§ 1 · Gegenstand & Dauer

Dieser Vertrag konkretisiert die Pflichten der Parteien aus dem zugrunde liegenden Hauptvertrag über die Nutzung von Ukeou, soweit die nxvnt GmbH („Auftragsverarbeiterin“) personenbezogene Daten im Auftrag des Kunden („Verantwortlicher“) verarbeitet. Er gilt für die Laufzeit des Hauptvertrags und endet mit dessen Beendigung. Die allgemeine Verarbeitung personenbezogener Daten durch die nxvnt GmbH ist ergänzend in der Datenschutzerklärung beschrieben.

§ 2 · Art, Umfang & Zweck der Verarbeitung

Gegenstand der Verarbeitung ist die Bereitstellung der Ukeou-Dienste. Verarbeitet werden Stamm-, Kontakt-, Nutzungs- und Inhaltsdaten, die der Verantwortliche in die Plattform einbringt. Kategorien betroffener Personen: Nutzer, Mitarbeitende sowie Kunden und Kontakte des Verantwortlichen. Die Verarbeitung der Auftragsdaten erfolgt ausschließlich innerhalb der Europäischen Union. Eine Verarbeitung in einem Drittland findet nur nach vorheriger Information des Verantwortlichen und auf Grundlage eines Übermittlungsinstruments nach Art. 44 ff. DSGVO statt.

§ 3 · Weisungsrecht

Die Auftragsverarbeiterin verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern sie nicht gesetzlich zu einer anderen Verarbeitung verpflichtet ist. Sie informiert den Verantwortlichen unverzüglich, wenn sie der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt.

§ 4 · Pflichten der Auftragsverarbeiterin

Die Auftragsverarbeiterin verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29, 32 Abs. 4 DSGVO), unterstützt den Verantwortlichen bei der Einhaltung seiner Pflichten und führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

§ 5 · Technische & organisatorische Maßnahmen

Die Auftragsverarbeiterin trifft geeignete Maßnahmen nach Art. 32 DSGVO, insbesondere: TLS-/Transport- und Speicherverschlüsselung, rollenbasierte Zugriffskontrolle, Protokollierung, regelmäßige Backups, Trennung von Mandantendaten sowie Verfahren zur regelmäßigen Überprüfung der Wirksamkeit. Die vollständige Fassung der technischen und organisatorischen Maßnahmen stellen wir auf Anfrage als Anlage zu diesem Vertrag bereit.

§ 6 · Unterauftragsverhältnisse

Der Verantwortliche gestattet den Einsatz folgender Unterauftragsverarbeiter; die Auftragsverarbeiterin verpflichtet diese vertraglich auf ein gleichwertiges Datenschutzniveau:

Amazon Web Services EMEA SARL

KI-Inferenz (Claude via Amazon Bedrock) & Betrieb der Ukeou-Anwendung, ausschließlich auf Servern innerhalb Deutschlands (Region eu-central-1)

Jonas Pasche (Uberspace)

Hosting der Marketing-Website ukeou.ai, Serverstandort Deutschland. Auftragsdaten aus der Anwendung werden dort nicht verarbeitet; die Nennung erfolgt zur Vollständigkeit.

Eine Änderung oder Hinzunahme weiterer Unterauftragsverarbeiter wird dem Verantwortlichen vorab mitgeteilt; er kann einer Änderung aus wichtigem Grund widersprechen.

§ 6a · Eigene Verarbeitungen der Auftragsverarbeiterin

Neben der Auftragsverarbeitung verarbeitet die nxvnt GmbH Daten in eigener Verantwortung. Diese Verarbeitungen sind nicht Gegenstand dieses Vertrags; die dabei eingesetzten Dienstleister sind keine Unterauftragsverarbeiter im Sinne des § 6. Einzelheiten stehen in der Datenschutzerklärung.

Fehler- und Stabilitätsdiagnose

Zur Erkennung und Behebung technischer Fehler der Ukeou-Anwendung erhebt die nxvnt GmbH technische Diagnosedaten (Fehlermeldung, betroffene Programmfunktion, Zeitpunkt, gekürzte IP-Adresse, Geräte- und Versionsinformationen) und verarbeitet sie über Sentry (Functional Software, Inc., USA) auf Grundlage eines Auftragsverarbeitungsvertrags und der EU-Standardvertragsklauseln. Auftragsdaten des Verantwortlichen — insbesondere von ihm eingebrachte Inhalte, Prompts, Memos und Kundendaten — werden nicht übermittelt; entsprechende Inhalte werden vor der Übertragung technisch entfernt.

Zahlungsabwicklung

Zur Abwicklung kostenpflichtiger Verträge verarbeitet die nxvnt GmbH Vertrags- und Zahlungsdaten des Verantwortlichen als eigene Verantwortliche über Stripe (Stripe Payments Europe, Ltd., Dublin, Irland). Auftragsdaten werden dabei nicht übermittelt.

Reichweitenmessung der Website

Zur statistischen Auswertung der Marketing-Website ukeou.ai setzt die nxvnt GmbH Plausible Analytics (Plausible Insights OÜ, Tartu, Estland) ein — cookielos, ohne Speicherung von IP-Adressen und ohne geräteübergreifende Profile; die Verarbeitung findet ausschließlich innerhalb der EU statt. Auftragsdaten aus der Ukeou-Anwendung sind davon nicht betroffen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Kontaktverwaltung & Marketing

Zur Verwaltung von Kontakt- und Interessentendaten sowie zum Versand von Informations- und Werbe-E-Mails verarbeitet die nxvnt GmbH die Kontaktdaten der Ansprechpersonen des Verantwortlichen als eigene Verantwortliche über HubSpot (HubSpot Ireland Limited, Dublin, Irland), mit Speicherort in einem Rechenzentrum in Deutschland. Auftragsdaten werden dabei nicht übermittelt.

§ 7 · Unterstützung & Betroffenenrechte

Die Auftragsverarbeiterin unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO) sowie bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).

§ 8 · Meldung von Verletzungen

Die Auftragsverarbeiterin meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und stellt die zur Erfüllung der Meldepflichten nach Art. 33 und 34 DSGVO erforderlichen Informationen bereit.

§ 9 · Kontrollrechte

Die Auftragsverarbeiterin stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen – durch den Verantwortlichen oder einen beauftragten Prüfer, auch durch Vorlage geeigneter Zertifikate oder Prüfberichte.

§ 10 · Löschung & Rückgabe

Nach Abschluss der Verarbeitung löscht die Auftragsverarbeiterin nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und vernichtet vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht.

§ 11 · Schlussbestimmungen

Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen in Datenschutzfragen die Regelungen dieses Vertrags vor. Änderungen bedürfen der Textform. Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Stand: Juli 2026.