English

Auftragsverarbeitungsvereinbarung (AVV)

Stand: 2026-10-25

Diese Auftragsverarbeitungsvereinbarung („AVV") wird geschlossen zwischen dem Kunden der Software „Trusq" als Verantwortlichem (nachfolgend „Kunde") und der Trusq GmbH, Lohestraße 31, 90425 Nürnberg, eingetragen im Handelsregister des Amtsgerichts Nürnberg unter HRB 46174, als Auftragsverarbeiter (nachfolgend „Trusq"). Sie ist Bestandteil des Vertrags über die Nutzung der Software nach den Allgemeinen Geschäftsbedingungen (nachfolgend „AGB") und wird abgeschlossen durch Bestätigung bei der Online-Registrierung (Ziffer 1.5 c AGB), durch Annahme eines Angebots von Trusq, das auf sie verweist, oder durch Unterzeichnung durch beide Parteien. Maßgeblich ist die deutsche Fassung (Ziffer 13.3).

1. Gegenstand und Dauer

1.1 Trusq verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit dies für die Bereitstellung der Software nach den AGB und der Leistungsbeschreibung erforderlich ist. Gegenstand, Art und Zweck der Verarbeitung, die Datenkategorien und die betroffenen Personen sind in Anlage 1 beschrieben.

1.2 Die Laufzeit dieser AVV entspricht der Laufzeit des Vertrags über die Nutzung der Software. Pflichten, die ihrer Natur nach über das Vertragsende hinaus gelten, insbesondere die Löschung nach Ziffer 11, bleiben bestehen.

2. Rollen und Verantwortung

2.1 Der Kunde ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Er ist für die Rechtmäßigkeit der Verarbeitung, die Wahrung der Rechte der betroffenen Personen und die Information seiner Endkunden, Mandanten und Nutzer verantwortlich, einschließlich des Hinweises auf den Einsatz des KI-Assistenten (Ziffer 6.3 AGB).

2.2 Trusq ist Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO und verarbeitet personenbezogene Daten ausschließlich nach dieser AVV und den dokumentierten Weisungen des Kunden, es sei denn, Trusq ist nach dem Recht der Europäischen Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet. In diesem Fall teilt Trusq dem Kunden diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

3. Weisungen

3.1 Dokumentierte Weisungen sind diese AVV, die AGB, die Leistungsbeschreibung und die Einstellungen, die der Kunde in der Software vornimmt (insbesondere Kanäle, Aufbewahrungsfristen, Steuerung des KI-Assistenten, Lösch- und Exportaufträge). Weitere Weisungen erteilt der Kunde in Textform an privacy@trusq.de. Weisungsberechtigt sind die Nutzer des Kunden mit der Rolle Owner oder Admin sowie die vom Kunden in Textform benannten Personen.

3.2 Trusq informiert den Kunden unverzüglich, wenn es der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt. Trusq darf die Ausführung einer solchen Weisung aussetzen, bis der Kunde sie bestätigt oder ändert.

3.3 Trusq verarbeitet die Daten nicht für eigene Zwecke. Davon ausgenommen sind Daten, die Trusq als Verantwortlicher für die Durchführung des Vertrags mit dem Kunden benötigt (Konto-, Vertrags- und Abrechnungsdaten des Kunden) und die in der Datenschutzerklärung beschrieben sind.

3.4 Trusq verwendet die Daten des Kunden nicht zum Training von Sprachmodellen und verpflichtet eingesetzte KI-Anbieter vertraglich, die Daten nicht zum Training zu verwenden und Ein- und Ausgaben nur in dem in Anlage 2 ausgewiesenen Umfang und Zeitraum zu speichern (Ziffer 6.6 AGB).

4. Vertraulichkeit

4.1 Trusq setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und die zuvor über die Datenschutzpflichten unterrichtet wurden.

4.2 Für Kunden der Kanzlei-Edition gilt ergänzend die Anlage Berufsgeheimnis (§ 203 StGB, § 62a StBerG, § 43e BRAO), die Trusq Kanzlei-Kunden bei Vertragsschluss bereitstellt. In Fragen der Verschwiegenheit geht sie dieser AVV vor (Ziffer 1.4 AGB).

5. Technische und organisatorische Maßnahmen

5.1 Trusq trifft die in Anlage 3 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält sie für die Laufzeit dieser AVV aufrecht.

5.2 Trusq darf die Maßnahmen an den Stand der Technik anpassen, soweit das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden in Anlage 3 nachgeführt; das Datum dieser Seite nennt den Stand.

6. Unterauftragsverarbeiter

6.1 Der Kunde erteilt Trusq die allgemeine Genehmigung, die in Anlage 2 genannten Unterauftragsverarbeiter einzusetzen. Welche Unterauftragsverarbeiter für den Kunden tätig werden, hängt von der gebuchten Edition und den eingerichteten Kanälen ab; dies ist in Anlage 2 je Eintrag ausgewiesen.

6.2 Trusq kündigt die Aufnahme oder den Austausch eines Unterauftragsverarbeiters mindestens dreißig (30) Tage vor dem Einsatz in Textform an, per E-Mail an die administrativen Kontakte des Kundenkontos, und aktualisiert Anlage 2. Der Kunde kann innerhalb von vierzehn (14) Tagen nach Zugang der Ankündigung aus wichtigem Grund in Textform widersprechen. Solange ein fristgerechter Widerspruch nicht erledigt ist, setzt Trusq den neuen Unterauftragsverarbeiter für die Daten des Kunden nicht ein. Können die Parteien innerhalb von dreißig (30) Tagen nach dem Widerspruch keine Lösung finden, kann jede Partei den Vertrag über die Nutzung der Software mit einer Frist von vierzehn (14) Tagen in Textform kündigen; bei Jahreszahlung erstattet Trusq das anteilige Entgelt für die Restlaufzeit. Widerspricht der Kunde nicht fristgerecht, gilt der Unterauftragsverarbeiter als genehmigt.

6.3 Trusq erlegt jedem Unterauftragsverarbeiter durch Vertrag Datenschutzpflichten auf, die den Pflichten dieser AVV entsprechen (Art. 28 Abs. 4 DSGVO), und bleibt dem Kunden gegenüber für die Einhaltung dieser Pflichten verantwortlich.

6.4 Eine Verarbeitung in einem Land außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums findet nur statt, soweit Anlage 2 dies ausweist, und nur auf einer in Kapitel V der DSGVO vorgesehenen Grundlage: für den Kanal WhatsApp der Standard-Edition die Übermittlung von WhatsApp Ireland Limited, dem Vertragspartner von Trusq, in die USA auf Grundlage des „WhatsApp Business Data Transfer Addendum" mit den Standardvertragsklauseln der Europäischen Kommission und der Zertifizierung von WhatsApp LLC nach dem EU-US Data Privacy Framework; für den Kanal Instagram der Standard-Edition die Übermittlung von Meta Platforms Ireland Limited, dem Vertragspartner von Trusq, an Meta Platforms, Inc. auf Grundlage der von Meta abgeschlossenen Standardvertragsklauseln der Europäischen Kommission und der Zertifizierung von Meta Platforms, Inc. nach dem EU-US Data Privacy Framework. Trusq dokumentiert für solche Übermittlungen eine Transfer-Folgenabschätzung und stellt sie dem Kunden auf Anfrage zur Verfügung.

6.5 In der Kanzlei-Edition setzt Trusq nur Unterauftragsverarbeiter mit Sitz in der EU, im EWR oder in einem Land mit Angemessenheitsbeschluss ein und keinen externen KI-Anbieter (Ziffer 5.3 AGB).

7. Rechte der betroffenen Personen

7.1 Trusq unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anfragen betroffener Personen nach Kapitel III der DSGVO zu beantworten. Die Software stellt hierfür insbesondere Funktionen zum Export und zur Löschung einzelner Kontakte bereit; Export und Löschung aller Daten des Kundenkontos richten sich nach Ziffer 11.

7.2 Wendet sich eine betroffene Person direkt an Trusq, leitet Trusq die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst, soweit Trusq nicht gesetzlich dazu verpflichtet ist.

8. Unterstützung bei weiteren Pflichten

Trusq unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der Trusq zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen der Aufsichtsbehörde. Trusq stellt dem Kunden hierfür die vorhandenen Unterlagen bereit, darunter Anlage 3, die Beschreibung der KI-Funktionen (Ziffer 6 AGB) und die Transfer-Folgenabschätzungen nach Ziffer 6.4.

9. Verletzungen des Schutzes personenbezogener Daten

9.1 Trusq meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten, die Daten des Kunden betrifft, unverzüglich nach Kenntnis, spätestens innerhalb von 48 Stunden, per E-Mail an die administrativen Kontakte des Kundenkontos. Das Verfahren ist in Anlage 4 beschrieben.

9.2 Die Meldung enthält, soweit bekannt, die Art der Verletzung, die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen und vorgeschlagenen Maßnahmen und einen Ansprechpartner. Liegen nicht alle Angaben vor, meldet Trusq schrittweise.

9.3 Trusq unterstützt den Kunden bei der Meldung an die Aufsichtsbehörde und bei der Benachrichtigung betroffener Personen und bewahrt Nachweise zum Vorfall auf.

10. Nachweise und Kontrollen

10.1 Trusq stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, insbesondere Anlage 3, die Liste der Unterauftragsverarbeiter und vorhandene Prüfberichte oder Zertifikate der Unterauftragsverarbeiter.

10.2 Der Kunde kann Überprüfungen einschließlich Inspektionen selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, höchstens einmal je Kalenderjahr sowie zusätzlich bei konkretem Anlass, mit einer Ankündigung von dreißig (30) Tagen, während der Geschäftszeiten und ohne Beeinträchtigung des Betriebs oder der Daten anderer Kunden. Trusq kann Prüfungen, die über die Bereitstellung vorhandener Unterlagen hinausgehen, nach Aufwand berechnen.

10.3 Trusq duldet Kontrollen der zuständigen Aufsichtsbehörde und informiert den Kunden über Kontrollen und Anfragen der Aufsichtsbehörde, die seine Daten betreffen, soweit dies rechtlich zulässig ist.

10.4 Erhält Trusq ein Auskunfts- oder Herausgabeverlangen einer Behörde oder eines Gerichts, das Daten des Kunden betrifft, informiert Trusq den Kunden unverzüglich, soweit dies rechtlich zulässig ist, verweist die anfragende Stelle an den Kunden und gibt Daten nur heraus, soweit Trusq dazu rechtlich verpflichtet ist.

11. Löschung und Rückgabe

11.1 Der Kunde kann während der Vertragslaufzeit und bis dreißig (30) Tage nach Vertragsende einen Export seiner Daten in einem gängigen maschinenlesbaren Format verlangen; Trusq stellt ihn innerhalb von dreißig (30) Tagen bereit (Ziffer 8.1 AGB).

11.2 Trusq löscht die Daten des Kunden frühestens dreißig (30) und spätestens sechzig (60) Tage nach Vertragsende, bei einem fristgerecht verlangten Export nicht vor Ablauf von sieben (7) Tagen nach dessen Bereitstellung (Ziffer 8.2 AGB). Sicherungskopien werden nach Anlage 3 gelöscht. Trusq veranlasst die Löschung bei seinen Unterauftragsverarbeitern nach den mit ihnen geschlossenen Verträgen (Ziffer 6.3). Gesetzliche Aufbewahrungspflichten von Trusq bleiben unberührt; die betreffenden Daten werden nach ihrem Ablauf gelöscht.

11.3 Auf Verlangen bestätigt Trusq die Löschung in Textform.

12. Haftung

Die Haftung der Parteien richtet sich nach Ziffer 16 AGB und Art. 82 DSGVO.

13. Schlussbestimmungen

13.1 Änderungen dieser AVV bedürfen der Textform. Trusq kann die Anlagen 2, 3 und 4 nach Ziffer 5.2 und 6.2 fortschreiben, ohne das Schutzniveau zu senken.

13.2 Bei Widersprüchen zwischen dieser AVV und den AGB geht in Fragen des Datenschutzes diese AVV vor; die Anlage Berufsgeheimnis geht in Fragen der Verschwiegenheit vor (Ziffer 1.4 AGB).

13.3 Diese AVV wird in deutscher und englischer Sprache bereitgestellt. Bei Abweichungen ist die deutsche Fassung maßgeblich.

Anlage 1: Gegenstand der Verarbeitung

Zweck und Art der Verarbeitung

Datenkategorien

Betroffene Personen

Anlage 2: Unterauftragsverarbeiter

Die Liste der Unterauftragsverarbeiter mit Anschrift, Aufgabe, Datenkategorien, Ort der Verarbeitung und Übermittlungsgrundlage wird unter trusq.de/sub-processors geführt; ihre Abschnitte 1 bis 3 sind Bestandteil dieser AVV. Änderungen richten sich nach Ziffer 6.

Anlage 3: Technische und organisatorische Maßnahmen

Zutritt und Infrastruktur

Zugang

Zugriff und Trennung

Verschlüsselung

Eingabe und Nachvollziehbarkeit

Verfügbarkeit und Wiederherstellung

Löschung und Aufbewahrung

Organisation

Anlage 4: Verfahren bei Datenschutzverletzungen

Erkennung und Eskalation

Eindämmung

Meldung an den Kunden

Unterauftragsverarbeiter

Nachbereitung