Vereinbarung zur Auftragsverarbeitung (AVV)

Fassung 1.6 · Stand 13. Oktober 2026

Diese Vereinbarung zur Auftragsverarbeitung (nachfolgend „AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Nutzung der Software „Team Rocko" und ist Bestandteil der Allgemeinen Geschäftsbedingungen. Sie wird mit Beginn der Nutzung (Registrierung) automatisch einbezogen; einer gesonderten Unterzeichnung bedarf es nach Art. 28 Abs. 9 DSGVO nicht (Textform, auch elektronisch).

Parteien

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde (der die Software nutzende Betrieb), nachfolgend „Auftraggeber".
Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist:
1M GmbH, Königsberger Str. 1, 42277 Wuppertal
E-Mail: hello@rocko.app
nachfolgend „Auftragnehmer".

§ 1 Gegenstand und Dauer

(1) Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers zur Erbringung der in den AGB beschriebenen Leistungen (Bereitstellung der Software als Cloud-Dienst zur Verwaltung von Angeboten, Rechnungen, Zeiterfassung, Kontakten, Einsatzplanung und weiteren Funktionen).
(2) Die Dauer dieses AVV entspricht der Laufzeit des zugrunde liegenden Hauptvertrags (Nutzungsvertrag/AGB). Er endet automatisch mit dessen Beendigung.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Art und Zweck: Speicherung, Organisation, Anpassung, Auslesen, Verwendung und Löschung personenbezogener Daten zum Zweck des Betriebs der Software und der Erbringung der vertraglich vereinbarten Leistungen. Die Speicherung der Daten findet ausschließlich auf Servern in Deutschland statt. Für KI-gestützte Funktionen werden einzelne Inhalte zur Verarbeitung an die in der Liste der Unterauftragsverarbeiter ausgewiesenen KI-Anbieter übermittelt. Umfang, Aufbewahrung und Grenzen dieser Übermittlung ergeben sich aus Anlage 1.

(2) Art der Daten: insbesondere Stammdaten (Name, Anschrift, Kontaktdaten), Vertrags- und Abrechnungsdaten, Termin- und Projektdaten, Zeiterfassungs- und Mitarbeiterdaten, Kommunikations- und Belegdaten sowie vom Auftraggeber eingegebene Freitextinhalte.

(3) Kategorien betroffener Personen: Kunden und Interessenten des Auftraggebers, Lieferanten, Mitarbeiter des Auftraggebers sowie sonstige vom Auftraggeber erfasste Kontaktpersonen.

§ 3 Weisungsrecht des Auftraggebers

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich im Rahmen der vertraglichen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet. Die Nutzung der Software durch den Auftraggeber gilt als dokumentierte Weisung.
(2) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt (Art. 28 Abs. 3 S. 3 DSGVO).

§ 4 Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich, gemäß Art. 28 Abs. 3 DSGVO:

  • Daten nur auf dokumentierte Weisung zu verarbeiten, auch bei Drittlandübermittlungen;
  • zur Vertraulichkeit verpflichtete Personen einzusetzen bzw. eine entsprechende gesetzliche Verschwiegenheit sicherzustellen;
  • die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO zu treffen (Anlage 1);
  • die Bedingungen für die Inanspruchnahme von Unterauftragsverarbeitern nach § 6 einzuhalten;
  • den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO) zu unterstützen;
  • den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO zu unterstützen (Datensicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung);
  • nach Wahl des Auftraggebers alle personenbezogenen Daten nach Abschluss der Leistung zu löschen oder zurückzugeben (§ 9);
  • dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Pflichten zur Verfügung zu stellen und Überprüfungen zu ermöglichen (§ 8).

§ 5 Meldung von Datenschutzverletzungen

Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und unterstützt ihn bei dessen Melde- und Benachrichtigungspflichten nach Art. 33, 34 DSGVO.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung nach Art. 28 Abs. 2 DSGVO, weitere Auftragsverarbeiter (Unterauftragnehmer) einzusetzen. Die jeweils eingesetzten Unterauftragnehmer sind in der Liste der Unterauftragsverarbeiter aufgeführt (Anlage 2). Die Liste weist je Unterauftragnehmer Firma, Sitz, Zweck der Verarbeitung, Verarbeitungsort und – bei einer Verarbeitung außerhalb der Europäischen Union – die Grundlage der Übermittlung aus. Sie trägt ein Stand-Datum und einen Änderungsverlauf und ist Bestandteil dieses AVV.
(2) Der Auftragnehmer verpflichtet Unterauftragnehmer auf ein Datenschutzniveau, das den Anforderungen dieses AVV entspricht. Vor der Aufnahme eines Unterauftragnehmers prüft und dokumentiert der Auftragnehmer, dass dieser die Anforderungen aus Anlage 1 erfüllt.
(3) Beabsichtigt der Auftragnehmer, einen Unterauftragnehmer hinzuzuziehen oder zu ersetzen, informiert er den Auftraggeber vorab in Textform. Der Auftraggeber kann einer Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen. Die Änderung wird nicht vor Ablauf dieser Frist wirksam.
(4) Auf Anfrage teilt der Auftragnehmer dem Auftraggeber Name, Anschrift und Ansprechpartner jedes Unterauftragnehmers sowie etwaiger weiterer Glieder der Verarbeitungskette mit.

§ 7 Technisch-organisatorische Maßnahmen

Der Auftragnehmer trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO) und passt sie an den Stand der Technik an, ohne das vereinbarte Schutzniveau zu unterschreiten.

§ 8 Kontrollrechte

Der Auftraggeber ist berechtigt, sich von der Einhaltung dieses AVV zu überzeugen. Der Auftragnehmer stellt hierfür die erforderlichen Nachweise (z. B. aktuelle TOM-Dokumentation, Zertifikate, Testate) bereit. Prüfungen vor Ort sind mit angemessener Vorankündigung während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs möglich.

§ 9 Löschung und Rückgabe

Nach Beendigung des Vertrags löscht der Auftragnehmer die verarbeiteten Daten nach Wahl des Auftraggebers oder gibt sie in einem gängigen Format zurück, sofern nicht eine gesetzliche Aufbewahrungspflicht der Löschung entgegensteht. Ein Datenexport ist während der Vertragslaufzeit über die Software möglich.

§ 10 Haftung

Für die Haftung gelten die Bestimmungen der DSGVO (insb. Art. 82) sowie die Haftungsregelungen des Hauptvertrags (AGB) entsprechend.

§ 11 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor.
(2) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.
(3) Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

  • Vertraulichkeit – Zutritt/Zugang/Zugriff: Hosting in Rechenzentren mit Zutrittskontrolle (Hetzner, Deutschland); rollenbasierte Zugriffsrechte; Authentifizierung mit individuellen Zugangsdaten; Passwort-Hashing.
  • Mandantentrennung: Strikte logische Trennung der Daten je Betrieb über eine Mandanten-Kennung und durchgesetzte Zeilen-Sicherheit (Row Level Security) in der Datenbank.
  • Verschlüsselung: Transportverschlüsselung (TLS) für alle Verbindungen; verschlüsselte Speicherung der Datenbank- und Backup-Datenträger.
  • Verfügbarkeit und Wiederherstellbarkeit: Regelmäßige, verschlüsselte Backups; Wiederherstellungsverfahren; Monitoring der Systemverfügbarkeit.
  • Integrität und Belastbarkeit: Protokollierung sicherheitsrelevanter Ereignisse; Trennung von Entwicklungs- und Produktivsystemen; regelmäßige Aktualisierung eingesetzter Komponenten.
  • Datenminimierung bei KI-gestützten Funktionen: Für jede KI-Funktion ist verbindlich festgelegt, welche Daten sie erhält. Es werden nur die Daten übermittelt, die für die jeweilige Aufgabe erforderlich sind. Wo die Aufgabe keine Personenbezüge erfordert, werden diese vor der Übermittlung entfernt; wo lediglich eine Unterscheidung erforderlich ist, werden interne Kennungen anstelle von Namen verwendet.
  • Anforderungen an KI-Anbieter: Der Auftragnehmer setzt für KI-gestützte Funktionen ausschließlich Anbieter ein, die vertraglich zusichern:
    • Kein Training: Die übermittelten Inhalte und die erzeugten Antworten werden nicht zum Training oder zur Verbesserung von KI-Modellen verwendet.
    • Begrenzte Aufbewahrung von Inhalten: Prompts, Antworten, Dateien, Tonaufnahmen und Tool-Inhalte darf der KI-Anbieter nach Abschluss der Anfrage höchstens 30 Tage aufbewahren, und zwar ausschließlich, um Missbrauch des Dienstes zu erkennen, Fehler zu beheben und die Sicherheit des Dienstes zu gewährleisten (Art. 32 DSGVO). Diese Aufbewahrung erfolgt im Auftrag und nicht zu eigenen Zwecken des Anbieters; danach werden die Inhalte gelöscht. Erforderliche, inhaltsfreie Betriebsmetadaten wie Zeitpunkt, Modell, Tokenanzahl, Latenz und Statuscode dürfen höchstens 30 Tage verbleiben – ohne Personen-/Mandantenkennung und ohne Prompt-Hash. Die konkrete Umsetzung je Anbieter weist die Liste der Unterauftragsverarbeiter aus.
    • Verarbeitungsort: Die Verarbeitung erfolgt innerhalb des Europäischen Wirtschaftsraums oder in Staaten, für die eine gültige Grundlage der Übermittlung besteht: ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO) oder, wo keiner besteht, geeignete Garantien nach Art. 46 DSGVO, insbesondere die EU-Standardvertragsklauseln, auf Grundlage einer dokumentierten Prüfung des Übermittlungsrisikos. Die Staaten, in denen ein Anbieter verarbeitet, und die jeweilige Grundlage weist die Liste der Unterauftragsverarbeiter aus. Eine Verarbeitung in einem Staat ohne solche Grundlage ist ausgeschlossen.
    • Keine Weitergabe: Eine Nutzung der Daten zu eigenen Zwecken des Anbieters oder eine Weitergabe an Dritte über die Erbringung der Leistung hinaus ist ausgeschlossen.
    Die Einhaltung dieser Voraussetzungen wird vor Aufnahme eines Anbieters geprüft und dokumentiert.
  • Ausschluss besonderer Datenkategorien: Daten nach Art. 9 DSGVO (insbesondere Gesundheitsdaten) werden vor der Übermittlung an ein Sprachmodell technisch entfernt. Bei der Spracherkennung (Diktat) wird die Tonaufnahme übermittelt; sie lässt sich vorher nicht filtern. Der erkannte Text wird gefiltert, bevor er an ein Sprachmodell übermittelt wird.
  • Kenntlichmachung von KI: Der Einsatz künstlicher Intelligenz wird gegenüber den Nutzern offengelegt; bei sprachgesteuerten Funktionen und im Telefonkontakt erfolgt der Hinweis zu Beginn der Interaktion (Art. 50 KI-Verordnung).
  • Überprüfung: Regelmäßige Überprüfung, Bewertung und Anpassung der Maßnahmen an den Stand der Technik.

Anlage 2 – Unterauftragsverarbeiter

Die jeweils eingesetzten Unterauftragsverarbeiter sind in der Liste der Unterauftragsverarbeiter aufgeführt. Die Liste ist Bestandteil dieses AVV und weist je Unterauftragnehmer Firma, Sitz, Zweck der Verarbeitung, Verarbeitungsort und – bei einer Verarbeitung außerhalb der Europäischen Union – die Grundlage der Übermittlung aus.

Warum die Firmen nicht im Vertragstext stehen: Die Anforderungen an einen Unterauftragnehmer stehen in Anlage 1 und ändern sich selten; welcher Anbieter sie erfüllt, kann sich häufiger ändern. Ein Wechsel führt deshalb zu einer Änderung der Liste, nicht des Vertrags – und in jedem Fall zur vorherigen Information nach § 6 Abs. 3 mit 14 Tagen Widerspruchsfrist. Die Anforderungen selbst lassen sich nur über eine neue Fassung dieses AVV ändern.

Übermittlungen außerhalb der Europäischen Union erfolgen ausschließlich in Staaten, für die ein Angemessenheitsbeschluss der EU-Kommission besteht (Art. 45 DSGVO), oder auf Grundlage geeigneter Garantien, insbesondere der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Welche Grundlage für einen bestimmten Unterauftragnehmer gilt, weist die Liste aus.

Stand der KI-gestützten Funktionen: Der aktuell freigegebene Primärweg und die nur für personenfreie Aufgaben zulässigen Ausweichwege sind in der Liste der Unterauftragsverarbeiter mit Verarbeitungsort und jeweiliger Grenze ausgewiesen. Ein Anbieterwechsel folgt dem Informationsverfahren nach § 6.

Versionshistorie

  • Fassung 1.6 – Stand 13. Oktober 2026 (aktuelle Fassung)
  • Fassung 1.5 – Stand 1. Oktober 2026
  • Fassung 1.4 – Stand 10. September 2026
  • Fassung 1.3 – Stand 9. September 2026
  • Fassung 1.2 – Stand 26. August 2026
  • Fassung 1.1 – Stand 4. August 2026
  • Fassung 1.0 – Stand 8. Juli 2026