 lit. e DSGVO). Dies erfolgt insbesondere durch den Self-Service-Export im Dashboard und die Löschmöglichkeit je Memory und für den gesamten Account. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht eigenständig.

§ 9 Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der folgenden Pflichten (Art. 28 Abs. 3 lit. f DSGVO):

  • Sicherheit der Verarbeitung (Art. 32 DSGVO) — durch Umsetzung und Dokumentation der in § 4 beschriebenen technischen und organisatorischen Maßnahmen.
  • Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde (Art. 33 DSGVO) und Benachrichtigung der betroffenen Personen (Art. 34 DSGVO) — durch die Meldung nach § 10 und Bereitstellung der dafür erforderlichen Informationen.
  • Datenschutz-Folgenabschätzung (Art. 35 DSGVO) — durch Bereitstellung der beim Auftragsverarbeiter vorhandenen Informationen zu Verarbeitung und Sicherheitsmaßnahmen.
  • Vorherige Konsultation der Aufsichtsbehörde (Art. 36 DSGVO) — durch Mitwirkung im erforderlichen Umfang.

§ 10 Meldepflichten bei Datenpannen

Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden, jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten (Art. 33 Abs. 2 DSGVO). Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, der voraussichtlichen Folgen und der ergriffenen oder vorgeschlagenen Gegenmaßnahmen, damit der Verantwortliche seinen eigenen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO nachkommen kann.

§ 11 Kontroll- und Nachweisrecht (Audit)

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO) und ermöglicht Überprüfungen — einschließlich Inspektionen —, die der Verantwortliche oder ein von diesem beauftragter Prüfer durchführt, und trägt zu diesen bei.

Hierfür gelten folgende praktikable Modalitäten:

  • Der Nachweis erfolgt vorrangig durch Vorlage geeigneter Unterlagen: diese AVV-Dokumentation, die TOM-Beschreibung (§ 4), die Subprozessor-Liste (§ 5) sowie vorhandener Nachweise des Rechenzentrumsbetreibers (ISO-27001-Zertifizierung des Hetzner-Rechenzentrums).
  • Reichen diese Unterlagen im Einzelfall nicht aus, kann der Verantwortliche eine Vor-Ort- oder Remote-Überprüfung verlangen. Diese wird mit angemessener Vorankündigung (in der Regel mindestens 14 Tage), während der üblichen Geschäftszeiten und ohne unverhältnismäßige Störung des Geschäftsbetriebs durchgeführt.
  • Ein vom Verantwortlichen beauftragter externer Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein und ist vorab schriftlich zur Vertraulichkeit zu verpflichten.
  • Der Verantwortliche trägt die ihm durch eine Überprüfung entstehenden eigenen Kosten. Der Auftragsverarbeiter kann den über die Vorlage von Nachweisen hinausgehenden, angemessenen Eigenaufwand für die Unterstützung bei Vor-Ort-Prüfungen gesondert berechnen; reine Auskünfte und die Übermittlung vorhandener Nachweise sind kostenfrei.

§ 12 Beendigung, Rückgabe und Löschung

Nach Abschluss der Verarbeitung gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen sämtliche personenbezogenen Daten zurück oder löscht sie und vernichtet vorhandene Kopien, sofern nicht eine Pflicht zur Speicherung nach Unionsrecht oder dem Recht eines Mitgliedstaats besteht (Art. 28 Abs. 3 lit. g DSGVO).

Praktisch umgesetzt wird dies wie folgt:

  • Rückgabe: Der Verantwortliche kann sämtliche Daten jederzeit selbst als JSON-Datei exportieren (Self-Service-Export im Dashboard oder über die Schnittstelle). Der Export fasst je Sammlung bis zu 50.000 Einträge; größere Bestände liefert der Auftragsverarbeiter auf Anforderung vollständig. Nach dem Löschen des Arbeitsbereichs ist kein Export mehr möglich.
  • Ende eines Bezahltarifs: Der Arbeitsbereich läuft im kostenlosen Tarif Privat weiter. Hauptvertrag und dieser Vertrag bestehen fort, die Daten bleiben gespeichert, und die Verarbeitung ist damit nicht abgeschlossen. Für das Zugriffsprotokoll gilt ab dem Wechsel die Vorhaltedauer des Tarifs Privat aus § 4.
  • Löschung: Der Verantwortliche wählt die Löschung, indem er den Arbeitsbereich im Dashboard löscht; läuft ein Bezahltarif, kündigt er diesen zuvor. Alle Zugänge enden sofort, und die Einträge im Wissensgraphen werden im selben Schritt gelöscht. Die übrigen Daten entfernt ein Löschlauf, der stündlich läuft, frühestens 24 Stunden nach der Löschung unwiederbringlich aus der Datenbank. Stehen im Wissensgraphen noch Einträge des Arbeitsbereichs, wartet der Löschlauf, bis sie entfernt sind. Auf Weisung des Verantwortlichen in Textform führt der Auftragsverarbeiter die Löschung selbst aus.

Was nach der Löschung gespeichert bleibt:

  • Rechnungen: 8 Jahre ab dem Ende des Jahres, in dem die jeweilige Rechnung ausgestellt wurde (§ 14b UStG, § 147 AO); mit Namen und E-Mail-Adresse des Rechnungsempfängers, Beträgen und Positionen.
  • Schlussanker: Für das Zugriffsprotokoll und für das Änderungsprotokoll bleibt je ein Schlussanker dauerhaft bestehen. Er enthält die interne Kennung des Arbeitsbereichs, Position und Prüfsumme des letzten Eintrags sowie die Zahl der gelöschten Einträge. Namen, Adressen oder Inhalte stehen darin nicht.
  • Sicherungen: Sicherungen der Datenbank werden bis zu 8 Wochen aufbewahrt (§ 4). Daten eines gelöschten Arbeitsbereichs können in einer Sicherung stehen; einzeln werden sie dort nicht gelöscht.
  • Daten bei Stripe: Die Daten, die Stripe zum Abonnement speichert, löscht der Löschlauf nicht. Ihre Löschung bei Stripe veranlasst der Auftragsverarbeiter auf Anforderung.

Auf Anforderung bestätigt der Auftragsverarbeiter dem Verantwortlichen die durchgeführte Löschung schriftlich oder in Textform (Lösch-Nachweis).