Vertrag über die Verarbeitung personenbezogener Daten im Auftrag (AVV)
nach Art. 28 DSGVO · Fassung vom 15. Oktober 2026
zwischen dem Kunden, der Flino nutzt (nachfolgend „Verantwortlicher“), und der Flino GmbH, Kolonnenstraße 8, 10827 Berlin, Amtsgericht Charlottenburg, HRB 286867 B (nachfolgend „Auftragsverarbeiter“)
§ 1 Gegenstand und Dauer
(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Software Flino nach den Allgemeinen Geschäftsbedingungen bereit (nachfolgend „Hauptvertrag“). Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen.
(2) Dieser Vertrag ist Bestandteil des Hauptvertrags und wird mit ihm geschlossen. Er gilt in allen Tarifen, auch im kostenlosen Tarif und bei Kauf über den Microsoft Marketplace, und solange der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Eine unterzeichnete Fassung stellt der Auftragsverarbeiter auf Anfrage bereit.
(3) In Fragen des Datenschutzes geht dieser Vertrag dem Hauptvertrag vor.
§ 2 Art, Zweck und Umfang der Verarbeitung
(1) Zweck ist die Bereitstellung der Funktionen von Flino, insbesondere:
- Erfassen, Auslesen und Verwalten von Angeboten,
- Versand von Angeboten und Nachfass-E-Mails über das angebundene E-Mail-Konto des Verantwortlichen, auch automatisch nach dessen Einstellungen,
- Erkennen und Zuordnen von Antworten und Abgleich mit angebundenen Kalendern,
- KI-gestützte Erstellung von Textentwürfen, Einordnung von Antworten und Zusammenfassung von Notizen,
- Bereitstellung einer Angebotsseite zur Annahme oder Ablehnung mit optionaler einfacher elektronischer Signatur und Nachweisdokument,
- Zufriedenheitsumfragen,
- Abgleich mit Systemen, die der Verantwortliche anbindet,
- Auswertungen und Team-Ansichten für den Verantwortlichen,
- Bereitstellung einer Schnittstelle für KI-Assistenten, die der Verantwortliche anbindet.
(2) Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Abfragen, Verwenden, Übermitteln an die vom Verantwortlichen angebundenen Systeme, Einschränken und Löschen.
(3) Kategorien betroffener Personen und Daten:
| Betroffene | Datenkategorien |
|---|---|
| Geschäftskontakte des Verantwortlichen (Empfänger von Angeboten und deren Mitarbeiter) | Name, Firma, Funktion, E-Mail-Adresse, Telefonnummer; Angebotsinhalte und Beträge; E-Mail-Verläufe einschließlich Inhalt und Anhängen; Antworten; Gesprächsnotizen; Annahme- oder Ablehnungserklärung mit Grund und Kommentar; Unterschrift als Bild; Browserkennung; Protokoll der auf der Angebotsseite geöffneten Inhalte; Umfragebewertung und Kommentar |
| Nutzer des Verantwortlichen (eigene Mitarbeiter) | Name, E-Mail-Adresse und Rolle, soweit sie Angeboten und Vorgängen im Konto des Verantwortlichen zugeordnet sind; diktierte Texte; angebotsbezogene E-Mails, die Inhaber und Administratoren im Tarif Team einsehen können |
| Weitere Personen in E-Mails | Absender und Empfänger in Kopie, Namen und Inhalte eingehender Nachrichten |
(4) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Verantwortliche stellt sie nicht gezielt in Flino ein. Gelangen solche Daten mit eingehenden E-Mails in Flino, verarbeitet der Auftragsverarbeiter sie nur nach diesem Vertrag.
(5) Nicht Gegenstand dieses Vertrags sind Daten, die der Auftragsverarbeiter als eigener Verantwortlicher verarbeitet, insbesondere die Daten der Nutzerkonten für Registrierung, Anmeldung, Vertragsabwicklung und Abrechnung, den Support einschließlich des Support-Chats, die Betreuung der Kunden und die Nutzungsanalyse. Dafür gilt die Datenschutzerklärung des Auftragsverarbeiters unter flino.com/datenschutz.
§ 3 Weisungen
(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen die Pflicht vor der Verarbeitung mit, sofern das Gesetz dies nicht verbietet.
(2) Die Weisungen ergeben sich aus dem Hauptvertrag, diesem Vertrag sowie den Einstellungen und Handlungen des Verantwortlichen und seiner Nutzer in der Software. Weitere Weisungen erteilt der Verantwortliche in Textform an [email protected].
(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf ihre Ausführung bis zur Bestätigung aussetzen.
§ 4 Pflichten des Auftragsverarbeiters
(1) Der Auftragsverarbeiter verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, sofern sie keiner gesetzlichen Verschwiegenheitspflicht unterliegen.
(2) Der Auftragsverarbeiter verarbeitet die Daten grundsätzlich in Rechenzentren in der EU. Übermittlungen in Drittländer und Zugriffe aus Drittländern finden nur unter den Voraussetzungen der Art. 44 ff. DSGVO statt; Anlage 1 nennt die betroffenen Unterauftragsverarbeiter und die Grundlage.
(3) Der Auftragsverarbeiter verwendet die Daten nicht für eigene Zwecke, insbesondere nicht für Werbung und nicht zum Training von KI-Modellen. Ausgenommen sind technische Protokoll- und Nutzungsdaten ohne Inhalte von Angeboten und E-Mails sowie Bewertungen, die Nutzer zu KI-Entwürfen abgeben: Diese wertet der Auftragsverarbeiter aus, um den Betrieb sicherzustellen, Fehler zu beheben, die Abrechnung zu prüfen und die Software für alle Kunden zu verbessern. Insoweit ist er selbst Verantwortlicher; dazu seine Datenschutzerklärung.
(4) Mitarbeiter des Auftragsverarbeiters greifen auf Inhaltsdaten des Verantwortlichen nur zu, soweit es für Support oder Fehlerbehebung erforderlich ist, und nur im dafür nötigen Umfang. Zugriffe über den internen Admin-Bereich werden protokolliert.
(5) Ein Datenschutzbeauftragter ist beim Auftragsverarbeiter nicht benannt, da die gesetzlichen Voraussetzungen nicht vorliegen. Ansprechpartner für den Datenschutz ist der Geschäftsführer, erreichbar unter [email protected].
§ 5 Technische und organisatorische Maßnahmen
(1) Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO.
(2) Er darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er.
§ 6 Unterauftragsverarbeiter
(1) Der Verantwortliche erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten nennt Anlage 1; sie gelten als genehmigt.
(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor dem Einsatz eines neuen oder dem Austausch eines Unterauftragsverarbeiters per E-Mail an die Kontoadresse des Inhabers und durch Aktualisierung der Liste unter flino.com/avv. Der Verantwortliche kann innerhalb von 14 Tagen nach Zugang aus wichtigem datenschutzrechtlichem Grund widersprechen. Einigen sich die Parteien nicht, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt des Wechsels kündigen; im Voraus gezahlte Entgelte für die Zeit danach werden erstattet.
(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung dieser Pflichten wie für eigenes Handeln.
(4) Keine Unterauftragsverarbeiter im Sinne dieses Vertrags sind Dienste, die der Verantwortliche selbst beauftragt und an Flino anbindet, insbesondere seine E-Mail- und Kalenderkonten, CRM-, ERP- und Buchhaltungssysteme, Automatisierungsdienste und KI-Assistenten. Für deren Auswahl und Verträge ist der Verantwortliche selbst zuständig.
§ 7 Unterstützung bei Betroffenenrechten
(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anträgen nach Art. 12 bis 22 DSGVO. Die Software ermöglicht es dem Verantwortlichen, Kontakte und Angebote einzusehen, zu berichtigen und zu löschen.
(2) Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er den Antrag unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst.
§ 8 Unterstützung bei weiteren Pflichten
Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei den Pflichten nach Art. 32 bis 36 DSGVO, insbesondere mit den Angaben, die für eine Datenschutz-Folgenabschätzung nötig sind. Für Unterstützung, die über die Bereitstellung vorhandener Unterlagen hinausgeht, kann er eine angemessene Vergütung verlangen.
§ 9 Verletzungen des Schutzes personenbezogener Daten
(1) Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden, nachdem sie ihm bekannt geworden ist.
(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Fehlende Angaben reicht der Auftragsverarbeiter nach.
(3) Der Auftragsverarbeiter ergreift unverzüglich Maßnahmen, um die Verletzung zu beheben und ihre Folgen zu mindern, und dokumentiert sie.
§ 10 Nachweise und Überprüfungen
(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind. Als Nachweis genügen in der Regel aktuelle Prüfberichte oder Zertifikate, etwa der Google-CASA-Prüfung, sowie die Anlagen dieses Vertrags.
(2) Reicht das im Einzelfall nicht aus, kann der Verantwortliche eine Überprüfung durch sich oder einen zur Verschwiegenheit verpflichteten Prüfer verlangen, der kein Wettbewerber des Auftragsverarbeiters ist. Die Überprüfung ist mindestens 30 Tage vorher anzukündigen, findet zu üblichen Geschäftszeiten statt, höchstens einmal jährlich, sofern kein konkreter Anlass besteht, und darf den Betrieb nicht unverhältnismäßig stören. Die Kosten trägt der Verantwortliche, sofern die Prüfung keinen wesentlichen Verstoß ergibt.
§ 11 Löschung und Rückgabe
(1) Während der Laufzeit kann der Verantwortliche Daten jederzeit in der Software löschen. Auf Anfrage stellt der Auftragsverarbeiter einen Export der Angebots- und Kontaktdaten in einem gängigen maschinenlesbaren Format bereit.
(2) Endet ein Bezahltarif, läuft der Vertrag im kostenlosen Tarif weiter und die Daten bleiben erhalten. Der Verantwortliche kann jederzeit die Löschung aller Daten verlangen; der Auftragsverarbeiter löscht sie dann innerhalb von 30 Tagen, sofern keine gesetzliche Pflicht zur Speicherung besteht. Vorher kann der Verantwortliche einen Export verlangen.
(3) Hat sich in einem Konto im kostenlosen Tarif zwölf Monate lang niemand angemeldet und ist keine Sequenz aktiv, darf der Auftragsverarbeiter das Konto mit allen Daten löschen. Er kündigt die Löschung zweimal per E-Mail an, zuletzt mindestens 14 Tage vorher; bis zur Löschung kann der Verantwortliche einen Export verlangen.
(4) Endet der Vertrag insgesamt, gibt der Auftragsverarbeiter die Daten nach Wahl des Verantwortlichen als Export zurück oder löscht sie, spätestens innerhalb von 30 Tagen, sofern keine gesetzliche Pflicht zur Speicherung besteht.
(5) Kopien in Datensicherungen werden mit deren regulärem Ablauf überschrieben, spätestens nach 28 Tagen.
(6) Der Auftragsverarbeiter bestätigt die Löschung auf Anfrage in Textform.
§ 12 Haftung
Die Haftung richtet sich nach Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.
§ 13 Schlussbestimmungen
(1) Änderungen dieses Vertrags bedürfen der Textform. Änderungen der Anlagen nach § 5 Abs. 2 und § 6 Abs. 2 bleiben davon unberührt.
(2) Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.
(3) Es gilt deutsches Recht. Ist der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist Gerichtsstand Berlin.
(4) Liegt dieser Vertrag in weiteren Sprachen vor, ist die deutsche Fassung maßgeblich.
Anlage 1: Unterauftragsverarbeiter
| Unterauftragsverarbeiter | Leistung | Ort der Verarbeitung | Grundlage Drittland |
|---|---|---|---|
| Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513 | Datenbank, Dateispeicher, Anmeldung, Serverfunktionen; Supportsystem | Frankfurt am Main (AWS eu-central-1); Supportsystem in Irland (AWS eu-west-1) | Standardvertragsklauseln für Zugriffe aus Singapur und den USA |
| Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Irland | KI-Verarbeitung (Vertex AI), Vermittlungsdienst und KI-Assistenten-Schnittstelle (Cloud Run), Benachrichtigung über neue Gmail-Nachrichten (Pub/Sub); Antwortentwürfe im Supportsystem in einem eigenen Projekt | EU (Frankfurt, Belgien, EU-Rechenzentren) | Data Privacy Framework, Standardvertragsklauseln |
| Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA | Auslieferung der Anwendung, Schutz vor Angriffen | weltweites Netz | Data Privacy Framework, Standardvertragsklauseln |
| Deepgram, Inc., 548 Market St, Suite 25104, San Francisco, CA 94104, USA | Umwandlung diktierter Sprache in Text, Sprachausgabe | EU-Rechenzentrum; keine Speicherung von Inhalten | Standardvertragsklauseln für Verwaltungszugriffe |
| Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA | Versand von Systemmails, darunter Annahmebestätigungen an Empfänger | Irland (eu-west-1) | Data Privacy Framework |
| Okta, Inc. (Auth0), 100 First Street, San Francisco, CA 94105, USA | Anmeldung an der KI-Assistenten-Schnittstelle | EU-Mandant | Data Privacy Framework, Standardvertragsklauseln |
| PostHog, Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA | technische Ereignis- und Fehlerprotokolle ohne Inhalte | EU (Frankfurt) | Data Privacy Framework für Zugriffe aus den USA |
Das Supportsystem ist aufgeführt, weil Supportanfragen Daten aus dem Auftrag enthalten können. Nicht aufgeführt sind Dienste, die der Verantwortliche selbst beauftragt (§ 6 Abs. 4), sowie Stripe, das Zahlungsdaten als eigener Verantwortlicher verarbeitet.
Anlage 2: Technische und organisatorische Maßnahmen
Vertraulichkeit
- Zutrittskontrolle: Die Systeme laufen ausschließlich in Rechenzentren der in Anlage 1 genannten Anbieter mit deren zertifizierten Zutrittskontrollen (u. a. ISO 27001, SOC 2). Der Auftragsverarbeiter betreibt keine eigenen Server.
- Zugangskontrolle: Anmeldung der Nutzer mit Passwort von mindestens zwölf Zeichen, serverseitig erzwungen; nach einem Passwortwechsel werden andere Sitzungen beendet. Verwaltungszugänge zu Supabase, Google Cloud, Cloudflare, GitHub und Stripe nur für namentlich benannte Personen mit Zwei-Faktor-Anmeldung. Im internen Admin-Bereich ist die Zwei-Faktor-Anmeldung Pflicht; ausgenommen sind nur ausdrücklich freigegebene Notfallzugänge.
- Zugriffskontrolle: Zeilenbasierte Zugriffsregeln in der Datenbank beschränken jeden Nutzer auf die Daten seiner Organisation. Interne Datenbankfunktionen sind für Anwendungsnutzer gesperrt. Serverfunktionen für Hintergrundaufgaben sind mit geheimen Schlüsseln geschützt. Zugriffe von Mitarbeitern des Auftragsverarbeiters auf Inhaltsdaten nur für Support und Fehlerbehebung; Zugriffe über den Admin-Bereich werden protokolliert.
- Trennungskontrolle: logische Trennung der Organisationen in der Datenbank; getrennte Datenbank- und Anwendungsumgebungen für Test und Produktion.
- Verschlüsselung: Übertragung ausschließlich per TLS; Speicherung verschlüsselt beim Datenbankanbieter; Zugangsschlüssel zu Postfächern und angebundenen Systemen zusätzlich mit AES-256-GCM verschlüsselt.
Integrität
- Weitergabekontrolle: Übermittlungen nur verschlüsselt und nur an die in Anlage 1 genannten Empfänger oder an vom Verantwortlichen angebundene Systeme. Anfragen an die KI werden signiert und technisch nur in EU-Regionen verarbeitet. Bei der Spracherkennung ist die Nutzung zur Modellverbesserung abgeschaltet.
- Eingabekontrolle: Protokollierung administrativer Zugriffe und Änderungen im Admin-Bereich; Protokollierung aller Zugriffe über die KI-Assistenten-Schnittstelle.
Verfügbarkeit und Belastbarkeit
- Datensicherung beim Datenbankanbieter mit Wiederherstellung zu jedem Zeitpunkt (Point-in-Time-Recovery), Aufbewahrung der Sicherungen höchstens 28 Tage.
- Lastbegrenzung öffentlicher Schnittstellen, Schutz vor Angriffen durch Cloudflare.
- Überwachung von Fehlern und Ausfällen.
Verfahren zur regelmäßigen Überprüfung
- Penetrationstests durch einen externen Dienstleister mehrmals im Jahr; Prüfung im Rahmen des Google-CASA-Verfahrens; automatisierte Sicherheitsscans der Schnittstellen; Sicherheitsprüfungen des Codes vor Veröffentlichungen.
- Auswahl und Kontrolle der Unterauftragsverarbeiter anhand ihrer Zertifizierungen und Verträge.
- Datenschutzfreundliche Voreinstellungen: Mailtexte werden nach 90 Tagen gekürzt; Anhänge werden 30 Tage nach dem Versand gelöscht, nicht versendete nach 48 Stunden; Support-Chats nach 30 Tagen und Klickprotokolle der Angebotsseite nach zwölf Monaten gelöscht. Die Angebotsseite lädt keine Analyse- oder Werbedienste und speichert keine IP-Adressen.