---
title: "Auftragsverarbeitungsvertrag (AVV)"
stand: "August 2026"
version: "2026-08"
---

**Datenschutzrechtliche Vereinbarung über die Auftragsverarbeitung gemäß Art. 28 DS-GVO**

**Präambel**

Diese Vereinbarung konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien im Umgang mit Auftraggeberdaten (bzw. Daten eines Verantwortlichen iSd. Art. 4 Nr. 7 DS-GVO, für welchen wiederum der Auftraggeber Auftragsverarbeiter ist) durch den Auftragnehmer zur Durchführung des Hauptvertrages. Dies gilt insbesondere im Hinblick auf den zu gewährleistenden Schutz bei der Verarbeitung personenbezogener Daten im Sinne von Art. 28 Datenschutzgrundverordnung (DS-GVO) (im Folgenden: „Auftragsverarbeitung“) durch den Auftragnehmer oder von ihm unterbeauftragten Dritten.

# 1. Gegenstand, Dauer und Spezifizierung der Auftragsverarbeitung

1.1 Der Gegenstand der Auftragsverarbeitung ergibt sich aus dem Hauptvertrag. Der Auftragnehmer erhebt, erfasst, organisiert, ordnet, speichert, passt an, verändert, liest aus, fragt ab, verwendet, übermittelt, verbreitet, stellt bereit, gleicht ab und verarbeitet sowie verknüpft, schränkt ein, löscht oder vernichtet hierbei die vom Auftraggeber erhaltenen Daten gemäß dem Hauptvertrag. Im Einzelnen sind insbesondere die folgenden Daten Bestandteil der Datenverarbeitung:

| Kategorien betroffener Personen | Art der Daten | Zweck der Datenverarbeitung |
| --- | --- | --- |
| Mitarbeiterdaten | Identifikationsdaten<br>Vor- und Nachname/Titel<br>E-Mail Adresse<br>SSO (Single-Sign-On) Kennung<br>Personaldaten<br>Mitarbeiterorganisationsinformationen (Telefon, Mobil, Fax, E-Mail, Funktion)<br>Interne Sicherheitsdaten (Gruppen ID, KID, Zertifikate, Zugriffsrechte)<br>Technische Daten (Rollen, Rechte, Authentifizierung)<br>Kompetenzen (nur wenn Enneo ein Skill-based-routing durchführt)<br>Individuelle Daten<br>Korrespondenzen mit Kunden, Mitarbeitern und/oder Marktpartnern<br>Verkehrsdaten, insb. Aktionen mit Abrechnungs- und CRM-Systemen<br>Ticketbearbeitungsdaten, incl. verfasste Texte, Bearbeitungszeiten und Aktionen<br>Protokolldaten (Log-in/Log-off/Technische Protokolle)<br>Sprachaufzeichnungen (soweit Telefonie genutzt)¹<br>Netzwerkdaten (HW-Verbindungsdaten, IP Konfigurationsinformation, Netzwerkidentifikationsinformationen) | Identifikation und Authentifizierung (Login)<br>Qualitätssicherung<br>Bestimmung der Zugriffsrechte<br>Protokollierung von Vorgängen |
| Kunden- und Interessentendaten | Alle Daten, welche im vom Auftraggeber verwendeten Abrechnungssystem (z.B. SAP) und/oder anderen vom Auftraggeber angebundenen IT-Systemen hinterlegt sind. Siehe dazu die datenschutzrechtliche Vereinbarung über die Auftragsverarbeitung mit den entsprechenden Dienstanbietern.<br>Enthalten sind insb. die folgenden Daten:<br>Identifikationsdaten Nur wenn vom Kunden an Enneo übertragen<br>Vor- und Nachname/Titel<br>Geburtsdatum/Geburtsort<br>Straße/Hausnummer<br>Wohnort/Postleitzahl<br>Land<br>Telefon/Handy/Fax<br>E-Mail Adresse<br>Zählernummer<br>Ansprechpartner<br>Vertragsdaten Nur wenn vom Kunden an Enneo übertragen<br>Kundennummer<br>Vertragsnummer<br>Bank/Kreditkarten Informationen, SEPA-Mandat<br>Zahlungsbedingungen/Lieferkosten/Rechnungsdaten<br>Mahndaten (Mahngrund)<br>Ablesewerte/Verbrauchsdaten<br>Korrespondenz/Schriftverkehr<br>Weitere Informationen, welche der Auftraggeber an Enneo von sich aus überträgt<br>Individuelle Daten<br>Protokolldaten (Log-in/Log-off/Technische Protokolle)<br>Verkehrsdaten Netzwerk<br>Sprachaufzeichnungen (soweit Telefonanlage angebunden)¹<br>Netzwerkdaten (HW-Verbindungsdaten, IP Konfigurationsinformation, Netzwerkidentifikationsinformationen) | Automatisierte Erkennung und Lösung von Kundenanliegen<br>Automatisierte Erkennung der Kundenzufriedenheit<br>Erstellung von Statistiken<br>Qualitätssicherung |
| Externe Servicedienstleister, welche das System nutzen | Identische wie für Mitarbeiterdaten | Identische wie für Mitarbeiterdaten |

¹ wenn personenbeziehbar

1.2 Der Auftragsverarbeiter löscht personenbezogene Daten nach Ablauf der vom Verantwortlichen festgelegten Speicherdauer. Die Speicherdauer kann vom Verantwortlichen im Rahmen der bereitgestellten Funktionen der Software individuell konfiguriert werden. Sofern der Verantwortliche keine eigene Löschfrist festlegt, gilt eine Standardlöschfrist von 4 Jahren ab dem letzten Aktivitätsdatum des jeweiligen Datensatzes. Zugriffsprotokolle und Netzwerkdaten, incl. IP-Adressen, werden stets nach 30 Tagen gelöscht.

1.3 Nach Beendigung des Auftragsverhältnisses werden sämtliche personenbezogenen Daten nach Wahl des Verantwortlichen gelöscht, sofern keine gesetzliche Verpflichtung zur weiteren Speicherung besteht.

# 2. Verantwortlichkeit und Umfang der Weisungsbefugnis

2.1 Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers. Der Auftraggeber bzw. der Verantwortliche, für den der Auftraggeber selbst als Auftragsverarbeiter tätig wird, bleibt auch bei der Auftragsverarbeitung weiterhin allein Verantwortlicher im Sinne des Art. 4 Nr. 7 DS-GVO.

2.2 Der Auftraggeber erteilt dem Auftragnehmer Weisungen über die Art, den Umfang und die Verfahren der Datenverarbeitung sowie die hierbei zu treffenden Datensicherheitsmaßnahmen. Geht eine Weisung über das zu leistende Mindestschutzniveau technischer und organisatorischer Schutzmaßnahmen hinaus, so hat der Auftragnehmer den Auftraggeber auf etwaige entstehende Mehraufwände hinzuweisen, sowie entstehende, angemessene, marktübliche Kosten zu beziffern. Hält der Auftraggeber danach an der Weisung bzgl. der zu treffenden Schutzmaßnahme fest, erstattet er dem Auftragnehmer die hierfür entstehenden Kosten. Die Verpflichtung des Auftragnehmers, seine eigenen technischen und organisatorischen Maßnahmen in regelmäßigen Abständen selbständig zu überprüfen und ggf. für den Auftraggeber kostenneutral an den jeweiligen Stand der Technik oder in Folge bekannt gewordener Bedrohungsszenarien anzupassen, bleibt von der vorstehenden Regelung unberührt. Der Umfang der weisungsgebundenen Tätigkeiten ergibt sich aus dem Vertrag. Der Auftragnehmer ist ausschließlich berechtigt, die Verarbeitung der personenbezogenen Daten im Rahmen der Weisungen des Auftraggebers vorzunehmen.

2.3 In jedem Fall wird der Zugriff auf Datenbestände und das Recht zur Auftragsverarbeitung nur soweit und in dem Umfang eingeräumt, als er zur ordnungsgemäßen Erfüllung der vertraglichen Pflichten erforderlich ist. Insbesondere werden Kopien oder Duplikate ohne Wissen und Zustimmung des Auftraggebers nicht erstellt. Dies gilt nicht für bei der Auftragsverarbeitung automatisch anfallende Protokolldateien oder Zwischenspeicherungen, sofern diese anschließend unverzüglich und automatisiert wieder gelöscht und nicht zu anderen Zwecken als der Durchführung der Auftragsverarbeitung verarbeitet oder genutzt werden.

2.4 Die Weisungen des Auftraggebers sind in Schrift- oder Textform (z.B. elektronisches Format) zu erteilen. Bei Bedarf kann der Auftraggeber einzelne Weisungen auch mündlich erteilen und hat diese unverzüglich in Schrift- oder Textform zu bestätigen.

2.5 Ist der Auftragnehmer der Ansicht, dass eine Weisung des Auftraggebers gegen die gesetzlichen Bestimmungen über den Datenschutz verstößt, hat er den Auftraggeber unverzüglich schriftlich oder in Textform hierauf hinzuweisen; die Verpflichtung zur Umsetzung der Weisung durch den Auftragnehmer bleibt hiervon unberührt.

2.6 Ausgenommen von der Weisungsgebundenheit sind Fälle im Sinne des Art. 28 Abs. 3 lit. a DS-GVO (Ausnahme von der Weisungsgebundenheit). Hierüber hat der Auftragnehmer den Auftraggeber vor der Datenverarbeitung zu unterrichten.

2.7 Änderungen des Gegenstands, des Umfangs, der Art, der Dauer, des Zwecks oder des Kreises der Betroffenen bedürfen einer entsprechenden Vereinbarung in Schrift- oder Textform zwischen dem Auftragnehmer und dem Auftraggeber.

# 3. Technische und organisatorische Maßnahmen

3.1 Der Auftragnehmer verpflichtet sich, seine innerbetriebliche Organisation entsprechend dem Auftrag so auszugestalten, dass sie den jeweils anwendbaren Datenschutzanforderungen gerecht wird. Er gewährleistet ein angemessenes Schutzniveau im Zusammenhang mit der Datenverarbeitung auf Dauer durch angemessene technische und organisatorische Maßnahmen sicher zu stellen. Hierbei sind der Stand der Technik, die Implementierungskosten, die Art, der Umfang, die Umstände und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DS-GVO zu berücksichtigen.

3.2 Für die Einhaltung der vereinbarten technischen und organisatorischen Maßnahmen (im Folgenden: „TOM“) wird auf Anlage TOM verwiesen. Die Regelung in dieser Ziffer gilt in Bezug auf TOM hinsichtlich der von enneo selbst und durch seine Subunternehmer (mit Ausnahme der Hyperscaler Amazon Web Services, Microsoft Azure und Google Cloud) vorgenommenen Datenverarbeitungstätigkeiten im Auftrag des Auftraggebers in Bezug auf personenbezogene Daten, die aus der Sphäre des Auftraggebers stammen. In Bezug auf die Hyperscaler AWS, Microsoft Azure und Google Cloud gelten ausschließlich die von diesen im jeweiligen Vertrag mit enneo vereinbarten TOM.

3.3 Auf Grund des technischen Fortschritts sowie Entwicklungen in der Gesetzgebung kann sich eine Notwendigkeit zur Anpassung der getroffenen TOM an den technischen Fortschritt und die Entwicklungen in der Gesetzgebung ergeben. Der Auftragnehmer implementiert ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der TOM, um so den Schutz der Rechte der Betroffenen zu gewährleisten.

3.4 Die Kosten der Anpassung der TOM trägt der Auftragnehmer. Sofern diese Kosten unter Berücksichtigung der Bestimmungen dieser Vereinbarung und das Interesse des Auftraggebers an der Einhaltung der Pflichten durch den Auftragnehmer zu einer unangemessenen wirtschaftlichen Benachteiligung für den Auftragnehmer führen und der Auftragnehmer diese Kosten gegenüber dem Auftraggeber entsprechend nachweist, werden die Parteien sich in gemeinsamen Verhandlungen bemühen, eine gütliche Einigung über die Kostenverteilung zu finden.

# 4. Berichtigung, Einschränkung, Löschung und Rückgabe von personenbezogenen Daten

4.1 Der Auftragnehmer darf die Daten des Auftraggebers bzw. des Verantwortlichen, für den der Auftraggeber selbst als Auftragsverarbeiter tätig wird, nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Auftraggebers bzw. des jeweils Verantwortlichen berichtigen, löschen oder deren Verarbeitung einschränken.

4.2 Die Umsetzung einer konkreten Löschanforderung, die Einschränkung der Verarbeitung, das Recht auf Vergessenwerden, die Berichtigung und die Datenportabilität sind nach dokumentierter Weisung des Auftraggebers unmittelbar durch den Auftragnehmer zu gewährleisten. Der Auftragnehmer gewährleistet die Löschung anhand der in den Ziffern 1.2 und 1.3 festgelegten Löschregeln und -fristen (einschließlich der Behandlung von Backups gemäß Ziffer 4.3), die den gesetzlichen Anforderungen der DS-GVO und etwaiger nationaler Umsetzungsgesetze zu genügen haben; abweichende oder weitergehende Löschanforderungen stimmt der Auftragnehmer mit dem Auftraggeber bzw. mit dem jeweiligen Verantwortlichen (für den der Auftraggeber selbst als Auftragsverarbeiter tätig ist) ab.

4.3 Der Auftragnehmer hat nach Weisung des Auftraggebers bzw. den Löschregeln gemäß den Ziffern 1.2 und 1.3 sowie nach Beendigung der Auftragsverarbeitung sämtliche in seinen Besitz gelangten Unterlagen sowie personenbezogene Datenbestände, die im Kontext mit dem Auftragsverhältnis stehen, dem Auftraggeber zu übergeben oder datenschutzgerecht zu vernichten. Gleiches gilt für Test- und Ausschussmaterial. Nach Übergabe der personenbezogenen Daten an den Auftraggeber sind die im vorhergehenden Satz genannten Daten sowie etwaige Kopien oder Duplikate der Daten beim Auftragnehmer von diesem unverzüglich datenschutzgerecht zu vernichten. Backups werden hierbei nicht selektiv verändert; bereits gelöschte Daten, die im Rahmen einer Notfallwiederherstellung aus einem Backup wiederhergestellt werden, werden nach der Wiederherstellung erneut gelöscht, spätestens jedoch mit Ablauf der jeweiligen Backup-Aufbewahrungsfrist gemäß Anlage TOM. Die Erfüllung der vorgenannten Verpflichtungen ist dem Auftraggeber nach Aufforderung in Schrift- oder Textform zu bestätigen.

4.4 Die Parteien werden gesetzliche Aufbewahrungspflichten beachten.

4.5 Dokumentationen, die dazu dienen, die auftrags- und ordnungsgemäße Auftragsverarbeitung nachzuweisen, sind über das Ende des Vertrages hinaus vom Auftragnehmer entsprechend der jeweils geltenden Aufbewahrungsfristen aufzubewahren bzw. dem Auftraggeber zu übergeben.

# 5. Anbieterwechsel und Datenportierung (EU Data Act)

5.1 Die Rechte des Auftraggebers und die Pflichten des Auftragnehmers im Zusammenhang mit dem Wechsel zu einem Datenverarbeitungsdienst eines anderen Anbieters, der Portierung zu einer IKT-Infrastruktur des Auftraggebers sowie der Löschung exportierbarer Daten und digitaler Vermögenswerte nach Kapitel VI der Verordnung (EU) 2023/2854 (Data Act) sind in der Anlage Data Switching geregelt. Die Anlage Data Switching ist Bestandteil des Hauptvertrages.

5.2 Die Anlage Data Switching gilt für sämtliche exportierbaren Daten und digitalen Vermögenswerte des Auftraggebers, unabhängig davon, ob es sich um personenbezogene Daten handelt. Für die Verarbeitung personenbezogener Daten gelten die Regelungen dieser Vereinbarung. Soweit personenbezogene Daten im Rahmen eines Wechselprozesses nach der Anlage Data Switching exportiert, übertragen oder gelöscht werden, erfolgt dies auf Weisung des Auftraggebers im Sinne dieser Vereinbarung.

5.3 Soweit sich die Regelungen dieser Vereinbarung zur Übergabe, Rückgabe und Löschung von Daten und die Regelungen der Anlage Data Switching widersprechen, gehen für die Durchführung eines Wechselprozesses die Regelungen der Anlage Data Switching vor. Zwingende datenschutzrechtliche Anforderungen sowie gesetzliche Aufbewahrungspflichten bleiben unberührt.

# 6. Weitere Pflichten des Auftragnehmers

6.1 Sofern der Auftragnehmer nach Art. 37 DS-GVO bzw. der jeweils einschlägigen nationalen Sonderregelung zur Bestellung eines Datenschutzbeauftragten verpflichtet ist, bestellt er diesen spätestens vor Beginn der Auftragsverarbeitung schriftlich und erhält die Bestellung bis zur Beendigung aller vom Auftraggeber erteilten Aufträge aufrecht bzw. bestellt bei Ausfall unverzüglich einen neuen Datenschutzbeauftragten. Unabhängig von einer Bestellpflicht nach Art. 37 DS-GVO unterhält der Auftragnehmer für im Rahmen des Vertrages anfallende Datenschutzfragen die Funktions-Kontaktstelle datenschutz@enneo.ai.

6.2 Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten zur Sicherheit personenbezogener Daten, zu Meldepflichten und Benachrichtigungspflichten gegenüber der betroffenen Person bei Datenschutzverletzungen, Datenschutz-Folgeabschätzungen und vorherigen Konsultationen.

6.3 Die Verarbeitung von Daten in Privatwohnungen (Tele- bzw. Heimarbeit des Auftragnehmers) ist gestattet. Soweit die Daten in einer Privatwohnung verarbeitet werden, ist der Zugang zur Wohnung des Beschäftigten für Kontrollzwecke des Arbeitgebers vertraglich sichergestellt. Die Maßnahmen nach Art. 32 DS-GVO sind auch in diesem Fall sichergestellt.

6.4 Werden von einem Betroffenen Rechte bei dem Auftraggeber, insbesondere das Auskunftsrecht, geltend gemacht, hat der Auftragnehmer alle zur Erfüllung der gesetzlichen Verpflichtungen gegenüber dem Betroffenen erforderlichen Handlungen nach Maßgabe des Auftrags und der ggf. vom Auftraggeber erteilten Weisungen unverzüglich vorzunehmen. Sind Festlegungen zum Umgang mit beim Auftragnehmer geltend gemachten Betroffenenrechten weder durch den Auftrag noch durch eine Weisung getroffen, wird der Auftragnehmer die Vorgehensweise mit dem Auftraggeber abstimmen. Wendet sich der Betroffene zur Geltendmachung seiner Rechte unmittelbar an den Auftragnehmer, wird der Auftragnehmer die betroffene Person an den Auftraggeber verweisen, sofern eine Zuordnung an den Auftraggeber nach den Angaben des Betroffenen möglich ist. Der Auftragnehmer wird in diesem Fall den Antrag unverzüglich an den Auftraggeber weiterleiten.

6.5 Der Auftragnehmer ist verpflichtet, sicherzustellen, dass er die Weisungen des Auftraggebers an alle Mitarbeiter weitergibt, die im Zusammenhang mit der Erfüllung der vertraglichen Pflichten mit dem Auftragnehmer Zugang zu den personenbezogenen Daten haben. Darüber hinaus ist der Auftragnehmer verpflichtet, diesen Mitarbeitern – auch für die Zeit nach Beendigung ihrer Tätigkeit – zu untersagen, personenbezogene Daten entgegen der Weisung des Auftraggebers oder zu einem anderen als dem zur Erfüllung der vertraglichen Pflichten gegenüber dem Auftraggeber gehörenden Zweck zu verarbeiten oder zu nutzen. Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

6.6 Wenn dem Auftragnehmer eine Verletzung des Schutzes personenbezogener Daten bekannt wird, unterrichtet er den Auftraggeber unverzüglich darüber. Gleiches gilt, wenn der Auftragnehmer oder von ihm eingesetzte Personen gegen Vorschriften zum Schutz personenbezogener Daten oder dieser Vereinbarung verstoßen oder ein nicht unbegründeter Verdacht darüber vorliegt. Der Auftragnehmer trifft die erforderlichen Maßnahmen zur Sicherung der Daten und Minderung möglicher nachteiliger Folgen für die betroffenen Personen und stimmt sich hierzu unverzüglich mit dem Auftraggeber ab. Der Auftragnehmer unterstützt den Auftraggeber in erforderlichen Umfang, damit der Auftraggeber seine Pflicht nach Art. 33 Abs. 1 DS-GVO (Meldepflicht innerhalb von 72 Stunden) nachkommen kann. Die Meldung ist an die vom Auftraggeber benannte Kontaktstelle zu richten; Meldungen an den Auftragnehmer sind an datenschutz@enneo.ai zu richten.

6.7 Die Meldung nach Ziffer 6.6 hat zumindest folgende Informationen zu enthalten:

- eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, die soweit möglich Angaben zu den Kategorien und der ungefähren Anzahl der betroffenen Personen, zu den betroffenen Kategorien personenbezogener Daten und zu der ungefähren Anzahl der betroffenen personenbezogenen Datensätze zu enthalten hat,
- eine Beschreibung der wahrscheinlichen Folgen der Verletzung und
- eine Beschreibung der von dem Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behandlung der Verletzung und der getroffenen Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

6.8 Sollten die Sicherheit und Vertraulichkeit der personenbezogenen Daten beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren. Der Auftragnehmer wird alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber informieren, dass die Hoheit an den Daten bei dem Auftraggeber liegt.

# 7. Unterauftragsverhältnisse (weitere Auftragsverarbeiter)

7.1 Der Auftragnehmer beschäftigt folgende weitere Auftragsverarbeiter:

| Auftragsverarbeiter | Anschrift | Zweck |
| --- | --- | --- |
| aixit GmbH | Rebstöcker Straße 55<br>60326 Frankfurt am Main | Datenverarbeitung auf dedizierten und/oder virtuellen Servern und anderen infrastrukturnahen Diensten |
| Hetzner Online GmbH | Industriestr. 25<br>91710 Gunzenhausen | Datenverarbeitung auf dedizierten und/oder virtuellen Servern und anderen infrastrukturnahen Diensten |
| Microsoft Ireland Operations Limited | One Microsoft Place, Dublin, D18 P521, Irland | Datenverarbeitung auf dedizierten und/oder virtuellen Servern und anderen infrastrukturnahen Diensten |
| Google Cloud EMEA Limited | 70 Sir John Rogerson's Quay<br>Dublin 2, Irland | Datenverarbeitung auf dedizierten und/oder virtuellen Servern und anderen infrastrukturnahen Diensten |
| Microsoft Ireland Operations Limited | One Microsoft Place, Dublin, D18 P521, Irland | Datenverarbeitung mittels künstlicher Intelligenz (u. a. OpenAI-Modelle, Azure Document Intelligence). Die Speicherung der Daten oder die Überlassung für Trainingszwecke ist explizit ausgeschlossen. |
| Amazon Web Services EMEA SARL | 38 Avenue John F. Kennedy L-1855 Luxembourg | Datenverarbeitung mittels künstlicher Intelligenz (Amazon Bedrock: Anthropic-Claude- und Amazon-Nova-Modelle). Die Speicherung der Daten oder die Überlassung für Trainingszwecke ist explizit ausgeschlossen. |
| Google Cloud EMEA Limited | 70 Sir John Rogerson's Quay<br>Dublin 2, Irland | Datenverarbeitung mittels künstlicher Intelligenz (Gemini-Modelle). Die Speicherung der Daten oder die Überlassung für Trainingszwecke ist explizit ausgeschlossen. |
| Mistral AI SAS | 15 rue des Halles 75001 Paris, Frankreich | Datenverarbeitung mittels künstlicher Intelligenz. Die Speicherung der Daten oder die Überlassung für Trainingszwecke ist explizit ausgeschlossen. |
| Nebius B.V. | Schiphol Boulevard 165<br>1118 BG Schiphol, Niederlande | Datenverarbeitung mittels künstlicher Intelligenz. Die Speicherung der Daten oder die Überlassung für Trainingszwecke ist explizit ausgeschlossen. |
| Media Trooper GmbH | Am Güterbahnhof 4<br>65510 Idstein, Deutschland | Datenverarbeitung mittels künstlicher Intelligenz. Die Speicherung der Daten oder die Überlassung für Trainingszwecke ist explizit ausgeschlossen. |

Nur wenn der Auftraggeber nach vorheriger schriftlicher Freigabe die Nutzung bestimmter KI-Modelle wünscht:

| Auftragsverarbeiter | Anschrift | Zweck |
| --- | --- | --- |
| OpenAI, L.L.C. | 3180 18th St, San Francisco, CA 94110, USA | Datenverarbeitung mittels künstlicher Intelligenz. Die Speicherung der Daten oder die Überlassung für Trainingszwecke ist explizit ausgeschlossen. |
| Cohere Inc. | 171 John Street, Suite 200, Toronto, ON M5T 1X3, Canada | Datenverarbeitung mittels künstlicher Intelligenz. Die Speicherung der Daten oder die Überlassung für Trainingszwecke ist explizit ausgeschlossen. |
| Groq, Inc. | 301 Castro St., Suite 200 Mountain View, CA 94041, USA | Datenverarbeitung mittels künstlicher Intelligenz. Die Speicherung der Daten oder die Überlassung für Trainingszwecke ist explizit ausgeschlossen. |
| Eleven Labs Poland sp. z o.o. | Lipska 27/22 Street, 03-908<br>Warsaw, Poland | Datenverarbeitung mittels künstlicher Intelligenz. Die Speicherung der Daten oder die Überlassung für Trainingszwecke ist explizit ausgeschlossen. |
| Deepgram, Inc. | 269 South Beverly Drive, Beverly Hills, CA 90212, USA | Spracherkennung/Transkription (Deepgram Flux). Die Speicherung der Daten oder die Überlassung für Trainingszwecke ist explizit ausgeschlossen. |

Nur wenn Briefversand und/oder Telefonie über Enneo direkt (und nicht über den Kunden) Teil des Leistungsumfangs ist:

| Auftragsverarbeiter | Anschrift | Zweck |
| --- | --- | --- |
| A&O Fischer GmbH & Co. KG | Maybachstraße 9, 21423 Winsen (Luhe) | Versand von Briefen |
| sipgate GmbH | Gladbacher Straße 74<br>40219 Düsseldorf, Deutschland | Entgegennahme von Telefonaten |

7.2 Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vor der Beauftragung neuer oder dem Wechsel bestehender Subunternehmer in Textform; die jeweils aktuelle Fassung der Liste in Ziffer 7.1 ist unter docs.enneo.ai/de/legal/avv abrufbar. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem Grund widersprechen. Kommt danach keine Einigung zustande, kann er den Hauptvertrag bis zum Wirksamwerden der Beauftragung außerordentlich kündigen; andernfalls gilt die Beauftragung als genehmigt. In diesem Fall bemüht sich der Auftragnehmer, den Einsatz des betroffenen Subunternehmers für den Auftraggeber technisch zu vermeiden, soweit mit vertretbarem Aufwand möglich. Im Hauptvertrag erteilte Zustimmungen gelten auch für diese Vereinbarung.

7.3 Der Auftragnehmer hat den Subunternehmer – soweit dessen Einsatz nach der Regelung des vorstehenden Absatzes zulässig ist – sorgfältig auszuwählen und sich vor dessen Beauftragung zu überzeugen, dass dieser sämtliche in dieser Vereinbarung für den Auftragnehmer festgelegte Pflichten einhalten kann. Der Auftragnehmer ist darüber hinaus verpflichtet, dem jeweiligen Subunternehmer die in dieser Vereinbarung festgelegten Pflichten mit der Maßgabe aufzuerlegen, dass an die Stelle des Auftragnehmers der Subunternehmer tritt. Der Auftragnehmer hat weiterhin vertraglich sicherzustellen, dass sämtliche in dieser Vereinbarung festgelegten Rechte gegenüber den Subunternehmern entweder vom Auftragnehmer nach Weisung des Auftraggebers oder unmittelbar vom Auftraggeber selbst wahrgenommen werden können. Für den Fall, dass der Auftragnehmer die Rechte nach Weisung des Auftraggebers wahrnimmt, ist der Auftragnehmer verpflichtet, sämtliche Informationen, insbesondere Dokumentationen und Kontrollergebnisse, unverzüglich an den Auftraggeber weiterzuleiten. Der Auftragnehmer verpflichtet sich, auf Verlangen dem Datenschutzbeauftragten des Auftraggebers die Erfüllung der hier festgelegten Pflichten in schriftlicher Form oder Textform nachzuweisen.

7.4 Für Subunternehmer, mit denen der Auftragnehmer eigene Auftragsverarbeitungsverträge geschlossen hat (insbesondere AWS, Microsoft Azure und Google Cloud), ist der Auftragnehmer nur dazu verpflichtet, dem Auftraggeber die gleichen Weisungs-, Audit- und Kontrollrechte einzuräumen, die ihm selbst gemäß dem jeweils geschlossenen Auftragsverarbeitungsvertrag zustehen.

# 8. Drittlandbezug

8.1 Die Erbringung der vertraglich vereinbarten Datenverarbeitung findet ausschließlich in einem Mitgliedsstaat der Europäischen Union oder einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum oder unter den besonderen Voraussetzungen der Art. 44 ff. DS-GVO statt.

8.2 Jegliche Abweichung davon bedingt einer vorherigen schriftlicher Freigabe des Auftraggebers.

# 9. Kontrollrechte

9.1 Der Auftraggeber hat das Recht, im Benehmen mit dem Auftragnehmer Überprüfungen durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Er hat das Recht, sich durch Stichprobenkontrollen, die in der Regel rechtzeitig anzumelden sind, von der Einhaltung dieser Vereinbarung durch den Auftragnehmer in dessen Geschäftsbetrieb zu überzeugen.

9.2 Der Auftragnehmer stellt sicher, dass sich der Auftraggeber von der Einhaltung der Pflichten des Auftragnehmers nach Art. 28 DS-GVO überzeugen kann. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die erforderlichen Auskünfte zu erteilen und insbesondere die Umsetzung der technischen und organisatorischen Maßnahmen nachzuweisen. Dies gilt auch für beauftrage Subunternehmen in Bezug auf personenbezogene Daten, die aus der Sphäre des Auftraggebers stammen, entsprechend den datenschutzrechtlichen Bestimmungen, den Regelungen dieser Vereinbarung sowie den vom Auftraggeber erteilten Weisungen. Dabei gelten die Einschränkungen der Ziffer 7.4 entsprechend.

9.3 Der Nachweis solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, kann wahlweise erfolgen durch die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DS-GVO, die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß Art. 42 DS-GVO, aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren), der Durchführung eines Selbstaudits und/oder eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.B. nach BSI-Grundschutz).

9.4 Für die Ermöglichung von Kontrollen durch den Auftraggeber kann der Auftragnehmer einen Vergütungsanspruch geltend machen. Dieser orientiert sich an einem festzulegenden Stundensatz des für die Betreuung des vom Auftragnehmer abgestellten Mitarbeiters.

# 10. Haftung

10.1 Macht eine betroffene Person gegenüber einer der Parteien erfolgreich einen Schaden aufgrund eines Verstoßes gegen die Regelungen der DS-GVO geltend, findet Art. 82 DS-GVO Anwendung.

10.2 Für alle sonstigen Schäden, die dem Auftraggeber durch die Nichteinhaltung einer erteilten Weisung entstehen, haftet der Auftragnehmer gemäß den Regelungen des Hauptvertrages.

# 11. Vertragsänderungen, salvatorische Klausel

11.1 Änderungen oder Ergänzungen dieser Vereinbarung einschließlich dieser Klausel bedürfen zu ihrer Wirksamkeit der Schrift- oder Textform.

11.2 Sollte eine Bestimmung dieser Vereinbarung unwirksam oder lückenhaft sein oder werden, berührt dieser Umstand die Wirksamkeit oder Vollständigkeit der Vereinbarung im Übrigen nicht. Die Parteien werden anstelle der unwirksamen oder lückenhaften Bestimmung eine Regelung vereinbaren, die wirtschaftlich oder rechtlich den mit der Vereinbarung verfolgten Zwecken und den Vorstellungen der Parteien in gesetzlich erlaubter Weise am nächsten kommt.

11.3 Im Falle von Änderungen der rechtlichen Anforderungen im jeweils anwendbaren Datenschutzrecht, insbesondere im Hinblick auf das Wirksamwerden der Verordnung über die Achtung des Privatlebens und den Schutz personenbezogener Daten in der elektronischen Kommunikation und zur Aufhebung der RL 2002/58/EG (ePrivacy-Verordnung) und der auf deren Basis oder zu deren Umsetzung erlassenen Regelungen, verpflichtet sich der Auftragnehmer auf Anforderung des Auftraggebers, die Bestimmungen der zugrunde liegenden vertraglichen Regelungen einschließlich der jeweiligen Auftragsverarbeitungsvereinbarung sowie der technischen und organisatorischen Maßnahmen abzuändern bzw. zu erweitern, soweit dies für die rechtskonforme Umsetzung von Änderungen der rechtlichen Anforderungen im Umgang mit personenbezogenen Daten notwendig wird. Die Kosten für die Umsetzung hat der Auftragnehmer zu tragen.

11.4 Es gilt das Recht der Bundesrepublik Deutschland.