--- title: "Auftragsverarbeitungsvertrag (AVV)" description: "Stand: 25. August 2026" canonical_url: "https://getminds.ai/legal/de/dpa" last_updated: "2026-09-07T23:14:25.289Z" --- # Auftragsverarbeitungsvertrag (AVV) **Stand: 25. August 2026** Dieser Auftragsverarbeitungsvertrag („AVV") gemäß Art. 28 DSGVO ist Bestandteil der Vereinbarung zwischen der Art of X UG (haftungsbeschränkt) („Auftragsverarbeiter", „wir", „uns") und dem Kunden („Verantwortlicher", „Sie") für die Nutzung unserer Dienste (nachfolgend „Hauptvereinbarung"). Ist Vertragspartner des Kunden die Minds AI Labs, Inc. (siehe Ziffer 1 der AGB), ist die Minds AI Labs, Inc. Auftragsverarbeiter im Sinne dieses AVV und die Art of X UG (haftungsbeschränkt) wird als deren Unterauftragsverarbeiter für Entwicklung, Hosting, Betrieb und Support der Plattform tätig, zu Bedingungen, die diesem AVV inhaltsgleich entsprechen. ## 1. Definitionen - **Personenbezogene Daten**: Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO). - **Verarbeitung**: Jeder Vorgang im Zusammenhang mit personenbezogenen Daten, einschließlich Erhebung, Speicherung, Nutzung und Löschung (Art. 4 Nr. 2 DSGVO). - **Unterauftragsverarbeiter**: Jeder Dritte, der vom Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten beauftragt wird. - **DSGVO**: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung). - **Datenpanne**: Eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO. ## 2. Gegenstand und Dauer der Verarbeitung 2.1 Dieser AVV gilt für die gesamte Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Zusammenhang mit den Diensten. 2.2 Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur zum Zweck der Erbringung der Dienste gemäß der Hauptvereinbarung und nach den dokumentierten Weisungen des Verantwortlichen. 2.3 Die Dauer der Auftragsverarbeitung entspricht der Laufzeit der Hauptvereinbarung, sofern sich aus den Bestimmungen dieses AVV keine darüber hinausgehenden Pflichten ergeben. ## 3. Details zur Datenverarbeitung
Kategorie Beschreibung
Gegenstand Bereitstellung der KI-gestützten Plattform "Minds", einschließlich KI-Assistenten, synthetischer Panels, auf Zielgruppen-Grounding gestützter Simulationen, API/MCP-Zugriff, Browser-Erweiterungs- und Widget-Workflows, Integrationen, Voice-/Messaging-Funktionen und zugehöriger Dienste
Dauer Für die Laufzeit der Hauptvereinbarung
Art und Zweck Hosting, Authentifizierung, Speicherung, Abruf, Analyse, Simulation und Generierung von Ausgaben aus Daten des Verantwortlichen. Diese Daten werden nicht zum Training, Fine-Tuning oder zur Verbesserung allgemeiner, grundlegender, gemeinsam genutzter oder Drittmodelle oder Datensätze verwendet. Ein privates kundenspezifisches Modell darf nur auf ausdrückliche Weisung des Verantwortlichen und nur für dessen autorisierte Nutzung erstellt oder angepasst werden. Unterauftragsverarbeiter dürfen die Daten nur zur Erbringung des angeforderten Dienstes verarbeiten.
Arten personenbezogener Daten Kontaktdaten (Name, E-Mail), Zugangsdaten, Nutzungsdaten, vom Verantwortlichen bereitgestellte Inhaltsdaten (Text, Bilder, Audio, Dateien, URLs), Prompts und Ausgaben, Embeddings, API-Schlüssel, OAuth-Tokens, Kalenderereignis-/Teilnehmermetadaten, Telefon-/Nachrichten-/Anrufmetadaten und Audio, sofern aktiviert, technische Daten (IP-Adresse, Browser, Gerät), Zahlungsdaten (über Stripe), Audit- und Sicherheitslogs
Kategorien betroffener Personen Mitarbeiter und Beauftragte des Verantwortlichen, vom Verantwortlichen eingeladene Endnutzer, Personen, deren Daten vom Verantwortlichen in die Plattform eingegeben werden, sowie Personen, die in eingereichten Inhalten, Kalenderereignissen, Nachrichten oder öffentlichen Quellen genannt werden
## 4. Weisungsrecht 4.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf Grundlage dokumentierter Weisungen des Verantwortlichen, einschließlich der in diesem AVV und der Hauptvereinbarung festgelegten Weisungen, es sei denn, er ist nach dem Recht der Europäischen Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet. 4.2 Weisungen können schriftlich oder in Textform (auch per E-Mail) erteilt werden. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. 4.3 Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt (Art. 28 Abs. 3 S. 3 DSGVO). Der Auftragsverarbeiter ist berechtigt, die Durchführung der betreffenden Weisung solange auszusetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird. ## 5. Pflichten des Auftragsverarbeiters Der Auftragsverarbeiter verpflichtet sich: 5.1 Personenbezogene Daten nur im Rahmen der Weisungen des Verantwortlichen zu verarbeiten und nicht für eigene Zwecke zu verwenden. 5.2 Sicherzustellen, dass die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). 5.3 Geeignete technische und organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO zu implementieren und während der gesamten Dauer des AVV aufrechtzuerhalten. Die aktuellen TOMs sind in **Anlage 1 – Technische und Organisatorische Maßnahmen (TOM)** dieses AVV beschrieben und unter [https://getminds.ai/legal/tom](/legal/tom) einsehbar. 5.4 Den Verantwortlichen unverzüglich zu informieren, wenn der Auftragsverarbeiter Kenntnis davon erlangt, dass es bei der Verarbeitung zu Verstößen gegen die DSGVO oder andere Datenschutzvorschriften gekommen ist. 5.5 Einen Datenschutzbeauftragten zu benennen, soweit gesetzlich erforderlich. Der aktuelle Datenschutzbeauftragte ist: Prof. Dr. Norman Uhlmann, h3ko Innovations GmbH, Pappelallee 64, 16359 Biesenthal, Deutschland. E-Mail: [privacy@getminds.ai](mailto:privacy@getminds.ai) 5.6 Personenbezogene Daten, die im Auftrag des Verantwortlichen verarbeitet werden, weder selbst noch durch Unterauftragsverarbeiter zum Training, Fine-Tuning oder zur Verbesserung allgemeiner, grundlegender, gemeinsam genutzter oder Drittmodelle oder Datensätze zu verwenden. Ein privates kundenspezifisches Modell darf nur auf dokumentierte Weisung und nur für die autorisierte Nutzung des Verantwortlichen erstellt oder angepasst werden. ## 6. Rechte der betroffenen Personen 6.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflichten zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III der DSGVO genannten Rechte der betroffenen Personen (Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch). 6.2 Wendet sich eine betroffene Person mit einem Antrag direkt an den Auftragsverarbeiter, so leitet dieser den Antrag unverzüglich an den Verantwortlichen weiter. ## 7. Unterstützung bei Datenschutzpflichten 7.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten, insbesondere: - bei der Gewährleistung der Sicherheit der Verarbeitung (Art. 32 DSGVO); - bei der Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde (Art. 33 DSGVO) und an die betroffenen Personen (Art. 34 DSGVO); - bei der Durchführung einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO); - bei einer etwaigen vorherigen Konsultation der Aufsichtsbehörde (Art. 36 DSGVO). 7.2 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen und Untersuchungen durch Datenschutz-Aufsichtsbehörden, die die Auftragsverarbeitung betreffen. ## 8. Unterauftragsverarbeiter 8.1 Der Verantwortliche erteilt dem Auftragsverarbeiter hiermit eine allgemeine schriftliche Genehmigung zur Beauftragung von Unterauftragsverarbeitern gemäß Art. 28 Abs. 2 DSGVO, vorbehaltlich der Anforderungen dieses Abschnitts. 8.2 Die zum Zeitpunkt des Abschlusses dieses AVV eingesetzten Unterauftragsverarbeiter sind unter [https://getminds.ai/legal/subprocessors](/legal/subprocessors) aufgeführt. 8.3 Der Auftragsverarbeiter teilt dem Verantwortlichen jede beabsichtigte Hinzufügung oder Ersetzung von Unterauftragsverarbeitern mindestens **14 Tage** vor der geplanten Änderung mit, um dem Verantwortlichen die Möglichkeit zu geben, Einspruch zu erheben. 8.4 Erhebt der Verantwortliche innerhalb der Frist Einwände, bemühen sich die Parteien, eine einvernehmliche Lösung zu finden. Ist dies nicht möglich, hat der Verantwortliche das Recht, die Hauptvereinbarung außerordentlich zu kündigen. 8.5 Der Auftragsverarbeiter stellt vertraglich sicher, dass die Unterauftragsverarbeiter denselben Datenschutzpflichten unterliegen wie in diesem AVV festgelegt (Art. 28 Abs. 4 DSGVO). Der Auftragsverarbeiter haftet für das Verschulden seiner Unterauftragsverarbeiter wie für eigenes Verschulden. ## 9. Datenübermittlung in Drittländer 9.1 Eine Verarbeitung personenbezogener Daten in einem Drittland oder durch eine internationale Organisation darf nur erfolgen, sofern die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. 9.2 Für Unterauftragsverarbeiter mit Sitz in den USA wird die Übermittlung auf Grundlage folgender Garantien durchgeführt: - EU-US Data Privacy Framework (DPF), soweit der Unterauftragsverarbeiter zertifiziert ist - Standardvertragsklauseln (SCCs) gemäß Durchführungsbeschluss (EU) 2021/914 9.3 Für Unterauftragsverarbeiter im Vereinigten Königreich gilt der Angemessenheitsbeschluss der Europäischen Kommission (Beschluss 2021/1772). 9.4 Der Auftragsverarbeiter überwacht den Status der jeweiligen Angemessenheitsbeschlüsse und Transfermechanismen und informiert den Verantwortlichen, falls Änderungen eine Anpassung der Transfergrundlage erfordern. 9.5 Erhält der Auftragsverarbeiter oder einer seiner Unterauftragsverarbeiter eine behördliche Anordnung zur Herausgabe personenbezogener Daten (einschließlich Anordnungen nach dem US CLOUD Act, FISA oder vergleichbaren Rechtsvorschriften), informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich, soweit dies rechtlich zulässig ist. Der Auftragsverarbeiter wird die Rechtmäßigkeit der Anordnung prüfen und angemessene Rechtsmittel einlegen, bevor personenbezogene Daten offengelegt werden. ## 10. Meldung von Verletzungen des Schutzes personenbezogener Daten 10.1 Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von **24 Stunden**, nachdem er eine Verletzung des Schutzes personenbezogener Daten festgestellt hat. Die Meldung erfolgt auch dann, wenn noch nicht alle Informationen vorliegen; fehlende Angaben werden unverzüglich nachgereicht. 10.2 Die Meldung enthält mindestens: - eine Beschreibung der Art der Verletzung, soweit möglich mit Angabe der Kategorien und der ungefähren Anzahl der betroffenen Personen und Datensätze; - den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle; - eine Beschreibung der wahrscheinlichen Folgen der Verletzung; - eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer Auswirkungen. 10.3 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Meldepflichten gemäß Art. 33 und 34 DSGVO. ## 11. Prüf- und Kontrollrechte 11.1 Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung. 11.2 Der Verantwortliche ist berechtigt, Überprüfungen einschließlich Inspektionen beim Auftragsverarbeiter durchzuführen oder durch einen beauftragten Prüfer durchführen zu lassen. Solche Prüfungen finden nach angemessener Vorankündigung (mindestens 14 Tage) während der üblichen Geschäftszeiten statt und dürfen den Geschäftsbetrieb des Auftragsverarbeiters nicht unverhältnismäßig beeinträchtigen. 11.3 Der Auftragsverarbeiter kann aktuelle Prüfberichte, Zertifizierungen oder Auszüge davon vorlegen, um die Einhaltung nachzuweisen. 11.4 Beauftragte Drittprüfer sind vorab zur Vertraulichkeit zu verpflichten. Kosten der Prüfung trägt der Verantwortliche, sofern nicht ein Verstoß des Auftragsverarbeiters festgestellt wird. 11.5 Ungeachtet der Ziffern 11.2 bis 11.4 beginnt eine Prüfung grundsätzlich mit einer Fernprüfung verfügbarer Richtlinien, Fragebögen, Zusammenfassungen, Protokolle oder unabhängiger Berichte und ist auf einmal innerhalb von zwölf Monaten mit 14 Tagen Vorankündigung beschränkt. Zusätzliche Prüfungen, kürzere Fristen oder verhältnismäßige Vor-Ort-Prüfungen sind zulässig, wenn dies wegen einer den Verantwortlichen betreffenden Verletzung, eines begründeten wesentlichen Compliance-Anliegens oder einer verbindlichen Behördenanforderung erforderlich und Dokumentation nicht ausreichend ist. Prüfer müssen unabhängig, qualifiziert und zur Vertraulichkeit verpflichtet sein; Daten anderer Kunden, privilegiertes Material, nicht erforderliche Geschäftsgeheimnisse und Quellcode sind geschützt. Der Verantwortliche trägt seine Kosten; der Auftragsverarbeiter darf angemessene Kosten zusätzlicher Prüfungen berechnen, sofern diese nicht einen wesentlichen eigenen Verstoß feststellen oder dadurch erforderlich wurden. ## 12. Löschung und Rückgabe personenbezogener Daten 12.1 Nach Beendigung der Hauptvereinbarung löscht der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten personenbezogenen Daten innerhalb von **30 Tagen**, es sei denn, der Verantwortliche verlangt die Rückgabe der Daten in einem gängigen, maschinenlesbaren Format. 12.2 Die Löschung erfolgt nach dem Stand der Technik und wird dem Verantwortlichen auf Verlangen schriftlich bestätigt. 12.3 Soweit eine Aufbewahrung nach dem Recht der Union oder der Mitgliedstaaten erforderlich ist, informiert der Auftragsverarbeiter den Verantwortlichen über die Aufbewahrungspflicht und die betreffenden Daten. 12.4 Die Frist in Ziffer 12.1 gilt für aktive Systeme. Geschützte Restkopien in Backups werden von der normalen Nutzung isoliert und im Backup-Zyklus innerhalb weiterer bis zu 30 Tage gelöscht oder überschrieben, soweit keine gesetzliche Aufbewahrungspflicht besteht. ## 13. Haftung 13.1 Die Haftung der Parteien richtet sich nach Art. 82 DSGVO. 13.2 Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen für Schäden, die auf eine nicht der DSGVO oder den Weisungen des Verantwortlichen entsprechende Verarbeitung zurückzuführen sind. 13.3 Der Auftragsverarbeiter haftet für das Verschulden seiner Unterauftragsverarbeiter wie für eigenes Verschulden. 13.4 Im Verhältnis der Parteien gelten die Haftungsbeschränkungen und Obergrenzen in Abschnitt 13 der Hauptvereinbarung, einschließlich einer dort vorgesehenen höheren Obergrenze für Datenschutz-, Vertraulichkeits- oder Informationssicherheitspflichten. Vertragliche Beschränkungen berühren weder Rechte betroffener Personen nach Art. 82 DSGVO noch eine Haftung, die gesetzlich nicht beschränkt werden darf. ## 14. Änderungen des AVV 14.1 Der Auftragsverarbeiter ist berechtigt, diesen AVV mit einer Frist von mindestens 30 Tagen vor Inkrafttreten der Änderung anzupassen, soweit dies aufgrund von Gesetzesänderungen, behördlichen Anordnungen, technischen Entwicklungen oder Änderungen der Verarbeitungstätigkeiten erforderlich ist. 14.2 Der Verantwortliche wird über Änderungen per E-Mail an die im Konto hinterlegte Adresse informiert. Die geänderte Fassung wird unter [https://getminds.ai/legal/dpa](/legal/dpa) veröffentlicht. 14.3 Widerspricht der Verantwortliche den Änderungen nicht innerhalb von 30 Tagen nach Zugang der Mitteilung, gelten die Änderungen als genehmigt. Der Auftragsverarbeiter weist in der Änderungsmitteilung auf diese Rechtsfolge hin. 14.4 Widerspricht der Verantwortliche, bemühen sich die Parteien um eine einvernehmliche Lösung. Ist dies nicht möglich, hat der Verantwortliche das Recht, die Hauptvereinbarung außerordentlich zu kündigen. ## 15. Schlussbestimmungen 15.1 Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland. 15.2 Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem AVV ist Berlin, soweit gesetzlich zulässig. 15.3 Änderungen und Ergänzungen dieses AVV bedürfen der Textform, soweit nicht in Abschnitt 14 abweichend geregelt. 15.4 Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, so wird die Wirksamkeit der übrigen Bestimmungen hiervon nicht berührt. 15.5 Im Falle von Widersprüchen zwischen diesem AVV und der Hauptvereinbarung geht dieser AVV in Bezug auf den Schutz personenbezogener Daten vor. --- **Art of X UG (haftungsbeschränkt)** Köpenicker Straße 145, 10997 Berlin, Deutschland Geschäftsführer: Friedrich von Borries und Alexander Doudkin Bei Fragen zu diesem AVV: [privacy@getminds.ai](mailto:privacy@getminds.ai) --- ## 16. Datenschutzgesetze der US-Bundesstaaten 16.1 Dieser Abschnitt gilt, soweit Vertragspartner des Kunden die Minds AI Labs, Inc. ist und die Verarbeitung personenbezogener Informationen dem California Consumer Privacy Act in der Fassung des California Privacy Rights Act („CCPA") oder dem Datenschutzrecht der Bundesstaaten Virginia, Colorado, Connecticut, Texas, Oregon, Montana oder einem gleichwertigen einzelstaatlichen Datenschutzgesetz unterliegt (jeweils ein „US-Bundesstaatendatenschutzgesetz"). 16.2 Im Anwendungsbereich des CCPA ist der Kunde „business" und Minds „service provider". Im Anwendungsbereich aller übrigen US-Bundesstaatendatenschutzgesetze ist der Kunde Verantwortlicher und Minds Auftragsverarbeiter. 16.3 Minds verkauft personenbezogene Informationen nicht und gibt sie nicht weiter im Sinne der Begriffe „sell" und „share" des CCPA und offenbart sie nicht für kontextübergreifende verhaltensbasierte oder zielgerichtete Werbung. Minds erhält für personenbezogene Informationen keine Gegenleistung. 16.4 Minds speichert, nutzt oder offenbart personenbezogene Informationen zu keinem anderen Zweck als den in Ziffer 16.4a bezeichneten Geschäftszwecken und nicht außerhalb der unmittelbaren Geschäftsbeziehung mit dem Kunden, soweit ein US-Bundesstaatendatenschutzgesetz nichts ausdrücklich anderes gestattet. 16.4a Die Geschäftszwecke, zu denen der Kunde personenbezogene Informationen an Minds offenlegt, sind im Einzelnen: (a) das Hosting des Mandanten des Kunden und die Speicherung personenbezogener Informationen, die der Kunde oder seine berechtigten Nutzer an die Plattform übermitteln; (b) die Authentifizierung und Verwaltung der berechtigten Nutzer des Kunden sowie die Administration ihrer Zugriffsrechte und Rollen; (c) die Durchführung der vom Kunden in der Plattform veranlassten Vorgänge der synthetischen Zielgruppenforschung, Panelsimulation, Segmentierung und Analyse, einschließlich der Übermittlung der vom Kunden eingereichten Inhalte an die in der Unterauftragsverarbeiterliste genannten Modell- und Inferenzanbieter ausschließlich zur Rückgabe eines Ergebnisses an den Kunden; (d) die Erbringung technischen Supports und die Störungsbearbeitung auf eine Anfrage oder eine Warnmeldung hin, die den Mandanten des Kunden betrifft, einschließlich des Zugriffs namentlich benannten Supportpersonals auf den Mandanten des Kunden zur Diagnose und Behebung eines Fehlers; (e) die Aufrechterhaltung der Sicherheit und Integrität der Plattform und des Mandanten des Kunden, einschließlich der Überwachung, Untersuchung und Behebung unbefugter Zugriffe, missbräuchlicher Nutzung und betrügerischer Handlungen; (f) die Erstellung und Vorhaltung von Sicherungskopien des Mandanten des Kunden und dessen Wiederherstellung nach einem Ausfall; (g) das Erkennen und Beheben von Fehlern, die die vorgesehene Funktionsfähigkeit beeinträchtigen, sowie das Testen und Überprüfen der Wirksamkeit der Behebung; (h) die Ermittlung der Nutzung im Verhältnis zu den Kontingenten des Tarifs des Kunden zum Zwecke der Abrechnung gegenüber dem Kunden; and (i) die gesetzlich vorgeschriebene Aufbewahrung personenbezogener Informationen sowie deren Löschung oder Rückgabe zum Ende der Vertragslaufzeit. Diese Ziffer soll den Anforderungen des 11 CCR § 7051(a)(1) genügen, wonach Geschäftszwecke konkret und nicht in allgemeiner Form zu bezeichnen sind. 16.5 Minds führt personenbezogene Informationen nicht mit personenbezogenen Informationen zusammen, die Minds von oder für eine andere Person erhält oder aus eigener Interaktion mit einem Verbraucher erhebt, soweit der CCPA dies nicht ausdrücklich gestattet. 16.6 Minds verwendet personenbezogene Informationen nicht zum Training, zur Feinabstimmung oder zur Verbesserung von Allzweckmodellen, verallgemeinerten Datensätzen oder Modellen, die Dritten zugänglich sind, und gestattet dies auch keinem Unterauftragsverarbeiter. 16.7 **Minds bestätigt, die Beschränkungen dieses Abschnitts verstanden zu haben und einzuhalten.** 16.8 Minds erlegt jedem Unterauftragsverarbeiter durch schriftlichen Vertrag Pflichten auf, die den Pflichten dieses Abschnitts mindestens gleichwertig sind, und haftet für deren Erfüllung. Ist die Minds AI Labs, Inc. Vertragspartner, wird die Art of X UG (haftungsbeschränkt) als deren Unterauftragsverarbeiter tätig. 16.9 Minds unterstützt den Kunden bei der Beantwortung überprüfbarer Verbraucheranfragen auf Auskunft, Zugang, Berichtigung, Löschung, Widerspruch oder Beschränkung der Nutzung sensibler personenbezogener Informationen und leitet unmittelbar an Minds gerichtete Anfragen an den Kunden weiter. Minds nutzt oder offenbart sensible personenbezogene Informationen nicht über die nach § 1798.121 CCPA zulässigen Zwecke hinaus. 16.10 Minds unterrichtet den Kunden unverzüglich, wenn Minds feststellt, seine Pflichten nach einem US-Bundesstaatendatenschutzgesetz nicht mehr erfüllen zu können; der Kunde kann sodann angemessene Maßnahmen ergreifen, um eine unbefugte Nutzung zu unterbinden und abzustellen. 16.11 Unterliegt dieselbe Verarbeitung sowohl diesem Abschnitt als auch einer anderen Bestimmung dieses AVV, gelten beide; es geht die Bestimmung vor, die der betroffenen Person den weitergehenden Schutz gewährt. ## Anlage 1: Technische und Organisatorische Maßnahmen (TOM) **Stand: 25. August 2026** Die Art of X UG (haftungsbeschränkt) („Minds") setzt die folgenden technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO um, um ein dem Risiko angemessenes Schutzniveau für die Verarbeitung personenbezogener Daten zu gewährleisten. --- ## 1. Zugangs- und Zutrittskontrolle ### Physische Zutrittskontrolle Die Infrastruktur von Minds wird ausschließlich bei zertifizierten Cloud-Anbietern betrieben: - **DigitalOcean** – Rechenzentrum Frankfurt, Deutschland (EU). Zertifizierungen: SOC 2 Type II, ISO 27001, ISO 27017, ISO 27018. - **Supabase** – Rechenzentrum Stockholm, Schweden (EU), gehostet auf AWS. Zertifizierungen: SOC 2 Type II. Die physische Sicherheit (biometrische Zugangskontrollen, 24/7-Überwachung, Zutrittsprotokollierung) wird vollständig von den Cloud-Anbietern gewährleistet. ### Logische Zugangskontrolle - Rollenbasierte Zugriffskontrolle (RBAC) für alle internen Systeme und Administrationsoberflächen. - Multi-Faktor-Authentifizierung (MFA) für alle Mitarbeiterzugänge zu Produktionssystemen. - Individuelle Benutzerkonten – keine geteilten Zugangsdaten. - Regelmäßige Überprüfung und Entzug von Zugriffsrechten nach dem Prinzip der minimalen Berechtigung (Least Privilege). - API-Schlüssel und Zugangsdaten werden in verschlüsselten Secrets-Managern verwaltet. - OAuth-Tokens, Integrations-Zugangsdaten und API-Schlüssel sind scoped, ruhend verschlüsselt und widerrufbar. --- ## 2. Verschlüsselung ### Verschlüsselung bei der Übertragung (in transit) - Sämtliche Datenübertragungen erfolgen über TLS 1.2 oder höher. - HSTS (HTTP Strict Transport Security) ist für alle öffentlichen Endpunkte aktiviert. - Interne Kommunikation zwischen Diensten ist ebenfalls verschlüsselt. ### Verschlüsselung bei der Speicherung (at rest) - Datenbanken (Supabase/PostgreSQL) verwenden AES-256-Verschlüsselung für ruhende Daten. - Datei-Speicher (DigitalOcean Spaces / Supabase Storage) verwenden serverseitige AES-256-Verschlüsselung. - Backups werden ebenfalls verschlüsselt gespeichert. --- ## 3. Mandantentrennung (Datenseparation) - Strikte logische Trennung der Kundendaten auf Datenbankebene durch Tenant-Isolation (Row-Level Security in PostgreSQL). - Jeder Kunde hat nur Zugriff auf seine eigenen Daten – durchgesetzt auf Datenbank- und API-Ebene. - Automatisierte Tests stellen sicher, dass keine Cross-Tenant-Datenlecks auftreten. --- ## 4. Verfügbarkeit und Belastbarkeit ### Hosting-Architektur - Anwendung läuft auf DigitalOcean App Platform mit automatischer Skalierung und Health Checks. - Datenbank auf Supabase mit High-Availability-Konfiguration. ### Backup und Wiederherstellung - Geschützte Datenbank-Backups werden regelmäßig erstellt und nach dem geltenden Backup-Zyklus bis zu 30 Tage aufbewahrt. - Point-in-Time-Recovery (PITR) für die PostgreSQL-Datenbank. - Regelmäßige Tests der Wiederherstellungsverfahren. - Wiederherstellungsziele sind operative Ziele, sofern sie nicht in einem Bestellformular ausdrücklich verbindlich vereinbart werden. --- ## 5. Incident Response (Störfall- und Vorfallmanagement) - Dokumentierter Incident-Response-Prozess für Sicherheitsvorfälle. - Benachrichtigung des Verantwortlichen (Kunden) innerhalb von **24 Stunden** nach Kenntnisnahme einer Datenschutzverletzung gemäß den Bestimmungen der Auftragsverarbeitungsvereinbarung (AVV). - Protokollierung und Nachverfolgung aller sicherheitsrelevanten Vorfälle. - Regelmäßige Überprüfung und Aktualisierung des Incident-Response-Plans. --- ## 6. Vertraulichkeit und Mitarbeiterverpflichtung - Alle Mitarbeiter und Auftragnehmer sind auf die Vertraulichkeit verpflichtet (Vertraulichkeitsvereinbarungen / NDAs). - Regelmäßige Datenschutz-Schulungen für alle Mitarbeiter. - Verpflichtung auf das Datengeheimnis gemäß DSGVO. - Zugriff auf personenbezogene Daten nur nach dem Need-to-know-Prinzip. --- ## 7. Auftragsverarbeiter-Management (Subprocessor) - Sorgfältige Auswahl von Unterauftragsverarbeitern nach Datenschutz- und Sicherheitskriterien. - Vertragliche Verpflichtung aller Unterauftragsverarbeiter auf DSGVO-konforme Datenverarbeitung. - Regelmäßige Überprüfung der Unterauftragsverarbeiter. - Aktuelle Liste der Unterauftragsverarbeiter ist unter [Subprocessors](/legal/subprocessors) einsehbar. - Vorabinformation des Kunden bei Änderungen gemäß AVV. --- ## 8. Protokollierung und Überwachung - Zentrale Protokollierung von Systemereignissen und Zugriffen. - Audit-Logs erfassen API/MCP-Zugriffe, OAuth- und Integrationsänderungen, Kalender-Sync-/Webhook-Ereignisse und sicherheitsrelevante Admin-Aktionen. - **Langfuse** für die Überwachung und Nachverfolgung von KI-Modell-Interaktionen (gehostet in der EU). - **PostHog** für Produktanalysen und optionales Session-Replay - persistente Analytics/Session-Replay nur mit Analytics-Einwilligung; begrenzte cookielose Diagnostik, soweit rechtlich zulässig. - Überwachung kritischer Systemmetriken mit automatischen Alarmen. - Regelmäßige Überprüfung der Protokolle auf Anomalien. --- ## 9. Datenminimierung und Pseudonymisierung ### Datenminimierung - Erhebung und Verarbeitung nur der personenbezogenen Daten, die für den jeweiligen Verarbeitungszweck erforderlich sind. - Regelmäßige Überprüfung der verarbeiteten Datenkategorien auf Erforderlichkeit. - Automatische Löschung nicht mehr benötigter Daten gemäß definierten Aufbewahrungsfristen. ### Pseudonymisierung - Wo technisch möglich und sinnvoll, werden personenbezogene Daten pseudonymisiert verarbeitet. - Interne Verarbeitung erfolgt vorrangig über UUIDs statt Klarnamen. - Analytische Auswertungen werden auf aggregierter oder pseudonymisierter Basis durchgeführt. --- ## 10. Regelmäßige Überprüfung und Bewertung - Regelmäßige Sicherheitsüberprüfungen der Infrastruktur und Anwendungen. - Abhängigkeiten werden regelmäßig auf bekannte Schwachstellen geprüft (Dependency Scanning). - Überprüfung und Aktualisierung dieser TOM mindestens einmal jährlich oder bei wesentlichen Änderungen der Verarbeitungstätigkeiten. - Kontinuierliche Verbesserung der Sicherheitsmaßnahmen auf Basis aktueller Bedrohungslagen. --- ## 11. Weitere Maßnahmen ### Eingabekontrolle - Protokollierung von Änderungen an personenbezogenen Daten (Audit Trail). - Nachvollziehbarkeit, wer wann welche Daten eingegeben, verändert oder gelöscht hat. ### Weitergabekontrolle - Datenübertragungen erfolgen ausschließlich verschlüsselt. - Keine Übermittlung personenbezogener Daten in Drittländer ohne angemessenes Schutzniveau (Angemessenheitsbeschluss oder Standardvertragsklauseln). ### Auftragskontrolle - Verarbeitung personenbezogener Daten ausschließlich gemäß den Weisungen des Auftraggebers. - Vertragliche Regelung der Auftragsverarbeitung in der AVV. --- *Diese technischen und organisatorischen Maßnahmen werden regelmäßig überprüft und bei Bedarf aktualisiert, um ein dem aktuellen Stand der Technik entsprechendes Schutzniveau sicherzustellen.*