Vereinbarung zur Auftragsverarbeitung – MAVENS Werkstatt (Entwurf)

Arbeitsstand 20. Oktober 2026 · Entwurf · nicht zur Annahme im Checkout freigegeben. Die Anlagen zu Unterauftragnehmern und technischen Maßnahmen müssen mit dem tatsächlich betriebenen System abgeglichen werden. Dieser Entwurf ersetzt keine Prüfung und Unterzeichnung der finalen Fassung.

Parteien und Gegenstand

Verantwortlicher: das im Werkstatt-Vertrag benannte Kundenunternehmen, mit Anschrift und vertretungsberechtigter Person gemäß Buchung beziehungsweise Vertragsbestätigung.

Auftragsverarbeiterin: MAVENS GmbH, Gasstraße 12, 22761 Hamburg, vertreten durch Mark Pohlmann.

Gegenstand ist der Betrieb der MAVENS Werkstatt einschließlich Nutzerverwaltung, Speicherung von Chatverläufen und hochgeladenen Dateien, Bereitstellung von KI-Modellen, Support, Sicherung und Löschung. Diese Vereinbarung gilt ab Beginn des Werkstatt-Vertrags bis zur vollständigen Rückgabe oder Löschung der Auftragsdaten nach dessen Ende. Sie ist auf Verarbeitungen beschränkt, bei denen MAVENS für den Kunden und nach dessen Weisung handelt. Eigene Vertrags-, Rechnungs- und Sicherheitsdaten von MAVENS sind nicht Gegenstand dieser AVV.

Art, Zweck, Betroffene und Daten

Zweck ist die Bereitstellung eines KI-Arbeitsplatzes für betriebliche Aufgaben des Kunden. Verarbeitungen umfassen Erfassen, Speichern, Ordnen, Abrufen, Übermitteln an konfigurierte Modellanbieter, Generieren von Antworten, Protokollieren, Sichern, Wiederherstellen, Exportieren und Löschen. Betroffen sein können Beschäftigte des Kunden, dessen Kunden, Lieferanten, Geschäftspartner und andere Personen, deren Daten Nutzer in die Werkstatt eingeben. Datenarten können Namen, Kontaktdaten, geschäftliche Inhalte, Dokumente, Gesprächsverläufe und Nutzungsdaten sein. Besondere Kategorien personenbezogener Daten dürfen nur verarbeitet werden, wenn der Kunde dies rechtmäßig anweist und die konkrete technische Konfiguration dafür freigegeben ist. Eine solche Freigabe ist noch nicht nachgewiesen.

Weisungen und Pflichten des Verantwortlichen

MAVENS verarbeitet Auftragsdaten nur auf dokumentierte Weisung des Kunden, auch hinsichtlich Drittlandübermittlungen, sofern nicht eine gesetzliche Pflicht besteht; dann informiert MAVENS den Kunden vorab, soweit zulässig. Der Werkstatt-Vertrag, die konfigurierte Nutzung und dokumentierte Anweisungen des autorisierten Kundenkontos gelten als Weisungen. Zusätzliche Weisungen gehen an [verbindlichen Support-Kanal ergänzen] und werden dokumentiert. Hält MAVENS eine Weisung für rechtswidrig, weist sie den Kunden unverzüglich darauf hin und setzt die betroffene Verarbeitung bis zur Klärung aus, soweit rechtlich geboten. Der Kunde ist für Rechtsgrundlage, Eingabedaten, Betroffeneninformation und Weisungsberechtigung verantwortlich.

Vertraulichkeit und technische Sicherheit

MAVENS verpflichtet zugriffsberechtigte Personen zur Vertraulichkeit und gewährt Zugriff nach Aufgaben und Rollen. Geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO werden in Anlage 1 konkret festgelegt und regelmäßig überprüft. Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten. Bei einem Sicherheitsvorfall informiert MAVENS den Kunden unverzüglich mit den verfügbaren Informationen, unterstützt dessen gesetzliche Meldungen und dokumentiert Maßnahmen und Nachträge. Konkrete Meldefrist, Kontaktkanal und Wiederherstellungsziele sind zu vereinbaren.

Weitere Auftragsverarbeiter und Übermittlungen

Die in Anlage 2 abschließend bezeichneten weiteren Auftragsverarbeiter dürfen nach erteilter allgemeiner Genehmigung eingesetzt werden. MAVENS informiert den Kunden vor einem beabsichtigten Wechsel mit angemessener Frist und ermöglicht einen begründeten Widerspruch. MAVENS verpflichtet weitere Auftragsverarbeiter vertraglich zu einem mindestens gleichwertigen Datenschutzstandard und bleibt für deren Pflichten verantwortlich. Übermittlungen außerhalb des EWR erfolgen nur mit dokumentierter Weisung und gültigem Transfermechanismus. Modellanbieter: MAVENS setzt zur Bereitstellung der KI-Modelle einen oder mehrere der in Anlage 2b genannten Anbieter ein und entscheidet, welcher Anbieter eingesetzt wird. MAVENS kann Anlage 2b um weitere Anbieter erweitern. Jede Erweiterung steht in der aktualisierten Fassung der Anlage 2b mit Versionsnummer und Datum. Verarbeitungsregion, Trainingseinstellungen und Transfergrundlage je Modellanbieter sind noch nicht dokumentiert.

Unterstützung, Nachweise und Kontrolle

MAVENS unterstützt den Kunden angemessen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch, bei Sicherheitsmaßnahmen, Verletzungsmeldungen, Datenschutz-Folgenabschätzungen und Behördenanfragen. MAVENS stellt die zur Prüfung erforderlichen Informationen bereit und ermöglicht angemessene Audits durch den Kunden oder beauftragte Prüfer unter Schutz anderer Kunden, von Geschäftsgeheimnissen und der Systemsicherheit. Ablauf, Vorlauf und Kosten außergewöhnlicher Prüfungen sind vor Freigabe zu bestimmen.

Rückgabe und Löschung

Nach Vertragsende gibt MAVENS auf Weisung des Kunden dessen Daten in einem geeigneten Format zurück oder löscht sie, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Sicherheitskopien werden innerhalb einer festgelegten Frist gelöscht oder überschrieben; bis dahin bleiben sie geschützt und werden nicht anderweitig verarbeitet. Exportweg, Fristen, Nachweis und Umgang mit Modellanbieter-Kopien sind offen und vor Freigabe zu ergänzen.

Anlage 1 – technische und organisatorische Maßnahmen (zu verifizieren)

Die Tabelle beschreibt geplante Maßnahmen. Sie sind nicht als bereits vollständig implementiert oder geprüft zugesichert.

Anlage 2 – weitere Auftragsverarbeiter (vor Freigabe ausfüllen)

Stripe ist nur soweit in diese Anlage aufzunehmen, wie Stripe tatsächlich als weiterer Auftragsverarbeiter für den Kunden handelt. Die Zahlungsabwicklung für MAVENS kann eine eigene Verantwortlichkeit betreffen.

Anlage 2b – mögliche Modellanbieter (Fassung vom 20. Oktober 2026)

MAVENS darf für die Bereitstellung der KI-Modelle einen oder mehrere der folgenden Anbieter einsetzen. Die Liste nennt Firmenname und Anschrift. Zeilen mit „[offen]" werden ergänzt.

Offene Freigabepunkte

1. Tatsächliche Produktarchitektur, Modellanbieter und sämtliche Datenflüsse einschließlich RAG, Embeddings, Backup, Support und E-Mail verifizieren.
2. Unterauftragnehmer mit vollständigen juristischen Namen, Orten, AVV und Transfergrundlagen belegen; Änderungsvorlauf bestimmen.
3. TOMs, Incident-Kanal und Frist, Auditverfahren, Lösch- und Exportfristen mit laufendem System abgleichen.
4. Versionierung, Abschlussmechanismus und Nachweis der angenommenen Fassung im Checkout implementieren.
5. Juristische Prüfung und Freigabe durch MAVENS, bevor ein Kunde diese AVV akzeptiert.

Rechtsgrundlagen zur Prüfung: Art. 28 und 32 DSGVO, BfDI-Muster zur Auftragsverarbeitung.

Textfassung herunterladen