Auftragsverarbeitungsvertrag

Version: 1.4 — Stand: 2026-11-03

Dieser Auftragsverarbeitungsvertrag ("AVV") konkretisiert die Verarbeitung personenbezogener Daten durch die Seleos GmbH, Schwarzmeerstraße 42, 10319 Berlin ("Auftragsverarbeiter"), im Auftrag des Kunden ("Verantwortlicher") bei Nutzung von Doconio. Er ergänzt das jeweilige Angebot / Order Form oder die Registrierung und Buchung in der Anwendung sowie die SaaS-Vertragsbedingungen.

§ 1 Rollen und Vertragsbezug

1. Der Kunde ist Verantwortlicher im Sinne der DSGVO für die personenbezogenen Daten, die er in Doconio verarbeitet oder durch Doconio verarbeiten lässt.
2. Der Anbieter verarbeitet personenbezogene Daten als Auftragsverarbeiter nach Weisung des Kunden, soweit er personenbezogene Daten für Bereitstellung, Betrieb, Support, Sicherheit und Vertragserfüllung von Doconio verarbeitet.
3. Eigene Anbieter-Verarbeitungen, insbesondere für Vertragsverwaltung, Abrechnung, eigene Compliance-Pflichten oder Missbrauchsabwehr, erfolgen außerhalb dieses AVV in eigener Verantwortung des Anbieters, soweit rechtlich zulässig. Dazu gehört auch die datensparsame Produkt- und Adoptionsmessung ohne Kundeninhalte nach der Datenschutzinformation für die Anwendung. Kundeninhalte werden nicht zur Produktverbesserung oder zum Training von KI-Modellen verwendet.
4. Aktiviert der Kunde eine Integration mit einem von ihm gewählten Dienst, insbesondere einen KI-Client über die MCP-Schnittstelle oder den Dateiimport aus seinem Microsoft 365, gelten die dabei übermittelten oder übernommenen Daten als auf seine Weisung verarbeitet. Der Anbieter beauftragt diesen Dienst nicht und setzt ihn nicht für die Verarbeitung im Auftrag ein. Der Dienst ist daher kein Unterauftragsverarbeiter des Anbieters. Der Kunde wählt ihn aus, entscheidet über die Aktivierung und verantwortet ihn und seine Vertragsbeziehung zu dessen Anbieter. Das gilt auch, wenn der Kunde für den Dateiimport die vom Anbieter bereitgestellte Entra-Anwendung nutzt. MCP-Antworten sind auf Geschäftsdaten wie Kennungen, Namen, Titel, Status und Fristen begrenzt und können im Einzelfall personenbezogene Daten enthalten. Dazu können Namen von Lieferanten und Verträgen sowie frei vergebene Aufgabentitel gehören. Kontaktdaten, E-Mail-Adressen und Namen von Bearbeitern werden nicht übermittelt.

§ 2 Gegenstand, Dauer und Zweck der Verarbeitung

Feld	Beschreibung
Gegenstand	Bereitstellung, Betrieb, Wartung, Support und Sicherheit von Doconio als B2B-SaaS
Dauer	Für die Laufzeit des SaaS-Vertrags und anschließende Rückgabe-/Lösch- und Backup-Zeiträume
Zweck	Nutzung von Doconio durch den Kunden für Nachweismanagement, Lieferanten-Compliance, Richtlinienpflege, Vertragsverwaltung und externe Vertrauenskommunikation
Ort / Region	Azure Germany West Central (Deutschland), Dokumentspeicher zusätzlich Germany North (Deutschland), Sprachmodell der KI-Dokumentanalyse innerhalb der EU. Details im TOMs / Security Annex und in der Subprocessor-Liste

§ 3 Kategorien personenbezogener Daten

Je nach Nutzung durch den Kunden können insbesondere folgende Datenkategorien verarbeitet werden:

• Nutzer- und Administratordaten: Name, E-Mail-Adresse, Rolle, Organisationseinheit, Login-/Session-Daten.
• Kontaktdaten externer Parteien: Ansprechpartner von Lieferanten, Kunden, Partnern, Subprozessoren oder sonstigen Geschäftspartnern.
• Vertrags- und Nachweisdaten: Dokumentmetadaten, Verantwortlichkeiten, Fristen, Kommentare, Aufgaben, Freigaben, Audit- und Aktivitätsinformationen.
• Public-Flow-Daten: Evidence-Request-Antworten, Trust-Center-Zugriffe, Access Requests, NDA-Akzeptanzen, Uploads, Downloads und damit verbundene Protokolldaten.
• Technische Betriebsdaten: IP-Adressen, User-Agent, Zeitstempel, Request-/Security-Logs, Fehlerdiagnosedaten und Integrationsereignisse.
• Inhaltsdaten: Vom Kunden hochgeladene oder eingegebene Dokumente, Antworten, Beschreibungen, Nachrichten, Notizen und sonstige Freitextinhalte.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht für die Standardnutzung vorgesehen. Wenn der Kunde solche Daten dennoch in Doconio verarbeitet, bleibt er für Rechtsgrundlage, Erforderlichkeit, Konfiguration und angemessene Schutzmaßnahmen verantwortlich.

§ 4 Kategorien betroffener Personen

Je nach Nutzung durch den Kunden können insbesondere folgende betroffene Personen betroffen sein:

• Nutzer, Administratoren und Mitarbeitende des Kunden.
• Ansprechpartner bei Lieferanten, Kunden, Partnern, Subprozessoren und sonstigen externen Parteien.
• Externe Besucher oder Empfänger von Evidence Requests, Trust-Center-Freigaben oder Public-Flows.
• Personen, die in vom Kunden hochgeladenen Dokumenten, Vertragsunterlagen oder Nachweisen genannt werden.

§ 5 Weisungen des Kunden

1. Der Anbieter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, soweit keine gesetzliche Pflicht des Anbieters entgegensteht.
2. Weisungen ergeben sich aus diesem AVV, dem SaaS-Vertrag, der Produktkonfiguration, den Handlungen berechtigter Nutzer in Doconio und dokumentierten Einzelweisungen des Kunden.
3. Einzelweisungen müssen in Textform oder über dafür vorgesehene Produkt-/Supportprozesse erfolgen.
4. Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden darauf hin und darf die Umsetzung aussetzen, bis die Weisung bestätigt, geändert oder aufgehoben wurde.
5. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, können gesondert vergütungspflichtig sein, soweit dies rechtlich zulässig ist.

§ 6 Vertraulichkeit

1. Der Anbieter verpflichtet Personen, die Zugriff auf personenbezogene Daten des Kunden haben, zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
2. Zugriff erhalten nur Personen, die ihn für Bereitstellung, Betrieb, Support, Sicherheit oder Vertragserfüllung benötigen.
3. Der Anbieter schult oder informiert berechtigte Personen angemessen zu Datenschutz- und Sicherheitsanforderungen.

§ 7 Technische und organisatorische Maßnahmen

1. Der Anbieter trifft angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten.
2. Die bei Vertragsschluss geltenden Maßnahmen sind im TOMs / Security Annex in der bei Annahme ausgewiesenen Version beschrieben. Er ist Anlage dieses AVV.
3. Der Anbieter darf Maßnahmen weiterentwickeln und ersetzen, wenn das Schutzniveau insgesamt nicht wesentlich abgesenkt wird.
4. Wesentliche Änderungen mit relevantem Einfluss auf das Schutzniveau werden dem Kunden direkt in Textform mitgeteilt.

§ 8 Unterauftragsverarbeiter

1. Der Kunde genehmigt den Einsatz der in der Subprocessor-Liste genannten Unterauftragsverarbeiter.
2. Der Anbieter schließt mit Unterauftragsverarbeitern Vereinbarungen, die ein angemessenes Datenschutzniveau und die für die jeweilige Verarbeitung erforderlichen Pflichten sicherstellen.
3. Der Anbieter informiert den Kunden über beabsichtigte Änderungen bei Unterauftragsverarbeitern in angemessener Weise.
4. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Die Parteien werden dann eine angemessene Lösung suchen. Ist keine zumutbare Lösung möglich, können Sonderkündigungsrechte oder Leistungseinschränkungen nach den vertraglichen Regelungen entstehen.
5. Der Anbieter bleibt gegenüber dem Kunden für die Erfüllung der Pflichten seiner Unterauftragsverarbeiter verantwortlich.

§ 9 Drittlandübermittlungen

1. Verarbeitungen außerhalb der EU/des EWR erfolgen nur, wenn die datenschutzrechtlichen Voraussetzungen erfüllt sind.
2. Soweit erforderlich, setzt der Anbieter geeignete Transfermechanismen ein, insbesondere Angemessenheitsbeschlüsse, EU-Standardvertragsklauseln oder andere zulässige Garantien.
3. Details zu Standorten und Transfermechanismen werden in der Subprocessor-Liste dokumentiert.

§ 10 Unterstützung des Kunden

Der Anbieter unterstützt den Kunden im Rahmen des vereinbarten Leistungsumfangs und unter Berücksichtigung der Art der Verarbeitung angemessen bei:

• Anfragen betroffener Personen, soweit der Kunde diese nicht selbst über Doconio beantworten kann.
• Erfüllung von Informations-, Auskunfts-, Berichtigungs-, Lösch-, Einschränkungs-, Datenübertragbarkeits- und Widerspruchspflichten.
• Bewertung und Dokumentation technischer und organisatorischer Maßnahmen.
• Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden, soweit Doconio betroffen ist.
• Untersuchung und Behandlung von Datenschutz- oder Sicherheitsvorfällen.

Aufwände außerhalb des geschuldeten Standardbetriebs können gesondert vergütungspflichtig sein, soweit rechtlich zulässig.

§ 11 Meldung von Datenschutzverletzungen

1. Der Anbieter informiert den Kunden unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Kundendaten betrifft. Eine Erstmeldung kann vorläufig sein und wird nicht allein deshalb verzögert, weil noch nicht alle Informationen vorliegen.
2. Die Meldung enthält, soweit zum Meldezeitpunkt verfügbar, Art des Vorfalls, betroffene Systeme oder Datenkategorien, bekannte oder wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen und Kontakt für Rückfragen.
3. Noch nicht verfügbare Informationen werden ohne unangemessene Verzögerung in Folgeupdates nachgereicht. Der Anbieter informiert den Kunden über wesentliche neue Erkenntnisse und unterstützt ihn angemessen bei dessen Bewertung und etwaigen Meldepflichten.
4. Eine Meldung des Anbieters ist kein Anerkenntnis einer Rechtspflichtverletzung.

§ 12 Löschung und Rückgabe

1. Nach Abschluss der Auftragsverarbeitung löscht der Anbieter nach Wahl des Kunden alle personenbezogenen Kundendaten oder gibt sie dem Kunden zurück und löscht vorhandene Kopien. Die Wahl kann mit einem Anbieterwechsel oder einer Kündigung verbunden werden. Gesetzliche Pflichten zur weiteren Speicherung bleiben unberührt.
2. Wählt der Kunde die Rückgabe, gelten für Wechsel, Übergang und Abruf ergänzend die in den SaaS-Vertragsbedingungen und im einbezogenen Register „Anbieterwechsel und Datenexport“ bestimmten Verfahren. Die aktuelle deutsche Registerfassung ist unter https://doconio.com/de/legal/switching-and-export/ abrufbar. Nach Ende des Übergangszeitraums bleibt die Rückgabe für mindestens 30 Kalendertage über einen auf lesenden Zugriff sowie die verfügbaren API-, Export- und Downloadfunktionen möglich. Offene Zahlungen blockieren die geschuldete Rückgabe oder Löschung nicht.
3. Primärdaten werden nach erfolgreicher Rückgabe und Ablauf des Abrufzeitraums gelöscht, sofern der Kunde nicht eine frühere Löschung verlangt. Wählt der Kunde unmittelbar die Löschung, wird sie ohne unangemessene Verzögerung nach Weisung umgesetzt.
4. Soweit Unionsrecht oder deutsches Recht eine weitere Speicherung verlangt, werden die betroffenen Daten für andere Verarbeitungszwecke gesperrt und nach Ablauf der gesetzlichen Frist gelöscht. Backup- und Logdaten werden nach den in den TOMs bzw. Betriebsunterlagen beschriebenen Fristen gelöscht oder überschrieben.
5. Auf Anfrage bestätigt der Anbieter die abgeschlossene Löschung in angemessener Form.

§ 13 Nachweise und Audits

1. Der Anbieter stellt dem Kunden angemessene Informationen zur Verfügung, die für den Nachweis der Einhaltung dieses AVV erforderlich sind, insbesondere TOMs, Subprocessor-Liste, Sicherheitsinformationen und geeignete Berichte oder Selbstauskünfte.
2. Audits vor Ort erfolgen nur, soweit die bereitgestellten Nachweise nicht ausreichen, ein berechtigter Anlass besteht und das Audit den Betrieb, die Sicherheit und Rechte anderer Kunden nicht unverhältnismäßig beeinträchtigt.
3. Audits müssen mit angemessener Frist angekündigt, auf den erforderlichen Umfang beschränkt und durch fachkundige, zur Vertraulichkeit verpflichtete Personen durchgeführt werden.
4. Betriebsgeheimnisse, Sicherheitsdetails, personenbezogene Daten anderer Kunden und Informationen, die die Sicherheit von Doconio gefährden könnten, müssen geschützt bleiben.
5. Zusätzliche Auditaufwände können gesondert vergütungspflichtig sein, soweit rechtlich zulässig.

§ 14 Informationspflichten und behördliche Anfragen

1. Der Anbieter informiert den Kunden, soweit rechtlich zulässig, über verbindliche behördliche oder gerichtliche Anfragen, die personenbezogene Kundendaten betreffen.
2. Ist der Anbieter gesetzlich zur Offenlegung verpflichtet, wird er nur die jeweils erforderlichen Daten offenlegen und, soweit zulässig, auf eine Beschränkung der Offenlegung hinwirken.

§ 15 Haftung und Schlussbestimmungen

1. Haftung und Haftungsbeschränkungen richten sich nach dem SaaS-Vertrag, soweit die DSGVO keine zwingenden abweichenden Regelungen enthält.
2. Änderungen dieses AVV bedürfen mindestens der Textform, soweit nicht gesetzlich eine strengere Form erforderlich ist.
3. Sollte eine Regelung dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Regelungen unberührt.