Auftraggeber (Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO)
Auftragnehmer (Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO)
Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Nutzung der Leistungen von Skavi (nachfolgend „Hauptvertrag").
1.1 Gegenstand der Vereinbarung ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter für den Verantwortlichen im Rahmen der Erbringung der im Hauptvertrag beschriebenen Leistungen (Pseudonymisierungs- und Re-Identifikationsdienst für die Nutzung von KI-Diensten sowie Webversion zum Schützen hochgeladener Dokumente und Texte unter protect.skavi.de).
1.2 Die Dauer dieser Vereinbarung entspricht der Laufzeit des Hauptvertrags. Sie endet automatisch mit dessen Beendigung, unbeschadet fortbestehender Pflichten (insb. Ziffer 10 und 11).
2.1 Art der Verarbeitung: Empfang verschlüsselt übertragener Inhalte, automatisierte Erkennung sensibler Angaben, Ersetzung durch format-erhaltende Pseudonyme, Weiterleitung der pseudonymisierten Fassung an den vom Verantwortlichen bzw. dessen Nutzern gewählten KI-Dienst sowie Rückabbildung der Antwort; bei Nutzung der Webversion Erstellung einer geschützten Fassung des hochgeladenen Dokuments oder Textes und deren befristete, verschlüsselte Bereitstellung zum Herunterladen.
2.2 Zweck der Verarbeitung: Schutz sensibler und personenbezogener Angaben vor der Übermittlung an KI-Dienste durch Pseudonymisierung sowie deren anschließende Re-Identifikation ausschließlich für den Verantwortlichen bzw. dessen Nutzer.
2.3 Schlüssel bleibt beim Nutzer: Der Schlüssel, mit dem die Zuordnungen zwischen Originalangaben und Ersatzwerten ver- und entschlüsselt werden, wird auf dem Endgerät des Nutzers aus dessen Lizenzschlüssel abgeleitet (Browser-Erweiterung) bzw. dort für den einzelnen Vorgang erzeugt (Webversion). Der Auftragsverarbeiter speichert weder diesen Schlüssel noch den Lizenzschlüssel im Klartext; der Lizenzschlüssel wird ausschließlich als kryptografischer Prüfwert (HMAC) vorgehalten, aus dem er sich nicht zurückgewinnen lässt. Bei Nutzung des Mail-Connectors liegen Lizenzschlüssel und Postfach-Zugangsdaten nur verschlüsselt im Zugangs-Token vor und sind ausschließlich während einer Anfrage mit gültigem Token nutzbar. Während einer Anfrage liegen Schlüssel und Inhalte flüchtig im Arbeitsspeicher. Klartext-Inhalte werden nicht auf Datenträgern oder in Datenbanken des Auftragsverarbeiters abgelegt; gespeichert werden ausschließlich verschlüsselte Zuordnungen, die ohne den Schlüssel des Nutzers nicht lesbar sind.
2.4 Kein KI-Training: Der Auftragsverarbeiter nutzt die Inhalte des Verantwortlichen nicht zum Training eigener oder fremder KI-Modelle.
2.5 Funktionsdaten der Browser-Erweiterung: Technische Prüfergebnisse der Browser-Erweiterung (KI-Dienst, Version, Browserart, Ergebnis), die per Selbsttest oder eingeschalteter automatischer Meldung übermittelt werden, verarbeitet der Auftragsverarbeiter in eigener Verantwortung, um die Funktion von Skavi sicherzustellen und weiterzuentwickeln. Sie enthalten keine personenbezogenen Daten aus dem Auftrag.
3.1 Kategorien personenbezogener Daten (je nach Eingabe des Nutzers, beispielhaft): Namen, Kontaktdaten (Adresse, E-Mail, Telefon), Bank- und Finanzdaten (z. B. IBAN, BIC), steuerliche und geschäftliche Identifikatoren, Ausweis- und Dokumentnummern, Kfz-Kennzeichen, Standortdaten, technische Identifikatoren sowie sonstige in den übergebenen Inhalten enthaltene personenbezogene Daten.
3.2 Kategorien betroffener Personen (beispielhaft): Nutzer des Verantwortlichen, Kunden, Beschäftigte, Geschäftspartner sowie sonstige Personen, deren Daten in den vom Nutzer übergebenen Inhalten enthalten sind.
3.3 Der Umfang der tatsächlich verarbeiteten Daten wird durch die Eingaben der Nutzer bestimmt und liegt in deren bzw. der Verantwortung des Verantwortlichen.
4.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen des Hauptvertrags und auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet.
4.2 Weisungen werden zunächst durch den Hauptvertrag und diese Vereinbarung festgelegt und können vom Verantwortlichen in Textform geändert oder ergänzt werden. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
4.3 Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies dem Verantwortlichen unverzüglich mit. Er ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie bestätigt oder geändert wird.
5.1 Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die auf die Vertraulichkeit verpflichtet und mit den relevanten Datenschutzvorgaben vertraut gemacht wurden.
5.2 Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung der Tätigkeit bzw. dieser Vereinbarung fort.
6.1 Der Auftragsverarbeiter trifft die zur Gewährleistung eines angemessenen Schutzniveaus erforderlichen technischen und organisatorischen Maßnahmen. Diese sind in Anlage 1 beschrieben.
6.2 Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen, sofern das Schutzniveau nicht unterschritten wird.
7.1 Die Beauftragung von Sub-Auftragsverarbeitern bedarf der vorherigen Genehmigung des Verantwortlichen. Der Verantwortliche genehmigt die in Anlage 2 genannten Sub-Auftragsverarbeiter.
7.2 Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Sub-Auftragsverarbeitern. Der Verantwortliche kann berechtigten Einwänden binnen 14 Tagen widersprechen.
7.3 Der Auftragsverarbeiter erlegt jedem Sub-Auftragsverarbeiter dieselben Datenschutzpflichten auf, wie sie in dieser Vereinbarung festgelegt sind.
7.4 Eine Verarbeitung außerhalb der Europäischen Union findet nicht statt. Sämtliche Sub-Auftragsverarbeiter verarbeiten personenbezogene Daten ausschließlich innerhalb der EU/des EWR.
8.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen bei der Erfüllung von Anträgen betroffener Personen (Art. 12–23 DSGVO). Richten sich betroffene Personen unmittelbar an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter.
8.2 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung), soweit erforderlich und unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.
9.1 Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden sind, spätestens jedoch innerhalb von 48 Stunden.
9.2 Die Meldung enthält mindestens die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit dem Auftragsverarbeiter bekannt.
10.1 Nach Abschluss der Verarbeitung bzw. bei Beendigung dieser Vereinbarung löscht der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht.
10.2 Aufgrund der Funktionsweise (Ziffer 2.3) werden Inhalte nur flüchtig im Arbeitsspeicher verarbeitet und nicht im Klartext vorgehalten. Die verschlüsselten Zuordnungen werden mit dem Ende der Arbeitssitzung bzw. 30 Tage nach ihrer letzten Nutzung gelöscht; der Nutzer kann sie jederzeit vorher selbst löschen. Datensicherungen der Datenbank enthalten keine Inhalte im Klartext und werden nach spätestens acht Wochen überschrieben. Zugriffs- und Fehlerprotokolle der Dienste einschließlich IP-Adressen werden nach spätestens 14 Tagen gelöscht, Sicherheitsprotokolle des Servers (Anmeldeversuche, abgewehrte Zugriffe) nach spätestens drei Monaten, Nutzungsprotokolle ohne Inhalte (Zeitpunkt, Art und Anzahl der Ersetzungen) nach 30 Tagen. Supportanfragen werden 30 Tage nach ihrer Erledigung gelöscht. Abrechnungsdaten (Rechnungen) bewahren wir entsprechend den gesetzlichen Pflichten acht Jahre ab Ende des Kalenderjahres auf (§ 147 AO, § 14b UStG). Bei der Webversion werden Zwischenstände der Prüfung spätestens nach 24 Stunden und geschützte Fassungen mit Ablauf des Downloadlinks (24 Stunden), spätestens eine Stunde danach, gelöscht; Angaben zum Vorgang ohne Inhalte (Dateiart, Größe, Wort- und Trefferzahl, Zeitpunkte, IP-Adresse nur als nicht umkehrbarer Schlüsselwert) 90 Tage nach Ablauf des Vorgangs.
11.1 Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.
11.2 Der Auftragsverarbeiter ermöglicht Überprüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei. Überprüfungen erfolgen mit angemessener Vorankündigung und unter Wahrung der Betriebsabläufe.
12.1 Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag gehen die Regelungen dieser Vereinbarung in Bezug auf den Datenschutz vor.
12.2 Änderungen und Ergänzungen bedürfen der Textform.
12.3 Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
12.4 Es gilt das Recht der Bundesrepublik Deutschland.
| Sub-Auftragsverarbeiter | Leistung | Standort (EU/EWR) |
|---|---|---|
| Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen | Serverinfrastruktur, Hosting und Datensicherung | Deutschland |
Stand: November 2026
Diese Vereinbarung ist auch als Markdown-Datei verfügbar.