Auftragsverarbeitungs-Vereinbarung (AVV)

Verantwortlicher:

Auftragsverarbeiter:

(1) Gegenstand der Vereinbarung ist die Verarbeitung personenbezogener Daten durch RealSync im Rahmen der vom Kunden beauftragten SaaS-Leistungen (KI-Workflows, Audit-Log, DSGVO-Selfservice) gemäß Hauptvertrag.

(2) Die Vereinbarung gilt für die Dauer des Hauptvertrags. Sie endet automatisch mit dessen Beendigung.

(3) Zweck der Datenverarbeitung ist die Erbringung der vertraglich vereinbarten Leistungen. RealSync verarbeitet Daten ausschließlich auf dokumentierte Weisung des Kunden.

(1) Datenkategorien: Stammdaten (Name, E-Mail), Nutzungsdaten (Login-Zeitpunkte, Aktionsprotokolle), Inhaltsdaten der vom Kunden hochgeladenen oder über die API verarbeiteten Texte/Dokumente, Abrechnungsdaten.

(2) Betroffene Personen: Mitarbeiter und Kunden des Kunden, die die Plattform nutzen oder deren Daten über die Plattform verarbeitet werden.

(3) Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) bedarf der vorherigen schriftlichen Einzelgenehmigung durch RealSync.

RealSync verpflichtet sich:

1. Daten nur auf dokumentierte Weisung des Kunden zu verarbeiten;
2. alle eingesetzten Personen zur Vertraulichkeit zu verpflichten;
3. geeignete technische und organisatorische Maßnahmen (TOM, Anhang 1) umzusetzen;
4. den Kunden bei Erfüllung der Rechte betroffener Personen (Art. 15-22 DSGVO) zu unterstützen;
5. Datenschutzverletzungen unverzüglich, spätestens binnen 24 Stunden, an den Kunden zu melden (Art. 33 DSGVO);
6. nach Vertragsende sämtliche personenbezogenen Daten zu löschen oder zurückzugeben (Wahl des Kunden), spätestens nach 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

(1) Der Kunde stimmt zu, dass RealSync die in der öffentlichen Sub-Prozessoren-Liste (/legal/sub-processors) genannten Unterauftragsverarbeiter einsetzen darf.

(2) Vor Beauftragung neuer oder Wechsel bestehender Sub-Prozessoren wird der Kunde mindestens 30 Tage im Voraus informiert. Der Kunde kann bei begründeten Bedenken widersprechen und in diesem Fall den Hauptvertrag außerordentlich kündigen.

(3) RealSync schließt mit jedem Sub-Prozessor einen DSGVO-konformen Vertrag mit gleichwertigen Schutzpflichten.

(1) RealSync betreibt Server primär innerhalb der Europäischen Union. Der Kunde kann pro Tenant erzwingen, dass alle KI-Aufrufe ausschließlich auf EU-Servern verarbeitet werden („eu_local" Modus).

(2) Bei Nutzung externer KI-Anbieter (Anthropic, Google, OpenAI) erfolgt der Transfer in die USA auf Basis der EU-Standardvertragsklauseln 2021/914 sowie unter Berücksichtigung der EuGH-Schrems-II-Anforderungen (zusätzliche Maßnahmen gemäß EDSA Recommendations 01/2020).

(1) Wendet sich eine betroffene Person mit einem Anliegen nach Art. 15-22 DSGVO unmittelbar an RealSync, leitet RealSync die Anfrage unverzüglich an den Kunden weiter.

(2) RealSync stellt dem Kunden eine API zur Verfügung, mit der Auskunfts- (Art. 15) und Löschanfragen (Art. 17) automatisiert beantwortet werden können (/functions/v1/gdpr-export · /functions/v1/gdpr-delete).

(1) Der Kunde hat das Recht, die Einhaltung dieser Vereinbarung beim Auftragsverarbeiter zu überprüfen oder durch beauftragte Dritte überprüfen zu lassen, jeweils nach mindestens 14 Tagen Vorankündigung.

(2) RealSync legt auf Anfrage Audit-Berichte (z.B. Pen-Tests, ISO-Zertifikate sofern vorhanden, Sub-Prozessoren-Liste) vor.

Die Haftung richtet sich nach Art. 82 DSGVO sowie den Bestimmungen des Hauptvertrags. RealSync haftet nicht für Schäden, die durch nicht dokumentierte Weisungen des Kunden entstehen.

(1) Es gilt deutsches Recht. Gerichtsstand ist der Sitz von RealSync.

(2) Änderungen und Ergänzungen bedürfen der Schriftform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Zutritt: Hosting in zertifizierten Rechenzentren in der EU (Frankfurt am Main).
• Zugang: Magic-Link-Authentifizierung, Multi-Factor-Authentication für Admin-Accounts.
• Zugriff: Row-Level Security (RLS) auf Datenbankebene, granulare Rollen (Owner / Admin / Operator / Viewer).
• Verschlüsselung: TLS 1.3 für alle Verbindungen, AES-256 für Daten at rest.
• Pseudonymisierung: IP-Hashing in Lead-Capture und Audit-Logs.

Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Append-only Audit-Log für alle Datenmutationen.
• Prüfsummen für gespeicherte Dateien.
• Versionierung in der Datenbank.

Verfügbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Tägliche Backups, Point-in-Time-Recovery.
• Geo-redundante Backup-Speicherung innerhalb der EU.
• Monitoring + Alerting für kritische Komponenten.

Belastbarkeit + Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO)

• Recovery Time Objective (RTO): 24 Stunden.
• Recovery Point Objective (RPO): 1 Stunde.
• Disaster-Recovery-Plan jährlich getestet.

Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Quartalsweise interne Sicherheits-Reviews.
• Vulnerability-Scanning auf allen Produktivsystemen.
• Mitarbeiter-Schulungen zum Datenschutz mindestens jährlich.