Auftragsverarbeitungsvertrag (AVV)

Stand: 8. August 2026

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 der Verordnung (EU) 2016/679 (DSGVO)

zwischen dem Kunden als Verantwortlichem (nachfolgend "Kunde")

und

Mario Christ, c/o Impressumservice Dein-Impressum, Stettiner Str. 41, 35410 Hungen (nachfolgend "Auftragsverarbeiter" oder "Anbieter")

Präambel

Der Kunde nutzt den Dienst unpii (unpii.me) zur Erkennung und Maskierung personenbezogener Daten in Texten und Dokumenten auf Grundlage der Nutzungsbedingungen (nachfolgend "Hauptvertrag"). Dabei übermittelt der Kunde Inhalte, die personenbezogene Daten Dritter enthalten können. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien für diese Verarbeitung.

1. Gegenstand und Dauer

1.1 Gegenstand dieses Vertrags ist die Verarbeitung der vom Kunden an den Dienst übermittelten Text- und Dokumentinhalte (nachfolgend "Inhaltsdaten") zum Zweck der Erkennung personenbezogener Daten und ihrer Ersetzung durch kategoriebezogene Platzhalter.

1.2 Nicht Gegenstand dieses Vertrags sind Konto-, Vertrags- und Zahlungsdaten des Kunden selbst; insoweit ist der Anbieter eigenständiger Verantwortlicher (siehe Datenschutzerklärung).

1.3 Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Eine gesonderte Kündigung ist ausgeschlossen; endet der Hauptvertrag, endet auch dieser Vertrag.

2. Art, Zweck und Umfang der Verarbeitung

2.1 Die Verarbeitung umfasst ausschließlich: Entgegennahme der Inhaltsdaten, flüchtige Verarbeitung im Arbeitsspeicher zur Erkennung personenbezogener Stellen, Erzeugung der maskierten Fassung, Rückübermittlung an den Kunden und sofortiges Verwerfen. Es findet keine Speicherung der Inhaltsdaten statt - nicht in Datenbanken, nicht in Protokollen, nicht in Sicherungskopien. Ein Neustart der verarbeitenden Systeme erhält keinen Datenpfad, der Inhaltsdaten trägt.

2.2 Der Anbieter verarbeitet Inhaltsdaten zu keinem eigenen Zweck. Insbesondere findet kein Training von Modellen, keine Analyse und keine Weitergabe an Dritte statt.

2.3 Arten personenbezogener Daten: Die Inhaltsdaten werden vom Kunden bestimmt und können sämtliche Arten personenbezogener Daten enthalten, einschließlich besonderer Kategorien nach Art. 9 DSGVO. Der Kunde bleibt für die Rechtsgrundlage der Verarbeitung dieser Daten verantwortlich.

2.4 Kategorien betroffener Personen: Vom Kunden bestimmt; typischerweise Beschäftigte, Kunden, Mandanten, Patienten, Vertragspartner oder sonstige Dritte, deren Daten in den übermittelten Inhalten vorkommen.

2.5 Verarbeitungsort: Die Verarbeitung der Inhaltsdaten erfolgt ausschließlich auf Systemen in Deutschland, die unter der alleinigen Kontrolle des Anbieters stehen. Eine Übermittlung von Inhaltsdaten in Drittländer findet nicht statt. Kein Modellanbieter und kein KI-Dienst eines Dritten ist an der Verarbeitung beteiligt.

3. Weisungen

3.1 Der Anbieter verarbeitet Inhaltsdaten nur auf dokumentierte Weisung des Kunden. Die Weisungen ergeben sich abschließend aus diesem Vertrag, dem Hauptvertrag samt Leistungsbeschreibung und den vom Kunden im Dienst vorgenommenen Konfigurationen (etwa eigenen Erkennungsregeln). Die Nutzung des Dienstes durch Übermittlung von Inhaltsdaten stellt die Weisung im Einzelfall dar.

3.2 Ergänzende individuelle Weisungen bedürfen der Textform an die im Impressum genannte Kontaktadresse. Weisungen, die den Funktionsumfang des Dienstes übersteigen, kann der Anbieter ablehnen.

3.3 Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich (Art. 28 Abs. 3 UAbs. 2 DSGVO) und ist berechtigt, die Ausführung bis zur Klärung auszusetzen.

4. Vertraulichkeit

Der Anbieter ist Einzelunternehmer und beschäftigt kein Personal; die Verarbeitung erfolgt ausschließlich durch ihn selbst. Er ist der Vertraulichkeit verpflichtet. Sollte künftig Personal eingesetzt werden, wird es vor Aufnahme der Tätigkeit auf Vertraulichkeit nach Art. 28 Abs. 3 lit. b, Art. 29 DSGVO verpflichtet.

5. Technische und organisatorische Maßnahmen

5.1 Der Anbieter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

5.2 Die Maßnahmen dürfen dem Stand der Technik entsprechend weiterentwickelt werden, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden in Anlage 1 dokumentiert.

6. Unterauftragsverarbeiter

6.1 Der Kunde erteilt die allgemeine Genehmigung nach Art. 28 Abs. 2 DSGVO für die Einschaltung der in Anlage 2 aufgeführten Unterauftragsverarbeiter.

6.2 Der Anbieter informiert den Kunden in Textform (E-Mail an die Kontoadresse) über beabsichtigte Änderungen der Anlage 2 mindestens vier Wochen vor deren Wirksamwerden. Widerspricht der Kunde aus datenschutzrechtlichen Gründen, steht beiden Parteien ein Sonderkündigungsrecht für den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung zu; bereits gezahltes Entgelt wird anteilig erstattet.

6.3 Der Anbieter erlegt jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO).

6.4 Klarstellung: Das zweite Verarbeitungssystem des Anbieters an dessen Standort ist eigene Hardware unter alleiniger Kontrolle des Anbieters und kein Unterauftragsverarbeiter.

7. Rechte betroffener Personen

7.1 Der Anbieter unterstützt den Kunden mit geeigneten Maßnahmen bei dessen Pflicht, Anfragen betroffener Personen nach Kapitel III DSGVO zu beantworten, soweit dies nach Art der Verarbeitung möglich ist.

7.2 Systembedingt speichert der Anbieter keine Inhaltsdaten; Auskunfts-, Berichtigungs- und Löschansprüche gegenüber dem Anbieter laufen bezüglich der Inhaltsdaten ins Leere, weil nach Beantwortung einer Anfrage keine Daten mehr vorhanden sind. Der Anbieter weist betroffene Personen, die sich unmittelbar an ihn wenden, an den Kunden und beantwortet solche Anfragen nicht selbst; er leitet sie dem Kunden unverzüglich zu, soweit eine Zuordnung möglich ist.

8. Unterstützungs- und Meldepflichten

8.1 Der Anbieter meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten, die Inhaltsdaten betrifft, unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO) mit den zur Erfüllung der Meldepflichten des Kunden erforderlichen Informationen, soweit sie dem Anbieter vorliegen.

8.2 Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldungen, Datenschutz-Folgenabschätzung, Konsultation).

9. Löschung und Rückgabe

9.1 Inhaltsdaten werden systembedingt unmittelbar nach Beantwortung der jeweiligen Anfrage verworfen. Nach Ende des Hauptvertrags sind daher keine Inhaltsdaten mehr vorhanden, die zu löschen oder zurückzugeben wären.

9.2 Auf Anforderung bestätigt der Anbieter dem Kunden in Textform, dass keine Inhaltsdaten gespeichert sind.

10. Nachweise und Kontrollen

10.1 Der Anbieter weist die Einhaltung dieses Vertrags primär durch aktuelle Dokumentation der technischen und organisatorischen Maßnahmen (Anlage 1) sowie durch Auskünfte in Textform nach.

10.2 Vor-Ort-Kontrollen sind bei berechtigtem Anlass nach vorheriger Ankündigung mit angemessener Frist zu den üblichen Geschäftszeiten möglich; sie dürfen den Betrieb nicht unverhältnismäßig stören. Für Flächen des Unterauftragsverarbeiters gelten dessen Kontroll- und Zertifizierungsmechanismen (Anlage 2); der Anbieter stellt vorhandene Testate und Zertifikate auf Anforderung bereit.

10.3 Der Anbieter informiert den Kunden unverzüglich über Kontrollen und Maßnahmen der Aufsichtsbehörde, soweit sie diese Verarbeitung betreffen.

11. Haftung

Für die Haftung der Parteien gelten die Regelungen des Hauptvertrags. Art. 82 DSGVO bleibt unberührt.

12. Schlussbestimmungen

12.1 Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag für den Schutz personenbezogener Daten vor.

12.2 Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform.

12.3 Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 8. August 2026. Die Maßnahmen beziehen sich auf die Verarbeitung der Inhaltsdaten.

1. Vertraulichkeit

Zutrittskontrolle

• Rechenzentrum des Unterauftragsverarbeiters (Hetzner, Deutschland): Zutrittskontrollsysteme, Vereinzelung, Videoüberwachung; zertifiziert nach ISO/IEC 27001.
• Zweites Verarbeitungssystem: steht in einem abschließbaren Arbeitsraum innerhalb der abgeschlossenen Privatwohnung des Anbieters. Zutritt zur Wohnung haben ausschließlich der Anbieter und dessen Haushaltsangehörige; Dritte erhalten keinen unbegleiteten Zutritt. Das System wird ohne Bildschirm und Eingabegeräte betrieben (headless); eine lokale Anmeldung findet nicht statt.

Datenträger und flüchtige Verarbeitung

• Inhaltsdaten werden auf beiden Systemen ausschließlich flüchtig im Arbeitsspeicher verarbeitet und nicht auf Datenträger geschrieben.
• Zweites Verarbeitungssystem: Der Auslagerungsspeicher ist als komprimierter Arbeitsspeicher (zram) konfiguriert und schreibt nicht auf Datenträger (verifiziert 8.8.2026). Die Datenträger enthalten Betriebssystem, Modellgewichte und Betriebsgeheimnisse des Anbieters, keine Inhaltsdaten. Eine Vollverschlüsselung der Datenträger ist als zusätzliche Härtungsmaßnahme in Prüfung.
• Rechenzentrumssystem: Der Auslagerungsspeicher ist ebenfalls als komprimierter Arbeitsspeicher (zram) konfiguriert und schreibt nicht auf Datenträger (umgestellt und verifiziert 8.8.2026; die zuvor vorhandene Auslagerungsdatei wurde sicher überschrieben und entfernt). Arbeitsspeicherinhalte mit Inhaltsdaten erreichen damit auf keinem der beiden Systeme einen Datenträger.

Zugangskontrolle

• Administrativer Zugriff auf beide Systeme ausschließlich durch den Anbieter über SSH mit schlüsselbasierter Authentifizierung; Passwort- und interaktive Anmeldung sind serverseitig deaktiviert (auf beiden Systemen verifiziert 8.8.2026).
• Keine weiteren Personen mit Zugriffsrechten.

Zugriffskontrolle

• Die Erkennungskomponente ist aus dem öffentlichen Internet nicht erreichbar; sie ist nur aus dem internen Dienstnetz bzw. über die verschlüsselte Verbindung zwischen den beiden Systemen ansprechbar.
• Zugriff auf die Programmierschnittstelle nur mit gültigem API-Schlüssel bzw. gültiger Sitzung; der freie Tarif ist durch Bot-Schutz und Ratenbegrenzung gegen automatisierten Missbrauch gesichert.

Trennungskontrolle

• Inhaltsdaten werden je Anfrage isoliert und flüchtig verarbeitet; mangels Persistenz existiert keine gemeinsame Datenhaltung, in der Daten verschiedener Kunden vermischt werden könnten.

2. Integrität

Übertragungskontrolle

• Übertragung der Inhaltsdaten ausschließlich verschlüsselt: TLS zwischen Kunde und Dienst; Ende-zu-Ende verschlüsselte Verbindung zwischen den beiden Verarbeitungssystemen des Anbieters. Unverschlüsselte Übertragung über das öffentliche Internet findet nicht statt.

Eingabekontrolle

• Anwendungs- und Zugriffprotokolle enthalten ausschließlich Zeitstempel, Größen und Laufzeiten - niemals Inhaltsdaten oder erkannte Stellen.
• Die Erkennungskomponente baut keine ausgehenden Verbindungen auf außer der Antwort an die aufrufende Dienstkomponente; auch Fehlerberichte werden von ihr nicht nach außen gesendet (seit 7. August 2026, technisch und organisatorisch festgeschrieben).
• Fehlerberichte der übrigen Komponenten werden vor dem Versand automatisiert von sämtlichen Trägern von Anfrageinhalten bereinigt (Anfragekörper, Parameter, Cookies, Variableninhalte, Protokoll-Brotkrumen); die Bereinigung ist durch automatisierte Tests abgesichert.

3. Verfügbarkeit und Belastbarkeit

• Betriebsüberwachung über aggregierte Messwerte auf festem, begrenztem Merkmalssatz; Messendpunkte sind aus dem öffentlichen Internet nicht erreichbar.
• Datensicherungen umfassen ausschließlich Konto- und Konfigurationsdaten - Inhaltsdaten sind mangels Speicherung in keiner Sicherung enthalten.
• Bei Nichtverfügbarkeit des leistungsstärkeren Verarbeitungssystems fällt der Dienst automatisch auf das Rechenzentrumssystem zurück.

4. Verfahren zur regelmäßigen Überprüfung

• Änderungen an datenschutzrelevanten Pfaden unterliegen dokumentierten Invarianten (u. a. "keine Speicherung von Inhaltsdaten", "kein Ausgang der Erkennungskomponente") und werden im Änderungsprozess gegen diese geprüft.
• Automatisierte Tests sichern die Bereinigung der Fehlerberichte und die Nicht-Protokollierung von Inhalten ab; gezielte Audits (zuletzt 5. August 2026) prüfen die Ausleitungspfade.

Anlage 2: Unterauftragsverarbeiter

| Unternehmen | Anschrift | Leistung | Bezug zu Inhaltsdaten | |---|---|---|---| | Hetzner Online GmbH | Industriestr. 25, 91710 Gunzenhausen, Deutschland | Bereitstellung der Serverinfrastruktur (Rechenzentren in Deutschland) | Betreiber der Infrastruktur, auf der ein Teil der Verarbeitung stattfindet; kein inhaltlicher Zugriff vorgesehen. Auftragsverarbeitungsvertrag mit Hetzner besteht; ISO/IEC 27001 zertifiziert. |

Weitere Dienstleister des Anbieters (E-Mail-Versand, Bot-Schutz, Fehlerprotokollierung, Anmeldung, Zahlungsabwicklung) verarbeiten keine Inhaltsdaten und sind daher keine Unterauftragsverarbeiter im Sinne dieses Vertrags; sie sind in der Datenschutzerklärung aufgeführt.