Auftragsverarbeitungsvertrag

AVV gemäß Art. 28 DSGVO · Stand: 14. September 2026 · Englische Fassung

§ 1 Parteien und Gegenstand

Dieser Auftragsverarbeitungsvertrag („AVV“) ist der Standardvertrag nach Art. 28 DSGVO zwischen dem Kunden, der KI-gestützte Prozessleistungen von Aurora beauftragt (der „Kunde“ als Verantwortlicher), und der Aurora AI Solutions Studio UG (haftungsbeschränkt) („Aurora“ als Auftragsverarbeiter). Er regelt die Verarbeitung personenbezogener Daten, die Aurora im Auftrag des Kunden bei der Einrichtung und dem Betrieb der vereinbarten Prozessmodule über Aurora CapacityOS vornimmt.

Er gilt zusammen mit den AGB und dem jeweiligen Angebot. Soweit Aurora personenbezogene Daten zu eigenen Zwecken verarbeitet, insbesondere zur Vertragsanbahnung, Abrechnung, Sicherheit oder Bereitstellung der Website, ist Aurora eigenständiger Verantwortlicher gemäß der Datenschutzerklärung.

§ 2 Gegenstand, Art und Zweck der Verarbeitung

Aurora richtet KI-gestützte Prozessmodule ein und betreibt sie. Diese führen festgelegte Routineabläufe für den Kunden aus. Die Verarbeitung umfasst:

• Empfang und Auslesen eingehender E-Mails und Anhänge in den vereinbarten Prozesspostfächern oder über vom Kunden bereitgestellte Zugänge;
• Extraktion der relevanten Fallangaben aus Nachrichten und Dokumenten;
• Abgleich mit den Referenzunterlagen des Kunden (für die Suche indexierte Dokumente) über benannte, zitierte Prüfungen;
• Erstellung von Antwortentwürfen und internen Vermerken zur Prüfung durch den Kunden;
• Vorlage jeder vorbereiteten Handlung im vorgesehenen Freigabeschritt und Versand der freigegebenen Antwort an den angegebenen Empfänger, ausschließlich nach Freigabe durch den benannten Prüfer des Kunden;
• schrittweise Protokollierung der Ausführung einschließlich der verwendeten Quellen, der Freigabeentscheidungen und der aus Korrekturen des Kunden abgeleiteten Regeln als Nachweis der Leistung.

Dauer: die Laufzeit des jeweiligen Auftrags (AGB § 10). Zweck: ausschließlich die Erbringung der vereinbarten Leistungen. Aurora verwendet Daten, Dokumente und daraus abgeleitete Regeln eines Kunden nicht für andere Kunden und gestattet seinen Modellanbietern kein Training mit diesen Daten (§ 6).

§ 3 Kategorien betroffener Personen und Daten

Betroffene Personen

• Mitarbeiter und benannte Prüfer des Kunden;
• die eigenen Kunden des Kunden („Endkunden“) und sonstige Korrespondenten, deren E-Mails und Dokumente in den vereinbarten Abläufen verarbeitet werden;
• in eingereichten Dokumenten genannte Personen (z. B. Beteiligte einer Schadensmeldung, einer Rechnung, einer Finanzierungsakte).

Datenkategorien

• Kommunikationsdaten: Absender/Empfänger, Betreff, Nachrichtentext, Zeitstempel;
• von Korrespondenten eingereichte Dokumenteninhalte, z. B. Schadensschilderungen und Fotos, Rechnungen und Belege sowie Finanzierungs- und Einkommensunterlagen, je nach vereinbartem Ablauf;
• Referenzunterlagen des Kunden (Policen, Checklisten, Hausregeln), soweit sie personenbezogene Daten enthalten;
• erstellte Entwürfe, Laufprotokolle mit Quellen, Freigabeentscheidungen (welcher Prüfer wann was entschieden hat), gelernte Regeln;
• Benutzerkontodaten der Prüfer für die Freigabeoberfläche (Name, E-Mail-Adresse und Authentifizierungsdaten).

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Eingehende Korrespondenz kann beiläufig besondere Kategorien personenbezogener Daten enthalten, etwa Gesundheitsangaben in einer Schadensmeldung. Solche Daten werden nur verarbeitet, soweit sie unvermeidbarer Bestandteil des beauftragten Ablaufs sind, und unterliegen denselben Schutzmaßnahmen. Der Kunde darf keinen Ablauf beauftragen, dessen Hauptzweck die systematische Verarbeitung besonderer Kategorien personenbezogener Daten ist, ohne zuvor zusätzliche Schutzmaßnahmen schriftlich mit Aurora zu vereinbaren.

§ 4 Pflichten von Aurora als Auftragsverarbeiter

• Dokumentierte Weisungen (Art. 28 Abs. 3 lit. a): Aurora verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen ergeben sich aus dem Angebot, der vereinbarten Konfiguration des Prozessmoduls und jeder einzelnen Freigabe. Jede Freigabe gilt als Weisung zur Ausführung der freigegebenen Handlung. Aurora informiert den Kunden, wenn eine Weisung nach Auffassung von Aurora gegen Datenschutzrecht verstößt.
• Vertraulichkeit (lit. b): Alle zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet.
• Sicherheit (lit. c, Art. 32): siehe § 5.
• Unterauftragsverarbeiter (lit. d): siehe § 6.
• Betroffenenrechte (lit. e): Aurora unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Betroffenenanfragen (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch). Direkt bei Aurora eingehende Anfragen werden unverzüglich an den Kunden weitergeleitet.
• Unterstützung (lit. f): Aurora unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei Sicherheit, Meldung von Verletzungen (Art. 33/34), Datenschutz-Folgenabschätzung (Art. 35) und vorheriger Konsultation (Art. 36).
• Löschung/Rückgabe (lit. g): siehe § 8.
• Nachweise und Kontrollen (lit. h): siehe § 9.

§ 5 Technische und organisatorische Maßnahmen (Art. 32)

• Serverbetrieb in der Europäischen Union: Die technische Plattform wird auf Servern der Hetzner Online GmbH in Deutschland betrieben. Die Datenbanken einschließlich des Suchindex werden bei Supabase in Frankfurt am Main betrieben. Soweit der Auftrag von Aurora bereitgestellte Prozesspostfächer umfasst, werden diese über Google Workspace (Google Ireland Ltd.) bereitgestellt. Bei Nutzung kundeneigener Systeme erfolgt der Zugriff über die vom Kunden gewährten Zugänge. Nur Aufrufe der in § 6 genannten Modellschnittstellen werden außerhalb der Europäischen Union verarbeitet.
• Verschlüsselung: TLS 1.3 bei der Übertragung; Verschlüsselung ruhender Daten bei den Infrastrukturanbietern (AES-256).
• Mandantentrennung: Daten und Ausführungen werden für jeden Kunden in der technischen Plattform und den Datenbanken strikt getrennt. Der Zugriffsschutz auf Zeilenebene wird durch automatisierte Prüfungen kontrolliert.
• Zugriffskontrolle: Zugriffsrechte werden auf das notwendige Mindestmaß beschränkt. Die Freigabeoberfläche ist nur für die benannten Prüfer des Kunden zugänglich. Verwaltungszugriffe erfolgen schlüsselbasiert. Zugangsdaten und andere Geheimnisse werden verschlüsselt in der Systemumgebung und niemals im Quellcode gespeichert.
• Nachvollziehbarkeit: Jeder Durchlauf wird Schritt für Schritt protokolliert. Jede nach außen wirkende Handlung erfordert eine dokumentierte menschliche Freigabe unter Angabe des Empfängers. Davon ausgenommen ist ausschließlich eine automatisch versendete Eingangsbestätigung mit festem Text, die keine Angaben zum Vorgang enthält und als maschinell erstellt gekennzeichnet ist. Das Nachweisprotokoll ist Bestandteil der Leistung.
• Zuverlässigkeit: Die Systeme werden fortlaufend automatisiert überwacht; bei Störungen erfolgt eine Benachrichtigung. Hierzu gehört eine unabhängige zusätzliche Überwachung der produktiv eingesetzten Plattform. Wiederherstellungsverfahren sind dokumentiert. Für alle externen Verbindungen sind Zeitbegrenzungen und geregelte Wiederanläufe vorgesehen, damit Fehler sichtbar werden und keine Vorgänge unbemerkt verloren gehen.
• Sichere Verarbeitung von Eingaben: Eingehende Anhänge werden vor der Verarbeitung geprüft. Inhalte eingehender Nachrichten werden ausschließlich als Falldaten und nicht als Anweisungen an das System behandelt. Die Widerstandsfähigkeit gegen manipulierte Eingaben wird ausdrücklich getestet.

§ 6 Unterauftragsverarbeiter

Der Kunde genehmigt die folgenden Unterauftragsverarbeiter für die vereinbarten Prozessmodule. Die jeweils aktuelle und maßgebliche Liste einschließlich der Verweise auf die Datenschutzvereinbarungen der Anbieter ist unter helloaurora.ai/unterauftragnehmer veröffentlicht.

Unterauftragsverarbeiter	Ort	Zweck
Hetzner Online GmbH	Deutschland (EU)	Betrieb der technischen Plattform; Verarbeitung von Prozess-E-Mails, Dokumenten und Ausführungsdaten
Supabase, Inc.	EU (AWS eu-central-1, Frankfurt)	Datenbanken: Laufprotokolle, Freigabepositionen, gelernte Regeln, Dokumenten-Suchindex; Prüfer-Authentifizierung
Google Ireland Ltd. (Google Workspace)	EU/EWR; mögliche Übermittlungen an Google LLC (USA) unter DPF/SCC	Von Aurora bereitgestellte Prozesspostfächer; nur genutzt, wenn der Auftrag E-Mail-Verarbeitung über Aurora-Adressen umfasst. Keine Nutzung, wenn der Ablauf über das eigene E-Mail-System des Kunden erfolgt oder keine E-Mails verarbeitet werden.
Vercel Inc.	Rechenleistung: Frankfurt (fra1); weltweites Auslieferungsnetz; US-Gesellschaft unter DPF/SCC	Betrieb der Freigabeoberfläche
Anthropic PBC (Claude API)	USA (DPF/SCC)	Primärer Modellanbieter: Auslesen, Extraktion, Prüfungen und Entwurfserstellung innerhalb der Durchläufe. Kein Training mit den über die Schnittstelle übermittelten Daten gemäß den geltenden Geschäftsbedingungen.
OpenAI, L.L.C.	USA (DPF/SCC)	Vektordarstellungen für die Dokumentensuche; zudem als Ausweich-Modellanbieter eingerichtet. Kein Training mit über die Schnittstelle übermittelten Daten gemäß den geltenden Nutzungsbedingungen.
Stripe (Stripe Payments Europe Ltd. / Stripe, Inc.)	Irland (EU) / USA (DPF/SCC)	Zahlungsabwicklung für den laufenden Betrieb; verarbeitet werden ausschließlich Rechnungskontakt und Zahlungsstatus, niemals Inhalte der Prozessmodule

Änderungen: Aurora informiert den Kunden mindestens 30 Tage, bevor ein neuer Unterauftragsverarbeiter personenbezogene Daten des Kunden verarbeitet. Der Kunde kann innerhalb von 14 Tagen aus sachlichen datenschutzrechtlichen Gründen widersprechen. Steht keine praktikable Alternative zur Verfügung, kann jede Partei den betroffenen Auftrag zum Zeitpunkt der Änderung beenden.

Keine Unterauftragsverarbeiter: Systeme, zu denen der Kunde oder seine Endkunden Zugang gewähren, etwa eigene Postfächer, Plattformen oder eine Microsoft-365-Umgebung, verbleiben in der datenschutzrechtlichen Verantwortung der zugangsgewährenden Partei. Aurora verarbeitet lediglich die über den gewährten Zugang erreichbaren Daten. Banken wie Qonto und Wise sind eigenständig Verantwortliche. Die Verfügbarkeitsüberwachung von Aurora erhält keine personenbezogenen Daten.

§ 7 Drittlandübermittlungen

Die Verarbeitung erfolgt grundsätzlich in der Europäischen Union. Ausgenommen sind Aufrufe von Modellschnittstellen und die in § 6 genannten Dienste mit Sitz in den USA. Übermittlungen in die USA stützen sich auf den EU-US-Datenschutzrahmen, soweit der jeweilige Anbieter zertifiziert ist, und im Übrigen auf die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO). Ergänzend werden Daten bei der Übertragung und Speicherung verschlüsselt und auf das erforderliche Maß beschränkt. Modellaufrufe enthalten nur die für den jeweiligen Verarbeitungsschritt benötigten Angaben, nicht den gesamten Datenbestand des Kunden.

§ 8 Löschung und Rückgabe

Während der Laufzeit des Auftrags kann der Kunde jederzeit die Löschung einzelner Vorgänge oder Dokumente verlangen. Nach Ende des Auftrags gibt Aurora die Daten der Prozessmodule nach Wahl des Kunden in einem gängigen maschinenlesbaren Format zurück und/oder löscht sie innerhalb von 30 Tagen nach entsprechender Aufforderung, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Der Löschauftrag wird an die betroffenen Unterauftragsverarbeiter weitergegeben. Auf Wunsch bestätigt Aurora die erfolgte Löschung in Textform.

§ 9 Nachweise und Kontrollrechte

Aurora stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind. Dazu gehören die aktuellen technischen und organisatorischen Maßnahmen, die einschlägigen Zusicherungen der Unterauftragsverarbeiter und die Ausführungsprotokolle der kundeneigenen Prozessmodule. Kontrollen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer sind nach angemessener Ankündigung während der Geschäftszeiten möglich, sofern der Betrieb anderer Kunden nicht beeinträchtigt wird. Aurora kann Kontrollanfragen durch aussagekräftige Unterlagen, Zertifizierungen der Infrastrukturanbieter oder eine Videokonferenz erfüllen.

§ 10 Meldung von Datenschutzverletzungen

Aurora meldet dem Kunden unverzüglich, nachdem Aurora von einer Verletzung des Schutzes personenbezogener Daten des Kunden Kenntnis erlangt hat, mit den Angaben nach Art. 33 Abs. 3 DSGVO, sobald sie vorliegen (Art der Verletzung, betroffene Kategorien und ungefähre Zahlen, wahrscheinliche Folgen, ergriffene Maßnahmen). Die Meldepflicht gegenüber Aufsichtsbehörde und Betroffenen (Art. 33/34) liegt beim Kunden als Verantwortlichem; Aurora unterstützt ihn dabei.

§ 11 Haftung, Laufzeit, anwendbares Recht

• Die Haftung richtet sich nach Art. 82 DSGVO und den Haftungsregelungen der AGB (§ 13).
• Dieser AVV gilt für die Dauer des jeweiligen Auftrags und hinsichtlich der Pflichten aus §§ 8 bis 10 darüber hinaus, solange Aurora personenbezogene Daten des Kunden gespeichert hält.
• Es gilt deutsches Recht. Gerichtsstand: Stuttgart (für Kaufleute).