Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO

§ 1 Gegenstand und Dauer der Verarbeitung

1.1 Gegenstand der Verarbeitung ist die Bereitstellung der Sustamatic-Plattform zur Erfassung, Analyse und Auswertung von Geschäftsdokumenten und zur Ermittlung von Treibhausgasemissionen gemäß dem Nutzungsvertrag, einschließlich Hosting, Speicherung, Dokumentenverarbeitung, KI-gestützter Extraktion und Klassifizierung, Emissionsberechnung, Berichtserstellung, Support und Datensicherung.

1.2 Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrages. § 12 (Löschung und Rückgabe) bleibt unberührt.

1.3 Sustamatic verarbeitet personenbezogene Kundeninhalte ausschließlich auf dokumentierte Weisung zur Erbringung der vertraglichen Leistungen, nicht für eigene Zwecke oder zum Training eigener KI-Modelle. Von beauftragten Diensten erzeugte Betriebs- und Sicherheitsmetadaten und abgeleitete Telemetrie werden gesondert betrachtet (Anlage 2). Soweit sie personenbezogen sind, dürfen sie nicht pauschal zu eigenen Zwecken genutzt werden.

§ 2 Art und Zweck der Verarbeitung, Datenkategorien, betroffene Personen

2.1 Art und Zweck der Verarbeitung: Erhebung (Upload, E-Mail-Eingang), Speicherung, Strukturierung, Auswertung, KI-gestützte Extraktion und Klassifizierung, Berechnung, Berichtserstellung, Export, Löschung sowie zugehörige Support- und Sicherungsmaßnahmen — jeweils ausschließlich zur Erbringung des Service.

2.2 Kategorien personenbezogener Daten:

• Stamm- und Kontaktdaten (z. B. Namen, Anschriften, E-Mail-Adressen, Telefonnummern von Ansprechpersonen),
• Rechnungs- und Transaktionsdaten einschließlich Beleginhalten, Positions- und Buchungsdaten,
• Standort- und Adressangaben in Belegen (z. B. Absende- und Empfangsorte für Transportberechnungen),
• Nutzungs-, Konto- und Protokolldaten der Plattform-Nutzer des Kunden,
• Inhalte der Support-Kommunikation.

2.3 Betroffene Personen sind Beschäftigte, Vertreter und Ansprechpersonen des Kunden, seiner Kunden, Lieferanten und sonstigen Geschäftspartner, Einzelunternehmer sowie Rechnungssteller und -empfänger und andere in den bereitgestellten Belegen genannte natürliche Personen. Der Verarbeitungsumfang einschließlich Datenkategorien ist in Anlage 1 konkretisiert.

2.4 Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO), Zugangspasswörter sowie vollständige Zahlungs- oder Ausweisdaten sind ohne vorherige ausdrückliche Vereinbarung ausgeschlossen. Zusätzlich gelten die weitergehenden Einschränkungen einzelner Anbieter: Der OpenRouter-Vertrag erfasst Finanz- und Beschäftigungsinformationen als „Sensitive Data“. Diese Daten dürfen OpenRouter erst nach einer ausdrücklichen vertraglichen Erweiterung übermittelt werden. Rechnungsbelege können solche Informationen enthalten; ihre Übermittlung ist nicht allein durch diese AVV-Fassung freigegeben.

§ 3 Weisungen des Kunden

3.1 Sustamatic verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden — auch in Bezug auf die Übermittlung in ein Drittland oder an eine internationale Organisation —, sofern nicht das Recht der Union oder der Mitgliedstaaten, dem Sustamatic unterliegt, eine Verarbeitung verlangt; in einem solchen Fall teilt Sustamatic dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

3.2 Als dokumentierte Weisungen gelten der Nutzungsvertrag, dieser AVV sowie die vom Kunden über die Konfigurations- und Verwaltungsfunktionen der Plattform getroffenen Einstellungen. Weitergehende Weisungen bedürfen der Textform.

3.3 Ist Sustamatic der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informiert Sustamatic den Kunden unverzüglich. Sustamatic ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung durch den Kunden auszusetzen.

§ 4 Vertraulichkeit

Sustamatic gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Zugriff wird nach dem Need-to-know-Prinzip auf die Personen beschränkt, die ihn zur Vertragserfüllung benötigen.

§ 5 Sicherheit der Verarbeitung (Art. 32 DSGVO)

5.1 Sustamatic trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Eintrittswahrscheinlichkeit und Schwere des Risikos die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen.

5.2 Sustamatic darf die Maßnahmen der Anlage 1 an die technische und rechtliche Entwicklung anpassen, sofern das vereinbarte Schutzniveau insgesamt nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

§ 6 Unterauftragsverarbeiter

6.1 Der Kunde erteilt eine allgemeine Genehmigung für die in Anlage 2 identifizierten Unterauftragsverarbeiter im dort beschriebenen Umfang. Die Nennung eines Gateways erteilt keine unbeschränkte Genehmigung für beliebige Modell-Hosting-Anbieter. Sustamatic beschränkt diese auf eine vorab dokumentierte Freigabeliste mit Rechtsträger, Anschrift, Funktion und Verarbeitungsorten; die Übersicht und die verfügbaren vertraglichen Nachweise werden dem Kunden vor Einsatz zugänglich gemacht. Nicht freigegebene Anbieter und Ausweichrouten sind ausgeschlossen.

6.2 Sustamatic informiert den Kunden mindestens 30 Kalendertage vor der beabsichtigten Aufnahme oder Ersetzung eines Unterauftragsverarbeiters in Textform (E-Mail an die hinterlegte Kontaktadresse genügt) und gibt dem Kunden damit die Möglichkeit, Einwände zu erheben. Der Kunde kann der Änderung aus berechtigten datenschutzrechtlichen Gründen widersprechen. Können die Einwände nicht einvernehmlich ausgeräumt werden und bietet Sustamatic keine zumutbare Alternative an, ist der Kunde berechtigt, den Nutzungsvertrag hinsichtlich der betroffenen Leistung außerordentlich zu kündigen; im Voraus gezahlte Entgelte für den Zeitraum nach Wirksamwerden der Kündigung werden erstattet.

6.3 Sustamatic erlegt jedem Unterauftragsverarbeiter im Wege eines Vertrages im Sinne des Art. 28 Abs. 4 DSGVO im Wesentlichen dieselben Datenschutzpflichten auf, wie sie in diesem AVV festgelegt sind. Auf Anfrage stellt Sustamatic dem Kunden eine Kopie der jeweiligen Vereinbarung zur Verfügung; geschäftliche und nicht datenschutzrelevante Inhalte dürfen geschwärzt werden.

6.4 Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet Sustamatic gegenüber dem Kunden für die Einhaltung der Pflichten des Unterauftragsverarbeiters wie für eigenes Handeln.

§ 7 Verarbeitungsort und Drittlandübermittlungen

7.1 Das Plattformhosting erfolgt in Deutschland. KI-Verarbeitung, Support-, Betriebs- und Sicherheitsdaten können gemäß Anlage 2 auch außerhalb des Europäischen Wirtschaftsraums (EWR), insbesondere in den USA, verarbeitet werden. Eine EU-Beschränkung von OpenRouter gilt ausschließlich für API-Inhalte über den EU-Endpunkt und erst nach dokumentierter schriftlicher EU-Wahl und Freigabe der beteiligten Modell-Hosting-Anbieter. Sie erfasst weder sämtliche Metadaten noch TypeSafe- oder direkte OpenAI-Routen.

7.2 Vor jeder Drittlandübermittlung sind ein gültiges Übermittlungsinstrument nach Kapitel V DSGVO, die zutreffenden Rollen und die notwendigen ergänzenden Maßnahmen nachzuweisen. In Betracht kommen ein tatsächlich anwendbarer Angemessenheitsbeschluss (Art. 45 DSGVO) oder Standardvertragsklauseln (EU) 2021/914 (Art. 46 DSGVO) in der passenden Modulkonfiguration, insbesondere Modul 3 bei Übermittlung durch Sustamatic als Auftragsverarbeiter an einen Unterauftragsverarbeiter. Ein allgemein verfügbares Anbieter-DPA ersetzt diesen Nachweis nicht. Fehlt er, bleibt die betroffene Route gesperrt.

7.3 Sustamatic hält eine aktuelle Übersicht der Übermittlungswege bereit, unterstützt den Kunden mit den ihm vorliegenden Informationen bei Transfer-Folgenabschätzungen und informiert ihn unverzüglich, wenn ein eingesetztes Übermittlungsinstrument unwirksam wird. Steht für eine betroffene Übermittlung kein gültiges Instrument zur Verfügung, setzt Sustamatic die betreffende Übermittlung aus, bis rechtmäßige Garantien bestehen; der Kunde kann die Aussetzung der betroffenen Teilverarbeitung verlangen.

§ 8 Unterstützung bei den Rechten betroffener Personen

8.1 Sustamatic unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III DSGVO genannten Rechte betroffener Personen (insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) nachzukommen.

8.2 Wendet sich eine betroffene Person unmittelbar an Sustamatic, leitet Sustamatic den Antrag unverzüglich an den Kunden weiter und beantwortet ihn nicht selbst, es sei denn, der Kunde hat Sustamatic hierzu ausdrücklich ermächtigt oder eine gesetzliche Pflicht verlangt eine Reaktion.

§ 9 Unterstützung bei den Pflichten nach Art. 32 bis 36 DSGVO

Sustamatic unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der Sustamatic zur Verfügung stehenden Informationen bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten, insbesondere bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen des Schutzes personenbezogener Daten an Aufsichtsbehörden und betroffene Personen, bei Datenschutz-Folgenabschätzungen und bei vorherigen Konsultationen der Aufsichtsbehörde.

§ 10 Meldung von Verletzungen des Schutzes personenbezogener Daten

10.1 Sustamatic meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten, die im Auftrag des Kunden verarbeitete Daten betreffen, unverzüglich nach eigener Kenntniserlangung, spätestens innerhalb von 48 Stunden ab diesem Zeitpunkt. Diese Frist beginnt nicht erst nach Abschluss einer Untersuchung. Unterauftragsverarbeiter müssen Sustamatic ohne unangemessene Verzögerung informieren; eine längere Meldefrist des Unterauftragsverarbeiters verlängert die Kundenfrist ab Kenntnis von Sustamatic nicht.

10.2 Die Meldung enthält, soweit zum Zeitpunkt der Meldung verfügbar, mindestens: eine Beschreibung der Art der Verletzung (soweit möglich mit Kategorien und ungefährer Zahl der betroffenen Personen und Datensätze), Name und Kontaktdaten einer Anlaufstelle, eine Beschreibung der wahrscheinlichen Folgen sowie der ergriffenen oder vorgeschlagenen Abhilfemaßnahmen. Noch nicht verfügbare Informationen werden ohne unangemessene Verzögerung nachgereicht.

10.3 Die Meldung stellt kein Anerkenntnis eines Verschuldens oder einer Haftung dar. Die Bewertung und etwaige Meldung gegenüber Aufsichtsbehörden und betroffenen Personen obliegt dem Kunden; Sustamatic unterstützt ihn hierbei gemäß § 9.

§ 11 Nachweise und Kontrollen

11.1 Sustamatic stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind, insbesondere die Dokumentation der technischen und organisatorischen Maßnahmen, einschlägige Zertifikate der eingesetzten Rechenzentrumsbetreiber sowie Antworten auf angemessene Sicherheits-Fragebögen innerhalb von 30 Kalendertagen.

11.2 Der Kunde ist berechtigt, in angemessenen Abständen — in der Regel höchstens einmal pro Kalenderjahr — sowie bei konkreten Anhaltspunkten für Verstöße Überprüfungen (auch aus der Ferne) durchzuführen oder durch einen zur Verschwiegenheit verpflichteten, nicht im Wettbewerb zu Sustamatic stehenden Prüfer durchführen zu lassen. Inspektionen vor Ort erfolgen mit angemessener Vorankündigung (in der Regel 30 Kalendertage), zu üblichen Geschäftszeiten, unter Wahrung der Vertraulichkeit und ohne unverhältnismäßige Störung des Betriebs.

11.3 Bei konkreten Anhaltspunkten für Verstöße oder auf Anordnung einer Aufsichtsbehörde gelten die Beschränkungen aus § 11.2 (Häufigkeit, Vorankündigung) nicht. Jede Partei trägt die ihr durch eine Kontrolle entstehenden eigenen Kosten; für ohne konkreten Anlass verlangte zusätzliche Kontrollen kann Sustamatic einen angemessenen Aufwandsersatz verlangen, der eine wirksame Kontrolle nicht erschweren darf.

§ 12 Löschung und Rückgabe

12.1 Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht Sustamatic nach Wahl des Kunden alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht das Recht der Union oder der Mitgliedstaaten eine weitere Speicherung verlangt. Für die Rückgabe stehen die Exportfunktionen der Plattform sowie das Datenabruf-Fenster gemäß den AGB (mindestens 30 Kalendertage nach Vertragsende) zur Verfügung.

12.2 Soweit eine Löschung technisch erst im Rahmen turnusmäßiger Sicherungszyklen möglich ist, werden die Daten bis zur endgültigen Löschung gesperrt und nicht weiterverarbeitet. Auf Verlangen bestätigt Sustamatic die Löschung in Textform.

§ 13 Haftung und Schlussbestimmungen

13.1 Für die Haftung der Parteien gelten die gesetzlichen Vorschriften, insbesondere Art. 82 DSGVO. Haftungsregelungen des Nutzungsvertrages bleiben unberührt, soweit sie zwingendem Datenschutzrecht nicht widersprechen.

13.2 Bei Widersprüchen zwischen diesem AVV und sonstigen Vereinbarungen der Parteien geht dieser AVV in datenschutzrechtlichen Fragen vor. Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; an die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

13.3 Dieser AVV wird in deutscher und englischer Sprache bereitgestellt. Im Fall von Abweichungen ist die deutsche Fassung maßgeblich.

Anlage 1 — Verarbeitungsumfang und technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Sustamatic trifft mindestens die folgenden Maßnahmen; gleichwertige oder bessere Maßnahmen sind zulässig. Aus Sicherheitsgründen werden Maßnahmen hier auf dem für die Nachvollziehbarkeit erforderlichen Abstraktionsniveau beschrieben; Detailunterlagen werden im Rahmen von § 11 bereitgestellt.

Anlage 2 — Unterauftragsverarbeiter und freizugebende KI-Routen

Stand: 2. Oktober 2026. Die folgende Übersicht beschreibt Anbieter und Grenzen. Eine Eintragung ersetzt keine ausstehende vertragliche oder technische Freigabe; Änderungen und zusätzliche Modell-Hosting-Anbieter unterliegen § 6.

Modell-Hosting: Maßgeblich ist eine begrenzte, vor Einsatz an den Kunden kommunizierte Freigabeliste mit Rechtsträgern, Anschriften, Orten und Funktionen der tatsächlich beteiligten weiteren Auftragsverarbeiter von OpenRouter und TypeSafe. Modellnamen allein bezeichnen weder den Hosting-Anbieter noch den Verarbeitungsort. Fehlen diese Angaben oder geeignete Verträge, bleibt die betreffende Route ausgeschlossen. Änderungen werden mindestens 30 Kalendertage vorab gemäß § 6.2 angekündigt; Anbieterfristen dürfen diesen Zeitraum nicht verkürzen.

OpenRouter: Die EU-Zusage von Exhibit A erfasst nur API-Inhalte, nicht Konto-, Abrechnungs-, Authentifizierungs-, Sicherheits- oder Missbrauchsmetadaten. Das vorliegende Anbieter-DPA nennt für Drittlandtransfers Modul 2; Sustamatic benötigt bei Verarbeitung im Kundenauftrag eine passende Modul-3-Regelung oder eine anderweitige gültige Absicherung. Der Ausschluss von „Sensitive Data“ umfasst auch Finanz- und Beschäftigungsinformationen.

TypeSafe (Jev): Die Nutzung von Jev ist optional und kann jederzeit abgewählt werden (Opt-out).

Zahlungsabwicklung über Stripe Payments Europe, Ltd. (Irland) und gegebenenfalls Stripe, LLC (USA) sowie der Bot-Schutz der öffentlichen Registrierung über Cloudflare Turnstile betreffen gesonderte Rollen und Zwecke gemäß Datenschutzerklärung; sie erhalten keine pauschale Freigabe zur Verarbeitung hochgeladener Kundenbelege durch diesen AVV. Für hochgeladene Kundeninhalte sind sie keine Unterauftragsverarbeiter gemäß dieser AVV.