Gültig ab: 1. Juli 2026
Dieser Auftragsverarbeitungsvertrag („AVV") ist Bestandteil der mandera-Allgemeinen Geschäftsbedingungen (der „Vertrag") zwischen der Mandera Software GmbH, Marktplatz 6, 73525 Schwäbisch Gmünd, Deutschland („mandera", der „Auftragsverarbeiter") und dem Kunden („Kunde", der „Verantwortliche") und unterliegt diesen.
Er gilt, soweit mandera im Rahmen der Bereitstellung der AI-Funktionen des Dienstes personenbezogene Daten im Auftrag des Kunden verarbeitet (Art. 28 DSGVO).
Nicht erfasst. Die cookiefreie Analyse von mandera verarbeitet keine personenbezogenen Daten der Website-Besucher (siehe AGB § 7.2) und unterliegt daher nicht diesem AVV. Daten, die mandera als Verantwortlicher verarbeitet (z. B. Konto- und Abrechnungsdaten), unterliegen der Datenschutzerklärung von mandera, nicht diesem AVV.
Begriffe wie „personenbezogene Daten", „Verarbeitung", „Verantwortlicher", „Auftragsverarbeiter", „betroffene Person", „Verletzung des Schutzes personenbezogener Daten" und „Aufsichtsbehörde" haben die Bedeutung, die ihnen die Datenschutz-Grundverordnung (EU) 2016/679 („DSGVO") zuweist. „Dienst" bezeichnet den mandera-Dienst im Sinne des Vertrags; „Unterauftragsverarbeiter" bezeichnet einen von mandera mit der Verarbeitung personenbezogener Kundendaten beauftragten Dritten.
Der Kunde ist Verantwortlicher (oder selbst Auftragsverarbeiter) der von ihm an die AI-Funktionen übermittelten personenbezogenen Daten; mandera handelt als Auftragsverarbeiter (oder Unterauftragsverarbeiter) im Auftrag des Kunden. mandera verarbeitet personenbezogene Daten ausschließlich zur Bereitstellung der AI-Funktionen und wie in Anlage 1 festgelegt.
mandera verarbeitet personenbezogene Kundendaten nur auf dokumentierte Weisung des Kunden, die sich aus dem Vertrag, diesem AVV sowie der Nutzung und Konfiguration des Dienstes durch den Kunden ergibt, sofern mandera nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist (in diesem Fall informiert mandera den Kunden vorab, sofern das Recht dies nicht verbietet). mandera verarbeitet personenbezogene Kundendaten nicht für eigene Zwecke und teilt dem Kunden mit, falls eine Weisung nach Auffassung von mandera gegen Datenschutzrecht verstößt.
Dieser AVV gilt, solange mandera personenbezogene Kundendaten im Rahmen des Vertrags verarbeitet.
mandera stellt sicher, dass die zur Verarbeitung personenbezogener Kundendaten befugten Personen zur Vertraulichkeit verpflichtet sind.
mandera trifft geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, wie in Anlage 2 beschrieben.
Der Kunde erteilt mandera die allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die für die AI-Funktionen eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt; die aktuelle unternehmensweite Liste ist unter mandera.ai/unterauftragsverarbeiter veröffentlicht.
mandera erlegt jedem Unterauftragsverarbeiter datenschutzrechtliche Pflichten auf, die den in diesem AVV im Wesentlichen gleichwertig sind. mandera informiert den Kunden über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters (z. B. durch Aktualisierung der Liste und/oder per E-Mail) mindestens 14 Tage im Voraus und gibt dem Kunden die Möglichkeit, aus berechtigten Datenschutzgründen zu widersprechen. Widerspricht der Kunde berechtigt, bemühen sich die Parteien nach Treu und Glauben um eine Lösung; kommt keine zustande, kann der Kunde die betroffene Funktion kündigen. mandera bleibt für die Leistung seiner Unterauftragsverarbeiter verantwortlich.
Unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen unterstützt mandera den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei:
mandera benachrichtigt den Kunden unverzüglich, nachdem mandera von einer Verletzung des Schutzes personenbezogener Kundendaten Kenntnis erlangt hat, und stellt die ihr vernünftigerweise verfügbaren Informationen bereit, um den Kunden bei der Erfüllung seiner Pflichten nach Art. 33 und 34 DSGVO zu unterstützen.
Bei Beendigung der AI-Funktionen oder des Vertrags löscht oder retourniert mandera nach Wahl des Kunden die unter diesem AVV verarbeiteten personenbezogenen Kundendaten und löscht bestehende Kopien, sofern keine Aufbewahrung nach Unionsrecht oder dem Recht eines Mitgliedstaats vorgeschrieben ist. Sofern der Kunde keine Rückgabe verlangt, löscht mandera diese Daten innerhalb von 90 Tagen; Backups werden fortlaufend gelöscht.
mandera stellt dem Kunden die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht und unterstützt Überprüfungen, einschließlich Inspektionen, durch den Kunden oder einen von ihm beauftragten Prüfer. Audits erfolgen mit angemessener Vorankündigung, während der Geschäftszeiten, unter Wahrung der Vertraulichkeit und nicht häufiger als einmal jährlich, es sei denn, dies ist nach einem Vorfall oder durch eine Aufsichtsbehörde geboten. mandera kann Audit-Anfragen durch Vorlage einschlägiger Zertifizierungen, Berichte oder Zusammenfassungen seiner Maßnahmen erfüllen.
mandera verarbeitet personenbezogene Kundendaten unter diesem AVV innerhalb der EU/des EWR (der KI-Unterauftragsverarbeiter Mistral AI und der Hosting-Anbieter Hetzner sind in der EU ansässig). Sollte gleichwohl eine Verarbeitung personenbezogener Kundendaten außerhalb der EU/des EWR erfolgen, stellt mandera geeignete Garantien nach Art. 44 ff. DSGVO sicher, insbesondere die EU-Standardvertragsklauseln.
Der Kunde sichert zu, dass er über eine gültige Rechtsgrundlage für die Verarbeitung verfügt, dass seine Weisungen dem Datenschutzrecht entsprechen und dass er berechtigt ist, die betreffenden personenbezogenen Daten an mandera zur Verarbeitung zu übermitteln.
Die Haftung richtet sich nach dem Vertrag und Art. 82 DSGVO. Im Falle eines Widerspruchs zwischen diesem AVV und dem Vertrag in Fragen der Verarbeitung personenbezogener Daten hat dieser AVV Vorrang. Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland.
(Eine ausführlichere Beschreibung der Maßnahmen wird dem Kunden auf Anfrage zur Verfügung gestellt.)
| Unterauftragsverarbeiter | Zweck | Standort |
|---|---|---|
| Mistral AI | KI-Modell-Inferenz für die AI-Funktionen | Frankreich (EU) |
| Hetzner Online GmbH | Hosting / Infrastruktur | Deutschland (EU) |
Die aktuelle, unternehmensweite Liste aller Unterauftragsverarbeiter ist unter mandera.ai/unterauftragsverarbeiter veröffentlicht.