Auftragsverarbeitungsvertrag (AVV)

nach Art. 28 DSGVO · Stand: 30.04.2026 · Vorlage Version 1.0 · ProtokollFlow

Parteien

§ 1 Gegenstand und Dauer

(1) Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem zwischen ihnen bestehenden Hauptvertrag über die Nutzung des Dienstes ProtokollFlow zur KI-gestützten Erstellung von WEG-Versammlungsprotokollen (im Folgenden „Hauptvertrag").

(2) Die Laufzeit dieses AVV richtet sich nach der Laufzeit des Hauptvertrags, sofern sich aus den Bestimmungen dieses AVV nicht weitergehende Verpflichtungen ergeben.

§ 2 Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten der vom Verantwortlichen benannten Versammlungs­teilnehmer und sonstigen betroffenen Personen ausschließlich zum Zweck der

• Speicherung hochgeladener Audio-Aufnahmen,
• automatischen Transkription mittels Sprach-KI (Whisper),
• Strukturierung in Protokoll-Entwürfe mittels Sprach-Modell (Claude),
• Bereitstellung der Ergebnisse über das Web-Interface des Dienstes,
• Generierung von PDF-Dokumenten,
• Aufbewahrung im Account des Verantwortlichen.

§ 3 Art der personenbezogenen Daten

• Stammdaten der Versammlungs­teilnehmer (Name, Vorname, ggf. Funktion)
• Stimmdaten und Beschluss­verhalten (ja/nein/Enthaltung)
• Diskussionsbeiträge in Audio- und Textform
• Adressdaten der WEG, ggf. Sondereigentums-Bezeichnung
• Miteigentumsanteile (MEA), Stimmrechts­verhältnisse
• Sonstige Inhalte, die der Verantwortliche im Rahmen der Versammlung erörtert

§ 4 Kategorien betroffener Personen

• Wohnungseigentümer der vom Verantwortlichen verwalteten WEGs
• Versammlungsleitung, Protokollführer/in
• Beiratsmitglieder
• Vertretungs­berechtigte (Vollmacht­nehmer)
• Sachverständige, Handwerker und sonstige Dritte, die in der Versammlung erörtert werden

§ 5 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen.

(2) Er stellt sicher, dass die zur Verarbeitung befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Er trifft alle erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO; siehe Anlage 1.

(4) Er unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung von Anträgen betroffener Personen (Auskunft, Löschung, Einschränkung, Datenübertragbarkeit).

(5) Er meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens binnen 48 Stunden ab Kenntnis.

(6) Er unterstützt den Verantwortlichen bei der Durchführung von Datenschutz-Folgenabschätzungen und vorherigen Konsultationen mit der Aufsichtsbehörde.

(7) Nach Beendigung des Hauptvertrags löscht er alle personenbezogenen Daten innerhalb von 90 Tagen, sofern keine gesetzliche Aufbewahrungs­pflicht entgegensteht.

§ 6 Subunternehmer (Subprozessoren)

(1) Der Verantwortliche genehmigt mit Abschluss dieses Vertrags die in Anlage 2 aufgeführten Subunternehmer.

(2) Der Auftragsverarbeiter wird den Verantwortlichen über jede beabsichtigte Änderung mit einer Frist von mindestens 30 Tagen vor Inanspruchnahme des neuen Subunternehmers in Textform informieren.

(3) Der Verantwortliche kann der Beauftragung aus wichtigem datenschutzrechtlichen Grund widersprechen. Bei berechtigtem Widerspruch ist der Verantwortliche zur außerordentlichen Kündigung berechtigt.

§ 7 Drittlandtransfer

(1) Eine Übermittlung in Drittländer findet ausschließlich auf Grundlage geeigneter Garantien nach Art. 46 DSGVO statt — insbesondere EU-Standardvertragsklauseln, ergänzt um zusätzliche technische und vertragliche Maßnahmen (Verschlüsselung, Zero-Data-Retention, Auftragsverarbeitungs-Mindeststandards).

(2) Eine Übersicht der eingesetzten Drittland-Anbieter findet sich in Anlage 2.

§ 8 Rechte des Verantwortlichen

(1) Der Verantwortliche hat das Recht, sich von der Einhaltung der Pflichten dieses Vertrags zu überzeugen — durch Einholung schriftlicher Auskünfte, einschlägiger Audit-Berichte (z. B. ISO 27001) oder, nach Vorankündigung, durch Vor-Ort-Kontrollen während der üblichen Geschäftszeiten.

(2) Berechtigte Audits werden vom Auftragsverarbeiter unterstützt; die Kosten einer Vor-Ort-Prüfung trägt der Verantwortliche, sofern keine konkreten Anhaltspunkte für eine Pflichtverletzung des Auftragsverarbeiters bestehen.

§ 9 Haftung

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO sowie nach den Regelungen des Hauptvertrags. Eine Haftungsbeschränkung im Hauptvertrag gilt entsprechend, soweit gesetzlich zulässig.

§ 10 Schlussbestimmungen

(1) Änderungen dieses Vertrags bedürfen der Textform.

(2) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in datenschutzrechtlichen Fragen vor.

(3) Es gilt deutsches Recht. Gerichtsstand ist der Sitz des Auftragsverarbeiters, soweit der Verantwortliche Unternehmer ist.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Anlage 2 — Genehmigte Subunternehmer

© ProtokollFlow · protokollflow.de · Diese Vorlage entspricht den Mindestanforderungen an einen AVV nach Art. 28 DSGVO. Eine anwaltliche Schluss­prüfung wird empfohlen.