SKALR

Vertrag über Auftragsverarbeitung (AVV)

nach Art. 28 DSGVO — Stand: 29. August 2026 — Version 1.0

Dieser Vertrag über Auftragsverarbeitung (nachfolgend „AVV”) konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Vertrag über die Nutzung der SKALR-Plattform (nachfolgend „Hauptvertrag”, siehe AGB). Er gilt zwischen dem Kunden als Verantwortlichem im Sinne von Art. 4 Nr. 7 DSGVO (nachfolgend „Verantwortlicher”) und

Niklas Kreyenhagen – SKALR, Einzelunternehmen, Auf den Höfften 32, 49434 Neuenkirchen-Vörden, Deutschland (nachfolgend „Auftragsverarbeiter”).

Der AVV wird mit Abschluss des Hauptvertrags Vertragsbestandteil; er wird dem Kunden vor Vertragsschluss über diese Seite in speicherbarer und reproduzierbarer Form bereitgestellt. In Datenschutzfragen geht dieser AVV den AGB vor. Auf Wunsch stellen wir den AVV auch als beidseitig gezeichnetes Dokument bereit (Anfrage an niklas@skalr.app).

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen des Betriebs der SKALR-Plattform. Gegenstand, Art und Zweck der Verarbeitung, die Kategorien betroffener Personen und die Kategorien personenbezogener Daten ergeben sich aus Anlage 1.

(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. § 11 (Löschung und Rückgabe) bleibt unberührt.

§ 2 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Als dokumentierte Weisungen gelten der Hauptvertrag, dieser AVV sowie die vom Verantwortlichen oder seinen Nutzern in der Plattform vorgenommenen Konfigurationen und ausgelösten Funktionen (z. B. Aktivierung von Modulen, Anbindung eines Postfachs, Auslösen eines Versands). Ergänzende Weisungen bedürfen der Textform.

(3) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie bestätigt oder geändert wird.

§ 3 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter

  • gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO);
  • ergreift alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (Anlage 2);
  • hält die Bedingungen für die Inanspruchnahme weiterer Auftragsverarbeiter nach § 5 ein;
  • unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Ausübung ihrer Rechte (Kapitel III DSGVO) zu beantworten (§ 6);
  • unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation);
  • löscht oder gibt nach Abschluss der Verarbeitung alle personenbezogenen Daten nach Wahl des Verantwortlichen zurück (§ 11);
  • stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen nach § 8.

§ 4 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen. Sie entsprechen dem Stand der Technik unter Berücksichtigung von Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten der betroffenen Personen.

(2) Die Maßnahmen dürfen an die technische und organisatorische Weiterentwicklung angepasst werden, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zur Einschaltung der in Anlage 3 (verbindliche Fassung: skalr.app/unterauftragsverarbeiter) aufgeführten Unterauftragsverarbeiter.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen vorab über beabsichtigte Änderungen (Hinzunahme oder Ersetzung von Unterauftragsverarbeitern). Der Verantwortliche kann innerhalb von 14 Tagen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund widersprechen. Ist eine einvernehmliche Lösung nicht möglich, steht beiden Parteien ein Sonderkündigungsrecht für den betroffenen Leistungsteil zu.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter im Wege eines Vertrags dieselben Datenschutzpflichten auf, wie sie in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters.

§ 6 Unterstützung bei Betroffenenrechten

(1) Macht eine betroffene Person Rechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) unmittelbar gegenüber dem Auftragsverarbeiter geltend, leitet dieser den Antrag unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst, soweit keine gesetzliche Pflicht besteht.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenanfragen im Rahmen des technisch Möglichen, insbesondere durch die in der Plattform vorhandenen Einsichts-, Export-, Korrektur- und Löschfunktionen.

§ 7 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die im Auftrag verarbeitete Daten betrifft, unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO). Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; Informationen können schrittweise nachgereicht werden.

(2) Der Auftragsverarbeiter ergreift unverzüglich angemessene Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und stimmt sich mit dem Verantwortlichen über die weitere Behandlung ab. Die Meldung an Aufsichtsbehörden und betroffene Personen obliegt dem Verantwortlichen.

§ 8 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten auf Anfrage durch geeignete Nachweise nach, insbesondere durch Selbstauskünfte, die Dokumentation der Maßnahmen nach Anlage 2 sowie durch Zertifizierungen und Prüfberichte der eingesetzten Infrastruktur-Anbieter (z. B. ISO 27001, SOC 2).

(2) Der Verantwortliche kann darüber hinaus einmal pro Vertragsjahr — sowie zusätzlich, wenn er gesetzlich zu einer weitergehenden Kontrolle verpflichtet ist oder ein konkreter, dokumentierter Anlass besteht — nach vorheriger Ankündigung mit angemessener Frist (mindestens 14 Tage) während der üblichen Geschäftszeiten eine Überprüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten, nicht im Wettbewerb zum Auftragsverarbeiter stehenden Dritten durchführen lassen. Betriebsabläufe dürfen dabei nicht unangemessen gestört werden; Geschäftsgeheimnisse und Daten anderer Kunden bleiben geschützt. Die Kosten einer anlasslosen Überprüfung trägt der Verantwortliche.

§ 9 Drittlandübermittlungen

Eine Verarbeitung in Drittländern findet nur unter den Voraussetzungen des Kapitels V DSGVO statt. Soweit in Anlage 3 genannte Unterauftragsverarbeiter personenbezogene Daten außerhalb der EU/des EWR verarbeiten, erfolgt die Übermittlung auf Grundlage eines Angemessenheitsbeschlusses (insbesondere EU-US Data Privacy Framework) oder der EU-Standardvertragsklauseln nebst erforderlichen ergänzenden Maßnahmen. Die jeweilige Grundlage ist in der Liste der Unterauftragsverarbeiter je Anbieter ausgewiesen.

§ 10 Vertraulichkeit, kein KI-Training

(1) Der Auftragsverarbeiter behandelt alle im Auftrag verarbeiteten Daten streng vertraulich und verwendet sie ausschließlich zur Erbringung der vertraglichen Leistungen.

(2) Im Auftrag verarbeitete Inhalte werden vom Auftragsverarbeiter und — nach deren vertraglichen Zusagen — von den eingesetzten KI-Anbietern nicht zum Training allgemeiner KI-Modelle verwendet, es sei denn, dies wird ausdrücklich gesondert vereinbart.

§ 11 Löschung und Rückgabe

(1) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter alle im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie zurück — nach Wahl des Verantwortlichen und nach Maßgabe von § 8 der AGB (Datenexport, 30-tägiger Abrufzeitraum). Bestehende gesetzliche Aufbewahrungspflichten bleiben unberührt; insoweit wird die Verarbeitung eingeschränkt.

(2) Gelöschte Datensätze können zunächst als gelöscht markiert (Soft-Delete) und werden nach Ablauf des Abrufzeitraums bzw. etwaiger Aufbewahrungsfristen endgültig entfernt.

§ 12 Schlussbestimmungen

(1) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand und Erfüllungsort richten sich nach dem Hauptvertrag.

(2) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht in Datenschutzfragen dieser AVV vor. Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Änderungen dieses AVV werden dem Verantwortlichen entsprechend § 18 der AGB mitgeteilt; die jeweils aktuelle Fassung ist unter skalr.app/avv abrufbar.

Anlage 1 — Gegenstand, Art und Zweck der Verarbeitung

Gegenstand: Bereitstellung der SKALR-Plattform (KI-Assistenten für Telefon, Website-Chat und Text, Website-Erstellung, Terminbuchung, Bewertungsanfragen, Posteingang, interner Assistent SKALR GPT).

Dauer: Laufzeit des Hauptvertrags. Nach Beendigung: Löschung oder Rückgabe nach Wahl des Verantwortlichen (§ 11).

Art der Verarbeitung: Erheben, Speichern, Auslesen, Verwenden, Übermitteln an die in Anlage 3 genannten Unterauftragsverarbeiter, Löschen.

Zweck: Betrieb der beauftragten Funktionen, insbesondere Beantwortung von Kundenanfragen, Terminvereinbarung, Erstellung und Pflege von Website-Inhalten sowie Unterstützung der Mitarbeitenden des Verantwortlichen im internen Assistenten.

Kategorien betroffener Personen

  • Interessenten und Kunden des Verantwortlichen — Chat-Widget, Telefon-Assistent, Kontaktformular, Terminbuchung
  • Mitarbeitende des Verantwortlichen — Portal-Zugänge, SKALR GPT, Postfach-Anbindung
  • Absender eingehender E-Mails — Postfach-Anbindung (IMAP), Auto-Reply
  • Empfänger von Bewertungsanfragen — Review-Agent

Kategorien personenbezogener Daten

  • Kontaktdaten — Name, Telefonnummer, E-Mail-Adresse, Anschrift
  • Kommunikationsinhalte — Chat-Nachrichten, Gesprächstranskripte, E-Mail-Inhalte, Sprachaufzeichnungen (Aufbewahrung 90 Tage, danach Löschung)
  • Anfragedaten — Anliegen, Leistungswunsch, Termine, Objektangaben
  • Nutzungsdaten — Zeitstempel, Sitzungs-IDs, IP-Adresse, Herkunftskanal
  • Abrechnungsdaten — Verbrauch, Guthabenstand, Rechnungsdaten (Zahlungsdaten liegen bei Stripe)
  • Vom Verantwortlichen eingestellte Inhalte — Betriebswissen, hochgeladene Dokumente, Gedächtnis-Einträge in SKALR GPT

Keine besonderen Kategorien nach Art. 9 DSGVO vorgesehen. Der Verantwortliche stellt sicher, dass solche Daten nicht in Freitextfelder, Dokumente oder das Betriebswissen eingegeben werden; eine technische Verhinderung von Freitexteingaben ist nicht möglich.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

  • Zutrittskontrolle: Kein eigenes Rechenzentrum. Physische Sicherheit liegt bei den Infrastruktur-Betreibern (AWS Frankfurt, Vercel, Supabase eu-central-1), jeweils nach ISO 27001 zertifiziert.
  • Zugangskontrolle: Anmeldung über individuelle Konten; Passwörter ausschließlich als Hash gespeichert. Sitzungen laufen über kurzlebige Tokens mit serverseitiger Erneuerung.
  • Zugriffskontrolle: Mandantentrennung auf Datenbankebene über Row Level Security. Zugriffe laufen unter der Identität des angemeldeten Nutzers oder — wo Service-Rechte nötig sind — über Routen, die die Mandantenzugehörigkeit im Code prüfen, bevor Daten gelesen werden.
  • Rollentrennung im Kundenkonto: Zugänge sind in „verwalten” und „arbeiten” unterteilt; administrative Bereiche sind serverseitig gesperrt, nicht nur in der Oberfläche ausgeblendet.
  • Trennungskontrolle: Daten verschiedener Verantwortlicher werden über verpflichtende Mandanten-Schlüssel und RLS-Richtlinien getrennt; Abfragen im Assistenten filtern zusätzlich hart auf den jeweiligen Endkunden.

Integrität

  • Weitergabekontrolle: Transportverschlüsselung (TLS 1.2+) auf allen Verbindungen, auch zu Unterauftragsverarbeitern. Ruhende Daten sind auf Speicherebene verschlüsselt (AES-256).
  • Eingabekontrolle: Änderungen an Kundendaten, Guthabenbewegungen und Konfigurationen werden mit Zeitstempel und auslösendem Konto protokolliert.
  • Geheimnisverwaltung: Zugangsdaten zu Postfächern der Kunden werden verschlüsselt abgelegt und nie im Klartext ausgegeben.

Verfügbarkeit und Belastbarkeit

  • Betrieb auf verwalteter Infrastruktur mit automatischer Skalierung.
  • Tägliche automatische Datenbanksicherungen durch den Datenbank-Betreiber.
  • Fehler- und Ausfallüberwachung; Störungen lösen eine Benachrichtigung aus.

Verfahren zur Überprüfung und Bewertung

  • Änderungen laufen über Versionskontrolle, automatisierte Tests und Typprüfung; kein direkter Zugriff auf Produktionsdaten aus der Entwicklung ohne dokumentierten Anlass.
  • Automatisierte Sicherheitsprüfungen der Datenbankkonfiguration werden regelmäßig ausgewertet.
  • Wiederkehrende Prüfung dieser Anlage bei jeder Änderung der eingesetzten Dienstleister.

Auftragskontrolle

  • Mit allen Unterauftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO (Anlage 3).
  • Übermittlungen in Drittländer erfolgen auf Grundlage der EU-Standardvertragsklauseln bzw. eines Angemessenheitsbeschlusses.
  • Die eingesetzten KI-Anbieter verwenden übermittelte Inhalte vertraglich nicht zum Training ihrer Modelle.

Datenschutzfreundliche Voreinstellungen

  • Die KI-Verarbeitung in SKALR GPT läuft in der Voreinstellung in Frankfurt; Chats, Dokumente, Betriebswissen und Postfachinhalte verlassen die EU dabei nicht.
  • Bei der Websuche verlässt ausschließlich der vom Assistenten formulierte Suchbegriff die EU; der Aufruf erfolgt ohne Zugriff auf Gesprächsverlauf, Betriebswissen, Dokumente und Postfach.
  • Gedächtnis-Einträge und hinterlegte Dokumente sind im Portal einsehbar und jederzeit löschbar.

Anlage 3 — Unterauftragsverarbeiter

Verbindliche Fassung: skalr.app/unterauftragsverarbeiter. Die Liste wird dort gepflegt und ist Bestandteil dieses Vertrags. Änderungen werden vorab bekannt gegeben; es gilt das Verfahren nach § 5 Abs. 2.

Zwei Punkte begrenzen die EU-Zusage und werden deshalb ausdrücklich benannt:

  1. Websuche — nur der vom Assistenten formulierte Suchbegriff verlässt die EU.
  2. Spracheingabe (Diktat) — die Sprachaufnahme wird zur Umwandlung in Text an OpenAI (USA) übermittelt und von SKALR nicht gespeichert.

Export- und Wechselregister (EU Data Act)

Dieses Register informiert gemäß der Verordnung (EU) 2023/2854 (Data Act) über die verfügbaren Export- und Wechselverfahren. Die vertraglichen Regelungen stehen in § 8 der AGB.

  • Verfahren: Der Export wird per Anfrage an niklas@skalr.app ausgelöst. Einzelne Datenarten (z. B. Kontakte, Anfragen) lassen sich zusätzlich direkt in der Plattform einsehen.
  • Formate: Tabellarische Daten als CSV oder in einem anderen strukturierten, maschinenlesbaren Format; Dokumente im ursprünglichen oder einem gängigen Dateiformat; Bereitstellung gebündelt als ZIP-Archiv.
  • Fristen: Übergangszeitraum grundsätzlich höchstens 30 Kalendertage; anschließend 30-tägiger Abrufzeitraum (§ 8 Abs. 2 und 7 AGB).
  • Bekannte Einschränkungen: Nicht exportierbar sind die Plattform selbst, Quellcode, anbieterinterne Systemprompts und KI-Konfigurationen sowie das über den Website-Builder erzeugte Seitenergebnis (HTML/CSS); die vom Kunden eingebrachten Website-Inhalte sind exportierbar (§ 8 Abs. 4 und 5 AGB).
  • Standardschnittstellen: Eine öffentliche Export-API besteht derzeit nicht; strukturierte Exporte werden wie beschrieben bereitgestellt.

Stand dieses AVV: 29. August 2026. Frühere Fassungen stellen wir auf Anfrage bereit.