Vertrag zur Auftragsverarbeitung (AVV)

gemäß Art. 28 DSGVO · Stand: August 2026

Dieser Vertrag konkretisiert die Pflichten bei der Verarbeitung personenbezogener Daten, die die Adfire Consulting GmbH („Auftragsverarbeiterin") im Auftrag des Kunden („Verantwortlicher") im Rahmen der Nutzung von Lara durchführt. Er ist Bestandteil des Nutzungsvertrags.

Hinweis: Dieser Text ist eine Vorlage. Für den Abschluss im Einzelfall wird er von beiden Parteien mit den konkreten Angaben ausgefüllt und unterzeichnet [unterschriftsreife Fassung erstellen].

§ 1 Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch die Auftragsverarbeiterin zum Zweck der Bereitstellung und Erbringung der Software-Leistungen (Verwaltung und Assistenz für E-Mail-Postfächer des Verantwortlichen). Die Dauer entspricht der Laufzeit des Nutzungsvertrags.

§ 2 Art und Zweck der Verarbeitung

Auslesen und Synchronisieren von E-Mails der vom Verantwortlichen freigegebenen Microsoft-365-Postfächer, Triage (Kategorisierung und Priorisierung), Erstellung von Antwort- und Angebots-Entwürfen (als Entwürfe im Postfach des Verantwortlichen), Erzeugung von Angebots-PDFs sowie optional Termin-Vorschläge und regelmäßige Zusammenfassungen. Die Auftragsverarbeiterin versendet niemals selbstständig E-Mails; es entstehen ausschließlich Entwürfe (einzige Ausnahme: Zusammenfassungen an das eigene Postfach des Verantwortlichen). Der Zugriff ist per Exchange ApplicationAccessPolicy auf die freigegebenen Postfächer begrenzt. Die Verarbeitung erfolgt ausschließlich zur Erfüllung dieses Zwecks und nach Weisung des Verantwortlichen.

§ 3 Art der Daten und Kategorien betroffener Personen

Datenarten (soweit in den Postfächern bzw. hinterlegten Daten enthalten):

• E-Mail-Inhalte und -Metadaten (Absender, Empfänger, Betreff, Zeitpunkte, Anhänge) der freigegebenen Postfächer,
• Kontakt- und Stammdaten von Kommunikationspartnern (Name, Anschrift, E-Mail, Telefon),
• Vertrags- und Angebotsdaten (angefragte Leistungen, Mengen, Preise, Konditionen) sowie hinterlegte Preislisten und Wissensbasis-Einträge,
• Zugangs- und Protokolldaten der Nutzer des Verantwortlichen.

Kategorien betroffener Personen:

• Mitarbeitende des Verantwortlichen (als Postfach-Inhaber und Nutzer der Anwendung),
• Kommunikationspartner des Verantwortlichen (insbesondere dessen Kunden und Lieferanten sowie deren Ansprechpartner und Beschäftigte).

§ 4 Pflichten der Auftragsverarbeiterin

1. Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch bezüglich der Übermittlung in Drittländer, es sei denn, eine rechtliche Verpflichtung besteht.
2. Verpflichtung der zur Verarbeitung befugten Personen auf Vertraulichkeit bzw. deren Unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht.
3. Umsetzung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO (siehe Anlage 1).
4. Einsatz von Unterauftragsverarbeitern nur nach Maßgabe des § 6.
5. Unterstützung des Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO) durch geeignete technische und organisatorische Maßnahmen.
6. Unterstützung des Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).
7. Meldung von Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden an den Verantwortlichen.
8. Nach Wahl des Verantwortlichen Löschung oder Rückgabe aller personenbezogenen Daten nach Abschluss der Leistungen: Löschung bei Vertragsende binnen 30 Tagen; Sicherungskopien (Backups) werden spätestens nach weiteren 35 Tagen überschrieben bzw. gelöscht. Gesetzliche Aufbewahrungspflichten der Auftragsverarbeiterin bleiben unberührt; in diesem Fall werden die Daten gesperrt.
9. Nachweis der Einhaltung der Pflichten und Ermöglichung von Überprüfungen (Audits) durch den Verantwortlichen oder von ihm beauftragte Prüfer in zumutbarem Umfang.

§ 5 Weisungsrecht

Weisungen erfolgen grundsätzlich in Textform. Hält die Auftragsverarbeiterin eine Weisung für rechtswidrig, teilt sie dies dem Verantwortlichen mit und darf die Ausführung bis zur Bestätigung aussetzen.

§ 6 Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der nachstehenden Unterauftragsverarbeiter zu. Über den Wechsel oder die Hinzunahme weiterer Unterauftragsverarbeiter wird der Verantwortliche rechtzeitig informiert und kann aus wichtigem Grund widersprechen.

Microsoft 365: Der Zugriff auf die Postfächer erfolgt über eine vom Verantwortlichen selbst angelegte App-Registrierung in dessen eigenem Microsoft-365-Mandanten. Microsoft ist insoweit Auftragsverarbeiter des Verantwortlichen (auf Grundlage des Vertrags zwischen Verantwortlichem und Microsoft) und kein Unterauftragsverarbeiter der Auftragsverarbeiterin.

§ 7 Drittlandübermittlung

Übermittlungen in Drittländer erfolgen nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage der EU-Standardvertragsklauseln bzw. eines Angemessenheitsbeschlusses. Die konkreten Grundlagen je Dienstleister sind vor Abschluss zu bestätigen [rechtliche Prüfung].

§ 8 Rechte des Verantwortlichen, Kontrolle

Der Verantwortliche bleibt Verantwortlicher im Sinne der DSGVO. Er ist berechtigt, sich von der Einhaltung dieses Vertrags zu überzeugen, insbesondere durch Einholung von Auskünften und geeignete Nachweise (z. B. Berichte, Zertifikate der Unterauftragsverarbeiter).

§ 9 Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO. Ergänzend gelten die Regelungen des Nutzungsvertrags und der AGB. Es gilt deutsches Recht.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die Auftragsverarbeiterin setzt insbesondere folgende Maßnahmen um:

Vertraulichkeit

• Zugang nur per Einladung (kein öffentliches Registrieren), rollen- und rechtebasierte Zugriffssteuerung je Nutzer und Mandant.
• Mandantentrennung auf Datenbankebene: jede Tabelle mit Mandantenkennung, durchgesetzt über Row-Level-Security als zweite Sicherungslinie; Datei-Speicher mit mandantengetrennten Pfaden.
• Postfach-Zugriff auf das Notwendige begrenzt: Exchange ApplicationAccessPolicy beschränkt den Zugriff auf die vom Verantwortlichen freigegebenen Postfächer.
• Verschlüsselte Übertragung (TLS/SSL) zu allen Datenbank- und Dienst-Verbindungen.

Integrität

• Lückenloses, unveränderliches Änderungsprotokoll (Audit-Log) aller fachlichen Aktionen inkl. KI-Entscheidungen mit Begründung und Konfidenz.
• Kein eigenständiger E-Mail-Versand durch das System: KI-Ergebnisse entstehen ausschließlich als Entwürfe, die der Verantwortliche prüft und selbst versendet.

Verfügbarkeit und Belastbarkeit

• Betrieb der Datenhaltung in der EU über einen etablierten Anbieter mit Sicherung/Backups.
• Getrennte, ausfallresistente Verarbeitungs-Pipeline mit Wiederaufnahme fehlgeschlagener Vorgänge.

Verfahren zur regelmäßigen Überprüfung

• Automatisierte Prüfmechanismen (u. a. Rechte-, Mandantentrennungs- und Konsistenzprüfungen) im Entwicklungs- und Auslieferungsprozess.
• Trennung von Test- und Produktivdaten; keine Nutzung echter Kundendaten in Testwerkzeugen.

Die vorstehenden Maßnahmen werden fortlaufend an den Stand der Technik angepasst.

Diese Fassung ist ein sorgfältig erstellter Entwurf und ersetzt keine Rechtsberatung.