Auftragsverarbeitungsvertrag (AVV)

Stand: 8. August 2026 (Fassung 4)

Dieser Auftragsverarbeitungsvertrag („AVV") wird von der Quoro Advisory GmbH (nachfolgend „Auftragsverarbeiter") ihren geschäftlichen Kund:innen (nachfolgend „Verantwortlicher") angeboten und ergänzt den zwischen den Parteien geschlossenen Hauptvertrag über die Nutzung der Anwendung app.quoroai.io („Hauptvertrag").

Zwischen

dem Verantwortlichen — dem geschäftlichen Kunden, der diesen AVV bei der Registrierung elektronisch angenommen hat. Die Vertragspartei ist durch die im Nutzerkonto hinterlegten Unternehmens- und Kontaktdaten sowie durch das protokollierte Annahme-Ereignis (Kontokennung/E-Mail, Zeitpunkt, angenommene Dokumentversion) eindeutig bestimmt —

und

dem Auftragsverarbeiter: Quoro Advisory GmbH, Bahnhofstraße 38, 99084 Erfurt, vertreten durch den Geschäftsführer Hannes Freyer.

§ 1 Gegenstand, Art, Zweck und Dauer der Verarbeitung

(1) Gegenstand der Verarbeitung ist die Bereitstellung der SaaS-Anwendung quoroAI zur KI-gestützten Erstellung von Strategie-Präsentationen, einschließlich der dialogbasierten Bedarfserhebung („Intake"), der Verarbeitung hochgeladener Inhalte/Wissensbasis sowie der Erzeugung von Outlines und Präsentationen.

(2) Art der Verarbeitung: Erheben, Erfassen, Speichern, Auslesen, Verwenden, Verändern, Übermitteln an genehmigte Unterauftragsverarbeiter, Löschen.

(3) Zweck: Ausschließlich die vertragsgemäße Erbringung der im Hauptvertrag vereinbarten Leistungen für den Verantwortlichen.

(4) Dauer: Die Verarbeitung erfolgt für die Laufzeit des Hauptvertrags. Dieser AVV endet mit Beendigung des Hauptvertrags, unbeschadet fortbestehender Lösch-/Rückgabe- und Geheimhaltungspflichten.

(5) Art der personenbezogenen Daten (siehe auch Anlage 1):

Konto-/Stammdaten der Nutzer:innen des Verantwortlichen (z. B. E-Mail, Name, Firmenname),
Inhalts-/Geschäftsdaten aus Intake-Dialogen, hochgeladenen Dokumenten und generierten Präsentationen — potenziell hochvertraulich,
technische Daten (z. B. IP-Adressen, Logs),
Zahlungsverkehrs- und Belegdaten einschliesslich Daten Dritter (Name, IBAN und Verwendungszweck von Zahlungspartnern, Belegaussteller, Rechnungsempfänger), soweit der Verantwortliche die Belegverarbeitung nutzt,
ggf. in Freitexten enthaltene weitere personenbezogene Daten.

(6) Kategorien betroffener Personen: Mitarbeitende und Nutzer:innen des Verantwortlichen sowie Dritte, deren Daten der Verantwortliche in die App einbringt.

(7) Besondere Kategorien (Art. 9 DSGVO): Die Eingabe besonderer Kategorien personenbezogener Daten ist nicht vorgesehen. Bringt der Verantwortliche dennoch solche Daten ein, geschieht dies in seiner alleinigen Verantwortung und auf seine Rechtsgrundlage hin. Der Auftragsverarbeiter erkennt solche Daten nicht, filtert sie nicht heraus und behandelt sie nicht mit einem erhöhten Schutzniveau — Chat- und Uploadfelder sind Freitext.

Ausgenommen ist die Belegverarbeitung. Kontoauszüge tragen im Verwendungszweck regelmässig Kirchensteuer-, Gewerkschafts- oder Krankenkassenbeiträge; das ist kein Fehlgebrauch, sondern der vorgesehene Ablauf. Insoweit weist der Verantwortliche die Verarbeitung ausdrücklich an und trägt die Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO bzw. § 26 BDSG.

§ 2 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a, Art. 29 DSGVO), sofern keine gesetzliche Verpflichtung zu einer abweichenden Verarbeitung besteht (in diesem Fall erfolgt vorherige Information, soweit rechtlich zulässig).

(2) Dieser AVV nebst Hauptvertrag bildet die grundlegende Weisung. Einzelweisungen erfolgen in Textform an hello@quorogroup.com.

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 2 DSGVO); er ist berechtigt, deren Ausführung bis zur Bestätigung auszusetzen.

§ 3 Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO)

Der Auftragsverarbeiter verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und stellt sicher, dass sie nur auf Weisung verarbeiten.

§ 4 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

(1) Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (TOM). Diese sind in Anlage 2 beschrieben.

(2) Die TOM unterliegen dem technischen Fortschritt; der Auftragsverarbeiter darf sie fortentwickeln, sofern das Schutzniveau nicht unterschritten wird.

§ 5 Unterauftragsverarbeiter (Art. 28 Abs. 2 und 4 DSGVO)

(1) Der Verantwortliche erteilt eine allgemeine Genehmigung zur Hinzuziehung der in Anlage 1 gelisteten Unterauftragsverarbeiter.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung/Ersetzung) mit angemessener Frist von 14 Tagen vorab. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; in diesem Fall steht ihm ein Sonderkündigungsrecht hinsichtlich des Hauptvertrags zu.

(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf im Wesentlichen gleichwertige Datenschutzpflichten (Art. 28 Abs. 4 DSGVO) und bleibt dem Verantwortlichen gegenüber verantwortlich.

(4) Bei Drittlandbezug eines Unterauftragsverarbeiters stellt der Auftragsverarbeiter geeignete Garantien nach Art. 44 ff. DSGVO sicher (siehe Anlage 1, Spalte „Transfergrundlage").

(5) Beratungspartner (White-Label). Bezieht der Verantwortliche die Anwendung über ein Beratungsunternehmen, das sie unter eigener Marke anbietet, ist dieses Beratungsunternehmen eigener Verantwortlicher in seiner Beziehung zum Verantwortlichen — kein Unterauftragsverarbeiter des Auftragsverarbeiters. Es ist deshalb nicht in Anlage 1 aufgeführt. Der Auftragsverarbeiter stellt dem Beratungsunternehmen die Daten des Verantwortlichen bereit, die dieses zur Betreuung und Abrechnung benötigt; Chatinhalte ausschliesslich, soweit der Verantwortliche einzelne Gespräche ausdrücklich freigegeben hat. Eine gegenüber dem Auftragsverarbeiter erteilte Einwilligung öffnet den Zugriff des Beratungsunternehmens nicht.

§ 6 Unterstützung des Verantwortlichen

(1) Betroffenenrechte (Art. 28 Abs. 3 lit. e DSGVO): Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenanfragen (Art. 15–22 DSGVO). An ihn gerichtete Betroffenenanfragen leitet er unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.

(2) Sonstige Pflichten (Art. 28 Abs. 3 lit. f DSGVO): Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Datensicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

§ 7 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede festgestellte Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden (Art. 28 Abs. 3 lit. f, Art. 33 Abs. 2 DSGVO), spätestens innerhalb von 48 Stunden.

(2) Die Meldung umfasst, soweit verfügbar, die in Art. 33 Abs. 3 DSGVO genannten Informationen sowie ergriffene/vorgeschlagene Abhilfemaßnahmen.

§ 8 Löschung und Rückgabe (Art. 28 Abs. 3 lit. g DSGVO)

(1) Nach Abschluss der Verarbeitung löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

(2) Die Löschung umfasst auch außerhalb der Datenbank gespeicherte Inhalte (z. B. Exporte, erzeugte Dateien) und erfolgt innerhalb von 30 Tagen nach Beendigung des Hauptvertrags. Aus den verschlüsselten Sicherungskopien verschwinden die Daten mit deren turnusmäßiger Rotation, spätestens 30 Tage nach der Löschung im Livesystem. Auf Wunsch werden die Daten zuvor in einem strukturierten, gängigen Format (JSON) bereitgestellt; dieselbe Ausgabe steht dem Verantwortlichen jederzeit selbst über die Export-Funktion der Anwendung zur Verfügung.

(3) Der Nachweis der elektronischen Annahme dieses AVV (siehe „Annahme") wird nach Beendigung als Rechenschaftsnachweis (Art. 5 Abs. 2 DSGVO) weiter aufbewahrt und drei Jahre nach der Löschung des Kontos gelöscht (Regelverjährung, §§ 195, 199 BGB). Er umfasst Kontokennung/E-Mail, Zeitpunkt, Dokumentversion sowie eine gehashte IP-Adresse und die Browserkennung (User-Agent) — keine Inhalts- oder Geschäftsdaten.

(4) Unabhängig von der Auftragsverarbeitung führt der Auftragsverarbeiter — insoweit als eigener Verantwortlicher — einen Vertriebsdatensatz zur Geschäftsbeziehung: früherer Firmenname, Domain, Status und Herkunft der Kundenbeziehung, etwaige Partnerzuordnung sowie damit verknüpfte Vertriebsvorgänge (Kontaktpersonen, Aktivitäten einschließlich etwaiger Gesprächsnotizen/Aufzeichnungen, Verkaufschancen). Dieser überdauert die Beendigung auf Grundlage des berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) und wird — wie der Annahmenachweis nach Abs. 3 — drei Jahre nach der Löschung des Kontos gelöscht (§§ 195, 199 BGB). Er enthält keine Chat- oder Dokumentinhalte des Kontos.

(5) Wie die Frist eingehalten wird. Der Auftragsverarbeiter erkennt das Vertragsende automatisiert am Ende der Zahlung, kündigt die Löschung dem Verantwortlichen zweimal per E-Mail an und löscht anschliessend Konto und Inhalte. Die Löschung erfasst ausdrücklich auch die ausserhalb der Datenbank gespeicherten Dateien. Steht einer Löschung eine gesetzliche Aufbewahrungspflicht entgegen, tritt an ihre Stelle die Einschränkung der Verarbeitung (Art. 18 DSGVO).

§ 9 Nachweise und Kontrollen / Audit (Art. 28 Abs. 3 lit. h DSGVO)

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO bereit.

(2) Er ermöglicht Überprüfungen — einschließlich Inspektionen — durch den Verantwortlichen oder einen beauftragten Prüfer. Vorrangig erfolgt der Nachweis durch die Bereitstellung der TOM-Dokumentation sowie etwaiger Zertifikate/Testate. Vor-Ort-Prüfungen sind mit angemessener Ankündigung (mindestens vier Wochen), während der üblichen Geschäftszeiten und höchstens einmal jährlich zulässig.

§ 10 Schlussbestimmungen

(1) Der Verantwortliche ist für die Zulässigkeit der Verarbeitung sowie für die Wahrung der Betroffenenrechte allein verantwortlich.

(2) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen in Datenschutzfragen die Regelungen dieses AVV vor.

(3) Es gilt deutsches Recht. Gerichtsstand ist Erfurt, soweit gesetzlich zulässig.

Anlage 1 — Unterauftragsverarbeiter

Unterauftragsverarbeiter	Rechtsträger / Sitz	Verarbeitungsort	Zweck / verarbeitete Daten	Transfergrundlage
Anthropic Ireland, Limited (Vertragspartner für den EWR; Verarbeitung durch Anthropic, PBC, USA)	Irland / USA	USA	Primäres Sprachmodell (Chat, Intake-Dialoge, Outlines, Deck-Inhalte, Bildanalyse). Die Web-Suche wird vom Anbieter über Brave Search erbracht (Unter-Unterauftragsverarbeiter); übermittelt wird die vom Modell formulierte Suchanfrage	AVV über die Anbieterbedingungen einbezogen; kein Training auf Kundeninhalten (vertraglich ausgeschlossen). Keine Zero-Retention-Vereinbarung — der Anbieter speichert Ein- und Ausgaben zur Missbrauchsprüfung bis zu 30 Tage und löscht sie danach (markierte Inhalte bis zu zwei Jahre). Drittlandtransfer über Standardvertragsklauseln (SCC) zzgl. TIA (Anthropic ist nicht DPF-zertifiziert)
Supabase Pte. Ltd.	Singapur; Daten in AWS eu-central-1 / Frankfurt (DE)	EU (Frankfurt)	Datenbank, Authentifizierung, Storage (Konto-/Stammdaten, Chat-/Intake-Inhalte, Wissensbasis, Präsentationen)	EU-Region. AVV in Beschaffung (siehe Hinweis unten); Drittlandtransfer über Standardvertragsklauseln (SCC) zzgl. TIA vorgesehen (kein DPF — dieses gilt nur für US-Empfänger)
Plus Five Five, Inc. (dba Resend)	USA; Versand eu-west-1 / Irland, Account-Daten/Logs in den USA	EU (Versand) + USA (Account/Logs)	Versand transaktionaler E-Mails (Bestätigung, Einladung, Kontaktformular)	AVV über die Anbieterbedingungen einbezogen; Drittlandtransfer über EU-U.S. DPF (zertifiziert) und/oder SCC zzgl. TIA
Hetzner Online GmbH	Gunzenhausen, Deutschland (Rechenzentrum Falkenstein)	Deutschland	Hosting/Infrastruktur, App-Traffic, Rendering, Protokolle	AVV in Beschaffung (Annahme über die Anbieter-Konsole, siehe Hinweis unten); kein Drittlandtransfer
Stripe Payments Europe, Ltd.	Irland (EU); Muttergesellschaft Stripe, Inc., USA	EU (Irland); US-Zugriff möglich	Zahlungsabwicklung, Abonnement-/Rechnungsverwaltung (E-Mail, Name/Firmenname, Kundenkennung, Rechnungs-/Zahlungsdaten)	AVV (Stripe-DPA) abgeschlossen; Drittlandtransfer über EU-U.S. DPF und/oder SCC zzgl. TIA
E2B (FoundryLabs, Inc.)	Delaware, USA	USA	Kurzlebige Code-Sandbox (Werkzeug `run_code`): vom Modell erzeugter Programmcode und der Inhalt ausdrücklich ausgewählter Upload-Dateien. Funktion ist derzeit aktiv.	AVV in Beschaffung (nur auf Anfrage beim Anbieter erhältlich, siehe Hinweis unten); Drittlandtransfer über SCC zzgl. TIA vorgesehen
Fly.io, Inc.	USA	EU (Frankfurt, Region „fra")	Ausführungsumgebung des Operators — Funktion derzeit nicht freigeschaltet, es findet insoweit keine Verarbeitung statt	AVV in Beschaffung; wird vor einer Freischaltung abgeschlossen

Hinweise:

Stand der Verträge — ausgewiesen, nicht behauptet. Für die mit „AVV in Beschaffung" gekennzeichneten Unterauftragsverarbeiter liegt zum Stand dieser Fassung kein abgeschlossener Auftragsverarbeitungsvertrag vor. Wir schreiben das hierhin, statt einen Vertrag zu behaupten, den wir im Prüfungsfall nicht vorlegen könnten. Der Verantwortliche kann der Hinzuziehung eines Unterauftragsverarbeiters nach § 5 Abs. 2 widersprechen (mit Sonderkündigungsrecht); den jeweils aktuellen Stand nennen wir auf Anfrage (hello@quorogroup.com). Die Beschaffung läuft; diese Anlage wird mit jedem Abschluss aktualisiert.
Vektor-Embeddings werden lokal im Container berechnet — kein Unterauftragsverarbeiter, kein Egress.
Brandfetch SA (Savigny, Schweiz) erhält bei der Marken-/Logo-Erkennung ausschließlich die vom Verantwortlichen eingegebene Unternehmens-URL — keine Chat-Inhalte, keine Dokumente, keine personenbezogenen Daten. Der Dienst ist deshalb kein Unterauftragsverarbeiter und wird hier nur der Transparenz halber genannt (Transfergrundlage: Angemessenheitsbeschluss Schweiz, Art. 45 DSGVO).
Operator: Verbindet der Verantwortliche eine eigene Datenbank, sieht der Operator ausschließlich das, was der Verantwortliche der hierfür angelegten (nur lesenden) Datenbank-Rolle freigibt; maßgeblich ist die Rechtevergabe in der Datenbank des Verantwortlichen, nicht eine Filterung beim Auftragsverarbeiter. Der Auftragsverarbeiter empfiehlt, Personal- und Bewerberdaten nicht freizugeben. Ein Widerruf der Verbindung entfernt die hinterlegten Zugangsdaten beim Auftragsverarbeiter, ändert sie aber nicht — eine Rotation der betroffenen Zugangsdaten wird empfohlen.
Nicht im Einsatz: Bildgenerierung, externe Analyse-/Tracking-Dienste, Sprachmodelle anderer Anbieter. Eine spätere Aktivierung erfordert Aufnahme in diese Anlage und Vorabinformation nach § 5 Abs. 2.

Anlage 2 — Technische und organisatorische Maßnahmen (TOM, Art. 32 DSGVO)

Vertraulichkeit: Strikte Mandantentrennung (Row-Level-Security „deny-all" auf Datenbankebene + tenant-basierte Autorisierung in der Anwendung); rollenbasierte Zugriffskontrolle; Zwei-Faktor-Authentifizierung (TOTP) inkl. Backup-Codes; Mindest-Passwortlänge 12 Zeichen.
Integrität: Verschlüsselung in transit (TLS, HSTS) und at rest bei den eingesetzten EU-Infrastruktur-Providern; Verarbeitung in gehärteter, als Non-Root betriebener Container-Umgebung (no-new-privileges, reduzierte Capabilities, blockierter Cloud-Metadaten-Endpunkt).
Verfügbarkeit & Belastbarkeit: Tägliche, verschlüsselte Backups (AES-256) innerhalb der EU; EU-Hosting für Anwendung und Datenbank (Hetzner Falkenstein, DE; Datenbank in AWS eu-central-1 / Frankfurt). Die Verarbeitung durch das eingesetzte Sprachmodell (Anthropic) erfolgt in den USA auf Basis von AVV/SCC.
Löschung und Aufbewahrung: Ein nächtlicher Löschlauf setzt die zugesagten Fristen technisch durch (Anwendungsprotokolle höchstens 30 Tage; System-/Proxy-Protokolle 14 Tage; verschlüsselte Sicherungskopien rotieren, Serverabbilder spätestens nach 30 Tagen; Nachweise der Vertragsannahme sowie der Vertriebsdatensatz zur Geschäftsbeziehung (§ 8 Abs. 4) drei Jahre nach Kontolöschung; technische Telemetrie ohne Inhaltsbezug 90 Tage). Die Löschung von Konto und Firma steht dem Verantwortlichen in der Anwendung als Selbstbedienung zur Verfügung und entfernt die Inhalts-/Geschäftsdaten unmittelbar.
Verfahren zur regelmäßigen Überprüfung: Laufende Überprüfung und Fortentwicklung der Maßnahmen nach Stand der Technik; keine externen End-Nutzer-Tracker; die Schriften der Anwendungsoberfläche werden selbst gehostet (bei der serverseitigen Erzeugung von PPTX-/PDF-Ausgaben können Schriftdateien von Google Fonts nachgeladen werden — ohne Übermittlung personenbezogener End-Nutzer-Daten); keine nicht-essenziellen Cookies.

Annahme

Dieser AVV wird vom Verantwortlichen bei der Registrierung elektronisch angenommen (Zustimmung durch aktive Bestätigung). Eine handschriftliche Unterzeichnung ist nicht erforderlich. Der Auftragsverarbeiter dokumentiert die Annahme revisionssicher (Kontokennung/E-Mail, Zeitpunkt, angenommene Dokumentversion) und stellt sie dem Verantwortlichen auf Anfrage als Nachweis zur Verfügung (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO).