# Auftragsverarbeitungsvertrag (AVV) — Vorlage

**Zwischen**

- **Verantwortlicher (Kunde):** `[Vollständiger Firmenname]`, `[Sitz]`, `[Firmenbuchnummer / Gericht, falls vorhanden]`, `[UID-Nummer, falls vorhanden]`, vertreten durch `[zeichnungsberechtigte Person]` („Kunde")
- **Auftragsverarbeiter:** Paul Curcean, Einzelunternehmen, Sitz in Österreich, Kontakt: paulcurcean@protonmail.com (mailto:paulcurcean@protonmail.com) („Auftragsverarbeiter")

Diese Vorlage setzt Art. 28 DSGVO für die Nutzung von Aletura (aletura.eu) um, der vom Auftragsverarbeiter betriebenen Plattform für Vertragsanalyse. Sie wird erst verbindlich, wenn sie ausgefüllt, von beiden Parteien unterzeichnet und dem Hauptvertrag beigefügt wird. Das Herunterladen dieser Datei begründet keinen Vertrag.

## 1. Gegenstand und Dauer der Verarbeitung

Gegenstand: Hosting und Betrieb der Aletura-Plattform einschließlich Vertrag-Upload, deterministischer Analyse, Berichtserstellung, optionalem Speichern von Ergebnissen, Kontoverwaltung und Workspace-Funktionen für die Organisation des Kunden.

Dauer: für die Laufzeit des Hauptvertrags zwischen den Parteien, sofern nicht zuvor mit dem Hauptvertrag beendet.

## 2. Art und Zweck der Verarbeitung

Bereitstellung des Aletura-Dienstes: vorübergehende Verarbeitung hochgeladener Verträge zur Analyse (Extraktion, Maskierung, Abruf, Modellrufe, Belegprüfung, Berichtserstellung), Konto- und Kontingentverwaltung, optionale verschlüsselte Speicherung der vom Kunden ausdrücklich gespeicherten Ergebnisse, Audit-Protokollierung und Support.

## 3. Kategorien personenbezogener Daten

- Kontodaten: E-Mail-Adresse, Passwort-Hash, Kontostatus, Tarif, Workspace-Mitgliedschaften und Rollen.
- Nutzungs- und Kontingent-Metadaten: tägliche Zähler pro UTC-Tag, gehashte anonyme Geräte-Token für Gäste, gehashte IP-Missbrauchsschutz-Zähler, Audit-Ereignisse. Roh-IPs werden weder geloggt noch gespeichert.
- Vertragsinhalte und Analyseergebnisse: werden nur vorübergehend und vor jedem Modellruf lokal maskiert verarbeitet; dauerhafte Speicherung nur, wenn der Kunde ausdrücklich „Speichern“ wählt. Ungespeicherte Inhalte, Indizes und Maskierungen sind kurzlebig und werden nach der Sitzung bzw. per TTL gelöscht.
- BYOK-/Anbieter-API-Schlüssel: AES-256-GCM-verschlüsselt gespeichert, niemals geloggt, nur an den allowgelisteten Endpunkt des jeweiligen Anbieters gesendet.

## 4. Kategorien betroffener Personen

Die autorisierten Nutzer und Mitglieder des Kunden sowie Personen, die in den vom Kunden hochgeladenen Verträgen genannt sind.

## 5. Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3 DSGVO)

1. Personenbezogene Daten nur auf dokumentierte Weisung des Kunden verarbeiten, einschließlich bei Übermittlungen in Drittländer, sofern nicht durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgeschrieben.
2. Sicherstellen, dass die zur Verarbeitung befugten Personen der Verschwiegenheit unterliegen.
3. Die in Anhang 1 aufgeführten technischen und organisatorischen Maßnahmen umsetzen.
4. den Kunden bei der Beantwortung von Betroffenenanfragen und bei der Erfüllung der Pflichten nach Art. 32–36 DSGVO unterstützen, unter Berücksichtigung der Art der Verarbeitung.
5. Keine weiteren Auftragsverarbeiter ohne vorherige besondere oder allgemeine schriftliche Ermächtigung des Kunden einsetzen; bei allgemeiner Ermächtigung den Kunden über beabsichtigte Änderungen informieren und Widerspruch ermöglichen. Die Sub-Auftragsverarbeiter sind in Anhang 2 aufgeführt; der Auftragsverarbeiter haftet voll für deren Erfüllung.
6. Nach Ende der Dienstleistung alle personenbezogenen Daten nach Wahl des Kunden löschen oder zurückgeben und bestehende Kopien löschen, sofern keine gesetzliche Aufbewahrungspflicht besteht.
7. Alle zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung stellen und Audits — einschließlich Inspektionen — durch den Kunden oder einen von ihm beauftragten Prüfer ermöglichen und dazu beitragen.

## 6. Weisungen des Kunden

Der Kunde weist den Auftragsverarbeiter an, personenbezogene Daten nur zur Bereitstellung, Sicherung und Unterstützung des Aletura-Dienstes gemäß Hauptvertrag, diesem AVV und der öffentlich verfügbaren Dokumentation (Datenschutzerklärung, Sicherheitsseite, Methodikseite) und nur insoweit zu verarbeiten, wie es für diese Zwecke erforderlich ist.

## Anhang 1 — Technische und organisatorische Maßnahmen (Zusammenfassung des Umgesetzten)

- Verschlüsselung in transit (ausschließlich TLS/HTTPS).
- Verschlüsselung at rest mit AES-256-GCM für gespeicherte Analysen (und mitgespeicherte Originale, wo vorgesehen), BYOK- und Organisations-Schlüssel sowie Unternehmenswissen; Schlüssel in Konfiguration/Secrets außerhalb des Code-Repositories; Schlüsselrotation über einen Previous Key unterstützt.
- Passwörter werden nur als Hash gespeichert.
- Autorisierung anhand des authentifizierten Principals und serverseitiger Organisations-/Abteilungs-Mitgliedschaften; clientseitig gesendete Plan-/Konto-Header werden niemals vertraut. Rollenbasierter Zugriff (Admin/Member) pro Workspace.
- Deterministische lokale Maskierung erkannter persönlicher Identifikatoren vor Indexierung und jedem Modellruf; Ausgangs-Guard für Prompts; Antwortvalidierung (Schema, Canary-Lecks, unzulässige Felder). Die Maskierung ist eine Pseudonymisierung mit Erkennunggrenzen.
- Prompt-Injection-Abwehr: Uploads und Folgefragen sind untrusted data; eingebettete Anweisungen werden nie ausgeführt; keine vertragsgesteuerten Werkzeuge, URL-Abrufe, Shells, E-Mails oder Persistenz; JSON-isolierender sicherer Prompt-Builder.
- Vertragsinhalte werden standardmäßig nicht gespeichert; ungespeicherte Uploads, Indizes und Maskierungen sind ephemer und TTL-begrenzt.
- Audit-Protokollierung pro Organisation mit HMAC-SHA256-Integritätskette (Schlüsselrotation unterstützt); konfigurierbare Aufbewahrung von 30, 90 oder 365 Tagen (Standard 90 Tage); rate-limitierter CSV-Export.
- E-Mail-Verifizierungs- und Reset-Links: einmalig, als Hash gespeichert, 24 h bzw. 30 Minuten gültig.
- Es wird keine Zertifizierung (z. B. ISO/IEC 27001) behauptet; der aktuelle Validierungsstand der Analyse ist auf der Methodikseite veröffentlicht.

## Anhang 2 — Sub-Auftragsverarbeiter

| Sub-Auftragsverarbeiter | Zweck | Hinweise |
| --- | --- | --- |
| Scaleway | Hosting von Anwendung und Datenbank | EU |
| Mistral AI | KI-Inferenz für die Analyse | Konfiguriert für Mistral-EU-regionale Inferenz (Endpunkt `https://api.eu.mistral.ai`); daraus wird keine darüber hinausgehende DSGVO-Compliance oder Ende-zu-Ende-Residienz abgeleitet. Bei BYOK wird der Schlüssel des Kunden nur an den allowgelisteten Endpunkt des gewählten Anbieters gesendet. |
| Simple Analytics | Website-Analyse | Cookie-los, respektiert „Do Not Track“, speichert keine IP-Adressen, bildet keine Profile |

Der Kunde kann einem neuen Sub-Auftragsverarbeiter aus vernünftigen datenschutzrechtlichen Gründen widersprechen; wird der Widerspruch nicht ausgeräumt, kann der Kunde die betroffenen Dienste kündigen.

---

*Vorlage Version 1.0 (2026-11-03). Diese Vorlage ist keine Rechtsberatung; lass sie vor Unterzeichnung prüfen.*