Auftragsverarbeitungsvertrag (AVV)

AUFTRAGSVERARBEITUNGSVERTRAG (VERWERKERSOVEREENKOMST)

Version: 1.9.1 Datum: 21. Oktober 2026 Grundlage: Artikel 28 DSGVO (Verordnung (EU) 2016/679) und UAVG (niederländisches Ausführungsgesetz zur DSGVO) Veröffentlichungsort: https://noveu.eu/juridisch/verwerkersovereenkomst

Dieser Auftragsverarbeitungsvertrag ("AVV") ist untrennbarer Bestandteil des Vertrags zwischen dem Auftraggeber (Verantwortlicher) und Noveu Solutions (Auftragsverarbeiter) und hat Vorrang vor den Allgemeinen Geschäftsbedingungen, soweit es die Verarbeitung Personenbezogener Daten betrifft.

PARTEIEN

1. Verantwortlicher ("Auftraggeber"):

2. Auftragsverarbeiter:

Im Folgenden gemeinsam: Parteien.

ERWÄGUNGEN

A. Die Parteien haben einen Hauptvertrag geschlossen, auf dessen Grundlage Noveu Dienste erbringt, darunter möglicherweise: Noveu Workspace (SaaS), Noveu Webmail/Mail Hosting, Noveu Hosting, NoveuFlow (ein WordPress-Plugin, das auf der Website des Auftraggebers läuft), Managed IT, API- und KI-Dienste (im Folgenden: der "Hauptvertrag").

B. Bei der Erfüllung des Hauptvertrags verarbeitet Noveu Personenbezogene Daten im Auftrag des Auftraggebers im Sinne der DSGVO.

C. Dieser AVV entspricht Artikel 28 Abs. 3 DSGVO und der UAVG und beruht auf dem Muster-Auftragsverarbeitungsvertrag von NLdigital, angepasst an die besonderen Dienste von Noveu.

ARTIKEL 1: BEGRIFFSBESTIMMUNGEN

1.1. Großgeschriebene Begriffe, die in diesem AVV nicht anders definiert sind, haben die Bedeutung aus der DSGVO oder den Allgemeinen Geschäftsbedingungen von Noveu.

1.2. Datenschutzverletzung: eine Verletzung der Sicherheit, die versehentlich oder unrechtmäßig zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von oder zum unbefugten Zugang zu Personenbezogenen Daten führt.

1.3. Unterauftragsverarbeiter: ein Dritter, den Noveu einschaltet, um (einen Teil der) Personenbezogenen Daten zu verarbeiten.

1.4. Aufsichtsbehörde: die Autoriteit Persoonsgegevens (AP, niederländische Datenschutzbehörde) oder eine andere zuständige Aufsichtsbehörde.

ARTIKEL 2: ZWECK, ART UND RECHTSGRUNDLAGE

2.1. Noveu verarbeitet die Personenbezogenen Daten ausschließlich im Auftrag des Auftraggebers und zur Erfüllung des Hauptvertrags, niemals für eigene Zwecke.

2.2. Die Verarbeitung betrifft folgende Zwecke:

• (a) Bereitstellung und Verwaltung der SaaS-Plattform (Noveu Workspace); bei NoveuFlow, einem WordPress-Plugin auf der Website des Auftraggebers, ausschließlich Lizenzverwaltung, Updates und Support. Daten von Kunden des Auftraggebers in NoveuFlow bleiben auf dieser Website und werden im Rahmen von NoveuFlow nicht von Noveu verarbeitet, außer dem, was der Auftraggeber selbst in ein Support-Ticket aufnimmt (das fällt unter (g)); bezieht der Auftraggeber das Hosting dieser Website bei Noveu, fällt diese Verarbeitung unter (c). KI-Funktionen von NoveuFlow verbindet der Auftraggeber selbst, mit einem eigenen Schlüssel, und sie laufen nicht über Noveu;
• (b) Hosting, Versand und Speicherung von E-Mail-Nachrichten und Anhängen;
• (c) Web- und Anwendungshosting;
• (d) Verwaltung und Sicherung der IT-Infrastruktur des Auftraggebers;
• (e) Termine, Kalender, Kontakte, CRM- und Projektdaten;
• (f) Backup und Kontinuität;
• (g) Support und Helpdesk (Ticketing);
• (h) optional: KI-gestützte Funktionen (nur nach ausdrücklicher Aktivierung durch den Auftraggeber).

2.3. Der Auftraggeber garantiert, dass die Verarbeitung auf einer gültigen Rechtsgrundlage im Sinne von Artikel 6 DSGVO beruht und dass Personenbezogene Daten rechtmäßig erlangt wurden.

2.4. Art und Dauer der Verarbeitung entsprechen der Dauer des Hauptvertrags, zuzüglich der in Artikel 11 genannten Aufbewahrungsfristen.

ARTIKEL 3: KATEGORIEN PERSONENBEZOGENER DATEN

3.1. Im Rahmen der Dienste können folgende Kategorien Personenbezogener Daten verarbeitet werden:

3.2. Kategorien betroffener Personen:

• (a) Mitarbeiter und Personal des Auftraggebers;
• (b) Kunden und Geschäftskontakte des Auftraggebers;
• (c) Lieferanten und Geschäftspartner des Auftraggebers;
• (d) Besucher von Websites des Auftraggebers;
• (e) Patienten/Klienten (nur im Gesundheitskontext, siehe 3.3);
• (f) Bewerber.

3.3. Besondere Kategorien und Gesundheitskontext (NTA 7516). Betrifft die Verarbeitung besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), darunter Gesundheitsdaten:

• (a) informiert der Auftraggeber Noveu darüber ausdrücklich und vorab;
• (b) treffen die Parteien zusätzliche Maßnahmen gemäß Anlage 1;
• (c) wendet Noveu für E-Mail im Gesundheitswesen (sofern vereinbart) die Normen der NTA 7516 (Veilige e-mail in de zorg, sichere E-Mail im Gesundheitswesen) an;
• (d) stellt der Auftraggeber eine gültige Rechtsgrundlage gemäß Artikel 9 Abs. 2 DSGVO sicher.

ARTIKEL 4: PFLICHTEN DES AUFTRAGSVERARBEITERS

4.1. Noveu verarbeitet die Personenbezogenen Daten ausschließlich auf der Grundlage Schriftlicher Weisungen des Auftraggebers, es sei denn, Noveu ist nach Unionsrecht oder niederländischem Recht dazu verpflichtet. In diesem Fall informiert Noveu den Auftraggeber vorab, sofern das Gesetz dies nicht verbietet.

4.2. Noveu verarbeitet Personenbezogene Daten nicht außerhalb des EWR, es sei denn, der Auftraggeber hat dazu seine Schriftliche Zustimmung gegeben und geeignete Garantien (Kapitel V DSGVO) wurden getroffen.

4.3. Noveu informiert den Auftraggeber unverzüglich, wenn eine Weisung nach Auffassung von Noveu gegen die DSGVO oder andere Datenschutzvorschriften verstößt.

4.4. Noveu wirkt in angemessenem Umfang bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) und vorherigen Konsultationen (Art. 36 DSGVO) mit.

4.5. Noveu führt ein Verzeichnis von Verarbeitungstätigkeiten gemäß Artikel 30 Abs. 2 DSGVO.

ARTIKEL 5: SICHERHEIT (TOM)

5.1. Noveu trifft geeignete technische und organisatorische Maßnahmen gemäß Artikel 32 DSGVO unter Berücksichtigung des Stands der Technik.

5.2. Eine detaillierte Übersicht der TOM enthält Anlage 1. In den Grundzügen trifft Noveu mindestens:

• (a) TLS 1.2+ für externen Verkehr, HSTS, moderne Cipher;
• (b) Backups werden seit dem 30. September 2026 verschlüsselt gespeichert; die Festplatten selbst sind noch nicht verschlüsselt, und ein Datum dafür nennen wir noch nicht;
• (c) RBAC nach dem Least-Privilege-Prinzip;
• (d) verpflichtende MFA für alle administrativen Zugänge;
• (e) zentrales Logging, Monitoring (Prometheus/Grafana) und Error-Tracking (GlitchTip);
• (f) tägliche automatisierte Backups. Backups befinden sich im Hetzner-Rechenzentrum in Falkenstein (Deutschland). Backups werden seit dem 30. September 2026 verschlüsselt gespeichert; die Festplatten selbst sind noch nicht verschlüsselt, und ein Datum dafür nennen wir noch nicht; regelmäßige Wiederherstellungstests werden eingeführt, sobald die ersten Produktionskunden angeschlossen sind;
• (g) Patch-Management (kritische CVEs innerhalb von 48 Stunden);
• (h) Cloudflare Tunnel für den HTTP-Verkehr, kein direkter eingehender Internetzugang zum Web-Backend (Mailverkehr und STUN/TURN laufen direkt zu unserem Server bei Hetzner in Falkenstein, Deutschland, nicht über Cloudflare);
• (i) Segmentierung der Umgebungen und Datenisolation je Dienst.

5.3. Noveu bewertet diese Maßnahmen regelmäßig und passt sie an den Stand der Technik an. Wesentliche Änderungen werden dem Auftraggeber mitgeteilt.

ARTIKEL 6: UNTERAUFTRAGSVERARBEITER

6.1. Der Auftraggeber erteilt Noveu hiermit eine allgemeine Genehmigung zur Einschaltung von Unterauftragsverarbeitern zu den Bedingungen dieses Artikels.

6.2. Die zum Zeitpunkt der Veröffentlichung eingeschalteten Unterauftragsverarbeiter sind in Anlage 2 und unter /juridisch/sub-verwerkers aufgeführt. Der Auftraggeber stimmt dem zu.

6.3. Noveu kündigt beabsichtigte Änderungen (Hinzufügung oder Ersetzung) mindestens 30 Tage im Voraus Schriftlich an, unter anderem per E-Mail und unter https://noveu.eu/juridisch/sub-verwerkers.

6.4. Der Auftraggeber kann innerhalb dieser Frist begründeten Einspruch erheben. Führen Gespräche nicht innerhalb von 14 Tagen zu einer Einigung, darf der Auftraggeber den Hauptvertrag mit einer Kündigungsfrist von 30 Tagen kündigen, ohne Schadensersatz.

6.5. Noveu erlegt jedem Unterauftragsverarbeiter mindestens gleichwertige Pflichten auf und bleibt gegenüber dem Auftraggeber für die Erfüllung durch Unterauftragsverarbeiter voll verantwortlich.

ARTIKEL 7: MELDEPFLICHT BEI DATENSCHUTZVERLETZUNGEN

7.1. Noveu informiert den Auftraggeber ohne unangemessene Verzögerung und spätestens innerhalb von 48 Stunden nach Entdeckung einer Datenschutzverletzung, damit der Auftraggeber die gesetzliche Meldepflicht gegenüber der AP (72 Stunden, Art. 33 DSGVO) rechtzeitig erfüllen kann.

7.2. Die Meldung enthält mindestens, soweit zu diesem Zeitpunkt bekannt:

• (a) Art der Datenschutzverletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Personenbezogenen Daten;
• (b) Kontaktdaten des Beauftragten/der Ansprechperson bei Noveu;
• (c) wahrscheinliche Folgen;
• (d) bereits ergriffene und vorgeschlagene Maßnahmen.

7.3. Fehlende Informationen werden schrittweise ergänzt.

7.4. Noveu dokumentiert alle Datenschutzverletzungen in einem internen Verzeichnis (Art. 33 Abs. 5 DSGVO) und stellt es auf Anfrage zur Verfügung.

7.5. Noveu wirkt in angemessenem Umfang mit dem Auftraggeber zusammen bei: Begrenzung der Folgen, Untersuchung, Meldungen an die Aufsichtsbehörde und/oder betroffene Personen (Art. 33 bis 34 DSGVO) und Folgefragen der Aufsichtsbehörde.

7.6. Noveu macht ohne Schriftliche Zustimmung gegenüber Dritten keine Mitteilungen über eine Datenschutzverletzung, es sei denn, sie ist gesetzlich dazu verpflichtet.

ARTIKEL 8: RECHTE DER BETROFFENEN PERSONEN (UNTERSTÜTZUNG BEI ANFRAGEN)

8.1. Der Auftraggeber ist selbst für die Bearbeitung von Anträgen betroffener Personen verantwortlich (Art. 15 bis 22 DSGVO): Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und automatisierte Entscheidungsfindung.

8.2. Noveu unterstützt den Auftraggeber innerhalb einer Frist von 30 Tagen nach Eingang eines Schriftlichen Antrags, es sei denn, eine kürzere Frist ist vernünftigerweise erforderlich, um gesetzliche Fristen einzuhalten.

8.3. Erhält Noveu direkt einen Antrag einer betroffenen Person, leitet sie ihn so schnell wie möglich an den Auftraggeber weiter, ohne inhaltlich zu antworten, sofern nicht Schriftlich anders vereinbart.

8.4. Angemessene Kosten der Unterstützung können zum dann geltenden Tarif von Noveu in Rechnung gestellt werden, sofern sie vorab mitgeteilt wurden.

ARTIKEL 9: GEHEIMHALTUNG

9.1. Noveu verpflichtet sich zur Geheimhaltung aller Personenbezogenen Daten und sonstigen vertraulichen Informationen.

9.2. Noveu stellt sicher, dass alle Personen, die unter ihrer Aufsicht handeln und Zugang zu Personenbezogenen Daten haben (Arbeitnehmer, Leiharbeitskräfte und Freiberufler), an eine gesetzliche oder vertragliche Geheimhaltungspflicht gebunden sind.

9.3. Die Geheimhaltung gilt nach Beendigung auf unbestimmte Zeit fort oder solange die Vertraulichkeit dies erfordert.

ARTIKEL 10: AUDIT

10.1. Noveu stellt dem Auftraggeber alle vernünftigerweise erforderlichen Informationen zur Verfügung, um die Einhaltung von Artikel 28 DSGVO nachzuweisen.

10.2. Der Auftraggeber hat das Recht, einmal pro Kalenderjahr ein Audit durchzuführen oder durchführen zu lassen, unter folgenden Bedingungen:

• (a) Schriftliche Ankündigung mindestens 20 Werktage im Voraus;
• (b) während der regulären Bürozeiten, nach Vereinbarung;
• (c) unter Wahrung der Vertraulichkeit gegenüber anderen Kunden;
• (d) durch einen unabhängigen, qualifizierten Auditor, der zur Geheimhaltung verpflichtet ist.

10.3. Zusätzliche Audits sind zulässig bei: einer Datenschutzverletzung (Art. 7), einer Untersuchung durch die Aufsichtsbehörde oder begründetem Verdacht auf Nichteinhaltung.

10.4. Noveu darf anstelle eines Vor-Ort-Audits einen aktuellen (höchstens 12 Monate alten) externen Auditbericht, eine Zertifizierung nach ISO 27001 / SOC 2 / ISAE 3402 oder eine gleichwertige unabhängige Bestätigung anbieten. Ein Vor-Ort-Audit ist nur zulässig, wenn die angebotene Dokumentation unzureichend ist.

10.5. Audits erfolgen auf Kosten des Auftraggebers, es sei denn, daraus ergibt sich, dass Noveu ihre Pflichten nicht erfüllt; dann trägt Noveu die angemessenen Kosten.

10.6. Noveu wirkt an Untersuchungen der Aufsichtsbehörde mit, soweit sie diesen AVV betreffen.

ARTIKEL 11: RÜCKGABE UND LÖSCHUNG

11.1. Bei Beendigung des Hauptvertrags stellt Noveu die Verarbeitung ein, vorbehaltlich gesetzlicher Aufbewahrungspflichten.

11.2. Auf Verlangen des Auftraggebers stellt Noveu die Personenbezogenen Daten in einem gängigen und maschinenlesbaren Format (CSV, JSON, SQL-Export, MBOX für E-Mail) innerhalb von 30 Tagen bereit. Der Auftraggeber hat 30 Tage nach Beendigung Zeit, einen Antrag auf Rückgabe zu stellen.

11.3. Nach der Rückgabe oder nach Ablauf der Frist in 11.2 ohne Antrag löscht Noveu alle Personenbezogenen Daten und Kopien innerhalb von 30 Tagen.

11.4. Backups mit Personenbezogenen Daten werden spätestens 90 Tage nach Beendigung überschrieben oder gelöscht. Während dieses Zeitraums gelten die Sicherheits- und Geheimhaltungspflichten unvermindert fort.

11.5. Noveu bestätigt die Löschung auf Anfrage Schriftlich.

ARTIKEL 12: HAFTUNG

12.1. Der Auftraggeber ist und bleibt für die Einhaltung der DSGVO hinsichtlich der Verarbeitung verantwortlich, für die er Verantwortlicher ist.

12.2. Noveu haftet für Schäden, soweit sie:

• (a) den speziell den Auftragsverarbeitern auferlegten Pflichten aus der DSGVO nicht nachgekommen ist; oder
• (b) entgegen rechtmäßigen Weisungen des Auftraggebers gehandelt hat; oder
• (c) außerhalb oder entgegen den Weisungen gehandelt hat.

12.3. Eine Partei ist von der Haftung befreit, wenn sie nachweist, dass sie in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist (Art. 82 Abs. 3 DSGVO).

12.4. Die Haftungsbeschränkungen der Allgemeinen Geschäftsbedingungen (Artikel 13) gelten entsprechend, mit der Maßgabe, dass sie nicht bei zwingender Haftung nach der DSGVO oder bei Verletzung der Geheimhaltungspflicht (Artikel 9) gelten.

12.5. Macht eine betroffene Person Schadensersatz geltend, informieren sich die Parteien unverzüglich gegenseitig und arbeiten bei der Abwicklung in angemessener Weise zusammen. Zahlt eine Partei Schadensersatz, darf sie den Teil, der der Verantwortung der anderen Partei entspricht, von dieser zurückfordern.

ARTIKEL 13: LAUFZEIT UND SCHLUSSBESTIMMUNGEN

13.1. Dieser AVV tritt mit dem Abschluss des Hauptvertrags in Kraft und endet von Rechts wegen mit dessen Beendigung. Bestimmungen, die ihrer Natur nach fortbestehen (Geheimhaltung, Löschung, Haftung), bleiben wirksam.

13.2. Änderungen und Ergänzungen sind nur gültig, wenn sie Schriftlich vereinbart wurden.

13.3. Bei Widersprüchen zum Hauptvertrag hat dieser AVV Vorrang, soweit es die Verarbeitung Personenbezogener Daten betrifft.

13.4. Auf diesen AVV ist niederländisches Recht anwendbar. Streitigkeiten werden der Rechtbank Den Haag (Gericht Den Haag) vorgelegt, unbeschadet des Rechts der Parteien auf Mediation oder Schiedsverfahren.

13.5. Die Kernverarbeitung und -speicherung Personenbezogener Daten erfolgt innerhalb des EWR. Für die namentlich genannten Unterauftragsverarbeiter außerhalb des EWR (siehe Anlage 2) wurden geeignete Garantien gemäß Kapitel V DSGVO getroffen (EU-US Data Privacy Framework und/oder Standardvertragsklauseln, wie je Unterauftragsverarbeiter in Anlage 2 angegeben). Änderungen dieser Garantien oder der Liste der Unterauftragsverarbeiter außerhalb des EWR werden gemäß Artikel 6 vorab angekündigt.

UNTERZEICHNUNG

So vereinbart:

Verantwortlicher:

Auftragsverarbeiter (Noveu Solutions):

ANLAGE 1: TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN

A. Infrastruktur und Netzwerk

B. Anwendungssicherheit

C. E-Mail-Sicherheit

D. Datenverwaltung

E. Zugangsverwaltung und Personal

F. Monitoring und Incident Response

G. Organisatorisch

ANLAGE 2: ÜBERSICHT DER UNTERAUFTRAGSVERARBEITER

Aktueller Stand zum Zeitpunkt der Veröffentlichung. Eine aktuelle Übersicht ist abrufbar unter /juridisch/sub-verwerkers.

Ausgemustert:

Anmerkungen:

• Der KI-Verarbeiter (Mistral AI SAS, Paris) wird ausschließlich nach ausdrücklicher Aktivierung je Funktion und nur für LLM-Textgenerierung eingesetzt. Nur vom Nutzer übergebene Inhalte werden gesendet; diese kostenpflichtige API-Ebene trainiert nicht mit Kundendaten. Die Embeddings (Vektorisierung) und der Vektorspeicher sind selbst gehostet (BAAI bge-m3 über selbst gehostete Text-Embeddings-Inference + pgvector auf eigener Hetzner-Infrastruktur, EU); es wird keine externe Embedding-API und keine externe Vektordatenbank verwendet. Anthropic, OpenAI, Google und Pinecone sind nicht im Einsatz.
• Wechsel des KI-Verarbeiters. Google LLC (Gemini API, USA) wurde zum 29. August 2026 durch Mistral AI SAS (Frankreich, Verarbeitung in der EU) ersetzt. Die Ankündigung gemäß Artikel 6.3 wurde am 31. August 2026 unter /juridisch/sub-verwerkers veröffentlicht; die Einspruchsfrist läuft bis einschließlich 31. Oktober 2026, wie auf der Seite der Unterauftragsverarbeiter. Die Umstellung verlagert die KI-Verarbeitung von außerhalb in den EWR und fügt keinen Unterauftragsverarbeiter hinzu.
• Für US-Verarbeiter wurden zusätzliche Maßnahmen gemäß Schrems II getroffen (SCC, Datenminimierung, Verschlüsselung bei der Übertragung über TLS 1.2 oder höher, Risikoanalyse zum US CLOUD Act). Nach dem oben genannten Wechsel ist Cloudflare der einzige verbleibende Unterauftragsverarbeiter mit US-Bezug.
• Eine detaillierte Übersicht einschließlich Links zu den AVV der Unterauftragsverarbeiter steht unter /juridisch/sub-verwerkers.

ANLAGE 3: VERARBEITUNGSTÄTIGKEITEN

ÄNDERUNGSPROTOKOLL

Zugehörige Dokumente:

• Allgemeine Geschäftsbedingungen Noveu B2B, /juridisch/algemene-voorwaarden
• Datenschutzerklärung, /legal/privacy
• Aktuelle Unterauftragsverarbeiter, /juridisch/sub-verwerkers
• Status- und Vorfallseite, https://status.noveu.eu