Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Präambel

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch die Swift Assets UG (haftungsbeschränkt), Solingen (nachfolgend „Auftragsverarbeiter“) im Auftrag des Nutzers der Anwendung „Diwan“, der die Anwendung geschäftlich einsetzt (nachfolgend „Verantwortlicher“). Er ergänzt die Allgemeinen Geschäftsbedingungen (AGB) und gilt für jeden Nutzer, der in der Anwendung die Nutzungsart „geschäftlich“ gewählt und diesen Vertrag angenommen hat.

Bei privater Nutzung (Art. 2 Abs. 2 lit. c DSGVO) findet dieser Vertrag keine Anwendung; die Datenschutzerklärung beschreibt die Verarbeitung durch Swift Assets als Verantwortlicher.

§ 1 Gegenstand und Dauer

Gegenstand ist die Bereitstellung der Anwendung Diwan: Verwaltung verbundener E-Mail-Postfächer, Zwischenspeicherung und Durchsuchung von Nachrichten, Anhängen und Dokumenten, KI-gestützte Formulierungs-, Erklär- und Analysehilfen, Aufgaben- und Terminverwaltung, Terminbuchung, Papierbriefversand sowie die dafür nötigen Hintergrunddienste.

Die Dauer entspricht der Laufzeit des Nutzungsvertrags. Mit dem Ende des Nutzungsvertrags, spätestens mit der Kontolöschung, endet dieser Vertrag; § 10 bleibt anwendbar.

§ 2 Art und Zweck der Verarbeitung

Verarbeitet werden Daten durch Erheben aus den vom Verantwortlichen verbundenen Postfächern, Speichern, Ordnen, Durchsuchen, Auslesen (Texterkennung), Übermitteln an KI-Anbieter zur Erzeugung von Vorschlägen, Übermitteln an den Druck- und Versanddienstleister sowie Löschen.

Zweck ist ausschließlich die Erbringung der in § 1 beschriebenen Leistungen für den Verantwortlichen. Der Auftragsverarbeiter verarbeitet die Daten nicht für eigene Zwecke; ausgenommen sind die in der Datenschutzerklärung genannten eigenen Verarbeitungen des Auftragsverarbeiters als Verantwortlicher (Konto, Abrechnung, Sicherheit, Missbrauchsvermeidung, aggregierte Nutzungsstatistik ohne Inhalte).

§ 3 Art der personenbezogenen Daten

Kontakt- und Kommunikationsdaten (Namen, E-Mail-Adressen, Telefonnummern, Postanschriften), Inhalte der Korrespondenz (E-Mail-Texte, Betreffzeilen, Anhänge, Dokumente, Scans, Briefe), Termin- und Aufgabendaten, Buchungsdaten, Zahlungs- und Rechnungsdaten des Verantwortlichen gegenüber Dritten sowie Zugangsdaten zu Postfächern (verschlüsselt).

In der Korrespondenz können ohne Zutun des Auftragsverarbeiters besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO enthalten sein (z. B. Gesundheits-, Rechts- oder Finanzangaben). Der Verantwortliche stellt sicher, dass für deren Verarbeitung eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO besteht; der Auftragsverarbeiter wertet solche Daten nicht gezielt aus und untersagt seinen KI-Lanes das Extrahieren besonderer Kategorien.

§ 4 Kategorien betroffener Personen

Der Verantwortliche selbst und seine Beschäftigten, Korrespondenzpartner (Absender und Empfänger von E-Mails, Mandanten, Kunden, Behörden, Lieferanten), Empfänger von Papierbriefen, Personen, die über die Buchungsseite Termine anfragen, sowie sonstige in der Korrespondenz genannte Personen.

§ 5 Weisungen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Weisungen sind die in der Anwendung getroffenen Einstellungen und ausgelösten Aktionen (Verbinden und Trennen von Postfächern, Aktivieren oder Deaktivieren der KI-Funktionen, Beauftragen von Tiefensuchen, Briefversand, Freigaben, Löschungen) sowie dieser Vertrag und die Leistungsbeschreibung.

Einzelweisungen außerhalb der Anwendung sind in Textform an info@swift-assets.de zu richten. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf die Ausführung aussetzen, bis der Verantwortliche die Weisung bestätigt oder ändert.

Verlangt das Recht der Union oder eines Mitgliedstaats eine Verarbeitung ohne Weisung, informiert der Auftragsverarbeiter den Verantwortlichen vorab, soweit dies rechtlich zulässig ist.

§ 6 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Der Zugriff auf Inhalte der Korrespondenz ist technisch auf den jeweiligen Nutzer beschränkt; Betriebs- und Supportfunktionen sehen nur Metadaten (siehe Anlage 1).

§ 7 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und entwickelt sie entsprechend dem Stand der Technik fort. Wesentliche Änderungen, die das Schutzniveau senken, sind ausgeschlossen; sonstige Änderungen werden in Anlage 1 dokumentiert.

§ 8 Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 22 DSGVO): Auskunft und Datenübertragbarkeit über den Datenexport in den Einstellungen, Berichtigung über die Bearbeitungsfunktionen, Löschung über Kontolöschung, Postfachtrennung und Einzellöschungen, Einschränkung durch Deaktivieren einzelner Funktionen.

Er unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

§ 9 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betrifft, unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntnis, an die im Konto hinterlegte E-Mail-Adresse. Die Meldung enthält, soweit bekannt, Art und Umfang der Verletzung, betroffene Datenkategorien und Personen, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Maßnahmen; fehlende Angaben werden nachgereicht.

§ 10 Löschung und Rückgabe nach Vertragsende

Nach Beendigung der Leistung löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen, sofern nicht eine gesetzliche Aufbewahrungspflicht besteht. Der Verantwortliche kann seine Daten vor der Kontolöschung über den Datenexport in den Einstellungen herausgeben lassen; die Kontolöschung entfernt anschließend Profil, Postfachdaten, zwischengespeicherte Nachrichten, Anhänge, Dokumente, Aufgaben, Termine, Briefe, Rechnungen und KI-Einträge in einer Transaktion, Speicherobjekte werden im Anschluss automatisch entfernt.

Rechnungen und Zahlungsbelege, die der Auftragsverarbeiter dem Verantwortlichen gestellt hat, werden als vollständige Rechnungskopie einschließlich Name und Anschrift des Rechnungsempfängers für die gesetzliche Frist aufbewahrt (§ 14b UStG, § 147 AO, § 257 HGB; Art. 17 Abs. 3 lit. b DSGVO). Eine Kopie ohne den Rechnungsempfänger genügt der Aufbewahrungspflicht nicht. Alle übrigen aufbewahrungspflichtigen Abrechnungsbelege werden vor der Löschung pseudonymisiert und ohne Namen, Anschrift oder E-Mail-Adresse aufbewahrt. Sicherungskopien der Datenbank werden nach höchstens sieben Tagen überschrieben.

§ 11 Nachweis und Kontrolle

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO), insbesondere die Dokumentation der Maßnahmen nach Anlage 1, die Liste der Unterauftragsverarbeiter nach Anlage 2 und auf Anfrage vorhandene Prüfberichte und Zertifikate der Unterauftragsverarbeiter.

Überprüfungen einschließlich Inspektionen sind nach Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten möglich, soweit sie den Betrieb und die Vertraulichkeit anderer Nutzer nicht beeinträchtigen. Der Auftragsverarbeiter kann angemessene Kosten für Prüfungen verlangen, die über die Bereitstellung vorhandener Nachweise hinausgehen.

§ 12 Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO) zur Einschaltung der in Anlage 2 genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem dieselben Datenschutzpflichten auferlegt wie dieser Vertrag.

Beabsichtigte Änderungen (Hinzufügen oder Ersetzen) teilt der Auftragsverarbeiter mindestens 30 Tage vor Wirksamwerden in der Anwendung oder per E-Mail mit. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann jede Partei den Nutzungsvertrag zum Wirksamwerden der Änderung kündigen.

§ 13 Verarbeitung in Drittländern

Die Verarbeitung findet grundsätzlich in Rechenzentren innerhalb der Europäischen Union statt (Frankfurt am Main und Deutschland, siehe Anlage 2). Übermittlungen in Drittländer erfolgen nur an die in Anlage 2 als solche gekennzeichneten Unterauftragsverarbeiter auf Grundlage geeigneter Garantien nach Art. 46 DSGVO (EU-Standardvertragsklauseln bzw. EU-US Data Privacy Framework).

Die KI-Funktionen nutzen eine Ausfall-Reserve bei einem Anbieter in Deutschland (IONOS SE, Rechenzentrum Berlin, Anlage 2), wenn der primäre Anbieter in Frankfurt einen Aufruf ablehnt oder nicht erreichbar ist; die Suchvektoren des Tiefensuche-Index werden von demselben Anbieter in Deutschland berechnet. Für die KI-Funktionen findet keine Übermittlung in Drittländer statt. Diese Verarbeitung ist durch die allgemeine Genehmigung nach § 12 umfasst.

§ 14 Dokumentation und Schlussbestimmungen

Die Annahme dieses Vertrags wird mit Datum, Uhrzeit, Textversion und Prüfsumme des Textes im Konto des Verantwortlichen protokolliert; der Verantwortliche kann den angenommenen Stand jederzeit in den Einstellungen einsehen. Änderungen dieses Vertrags werden mit neuer Version bereitgestellt und dem Verantwortlichen zur erneuten Annahme vorgelegt.

Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam; an die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung nach Art. 28 DSGVO.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Anlage 2 — Unterauftragsverarbeiter

Änderungen dieser Liste werden mindestens 30 Tage vor Wirksamwerden in der Anwendung oder per E-Mail angekündigt (§ 12). Stand: 2026-09-15.

Eigenständig verantwortliche Stellen (keine Unterauftragsverarbeiter): Stripe Payments Europe Ltd. (Zahlungsabwicklung); Deutsche Post AG (Briefzustellung); Der jeweilige E-Mail-Anbieter des Nutzers (Google, IONOS, …); Push-Dienste der Browser (Google, Mozilla, Apple) — Nutzdaten Ende-zu-Ende verschlüsselt.