Auftragsverarbeitungsvertrag (AVV)
Stand: 02.10.2026
1. Vertragsparteien und Rollen
Auftragsverarbeiter ist die Brain2 GmbH (Anschrift siehe Impressum), vertreten durch die Geschäftsführer Dr. Steffen Adler und Katharina Osika. Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist der Kunde (Unternehmer), der Bossboard nutzt, soweit Brain2 personenbezogene Daten im Auftrag des Kunden verarbeitet, etwa Daten von Mitarbeitenden oder Geschäftspartnern in hochgeladenen BWA-Positionen. Für die Konto- und Vertragsdaten des Kunden ist Brain2 selbst Verantwortlicher (siehe Datenschutzerklärung).
[[ZU PRÜFEN: Rollenabgrenzung bestätigen lassen und klären, ob und wie dieser AVV vom Kunden angenommen wird (Zustimmung im Checkout, Unterzeichnung); Checkout nicht Teil dieses PR]]
2. Gegenstand und Zweck
Verarbeitung im Auftrag und nach Weisung des Kunden zum Zweck der:
- Bereitstellung und Verwaltung des Bossboard-Dashboards
- Speicherung und Auswertung der Finanzkennzahlen aus BWAs, die der Kunde hochlädt
- Erstellung von Branchenvergleichen und KI-gestützten Auswertungen
- Verwaltung von Nutzerkonten und Sitzungen
3. Art der Daten und Kreis der Betroffenen
- E-Mail-Adresse, Zeitpunkt der letzten Anmeldung, Sitzungsdaten
- Firmenname, Rechtsform, Ort, PLZ, Region, Mitarbeiterzahl, Wirtschaftszweig, Kurzbeschreibung, Logo
- Finanzkennzahlen und klassifizierte Rohpositionen aus BWAs
Betroffene: Nutzer des Kunden und in BWA-Positionen ggf. genannte Personen.
4. Speicherort und Sicherheit
Die Verarbeitung erfolgt auf Servern von Sliplane bei Hetzner in Deutschland. Technische und organisatorische Maßnahmen: verschlüsselte Übertragung, mandantengetrennte Speicherung (Row-Level-Security), Speicherung von Anmeldelinks und Sitzungen nur als Hash, tägliche Datensicherung der Datenbank. [[ZU PRÜFEN: Vollständige Liste der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO als Anlage]]
5. Unterauftragsverarbeiter
Sliplane / Hetzner Online GmbH: Hosting von Anwendung und Datenbank, Deutschland. [[ZU PRÜFEN: Firmierung und Anschrift Sliplane; AV-Vertrag]]
Zauberhand (Erfurt): Betrieb des Mailservers von brain2.de für den Versand von Anmeldelinks und Hinweis-E-Mails. [[ZU PRÜFEN: Firmierung und Anschrift; AV-Vertrag; Rechenzentrum (vermutlich IONOS)]]
DeutschlandGPT GmbH, Gabriele-Münter-Straße 3, 82110 Germering: KI-Auswertung (Kennzahlen ohne Firmenname und Ort, Seitentext der Firmenwebsite, Texterkennung gescannter PDF-Seiten). Der Anbieter nennt in seiner Datenschutzerklärung weitere Dienstleister (Rechenzentren, Modellanbieter). [[ZU PRÜFEN: AV-Vertrag; tatsächlich genutzte Modelle und Rechenzentren; Speicherdauer beim Anbieter]]
Stripe Payments Europe Limited, Irland: Zahlungsabwicklung. Stripe verarbeitet die im Bezahlformular erhobenen Daten nach eigener Darstellung in eigener Verantwortlichkeit; Brain2 übergibt E-Mail-Adresse und eine Mandantenkennung. [[ZU PRÜFEN: Einordnung Stripe (Verantwortlicher oder Auftragsverarbeiter), Anschrift, Stripe Data Processing Agreement]]
6. Rechte und Pflichten des Kunden
- Der Kunde kann sein Konto samt aller Daten jederzeit selbst löschen.
- Der Kunde kann seine Daten jederzeit als JSON exportieren.
- Anfragen Betroffener leiten wir an den Kunden weiter bzw. unterstützen ihn bei der Beantwortung nach Art. 28 Abs. 3 lit. e DSGVO.
7. Dauer und Beendigung
Der Vertrag gilt, solange das Konto besteht. Ein Konto ohne Freischaltung wird 30 Tage nach der Anlage gelöscht. Mit der Löschung des Kontos werden alle Daten des Kunden gelöscht; Zahlungsbelege bleiben ohne Kontobezug erhalten. Datensicherungen laufen nach ihrer Frist aus. [[ZU PRÜFEN: Sicherungsfrist]]
8. Weitere Pflichten des Auftragsverarbeiters
[[ZU PRÜFEN: Verpflichtung auf Vertraulichkeit, Weisungsgebundenheit, Meldung von Datenpannen, Kontrollrechte nach Art. 28 Abs. 3 DSGVO ausformulieren und rechtlich prüfen lassen]]