Auftragsverarbeitung.

Vereinbarung über die Auftragsverarbeitung nach Art. 28 der Verordnung (EU) 2016/679 (DSGVO) für den Dienst Eigenwelt Plus.

Dies ist die jeweils aktuelle, unter eigenweltlabs.com/de/eigenwelt-plus/avv veröffentlichte Fassung (§ 12). Rechtsverbindlich ist die deutsche Fassung; die englische Übersetzung dient nur der Verständlichkeit. Die von beiden Parteien unterzeichnete Fassung ist die vereinbarte Grundlage.

Parteien

zwischen

[Name der Kanzlei / des Unternehmens]
[Vertreten durch]
[Straße, Hausnummer]
[PLZ, Ort]
– nachfolgend „Verantwortlicher“ –

und

Poensgen Technology UG (haftungsbeschränkt)
Wiclefstr. 45, 10551 Berlin
Amtsgericht Berlin (Charlottenburg), HRB 226111 B
vertreten durch den Geschäftsführer
– nachfolgend „Eigenwelt“ oder „Dienstleister“ –

§ 1 Gegenstand und Dauer der Vereinbarung

(1) Der Verantwortliche nutzt den Dienst „Eigenwelt Plus“ (gehostete Modellinferenz, Team- und Organisationsverwaltung sowie Knowledge Hub, erreichbar unter platform.eigenweltlabs.com) auf Grundlage der Allgemeinen Geschäftsbedingungen für Eigenwelt Plus (der „Hauptvertrag“). Im Rahmen der Leistungserbringung verarbeitet Eigenwelt personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen. Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien.

(2) Gegenstand, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

(3) Die Laufzeit dieser Vereinbarung entspricht der Laufzeit des Hauptvertrags. Sie endet automatisch mit dessen Beendigung; nachlaufende Pflichten (insbesondere §§ 11 und 13) bleiben unberührt.

§ 2 Zero Data Retention für Inferenzinhalte

(1) Das Gateway von Eigenwelt speichert keine Prompt- oder Ausgabeinhalte bezahlter Inferenz und bewahrt ausschließlich inhaltsfreie Abrechnungs- und Nutzungsmetadaten auf (insbesondere Nutzer, Modell, Tokenanzahl, Kosten, Status und Zeitstempel).

(2) Der für die Modellinferenz eingesetzte Unterauftragsverarbeiter (Scaleway SAS) wendet standardmäßig Zero Data Retention („ZDR“) an. Nach seiner veröffentlichten Richtlinie sind vorübergehender Zugriff und eine Speicherung von bis zu zwei Wochen ausschließlich zur Untersuchung ungewöhnlicher Fehler oder vermuteter missbräuchlicher Aktivitäten zulässig; aggregierte, anonymisierte Nutzungsdaten können bis zu sechs Monate gespeichert werden.

(3) Inhalte bezahlter Inferenz werden nicht zum Training gemeinsamer oder öffentlicher Modelle verwendet.

(4) ZDR gilt nicht für Konto-, Abrechnungs-, Sicherheits- und Nutzungsdaten sowie für Knowledge-Hub-Inhalte, die der Verantwortliche bewusst in der Plattform speichert.

§ 3 Weisungen

(1) Eigenwelt verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern nicht eine Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten vorgeschrieben ist; in einem solchen Fall teilt Eigenwelt dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

(2) Weisungen sind zunächst der Hauptvertrag, diese Vereinbarung sowie die Nutzung der Funktionen der Plattform durch den Verantwortlichen und seine Nutzer. Ergänzende Weisungen bedürfen der Textform.

(3) Eigenwelt informiert den Verantwortlichen unverzüglich, wenn es der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt (Art. 28 Abs. 3 UAbs. 2 DSGVO). Eigenwelt ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung auszusetzen.

§ 4 Vertraulichkeit

(1) Eigenwelt gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Vertraulichkeitspflichten bestehen nach Beendigung der Tätigkeit fort.

(2) Eine zwischen den Parteien geschlossene Verschwiegenheitsvereinbarung nach § 43e BRAO und § 203 StGB bleibt unberührt und gilt neben dieser Vereinbarung.

§ 5 Technische und organisatorische Maßnahmen

(1) Eigenwelt trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält diese während der Laufzeit aufrecht.

(2) Die Maßnahmen dürfen an die technische und organisatorische Weiterentwicklung angepasst werden, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt die in Anlage 3 aufgeführten Unterauftragsverarbeiter (allgemeine schriftliche Genehmigung im Sinne von Art. 28 Abs. 2 DSGVO).

(2) Eigenwelt informiert den Verantwortlichen mindestens 30 Tage vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform (z. B. per E-Mail oder über die Plattform). Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt eine einvernehmliche Lösung nicht zustande, kann der Verantwortliche den Hauptvertrag außerordentlich mit Wirkung zum Zeitpunkt der Änderung kündigen.

(3) Eigenwelt erlegt jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, die in dieser Vereinbarung festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet Eigenwelt gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters (Art. 28 Abs. 4 DSGVO).

(4) Inhalte bezahlter Inferenz werden ausschließlich an Modellinfrastruktur innerhalb der Europäischen Union übermittelt.

§ 7 Unterstützung des Verantwortlichen; Rechte betroffener Personen

(1) Eigenwelt unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten. Bei Eigenwelt eingehende Anträge betroffener Personen, die erkennbar den Verantwortlichen betreffen, leitet Eigenwelt unverzüglich an diesen weiter.

(2) Eigenwelt unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der Eigenwelt zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Eigenwelt meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die im Auftrag verarbeitete Daten betrifft, unverzüglich nach Bekanntwerden.

(2) Die Meldung enthält, soweit verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO; nicht sofort verfügbare Informationen werden ohne unangemessene Verzögerung nachgereicht.

§ 9 Verarbeitungsort; Übermittlungen in Drittländer

(1) Kerndaten der Plattform und Inhalte bezahlter Inferenz werden in der Europäischen Union verarbeitet (Anlage 3).

(2) Soweit ein eingeschränkter Supportzugriff eines Unterauftragsverarbeiters im Einzelfall eine Übermittlung in ein Drittland darstellt, erfolgt diese nur auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien im Sinne von Kapitel V DSGVO (insbesondere EU-Standardvertragsklauseln). Im Übrigen findet eine Übermittlung personenbezogener Daten in Drittländer nicht statt und wird ohne vorherige dokumentierte Weisung des Verantwortlichen nicht vorgenommen.

§ 10 Nachweise und Kontrollen

(1) Eigenwelt stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung. Dieser Nachweis wird vorrangig durch Dokumentation erbracht, insbesondere durch die Dokumentation der technischen und organisatorischen Maßnahmen (Anlage 2), vorhandene Zertifikate und Testierungen (insbesondere ISO/IEC 27001 und BSI C5) sowie Prüfberichte der eingesetzten Unterauftragsverarbeiter, ergänzt um die Beantwortung eines angemessenen schriftlichen Fragebogens höchstens einmal je Kalenderjahr.

(2) Eine Überprüfung vor Ort (Inspektion) kann der Verantwortliche nur verlangen, soweit (a) die nach Absatz 1 bereitgestellten Nachweise zur Darlegung der Einhaltung im Einzelfall nachweislich nicht ausreichen, (b) eine zuständige Aufsichtsbehörde dies gegenüber dem Verantwortlichen verbindlich anordnet oder (c) eine dokumentierte Verletzung des Schutzes personenbezogener Daten vorliegt, die die Daten des Verantwortlichen betrifft.

(3) Inspektionen sind auf höchstens eine je Kalenderjahr beschränkt (außer in den Fällen des Absatzes 2 lit. b und c), mit einer Frist von mindestens 30 Tagen in Textform anzukündigen, auf übliche Geschäftszeiten zu begrenzen und ohne Störung des Betriebsablaufs sowie unter Wahrung der Vertraulichkeit und der Rechte anderer Kunden durchzuführen. Ein hinzugezogener Prüfer muss unabhängig und zur Verschwiegenheit verpflichtet sein und darf kein Wettbewerber von Eigenwelt sein; Eigenwelt kann einen Prüfer aus wichtigem Grund ablehnen. Der Verantwortliche trägt die Kosten der Inspektion einschließlich des angemessenen Aufwands von Eigenwelt.

§ 11 Löschung und Rückgabe

(1) Für Prompt- und Ausgabeinhalte bezahlter Inferenz gilt § 2: Sie werden nicht gespeichert; eine gesonderte Löschung ist insoweit nicht erforderlich.

(2) Nach Beendigung des Hauptvertrags löscht oder anonymisiert Eigenwelt die übrigen im Auftrag verarbeiteten personenbezogenen Daten innerhalb einer angemessenen betrieblichen Frist oder gibt sie auf Wunsch des Verantwortlichen in einem gängigen Format heraus, soweit dies technisch möglich ist. Der Verantwortliche exportiert benötigte Knowledge-Hub-Inhalte vor Vertragsende; Eigenwelt unterstützt hierbei in zumutbarem Umfang.

(3) Gesetzliche Aufbewahrungspflichten sowie Daten in Sicherungskopien mit definierten Löschzyklen bleiben unberührt; für solche Daten gelten die Schutzpflichten dieser Vereinbarung fort.

§ 12 Aktualisierung und Versionierung

(1) Diese Vereinbarung trägt eine Versionsnummer und ein Datum. Die jeweils aktuelle Fassung wird unter eigenweltlabs.com/de/eigenwelt-plus/avv veröffentlicht. Die von beiden Parteien unterzeichnete Fassung ist die vereinbarte Grundlage; Aktualisierungen werden nach Maßgabe dieses Paragraphen wirksam.

(2) Änderungen der technischen und organisatorischen Maßnahmen (Anlage 2) richten sich nach § 5 Abs. 2 und dürfen das vereinbarte Schutzniveau nicht unterschreiten. Änderungen der Unterauftragsverarbeiter (Anlage 3) richten sich nach § 6. Solche Aktualisierungen der Anlagen werden ohne erneute Unterzeichnung wirksam; die Rechte des Verantwortlichen aus § 6 Abs. 2 (Widerspruch und Sonderkündigung) bleiben unberührt.

(3) Änderungen des Hauptteils dieser Vereinbarung teilt Eigenwelt dem Verantwortlichen mindestens 30 Tage vor Wirksamwerden in Textform mit (z. B. per E-Mail oder über die Plattform). Widerspricht der Verantwortliche nicht innerhalb von 30 Tagen nach Zugang, gilt die neue Fassung als angenommen. Wesentliche, den Verantwortlichen benachteiligende Änderungen bedürfen seiner Zustimmung in Textform. Kommt eine Einigung nicht zustande, gilt die zuletzt vereinbarte Fassung fort; das Recht zur Kündigung des Hauptvertrags bleibt unberührt.

(4) Änderungen, die aufgrund zwingender gesetzlicher Vorgaben, einer Anordnung oder Empfehlung einer Aufsichtsbehörde oder einer geänderten höchstrichterlichen Rechtsprechung erforderlich sind, kann Eigenwelt mit Wirkung zum erforderlichen Zeitpunkt umsetzen; Eigenwelt informiert den Verantwortlichen hierüber unverzüglich.

(5) Jede Partei kann jederzeit eine von beiden Parteien gegengezeichnete Ausfertigung der aktuellen Fassung verlangen. Eigenwelt führt über die Fassungen dieser Vereinbarung eine nachvollziehbare Übersicht (Änderungshistorie).

§ 13 Haftung und Schlussbestimmungen

(1) Für die Haftung der Parteien gelten die Regelungen des Hauptvertrags sowie Art. 82 DSGVO.

(2) Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag geht diese Vereinbarung in datenschutzrechtlichen Fragen vor.

(3) Ergänzende Änderungen und Nebenabreden bedürfen der Textform; § 12 bleibt unberührt. Es gilt deutsches Recht; ausschließlicher Gerichtsstand ist, soweit gesetzlich zulässig, Berlin.

(4) Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; an die Stelle der unwirksamen Bestimmung tritt eine Regelung, die dem Zweck von Art. 28 DSGVO am nächsten kommt.

Ort, Datum — Für den Verantwortlichen — [Name in Druckbuchstaben]
Ort, Datum — Für die Poensgen Technology UG (haftungsbeschränkt) — Geschäftsführer, [Name in Druckbuchstaben]

Anlage 1 – Gegenstand der Verarbeitung

1. Verarbeitungsvorgänge

• Gehostete Modellinferenz: Verarbeitung von Prompts, Eingaben, Dokumenten bzw. Dokumentauszügen und generierten Ausgaben zur Erbringung der KI-Funktionen. Die Verarbeitung erfolgt transient im Arbeitsspeicher; Inhalte werden nach Maßgabe von § 2 der Vereinbarung nicht gespeichert (Zero Data Retention).
• Knowledge Hub: Speicherung und Bereitstellung von Inhalten, die der Verantwortliche bewusst speichert (z. B. Workflows, Integrationen, Plugins, MCP-Server-Definitionen, Voreinstellungen, Berechtigungen, Versionshistorie).
• Team- und Organisationsverwaltung: Verwaltung von Mitgliedern, Rollen, Einladungen und organisationsweiten Einstellungen.
• Inhaltsfreie Nutzungs- und Abrechnungsmetadaten: Nutzer, Modell, Tokenanzahl, Kosten, Status, Zeitstempel.

2. Zweck der Verarbeitung

Erbringung, Absicherung, Abrechnung und Unterstützung des Dienstes Eigenwelt Plus nach Maßgabe des Hauptvertrags.

3. Art der personenbezogenen Daten

• Sämtliche personenbezogenen Daten, die in vom Verantwortlichen oder seinen Nutzern übermittelten Inhalten enthalten sind, insbesondere Stammdaten, Kontaktdaten, Vertrags-, Fall- und Mandatsdaten sowie Kommunikationsinhalte.
• Darin können besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sowie Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO) enthalten sein, soweit sie Gegenstand der vom Verantwortlichen verarbeiteten Inhalte sind.
• Nutzerbezogene Daten der Plattform: Name, E-Mail-Adresse, Organisationszugehörigkeit, Rolle.

4. Kategorien betroffener Personen

• Mandanten des Verantwortlichen und deren Mitarbeiter oder Organe,
• Gegenparteien, Verfahrensbeteiligte und sonstige Dritte, deren Daten in bearbeiteten Inhalten enthalten sind,
• Mitarbeiter und Nutzer des Verantwortlichen.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: Juli 2026. Die Maßnahmen werden fortlaufend an den Stand der Technik angepasst; das Schutzniveau wird dabei nicht unterschritten.

1. Standort- und Zutrittskontrolle

• Verarbeitung ausschließlich in Rechenzentren innerhalb der Europäischen Union: Google Cloud Region europe-west3 (Frankfurt am Main) für Plattform, Gateway und Datenbanken; Scaleway (Paris, Region fr-par) für die Modellinferenz. Für die eingesetzten Google-Cloud-Dienste (u. a. Cloud Run, Cloud SQL, Memorystore) ist die Speicherung ruhender Daten auf die gewählte Region beschränkt.
• Zertifizierungen der eingesetzten Anbieter: Scaleway S.A.S. ist nach ISO/IEC 27001:2022 zertifiziert (BSI, Zertifikat IS 787020, für die technische Infrastrukturplattform der Public-Cloud-Produkte). Google Cloud ist nach ISO/IEC 27001:2022 zertifiziert und verfügt über eine Testierung nach BSI C5:2020. Kein physischer Zugriff durch Eigenwelt-Personal.

2. Zugangs- und Zugriffskontrolle

• Rollenbasierte Zugriffskonzepte nach dem Prinzip der geringsten Berechtigung (Least Privilege); personalisierte Konten, Mehr-Faktor-Authentifizierung für administrative Zugänge.
• Authentifizierung der API-Nutzung über organisationsbezogene Schlüssel bzw. tokenbasierte Anmeldung; Berechtigungsprüfung auf Organisationsebene.
• Verwaltung von Geheimnissen (Zugangsdaten, Schlüssel) in einem dedizierten Secret-Management.

3. Übertragungs- und Weitergabekontrolle

• Transportverschlüsselung sämtlicher Verbindungen (TLS); Verschlüsselung gespeicherter Plattformdaten nach Anbieter-Standard (Encryption at Rest).
• Technische Unterbindung der Protokollierung von Inferenzinhalten am Gateway: Inhalte werden aus Logs und nachgelagerten Systemen redigiert; clientseitige Deaktivierung dieser Redaktion ist technisch ausgeschlossen.

4. Trennungs- und Eingabekontrolle

• Logische Mandantentrennung auf Organisationsebene; getrennte Umgebungen für den bezahlten Dienst (Zero Data Retention) und das separate Evaluations-Gateway für kostenlose Modelle.
• Nachvollziehbarkeit administrativer Vorgänge und sicherheitsrelevanter Ereignisse durch inhaltsfreie Protokolle.

5. Datenminimierung und Zero Data Retention

• Keine Speicherung von Prompt- und Ausgabeinhalten bezahlter Inferenz; Aufbewahrung ausschließlich inhaltsfreier Abrechnungsmetadaten.
• Automatisierte Prüfungen (u. a. fortlaufende Tests), dass die Zero-Data-Retention-Konfiguration wirksam ist.

6. Verfügbarkeits- und Belastbarkeitskontrolle

• Verwaltete, redundante Datenbank- und Infrastrukturdienste; regelmäßige Sicherungen der Plattformdaten mit definierten Löschzyklen; Monitoring und Alarmierung.

7. Auftragskontrolle und Organisation

• Auftragsverarbeitungsverträge mit sämtlichen Unterauftragsverarbeitern; Auswahl nach Eignung und Zertifizierungslage; regelmäßige Überprüfung.
• Interner Prozess für Sicherheitsvorfälle (Erkennung, Bewertung, Meldung, Nachbereitung); regelmäßige Überprüfung und Bewertung der Wirksamkeit der Maßnahmen (Art. 32 Abs. 1 lit. d DSGVO).

Anlage 3 – Genehmigte Unterauftragsverarbeiter

Stand: Juli 2026. Änderungen dieser Liste richten sich nach § 6 (30-Tage-Vorabinformation, Widerspruchs- und Sonderkündigungsrecht) und § 12.

Hinweis 1: Inhalte bezahlter Inferenz werden ausschließlich an Modellinfrastruktur innerhalb der Europäischen Union übermittelt. Soweit im Einzelfall ein eingeschränkter Supportzugriff eines Unterauftragsverarbeiters von außerhalb der EU erfolgt, ist dieser vertraglich auf das Erforderliche begrenzt und durch die in § 9 genannten Garantien (insbesondere EU-Standardvertragsklauseln nach Kapitel V DSGVO) abgesichert.

Hinweis 2: Die Zahlungsabwicklung für Entgelte erfolgt durch einen Zahlungsdienstleister im Verhältnis zu Eigenwelt als datenschutzrechtlich Verantwortlichem und ist nicht Gegenstand dieser Auftragsverarbeitung. Einzelheiten enthalten die Datenschutzhinweise für Eigenwelt Plus.

Fragen zur Auftragsverarbeitung oder Wunsch nach einer gegengezeichneten Ausfertigung: chris@eigenweltlabs.com.