novendix GmbH · Industriestraße 6 · 91126 Schwabach · Stand: September 2026 · Fassung 1.2

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) konkretisiert die datenschutzrechtlichen Pflichten der novendix GmbH (nachfolgend „Auftragsverarbeiter“) gegenüber dem Kunden (nachfolgend „Verantwortlicher“) gemäß Art. 28 DSGVO, soweit der Auftragsverarbeiter im Rahmen der Erbringung der vertraglich vereinbarten Leistungen (Plattform-Nutzung gemäß den Allgemeinen Geschäftsbedingungen der novendix GmbH, nachfolgend „Hauptvertrag“) personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

Dieser AVV gilt ergänzend zum Hauptvertrag. Im Falle von Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht dieser AVV hinsichtlich der Verarbeitung personenbezogener Daten vor.

§ 1 Gegenstand, Dauer, Art und Zweck der Verarbeitung

1.1 Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Zusammenhang mit der Bereitstellung und dem Betrieb der novendix-Plattform (KI-gestützte Assistenz- und Automatisierungsplattform) gemäß Hauptvertrag.

1.2 Die Verarbeitung umfasst insbesondere das Speichern, Übermitteln, Auslesen, Verarbeiten und Löschen personenbezogener Daten, die der Verantwortliche bzw. die von ihm autorisierten Nutzer im Rahmen der Nutzung der Plattform eingeben, hochladen oder generieren (z. B. Chat-Verläufe, hochgeladene Dokumente, Nutzerkonto-Daten).

1.3 Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Nach Beendigung des Hauptvertrags gelten die Lösch- und Rückgabepflichten gemäß § 8 dieses AVV. Während der Laufzeit des Hauptvertrags bestimmt der Verantwortliche die Speicherdauer der Inhaltsdaten nach Maßgabe von § 8.1.

1.4 Zweck der Verarbeitung ist ausschließlich die Erbringung der im Hauptvertrag vereinbarten Leistungen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters, insbesondere zum Training von KI-Modellen mit Kundendaten, findet nicht statt.

§ 2 Kategorien betroffener Personen und Daten

2.1 Kategorien betroffener Personen: Mitarbeiter, Beauftragte und sonstige Nutzer des Verantwortlichen, die die Plattform im Rahmen ihrer Tätigkeit für den Verantwortlichen nutzen, sowie ggf. Dritte, deren personenbezogene Daten von diesen Nutzern in die Plattform eingegeben werden (z. B. Ansprechpartner in Kundendokumenten).

2.2 Kategorien personenbezogener Daten: Kontakt- und Stammdaten (Name, E-Mail-Adresse), Nutzungs- und Protokolldaten (Login-Zeiten, IP-Adressen), Inhalte, die von Nutzern in die Plattform eingegeben, hochgeladen oder durch die Nutzung generiert werden (z. B. Texte, Dokumente, Chat-Inhalte), Transkripte und Zusammenfassungen aufgezeichneter Besprechungen, von der Plattform gespeicherte Personalisierungsangaben zu einzelnen Nutzern, Gerätekennungen für mobile Benachrichtigungen sowie verschlüsselt gespeicherte Zugangsdaten zu den vom Nutzer verbundenen Drittsystemen, soweit diese personenbezogene Daten enthalten. Hinzu kommen die Identitäts- und Anmeldedaten des vom Auftragsverarbeiter selbst betriebenen Identitätsdienstes (Benutzerkennung, Passwort-Hash, Sitzungen, Rollenzuweisungen) sowie die organisationsbezogenen Verbrauchs- und Budgetdaten der Modellnutzung.

2.3 Der Verantwortliche ist allein dafür verantwortlich, dass die von ihm bzw. seinen Nutzern in die Plattform eingegebenen Daten rechtmäßig verarbeitet werden dürfen und keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) eingegeben werden, es sei denn, dies wurde gesondert schriftlich vereinbart.

§ 3 Verarbeitungsstandort

3.1 Die Verarbeitung personenbezogener Daten erfolgt grundsätzlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums. Die Plattform, ihre Datenbanken und die Datensicherung werden in Rechenzentren in Deutschland betrieben. Dies gilt ebenso für die kundenspezifischen Container-Umgebungen, über die die App- und MCP-Anbindungen bereitgestellt werden. Einzelne Zusatzfunktionen übermitteln Daten in Drittländer; diese sind in § 5.5 abschließend benannt.

3.2 Der Einsatz von Subunternehmern mit Sitz oder Verarbeitungsstandort außerhalb der EU/des EWR steht unter dem Vorbehalt, dass die Voraussetzungen der Art. 44 ff. DSGVO (insbesondere Angemessenheitsbeschluss oder Standardvertragsklauseln) erfüllt sind. Der Verantwortliche wird hierüber im Rahmen der Subunternehmer-Übersicht gemäß § 5 informiert.

3.3 Die Verwaltung der Identitäten und Anmeldungen, die Erzeugung und Bearbeitung von Dokumenten, Tabellen, Präsentationen und PDF-Dateien, die Spracherkennung und Transkription sowie das Abrufen von Webseiten im Rahmen der Recherchefunktion erfolgen auf den Servern des Auftragsverarbeiters in Deutschland. Für diese Verarbeitungsschritte werden keine personenbezogenen Daten an Dritte übermittelt.

§ 4 Weisungsgebundenheit

4.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Europäischen Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, zu einer anderweitigen Verarbeitung verpflichtet; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

4.2 Der Hauptvertrag nebst diesem AVV stellt die erste dokumentierte Weisung des Verantwortlichen dar. Weitere Weisungen sind in Textform gegenüber der vom Auftragsverarbeiter benannten Kontaktstelle zu erteilen und werden vom Auftragsverarbeiter dokumentiert.

4.3 Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen datenschutzrechtliche Bestimmungen verstößt, wird er den Verantwortlichen unverzüglich informieren. Der Auftragsverarbeiter ist berechtigt, die Umsetzung der betreffenden Weisung bis zu deren Bestätigung oder Änderung durch den Verantwortlichen auszusetzen.

§ 5 Subunternehmer

5.1 Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zum Einsatz der nachfolgend genannten Subunternehmer (Unterauftragsverarbeiter):

5.2 Der Auftragsverarbeiter wird den Verantwortlichen über die Hinzuziehung oder Ersetzung weiterer Subunternehmer mit einer Frist von mindestens dreißig (30) Tagen vor der geplanten Änderung in Textform informieren. Der Verantwortliche kann der Änderung innerhalb von vierzehn (14) Tagen nach Zugang der Information aus wichtigem, datenschutzrechtlich begründetem Grund widersprechen. Erfolgt kein Widerspruch innerhalb dieser Frist, gilt die Änderung als genehmigt. Bei einem berechtigten Widerspruch werden die Parteien eine einvernehmliche Lösung suchen; gelingt dies nicht innerhalb einer angemessenen Frist, ist der Verantwortliche berechtigt, den Hauptvertrag außerordentlich zu kündigen, soweit ihm die Fortsetzung der Zusammenarbeit unter Einbeziehung des neuen Subunternehmers unzumutbar ist.

5.3 Der Auftragsverarbeiter wird alle Subunternehmer im Wege einer Vereinbarung, die inhaltlich den Anforderungen des Art. 28 Abs. 2 bis 4 DSGVO entspricht, zur Einhaltung der einschlägigen datenschutzrechtlichen Pflichten verpflichten.

5.4 Die Sprach- und Bildmodelle werden nicht unmittelbar, sondern über den in § 5.1 genannten Modell-Gateway bezogen. Über diesen werden derzeit Modelle von Anthropic, OpenAI, Google, Mistral AI, Microsoft Azure OpenAI und Google Vertex AI eingesetzt. Die Anfragen werden zunächst über einen vom Auftragsverarbeiter selbst betriebenen, auf dessen Servern in Deutschland laufenden Modell-Proxy geführt; von dort laufen sämtliche Anfragen über den als EU gekennzeichneten Endpunkt des Gateway-Anbieters. Für die Verpflichtung dieser mittelbar beauftragten Anbieter gilt § 5.3 entsprechend.

5.5 Folgende Verarbeitungen finden außerhalb der Europäischen Union statt; sie sind hiermit abschließend benannt: (a) die Übermittlung der Suchanfrage an Tavily, sofern ein Nutzer die Websuche verwendet; (b) die Übermittlung von Verbindungsdaten und Zugangstoken an Pipedream, sofern ein Nutzer eine App-Verbindung einrichtet; (c) die Übermittlung allgemeiner Bildsuchbegriffe an Pexels bei der automatischen Erstellung von Präsentationen und PDF-Dokumenten. Für diese Übermittlungen werden die Standardvertragsklauseln der Europäischen Kommission zugrunde gelegt. Die Funktionen nach (a) und (b) sind optional und werden nur auf Veranlassung des jeweiligen Nutzers ausgelöst.

§ 6 Technische und organisatorische Maßnahmen

6.1 Der Auftragsverarbeiter trifft die in Anlage 1 zu diesem AVV beschriebenen technischen und organisatorischen Maßnahmen (TOM) gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Hierzu zählen insbesondere Maßnahmen zur Verschlüsselung, Zugriffs- und Zutrittskontrolle, Verfügbarkeit und Belastbarkeit der Systeme sowie zur regelmäßigen Überprüfung der Wirksamkeit der Maßnahmen.

6.2 Der Auftragsverarbeiter ist berechtigt, die TOM anzupassen, sofern das vereinbarte Schutzniveau hierdurch nicht unterschritten wird.

§ 7 Unterstützung des Verantwortlichen

7.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen, soweit dies möglich ist, bei der Erfüllung von dessen Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Betroffenenrechte (Art. 12 bis 23 DSGVO).

7.2 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten (Sicherheit der Verarbeitung, Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung, vorherige Konsultation), soweit dem Auftragsverarbeiter die hierfür erforderlichen Informationen vorliegen.

7.3 Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten des Verantwortlichen bekannt, informiert er den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, in Textform über den Sachverhalt, die betroffenen Datenkategorien, die mutmaßlichen Auswirkungen sowie die bereits ergriffenen bzw. vorgeschlagenen Abhilfemaßnahmen.

7.4 Leistungen des Auftragsverarbeiters, die über die in diesem § 7 beschriebenen Unterstützungspflichten hinausgehen, werden gesondert nach Aufwand zu den vereinbarten bzw., in Ermangelung einer Vereinbarung, marktüblichen Preisen vergütet.

§ 8 Speicherdauer, Löschung und Rückgabe von Daten

8.1 Während der Laufzeit des Hauptvertrags speichert der Auftragsverarbeiter die Inhaltsdaten des Verantwortlichen – insbesondere Chatverläufe, hochgeladene und erzeugte Dateien, Projekte, Assistenten und gespeicherte Erinnerungen – so lange, wie der Verantwortliche dies bestimmt. Eine automatische Löschung durch den Auftragsverarbeiter findet nicht statt. Der Verantwortliche und die von ihm autorisierten Nutzer können Inhaltsdaten jederzeit selbst löschen; hierfür stehen in der Anwendung Funktionen zur Löschung einzelner Chats, sämtlicher Chats, einzelner Dateien sowie einzelner gespeicherter Erinnerungen zur Verfügung. Der Verantwortliche trägt dafür Sorge, dass die von ihm gewählte Speicherdauer dem Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO entspricht.

8.2 Weisungen des Verantwortlichen zur Löschung einzelner Daten oder Datenbestände setzt der Auftragsverarbeiter unverzüglich um, spätestens jedoch innerhalb von dreißig (30) Tagen. Die Löschung erfasst sämtliche produktiven Speicherorte, insbesondere die primäre Datenbank, den Volltextindex der Chat- und Dateisuche sowie den Vektorindex der Dokumentensuche. Für in Datensicherungen enthaltene Kopien gilt § 8.5.

8.3 Nach Beendigung des Hauptvertrags – gleich aus welchem Grund – wird der Auftragsverarbeiter dem Verantwortlichen auf Anforderung eine Kopie der für ihn verarbeiteten personenbezogenen Daten in einem gängigen Datenformat zur Verfügung stellen.

8.4 Nach Ablauf einer Karenzzeit von einem (1) Monat nach Vertragsbeendigung löscht der Auftragsverarbeiter die personenbezogenen Daten des Verantwortlichen, sofern keine gesetzliche Pflicht zur weiteren Aufbewahrung besteht. Die Löschung erfasst sämtliche produktiven Speicherorte, insbesondere die primäre Datenbank, den Volltextindex der Chat- und Dateisuche sowie den Vektorindex der Dokumentensuche. Der Auftragsverarbeiter weist den Verantwortlichen bei Vertragsbeendigung auf die Karenzzeit gesondert hin und bestätigt die erfolgte Löschung auf Anforderung in Textform.

8.5 Soweit gelöschte personenbezogene Daten noch in Datensicherungen enthalten sind, werden diese Sicherungen nicht gesondert bereinigt, sondern im Rahmen des in Anlage 1 beschriebenen Sicherungszyklus überschrieben, spätestens jedoch innerhalb von sechzig (60) Tagen. Bis dahin werden die Daten nicht mehr aktiv verarbeitet. Wird eine Datensicherung innerhalb dieses Zeitraums eingespielt, werden die betroffenen Daten unverzüglich erneut gelöscht. Datensicherungen dienen der Wiederherstellung des Gesamtsystems nach einem Zwischenfall; sie begründen keinen Anspruch des Verantwortlichen auf Wiederherstellung einzelner Inhalte.

§ 9 Kontrollrechte des Verantwortlichen

9.1 Der Verantwortliche ist berechtigt, sich in geeigneter Weise, insbesondere durch Einholung von Auskünften und Vorlage aussagekräftiger Nachweise (z. B. aktuelle Testate, Berichte oder Auszüge aus Berichten unabhängiger Instanzen wie z. B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren), von der Einhaltung der in diesem AVV vereinbarten technischen und organisatorischen Maßnahmen zu überzeugen.

9.2 Vor-Ort-Kontrollen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer sind nach vorheriger Anmeldung mit angemessener Frist (mindestens zwei Wochen) während der üblichen Geschäftszeiten des Auftragsverarbeiters möglich, sofern hierdurch keine unverhältnismäßigen Beeinträchtigungen des Geschäftsbetriebs des Auftragsverarbeiters oder Dritter entstehen. Der Auftragsverarbeiter kann die Kosten einer solchen Vor-Ort-Kontrolle dem Verantwortlichen in Rechnung stellen, soweit die Kontrolle mehr als einmal jährlich ohne Anlass erfolgt.

§ 10 Haftung

Für die Haftung der Parteien im Rahmen dieses AVV gelten die Haftungsregelungen des Hauptvertrags (insbesondere § 5 der Allgemeinen Geschäftsbedingungen der novendix GmbH) entsprechend, soweit zwingende Vorschriften der DSGVO (insbesondere Art. 82 DSGVO) nicht entgegenstehen.

§ 11 Schlussbestimmungen

11.1 Änderungen und Ergänzungen dieses AVV bedürfen der Textform, soweit nicht in diesem AVV etwas anderes bestimmt ist (vgl. § 5.2).

11.2 Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt.

11.3 Es gilt deutsches Recht. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragsverarbeiters.