Auftragsverarbeitungsvertrag (AVV)
Stand: Oktober 2026
Rechtsgrundlage: Art. 28 Datenschutz-Grundverordnung (DSGVO)
Status: Gültig bei elektronischem Abschluss im Rahmen der Nutzung von inbora.io
Präambel & Vertragsparteien
Diese Vereinbarung zur Auftragsverarbeitung (nachfolgend „AVV“) konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien, die sich aus der Erbringung der Software-as-a-Service-Dienste durch:
Georg Hartmann
Keplerstr. 4, 69214 Eppelheim, Deutschland
E-Mail: [email protected]
(nachfolgend „Auftragsverarbeiter“)
für den Kunden bzw. registrierten Nutzer der Plattform inbora.io (nachfolgend „Verantwortlicher“ oder „Kunde“) ergeben.
Auftragsverarbeiter und Verantwortlicher werden nachfolgend gemeinsam als „Parteien“ bezeichnet. Dieser AVV gilt für alle Tätigkeiten, bei denen Mitarbeiter oder Auftragnehmer des Auftragsverarbeiters oder durch ihn eingesetzte IT-Systeme mit personenbezogenen Daten des Verantwortlichen in Berührung kommen.
1. Gegenstand, Dauer und Zweck der Verarbeitung
1.1 Gegenstand
Der Auftragsverarbeiter stellt dem Verantwortlichen eine cloudbasierte Softwarelösung zur KI-gestützten Analyse, Strukturierung und Erstellung von Antwortentwürfen für eingehende geschäftliche E-Mails bereit. Hierzu ruft das System über gesicherte Schnittstellen (IMAP/SMTP) E-Mails aus den vom Verantwortlichen hinterlegten Postfächern ab.
1.2 Zweck
Die Verarbeitung erfolgt ausschließlich zu dem Zweck, die vom Kunden konfigurierte E-Mail-Automatisierung und Antwortgenerierung bereitzustellen.
1.3 Dauer
Die Laufzeit dieser Vereinbarung entspricht der Dauer der Nutzung des SaaS-Dienstes inbora.io durch den Verantwortlichen. Sie endet automatisch mit der Löschung des Kundenkontos und aller zugehörigen Daten.
2. Art der personenbezogenen Daten und Kategorien betroffener Personen
2.1 Kategorien betroffener Personen
- Kommunikationspartner, Interessenten und Kunden des Verantwortlichen, die E-Mails an die verknüpften Postfächer senden.
- Mitarbeiter und Erfüllungsgehilfen des Verantwortlichen.
2.2 Kategorien personenbezogener Daten
- Stammdaten & Kontaktdaten: Namen, E-Mail-Adressen, Postadressen, Telefonnummern.
- Kommunikationsdaten: E-Mail-Inhalte, Betreffzeilen, Header-Informationen, Datums- und Zeitangaben, E-Mail-Verläufe.
- Authentifizierungsdaten: Zugangsdaten zu E-Mail-Servern (IMAP/SMTP-Credentials), welche verschlüsselt gespeichert werden.
3. Weisungsbefugnis und Pflichten des Verantwortlichen
Der Verantwortliche ist im Rahmen dieser Vereinbarung allein für die Einhaltung der gesetzlichen Bestimmungen der DSGVO, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den Auftragsverarbeiter, verantwortlich.
Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich im Rahmen der Weisungen des Verantwortlichen, wie sie durch die Konfiguration und Nutzung der SaaS-Plattform erteilt werden, es sei denn, er ist durch das Recht der Europäischen Union oder der Mitgliedstaaten zu einer anderen Verarbeitung verpflichtet.
4. Technisch-Organisatorische Maßnahmen (TOMs)
Der Auftragsverarbeiter trifft alle erforderlichen Maßnahmen nach Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Hierzu zählen insbesondere:
Alle sensiblen Kundendaten (einschließlich E-Mail-Passwörter, E-Mail-Inhalte und Wissensdatenbanken) werden mit benutzerspezifischen Schlüsseln verschlüsselt in der Datenbank abgelegt ("Encryption-at-Rest").
Bevor Textinhalte zur Formulierung von Antwortentwürfen an KI-Schnittstellen übermittelt werden, führt das System eine automatisierte Pseudonymisierung durch, bei der personenbezogene Identifikatoren (Namen, E-Mails, Telefonnummern, IBANs) serverseitig maskiert werden.
Jegliche Übertragung von Daten (Browser zum Server, Server zum Mailserver via SSL/TLS) erfolgt ausschließlich über moderne, verschlüsselte Protokolle.
Zugang zu den Produktionsservern ist streng limitiert und durch 2-Faktor-Authentifizierung sowie SSH-Schlüssel geschützt.
5. Unterauftragsverarbeiter (Sub-Processors)
Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, zur Erfüllung des Vertrags Unterauftragsverarbeiter hinzuzuziehen. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich mindestens auf das in diesem AVV vereinbarte Schutzniveau.
Aktuell eingesetzte Unterauftragsverarbeiter sind:
| Dienstleister | Sitz / Land | Zweck | Garantie / Rechtsgrundlage |
|---|---|---|---|
| Hetzner Online GmbH | Deutschland (EU) | Server-Hosting & Datenbankinfrastruktur | AVV nach Art. 28 DSGVO (Serverstandort Deutschland) |
| OVHcloud SAS | Frankreich (EU) | Cloud-Infrastruktur & KI-Inferenz (Fallback) | AVV nach Art. 28 DSGVO (EU-Server) |
| Google Cloud / Gemini API | USA / EU | KI-Textgenerierung (sofern kein BYOT) | EU-Standardvertragsklauseln (SCC), Data Privacy Framework, kein Modell-Training mit Kundendaten |
| Cloudflare, Inc. | USA / Weltweit | Bot-Schutz (Turnstile) & DDoS-Mitigation | EU-Standardvertragsklauseln (SCC) |
Hinweis zu BYOT (Bring Your Own Token): Nutzt der Verantwortliche seine eigenen API-Schlüssel für KI-Anbieter (z.B. OpenAI, Anthropic), besteht das Auftragsverarbeitungsverhältnis bezüglich der KI-Inferenz direkt zwischen dem Verantwortlichen und dem jeweiligen Anbieter.
6. Rechte der betroffenen Personen & Unterstützungspflichten
Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit) nachzukommen.
Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, wird dieser das Ersuchen unverzüglich an den Verantwortlichen weiterleiten.
7. Beendigung und Löschung von Daten
Nach Abschluss der Erbringung der Verarbeitungsleistungen oder nach Kündigung bzw. Kontolöschung durch den Verantwortlichen löscht der Auftragsverarbeiter alle im Rahmen des Auftrags verarbeiteten personenbezogenen Daten unwiederbringlich, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine gesetzliche Aufbewahrungspflicht besteht.
Der Kunde kann seine Daten (einschließlich Wissensdatenbank) jederzeit vor Kontolöschung über die Exportfunktion im Dashboard exportieren.
8. Schlussbestimmungen
Sollten einzelne Teile dieser Vereinbarung unwirksam sein, berührt dies die Wirksamkeit der übrigen Vereinbarung nicht. Der Vertrag unterliegt dem Recht der Bundesrepublik Deutschland.
Der Vertragsschluss erfolgt durch elektronische Bestätigung im Rahmen der Registrierung, des Onboardings oder im Dashboard von inbora.io gemäß Art. 28 Abs. 9 DSGVO.