Stand: 23.10.2026
zwischen
dem Kunden – nachfolgend „Verantwortlicher" –
der im Kundenkonto bzw. in der Bestellung bezeichnete Kunde
und
Sat-iTec – nachfolgend „Auftragsverarbeiter" –
Sat-iTec Systemhaus GmbH Heisinger Straße 21, 87437 Kempten (Allgäu) vertreten durch Günther Löb (Geschäftsführer)
– gemeinsam die „Parteien" –
Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen über die Plattform „ChatiTec" (DSGVO-konforme KI-/LLM-Plattform, gehostet in Deutschland, Rechenzentrum Augsburg). Im Rahmen dieser Leistungen verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen. Dieser Vertrag konkretisiert die datenschutzrechtlichen Verpflichtungen der Parteien gemäß Art. 28 DSGVO. Er gilt ergänzend zum zugrunde liegenden Hauptvertrag (Nutzungsvertrag/AGB).
(1) Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb der Plattform ChatiTec einschließlich der KI-/LLM-Verarbeitung von Eingabeinhalten, die durch den Verantwortlichen oder dessen Nutzer übermittelt werden.
(2) Art der Verarbeitung umfasst insbesondere: Erheben, Erfassen, Speichern, Auslesen, Verwenden, Anonymisieren/Pseudonymisieren (PII-Tokenisierung), Übermitteln (nur anonymisiert an externe Subprozessoren), Löschen und Vernichten.
(3) Zweck der Verarbeitung ist die Erbringung der vertraglich vereinbarten Plattform- und KI-Leistungen.
(4) Kategorien betroffener Personen: insbesondere Mandanten/Patienten des Verantwortlichen, deren Vertreter und Dritte, Mitarbeiter und Nutzer des Verantwortlichen sowie sonstige in den Eingabeinhalten genannte Personen.
(5) Kategorien personenbezogener Daten: Stammdaten, Kontaktdaten, Inhaltsdaten der Eingaben (Prompts/Dokumente) sowie ggf. besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO (insb. Gesundheitsdaten) und dem Berufsgeheimnis unterliegende Daten (vgl. die gesonderte Zusatzvereinbarung Berufsgeheimnisschutz).
(6) Dauer: Die Verarbeitung erfolgt für die Laufzeit des Hauptvertrages. Dieser AVV endet automatisch mit Beendigung des Hauptvertrages, unbeschadet fortbestehender Pflichten (insb. § 9, § 10).
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf Drittlandübermittlungen, es sei denn, er ist durch das Unionsrecht oder das Recht eines Mitgliedstaats, dem er unterliegt, hierzu verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(2) Die Erbringung der vertraglich vereinbarten Regelleistungen über die Plattform gilt als dokumentierte Weisung. Einzelweisungen erfolgen in Textform; mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Er ist berechtigt, die Durchführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.
(1) Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
(2) Der Auftragsverarbeiter verpflichtet die eingesetzten Beschäftigten zudem auf das Datengeheimnis sowie – soweit einschlägig – auf die Wahrung von Berufsgeheimnissen (§ 203 StGB; vgl. die gesonderte Zusatzvereinbarung Berufsgeheimnisschutz).
(3) Diese Verpflichtungen bestehen auch nach Beendigung des Vertrages fort.
(1) Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus. Die getroffenen Maßnahmen sind in Anlage 1 (Technische und organisatorische Maßnahmen) beschrieben, die Bestandteil dieses Vertrages ist.
(2) Die TOM unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter ist berechtigt, sie weiterzuentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen sind dem Verantwortlichen mitzuteilen.
(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 2 (Liste der Unterauftragsverarbeiter) abschließend benannt.
(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern rechtzeitig vorab in Textform. Der Verantwortliche kann der Änderung innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichen Grund widersprechen (Art. 28 Abs. 2 DSGVO).
(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO), insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten.
(4) Eine Übermittlung an externe KI-Provider (Unterauftragsverarbeiter) erfolgt ausschließlich in anonymisierter Form (PII-Tokenisierung, standardmäßig erzwungen). Bei Nutzung rein lokaler Modelle findet keine Einschaltung externer Unterauftragsverarbeiter statt.
(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung der Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte (Art. 12–23 DSGVO; Art. 28 Abs. 3 lit. e DSGVO).
(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten gemäß Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Datenpannen, Datenschutz-Folgenabschätzung, vorherige Konsultation; Art. 28 Abs. 3 lit. f DSGVO).
(3) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter.
(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Bekanntwerden, in Textform.
(2) Die Meldung enthält, soweit verfügbar, mindestens die Angaben gemäß Art. 33 Abs. 3 DSGVO (Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen und Datensätze, voraussichtliche Folgen, ergriffene/vorgeschlagene Maßnahmen, Kontaktstelle).
(3) Die Meldung an die zuständige Aufsichtsbehörde (Art. 33 DSGVO) und ggf. die Benachrichtigung der betroffenen Personen (Art. 34 DSGVO) obliegen dem Verantwortlichen. Der Auftragsverarbeiter unterstützt ihn hierbei in angemessenem Umfang.
(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO).
(2) Der Auftragsverarbeiter ermöglicht und trägt zu Überprüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden, bei. Der Nachweis kann auch durch geeignete Zertifizierungen, aktuelle Testate oder Audit-Berichte anerkannter Stellen geführt werden.
(3) Vor-Ort-Kontrollen erfolgen nach rechtzeitiger Ankündigung (Frist: 14 Tage vorab), während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und unter Wahrung der Geheimhaltungs- und Sicherheitsinteressen sowie der Rechte Dritter (insb. anderer Kunden und Berufsgeheimnisse). Die Kosten einer vom Verantwortlichen veranlassten Kontrolle trägt – vorbehaltlich abweichender Vereinbarung – der Verantwortliche, sofern nicht ein Verstoß des Auftragsverarbeiters festgestellt wird.
(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).
(2) Die Rückgabe erfolgt in einem gängigen, maschinenlesbaren Format (z. B. JSON, Markdown oder PDF). Die Löschung wird auf Verlangen in Textform bestätigt.
(3) Lokal vorgehaltene, Fernet-verschlüsselte Zuordnungsdaten der PII-Tokenisierung werden im Zuge der Löschung ebenfalls vernichtet.
(1) Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrages, soweit diese mit zwingendem Datenschutzrecht vereinbar sind.
(2) Der Verantwortliche ist für die Zulässigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen verantwortlich. Im Innenverhältnis stellen sich die Parteien jeweils von Ansprüchen frei, die auf einer von ihnen zu vertretenden Pflichtverletzung beruhen.
(1) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in datenschutzrechtlicher Hinsicht vor.
(2) Änderungen und Ergänzungen bedürfen der Textform. Dies gilt auch für die Aufhebung dieses Formerfordernisses.
(3) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.
(4) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist – soweit zulässig – Kempten (Allgäu).
(5) Anlagen:
Vertragsschluss: Dieser Vertrag wird in elektronischem Format geschlossen (Art. 28 Abs. 9 DSGVO), indem der Verantwortliche ihn bei der Registrierung bzw. Bestellung ausdrücklich akzeptiert; Zeitpunkt und Version der Annahme werden protokolliert. Einer gesonderten Unterschrift bedarf es nicht. Auf Wunsch stellt Sat-iTec eine beidseitig unterzeichnete Fassung zur Verfügung.
Stand: 23.10.2026