Vereinbarung zur Auftragsverarbeitung
„ITSDCloud Private AI“ — ITSD Consulting GmbH
Stand 11.10.2026 · B2B
Vertragsparteien
Auftraggeber ist das in der Bestellung oder im angenommenen Angebot bezeichnete Unternehmen mit der dort angegebenen Firma, Anschrift und Kontaktperson. Bestellung bzw. Angebot und Vertragsbestätigung werden diesem AVV eindeutig zugeordnet.
Auftragnehmer ist die ITSD Consulting GmbH, Sitz: Herminenstr. 24, 31675 Bückeburg. Geschäftsanschrift für dieses Angebot: Zweigstelle Bünde, Blankensteinstr. 62, 32257 Bünde. Kontakt: kontakt@itsd-consulting.de, Telefon +49 5223 793 34 00.
Die Vertragsparteien schließen diese Vereinbarung gemäß Art. 28 DSGVO.
1. Gegenstand, Anwendungsbereich und Rangfolge
1.1 Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch ITSD Consulting GmbH („ITSD“) im Auftrag des Auftraggebers im Zusammenhang mit der Nutzung des Dienstes „ITSDCloud Private AI“ und konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO.
1.2 Der Auftraggeber entscheidet als Verantwortlicher über Zwecke und wesentliche Mittel der Verarbeitung der von ihm bzw. seinen Nutzern in den Dienst eingebrachten personenbezogenen Daten. ITSD verarbeitet diese Daten ausschließlich nach dokumentierten Weisungen des Auftraggebers, soweit nicht Unionsrecht oder das Recht eines Mitgliedstaats eine Verarbeitung verlangt.
1.3 Soweit ITSD personenbezogene Daten für eigene Zwecke verarbeitet, insbesondere zur eigenen Vertragsverwaltung, Abrechnung, Geschäftskommunikation oder Erfüllung gesetzlicher Aufbewahrungspflichten, handelt ITSD insoweit als eigener Verantwortlicher. Diese Verarbeitungen sind nicht Gegenstand dieser Vereinbarung. Die Zuordnung von Sicherheits-, Support- und Protokolldaten richtet sich nach dem jeweiligen Verarbeitungszweck; soweit sie im Auftrag verarbeitet werden, unterliegen sie dieser Vereinbarung.
1.4 Diese Vereinbarung ergänzt den Hauptvertrag über „ITSDCloud Private AI“. Bei Widersprüchen zu datenschutzrechtlichen Regelungen des Hauptvertrags geht diese Vereinbarung vor. Die Anlagen sind Bestandteil dieser Vereinbarung.
2. Beschreibung der Auftragsverarbeitung
Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenarten und Kategorien betroffener Personen ergeben sich aus Anlage 1. ITSDCloud Private AI umfasst insbesondere die Verarbeitung von Chat-Eingaben, hochgeladenen Inhalten sowie die Speicherung und Wiederverwendung von Kundeninhalten oder daraus abgeleitetem Wissen. Eine Wissensbasis (RAG) kann Bestandteil des vereinbarten Leistungsumfangs sein. Die konkrete Ausgestaltung der Speicherung von Chatverläufen, Anhängen und abgeleitetem Wissen wird in den bei Vertragsschluss einbezogenen Anlagen beschrieben. Eine projektbezogene Sourcecode-Wissensbasis ist keine Voraussetzung für die eigenständige Bestellung des Dienstes.
Kundeninhalte werden weder durch ITSD noch durch die für die KI-Verarbeitung eingesetzten Dienstleister zum Training oder Fine-Tuning der eingesetzten KI-Modelle verwendet.
3. Weisungsrecht des Auftraggebers
Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Auftraggebers. Als dokumentierte Weisungen gelten insbesondere die Festlegungen im Hauptvertrag, in dieser Vereinbarung und ihren Anlagen sowie Weisungen über die hierfür vorgesehenen Administrations-, Support- oder Kommunikationswege.
ITSD informiert den Auftraggeber unverzüglich, wenn eine Weisung nach Auffassung von ITSD gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt. ITSD darf die Ausführung der betreffenden Weisung bis zur Klärung aussetzen, soweit dies zur Vermeidung eines Datenschutzverstoßes erforderlich ist.
Weisungen, die den vereinbarten Leistungsumfang wesentlich überschreiten, können einer gesonderten Vereinbarung und Vergütung bedürfen. Gesetzliche Pflichten von ITSD bleiben unberührt.
4. Pflichten des Auftragnehmers
ITSD verarbeitet personenbezogene Daten nur im Rahmen des Vertrags und der dokumentierten Weisungen des Auftraggebers, soweit keine gesetzliche Verarbeitungspflicht besteht. In diesem Fall informiert ITSD den Auftraggeber vor der Verarbeitung über die betreffende rechtliche Anforderung, sofern das Recht eine solche Information nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.
ITSD gewährleistet, dass sich zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
ITSD trifft die in Anlage 3 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO und hält ein dem Risiko angemessenes Schutzniveau aufrecht.
ITSD unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO.
ITSD führt ein Verzeichnis der Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO, soweit gesetzlich erforderlich.
ITSD stellt dem Auftraggeber die zur Erfüllung der Pflichten nach Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen nach Maßgabe von Ziffer 10.
5. Pflichten des Auftraggebers
Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung, insbesondere für das Vorliegen geeigneter Rechtsgrundlagen, Informationspflichten und gegebenenfalls erforderlicher Einwilligungen, verantwortlich.
Der Auftraggeber stellt sicher, dass nur solche personenbezogenen Daten in „ITSDCloud Private AI“ eingegeben oder hochgeladen werden, deren Verarbeitung im Rahmen des vereinbarten Zwecks zulässig ist.
Der vereinbarte Leistungsumfang umfasst personenbezogene Daten einschließlich Gesundheitsdaten. Für Gesundheitsdaten ist keine zusätzliche gesonderte Vereinbarung erforderlich. Der Auftraggeber stellt insbesondere eine Rechtsgrundlage nach Art. 6 DSGVO und für Gesundheitsdaten zusätzlich eine Voraussetzung nach Art. 9 Abs. 2 DSGVO sicher. Weitere besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sowie Daten nach Art. 10 DSGVO sind nur bei gesonderter Vereinbarung des Verarbeitungsumfangs und der erforderlichen Schutzmaßnahmen umfasst; die gesetzlichen Zulässigkeitsvoraussetzungen bleiben unberührt. Der Auftraggeber weist seine Nutzer entsprechend an.
Der Auftraggeber informiert ITSD unverzüglich über erkennbare Datenschutz- oder Sicherheitsmängel, die den Verantwortungsbereich von ITSD betreffen.
6. Betroffenenrechte
ITSD unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu erfüllen. Soweit eine betroffene Person sich unmittelbar an ITSD mit einem Ersuchen zu Daten aus dem Verantwortungsbereich des Auftraggebers wendet, leitet ITSD das Ersuchen grundsätzlich an den Auftraggeber weiter und beantwortet es nicht eigenständig, sofern keine gesetzliche Verpflichtung hierzu besteht.
Soweit die Funktionen des Dienstes dies vorsehen, kann der Auftraggeber bzw. dessen Administrator Daten oder Zugriffe projekt- und nutzerbezogen verwalten, anonymisieren, sperren, archivieren oder löschen. Eine Archivierung ist keine Löschung.
7. Meldung von Verletzungen des Schutzes personenbezogener Daten
ITSD informiert den Auftraggeber unverzüglich, nachdem ITSD eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die vom Auftrag umfasst ist. Die Information enthält, soweit zu diesem Zeitpunkt verfügbar, die Informationen, die der Auftraggeber für die Erfüllung seiner Pflichten nach Art. 33 und 34 DSGVO benötigt. Noch nicht verfügbare Informationen werden ohne unangemessene Verzögerung nachgereicht.
ITSD unterstützt den Auftraggeber angemessen bei Untersuchung, Eindämmung, Behebung und Dokumentation des Vorfalls. Eine Meldung durch ITSD stellt kein Anerkenntnis eines Verschuldens oder einer Haftung dar.
8. Unterauftragsverarbeiter
8.1 Der Auftraggeber erteilt ITSD die allgemeine schriftliche Genehmigung, weitere Auftragsverarbeiter einzusetzen. Die zum Zeitpunkt des Vertragsschlusses genehmigten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt.
8.2 ITSD informiert den Auftraggeber über beabsichtigte Änderungen hinsichtlich der Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mit angemessener Vorlaufzeit, sodass der Auftraggeber aus sachlich begründeten datenschutzrechtlichen Gründen widersprechen kann. Führt ein berechtigter Widerspruch zu keiner zumutbaren Lösung, können die Parteien die hiervon betroffene Leistung nach Maßgabe des Hauptvertrags beenden.
8.3 ITSD erlegt Unterauftragsverarbeitern durch Vertrag dieselben Datenschutzpflichten auf, die für die von ihnen übernommenen Verarbeitungstätigkeiten nach dieser Vereinbarung gelten. Dabei sind insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen sicherzustellen. ITSD bleibt gegenüber dem Auftraggeber für die Erfüllung der Pflichten des Unterauftragsverarbeiters nach Art. 28 Abs. 4 DSGVO verantwortlich.
9. Drittlandübermittlungen
Eine Verarbeitung personenbezogener Daten außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums darf nur auf dokumentierte Weisung des Auftraggebers oder im Rahmen der vertraglich genehmigten Unterauftragsverarbeitung und nur unter Einhaltung der Voraussetzungen der Art. 44 ff. DSGVO erfolgen.
Soweit für eine Übermittlung ein Transferinstrument erforderlich ist, stellt ITSD sicher, dass ein gültiger Übermittlungsmechanismus besteht und erforderliche zusätzliche Schutzmaßnahmen getroffen werden. Die Parteien unterstützen sich bei der Bereitstellung der hierfür erforderlichen Informationen. Die vereinbarten Verarbeitungsorte bleiben verbindlich: Hosting und Speicherung der Kundeninhalte in Rechenzentren der Hetzner Online GmbH in Deutschland, KI-Inferenz über Amazon Bedrock in Rechenzentren von AWS in der Europäischen Union (Anlage 2); diese Ziffer gestattet für sich genommen keine Verlagerung dieser Verarbeitung an andere Orte.
10. Nachweise, Kontrollen und Audits
ITSD stellt dem Auftraggeber auf Anfrage geeignete Nachweise zur Einhaltung dieser Vereinbarung zur Verfügung, insbesondere aktuelle Beschreibungen der technischen und organisatorischen Maßnahmen sowie, soweit vorhanden und geeignet, Prüfberichte, Zertifizierungen oder vergleichbare Nachweise.
Der Auftraggeber ist berechtigt, die Einhaltung dieser Vereinbarung in angemessenem Umfang selbst oder durch einen zur Vertraulichkeit verpflichteten Prüfer zu kontrollieren. Audits sind grundsätzlich mit angemessener Vorankündigung, während üblicher Geschäftszeiten und unter Wahrung von Betriebs- und Geschäftsgeheimnissen sowie der Rechte anderer Kunden durchzuführen. Vorrangig sollen vorhandene Nachweise und Remote-Prüfungen genutzt werden, soweit sie zur Prüfung ausreichen.
Außerordentliche Prüfungen aus wichtigem Grund, insbesondere nach erheblichen Datenschutzvorfällen oder auf Anordnung einer Aufsichtsbehörde, bleiben unberührt. Unverhältnismäßiger Aufwand, der nicht auf einem von ITSD zu vertretenden Verstoß beruht, kann nach vorheriger Abstimmung angemessen vergütet werden.
11. Behördenanfragen
ITSD informiert den Auftraggeber, soweit rechtlich zulässig, unverzüglich über Anfragen oder Maßnahmen von Datenschutzaufsichtsbehörden oder sonstigen Behörden, die die im Auftrag verarbeiteten Daten betreffen. ITSD unterstützt den Auftraggeber im erforderlichen und angemessenen Umfang.
12. Löschung und Rückgabe von Daten
Nach Beendigung der Auftragsverarbeitung löscht der Auftragnehmer nach Wahl des Auftraggebers die im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie dem Auftraggeber zurück und löscht vorhandene Kopien, sofern nicht eine gesetzliche Verpflichtung zur weiteren Speicherung besteht. Während der Vertragslaufzeit bestimmt der Auftraggeber im Rahmen der gesetzlichen und vertraglichen Vorgaben über die Aufbewahrung seiner Inhalte und veranlasst Löschungen über verfügbare Funktionen oder durch dokumentierte Weisung an ITSD, insbesondere über den Support. Sicherungskopien werden innerhalb angemessener, am erforderlichen Sicherungs- und Wiederherstellungszweck ausgerichteter Fristen gelöscht oder überschrieben. Die zugrunde liegenden Sicherungszyklen können an technische und betriebliche Anforderungen angepasst werden; die Aufbewahrung bleibt auf das erforderliche Maß begrenzt. Zur Löschung bestimmte Daten, die nicht unmittelbar einzeln aus Sicherungskopien entfernt werden können, bleiben bis dahin von der regulären Nutzung ausgeschlossen. Bei einer Wiederherstellung werden bestehende Löschweisungen erneut umgesetzt. Die Behandlung von Sicherungskopien darf zwingende gesetzliche Löschpflichten nicht hinauszögern. Gesetzliche Aufbewahrungspflichten sowie Datenverarbeitungen, für die ITSD selbst Verantwortlicher ist, bleiben unberührt.
Bei einem Anbieterwechsel oder Wechsel auf eigene Infrastruktur gelten ergänzend die Rückgabe-, Übergangs- und Abrufregelungen nach Ziffer 8a der AGB. Nach Ende des Übergangszeitraums werden die exportierbaren Daten für mindestens 30 Kalendertage zum Abruf bereitgehalten. Der Auftrag umfasst die hierfür erforderliche zweckgebundene Speicherung und Bereitstellung. Nach Ablauf des Abrufzeitraums und erfolgreichem Abschluss des Wechsels erfolgt die Löschung nach den AGB und diesem AVV. Bei einer Löschanforderung ohne Wechsel richtet sich die Löschung nach der dokumentierten Anforderung und den anwendbaren Vertragsregelungen. Die Abruffrist ist keine allgemeine Backup-Aufbewahrungsfrist. Zwingende datenschutzrechtliche Pflichten bleiben unberührt.
13. Technische und organisatorische Maßnahmen
Die bei Vertragsschluss geltenden technischen und organisatorischen Maßnahmen sind in Anlage 3 beschrieben. ITSD darf diese Maßnahmen an den technischen Fortschritt und die Risikolage anpassen, sofern das vereinbarte Sicherheitsniveau insgesamt nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.
14. Vertraulichkeit und Schutz von Geschäftsgeheimnissen
Die Parteien behandeln die im Zusammenhang mit dieser Vereinbarung erhaltenen vertraulichen Informationen, einschließlich Sicherheitsinformationen, TOM, Auditunterlagen und nicht öffentliche Produktinformationen, vertraulich. Weitergehende vertragliche oder gesetzliche Geheimhaltungspflichten bleiben unberührt.
15. Elektronischer Vertragsschluss, Laufzeit und Beendigung
Diese Vereinbarung einschließlich ihrer im Bestellprozess bezeichneten Anlagen wird dem Auftraggeber vor Abgabe seiner Bestellung zur Einsicht und zum Herunterladen bereitgestellt. Die Zustimmung im Bestellprozess umfasst gemeinsam die AGB, die Nutzungsbedingungen und diesen AVV einschließlich seiner Anlagen. Eine zusätzliche gesonderte AVV-Zustimmung oder Unterzeichnung ist nicht erforderlich. Der Auftraggeber gibt mit der Bestellung ein Angebot zum Abschluss des Hauptvertrags und dieses AVV ab. Mit der Annahme durch ITSD gemäß Ziffer 2 der AGB kommen Hauptvertrag und AVV gemeinsam zustande. Die Verarbeitung personenbezogener Kundeninhalte im Auftrag beginnt erst nach Zustandekommen dieses AVV. ITSD dokumentiert die Zustimmung einschließlich der Zuordnung zum Auftraggeber, des Zeitpunkts und der einbezogenen Fassungen dieses AVV und seiner Anlagen. Die Vertragsunterlagen werden dem Auftraggeber mit der Vertragsbestätigung elektronisch zur Verfügung gestellt. Bei individuell vereinbarten Angeboten werden dieser AVV und seine Anlagen vor Annahme bereitgestellt und mit dem Angebot einbezogen; der gemeinsame Abschluss richtet sich insoweit nach Ziffer 2 der AGB. Diese Vereinbarung gilt, solange ITSD personenbezogene Daten im Auftrag des Auftraggebers verarbeitet. Datenschutz-, Lösch-, Nachweis- und Vertraulichkeitspflichten wirken fort, soweit dies nach Vertragsende erforderlich ist.
16. Haftung
Für die Haftung der Parteien gelten Art. 82 DSGVO sowie die wirksam vereinbarten Haftungsregelungen des Hauptvertrags, soweit diese mit zwingendem Datenschutzrecht vereinbar sind. Diese Vereinbarung begründet keine über die gesetzlichen oder im Hauptvertrag wirksam vereinbarten Haftungsmaßstäbe hinausgehende Haftung.
17. Schlussbestimmungen
Änderungen und Ergänzungen dieser Vereinbarung einschließlich ihrer Anlagen bedürfen mindestens der Textform, soweit nicht zwingendes Recht eine strengere Form verlangt. Die elektronische Dokumentation und Annahme der Vereinbarung ist zulässig.
Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Zwingende datenschutzrechtliche Regelungen gehen entgegenstehenden vertraglichen Bestimmungen vor.
Anlagen und Rangfolge
Bestandteil dieses AVV ist das Anlagenpaket zum AVV „ITSDCloud Private AI“, Stand 11.10.2026, mit folgenden Anlagen:
- Anlage 1 – Beschreibung der Auftragsverarbeitung
- Anlage 2 – Unterauftragsverarbeiter
- Anlage 3 – Technische und organisatorische Maßnahmen für ITSDCloud Private AI
- Anlage 4 – Weisungen, Ansprechpartner und Datenschutzvorfälle
- Anlage 5 – KI-, RAG- und Datenflussbeschreibung
Das Anlagenpaket wird vor Vertragsschluss zum Herunterladen bereitgestellt und mit seiner Fassung in der Bestellung bzw. Vertragsbestätigung bezeichnet. Ein bloßer Austausch veröffentlichter Dateien ändert die vereinbarte Fassung nicht. Änderungen richten sich nach diesem AVV. Bei Widersprüchen zwischen AVV-Haupttext und Anlagen geht der Haupttext vor. Anlage 3 enthält einheitlich die für ITSDCloud Private AI vereinbarten technischen und organisatorischen Maßnahmen einschließlich der einschlägigen organisatorischen Maßnahmen von ITSD. Eine zusätzliche allgemeine TOM-Anlage wird nicht einbezogen. Das vereinbarte risikogerechte Schutzniveau darf nicht unterschritten werden.