Auftragsverarbeitungsvertrag (AVV)

Auftraggeber (Verantwortlicher): Der Kunde, der den HOVIGuard-Service auf Basis der AGB nutzt.

Auftragnehmer (Auftragsverarbeiter):

Ing. Dipl.-Ing. (FH) Karl J. Pilz, Einzelunternehmen
Sagmüllerweg 8, 5081 Anif-Niederalm, Salzburg, Österreich
UID-Nr.: ATU 66845907
E-Mail Datenschutz: datenschutz@hoviguard.eu

HOVIGuard verarbeitet personenbezogene Daten ausschließlich im Auftrag des Kunden im Rahmen der Bereitstellung des KI-Sicherheits- und Governance-Gateways. Die Verarbeitung umfasst:

• Entgegennahme, Sicherheits-Prüfung und Weiterleitung von Benutzer-Prompts an KI-Modelle
• Inhaltsprüfung (PII-Erkennung, Content-Safety nach Qwen3Guard, NSFW-Filter)
• Verwaltung von Benutzerkonten, Rollen und Zugriffsrechten innerhalb des Tenants
• Speicherung von Konversationen, hochgeladenen Dateien und Konfigurationen
• Token- und Nutzungsmessung für die Abrechnung
• Audit-Logging zur Compliance-Nachweisführung

Die Verarbeitung beginnt mit der Registrierung des Tenants und endet mit Löschung des Tenant-Kontos. Nach Vertragsende werden alle personenbezogenen Daten innerhalb von 30 Tagen gelöscht oder, soweit gesetzliche Aufbewahrungspflichten bestehen (§ 132 BAO, 7 Jahre), pseudonymisiert/gesperrt.

• Stammdaten: Name, Geschäfts-E-Mail, Sprache
• Zugangsdaten: Argon2id-Passwort-Hash, Session-Tokens, optional 2FA-Seeds
• Nutzungsdaten: Prompt-Inhalte, KI-Antworten, Token-Verbrauch, gewählte Modelle
• Datei-Inhalte: vom Endnutzer hochgeladene Dokumente, Bilder, deren Metadaten
• Kommunikationsdaten: IP-Adresse (nach 7 Tagen pseudonymisiert), User-Agent, Geräte-ID
• Abrechnungsdaten: Firmen-/Rechnungsadresse, USt-IdNr., Stripe-Customer-ID, Zahlungsmittel-Token (keine Kartennummern)
• Audit-Daten: Aktionsprotokolle, Sicherheitsentscheidungen, Policy-Verstöße

• Mitarbeiter und Beauftragte des Kunden, die als Endnutzer des Tenants registriert sind
• Personen, deren Daten in Prompts oder hochgeladenen Dateien enthalten sein können (Dritte)
• Rechnungs- und Vertragsansprechpartner des Kunden

6.1 Weisungsgebundenheit. HOVIGuard verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden. Die Nutzung gemäß AGB sowie die Tenant-Konfiguration durch den Company-Admin (Sicherheitsrichtlinien, Modell-Whitelist, Retention) gelten als dokumentierte Weisung. Sonderweisungen sind in Textform an datenschutz@hoviguard.eu zu richten.

6.2 Vertraulichkeit. HOVIGuard verpflichtet alle Personen mit Datenzugang schriftlich zur Vertraulichkeit (Art. 28 Abs. 3 lit. b und Art. 29 DSGVO). Aktuell Einzelunternehmen ohne weitere Mitarbeiter; bei Hinzunahme externer Dienstleister erfolgt entsprechende Verpflichtung vor Datenzugang.

6.3 Technisch-organisatorische Maßnahmen. HOVIGuard gewährleistet die in Anhang A beschriebenen Maßnahmen nach Art. 32 DSGVO. Die TOMs werden mindestens jährlich überprüft.

6.4 Sub-Prozessoren. Aktuelle Liste in Anhang B. Hinzunahme/Austausch wird mit 30 Tagen Vorankündigung in Textform mitgeteilt; Widerspruchsrecht und außerordentliches Kündigungsrecht.

6.5 Unterstützungspflichten. HOVIGuard unterstützt im Rahmen technischer Möglichkeiten bei Betroffenenrechten (Art. 15–22), DSFA (Art. 35/36) und Meldungen an Aufsichtsbehörden (Art. 33).

6.6 Löschung und Rückgabe. Datenexport (JSON/ZIP) auf Anforderung; Löschung in DB, Objekt-Storage und Backups innerhalb von 30 Tagen nach Vertragsende; pseudonymisierte Aufrechterhaltung gesetzlicher Aufbewahrungen; schriftliche Bestätigung auf Anforderung.

6.7 Verzeichnis nach Art. 30 Abs. 2 DSGVO. HOVIGuard führt ein internes Verzeichnis und stellt es Aufsichtsbehörde und Kunde auf Anforderung bereit.

• Rechtmäßigkeit der Verarbeitung gegenüber den eigenen Endnutzern (Rechtsgrundlage, Information nach Art. 13/14 DSGVO)
• Konfiguration der Sicherheits- und Inhaltsrichtlinien im Tenant (Modell-Whitelist, PII-Sensitivität, NSFW, Upload-Typen)
• Beachtung der Aufbewahrungsfristen für Konversationen und Dateien
• Information der eigenen Endnutzer über den Einsatz von HOVIGuard und die KI-Provider gemäß Anhang B
• Sicherstellung, dass besondere Kategorien (Art. 9 DSGVO) nur mit gültiger Rechtsgrundlage verarbeitet werden
• Unverzügliche Information von HOVIGuard bei Datenschutzverletzungen oder Betroffenenanfragen mit HOVIGuard-Bezug

• Self-Service-Audit: jederzeitige Einsicht in tenant-bezogene Audit-Logs über das Admin-Dashboard.
• TOM-Bericht: einmal pro Kalenderjahr kostenfrei auf Anforderung.
• Vor-Ort- oder Remote-Audit: einmal jährlich nach 30 Tagen Vorankündigung, während Geschäftszeiten, ohne Beeinträchtigung anderer Kunden, beschränkt auf datenschutzrelevante Aspekte des Tenants. Kosten trägt der Kunde, sofern nicht durch eine konkrete Datenschutzverletzung veranlasst.
• Audit-Berichte Dritter: Erfüllung durch Vorlage aktueller Zertifikate (z. B. künftiger ISO-27001-/SOC-2-Berichte oder Sub-Prozessor-Zertifikate) zulässig.

Die primäre Verarbeitung erfolgt ausschließlich in der EU/im EWR. Übermittlungen in Drittländer werden auf das technisch unvermeidbare Mindestmaß beschränkt.

Die KI-Modell-Sub-Prozessoren haben überwiegend US-Mutterkonzerne (OpenAI Inc., Google LLC, Stripe Inc., X.AI Corp.); Requesty Ltd. sitzt in UK (Angemessenheitsbeschluss). Die Daten verlassen die EU-Verarbeitungsregion technisch zu keinem Zeitpunkt — der einzige theoretische Übermittlungsweg ist eine behördliche Anordnung nach US CLOUD Act, FISA 702 oder EO 12333.

Transfer Impact Assessment. HOVIGuard hat ein TIA gemäß EDPB-Empfehlungen 01/2020 durchgeführt und dokumentiert. Risiken (FISA 702, EO 12333, Cloud Act) werden begrenzt durch: Tokenisierung Zahlungsdaten, TLS 1.3 + AES-256, keine Übermittlung von KI-Konversationsinhalten an Stripe, OpenAI-Verarbeitung erzwungen auf EU-Endpoint (eu.api.openai.com) und Vertex-AI auf EU Multi-Region, xAI-Verarbeitung erzwungen auf EU-Region (eu-west-1) mit Zero Retention, IP-Pseudonymisierung nach 7 Tagen, Beschwerderechte bei DSB und US Data Protection Review Court (EO 14086). TIA-Doku auf Anforderung.

Strikt EU-only für KI-Inferenz. KI-Modelle und Bildgenerierung laufen ausschließlich auf EU-gehosteten Endpunkten. Der Modell-Katalog blockiert Nicht-EU-Modelle.

• Prompts und Antworten werden nicht zum Training oder Fine-Tuning verwendet — weder durch HOVIGuard noch durch eingesetzte Sub-Prozessoren
• Primär-Aggregator Requesty: „We do not train ML models on your data" (Logging = Disabled = Zero Data Retention); Modell-Provider-Training nur bei explizitem, deaktiviertem Opt-in
• OpenAI (EU-Endpoint) und Google Vertex AI: „Zero Data Retention" bzw. Customer Data vertraglich vom Training ausgeschlossen
• Direkt angesteuerte Inferenz-Anbieter (z. B. xAI Grok, AWS Bedrock nach Service Terms §50.3) ausschließlich über Enterprise-/Zero-Retention-Endpunkte; Eden AI (nur Bildgenerierung) vertraglich auf Zero-Retention konfiguriert
• Keine Weitergabe von Inhalten an Dritte außerhalb der gelisteten Sub-Prozessoren
• Telemetrie und Qualitäts-Metriken nur aggregiert und ohne Inhaltsbezug

• Strikte logische Datentrennung anhand tenant_id in allen Datenbank-Abfragen
• Separate MinIO-Buckets pro Tenant
• Anwendungsseitige RLS-Filter; PostgreSQL Row-Level-Security in Vorbereitung
• Tenant-spezifische Sicherheitsrichtlinien
• Cross-Tenant-Zugriffe werden im Audit-Log markiert und alarmiert

HOVIGuard meldet jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntniserlangung, spätestens innerhalb von 72 Stunden in Textform an die im Tenant hinterlegte Admin-Adresse. Zielwert: ≤ 24 Stunden bei werktäglicher Kenntniserlangung; bei Wochenend-/Feiertags-Detektion bis zu 48–72 Stunden. Die Meldung enthält die in Art. 33 Abs. 3 DSGVO geforderten Angaben, soweit verfügbar, und wird laufend ergänzt. Detail-Prozess in legal/INCIDENT_RESPONSE_PLAYBOOK.md.

Die Haftung richtet sich nach Art. 82 DSGVO. Die vertragliche Haftung von HOVIGuard ist auf die in den AGB §11 vereinbarten Grenzen beschränkt. Die gesetzliche Haftung für Vorsatz und grobe Fahrlässigkeit sowie nach DSGVO bleibt unberührt.

14.1 Akzeptanz.

• Standard-Tenants (Self-Service, Pro-Plan): Mit Akzeptanz der AGB im Registrierungs- und Checkout-Flow akzeptiert der Kunde diesen AVV als Bestandteil des Nutzungsvertrags. AGB §7 verweist explizit auf diesen AVV. Die jeweils aktuelle Fassung ist online unter hoviguard.eu/avv abrufbar.Geplante Verschärfung (Q3 2026): zusätzliche separate AVV-Akzeptanz-Checkbox im Stripe-Checkout mit Timestamp-Speicherung in der Datenbank zur Erfüllung der Nachweispflicht nach Art. 5 Abs. 2 DSGVO.
• Enterprise-Tenants: Auf Wunsch wird zusätzlich eine separat unterschriftsfähige Fassung (PDF mit Original- oder qualifizierter elektronischer Signatur) ausgehändigt. Anforderung über datenschutz@hoviguard.eu.

14.2 Rangfolge. Bei Widerspruch zwischen AGB, Datenschutzerklärung und diesem AVV gehen die Regelungen dieses AVV in Bezug auf die Auftragsverarbeitung vor.

14.3 Änderungen. Mit 30 Tagen Vorankündigung über die im Tenant hinterlegte Admin-Adresse. Wesentliche Änderungen zu Lasten des Kunden gewähren ein Sonderkündigungsrecht.

14.4 Schriftform. Sonderweisungen, Audit-Anforderungen, Kündigungen und Widersprüche bedürfen der Textform (E-Mail an datenschutz@hoviguard.eu genügt).

14.5 Schluss. Es gilt österreichisches Recht unter Ausschluss des UN-Kaufrechts. Gerichtsstand: Salzburg, Österreich. Aufsichtsbehörde HOVIGuard: Österreichische Datenschutzbehörde (DSB), Barichgasse 40-42, 1030 Wien.

Die folgenden Weisungen gelten als vom Kunden mit Akzeptanz dieses AVV erteilt:

1. Verarbeitung der in §4 genannten Datenkategorien zu den in §3 genannten Zwecken
2. Speicherung in EU-Rechenzentren gemäß Anhang B
3. Weiterleitung von Prompts an die im Tenant aktivierten KI-Modelle
4. Anwendung der vom Company-Admin konfigurierten Sicherheitsrichtlinien
5. Erstellung von Audit-Logs für Compliance-Zwecke (7 Jahre)
6. Übermittlung von Abrechnungsdaten an Stripe gemäß §9
7. Versand von Transaktions-E-Mails über All-Inkl gemäß §9
8. Löschung/Anonymisierung gemäß §2 und §6.6 nach Vertragsende

Abweichende oder zusätzliche Weisungen sind in Textform an datenschutz@hoviguard.eu zu richten.