Auftragsverarbeitungsvertrag (AVV)

Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag gem. Art. 28 DSGVO zwischen dem Kunden (Verantwortlicher) und dem Betreiber der Plattform BRIGADE (Auftragsverarbeiter).

1. Gegenstand und Dauer

Verarbeitung der vom Kunden in der Plattform gespeicherten personenbezogenen Daten (insb. Beschäftigten-, Kunden- und Lieferantendaten) für die Dauer des Nutzungsvertrags.

2. Art und Zweck der Verarbeitung

Hosting, Speicherung, Anzeige und Verarbeitung zur Bereitstellung der Funktionen (Warenwirtschaft, Personal, Buchhaltungs-Vorsysteme); keine Nutzung zu eigenen Zwecken des Auftragsverarbeiters.

3. Kategorien betroffener Personen

Beschäftigte, Kunden, Lieferanten und Ansprechpartner des Kunden.

4. Technische und organisatorische Maßnahmen

Verschlüsselte Übertragung (TLS), mandantengetrennte Datenhaltung, rollenbasierte Zugriffskontrolle, Zwei-Faktor-Authentifizierung, Protokollierung sicherheitsrelevanter Ereignisse, regelmäßige Datensicherung.

5. Unterauftragsverarbeiter

Eingesetzt werden:

• Hetzner Online GmbH (Deutschland) — Hosting, Objektspeicher für Belege und Personalakten, Datensicherung.
• Stripe Payments Europe Ltd. (Irland) — Zahlungsabwicklung.
• E-Mail-Versanddienstleister (Deutschland) — Transaktions-E-Mails (Einladungen, Erinnerungen, Belegversand).
• Amazon Web Services EMEA SARL (Luxemburg; Verarbeitung in der EU) — KI-Sprachmodelle über Amazon Bedrock für den KI-Assistenten, die Belegerkennung und die KI-Dokumentensuche. Einzelheiten in Abschnitt 5a.
• Brave Software, Inc. (USA) — nur wenn der Kunde die Websuche des KI-Assistenten ausdrücklich einschaltet. Einzelheiten in Abschnitt 5b.

Eine aktuelle Liste wird auf Anfrage bereitgestellt; über Änderungen wird informiert (Widerspruchsrecht).

5a. KI-Verarbeitung (Amazon Bedrock)

Inhalte, die der Kunde an den KI-Assistenten, die Belegerkennung oder die Dokumentensuche gibt, werden an Amazon Bedrock übermittelt und dort verarbeitet. Die Verarbeitung findet in EU-Regionen statt.

Die Anbieter der Sprachmodelle erhalten diese Daten nicht. Nach Angabe von AWS werden die Modelle in separaten, von AWS betriebenen Konten ausgeführt, auf die die Modellanbieter keinen Zugriff haben — weder auf Protokolle noch auf Eingaben oder Antworten. Eine Nutzung der Inhalte zum Training der Modelle findet nicht statt.

Schaltet der Kunde in den Einstellungen „eigenes Modell verwenden“ ein, gilt dieser Abschnitt nicht: Die Inhalte gehen dann an den vom Kunden selbst gewählten Anbieter, mit dessen Zugangsdaten. Dieser Anbieter ist dann Unterauftragsverarbeiter des Kunden; für Auswahl, Vertrag und Datenschutzniveau ist der Kunde verantwortlich.

5b. Websuche (optional, Drittlandsübermittlung)

Ist die Websuche des KI-Assistenten eingeschaltet, wird die Suchanfrage an Brave Software, Inc. (USA) übermittelt — nicht der Datenbestand und nicht der Gesprächsverlauf. Die Funktion ist standardmäßig aus und wird nur auf ausdrückliche Aktivierung durch den Kunden wirksam. Die Übermittlung in die USA stützt sich auf die Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Der Kunde stellt sicher, dass keine personenbezogenen Daten in Suchanfragen eingegeben werden.

6. Rechte der betroffenen Personen, Unterstützung

Der Auftragsverarbeiter unterstützt den Kunden bei Auskunft, Berichtigung, Löschung und Datenübertragbarkeit (u. a. durch die eingebaute Export-Funktion).

7. Löschung nach Vertragsende

Nach Vertragsende werden die Daten auf Wunsch exportiert und anschließend gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten (z. B. § 147 AO) entgegenstehen.