Auftragsverarbeitungsvertrag

Vertrag zur Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO

Stand: 16.06.2026 · Version 1.1 (Entwurf)

zwischen dem Kunden (nachfolgend „Verantwortlicher“) und der Sustapp GmbH, Anton-Holtz-Straße 49, D-40667 Meerbusch (nachfolgend „Auftragsverarbeiter“).

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung der Plattform Weppspert.

(2) Die Dauer entspricht der Laufzeit des zugrunde liegenden Hauptvertrags (Nutzungsvertrag/AGB).

§ 2 Art und Zweck der Verarbeitung

Speicherung, Organisation, Auswertung und Bereitstellung der vom Verantwortlichen eingegebenen Daten zum Zweck der Fahrzeugbewertung, Schadenabwicklung, Gutachtenerstellung sowie der KI-gestützten Unterstützung. Die KI-gestützte Unterstützung umfasst auch die Auswertung von Bilddaten (Schadenfotos, Kalkulations-Screenshots, Zulassungsbescheinigung) durch den Unterauftragsverarbeiter Mistral AI (siehe § 7).

§ 3 Art der Daten

• Stammdaten (Namen, Anschriften, Kontaktdaten)
• Vertrags- und Falldaten (Fahrzeug-, Unfall- und Schadendaten)
• Finanzdaten (z.B. Bankverbindung/IBAN zur Auszahlung)
• Inhalte hochgeladener Dokumente
• Bilddaten (Fotos und Screenshots) mit ggf. darin sichtbaren personenbezogenen Daten (z.B. amtliche Kennzeichen, abgebildete Personen, Namen/Anschriften, Fahrzeug-Identifizierungsnummer, Versicherungs- und Schadennummern)
• Kommunikations- und Nutzungsdaten

§ 4 Kategorien betroffener Personen

• Mandanten/Auftraggeber des Verantwortlichen
• Geschädigte, Unfallbeteiligte, Zeugen
• Mitarbeitende des Verantwortlichen
• Sonstige am Vorgang beteiligte Dritte

§ 5 Weisungsrecht

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern keine gesetzliche Verpflichtung besteht.

§ 6 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter ergreift geeignete technische und organisatorische Maßnahmen, u.a.:

• Verschlüsselung der Datenübertragung (TLS)
• Zugriffs- und Berechtigungskonzept, Authentifizierung
• Pseudonymisierung/Anonymisierung personenbezogener Daten vor der textbasierten Verarbeitung durch externe KI-Dienste (automatisierter PII-Filter). Bei der bildbasierten KI-Verarbeitung (Fotos/Screenshots/OCR) ist eine Pseudonymisierung des Bildinhalts technisch nicht möglich; die Übermittlung erfolgt an einen ausschließlich in der EU verarbeitenden Unterauftragsverarbeiter (Mistral AI, Frankreich)
• Protokollierung, Backups, Wiederherstellbarkeit
• [PLATZHALTER: vollständige Auflistung der TOMs als Anlage – anwaltlich/IT-seitig zu konkretisieren]

§ 7 Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Mistral AI SAS, Frankreich – KI-/LLM-Verarbeitung, ausschließlich in der EU. Keine Nutzung der API-Inhalte zum Modelltraining (Anbieterangabe); ohne „Zero Data Retention“ Vorhaltung der Inhalte bis zu 30 Tage zur Missbrauchserkennung. Beim Text-Assistenten werden Inhalte zuvor pseudonymisiert; bei der Bild-/Foto-KI und der Dokument-Texterkennung werden Bilddateien (Schadenfotos, Kalkulations-Screenshots, Zulassungsbescheinigung) im Original übermittelt, da eine Pseudonymisierung des Bildinhalts technisch nicht möglich ist
• Stripe Payments Europe, Ltd., Irland – Zahlungsabwicklung
• Hetzner Online GmbH, Nürnberg, Deutschland – Hosting/Infrastruktur
• Brevo GmbH, Berlin, Deutschland – Versand von Service-/Transaktions-E-Mails
• HighLevel Inc. („GoHighLevel“), USA – Marketing-/Funnel-/CRM-Dienst; bei aktivierter Integration Übermittlung von Kontaktdaten (Vor-/Nachname, E-Mail, Telefon). Drittlandtransfer USA – Absicherung siehe § 8.
• Google Ireland Ltd. / Google LLC (Google Maps Platform), Irland/USA – Geocoding und Distanzberechnung von Adressdaten. Drittlandtransfer USA – Absicherung siehe § 8.

Hinweis: Der lokal betriebene PII-Filter (GLiNER) sowie die Datenbank (PostgreSQL/pgvector) werden in der Infrastruktur des Auftragsverarbeiters betrieben. Über den Wechsel/die Hinzufügung von Unterauftragsverarbeitern wird der Verantwortliche vorab informiert und kann widersprechen.

§ 8 Drittlandtransfer

Eine Übermittlung in ein Drittland (USA) erfolgt an HighLevel Inc. („GoHighLevel“) sowie an Google (Google Maps Platform). Diese erfolgt nur auf Grundlage geeigneter Garantien gemäß Art. 44 ff. DSGVO – insbesondere des EU-US Data Privacy Framework (sofern der jeweilige Empfänger zertifiziert ist) und/oder EU-Standardvertragsklauseln (SCC). [PLATZHALTER: DPF-Zertifizierungsstatus je Empfänger sowie SCC-Abschluss anwaltlich verifizieren.]

§ 9 Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Wahrung der Betroffenenrechte (Art. 12–23 DSGVO) sowie bei den Pflichten nach Art. 32–36 DSGVO, insbesondere bei der Meldung von Datenschutzverletzungen.

§ 10 Löschung und Rückgabe

Nach Beendigung des Vertrags werden die Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

§ 11 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen die zur Einhaltung des Art. 28 DSGVO erforderlichen Informationen bereit und ermöglicht Überprüfungen in angemessenem Umfang.

[PLATZHALTER: Dieser AVV ist anwaltlich final zu prüfen und um eine vollständige TOM-Anlage zu ergänzen.]