Auftragsverarbeitungsvertrag (AVV)

1. Präambel

Dieser Auftragsverarbeitungsvertrag („AVV“) wird geschlossen zwischen:

• Verantwortlicher: dem Kunden, der die Dienste der Creativate Technologies GmbH nutzt („Verantwortlicher“)
• Auftragsverarbeiter: Creativate Technologies GmbH, Lahnstraße 65, 60326 Frankfurt am Main, Deutschland („Auftragsverarbeiter“)

Dieser AVV ergänzt die Nutzungsbedingungen und ist deren Bestandteil. Er regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen nach Art. 28 DSGVO. Anlage 1 (Unterauftragsverarbeiter) und Anlage 2 (technische und organisatorische Maßnahmen) sind Bestandteil dieses AVV.

2. Gegenstand, Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen ausschließlich zur Erbringung der Dienste nach den Nutzungsbedingungen, insbesondere:

• Bereitstellung der Anwendung c:node, Hosting und Speicherung von Inhalten (Chats, Dateien, Gedächtnis, Entwürfe, Berechnungen)
• KI-gestützte Analyse, Beantwortung von Fragen, Zusammenfassung und Erstellung von Entwürfen durch Sprachmodelle
• Lesen und – nur nach Freigabe durch eine berechtigte Person – Schreiben in vom Verantwortlichen verbundenen Diensten (Konnektoren, z. B. E-Mail, Kalender, Dateiablagen, Aufgaben-, CRM- und Buchhaltungssysteme)
• Ausführung von Routinen (zeitgesteuerte Aufgaben), deren Ergebnis immer ein freizugebender Entwurf ist
• Verwaltung von Benutzern, Rollen, Teams und Berechtigungen innerhalb der Organisation des Verantwortlichen
• Bereitstellung von Schnittstellen (API, MCP) zu Anwendungen des Verantwortlichen
• Support, Fehleranalyse und Sicherheit im Zusammenhang mit den vorstehenden Leistungen

Die Verarbeitung findet grundsätzlich in der EU statt (AWS, Frankfurt). Eine Verarbeitung in Drittländern erfolgt nur durch die in Anlage 1 genannten Unterauftragsverarbeiter und nur nach Abschnitt 8.

3. Kategorien betroffener Personen

• Nutzer (Beschäftigte, Beauftragte oder Vertreter des Verantwortlichen)
• Personen, deren Daten in Inhalten des Verantwortlichen vorkommen: Kunden, Lieferanten, Geschäftspartner, Bürgerinnen und Bürger, Bewerberinnen und Bewerber, sonstige Kontakte (z. B. in E-Mails, Kalendern, Dokumenten, Aufgaben)
• Endnutzer der Produkte oder Dienste des Verantwortlichen, soweit der Verantwortliche deren Daten verarbeitet

4. Arten personenbezogener Daten

• Identitäts- und Kontaktdaten (Name, E-Mail, Telefon, Funktion, Organisation)
• Konto-, Rollen- und Berechtigungsdaten
• Inhaltsdaten: Fragen, Antworten, Dateien, Notizen, Entwürfe, Berechnungen
• Daten aus verbundenen Diensten: E-Mails (Metadaten und, wenn gewählt, Inhalte), Termine, Dateien, Aufgaben, CRM- und Buchhaltungsdaten im vom Verantwortlichen freigegebenen Umfang
• Protokoll- und Nutzungsdaten (Freigaben, Routinen-Läufe, Nutzungszähler, technische Protokolle)
• Besondere Kategorien (Art. 9 DSGVO) nur, soweit der Verantwortliche sie in Inhalte einbringt; der Auftragsverarbeiter verarbeitet erkannte besondere Kategorien nur mit Modellen in der EU oder auf eigenen Servern (Anlage 2, Nr. 7)

5. Dauer der Verarbeitung

Die Verarbeitung dauert für die Laufzeit des Nutzungsvertrags. Nach Beendigung werden die Daten nach Abschnitt 11 gelöscht oder zurückgegeben.

6. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter:

a) verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen – auch in Bezug auf Übermittlungen in Drittländer –, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Verantwortlichen diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet. Als Weisungen gelten der Nutzungsvertrag, dieser AVV und die Einstellungen, die der Verantwortliche in c:node vornimmt (z. B. Modellrichtlinie „nur EU“, aktivierte Konnektoren, Freigaberegeln);

b) informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzvorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO);

c) stellt sicher, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer gesetzlichen Verschwiegenheitspflicht unterliegen;

d) trifft alle nach Art. 32 DSGVO erforderlichen Maßnahmen; die Maßnahmen sind in Anlage 2 beschrieben und dürfen nur durch gleichwertige oder bessere ersetzt werden;

e) beachtet die Bedingungen für die Inanspruchnahme weiterer Auftragsverarbeiter (Abschnitt 7);

f) unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Abschnitt 9);

g) unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) und stellt dafür die erforderlichen Informationen bereit, insbesondere zu den eingesetzten KI-Modellen und Unterauftragsverarbeitern;

h) löscht oder gibt nach Abschluss der Leistungen nach Wahl des Verantwortlichen alle personenbezogenen Daten zurück (Abschnitt 11);

i) stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Pflichten zur Verfügung und ermöglicht Überprüfungen (Abschnitt 12);

j) verwendet die Daten des Verantwortlichen nicht für eigene Zwecke, insbesondere nicht zum Training von KI-Modellen, und lässt ein Training durch Unterauftragsverarbeiter nicht zu.

7. Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt eine allgemeine Genehmigung für die in Anlage 1 genannten Unterauftragsverarbeiter.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor der Hinzuziehung oder dem Austausch eines Unterauftragsverarbeiters per E-Mail oder in der Anwendung. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann der Verantwortliche den betroffenen Dienst bzw. den Vertrag außerordentlich kündigen.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich im Wesentlichen dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO), und haftet für dessen Einhaltung.

(4) Keine Unterauftragsverarbeiter im Sinne dieses AVV sind Dienste, die der Verantwortliche selbst mit c:node verbindet (Konnektoren, eigene API-Schlüssel für Sprachmodelle, eigene KI-Clients über MCP). Für diese gilt das Vertragsverhältnis des Verantwortlichen mit dem jeweiligen Anbieter.

8. Übermittlungen in Drittländer

Übermittlungen in Länder außerhalb des EWR erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO:

• auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist, oder
• auf Grundlage der Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914, Modul 3 Auftragsverarbeiter an Unterauftragsverarbeiter) mit Transfer-Folgenabschätzung und ergänzenden Maßnahmen.

Wählt der Verantwortliche die Modellrichtlinie „nur EU“, erfolgt für die KI-Verarbeitung keine Übermittlung in Drittländer.

9. Rechte betroffener Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anträgen nach Art. 15 bis 22 DSGVO. Dafür stehen in der Anwendung bzw. im Konto Export (Art. 15, 20), Löschung von Inhalten und Konten (Art. 17) und Deaktivierung (Art. 18) zur Verfügung. Richtet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er den Antrag unverzüglich an den Verantwortlichen weiter.

10. Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden. Die Meldung enthält, soweit bekannt:

• eine Beschreibung der Art der Verletzung, der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze
• die wahrscheinlichen Folgen
• die ergriffenen oder vorgeschlagenen Maßnahmen
• eine Kontaktstelle für weitere Informationen

11. Löschung und Rückgabe

Nach Beendigung des Nutzungsvertrags:

• gibt der Auftragsverarbeiter dem Verantwortlichen auf Wunsch die Daten in einem gängigen, maschinenlesbaren Format heraus (Export)
• löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen spätestens 30 Tage nach Vertragsende, einschließlich Kopien; Sicherungskopien und Dateiversionen werden im regulären Zyklus, spätestens nach weiteren 30 Tagen, überschrieben
• bleiben Daten nur gespeichert, soweit Unionsrecht oder mitgliedstaatliches Recht eine Aufbewahrung vorschreibt
• bestätigt der Auftragsverarbeiter die Löschung auf Anfrage schriftlich

12. Nachweise und Überprüfungen

Der Auftragsverarbeiter weist die Einhaltung dieses AVV durch geeignete Unterlagen nach (z. B. diese Anlagen, Verzeichnis der Verarbeitungstätigkeiten, Testberichte, Zertifikate der Unterauftragsverarbeiter). Darüber hinaus kann der Verantwortliche Überprüfungen einschließlich Inspektionen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen:

• mit mindestens 30 Tagen schriftlicher Vorankündigung, bei konkretem Anlass (z. B. Datenschutzverletzung) kürzer
• während der üblichen Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebs
• grundsätzlich auf Kosten des Verantwortlichen

13. Organ-Auskunft und öffentliche Daten aus dem c:node Graph

(1) c:node kann Antworten mit Daten aus dem c:node Graph belegen, einem vom Auftragsverarbeiter betriebenen Bestand öffentlicher Quellen. Dazu gehört die Organ-Auskunft: Auf eine Frage zu einer bestimmten Firma nennt c:node die im Handelsregister eingetragenen Organe (z. B. Geschäftsführer, Vorstände, Prokuristen) aus dem offenen Datenbestand von OffeneRegister.de / OpenCorporates (CC BY 4.0, historischer Registerstand 2018/2019), mit Quelle und Hinweis auf den historischen Stand. Die Antwort entsteht regelbasiert; die Namen werden an kein Sprachmodell übermittelt.

(2) Für den Datenbestand des c:node Graph einschließlich der Registerdaten ist der Auftragsverarbeiter selbst Verantwortlicher (Art. 4 Nr. 7 DSGVO); er informiert die betroffenen Personen nach Art. 14 DSGVO in seiner Datenschutzerklärung und bearbeitet Widersprüche nach Art. 21 DSGVO über eine Sperrliste.

(3) Sobald eine solche Auskunft in einem Chat, einem Entwurf oder einer Datei des Verantwortlichen gespeichert oder weiterverwendet wird, ist sie Teil der Inhalte des Verantwortlichen und wird nach diesem AVV verarbeitet. Der Verantwortliche verwendet die Auskunft nur für eigene geschäftliche Zwecke (z. B. Kunden-, Lieferanten- und Partnerprüfung) und berücksichtigt den historischen Stand.

(4) Die Funktion wird je Organisation freigeschaltet. Wird eine Person nach Absatz 2 gesperrt, wirkt die Sperre sofort auch für künftige Abfragen des Verantwortlichen.

14. Haftung, Vorrang, Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der Nutzungsbedingungen. Bei Widersprüchen geht dieser AVV den Nutzungsbedingungen in Datenschutzfragen vor. Für Enterprise-Kunden kann ein individueller AVV vereinbart werden: legal@creativate.tech.

15. Kontakt

Creativate Technologies GmbH Lahnstraße 65, 60326 Frankfurt am Main, Deutschland E-Mail: legal@creativate.tech Datenschutz-Kontakt: privacy@creativate.tech

Anlage 1 – Unterauftragsverarbeiter

Selbst betrieben auf der AWS-Infrastruktur in Frankfurt und daher keine eigenen Unterauftragsverarbeiter: Datenbanken (PostgreSQL mit pgvector, SQLite), c:node Graph und Organ-Auskunft (nena-serve), Spracherkennung (Whisper), Einbettungsmodelle, eigene Sprachmodelle (Ollama), Überwachung (Grafana, Loki, Prometheus), zentrales Konto (auth.c-node.ai).

Nicht für Kundeninhalte eingesetzt, aber für das Vertragsverhältnis mit dem Verantwortlichen: Stripe (Zahlungsabwicklung), Haufe-Lexware (Buchhaltung), Mautic/EspoCRM (selbst betrieben, Kundenverwaltung). Hierfür ist der Auftragsverarbeiter selbst Verantwortlicher.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit – Zutritt: Rechenzentren von AWS in Frankfurt (zertifiziert u. a. nach ISO/IEC 27001, SOC 2); keine eigenen Serverräume.
2. Zugang: Anmeldung über das zentrale Konto mit E-Mail-Code, Link, Passwort (PBKDF2-Hash) oder Google/Microsoft; Sitzungen als HttpOnly-Cookies mit begrenzter Laufzeit; Missbrauchsschutz und Ratenbegrenzung an allen Anmeldestellen (ALTCHA, ohne Drittanbieter); administrativer Server-Zugang nur per SSH-Schlüssel, Freischaltung der Firewall nur bei Bedarf und für einzelne Adressen.
3. Zugriff: Rollen- und Rechtekonzept je Organisation (Inhaber, Administrator, Mitglied); Trennung der Daten je Organisation mit Zugriffsregeln in der Datenbank (Row-Level Security); persönliche Inhalte sind auch für Administratoren nicht einsehbar; Team- und Organisationsgedächtnis nur nach Freigabe.
4. Trennung: getrennte Mandanten bzw. eigene Instanzen für Kunden; Testumgebung (try.c-node.ai) getrennt vom Produktivbetrieb.
5. Verschlüsselung: TLS für alle Verbindungen; Dateien in S3 serverseitig verschlüsselt (AES-256); Zugangsschlüssel zu verbundenen Diensten und eigene API-Schlüssel verschlüsselt gespeichert (eigene API-Schlüssel mit AES-256-GCM).
6. Pseudonymisierung: Für einen Teil der Modellaufrufe werden Personenangaben vor der Übermittlung durch Platzhalter ersetzt; der Ausbau auf alle Aufrufe ist geplant (Privacy-Gateway). In den Anwendungsprotokollen werden E-Mail-Adressen und Zugangsdaten maskiert.
7. KI-spezifische Maßnahmen: Modellrichtlinie je Organisation (z. B. „nur EU“, das nicht durch Nutzer aufgehoben werden kann); erkannte besondere Kategorien (Art. 9 DSGVO) nur an Modelle in der EU oder eigene Modelle; keine Nutzung von Kundendaten zum Training; Nutzungsprotokoll der Modellaufrufe ohne Inhalte; Evaluationen vor jedem Release (u. a. Freigabe-Sicherheit).
8. Integrität – Freigabe-Pflicht: Jede Wirkung nach außen (E-Mail, Termin, Dokument, Aufgabe, Nachricht in verbundenen Diensten) erfordert die ausdrückliche Freigabe einer berechtigten Person in c:node; Versand ist ein zweiter Freigabeschritt; Freigaben sind über API und MCP technisch ausgeschlossen; jede Freigabe wird mit Person, Zeitpunkt und Änderungen protokolliert.
9. Eingabekontrolle: Protokollierung sicherheitsrelevanter Ereignisse (Anmeldungen, Rollenänderungen, Freigaben, Routinen-Läufe, Sperrlisten-Änderungen) ohne Inhalte.
10. Verfügbarkeit und Belastbarkeit: Betrieb in AWS Frankfurt; regelmäßige Sicherungen; dokumentierte Wiederherstellung und Rollback je Release; Überwachung mit Alarmierung (Grafana, Prometheus, Loki; Protokolle 30 Tage).
11. Verfahren zur regelmäßigen Überprüfung: Sicherheitsprüfung im Entwicklungsprozess (Code-Review, automatische Tests, Architekturregeln für Modellaufrufe, Abhängigkeits- und Lizenzprüfung); Vorfallmanagement mit Meldung an den Verantwortlichen binnen 48 Stunden; jährliche Überprüfung dieser Maßnahmen.
12. Auftragskontrolle: Unterauftragsverarbeiter nur nach Anlage 1 und mit Vertrag nach Art. 28 Abs. 4 DSGVO; Beschäftigte zur Vertraulichkeit verpflichtet.
13. Datenschutz durch Technikgestaltung: Datenminimierung (z. B. Synchronisation standardmäßig nur Metadaten; Push-Benachrichtigungen ohne Inhalte; Organ-Auskunft ohne Wohnort, Geburtsdatum, Anschrift); Löschung und Export durch Nutzer selbst; datenschutzfreundliche Voreinstellungen (neue Funktionen standardmäßig aus und je Organisation freizuschalten).

Stand: 21. Oktober 2026 (Version 2.1.0) Creativate Technologies GmbH