Auftragsverarbeitungsvertrag

1 Geltung und Vertragsschluss

Der Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO tritt automatisch in Kraft, sobald ein Kunde ein Nutzerkonto bei anymize erstellt und die AGB akzeptiert oder den Service erstmalig nutzt. Eine gesonderte Unterzeichnung ist nicht erforderlich. Auf Wunsch schließen wir den Vertrag zusätzlich in beidseitig unterzeichneter Form; der Inhalt bleibt dabei unverändert.

Der AVV ist Bestandteil der Allgemeinen Geschäftsbedingungen und hat in Bezug auf datenschutzrechtliche Regelungen Vorrang. Er kann nicht durch einseitige Änderungen der AGB abgeändert werden.

2 Was der Vertrag regelt

• Gegenstand: Pseudonymisierung personenbezogener Daten in Dokumenten und Eingaben durch Hash-Tokenisierung, optionale Verarbeitung durch eigene oder externe Sprachmodelle, kontrollierte De-Pseudonymisierung durch den Verantwortlichen.
• Unterauftragsverarbeiter: Allgemeine Genehmigung für die in Anlage 2 genannten Unterauftragsverarbeiter, Information 30 Tage vor Änderungen, Widerspruch innerhalb von 14 Tagen ohne Begründung, Sonderkündigungsrecht bei Nichteinigung.
• Drittlandübermittlung: EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, sonst EU-Standardvertragsklauseln für Anbieter mit Sitz in den USA.
• Speicherung bei Modellanbietern: Zero Data Retention bei allen Modellanbietern: Eingaben und Ausgaben werden beim Anbieter nicht gespeichert. Einzige Ausnahme sind Claude Fable 5 und Claude Fable 5.1, für die Anthropic Eingaben und Ausgaben 30 Tage zur Sicherheitsüberwachung speichert.
• Besondere Kategorien: Für Daten nach Art. 9 DSGVO in größerem Umfang, etwa Patientendaten, empfehlen wir die eigenen Modelle von anymize, bei denen kein externer Modellanbieter beteiligt ist.
• Berufsgeheimnisse: Besondere Regelungen für Berufsgeheimnisträger nach § 203 StGB, Verpflichtung der ständig eingesetzten Unterauftragsverarbeiter nach § 203 Abs. 4 StGB, Klarstellung zum AI-Gateway und zu den LLM-Anbietern, Umgang mit behördlichen Ersuchen, Angebot einer Verschwiegenheitsvereinbarung.
• Datenschutzverletzungen: Erstmeldung an den Verantwortlichen innerhalb von 24 Stunden nach Kenntniserlangung, Nachmeldung innerhalb von 72 Stunden, Abschlussbericht.
• Löschung: Speicherfristen für Hash-Original-Paare wählbar, Löschung im Produktivsystem innerhalb von 30 Tagen nach Vertragsende.
• Prüfpflicht: Der Verantwortliche prüft die Pseudonymisierungsergebnisse vor der Weitergabe; Mitverantwortung nach Art. 82 Abs. 5 DSGVO und § 254 BGB, kein pauschaler Haftungsausschluss.
• Haftung: Nach Art. 82 DSGVO, gegenüber betroffenen Personen weder beschränkt noch ausgeschlossen; Haftungsgrenze nur im Innenverhältnis der Parteien.
• Änderungen: Ohne Zustimmung nur bei gesetzlicher Notwendigkeit oder zugunsten des Verantwortlichen; alle übrigen Änderungen nur mit Zustimmung in Textform.

3 Anlagen

Anlage 1: Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO, Version 3.2 vom 06.11.2026. Die Dokumentation ist vertraulich und wird Kunden und ihren Prüfern auf Anfrage unter datenschutz@anymize.ai bereitgestellt.

Anlage 2: Genehmigte Unterauftragsverarbeiter. Die aktuelle Liste ist unter https://anymize.ai/legal/unterauftragsverarbeiter abrufbar.

4 Änderungshistorie