# Auftragsverarbeitungsvertrag für Brixovo

**Fassung 0.1 · 24. September 2026 · ENTWURF – ohne ausgefüllte Anlagen nicht einsatzfähig**

## Parteien und Zuordnung

**Auftraggeber:** [MANDANT: vollständiger Name/Firma, Rechtsform, Anschrift, Vertretung, Datenschutzkontakt]

**Auftragnehmer:** Martin Tomczak, Holstenstraße 3d, 25560 Schenefeld, Deutschland, handelnd unter Brixovo. Datenschutzkontakt: [FREIGABE: Kontaktadresse].

**Hauptvertrag:** [VERTRAGS-ID, Datum und Dienstumfang].

**Rolle des Auftraggebers, je Verarbeitung festzulegen:** [Verantwortlicher / Auftragsverarbeiter im Auftrag benannter Verantwortlicher].

> Dieses Vertragsmuster ist für den von Brixovo betriebenen SaaS-Dienst erstellt, nicht für eine selbstgehostete Kit-Lizenz. Die Anlagen A–D sind Vertragsbestandteil und müssen die konkrete Betriebsrealität wiedergeben. Die älteren Dateien im übergeordneten Verzeichnis werden nicht stillschweigend einbezogen.

## § 1 Gegenstand, Zweck und Dauer

1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich zur Erbringung der im Hauptvertrag vereinbarten und in Anlage A bezeichneten Plattformleistungen. Verarbeitungsvorgänge können insbesondere Erfassung, Speicherung, Organisation, Extraktion, Indexierung, Retrieval, Übermittlung an genehmigte Modell- und Infrastrukturpartner, Generierung, Anzeige, Export, Einschränkung und Löschung umfassen.

2. Der Auftrag umfasst nur die tatsächlich gebuchten Funktionen: gegebenenfalls Wissensverarbeitung und Chat, Widgets, Websites und Kontaktanfragen, freigegebene Integrationen und Automatisierungen sowie damit verbundene Verwaltung und technische Unterstützung. Eine pauschale Ermächtigung zu beliebigen weiteren Zwecken wird nicht erteilt.

3. Der Vertrag beginnt vor Aufnahme der Auftragsverarbeitung und gilt während deren gesamter Dauer einschließlich vereinbarter Rückgabe-, Wechsel- und Löschphasen. Er endet erst, wenn keine im Auftrag zu verarbeitenden Daten mehr beim Auftragnehmer oder seinen weiteren Auftragsverarbeitern vorhanden sind, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

4. Eigene Verarbeitung des Auftragnehmers für Vertragsabrechnung, eigene gesetzliche Pflichten und sonstige selbst bestimmte Zwecke ist nur auf eigener tragfähiger Rechtsgrundlage zulässig und gesondert transparent zu machen. Die Einordnung als „Sicherheit“ oder „Metadaten“ nimmt Daten nicht automatisch aus dem Datenschutzrecht heraus.

## § 2 Rollen in der Verarbeitungskette

1. Ist der Auftraggeber Verantwortlicher, bestimmt er Zwecke und wesentliche Mittel der Verarbeitung im gesetzlichen Rahmen. Ist er selbst Auftragsverarbeiter eines Endkunden, beauftragt er Brixovo als weiteren Auftragsverarbeiter nur aufgrund entsprechender Genehmigung und zulässiger Weisungen seines Auftraggebers.

2. Der Auftraggeber dokumentiert die Verantwortlichen und zulässigen Weisungswege in Anlage A. Er gibt die einschlägigen Pflichten entlang der Kette weiter. Brixovo unterstützt notwendige Nachweis- und Kontrollrechte des letztlich Verantwortlichen, ohne unbefugte Direktzugriffe auf andere Kunden zu eröffnen.

3. Verbraucher, die für private Zwecke Leistungen kaufen, sind nicht allein deshalb Verantwortliche der vom Mandanten zu eigenen Vertragszwecken vorgenommenen Datenverarbeitung. Die Rollen werden verarbeitungsspezifisch, nicht allein anhand des Kontonamens bestimmt.

## § 3 Weisungen

1. Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung, auch hinsichtlich Drittlandübermittlungen. Soweit eine gesetzliche Verarbeitungspflicht besteht, informiert er den Auftraggeber vor der Verarbeitung über diese Pflicht, soweit das Recht dies nicht aus wichtigen öffentlichen Interessen untersagt.

2. Anfängliche Weisungen ergeben sich aus Hauptvertrag, diesem Vertrag und den ausgefüllten Anlagen. Weitere Weisungen können in Textform oder über einen vereinbarten dokumentierten Administrationsprozess erteilt werden. Zulässige Konfigurationen sind nur innerhalb des vereinbarten Zwecks Weisungen; die bloße technische Möglichkeit einer Einstellung erweitert den Auftrag nicht.

3. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich und setzt den betroffenen Vorgang bis zur rechtmäßigen Klärung aus. Die bloße Bestätigung einer weiterhin rechtswidrigen Weisung verpflichtet nicht zu deren Ausführung.

4. Weisungsberechtigte und Ansprechpartner werden in Anlage D benannt. Besondere Maßnahmen wie Exporte, Löschungen, Supportzugriffe und externe Empfängerfreigaben erfordern eine angemessene Berechtigungsprüfung.

## § 4 Vertraulichkeit und Sicherheit

1. Zur Verarbeitung befugte Personen werden vor Tätigkeitsaufnahme zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht. Zugriff erfolgt nach dem Erforderlichkeitsprinzip. Die Verpflichtung wirkt nach Vertragsende fort.

2. Der Auftragnehmer setzt die in Anlage B konkret beschriebenen technischen und organisatorischen Maßnahmen um. Die Maßnahmen gewährleisten unter Berücksichtigung des Stands der Technik, der Kosten sowie von Art, Umfang, Umständen und Zwecken der Verarbeitung ein angemessenes Schutzniveau. Eine vorhandene Softwarefunktion allein gilt nicht als Nachweis ihres sicheren Betriebs.

3. Änderungen der Maßnahmen sind zulässig, soweit das vereinbarte Schutzniveau nicht abgesenkt wird. Wesentliche Änderungen werden dokumentiert und erforderlichenfalls mitgeteilt. Der Auftragnehmer prüft Wirksamkeit, Wiederherstellbarkeit und erforderliche Anpassungen regelmäßig.

4. Pseudonymisierte Kennungen, Hashwerte und Ereignismetadaten können weiterhin personenbezogene Daten sein. Automatische PII-Erkennung ist keine vollständige Anonymisierung; ihre Grenzen und die erfassten Verarbeitungspfade sind in Anlage B zutreffend anzugeben.

5. Eine Verarbeitung von Mandanteninhalten zum Training allgemein verwendbarer Modelle oder für eigene Werbung ist nicht Teil dieses Auftrags. Der Auftragnehmer bindet die von ihm eingesetzten Partner entsprechend und prüft die tatsächliche Vertrags- und Konfigurationslage. Eine abweichende optionale Verarbeitung darf nicht durch diese Klausel fingiert werden.

## § 5 Weitere Auftragsverarbeiter und Empfänger

1. Die bei Vertragsschluss in Anlage C vollständig benannten weiteren Auftragsverarbeiter werden allgemein genehmigt. Neue oder ersetzte weitere Auftragsverarbeiter sind vor Beginn ihres Einsatzes mitzuteilen. **Vertragsvorschlag:** Die Mitteilung erfolgt grundsätzlich mindestens 30 Kalendertage vor dem beabsichtigten Einsatz; der Auftraggeber erhält Gelegenheit zu einem begründeten datenschutzbezogenen Widerspruch vor Beginn.

2. Die Parteien prüfen einen Widerspruch und suchen eine geeignete Alternative. Ein beanstandeter neuer Dienstleister wird für die betroffene Verarbeitung nicht eingesetzt, solange der Widerspruch nicht rechtmäßig geklärt ist. Ist eine Fortführung ohne ihn nicht möglich, ist eine gesonderte Vereinbarung oder geordnete Beendigung des betroffenen Dienstes erforderlich. Vorauszahlungen für danach nicht mehr erbrachte Leistungen sind abzurechnen und zu erstatten.

3. Der Auftragnehmer legt dem weiteren Auftragsverarbeiter mindestens dieselben einschlägigen Datenschutzpflichten auf und bleibt dem Auftraggeber gegenüber für deren Erfüllung verantwortlich. Er überprüft ausreichende Garantien und stellt notwendige Nachweise zur Verfügung.

4. Übermittlungen außerhalb des EWR setzen die Voraussetzungen des Kapitels V DSGVO voraus. Empfänger, Länder, Transfergrundlage, gegebenenfalls ergänzende Maßnahmen und Transferprüfung werden in Anlage C dokumentiert. Eine EU-Speicherregion allein beweist nicht den Ausschluss aller Drittlandzugriffe.

5. Vom Auftraggeber eigenständig ausgewählte Integrationsziele sind nach ihrer tatsächlichen Funktion als weitere Auftragsverarbeiter, eigenständige Verantwortliche oder sonstige Empfänger einzuordnen. Der Auftragnehmer darf Weisungen zu einer erkennbar unzulässigen Übermittlung nicht ungeprüft ausführen. Wartung oder Support ist nicht pauschal vom Unterauftragsverarbeitungsbegriff ausgenommen.

## § 6 Betroffenenrechte, Vorfälle und Unterstützung

1. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und weiteren Betroffenenrechten. Direkt eingehende Anträge werden unverzüglich an den zuständigen Auftraggeber weitergeleitet, soweit nicht eine eigene gesetzliche Pflicht besteht.

2. Identität und Befugnis werden angemessen geprüft. Daten anderer Betroffener, Mandanten oder Auftraggeber dürfen nicht unbefugt herausgegeben werden. Gesetzliche Fristen werden durch interne Ticket- oder Zahlungsprozesse nicht verlängert.

3. Der Auftragnehmer meldet dem Auftraggeber jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten **unverzüglich**. Eine noch unvollständige Sachverhaltsaufklärung darf die Erstmeldung nicht verzögern. Fehlende Einzelheiten werden schrittweise nachgereicht. Die Parteien können eine zusätzliche konkrete Reaktionszielzeit vereinbaren; hier wird keine ungeprüfte Betriebszusage von 24 oder 48 Stunden fingiert.

4. Die Meldung enthält soweit verfügbar Art und Umfang des Vorfalls, betroffene Daten und Personengruppen, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen sowie einen Kontakt für Rückfragen. Der Auftragnehmer sichert erforderliche Nachweise datensparsam und unterstützt Meldungen und Benachrichtigungen des Verantwortlichen.

5. Der Auftragnehmer unterstützt entsprechend seiner Informationen und Verarbeitung die Einhaltung der Pflichten zur Sicherheit, Datenschutz-Folgenabschätzung und gegebenenfalls vorherigen Konsultation. Eigene gesetzliche Pflichten des Auftragnehmers bleiben bestehen.

6. Gesetzlich geschuldete Unterstützung wird nicht von einer vorgängigen Sonderzahlung abhängig gemacht. Gesonderte über das Geschuldete hinausgehende Zusatzleistungen bedürfen eines transparenten Angebots; für Folgen eigener Pflichtverletzungen werden keine zusätzlichen Entgelte vereinbart.

## § 7 Nachweise und Kontrolle

1. Der Auftragnehmer stellt alle zum Nachweis der Einhaltung seiner Pflichten erforderlichen Informationen bereit und ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten geeigneten Prüfer. Zertifikate von Infrastrukturpartnern sind kein Ersatz für den Nachweis der eigenen organisatorischen Maßnahmen.

2. Prüfungen werden grundsätzlich mit angemessener Vorankündigung, unter Vertraulichkeit und mit möglichst geringer Beeinträchtigung des Betriebs koordiniert. Dringende anlassbezogene Prüfungen, gesetzliche Rechte und behördliche Befugnisse werden dadurch weder beschränkt noch auf einmal jährlich begrenzt.

3. Daten und Geschäftsgeheimnisse anderer Kunden sowie Sicherheit und Vertraulichkeit sind zu schützen. Alternative Nachweise können vereinbart werden, soweit sie die erforderliche Kontrolle tatsächlich ermöglichen. Ein genereller Verzicht auf Kontrollrechte wird nicht vereinbart.

4. Der Auftragnehmer führt die gesetzlich erforderlichen Verzeichnisse und Dokumentationen und stellt einen gegebenenfalls erforderlichen Datenschutzbeauftragten. Die Bestellpflicht und tatsächliche Bestellung werden nicht ohne Prüfung behauptet.

## § 8 Rückgabe, Löschung und Aufbewahrung

1. Nach Abschluss der Verarbeitungsleistungen gibt der Auftragnehmer die Daten nach Wahl des Auftraggebers zurück und löscht vorhandene Kopien oder löscht die Daten, soweit keine gesetzliche Speicherungspflicht entgegensteht. Anbieterwechsel- und Abruffristen werden mit der zulässigen Weisung abgestimmt; der AVV gilt während dieser Zeit weiter.

2. Anlage B enthält konkrete Löschfristen und Mechanismen für Ursprungsdateien, Suchindizes und Embeddings, Chats, Leads, Automatisierungsdaten, Protokolle, Zwischenspeicher und Sicherungen. Eine bloße logische Löschung gilt nicht als vollständige Vernichtung. Externe Empfänger sind entsprechend dem zulässigen Auftrag einzubeziehen.

3. Gesetzlich notwendige Nachweise werden getrennt, zugriffsbeschränkt und nur so lange wie erforderlich gespeichert. Eine Hashkette oder die Bezeichnung „Compliance“ begründet keine pauschale Aufbewahrungsausnahme für personenbezogene Daten. Der Auftragnehmer dokumentiert Löschung oder rechtlich notwendige Restaufbewahrung und weist sie auf Verlangen nach.

## § 9 Haftung und Schlussbestimmungen

1. Die gesetzlichen Rechte betroffener Personen und die Haftung nach Art. 82 DSGVO bleiben unberührt. Die Parteien können ihre gesetzliche Verantwortung nicht durch eine Rollenbezeichnung abbedingen. Zwingende Pflichten gegenüber weiteren Beteiligten bleiben bestehen.

2. Für andere vertragliche Ansprüche gelten die Haftungsregeln des Hauptvertrags nur, soweit kein zwingendes Recht entgegensteht. Diese Regelung reduziert nicht die erforderlichen Schutz-, Mitwirkungs- und Nachweispflichten.

3. In datenschutzrechtlichen Fragen geht dieser Vertrag vor. Individuelle Vereinbarungen und zwingende Standardvertragsklauseln bleiben vorrangig. Der Vertrag kann einschließlich Anlagen in einem dokumentierten elektronischen Format geschlossen werden. Bei Unwirksamkeit gelten die gesetzlichen Rechtsfolgen.

---

## Anlage A – Konkreter Verarbeitungsauftrag

**Pflichtangaben, vor Nutzung auszufüllen:**

| Feld | Eintrag |
|---|---|
| Hauptvertrag und freigeschaltete Module | [AUSFÜLLEN] |
| Verantwortlicher bzw. Verantwortliche je Verarbeitung | [AUSFÜLLEN; bei AV-Kette deren Genehmigung dokumentieren] |
| Zweck der jeweiligen Verarbeitung | [AUSFÜLLEN; keine pauschale Freigabe aller Kundenzwecke] |
| Betroffene Personen | [Auswahl: Admins/Mitarbeiter, Endkunden, Besucher, Kontaktpersonen, Dokumentbetroffene] |
| Tatsächliche Datenarten | [Auswahl: Stamm-/Kontaktdaten, Dokumentinhalte, Chat, Leads, technische IDs, Vertrags-/Abrechnungsbezug, Aktionsdaten] |
| Besondere Kategorien/Strafdaten/Berufsgeheimnisse | Im Standard ausgeschlossen; Sonderfall nur mit konkreter Vereinbarung |
| Zeitlicher Umfang | [Beginn, Hauptvertragsdauer, Abwicklungsphase] |
| Zulässige Empfänger und Integrationsziele | [AUSFÜLLEN] |
| Verarbeitungsländer und Zugriffsländer | [AUSFÜLLEN; nicht nur Speicherort] |

## Anlage B – TOM- und Löschverzeichnis: Ausfüll- und Nachweismatrix

**Diese Tabelle ist ein Freigabeformular, noch keine vollständig vereinbarte TOM-Beschreibung. Für jede Zeile konkrete Maßnahmen und Belege eintragen; vor Verwendung alle Lücken schließen.**

| Bereich | Konkret festzulegen und nachzuweisen |
|---|---|
| Physischer Betrieb | Rechenzentren/Vertragspartei, Standorte, Zutrittskonzept, verifizierte Zertifizierungsbezüge |
| Administrative Zugänge | Verantwortliche, MFA-Regel, sichere Notfallzugänge, Ausscheiden von Mitarbeitern |
| Mandantentrennung | Berechtigungsgrenzen, Tests, Schutz von Downloads/Exports/Indizes und Supportzugriffen |
| Verschlüsselung | Transport, Datenbanken, Objektspeicher, Sicherungen, Schlüsselzuständigkeit und Rotation |
| Integrationen | Secret-Verwahrung, minimale Scopes, Empfängerfreigaben, Rechteentzug und sichere Wiederholung |
| KI-Verarbeitung | Modell-/Endpointfreigaben, Regionen, Inhaltsaufbewahrung der Partner, Trainingsausschluss, PII-Grenzen |
| Protokollierung | Tatsächliche Ereignisfelder, Zugriff, Zweck, Speicherort und Löschfrist; personenbezogene Metadaten berücksichtigen |
| Verfügbarkeit und Wiederherstellung | Backupumfang/-frequenz, Recoveryziele, Wiederherstellungstests, Ausfall-/Notfallorganisation |
| Schwachstellen und Änderungen | Updates, Prüfungen, Freigaben, Betriebskontrollen, Geheimnisschutz |
| Betroffenenrechte | Identitätsprüfung, Zuständigkeiten, Export-/Löschpfade über alle Speicher |
| Vorfälle | Überwachter Meldekanal, Ruf-/Vertretungsorganisation, Erstmeldung, Eskalation und Nachtrag |
| Inhaltslöschung | Dokumente, Dateien, Chunks, Embeddings, Chat, Leads, Vorlagen, Aktionsinhalte: konkrete Frist je Kategorie |
| Sicherungslöschung | Maximalfrist, Schutz vor produktiver Wiedernutzung, Umgang mit Restore |
| Gesetzliche Aufbewahrung | Konkrete Datenkategorie, Rechtsgrundlage, Dauer und Löschung nach Fristablauf |

## Anlage C – Weitere Auftragsverarbeiter und Transfers

**Nur tatsächlich eingesetzte Partner eintragen. Kandidaten aus dem Repository sind keine genehmigte Live-Liste.**

| Vertragspartner mit Anschrift | Leistung/Datentyp | Speicher- und Zugriffsländer | AV-Vertrag/Transfergrundlage | Maßnahmen/Nachweis |
|---|---|---|---|---|
| [Microsoft: konkrete Vertragsgesellschaft] | [Azure-Dienste/Modelldienst konkret] | [AUSFÜLLEN] | [Vertragsstand, ggf. SCC/Angemessenheit] | [AUSFÜLLEN] |
| [E-Mail-/Support-/Monitoringpartner, soweit tatsächlich eingesetzt] | [AUSFÜLLEN] | [AUSFÜLLEN] | [AUSFÜLLEN] | [AUSFÜLLEN] |
| [Weitere tatsächlich eingesetzte Partner] | [AUSFÜLLEN] | [AUSFÜLLEN] | [AUSFÜLLEN] | [AUSFÜLLEN] |

Stripe ist je Dienst und Verarbeitung gesondert einzuordnen; eine pauschale Einordnung sämtlicher Zahlungs-, Betrugsprüfungs- und gesetzlicher Vorgänge als Unterauftragsverarbeitung wäre nicht belastbar. Eigenverantwortliche Verarbeitung ist in den passenden Datenschutzhinweisen zu behandeln.

## Anlage D – Kontakte und Vertragsabschluss

- Weisungsberechtigte des Auftraggebers: [Name/Funktion/Kontakt].
- Weisungsempfänger des Auftragnehmers: [Name/Funktion/Kontakt].
- Vorfallkontakt einschließlich Vertretung: [AUSFÜLLEN].
- Datenschutzbeauftragter, soweit bestellt: [AUSFÜLLEN oder zutreffend nicht bestellt].
- Versionskennungen aller Anlagen: [AUSFÜLLEN].
- Dokumentierte elektronische Zustimmung oder Unterschriften beider Parteien mit Datum und Vertretungsbefugnis: [AUSFÜLLEN].