# Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO Diese Vereinbarung gilt für Kunden, die Skavi nutzen und dabei personenbezogene Daten durch uns verarbeiten lassen. Sie ist Bestandteil des Hauptvertrags und gilt mit dessen Abschluss; ein gesondertes Ausfüllen ist nicht erforderlich. ## Parteien **Auftraggeber (Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO)** der Kunde, der den Hauptvertrag über Skavi abgeschlossen hat, mit den bei der Bestellung angegebenen Firmen- und Anschriftsangaben – nachfolgend „**Verantwortlicher**“ – **Auftragnehmer (Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO)** **Knollconsult** (Skavi ist ein Dienst der Knollconsult) Zinnaer Vorstadt 70 14913 Jüterbog E-Mail: hello@skavi.de – nachfolgend „**Auftragsverarbeiter**“ – Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Nutzung der Leistungen von Skavi (nachfolgend „Hauptvertrag“). --- ## 1. Gegenstand und Dauer 1.1 Gegenstand der Vereinbarung ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter für den Verantwortlichen im Rahmen der Erbringung der im Hauptvertrag beschriebenen Leistungen (Pseudonymisierungs- und Re-Identifikationsdienst für die Nutzung von KI-Diensten sowie Webversion zum Schützen hochgeladener Dokumente und Texte unter protect.skavi.de). 1.2 Die Dauer dieser Vereinbarung entspricht der Laufzeit des Hauptvertrags. Sie endet automatisch mit dessen Beendigung, unbeschadet fortbestehender Pflichten (insb. Ziffer 10 und 11). ## 2. Art und Zweck der Verarbeitung 2.1 **Art der Verarbeitung:** Empfang verschlüsselt übertragener Inhalte, automatisierte Erkennung sensibler Angaben, Ersetzung durch format-erhaltende Pseudonyme, Weiterleitung der pseudonymisierten Fassung an den vom Verantwortlichen bzw. dessen Nutzern gewählten KI-Dienst sowie Rückabbildung der Antwort; bei Nutzung der Webversion Erstellung einer geschützten Fassung des hochgeladenen Dokuments oder Textes und deren befristete, verschlüsselte Bereitstellung zum Herunterladen. 2.2 **Zweck der Verarbeitung:** Schutz sensibler und personenbezogener Angaben vor der Übermittlung an KI-Dienste durch Pseudonymisierung sowie deren anschließende Re-Identifikation ausschließlich für den Verantwortlichen bzw. dessen Nutzer. 2.3 **Schlüssel bleibt beim Nutzer:** Der Schlüssel, mit dem die Zuordnungen zwischen Originalangaben und Ersatzwerten ver- und entschlüsselt werden, wird auf dem Endgerät des Nutzers aus dessen Lizenzschlüssel abgeleitet (Browser-Erweiterung) bzw. dort für den einzelnen Vorgang erzeugt (Webversion). Der Auftragsverarbeiter speichert weder diesen Schlüssel noch den Lizenzschlüssel im Klartext; der Lizenzschlüssel wird ausschließlich als kryptografischer Prüfwert (HMAC) vorgehalten, aus dem er sich nicht zurückgewinnen lässt. Bei Nutzung des Mail-Connectors liegen Lizenzschlüssel und Postfach-Zugangsdaten nur verschlüsselt im Zugangs-Token vor und sind ausschließlich während einer Anfrage mit gültigem Token nutzbar. Während einer Anfrage liegen Schlüssel und Inhalte flüchtig im Arbeitsspeicher. Klartext-Inhalte werden nicht auf Datenträgern oder in Datenbanken des Auftragsverarbeiters abgelegt; gespeichert werden ausschließlich verschlüsselte Zuordnungen, die ohne den Schlüssel des Nutzers nicht lesbar sind. 2.4 **Kein KI-Training:** Der Auftragsverarbeiter nutzt die Inhalte des Verantwortlichen nicht zum Training eigener oder fremder KI-Modelle. 2.5 **Funktionsdaten der Browser-Erweiterung:** Technische Prüfergebnisse der Browser-Erweiterung (KI-Dienst, Version, Browserart, Ergebnis), die per Selbsttest oder eingeschalteter automatischer Meldung übermittelt werden, verarbeitet der Auftragsverarbeiter in eigener Verantwortung, um die Funktion von Skavi sicherzustellen und weiterzuentwickeln. Sie enthalten keine personenbezogenen Daten aus dem Auftrag. ## 3. Art der Daten und Kategorien betroffener Personen 3.1 **Kategorien personenbezogener Daten** (je nach Eingabe des Nutzers, beispielhaft): Namen, Kontaktdaten (Adresse, E-Mail, Telefon), Bank- und Finanzdaten (z. B. IBAN, BIC), steuerliche und geschäftliche Identifikatoren, Ausweis- und Dokumentnummern, Kfz-Kennzeichen, Standortdaten, technische Identifikatoren sowie sonstige in den übergebenen Inhalten enthaltene personenbezogene Daten. 3.2 **Kategorien betroffener Personen** (beispielhaft): Nutzer des Verantwortlichen, Kunden, Beschäftigte, Geschäftspartner sowie sonstige Personen, deren Daten in den vom Nutzer übergebenen Inhalten enthalten sind. 3.3 Der Umfang der tatsächlich verarbeiteten Daten wird durch die Eingaben der Nutzer bestimmt und liegt in deren bzw. der Verantwortung des Verantwortlichen. ## 4. Weisungsrecht des Verantwortlichen 4.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen des Hauptvertrags und auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. 4.2 Weisungen werden zunächst durch den Hauptvertrag und diese Vereinbarung festgelegt und können vom Verantwortlichen in Textform geändert oder ergänzt werden. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. 4.3 Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies dem Verantwortlichen unverzüglich mit. Er ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie bestätigt oder geändert wird. ## 5. Vertraulichkeit 5.1 Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die auf die Vertraulichkeit verpflichtet und mit den relevanten Datenschutzvorgaben vertraut gemacht wurden. 5.2 Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung der Tätigkeit bzw. dieser Vereinbarung fort. ## 6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO) 6.1 Der Auftragsverarbeiter trifft die zur Gewährleistung eines angemessenen Schutzniveaus erforderlichen technischen und organisatorischen Maßnahmen. Diese sind in Anlage 1 beschrieben. 6.2 Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen, sofern das Schutzniveau nicht unterschritten wird. ## 7. Sub-Auftragsverarbeiter 7.1 Die Beauftragung von Sub-Auftragsverarbeitern bedarf der vorherigen Genehmigung des Verantwortlichen. Der Verantwortliche genehmigt die in Anlage 2 genannten Sub-Auftragsverarbeiter. 7.2 Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Sub-Auftragsverarbeitern. Der Verantwortliche kann berechtigten Einwänden binnen 14 Tagen widersprechen. 7.3 Der Auftragsverarbeiter erlegt jedem Sub-Auftragsverarbeiter dieselben Datenschutzpflichten auf, wie sie in dieser Vereinbarung festgelegt sind. 7.4 Eine Verarbeitung außerhalb der Europäischen Union findet nicht statt. Sämtliche Sub-Auftragsverarbeiter verarbeiten personenbezogene Daten ausschließlich innerhalb der EU/des EWR. ## 8. Unterstützung des Verantwortlichen 8.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen bei der Erfüllung von Anträgen betroffener Personen (Art. 12–23 DSGVO). Richten sich betroffene Personen unmittelbar an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter. 8.2 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung), soweit erforderlich und unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen. ## 9. Meldung von Datenschutzverletzungen 9.1 Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden sind, spätestens jedoch innerhalb von 48 Stunden. 9.2 Die Meldung enthält mindestens die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit dem Auftragsverarbeiter bekannt. ## 10. Löschung und Rückgabe 10.1 Nach Abschluss der Verarbeitung bzw. bei Beendigung dieser Vereinbarung löscht der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht. 10.2 Aufgrund der Funktionsweise (Ziffer 2.3) werden Inhalte nur flüchtig im Arbeitsspeicher verarbeitet und nicht im Klartext vorgehalten. Die verschlüsselten Zuordnungen werden mit dem Ende der Arbeitssitzung bzw. 30 Tage nach ihrer letzten Nutzung gelöscht; der Nutzer kann sie jederzeit vorher selbst löschen. Datensicherungen der Datenbank enthalten keine Inhalte im Klartext und werden nach spätestens acht Wochen überschrieben. Zugriffs- und Fehlerprotokolle der Dienste einschließlich IP-Adressen werden nach spätestens 14 Tagen gelöscht, Sicherheitsprotokolle des Servers (Anmeldeversuche, abgewehrte Zugriffe) nach spätestens drei Monaten, Nutzungsprotokolle ohne Inhalte (Zeitpunkt, Art und Anzahl der Ersetzungen) nach 30 Tagen. Supportanfragen werden 30 Tage nach ihrer Erledigung gelöscht. Abrechnungsdaten (Rechnungen) bewahren wir entsprechend den gesetzlichen Pflichten acht Jahre ab Ende des Kalenderjahres auf (§ 147 AO, § 14b UStG). Bei der Webversion werden Zwischenstände der Prüfung spätestens nach 24 Stunden und geschützte Fassungen mit Ablauf des Downloadlinks (24 Stunden), spätestens eine Stunde danach, gelöscht; Angaben zum Vorgang ohne Inhalte (Dateiart, Größe, Wort- und Trefferzahl, Zeitpunkte, IP-Adresse nur als nicht umkehrbarer Schlüsselwert) 90 Tage nach Ablauf des Vorgangs. ## 11. Nachweise und Überprüfungen 11.1 Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung. 11.2 Der Auftragsverarbeiter ermöglicht Überprüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei. Überprüfungen erfolgen mit angemessener Vorankündigung und unter Wahrung der Betriebsabläufe. ## 12. Schlussbestimmungen 12.1 Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag gehen die Regelungen dieser Vereinbarung in Bezug auf den Datenschutz vor. 12.2 Änderungen und Ergänzungen bedürfen der Textform. 12.3 Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. 12.4 Es gilt das Recht der Bundesrepublik Deutschland. --- ## Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO) ### Vertraulichkeit - Transportverschlüsselung (TLS) für sämtliche Übertragungen. - Schlüssel bleibt beim Nutzer: Der Schlüssel für die Zuordnungen wird clientseitig abgeleitet bzw. erzeugt und liegt beim Auftragsverarbeiter nur während einer Anfrage flüchtig im Arbeitsspeicher; keine Klartext-Speicherung von Inhalten. - Zugangsdaten des Mail-Connectors nur verschlüsselt im Zugangs-Token. - Zugriffskontrolle auf Server und Datenbank: administrativer Zugang nur über verschlüsselte SSH-Verbindungen und nur für befugte Administratoren; automatische Sperre bei wiederholten Fehlanmeldungen (fail2ban); Lizenzschlüssel nur als Prüfwert (Hash), nicht im Klartext. - Zutrittskontrolle zu den Rechenzentren durch den Hosting-Anbieter Hetzner Online GmbH (Rechenzentren in Deutschland). ### Integrität - Trennung von Verarbeitung und Speicherung; keine Ablage entschlüsselbarer Inhalte. - Weitergabekontrolle: Inhalte verlassen die Skavi-Verarbeitung nur in pseudonymisierter Fassung und ausschließlich transportverschlüsselt; Inhalte der Webversion werden nicht an andere Dienste weitergegeben. - Eingabekontrolle: Zugriffs- und Fehlerprotokolle der Dienste zur Nachvollziehbarkeit, Aufbewahrung 14 Tage; Sicherheitsprotokolle des Servers (Anmeldeversuche, abgewehrte Zugriffe) höchstens drei Monate. ### Verfügbarkeit und Belastbarkeit - Tägliche Sicherung der Datenbanken auf einen zweiten Server in Deutschland; Aufbewahrung höchstens acht Wochen (tägliche Stände 14 Tage). Die Sicherungen enthalten keine entschlüsselbaren Klartext-Inhalte (siehe Ziffer 2.3). - Dokumentiertes Verfahren zur Wiederherstellung aus den Sicherungen. - Betrieb ausschließlich in Deutschland. ### Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung - Automatische Sicherheitsaktualisierungen des Betriebssystems. - Tägliche automatische Prüfung der Löschfristen (Datensicherungen, Zuordnungen, Protokolle) mit Benachrichtigung bei Abweichung. - Zugriffsbeschränkung der Dienste auf Betriebssystemebene (AppArmor). - Überprüfung und Anpassung der Maßnahmen bei jeder wesentlichen Änderung an Infrastruktur oder Software. ## Anlage 2 – Genehmigte Sub-Auftragsverarbeiter | Sub-Auftragsverarbeiter | Leistung | Standort (EU/EWR) | |---|---|---| | Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen | Serverinfrastruktur, Hosting und Datensicherung | Deutschland | Es findet keine Verarbeitung außerhalb der EU/des EWR statt. Stand: November 2026