Auftragsverarbeitungsvertrag (AVV)

Vorlage nach Art. 28 DSGVO · Stand: Juli 2026

B2B-Kunden: Wenn Sie personenbezogene Daten Dritter über knowmind verarbeiten (z. B. Kunden- oder Mitarbeiterdaten), schließen Sie diesen AVV durch Annahme der AGB mit ab. Eine signierte Fassung auf Briefbogen senden wir auf Anfrage an info@schuebeler-consulting.de.

§ 1 Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch Schübeler Consulting (Auftragsverarbeiter) im Rahmen der Bereitstellung der knowmind-Plattform für den Kunden (Verantwortlicher). Die Dauer entspricht der Laufzeit des Hauptvertrags (AGB).

§ 2 Art und Zweck der Verarbeitung

Speicherung, Indexierung und Wiederabruf von Texten („Memories") sowie der zugehörigen Metadaten, die der Verantwortliche selbst in knowmind einbringt. Zweck ist die Bereitstellung der vertraglich geschuldeten SaaS-Funktionalität.

§ 3 Art der Daten und Kategorien betroffener Personen

Verarbeitet werden alle Daten, die der Verantwortliche in knowmind einstellt — typischerweise:

Geschäftsnotizen, Projekt-Dokumentation, Wissens-Artefakte
Optionale personenbezogene Daten (Namen, E-Mail-Adressen, Kontaktdaten), die im Memory-Text vorkommen

Betroffene Personenkategorien werden vom Verantwortlichen bestimmt (typischerweise: eigene Mitarbeiter, Kunden, Geschäftspartner).

§ 4 Technische und organisatorische Maßnahmen (TOM)

Hosting bei Hetzner Online GmbH (Nürnberg, Deutschland) — ISO 27001-zertifiziertes Rechenzentrum
Strikte Mandantentrennung direkt auf Datenbank-Ebene
Industriestandard-Verschlüsselung der eigenen KI-Schlüssel; Klartext nicht dauerhaft auf den Servern
Transportverschlüsselung TLS 1.3 für alle Anwender-Verbindungen
Sicherheits-Protokoll mit Vorhaltung gemäß Tarif (Privat 1 Monat, Pro 3 Monate, Team 12 Monate, Business 24 Monate, Enterprise 5 Jahre)
Mehrstufige Authentifizierung: Magic-Link via eigenen SMTP-Versand + zeitlich begrenzte API-Tokens
Daily-Backup der PostgreSQL-Cluster, Aufbewahrung 7 Tage rolling
Software-Updates: Sicherheits-Patches innerhalb von 7 Tagen nach Bekanntwerden eines CVE

§ 5 Sub-Auftragsverarbeiter

Der Auftragsverarbeiter setzt folgende Sub-Auftragsverarbeiter ein:

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (Hosting)
Stripe Payments Europe Ltd., The One Building, 1 Grand Canal Street Lower, Dublin 2 (Zahlungsabwicklung — Standard- Vertragsklauseln)
ALL-INKL.COM — Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland (Transaktions-E-Mail)

Eine Änderung der Sub-Auftragsverarbeiter wird mit 30 Tagen Vorlauf per E-Mail an die im Account hinterlegte Adresse angekündigt. Der Verantwortliche kann innerhalb dieser Frist widersprechen und den Vertrag außerordentlich kündigen.

§ 6 Weisungsbindung

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen — auch hinsichtlich der Übermittlung in ein Drittland —, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, soweit das jeweilige Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO). Die Bestimmungen dieses Vertrags, der AGB sowie die im Dashboard getroffenen Einstellungen gelten als dokumentierte Weisung. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 2 DSGVO).

§ 7 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Der Zugriff auf Kundendaten ist auf die Personen beschränkt, die ihn zur Erbringung und Wartung der Leistung benötigen.

§ 8 Rechte der Betroffenen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen — soweit möglich — bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen Betroffener auf Wahrnehmung ihrer Rechte nach Art. 15-22 DSGVO (Art. 28 Abs. 3 lit. e DSGVO). Dies erfolgt insbesondere durch den Self-Service-Export im Dashboard und die Löschmöglichkeit je Memory und für den gesamten Account. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht eigenständig.

§ 9 Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der folgenden Pflichten (Art. 28 Abs. 3 lit. f DSGVO):

Sicherheit der Verarbeitung (Art. 32 DSGVO) — durch Umsetzung und Dokumentation der in § 4 beschriebenen technischen und organisatorischen Maßnahmen.
Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde (Art. 33 DSGVO) und Benachrichtigung der betroffenen Personen (Art. 34 DSGVO) — durch die Meldung nach § 10 und Bereitstellung der dafür erforderlichen Informationen.
Datenschutz-Folgenabschätzung (Art. 35 DSGVO) — durch Bereitstellung der beim Auftragsverarbeiter vorhandenen Informationen zu Verarbeitung und Sicherheitsmaßnahmen.
Vorherige Konsultation der Aufsichtsbehörde (Art. 36 DSGVO) — durch Mitwirkung im erforderlichen Umfang.

§ 10 Meldepflichten bei Datenpannen

Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden, jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten (Art. 33 Abs. 2 DSGVO). Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, der voraussichtlichen Folgen und der ergriffenen oder vorgeschlagenen Gegenmaßnahmen, damit der Verantwortliche seinen eigenen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO nachkommen kann.

§ 11 Kontroll- und Nachweisrecht (Audit)

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO) und ermöglicht Überprüfungen — einschließlich Inspektionen —, die der Verantwortliche oder ein von diesem beauftragter Prüfer durchführt, und trägt zu diesen bei.

Hierfür gelten folgende praktikable Modalitäten:

Der Nachweis erfolgt vorrangig durch Vorlage geeigneter Unterlagen: diese AVV-Dokumentation, die TOM-Beschreibung (§ 4), die Subprozessor-Liste (§ 5) sowie vorhandener Nachweise des Rechenzentrumsbetreibers (ISO-27001-Zertifizierung des Hetzner-Rechenzentrums).
Reichen diese Unterlagen im Einzelfall nicht aus, kann der Verantwortliche eine Vor-Ort- oder Remote-Überprüfung verlangen. Diese wird mit angemessener Vorankündigung (in der Regel mindestens 14 Tage), während der üblichen Geschäftszeiten und ohne unverhältnismäßige Störung des Geschäftsbetriebs durchgeführt.
Ein vom Verantwortlichen beauftragter externer Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein und ist vorab schriftlich zur Vertraulichkeit zu verpflichten.
Der Verantwortliche trägt die ihm durch eine Überprüfung entstehenden eigenen Kosten. Der Auftragsverarbeiter kann den über die Vorlage von Nachweisen hinausgehenden, angemessenen Eigenaufwand für die Unterstützung bei Vor-Ort-Prüfungen gesondert berechnen; reine Auskünfte und die Übermittlung vorhandener Nachweise sind kostenfrei.

§ 12 Beendigung, Rückgabe und Löschung

Nach Abschluss der Verarbeitung gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen sämtliche personenbezogenen Daten zurück oder löscht sie und vernichtet vorhandene Kopien, sofern nicht eine Pflicht zur Speicherung nach Unionsrecht oder dem Recht eines Mitgliedstaats besteht (Art. 28 Abs. 3 lit. g DSGVO).

Praktisch umgesetzt wird dies wie folgt: Nach Beendigung des Hauptvertrags bleiben die Daten 30 Tage lese- und exportierbar zugänglich (Self-Service-Export im JSON-Format). Innerhalb dieser Frist kann der Verantwortliche die Rückgabe verlangen oder die Daten selbst exportieren. Nach Ablauf der 30 Tage werden alle Inhalte unwiederbringlich gelöscht.

Auf Anforderung bestätigt der Auftragsverarbeiter dem Verantwortlichen die durchgeführte Löschung schriftlich oder in Textform (Lösch-Nachweis).