Auftragsverarbeitungs­vertrag

§ 1 · Gegenstand & Dauer

Dieser Vertrag konkretisiert die Pflichten der Parteien aus dem zugrunde liegenden Hauptvertrag über die Nutzung von Ukeou, soweit die nxvnt GmbH („Auftragsverarbeiterin“) personenbezogene Daten im Auftrag des Kunden („Verantwortlicher“) verarbeitet. Er gilt für die Laufzeit des Hauptvertrags und endet mit dessen Beendigung. Die allgemeine Verarbeitung personenbezogener Daten durch die nxvnt GmbH ist ergänzend in der Datenschutzerklärung beschrieben.

§ 2 · Art, Umfang & Zweck der Verarbeitung

Gegenstand der Verarbeitung ist die Bereitstellung der Ukeou-Dienste. Verarbeitet werden Stamm-, Kontakt-, Nutzungs- und Inhaltsdaten, die der Verantwortliche in die Plattform einbringt. Kategorien betroffener Personen: Nutzer, Mitarbeitende sowie Kunden und Kontakte des Verantwortlichen. Die Verarbeitung der Auftragsdaten erfolgt ausschließlich innerhalb der Europäischen Union. Eine Verarbeitung in einem Drittland findet nur nach vorheriger Information des Verantwortlichen und auf Grundlage eines Übermittlungsinstruments nach Art. 44 ff. DSGVO statt; als Übermittlungsinstrument dienen die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO (Durchführungsbeschluss (EU) 2021/914) in ihrer jeweils geltenden Fassung, sofern für das Zielland kein Angemessenheitsbeschluss nach Art. 45 DSGVO besteht.

Umfang im Standardbetrieb: Der Primärspeicher der Auftragsdaten ist eine verschlüsselte Datenbank auf dem Endgerät des Verantwortlichen (§ 10). Bei der Auftragsverarbeiterin fallen deshalb nur die Daten an, die ihr zur Erbringung der Leistung übermittelt werden: der für eine Modellabfrage nötige Ausschnitt eines Auftrags, der zur Beantwortung verarbeitet und dabei nicht gespeichert wird; Konto-, Vertrags- und Abrechnungsdaten; sowie Betriebsdaten der Ausführung — Kosten, Verbrauch und Antwortzeiten — ohne Auftragsinhalte. Eine vollständige Zweitkopie des Arbeitsbereichs entsteht bei der Auftragsverarbeiterin nicht.

§ 2a · Eigener Modellzugang des Verantwortlichen

Nutzt der Verantwortliche für die Verarbeitung einen eigenen Zugang zu einem Modellanbieter (eigener Anbieterschlüssel), übermittelt die Anwendung die Anfrage unmittelbar an diesen Anbieter. Für diese Verarbeitung ist die nxvnt GmbH nicht Auftragsverarbeiterin; maßgeblich sind allein das Vertrags- und Datenschutzverhältnis zwischen dem Verantwortlichen und seinem Anbieter — einschließlich eines dort erforderlichen Vertrags nach Art. 28 DSGVO und der Wahl der Verarbeitungsregion. Für die Speicherung und die Ausführung im Übrigen bleibt die Auftragsverarbeiterin verantwortlich: für den Arbeitsbereich, das Ereignis-Protokoll und die Maßnahmen nach § 5.

§ 3 · Weisungsrecht

Die Auftragsverarbeiterin verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern sie nicht gesetzlich zu einer anderen Verarbeitung verpflichtet ist. Sie informiert den Verantwortlichen unverzüglich, wenn sie der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt.

§ 4 · Pflichten der Auftragsverarbeiterin

Die Auftragsverarbeiterin verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29, 32 Abs. 4 DSGVO), unterstützt den Verantwortlichen bei der Einhaltung seiner Pflichten und führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

§ 5 · Technische & organisatorische Maßnahmen

Die Auftragsverarbeiterin trifft geeignete Maßnahmen nach Art. 32 DSGVO, insbesondere: TLS-/Transport- und Speicherverschlüsselung, rollenbasierte Zugriffskontrolle, Protokollierung, regelmäßige Backups, Trennung von Mandantendaten sowie Verfahren zur regelmäßigen Überprüfung der Wirksamkeit. Die vollständige Fassung der technischen und organisatorischen Maßnahmen ist als Anlage 1 zu diesem Vertrag öffentlich einsehbar, einschließlich der Reichweite und der Grenzen jeder Maßnahme.

§ 6 · Unterauftragsverhältnisse

Der Verantwortliche gestattet den Einsatz von Unterauftragsverarbeitern. Die vollständige, datierte und versionierte Liste steht unter Subprozessoren — mit Leistung, Sitz und Datenregion je Anbieter sowie der Abgrenzung zu den Diensten, die die Auftragsverarbeiterin in eigener Verantwortung nutzt (§ 6a). Die Liste ist Bestandteil dieses Vertrags in ihrer jeweils gültigen Fassung.

Genehmigt für die Auftragsdaten ist zum Stand dieses Vertrags die Amazon Web Services EMEA SARL — KI-Inferenz über Amazon Bedrock und Betrieb der serverseitigen Dienste einschließlich des Zugangs-Diensts, in Deutschland und, soweit für den Betrieb erforderlich, in einer anderen Region innerhalb der Europäischen Union. Regionen außerhalb der Union sind ausgeschlossen; verwendet werden ausschließlich die für die eingesetzten Regionen freigegebenen Modelle.

Die Auftragsverarbeiterin verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Datenschutzniveau. Eine Änderung oder Hinzunahme wird dem Verantwortlichen mindestens vier Wochen vor dem Einsatz in Textform mitgeteilt und in der Liste mit Datum und Versionsnummer eingetragen; innerhalb dieser Frist kann der Verantwortliche aus wichtigem Grund widersprechen (Art. 28 Abs. 2 DSGVO). Ist keine einvernehmliche Lösung möglich, kann er den Vertrag zum Wirksamwerden der Änderung kündigen.

§ 6a · Eigene Verarbeitungen der Auftragsverarbeiterin

Neben der Auftragsverarbeitung verarbeitet die nxvnt GmbH Daten in eigener Verantwortung. Diese Verarbeitungen sind nicht Gegenstand dieses Vertrags; die dabei eingesetzten Dienstleister sind keine Unterauftragsverarbeiter im Sinne des § 6. Einzelheiten stehen in der Datenschutzerklärung.

Zahlungsabwicklung

Zur Abwicklung kostenpflichtiger Verträge verarbeitet die nxvnt GmbH Vertrags- und Zahlungsdaten des Verantwortlichen als eigene Verantwortliche über Stripe (Stripe Payments Europe, Ltd., Dublin, Irland). Auftragsdaten werden dabei nicht übermittelt.

Besuchsanalyse der Website

Zur Analyse der Marketing-Website ukeou.ai setzt die nxvnt GmbH ihr eigenes Produkt BigHoot ein — cookielos, ohne Speicherung auf dem Endgerät, IP-Adressen werden vor der Speicherung gekürzt, geräteübergreifende Profile entstehen nicht. Die Verarbeitung erfolgt über Cloudflare (Proxy) bei Supabase in Deutschland auf Amazon Web Services. Auftragsdaten aus der Ukeou-Anwendung sind davon nicht betroffen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

E-Mail-Postfächer und Versand

Die Postfächer der Domain ukeou.ai und der Versand der Nachrichten aus den Formularen der Website liegen bei der One.com Group AB (Carlsgatan 3, 211 20 Malmö, Schweden); die Verarbeitung findet in der Europäischen Union statt. Verarbeitet werden die Absenderangaben und der Inhalt der E-Mails. Auftragsdaten aus der Ukeou-Anwendung werden dabei nicht übermittelt.

Support-Posteingang

Zur Bearbeitung von Kontakt- und Supportanfragen nutzt die nxvnt GmbH den Posteingang von Featurebase (Cordnet OÜ, Estland) auf Grundlage eines Auftragsverarbeitungsvertrags; die Verarbeitung findet auf Servern in der Europäischen Union statt. Verarbeitet werden die Angaben der anfragenden Person und der Inhalt ihrer Anfrage. Auftragsdaten aus der Ukeou-Anwendung werden dabei nicht übermittelt.

Kontaktverwaltung & Marketing

Zur Verwaltung von Kontakt- und Interessentendaten sowie zum Versand von Informations- und Werbe-E-Mails verarbeitet die nxvnt GmbH die Kontaktdaten der Ansprechpersonen des Verantwortlichen als eigene Verantwortliche über HubSpot (HubSpot Ireland Limited, Dublin, Irland), mit Speicherort in einem Rechenzentrum in Deutschland. Auftragsdaten werden dabei nicht übermittelt.

§ 7 · Unterstützung & Betroffenenrechte

Die Auftragsverarbeiterin unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO) sowie bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).

§ 8 · Meldung von Verletzungen

Die Auftragsverarbeiterin meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und stellt die zur Erfüllung der Meldepflichten nach Art. 33 und 34 DSGVO erforderlichen Informationen bereit.

§ 9 · Kontrollrechte

Die Auftragsverarbeiterin stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen – durch den Verantwortlichen oder einen beauftragten Prüfer, auch durch Vorlage geeigneter Zertifikate oder Prüfberichte.

§ 10 · Löschung & Rückgabe

Nach Abschluss der Verarbeitung löscht die Auftragsverarbeiterin nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und vernichtet vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht.

Die Löschung wirkt auf der Ebene, auf der die Auftragsdaten gespeichert sind: dem Arbeitsbereich. Der Primärspeicher ist eine verschlüsselte lokale Datenbank auf dem Endgerät des Verantwortlichen; sie wird als Ganzes entfernt. Der Datenbankschlüssel liegt im Schlüsselbund des Endgeräts; die Auftragsverarbeiterin hat keinen Zugriff darauf, und ein verbleibender Schlüsselbund-Eintrag eröffnet nach der Entfernung keinen Zugriff. Das darin geführte Ereignis-Protokoll ist fortschreibend und wird nicht nachträglich verändert — ein einzelner Eintrag wird deshalb nicht aus dem Protokollverlauf entfernt. Bei Vertragsende wird der Arbeitsbereich vollständig gelöscht.

§ 11 · Schlussbestimmungen

Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen in Datenschutzfragen die Regelungen dieses Vertrags vor. Änderungen bedürfen der Textform. Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Stand: September 2026.