Auftragsverarbeitungsvertrag (AVV)
Stand: 26. Oktober 2026. Vertrag nach Art. 28 DSGVO zwischen dem Kunden als Verantwortlichem und der A & D Media und Data GbR als Auftragsverarbeiter. Er ist Bestandteil jedes Vertrags über die Nutzung von Halvista und gilt mit Abschluss dieses Vertrags.
1. Gegenstand und Dauer
Der Auftragsverarbeiter betreibt für den Verantwortlichen die Software Halvista (Posteingang, KI-Assistent, Integrationen). Die Verarbeitung dauert so lange wie der Hauptvertrag und endet mit der Löschung nach Ziffer 10.
2. Art, Zweck, Daten und Betroffene
| Zweck | Empfang, Speicherung, Anzeige und Beantwortung von Kundenanfragen; Vorbereitung und Versand von KI-Antworten; Abgleich mit Bestell- und Kundendaten aus verbundenen Systemen |
|---|---|
| Datenarten | Namen, Kontaktdaten (E-Mail, Telefonnummer, Messenger-Kennungen), Nachrichteninhalte und Anhänge, Bestell- und Versanddaten, Notizen und Kategorien, Metadaten der Kommunikation |
| Betroffene | Endkunden und Interessenten des Verantwortlichen, Ansprechpartner von Geschäftspartnern, Mitarbeiter des Verantwortlichen als Nutzer |
| Besondere Kategorien (Art. 9) | nicht vorgesehen; der Verantwortliche sorgt dafür, dass sie nicht gezielt verarbeitet werden |
3. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, außer er ist gesetzlich zu einer Verarbeitung verpflichtet. Weisungen sind die Einstellungen in der Software und Mitteilungen in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit.
4. Vertraulichkeit
Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet und erhalten Zugang nur, soweit es für ihre Aufgaben nötig ist.
5. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO, insbesondere:
- Betrieb auf Servern in Deutschland in zugangsgeschützten Rechenzentren;
- Verschlüsselung aller Verbindungen per TLS; verschlüsselte Speicherung von Zugangsdaten zu Kanälen und Integrationen;
- Trennung der Daten verschiedener Kunden (Mandantentrennung) auf Anwendungs- und Datenbankebene;
- rollenbasierte Zugriffsrechte, Passwörter nur als sicherer Hash;
- Maskierung personenbezogener Daten in Protokollen;
- regelmäßige Datensicherung; Löschung nach den eingestellten Aufbewahrungsfristen;
- kein Training von KI-Modellen mit den Daten des Verantwortlichen.
Die Maßnahmen dürfen weiterentwickelt werden, solange das Schutzniveau nicht sinkt.
6. Unterauftragsverarbeiter
Der Verantwortliche genehmigt allgemein den Einsatz der auf der Seite „Subunternehmer“ aufgeführten Unterauftragsverarbeiter. Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens 30 Tage vorher per E-Mail. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; ist keine Lösung möglich, kann er den Vertrag zum Wirksamwerden der Änderung kündigen.
Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau.
Kanäle und Dienste, die der Verantwortliche mit eigenen Konten verbindet (zum Beispiel WhatsApp, Instagram, Messenger, Telegram, eigene E-Mail-Postfächer, Shopsysteme), sind keine Unterauftragsverarbeiter des Auftragsverarbeiters; für sie gilt das Vertragsverhältnis zwischen dem Verantwortlichen und dem jeweiligen Anbieter.
7. Übermittlung in Drittländer
Eine Übermittlung außerhalb der EU bzw. des EWR durch den Auftragsverarbeiter erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, und ist in der Liste der Unterauftragsverarbeiter ausgewiesen.
8. Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anträgen Betroffener (Auskunft und Löschung sind in der Software möglich; einen Export stellen wir auf Anfrage bereit), bei Datenschutz-Folgenabschätzungen und bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO, soweit er dazu beitragen kann.
9. Meldung von Verletzungen
Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.
10. Löschung und Rückgabe
Nach Ende des Hauptvertrags kann der Verantwortliche seine Daten 30 Tage lang exportieren. Danach löscht der Auftragsverarbeiter sie einschließlich Kopien, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Datensicherungen werden im regulären Zyklus überschrieben.
Während der Laufzeit löscht die Software Gespräche samt Nachrichten und Dateien automatisch, wenn sie länger als die vom Verantwortlichen eingestellte Frist keine neue Nachricht hatten. Voreingestellt sind 12 Monate; der Verantwortliche ändert die Frist unter „Datenaufbewahrung“ (1 bis 36 Monate). Einzelne Kunden mit allen Gesprächen löscht er jederzeit in der Kundenkarte.
11. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt die zum Nachweis der Pflichten nötigen Informationen zur Verfügung. Kontrollen vor Ort sind nach Anmeldung mit angemessener Frist zu üblichen Geschäftszeiten möglich, ohne den Betrieb zu stören und unter Wahrung der Vertraulichkeit gegenüber anderen Kunden.
12. Schlussbestimmungen
Bei Widersprüchen geht dieser Vertrag den AGB in Fragen des Datenschutzes vor. Es gilt deutsches Recht. Auf Wunsch stellen wir den Vertrag als unterschriebenes PDF bereit; für den Auftragsverarbeiter unterzeichnet Anastasiia Pylypenko (Gesellschafterin).