Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

Stand: 08.09.2026

1. Vertragsparteien und Einbeziehung

Dieser Vertrag wird zwischen dem im BookHost-Hauptvertrag und in der Bestellbestätigung bezeichneten Kunden als Verantwortlichem und Auftraggeber und der productivity-boost.com Betriebs UG (haftungsbeschränkt) & Co. KG, Reichenbergerstr. 2, 94036 Passau, Deutschland, vertreten durch Florian Standhartinger, als Auftragsverarbeiter und Auftragnehmer geschlossen. Kontakt: info@productivity-boost.com, Telefon: +49 178 1981631. Die weiteren Vertretungs- und Registerangaben ergeben sich aus dem Impressum.

Der AVV wird durch ausdrückliche elektronische Einbeziehung in den Hauptvertrag oder gesonderte Vereinbarung wirksam. Er muss vor der Verarbeitung personenbezogener Kundeninhalte geschlossen sein. Die Parteien dokumentieren Annahme, Datum, vereinbarte Fassung und Identität des Kunden. Kunde und weisungsberechtigte Kontoverwalter sind anhand der Bestellbestätigung und der vom Kunden gepflegten Berechtigungen bestimmbar; eine öffentliche Nennung des Kunden ist nicht erforderlich.

Ist der Kunde selbst Auftragsverarbeiter, handelt BookHost als weiterer Auftragsverarbeiter. Der Kunde stellt sicher, dass die Einbeziehung von BookHost durch die Weisungen und Genehmigungen seines Verantwortlichen gedeckt ist. Die nachfolgenden Pflichten gelten entsprechend in der Verarbeitungskette.

Bei Widersprüchen zu anderen vertraglichen Regelungen hat dieser AVV hinsichtlich der Auftragsverarbeitung Vorrang. Die Anlagen sind Vertragsbestandteil. Die Verarbeitung eigener Vertrags-, Rechnungs- und gesetzlich erforderlicher Unternehmensdaten des Auftragnehmers als Verantwortlicher fällt nicht unter diesen AVV; hierfür gilt die Datenschutzerklärung.

2. Gegenstand und Weisungen

Der Auftragnehmer verarbeitet die in Anlage 1 beschriebenen Daten ausschließlich zu den dort genannten Zwecken und nach dokumentierten Weisungen des Auftraggebers. Hauptvertrag, dieser AVV und die bestimmungsgemäße Nutzung autorisierter Funktionen bilden die anfänglichen Weisungen. Zusätzliche Weisungen können in Textform an info@productivity-boost.com erteilt werden. Bei Zweifeln an der Berechtigung darf der Auftragnehmer die Identität angemessen prüfen.

Mündliche Eilweisungen werden unverzüglich dokumentiert. Der Auftragnehmer informiert unverzüglich, wenn er eine Weisung für datenschutzrechtswidrig hält, und setzt die betroffene Verarbeitung bis zur Klärung aus, soweit erforderlich. Eine Verarbeitung zu eigenen Zwecken, Werbung oder Modelltraining ist nicht erlaubt.

Verlangt Unionsrecht oder das Recht eines Mitgliedstaates ausnahmsweise eine andere Verarbeitung, informiert der Auftragnehmer den Auftraggeber vorab über diese Pflicht, soweit das betreffende Recht eine solche Information nicht aus wichtigen Gründen des öffentlichen Interesses untersagt.

3. Pflichten des Auftraggebers

Der Auftraggeber verantwortet die Rechtmäßigkeit der Erhebung und Nutzung der Inhalte, die Information der Betroffenen, die Auswahl einer Rechtsgrundlage sowie seine Weisungen. Er vergibt und überprüft Benutzer- und Freigaberechte. Er informiert den Auftragnehmer über besondere Schutzanforderungen und erkennbare Fehler oder Sicherheitsvorfälle.

Die Beauftragung von KI-Funktionen ist eine gesondert dokumentierbare Weisung und erfolgt erst nach deren Freischaltung und nach Erfüllung der Voraussetzungen in Anlage 3. Der Auftraggeber minimiert übermittelte Inhalte auf das für den jeweiligen Zweck Erforderliche. Nicht vereinbarte besondere Kategorien personenbezogener Daten und strafrechtliche Daten dürfen nicht gezielt zur KI-Verarbeitung übermittelt werden.

4. Vertraulichkeit und Sicherheit

Der Auftragnehmer setzt nur Personen ein, die auf Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht über das Ende ihrer Tätigkeit hinaus. Berechtigungen werden auf notwendige Aufgaben beschränkt und bei Wegfall unverzüglich entzogen.

Der Auftragnehmer verpflichtet sich, die Maßnahmen aus Anlage 2 vor Beginn der jeweiligen Verarbeitung umzusetzen und über deren Dauer zu erhalten. Er berücksichtigt Stand der Technik, Implementierungskosten, Art, Umfang, Umstände und Zwecke sowie Eintrittswahrscheinlichkeit und Schwere der Risiken. Maßnahmen dürfen weiterentwickelt werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie dem Auftraggeber mit.

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Verarbeitung und der verfügbaren Informationen bei dessen Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen einer Aufsichtsbehörde. Er benennt auf Anfrage die zuständige Datenschutzkontaktperson und, sofern bestellt, den Datenschutzbeauftragten.

5. Betroffenenrechte und Sicherheitsverletzungen

Gehen beim Auftragnehmer Anträge betroffener Personen zu Kundeninhalten ein, leitet er sie unverzüglich an den Auftraggeber weiter. Er erteilt dazu keine eigenständige inhaltliche Auskunft ohne Weisung, soweit keine gesetzliche Verpflichtung besteht. Er unterstützt durch geeignete technische und organisatorische Maßnahmen insbesondere bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit, damit gesetzliche Fristen eingehalten werden können.

Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden an dessen hinterlegte Kontaktadresse, nach Möglichkeit innerhalb von 24 Stunden. Diese Zielzeit ist keine Erlaubnis, eine mögliche frühere Meldung aufzuschieben. Die Meldung enthält, soweit bekannt, Art und Umfang des Vorfalls, betroffene Daten- und Personenkategorien, ungefähre Anzahlen, Kontaktstelle, voraussichtliche Folgen sowie ergriffene oder vorgeschlagene Gegenmaßnahmen. Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht.

Der Auftragnehmer sichert angemessene Nachweise, begrenzt den Schaden und unterstützt bei der Prüfung von Melde- und Benachrichtigungspflichten. Die Entscheidung über Meldungen des Verantwortlichen an Behörde und Betroffene liegt beim Auftraggeber. Eigene gesetzliche Pflichten des Auftragnehmers bleiben unberührt.

6. Nachweise und Kontrollen

Der Auftragnehmer stellt alle erforderlichen Informationen zum Nachweis der Einhaltung dieses AVV und des Art. 28 DSGVO bereit. Er ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von diesem beauftragten unabhängigen Prüfer und trägt dazu bei. Berichte, aussagekräftige Dokumentation und geeignete Nachweise können zunächst genutzt werden; sie schließen eine erforderliche Vor-Ort-Kontrolle nicht aus.

Reguläre Kontrollen werden mit angemessener Vorankündigung und möglichst während üblicher Geschäftszeiten durchgeführt. Bei konkreten Vorfällen, begründetem Verdacht oder behördlichen Anforderungen sind kurzfristige Kontrollen möglich. Geheimnisse und Daten anderer Kunden werden geschützt, ohne das Prüfungsrecht auszuhöhlen. Etwaige Kosten außergewöhnlicher Unterstützungsleistungen bedürfen einer gesonderten angemessenen Vereinbarung; gesetzlich notwendige Zusammenarbeit und dringende Hilfe werden nicht von einer vorherigen Zahlung abhängig gemacht.

Der Auftragnehmer informiert über behördliche Maßnahmen, Beschlagnahmen oder sonstige Zugriffe, die die Auftragsdaten betreffen, soweit ihm dies rechtlich erlaubt ist. Er weist zugreifende Stellen auf die Zuordnung der Daten zum Auftraggeber hin und wirkt im rechtlich möglichen Umfang auf deren Schutz hin.

7. Weitere Auftragsverarbeiter und Drittlandtransfers

Der Auftraggeber erteilt eine allgemeine schriftliche beziehungsweise elektronische Genehmigung für weitere Auftragsverarbeiter nach Maßgabe dieser Regelung. Die anfänglich vorgesehenen Empfänger sind in Anlage 3 aufgeführt. Eine reine Aufnahme in die Liste ersetzt nicht den erforderlichen Vertrag und die dort genannten Aktivierungsvoraussetzungen.

Der Auftragnehmer informiert mindestens 30 Tage vor dem beabsichtigten Einsatz eines neuen oder ersetzten Unterauftragsverarbeiters in Textform über Identität, Aufgabe, Verarbeitungsorte und relevante Garantien. Der Auftraggeber kann vor Einsatz aus nachvollziehbaren Datenschutzgründen widersprechen. Die Parteien suchen eine geeignete Alternative. Bis zur Klärung findet die beanstandete neue Übermittlung nicht statt. Ist keine zumutbare datenschutzkonforme Lösung möglich, kann der Auftraggeber die betroffene Leistung ohne zusätzliche Beendigungsgebühr zum geplanten Änderungszeitpunkt kündigen; bei Untrennbarkeit gilt dies für den gesamten Dienst. Vorauszahlungen für danach nicht erbrachte Leistungen werden erstattet.

Der Auftragnehmer legt weiteren Auftragsverarbeitern mindestens dieselben einschlägigen Datenschutzpflichten auf und prüft deren Eignung. Er bleibt gegenüber dem Auftraggeber für die Erfüllung dieser Pflichten verantwortlich. Auch weitere Stufen der Kette sind einzubeziehen. Auf Anfrage stellt er relevante Nachweise und Vertragsinformationen bereit, gegebenenfalls mit erforderlichen Schwärzungen.

Die Verarbeitung von Instanz- und Sicherungsdaten bei Hetzner ist auf Deutschland und Finnland beschränkt. Übermittlungen oder Zugriffe aus Drittländern durch weitere Anbieter setzen eine dokumentierte Weisung und die Voraussetzungen der Art. 44 ff. DSGVO voraus. Soweit kein einschlägiger Angemessenheitsbeschluss greift, sind wirksame Standardvertragsklauseln im passenden Modul, eine Bewertung der Übermittlung und erforderliche ergänzende Maßnahmen zu dokumentieren. TEE-Technik allein ersetzt keine Transfergrundlage. Vor einer entsprechenden Übermittlung erhält der Auftraggeber die maßgeblichen Länder- und Garantieninformationen.

8. Beendigung, Rückgabe und Löschung

Nach Ende des Hauptvertrags gibt der Auftragnehmer personenbezogene Auftragsdaten nach Wahl des Auftraggebers zurück oder löscht sie und löscht bestehende Kopien, soweit keine gesetzliche Speicherpflicht entgegensteht. Exporte sind während der Laufzeit über BookStack möglich; bis zur aktiven Löschung unterstützt der Auftragnehmer die Rückgabe noch vorhandener Daten auf Anfrage. Eine Inhaltsausgabe ersetzt nur dann eine vollständige Datenrückgabe, wenn sie deren vereinbarten Umfang abdeckt.

Ohne abweichende zulässige Weisung erfolgt die Löschung aus den aktiven Systemen spätestens 30 Tage nach Vertragsende. Der Auftraggeber kann eine frühere Löschung verlangen. Technisch abgeschottete Sicherungen werden innerhalb von höchstens sieben weiteren Tagen durch die Sicherungsrotation entfernt, spätestens also am 37. Tag nach Vertragsende. Der Auftraggeber genehmigt diese eng begrenzte Restaufbewahrung ausschließlich zu Sicherungszwecken. Solche Daten stehen nicht mehr für produktive Verarbeitung zur Verfügung; bei Wiederherstellung werden bereits erteilte Löschweisungen erneut umgesetzt.

Besteht eine zwingende gesetzliche Aufbewahrungspflicht, teilt der Auftragnehmer deren Umfang und Grundlage mit, soweit zulässig, und beschränkt Speicherung und Zugriff auf den gesetzlichen Zweck. Gesetzliche Pflichten für eigene Rechnungen rechtfertigen keine Aufbewahrung sämtlicher Kundeninhalte. Auf Wunsch bestätigt der Auftragnehmer die abgeschlossene Löschung einschließlich des Ablaufs der Sicherungskopien in Textform. Die Schutzpflichten gelten bis zur tatsächlichen Löschung fort.

9. Schlussbestimmungen

Die Verantwortlichkeit und Haftung gegenüber Betroffenen, insbesondere nach Art. 82 DSGVO, wird nicht eingeschränkt. Ergänzend gilt der Hauptvertrag, soweit er diesem AVV und zwingendem Datenschutzrecht nicht widerspricht. Änderungen werden schriftlich oder in elektronischer Form dokumentiert. Die jeweils angenommene Fassung bleibt für die Parteien abrufbar beziehungsweise speicherbar.

Anlage 1 – Gegenstand, Dauer, Art und Zweck der Verarbeitung

Anlage 2 – Technische und organisatorische Maßnahmen (TOM)

Die folgenden Maßnahmen sind vertraglicher Mindeststandard. Sie beschreiben die vom Auftragnehmer zu erfüllenden Pflichten und sind kein Zertifikat oder Bericht über einen bereits durchgeführten unabhängigen Audit.

1. Zutritt und physischer Schutz

Der Serverbetrieb erfolgt in zugangsbeschränkten Hetzner-Rechenzentren. Der Auftragnehmer prüft die vom Infrastrukturbetreiber bereitgestellten Sicherheitsnachweise. Datenträger und Sicherungsmedien werden ausschließlich über die vorgesehenen Verwaltungswege genutzt und bei Aufgabe des Speichers sicher gelöscht beziehungsweise nach dokumentierten Verfahren des Anbieters ausgesondert.

2. Administrations- und Zugangsschutz

Administrative Serverzugriffe erfolgen über persönliche SSH-Schlüssel; Passwortanmeldung für SSH ist deaktiviert. Verwaltungsoberflächen mit administrativem Zugriff werden durch Zwei-Faktor-Authentisierung geschützt. Zugänge werden personenbezogen vergeben, auf das erforderliche Maß begrenzt, regelmäßig geprüft und bei Ausscheiden entzogen. Schlüssel und Wiederherstellungscodes werden getrennt von Kundeninhalten geschützt verwahrt. Notfallzugriffe werden begründet und protokolliert. Kundenseitige Zugänge werden durch sichere Sitzungen und rollenbasierte Berechtigungen abgesichert.

3. Mandantentrennung

Jede Kundeninstanz läuft in einem eigenen Container beziehungsweise einer eigenen Containergruppe. Datenbanken, Dateibereiche und Zugangsdaten werden je Mandant getrennt zugeordnet. Die Kontoverwaltung prüft für jede mandantenbezogene Aktion die Zugehörigkeit und Berechtigung. Gemeinsame Infrastruktur bedeutet keine gemeinsame Sichtbarkeit von Kundeninhalten. Interne Datenbank- und Verwaltungsdienste werden durch Netzwerkregeln vor unberechtigtem Zugriff geschützt.

4. Übertragung und Sicherungsverschlüsselung

Öffentliche Zugriffe auf Website, Kontoverwaltung und BookStack erfolgen über TLS mit gültigen Zertifikaten; unverschlüsseltes HTTP wird auf HTTPS umgeleitet. Datenübermittlungen an vereinbarte Dienste nutzen verschlüsselte Verbindungen. Sicherungen werden vor Ablage im Backup-Speicher verschlüsselt; Schlüsselzugriffe sind getrennt vom Zugriff auf Sicherungsdateien zu kontrollieren. Eine Verschlüsselung sämtlicher aktiver Datenträger oder eine durchgängige Ende-zu-Ende-Verschlüsselung wird damit nicht behauptet.

5. Protokollierung und Integrität

Administrative Änderungen, Berechtigungsänderungen, Sicherungsläufe, Wiederherstellungen und sicherheitsrelevante Ereignisse werden nachvollziehbar dokumentiert. Protokollzugriff ist beschränkt. Geheimnisse, vollständige Authentisierungstoken und Dokumentinhalte werden nicht absichtlich in Betriebslogs geschrieben. Die Aufbewahrungsfristen werden dokumentiert und technisch durchgesetzt. Updates werden kontrolliert eingespielt; Sicherheitsmeldungen und fehlgeschlagene Sicherungen werden bearbeitet.

6. Verfügbarkeit und Wiederherstellbarkeit

Mindestens tägliche Sicherungen umfassen Datenbank und erforderliche Instanzdateien. Ihre Aufbewahrung beträgt sieben Tage. Sicherungen werden vor unberechtigtem Überschreiben und Zugriff geschützt. Wiederherstellungsprüfungen erfolgen regelmäßig sowie nach wesentlichen Änderungen des Sicherungsverfahrens; Datum, Sicherungsstand, Prüfergebnis und Abhilfen werden dokumentiert. Wiederherstellungen werden in einem getrennten Ziel geprüft, bevor eine produktive Instanz ersetzt wird. Wiederanlauf- und Vorfallverfahren sind dokumentiert; eine feste Wiederherstellungszeit ist nicht zugesagt.

7. Löschkonzept und Datenminimierung

Aktive Instanzdaten werden spätestens 30 Tage nach Vertragsende gelöscht, auf zulässige Weisung früher. Sicherungskopien laufen spätestens sieben Tage nach aktiver Löschung aus. Löschvorgänge und ihre Ausnahmen werden dokumentiert. Temporäre Dateien und Exporte werden nach Erfüllung ihres Zwecks entfernt; gesetzlich zurückbehaltene Daten werden isoliert. Nach Rücksicherung werden zwischenzeitliche Löschungen erneut ausgeführt. Verantwortliche und technische Fristen für Logs und temporäre Verarbeitungen werden festgelegt.

8. Organisation und beauftragter Support

Vertraulichkeitsverpflichtungen, rollenbezogene Datenschutzunterweisung, minimale Rechte, ein dokumentiertes Verfahren für Betroffenenanfragen sowie ein Verfahren zur unverzüglichen Meldung von Sicherheitsverletzungen sind verbindlich. Dienstleister werden vor Einsatz und bei wesentlichen Änderungen geprüft. Supportzugriffe auf Kundeninhalte sind auf den erforderlichen Anlass und Umfang beschränkt. Die Wirksamkeit der Maßnahmen wird regelmäßig überprüft und dokumentiert.

9. Zusätzliche Maßnahmen für den Dokument-Eingang (Upload-Beta)

Für die Inferenz werden ausschließlich vereinbarte TEE-Modelle genutzt. Die tatsächliche TEE-Eigenschaft des gewählten Endpunkts wird geprüft; eine beliebige Modellbezeichnung genügt nicht. Ohne zulässigen Endpunkt wird der Vorgang gestoppt. Nur für den Auftrag erforderliche Inhalte werden übermittelt. Eine Nutzung für Modelltraining oder eine freiwillige Inhaltsprotokollierung wird nicht aktiviert. Entwürfe bleiben bis zur menschlichen Freigabe unveröffentlicht. Für künftig angebotene KI-Antworten müssen Berechtigungen bereits bei der Auswahl der Quellinhalte und bei der Ausgabe beachtet werden; ein späteres Ausblenden einzelner Links reicht nicht. Separate Löschfristen gelten für Eingangsdaten, Entwürfe und technische Metadaten.

Anlage 3 – Dienstleister und Unterauftragsverarbeiter

Die Rollen werden je Verarbeitungsvorgang bestimmt. Stripe und Google sind für ihre eigenen Konto-, Zahlungs-, Sicherheits- und gesetzlichen Aufgaben eigene Verantwortliche; ihre Nennung macht diese Tätigkeiten nicht zu einer Unterauftragsverarbeitung von BookStack-Seiten.

Chutes: Bestätigung und Aktivierungsvoraussetzungen

Die Chutes-Nutzungsbedingungen nennen Chutes Global Corp als Betreiber und das Recht von Nevis. Die Zuordnung als in Nevis registrierte Gesellschaft mit Nummer C 61974 stammt ergänzend aus dem öffentlichen TAO.app-Unternehmensprofil. Die Registerzuordnung ist damit recherchiert, aber nicht durch einen amtlichen Registerauszug bestätigt. Die öffentliche Chutes-DPA beschreibt Auftragsverarbeitung und verweist allgemein auf Standardvertragsklauseln; sie belegt allein weder die für BookHost abgeschlossene Vertragskette noch konkrete Inferenzstandorte.

Die Upload-Beta ist technisch verfügbar; der Kunde veranlasst die Inferenz über Chutes mit jedem Upload. Dies ersetzt nicht die vor dem ersten Upload personenbezogener Kundeninhalte erforderlichen Vertrags- und Transfernachweise. Verbindliche Geschäftsanschrift, konkrete Inferenz- und Metadatenländer sowie beteiligte GPU-Unterauftragnehmer sind öffentlich nicht abschließend belegt. Wir sagen keine EU-exklusive Verarbeitung zu. Der Kunde erhält diese Angaben und die für seinen Einsatz maßgeblichen Vertrags- und Transferinformationen vor dem ersten Upload personenbezogener Kundeninhalte in Textform über info@productivity-boost.com. Bis dahin darf die technisch verfügbare Beta nur mit nicht personenbezogenen Beispieldokumenten genutzt werden. Inhalte öffentlicher LLM-API-Anfragen werden bei Chutes nur während der Anfrage im Arbeitsspeicher verarbeitet und nicht darüber hinaus gespeichert. Originaldateien werden nur vorübergehend zur Textextraktion verarbeitet. Gespeicherter Quelltext wird bei Veröffentlichung oder Ablehnung entfernt; Intake-Einträge einschließlich Entwürfen werden nach 30 Tagen beim stündlichen Bereinigungslauf gelöscht. Für veröffentlichte BookStack-Seiten und Sicherungen gilt Abschnitt 8; Anwendungsprotokolle nach 14 Tagen, Sicherheitsprotokolle nach 30 Tagen.

Voraussetzung für die Nutzung mit personenbezogenen Kundeninhalten sind ein wirksamer Art.-28-Vertrag mit Chutes als Unterauftragsverarbeiter sowie dokumentierte Drittlandgarantien einschließlich des zur Vertragskette passenden SCC-Moduls, Transferprüfung und erforderlicher ergänzender Maßnahmen. Solange dies nicht vorliegt, ist die Nutzung mit personenbezogenen Kundeninhalten nicht freigegeben; die technische Verfügbarkeit der Beta ist kein Nachweis dieser Voraussetzungen.

Bis diese Voraussetzungen erfüllt und dem Auftraggeber transparent gemacht sind, dürfen keine personenbezogenen Kundeninhalte an Chutes übermittelt werden. TEE schützt die Verarbeitung im Arbeitsspeicher, ersetzt aber weder eine korrekte Rollen- und Vertragskette noch die Anforderungen an Drittlandübermittlungen. Die Annahme dieses AVV ist keine Einwilligung in unbestimmte Drittlandtransfers.

E-Mail-Verarbeitung

Passwort-Reset-Nachrichten, gegebenenfalls Login-Links und Benachrichtigungen werden über Resend Inc. versandt (USA, EU-Datenverarbeitung nach Standardvertragsklauseln). Der Dienst verarbeitet Empfängeradresse, Nachrichteninhalt und Zustellmetadaten. Ein zukünftiger Dokument-E-Mail-Eingang ist damit nicht freigeschaltet; vor dessen Aktivierung werden der konkrete Empfangsdienst, Speicherfristen und Verarbeitungsorte nach dem Verfahren dieses AVV mitgeteilt.

Reine Anmeldemails zur eigenen Kontoverwaltung werden rollenbezogen in der Datenschutzerklärung erläutert. Ein Dienstleister, der Dokument-Eingangsmails für Kunden verarbeitet, ist zusätzlich als Unterauftragsverarbeiter nach diesem AVV einzubeziehen.