v1.2 · 08.08.2026
Stand: 08.08.2026 Version: 1.2
Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV”) wird geschlossen zwischen:
Verantwortlicher (Auftraggeber): [Name des Unternehmens / der Organisation] [Anschrift] [Vertretungsberechtigte Person]
– nachfolgend „Verantwortlicher” –
und
Auftragsverarbeiter: flowgeist Inhaber: Ralf Carsjens Eidamshauser Straße 13 40822 Mettmann Deutschland E-Mail: info@flowgeist.de
– nachfolgend „Auftragsverarbeiter” –
Der Verantwortliche beauftragt den Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten im Rahmen der Nutzung der Plattform flowgeist ZERO. Dieser AVV regelt die Rechte und Pflichten der Parteien gemäß Art. 28 DSGVO und § 62 BDSG.
Soweit der Verantwortliche die Plattform zur Erfüllung eigener Verpflichtungen als Auftragsverarbeiter gegenüber Dritten nutzt, bleibt er insoweit allein verantwortlich für die Einhaltung der gesetzlichen Vorgaben.
(1) Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung und Nutzung der Plattform flowgeist ZERO als Software-as-a-Service (SaaS) für den Verantwortlichen.
(2) Die Plattform umfasst folgende Core Platform Funktionen:
(3) Zusätzlich umfasst die Plattform das AI Act Compliance Modul:
(4) Dieser Vertrag gilt für die Dauer der Inanspruchnahme der Plattform durch den Verantwortlichen. Er endet mit der Beendigung des Nutzungsverhältnisses, spätestens jedoch mit der vollständigen Rückgabe bzw. Löschung aller personenbezogenen Daten gemäß § 3 Abs. 8 dieses Vertrages.
(5) Die Kündigung dieses AVV erfolgt gemeinsam mit der Kündigung des zugrundeliegenden Nutzungsvertrages. Die Regelungen zur Löschung und Rückgabe personenbezogener Daten bleiben hiervon unberührt.
(1) Kategorien personenbezogener Daten:
| Kategorie | Beschreibung | Beispiele |
|---|---|---|
| Kontaktdaten | Daten zur Kommunikation und Kontoverwaltung | Name, E-Mail-Adresse, Telefonnummer (optional), Firmenname |
| KI-System-Daten | Daten zu verwalteten KI-Systemen | Bezeichnung, Klassifizierung, Risikokategorie, Dokumentationsfelder |
| Schulungs-Daten | Daten im Rahmen des Schulungsmoduls | Name, E-Mail, Schulungsfortschritt, Prüfungsergebnisse, Zertifikatsstatus |
| Audit-Daten | Protokollierungsdaten gemäß ISO 27001 A.12.4 | Timestamp, User-ID, Tenant-ID, Aktion, Ressource, IP-Adresse, User-Agent |
| Zahlungsdaten | Abrechnungsrelevante Daten | Stripe-Kunden-ID, SEPA-Lastschriftmandat, IBAN (verschlüsselt gespeichert) |
(2) Kategorien betroffener Personen:
(3) Verarbeitungszwecke:
(4) Art der Verarbeitung:
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf Weisung des Verantwortlichen, es sei denn, er ist durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO).
(2) Der Auftragsverarbeiter stellt sicher, dass die Personen, die mit der Verarbeitung personenbezogener Daten betraut sind, einer entsprechenden Verschwiegenheitspflicht unterliegen, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen.
(3) Alle Mitarbeiter und beauftragten Personen des Auftragsverarbeiters, die Zugang zu personenbezogenen Daten haben, werden vor Aufnahme der Tätigkeit über die Pflicht zur Vertraulichkeit belehrt und verpflichtet.
(1) Der Auftragsverarbeiter trifft die erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau für die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Verarbeitungssysteme zu gewährleisten.
(2) Die detaillierte Aufstellung der technischen und organisatorischen Maßnahmen befindet sich im Anhang „TOMs Referenz” dieses Vertrages sowie im separaten TOMs-Dokument.
(3) Die Maßnahmen umfassen insbesondere:
(1) Der Auftragsverarbeiter setzt folgende Unter-Auftragsverarbeiter ein:
| Unter-Auftragsverarbeiter | Sitz / Land | Leistung | Drittstaatenbezug | Garantien |
|---|---|---|---|---|
| Hetzner Online GmbH | Falkenstein, Deutschland (DE) | Hosting, Server-Infrastruktur, Backups | Keine Drittstaatenübermittlung | AVV gemäß Art. 28 DSGVO |
| Stripe Payments Europe, Ltd. | Irland (IE) / USA (US) | Zahlungsabwicklung | EU-US DPF + SCC | AVV gemäß Art. 28 DSGVO; DPF-Zertifizierung |
| Postmark / ActiveCampaign | USA (US) | E-Mail-Versand (Transaktions-E-Mails) | EU-US DPF + SCC | AVV gemäß Art. 28 DSGVO; DPF-Zertifizierung |
| Mistral AI | Frankreich (FR) | KI-Textgenerierung für Compliance-Felder | Keine Drittstaatenübermittlung | AVV gemäß Art. 28 DSGVO |
| Lexware GmbH | Deutschland (DE) | Buchhaltung, Rechnungsstellung | Keine Drittstaatenübermittlung | AVV gemäß Art. 28 DSGVO |
(2) Der Auftragsverarbeiter überträgt die Verarbeitung personenbezogener Daten an einen Unter-Auftragsverarbeiter nur auf der Grundlage einer ausdrücklichen oder generellen Weisung des Verantwortlichen. Der Verantwortliche hat der Einbeziehung der in Abs. 1 genannten Unter-Auftragsverarbeiter mit Abschluss dieses Vertrages zugestimmt.
(3) Der Auftragsverarbeiter schließt mit allen Unter-Auftragsverarbeitern einen Auftragsverarbeitungsvertrag gemäß Art. 28 Abs. 2 bis 4 DSGVO ab, der die gleichen Datenschutzverpflichtungen wie dieser Vertrag enthält.
(4) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen hinsichtlich der Hinzuziehung oder Ersetzung von Unter-Auftragsverarbeitern und gibt dem Verantwortlichen die Möglichkeit, gegen solche Änderungen Widerspruch einzulegen.
(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten zur Antwort auf Anträge betroffener Personen auf Wahrnehmung ihrer Rechte (Art. 28 Abs. 3 lit. e DSGVO).
(2) Der Auftragsverarbeiter leitet Anfragen betroffener Personen, die unmittelbar an ihn gerichtet werden, unverzüglich an den Verantwortlichen weiter, sofern die betroffene Person nicht ausdrücklich Auskunft vom Auftragsverarbeiter verlangt.
(3) Die Unterstützung erfolgt im Rahmen der technischen und organisatorischen Möglichkeiten der Plattform. Soweit die Unterstützung über die Standardleistungen hinausgeht, können hierfür gesonderte Kosten anfallen, die vorab mit dem Verantwortlichen abgestimmt werden.
(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Durchführung einer Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO, soweit dies für die Verarbeitung im Rahmen dieses Vertrages erforderlich ist (Art. 28 Abs. 3 lit. f DSGVO).
(2) Die Unterstützung umfasst die Bereitstellung relevanter Informationen über die Verarbeitung, die technischen und organisatorischen Maßnahmen sowie die Risiken für die Rechte und Freiheiten natürlicher Personen.
(1) Der Auftragsverarbeiter teilt dem Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung, jede Verletzung des Schutzes personenbezogener Daten mit, die den Verantwortlichen betreffen könnten (Art. 28 Abs. 3 lit. g, Art. 33 DSGVO).
(2) Die Mitteilung enthält mindestens:
(3) Der Auftragsverarbeiter dokumentiert jede Verletzung des Schutzes personenbezogener Daten einschließlich der Art der Verletzung, der Folgen und der ergriffenen Abhilfemaßnahmen gemäß Art. 33 Abs. 5 DSGVO.
(4) Soweit die Verletzung auf ein Verschulden des Verantwortlichen zurückzuführen ist, kann der Auftragsverarbeiter die Mitteilung auf die ihm vorliegenden Informationen beschränken.
(1) Nach Ende der Verarbeitung, spätestens nach Beendigung dieses Vertrages, löscht der Auftragsverarbeiter alle personenbezogenen Daten, die im Rahmen der Verarbeitung verarbeitet wurden, oder gibt diese auf Weisung des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht (Art. 28 Abs. 3 lit. g, Art. 5 Abs. 2 DSGVO).
(2) Die Löschung erfolgt unter Berücksichtigung der folgenden Aufbewahrungsfristen:
| Datenkategorie | Aufbewahrungsfrist | Begründung |
|---|---|---|
| Kontaktdaten | 30 Tage nach Vertragsende | Datenminimierung |
| KI-System-Daten | 30 Tage nach Vertragsende | Datenminimierung |
| Schulungs-Daten | 30 Tage nach Vertragsende | Datenminimierung |
| Audit-Logs | 3 Jahre nach Entstehung | ISO 27001 A.12.4 |
| Stripe-Webhook-Logs (mit PII) | 30 Tage, danach Pseudonymisierung | Datenminimierung |
| Stripe-Webhook-Logs (ohne PII) | 10 Jahre | § 147 AO |
| Rechnungen | 10 Jahre | § 147 AO |
(3) Vor der Löschung informiert der Auftragsverarbeiter den Verantwortlichen rechtzeitig, damit dieser die Daten abholen bzw. eine Weisung zur Löschung oder Rückgabe erteilen kann.
(4) Soweit eine gesetzliche Aufbewahrungspflicht besteht, werden die Daten gesperrt und ausschließlich zur Erfüllung der gesetzlichen Pflichten verarbeitet.
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO).
(2) Weisungen können im Rahmen des Nutzungsvertrages, über die Plattform-Funktionen oder in Textform (insbesondere per E-Mail) erteilt werden.
(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung seiner Meinung nach gegen Rechtsvorschriften verstößt. Der Auftragsverarbeiter ist berechtigt, die Durchführung der Weisung auszusetzen, bis der Verantwortliche die Rechtmäßigkeit der Weisung bestätigt.
(1) Die in § 3 Abs. 7 Abs. 2 genannten Aufbewahrungsfristen gelten entsprechend für die Aufbewahrung von Daten durch den Auftragsverarbeiter.
(2) Der Auftragsverarbeiter stellt sicher, dass nach Ablauf der jeweiligen Aufbewahrungsfrist eine ordnungsgemäße Löschung oder Pseudonymisierung erfolgt.
(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich und trägt die Verantwortung für die Einhaltung der Vorgaben der DSGVO und des BDSG.
(2) Der Verantwortliche stellt sicher, dass die Voraussetzungen für die Verarbeitung durch den Auftragsverarbeiter erfüllt sind, insbesondere dass eine Rechtsgrundlage für die Verarbeitung besteht und die Informationspflichten gegenüber betroffenen Personen gemäß Art. 13, 14 DSGVO erfüllt wurden.
(3) Der Verantwortliche erteilt die Weisungen zur Verarbeitung personenbezogener Daten in eindeutiger und dokumentierter Form.
(4) Der Verantwortliche ist verantwortlich für die Einhaltung der Vorgaben des EU AI Act, insbesondere für die menschliche Aufsicht gemäß Art. 14 EU AI Act bei der Prüfung KI-generierter Inhalte.
(5) Der Verantwortliche stellt sicher, dass die betroffenen Personen über ihre Rechte informiert wurden und ggf. erforderliche Einwilligungen (z.B. für das Partner-Programm gemäß Art. 6 Abs. 1 lit. a DSGVO) eingeholt wurden.
(6) Der Verantwortliche prüft und verantwortet die Auswahl der vom Auftragsverbeiter eingesetzten Unter-Auftragsverarbeiter und stimmt deren Einbeziehung zu.
(1) Der Verantwortliche hat das Recht, die Einhaltung der Pflichten des Auftragsverarbeiters zu kontrollieren (Art. 28 Abs. 3 lit. h DSGVO).
(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Kontrollen und Audits in angemessenem Umfang. Dies umfasst insbesondere:
(3) Kontrollen und Audits werden mit angemessener Vorankündigung und unter Beachtung der Betriebsabläufe des Auftragsverarbeiters durchgeführt.
(4) Soweit Kontrollen oder Audits Reise- oder Prüfkosten verursachen, können diese dem Verantwortlichen in angemessenem Umfang in Rechnung gestellt werden, sofern nichts anderes vereinbart wurde.
(1) Die primäre Verarbeitung personenbezogener Daten erfolgt in Deutschland (Hetzner Online GmbH, Rechenzentrum Falkenstein).
(2) Eine Übermittlung personenbezogener Daten in Drittstaaten (Staaten außerhalb des Europäischen Wirtschaftsraums) erfolgt ausschließlich auf Grundlage der in Art. 44 ff. DSGVO genannten Garantien und nur, soweit dies für die Leistungserbringung erforderlich ist.
(3) Drittstaatenübermittlungen erfolgen an:
(4) Für alle übrigen Unter-Auftragsverarbeiter (Hetzner, Lexware, Mistral AI) erfolgt die Verarbeitung ausschließlich innerhalb der Europäischen Union / des Europäischen Wirtschaftsraums.
(5) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen hinsichtlich der Drittstaatenübermittlung und gibt ihm die Möglichkeit, diesen zu widersprechen.
(1) Die Haftung richtet sich nach den gesetzlichen Bestimmungen, insbesondere nach Art. 82 DSGVO und § 83 BDSG.
(2) Der Auftragsverarbeiter haftet dem Verantwortlichen für Schäden, die durch eine Verletzung der Pflichten aus diesem Vertrag oder der DSGVO entstehen, nach Maßgabe der gesetzlichen Bestimmungen.
(3) Soweit der Auftragsverarbeiter außerhalb der Weisung des Verantwortlichen handelt oder gegen Datenschutzvorschriften verstößt, gilt er insoweit als Verantwortlicher im Sinne der DSGVO (Art. 28 Abs. 10 DSGVO).
(4) Eine weitergehende Haftung des Auftragsverarbeiters richtet sich nach den Regelungen des zugrundeliegenden Nutzungsvertrages und den gesetzlichen Bestimmungen.
(1) Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform. Dies gilt auch für die Änderung dieser Klausel.
(2) Sollten einzelne Bestimmungen dieses Vertrages unwirksam oder undurchführbar sein oder werden, so berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. Die Parteien werden die unwirksame Bestimmung durch eine wirksame ersetzen, die dem wirtschaftlichen Zweck am nächsten kommt.
(3) Dieser Vertrag unterliegt dem Recht der Bundesrepublik Deutschland.
(4) Ausschließlicher Gerichtsstand ist, soweit gesetzlich zulässig, Mettmann, Deutschland.
(5) Dieser AVV ist Bestandteil des zugrundeliegenden Nutzungsvertrages zwischen den Parteien.
Auftragsverarbeiter: flowgeist Inhaber: Ralf Carsjens Eidamshauser Straße 13 40822 Mettmann Deutschland E-Mail: info@flowgeist.de Datenschutz-Ansprechpartner: datenschutz@flowgeist.de
Die nachfolgende Aufstellung gibt einen Überblick über die technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO. Eine detaillierte Aufstellung befindet sich im separaten TOMs-Dokument.
| Kategorie | Maßnahmen |
|---|---|
| Zutrittskontrolle | Hetzner RZ Falkenstein, 24/7 Sicherheitspersonal, Besucher-Protokollierung |
| Zugriffskontrolle | MFA/TOTP, RBAC, Least Privilege, JWT 15min + Rotation, Argon2id (m=64MiB, t=3, p=4) |
| Übertragungskontrolle | TLS 1.3, HSTS, Let’s Encrypt mit Auto-Rotation |
| Eingabekontrolle | Audit-Trail ISO 27001 A.12.4, WORM-Logs |
| Auftragskontrolle | Verarbeitung nur im Rahmen AVV, keine Weitergabe ohne Genehmigung |
| Verfügbarkeitskontrolle | Tägliche Backups 03:00 UTC, AES-256 at rest, 7 Tage rollierend, RTO 8h, RPO 24h |
| Trennungskontrolle | Multi-Tenant mit Tenant-Isolation auf DB-Ebene, JWT-Claims tenant-scoped |
| Verschlüsselung | AES-256 at rest, TLS 1.3 in transit |
| Pseudonymisierung | E-Mail SHA-256 Hash mit Salt in Audit-Logs |
| Regelmäßige Überprüfung | Jährlicher TOM-Review, Penetrationstests alle 24 Monate, Vulnerability-Scans quartalsweise |
| Version | Datum | Wesentliche Änderungen |
|---|---|---|
| 1.0 | 02.05.2026 | Erstfassung |
| 1.1 | 23.06.2026 | Finalisierung |
| 1.2 | 08.08.2026 | Produktspezifische Anpassung für flowgeist ZERO (AI Act Compliance Modul) |
Ort, Datum
Verantwortlicher (Auftraggeber) Name / Funktion
Ort, Datum
Auftragsverarbeiter Ralf Carsjens / Inhaber, flowgeist
© 2026 flowgeist – Ralf Carsjens · Alle Rechte vorbehalten