Auftragsverarbeitungsvertrag (AVV)

Zuletzt aktualisiert: 15. September 2026

Vertragsparteien

Dieser Auftragsverarbeitungsvertrag („AVV“) wird geschlossen zwischen dem Kunden, der für sein Team ein Konto in der Anwendung Wealth Management by Zahlenwerk unter app.zahlenwerk.studio führt („Verantwortlicher“ oder „Kunde“), und der Zahlenwerk Studio GbR Seelingstraße 5, 14059 Berlin, Deutschland vertreten durch die Gesellschafter Laura Nogales De La Cruz und Lukas Beier E-Mail: hello@zahlenwerk.studio („Auftragsverarbeiter“ oder „Zahlenwerk“).

Der AVV konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus den Nutzungsbedingungen von Zahlenwerk (der „Hauptvertrag“). Er wird wirksam, sobald der Kunde ihm in der Anwendung zustimmt, und gilt in Textform im Sinne von Art. 28 Abs. 9 DSGVO.

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten, die der Kunde bei der Nutzung der Anwendung in diese einbringt oder dort erzeugt („Kundendaten“), durch Zahlenwerk zur Bereitstellung der Anwendung nach dem Hauptvertrag.

Die Laufzeit des AVV entspricht der des Hauptvertrags. Pflichten, die ihrer Natur nach über das Vertragsende hinaus fortbestehen, insbesondere nach Ziffer 11 und zur Vertraulichkeit, bleiben bestehen.

Nicht Gegenstand dieses AVV sind Daten, die Zahlenwerk als eigener Verantwortlicher verarbeitet, wie in der Datenschutzerklärung beschrieben: insbesondere die Vertrags- und Abrechnungsdaten des Kunden, die Kundenbeziehung im CRM und die Verarbeitung zum sicheren Betrieb der Website.

2. Art und Zweck der Verarbeitung

Art der Verarbeitung: Erheben, Speichern, Organisieren und Strukturieren; Auslesen und Extrahieren von Angaben aus hochgeladenen oder weitergeleiteten Dokumenten mithilfe von KI-Modellen, nachdem Namen von Personen und Entitäten durch Platzhalter ersetzt wurden; Abfragen, Auswerten und Anzeigen; Beantworten von Fragen im Assistenten; Versenden von E-Mails; Spiegeln in vom Kunden verbundene Dienste; Übermitteln an die Unterauftragsverarbeiter nach Ziffer 8; Sichern und Löschen.

Zweck der Verarbeitung: ausschließlich die Bereitstellung, der Betrieb, die Sicherung und der Support der Anwendung für den Kunden, also die Erfassung und Auswertung von Portfolio-Positionen und Fondsbeteiligungen, von Fondsberichten und Kapitalkontoauszügen, eines Verzeichnisses von Unternehmen und natürlichen Personen, der Buchhaltung und Rechnungen je Rechtseinheit sowie von Dokumenten. Zahlenwerk verarbeitet Kundendaten nicht zu eigenen Zwecken und verwendet sie nicht zum Training von KI-Modellen.

3. Art der Daten und Kategorien betroffener Personen

Arten personenbezogener Daten:

• Identifikations- und Kontaktdaten wie Name, Anschrift, E-Mail-Adresse, Telefonnummer, Funktion und Organisationszugehörigkeit
• Nutzerdaten der Teammitglieder: Name, E-Mail-Adresse, Profilbild, Teamzugehörigkeit, Rollen und Berechtigungen sowie Audit- und Änderungsprotokolle
• Vermögens- und Beteiligungsdaten: Positionen, Commitments, Zahlungsströme, Bewertungen, Beteiligungsverhältnisse, Kapitalkontoauszüge, Capital-Call- und Ausschüttungsmitteilungen
• Bank- und Buchhaltungsdaten: Bankverbindungen, Banktransaktionen, Belege, Rechnungen und Buchungen
• Vertrags- und Steuerunterlagen sowie die darin enthaltenen Angaben
• Inhalte von Konversationen mit dem Assistenten und von ihm vorgeschlagene Aktionen
• Technische Daten aus dem Betrieb, soweit sie Kundendaten betreffen, etwa Protokoll- und Fehlerausgaben

Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) oder von Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO) ist nicht vorgesehen.

Kategorien betroffener Personen:

• Nutzer des Kunden, etwa Gesellschafter, Mitarbeitende und externe Berater mit Zugang zum Team
• Familienmitglieder, Gesellschafter, wirtschaftlich Berechtigte und Geschäftsführer der vom Kunden erfassten Rechtseinheiten
• im Verzeichnis erfasste natürliche Personen sowie Ansprechpartner von Unternehmen, Fonds, Banken und Beratern
• Mitinvestoren, Fondsmanager und sonstige in Fondsberichten, Mitteilungen und Verträgen genannte Personen
• Geschäftspartner, Lieferanten sowie Rechnungsempfänger und -aussteller in der Buchhaltung

4. Weisungen des Verantwortlichen

Zahlenwerk verarbeitet Kundendaten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen in Drittländer, sofern Zahlenwerk nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist. In diesem Fall teilt Zahlenwerk dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

Die Weisungen sind abschließend in diesem AVV und im Hauptvertrag festgelegt und werden durch die Nutzung und Konfiguration der Anwendung durch den Kunden konkretisiert, etwa durch das Hochladen und Löschen von Dokumenten, das Verbinden von Integrationen oder das Löschen des Kontos. Weitere Weisungen erteilt der Kunde in Textform an hello@zahlenwerk.studio. Weisungen, die über den Funktionsumfang der Anwendung hinausgehen, führt Zahlenwerk nach vorheriger Abstimmung des Aufwands mit dem Kunden aus; der Aufwand wird zum vereinbarten Stundensatz abgerechnet, dadurch entstehende KI-Nutzung als zusätzliche Credits nach dem Paket des Kunden.

Ist Zahlenwerk der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert Zahlenwerk den Kunden unverzüglich und darf die Ausführung der Weisung aussetzen, bis der Kunde sie bestätigt oder ändert.

5. Pflichten des Verantwortlichen

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung der Kundendaten verantwortlich, einschließlich der Information der betroffenen Personen und des Bestehens einer Rechtsgrundlage für das Einbringen der Daten in die Anwendung. Er informiert Zahlenwerk unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

Hinterlegt der Kunde einen eigenen API-Schlüssel eines Modellanbieters, ist dieser Anbieter nach Ziffer 5 des Hauptvertrags ein vom Kunden selbst gewählter Auftragsverarbeiter. Die Verarbeitung über diesen Schlüssel richtet sich nach der Vereinbarung des Kunden mit dem Anbieter.

6. Vertraulichkeit

Zahlenwerk gewährleistet, dass sich die zur Verarbeitung der Kundendaten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Diese Personen erhalten Zugriff auf Kundendaten nur, soweit dies für die Bereitstellung, den Betrieb oder den Support der Anwendung erforderlich ist.

7. Technische und organisatorische Maßnahmen

Zahlenwerk trifft alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dazu gehören insbesondere:

• Speicherung von Datenbank, Authentifizierung und Dokumenten in der EU (Supabase-Region West EU, Irland); Modellaufrufe und PDF-Vorverarbeitung auf EU-Regionen festgelegt, ohne Ausweichen auf andere Regionen
• Verschlüsselte Übertragung ausschließlich über HTTPS mit HTTP Strict Transport Security
• Mandantentrennung durch Row-Level-Security in der Datenbank sowie rollen- und modulbezogene Berechtigungen
• Passwortlose Anmeldung und je Team erzwingbare Zwei-Faktor-Authentifizierung
• Nicht veränderbare Audit-Protokolle der Teamverwaltung und Änderungsprotokolle an Datensätzen
• Pseudonymisierung von Namen natürlicher Personen und Entitäten vor der Übermittlung an KI-Modelle
• Umschlagverschlüsselung gespeicherter Zugangsdaten Dritter mit einem in einem Key Vault verwahrten Schlüssel
• Private Dokumentenspeicher ohne öffentlichen Lesezugriff
• Menschliche Freigabe unsicherer Extraktionen und jeder vom Assistenten vorgeschlagenen Änderung

Die Maßnahmen sind unter zahlenwerk.studio/security näher beschrieben. Zahlenwerk darf sie an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird.

8. Unterauftragsverarbeiter

Der Kunde erteilt Zahlenwerk die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO). Bei Abschluss dieses AVV sind die folgenden Unterauftragsverarbeiter genehmigt:

• Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513 – Datenbank, Authentifizierung und Dokumentenspeicher; Verarbeitung in der Region West EU (Irland); Übermittlungsgrundlage: Standardvertragsklauseln
• Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA – Hosting der Anwendung sowie, nur mit Einwilligung, Web Analytics und Speed Insights; Ausführung der Anwendung in Dublin (Irland), Verwaltung auch in den USA; Übermittlungsgrundlage: Standardvertragsklauseln
• Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland – Vertex AI für Dokumentenextraktion und den Assistenten; Verarbeitung auf EU-Regionen festgelegt
• Modal Labs, Inc., Delaware, USA – Umwandlung hochgeladener PDFs in Text; Verarbeitung auf eine EU-Region festgelegt; Übermittlungsgrundlage: Standardvertragsklauseln
• AC PM, LLC (Postmark), 1 N Dearborn Street, Suite 500, Chicago, IL 60602, USA – Transaktions-E-Mail, einschließlich Anmeldelinks, Einladungen, Rechnungsversand und an die Drop-Adresse weitergeleiteter Berichte; Verarbeitung in den USA; Übermittlungsgrundlage: EU-US Data Privacy Framework und Standardvertragsklauseln
• sevDesk GmbH, Im Unteren Angel 1, 77652 Offenburg – Rechnungsstellung und Buchhaltung; Verarbeitung in Deutschland
• Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland – Azure Key Vault zur Schlüsselverwahrung für gespeicherte Zugangsdaten Dritter; Microsoft Teams und SharePoint nur, sofern das Team des Kunden sie verbindet; Übermittlungsgrundlage für Zugriffe aus Drittländern: EU-US Data Privacy Framework und Standardvertragsklauseln
• Slack Technologies Limited, Salesforce Tower, 60 R801, North Dock, Dublin, Irland – Benachrichtigungen, nur sofern das Team des Kunden Slack verbindet; Übermittlungsgrundlage: EU-US Data Privacy Framework und Standardvertragsklauseln
• Google Drive – Dokumentenspiegelung in das Google-Konto des Kunden, nur sofern das Team des Kunden es verbindet; für die dort abgelegten Kopien gilt der Vertrag des Kunden mit Google
• Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland, OpenAI Ireland Ltd, 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland, und Google Cloud EMEA Limited (Gemini API) – nur sofern das Team des Kunden einen eigenen API-Schlüssel hinterlegt; Verarbeitung auch außerhalb der EU; Übermittlungsgrundlage: Standardvertragsklauseln, bei Google zusätzlich EU-US Data Privacy Framework
• Odoo S.A., Chaussée de Namur 40, 1367 Grand-Rosière (Ramillies), Belgien – CRM von Zahlenwerk; gespiegelt werden nur der Name des Kunden sowie Namen und E-Mail-Adressen der Teammitglieder; Verarbeitung in Europa

Kartendienste, die die Anwendung zur Darstellung von Standorten nutzt, nämlich OpenFreeMap der Hyperknot Software Kft. (Ungarn) für Kartenkacheln und die Mapillary-Schnittstelle der Meta Platforms Ireland Limited (Irland) für Straßenansichten, erhalten nur die für den Abruf nötigen Angaben, etwa die IP-Adresse des Browsers oder die Koordinaten eines Standorts. Sie handeln nach ihren eigenen Bedingungen als eigenständige Empfänger und sind keine Unterauftragsverarbeiter im Sinne dieses AVV.

Zahlenwerk informiert den Kunden über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 30 Tage im Voraus per E-Mail an die Inhaber des Teams. Der Kunde kann der Änderung innerhalb von 14 Tagen nach Zugang der Mitteilung aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können sich die Parteien nicht einigen, ist der Kunde berechtigt, den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung zu kündigen. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt.

Zahlenwerk erlegt jedem Unterauftragsverarbeiter vertraglich im Wesentlichen dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet Zahlenwerk gegenüber dem Kunden für dessen Pflichterfüllung.

Übermittlungen in ein Land außerhalb der EU oder des EWR erfolgen nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses, etwa des EU-US Data Privacy Framework, oder der Standardvertragsklauseln der Europäischen Kommission.

9. Unterstützung des Verantwortlichen

Zahlenwerk unterstützt den Kunden angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen nach Kapitel III DSGVO. Der Kunde kann Datensätze in der Anwendung selbst einsehen, berichtigen und löschen; eine Kopie seiner Daten oder die Löschung einzelner Dokumente setzt Zahlenwerk auf Anfrage um. Wendet sich eine betroffene Person direkt an Zahlenwerk, leitet Zahlenwerk die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht ohne dessen Weisung.

Zahlenwerk unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, also bei der Sicherheit der Verarbeitung, der Meldung und Benachrichtigung bei Datenschutzverletzungen, der Datenschutz-Folgenabschätzung und der vorherigen Konsultation der Aufsichtsbehörde. Diese Unterstützung ist unentgeltlich, soweit sie eine Verletzung oder ein Versäumnis von Zahlenwerk betrifft oder Informationen, die in der Anwendung oder der Dokumentation von Zahlenwerk bereits vorliegen. Darüber hinausgehende Unterstützung, etwa die Mitwirkung an einer Datenschutz-Folgenabschätzung, erbringt Zahlenwerk nach vorheriger Abstimmung des Aufwands zum vereinbarten Stundensatz.

10. Meldung von Verletzungen des Schutzes personenbezogener Daten

Zahlenwerk meldet dem Kunden eine Verletzung des Schutzes von Kundendaten unverzüglich, spätestens innerhalb von 48 Stunden, nachdem Zahlenwerk von ihr Kenntnis erlangt hat, per E-Mail an die Inhaber des Teams. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; noch nicht verfügbare Angaben werden unverzüglich nachgereicht.

Zahlenwerk ergreift unverzüglich die erforderlichen Maßnahmen, um die Verletzung einzudämmen und mögliche nachteilige Folgen für die betroffenen Personen zu mindern, und stimmt sich dazu mit dem Kunden ab. Die Meldung ist kein Anerkenntnis eines Verschuldens oder einer Haftung.

11. Löschung und Rückgabe nach Vertragsende

Vor dem Ende des Hauptvertrags kann der Kunde seine Daten nach Ziffer 8 des Hauptvertrags exportieren. Nach dem Ende der Leistungserbringung löscht Zahlenwerk sämtliche Kundendaten, sofern nicht nach dem Unionsrecht oder dem Recht eines Mitgliedstaats eine Verpflichtung zur Speicherung besteht. Löscht der Kunde sein Konto in den Einstellungen, gilt dies als Weisung zur Löschung der dem Konto gehörenden Datensätze.

Kopien in Datensicherungen sowie bei Unterauftragsverarbeitern verbleibende Kopien und Protokolle werden spätestens 90 Tage nach der Löschung gelöscht, soweit ein Unterauftragsverarbeiter sie nicht aufgrund gesetzlicher Pflichten oder zur Aufklärung von Missbrauch länger aufbewahren muss. Zahlenwerk sorgt dafür, dass auch die Unterauftragsverarbeiter die Kundendaten löschen, und bestätigt die Löschung auf Anfrage in Textform. Nicht erfasst sind Kopien, die der Kunde über eine von ihm verbundene Integration in eigene Speicher übertragen hat, etwa in sein Google Drive oder SharePoint; diese unterliegen allein seiner Verfügung und werden von Zahlenwerk nicht gelöscht.

12. Nachweise und Kontrollen

Zahlenwerk stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung, vorrangig in Form dieses AVV, der Beschreibung der technischen und organisatorischen Maßnahmen sowie verfügbarer Zertifikate oder Prüfberichte der Unterauftragsverarbeiter.

Reichen diese Informationen nachweislich nicht aus, ermöglicht Zahlenwerk Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber von Zahlenwerk ist. Überprüfungen sind mit einer Frist von mindestens 30 Tagen anzukündigen, finden während der üblichen Geschäftszeiten statt, dürfen den Betrieb nicht unverhältnismäßig stören und sind auf einmal pro Kalenderjahr beschränkt, es sei denn, eine Datenschutzverletzung oder eine Anordnung der Aufsichtsbehörde gibt Anlass. Jede Partei trägt die eigenen Kosten einer Überprüfung; der Kunde trägt insbesondere die Kosten eines von ihm beauftragten Prüfers. Den Aufwand von Zahlenwerk, der einen Arbeitstag je Überprüfung übersteigt, kann Zahlenwerk zum vereinbarten Stundensatz abrechnen, es sei denn, die Überprüfung deckt einen wesentlichen Verstoß von Zahlenwerk gegen diesen AVV auf.

13. Haftung

Für die Haftung der Parteien gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Übrigen richtet sich die Haftung der Parteien untereinander nach Ziffer 13 des Hauptvertrags (Haftungsbeschränkung).

14. Rangfolge und Schlussbestimmungen

Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in Bezug auf den Schutz personenbezogener Daten vor. Im Übrigen gilt der Hauptvertrag.

Änderungen dieses AVV bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Es gilt das Recht der Bundesrepublik Deutschland; Gerichtsstand ist, soweit gesetzlich zulässig, Berlin. Maßgeblich ist die deutsche Fassung; Übersetzungen dienen nur der Information.

Zahlenwerk ist derzeit nicht zur Benennung eines Datenschutzbeauftragten verpflichtet (Art. 37 DSGVO, § 38 BDSG). Ansprechpartner für Datenschutzfragen ist Lukas Beier, hello@zahlenwerk.studio. Benennt Zahlenwerk künftig einen Datenschutzbeauftragten, teilt Zahlenwerk dessen Kontaktdaten dem Kunden mit.