Auftragsverarbeitungsvertrag (AVV)
Version: privacy-v1 · Gültig ab: 18. Juli 2026
Maßgebliche Sprache: Deutsch.
Dieser AVV ist Bestandteil des Vertrags zwischen dem Geschäftskunden („Kunde“) und Mykola Orlenko, Einzelunternehmer, handelnd unter SonikaAI, Trierer Str. 700, 52078 Aachen, Deutschland („SonikaAI“), soweit SonikaAI personenbezogene Daten im Auftrag verarbeitet. Die Standardvertragsklauseln für Verantwortliche und Auftragsverarbeiter gemäß Beschluss (EU) 2021/915 werden einbezogen und gehen bei Widersprüchen vor.
1. Rollen und Weisungen
Der Kunde ist Verantwortlicher oder Auftragsverarbeiter; SonikaAI ist Auftragsverarbeiter oder Unterauftragsverarbeiter. SonikaAI verarbeitet Daten ausschließlich zur Bereitstellung, Wartung und Absicherung der bestellten Dienste nach dokumentierten Weisungen und nutzt Kundeninhalte weder für Werbung noch zum Modelltraining.
Der Kunde verantwortet die Rechtmäßigkeit der Daten und Weisungen. Im Self-Service ausgeschlossen sind vollständige Kartendaten, Zahlungs-Authentifizierungsdaten, Passwörter, Schlüssel, sonstige Geheimnisse, biometrische Vorlagen und HIPAA-PHI. Die überwiegende Verarbeitung von Kinderdaten, amtlichen IDs, strafrechtlichen Daten oder Daten nach Art. 9/10 DSGVO erfordert einen schriftlichen manuellen B2B-Auftrag und eine Risikoprüfung.
2. Verarbeitung und EU-PII-Masking
Die Verarbeitung kann Empfang, Übermittlung, Analyse, temporäre Speicherung, Übersetzung, Ergebniserstellung und Löschung umfassen. Bei aktiviertem EU-PII-Masking erhält Microsoft Azure AI Language in einer EU-Region zunächst das unmaskierte Sprach-Sample und jedes Übersetzungspaket zur PII-Erkennung. Nachgelagerte Sprach- und Übersetzungsanbieter erhalten maskierten Text; die Wiederherstellung erfolgt innerhalb von SonikaAI.
Masking ist eine Best-effort-Pseudonymisierung, keine vollständige Anonymisierung oder medizinische De-Identifikation. Ohne Masking können zuständige Anbieter unmaskierte Inhalte erhalten.
3. Vertraulichkeit, Sicherheit und Aufbewahrung
SonikaAI beschränkt den Zugriff auf befugte Personen und setzt Transportverschlüsselung, logische Trennung, Least-Privilege-Zugriff, Incident-Verfahren und kontrollierte Löschung ein. Der Workflow-Vault ist verschlüsselt, je Workflow isoliert, wird bei Endstatus gelöscht und spätestens nach 24 Stunden automatisiert bereinigt.
- Sichtbare Dateien und Ergebnisse: bis zur Löschung durch den Kunden oder Vertragsende.
- Technische Kopien abgeschlossener Workflows: regelmäßig bis 3 Tage; sonstige verborgene technische Kopien: höchstens 30 Tage.
- Application Logs im Daily-Modus: bis 14 Tage; lokale operative Backups: bis 7 Tage.
4. Unterauftragsverarbeiter und Übermittlungen
Der Kunde erteilt eine allgemeine schriftliche Genehmigung. Das aktuelle Unterauftragsverarbeiter-Verzeichnis ist Bestandteil dieses AVV. SonikaAI informiert mindestens 30 Kalendertage vor Ergänzungen oder Ersetzungen per E-Mail. Übermittlungen außerhalb des EWR beruhen auf Angemessenheitsbeschluss, SCC 2021/914 oder einem anderen rechtmäßigen Mechanismus.
5. Unterstützung, Vorfälle und Audit
SonikaAI informiert unverzüglich über bekannte Verletzungen von Kundendaten und unterstützt angemessen bei Betroffenenanfragen, DSFA und regulatorischen Pflichten. Der Kunde kann Nachweise und, falls diese nicht ausreichen, einmal jährlich ein Audit mit Vorankündigung, Vertraulichkeit und ohne unangemessene Betriebsstörung verlangen.
6. Vertragsende, Recht und Annahme
Nach Dienstende gibt SonikaAI Kundendaten nach Wahl zurück oder löscht sie, soweit keine gesetzliche Aufbewahrungspflicht besteht. Es gilt deutsches Recht. Für Kaufleute, juristische Personen des öffentlichen Rechts oder öffentlich-rechtliche Sondervermögen ist, soweit zulässig, Aachen ausschließlicher Gerichtsstand.
Der AVV wird elektronisch im Checkout angenommen oder in Bestellformular bzw. Hauptvertrag einbezogen. Die annehmende Person bestätigt ihre Vertretungsbefugnis. SonikaAI speichert Version, Zeitpunkt und technischen Annahmenachweis.
7. Verarbeitungsdetails und TOM
Gegenstand und Dauer: Dokumentverarbeitung und Erstellung bestellter Ergebnisse während der Vertragslaufzeit zuzüglich technischer Löschfrist. Zweck und Häufigkeit: Ausführung von Kunden-Workflows bei jeder Nutzung der Dienste.
Betroffene: Nutzer, Beschäftigte, Auftragnehmer, Kunden, Vertragspartner und weitere im Inhalt genannte Personen. Daten: Identifikations-, Kontakt-, Berufs- und Vertragsdaten sowie Dokumentinhalte. Besondere Kategorien sind nur nach Abschnitt 1 zulässig.
Wesentliche TOM: TLS bei Übertragung; verschlüsselter Workflow-Vault; Mandanten-/Workflow-Trennung; Least-Privilege- und Authentifizierungskontrollen; beschränkter Admin-Zugriff; inhaltssichere Protokollierung; Schwachstellen-, Backup- und Incident-Verfahren; Vertraulichkeitspflichten; Aufbewahrungsprüfung und kontrollierte Löschung.
Die Verarbeitung durch SonikaAI als eigenständiger Verantwortlicher für Konten, Abrechnung, Sicherheit und gesetzliche Aufzeichnungen regelt die Datenschutzerklärung. Kontakt: legal@sonikaai.com.