Auftragsverarbeitungsvertrag

§ 1 Gegenstand, Dauer, Weisungen

(1) Gegenstand. uRemoTech verarbeitet personenbezogene Daten des Kunden zur Bereitstellung der folgenden Leistungen:

• RemoStack: Erfassung der Anforderungen des Kunden, deren KI-gestützte Verfeinerung, Erzeugung einer Vorschau, Ermittlung des Kostenrahmens sowie Übergabe an uRemoTech.
• Betrieb einer erstellten Anwendung: Betrieb der für den Kunden nach Teil B der AGB RemoStack erstellten Anwendung einschließlich der darin verarbeiteten Daten.

(2) Dauer der Speicherung und Verarbeitung. Für die Laufzeit des jeweiligen Vertrags; darüber hinaus bis zur vollständigen Rückgabe/Löschung, die gemäß § 5 erfolgt.

(3) Weisungen. Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Kunden, erteilt über die Anwendung oder in Textform.

§ 2 Art der Verarbeitung, Datenarten, Betroffene

(1) Tätigkeiten. Erheben, Speichern, Organisieren, Abfragen, Verwenden, Übermitteln an Unterauftragsverarbeiter, Löschen; inkl. Protokollierung, Caching sowie Verarbeitung der Eingaben durch KI-Dienste.

(2) Datenarten. Stamm- und Kontaktdaten, Projekt- und Anforderungsbeschreibungen, Nutzungs- und Systemdaten (Logs), Dateiinhalte (kundenseitig bereitgestellt). Bei einer von uRemoTech betriebenen Anwendung ergeben sich die Datenarten aus deren Leistungsbeschreibung. Besondere Kategorien (Art. 9 DSGVO) sind nicht beabsichtigt.

(3) Betroffene. Mitarbeitende/Beauftragte des Kunden, extern tätige Personen (z. B. Auftragnehmer), Ansprechpersonen sowie, bei einer von uRemoTech betriebenen Anwendung, deren Nutzer.

§ 3 Pflichten von uRemoTech (Auftragsverarbeiter)

(1) Vertraulichkeit. Die Verarbeitung erfolgt nur durch auf Vertraulichkeit verpflichtete Personen.

(2) Sicherheit (TOM). Geeignete Maßnahmen gem. Art. 32 DSGVO; siehe Anlage 1.

(3) Unterauftragsverarbeiter. Allgemeine Genehmigung. Die Kategorien der eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt. Die namentliche Benennung einzelner Unterauftragsverarbeiter erfolgt auf Anfrage in Textform. uRemoTech informiert über beabsichtigte Änderungen (Hinzunahme/Wechsel) mindestens 14 Tage vor Wirksamwerden in Textform unter Angabe von Kategorie der Verarbeitung, Region (EU/EWR/Drittland) sowie der jeweils eingehaltenen Garantien (z. B. Art. 46 DSGVO). Der Kunde kann einer Änderung aus wichtigem Grund widersprechen. Bei berechtigtem Widerspruch darf uRemoTech die betroffene Funktion (z. B. die KI-gestützte Verfeinerung der Anforderungen) für den Kunden deaktivieren; die übrigen Leistungen bleiben unberührt.

(4) Datenpannen. Unverzügliche Information, in der Regel binnen 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 DSGVO.

(5) Betroffenenrechte. Unterstützung bei Art. 15–21 DSGVO in angemessener Frist.

(6) DPIA/Behörden. Unterstützung bei Art. 35/36 DSGVO.

(7) Nachweise/Audits. Audits durch den Kunden sind ausgeschlossen, soweit nicht ein gesetzlicher Anspruch besteht.

(8) Drittlandtransfers. Übermittlungen außerhalb des EWR nur auf Grundlage von Garantien nach Art. 46 DSGVO (insb. SCC der EU-Kommission) und ggf. Zusatzmaßnahmen; Details siehe Anlage 2.

(9) Keine Zweckänderung/Training. Keine eigenen Zwecke; kein Training von KI-Modellen auf Kundeninhalten ohne ausdrückliche Einwilligung des Kunden.

(10) Rückgabe/Löschung. Unterstützung gem. § 5.

§ 4 Pflichten des Kunden (Verantwortlicher)

(1) Rechtsgrundlagen/Information. Der Kunde verantwortet Rechtmäßigkeit, Transparenz, Betroffeneninformation.

(2) Weisungen/Account. Verwaltung von Tenants/Rollen/Freigaben; Weisungen des Kunden dürfen nur durch befugte Personen erfolgen.

(3) Besondere Daten. Der Kunde wird keine Daten der besonderen Kategorien ohne gesonderte schriftliche Vereinbarung in die Systeme von uRemoTech einspielen oder in diesen verarbeiten.

§ 5 Rückgabe und Löschung von Daten

(1) Während der Laufzeit. RemoStack stellt die erarbeitete Beschreibung des Vorhabens zum Download bereit. Für eine von uRemoTech betriebene Anwendung gilt § 20 der AGB RemoStack.

(2) Nach Vertragsende. Löschung personenbezogener Daten spätestens innerhalb von 60 Tagen, soweit keine Aufbewahrungspflichten entgegenstehen; Backups werden rollierend überschrieben. Löschbestätigung auf Wunsch in Textform.

(3) Aufbewahrungspflichten. Gesetzliche Pflichten (z. B. Abrechnungsbelege) bleiben unberührt.

§ 6 Internationale Verarbeitung/Region

RemoStack sowie die von uRemoTech betriebenen Kundenanwendungen laufen in einem Rechenzentrum in Deutschland. Für einzelne Funktionen werden Unterauftragsverarbeiter gemäß Anlage 2 eingesetzt. Etwaige Zugriffe aus Drittländern erfolgen ausschließlich auf Grundlage von SCC der EU-Kommission und ergänzender Maßnahmen.

§ 7 Haftung/Schadensersatz

Es gelten die Haftungsregelungen des Hauptvertrags. Unberührt: Art. 82 DSGVO im Innenverhältnis.

§ 8 Schluss

(1) Rangfolge. Dieser AVV geht bei Widersprüchen den AGB vor.

(2) Form. Änderungen/Weisungen über die Anwendung oder in Textform.

(3) Recht/Gerichtsstand gemäß Hauptvertrag.

(4) Salvatorisch. Unwirksamkeit einzelner Bestimmungen lässt den Vertrag im Übrigen unberührt.

Anlage 1 Technische und organisatorische Maßnahmen

Maßnahmen nach Art. 32 DSGVO, Stand 01.09.2026.

Vertraulichkeit

• Zutritt. Die Verarbeitung findet in einem Rechenzentrum in Deutschland statt, dessen Betreiber den Zutritt kontrolliert und protokolliert. Eigene Serverräume bei uRemoTech bestehen für diesen Zweck nicht.
• Zugang. Der Zugang zur Anwendung läuft über eine zentrale Identitätsverwaltung mit persönlichen Konten und Passwortrichtlinie. Der Zugang zu den Produktivsystemen ist auf die damit betrauten Personen von uRemoTech beschränkt und erfolgt über persönliche Zugänge.
• Zugriff. Innerhalb der Anwendung steuern Rollen und Berechtigungen, welche Daten ein Nutzer sieht und bearbeitet. Die Vergabe der Rollen liegt beim Kunden.
• Trennung. Die Daten verschiedener Kunden sind mandantenbezogen getrennt und werden bei jedem Zugriff gegen den Mandanten des Nutzers geprüft.
• Verpflichtung. Alle mit der Verarbeitung betrauten Personen sind auf Vertraulichkeit verpflichtet.

Integrität

• Transport. Der Datenverkehr ist durchgehend über TLS verschlüsselt, die Zertifikate werden automatisiert erneuert.
• Eingabe. Änderungen an den Daten erfolgen über die Anwendung und sind dem auslösenden Konto zuordenbar; Systemzugriffe werden protokolliert.
• Weitergabe. Eine Übermittlung an Dritte findet ausschließlich an die in Anlage 2 aufgeführten Unterauftragsverarbeiter statt.

Verfügbarkeit und Belastbarkeit

• Sicherung. Die Datenbanken werden regelmäßig gesichert, die Sicherungen werden rollierend überschrieben.
• Betrieb. Die Anwendung läuft in einem Kubernetes-Cluster mit automatischer Wiederherstellung ausgefallener Instanzen.
• Überwachung. Betrieb und Plattform werden durchgehend überwacht, rund 150 Alarmregeln melden Störungen an die Betriebsverantwortlichen.
• Aktualisierung. Die Plattform erhält laufend Sicherheitsaktualisierungen, Aktualisierungen der Anwendung werden vor dem Einsatz geprüft und im laufenden Betrieb eingespielt.

Überprüfung und Bewertung

• Auftragskontrolle. Unterauftragsverarbeiter werden nach ihren Garantien ausgewählt und vertraglich nach Art. 28 DSGVO gebunden.
• Überprüfung. Die Maßnahmen dieser Anlage werden anlassbezogen sowie bei Änderungen an Architektur oder Betrieb überprüft und fortgeschrieben.

Anlage 2 Unterauftragsverarbeiter

Stand 01.09.2026.

Die namentliche Benennung der eingesetzten Dienstleister mit Firmierung und Anschrift teilt uRemoTech auf Anfrage in Textform mit.