# Vereinbarung zur Auftragsverarbeitung für Ente Version 1.0 - 22. Oktober 2026 ## 1. Parteien und Einbeziehung Diese Vereinbarung gilt zwischen dem im angenommenen Angebot oder Hauptvertrag bezeichneten Kunden (Auftraggeber) und TiVA Digital - Valentin Döring, Einzelunternehmen (Auftragnehmer). Die vollständigen Parteiangaben, Anschriften und Ansprechpartner ergeben sich aus dem individuellen Angebot oder Hauptvertrag und der dazu bereitgestellten Kundenkopie. Die Vereinbarung ergänzt den Vertrag über die Bereitstellung von Ente. Sie wird durch die dokumentierte Annahme der vor Vertragsschluss bereitgestellten Fassung einbezogen. Ein Download allein ist keine Annahme. Der Auftraggeber handelt für die hier beschriebenen Kundendaten als Verantwortlicher. Verarbeitet er sie selbst im Auftrag eines Dritten, teilt er dies vor Beginn mit; seine Beauftragung und Weisungen müssen vom zugrunde liegenden Auftrag gedeckt sein. Der Auftragnehmer handelt entsprechend als Auftragsverarbeiter oder weiterer Auftragsverarbeiter. Eigene Zwecke des Auftragnehmers, insbesondere Vertragsverwaltung, Abrechnung und gesetzlich erforderliche Geschäftsunterlagen, unterliegen den gesonderten Datenschutzhinweisen. Für die Auftragsverarbeitung haben diese Vereinbarung und ihre Anlagen Vorrang vor widersprechenden allgemeinen Vertragsbedingungen. Die Rechte betroffener Personen und zwingende gesetzliche Pflichten bleiben unberührt. Eine spätere Änderung der Website ersetzt nicht die vereinbarte Fassung. ## 2. Gegenstand, Zweck und Dauer Gegenstand ist die Verarbeitung personenbezogener Daten zur Bereitstellung der vereinbarten Ente-Funktionen. Dazu können Speicherung, Organisation, Verknüpfung, Suche, Anzeige, Zusammenarbeit, Import, Export, Löschung, beauftragte E-Mail- und Kalenderhandlungen, Transkription, KI-Verarbeitung, Benachrichtigung, Fehlerbehebung und Unterstützung gehören. Maßgeblich sind das angenommene Angebot, die Leistungsbeschreibung und die tatsächlich freigeschalteten Funktionen. Nicht jede mögliche Integration ist Bestandteil jedes Auftrags. Verarbeitet werden können Identitäts-, Kontakt-, Konto- und Berechtigungsdaten; geschäftliche Beziehungen, Notizen, Aufgaben und Aktivitäten; Dateien, E-Mail- und Kalenderinhalte; Audio, Transkripte und Zusammenfassungen; Prompts, ausgewählter Kontext, Modellantworten und Werkzeugergebnisse; Integrationszugänge sowie erforderliche technische und Sicherheitsdaten. Betroffene Personen können Nutzer, Beschäftigte, Auftragnehmer, Kunden, Interessenten, Lieferanten, Ansprechpartner, Gesprächsteilnehmer und andere in den beauftragten Inhalten bezeichnete Personen sein. Die Verarbeitung erfolgt während der Leistungserbringung und danach nur, soweit Rückgabe, Löschung oder gesetzliche Aufbewahrung dies erfordern. Besondere Kategorien nach Artikel 9 und Daten nach Artikel 10 DSGVO sind für den gewöhnlichen Betrieb nicht erforderlich. Beabsichtigt der Auftraggeber deren Verarbeitung, müssen Zweck, Befugnis und angemessene zusätzliche Maßnahmen vorab geklärt werden. Diese Vereinbarung erteilt keine pauschale Freigabe für besonders schutzbedürftige oder gesetzlich beschränkte Anwendungen. ## 3. Weisungen und Zweckbindung Der Auftragnehmer verarbeitet Kundendaten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich Weisungen zu Empfängern und internationalen Übermittlungen. Weisungen ergeben sich aus den Vertragsunterlagen, berechtigten Einstellungen und Nutzerhandlungen sowie nachweisbaren Einzelweisungen. Berechtigte Ansprechpartner und wesentliche Einzelweisungen werden dokumentiert. Ist eine Verarbeitung durch Unionsrecht oder das Recht eines Mitgliedstaats vorgeschrieben, informiert der Auftragnehmer den Auftraggeber vorab über diese Verpflichtung, sofern das Recht diese Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Hält der Auftragnehmer eine Weisung für datenschutzwidrig, weist er den Auftraggeber unverzüglich darauf hin und setzt den betroffenen Verarbeitungsschritt bis zur rechtmäßigen Klärung aus, soweit dies erforderlich ist. Kundeninhalte werden nicht verkauft oder ohne gesonderte rechtmäßige Vereinbarung zur Entwicklung oder zum Training allgemeiner Modelle verwendet. Beauftragte KI-Funktionen und die dafür eingesetzten Empfänger sind in Anlage 2 beschrieben. Eine Zusage ausschließlicher EU-Verarbeitung oder vollständiger Vermeidung jeder anbieterseitigen Speicherung wird damit nicht erteilt. ## 4. Vertraulichkeit und Sicherheit Der Auftragnehmer gestattet Zugriff nur Personen, die ihn für die zulässige Aufgabenerfüllung benötigen. Er stellt sicher, dass diese zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Er trifft die nach Artikel 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Die bei Vertragsschluss beschriebenen Maßnahmen stehen in Anlage 1. Sie berücksichtigen Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die Risiken für die betroffenen Personen. Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten. Wesentliche sicherheitsrelevante Änderungen werden dokumentiert; erforderliche Abstimmungen mit dem Auftraggeber bleiben unberührt. ## 5. Weitere Auftragsverarbeiter und internationale Übermittlungen Der Auftraggeber erteilt die allgemeine schriftliche Genehmigung für die in der bei Annahme bereitgestellten Anlage 2 bezeichneten einschlägigen weiteren Auftragsverarbeiter. Die Liste unterscheidet beauftragte Infrastruktur und KI-Dienste von Diensten, die der Kunde selbst verbindet, sowie von der eigenen Vertrags- und Abrechnungsverarbeitung des Auftragnehmers. Vor der Hinzuziehung oder Ersetzung eines weiteren Auftragsverarbeiters informiert der Auftragnehmer den benannten Kundenkontakt rechtzeitig vor der beabsichtigten Änderung in Textform über Identität, Aufgabe, relevante Verarbeitungsorte und Übermittlungsschutz. Er benennt eine nach Umfang und Risiko angemessene Widerspruchsfrist, die vor Beginn der betroffenen neuen Verarbeitung abläuft und grundsätzlich mindestens zehn Kalendertage beträgt. Der Auftraggeber kann innerhalb dieser Frist aus sachlichen Datenschutzgründen widersprechen. Eine verkürzte Frist setzt die ausdrückliche Zustimmung des Auftraggebers voraus. Ist eine rechtzeitige Information und Klärung nicht möglich, wird die betroffene neue Verarbeitung für den Auftraggeber nicht begonnen; erforderlichenfalls wird der betroffene Verarbeitungsschritt ausgesetzt. Die Parteien prüfen eine datenschutzgerechte Lösung. Solange eine berechtigte Beanstandung nicht geklärt ist, wird die betroffene neue Verarbeitung für den Auftraggeber nicht begonnen. Ist eine Fortführung der betroffenen Leistung nicht möglich, gelten die vertraglichen und gesetzlichen Beendigungsrechte; nicht verbrauchte Vorauszahlungen für die entfallende Leistung werden erstattet. Der Auftragnehmer verpflichtet weitere Auftragsverarbeiter vertraglich auf dieselben einschlägigen Datenschutzpflichten, insbesondere ausreichende Garantien für geeignete Schutzmaßnahmen. Er bleibt dem Auftraggeber gegenüber nach Artikel 28 Absatz 4 DSGVO für deren Pflichterfüllung verantwortlich. Die erforderlichen Identitäts-, Kontakt- und Verarbeitungskettenangaben werden bereitgestellt und aktuell gehalten. Verarbeitungen und Zugriffe außerhalb des Europäischen Wirtschaftsraums erfolgen nur auf dokumentierte Weisung und unter den Voraussetzungen der Artikel 44 ff. DSGVO. Die konkrete Grundlage, beteiligte Rechtspersonen und Rollen werden dokumentiert. Soweit Standardvertragsklauseln eingesetzt werden, müssen ihre Voraussetzungen erfüllt und erforderliche ergänzende Maßnahmen umgesetzt sein. Ein EU-Speicherort allein ersetzt diese Prüfung nicht. ## 6. Betroffenenrechte und Unterstützung Der Auftragnehmer unterstützt den Auftraggeber durch geeignete technische und organisatorische Maßnahmen bei der Beantwortung von Anträgen nach Kapitel III DSGVO. Anfragen zu auftragsgegenständlichen Kundendaten leitet er unverzüglich weiter. Er beantwortet sie nicht eigenständig inhaltlich, außer auf dokumentierte Weisung oder aufgrund gesetzlicher Verpflichtung. Unter Berücksichtigung der Verarbeitung und der verfügbaren Informationen unterstützt er den Auftraggeber bei den Pflichten nach Artikeln 32 bis 36 DSGVO, insbesondere Sicherheit, Verletzungsmeldungen, Datenschutz-Folgenabschätzung und vorheriger Konsultation. Er stellt die dafür erforderlichen verfügbaren Angaben bereit. Eine manuelle Bearbeitung ersetzt keine gesetzlichen Fristen oder Vollständigkeitspflichten. ## 7. Verletzungen des Schutzes personenbezogener Daten Der Auftragnehmer informiert den Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes auftragsgegenständlicher personenbezogener Daten bekannt geworden ist. Er teilt die verfügbaren Informationen über Art, betroffene Kategorien und ungefähren Umfang, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Abhilfemaßnahmen und einen Kontakt mit. Noch fehlende Angaben werden ohne unangemessene weitere Verzögerung ergänzt. Er sichert erforderliche Nachweise, grenzt die Auswirkungen ein und unterstützt den Auftraggeber bei dessen Melde- und Benachrichtigungspflichten. Gesetzlich erforderliche eigene Maßnahmen des Auftragnehmers bleiben unberührt. Meldungen und Anfragen sind an support@ente.fast zu richten; der Auftraggeber hält seinen Sicherheitskontakt aktuell. ## 8. Rückgabe, Löschung und Vertragsende Nach Abschluss der Verarbeitungsleistungen gibt der Auftragnehmer nach Wahl des Auftraggebers die auftragsgegenständlichen personenbezogenen Daten zurück oder löscht sie und löscht vorhandene Kopien, soweit keine gesetzliche Speicherungspflicht besteht. Format, sicherer Übergabeweg, betroffene Bestände und Ablauf werden anhand der Kundenweisung und des tatsächlichen Bestands abgestimmt. Gesetzliche Herausgabe- und Wechselrechte bleiben bestehen. Gemeinsam verwaltete Kundeninhalte werden nicht allein wegen des Ausscheidens eines einzelnen Nutzers gelöscht. Berechtigung, Datenverantwortung, verbleibende Kundenweisung und Rechte anderer Beteiligter sind vorher zu klären. Das schränkt die Löschung des dem Auftraggeber zugeordneten Bestands nach berechtigter Weisung nicht ein. Soweit Sicherungskopien nicht unmittelbar selektiv geändert werden können, werden sie von der regulären Verarbeitung ausgeschlossen und nach dem festgelegten Ablauf gelöscht oder überschrieben. Eine Wiederherstellung darf erledigte Löschweisungen nicht dauerhaft rückgängig machen. Die konkrete Sicherungs- und Aufbewahrungssituation wird dem Auftraggeber auf Anfrage erläutert. Gesetzlich aufzubewahrende Daten werden zweckgebunden gesperrt und nach Fristablauf gelöscht. Die Pflichten dieser Vereinbarung gelten für noch vorhandene Kundendaten fort. Der Auftragnehmer dokumentiert die Durchführung und stellt dem Auftraggeber eine Bestätigung bereit. Eine bloße Kontosperre oder Archivierung wird nicht als vollständige Datenlöschung bezeichnet. ## 9. Nachweise und Kontrollen Der Auftragnehmer stellt die zum Nachweis der Einhaltung von Artikel 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten Prüfer. Sicherheits- und Vertraulichkeitsinteressen sowie Rechte anderer Kunden werden durch angemessene organisatorische Maßnahmen geschützt. Die Parteien stimmen den Ablauf so ab, dass unnötige Betriebsstörungen vermieden werden. Vorhandene aussagekräftige Berichte können genutzt werden; sie ersetzen ein erforderliches gesetzliches Kontrollrecht nicht pauschal. Behördenbefugnisse und anlassbezogene Kontrollen bei erheblichen Sicherheits- oder Datenschutzfragen bleiben unbeschränkt. ## 10. Anlagen und Fassung Anlage 1: Technische und organisatorische Maßnahmen, Version 1.0 vom 22. Oktober 2026. Anlage 2: Verarbeitung und Unterauftragsverarbeiter, Version 1.0 vom 22. Oktober 2026, ergänzt um die im Auftrag freigeschalteten optionalen Funktionen und erforderliche kundenspezifische Angaben. Die vor Annahme bereitgestellten Dateien, das individuelle Angebot und der Annahmenachweis werden zusammen aufbewahrt. Änderungen folgen den vereinbarten und gesetzlichen Verfahren. Diese Vereinbarung ist eine eigene Vertragsfassung; sie wird nicht als unveränderter Wortlaut amtlicher Standardvertragsklauseln oder als Zertifizierung bezeichnet.