Auftragsverarbeitungsvertrag (AVV)

Auftraggeber (Verantwortlicher im Sinne der DSGVO): Der jeweilige Nutzer der Plattform Verdikt, insbesondere öffentlich bestellte und vereidigte Sachverständige sowie deren Büros, die die Software nutzen.

Auftragnehmer (Auftragsverarbeiter): Paul Grossfeld, Konradstraße 8, 48145 Münster, handelnd unter der Marke „Verdikt" (Einzelunternehmen).

Kontakt Auftragnehmer: Telefon +49 177 1475356, E-Mail info@verdikt.eu.

Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen der SaaS-Plattform Verdikt. Die Software dient als digitales Schreibbüro: Strukturierung und Formulierung von Akten-Inhalten (Diktat, Notizen, Fotos, Falldaten) zu Gutachten-Entwürfen unter ausschließlicher Kontrolle des Auftraggebers.

Die Verarbeitung erfolgt für die Dauer des Nutzungsvertrags sowie darüber hinaus, soweit gesetzliche Aufbewahrungspflichten oder Nachweispflichten bestehen.

Art und Zweck der Verarbeitung umfassen insbesondere:

• Bereitstellung und Betrieb der Web-Anwendung (Hosting, Authentifizierung)
• Speicherung und Bearbeitung von Akten-Daten (Entwürfe, Freigaben, Export)
• Transkription von Audio-Diktaten über eine EU-KI-Schnittstelle (keine dauerhafte Audio-Archivierung)
• KI-gestützte Textstrukturierung und interne Qualitätsprüfung ohne Modell-Training mit Kundendaten
• Stil-Anpassung und Referenzanalyse ausschließlich für das Konto/Profil des Auftraggebers
• Dokumentation der AVV- und Verschwiegenheits-Zustimmung

Betroffene Personen können sein:

• Nutzer (Sachverständige) und deren Mitarbeiter
• In Akten-Inhalten genannte Dritte (Auftraggeber, Geschädigte, Mieter, Versicherte o. Ä.)

Verarbeitet werden insbesondere:

• Kontakt- und Zugangsdaten (E-Mail, Login)
• Akten-Inhalte: Diktat-Text, Stichpunkte, Fotos, Falldaten, Gutachten-Entwürfe
• Referenzdokumente (PDF/TXT) zur Stil- und Briefkopf-Analyse
• Metadaten zu Audio-Uploads (Dateiname, Löschfrist; keine dauerhafte Audiospeicherung)
• Technische Protokolldaten (IP, Zeitstempel) im erforderlichen Umfang

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, sofern nicht eine Rechtsvorschrift der Union oder der Mitgliedstaaten eine Verarbeitung vorschreibt.

Die Nutzung der Plattform gemäß dokumentierter Funktionsbeschreibung gilt als Weisung. Der Auftraggeber ist für die Rechtmäßigkeit der übermittelten Inhalte und die Einholung erforderlicher Einwilligungen oder Rechtsgrundlagen gegenüber Dritten verantwortlich.

Der Auftraggeber weist den Auftragsverarbeiter an, keine Fakten zu erfinden und fehlende Angaben mit [UNKLAR] zu kennzeichnen. Die finale inhaltliche und rechtliche Verantwortung für Gutachten liegt beim Auftraggeber.

Der Auftragsverarbeiter stellt sicher, dass sich zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Der Auftraggeber bestätigt im Onboarding die Beachtung berufsrechtlicher Verschwiegenheit (§ 203 StGB), soweit anwendbar.

Der Auftragsverarbeiter trifft angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, insbesondere:

• Verschlüsselte Übertragung (TLS 1.3 (HTTPS))
• Verschlüsselung ruhender Daten (AES-256 (Datenbank & Speicher der Auftragsverarbeiter))
• Zugangskontrolle und Authentifizierung
• Compliance-Gate vor erster Datenverarbeitung (AVV / Verschwiegenheit)
• Rollenbasierte Zugriffe und Protokollierung
• Deterministische KI-Verarbeitung ohne Training mit Kundendaten
• Audio: Verarbeitung nur zur Transkription; Löschhinweis nach 24 Stunden

Der Auftraggeber erteilt die allgemeine Genehmigung zum Einsatz folgender Unterauftragsverarbeiter. Änderungen werden mit angemessener Vorankündigung mitgeteilt:

• Hetzner Cloud — Deutschland (Falkenstein oder Nürnberg): Next.js-Anwendung (Verdikt Web-App)
• Supabase — Frankfurt (eu-central-1): Authentifizierung, Profile, Akten-Daten (PostgreSQL)
• Mistral AI — EU: Transkription (Voxtral) und Textstrukturierung — ohne Modell-Training

KI-Schnittstellen werden mit vertraglicher Zusage genutzt, dass Kundendaten nicht zum Training von Modellen verwendet werden (Zero-Data-Retention (OpenAI Enterprise / Mistral EU)).

Eine Weitergabe von Akten-Inhalten zu Werbe- oder Analysezwecken Dritter erfolgt nicht.

Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO) und bei Meldepflichten im Rahmen des Zumutbaren.

Anfragen richtet der Auftraggeber an: info@verdikt.eu.

Nach Beendigung der Leistung oder auf Weisung des Auftraggebers werden personenbezogene Daten gelöscht oder zurückgegeben, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Der Auftraggeber kann Akten in der Anwendung löschen oder Exporte erstellen.

Der Auftraggeber ist berechtigt, die Einhaltung dieses AVV in angemessenem Umfang zu überprüfen, insbesondere durch Auskunft und vorher angekündigte Inspektionen oder durch Vorlage aktueller Nachweise (z. B. Zertifikate, TOM-Übersicht).

Die Haftung richtet sich nach den gesetzlichen Vorschriften der DSGVO und dem zugrunde liegenden Nutzungsvertrag (AGB), soweit anwendbar.

Änderungen dieses AVV bedürfen der Textform. Der Auftragnehmer informiert über wesentliche Änderungen; der Auftraggeber kann der geänderten Fassung widersprechen oder das Vertragsverhältnis kündigen.

Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, Münster.

Dieses Muster wird durch die digitale Zustimmung im Compliance-Gate der Anwendung akzeptiert; Zeitpunkt und Version werden dokumentiert.