Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Falkoro — Template v0.1
Stand: 21.07.2026
Status: Arbeitsentwurf fuer Pilotphase, nicht anwaltlich geprueft

Wichtiger Hinweis: Dieses Muster ist eine technische und organisatorische Arbeitsvorlage fuer Falkoro. Es ersetzt keine Rechtsberatung. Vor Einsatz bei skalierter Vermarktung, bei besonderen Datenkategorien, bei Beschwerden einer Aufsichtsbehoerde oder ab erheblicher Kundenzahl sollte ein Datenschutz-/IT-Rechtsanwalt oder externer Datenschutzbeauftragter pruefen.

Wann brauche ich das?

Diesen AVV braucht jeder B2B-Kunde, wenn Falkoro fuer ihn personenbezogene Daten im Auftrag verarbeitet. Das betrifft insbesondere Rechnungsdaten, Belege, Kundenkontakte, E-Mail-Inhalte aus dem Onboarding-Scan, Audit-Logs und KI-gestuetzte Extraktion. Der AVV wird zusammen mit den AGB abgeschlossen und sollte im Onboarding sowie in den Account-Einstellungen abrufbar sein.

Vertragspartner

zwischen

{{kunde_firma}}
{{kunde_adresse}}
vertreten durch {{kunde_geschaeftsfuehrer}}
E-Mail: {{kunde_email}}

— nachfolgend „Auftraggeber“ oder „Kunde“ —

und

Kienappel.IT (Kienappel IT-Dienstleistungen)
Meixnerstraße 6, 4060 Leonding, Österreich
vertreten durch Mario Kienappel (Inhaber)
E-Mail: kontakt@falkoro.de

— nachfolgend „Auftragnehmer“ oder „Falkoro“ —

Gemeinsam: „Parteien“.

§ 1 Gegenstand und Rangfolge

1. Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch Falkoro im Auftrag des Kunden gemaess Art. 28 DSGVO.
2. Falkoro stellt eine KI-gestuetzte Verwaltungsplattform fuer kleine Unternehmen bereit. In der Pilotphase umfasst der Kern insbesondere Rechnungserstellung, Eingangsrechnungs-Erfassung/OCR, E-Mail-Onboarding-Scan, Mahnwesen, Kontakt-/Projektverwaltung und Audit-Log, soweit im jeweiligen Angebot aktiviert.
3. Dieser AVV ergaenzt die AGB, das Angebot/Bestellformular und die Produktbeschreibung. Bei Widerspruechen gehen in Datenschutzfragen dieser AVV und seine Anhaenge vor.
4. Falkoro verarbeitet personenbezogene Daten nur dokumentiert nach Weisung des Kunden, soweit nicht eine gesetzliche Verpflichtung entgegensteht.

§ 2 Art, Zweck und Umfang der Verarbeitung

1. Zweck der Verarbeitung ist die Bereitstellung, Wartung, Absicherung und Weiterentwicklung der Falkoro-Plattform fuer den Kunden.
2. Art der Verarbeitung umfasst insbesondere Erheben, Erfassen, Ordnen, Speichern, Auslesen, Abfragen, Verwenden, Uebermitteln, Abgleichen, Strukturieren, Einschraenken, Loeschen, Exportieren und Protokollieren.
3. Verarbeitungsvorgaenge koennen insbesondere sein:
   • Erstellung und Verwaltung von Ausgangsrechnungen;
   • Erfassung, OCR und Strukturierung von Eingangsrechnungen und Belegen;
   • Extraktion von Informationen aus E-Mails im Rahmen eines vom Kunden aktivierten OAuth-Onboarding-Scans;
   • KI-gestuetzte Klassifizierung und Textextraktion;
   • Verwaltung von Kundenkontakten, Projekten, Zahlungsstatus und Mahnprozessen;
   • Fuehrung technischer und fachlicher Audit-Logs;
   • Bereitstellung von Exporten, Backups und Support.
4. Details ergeben sich aus Anhang 1 — Verarbeitungskategorien und Anhang 2 — Unterauftragnehmer.

§ 3 Dauer der Verarbeitung

1. Der AVV beginnt mit {{vertragsbeginn}} oder mit der erstmaligen produktiven Nutzung von Falkoro durch den Kunden, je nachdem, was frueher eintritt.
2. Der AVV gilt fuer die Dauer des Hauptvertrags.
3. Nach Ende des Hauptvertrags loescht oder gibt Falkoro die personenbezogenen Daten gemaess § 12 und dem Loeschkonzept zurueck, soweit keine gesetzlichen Aufbewahrungspflichten, Nachweiszwecke oder berechtigten Sperrfristen entgegenstehen.

§ 4 Kategorien personenbezogener Daten

Falkoro kann je nach Nutzung folgende Datenkategorien verarbeiten:

1. Vertrags- und Stammdaten des Kunden: Firma, Name, Anschrift, E-Mail, Telefonnummer, USt-IdNr., Vertrags- und Tarifdaten.
2. Nutzer- und Authentifizierungsdaten: Name, E-Mail, Rolle/Berechtigung, Login-Daten, Session-Informationen, OAuth-Verbindungsstatus.
3. Daten von Rechnungsempfaengern und Geschaeftskontakten: Name, Firma, Anschrift, E-Mail, Telefonnummer, USt-IdNr., Kundennummer, Zahlungsdaten soweit erfasst.
4. Rechnungs- und Belegdaten: Rechnungsnummern, Leistungsbeschreibungen, Positionen, Betraege, Steuern, Zahlungsfristen, Notizen, PDF-/Bilddateien.
5. E-Mail-Inhalte: Betreff, Absender, Empfaenger, Zeitstempel, Textauszuege, Anhaenge und Metadaten, soweit der Kunde die Gmail-/Google-Workspace-Verbindung aktiviert.
6. KI-Verarbeitungsdaten: Eingaben/Prompts, extrahierte Felder, Klassifizierungen, KI-Antworten, technische Fehlerdaten.
7. Protokoll- und Audit-Daten: IP-Adresse, Zeitstempel, Account-ID, Nutzer-ID, Objekt-ID, Aktion, Systemereignisse, Fehlerlogs.
8. Supportdaten: Kommunikation mit Falkoro, Screenshots, Problemberichte, technische Diagnosedaten.

§ 5 Kategorien betroffener Personen

Betroffene Personen koennen insbesondere sein:

1. Mitarbeiter, Geschaeftsfuehrer, freie Mitarbeiter und Administratoren des Kunden;
2. Kunden, Auftraggeber, Rechnungsempfaenger und Ansprechpartner des Kunden;
3. Lieferanten, Dienstleister und Geschaeftspartner des Kunden;
4. Personen, deren Daten in Rechnungen, Belegen, E-Mails, Notizen oder Anhaengen enthalten sind;
5. Support- und Kommunikationspartner.

§ 6 Weisungen des Kunden

1. Der Kunde bleibt Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO.
2. Weisungen ergeben sich aus diesem AVV, dem Hauptvertrag, der Produktkonfiguration und dokumentierten Einzelweisungen des Kunden.
3. Muendliche Weisungen sind unverzueglich in Textform zu bestaetigen.
4. Falkoro informiert den Kunden, wenn eine Weisung nach Auffassung von Falkoro gegen Datenschutzrecht verstoessen koennte. Falkoro ist nicht verpflichtet, eine rechtswidrige Weisung auszufuehren.
5. Der Kunde ist verantwortlich fuer die Rechtmaessigkeit der Datenverarbeitung, insbesondere fuer Rechtsgrundlagen gegenueber eigenen Kunden, Mitarbeitern und Dritten sowie fuer die Zulassung von E-Mail-Scans, Belegverarbeitung und KI-Funktionen.

§ 7 Pflichten von Falkoro

Falkoro verpflichtet sich:

1. personenbezogene Daten ausschliesslich nach dokumentierter Weisung des Kunden zu verarbeiten;
2. alle mit der Verarbeitung befassten Personen auf Vertraulichkeit zu verpflichten;
3. geeignete technische und organisatorische Massnahmen gemaess Art. 32 DSGVO umzusetzen und aufrechtzuerhalten;
4. den Kunden nach Moeglichkeit bei der Erfuellung von Betroffenenrechten zu unterstuetzen;
5. den Kunden bei Datenschutz-Folgenabschaetzungen und Konsultationen mit Aufsichtsbehoerden angemessen zu unterstuetzen, soweit die Verarbeitung durch Falkoro betroffen ist;
6. Unterauftragnehmer nur gemaess § 9 einzusetzen;
7. Datenschutzverletzungen gemaess § 11 mitzuteilen;
8. nach Vertragsende Daten gemaess § 12 zurueckzugeben, zu loeschen oder zu sperren;
9. Nachweise ueber die Einhaltung dieses AVV bereitzustellen, soweit angemessen und erforderlich.

§ 8 Technische und organisatorische Massnahmen (TOM)

1. Falkoro setzt die in Anhang 3 — TOM beschriebenen Massnahmen um.
2. Die TOM duerfen weiterentwickelt werden, wenn das Schutzniveau nicht wesentlich unterschritten wird.
3. Wesentliche Aenderungen, die das Risiko fuer die Daten des Kunden erhoehen koennen, werden dem Kunden in geeigneter Form mitgeteilt.
4. Der aktuelle TOM-Link lautet: {{tom_link}}.

§ 9 Unterauftragnehmer

1. Der Kunde erteilt Falkoro eine allgemeine Genehmigung zum Einsatz von Unterauftragnehmern, soweit diese in Anhang 2 — Unterauftragnehmer aufgefuehrt sind oder nach diesem Paragraphen ergaenzt werden.
2. Falkoro informiert den Kunden ueber beabsichtigte Aenderungen bei Unterauftragnehmern mit angemessener Frist, in der Regel mindestens 14 Tage vor Einsatz, sofern nicht Sicherheits-, Notfall- oder technische Gruende eine kuerzere Frist erfordern.
3. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Widerspricht der Kunde berechtigt und kann Falkoro keine zumutbare Alternative anbieten, koennen beide Parteien den betroffenen Dienst oder den Hauptvertrag ausserordentlich kuendigen.
4. Falkoro schliesst mit Unterauftragnehmern Datenschutzvereinbarungen, die ein im Wesentlichen gleichwertiges Schutzniveau sicherstellen.
5. Kundenaktivierte Drittdienste wie Google Workspace/Gmail OAuth oder Lexoffice koennen je nach technischer und vertraglicher Gestaltung eigenstaendige Dienste des Kunden sein. Soweit Falkoro diese Dienste im Auftrag des Kunden technisch anbindet und dabei personenbezogene Daten verarbeitet, werden sie in Anhang 2 oder in einer separaten Integrationsbeschreibung dokumentiert.

§ 10 Drittlanduebermittlungen

1. Eine Verarbeitung ausserhalb der EU/des EWR findet nur statt, soweit dies fuer die Leistungserbringung erforderlich ist und geeignete Garantien vorliegen.
2. Fuer US-Anbieter wird je nach dokumentiertem Status eine der folgenden Grundlagen verwendet:
   • Angemessenheitsbeschluss im Rahmen des EU-US Data Privacy Framework, soweit der konkrete Anbieter und die konkrete Verarbeitung wirksam zertifiziert sind;
   • EU-Standardvertragsklauseln nach Art. 46 DSGVO;
   • zusaetzliche technische und organisatorische Schutzmassnahmen, soweit erforderlich.
3. Falkoro dokumentiert den jeweiligen Status in Anhang 2 — Unterauftragnehmer.
4. Keine Aussage in diesem AVV ist als Garantie einer ausschliesslichen Verarbeitung in Deutschland oder der EU zu verstehen, soweit Unterauftragnehmer, Failover, Support, KI-Dienste, Queue-Dienste oder kundenaktivierte Integrationen eine Drittlandberuehrung haben.

§ 11 Datenschutzverletzungen und Sicherheitsvorfaelle

1. Falkoro informiert den Kunden unverzueglich, sobald Falkoro eine Verletzung des Schutzes personenbezogener Daten feststellt, die Daten des Kunden betrifft.
2. Die Meldung enthaelt, soweit verfuegbar:
   • Art des Vorfalls;
   • betroffene Systeme und Datenkategorien;
   • wahrscheinliche Folgen;
   • ergriffene oder vorgeschlagene Massnahmen;
   • Ansprechpartner fuer Rueckfragen.
3. Falkoro unterstuetzt den Kunden angemessen bei dessen Pflichten nach Art. 33 und 34 DSGVO.
4. Falkoro ist nicht verpflichtet, Datenschutzverletzungen direkt an Aufsichtsbehoerden oder Betroffene des Kunden zu melden, ausser eine gesetzliche Pflicht besteht oder der Kunde weist dies dokumentiert an.

§ 12 Rueckgabe, Loeschung und Sperrung nach Vertragsende

1. Nach Vertragsende stellt Falkoro dem Kunden fuer einen Zeitraum von 30 Tagen einen Export der verfuegbaren Daten bereit, soweit technisch moeglich und im Hauptvertrag vorgesehen.
2. Nach Ablauf der Exportfrist loescht Falkoro personenbezogene Daten des Kunden nach Massgabe des Loeschkonzepts oder sperrt sie, soweit gesetzliche Aufbewahrungs-, Nachweis- oder Verteidigungspflichten entgegenstehen.
3. Steuerlich oder handelsrechtlich relevante Unterlagen werden nur so lange gespeichert, wie es fuer gesetzliche Pflichten erforderlich ist. Die Fristen koennen je nach Land und Dokumenttyp unterschiedlich sein.
4. Backups werden im Rahmen des Backup-Zyklus geloescht oder ueberschrieben. Eine Einzeldatei-Loeschung aus verschluesselten Backup-Archiven ist nicht immer technisch moeglich; der Zugriff wird in diesem Fall gesperrt und die Daten werden mit Ablauf des Backup-Zyklus geloescht.

§ 13 Kontroll- und Nachweispflichten

1. Falkoro stellt dem Kunden auf Anfrage angemessene Informationen zur Einhaltung dieses AVV bereit, insbesondere TOM-Beschreibung, Unterauftragnehmerliste und relevante Zertifizierungen oder Auditberichte, soweit vorhanden.
2. Vor-Ort-Pruefungen sind nur erforderlich, wenn bereitgestellte Nachweise nicht ausreichen, ein konkreter Anlass besteht und die Pruefung angemessen angekuendigt wurde.
3. Pruefungen duerfen Betriebsablaeufe, Sicherheitsinteressen anderer Kunden, Geheimhaltungsinteressen und Multi-Tenant-Schutz nicht unverhaeltnismaessig beeintraechtigen.
4. Falkoro kann fuer unangemessen umfangreiche Unterstuetzung eine angemessene Verguetung verlangen, soweit gesetzlich zulaessig und vorher angekuendigt.

§ 14 Haftung und Schadensersatz

1. Die Haftung der Parteien richtet sich nach Art. 82 DSGVO, zwingendem Datenschutzrecht und den Haftungsregelungen des Hauptvertrags.
2. Soweit gesetzlich zulaessig, gelten die Haftungsbegrenzungen der AGB auch fuer diesen AVV.
3. Haftungsbegrenzungen gelten nicht bei Vorsatz, grober Fahrlaessigkeit, Verletzung von Leben, Koerper oder Gesundheit sowie in Faellen, in denen eine Begrenzung gesetzlich unzulaessig ist.
4. Der Kunde bleibt fuer Weisungen, Rechtsgrundlagen, Dateninhalte und die Zulassung eigener Nutzer verantwortlich.

§ 15 Schlussbestimmungen

1. Aenderungen und Ergaenzungen dieses AVV beduerfen mindestens der Textform, soweit nicht eine strengere Form gesetzlich vorgeschrieben ist.
2. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der uebrigen Bestimmungen unberuehrt.
3. Es gilt das Recht des Landes, das im Hauptvertrag vereinbart ist. Fuer deutsche Kunden ist regelmaessig deutsches Recht vorgesehen; fuer oesterreichische Kunden kann oesterreichisches Recht vereinbart werden.
4. Gerichtsstand ist Linz (Österreich), soweit zulaessig.

Anhang 1 — Verarbeitungskategorien

Anhang 2 — Unterauftragnehmer

Arbeitsstand: Vor produktivem Einsatz muss fuer jeden Anbieter der konkrete Vertrag, DPA, Region, Subprocessor-Liste und Transfermechanismus im Vendor-Register abgelegt werden.

Anhang 3 — Technische und organisatorische Massnahmen (TOM)

1. Vertraulichkeit

• Mandantentrennung durch Multi-Tenant-Datenmodell.
• Row Level Security (RLS) in PostgreSQL fuer tenant-gebundene Tabellen, soweit technisch umgesetzt.
• Rollen- und Berechtigungskonzept fuer Nutzer des Kunden.
• OAuth-basierter Zugriff auf Gmail/Google Workspace nur nach aktiver Verbindung durch den Kunden.
• Zugriff auf Produktivsysteme nur fuer berechtigte Personen nach Need-to-know-Prinzip.
• Geheimnisse/API-Schluessel in Secret-Management/Vault/ENV, nicht im Repository.
• TLS-Verschluesselung fuer Datenuebertragung.
• Verschluesselung von Daten at rest ueber eingesetzte Infrastruktur-Anbieter, soweit vom Dienst bereitgestellt.

2. Integritaet

• Audit-Log fuer relevante fachliche Aktionen.
• Append-only- oder manipulationsarme Protokollierung fuer steuerlich relevante Ereignisse, soweit technisch umgesetzt.
• Validierung kritischer Eingaben.
• Rollenbasierte Freigabe fuer rechnungs- und mahnrelevante Aktionen.
• KI-Ausgaben werden als Vorschlaege behandelt; Nutzer pruefen und bestaetigen fachliche Ergebnisse.

3. Verfuegbarkeit und Belastbarkeit

• Hosting ueber skalierende Cloud-Infrastruktur.
• Taegliche verschluesselte Backups fuer Datenbank, soweit im Produktivbetrieb eingerichtet.
• Backup-Monitoring und regelmaessige Wiederherstellungstests als Zielprozess.
• Async-Queue mit Retry-Mechanismen fuer Hintergrundjobs.
• Fehlerlogging und technische Alerts fuer kritische Prozesse.
• Kein 24/7-Betrieb in der Pilotphase, sofern nicht individuell vereinbart.

4. Wiederherstellbarkeit

• Zielwerte Pilotphase: RPO 24 Stunden, RTO 4 Stunden, soweit technisch und vertraglich nicht anders vereinbart.
• Wiederherstellung aus Datenbank-Backups.
• Rollback faehiger Deployment-Prozess.
• Dokumentierter Incident-Prozess mit Verantwortlichkeiten.

5. Pseudonymisierung und Verschluesselung

• Transportverschluesselung per HTTPS/TLS.
• Verschluesselung gespeicherter Daten ueber Anbieterfunktionen.
• Keine Speicherung von OAuth-Secret-Werten im Klartext ausserhalb dafuer vorgesehener Secret-Systeme.
• Minimierung von KI-Prompts: Uebermittlung nur der fuer Extraktion erforderlichen Inhalte, soweit technisch umgesetzt.
• Optional: Maskierung besonders sensibler Felder in Logs.

6. Pruefbarkeit und Datenschutzmanagement

• Vendor-Register fuer Unterauftragnehmer inklusive DPA/SCC/DPF-Status.
• Loeschkonzept mit Datenkategorien, Fristen und Verfahren.
• Versionsverwaltung fuer Legal-Dokumente.
• Acceptance-Protokoll fuer AGB, AVV und Datenschutzhinweise im Onboarding.
• Regelmaessige Ueberpruefung bei Anbieterwechseln, neuen Modulen oder neuen Datenkategorien.

Anpassungs-Checkliste vor Einsatz

• Anbieterdaten (Name, Adresse, E-Mail, Vertretung) eingesetzt — 21.07.2026.
• Vertragspartner-Variante klaeren: DE-Unternehmen, AT-Unternehmen, EE-OUe oder andere Entitaet.
• Gerichtsstand und anwendbares Recht je Kundenland setzen.
• Fuer jeden Unterauftragnehmer aktuelles DPA/SCC/DPF-Dokument ablegen.
• Cloudflare R2: Automatic vs. EU/Jurisdictional Restrictions verbindlich dokumentieren; keine EU-only-Aussage ohne Nachweis.
• Anthropic und Inngest: aktuellen DPF-Status pruefen; bei Unsicherheit SCCs als Grundlage verwenden.
• Google Workspace und Lexoffice rollenmaessig klaeren: Unterauftragnehmer, kundenaktivierte Drittdienste oder getrennte Verantwortlichkeit.
• TOM-Link auf echte, versionierte TOM-Seite setzen (im Vertragstext noch offen).
• Loeschkonzept nach DE/AT und Dokumenttyp finalisieren.
• Incident-Prozess und Kontaktadresse fuer Datenschutzvorfaelle intern festlegen.

Quellen / Pruefgrundlagen

• DSGVO Art. 28 Auftragsverarbeitung: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• BfDI Muster zur Auftragsverarbeitung: https://www.bfdi.bund.de/
• EU-Kommission — Standardvertragsklauseln Controller/Processor: https://commission.europa.eu/publications/standard-contractual-clauses-controllers-and-processors-eueea_en
• EU-Kommission — Standard Contractual Clauses fuer Drittlandtransfers: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_en
• EU-US Data Privacy Framework: https://www.dataprivacyframework.gov/
• Clerk DPA/DPF: https://clerk.com/legal/dpa und https://clerk.com/legal/dpf
• Anthropic DPA/Privacy: https://privacy.claude.com/
• Inngest Security: https://www.inngest.com/security
• Cloudflare R2 Data Location/Security: https://developers.cloudflare.com/r2/reference/data-location/ und https://developers.cloudflare.com/r2/reference/data-security/
• Vercel Regions/Compliance: https://vercel.com/docs/regions und https://vercel.com/docs/security/compliance
• Supabase Regions: https://supabase.com/docs/guides/platform/regions
• Stripe DPA: https://stripe.com/legal/dpa