Auftragsverarbeitungsvertrag (AVV)

Vertragsparteien

Auftraggeber (Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO):
Firma, Anschrift, vertreten durch

Auftragnehmer (Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO):
Neurohain, Amparo Iglesias Gordillo, 40211 Düsseldorf, Deutschland
E-Mail: info@neurohain.com

1. Gegenstand und Dauer

1.1 Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem zugrunde liegenden Hauptvertrag über Entwurf, Installation und Betrieb eines Neurohain-Systems.

1.2 Die Verarbeitung erfolgt ausschließlich im Rahmen des Hauptvertrages und nach den dokumentierten Weisungen des Auftraggebers.

1.3 Die Laufzeit entspricht der Laufzeit des Hauptvertrages. Der Vertrag endet automatisch mit dessen Beendigung.

2. Art, Umfang und Zweck der Verarbeitung

2.1 Ausgangslage: Das System wird in der eigenen Infrastruktur des Auftraggebers betrieben — auf dessen Server, mit dessen Konten und dessen API-Schlüsseln. Personenbezogene Daten der Endkunden des Auftraggebers werden nicht auf Systeme von Neurohain kopiert, dort gespeichert oder dort verarbeitet.

2.2 Eine Verarbeitung im Sinne dieses Vertrages findet dadurch statt, dass Neurohain zur Erbringung der Betriebsleistung technischen Zugang zu dieser Infrastruktur hat und dabei personenbezogene Daten einsehen, verändern oder löschen kann.

2.3 Zweck: Betrieb, Überwachung, Fehlerbeseitigung, Anpassung und Weiterentwicklung des Systems.

2.4 Art der Verarbeitung: Einsehen, Auslesen, Berichtigen, Löschen und Konfigurieren im Rahmen von Betrieb und Support.

Kategorien betroffener Personen

• Kunden und Interessenten des Auftraggebers
• Beschäftigte des Auftraggebers, soweit sie das System nutzen

Kategorien personenbezogener Daten

• Stammdaten (Name, Anrede)
• Kontaktdaten (Telefonnummer, Mobilnummer, E-Mail-Adresse)
• Termindaten (Datum, Uhrzeit, Art des Termins, Status)
• Kommunikationsinhalte (Nachrichtenverläufe über WhatsApp, SMS oder E-Mail)
• Nutzungs- und Protokolldaten des Systems
• ggf. weitere, projektspezifisch zu ergänzen

Besondere Kategorien nach Art. 9 DSGVO werden nicht verarbeitet, sofern nicht ausdrücklich und gesondert vereinbart. Bei Tierarztpraxen ist zu beachten: Daten über Tiere sind keine Gesundheitsdaten im Sinne des Art. 9 DSGVO, Daten über deren Halter können jedoch personenbezogen sein.

3. Weisungsrecht des Auftraggebers

3.1 Neurohain verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich in Bezug auf Drittlandübermittlungen, sofern nicht eine Rechtspflicht besteht.

3.2 Weisungen erfolgen in Textform. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

3.3 Neurohain informiert den Auftraggeber unverzüglich, wenn nach ihrer Auffassung eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Neurohain ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie bestätigt oder geändert wird.

4. Pflichten von Neurohain

4.1 Vertraulichkeit: Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet.

4.2 Sicherheit der Verarbeitung: Neurohain trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

4.3 Unterstützung: Neurohain unterstützt den Auftraggeber im Rahmen des Zumutbaren bei der Beantwortung von Betroffenenanfragen (Art. 12–23 DSGVO), bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) und bei der vorherigen Konsultation (Art. 36 DSGVO).

4.4 Meldung von Verletzungen: Neurohain meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, mit allen ihr verfügbaren Informationen. Die Meldepflicht gegenüber der Aufsichtsbehörde nach Art. 33 DSGVO obliegt dem Auftraggeber.

4.5 Betroffenenanfragen: Wendet sich eine betroffene Person unmittelbar an Neurohain, leitet Neurohain die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.

4.6 Kontaktstelle für Datenschutz: info@neurohain.com. Ein Datenschutzbeauftragter ist nach § 38 BDSG nicht zu benennen; ändert sich diese Voraussetzung, wird der Auftraggeber informiert.

5. Unterauftragsverarbeiter

5.1 Der Auftraggeber erteilt eine allgemeine Genehmigung zur Beauftragung der in Anlage 2 genannten Unterauftragsverarbeiter.

5.2 Neurohain informiert den Auftraggeber über beabsichtigte Änderungen mit einer Frist von 30 Tagen in Textform. Der Auftraggeber kann innerhalb dieser Frist widersprechen. Bei berechtigtem Widerspruch, der die Leistungserbringung unmöglich macht, steht beiden Parteien ein Sonderkündigungsrecht zu.

5.3 Neurohain verpflichtet Unterauftragsverarbeiter auf ein Datenschutzniveau, das diesem Vertrag entspricht.

5.4 Wichtige Klarstellung: Dienste, die der Auftraggeber unter seinen eigenen Konten und in eigenem Namen einsetzt — insbesondere Hosting-Anbieter, Meta / WhatsApp Business, Google und KI-Anbieter —, sind keine Unterauftragsverarbeiter von Neurohain. Der Auftraggeber ist gegenüber diesen Anbietern selbst Vertragspartner und schließt die erforderlichen Verträge unmittelbar mit ihnen ab. Neurohain unterstützt bei der Einrichtung.

6. Drittlandtransfer

6.1 Eine Verarbeitung durch Neurohain findet ausschließlich innerhalb der EU/des EWR statt.

6.2 Soweit der Auftraggeber Dienste einsetzt, die Daten in Drittländer übermitteln (etwa Meta oder KI-Anbieter mit Sitz in den USA), erfolgt dies auf Grundlage der eigenen Verträge des Auftraggebers mit diesen Anbietern und in dessen Verantwortung. Neurohain weist den Auftraggeber vor dem Go-live hierauf hin.

7. Kontrollrechte

7.1 Der Auftraggeber kann sich von der Einhaltung dieses Vertrages überzeugen, insbesondere durch Einholung von Auskünften und durch Einsicht in die Zugriffsrechte, die in seiner eigenen Administration hinterlegt sind.

7.2 Vor-Ort-Kontrollen sind nach vorheriger Ankündigung mit angemessener Frist und während der üblichen Geschäftszeiten möglich, ohne den Betriebsablauf unangemessen zu stören.

8. Löschung und Rückgabe nach Vertragsende

8.1 Da die Daten in der Infrastruktur des Auftraggebers verbleiben, ist keine Rückgabe von Datenbeständen durch Neurohain erforderlich.

8.2 Mit Beendigung des Vertrages wird der technische Zugang von Neurohain entzogen. Etwaige bei Neurohain vorhandene Kopien (etwa in Support-Tickets oder lokalen Arbeitsdateien) werden gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

8.3 Auf Wunsch bestätigt Neurohain die Löschung in Textform.

9. Haftung

Es gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrages.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Zutrittskontrolle: Die Arbeitsgeräte von Neurohain befinden sich in nicht öffentlich zugänglichen Räumen und sind bei Abwesenheit gesperrt. Eigene Serverräume werden nicht betrieben.

Zugangskontrolle: Zugriff ausschließlich über individuelle, personalisierte Konten, niemals über geteilte Zugangsdaten. Zwei-Faktor-Authentifizierung, wo der jeweilige Dienst sie anbietet. Passwörter werden in einem Passwortmanager verwaltet und nicht per E-Mail oder Messenger weitergegeben.

Zugriffskontrolle: Berechtigungen nach dem Prinzip der geringsten Rechte, beschränkt auf das für Betrieb und Support Erforderliche. Kein Zugriff auf Datenbestände, die für die Leistungserbringung nicht benötigt werden.

Kontrolle beim Auftraggeber: der Zugang wird vom Auftraggeber erteilt und kann von ihm jederzeit über seine eigene Administration entzogen werden, ohne Mitwirkung von Neurohain.

Übertragungskontrolle: Verschlüsselte Verbindungen (TLS/HTTPS, SSH) für sämtliche Zugriffe. Kein Versand personenbezogener Daten über unverschlüsselte Kanäle.

Trennungskontrolle: Jeder Auftraggeber betreibt eine eigene Instanz in eigener Infrastruktur. Eine Vermischung von Datenbeständen verschiedener Auftraggeber ist ausgeschlossen.

Verfügbarkeit und Belastbarkeit: Monitoring des Systembetriebs. Sicherungskonzept nach Vereinbarung im Hauptvertrag; die Sicherungen liegen in der Infrastruktur des Auftraggebers.

Überprüfung: Überprüfung der Maßnahmen mindestens jährlich sowie anlassbezogen bei wesentlichen Änderungen.

Stand 19.08.2026. Eine systemseitige Protokollierung der Zugriffe ist derzeit nicht eingerichtet und wird hier bewusst nicht behauptet; sie ist in Vorbereitung und wird nach Umsetzung ergänzt.

Anlage 2 — Unterauftragsverarbeiter

Stellt Neurohain in einem konkreten Projekt ausnahmsweise eigene Infrastruktur oder eigene Zugänge bereit, ist der betreffende Anbieter vor dem Go-live hier aufzunehmen.