Auftragsverarbeitungsvertrag (AVV)

GEMÄSS ART. 28 DSGVO

Fassung 2026-07-30 · zuletzt aktualisiert: 30. Juli 2026

Vertragsparteien

• Verantwortlicher — Sie — die natürliche oder juristische Person, die HYWOS beruflich oder geschäftlich nutzt und dabei personenbezogene Daten bei uns speichern lässt („Verantwortlicher“, „Sie“).
• Auftragsverarbeiter — HYWOS, Von-Stauffenberg-Straße 66, 19061 Schwerin, Deutschland („Auftragsverarbeiter“, „wir“).

Dieser Vertrag erfasst ausschließlich die Verarbeitungen, die wir in Ihrem Auftrag, auf Ihre Weisung und ohne eigenen Zweck vornehmen. Alles, dessen Zwecke und Mittel wir selbst festlegen — Ihre Konto-, Lizenz-, Geräte- und Abrechnungsdaten, die Sicherheit des Dienstes und die Verbesserung unseres Produkts —, ist eine Verarbeitung, für die wir Verantwortlicher sind. Sie richtet sich nicht nach diesem Vertrag, sondern nach unserer Datenschutzerklärung. Ziffer 2 benennt genau, was wozu gehört.

Nutzen Sie HYWOS rein privat, sind Sie Verbraucher und nicht Verantwortlicher: Art. 28 DSGVO findet auf Sie keine Anwendung, dieser Vertrag hat dann keinen Gegenstand, und für Ihre Daten sind wir nach der Datenschutzerklärung Verantwortlicher. Ihre Zustimmung bei der Registrierung lässt Ihre Rechte als betroffene Person daher unberührt.

1. Gegenstand, Art und Zweck der Verarbeitung

Dieser Vertrag regelt zwei Dinge, und nur diese beiden. Erstens: Im Free-Plan speichert HYWOS den Chatverlauf und die Aktivitätsaufzeichnungen, die bei Ihrer Nutzung der Software entstehen, damit sie in Ihrem Konto verfügbar sind. Zweitens: bei Unternehmensinstallationen die Installations-, Backup-, Wiederherstellungs-, Support- und Schulungsarbeiten, die wir auf Ihren Systemen erbringen. Soweit dabei personenbezogene Daten betroffen sind, für die Sie Verantwortlicher sind, verarbeiten wir sie ausschließlich, um diese Aufgaben für Sie zu erfüllen — ohne jeden eigenen Zweck. Art, Umfang und Zweck der Verarbeitung, die Arten der personenbezogenen Daten sowie die Kategorien betroffener Personen ergeben sich aus Anlage 1.

2. Der Umfang richtet sich nach Ihrem Plan

Was wir verarbeiten — und in welcher Rolle —, hängt vollständig von dem Plan ab, den Sie nutzen. Diese Unterscheidung ist bewusster Bestandteil des Produkts und keine bloße Konfigurationsfrage. Beachten Sie dabei: Nicht alles, was unter dem Free-Plan aufgeführt ist, wird in Ihrem Auftrag verarbeitet — die nachstehende Tabelle „In welcher Rolle wir handeln“ zieht diese Grenze genau:

In welcher Rolle wir handeln

• Als Auftragsverarbeiter für Sie handeln wir — bei der Speicherung, Bereitstellung und Löschung des oben beschriebenen Chatverlaufs und der Aktivitätsaufzeichnungen aus dem Free-Plan sowie — bei Unternehmensinstallationen — bei den Installations-, Backup-, Support- und Schulungsarbeiten, die wir auf Ihren Systemen erbringen. Das ist die Verarbeitung, die dieser Vertrag regelt, und nichts darüber hinaus.
• Als Verantwortlicher handeln wir selbst — bei Ihren Konto-, Lizenz-, Geräte- und Abrechnungsdaten, bei der Sicherheit und der Missbrauchsabwehr des Dienstes sowie bei der Verbesserung von HYWOS. Wir benennen das offen, weil ein Auftragsverarbeiter keine eigenen Zwecke verfolgen darf: Für diese Zwecke stehen wir nach Art. 6 DSGVO ein, und die Rechtsgrundlagen sind in unserer Datenschutzerklärung dargelegt. Die Verbesserung erfolgt ausschließlich auf aggregierten oder anonymisierten Daten. Identifizierbare Chatinhalte werten wir zu eigenen Zwecken nicht aus — auch nicht mit Ihrer Erlaubnis, denn eine Weisung kann aus einem Zweck von uns keine Verarbeitung in Ihrem Auftrag machen.
• Keines von beidem tun wir jemals — Wir nutzen Ihren Chatverlauf, Ihre Aktivitätsaufzeichnungen und Ihre Inhalte nicht, um KI-Modelle zu trainieren oder nachzutrainieren — weder unser eigenes HYWOS Cortex noch Modelle Dritter —, und wir geben diese Daten an keinen KI-Anbieter weiter.

Wechseln Sie vom Free-Plan in einen kostenpflichtigen Plan, endet die Übermittlung mit dem Planwechsel. Bereits erhobene Daten werden dann nach Ihrer Wahl an Sie herausgegeben oder nach Ziffer 9 gelöscht.

3. Verarbeitung nach dokumentierter Weisung

Wir verarbeiten personenbezogene Daten ausschließlich auf Ihre dokumentierte Weisung, auch in Bezug auf die Übermittlung an ein Drittland oder eine internationale Organisation, sofern wir hierzu nicht durch das Recht der Union oder der Mitgliedstaaten, dem wir unterliegen, verpflichtet sind; in einem solchen Fall teilen wir Ihnen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Ihre anfänglichen Weisungen sind in diesem Vertrag und in den von Ihnen im Produkt vorgenommenen Einstellungen festgelegt. Sie können sie jederzeit ergänzen, ändern oder widerrufen; über diesen Vertrag hinausgehende Einzelweisungen sind in Textform an support@hywos.com zu richten und werden von uns bestätigt.

4. Vertraulichkeit

Wir stellen sicher, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und mit den einschlägigen datenschutzrechtlichen Vorschriften vertraut sind. Der Zugriff ist auf diejenigen Beschäftigten beschränkt, die ihn zur Erfüllung ihrer Aufgaben benötigen (Need-to-know-Prinzip). Diese Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Wir treffen geeignete technische und organisatorische Maßnahmen (TOM), um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die bei Abschluss dieses Vertrags geltenden Maßnahmen sind in Anlage 2 beschrieben. Wir dürfen sie an die technische Entwicklung anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

6. Unterauftragsverarbeiter

Sie erteilen uns die allgemeine Genehmigung zur Hinzuziehung von Unterauftragsverarbeitern. Die bei Abschluss dieses Vertrags eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und hiermit genehmigt. Über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informieren wir Sie mindestens 30 Tage im Voraus; innerhalb dieser Frist können Sie aus sachlichen datenschutzrechtlichen Gründen widersprechen. Können wir Ihrem Widerspruch nicht abhelfen, dürfen Sie die betroffenen Leistungen mit sofortiger Wirkung kündigen. Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf datenschutzrechtliche Pflichten, die denen dieses Vertrags mindestens gleichwertig sind, und haften Ihnen gegenüber unverändert in vollem Umfang für dessen Leistungen.

7. Unterstützung bei den Betroffenenrechten

Unter Berücksichtigung der Art der Verarbeitung unterstützen wir Sie nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, Ihrer Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Betroffenenrechte nach Kapitel III DSGVO nachzukommen (insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch). Wendet sich eine betroffene Person wegen einer Verarbeitung in Ihrem Auftrag unmittelbar an uns, leiten wir das Ersuchen unverzüglich an Sie weiter und beantworten es nicht selbst, sofern Sie uns nicht dazu anweisen.

8. Unterstützung bei Sicherheit, Datenschutzverletzungen und Folgenabschätzungen

Unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen unterstützen wir Sie bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO. Wir benachrichtigen Sie unverzüglich — in jedem Fall innerhalb von 48 Stunden —, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die in Ihrem Auftrag verarbeitete Daten betrifft; dabei stellen wir Ihnen die für Ihre eigenen Meldepflichten nach Art. 33 und 34 DSGVO erforderlichen Informationen bereit und ergreifen unverzüglich angemessene Abhilfemaßnahmen.

9. Löschung und Rückgabe von Daten

Unabhängig vom Vertragsende werden die in Ihrem Auftrag verarbeiteten Daten spätestens 12 Monate nach ihrer Entstehung gelöscht; diese Speicherbegrenzung ist verbindlich und darf von uns nicht einseitig verlängert werden. Nach Abschluss der Erbringung der Verarbeitungsleistungen — ebenso beim Wechsel vom Free-Plan in einen kostenpflichtigen Plan, mit dem die Erhebung endet — löschen wir nach Ihrer Wahl alle in Ihrem Auftrag verarbeiteten personenbezogenen Daten oder geben sie an Sie heraus und löschen vorhandene Kopien, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht. Für das Verlangen der Herausgabe haben Sie 30 Tage ab Vertragsende oder ab dem Planwechsel; verlangen Sie sie nicht, löschen wir die Daten. Eine frühere Löschung können Sie jederzeit verlangen. Sicherungskopien werden im gewöhnlichen Backup-Zyklus gelöscht, der 90 Tage nicht überschreitet.

10. Nachweise und Überprüfungen

Wir stellen Ihnen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind, und ermöglichen Überprüfungen — einschließlich Inspektionen —, die von Ihnen oder einem von Ihnen beauftragten Prüfer durchgeführt werden, und tragen zu diesen bei. Der Nachweis kann durch Selbstauskünfte, aktuelle Zertifikate oder Prüfberichte geführt werden. Vor-Ort-Kontrollen erfolgen während der Geschäftszeiten, nach angemessener Vorankündigung (in der Regel 14 Tage), ohne Störung des Betriebsablaufs und unter Wahrung der Vertraulichkeit. Widersprechen wir einem bestimmten Prüfer, weil er ein Wettbewerber von uns ist, müssen wir dies schriftlich begründen und an seiner Stelle einen unabhängigen, zur Berufsverschwiegenheit oder vertraglich zur Vertraulichkeit verpflichteten Prüfer akzeptieren; Ihr Prüfrecht darf durch einen solchen Widerspruch nicht vereitelt werden.

11. Hinweis auf rechtswidrige Weisungen

Wir informieren Sie unverzüglich, wenn eine Weisung nach unserer Auffassung gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt. Wir sind berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis sie von Ihnen bestätigt oder geändert wird.

12. Ort der Verarbeitung und Drittlandübermittlungen

Die in Ihrem Auftrag verarbeiteten Daten werden auf Servern innerhalb der Europäischen Union gespeichert. Ist ein Unterauftragsverarbeiter außerhalb der EU/des EWR niedergelassen, lässt sich ein administrativer oder unterstützender Zugriff aus einem Drittland nicht ausschließen; ein solcher Zugriff ist selbst eine Übermittlung. Für jeden dieser Fälle ist die Übermittlung durch die EU-Standardvertragsklauseln oder einen anderen Rechtsmechanismus nach Kapitel V DSGVO abgesichert, zusammen mit den nach einer Übermittlungs-Folgenabschätzung erforderlichen ergänzenden Maßnahmen. Eine darüber hinausgehende Übermittlung nehmen wir ohne Ihre Weisung nicht vor.

13. Haftung und Rechte des Verantwortlichen

Sie sind für die Beurteilung der Zulässigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Sie behalten jederzeit das Recht, Weisungen über Art, Umfang und Verfahren der Verarbeitung zu erteilen; führt eine Weisung dazu, dass wir den Dienst nicht mehr wie vereinbart erbringen können, teilen wir Ihnen dies mit und Sie können kündigen. Die Haftung zwischen den Parteien richtet sich nach Art. 82 DSGVO. Die Haftungsbeschränkungen unserer Nutzungsbedingungen gelten nicht für Ansprüche aus diesem Vertrag und begrenzen insbesondere nicht unsere volle Haftung für unsere Unterauftragsverarbeiter nach Ziffer 6.

14. Laufzeit und Kündigung

Dieser Vertrag wird mit Ihrer Zustimmung im Rahmen der Registrierung wirksam und gilt, solange wir personenbezogene Daten in Ihrem Auftrag verarbeiten — in der Regel für die Laufzeit des zugrunde liegenden Vertrags. Er endet automatisch mit diesem; die Pflichten aus den Ziffern 4, 9 und 10 bestehen über die Beendigung hinaus fort. Eine gesonderte Kündigung aus wichtigem Grund, insbesondere bei einem schwerwiegenden Verstoß gegen datenschutzrechtliche Vorschriften, bleibt möglich.

15. Schlussbestimmungen

Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Im Fall von Widersprüchen gehen die Regelungen dieses Vertrags in datenschutzrechtlicher Hinsicht denen der Nutzungsbedingungen vor. Es gilt deutsches Recht. Änderungen dieses Vertrags bedürfen Ihrer Zustimmung: Über jede beabsichtigte Änderung informieren wir Sie mindestens 30 Tage im Voraus unter Angabe des Grundes; widersprechen Sie innerhalb dieser Frist, führen wir den Vertrag zu den bisherigen Bedingungen fort oder Sie können, falls das nicht möglich ist, die betroffenen Leistungen mit sofortiger Wirkung kündigen. Änderungen, die lediglich eine zwingende gesetzliche Vorgabe nachvollziehen, werden zu dem Zeitpunkt wirksam, zu dem die Vorgabe gilt. Die jeweils aktuelle Fassung ist stets auf dieser Seite verfügbar.

Anlage 1 — Einzelheiten der Verarbeitung

• Gegenstand und Dauer — Speicherung und Bereitstellung des im Free-Plan entstehenden Chatverlaufs und der Aktivitätsaufzeichnungen, für die Laufzeit des Free-Plans und nicht länger als die Speicherbegrenzung nach Ziffer 9. Zusätzlich bei Unternehmensinstallationen: Installation, Einrichtung von Backup und Wiederherstellung sowie Support- und Schulungszugriffe auf Ihre Systeme, jeweils für die Dauer der betreffenden Aufgabe. In einem kostenpflichtigen Plan, der ausschließlich auf Ihrem eigenen Rechner genutzt wird, entsteht nichts davon.
• Art und Zweck — Speichern, Abrufen, Bereitstellen und Löschen der nachfolgend aufgeführten Daten, damit Ihr Chatverlauf und Ihre Aktivitätsaufzeichnungen in Ihrem Konto verfügbar sind; bei Unternehmensinstallationen zusätzlich die mit Ihnen vereinbarten Installations-, Backup-, Wiederherstellungs-, Support- und Schulungstätigkeiten. Kein eigener Zweck, keine Auswertung identifizierbarer Inhalte zu eigenen Zwecken, keine Verwendung für das Training von Modellen.
• Arten der personenbezogenen Daten
  • Chatverlauf: Ihre Eingaben und die Antworten des Assistenten, einschließlich aller personenbezogenen Daten, die in Textstellen enthalten sind, die Sie oder der Assistent aus Ihren Dokumenten zitiert haben.
  • Aktivitätsaufzeichnungen: die in der Software ausgeführten Aktionen (z. B. Importe, erzeugte Dokumente, Suchen) mit den zugehörigen Zeitstempeln und dem Benutzerkonto, zu dem sie gehören.
  • Nur bei Unternehmensinstallationen: alle personenbezogenen Daten, die in den Systemen, Projektdaten oder Sicherungskopien enthalten sind, zu denen wir Zugang erhalten, um zu installieren, wiederherzustellen, zu unterstützen oder zu schulen — jeweils beschränkt auf das, was die vereinbarte Aufgabe erfordert.
• Kategorien betroffener Personen — Die von Ihnen zur Nutzung von HYWOS berechtigten Personen (z. B. Ihre Beschäftigten) sowie Personen, deren personenbezogene Daten in den von diesen eingegebenen oder zitierten Chatinhalten vorkommen (z. B. namentlich genannte Ansprechpartner aus Projektdokumenten).
• Ausdrücklich nicht Gegenstand dieser Verarbeitung — Ihre Dokumente selbst — sie werden niemals hochgeladen. Ebenso wenig Konto-, Lizenz-, Geräte- und Abrechnungsdaten sowie technische Ereignis-, Fehler- und Website-Nutzungsdaten: Diese verarbeiten wir als Verantwortlicher zu eigenen Zwecken (Betrieb, Sicherheit, Abrechnung, Produktverbesserung); deshalb richten sie sich nach der Datenschutzerklärung und nicht nach diesem Vertrag.
• Löschung — Nach Ziffer 9 dieses Vertrags — spätestens 12 Monate nach Entstehung der Daten.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die folgenden Maßnahmen gelten bei Abschluss dieses Vertrags und werden regelmäßig überprüft:

• Datenminimierung durch Technikgestaltung — in kostenpflichtigen Plänen verlassen weder Inhalts- noch Nutzungsdaten Ihren Rechner, und Ihre Dokumente werden in keinem Plan hochgeladen — die wirksamste Schutzmaßnahme ist, dass die Daten gar nicht erst übermittelt werden.
• Pseudonymisierung und Aggregation — Auswertungen zum Betrieb und zur Verbesserung des Dienstes erfolgen auf aggregierten oder anonymisierten Daten; muss ein Datensatz zur Auswertung aufbewahrt werden, werden direkte Identifikatoren vom Inhalt getrennt und gesondert gespeichert (Art. 32 Abs. 1 lit. a DSGVO).
• Verschlüsselung — Transportverschlüsselung (TLS) für alle Verbindungen zwischen der Anwendung, der Website und unseren Servern; Verschlüsselung ruhender Daten auf unseren Servern; Passwörter werden ausschließlich als gesalzene Hashes gespeichert.
• Zugriffskontrolle — personalisierte Konten mit starker Authentifizierung für administrative Zugänge, rollenbasierte Berechtigungen, Need-to-know-Prinzip und Protokollierung administrativer Tätigkeiten.
• Trennung — logische Trennung der Kundendaten; Trennung von Produktiv-, Test- und Entwicklungsumgebungen; keine Nutzung von Produktivdaten für die Entwicklung.
• Verfügbarkeit und Belastbarkeit — regelmäßige Datensicherungen, Monitoring, Schutz vor Verlust durch Hardwareausfall sowie erprobte Wiederherstellungsverfahren.
• Integrität — Schutz vor unbefugter Veränderung, versionierte Auslieferungen und Nachvollziehbarkeit von Änderungen.
• Physische Sicherheit — die Verarbeitung erfolgt in den Rechenzentren unseres Hosting-Anbieters, die nach anerkannten Standards zertifiziert sind (Zutrittskontrolle, Brandschutz, redundante Stromversorgung).
• Überprüfung und Bewertung — regelmäßige Überprüfung der Wirksamkeit der Maßnahmen, unverzügliche Sicherheitsupdates und ein Incident-Response-Verfahren mit festgelegten Meldewegen.

Anlage 3 — Genehmigte Unterauftragsverarbeiter

Für die Verarbeitung in Ihrem Auftrag nach diesem Vertrag ist ausschließlich der folgende Unterauftragsverarbeiter eingesetzt:

Wir setzen keinen KI-, Analyse-, Werbe- oder Tracking-Dienst als Unterauftragsverarbeiter ein. Ihre Inhalte werden an keinen externen KI-Anbieter weitergegeben und nicht zum Trainieren oder Nachtrainieren von Modellen verwendet — weder von unseren eigenen noch von denen Dritter. Stripe Payments Europe, Ltd. fehlt in dieser Tabelle bewusst: Die Zahlungsabwicklung dient unseren eigenen Abrechnungszwecken, für die wir Verantwortlicher und nicht Ihr Auftragsverarbeiter sind — sie ist in der Datenschutzerklärung beschrieben.

Kontakt

Fragen zu diesem Vertrag, Verlangen nach Rückgabe von Daten oder Weisungen nach Ziffer 3: support@hywos.com.