Auftragsverarbeitungsvertrag (AVV) · Stand: 12. November 2026 Union Finance GmbH Elsenfelder Straße 32, 63906 Erlenbach am Main, Deutschland Parteien und Geltung Dieser Vertrag ist Anlage der AIVROM-Bedingungen zwischen Union Finance GmbH als Auftragsverarbeiter und dem als Verantwortlicher handelnden Kontoinhaber. Er gilt nur für die Verarbeitung personenbezogener Daten in Ihrem Auftrag durch vereinbarte Dienste. Kontoverwaltung, Abrechnung, Missbrauchsprävention und eigene gesetzliche Pflichten bleiben gesonderte Verantwortlichentätigkeiten. Auftrag und angenommene Kontodaten bestimmen den Verantwortlichen; das Impressum bezeichnet den Auftragsverarbeiter. Gegenstand, Dauer, Daten und Personen Verarbeitet wird durch Empfang, Speicherung, Abruf, Analyse, Umwandlung und Löschung Ihrer Inhalte sowie Erstellung angeforderter Ergebnisse während der Leistung und anschließenden Löschphase. Nach Ihren Weisungen können Namen, Kontakt- und Geschäftsdaten, Korrespondenz, Dokumente, Bilder und Plattformkennungen Ihrer Kunden, Kontakte, Beschäftigten, Lieferanten oder anderer Personen in Ihren Inhalten betroffen sein. Übermitteln Sie keine unnötigen besonderen Datenkategorien oder strafrechtlichen Daten. Der konkrete Umfang folgt ausgewählten Diensten und dokumentierten Aufträgen. Weisungen und Vertraulichkeit AIVROM verarbeitet Daten einschließlich Übermittlungen nur auf dokumentierte Weisung, soweit nicht anwendbares Recht eine Verarbeitung verlangt; soweit zulässig werden Sie hierüber informiert. Einstellungen, gewählte Verbindungen, eingereichte Aufträge und bestätigte Aktionen bilden Weisungen. Berechtigte Personen sind zur Vertraulichkeit und begrenztem Zugang verpflichtet. Erscheint eine Weisung datenschutzwidrig, informiert AIVROM Sie und kann die betroffene Verarbeitung bis zur Klärung aussetzen. Technische und organisatorische Maßnahmen Zu den Maßnahmen gehören HTTPS-Transport, kundengebundene Zugriffe und Datenbankregeln, getrennte Dienstrollen, authentifizierte Verwaltungsaktionen, verschlüsselte Verbindungszugangsdaten, Freigaben für externe Änderungen und Sicherungen. Zugangsdaten gelangen nicht in Modell-Prompts. Maßnahmen werden risikogerecht ohne wesentliche Schutzminderung gepflegt. Dies behauptet weder Verschlüsselung sämtlicher gespeicherter Inhalte noch eine bestimmte Zertifizierung. Auf Anfrage erhalten Sie angemessen erforderliche Informationen zur Bewertung der Maßnahmen. Unterauftragsverarbeiter und Übermittlungen Sie genehmigen allgemein notwendige Unterauftragsverarbeiter: Hetzner für Hosting, Amazon Web Services für Sicherungen und Zustellung sowie die ausgewählte Mistral-AI-, OpenAI- oder Anthropic-API für angeforderte KI-Aufgaben. Verbundene Plattformen werden nur auf Weisung und entsprechend ihrer jeweiligen Rolle eingesetzt. Gleichwertige Pflichten nach Artikel 28 werden auferlegt; AIVROM bleibt für die Verarbeitungspflichten der Unterauftragsverarbeiter verantwortlich. AIVROM teilt Ergänzungen oder Ersetzungen mindestens 30 Tage im Voraus mit. Sie können vor dem Wechsel aus Datenschutzgründen widersprechen. Können die Parteien keine tragfähige Alternative vereinbaren, können Sie den betroffenen Dienst zum Zeitpunkt des Wechsels außerordentlich kündigen. Drittlandübermittlungen erfordern Garantien nach Kapitel V DSGVO; Einzelheiten erhalten Sie über privacy@aivrom.com. Hetzner verarbeitet Hosting-Daten in Deutschland, AWS Sicherungs- und E-Mail-Daten in Stockholm (Schweden). Cloudflare verarbeitet DNS- und Proxy-Daten im globalen Netz einschließlich USA. Mistral AI verarbeitet in der EU. OpenAI Ireland und Anthropic können KI-Anfragen in den USA bzw. global verarbeiten. Bei relevanten Drittlandübermittlungen gelten die vereinbarten SCC, bei erfassten US-Empfängern und Verarbeitungen der EU-U.S. DPF. Unterstützung und Vorfälle Unter Berücksichtigung von Verarbeitungsart und verfügbaren Informationen unterstützt AIVROM Betroffenenrechte, Sicherheit, Meldungen, Folgenabschätzungen und vorherige Konsultationen. Anfragen zu Ihren kontrollierten Daten werden weitergeleitet und nicht eigenständig für Sie entschieden. Nach Bekanntwerden einer Verletzung personenbezogener Daten informiert AIVROM Sie unverzüglich und stellt verfügbare Angaben zu Art, betroffenen Daten, wahrscheinlichen Folgen und Gegenmaßnahmen sowie spätere Ergänzungen bereit. Nachweise und Prüfungen AIVROM stellt erforderliche Informationen zum Nachweis der Einhaltung bereit und ermöglicht angemessene Prüfungen einschließlich Inspektionen durch Sie oder einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer und wirkt daran mit. Angemessene Abläufe schützen andere Kunden, Sicherheit und Kontinuität. Dringende behördliche Anforderungen und gesetzliche Rechte werden durch Terminabsprachen nicht eingeschränkt. Rückgabe, Löschung und Vorrang Nach Leistungsende werden kontrollierte Daten nach Ihrer Wahl zurückgegeben oder gelöscht; vorhandene Kopien werden gelöscht, soweit keine gesetzliche Aufbewahrung verlangt wird. Fordern Sie Rückgabe vor Kontolöschung an. Bei Wiederherstellungen werden Löschersuchen erneut berücksichtigt. Gesetzlich aufbewahrte Daten werden isoliert und nur für diese Pflicht genutzt. Bei Auftragsverarbeitung hat diese Anlage Vorrang vor widersprechenden allgemeinen Bedingungen; zwingende DSGVO-Rechte und -Pflichten bleiben unberührt. Kontakt zu diesem Dokument Datenschutz und Löschung: privacy@aivrom.com. Kündigung, Widerruf und Abrechnung: billing@aivrom.com. Menschlicher Support: support@aivrom.com, Montag–Freitag 10:00–16:00 Europe/Berlin; Antwort innerhalb von zwei Werktagen. Anlage 1 · Technische und organisatorische Maßnahmen AIVROM ordnet Daten Konten und Projekten zu und prüft Zugriffsrechte serverseitig. Verwaltungsaktionen sind authentifiziert und rollenbasiert. Öffentliche Dienste verwenden HTTPS. Sicherungen werden verschlüsselt abgelegt und Rücksicherungen erprobt. Bei einer Wiederherstellung werden bereits erfasste Löschanfragen erneut angewendet. Sicherheitsvorfälle werden erfasst, bewertet und dem Auftraggeber bei einer Verletzung personenbezogener Daten unverzüglich mitgeteilt. Datenschutzkontakt: privacy@aivrom.com. Anlage 2 · Unterauftragsverarbeiter Hetzner verarbeitet Hosting-Daten in Deutschland, AWS Sicherungs- und E-Mail-Daten in Stockholm (Schweden). Cloudflare verarbeitet DNS- und Proxy-Daten im globalen Netz einschließlich USA. Mistral AI verarbeitet in der EU. OpenAI Ireland und Anthropic können KI-Anfragen in den USA bzw. global verarbeiten. Bei relevanten Drittlandübermittlungen gelten die vereinbarten SCC, bei erfassten US-Empfängern und Verarbeitungen der EU-U.S. DPF.