Vereinbarung zur Auftragsverarbeitung – MAVENS Werkstatt (Entwurf)
Arbeitsstand 14. Oktober 2026 · nicht veröffentlicht · nicht zur Annahme im Checkout freigegeben. Die Anlagen zu Unterauftragnehmern und technischen Maßnahmen müssen mit dem tatsächlich betriebenen System abgeglichen werden. Dieser Entwurf ersetzt keine Prüfung und Unterzeichnung der finalen Fassung.
Parteien und Gegenstand
Verantwortlicher: das im Werkstatt-Vertrag benannte Kundenunternehmen, mit Anschrift und vertretungsberechtigter Person gemäß Buchung beziehungsweise Vertragsbestätigung.
Auftragsverarbeiterin: MAVENS GmbH, Gasstraße 12, 22761 Hamburg, vertreten durch Mark Pohlmann.
Gegenstand ist der Betrieb der MAVENS Werkstatt einschließlich Nutzerverwaltung, Speicherung von Chatverläufen und hochgeladenen Dateien, Bereitstellung von KI-Modellen, Support, Sicherung und Löschung. Diese Vereinbarung gilt ab Beginn des Werkstatt-Vertrags bis zur vollständigen Rückgabe oder Löschung der Auftragsdaten nach dessen Ende. Sie ist auf Verarbeitungen beschränkt, bei denen MAVENS für den Kunden und nach dessen Weisung handelt. Eigene Vertrags-, Rechnungs- und Sicherheitsdaten von MAVENS sind nicht Gegenstand dieser AVV.
Art, Zweck, Betroffene und Daten
Zweck ist die Bereitstellung eines KI-Arbeitsplatzes für betriebliche Aufgaben des Kunden. Verarbeitungen umfassen Erfassen, Speichern, Ordnen, Abrufen, Übermitteln an konfigurierte Modellanbieter, Generieren von Antworten, Protokollieren, Sichern, Wiederherstellen, Exportieren und Löschen. Betroffen sein können Beschäftigte des Kunden, dessen Kunden, Lieferanten, Geschäftspartner und andere Personen, deren Daten Nutzer in die Werkstatt eingeben. Datenarten können Namen, Kontaktdaten, geschäftliche Inhalte, Dokumente, Gesprächsverläufe und Nutzungsdaten sein. Besondere Kategorien personenbezogener Daten dürfen nur verarbeitet werden, wenn der Kunde dies rechtmäßig anweist und die konkrete technische Konfiguration dafür freigegeben ist. Eine solche Freigabe ist noch nicht nachgewiesen.
Weisungen und Pflichten des Verantwortlichen
MAVENS verarbeitet Auftragsdaten nur auf dokumentierte Weisung des Kunden, auch hinsichtlich Drittlandübermittlungen, sofern nicht eine gesetzliche Pflicht besteht; dann informiert MAVENS den Kunden vorab, soweit zulässig. Der Werkstatt-Vertrag, die konfigurierte Nutzung und dokumentierte Anweisungen des autorisierten Kundenkontos gelten als Weisungen. Zusätzliche Weisungen gehen an [verbindlichen Support-Kanal ergänzen] und werden dokumentiert. Hält MAVENS eine Weisung für rechtswidrig, weist sie den Kunden unverzüglich darauf hin und setzt die betroffene Verarbeitung bis zur Klärung aus, soweit rechtlich geboten. Der Kunde ist für Rechtsgrundlage, Eingabedaten, Betroffeneninformation und Weisungsberechtigung verantwortlich.
Vertraulichkeit und technische Sicherheit
MAVENS verpflichtet zugriffsberechtigte Personen zur Vertraulichkeit und gewährt Zugriff nach Aufgaben und Rollen. Geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO werden in Anlage 1 konkret festgelegt und regelmäßig überprüft. Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten. Bei einem Sicherheitsvorfall informiert MAVENS den Kunden unverzüglich mit den verfügbaren Informationen, unterstützt dessen gesetzliche Meldungen und dokumentiert Maßnahmen und Nachträge. Konkrete Meldefrist, Kontaktkanal und Wiederherstellungsziele sind zu vereinbaren.
Weitere Auftragsverarbeiter und Übermittlungen
Die in Anlage 2 abschließend bezeichneten weiteren Auftragsverarbeiter dürfen nach erteilter allgemeiner Genehmigung eingesetzt werden. MAVENS informiert den Kunden vor einem beabsichtigten Wechsel mit angemessener Frist und ermöglicht einen begründeten Widerspruch. MAVENS verpflichtet weitere Auftragsverarbeiter vertraglich zu einem mindestens gleichwertigen Datenschutzstandard und bleibt für deren Pflichten verantwortlich. Übermittlungen außerhalb des EWR erfolgen nur mit dokumentierter Weisung und gültigem Transfermechanismus. Modellprovider, deren Region, Trainingseinstellungen und Transfergrundlage sind noch offen; ohne diese Angaben darf die Anlage nicht freigegeben werden.
Unterstützung, Nachweise und Kontrolle
MAVENS unterstützt den Kunden angemessen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch, bei Sicherheitsmaßnahmen, Verletzungsmeldungen, Datenschutz-Folgenabschätzungen und Behördenanfragen. MAVENS stellt die zur Prüfung erforderlichen Informationen bereit und ermöglicht angemessene Audits durch den Kunden oder beauftragte Prüfer unter Schutz anderer Kunden, von Geschäftsgeheimnissen und der Systemsicherheit. Ablauf, Vorlauf und Kosten außergewöhnlicher Prüfungen sind vor Freigabe zu bestimmen.
Rückgabe und Löschung
Nach Vertragsende gibt MAVENS auf Weisung des Kunden dessen Daten in einem geeigneten Format zurück oder löscht sie, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Sicherheitskopien werden innerhalb einer festgelegten Frist gelöscht oder überschrieben; bis dahin bleiben sie geschützt und werden nicht anderweitig verarbeitet. Exportweg, Fristen, Nachweis und Umgang mit Modellanbieter-Kopien sind offen und vor Freigabe zu ergänzen.
Anlage 1 – technische und organisatorische Maßnahmen (zu verifizieren)
| Bereich | Vorgesehene Maßnahme | Nachweis vor Freigabe |
|---|---|---|
| Mandantentrennung | Eigenständiger Kunden-Stack; serverseitig geprüfte Tenant-Zuordnung; kein Vertrauen in Client-Header | Zwei-Mandanten-Test für Chats, Dateien, Suche, Agents, Freigaben und Admin-APIs |
| Zugang | Persönliche Nutzerkonten, Rollen, Einladungen mit begrenzter Gültigkeit, sichere Anmeldung | Live-Konfiguration und Negativtests |
| Transport | TLS zwischen Browser und Gateway sowie zu externen Diensten | Zertifikate, Reverse-Proxy-Konfiguration, Host-zu-Host-Kanäle |
| Speicherung | Datenbank-Authentifizierung, getrennte Volumes, Zugriffsbeschränkung | Serverkonfiguration und Restore-Probe |
| Verfügbarkeit | Gesicherte Backups, Wiederherstellung und Überwachung | Backup-Retention, Restore-Test, Alarmierung |
| Protokolle | Zweckgebundene Sicherheitslogs ohne unnötige Inhalte und mit Löschfrist | Tatsächliche Logkonfiguration |
| Änderungen | Freigabeprozess, Tests, Rechtebegrenzung, dokumentierte Releases | Releasebelege |
Die Tabelle beschreibt geplante Maßnahmen. Sie sind nicht als bereits vollständig implementiert oder geprüft zugesichert.
Anlage 2 – weitere Auftragsverarbeiter (vor Freigabe ausfüllen)
| Dienst/Funktion | Anbieter und Sitz | Datenarten | Verarbeitungsort | Drittlandmechanismus | Vertrags-/AVV-Nachweis |
|---|---|---|---|---|---|
| Server/Hosting | Contabo [konkrete Gesellschaft prüfen] | Werkstatt-Inhalte, Nutzer- und Betriebsdaten | [Rechenzentrum prüfen] | [prüfen] | [offen] |
| KI-Modell | [konkreten Anbieter und Modell bestimmen] | Prompts, Anhänge/abgeleitete Inhalte, Antworten | [offen] | [offen] | [offen] |
| Transaktionsmail | Resend [konkrete Gesellschaft prüfen] | E-Mail-Adresse, Einladungs-/Buchungsinhalt | [offen] | [offen] | [offen] |
| Zahlungsabwicklung | Stripe [Rolle als eigener Verantwortlicher oder Auftragsverarbeiter je Vorgang prüfen] | Zahlungs- und Vertragsdaten | [offen] | [offen] | [offen] |
Stripe ist nur soweit in diese Anlage aufzunehmen, wie Stripe tatsächlich als weiterer Auftragsverarbeiter für den Kunden handelt. Die Zahlungsabwicklung für MAVENS kann eine eigene Verantwortlichkeit betreffen.
Offene Freigabepunkte
- Tatsächliche Produktarchitektur, Modellanbieter und sämtliche Datenflüsse einschließlich RAG, Embeddings, Backup, Support und E-Mail verifizieren.
- Unterauftragnehmer mit vollständigen juristischen Namen, Orten, AVV und Transfergrundlagen belegen; Änderungsvorlauf bestimmen.
- TOMs, Incident-Kanal und Frist, Auditverfahren, Lösch- und Exportfristen mit laufendem System abgleichen.
- Versionierung, Abschlussmechanismus und Nachweis der angenommenen Fassung im Checkout implementieren.
- Juristische Prüfung und Freigabe durch MAVENS, bevor ein Kunde diese AVV akzeptiert.
Rechtsgrundlagen zur Prüfung: Art. 28 und 32 DSGVO, BfDI-Muster zur Auftragsverarbeitung.