Auftragsverarbeitungsvertrag (AVV)

Stand: 10. September 2026 (Fassung 12)

Dieser Auftragsverarbeitungsvertrag („AVV") wird von der quoroAI GmbH (nachfolgend „Auftragsverarbeiter") ihren geschäftlichen Kund:innen (nachfolgend „Verantwortlicher") angeboten und ergänzt den zwischen den Parteien geschlossenen Hauptvertrag über die Nutzung der Anwendung app.quoroai.io („Hauptvertrag").

Zwischen

dem Verantwortlichen — dem geschäftlichen Kunden, der diesen AVV bei der Registrierung elektronisch angenommen hat. Die Vertragspartei ist durch die im Nutzerkonto hinterlegten Unternehmens- und Kontaktdaten sowie durch das protokollierte Annahme-Ereignis (Kontokennung/E-Mail, Zeitpunkt, angenommene Dokumentversion) eindeutig bestimmt —

und

dem Auftragsverarbeiter: quoroAI GmbH, Bahnhofstraße 38, 99084 Erfurt, eingetragen im Handelsregister des Amtsgerichts Jena unter HRB 525069, vertreten durch den Geschäftsführer Hannes Freyer.

§ 1 Gegenstand, Art, Zweck und Dauer der Verarbeitung

(1) Gegenstand der Verarbeitung ist die Bereitstellung der SaaS-Anwendung quoroAI zur KI-gestützten Erstellung von Strategie-Präsentationen, einschließlich der dialogbasierten Bedarfserhebung („Intake"), der Verarbeitung hochgeladener Inhalte/Wissensbasis sowie der Erzeugung von Outlines und Präsentationen.

(2) Art der Verarbeitung: Erheben, Erfassen, Speichern, Auslesen, Verwenden, Verändern, Übermitteln an genehmigte Unterauftragsverarbeiter, Löschen.

(3) Zweck: Ausschließlich die vertragsgemäße Erbringung der im Hauptvertrag vereinbarten Leistungen für den Verantwortlichen.

(4) Dauer: Die Verarbeitung erfolgt für die Laufzeit des Hauptvertrags. Dieser AVV endet mit Beendigung des Hauptvertrags, unbeschadet fortbestehender Lösch-/Rückgabe- und Geheimhaltungspflichten.

(5) Art der personenbezogenen Daten (siehe auch Anlage 1):

Konto-/Stammdaten der Nutzer:innen des Verantwortlichen (z. B. E-Mail, Name, Firmenname),
Inhalts-/Geschäftsdaten aus Intake-Dialogen, hochgeladenen Dokumenten und generierten Präsentationen — potenziell hochvertraulich,
technische Daten (z. B. IP-Adressen, Logs),
Zahlungsverkehrs- und Belegdaten einschliesslich Daten Dritter (Name, IBAN und Verwendungszweck von Zahlungspartnern, Belegaussteller, Rechnungsempfänger), soweit der Verantwortliche die Belegverarbeitung nutzt,
ggf. in Freitexten enthaltene weitere personenbezogene Daten.

(6) Kategorien betroffener Personen: Mitarbeitende und Nutzer:innen des Verantwortlichen sowie Dritte, deren Daten der Verantwortliche in die App einbringt.

(7) Besondere Kategorien (Art. 9 DSGVO): Die Eingabe besonderer Kategorien personenbezogener Daten ist nicht vorgesehen. Bringt der Verantwortliche dennoch solche Daten ein, geschieht dies in seiner alleinigen Verantwortung und auf seine Rechtsgrundlage hin. Der Auftragsverarbeiter erkennt solche Daten nicht, filtert sie nicht heraus und behandelt sie nicht mit einem erhöhten Schutzniveau — Chat- und Uploadfelder sind Freitext.

Ausgenommen ist die Belegverarbeitung. Kontoauszüge tragen im Verwendungszweck regelmässig Kirchensteuer-, Gewerkschafts- oder Krankenkassenbeiträge; das ist kein Fehlgebrauch, sondern der vorgesehene Ablauf. Insoweit weist der Verantwortliche die Verarbeitung ausdrücklich an und trägt die Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO bzw. § 26 BDSG.

§ 2 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a, Art. 29 DSGVO), sofern keine gesetzliche Verpflichtung zu einer abweichenden Verarbeitung besteht (in diesem Fall erfolgt vorherige Information, soweit rechtlich zulässig).

(2) Dieser AVV nebst Hauptvertrag bildet die grundlegende Weisung. Einzelweisungen erfolgen in Textform an hello@quoroai.io.

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 2 DSGVO); er ist berechtigt, deren Ausführung bis zur Bestätigung auszusetzen.

§ 3 Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO)

Der Auftragsverarbeiter verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und stellt sicher, dass sie nur auf Weisung verarbeiten.

§ 4 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

(1) Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (TOM). Diese sind in Anlage 2 beschrieben.

(2) Die TOM unterliegen dem technischen Fortschritt; der Auftragsverarbeiter darf sie fortentwickeln, sofern das Schutzniveau nicht unterschritten wird.

§ 5 Unterauftragsverarbeiter (Art. 28 Abs. 2 und 4 DSGVO)

(1) Der Verantwortliche erteilt eine allgemeine Genehmigung zur Hinzuziehung der in Anlage 1 gelisteten Unterauftragsverarbeiter.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung/Ersetzung) mit angemessener Frist von 14 Tagen vorab. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; in diesem Fall steht ihm ein Sonderkündigungsrecht hinsichtlich des Hauptvertrags zu.

(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf im Wesentlichen gleichwertige Datenschutzpflichten (Art. 28 Abs. 4 DSGVO) und bleibt dem Verantwortlichen gegenüber verantwortlich.

(4) Bei Drittlandbezug eines Unterauftragsverarbeiters stellt der Auftragsverarbeiter geeignete Garantien nach Art. 44 ff. DSGVO sicher (siehe Anlage 1, Spalte „Transfergrundlage").

(5) Beratungspartner (White-Label). Bezieht der Verantwortliche die Anwendung über ein Beratungsunternehmen, das sie unter eigener Marke anbietet, ist dieses Beratungsunternehmen eigener Verantwortlicher in seiner Beziehung zum Verantwortlichen — kein Unterauftragsverarbeiter des Auftragsverarbeiters. Es ist deshalb nicht in Anlage 1 aufgeführt. Der Auftragsverarbeiter stellt dem Beratungsunternehmen die Daten des Verantwortlichen bereit, die dieses zur Betreuung und Abrechnung benötigt; Chatinhalte ausschliesslich, soweit der Verantwortliche einzelne Gespräche ausdrücklich freigegeben hat. Eine gegenüber dem Auftragsverarbeiter erteilte Einwilligung öffnet den Zugriff des Beratungsunternehmens nicht.

§ 6 Unterstützung des Verantwortlichen

(1) Betroffenenrechte (Art. 28 Abs. 3 lit. e DSGVO): Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenanfragen (Art. 15–22 DSGVO). An ihn gerichtete Betroffenenanfragen leitet er unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.

(2) Sonstige Pflichten (Art. 28 Abs. 3 lit. f DSGVO): Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Datensicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

§ 7 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede festgestellte Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden (Art. 28 Abs. 3 lit. f, Art. 33 Abs. 2 DSGVO), spätestens innerhalb von 48 Stunden.

(2) Die Meldung umfasst, soweit verfügbar, die in Art. 33 Abs. 3 DSGVO genannten Informationen sowie ergriffene/vorgeschlagene Abhilfemaßnahmen.

§ 8 Löschung und Rückgabe (Art. 28 Abs. 3 lit. g DSGVO)

(1) Nach Abschluss der Verarbeitung löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

(2) Die Löschung umfasst auch außerhalb der Datenbank gespeicherte Inhalte (z. B. Exporte, erzeugte Dateien) und erfolgt innerhalb von 30 Tagen nach Beendigung des Hauptvertrags. Aus verschlüsselten Sicherungskopien sind die Daten mit deren Rotation zu entfernen; die vereinbarte Höchstfrist beträgt 30 Tage nach der Löschung im Livesystem. Die Einhaltung für sämtliche älteren Sicherungskopien ist derzeit nicht durchgehend nachgewiesen. Dieser Umsetzungsrückstand hebt die vereinbarten Löschpflichten nicht auf. Verbliebene Sicherungskopien dürfen ausschließlich für die erforderliche Wiederherstellung verwendet werden; vor Freigabe eines wiederhergestellten Bestands sind zwischenzeitliche Löschaufträge zu berücksichtigen. Auf Wunsch werden die Daten zuvor in einem strukturierten, gängigen Format (JSON) bereitgestellt; dieselbe Ausgabe steht dem Verantwortlichen jederzeit selbst über die Export-Funktion der Anwendung zur Verfügung.

(3) Der Nachweis der elektronischen Annahme dieses AVV (siehe „Annahme") wird nach Beendigung als Rechenschaftsnachweis (Art. 5 Abs. 2 DSGVO) weiter aufbewahrt und drei Jahre nach der Löschung des Kontos gelöscht (Regelverjährung, §§ 195, 199 BGB). Er umfasst Kontokennung/E-Mail, Zeitpunkt, Dokumentversion sowie eine gehashte IP-Adresse und die Browserkennung (User-Agent) — keine Inhalts- oder Geschäftsdaten.

(4) Unabhängig von der Auftragsverarbeitung führt der Auftragsverarbeiter — insoweit als eigener Verantwortlicher — einen Vertriebsdatensatz zur Geschäftsbeziehung: früherer Firmenname, Domain, Status und Herkunft der Kundenbeziehung, etwaige Partnerzuordnung sowie damit verknüpfte Vertriebsvorgänge (Kontaktpersonen, Aktivitäten einschließlich etwaiger Gesprächsnotizen/Aufzeichnungen, Verkaufschancen). Dieser überdauert die Beendigung auf Grundlage des berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) und wird — wie der Annahmenachweis nach Abs. 3 — drei Jahre nach der Löschung des Kontos gelöscht (§§ 195, 199 BGB). Er enthält keine Chat- oder Dokumentinhalte des Kontos.

(5) Beendigung und Löschauftrag. Die Kündigung eines kostenpflichtigen Tarifs beendet nicht das weiterbestehende kostenlose Firmenkonto. Der Verantwortliche beendet den Arbeitsbereich ausdrücklich über die Firmenlöschung in den Kontoeinstellungen oder durch einen Löschauftrag an den Auftragsverarbeiter. Benötigte Daten sind vorher zu exportieren. Der Löschauftrag erfasst Datenbankinhalte und außerhalb der Datenbank gespeicherte Dateien; fehlgeschlagene Teilschritte werden wiederholt. Gesetzliche Aufbewahrungspflichten bleiben unberührt; betroffene Daten werden in der Verarbeitung eingeschränkt (Art. 18 DSGVO).

§ 9 Nachweise und Kontrollen / Audit (Art. 28 Abs. 3 lit. h DSGVO)

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO bereit.

(2) Er ermöglicht Überprüfungen — einschließlich Inspektionen — durch den Verantwortlichen oder einen beauftragten Prüfer. Vorrangig erfolgt der Nachweis durch die Bereitstellung der TOM-Dokumentation sowie etwaiger Zertifikate/Testate. Vor-Ort-Prüfungen sind mit angemessener Ankündigung (mindestens vier Wochen), während der üblichen Geschäftszeiten und höchstens einmal jährlich zulässig.

§ 10 Schlussbestimmungen

(1) Der Verantwortliche ist für die Zulässigkeit der Verarbeitung sowie für die Wahrung der Betroffenenrechte allein verantwortlich.

(2) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen in Datenschutzfragen die Regelungen dieses AVV vor.

(3) Es gilt deutsches Recht. Gerichtsstand ist Erfurt, soweit gesetzlich zulässig.

Anlage 1 — Unterauftragsverarbeiter

Unterauftragsverarbeiter	Rechtsträger / Sitz	Verarbeitungsort	Zweck / verarbeitete Daten	Transfergrundlage
Anthropic Ireland, Limited (Vertragspartner für den EWR; Verarbeitung durch Anthropic, PBC, USA)	Irland / USA	USA	Primäres Sprachmodell (Chat, Intake-Dialoge, Outlines, Deck-Inhalte, Bildanalyse). Die Web-Suche wird vom Anbieter über Brave Search erbracht (Unter-Unterauftragsverarbeiter); übermittelt wird die vom Modell formulierte Suchanfrage	AVV über die Anbieterbedingungen einbezogen; kein Training auf Kundeninhalten (vertraglich ausgeschlossen). Keine Zero-Retention-Vereinbarung — der Anbieter speichert Ein- und Ausgaben zur Missbrauchsprüfung bis zu 30 Tage und löscht sie danach (markierte Inhalte bis zu zwei Jahre). Drittlandtransfer über Standardvertragsklauseln (SCC) zzgl. TIA (Anthropic ist nicht DPF-zertifiziert)
Supabase Pte. Ltd.	Singapur; Daten in AWS eu-central-1 / Frankfurt (DE)	EU (Frankfurt)	Datenbank, Authentifizierung, Storage (Konto-/Stammdaten, Chat-/Intake-Inhalte, Wissensbasis, Präsentationen)	EU-Region. Anbieter-DPA Bestandteil der Bedingungen; kontobezogener Einbeziehungsnachweis steht aus (siehe Hinweis unten); Drittlandtransfer über Standardvertragsklauseln (SCC) zzgl. TIA vorgesehen (kein DPF — dieses gilt nur für US-Empfänger)
Plus Five Five, Inc. (dba Resend)	USA; Versand eu-west-1 / Irland, Mailinhalte, Account-Daten, Logs und Webhook-Daten in den USA	EU (Versand) + USA (Mailinhalte, Account/Logs)	Versand transaktionaler E-Mails (Bestätigung, Einladung, Kontaktformular)	AVV über die Anbieterbedingungen einbezogen; Drittlandtransfer über EU-U.S. DPF (zertifiziert) und/oder SCC zzgl. TIA
Hetzner Online GmbH	Gunzenhausen, Deutschland (Rechenzentrum Falkenstein)	Deutschland	Hosting/Infrastruktur, App-Traffic, Rendering, Protokolle	AVV nicht abgeschlossen (Annahme über die Anbieter-Konsole, siehe Hinweis unten); kein Drittlandtransfer
Stripe Payments Europe, Ltd.	Irland (EU); Muttergesellschaft Stripe, Inc., USA	EU (Irland); US-Zugriff möglich	Zahlungsabwicklung, Abonnement-/Rechnungsverwaltung (E-Mail, Name/Firmenname, Kundenkennung, Rechnungs-/Zahlungsdaten)	AVV (Stripe-DPA) abgeschlossen; Drittlandtransfer über EU-U.S. DPF und/oder SCC zzgl. TIA
E2B (FoundryLabs, Inc.)	Delaware, USA	Konkrete Verarbeitungsregionen nicht nachgewiesen; US-Zugriff möglich	Kurzlebige Code-Sandbox (Werkzeug `run_code`): vom Modell erzeugter Programmcode, der Gesprächsinhalte enthalten kann, Textinhalte ausgewählter hochgeladener Dateien sowie vollständige Inhalte ausgewählter, vom Nutzer in der aktuellen oder einer früheren Nachricht dieses Gesprächs genannter URLs, gespeicherte Firmenlogos und Markenschriften. Ressourcen können Binärdateien, Bilder und personenbezogene Daten enthalten. Die Funktion wird trotz offener Vertrags-/Transfernachweise bereitgestellt.	AVV-Abschluss nicht nachgewiesen; DPA angefragt, erforderliche Transfergarantien und abschließende Transferbewertung noch offen
Fly.io, Inc.	USA	EU (Frankfurt, Region „fra")	Ausführungsumgebung des Operators — Funktion derzeit nicht freigeschaltet, es findet insoweit keine Verarbeitung statt	AVV nicht abgeschlossen; wird vor einer Freischaltung abgeschlossen

Hinweise:

Stand der Verträge — ausgewiesen, nicht behauptet. Für die mit „AVV nicht abgeschlossen" oder „AVV-Abschluss nicht nachgewiesen" gekennzeichneten Unterauftragsverarbeiter liegt zum Stand dieser Fassung kein abgeschlossener Auftragsverarbeitungsvertrag vor. Wir schreiben das hierhin, statt einen Vertrag zu behaupten, den wir im Prüfungsfall nicht vorlegen könnten. Der Verantwortliche kann der Hinzuziehung eines Unterauftragsverarbeiters nach § 5 Abs. 2 widersprechen (mit Sonderkündigungsrecht); den jeweils aktuellen Stand nennen wir auf Anfrage (hello@quoroai.io). Die erforderlichen Abschlüsse stehen aus; diese Anlage wird mit jedem Abschluss aktualisiert.
Team-Postfächer werden bei STRATO und Microsoft 365 betrieben; Kontakt- und Feedbacknachrichten werden dort gespeichert. Kontobezogene Vertrags- und Löschungsnachweise stehen noch aus.
Vektor-Embeddings werden lokal im Container berechnet — kein Unterauftragsverarbeiter, kein Egress.
Brandfetch SA (Savigny, Schweiz) erhält bei der Marken-/Logo-Erkennung ausschließlich die vom Verantwortlichen eingegebene Unternehmens-URL — keine Chat-Inhalte, keine Dokumente, keine personenbezogenen Daten. Der Dienst ist deshalb kein Unterauftragsverarbeiter und wird hier nur der Transparenz halber genannt (Transfergrundlage: Angemessenheitsbeschluss Schweiz, Art. 45 DSGVO).
Operator: Verbindet der Verantwortliche eine eigene Datenbank, sieht der Operator ausschließlich das, was der Verantwortliche der hierfür angelegten (nur lesenden) Datenbank-Rolle freigibt; maßgeblich ist die Rechtevergabe in der Datenbank des Verantwortlichen, nicht eine Filterung beim Auftragsverarbeiter. Der Auftragsverarbeiter empfiehlt, Personal- und Bewerberdaten nicht freizugeben. Ein Widerruf der Verbindung entfernt die hinterlegten Zugangsdaten beim Auftragsverarbeiter, ändert sie aber nicht — eine Rotation der betroffenen Zugangsdaten wird empfohlen.
Nicht im Einsatz: Bildgenerierung, externe Analyse-/Tracking-Dienste, Sprachmodelle anderer Anbieter. Eine spätere Aktivierung erfordert Aufnahme in diese Anlage und Vorabinformation nach § 5 Abs. 2.

Anlage 2 — Technische und organisatorische Maßnahmen (TOM, Art. 32 DSGVO)

Vertraulichkeit: Strikte Mandantentrennung (Row-Level-Security „deny-all" auf Datenbankebene + tenant-basierte Autorisierung in der Anwendung); rollenbasierte Zugriffskontrolle; Zwei-Faktor-Authentifizierung (TOTP) inkl. Backup-Codes; Mindest-Passwortlänge 12 Zeichen.
Integrität: Verschlüsselung in transit (TLS, HSTS) und at rest bei den eingesetzten EU-Infrastruktur-Providern; Verarbeitung in gehärteter, als Non-Root betriebener Container-Umgebung (no-new-privileges, reduzierte Capabilities, blockierter Cloud-Metadaten-Endpunkt).
Verfügbarkeit & Belastbarkeit: Tägliche, verschlüsselte Backups (AES-256) innerhalb der EU; EU-Hosting für Anwendung und Datenbank (Hetzner Falkenstein, DE; Datenbank in AWS eu-central-1 / Frankfurt). Die Verarbeitung durch das eingesetzte Sprachmodell (Anthropic) erfolgt in den USA auf Basis von AVV/SCC.
Löschung und Aufbewahrung: Die vorgesehenen Aufbewahrungsgrenzen und getrennten Löschläufe umfassen (Anwendungsprotokolle höchstens 30 Tage; System-/Proxy-Protokolle 14 Tage; Sicherungskopien gemäß § 8 Abs. 2, wobei der vollständige Nachweis für ältere und verschachtelte Sicherungen noch aussteht; Nachweise der Vertragsannahme sowie der Vertriebsdatensatz zur Geschäftsbeziehung (§ 8 Abs. 4) drei Jahre nach Kontolöschung; technische Telemetrie ohne Inhaltsbezug 90 Tage). Die Löschung von Konto und Firma steht dem Verantwortlichen in der Anwendung als Selbstbedienung zur Verfügung; sie entfernt die Datenbankinhalte und erfasst externe Speicherorte in einem dauerhaften Löschauftrag. Fehlgeschlagene Teilschritte werden wiederholt; eine ausstehende Bereinigung wird nicht als abgeschlossen ausgewiesen.
Verfahren zur regelmäßigen Überprüfung: Laufende Überprüfung und Fortentwicklung der Maßnahmen nach Stand der Technik; keine externen End-Nutzer-Tracker; die Schriften der Anwendungsoberfläche werden selbst gehostet (bei der serverseitigen Erzeugung von PPTX-/PDF-Ausgaben können Schriftdateien von Google Fonts nachgeladen werden — ohne Übermittlung personenbezogener End-Nutzer-Daten); keine nicht-essenziellen Cookies.

Annahme

Dieser AVV wird vom Verantwortlichen bei der Registrierung elektronisch angenommen (Zustimmung durch aktive Bestätigung). Eine handschriftliche Unterzeichnung ist nicht erforderlich. Der Auftragsverarbeiter dokumentiert die Annahme revisionssicher (Kontokennung/E-Mail, Zeitpunkt, angenommene Dokumentversion) und stellt sie dem Verantwortlichen auf Anfrage als Nachweis zur Verfügung (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO).