Auftragsverarbeitungsvertrag (AVV)
Anlage 1 zu den AGB / zum SaaS-Vertrag traqx · B2B · Fassung 1.0 · Stand: 25.07.2026 zwischen [Name des Kunden], [Anschrift] – nachfolgend „Verantwortlicher“ oder „Kunde“ – und der traqx GmbH, Sitz Flensburg, Geschäftsanschrift Enzweilerweg 3a, 66709 Weiskirchen, eingetragen im Handelsregister des Amtsgerichts Flensburg unter HRB 18410, vertreten durch die Geschäftsführer Alexander Schrot und Daniel Herrmann – nachfolgend „Auftragsverarbeiter“ oder „Anbieter“ – Dieser AVV konkretisiert die datenschutzrechtlichen Pflichten der Parteien für die Verarbeitung personenbezogener Daten im Rahmen der Nutzung der traqx-Plattform und ist Bestandteil des Hauptvertrags.
§ 1 Gegenstand, Art und Zweck der Verarbeitung
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach den dokumentierten Weisungen des Verantwortlichen zur Erbringung der im Hauptvertrag beschriebenen SaaS-Leistungen (KI-gestützte Erstellung und Verwaltung GxP-relevanter Dokumente sowie zugehöriger Support).
(2) Art der Verarbeitung: Erheben, Erfassen, Speichern, Organisieren, Anpassen, Auslesen, Verwenden, Übermitteln innerhalb der Verarbeitungsumgebung sowie Löschen. Die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter und seine Unterauftragsverarbeiter erfolgt ausschließlich in der Europäischen Union. Die Softwareentwicklung erfolgt in Deutschland; in der Entwicklungsumgebung werden keine personenbezogenen Produktivdaten verarbeitet. Die technische und organisatorische Trennung von Entwicklung und Produktion ist dokumentiert.
(3) Zweck: Bereitstellung und Betrieb der Plattform, Generierung und Speicherung von Dokumentenentwürfen auf Grundlage des Kunden-Inputs, Datensicherheit, Support sowie Erfüllung gesetzlicher Pflichten des Auftragsverarbeiters.
§ 2 Dauer
Die Dauer der Auftragsverarbeitung entspricht der Laufzeit des Hauptvertrags. Nach dessen Beendigung gilt § 9 (Löschung/Rückgabe).
§ 3 Kategorien betroffener Personen und Datenarten
(1) Kategorien betroffener Personen: Beschäftigte und Nutzer des Verantwortlichen; Geschäftspartner und Ansprechpartner des Verantwortlichen; sowie weitere Personen, deren Daten der Verantwortliche in die Plattform eingibt.
(2) Datenarten: Stamm- und Kontaktdaten (Name, dienstliche Anschrift, E-Mail, Telefon), Nutzungs- und Protokolldaten, in Dokumenten enthaltene Inhalts- und Vertragsdaten sowie etwaige weitere vom Verantwortlichen eingegebene Daten.
(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), insbesondere Gesundheitsdaten, werden nur verarbeitet, soweit der Verantwortliche sie eingibt und eine ausdrückliche Weisung zur Verarbeitung erteilt hat. Der Verantwortliche stellt sicher, dass eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO vorliegt (z. B. Art. 9 Abs. 2 lit. h DSGVO). Der Auftragsverarbeiter verarbeitet solche Daten nur auf dokumentierte Weisung.
§ 4 Weisungsrecht des Verantwortlichen
(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, soweit nicht gesetzlich untersagt.
(2) Dieser Vertrag und die Konfiguration der Plattform stellen die initialen Weisungen dar. Weitere Weisungen erteilt der Verantwortliche in Textform (E-Mail genügt). Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtswidrig, informiert er den Verantwortlichen unverzüglich; er darf die Ausführung bis zur Bestätigung aussetzen.
§ 5 Pflichten des Auftragsverarbeiters
(1) Vertraulichkeit: Der Auftragsverarbeiter verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit (Art. 28 Abs. 3 lit. b, 29, 32 Abs. 4 DSGVO) und stellt deren Datenschutz-Kenntnisse sicher.
(2) Sicherheit der Verarbeitung: Der Auftragsverarbeiter ergreift die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Maßgeblich ist das gesonderte Dokument „Technische und organisatorische Maßnahmen (TOM) der traqx GmbH“ in seiner jeweils aktuellen Fassung, das als Anlage zu diesem AVV gilt (Anlage A). Der Auftragsverarbeiter stellt dem Verantwortlichen die aktuellen TOM (Anlage A) vor Vertragsschluss zur Prüfung zur Verfügung. Der Verantwortliche bestätigt nach Prüfung, dass die Maßnahmen ein dem Risiko angemessenes Schutzniveau bieten.
(3) Unterstützung: Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung mit angemessenen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO) sowie bei den Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung).
(4) Meldung von Datenschutzverletzungen: Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, regelmäßig innerhalb von 24 Stunden, mit den nach Art. 33 Abs. 3 DSGVO verfügbaren Informationen.
(5) Datenschutzbeauftragter / Ansprechpartner des Auftragsverarbeiters: [Name, Kontakt].
§ 6 Unterauftragsverarbeiter
(1) Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter ergeben sich aus dem gesonderten Dokument „Liste der Unterauftragsverarbeiter“ in seiner jeweils aktuellen Fassung, das als Anlage zu diesem AVV gilt (Anlage B). Der Auftragsverarbeiter stellt dem Verantwortlichen diese Liste vor Vertragsschluss sowie jederzeit auf Anforderung an info@traqx.io in Textform zur Verfügung. Die darin aufgeführten Unterauftragsverarbeiter gelten mit Vertragsschluss als genehmigt.
(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung). Der Verantwortliche kann der Änderung innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann die Leistung in diesem Fall nicht angepasst werden, steht beiden Parteien ein außerordentliches Kündigungsrecht zu.
(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter zu im Wesentlichen gleichen Datenschutzpflichten (Art. 28 Abs. 4 DSGVO) und bleibt für dessen Verhalten verantwortlich.
§ 7 Drittlandtransfer
Personenbezogene Kundendaten werden in der EU verarbeitet (Hosting AWS Frankfurt am Main; Modell-Inferenz über AWS Bedrock EU; OCR-/Texterkennung über die API von Mistral AI, Anbieter mit Sitz in der EU/Frankreich, in Anlage B als Nr. 6 geführt; Microsoft 365 einschließlich Microsoft 365 Copilot mit EU Data Boundary). Eine Verarbeitung in einem Drittland erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO (Angemessenheitsbeschluss oder geeignete Garantien, insbesondere Standardvertragsklauseln nebst Zusatzmaßnahmen). Die Quellcode-Entwicklung erfolgt in Deutschland; die Entwicklungsumgebung ist von der Produktivumgebung getrennt und hat keinen Zugriff auf personenbezogene Daten, sodass insoweit keine Übermittlung personenbezogener Daten in ein Drittland erfolgt. Eine unmittelbare Anbindung von OpenAI als Unterauftragsverarbeiter ist vorgesehen (Anlage B Nr. 7). Sie wird erst aktiviert, nachdem der Verarbeitungsort feststeht und – soweit eine Verarbeitung außerhalb des EWR erfolgt – Standardvertragsklauseln nebst Transfer-Impact-Assessment abgeschlossen sind; der Verantwortliche wird nach § 6 vorab informiert. Für den Fall, dass künftig personenbezogene Daten in ein Drittland übermittelt werden, schließt der Auftragsverarbeiter vorab EU-Standardvertragsklauseln (Modul 3, Verarbeiter-an-Verarbeiter) mit dem betreffenden Unterauftragsverarbeiter ab, führt ein Transfer-Impact-Assessment (TIA) durch und implementiert ergänzende Maßnahmen (Verschlüsselung, Pseudonymisierung, Zugriffskontrolle). Der Verantwortliche wird vorab informiert und kann der Übermittlung widersprechen.
§ 8 Kontroll- und Auditrechte
(1) Der Auftragsverarbeiter weist die Einhaltung der Pflichten regelmäßig durch geeignete Nachweise nach (z.B. aktuelle Zertifikate, Testate anerkannter Prüfstellen, Berichte über TOM).
(2) Reichen diese Nachweise nicht aus, ermöglicht der Auftragsverarbeiter dem Verantwortlichen oder einem von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer Vor-Ort-Kontrollen zu üblichen Geschäftszeiten nach Ankündigung mit angemessener Frist (mindestens 14 Tage), ohne den Betriebsablauf unverhältnismäßig zu stören.
(3) Über die Kontrollrechte hinaus unterstützt der Auftragsverarbeiter den Verantwortlichen bei dessen GxP-Lieferantenqualifizierung und stellt auf Verlangen die verfügbaren Nachweise (TOM, Subprozessorübersicht) bereit. Zur Unterstützung der Computersystem-Validierung stellt er auf Anfrage Systembeschreibung, Funktionsspezifikation, Angaben zum Change- und Release-Management sowie eigene Testnachweise bereit; die Qualifizierung und Validierung (IQ/OQ/PQ) obliegt dem Verantwortlichen.
§ 9 Löschung und Rückgabe
Nach Abschluss der Verarbeitung löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern keine unionsrechtliche oder mitgliedstaatliche Aufbewahrungspflicht entgegensteht. Die Löschung wird auf Verlangen in Textform bestätigt. Einzelheiten regelt das gesonderte Löschkonzept der traqx GmbH; § 8 (Datenexport) des Hauptvertrags bleibt unberührt.
§ 10 KI-spezifische Regelungen
(1) Der Auftragsverarbeiter verwendet die im Auftrag verarbeiteten personenbezogenen Daten nicht zum Training oder zur Feinabstimmung von KI-Modellen. Die Erzeugung und Nutzung anonymisierter Daten sowie die Verarbeitung in Support-/Testfällen richten sich nach den Absätzen 2 bis 4.
(2) Anonymisierte Daten: Der Verantwortliche gestattet dem Auftragsverarbeiter, aus den Auftragsdaten anonymisierte bzw. aggregierte Daten ohne Personenbezug zu erzeugen; die daraus resultierenden anonymen Daten unterliegen nicht diesem AVV und dürfen vom Auftragsverarbeiter für eigene Zwecke (Qualitätssicherung, Test, Weiterentwicklung, neue Anwendungsfälle) genutzt werden (vgl. § 7 der AGB). Diese Gestattung ist Teil der dokumentierten Weisungen.
(3) Support-/Testfälle: Der Auftragsverarbeiter verarbeitet personenbezogene Daten zur Fehleranalyse/Störungsbeseitigung in einer gesondert abgesicherten, mandantengetrennten Umgebung auf dokumentierte Weisung des Verantwortlichen.
(4) Eine Nutzung personenbezogener Auftragsdaten für eigene Weiterentwicklungszwecke des Auftragsverarbeiters über die Anonymisierung hinaus erfolgt nur auf Grundlage einer gesonderten Einwilligung bzw. dokumentierten Weisung des Verantwortlichen; ohne eine solche unterbleibt sie (Art. 28 Abs. 10 DSGVO).
(5) Kunden-Input und Output werden grundsätzlich nur für den jeweiligen Verarbeitungsvorgang gespeichert. Löscht ein Nutzer Inhalte, werden diese unverzüglich logisch gelöscht, d.h. der aktiven Nutzung und Ausgabe entzogen; technisch bedingte Referenzen (z.B. Zitat- und Verweisfunktionen in einem Wissensspeicher/RAG) können bis zur physischen Löschung fortbestehen. Die physische Löschung erfolgt spätestens mit der Löschung des jeweiligen Tenants bzw. bei Vertragsende sowie im Übrigen nach Maßgabe des Löschkonzepts. Auf dokumentierte Weisung des Verantwortlichen werden einzelne personenbezogene Inhalte bereits vor diesen Zeitpunkten physisch gelöscht.
§ 11 Schlussbestimmungen
(1) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen hinsichtlich des Datenschutzes die Regelungen dieses AVV vor.
(2) Es gilt deutsches Recht; maßgebliche Sprachfassung ist Deutsch. Soweit am Sitz des Kunden oder betroffener Personen zwingendes Datenschutzrecht gilt, bleibt dieses unberührt. Änderungen bedürfen der Textform.
§ 12 Haftung und Haftungsverteilung (Art. 82 DSGVO)
(1) Im Innenverhältnis tragen die Parteien einen Schaden oder ein Bußgeld nach dem Maß ihres jeweiligen Verantwortungs- und Verschuldensbeitrags (Art. 82 Abs. 4, 5 DSGVO entsprechend).
(2) Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen nur, soweit er seinen spezifischen Pflichten als Auftragsverarbeiter oder einer rechtmäßigen Weisung zuwidergehandelt hat. Im Übrigen stellt der Verantwortliche den Auftragsverarbeiter von Ansprüchen frei, die auf einer dem Verantwortlichen zuzurechnenden Verarbeitung beruhen.
(3) Die Haftungsbeschränkungen des Hauptvertrags gelten nicht für die Haftung nach Art. 82 DSGVO gegenüber betroffenen Personen; im Übrigen gelten die Absätze 1 und 2.
Anlagen zu diesem AVV
Die nachstehenden Anlagen sind Bestandteil dieses Auftragsverarbeitungsvertrags. Maßgeblich ist jeweils die aktuelle Fassung des Standalone-Dokuments; Änderungen richten sich nach § 6. Die Anlagen werden nicht auf der Website veröffentlicht; der Auftragsverarbeiter stellt sie auf Anforderung an info@traqx.io in Textform bereit, die Liste der Unterauftragsverarbeiter (Anlage B) bereits vor Vertragsschluss.
Anlage Bezeichnung Dokument Fassung / Stand Verweis Anlage A (AGB: Anlage 1a) Technische und organisatorische Maßnahmen (TOM) 20260725_traqx_TOM_Anlage 1a_v1.0 1.0 / 25.07.2026 § 5, § 8 Anlage B (AGB: Anlage 1b) Liste der Unterauftragsverarbeiter 20260725_traqx_Subunterneh merliste_Anlage1b_v1.0 1.0 / 25.07.2026 § 6, § 7
Anlage A – Technische und organisatorische Maßnahmen (TOM): Es gilt das gesonderte Dokument „Technische und organisatorische Maßnahmen (TOM) der traqx GmbH“ in seiner jeweils aktuellen Fassung. Dieses Dokument ist die führende Fassung der TOM. Anlage B – Liste der Unterauftragsverarbeiter: Es gilt das gesonderte Dokument „Liste der Unterauftragsverarbeiter“ in seiner jeweils aktuellen Fassung. Dieses Dokument ist die führende Fassung der Subunternehmer-Liste.