Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag ist Anlage zu den Nutzungsbedingungen von ai.lytics und wird mit diesen zusammen Vertragsbestandteil. Er gilt ohne gesonderte Anforderung für jede Kundin und jeden Kunden. Er umfasst den Vertragstext sowie die beiden Anlagen: die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und das Verzeichnis der Unterauftragsverarbeiter.

Vertrag über die Auftragsverarbeitung personenbezogener Daten (AVV)

für die Nutzung von ai.lytics

zwischen

dem Kunden gemäß den im Bestellprozess angegebenen Daten nachfolgend „du”; im Sinne der DSGVO der Auftraggeber und Verantwortliche nach Art. 4 Nr. 7 DSGVO

und

d.vinci Lab GmbH Nagelsweg 37-39, 20097 Hamburg, Deutschland Registergericht: Amtsgericht Hamburg, HRB 199957 Geschäftsführerin: Nina Rahn nachfolgend „wir”; im Sinne der DSGVO der Auftragnehmer und Auftragsverarbeiter nach Art. 4 Nr. 8 DSGVO

gemeinsam die „Parteien”

Fassung: 1.6 · Stand: 7. September 2026

Dieser Vertrag ist Anlage zu den Nutzungsbedingungen von ai.lytics und wird mit diesen zusammen Vertragsbestandteil. Er gilt ohne gesonderte Anforderung für jede Kundin und jeden Kunden.

Zur Ansprache: Dieser Vertrag ist in der Du-Form gehalten, weil ai.lytics seine Kundschaft durchgängig so anspricht. Rechtlich ändert das nichts: Wo „du” steht, ist der Auftraggeber gemeint - also das Unternehmen, die juristische Person des öffentlichen Rechts oder das öffentlich-rechtliche Sondervermögen, das diesen Vertrag schließt, nicht die handelnde Person persönlich. Wo „wir” steht, ist die d.vinci Lab GmbH als Auftragnehmer gemeint. Die gesetzlichen Rollenbezeichnungen des Art. 28 DSGVO bleiben damit vollständig zugeordnet.

Präambel: Rollenverständnis und Anwendungsbereich

Die datenschutzrechtliche Rolle bestimmt sich je Verarbeitung, nicht pauschal für das Vertragsverhältnis. Die Parteien legen sie wie folgt zugrunde:

Für die Verarbeitungen, in denen wir Verantwortliche sind, entscheiden wir selbst über Zweck und Mittel - insbesondere über Fragenkatalog, Modellauswahl, Prüfintervalle und Speicherdauer. Sie sind nicht Gegenstand dieses Vertrags; für sie gelten unsere Datenschutzerklärung und unsere Nutzungsbedingungen.

Gegenstand dieses Vertrags ist die Verarbeitung derjenigen personenbezogenen Daten, die in den von dir zur Prüfung benannten Stellenanzeigen enthalten sind (Ziffer 1). Insoweit bestimmst du den Zweck: Du wählst die Anzeige aus, du entscheidest über Beginn und Ende der Prüfung, und dir wird das Ergebnis geschuldet. Wir wählen die technischen Mittel der Durchführung - insbesondere den Kriterienkatalog und die eingesetzten Modellschnittstellen - und handeln dabei nach Art. 28 Abs. 1 in Verbindung mit Art. 29 DSGVO auf deine Weisung.

Verarbeiten wir Daten aus diesem Bestand über deine Weisung hinaus zu einem eigenen Zweck, sind wir insoweit selbst Verantwortliche (Art. 28 Abs. 10 DSGVO, siehe Ziffer 3 Nr. 6). Eine solche Verarbeitung findet derzeit nicht statt; nehmen wir sie auf, ergänzen wir zuvor unsere Datenschutzerklärung.

1. Gegenstand, Art und Zweck der Verarbeitung

1.1 Gegenstand

Wir rufen die von dir benannten, öffentlich zugänglichen Stellenanzeigen ab, speichern deren sichtbaren Textinhalt als Momentaufnahme und bewerten ihn anhand eines technischen und inhaltlichen Kriterienkatalogs. Soweit dieser Textinhalt personenbezogene Daten enthält, die dir zuzuordnen sind, verarbeiten wir diese nach Maßgabe dieses Vertrags.

1.2 Ausdrücklich nicht umfasst

Wir erhalten keinen Zugriff auf deine Systeme, Netzwerke oder Bewerbermanagementsysteme. Wir verarbeiten keine Bewerberdaten, keine Personalakten und keine Beschäftigtendaten aus deinen internen Prozessen. Es werden ausschließlich Inhalte abgerufen, die du selbst öffentlich veröffentlicht hast; Zugangsbeschränkungen werden nicht umgangen.

1.3 Art und Zweck

Art: Abruf, Speicherung, Auswertung, Übermittlung an ein Analysemodell, Löschung. Zweck: Bewertung der Auffindbarkeit und Qualität der Stellenanzeige und Ableitung von Handlungsempfehlungen für dich.

1.4 Kategorien personenbezogener Daten

• Kontaktdaten der in der Stellenanzeige genannten Ansprechpersonen: Name, dienstliche E-Mail-Adresse, dienstliche Telefonnummer, Funktionsbezeichnung
• Sonstige personenbezogene Angaben, soweit sie im veröffentlichten Anzeigentext enthalten sind

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Du wirst solche Daten nicht in Stellenanzeigen aufnehmen, die du zur Prüfung benennst.

1.5 Kategorien betroffener Personen

Beschäftigte deines Unternehmens, die in einer veröffentlichten Stellenanzeige als Ansprechperson genannt sind.

1.6 Dauer

Die Verarbeitung erfolgt für die Dauer des zugrunde liegenden Hauptvertrags. Dieser Vertrag endet automatisch mit dessen Beendigung; Ziffer 9 bleibt unberührt.

2. Deine Verantwortlichkeit

1. Du bist für die in Ziffer 1 beschriebene Verarbeitung Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Du bist für die Rechtmäßigkeit der Verarbeitung und für die Zulässigkeit der Benennung der zu prüfenden Stellenanzeigen verantwortlich.
2. Du stellst sicher, dass du berechtigt bist, die benannten Stellenanzeigen zur Analyse durch uns freizugeben, und dass du die betroffenen Ansprechpersonen nach Art. 13 DSGVO informiert hast.
3. Wir sind berechtigt und verpflichtet, dich auf Bedenken hinsichtlich der Zulässigkeit der Verarbeitung hinzuweisen.

3. Weisungsrecht (Art. 28 Abs. 3 Satz 2 lit. a DSGVO)

1. Wir verarbeiten die personenbezogenen Daten ausschließlich auf deine dokumentierte Weisung, einschließlich in Bezug auf die Übermittlung in ein Drittland. Der Abschluss dieses Vertrags und die Benennung einer Stellenanzeige zur Prüfung stellen die Grunderweisung dar.
2. Ergänzende Weisungen erteilst du in Textform an [email protected]. Weisungsberechtigt ist die Person, die das Nutzerkonto führt. Sind für dein Konto mehrere Personen registriert, gilt jede von ihnen als weisungsberechtigt, solange du uns nichts anderes in Textform mitteilst.
3. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
4. Halten wir eine Weisung für rechtswidrig, teilen wir dir dies unverzüglich in Textform mit. Wir sind berechtigt, die Ausführung auszusetzen, bis du die Weisung bestätigst oder änderst.
5. Weisungen liegen in dokumentierter Form vor (Art. 28 Abs. 3 Satz 2 lit. a DSGVO): dieser Vertrag als Grunderweisung, die Benennung und die Entfernung einer Stellenanzeige als nachvollziehbarer Vorgang in deinem Nutzerkonto, ergänzende Weisungen als Nachricht in Textform.
6. Verarbeiten wir Daten außerhalb des Weisungsrahmens zu eigenen Zwecken, sind wir insoweit selbst Verantwortlicher (Art. 28 Abs. 10 DSGVO).

4. Vertraulichkeit (Art. 28 Abs. 3 Satz 2 lit. b DSGVO)

1. Wir verpflichten alle zur Verarbeitung befugten Personen vor Aufnahme ihrer Tätigkeit schriftlich zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
2. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.
3. Wir weisen die Verpflichtung auf Verlangen nach.
4. Der Kreis der zugriffsberechtigten Personen ist auf das für die Vertragsdurchführung erforderliche Maß beschränkt.

5. Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 Satz 2 lit. c, Art. 32 DSGVO)

1. Wir treffen die zur Sicherung der Verarbeitung erforderlichen technischen und organisatorischen Maßnahmen. Diese sind in der Anlage 1 (Technische und organisatorische Maßnahmen) beschrieben, die Bestandteil dieses Vertrags ist.
2. Wir dürfen die Maßnahmen im Laufe der Vertragsbeziehung anpassen, wobei das vereinbarte Schutzniveau nicht unterschritten werden darf. Über wesentliche Änderungen informieren wir dich unaufgefordert in Textform.
3. Die Maßnahmen werden regelmäßig, mindestens jährlich, auf ihre Wirksamkeit überprüft.

6. Unterauftragsverarbeiter (Art. 28 Abs. 2, Abs. 4, Abs. 3 Satz 2 lit. d DSGVO)

1. Du erteilst uns die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter ergeben sich aus der Anlage 2 (Unterauftragsverarbeiter); ihrem Einsatz stimmst du mit Abschluss dieses Vertrags zu.
2. Wir informieren dich über die beabsichtigte Hinzuziehung eines weiteren oder den Austausch eines bestehenden Unterauftragsverarbeiters mindestens 14 Tage vor Wirksamwerden in Textform. Erhalten wir von einem Anbieter selbst eine kürzere Vorlaufzeit, informieren wir dich unverzüglich nach Kenntnis.
3. Du kannst der Änderung innerhalb von 14 Tagen nach Zugang der Information aus einem wichtigen, datenschutzrechtlich begründeten Anlass in Textform widersprechen. Widersprichst du nicht, gilt die Änderung als genehmigt; auf diese Wirkung weisen wir in der Mitteilung gesondert hin.
4. Widersprichst du, kannst du diesen Vertrag und den Hauptvertrag zum Ende der laufenden Abrechnungsperiode kündigen. Weitergehende Ansprüche bestehen nicht; insbesondere besteht kein Anspruch darauf, dass wir den bisherigen Unterauftragsverarbeiter für dich weiter einsetzen.
5. Wir verpflichten Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag im Wesentlichen entspricht, insbesondere auf die Pflichten aus Art. 28 Abs. 3 DSGVO. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haften wir dir gegenüber für die Einhaltung dieser Pflichten (Art. 28 Abs. 4 DSGVO). Für Umfang und Grenzen dieser Haftung gilt Ziffer 12.
6. Die Nummern 2 bis 4 betreffen die Unterauftragsverarbeiter, die wir selbst beauftragen. Setzen diese ihrerseits weitere Auftragsverarbeiter ein, obliegt deren Auswahl und Kontrolle dem jeweiligen Anbieter; er ist uns gegenüber nach Art. 28 Abs. 2 und Abs. 4 DSGVO gebunden. Eine eigene Information über Änderungen auf diesen weiteren Ebenen schulden wir dir nicht. Näheres regelt Anlage 2.
7. Keine Unterauftragsverarbeitung sind Nebenleistungen ohne Bezug zu den Vertragsdaten, etwa Telekommunikations- oder Postdienste.
8. Drittlandsbezug: Erfolgt eine Verarbeitung durch einen Unterauftragsverarbeiter außerhalb der EU oder des EWR, stellen wir eine geeignete Transfergrundlage nach Kapitel V DSGVO sicher - insbesondere Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914 oder einen Angemessenheitsbeschluss. Die jeweilige Grundlage ist in Anlage 2 ausgewiesen.

7. Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 Satz 2 lit. e DSGVO)

1. Wir unterstützen dich mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Betroffenenrechte nach Art. 12 bis 23 DSGVO.
2. Wendet sich eine betroffene Person unmittelbar an uns, leiten wir das Ersuchen unverzüglich, spätestens innerhalb von drei Werktagen, an dich weiter und beantworten es nicht selbst - es sei denn, wir sind für das Ersuchen selbst Verantwortlicher (siehe Präambel).
3. Wir beantworten deine Anfragen zur Unterstützung eines Betroffenenersuchens innerhalb von zehn Werktagen.
4. Die Unterstützung erfolgt unentgeltlich, soweit sie nicht auf einem Verschulden deines Unternehmens beruht und den üblichen Aufwand nicht erheblich übersteigt.

8. Unterstützung bei Sicherheit, Meldepflichten und Datenschutz-Folgenabschätzung (Art. 28 Abs. 3 Satz 2 lit. f DSGVO)

1. Wir unterstützen dich unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen bei der Einhaltung der Art. 32 bis 36 DSGVO.
2. Meldung von Verletzungen des Schutzes personenbezogener Daten: Wir melden dir jede Verletzung, die die Vertragsdaten betrifft, unverzüglich nach Bekanntwerden in Textform an die für dein Nutzerkonto hinterlegte E-Mail-Adresse. Die Meldung enthält die uns verfügbaren Angaben, die du für eine Meldung nach Art. 33 Abs. 3 DSGVO benötigst.
3. Sind zum Zeitpunkt der Meldung nicht alle Angaben verfügbar, melden wir zunächst die vorhandenen und ergänzen sie unverzüglich.
4. Wir ergreifen unverzüglich die zur Sicherung der Daten und zur Minderung nachteiliger Folgen erforderlichen Maßnahmen und stimmen das weitere Vorgehen mit dir ab.
5. Meldungen an die Aufsichtsbehörde nach Art. 33 DSGVO und Benachrichtigungen betroffener Personen nach Art. 34 DSGVO obliegen dir. Wir nehmen sie nicht eigenständig für dich vor.
6. Wir unterstützen dich bei einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und bei einer Vorabkonsultation nach Art. 36 DSGVO.

9. Löschung und Rückgabe nach Vertragsende (Art. 28 Abs. 3 Satz 2 lit. g DSGVO)

1. Nach Beendigung der Verarbeitung löschen wir alle Vertragsdaten. Verlangst du stattdessen die Rückgabe, geben wir sie zurück und löschen anschließend vorhandene Kopien (Art. 28 Abs. 3 Satz 2 lit. g DSGVO).
2. Ein Rückgabeverlangen teilst du uns bis zum Ende des Vertrags in Textform mit. Geht bis dahin kein Verlangen ein, löschen wir. Während der Vertragslaufzeit kannst du die Vertragsdaten jederzeit in deinem Nutzerkonto einsehen; sichere dir die Inhalte, auf die du nach Vertragsende noch zugreifen möchtest, vor dem Vertragsende selbst.
3. Rückgabeformat: Die Rückgabe erfolgt in dem Format, in dem die Daten bei uns vorliegen, über einen gesicherten Übertragungsweg. Eine Aufbereitung oder eine Umwandlung in ein bestimmtes Format schulden wir nicht.
4. Löschfrist: Die Löschung erfolgt innerhalb von 30 Tagen nach Vertragsende beziehungsweise nach Abschluss einer Rückgabe. Backups werden im Rahmen der regulären Backup-Rotation überschrieben; bis dahin bleiben die Daten gegen Zugriff gesichert und werden nicht mehr aktiv verarbeitet.
5. Ausgenommen sind Daten, für die gesetzliche Aufbewahrungspflichten bestehen. Diese werden für die Dauer der Aufbewahrungspflicht in der Verarbeitung eingeschränkt (Art. 18 DSGVO) und danach gelöscht.
6. Wir bestätigen dir die Löschung auf Verlangen in Textform.

10. Nachweis- und Kontrollrechte (Art. 28 Abs. 3 Satz 2 lit. h DSGVO)

1. Wir stellen dir die Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind. Nicht geschuldet ist die Offenlegung von Geschäftsgeheimnissen, von Daten anderer Kunden sowie von Einzelheiten der Sicherheitsarchitektur, deren Offenlegung die Sicherheit der Verarbeitung gefährden würde; in diesem Umfang erfolgt der Nachweis in zusammengefasster Form.
2. Nachweis in erster Stufe erfolgt durch aktuelle Selbstauskunft, die Anlagen 1 und 2 dieses Vertrags sowie, soweit vorhanden, durch Zertifikate, Testate oder Prüfberichte unabhängiger Stellen; dazu zählen auch solche unserer Unterauftragsverarbeiter, soweit sie die von uns genutzten Leistungen abdecken.
3. Überprüfung und Inspektion: Genügen die Nachweise nach Nr. 2 nicht, kannst du eine Überprüfung einschließlich Inspektion durchführen oder durch einen beauftragten Prüfer durchführen lassen (Art. 28 Abs. 3 Satz 2 lit. h DSGVO). Es gilt:
   • du legst in Textform dar, welche Pflicht aus Art. 28 DSGVO sich aus den Nachweisen nach Nr. 2 nicht beurteilen lässt; die Überprüfung beschränkt sich auf diesen Gegenstand;
   • Ankündigung mit einer Frist von mindestens vier Wochen in Textform, außer bei wichtigem Grund;
   • Ort und Form: Die Überprüfung erfolgt als Fernprüfung, etwa durch Einsicht in Unterlagen, Bildschirmfreigabe und Auskunft in einem Videotermin. Wir betreiben keine eigenen Rechenzentren, keine eigenen Serverräume und keine physischen Datenträger mit Vertragsdaten; die Maßnahmen nach Anlage 1 sind organisatorischer oder softwareseitiger Natur und aus der Ferne vollständig prüfbar. Eine Prüfung in unseren Räumen findet statt, soweit der nach dem ersten Punkt dargelegte Prüfgegenstand sie erfordert;
   • Durchführung zu üblichen Geschäftszeiten, ohne unverhältnismäßige Störung des Betriebs;
   • Beschränkung auf eine Überprüfung je Kalenderjahr, es sei denn, es liegt ein wichtiger Grund vor, insbesondere konkrete Anhaltspunkte für einen Verstoß oder eine Kontrolle durch eine Aufsichtsbehörde;
   • die Überprüfung erfolgt gegen Unterzeichnung einer Verschwiegenheitserklärung, soweit Daten und Geschäftsgeheimnisse anderer Kunden sowie die eingesetzten Sicherheitsmaßnahmen betroffen sind; dies gilt nicht gegenüber einer Aufsichtsbehörde;
   • ein von dir beauftragter Prüfer muss unabhängig und zur Berufsverschwiegenheit verpflichtet sein; steht er in einem Wettbewerbsverhältnis zu uns, haben wir ein begründetes Einspruchsrecht.
4. Jede Partei trägt die ihr durch eine Überprüfung entstehenden eigenen Kosten. Unsere Mitwirkung ist mit einem Aufwand von acht Stunden je Kalenderjahr abgedeckt; für darüber hinausgehenden Aufwand können wir eine angemessene Vergütung nach unseren üblichen Sätzen verlangen. Dies gilt nicht, soweit die Überprüfung auf einem von uns zu vertretenden Anlass beruht.
5. Wir dulden Kontrollen durch die zuständige Aufsichtsbehörde und wirken daran mit.

11. Unsere weiteren Pflichten

1. Wir gestalten unsere innerbetriebliche Organisation so, dass sie den Anforderungen dieses Vertrags und der DSGVO genügt.
2. Wir führen ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten im Auftrag nach Art. 30 Abs. 2 DSGVO.
3. Wir berichtigen, löschen oder schränken die Verarbeitung von Vertragsdaten ein, wenn du dies anweist.
4. Wir unterrichten dich unverzüglich, wenn eine Aufsichtsbehörde Maßnahmen gegen uns richtet, die die Vertragsdaten betreffen können.
5. Kontaktstelle für Datenschutz bei uns: [email protected]
6. Wir benennen einen Datenschutzbeauftragten, soweit wir nach Art. 37 DSGVO, § 38 BDSG dazu verpflichtet sind, und teilen dir dessen Kontaktdaten in Textform mit.

12. Haftung

1. Es gilt Art. 82 DSGVO.
2. Im Innenverhältnis gelten die Haftungsregelungen des Hauptvertrags entsprechend, soweit Art. 82 DSGVO dem nicht entgegensteht.
3. Wir haften nicht für Schäden, die darauf beruhen, dass du Stellenanzeigen zur Prüfung benannt hast, zu deren Freigabe du nicht berechtigt warst, oder dass du entgegen Ziffer 1.4 besondere Kategorien personenbezogener Daten in Stellenanzeigen aufgenommen hast.

13. Schlussbestimmungen

1. Vorrang: Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in datenschutzrechtlicher Hinsicht vor. Bei Widersprüchen zwischen diesem Vertrag und den Anlagen geht dieser Vertrag vor.
2. Form: Änderungen und Ergänzungen bedürfen der Textform (Art. 28 Abs. 9 DSGVO). Das gilt auch für die Änderung dieser Klausel.
3. Anlagen: Anlage 1 (Technische und organisatorische Maßnahmen) und Anlage 2 (Unterauftragsverarbeiter) sind Bestandteil dieses Vertrags. Wir halten beide in jeweils aktueller Fassung bereit.
4. Salvatorische Klausel: Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
5. Anwendbares Recht und Gerichtsstand: Es gilt deutsches Recht. Gerichtsstand ist Hamburg, soweit du Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen bist.

Auftraggeber (Kunde)

Ort, Datum: ______________________

Name, Funktion: ______________________

Unterschrift: ______________________

Auftragnehmer - d.vinci Lab GmbH

Ort, Datum: ______________________

Name, Funktion: ______________________

Unterschrift: ______________________

Anlage 1 zum AVV - Technische und organisatorische Maßnahmen

gemäß Art. 32 DSGVO

d.vinci Lab GmbH · ai.lytics Fassung: 1.4 · Stand: 7. September 2026

Vorbemerkung: Art der Verarbeitung

ai.lytics ist eine reine Cloud-Anwendung ohne eigene Rechenzentrumsinfrastruktur. Der Betrieb erfolgt ausschließlich über Auftragsverarbeiter. Die Verarbeitungsorte der Vertragsdaten im Sinne von Ziffer 1 des AVV liegen in der Europäischen Union (Anlage 2); für den Versand von Konto-E-Mails wird ergänzend ein Dienstleister mit Verarbeitung in den USA eingesetzt, dem keine Vertragsdaten übermittelt werden (Anlage 2, Abschnitt I). Maßnahmen der Zutrittskontrolle im klassischen Sinn - Gebäudesicherung, Serverräume, Besucherverwaltung - obliegen daher den eingesetzten Betreibern; die entsprechenden Nachweise sind über deren Zertifizierungen zu führen (Anlage 2).

Gegenstand der Verarbeitung sind ausschließlich Inhalte, die du selbst öffentlich im Internet veröffentlicht hast. Es werden keine Bewerberdaten, keine Personalakten und keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeitet. Das Schutzbedarfsniveau ist entsprechend als normal eingestuft.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle

Kein eigener Rechenzentrumsbetrieb. Der physische Schutz der Verarbeitungssysteme wird durch die eingesetzten Infrastrukturanbieter gewährleistet:

Arbeitsplätze: Bildschirmsperre, verschlossene Büroräume am Standort Nagelsweg 37-39.

1.2 Zugangskontrolle

• Passwortlose Authentifizierung: Der Zugang zum Nutzerkonto erfolgt über zeitlich befristete Einmal-Anmeldelinks (Magic Link). Es werden keine Passwörter gespeichert; damit entfallen Passwortdiebstahl, Wiederverwendung und Klartextspeicherung als Angriffsvektoren.
• Bot- und Missbrauchsschutz: Anmelde- und Registrierungsvorgänge sind durch ein Captcha-Verfahren (Cloudflare Turnstile) abgesichert.
• Sitzungsverwaltung: Sitzungen werden über signierte, zeitlich begrenzte Token verwaltet und laufen automatisch ab.
• Angriffsschutz auf Netzebene: Vorgeschaltete Web Application Firewall und DDoS-Schutz (Cloudflare).
• Verschlüsselte Übertragung: Sämtliche Verbindungen ausschließlich über TLS (HTTPS).
• Administrativer Zugang: Zwei-Faktor-Authentisierung für alle administrativen Zugänge zu Supabase, Railway, Cloudflare, Stripe und dem Code-Repository.

1.3 Zugriffskontrolle

• Mandantentrennung auf Datenbankebene: Der Zugriff auf Datensätze wird durch Row-Level-Security-Richtlinien in der Datenbank erzwungen. Die Zuordnung erfolgt über die Kontokennung; ein Zugriff auf Daten anderer Kunden ist auf Datenbankebene ausgeschlossen und nicht allein von der Anwendungslogik abhängig.
• Entzug allgemeiner Rechte: Für die geschützten Tabellen sind die Rechte der allgemeinen Datenbankrollen ausdrücklich entzogen; schreibender Zugriff erfolgt ausschließlich über dienstseitige Rollen.
• Kreis der Berechtigten: Der Kreis administrativ berechtigter Personen ist auf das für den Betrieb notwendige Maß begrenzt und namentlich bekannt. Bei Austritt oder Rollenwechsel werden die Zugänge entzogen.
• Protokollierung: Administrative Zugriffe und sicherheitsrelevante Ereignisse werden durch die eingesetzten Plattformen protokolliert (Supabase, Railway, Cloudflare). Die Einsicht erfolgt anlassbezogen. Die Aufbewahrungsdauer richtet sich nach den Fristen der jeweiligen Anbieter.

1.4 Trennungskontrolle

• Logische Mandantentrennung über Row-Level-Security (siehe 1.3).
• Getrennte Umgebungen: Produktion und Staging sind vollständig getrennte Projekte mit eigenen Zugangsdaten. Ein Schutzmechanismus in den Betriebsskripten verhindert, dass Staging-Operationen versehentlich gegen die Produktionsumgebung ausgeführt werden.
• Keine Kundendaten in Testumgebungen: Daten aus der Produktionsumgebung werden nicht in die Testumgebung übernommen. Für Funktionstests werden öffentlich zugängliche Stellenanzeigen verwendet. Soweit deren Text personenbezogene Daten enthält, unterliegt die Verarbeitung in der Testumgebung denselben technischen und organisatorischen Maßnahmen wie in der Produktionsumgebung; die Testumgebung ist ein eigenes Projekt in derselben EU-Region.

1.5 Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO)

• Verschlüsselung bei der Übertragung: durchgängig TLS.
• Verschlüsselung im Ruhezustand: Die Datenbank wird durch den Anbieter verschlüsselt gespeichert (AES-256). Die Verschlüsselung ist Bestandteil der Plattform und nicht abschaltbar.
• Trennung von Geheimnissen: Zugangsschlüssel zu externen Diensten werden nicht im Quellcode gehalten, sondern als geschützte Umgebungsvariablen beziehungsweise im Secret Store der Plattform verwaltet.
• Keine Zahlungsdaten im System: Vollständige Zahlungsmitteldaten werden zu keinem Zeitpunkt an unsere Systeme übertragen oder dort gespeichert; die Eingabe erfolgt unmittelbar beim Zahlungsdienstleister.
• Pseudonymisierung: wird derzeit nicht eingesetzt. Die verarbeiteten Inhalte sind öffentlich veröffentlichte Anzeigentexte; eine Pseudonymisierung würde den Verarbeitungszweck
  • die Bewertung des tatsächlich veröffentlichten Textes - vereiteln.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Eingabekontrolle

• Änderungen an Nutzerdaten sind an das jeweilige Konto gebunden und über Zeitstempel nachvollziehbar.
• Analyseläufe werden mit Zeitpunkt und Ergebnis dauerhaft dokumentiert; jede Momentaufnahme eines Anzeigentextes ist einem Lauf zugeordnet.
• Die Aufbewahrungsdauer der Anwendungsprotokolle richtet sich nach den Fristen des Hosting-Anbieters.

2.2 Weitergabekontrolle

• Ausschließlich verschlüsselte Übertragung (TLS).
• Absicherung gegen Manipulation der Analyse: Inhalte aus abgerufenen Fremdseiten werden vor der Übergabe an das Analysemodell als Daten gekennzeichnet und von Anweisungen getrennt (Prompt-Fencing). Dadurch können in Seiteninhalte eingebettete Anweisungen die Verarbeitung nicht umsteuern. Die Wirksamkeit ist durch automatisierte Tests abgesichert.
• Begrenzung des Übermittlungsumfangs: Der an das Analysemodell übergebene Text ist der Länge nach begrenzt.
• Empfänger und Verarbeitungsorte der Vertragsdaten im Sinne von Ziffer 1 des AVV - also der personenbezogenen Daten aus den zur Prüfung benannten Stellenanzeigen - sind in Anlage 2 abschließend dokumentiert.

2.3 Auftragskontrolle

• Auswahl der Unterauftragsverarbeiter nach Eignung und Nachweisen; Verarbeitungsort vorrangig in der EU.
• Vertragliche Bindung nach Art. 28 DSGVO; Dokumentation in Anlage 2.
• Überprüfung der Unterauftragsverarbeiter bei Aufnahme sowie anlassbezogen bei Kenntnis von Änderungen ihrer Verarbeitung oder ihrer Transfergrundlagen.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b, lit. c DSGVO)

• Verwaltete Infrastruktur mit Redundanz auf Ebene der Anbieter; Verarbeitungsorte in der EU.
• Angriffs- und Überlastschutz durch vorgeschaltete WAF und DDoS-Abwehr (Cloudflare).
• Kostendeckel für automatisierte Läufe: Nächtliche Analyseläufe sind mengenmäßig gedeckelt, um Überlast und unkontrollierten Ressourcenverbrauch zu verhindern.
• Datensicherung: Die Datenbank wird täglich automatisch durch den Datenbankanbieter gesichert; die Aufbewahrungsdauer der Sicherungen beträgt sieben Tage. Die Sicherungen werden vom Anbieter verschlüsselt und in der Projektregion (EU West, Irland) verwahrt.
• Wiederherstellbarkeit: Die Wiederherstellung aus der Sicherung ist über den Datenbankanbieter möglich. Ein dokumentierter Wiederherstellungstest ist vorgesehen und bislang nicht durchgeführt; verbindliche Werte für Wiederherstellungszeit und maximal tolerierten Datenverlust sind daher nicht zugesagt. Aus der täglichen Sicherung folgt ein maximaler Datenverlust von bis zu 24 Stunden.

4. Verfahren zur regelmäßigen Überprüfung und Bewertung (Art. 32 Abs. 1 lit. d DSGVO)

4.1 Etablierte Verfahren

• Automatisierte Qualitätssicherung vor jeder Auslieferung: Der verpflichtende Testlauf umfasst statische Typprüfung, Unit- und Integrationstests, Tests der Datenbankfunktionen einschließlich der Zugriffsrichtlinien sowie eine automatisierte Prüfung der eingesetzten Abhängigkeiten auf bekannte Schwachstellen ab Schweregrad „hoch”.
• Versionskontrolle und Änderungsnachverfolgung: Alle Änderungen an Anwendung und Datenbankschema erfolgen über versionierte Migrationen und sind nachvollziehbar.
• Trennung von Entwicklungs- und Produktionsumgebung mit technischem Schutz gegen versehentliche Produktionszugriffe (siehe 1.4).
• Getrenntes Freigabeverfahren: Änderungen gelangen über Merge Requests in den Produktionsstand; direkte Änderungen am Produktionszweig sind ausgeschlossen.

4.2 Organisatorische Maßnahmen

• Verpflichtung auf Vertraulichkeit: Alle mit der Verarbeitung befassten Personen sind arbeitsvertraglich zur Vertraulichkeit verpflichtet; die Verpflichtung besteht nach Beendigung der Tätigkeit fort.
• Verzeichnis von Verarbeitungstätigkeiten: Ein Verzeichnis der Kategorien von Verarbeitungstätigkeiten im Auftrag nach Art. 30 Abs. 2 DSGVO wird geführt und der Aufsichtsbehörde auf Verlangen vorgelegt.
• Datenschutzbeauftragter: Eine Bestellung ist nicht erforderlich. Es sind weniger als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst (§ 38 Abs. 1 Satz 1 BDSG); eine Verarbeitung, die nach Art. 37 Abs. 1 DSGVO zur Bestellung verpflichtet, findet nicht statt.
• Verfahren bei Datenschutzverletzungen: Erstkontakt ist die Geschäftsführung, erreichbar über [email protected]. Nach Bekanntwerden erfolgen die Bewertung des Vorfalls und die Meldung an dich unverzüglich (Ziffer 8 des AVV).
• Überprüfung dieser Maßnahmen: mindestens jährlich sowie anlassbezogen bei wesentlichen Änderungen der Verarbeitung.

5. Datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO)

• Datenminimierung durch Zuschnitt der Verarbeitung: Es werden ausschließlich öffentlich zugängliche Inhalte abgerufen. Ein Zugriff auf Systeme, Netzwerke oder Bewerbermanagement deines Unternehmens findet nicht statt und ist technisch nicht vorgesehen.
• Keine Trainingsnutzung: Die eingesetzten Modellschnittstellen werden unter Bedingungen genutzt, nach denen übermittelte Inhalte nicht zum Training verwendet werden.
• Keine Tracking- oder Werbe-Cookies.
• Löschung mit dem Bezugsobjekt: Wird eine Stellenanzeige aus der Nachverfolgung entfernt, werden die zugehörigen Momentaufnahmen und Analyseergebnisse durch referenzielle Löschweitergabe in der Datenbank mitgelöscht.

Stand der Prüfung

Alle Angaben dieser Anlage wurden am 7. September 2026 geprüft: die technischen Maßnahmen gegen den Quellcode und die Infrastruktur, die organisatorischen gegen die Auskunft der Geschäftsführung. Angaben, die sich nicht bestätigen ließen, wurden gestrichen und nicht behauptet.

Diese Anlage beschreibt die getroffenen Maßnahmen. Sie ist keine abschließende Aufzählung denkbarer Maßnahmen: Aus der Nichterwähnung einer Maßnahme folgt weder, dass sie getroffen ist, noch dass sie es nicht ist. Auskunft über eine bestimmte, hier nicht genannte Maßnahme erteilen wir nach Ziffer 10 Nr. 1 des Vertrags.

Diese Anlage wird mindestens jährlich sowie anlassbezogen bei wesentlichen Änderungen der Verarbeitung überprüft und fortgeschrieben.

Anlage 2 zum AVV - Unterauftragsverarbeiter

d.vinci Lab GmbH · ai.lytics Fassung: 1.6 · Stand: 7. September 2026

I. Standard-Unterauftragsverarbeiter

Diese Unterauftragsverarbeiter sind integraler Bestandteil des Dienstes ai.lytics. Ohne sie kann die Leistung nicht erbracht werden. Ihrem Einsatz stimmst du mit Abschluss des AVV zu (Ziffer 6 Nr. 1 des AVV).

Hinweise zu einzelnen Einträgen

Supabase - Verarbeitungsort und Vertragspartnerin sind auseinanderzuhalten. Die Datenbank selbst liegt in der EU-Region West (Irland); die Daten werden dort gespeichert. Vertrags- und Datenimporteurin nach dem Supabase-DPA ist jedoch die Supabase Pte. Ltd mit Sitz in Singapur. Für Singapur besteht kein Angemessenheitsbeschluss der Europäischen Kommission; die Übermittlung stützt sich daher auf Standardvertragsklauseln. Diese Unterscheidung ist gegenüber Kunden offen auszuweisen - die Aussage „die Daten liegen in der EU” ist für sich genommen zutreffend, aber unvollständig.

OpenAI - die Übermittlung verlässt den EWR nicht. Der Auftragsverarbeitungsvertrag von OpenAI wird für Kunden mit Sitz im Europäischen Wirtschaftsraum mit der OpenAI Ireland Limited geschlossen. Unsere Übermittlung geht damit an eine Empfängerin im EWR und ist keine Drittlandsübermittlung; einer eigenen Transfergrundlage bedarf sie nicht.

Nach Abschnitt 4.1 des OpenAI-DPA überträgt OpenAI Ireland Limited die Daten zur Erbringung der Leistung an Konzerngesellschaften und Dritte außerhalb des EWR weiter - auf Grundlage von Vereinbarungen mit Standardvertragsklauseln oder eines Angemessenheitsbeschlusses nach Art. 45 DSGVO. Diese Weiterübermittlung liegt in der Verantwortung von OpenAI; die d.vinci Lab GmbH ist daran nicht als Datenexporteurin beteiligt.

Nicht zu verwechseln: Abschnitt 8.3 des OpenAI-DPA benennt die OpenAI OpCo, LLC (San Francisco) als Datenimporteurin und den Kunden als Datenexporteur. Diese Angabe steht unter der Überschrift „SCC-Informationen für die Übertragung von Daten aus dem Vereinigten Königreich gemäß Abschnitt 4.2” und gilt ausschließlich für Daten aus dem Vereinigten Königreich. Für Daten aus dem EWR gilt Abschnitt 4.1.

Unterauftragsverarbeiter von OpenAI: Liste unter platform.openai.com/subprocessors. Änderungen teilt OpenAI mit; uns steht ein Widerspruchsrecht von 30 Tagen zu (Abschnitt 2.9 des OpenAI-DPA).

OpenAI - keine Nutzung zu Trainingszwecken. Die Schnittstellen werden unter Bedingungen genutzt, nach denen übermittelte Inhalte nicht zum Training der Modelle verwendet werden.

Plausible - kein Personenbezug. Die Reichweitenmessung erfolgt ohne Cookies und ohne Speicherung von IP-Adressen. Der Eintrag erfolgt der Vollständigkeit halber.

II. Eigenverantwortliche Empfänger - keine Unterauftragsverarbeiter

Die folgenden Dienstleister sind keine Unterauftragsverarbeiter von uns. Sie verarbeiten personenbezogene Daten als eigene Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO und unterliegen daher nicht dem Genehmigungsvorbehalt nach Ziffer 6 des AVV. Die Aufführung erfolgt zur Transparenz.

Stripe erhebt und verarbeitet Zahlungsdaten unmittelbar; vollständige Zahlungsmitteldaten gelangen zu keinem Zeitpunkt in unsere Systeme. Für diese Verarbeitungen gilt die Datenschutzerklärung von Stripe.

III. Änderungen dieser Liste

Wir informieren dich über die beabsichtigte Hinzuziehung eines weiteren oder den Austausch eines bestehenden Unterauftragsverarbeiters mindestens 14 Tage vor Wirksamwerden in Textform. Dir steht ein Widerspruchsrecht nach Maßgabe von Ziffer 6 des AVV zu.

Weitere Verarbeitungsebenen. Die in Abschnitt I genannten Unterauftragsverarbeiter setzen ihrerseits eigene Unterauftragsverarbeiter ein. Deren Auswahl, Prüfung und Kontrolle obliegt dem jeweiligen Anbieter; er ist uns gegenüber nach Art. 28 Abs. 2 DSGVO zur Information über Änderungen und nach Art. 28 Abs. 4 DSGVO auf ein gleichwertiges Schutzniveau verpflichtet. Die jeweils aktuelle Liste dieser weiteren Ebenen führt der jeweilige Anbieter und ist über dessen Unterlagen abrufbar. Eine eigene Information über Änderungen auf diesen Ebenen schulden wir nicht; die Frist nach Ziffer 6 Nr. 2 des Vertrags gilt für die in Abschnitt I abgebildete Ebene. Wird uns eine Änderung bekannt, die eine Angabe dieser Anlage unrichtig macht, berichtigen wir die Anlage.

Diese Anlage ist in ihrer jeweils aktuellen Fassung unter ai-lytics.de/avv abrufbar.