Auftragsverarbeitungsvertrag (Muster)

Anlage zum Hauptvertrag über den Dienst Mailfried — 3angular Solutions GmbH

Stand: August 2026. Dieses Dokument ist ein unverbindliches Muster und noch kein Vertragsbestandteil; maßgeblich ist die dem individuellen Angebot beigefügte Fassung.

1. Vertragsparteien und Gegenstand

1. Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) wird geschlossen zwischen dem im Hauptvertrag bezeichneten Kunden (nachfolgend „Auftraggeber“) und der 3angular Solutions GmbH, Cosimastraße 121, 81925 München (nachfolgend „Auftragnehmer“). Er ist Anlage des Hauptvertrags über die Bereitstellung des Dienstes Mailfried (nachfolgend „Hauptvertrag“) und konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 der Datenschutz-Grundverordnung (DSGVO).
2. Mailfried verbindet vom Auftraggeber benannte E-Mail-Postfächer und Kalender mit einem KI-Modell, das eingehende E-Mails samt Anhängen liest, Aufgaben ausführt, Termine verwaltet und Antworten entwirft oder versendet. Der Auftragnehmer verarbeitet dabei personenbezogene Daten im Auftrag und nach Weisung des Auftraggebers; der Auftraggeber bleibt Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO.
3. Umfang, Art und Zweck der Verarbeitung sowie die Arten personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

2. Dauer des Auftrags

1. Dieser AVV gilt für die Laufzeit des Hauptvertrags. Die Kündigung oder sonstige Beendigung des Hauptvertrags beendet zugleich diesen AVV.
2. Die Pflichten zur Löschung (§ 13) und zur Vertraulichkeit (§ 5) bestehen über das Vertragsende hinaus fort.

3. Weisungen des Auftraggebers

1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen dieses AVV und der dokumentierten Weisungen des Auftraggebers, sofern er nicht gesetzlich zu einer anderen Verarbeitung verpflichtet ist; in einem solchen Fall teilt er dem Auftraggeber die rechtliche Anforderung vor der Verarbeitung mit, soweit das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Die vom Auftraggeber im Verwaltungsportal vorgenommene Konfiguration gilt als dokumentierte Weisung. Das umfasst insbesondere: die verbundenen Postfächer und Kalender und die überwachten Ordner, das je Postfach-Profil gewählte KI-Modell samt Zugangsdaten, die angebundenen Fachsysteme (MCP-Server), den Antwortmodus (Entwurf zur menschlichen Freigabe oder automatischer Versand), die hinterlegten Anweisungen und Textbausteine sowie das gewählte Aufbewahrungsprofil. Jede Änderung dieser Konfiguration ist eine neue Weisung.
3. Weitere Weisungen bedürfen der Textform (z. B. E-Mail an den Auftragnehmer).
4. Hält der Auftragnehmer eine Weisung für datenschutzrechtlich unzulässig, informiert er den Auftraggeber unverzüglich und ist berechtigt, die Ausführung bis zur Bestätigung oder Änderung der Weisung auszusetzen.

4. Verarbeitungsort und Drittlandübermittlung

1. Der Auftragnehmer betreibt den Dienst einschließlich der Protokollierung in Rechenzentren in Deutschland. Die Datenbank betreibt ein Dienstleister in Deutschland; ihre Datensicherungen werden in Deutschland und Frankreich gespeichert (Anlage 3). Sämtliche Verarbeitung findet in der Europäischen Union statt.
2. Wählt der Auftraggeber das vom Auftragnehmer gestellte KI-Modell, erfolgt die Verarbeitung durch Microsoft (Azure OpenAI) in der EU-Datenzone. Hinterlegt der Auftraggeber eigene Zugangsdaten eines KI-Anbieters, gilt § 12 Abs. 2.
3. Eine Verarbeitung in einem Drittland durch den Auftragnehmer findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, und wird dem Auftraggeber vorab über die Unterauftragsverarbeiter-Information (§ 8) mitgeteilt.

5. Vertraulichkeit

1. Der Auftragnehmer setzt für die Verarbeitung nur Beschäftigte ein, die auf die Vertraulichkeit verpflichtet und mit den für sie relevanten Datenschutzbestimmungen vertraut gemacht wurden. Die Verpflichtung besteht nach Beendigung der Tätigkeit und nach Vertragsende fort.
2. Zugriff auf die Produktivumgebung haben ausschließlich hierfür autorisierte Beschäftigte des Auftragnehmers.

6. Technische und organisatorische Maßnahmen

1. Der Auftragnehmer trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit aufrecht.
2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie weiterentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird; wesentliche Änderungen dokumentiert er.

7. Unterauftragsverarbeiter

1. Der Auftraggeber genehmigt allgemein den Einsatz der in Anlage 3 aufgeführten Unterauftragsverarbeiter.
2. Der Auftragnehmer informiert den Auftraggeber in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann der Änderung innerhalb von 30 Tagen aus wichtigem datenschutzrechtlichen Grund widersprechen; im Fall des Widerspruchs steht beiden Parteien ein außerordentliches Kündigungsrecht für den Hauptvertrag zu, wenn eine zumutbare Alternative nicht verfügbar ist.
3. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter durch einen Vertrag nach Art. 28 Abs. 4 DSGVO auf im Wesentlichen dieselben Datenschutzpflichten, wie sie in diesem AVV vereinbart sind.
4. Keine Unterauftragsverarbeiter des Auftragnehmers sind Stellen, deren Einsatz der Auftraggeber selbst veranlasst und vertraglich hält, insbesondere die in § 12 Abs. 2 und 3 genannten KI-Anbieter und Fachsysteme des Auftraggebers.

8. Unterstützung des Auftraggebers

1. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III der DSGVO (insbesondere Auskunft, Berichtigung, Löschung, Datenübertragbarkeit) zu erfüllen. Das Verwaltungsportal stellt hierfür die gespeicherten Vorgänge einsehbar dar; die Löschung einzelner Postfach-Profile entfernt alle zugehörigen gespeicherten Inhalte.
2. Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.
3. Richten betroffene Personen Anträge unmittelbar an den Auftragnehmer, leitet er sie unverzüglich an den Auftraggeber weiter.

9. Meldung von Datenschutzverletzungen

1. Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten, die Auftraggeber-Daten betrifft, unverzüglich nach Bekanntwerden.
2. Die Meldung enthält, soweit bekannt: die Art der Verletzung, die betroffenen Daten- und Betroffenenkategorien, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen. Noch nicht verfügbare Informationen reicht der Auftragnehmer ohne unangemessene Verzögerung nach.

10. Zugriff des Auftragnehmers auf Inhalte (Support)

1. Beschäftigte des Auftragnehmers haben keinen anlasslosen Zugriff auf die Inhalte der verarbeiteten E-Mail-Vorgänge des Auftraggebers.
2. Für Supportzwecke kann der Eigentümer eines Vorgangs diesen im Verwaltungsportal einzeln für den Auftragnehmer freigeben („teilen“). Die Freigabe kann der Auftraggeber jederzeit widerrufen; der Auftragnehmer kann eine erhaltene Freigabe seinerseits zurückgeben und hat danach keinen Einblick mehr in den Vorgang.
3. Jeder darüber hinausgehende Zugriff auf Inhalte bedarf einer gesonderten Weisung des Auftraggebers in Textform.

11. Nachweise und Kontrollen

1. Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind. Hierzu zählen die Dokumentation der Maßnahmen nach Anlage 2 sowie vorliegende Prüfberichte und Nachweise der Unterauftragsverarbeiter.
2. Der Auftraggeber ist berechtigt, die Einhaltung dieses AVV zu überprüfen. Die Parteien wählen vorrangig die Vorlage von Nachweisen und Berichten; eine Prüfung vor Ort erfolgt nach angemessener Vorankündigung während der üblichen Geschäftszeiten, ohne Störung des Betriebs und höchstens einmal je Kalenderjahr, anlassbezogene Prüfungen ausgenommen. Beauftragte Dritte sind zur Verschwiegenheit zu verpflichten.

12. Pflichten und Zusicherungen des Auftraggebers

1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlagen gegenüber den betroffenen Personen und für die Erfüllung der Informationspflichten nach Art. 13 und 14 DSGVO gegenüber seinen Kommunikationspartnern.
2. Hinterlegt der Auftraggeber im Verwaltungsportal eigene Zugangsdaten eines KI-Anbieters (eigenes KI-Profil), beauftragt er diesen Anbieter selbst; der Auftragnehmer übermittelt die Daten ausschließlich an den vom Auftraggeber konfigurierten Endpunkt. Der Auftraggeber schließt mit diesem Anbieter die erforderlichen Verträge nach Art. 28 DSGVO und prüft etwaige Drittlandübermittlungen.
3. Entsprechendes gilt für vom Auftraggeber angebundene Fachsysteme (MCP-Server): welche Daten ein angebundenes Fachsystem erhält, bestimmt und verantwortet der Auftraggeber.
4. Der Auftraggeber sichert zu, dass die verbundenen Postfächer betriebliche Funktionspostfächer sind, deren private Nutzung durch Beschäftigte nicht gestattet ist.
5. Das Aufbewahrungsprofil je Postfach-Profil ist eine Weisung des Auftraggebers. Der Auftragnehmer empfiehlt eine endliche Aufbewahrungsdauer; die Einstellung „unbegrenzt aufbewahren“ ist eine ausdrückliche Weisung des Auftraggebers.
6. Der Auftraggeber benennt dem Auftragnehmer einen Ansprechpartner für Datenschutzbelange und hält diese Angabe aktuell.

13. Löschung und Rückgabe

1. Nach Beendigung des Hauptvertrags löscht der Auftragnehmer alle für den Auftraggeber gespeicherten personenbezogenen Daten, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschung einzelner Postfach-Profile oder des gesamten Mandanten kann der Auftraggeber bereits während der Laufzeit im Verwaltungsportal veranlassen; sie entfernt alle zugehörigen gespeicherten Inhalte.
2. In Datensicherungen enthaltene Daten werden mit dem turnusmäßigen Umlauf der Sicherungen überschrieben, spätestens 90 Tage nach der Löschung; eine gezielte Wiederherstellung gelöschter Auftraggeber-Daten aus Sicherungen findet nicht statt.
3. In den verbundenen Postfächern und Kalendern des Auftraggebers löscht der Dienst ausschließlich von ihm selbst erzeugte, noch nicht versandte Entwürfe. Von Menschen geschriebene oder versandte Nachrichten und bestätigte Termine werden durch die Aufbewahrungsmechanik des Dienstes nicht gelöscht; die Erfüllung handels- und steuerrechtlicher Archivierungspflichten für Geschäftsbriefe obliegt dem Auftraggeber.

14. Haftung

Für die Haftung der Parteien gilt die Haftungsregelung des Hauptvertrags; Art. 82 DSGVO bleibt unberührt.

15. Schlussbestimmungen

1. Änderungen und Ergänzungen dieses AVV bedürfen der Textform und der ausdrücklichen Kennzeichnung als Änderung dieses AVV.
2. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in Datenschutzfragen vor.
3. Es gilt das Recht der Bundesrepublik Deutschland. Die Unwirksamkeit einzelner Bestimmungen lässt die Wirksamkeit der übrigen unberührt.

Anlage 1 — Gegenstand der Verarbeitung

Umfang, Art und Zweck

Fortlaufende Überwachung der vom Auftraggeber verbundenen E-Mail-Postfächer; automatisierte Analyse eingehender E-Mails einschließlich Anhängen durch das konfigurierte KI-Modell; Ausführung der sich daraus ergebenden Aufgaben in den angebundenen Kalendern und Fachsystemen (z. B. Terminvereinbarung, -verschiebung, -stornierung); Erstellung von Antwortentwürfen oder automatischer Versand von Antworten; Verwaltung der Vorgänge (Verschieben, Markieren, Weiterleiten von E-Mail-Konversationen); Darstellung der Vorgänge im Verwaltungsportal; Speicherung gemäß dem gewählten Aufbewahrungsprofil.

Arten personenbezogener Daten

• E-Mail-Inhalte und -Anhänge. Sie können alle Arten personenbezogener Daten enthalten, auch besondere Kategorien nach Art. 9 DSGVO, deren Inhalt der Auftragnehmer nicht steuert.
• E-Mail-Metadaten (Absender, Empfänger, Betreff, Zeitstempel, Kopfzeilen).
• Kontakt- und Personenstammdaten der Kommunikationspartner.
• Kalender- und Termindaten (Titel, Zeiten, Teilnehmer).
• Konfigurations- und Nutzerdaten des Verwaltungsportals (Namen, dienstliche E-Mail-Adressen, Rollen der Portal-Nutzer).
• Technische Protokolldaten des Dienstbetriebs (ohne E-Mail-Inhalte, vgl. Anlage 2).

Kategorien betroffener Personen

• Beschäftigte und Portal-Nutzer des Auftraggebers.
• Externe Kommunikationspartner der verbundenen Postfächer (Absender und Empfänger), insbesondere Kunden, Interessenten und Lieferanten des Auftraggebers.
• Teilnehmer der verwalteten Termine.

Anlage 2 — Technische und organisatorische Maßnahmen

Bereich	Maßnahmen
Verschlüsselung	Sämtliche vom Auftraggeber hinterlegte Zugangsdaten — zu Postfächern und Kalendern ebenso wie API-Schlüssel von KI-Anbietern und Zugangstoken angebundener Fachsysteme — werden mit AES-256-GCM verschlüsselt gespeichert; ein dokumentiertes Schlüsselrotationsverfahren besteht. Alle Verbindungen sind mit TLS transportverschlüsselt.
Zugriffskontrolle	Zugriff auf die Produktivumgebung nur für autorisierte, auf Vertraulichkeit verpflichtete Beschäftigte des Auftragnehmers; Authentifizierung der Portal-Nutzer über das Anmeldeverfahren des Auftraggebers (Microsoft Entra); rollenbasierte Berechtigungen im Portal (Besitzer, Mandantenadministrator, globaler Administrator).
Mandantentrennung	Logische Trennung der Auftraggeber im Datenmodell; interne Dienstkomponenten authentifizieren sich untereinander mit geheimen Zugangstoken.
Inhaltszugriff	Kein anlassloser Zugriff auf Vorgangsinhalte; Support-Zugriff nur über die vom Auftraggeber je Vorgang erteilte, jederzeit widerrufbare Freigabe (§ 10).
Protokollierung	Betriebsprotokolle enthalten keine E-Mail-Inhalte; die Protokollierung von Nachrichteninhalten ist in der Produktivumgebung deaktiviert.
Speicherbegrenzung	Aufbewahrungsprofile je Postfach-Profil mit täglicher automatischer Löschung abgelaufener Vorgänge; Löschung einzelner Profile entfernt alle zugehörigen Inhalte.
Betrieb und Verfügbarkeit	Betrieb in EU-Rechenzentren (§ 4, Anlage 3); regelmäßige Datensicherungen mit turnusmäßigem Umlauf; Überwachung des Dienstbetriebs mit automatischer Störungsbenachrichtigung.

Anlage 3 — Unterauftragsverarbeiter

Unterauftragsverarbeiter	Zweck	Ort der Verarbeitung
Hetzner Online GmbH, Gunzenhausen	Betrieb der Dienstserver (Verwaltungsportal, Mail-Service, Betriebsprotokolle)	Deutschland
Microsoft Ireland Operations Ltd., Dublin	Anmeldeverfahren des Portals (Entra), Zugriff auf Microsoft-365-Postfächer und -Kalender (Graph), Versand von Störungsbenachrichtigungen, KI-Verarbeitung bei Nutzung des vom Auftragnehmer gestellten KI-Modells (Azure OpenAI, EU-Datenzone)	EU
OVH GmbH (OVHcloud), Saarbrücken	Betrieb der Datenbank (Rechenzentrum Frankfurt) einschließlich Datensicherungen (Rechenzentren Frankfurt und Gravelines)	Deutschland; Datensicherungen zusätzlich Frankreich (EU)