Auftragsverarbeitungsvertrag (AVV)
Standardisierte Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag für Unternehmenskunden, Bauunternehmen, Pflegeeinrichtungen und Integrationspartner der Synapse Delić UG (haftungsbeschränkt).
Kein separater Unterschriftenlauf erforderlich: Gemäß Art. 28 Abs. 9 DSGVO genügt die Textform (einschließlich elektronischer Formate). Mit Abschluss des Hauptvertrags oder der Inbetriebnahme ist dieser AVV inklusive seiner Anlagen (TOMs und Unterauftragsverarbeiter-Verzeichnis) bereits rechtsgültig zwischen den Parteien vereinbart.
Vertragsbedingungen zur Auftragsverarbeitung
§ 1 Gegenstand, Anwendungsbereich und Rollenverteilung
(1) Dieser Vertrag regelt die Rechte und Pflichten der Vertragsparteien bei der Verarbeitung personenbezogener Daten durch die Synapse Delić UG (haftungsbeschränkt), Professor-Kalmbacher-Straße 9, 38518 Gifhorn (nachfolgend „Auftragsverarbeiter“) im Auftrag des jeweiligen Vertragspartners des Hauptvertrages (nachfolgend „Auftraggeber“).
(2) Der Auftraggeber ist „Verantwortlicher“ im Sinne von Art. 4 Nr. 7 DSGVO für die Rechtmäßigkeit der Verarbeitung der Daten sowie für die Wahrung der Rechte der betroffenen Personen. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Auftrag und nach Weisung des Auftraggebers (Art. 4 Nr. 8 DSGVO).
(3) Besonderer Hinweis zur On-Device Edge-Inferenz: Soweit der Auftraggeber ausschließlich reine On-Device-Softwaremodule nutzt, bei denen die Inferenz und Datenspeicherung zu 100 % lokal auf Endgeräten des Auftraggebers erfolgt (z. B. lokale Sprachmodelle auf Apple Silicon / NPU), findet keine Weiterleitung personenbezogener Daten an Server des Auftragsverarbeiters statt. In diesen Fällen ist der Auftragsverarbeiter reiner Software-Hersteller und kein Auftragsverarbeiter i.S.d. Art. 28 DSGVO. Dieser AVV greift vollumfänglich für alle Cloud- und API-gestützten Synchronisations-, Verarbeitungs- und Assistenzdienste.
§ 2 Dauer und Gegenstand der Verarbeitung
(1) Die Dauer dieses Vertrages entspricht der Laufzeit des zwischen den Parteien geschlossenen Hauptvertrages über die Nutzung der Softwarelösungen und APIs von Synapse Delić (z. B. Bautagebuch Smart, KalkuScan Pro, Voice-2-Data Platform).
(2) Gegenstand der Verarbeitung ist die Durchführung von Sprachverarbeitungen, semantischen Strukturierungen, OCR-Dokumentenanalysen, Mängel- und Behinderungsanzeigen-Generierung sowie die Bereitstellung von Schnittstellen (APIs) zur Überführung unstrukturierter Eingaben in strukturierte Fachformate (z. B. VOB/B, GAEB, SIS/FHIR).
§ 3 Weisungsgebundenheit & Verbot der Nutzung für KI-Modelltraining
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist.
(2) Strikter Ausschluss von Modelltraining: Der Auftragsverarbeiter garantiert, dass personenbezogene Daten des Auftraggebers (insbesondere Audioaufnahmen, Transkripte, Baudaten, Rechnungsdaten und Patientendokumentationen) zu keinem Zeitpunkt für das Training, Feintuning oder die Verbesserung eigener oder fremder KI-Basismodelle verwendet werden. Die Verarbeitung erfolgt rein inferenzbasiert im flüchtigen Arbeitsspeicher (RAM) mit unmittelbarer Löschung nach Erzeugung des strukturierten Zielformats (Zero Data Retention).
(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig oder im Widerspruch zu Vorschriften der DSGVO, des BDSG oder anderer Datenschutzbestimmungen stehend, weist er den Auftraggeber unverzüglich darauf hin.
§ 4 Vertraulichkeit & personelle Maßnahmen
(1) Der Auftragsverarbeiter gewährleistet, dass sich alle Personen, die zur Verarbeitung der personenbezogenen Daten befugt sind, zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
(2) Die Verpflichtung auf das Datengeheimnis nach § 53 BDSG besteht auch nach Beendigung des Beschäftigungsverhältnisses fort. Mitarbeiter werden regelmäßig in Fragen des Datenschutzes, der IT-Sicherheit und der KI-Compliance geschult.
§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
(1) Der Auftragsverarbeiter trifft alle erforderlichen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung nach Art. 32 DSGVO. Die konkreten Sicherheitsmaßnahmen sind in Anlage 2 zu diesem Vertrag im Einzelnen dargelegt.
(2) Der Auftragsverarbeiter ist berechtigt, die technischen und organisatorischen Maßnahmen im Zuge des technologischen Fortschritts und zur Abwehr neuer Bedrohungslagen anzupassen, sofern das vertraglich vereinbarte Sicherheitsniveau dadurch nicht unterschritten wird.
§ 6 Unterauftragsverhältnisse (Subunternehmer)
(1) Der Auftraggeber erteilt hiermit die allgemeine Genehmigung zur Inanspruchnahme der in Anlage 3 genannten Unterauftragsverarbeiter. Alle eingesetzten Dienstleister haben ihren Sitz und Rechenzentrenstandort in der Europäischen Union (Deutschland).
(2) Der Auftragsverarbeiter informiert den Auftraggeber mindestens 14 Tage vorab über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern (z. B. per E-Mail oder über die Compliance-Webseite). Dem Auftraggeber steht ein Widerspruchsrecht aus wichtigem datenschutzrechtlichem Grund zu.
(3) Schaltet der Auftragsverarbeiter einen Unterauftragsverarbeiter ein, so erlegt er diesem dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO).
§ 7 Unterstützung bei Betroffenenrechten und Meldepflichten
(1) Der Auftragsverarbeiter unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen auf Wahrnehmung von Betroffenenrechten nach Kapitel III der DSGVO (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit).
(2) Der Auftragsverarbeiter benachrichtigt den Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden, sobald ihm eine Verletzung des Schutzes personenbezogener Daten (Art. 33 DSGVO) im Zusammenhang mit den verarbeiteten Auftragsdaten bekannt wird.
(3) Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Erstellung von Datenschutz-Folgenabschätzungen (DSFA nach Art. 35 DSGVO) sowie bei etwaigen Konsultationen der Aufsichtsbehörde (Art. 36 DSGVO).
§ 8 Kontroll- und Prüfrechte des Auftraggebers
(1) Der Auftragsverarbeiter stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem Vertrag niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen –, die vom Auftraggeber oder einem von diesem beauftragten Prüfer durchgeführt werden.
(2) Der Nachweis angemessener technischer und organisatorischer Maßnahmen kann auch durch Vorlage aktueller Testate, Zertifizierungen (z. B. ISO/IEC 27001, BSI IT-Grundschutz) oder anerkannter Prüfberichte erbracht werden.
§ 9 Löschung und Rückgabe nach Beendigung der Verarbeitung
(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Auftraggebers alle personenbezogenen Daten oder gibt sie dem Auftraggeber zurück, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine gesetzliche Verpflichtung zur Speicherung besteht.
(2) Protokolldateien und flüchtige RAM-Inferenzdaten werden automatisiert gemäß den dokumentierten Löschfristen rückstandslos bereinigt.
§ 10 Schlussbestimmungen & Schriftform
(1) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, berührt dies die Gültigkeit der übrigen Bestimmungen nicht.
(2) Dieser Vertrag unterliegt deutschem Recht. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz der Synapse Delić UG (Gifhorn / AG Hildesheim).
Gegenstand, Umfang und Kategorien der Daten
| Dimension | Spezifikation für Synapse Delić Plattform & APIs |
|---|---|
| Kategorien betroffener Personen |
• Beschäftigte und Angestellte des Auftraggebers (z. B. Bauleiter, Poliere, Monteure, Pflegekräfte, Disponenten) • Kunden, Bauherren und Auftraggeber des Auftraggebers • Nachunternehmer, Lieferanten und Projektbeteiligte • Dritte Personen, die im Rahmen von Baustellen-, Pflege- oder Geschäftsberichten namentlich genannt werden |
| Kategorien personenbezogener Daten |
• Audiodaten: Flüchtige Sprachaufnahmen zur Transkription (Zero-Retention nach Inferenz) • Fach- und Dokumentationsdaten: VOB/B-Bautagesberichte, Mängelrügen, Behinderungsanzeigen, Lieferscheindaten, SIS-Pflegeberichte, Aufmaß- und Rechnungsdaten • Kommunikations- & Stammdaten: Namen, berufliche E-Mail-Adressen, Telefonnummern, Firmenzugehörigkeit, Berufsbezeichnungen • Metadaten: Zeitstempel, API-Schlüssel-Identifikatoren, IP-Adressen (anonymisiert/flüchtig) |
| Art und Zweck der Verarbeitung |
• Bereitstellung der Software-as-a-Service-Dienste zur Sprach- und Dokumentenverarbeitung • Automatisierte Transformation unstrukturierter Sprachnotizen in rechtssichere strukturierte Fachdaten • Synchronisation und Bereitstellung gesicherter Cloud-Backups für SaaS-Kunden • Bereitstellung von API-Endpoints zur Integration in Kunden-ERP-Systeme |
| Besondere Datenkategorien (Art. 9 DSGVO) | Im Bau- und Handwerksbereich werden grundsätzlich keine Art. 9-Daten verarbeitet. Bei Einsatz in der Pflege (z. B. Voice-Care / SIS-Pflegedokumentation) werden Gesundheitsdaten streng isoliert, verschlüsselt und nach höchsten Sicherheitsstandards verarbeitet. |
Technische und Organisatorische Maßnahmen (TOMs)
Die Synapse Delić UG setzt modernste Sicherheitsarchitekturen ein. Gemäß den Prinzipien Privacy by Design und Data Protection by Default wird der Datenfluss auf das absolute Minimum beschränkt:
| Schutzbereich | Maßnahmen & Garantien der Synapse Delić UG | Status |
|---|---|---|
| 1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO) |
• 100 % On-Device Inferenz: Wo immer technisch möglich, laufen KI-Modelle vollständig lokal auf dem Endgerät (Apple Neural Engine / Android NPU) ohne Servertransfer. • Zero Data Retention: Bei Cloud-API-Aufrufen werden Audiodaten und Transkripte ausschließlich im flüchtigen RAM verarbeitet und sofort nach Ergebnisbereitstellung gelöscht. • Ende-zu-Ende-Verschlüsselung: Alle Datenübertragungen erfolgen ausnahmslos über TLS 1.3 mit Perfect Forward Secrecy (PFS) und modernen Cipher Suites. • Verschlüsselung im Ruhezustand (Data at Rest): Gespeicherte Kundendaten und Backups werden mit AES-256-GCM verschlüsselt. • Rollenbasierte Zugriffskontrolle (RBAC): Strikte Beschränkung des Datenzugriffs nach dem Need-to-know-Prinzip; zwingende Zwei-Faktor-Authentifizierung (2FA) für alle Administratorzugänge. |
EDGE-KI // ZERO-RETENTION |
| 2. Integrität (Art. 32 Abs. 1 lit. b DSGVO) |
• Eingabekontrolle: Lückenlose, manipulationssichere Audit-Protokollierung aller sicherheitsrelevanten Systemereignisse. • Trennungskontrolle: Strikte logische und physische Mandantentrennung; Test-, Staging- und Produktionsumgebungen sind vollständig isoliert. • Code-Qualität & Safety: Entwicklung nach Automotive-Standards (ASPICE Level 2/3 und ISO 26262 Funktionale Sicherheit); automatisierte CI/CD-Pipelines mit SAST- und Dependency-Sicherheitsprüfungen. |
VERIFIZIERT |
| 3. Verfügbarkeit & Belastbarkeit (Art. 32 Abs. 1 lit. b/c DSGVO) |
• Redundante Infrastruktur: Hosting in ISO/IEC 27001 zertifizierten Hochsicherheits-Rechenzentren in Deutschland (Nürnberg, Karlsruhe, Falkenstein). • Desaster Recovery & Backups: Tägliche, automatisiert verschlüsselte Backups mit kontinuierlicher Wiederherstellungs-Verifizierung. • DDoS-Mitigation: Mehrstufiger Schutz gegen Distributed-Denial-of-Service-Angriffe auf Netzwerk- und Anwendungsebene. |
ISO 27001 DC |
| 4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO) |
• Vulnerability Management: Kontinuierliche Überwachung auf Sicherheitslücken und Schwachstellen. • Datenschutz-Management-System (DSMS): Jährliche Überprüfung und Aktualisierung der TOMs und der Risikoanalysen durch die Geschäftsführung und externe Berater. • BGH-Kontrollverlust-Schutz: Durch die Vorrangigkeit lokaler Edge-Verarbeitung wird das Risiko eines unkontrollierten Datenabflusses an Drittanbieter technisch eliminiert. |
DSMS AKTIV |
Verzeichnis der Unterauftragsverarbeiter
Zur Erbringung der vertraglichen Leistungen setzt die Synapse Delić UG ausschließlich sorgfältig ausgewählte und nach Art. 28 DSGVO verpflichtete Unterauftragsverarbeiter mit Rechenzentrumsstandort in der Bundesrepublik Deutschland ein. Ein Transfer in unsichere Drittstaaten findet nicht statt:
| Unternehmen & Anschrift | Verarbeitungsort | Auftragsinhalt & Zweck | Verarbeitete Datenkategorien | Drittlandtransfer |
|---|---|---|---|---|
|
netcup GmbH Daimlerstraße 25 76185 Karlsruhe, Deutschland |
Deutschland (Rechenzentrum Nürnberg) |
Bereitstellung von Webserver-Infrastruktur, gesichertem Mail-Routing und Bereitstellung der Kampagnen- und Dokumentationsseiten. | Server-Logfiles (IP-Adressen, Zeitstempel), Kontaktformulardaten, E-Mail-Kommunikation. | NEIN (0 %) |
|
Hetzner Online GmbH Industriestr. 25 91710 Gunzenhausen, Deutschland |
Deutschland (Falkenstein / Nürnberg) |
Bereitstellung von dedizierter Compute-Infrastruktur für zentrale API-Inferenz-Pipelines und verschlüsselte Standby-Backups. | Flüchtige API-Verarbeitungsdaten im RAM (Zero-Retention), verschlüsselte System-Backups. | NEIN (0 %) |
Soweit der Auftraggeber eigenständig Anbindungen an Drittanbieter-Systeme (z. B. WinWorker, dasprogramm.io, Microsoft Azure AD oder SAP) aktiviert, erfolgt die Datenübermittlung im direkten Auftragsverhältnis zwischen dem Kunden und dem jeweiligen Drittanbieter. Synapse Delić fungiert hierbei lediglich als Middleware zur technischen Weiterleitung.
Individuelle Gegenzeichnung & Compliance-Archiv
Obwohl dieser AVV nach Art. 28 Abs. 9 DSGVO in elektronischer Form mit Vertragsschluss bereits vollumfänglich rechtswirksam ist, verlangen manche internen Richtlinien oder Wirtschaftsprüfer ein beidseitig qualifiziert signiertes Dokument.
Wir unterzeichnen Ihren AVV gerne innerhalb von 24 Stunden digital oder prüfen Ihre unternehmenseigenen AVV-Vorlagen.
- Rechtssichere eIDAS- und DSGVO-konforme Signatur
- Inklusive individueller Kunden-Identifikationsnummer
- Prüfung von Konzern- und Rahmenverträgen durch unser Compliance-Team
Signierten AVV anfordern
Senden Sie uns einfach Ihre Stammdaten oder fordern Sie den Signatur-Link direkt per E-Mail an:
SIGNIERTEN AVV ANFORDERN (MAIL) ↗