Auftragsverarbeitungsvertrag (AVV)

Parteien

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde, der über die Foerdinand-Plattform einen Nutzungsvertrag mit totally boring ai abgeschlossen hat (nachfolgend „Verantwortlicher").

Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist:

totally boring ai
Inhaber: Achim Sondermann
Roonstraße 61, 50674 Köln, Deutschland
E-Mail: office@totallyboringai.com

§ 1 Gegenstand und Dauer

(1) Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung und Nutzung der Software-as-a-Service-Plattform „Foerdinand" (nachfolgend „Plattform") nach Maßgabe des zugrunde liegenden Hauptvertrages (AGB unter foerdinand.ai/agb).

(2) Die Laufzeit dieses Vertrages entspricht der Laufzeit des Hauptvertrages. Eine isolierte Kündigung dieses AVV ist ausgeschlossen.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Art der Verarbeitung: Erheben, Erfassen, Speichern, Strukturieren, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln, Abgleichen, Verknüpfen, Einschränken, Löschen und Vernichten personenbezogener Daten zum Zweck der Bereitstellung der vertraglich vereinbarten Leistungen, einschließlich der Verarbeitung durch eingesetzte KI-Modelle und Drittanbieter (Unterauftragsverarbeiter, vgl. § 8).

(2) Zweck: Bereitstellung und Erbringung der in den AGB beschriebenen Plattform-Funktionen, insbesondere Förderprojekt- und Antrags-Management, Sprach-Agent, Formular-Ausfüller, KI-gestützte Texterstellung sowie damit verbundene Verwaltungs-, Support- und Abrechnungsprozesse.

(3) Art der personenbezogenen Daten: Insbesondere Stamm- und Kontaktdaten (Name, E-Mail, Telefon, Anschrift), Vereins-/Organisationsdaten, Mitglieds- und Spenderdaten, Antragsteller- und Projektbeteiligten-Daten, von Nutzer:innen hochgeladene Dokumente und deren Inhalte, Nutzungsdaten, Authentifizierungs- und Audit-Daten.

(4) Kategorien betroffener Personen: Mitarbeitende und Mitglieder des Verantwortlichen, Vereinsmitglieder, Spender, Antragsteller, Projektbeteiligte, Geschäftskontakte sowie sonstige in Dokumenten oder Eingaben des Verantwortlichen genannte Personen.

(5) Besondere Kategorien nach Art. 9 DSGVO werden grundsätzlich nicht aktiv erhoben. Soweit der Verantwortliche solche Daten in die Plattform einbringt (z. B. in hochgeladenen Dokumenten), liegt dies in seiner alleinigen Verantwortung; er hat sicherzustellen, dass eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO besteht.

§ 3 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet.

(2) Der Hauptvertrag, die AGB sowie dieser AVV bilden die grundsätzliche Weisungslage. Konkrete Einzelweisungen können in Textform (z. B. per E-Mail an office@totallyboringai.com) erteilt werden.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt.

§ 4 Technische und organisatorische Maßnahmen (TOMs)

(1) Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um die Sicherheit der Verarbeitung zu gewährleisten. Dies umfasst insbesondere:

• Vertraulichkeit: Zutrittskontrolle (geschützte Cloud-Rechenzentren der eingesetzten Hosting-Anbieter; primäre Datenhaltung in EU-Region Frankfurt); Zugangskontrolle (rollenbasierte Authentifizierung, Multi-Faktor-Authentifizierung für Administratoren); Zugriffskontrolle (Row-Level-Security auf Datenbankebene, Mandantentrennung pro Organisation); Pseudonymisierung und Verschlüsselung personenbezogener Daten (TLS in transit, AES-256 at rest).
• Integrität: Eingabekontrolle (Audit-Logs für sicherheitsrelevante Vorgänge); Weitergabekontrolle (TLS 1.2+ für sämtliche Verbindungen, signierte Webhooks).
• Verfügbarkeit und Belastbarkeit: Tägliche automatisierte Backups, redundante Speicherung, Disaster-Recovery-Konzept, Monitoring (Sentry) und Verfügbarkeits-Alerts.
• Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung: Regelmäßige Sicherheits-Reviews, Patch- und Update-Management, Schwachstellen-Monitoring der eingesetzten Bibliotheken.
• Personelle Maßnahmen: Verpflichtung aller mit der Verarbeitung befassten Personen auf das Datengeheimnis nach Art. 28 Abs. 3 lit. b DSGVO und § 53 BDSG.

(2) Eine ausführliche Übersicht der konkreten TOMs ist abrufbar unter foerdinand.ai/sicherheit und kann auf Anfrage in einer für Audit-Zwecke geeigneten Fassung übermittelt werden.

(3) Der Auftragsverarbeiter ist berechtigt, die TOMs an den Stand der Technik anzupassen, sofern das Schutzniveau nicht unterschritten wird.

§ 5 Berichtigung, Löschung und Einschränkung

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflichten nach Art. 12 bis 22 DSGVO (insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch).

(2) Der Verantwortliche kann Berichtigungen, Löschungen und Einschränkungen über die in der Plattform vorgesehenen Funktionen grundsätzlich selbst vornehmen.

(3) Personenbezogene Daten werden nach Beendigung des Hauptvertrages nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Der Verantwortliche hat hierfür ab Vertragsende einen Zeitraum von 30 Tagen für den Export (vgl. § 6 Abs. 6 AGB). Im Anschluss erfolgt die Löschung.

(4) Gelöschte Daten können in Datensicherungen (Backups) noch für einen begrenzten Zeitraum enthalten sein: in operativen Backups bis zu 30 Tage, in zusätzlichen Off-Site-Sicherungen bis zu drei Monate. Backups werden ausschließlich zur Wiederherstellung im Störungsfall verwendet; bei einer Wiederherstellung werden zwischenzeitlich erfolgte Löschungen erneut ausgeführt.

§ 6 Meldung von Datenschutzverletzungen

(1) Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes personenbezogener Daten im Sinne des Art. 33 DSGVO, die im Verantwortungsbereich des Auftragsverarbeiters eingetreten ist.

(2) Die Mitteilung umfasst, soweit verfügbar: eine Beschreibung der Art der Verletzung, der betroffenen Datenkategorien und Personen, die wahrscheinlichen Folgen sowie die ergriffenen oder geplanten Maßnahmen.

(3) Die Meldepflicht gegenüber der Aufsichtsbehörde und den betroffenen Personen verbleibt beim Verantwortlichen.

§ 7 Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten (Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation der Aufsichtsbehörde).

§ 8 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt hiermit eine allgemeine Genehmigung zur Hinzuziehung der unten in § 9 genannten weiteren Auftragsverarbeiter. Die Liste unterscheidet zwischen eingesetzten und je nach aktivierter Funktion optionalen Anbietern. Der Auftragsverarbeiter stellt vor produktiver Aktivierung einer optionalen Funktion sicher, dass Anbieterrolle, Vertragsgrundlage und Transfermechanismen des jeweiligen Anbieters den Anforderungen dieses Vertrages entsprechen.

(2) Bei beabsichtigter Hinzuziehung weiterer oder beim Austausch bestehender Unterauftragsverarbeiter wird der Auftragsverarbeiter den Verantwortlichen mindestens vier Wochen im Voraus in Textform informieren. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen in Textform widersprechen. Im Falle eines berechtigten Widerspruchs steht dem Auftragsverarbeiter ein außerordentliches Kündigungsrecht zu.

(3) Bei Übermittlung personenbezogener Daten in Drittländer (außerhalb EU/EWR) stellt der Auftragsverarbeiter ein angemessenes Datenschutzniveau sicher, insbesondere durch Standardvertragsklauseln (SCC) gemäß Durchführungsbeschluss (EU) 2021/914 oder einen Angemessenheitsbeschluss der EU-Kommission, ergänzt um technische und organisatorische Schutzmaßnahmen sowie — soweit erforderlich — ein Transfer-Impact-Assessment. Der jeweils einschlägige Mechanismus ist in der Liste in § 9 je Anbieter ausgewiesen.

§ 9 Liste der Unterauftragsverarbeiter

Folgende Anbieter sind zum Stand Juli 2026 eingesetzt oder je nach aktivierter Funktion vorgesehen:

Die Liste wird laufend gepflegt. Eine jeweils aktuelle Fassung ist unter foerdinand.ai/avv abrufbar. Hinweis: KI-Inferenz-Anbieter und weitere optionale Dienste werden nur eingesetzt, wenn die jeweilige Funktion aktiviert bzw. genutzt wird. Bei allen KI-Anbietern ist ein Training der Modelle mit Kundendaten über die eingesetzten API-Zugänge vertraglich ausgeschlossen.

§ 10 Rechte und Pflichten des Verantwortlichen

(1) Der Verantwortliche ist allein für die Beurteilung der Zulässigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen verantwortlich.

(2) Der Verantwortliche stellt sicher, dass für jede Verarbeitung eine gültige Rechtsgrundlage besteht und dass betroffene Personen ordnungsgemäß informiert wurden.

(3) Weisungen sind, soweit möglich, in Textform zu erteilen. Bei mündlich erteilten Weisungen hat der Verantwortliche diese unverzüglich in Textform zu bestätigen.

§ 11 Nachweise und Audits

(1) Der Auftragsverarbeiter weist die Einhaltung der in diesem Vertrag niedergelegten Pflichten dem Verantwortlichen mit geeigneten Mitteln nach (z. B. aktuelle TOM-Dokumentation, Selbstauskünfte, ggf. Zertifikate oder Berichte unabhängiger Prüfer).

(2) Der Verantwortliche ist berechtigt, sich von der Einhaltung der Pflichten beim Auftragsverarbeiter durch Inspektionen zu überzeugen. Inspektionen sind mit angemessenem zeitlichem Vorlauf (mindestens vier Wochen), während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs durchzuführen. Die durch eine Inspektion entstehenden Kosten trägt der Verantwortliche.

(3) Der Auftragsverarbeiter darf Inspektionen durch geeignete Nachweise (Audit-Berichte, Zertifizierungen, z. B. nach ISO 27001 oder vergleichbar) ersetzen, sofern dies dem Verantwortlichen zumutbar ist.

§ 12 Haftung

Für die Haftung der Parteien gelten die Regelungen des Art. 82 DSGVO und ergänzend die Haftungsregelungen des Hauptvertrages (§ 11 AGB).

§ 13 Kirchliches Datenschutzrecht (KDG / DSG-EKD)

(1) Ist der Verantwortliche eine kirchliche Stelle im Geltungsbereich des Gesetzes über den Kirchlichen Datenschutz (KDG) der katholischen Kirche oder des Kirchengesetzes über den Datenschutz der Evangelischen Kirche in Deutschland (DSG-EKD), gelten ergänzend die nachfolgenden Absätze. Bei Widersprüchen zu den übrigen Regelungen dieses Vertrages gehen die Absätze 2 bis 7 für diese Verantwortlichen vor.

(2) Anerkennung des kirchlichen Datenschutzrechts: Der Auftragsverarbeiter erkennt an, dass für die Verarbeitung im Auftrag des Verantwortlichen anstelle der DSGVO das KDG bzw. das DSG-EKD in der jeweils geltenden Fassung maßgeblich ist. Die Verweise dieses Vertrages auf Vorschriften der DSGVO gelten sinngemäß als Verweise auf die entsprechenden Vorschriften des kirchlichen Datenschutzrechts, insbesondere: Art. 28 DSGVO entspricht § 29 KDG bzw. § 30 DSG-EKD; Art. 32 DSGVO entspricht § 26 KDG bzw. § 27 DSG-EKD; Art. 33 DSGVO entspricht § 33 KDG bzw. § 32 DSG-EKD; die Betroffenenrechte der Art. 12 bis 22 DSGVO entsprechen den §§ 15 bis 25 KDG bzw. den §§ 16 bis 25 DSG-EKD.

(3) Kirchliche Datenschutzaufsicht: Der Auftragsverarbeiter unterwirft sich hinsichtlich der für den Verantwortlichen erfolgenden Auftragsverarbeitung der zuständigen kirchlichen Datenschutzaufsicht (Diözesandatenschutzbeauftragte gemäß §§ 42 ff. KDG bzw. der oder die Beauftragte für den Datenschutz der EKD gemäß §§ 39 ff. DSG-EKD). Er arbeitet mit der kirchlichen Datenschutzaufsicht auf Anfrage zusammen (§ 32 KDG) und ermöglicht deren Kontroll- und Untersuchungsbefugnisse (§ 47 KDG bzw. § 43 DSG-EKD) im gleichen Umfang wie die Kontrollrechte des Verantwortlichen nach § 11 dieses Vertrages.

(4) Datengeheimnis: Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind; die Verpflichtung nach § 4 Abs. 1 dieses Vertrages umfasst insoweit auch das Datengeheimnis nach § 5 KDG bzw. § 26 DSG-EKD und besteht nach Beendigung der Tätigkeit fort.

(5) Unterauftragsverarbeiter: Der Auftragsverarbeiter erlegt weiteren Auftragsverarbeitern (§ 8, § 9) im Sinne von § 29 Abs. 5 KDG bzw. § 30 DSG-EKD dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind. Soweit ein Unterauftragsverarbeiter dem kirchlichen Datenschutzrecht nicht unmittelbar unterworfen werden kann, werden ihm inhaltlich gleichwertige Pflichten nach Maßgabe der DSGVO auferlegt (einschließlich Standardvertragsklauseln bei Drittlandtransfers, vgl. § 8 Abs. 3); ein dem KDG bzw. DSG-EKD gleichwertiges Schutzniveau im Sinne von § 29 Abs. 1 KDG bzw. § 30 Abs. 3 DSG-EKD wird dadurch gewährleistet.

(6) Meldung von Datenschutzverletzungen: Die Benachrichtigungspflicht des Auftragsverarbeiters nach § 6 dieses Vertrages (unverzüglich, spätestens innerhalb von 48 Stunden) bleibt unberührt. Die Meldung an die zuständige kirchliche Datenschutzaufsicht — binnen 72 Stunden nach § 33 KDG bzw. unverzüglich nach § 32 DSG-EKD — obliegt dem Verantwortlichen; der Auftragsverarbeiter unterstützt ihn hierbei gemäß § 7 dieses Vertrages.

(7) Exit-Strategie und Datenportabilität: Zur Unterstützung der vom Verantwortlichen nach der Durchführungsverordnung zum KDG (KDG-DVO) vorzuhaltenden Exit-Strategie beim Einsatz von Cloud-Diensten stellt der Auftragsverarbeiter Exportfunktionen für die eingestellten Daten bereit; nach Vertragsende gilt die Export- und Löschregelung des § 5 Abs. 3 dieses Vertrages.

(8) Auf Wunsch stellt der Auftragsverarbeiter kirchlichen Verantwortlichen diesen Vertrag einschließlich dieses Abschnitts als gegengezeichnete Fassung (KDG-/DSG-EKD-Anerkennungserklärung) zur Verfügung; Anfragen an office@totallyboringai.com.

§ 14 Schlussbestimmungen

(1) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Regelung tritt die gesetzliche Regelung.

(2) Es gilt deutsches Recht.

(3) Für Streitigkeiten aus oder im Zusammenhang mit diesem AVV gilt der im Hauptvertrag vereinbarte Gerichtsstand.

(4) Im Falle eines Widerspruchs zwischen den Regelungen dieses AVV und den Regelungen des Hauptvertrages gehen die Regelungen dieses AVV in Bezug auf den Datenschutz vor.