XR4.worldXR4.worldLogin

Auftragsverarbeitungsvertrag (AVV)

Vertrag zur Auftragsverarbeitung nach Art. 28 Abs. 3 DSGVO

zwischen dem Kunden (nachfolgend „Verantwortlicher“) und Tino Höhne, handelnd unter „XR4“, c/o Block Services, Stuttgarter Str. 106, 70736 Fellbach, Deutschland (nachfolgend „Auftragsverarbeiter“).

Dieser Vertrag ist Bestandteil jedes Vertrags, den ein Unternehmer über die Nutzung von Produkten der XR4-Plattform schließt (Hauptvertrag), und gilt mit dessen Abschluss als vereinbart. Auf Wunsch stellen wir ihn auch zur Unterschrift bereit.

1. Gegenstand, Dauer, Art und Zweck

  1. Gegenstand ist die Verarbeitung personenbezogener Daten, die der Verantwortliche bei der Nutzung der Produkte in die Plattform einstellt oder dort erzeugt, ausschließlich zur Erbringung der im Hauptvertrag vereinbarten Leistungen (Bereitstellung von Software-Diensten, Speicherung, Verarbeitung mit KI-Funktionen, Veröffentlichung und Föderation auf Veranlassung des Verantwortlichen, Datensicherung, Support).
  2. Die Dauer entspricht der Laufzeit des Hauptvertrags einschließlich der Frist nach Ziffer 9.
  3. Art der Verarbeitung: Erheben, Speichern, Organisieren, Ordnen, Auslesen, Abfragen, Verwenden, Übermitteln an Unterauftragsverarbeiter nach Anlage 2 und an vom Verantwortlichen bestimmte Empfänger, Sichern, Einschränken, Löschen.
  4. Test-Fassungen: Schaltet der Verantwortliche für eine Anwendung eine test-Fassung zu oder fordert er dort eine Datenkopie an, kopiert der Auftragsverarbeiter auf diese Weisung die Daten der Anwendung in die test-Fassung auf derselben Plattform. Die test-Fassung ist nur nach Anmeldung der vom Verantwortlichen berechtigten Personen erreichbar, wird nicht in Datensicherungen aufgenommen und mit dem Abschalten der test-Fassung gelöscht.

2. Art der Daten und Kreis der Betroffenen

  1. Arten von Daten: Stamm- und Kontaktdaten, Inhalte von Dokumenten, Nachrichten und E-Mails, Chat- und Prompt-Verläufe, Social- und Forenbeiträge, Audio- und Videodaten, Projektdaten, Nutzungs- und Protokolldaten, jeweils soweit der Verantwortliche sie in die Dienste einbringt oder dort erzeugt.
  2. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) und Daten über Straftaten (Art. 10 DSGVO) verarbeitet der Verantwortliche nur, wenn er die Zulässigkeit selbst geprüft hat und dafür ausschließlich lokale Modelle und Funktionen ohne Übermittlung an Dritte nutzt.
  3. Betroffene: Beschäftigte, Kunden, Interessenten, Lieferanten und sonstige Kontaktpersonen des Verantwortlichen, Nutzer der vom Verantwortlichen betriebenen Anwendungen und Instanzen sowie Personen, deren Daten in den eingebrachten Inhalten enthalten sind.

3. Weisungen

  1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats dazu verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
  2. Die Weisungen ergeben sich aus dem Hauptvertrag und aus der Nutzung der Produkte durch den Verantwortlichen und seine Nutzer (z. B. Auswahl von Funktionen und KI-Modellen, Sichtbarkeit von Beiträgen, Löschungen). Weitere Weisungen erteilt der Verantwortliche in Textform an info@tinohox.de.
  3. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Verantwortlichen unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

4. Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Soweit der Verantwortliche Berufsgeheimnisträger ist (§ 203 StGB), verpflichtet sich der Auftragsverarbeiter zusätzlich zur Verschwiegenheit als mitwirkende Person nach § 203 Abs. 4 StGB und verpflichtet Unterauftragsverarbeiter, die Kenntnis von solchen Geheimnissen erlangen können, entsprechend.

5. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO. Er darf sie weiterentwickeln, soweit das Schutzniveau nicht unterschritten wird, und überprüft ihre Wirksamkeit regelmäßig.

6. Unterauftragsverarbeiter

  1. Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter und erteilt die allgemeine Genehmigung zur Hinzuziehung weiterer Unterauftragsverarbeiter nach Absatz 2.
  2. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vorab in Textform über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung). Der Verantwortliche kann binnen dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann keine Einigung erzielt werden, darf er den betroffenen Hauptvertrag zum Wirksamwerden der Änderung außerordentlich kündigen.
  3. Der Auftragsverarbeiter erlegt Unterauftragsverarbeitern vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, und haftet für deren Einhaltung nach Art. 28 Abs. 4 DSGVO.
  4. Eine Übermittlung in Drittländer erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder von EU-Standardvertragsklauseln; die jeweilige Grundlage nennt Anlage 2.
  5. Keine Unterauftragsverarbeiter sind Stellen, an die Daten auf Veranlassung des Verantwortlichen oder seiner Nutzer zu deren eigener Verarbeitung übermittelt werden, insbesondere andere Server im Fediverse und Bluesky Social, PBC bei der Bluesky-Brücke (siehe Anlage 2), sowie Anbieter, die der Verantwortliche selbst anbindet (z. B. eigene Datenbanken oder Postfächer).

7. Unterstützung des Verantwortlichen

  1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 22 DSGVO) und bei den Pflichten nach Art. 32 bis 36 DSGVO. Anfragen Betroffener, die an ihn gerichtet werden, leitet er unverzüglich an den Verantwortlichen weiter.
  2. Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst binnen 48 Stunden nach Bekanntwerden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen, und reicht fehlende Angaben nach.
  3. Für Unterstützungsleistungen, die über die Bereitstellung der Funktionen der Produkte hinausgehen und nicht auf einem Verstoß des Auftragsverarbeiters beruhen, kann der Auftragsverarbeiter eine angemessene Vergütung verlangen.

8. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, durch den Verantwortlichen oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach rechtzeitiger Anmeldung zu den üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebs. Für Inspektionen vor Ort kann der Auftragsverarbeiter eine angemessene Vergütung seines Aufwands verlangen.

9. Löschung und Rückgabe

Nach Ende des Hauptvertrags stehen die Daten des Verantwortlichen 30 Tage zum Export bereit; auf Verlangen in diesem Zeitraum stellt der Auftragsverarbeiter sie in einem gängigen Format zur Verfügung (Rückgabe). Danach löscht er sie, sofern keine Pflicht zur Speicherung nach Unionsrecht oder dem Recht eines Mitgliedstaats besteht. Kopien in Datensicherungen werden mit deren regulärem Ablauf gelöscht und bis dahin gesperrt.

10. Haftung, Schlussbestimmungen

  1. Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regelungen des Hauptvertrags.
  2. Bei Widersprüchen geht dieser Vertrag den Regelungen des Hauptvertrags vor, soweit es um den Schutz personenbezogener Daten geht.
  3. Änderungen dieses Vertrags teilt der Auftragsverarbeiter wie Änderungen der AGB mit; § 14 der AGB gilt entsprechend.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Ort und Infrastruktur

  • Betrieb auf eigener Hardware des Auftragsverarbeiters in Deutschland; kein Hosting bei Cloud-Anbietern für Kundendaten.
  • Zutritt zum Serverstandort nur für den Betreiber; unterbrechungsfreie Stromversorgung mit geregeltem Herunterfahren.

Zugang und Zugriff

  • Zentrale Identitätsverwaltung (Keycloak) mit gehashten Passwörtern, Sperre bei wiederholten Fehlversuchen und zweitem Faktor für administrative Zugänge zur Identitätsverwaltung.
  • Betreiber-Konsolen nur nach Anmeldung und Gruppenprüfung erreichbar; Rollen- und Rechtekonzept je Kunde, Firma und Produkt; Protokollierung von Rechteänderungen.
  • Geheimnisse (Schlüssel, Zugangsdaten) in einem zentralen Tresor (Vault), nicht im Quellcode; automatische Suche nach versehentlich eingecheckten Geheimnissen vor jedem Bau.

Trennung (Mandantentrennung)

  • Jeder Kunde hat eine unveränderliche Kundenkennung; Datensätze tragen sie, und die Datenbanken der Plattformdienste prüfen den Zugriff zusätzlich zeilenweise (Row Level Security).
  • Produkte und Kundeninstanzen laufen in getrennten Namensräumen mit Netzwerkregeln, die nur die benötigten Verbindungen erlauben, sowie mit Ressourcengrenzen.
  • Code, den Kunden oder externe Entwickler bestimmen, läuft in einer zusätzlich isolierten Laufzeitumgebung (gVisor) mit eingeschränkten Rechten; Container laufen ohne Administratorrechte, soweit technisch möglich.
  • Getrennte Testumgebung mit eigenen Testdaten; Kundendaten werden nicht zu Testzwecken verwendet.

Übertragung und Speicherung

  • Verschlüsselte Übertragung (TLS) für alle öffentlichen Zugänge.
  • Von Kunden hinterlegte Zugangsdaten zu Fremdsystemen werden verschlüsselt gespeichert.
  • Angriffserkennung und automatische Sperrung auffälliger Adressen (CrowdSec); Sicherheits-Header an allen Zugängen; Sitzungs-Cookies der Plattform werden nicht an Code von Kunden weitergegeben.

Integrität der Software

  • Änderungen an Infrastruktur und Software laufen versioniert über ein Quellcode-Verwaltungssystem mit Prüfung vor der Übernahme und erst in der Testumgebung, dann im Betrieb.
  • Eigene Container-Abbilder werden signiert; der Betrieb lässt eigene Abbilder nur mit gültiger Signatur zu. Abhängigkeiten werden automatisch aktualisiert und auf bekannte Schwachstellen geprüft.

Verfügbarkeit und Wiederherstellung

  • Laufende Sicherung der Datenbanken mit Wiederherstellung auf einen Zeitpunkt bis zu 30 Tage zurück; tägliche Sicherungen weiterer Daten; regelmäßige Vollsicherungen auf getrennte Datenträger, davon einer an einem zweiten Ort.
  • Überwachung der Dienste mit automatischer Alarmierung.
  • Unveränderbares Archiv für Rechnungsbelege (Aufbewahrung nach § 147 AO).

Organisation

  • Protokollierung sicherheitsrelevanter Ereignisse (Anmeldungen, Rechteänderungen) mit begrenzter Speicherdauer (in der Regel 30 Tage).
  • Datenschutzfreundliche Voreinstellungen: lokale KI-Modelle verfügbar, keine Tracking- oder Analysewerkzeuge; Bluesky-Brücke ab Werk ausgeschaltet.
  • Verfahren zur Meldung und Bearbeitung von Datenschutzverletzungen.

Anlage 2 – Genehmigte Unterauftragsverarbeiter

  • OpenAI Ireland Ltd., Dublin, Irland, mit OpenAI OpCo, LLC, USA: Verarbeitung von Eingaben und Ausgaben, wenn ein externes OpenAI-Modell gewählt oder voreingestellt ist. Drittlandübermittlung: EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
  • Anthropic Ireland, Ltd., Dublin, Irland, mit Anthropic, PBC, USA: Verarbeitung von Eingaben und Ausgaben, wenn ein externes Anthropic-Modell gewählt oder voreingestellt ist. Drittlandübermittlung: EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
  • Hetzner Online GmbH, Gunzenhausen, Deutschland: Versand von E-Mails der Produkte (Empfängeradresse, Nachrichteninhalt).
  • CrowdSec SAS, Paris, Frankreich: Abwehr von Angriffen; erhält bei einem erkannten Angriff nach einem allgemein bekannten Muster die IP-Adresse, die Art des Angriffs und den Zeitpunkt.

Lokale KI-Modelle, Spracherkennung, Sprachausgabe, Datenbanken, Dateiablage, Videokonferenzen und Sicherungen betreibt der Auftragsverarbeiter selbst; dabei werden keine Daten an Dritte übermittelt.

XR4 Social (auch als eigene Instanz des Verantwortlichen): Server anderer Betreiber im Fediverse sind keine Unterauftragsverarbeiter (Ziffer 6 Abs. 5). An sie übermittelt die Instanz Daten nur auf Veranlassung des Verantwortlichen bzw. seiner Nutzer (Kontakte auf diesen Servern, öffentliche Sichtbarkeit von Beiträgen); private Gruppen (Firmenräume) werden nicht übertragen. Auf Wunsch des Verantwortlichen schränkt der Auftragsverarbeiter die Föderation seiner Instanz ein oder schaltet die Bluesky-Brücke für seine Instanz ab. Bluesky Social, PBC (USA) erhält Daten nur, wenn ein Nutzer die Brücke für sein Konto einrichtet; Bluesky verarbeitet sie dann in eigener Verantwortung.

Fassung 6 · Stand: 12. November 2026