Hier finden Sie den Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO, den die tolinax UG (haftungsbeschränkt) mit Kunden der aYOUne-Plattform schließt, einschließlich der Anlagen zu den technischen und organisatorischen Maßnahmen und zu den Unterauftragsverarbeitern. Für Ihr Unternehmen erstellen wir den Vertrag mit Ihren Angaben (Vertragspartner, Leistungsbeschreibung, Datenarten und betroffene Personen in Anlage 1) als PDF zur Unterschrift — schreiben Sie uns an privacy@tolinax.com.

Vertragsparteien

Auftraggeber (Verantwortlicher): der Kunde gemäß Hauptvertrag.

Auftragnehmer (Auftragsverarbeiter): tolinax UG (haftungsbeschränkt), Oberhof 4, 83700 Oberhof, Registergericht Amtsgericht München, HRB 271123, vertreten durch Maximilian Hanrieder; Datenschutz-Kontakt privacy@tolinax.com.

Präambel

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem zwischen ihnen geschlossenen Vertrag über die Nutzung der Software und die damit verbundenen Leistungen (nachstehend „Hauptvertrag"). Er gilt für alle Tätigkeiten, bei denen der Auftragnehmer, seine Beschäftigten oder von ihm beauftragte Unterauftragsverarbeiter personenbezogene Daten des Auftraggebers verarbeiten. Bei Widersprüchen geht dieser Vertrag den Regelungen des Hauptvertrags und den Allgemeinen Geschäftsbedingungen des Auftragnehmers vor.

§ 1 Gegenstand, Dauer, Art und Zweck der Verarbeitung

1. Gegenstand des Auftrags ist die im Hauptvertrag vereinbarte Leistung. Einzelheiten zu Art und Zweck der Verarbeitung, zu den Arten personenbezogener Daten und zu den Kategorien betroffener Personen enthält Anlage 1 „Beschreibung der Verarbeitung".

2. Die Verarbeitung erfolgt ausschließlich zur Erbringung der im Hauptvertrag vereinbarten Leistungen.

3. Der Vertrag beginnt mit Unterzeichnung bzw. elektronischer Annahme und endet mit dem Hauptvertrag. Pflichten, die ihrer Natur nach fortgelten (insbesondere Löschung, Vertraulichkeit, Nachweis), bleiben bis zu ihrer Erfüllung bestehen.

§ 2 Verantwortlichkeit und Weisungen

1. Der Auftraggeber ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Er ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich.

2. Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers — auch in Bezug auf die Übermittlung in ein Drittland —, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats dazu verpflichtet; in diesem Fall teilt er dem Auftraggeber diese Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).

3. Die Weisungen ergeben sich aus diesem Vertrag, dem Hauptvertrag und den Einstellungen, die der Auftraggeber in der Software vornimmt. Einzelweisungen erteilt der Auftraggeber in Textform (z. B. E-Mail). Mündliche Weisungen bestätigt er unverzüglich in Textform.

4. Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Auftraggeber unverzüglich. Er darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

§ 3 Pflichten des Auftragnehmers

1. Vertraulichkeit: Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen, und die mit den für sie relevanten Datenschutzbestimmungen vertraut gemacht wurden (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO). Die Verpflichtung gilt nach Ende der Tätigkeit fort.

2. Sicherheit der Verarbeitung: Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 „Technische und organisatorische Maßnahmen" beschrieben sind. Die Maßnahmen unterliegen dem technischen Fortschritt; der Auftragnehmer darf sie durch gleichwertige oder bessere Maßnahmen ersetzen. Das vereinbarte Schutzniveau darf nicht unterschritten werden. Wesentliche Änderungen werden dokumentiert und dem Auftraggeber auf Anfrage mitgeteilt.

3. Unterstützung bei Betroffenenrechten: Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 12–22 DSGVO). Die Software stellt dafür Funktionen zum Export und zur Löschung bereit. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er das Ersuchen unverzüglich an den Auftraggeber weiter.

4. Unterstützung bei Art. 32–36 DSGVO: Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen, bei Benachrichtigungen betroffener Personen, bei Datenschutz-Folgenabschätzungen und bei vorherigen Konsultationen der Aufsichtsbehörde.

5. Meldung von Datenschutzverletzungen: Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden, nachdem sie ihm bekannt geworden ist, in Textform. Die Meldung enthält, soweit verfügbar: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, Ansprechpartner, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen. Informationen, die noch nicht vorliegen, werden unverzüglich nachgereicht.

6. Verzeichnis: Der Auftragnehmer führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und stellt dem Auftraggeber die für dessen Verzeichnis nötigen Angaben zur Verfügung.

7. Datenschutzbeauftragter: Der Auftragnehmer benennt einen Datenschutzbeauftragten, soweit er gesetzlich dazu verpflichtet ist (Art. 37 DSGVO, § 38 BDSG). Andernfalls ist der im Kopf dieses Vertrags genannte Datenschutz-Kontakt Ansprechpartner für alle Datenschutzfragen.

8. Behörden: Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollhandlungen und Maßnahmen einer Aufsichtsbehörde, soweit sie diesen Auftrag betreffen, sofern dies nicht gesetzlich untersagt ist.

9. Verarbeitungsort: Die Verarbeitung findet grundsätzlich in der Europäischen Union statt; der Ort der Verarbeitung ist in Anlage 1 angegeben. Übermittlungen in Drittländer erfolgen nur nach § 6.

§ 4 Rechte und Pflichten des Auftraggebers

1. Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten in Bezug auf datenschutzrechtliche Bestimmungen feststellt.

2. Die Meldepflichten gegenüber Aufsichtsbehörde und betroffenen Personen (Art. 33, 34 DSGVO) obliegen dem Auftraggeber.

3. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, kann der Auftragnehmer nach vorheriger Ankündigung gesondert vergüten lassen.

§ 5 Unterauftragsverarbeiter

1. Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 „Unterauftragsverarbeiter" aufgeführt und gelten als genehmigt.

2. Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vor dem Hinzuziehen oder Ersetzen eines Unterauftragsverarbeiters in Textform oder durch Aktualisierung der veröffentlichten Liste mit Benachrichtigung. Der Auftraggeber kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Können sich die Parteien nicht einigen, darf der Auftraggeber die betroffene Leistung zum Zeitpunkt der Änderung kündigen.

3. Der Auftragnehmer wählt Unterauftragsverarbeiter sorgfältig aus und erlegt ihnen vertraglich im Wesentlichen dieselben Datenschutzpflichten auf, wie sie in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). Bei großen Infrastruktur- und Plattformanbietern erfolgt dies über deren standardisierte Auftragsverarbeitungsbedingungen (Data Processing Addendum), die der Auftragnehmer mit Abschluss des jeweiligen Dienstes akzeptiert hat.

4. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten des Unterauftragsverarbeiters (Art. 28 Abs. 4 Satz 2 DSGVO).

5. Keine Unterauftragsverarbeitung im Sinne dieses Paragrafen sind Nebenleistungen, die der Auftragnehmer bei Dritten als Hilfsleistung in Anspruch nimmt, ohne dass dabei personenbezogene Daten des Auftraggebers verarbeitet werden (z. B. Telekommunikation, Reinigung).

§ 6 Übermittlung in Drittländer

1. Eine Übermittlung personenbezogener Daten in ein Land außerhalb der EU / des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44–49 DSGVO erfüllt sind, insbesondere

a) auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission — für Empfänger in den USA, die unter dem EU-U.S. Data Privacy Framework zertifiziert sind, auf Grundlage des Angemessenheitsbeschlusses vom 10. Juli 2023 —, oder

b) auf Grundlage der EU-Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021, im Verhältnis zu Unterauftragsverarbeitern in der Regel Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter), samt einer dokumentierten Bewertung des Datenschutzniveaus im Empfängerland (Transfer-Folgenabschätzung) und gegebenenfalls ergänzender Maßnahmen.

2. Drittlandübermittlungen betreffen in erster Linie optionale Funktionen (insbesondere KI-Funktionen, Telefonie, Zahlungs- und E-Mail-Dienste), die in Anlage 3 gekennzeichnet sind. Der Auftraggeber kann diese Funktionen in den Einstellungen nicht nutzen bzw. abschalten, soweit sie nicht Kern der vereinbarten Leistung sind.

§ 7 Kontrollrechte und Nachweise

1. Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer (Art. 28 Abs. 3 lit. h DSGVO).

2. Der Nachweis kann vorrangig durch aktuelle Dokumentation der technischen und organisatorischen Maßnahmen (Anlage 2), durch die veröffentlichten Sicherheitsrichtlinien des Auftragnehmers, durch Berichte über durchgeführte Sicherheitsprüfungen sowie durch Zertifikate und Prüfberichte der Unterauftragsverarbeiter erbracht werden.

3. Inspektionen vor Ort werden mit angemessener Frist (in der Regel 14 Tage) angekündigt, während der üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebs durchgeführt. Der Zugang zu Daten anderer Kunden ist ausgeschlossen. Den Aufwand für Inspektionen, die über eine Prüfung pro Kalenderjahr hinausgehen und nicht durch einen Verstoß des Auftragnehmers veranlasst sind, kann der Auftragnehmer angemessen in Rechnung stellen.

§ 8 Löschung und Rückgabe nach Vertragsende

1. Nach Ende der Leistungserbringung kann der Auftraggeber seine Daten über die Exportfunktionen der Software sichern. Der Auftragnehmer löscht danach die personenbezogenen Daten des Auftraggebers aus den Produktivsystemen innerhalb von 30 Tagen, sofern nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).

2. In Datensicherungen vorhandene Kopien werden nicht gesondert gelöscht, sondern laufen mit dem Ablauf der Aufbewahrungsfrist der Datensicherungen aus; bis dahin werden sie nicht weiter verarbeitet. Die Löschung wird auf Anfrage bestätigt.

3. Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, bewahrt der Auftragnehmer entsprechend den gesetzlichen Aufbewahrungsfristen auf.

§ 9 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags, soweit Art. 82 DSGVO dem nicht entgegensteht.

§ 10 Schlussbestimmungen

1. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform und eines ausdrücklichen Hinweises, dass es sich um eine Änderung dieses Vertrags handelt.

2. Sind Daten des Auftraggebers beim Auftragnehmer durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder sonstige Maßnahmen Dritter gefährdet, informiert der Auftragnehmer den Auftraggeber unverzüglich und weist die Beteiligten darauf hin, dass die Verfügungsgewalt über die Daten beim Auftraggeber liegt.

3. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt eine wirksame, die dem Zweck am nächsten kommt.

4. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragnehmers.

Anlage 1 — Beschreibung der Verarbeitung

Anlage 1 wird für jeden Kunden ausgefüllt: Gegenstand und Art der Leistung, Arten personenbezogener Daten, Kategorien betroffener Personen und Ort der Verarbeitung. Standard: Bereitstellung und Betrieb der aYOUne-Plattform als Software as a Service in der Rechenzentrumsregion Frankfurt am Main; Löschung nach Weisung bzw. nach Vertragsende innerhalb von 30 Tagen.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: Oktober 2026 · Verantwortlich: Geschäftsführung des Auftragnehmers

Der Auftragnehmer betreibt keine eigenen Rechenzentren. Rechenleistung, Datenbank und Dateispeicher werden bei Google Cloud und MongoDB Atlas in der Region Frankfurt am Main betrieben; deren physische und umgebungsbezogene Sicherheit wird durch die Anbieter gewährleistet und regelmäßig unabhängig geprüft (u. a. ISO/IEC 27001, SOC 2).

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle

Rechenzentren: Zutrittskontrolle der Anbieter (Zugangskontrollsysteme, Videoüberwachung, Wachpersonal, Protokollierung).
Keine Server oder Datenträger mit Kundendaten in den Büroräumen des Auftragnehmers.

1.2 Zugangskontrolle (Systeme)

Zentrale Anmeldung; Passwörter nur als bcrypt-Hash gespeichert.
Zweiter Faktor für Nutzer verfügbar (Authenticator-App/TOTP, YubiKey, WebAuthn/Passkeys).
Sperre nach wiederholten Fehlversuchen; Anfragebegrenzung an Anmelde- und Zweitfaktor-Endpunkten.
Kurzlebige Zugriffstoken (15 Minuten) mit rotierenden, einzeln widerrufbaren Erneuerungstoken.
Arbeitsplätze: aktiver Schadsoftware-Schutz mit automatischen Aktualisierungen, automatische Bildschirmsperre, Passwortmanager, Mehr-Faktor-Authentifizierung auf allen Firmen-, Cloud-, Quellcode- und Datenbank-Konsolen-Konten.

1.3 Zugriffskontrolle (Daten)

Rollenbasiertes Rechtekonzept mit feingranularen Rechten je Datenobjekt und Aktion, an jeder Schnittstelle durchgesetzt.
Wirksame Rechte = Rechte der Rolle, beschränkt auf die vom Kunden lizenzierten Module.
Einschränkung einzelner Datensätze auf benannte Nutzer oder Teams.
Getrennter Kontotyp für Betreiberfunktionen mit eigenem Rechtekatalog.
Zugriff auf Produktivsysteme nur für namentlich benannte Personen; Rechtevergabe nach Erforderlichkeit; Entzug bei Austritt oder Rollenwechsel; Überprüfung mindestens halbjährlich.

1.4 Trennungskontrolle

Mandantentrennung: Jeder Datensatz trägt die Kennung des Mandanten; die zentrale Datenzugriffsschicht beschränkt jede Abfrage auf den Mandanten des angemeldeten Nutzers.
Getrennte Test- und Demonstrationsmandanten; Tests nur mit Testdaten.
Trennung von Arbeitslasten über getrennte Knotengruppen.

1.5 Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO)

Übertragung ausschließlich verschlüsselt (HTTPS/TLS, HTTP wird umgeleitet; HSTS ein Jahr inkl. Subdomains); verschlüsselte Verbindung zur Datenbank.
Verschlüsselung ruhender Daten in Datenbank, Datensicherungen und Dateispeicher (AES-256, durch die Anbieter).
Zugangsdaten zu Drittdiensten zusätzlich anwendungsseitig verschlüsselt (AES-256-GCM); optional Ende-zu-Ende-Modus (PBKDF2-SHA256, 600.000 Iterationen, AES-256-GCM), in dem der Server nicht entschlüsseln kann.
Datenexporte für betroffene Personen verschlüsselt, Abruf über zeitlich begrenzte signierte Links.
Bei Löschungen mit gesetzlicher Aufbewahrungspflicht: Pseudonymisierung und Sperrung statt Löschung.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle

Öffentlicher Zugang nur über ein zentrales, verwaltetes Eingangs-Gateway; Dienste sind nicht einzeln aus dem Internet erreichbar.
Interne Kennzahlen-Endpunkte von außen gesperrt; Sperrlisten für missbräuchliche Quellen.
Eingehende Webhooks nur mit gültiger Signatur des Anbieters.
Weitergabe an Unterauftragsverarbeiter nur nach Anlage 3.

2.2 Eingabekontrolle

Protokollierung von Anmeldeereignissen und Schnittstellenaktionen mit Nutzer, Mandant, IP-Adresse und Zeitpunkt.
Änderungsverlauf an Datensätzen (Ersteller, letzter Bearbeiter, Zeitstempel).
Löschläufe für Betroffenenanfragen werden mit Prüfprotokoll ausgeführt.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

Betrieb auf verwalteter Kubernetes-Infrastruktur mit automatischer Neustart- und Bereitschaftsprüfung der Dienste.
Verwaltete Datenbank mit Replikation und automatischen Sicherungen durch den Anbieter.
Anfragebegrenzung auf allen Schnittstellen zum Schutz vor Überlastung.
Überwachung mit Prometheus/Alertmanager und Echtzeit-Alarmierung; Laufzeitfehler werden automatisch als nachverfolgte Aufgaben erfasst.
Öffentliche Statusseite mit Störungsmeldungen.
Automatisierte Erstellungs- und Auslieferungsprozesse aus der Versionsverwaltung; zentrale Aktualisierung gemeinsamer Bibliotheken.

4. Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO)

Wiederherstellung der Datenbank aus den Sicherungen des Datenbankdienstes.
Mandantenbezogene Datensicherungen auf Anforderung und nach Zeitplan, mit Aufbewahrungsregel je Mandant.
Wiederherstellung von Diensten durch erneutes Ausrollen versionierter Container-Abbilder.

5. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

Veröffentlichte Informationssicherheitsrichtlinie mit Unterrichtlinien; Überprüfung mindestens jährlich.
Interne Sicherheitsprüfungen mit nachverfolgten Befunden und erneuter Prüfung nach Behebung; Behebungsfristen nach Schweregrad (kritisch 7 Tage, hoch 30 Tage, mittel 90 Tage).
Meldeweg für Sicherheitslücken (security@aYOUne.com, security.txt).
Vorfallmanagement mit festgelegten Rollen, Register für Datenschutzverletzungen und Meldefristen (Kunden spätestens 48 Stunden).
Datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO): Kennzeichnung personenbezogener Daten im Datenkatalog als Grundlage für Export und Löschung.

6. Auftragskontrolle

Verarbeitung nur auf Weisung des Auftraggebers nach diesem Vertrag.
Verpflichtung aller Beschäftigten und Auftragnehmer auf Vertraulichkeit und die interne Datenschutzrichtlinie.
Auswahl von Unterauftragsverarbeitern unter Datenschutzgesichtspunkten; Auftragsverarbeitungsbedingungen der Anbieter; Drittlandübermittlung nur nach § 6.

Anlage 3 — Unterauftragsverarbeiter und Drittlandübermittlungen

Stand: Oktober 2026

A. Kernbetrieb (immer im Einsatz)

Anbieter	Leistung	Ort der Verarbeitung	Grundlage
Google Cloud	Rechenleistung (Kubernetes), Dateispeicher, Netzwerk	Frankfurt am Main, Deutschland (europe-west3)	Auftragsverarbeitungsbedingungen des Anbieters (Cloud Data Processing Addendum)
MongoDB Atlas	Datenbank, Datenbanksicherungen	Frankfurt am Main, Deutschland (auf Google Cloud, europe-west3)	Auftragsverarbeitungsbedingungen des Anbieters (Data Processing Agreement)
Hetzner Online	Weiterleitung von Echtzeit-Verbindungen (Audio/Video, Fernwartung), Build-Infrastruktur	Deutschland	Auftragsverarbeitungsbedingungen des Anbieters

B. Zusatzfunktionen (nur bei Nutzung durch den Auftraggeber)

Anbieter	Leistung	Ort / Drittland	Grundlage bei Drittlandübermittlung
OpenAI	KI-Textverarbeitung, Einbettungen, Sprache	USA möglich	EU-U.S. Data Privacy Framework, soweit zertifiziert, sonst EU-Standardvertragsklauseln 2021
Anthropic	KI-Textverarbeitung	USA möglich	wie oben
Google (Gemini / Vertex AI)	KI-Textverarbeitung, Sprache	EU/USA möglich	wie oben
Cohere	KI-Einbettungen und Textverarbeitung	Kanada/USA möglich	Angemessenheitsbeschluss (Kanada) bzw. wie oben
Voyage AI	KI-Einbettungen	USA möglich	wie oben
Amazon Web Services (Polly)	Sprachausgabe (Text-to-Speech)	EU/USA möglich	wie oben
ElevenLabs	Sprachausgabe, Stimmklon	USA möglich	wie oben; Verarbeitung biometrischer Daten nur mit Einwilligung der betroffenen Person
HeyGen	Avatar-/Video-Erzeugung	USA möglich	wie oben; Verarbeitung biometrischer Daten nur mit Einwilligung der betroffenen Person
Twilio	Telefonie, SMS	USA möglich	wie oben
SparkPost	E-Mail-Versand	USA möglich	wie oben

Für Übermittlungen auf Grundlage der Standardvertragsklauseln führt der Auftragnehmer eine dokumentierte Bewertung des Datenschutzniveaus im Empfängerland (Transfer-Folgenabschätzung) durch.

C. Vom Auftraggeber selbst angebundene Dienste

Dienste, die der Auftraggeber mit eigenen Zugangsdaten an die Software anbindet (z. B. eigene Zahlungsanbieter wie Stripe, PayPal oder SumUp, eigene E-Mail-Postfächer, Messenger-Konten, Werbe- und Shop-Plattformen), sind keine Unterauftragsverarbeiter des Auftragnehmers. Das Vertragsverhältnis besteht direkt zwischen dem Auftraggeber und dem jeweiligen Anbieter.

D. Änderungen

Änderungen dieser Liste werden nach § 5 Abs. 2 des Vertrags angekündigt. Die aktuelle Liste ist veröffentlicht unter https://ayoune.com/de/trust.

Fassung Oktober 2026 · Version 1.0