Auftragsverarbeitungsvertrag (AVV)

Stand: 28. Oktober 2026

Dieser Auftragsverarbeitungsvertrag („AVV“) ergänzt den Vertrag über Leistungen von Nickle AI („Hauptvertrag“), soweit Nickle AI dabei personenbezogene Daten im Auftrag des Kunden verarbeitet.

1. Parteien und Zustandekommen

(1) Parteien sind Nickle AI – Oreshin, Platon und Scheffler, Daniel GbR, Ludwig-Erhard-Straße 10, 34131 Kassel, Deutschland, E-Mail: info@nickle.ai („Nickle AI“, Auftragsverarbeiter), und der Kunde, der mit Nickle AI einen Hauptvertrag schließt („Kunde“, Verantwortlicher).

(2) Dieser AVV wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO). Er kommt zustande, sobald der Kunde einen Hauptvertrag, ein Angebot oder eine sonstige Vereinbarung annimmt, die auf diesen AVV oder auf die AGB von Nickle AI Bezug nimmt, oder seine Geltung auf andere Weise in Textform bestätigt.

(3) Maßgeblich ist die bei Vertragsschluss geltende Fassung (Stand-Datum oben). Nickle AI dokumentiert Datum und Fassung der Annahme und stellt frühere Fassungen auf Anfrage in Textform bereit.

2. Anwendungsbereich

(1) Dieser AVV gilt nur, soweit Nickle AI personenbezogene Daten im Sinne von Art. 28 DSGVO im Auftrag und nach Weisung des Kunden verarbeitet.

(2) Er gilt nicht, soweit Nickle AI Daten für eigene Zwecke als Verantwortlicher verarbeitet, insbesondere für die Anbahnung und Abwicklung des Vertragsverhältnisses, Abrechnung, eigene Nachweis- und Aufbewahrungspflichten, IT-Sicherheit und Missbrauchsabwehr sowie gesetzlich vorgeschriebene Offenlegungen. Gleiches gilt, soweit Nickle AI im Rahmen von Beratung oder Konzeption selbst über Zwecke und wesentliche Mittel entscheidet.

(3) Ist der Kunde selbst Auftragsverarbeiter eines Dritten, ist Nickle AI Unterauftragsverarbeiter; dieser AVV gilt entsprechend. Der Kunde stellt sicher, dass der Dritte den Einsatz von Nickle AI genehmigt hat.

(4) Begriffe haben die Bedeutung, die ihnen die DSGVO gibt.

3. Gegenstand, Art, Zweck und Dauer

(1) Gegenstand, Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen ergeben sich aus dem Hauptvertrag und Anlage 1.

(2) Die Verarbeitung dauert so lange, wie Nickle AI Daten im Auftrag des Kunden verarbeitet, längstens bis zur Löschung oder Rückgabe nach Ziffer 12.

4. Weisungen

(1) Nickle AI verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden – auch im Hinblick auf Übermittlungen in Drittländer –, es sei denn, Nickle AI ist durch Unionsrecht oder das Recht eines Mitgliedstaats dazu verpflichtet. In diesem Fall teilt Nickle AI dem Kunden diese Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Weisungen sind der Hauptvertrag, dieser AVV und Einzelweisungen in Textform (z. B. E-Mail, Ticket, Freigaben, Projektdokumente). Mündliche Weisungen bestätigt der Kunde unverzüglich in Textform.

(3) Ist Nickle AI der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert Nickle AI den Kunden unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

(4) Nickle AI verwendet die Daten nicht für eigene Zwecke. Die Verwendung vollständig anonymisierter Informationen bleibt unberührt.

5. Pflichten des Kunden

(1) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung, die Rechtsgrundlage, die Information der betroffenen Personen und die Wahrung ihrer Rechte verantwortlich.

(2) Der Kunde bringt nur Daten ein, deren Verarbeitung zulässig ist. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) und Berufsgeheimnisse bringt er nur ein, wenn dies vorab vereinbart ist.

(3) Für Drittanbieter, Integrationen oder Schnittstellen, die der Kunde selbst auswählt oder anbindet und die nicht in Anlage 3 aufgeführt sind, ist der Kunde datenschutzrechtlich selbst verantwortlich.

6. Vertraulichkeit

Nickle AI setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und beschränkt den Zugriff auf das Erforderliche (Need-to-know).

7. Technische und organisatorische Maßnahmen

(1) Nickle AI trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Die aktuellen Maßnahmen beschreibt Anlage 2.

(2) Nickle AI darf die Maßnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird. Besondere Sicherheitsanforderungen des Kunden gelten nur, wenn sie vereinbart sind.

8. Unterauftragsverarbeiter

(1) Der Kunde erteilt Nickle AI die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter nennt Anlage 3.

(2) Nickle AI informiert den Kunden mindestens 14 Tage vorab in Textform über beabsichtigte Hinzuziehungen oder Ersetzungen. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Finden die Parteien keine zumutbare Lösung, kann der Kunde die betroffene Leistung außerordentlich kündigen.

(3) Nickle AI erlegt jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Nickle AI haftet gegenüber dem Kunden für die Einhaltung der Pflichten des Unterauftragsverarbeiters.

(4) Keine Unterauftragsverarbeitung sind Nebenleistungen ohne regelmäßigen Zugriff auf Kundendaten, etwa Telekommunikations-, Post- oder Transportdienste.

9. Übermittlungen in Drittländer

Übermittlungen in ein Land außerhalb der EU/des EWR erfolgen nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind – insbesondere auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework) oder der Standardvertragsklauseln der EU-Kommission, soweit erforderlich mit ergänzenden Maßnahmen. Nickle AI legt die jeweilige Grundlage auf Anfrage dar.

10. Unterstützung des Kunden

(1) Nickle AI unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO) sowie bei den Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

(2) Wenden sich betroffene Personen oder Behörden direkt an Nickle AI, leitet Nickle AI die Anfrage unverzüglich an den Kunden weiter und äußert sich ohne Abstimmung nicht inhaltlich, soweit keine gesetzliche Pflicht besteht.

11. Verletzungen des Schutzes personenbezogener Daten

(1) Nickle AI meldet dem Kunden eine Verletzung des Schutzes der im Auftrag verarbeiteten Daten unverzüglich, nachdem sie ihr bekannt geworden ist (Art. 33 Abs. 2 DSGVO).

(2) Die Meldung enthält, soweit verfügbar, die Art der Verletzung mit Kategorien und ungefährer Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und einen Ansprechpartner. Informationen, die noch nicht vorliegen, werden unverzüglich nachgereicht.

12. Löschung und Rückgabe

(1) Nach Ende der Leistungen löscht Nickle AI die im Auftrag verarbeiteten Daten nach Wahl des Kunden oder gibt sie zurück, sofern keine gesetzliche Pflicht zur Speicherung besteht. Trifft der Kunde binnen 30 Tagen nach Vertragsende keine Wahl, löscht Nickle AI die Daten.

(2) Kopien in Backups werden mit Ablauf des regulären Backup-Zyklus gelöscht (derzeit 30 Tage) und bis dahin nicht produktiv verarbeitet.

(3) Auf Anfrage bestätigt Nickle AI die Löschung in Textform.

13. Nachweise und Kontrollen

(1) Nickle AI stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung dieses AVV zur Verfügung, etwa Dokumentationen, Selbstauskünfte oder Zertifikate und Berichte der Unterauftragsverarbeiter.

(2) Reicht dies im Einzelfall nicht aus, ermöglicht Nickle AI Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer – nach angemessener Vorankündigung, während der Geschäftszeiten, ohne unverhältnismäßige Störung des Betriebs und unter Wahrung der Vertraulichkeit gegenüber anderen Kunden; in der Regel höchstens einmal pro Kalenderjahr, es sei denn, ein besonderer Anlass (z. B. eine Datenschutzverletzung oder eine behördliche Anordnung) rechtfertigt eine weitere Prüfung.

(3) Jede Partei trägt ihre eigenen Kosten der Prüfung. Über die gesetzliche Mitwirkung hinausgehende Leistungen kann Nickle AI nach angemessenem Aufwand berechnen.

14. KI-Funktionen

(1) Bei KI-gestützten Funktionen verarbeitet Nickle AI die Eingaben, Dateien, Kontextinformationen und Ausgaben nur zur Erbringung der beauftragten Funktion.

(2) Kundendaten werden nicht zum Training von KI-Modellen Dritter verwendet, soweit nicht ausdrücklich anders vereinbart. KI-Funktionen, die Nickle AI für den Kunden betreibt (z. B. Chatbots), nutzen KI-Anbieter in der EU-Region, soweit nicht ausdrücklich anders vereinbart. KI-Werkzeuge, die Nickle AI intern zur Erbringung der Leistungen einsetzt (Anlage 3, Stufe 0), können Daten außerhalb der EU verarbeiten; dies erfolgt nach Ziffer 9 auf Grundlage der Standardvertragsklauseln.

15. Vergütung und Haftung

(1) Die Leistungen nach diesem AVV sind mit der Vergütung des Hauptvertrags abgegolten, soweit dieser AVV nichts anderes bestimmt.

(2) Für die Haftung gelten die Regelungen des Hauptvertrags bzw. der AGB. Art. 82 DSGVO bleibt unberührt.

16. Laufzeit, Änderungen und Rangfolge

(1) Dieser AVV gilt, solange Nickle AI personenbezogene Daten im Auftrag des Kunden verarbeitet.

(2) Änderungen der Unterauftragsverarbeiter richten sich nach Ziffer 8. Sonstige Änderungen dieses AVV bedürfen einer Vereinbarung in Textform.

(3) Bei Widersprüchen geht dieser AVV dem Hauptvertrag und den AGB in Bezug auf die Verarbeitung im Auftrag vor.

(4) Schließen die Parteien einen individuellen Auftragsverarbeitungsvertrag, geht dieser dem vorliegenden AVV vor.

17. Schlussbestimmungen

(1) Erklärungen zu diesem AVV (Weisungen, Widersprüche, Prüfungsanfragen, Löschweisungen) richtet der Kunde an die im Hauptvertrag benannten Ansprechpartner oder an info@nickle.ai.

(2) Es gilt deutsches Recht. Gerichtsstand richtet sich nach dem Hauptvertrag.

(3) Sollte eine Bestimmung unwirksam sein, bleibt der übrige AVV wirksam; die unwirksame Bestimmung wird durch eine wirksame ersetzt, die ihrem datenschutzrechtlichen Zweck am nächsten kommt.

Anlage 1 – Einzelheiten der Verarbeitung

Gegenstand und Zweck (je nach Auftrag): Konzeption, Entwicklung, Hosting, Betrieb, Wartung und Support von Websites, Kontaktformularen, Chatbots, Automatisierungen, Integrationen und KI-Funktionen für den Kunden, einschließlich der Verarbeitung von Inhalten in Kundensystemen.

Art der Verarbeitung: Erheben, Speichern, Übermitteln, Abfragen, Verwenden, Verändern und Löschen, auch mittels KI-Modellen.

Kategorien betroffener Personen (je nach Auftrag): Besucher und Nutzer der Websites und Anwendungen des Kunden; Personen, die den Kunden über Formulare oder Chatbots kontaktieren; Beschäftigte und Ansprechpartner des Kunden; Kunden, Interessenten und sonstige Personen, deren Daten der Kunde im Projekt verarbeiten lässt.

Kategorien personenbezogener Daten (je nach Auftrag): Kontakt- und Kommunikationsdaten; Formular- und Chat-Inhalte; IP-Adressen, Geräte- und Nutzungsdaten; Zugangs- und Administrationsdaten; Dateien, Dokumente, Texte, Bilder und Audio; KI-Eingaben, Kontextdaten und Ausgaben; sonstige Daten, die der Kunde bereitstellt.

Besondere Kategorien (Art. 9 DSGVO): nur, wenn dies ausdrücklich vereinbart ist.

Dauer: siehe Ziffer 3 Abs. 2.

Anlage 2 – Technische und organisatorische Maßnahmen

Vertraulichkeit

Server in zertifizierten Rechenzentren der Unterauftragsverarbeiter (Anlage 3); keine eigenen Serverräume
Authentifizierung für alle Administrationszugänge, Multi-Faktor-Authentifizierung wo verfügbar, sichere Passwörter
rollenbasierte Rechtevergabe nach Need-to-know- und Least-Privilege-Prinzip; Entzug von Berechtigungen bei Rollenwechsel oder Austritt
Speicherung von Medien ohne öffentlich erreichbaren Endpunkt; Lesezugriff nur über einen serverseitig kontrollierten Pfad
logische Trennung von Kundendaten; Trennung von Entwicklungs- und Produktivumgebungen, soweit sachgerecht

Integrität

Transportverschlüsselung (TLS/HTTPS) für alle Übertragungen
Zugangsdaten und Endpunkte der Backend-Systeme liegen ausschließlich serverseitig und werden nicht an Browser ausgeliefert
Ratenbegrenzung und Missbrauchsabwehr an allen aus dem Internet erreichbaren Schnittstellen
Protokollierung administrativer Änderungen, soweit technisch vorgesehen; kontrollierte Freigabe produktiver Änderungen

Verfügbarkeit und Belastbarkeit

tägliche Datenbank-Backups, verschlüsselt gespeichert in der EU (Aufbewahrung 30 Tage)
Überwachung wesentlicher Systeme, Fehlererkennung und Wiederherstellungsverfahren
Schutz vor Angriffen auf Netzwerkebene durch den Hosting-Anbieter

Löschung und Datenminimierung

automatische Löschung von Verarbeitungsprotokollen nach 14 Tagen und von Chat-Verläufen nach 14 Tagen, soweit mit dem Kunden keine andere Frist vereinbart ist
keine Weitergabe von IP-Adressen an Automatisierungssysteme oder KI-Anbieter

Überprüfung und Organisation

regelmäßige Überprüfung der Maßnahmen; Patch- und Update-Management
Dokumentation und Bearbeitung von Sicherheitsereignissen
Vertraulichkeitsverpflichtung aller beteiligten Personen
sorgfältige Auswahl und Kontrolle der Unterauftragsverarbeiter

Anlage 3 – Unterauftragsverarbeiter

Welche Stufen gelten, ergibt sich aus dem Angebot. Ist dort nichts angegeben, gelten die Stufen, deren Leistungen beauftragt sind. Mit jedem Unterauftragsverarbeiter besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Stufe 0 – alle Projekte

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland
Zweck: E-Mail, Kalender und Dokumentenablage (Google Workspace) für die Projektkommunikation und vom Kunden übermittelte Unterlagen.
Übermittlungsgrundlage: Verarbeitung durch Google LLC in den USA möglich – EU-US Data Privacy Framework und Standardvertragsklauseln.

Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland
Zweck: KI-Assistent (Claude) für die Projektarbeit, z. B. Softwareentwicklung, Bearbeitung von Inhalten und Projektkommunikation. Eingaben werden nicht zum Training verwendet.
Übermittlungsgrundlage: Speicherung durch Anthropic, PBC in den USA, Verarbeitung auch in weiteren Ländern möglich – Standardvertragsklauseln.

Stufe 1 – alle Websites

Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA
Zweck: Hosting und Auslieferung der Website, DNS, Speicherung der Mediendateien, Angriffsabwehr und IP-basierte Ratenbegrenzung.
Übermittlungsgrundlage: Mediendateien werden in der EU-Jurisdiktion gespeichert; im Übrigen EU-US Data Privacy Framework und Standardvertragsklauseln.

Stufe 2 – mit Kontaktformular

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland (Rechenzentrum Helsinki, Finnland)
Zweck: Server für die Automatisierung, die Formulareingaben verarbeitet und zustellt.
Übermittlungsgrundlage: keine Drittlandübermittlung.

Brevo (Sendinblue SAS), 7 rue de Madrid, 75008 Paris, Frankreich
Zweck: Zustellung der Formulareingaben per E-Mail an den Kunden.
Übermittlungsgrundlage: keine Drittlandübermittlung.

Cloudflare, Inc. (siehe Stufe 1)
Zweck: Speicherung der Datenbank-Backups (EU-Jurisdiktion, 30 Tage).

Stufe 3 – mit Chatbot

Hetzner Online GmbH (siehe Stufe 2)
Zweck: Server für Chatbot-Backend, Chat-Verlauf und Wissensdatenbank.

Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland
Zweck: KI-Inferenz für den Chatbot (Azure OpenAI), Region Schweden Mitte (EU), soweit nicht anders vereinbart. Eingaben werden nicht zum Training verwendet.
Übermittlungsgrundlage: keine Drittlandübermittlung; bei ausdrücklich vereinbarter Nicht-EU-Region Standardvertragsklauseln.

Google Ireland Limited (siehe Stufe 0)
Zweck: KI-Inferenz als Alternative zu Microsoft, wenn der Kunde dies wünscht (EU-Region, soweit nicht anders vereinbart); Speicherung der Quelldokumente der Wissensdatenbank.
Übermittlungsgrundlage: für die Inferenz in der EU-Region keine Drittlandübermittlung; für die Dokumentenablage Verarbeitung durch Google LLC in den USA möglich – EU-US Data Privacy Framework und Standardvertragsklauseln.

Cloudflare, Inc. (siehe Stufe 1)
Zweck: Speicherung der Datenbank-Backups (EU-Jurisdiktion, 30 Tage).

Stufe 4 – mit Analyse-Tools

Google Ireland Limited (siehe Stufe 0)
Zweck: Google Tag Manager und Google Analytics.
Übermittlungsgrundlage: EU-US Data Privacy Framework und Standardvertragsklauseln.
Hinweis: Der Kunde akzeptiert als Verantwortlicher die Datenverarbeitungsbedingungen von Google in seinem eigenen Analytics- bzw. Tag-Manager-Konto, bevor diese Dienste in Betrieb gehen.

Weitere Anbieter auf Wunsch des Kunden

Wünscht der Kunde weitere Tools, Schnittstellen oder Dienste, führt Nickle AI diese im Angebot oder in den Projektunterlagen als projektspezifische Unterauftragsverarbeiter auf.