FutureWay AIRechtliches

Vereinbarung zur Auftragsverarbeitung (AVV)

Stand: 10. August 2026

Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 der Verordnung (EU) 2016/679 (DSGVO)

zwischen dem Kunden als Verantwortlichem (nachfolgend „Verantwortlicher")

und der

FutureWay AI UG (haftungsbeschränkt), Alte Wittener Straße 30, 44803 Bochum, Deutschland (nachfolgend „Auftragsverarbeiter" oder „FutureWay").

Diese Vereinbarung ist Bestandteil des Vertrags über die Nutzung der FutureWay-AI-Plattform (nachfolgend „Hauptvertrag") und wird mit dessen Abschluss wirksam.

§ 1 Gegenstand und Dauer der Verarbeitung

  1. FutureWay verarbeitet im Rahmen der Bereitstellung der Plattform personenbezogene Daten im Auftrag des Verantwortlichen. Gegenstand, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen sind in Anlage 1 beschrieben.
  2. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags zuzüglich der dort vereinbarten Wiederherstellungsfrist bis zur vollständigen Löschung.

§ 2 Weisungsgebundenheit

  1. FutureWay verarbeitet die Auftragsdaten ausschließlich auf dokumentierte Weisung des Verantwortlichen — auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation —, sofern nicht das Recht der Union oder der Mitgliedstaaten, dem FutureWay unterliegt, eine Verarbeitung verlangt; in einem solchen Fall teilt FutureWay dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
  2. Die Nutzung der Plattform-Funktionen durch den Verantwortlichen und seine Nutzer (z. B. Absenden einer Chat-Anfrage, Hochladen einer Datei, Auslösen eines Graph-Aufbaus, Aktivierung optionaler Modelle) gilt als dokumentierte Weisung. Darüber hinausgehende Einzelweisungen bedürfen der Textform.
  3. FutureWay informiert den Verantwortlichen unverzüglich, wenn es der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt. FutureWay darf die Ausführung einer solchen Weisung bis zu deren Bestätigung durch den Verantwortlichen aussetzen.

§ 3 Verarbeitungsort; Übermittlung in Drittländer

  1. Die Verarbeitung der Auftragsdaten findet ausschließlich in Rechenzentren innerhalb der Europäischen Union statt (Einzelheiten: Anlage 3).
  2. Eine Übermittlung in Drittländer findet nicht statt. Aktiviert der Verantwortliche das optionale US-Frontier-Modell-Angebot (Opt-in gemäß Hauptvertrag), erfolgt die Verarbeitung auch dann in EU-Rechenzentren der betreffenden Anbieter; der Verantwortliche nimmt zur Kenntnis, dass diese Anbieter Konzernobergesellschaften mit Sitz in den USA haben und insoweit der Reichweite von US-Recht (insbesondere CLOUD Act) unterliegen können. Die betreffenden Anbieter sind in Anlage 3 als bedingte Subprozessoren gekennzeichnet und werden nur für Organisationen mit aktiviertem Opt-in tätig.

§ 4 Vertraulichkeit

FutureWay gewährleistet, dass sich die zur Verarbeitung der Auftragsdaten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und dass sie die Auftragsdaten nur auf Weisung verarbeiten.

§ 5 Sicherheit der Verarbeitung (Art. 32 DSGVO)

  1. FutureWay trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen und entwickelt sie entsprechend dem Stand der Technik fort. Ein Absenken des vereinbarten Schutzniveaus ist unzulässig; Anpassungen, die das Schutzniveau wahren oder erhöhen, sind zulässig.
  2. Zu den produktseitigen Schutzmaßnahmen gehört insbesondere: Administratoren der Kundenorganisation erhalten über die Plattform keinen Zugriff auf Unterhaltungsinhalte einzelner Nutzer (nur aggregierte Nutzungswerte); Unterhaltungsinhalte werden nicht in Protokolldateien geschrieben; Löschungen wirken endgültig (keine verdeckte Aufbewahrung über die vereinbarten Fristen hinaus).

§ 6 Subprozessoren

  1. Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 3 aufgeführten Subprozessoren.
  2. FutureWay informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung von Subprozessoren) mindestens 30 Tage vor deren Wirksamwerden in Textform (z. B. E-Mail an den Organisations-Inhaber). Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen. Ist eine einvernehmliche Lösung nicht möglich, kann jede Partei den Hauptvertrag zum Wirksamwerden der Änderung kündigen.
  3. FutureWay erlegt jedem Subprozessor durch Vertrag dieselben Datenschutzpflichten auf, wie sie in dieser Vereinbarung festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt der Subprozessor seinen Pflichten nicht nach, haftet FutureWay gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Subprozessors.

§ 7 Unterstützung des Verantwortlichen

  1. FutureWay unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen (Art. 12–23 DSGVO) zu beantworten. Die Plattform stellt hierfür insbesondere Selbstbedienungsfunktionen bereit (Datenexport, sofortige endgültige Löschung von Unterhaltungen, Löschung der Organisation mit Wiederherstellungsfrist). Erhält FutureWay einen Antrag einer betroffenen Person, der die Auftragsdaten betrifft, leitet FutureWay den Antrag unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst.
  2. FutureWay unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der FutureWay zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

FutureWay meldet dem Verantwortlichen jede Verletzung des Schutzes der Auftragsdaten unverzüglich nach Bekanntwerden. Die Meldung enthält, soweit bereits verfügbar, die Informationen nach Art. 33 Abs. 3 DSGVO (Art der Verletzung, betroffene Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen); Informationen können schrittweise nachgereicht werden.

§ 9 Löschung und Rückgabe

  1. Während der Vertragslaufzeit stehen dem Verantwortlichen bzw. seinen Nutzern Export- und Löschfunktionen in der Plattform zur Verfügung.
  2. Nach Beendigung des Hauptvertrags werden alle Auftragsdaten nach Ablauf der im Hauptvertrag vereinbarten Wiederherstellungsfrist von 30 Tagen vollständig und endgültig gelöscht (einschließlich Datei-Speicher und abgeleiteter Bestände wie Embeddings und Graph-Daten), sofern nicht Unionsrecht oder das Recht der Mitgliedstaaten eine längere Speicherung verlangt. Auf Wunsch bestätigt FutureWay die Löschung in Textform.
  3. Sicherungskopien, die aus technischen Gründen nicht sofort gelöscht werden können, werden spätestens mit dem regulären Auslauf des Sicherungszyklus gelöscht und bis dahin nicht anderweitig verarbeitet.

§ 10 Nachweise und Überprüfungen

  1. FutureWay stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung, insbesondere diese Vereinbarung samt Anlagen sowie auf Anfrage ergänzende Beschreibungen der Maßnahmen.
  2. Der Verantwortliche kann Überprüfungen — einschließlich Inspektionen — durchführen oder durch einen geeigneten, zur Vertraulichkeit verpflichteten Prüfer durchführen lassen. Überprüfungen erfolgen nach angemessener Vorankündigung (in der Regel 14 Tage), während der üblichen Geschäftszeiten, höchstens einmal jährlich (außer bei konkretem Anlass) und unter Wahrung der Vertraulichkeit der Daten anderer Kunden. FutureWay kann auf aussagekräftige aktuelle Nachweise (z. B. Prüfberichte, Zertifizierungen von Subprozessoren) verweisen, soweit diese den Prüfzweck abdecken.

§ 11 Schlussbestimmungen

  1. Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag geht diese Vereinbarung in Bezug auf die Verarbeitung personenbezogener Daten im Auftrag vor.
  2. Änderungen dieser Vereinbarung bedürfen der Textform. Für Änderungen gilt im Übrigen das Verfahren des Hauptvertrags für AGB-Änderungen entsprechend; Änderungen der Anlage 3 richten sich nach § 6.
  3. Es gilt deutsches Recht. Gerichtsstand ist der des Hauptvertrags.

Anlage 1 — Gegenstand der Verarbeitung

Gegenstand und Zweck: Bereitstellung einer KI-Arbeitsplattform (Chat mit KI-Modellen, Projekte, Skills/Prompts, Agenten, Datei- und Wissensverwaltung mit semantischer Suche, Unternehmensgraph, Websuche, Spracheingabe, Code-Projekte, API-Zugang) einschließlich Speicherung, Anzeige, Durchsuchung und KI-gestützter Verarbeitung der vom Verantwortlichen eingebrachten Inhalte.

Art der Verarbeitung: Erhebung (Upload/Eingabe), Speicherung, Anzeige, Übermittlung an die in Anlage 3 genannten KI-Anbieter zur Inferenz, Erstellung abgeleiteter Daten (z. B. Embeddings, Wissensgraph, Transkripte), Löschung.

Arten personenbezogener Daten: Die Inhalte bestimmt der Verantwortliche. Typischerweise: Kommunikations- und Dokumentinhalte (Chat-Eingaben, hochgeladene Dateien, Wissensbestände) mit darin enthaltenen personenbezogenen Daten wie Namen, Kontaktdaten, beruflichen Angaben, Vertrags- und Geschäftsdaten; Nutzungsmetadaten der Nutzerkonten (Name, geschäftliche E-Mail-Adresse, Rollen- und Gruppenzuordnung). Der Verantwortliche stellt sicher, dass besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) nur eingebracht werden, soweit er hierfür über eine Rechtsgrundlage verfügt; die Plattform ist nicht für die systematische Verarbeitung von Gesundheits- oder ähnlich sensiblen Daten bestimmt.

Kategorien betroffener Personen: Beschäftigte und Ansprechpartner des Verantwortlichen; Dritte, deren Daten in den vom Verantwortlichen eingebrachten Inhalten enthalten sind (z. B. Kunden, Lieferanten, Geschäftspartner des Verantwortlichen).

Keine Nutzung zu eigenen Zwecken: FutureWay verarbeitet Auftragsdaten nicht zu eigenen Zwecken, insbesondere nicht zum Training von KI-Modellen. Nicht-inhaltsbezogene Nutzungsmetadaten (z. B. Zeitpunkt, Modell, Token-Zähler je Nutzer, ausgeführte Werkzeuge sowie die Namen betroffener Wissensbereiche) verarbeitet FutureWay als eigene Verantwortliche zur Abrechnung, Kapazitätssteuerung und zur Bereitstellung des Nutzungsprotokolls, das der Verantwortliche in der Administration einsehen kann. Inhalte der Eingaben, Antworten und Dokumente sind darin nicht enthalten; Einzelheiten ergeben sich aus den Datenschutzhinweisen der Plattform.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 2026-08-03. FutureWay entwickelt die Maßnahmen fortlaufend weiter; Ersatzmaßnahmen dürfen das Schutzniveau nicht unterschreiten.

1. Vertraulichkeit

Zutritts- und Zugangskontrolle (Infrastruktur):

  • Betrieb ausschließlich in zertifizierten Rechenzentren der Hetzner Online GmbH in Deutschland (physische Sicherheit durch den Rechenzentrumsbetreiber).
  • Server-Zugriff nur über SSH mit Schlüssel-Authentifizierung, beschränkt auf autorisierte Administratoren; Datenbank und interne Dienste sind nicht öffentlich erreichbar (privates Netz, Firewall).

Zugangskontrolle (Plattform):

  • Authentifizierung mit E-Mail-Verifikationspflicht; Passwörter werden ausschließlich als sichere Hashes gespeichert.
  • Session-Cookies sind httpOnly, secure und sameSite; Raten-Begrenzung auf Authentifizierungs-Endpunkten gegen Brute-Force.

Zugriffskontrolle (Berechtigungen):

  • Rollenmodell (Owner/Admin/Manager/Member) und ressourcenbezogene Freigaben (Organisation/Gruppe/Nutzer) mit zentraler, serverseitiger Berechtigungsprüfung für jede Aktion.
  • Strikte Mandantentrennung auf Datenebene: jede Abfrage ist auf die Organisation des anfragenden Nutzers beschränkt (dokumentierte Tenant-Isolations-Kontrollen mit Testabdeckung).
  • Datei- und Graph-Abfragen filtern serverseitig nach den Wissensbereichs-Berechtigungen des anfragenden Nutzers.
  • Produktprinzip: Organisations-Administratoren sehen keine Unterhaltungsinhalte anderer Nutzer, nur aggregierte Nutzungswerte; es existiert kein „Als-Nutzer-ansehen"-Modus.

Pseudonymisierung/Datensparsamkeit:

  • Unterhaltungsinhalte werden nicht in Protokolldateien geschrieben; Protokolle enthalten nur technische Kennungen (IDs).
  • „Temporärer Chat"-Modus ohne jede Persistenz der Unterhaltung.
  • Übermittlung an KI-Anbieter nur mit den für die Anfrage erforderlichen Inhalten; keine Weitergabe von Kontodaten an KI-Anbieter.

2. Integrität

  • Verschlüsselte Übertragung (TLS) auf allen öffentlichen Verbindungen; interne Dienstkommunikation im privaten Netz.
  • Änderungen an der Plattform ausschließlich über versionierte Quellcodeverwaltung mit automatisierten Prüfungen (Lint, Typprüfung, Tests) vor jedem Deployment; Datenbankmigrationen laufen kontrolliert und fehlschlagsicher beim Deployment.
  • Eingabevalidierung an allen API-Grenzen.

3. Verfügbarkeit und Belastbarkeit

  • Tägliche verschlüsselte Datenbank-Backups mit Punkt-in-Zeit-Wiederherstellung (PITR); Sicherung im Objektspeicher (EU); dokumentiertes und erprobtes Wiederherstellungs-Runbook.
  • Raten-Begrenzung und Lastschutz auf der HTTP-Oberfläche; Warteschlangen-basierte Hintergrundverarbeitung mit Wiederanlauf.
  • Getrennte Container je Dienst; Infrastruktur als Code (reproduzierbarer Wiederaufbau).

4. Löschung

  • Nutzer können eigene Unterhaltungen jederzeit sofort und endgültig löschen (Hard-Delete, kein Papierkorb).
  • Konfigurierbare automatische Aufbewahrungsfristen je Organisation (nächtlicher Löschlauf).
  • Organisationslöschung mit 30-tägiger Wiederherstellungsfrist, danach vollständige Löschung einschließlich Objektspeicher und abgeleiteter Bestände.

5. Organisatorische Maßnahmen

  • Vertraulichkeitsverpflichtung aller mit der Verarbeitung befassten Personen.
  • Dokumentierter Prozess zur Meldung von Datenschutzverletzungen (internes Runbook mit Fristen nach Art. 33/34 DSGVO).
  • Auswahl von Subprozessoren ausschließlich mit EU-Verarbeitungsort und Art.-28-Verträgen; dokumentierte Prüfung der Anbieterzusagen (insbesondere: keine Nutzung von API-Daten zum Training).
  • Grundsatz der Datenminimierung in der Produktentwicklung (Datenschutz durch Technikgestaltung, Art. 25 DSGVO); neue externe Dienste nur nach dokumentierter Souveränitäts- und Datenschutzprüfung.

6. Verfahren zur regelmäßigen Überprüfung

  • Automatisierte Testpflicht für Berechtigungslogik und Mandantentrennung bei jeder Codeänderung.
  • Regelmäßige Überprüfung der Subprozessoren-Zusagen und der TOMs (mindestens jährlich sowie anlassbezogen).

Anlage 3 — Subprozessoren

Die jeweils aktuelle Liste der Subprozessoren ist in der Plattform abrufbar (Einstellungen → Rechtliches → Subprozessoren) und wird dem Verantwortlichen bei Änderungen nach dem Verfahren in § 6 mitgeteilt. Die bei Abschluss dieser Vereinbarung gültige Liste ist dort mit Stand-Datum ausgewiesen.

Vereinbarung zur Auftragsverarbeitung (AVV) — FutureWay AI