Vereinbarung über die Auftragsverarbeitung (AVV)

nach Art. 28 Abs. 3 DSGVO — Version 1.0-entwurf-2026-07-18

1. Parteien und Gegenstand

Diese Vereinbarung wird geschlossen zwischen der Organisation, die ein Team- oder Orga-Konto bei gruenki anlegt (Verantwortlicher), und Marius Erdmann (kontiTec), Brunnenstraße 1a, 56459 Langenhahn (Auftragsverarbeiter). Gegenstand ist die Verarbeitung personenbezogener Daten, die der Verantwortliche im Rahmen der Nutzung von gruenki (geteilte Wissensbasis, Team-Projekte, Organisations-Gedächtnis, hochgeladene Dokumente sowie künftig Wiki- und Kontaktverwaltungs-Funktionen) in den Dienst einbringt.

2. Dauer

Die Vereinbarung gilt ab Anlage der Organisation (auch während eines kostenlosen Testzeitraums) und endet mit der Auflösung der Organisation bzw. der Löschung ihrer Daten.

3. Art und Zweck der Verarbeitung

Speicherung, Verschlüsselung, Volltext-Extraktion, semantische Indexierung (Embeddings) und KI-gestützte Auswertung der eingebrachten Inhalte ausschließlich zur Erbringung der vertraglichen Leistungen gegenüber dem Verantwortlichen und seinen Mitgliedern. Es findet kein Training von KI-Modellen mit den Daten statt; die Inferenz läuft auf eigener Hardware in Deutschland.

4. Kategorien betroffener Personen und Datenarten

• Mitglieder/Beschäftigte des Verantwortlichen (Kontaktdaten, Rollen, Kommunikationsinhalte);
• in Dokumenten enthaltene Dritte (z. B. Vertragspartner, Antragsteller, Spender — Umfang bestimmt allein der Verantwortliche durch seine Uploads);
• Datenarten: Identifikations- und Kontaktdaten, Vertrags- und Finanzdaten, Freitext-Inhalte der hochgeladenen Dokumente.

Der Verantwortliche stellt sicher, dass er zur Einbringung dieser Daten berechtigt ist, und bringt keine besonderen Kategorien (Art. 9 DSGVO) ein, soweit dafür keine Rechtsgrundlage besteht.

5. Weisungsrecht

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen; die Nutzung der Dienstfunktionen (Upload, Löschung, Export, Einstellungen) gilt als Weisung. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

6. Vertraulichkeit

Der Auftragsverarbeiter verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO).

7. Technische und organisatorische Maßnahmen (TOM)

• Verarbeitung und Speicherung ausschließlich in Deutschland (Server: STRATO AG, Berlin; KI-Inferenz: eigene Hardware, Deutschland, Ökostrom);
• Feldverschlüsselung personenbezogener Inhalte in der Datenbank (AES/Fernet); Transportverschlüsselung (TLS);
• semantische Such-Vektoren (Embeddings) werden zur Indexierung unverschlüsselt gespeichert — aus ihnen können Inhalte näherungsweise rekonstruiert werden; sie werden wie personenbezogene Daten behandelt (Löschkaskaden, Export, Zugriffskontrolle);
• rollenbasierte Zugriffskontrolle (Inhaber/Admin/Mitglied), mandantengetrennte Datenhaltung je Organisation, technisch erzwungene Trennung privater Chats;
• tägliche verschlüsselte Backups auf ein Zweitsystem in Deutschland, erprobtes Wiederherstellungsverfahren;
• Protokollierung sicherheitsrelevanter Ereignisse (90 Tage).

8. Unterauftragsverarbeiter

Der Verantwortliche genehmigt den Einsatz folgender Unterauftragsverarbeiter; über beabsichtigte Änderungen wird er vorab informiert (Widerspruchsrecht):

• STRATO AG, Berlin — Server-Hosting (Deutschland);
• Brevo (Sendinblue GmbH), EU — Transaktions-E-Mails;
• Serper.dev — Websuche (nur wenn ein Mitglied die Websuche nutzt, wird die Suchanfrage übermittelt; ⚠️ Prüfpunkt der anwaltlichen Prüfung: Drittlandübermittlung).

Zahlungsdienstleister (Mollie B.V., PayPal) handeln als eigenständige Verantwortliche und sind keine Unterauftragsverarbeiter.

9. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Betroffenenanfragen (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung), insbesondere durch die eingebauten Export-, Berichtigungs- und Löschfunktionen.

10. Löschung und Rückgabe

Der Verantwortliche kann jederzeit einen vollständigen Export seiner Organisationsdaten (inkl. hochgeladener Original-Dateien) über den Dienst abrufen. Nach Ende der Vereinbarung werden alle Organisationsdaten gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht (z. B. Rechnungsbelege, 8 Jahre). Persönliche Chats der Mitglieder ohne Organisations-Kontext sind deren eigene Daten und von dieser Löschung nicht umfasst; Chats mit Organisations-Kontext werden mit der Organisation gelöscht.

11. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen (in der Regel durch Beantwortung schriftlicher Anfragen an info@gruenki.de).

12. Meldung von Verletzungen

Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich nach Bekanntwerden.

13. Abschluss und Version

Diese Vereinbarung wird elektronisch abgeschlossen, indem der Inhaber der Organisation sie beim Anlegen der Organisation (bzw. nachträglich im Team-Bereich) bestätigt. Abschluss, Zeitpunkt und Dokumentversion werden revisionssicher protokolliert und sind im Organisations-Export enthalten.

Stand: 18.07.2026 · Version 1.0-entwurf-2026-07-18 · Fragen: info@gruenki.de