AV-Vertrag (AVV)

Muster-Auftragsverarbeitungsvertrag nach Art. 28 DSGVO – zur Verwendung zwischen Ihnen und Kiotic sowie als Vorlage für Ihre Endkunden.

Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

zwischen
[Kundenfirma] – nachfolgend "Verantwortlicher" –
und
[Kiotic-Betreiber, siehe Impressum] – nachfolgend "Auftragsverarbeiter" –

1. Gegenstand und Dauer
Der Auftragsverarbeiter stellt dem Verantwortlichen die Anwendung "Kiotic" zur
Verfügung. Verarbeitet werden personenbezogene Daten, die der Verantwortliche
im Rahmen der Nutzung eingibt.

2. Art und Zweck der Verarbeitung
Erfassung von KI-Einsatz, Erstellung von Compliance-Dokumenten sowie
Beantwortung von Kunden-Fragebögen zu KI und Datenschutz.

3. Art der Daten
- Kontaktdaten der Nutzer (E-Mail)
- Organisations- und Vertragsdaten
- Freitext-Inhalte, die vom Verantwortlichen eingegeben werden

4. Kategorien betroffener Personen
Beschäftigte und Ansprechpartner des Verantwortlichen sowie Personen, deren
Daten der Verantwortliche in die Anwendung einbringt.

5. Ort der Verarbeitung
EU (Frankfurt). Für die KI-Verarbeitung werden Inhalte an das jeweils
konfigurierte Sprachmodell übermittelt (siehe Datenschutzerklärung, Abschnitt
KI-Verarbeitung). Bei Verarbeitung außerhalb der EU werden geeignete
Garantien nach Art. 46 DSGVO gestellt.

6. Weisungsbindung
Der Auftragsverarbeiter verarbeitet Daten ausschließlich auf dokumentierte
Weisung des Verantwortlichen.

7. Technisch-organisatorische Maßnahmen
- TLS-Verschlüsselung in Transit, Verschlüsselung at-rest.
- Mandantentrennung durch Row Level Security auf Datenbankebene.
- Zugriffskontrollen, Passwort-Hashing, Backups.

8. Unterauftragsverarbeiter
- Supabase (EU-Region) – Datenbank, Auth, Storage.
- Lovable AI Gateway (KI-Verarbeitung).
Der Verantwortliche stimmt der Beauftragung dieser Unterauftragsverarbeiter zu.
Weitere Änderungen werden angekündigt.

9. Rechte der betroffenen Personen
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung
der Betroffenenrechte (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit).

10. Löschung nach Vertragsende
Auf Weisung werden alle Daten gelöscht oder herausgegeben. Der Verantwortliche
kann Daten jederzeit selbst über die Einstellungen exportieren und löschen.

Ort, Datum: ________________________
Verantwortlicher: ________________________
Auftragsverarbeiter: ________________________