Auftragsverarbeitungsvertrag (AVV)

Dieser AVV nach Art. 28 DSGVO ist Bestandteil des Vertrags zwischen dem Kunden (Verantwortlicher) und der Velocity Labs GmbH (Auftragsverarbeiter) und wird vor Beginn der Verarbeitung gesondert abgeschlossen.

1. Präambel & Rollen

Dieser Auftragsverarbeitungsvertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Nutzung von Skuvora nach Art. 28 DSGVO. Der Kunde ist Verantwortlicher, die Velocity Labs GmbH (Reutlinger Str. 27, D-72501 Gammertingen) ist Auftragsverarbeiter. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen. Dieser AVV geht bei Widersprüchen zu datenschutzrechtlichen Regelungen dem Hauptvertrag vor.

2. Gegenstand, Art, Zweck & Dauer

Gegenstand, Art und Zweck der Verarbeitung, die Art der Daten sowie die Kategorien betroffener Personen ergeben sich aus Anlage 1. Die Verarbeitung erfolgt für die Laufzeit des Hauptvertrags; mit dessen Beendigung endet auch dieser AVV (vorbehaltlich der Regelungen zu Löschung/Rückgabe, Ziffer 10).

3. Weisungsrecht des Verantwortlichen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. Weisungen erfolgen in der Regel durch Nutzung der Funktionen der Software-Oberfläche sowie ergänzend in Textform (z. B. per E-Mail an datenschutz@velocity-labs.de); mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Weisungsberechtigt sind die im Hauptvertrag benannten Ansprechpartner sowie die im Kundenkonto als Administrator hinterlegten Nutzer. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich; er darf die Weisung bis zur Bestätigung oder Änderung aussetzen.

4. Vertraulichkeit

Der Auftragsverarbeiter verpflichtet die mit der Verarbeitung befassten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO), soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen.

5. Technische & organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen und hält ein dem Risiko angemessenes Schutzniveau (Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit) sowie ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit aufrecht. Maßnahmen dürfen fortentwickelt werden, sofern das Schutzniveau nicht unterschritten wird.

6. Inanspruchnahme weiterer Auftragsverarbeiter (Sub-Auftragsverarbeiter)

Der Verantwortliche erteilt die allgemeine schriftliche Genehmigung zur Hinzuziehung der in Anlage 3 aufgeführten Sub-Auftragsverarbeiter.

Beabsichtigt der Auftragsverarbeiter, einen Sub-Auftragsverarbeiter hinzuzufügen oder zu ersetzen, informiert er den Verantwortlichen vorab in Textform. Der Verantwortliche kann der Änderung aus wichtigem, datenschutzbezogenem Grund innerhalb von 14 Tagen nach Zugang der Information widersprechen. Widerspricht er, bemüht sich der Auftragsverarbeiter, die Leistung ohne den betreffenden Sub-Auftragsverarbeiter zu erbringen; ist dies mit zumutbarem Aufwand nicht möglich, steht beiden Parteien ein Sonderkündigungsrecht hinsichtlich der betroffenen Leistung zu.

Kettenvertrag (Art. 28 Abs. 4 DSGVO): Der Auftragsverarbeiter erlegt jedem Sub-Auftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt der Sub-Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung von dessen Pflichten.

7. Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen (Art. 12–23 DSGVO). Geht ein Antrag unmittelbar beim Auftragsverarbeiter ein, leitet er diesen unverzüglich an den Verantwortlichen weiter. Über den gesetzlich geschuldeten angemessenen Umfang hinausgehende Leistungen kann der Auftragsverarbeiter nach Aufwand zu seinen jeweils gültigen Stundensätzen berechnen.

8. Unterstützung bei Sicherheit, DSFA & Konsultation (Art. 32–36 DSGVO)

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei der Einhaltung der Pflichten aus Art. 32 (Sicherheit), Art. 35 (Datenschutz-Folgenabschätzung) und Art. 36 (vorherige Konsultation) DSGVO.

9. Meldung von Verletzungen des Schutzes personenbezogener Daten (Art. 33)

Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich (ohne unbillige Verzögerung), in der Regel innerhalb von 48 Stunden nach Kenntniserlangung. Die Meldung enthält mindestens eine Beschreibung der Art der Verletzung (soweit möglich mit Kategorien und Zahl der betroffenen Personen und Datensätze), die wahrscheinlichen Folgen, die ergriffenen bzw. vorgeschlagenen Gegenmaßnahmen sowie eine Kontaktstelle. Der Auftragsverarbeiter trifft unverzüglich die zur Sicherung der Daten erforderlichen Maßnahmen. Betrifft die Verletzung den Bereich eines Sub-Auftragsverarbeiters, beginnt die Frist mit dem Eingang von dessen Meldung beim Auftragsverarbeiter.

10. Löschung & Rückgabe

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht oder übergibt der Auftragsverarbeiter, nach Wahl des Verantwortlichen, sämtliche personenbezogenen Daten, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Bestehende Kopien werden gelöscht, soweit gesetzlich zulässig.

11. Nachweise & Überprüfungen / Audits (Art. 28 Abs. 3 lit. h)

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen (einschließlich Inspektionen), die der Verantwortliche oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer durchführt. Solche Überprüfungen erfolgen nach angemessener Vorankündigung (in der Regel mindestens vier Wochen), während der üblichen Geschäftszeiten und ohne unzumutbare Beeinträchtigung des Betriebs. Nachweise können auch durch geeignete Zertifizierungen, Testate oder aktuelle Prüfberichte erbracht werden. Über den gesetzlich geschuldeten Umfang hinausgehende Überprüfungen kann der Auftragsverarbeiter nach Aufwand berechnen.

12. Übermittlung in Drittländer

Die in Anlage 3 benannten Sub-Auftragsverarbeiter verarbeiten personenbezogene Daten innerhalb der Europäischen Union. Sollte im Einzelfall dennoch eine Übermittlung in ein Drittland erforderlich werden, erfolgt sie nur nach vorheriger Information des Verantwortlichen und auf Grundlage geeigneter Garantien nach Kapitel V DSGVO, insbesondere der Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914, Modul 3: Auftragsverarbeiter an Auftragsverarbeiter).

Für die in Anlage 3 unter „Weitere Dienstleister" genannten Stellen findet keine Übermittlung personenbezogener Daten des Verantwortlichen oder seiner Endkunden statt. Übermittlungen, die der Verantwortliche selbst veranlasst (Berichtsversand an selbst gewählte Empfänger, Benachrichtigungen an ein selbst hinterlegtes Webhook-Ziel), erfolgen auf seine Weisung und in seiner Verantwortung.

13. Haftung & Schlussbestimmungen

Im Übrigen gelten die Regelungen des Hauptvertrags und unserer AGB. Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1: Gegenstand der Verarbeitung

Anlage 2: Technische & organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit:

• Zutrittskontrolle: Betrieb in Rechenzentren der netcup GmbH (Deutschland, EU) mit den physischen Schutz-/Zutrittsmaßnahmen des RZ-Betreibers.
• Zugangskontrolle: nutzergebundene Authentifizierung (E-Mail + Passwort; Passwörter ausschließlich als Hash); verpflichtende E-Mail-Verifizierung; Mehr-Faktor-Authentifizierung verfügbar.
• Zugriffskontrolle: berechtigungs- und rollengeprüfter Zugriff; Zugangsdaten des Kunden nur über einen gekapselten Dienst entschlüsselbar; keine Klartext-Speicherung; Protokollierung der Nutzung sicherheitsrelevanter Zugangsdaten.
• Trennungskontrolle: logische Mandantentrennung der Daten je Kunde.
• Pseudonymisierung/Verschlüsselung: Envelope-Verschlüsselung der hinterlegten API-Schlüssel mit dem Verfahren „Fernet" (AES-128 im CBC-Modus mit HMAC-SHA256); pro Datensatz eigener Datenschlüssel (DEK), verschlüsselt mit einem als Umgebungsvariable außerhalb der Datenbank gehaltenen Hauptschlüssel (KEK); Schlüsselrotation des KEK ohne Neuverschlüsselung der Nutzlast möglich.

Integrität:

• Weitergabekontrolle: Transportverschlüsselung (TLS) bei jeder Übertragung; keine Speicherung von Zugangsdaten im Klartext.
• Eingabekontrolle: Protokollierung sicherheitsrelevanter Vorgänge.

Verfügbarkeit & Belastbarkeit: regelmäßige Datensicherungen; Betrieb innerhalb der EU; Maßnahmen zur Wiederherstellbarkeit nach einem Zwischenfall.

Verfahren zur regelmäßigen Überprüfung: automatisierte Tests und Continuous-Integration vor jeder Auslieferung; automatisierte Secret-/Leak-Prüfung und Code-Review; regelmäßige Überprüfung der Wirksamkeit der Maßnahmen.

Besondere Maßnahmen für KI-gestützte Funktionen:

• Die KI-Verarbeitung erfolgt ausschließlich über einen Anbieter mit Verarbeitung in der Europäischen Union (Anlage 3); ein Training der Modelle mit den Daten des Verantwortlichen ist vertraglich ausgeschlossen.
• Es werden keine Anfrage- oder Antwortinhalte protokolliert. Zur Kosten- und Missbrauchskontrolle speichern wir je Aufruf ausschließlich Metadaten (Zeitpunkt, aufrufende Funktion, Modellname, Anzahl verarbeiteter Texteinheiten, Dauer, Erfolg, Mandantenkennung) für 395 Tage; danach werden sie automatisiert gelöscht. Auch das Fehler-Monitoring ist so konfiguriert, dass keine Anfrageinhalte übertragen werden.
• Verläufe des interaktiven Assistenten werden nur flüchtig in einem Zwischenspeicher mit 30 Minuten Verfallszeit gehalten; hochgeladene Bilder gehen ausschließlich in die jeweilige Anfrage und werden nicht gespeichert.
• Zugriffe unserer Mitarbeiter auf mandantenbezogene Auswertungen werden protokolliert.
• Die KI-Funktionen sind zentral abschaltbar; die Anwendung bleibt ohne sie vollständig nutzbar (deterministische Auswertungen ohne KI).

Anlage 3: Sub-Auftragsverarbeiter

Nur Dienstleister, die personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der SaaS-Leistung verarbeiten:

Die jeweils aktuelle Fassung dieser Liste ist auf dieser Seite abrufbar; Änderungen teilen wir gemäß Ziffer 6 vorab in Textform mit.

Weitere Dienstleister (ohne Verarbeitung personenbezogener Daten):

Vom Verantwortlichen veranlasste Übermittlungen: Versendet der Verantwortliche Berichte an selbst gewählte Empfänger oder hinterlegt er ein Webhook-Ziel für Benachrichtigungen, erfolgt die Übermittlung an diese Empfänger auf seine Weisung. Sie sind keine Sub-Auftragsverarbeiter; für Auswahl, Rechtmäßigkeit und Sicherheit des Ziels ist der Verantwortliche verantwortlich.

Browserseitig geladene Inhalte: Beim Aufruf der Anwendung lädt der Browser der Nutzer einzelne Gestaltungsbibliotheken von den Content-Delivery-Netzwerken jsDelivr und cdnjs (Cloudflare, USA) sowie Produktbilder unmittelbar vom Amazon-CDN (m.media-amazon.com, USA). Dabei werden technisch bedingt IP-Adresse, Browserkennung und die aufgerufene Adresse an diese Anbieter übertragen; Inhaltsdaten des Verantwortlichen werden nicht übermittelt. Wir arbeiten daran, diese Inhalte künftig von eigenen Servern auszuliefern.

Anlage 4: KI-gestützte Funktionen im Einzelnen

Alle nachstehenden Funktionen laufen über denselben Sub-Auftragsverarbeiter (Anlage 3: Scaleway S.A.S., Paris). Ein Training der Modelle mit diesen Daten findet nicht statt. Der Anbieter speichert Anfrageinhalte nicht; einzige Ausnahme ist die Aufbewahrung für längstens zwei Wochen zur Fehleranalyse, wenn eine Anfrage serverseitig fehlschlägt.

Die KI-Funktionen sind an Tarifmerkmale gebunden und können auf Wunsch des Verantwortlichen deaktiviert werden; die übrigen Auswertungen bleiben dann unverändert nutzbar.

Änderungen gegenüber der Fassung Juni 2026

• Wechsel des KI-Sub-Auftragsverarbeiters von Ollama Cloud (USA) auf Scaleway S.A.S. (Frankreich), die KI-Verarbeitung findet seither ausschließlich in der EU statt.
• Aufnahme des Fehler-Monitorings (Sentry, EU-Region) in die Liste der Sub-Auftragsverarbeiter.
• Präzisierte Beschreibung der verarbeiteten Datenarten (Anlage 1) und der einzelnen KI-Funktionen (neue Anlage 4), einschließlich der Freitextangaben aus Retouren-Berichten.
• Ergänzte technische Maßnahmen (Anlage 2): Protokollierung ohne Inhaltsdaten, Löschfrist 395 Tage, Abschaltbarkeit der KI-Funktionen.
• Transparente Darstellung der browserseitig geladenen Inhalte und der vom Verantwortlichen selbst veranlassten Übermittlungen.

Stand: August 2026.