Vereinbarung zur Auftragsverarbeitung (AVV)

Stand: 11.07.2026

Diese Vereinbarung nach Art. 28 DSGVO regelt die Verarbeitung personenbezogener Daten, die Fhavio (Anbieter, „Auftragsverarbeiter") im Auftrag des Kunden („Verantwortlicher") durchführt. Sie wird mit Vertragsschluss Bestandteil des Vertrags.

§ 1 Gegenstand und Dauer

Gegenstand ist die Bereitstellung des Dienstes gemäß den AGB. Die Verarbeitung dauert für die Laufzeit des Vertragsverhältnisses; sie endet mit dessen Beendigung und der anschließenden Löschung oder Rückgabe der Daten.

§ 2 Art und Zweck der Verarbeitung

Speicherung, Organisation und Auswertung der vom Verantwortlichen eingestellten oder aus verbundenen Diensten importierten Inhalte zum Zweck der Aufgaben- und Dokumentenverwaltung, der plattformübergreifenden Zusammenführung sowie der KI- gestützten Suche und Beantwortung.

§ 3 Art der Daten und Kategorien betroffener Personen

Datenarten: Stamm- und Kontaktdaten, Kommunikations- und Dokumenteninhalte, Aufgaben- und Projektdaten, Metadaten. Der Verantwortliche entscheidet, welche Inhalte er einstellt; die Verarbeitung besonderer Kategorien (Art. 9 DSGVO) ist nicht bezweckt.
Betroffene: Beschäftigte, Kunden, Interessenten und Kommunikationspartner des Verantwortlichen.

§ 4 Weisungsbindung

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen und nicht für eigene Zwecke. Die Nutzung des Dienstes gemäß seiner Funktionen gilt als solche Weisung.

§ 5 Vertraulichkeit

Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet.

§ 6 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselung: Transportverschlüsselung (TLS/HTTPS); Verschlüsselung sensibler Zugangsdaten (Integrations-Tokens, Schlüssel) im Ruhezustand.
• Mandantentrennung: Trennung der Kundendaten auf Datenbankebene durch PostgreSQL Row-Level-Security (eigene Rolle ohne Superuser-Rechte) sowie zusätzlich auf Anwendungsebene.
• Zugriffskontrolle: rollen- und rechtebasierte Zugriffssteuerung (Owner/Admin/Mitglied, feingranulare Lese-/Schreibrechte), Passwörter nur als Hash gespeichert.
• Verfügbarkeit: tägliche, verschlüsselte Backups; getrennte Dienste für Anwendung, Datenbank und Queue.
• Nachvollziehbarkeit: Protokollierung sicherheitsrelevanter Ereignisse; Datenminimierung und begrenzte Speicherdauer.

§ 7 Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zur Beauftragung der unten gelisteten Unterauftragsverarbeiter. Änderungen werden mit angemessener Frist angekündigt; der Verantwortliche kann widersprechen. Den Unterauftragsverarbeitern werden dieselben Datenschutzpflichten auferlegt.

Die Erzeugung von Such-Embeddings erfolgt auf eigener Infrastruktur (selbst betriebene KI); insoweit wird kein Dritt-Anbieter eingesetzt.

§ 8 Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Erfüllung von Betroffenenrechten (Art. 12 bis 23) sowie bei den Pflichten aus Art. 32 bis 36 DSGVO (Datensicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung). Von einer Verletzung des Schutzes personenbezogener Daten unterrichtet er den Verantwortlichen unverzüglich.

§ 9 Löschung und Rückgabe

Nach Beendigung des Vertrags werden die Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, soweit keine gesetzliche Aufbewahrungspflicht besteht. Die Löschung wird auf Anforderung bestätigt.

§ 10 Nachweise und Audit

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung dieser Vereinbarung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen mit angemessener Vorankündigung.