gemäß Art. 28 DSGVO · Stand: Mai 2026
Dies ist die jederzeit abrufbare Online-Fassung des Auftragsverarbeitungsvertrags zwischen der TUNE.eco GmbH (Auftragnehmer) und ihren Kunden (Auftraggeber). Mit dem Abschluss der Buchung wird dieser AVV als eigenständige Vereinbarung wirksam in das Vertragsverhältnis einbezogen (elektronische Form gem. Art. 28 Abs. 9 DSGVO). Eine gegengezeichnete Fassung stellen wir auf Wunsch bereit (future@tune.eco).
Auftragnehmer: TUNE.eco GmbH, Osterwaldstr. 10, 80805 München · HRB 301817 · USt-ID DE450043972.
Auftraggeber: das buchende Unternehmen mit den im Hauptvertrag bzw. Checkout angegebenen Daten.
(1) Vertragsgegenstand. Der Auftragnehmer verarbeitet personenbezogene Daten für den Auftraggeber im Sinne von Art. 4 Nr. 2 und Art. 28 DSGVO auf Grundlage dieses Auftragsverarbeitungsvertrags.
(2) Art der Verarbeitung. Bereitstellung und Betrieb einer cloudbasierten KI-Plattform; Verarbeitung von Eingaben (Prompts) der Nutzer; Generierung von Ausgaben (Responses) durch KI-Modelle; Speicherung von Nutzerdaten und Interaktionshistorie; Bereitstellung von Analysedaten zur Nutzung; Featurebereitstellung für die Automatisierung von Prozess(ketten); technischer Support und Wartung.
(3) Zweck. Die Verarbeitung erfolgt ausschließlich zur Bereitstellung der im Hauptvertrag vereinbarten KI-Plattform und der damit verbundenen Dienstleistungen.
(4) Art der personenbezogenen Daten. a) Nutzerdaten (Namen, E-Mail-Adressen, User-IDs, IP-Adressen, Gerätekennungen, Login-Daten, Zeitstempel, Nutzungspräferenzen); b) Eingabedaten/Prompts (eingegebene Texte, Dokumente, Fragen, hochgeladene Dateien, Kontextinformationen); c) Interaktionsdaten (Nutzungshistorie, Konversationsverläufe, Feedback); d) Unternehmensdaten des Auftraggebers je nach Einsatzzweck (z. B. Kunden-, Mitarbeiter-, Bewerber-, Vertrags-, Kommunikations- und Geschäftsdaten). Die tatsächlich verarbeiteten Kategorien bestimmt der Auftraggeber durch seine Nutzung; er ist dafür verantwortlich, nur rechtlich zulässige Daten einzugeben.
(5) Kategorien betroffener Personen. Nutzer der Plattform (Mitarbeiter, externe Dienstleister, beauftragte Dritte) sowie in Eingaben genannte Dritte (Kunden, Geschäftspartner, Lieferanten, Bewerber, Vertragspartner, Mitarbeiter von Geschäftspartnern, sonstige natürliche Personen).
(6) Dauer. Die Verarbeitung erfolgt für die Dauer des Hauptvertrags. Nach Beendigung gilt § 12.
(7) Datenstandort und Drittlandtransfer. Die Verarbeitung erfolgt primär auf Servern in Deutschland. Zur Leistungserbringung werden personenbezogene Daten an Subauftragsverarbeiter in Drittländern (insb. USA) übermittelt, insbesondere zur Nutzung der KI-Modelle gem. § 11 und Anlage 1. Für Drittlandübermittlungen werden die EU-Standardvertragsklauseln gem. Beschluss (EU) 2021/914 eingesetzt sowie geeignete Garantien nach Art. 46 DSGVO implementiert. Der Auftraggeber stimmt diesen Übermittlungen im Rahmen der genehmigten Subauftragsverarbeiter zu.
(1) Der Auftraggeber ist alleinverantwortlich für die Beurteilung der Zulässigkeit der Verarbeitung (Art. 6 DSGVO) und für die Wahrung der Betroffenenrechte (Art. 12–22 DSGVO).
(2) Er garantiert, dass die Verarbeitung der übermittelten Daten rechtmäßig ist und eine geeignete Rechtsgrundlage vorliegt.
(3) Weisungsrecht. Der Auftraggeber kann Weisungen zur Datenverarbeitung erteilen; diese erfolgen in Textform (z. B. E-Mail). Der Auftragnehmer informiert unverzüglich, wenn eine Weisung nicht umsetzbar ist oder gegen Datenschutzrecht verstößt.
(4) Er informiert den Auftragnehmer unverzüglich über festgestellte Fehler oder Verstöße.
(5) Kontrollrechte. Kontrollen sind nach Ankündigung (mind. 14 Tage) zu üblichen Geschäftszeiten möglich, ggf. durch qualifizierte Dritte.
(1) Weisungsgebundenheit. Verarbeitung ausschließlich im Rahmen dokumentierter Weisungen, sofern nicht durch EU-/mitgliedstaatliches Recht verpflichtet (Art. 28 Abs. 3 lit. a DSGVO).
(2) Zweckbindung. Nutzung der Daten nur für die in § 1 genannten Zwecke; keine unbefugten Kopien.
(3) Kein Model-Training. Der Auftragnehmer und seine Subauftragsverarbeiter verwenden personenbezogene Daten NICHT für Training, Verbesserung oder Weiterentwicklung von KI-Modellen und geben sie nicht an Dritte außerhalb der genehmigten Subauftragsverarbeiter weiter. Zulässig ist allein die Nutzung vollständig anonymisierter, technisch nicht reversibler Betriebs- und Leistungsdaten (z. B. Latenzen, Fehlerraten, Tokenverbrauch) zur Verbesserung von Stabilität und Sicherheit.
(4) Vertraulichkeit. Alle mit der Verarbeitung betrauten Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO); dies gilt über die Tätigkeit hinaus.
(5) Datensicherheit. Gewährleistung der in § 8 und Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen.
(6) Unterstützung bei Auskunftsersuchen (Art. 15), Betroffenenrechten (Art. 16–22), Meldung von Datenschutzverletzungen (Art. 33–34), Datenschutz-Folgenabschätzungen (Art. 35) und vorherigen Konsultationen (Art. 36). Bei erheblichem Mehraufwand kann eine angemessene Vergütung verlangt werden.
Der Auftraggeber ist für die Wahrung der Betroffenenrechte allein verantwortlich. Der Auftragnehmer leitet erkennbar an den Auftraggeber gerichtete Anfragen unverzüglich weiter und unterstützt angemessen (z. B. Auskunft, Löschung, Datenübertragbarkeit); Modalitäten und ggf. Vergütungen werden gesondert vereinbart.
Der Auftragnehmer benennt eine zentrale Kontaktstelle für datenschutzbezogene Anfragen, die innerhalb angemessener Fristen beantwortet werden. Kontakt: externer Datenschutzbeauftragter, erreichbar über future@tune.eco.
(1) Meldung an den Auftraggeber unverzüglich, spätestens binnen 24 Stunden nach Kenntnis. (2) Die Erstmeldung enthält die verfügbaren Informationen (Art und Umfang der Verletzung, betroffene Kategorien und ungefähre Anzahl, wahrscheinliche Folgen, ergriffene Maßnahmen, Kontaktdaten); weitere Angaben werden nachgereicht. (3) Unterstützung bei Pflichten nach Art. 33/34 DSGVO. (4) Dokumentation aller Verletzungen.
Der Auftraggeber kann die Einhaltung kontrollieren (Ankündigung mind. 14 Tage, übliche Geschäftszeiten, ggf. durch zur Verschwiegenheit verpflichtete Dritte), wobei der Geschäftsbetrieb nicht mehr als nötig beeinträchtigt wird. Der Auftragnehmer stellt erforderliche Nachweise bereit. Anstelle eigener Kontrollen können aktuelle Audit-Berichte, Zertifizierungen oder Testberichte unabhängiger Prüfer akzeptiert werden (z. B. ISO 27001, SOC 2).
Der Auftragnehmer gewährleistet ein dem Risiko angemessenes Schutzniveau gem. Art. 32 DSGVO. Die konkreten Maßnahmen sind in Anlage 2 beschrieben. Maßnahmen dürfen durch funktional gleichwertige oder bessere ersetzt werden, sofern das Schutzniveau nicht abgesenkt wird; für die Sicherheit erhebliche Entscheidungen werden abgestimmt.
Der AVV gilt für die Dauer des Hauptvertrags und endet automatisch mit dessen Beendigung. Der Auftraggeber kann außerordentlich fristlos kündigen bei schwerwiegenden Datenschutzverstößen, Nichtausführung rechtmäßiger Weisungen, vertragswidriger Verweigerung von Kontrollrechten oder Verstoß gegen wesentliche Pflichten.
Die Haftung richtet sich nach den gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO. Für leichte Fahrlässigkeit wird nur bei Verletzung wesentlicher Vertragspflichten (Kardinalpflichten) und begrenzt auf den typischerweise vorhersehbaren Schaden gehaftet; Haftung für mittelbare Schäden, Folgeschäden oder entgangenen Gewinn ist ausgeschlossen, soweit gesetzlich zulässig. Beide Parteien tragen zur Schadensminderung bei.
(1) Der Auftraggeber genehmigt die in Anlage 1 genannten Subauftragsverarbeiter. (2)/(3) Mit allen werden Verträge gem. Art. 28 DSGVO mit mindestens gleichwertigen Datenschutzpflichten geschlossen; der Auftragnehmer bleibt voll verantwortlich. (4) Geplante Änderungen werden mind. 30 Kalendertage vorab per E-Mail mitgeteilt (Name, Anschrift, Tätigkeit, Datenstandort, Rechtsgrundlage). Der Auftraggeber kann binnen 14 Kalendertagen aus berechtigten datenschutzrechtlichen Gründen in Textform widersprechen; bei fristgerechtem Widerspruch verzichtet der Auftragnehmer auf den neuen Subauftragsverarbeiter oder räumt ein außerordentliches Kündigungsrecht (30 Kalendertage) ein. (5) Drittlandübermittlungen nur bei geeigneter Grundlage gem. Art. 44 ff. DSGVO; risikobasierte Bewertung und ggf. Transfer Impact Assessment (TIA). (6) Subauftragsverarbeiter werden zur Zweckbindung und zum Verbot des Model-Trainings verpflichtet.
(1) Auf Verlangen Datenexport binnen 14 Kalendertagen in einem gängigen, maschinenlesbaren Format (z. B. JSON, CSV, Excel). (2) Vollständige und unwiederbringliche Löschung sämtlicher personenbezogener Daten spätestens 30 Kalendertage nach Vertragsende (Prompts/Responses, Nutzer- und Zugangsdaten, Interaktionshistorien/Logs, alle Kopien und Backups). (3) Auch Subauftragsverarbeiter löschen entsprechend. (4) Ausnahme bei gesetzlichen Aufbewahrungspflichten: Sperrung statt Löschung, Löschung nach Wegfall des Grundes. (5) Löschbestätigung auf Anfrage binnen 14 Tagen.
(1) Salvatorische Klausel. (2) Information bei Gefährdung des Eigentums des Auftraggebers (z. B. Pfändung, Insolvenz). (3) Beidseitige Vertraulichkeit, auch nach Vertragsende. (4) Änderungen bedürfen der Schriftform (Ausnahme: Weisungen nach § 2 Abs. 3 in Textform). (5) Ausschluss des Zurückbehaltungsrechts (§ 273 BGB) hinsichtlich der Daten. (6) Maßgeblich ist stets die deutsche Originalfassung. (7) Bei Widersprüchen geht dieser AVV in datenschutzrechtlichen Fragen dem Hauptvertrag vor.
Stand: Mai 2026. Mit allen Subauftragsverarbeitern bestehen Verträge gem. Art. 28 DSGVO; bei Drittlandübermittlungen wurden EU-Standardvertragsklauseln vereinbart und Transfer Impact Assessments durchgeführt.
Die jeweils aktuelle, vollständige Liste der Subauftragsverarbeiter (inkl. Anschriften der Entwicklungspartner) stellen wir auf Anfrage bereit: future@tune.eco. Änderungen werden gem. § 11 Abs. 4 mind. 30 Tage vorab mitgeteilt.
Stand: März 2026, halbjährliche Überprüfung. Die TUNE.eco GmbH arbeitet Remote-First und betreibt eine cloudbasierte SaaS-Plattform. Schutzniveau gem. Art. 32 DSGVO.
Die Maßnahmen umfassen u. a.: Zutritts-/Infrastruktursicherheit (Hosting bei ISO-27001-zertifiziertem Rechenzentrum in Deutschland; Remote-Work-Richtlinie, Clean-Desk-Policy); Zugangskontrolle (MFA auf Admin-Zugängen, unternehmensweiter Passwort-Manager, Passwort-Richtlinie, SSO, Geräteverwaltung mit automatischer Sperre und Remote-Wipe); Zugriffskontrolle (Verschlüsselung in Transit per TLS 1.2+ und at Rest, verschlüsselte Backups, rollenbasierte Rechte/Least Privilege, regelmäßige Berechtigungs-Reviews); Mandantentrennung (logische Trennung der Kundendaten, separate Tenant-IDs, getrennte Entwicklungs- und Produktionsumgebungen); Weitergabekontrolle (verschlüsselte Übertragung, AVV mit allen Subunternehmern, EU-SCC/TIA, vertragliches Verbot des Model-Trainings); Eingabekontrolle (Audit-Logging, Git-Versionskontrolle, Code-Review im 4-Augen-Prinzip, Change-Management); Datenschutz-Management (externer Datenschutzbeauftragter, Verzeichnis der Verarbeitungstätigkeiten, Datenschutz-Richtlinien, Löschkonzept); Incident Response (Meldung 24 h an den Auftraggeber, 72 h an die Aufsichtsbehörde); Entwicklung & Betrieb (Secure Coding nach OWASP Top 10, Dependency-Scanning, Patch-Management, externer Penetrationstest).
Zertifizierungen & Nachweise: Hosting bei Hetzner (ISO 27001, SOC 2 Type II). Die TUNE.eco GmbH ist nach ISO/IEC 27001:2022 zertifiziert (MSECB, Zertifikat Nr. CERT-001825, gültig bis 28.05.2029). Die vollständige TOMs-Dokumentation stellen wir Einkauf und Vergabe auf Anfrage bereit: future@tune.eco.
Hinweis: Diese Online-Fassung dient der jederzeitigen Abrufbarkeit gem. Art. 28 Abs. 9 DSGVO. Eine auf Ihr Unternehmen ausgestellte und auf Wunsch gegengezeichnete Fassung erhalten Sie über future@tune.eco.