Stand: 20.08.2026
Dieser Auftragsverarbeitungsvertrag („AVV“, Art. 28 DSGVO) wird zwischen dem Kunden als Verantwortlichem und Christian Gerloff, Kaupmanns Kamp 5, 33775 Versmold, Deutschland („Auftragsverarbeiter“, Betreiber von Tiro) geschlossen. Er wird mit der Registrierung Bestandteil des Nutzungsvertrags (Nutzungsbedingungen) und in elektronischer Form abgeschlossen (Art. 28 Abs. 9 DSGVO). Inhaltlich orientiert er sich an den Standardvertragsklauseln der EU-Kommission für Auftragsverarbeitungsverträge (Durchführungsbeschluss (EU) 2021/915).
1. Gegenstand und Rollen
Der Kunde lädt Dokumente hoch, die personenbezogene Daten Dritter enthalten können. Für diese Daten ist der Kunde Verantwortlicher; Tiro verarbeitet sie ausschließlich in seinem Auftrag zur Erbringung des Dienstes. Die Einzelheiten der Verarbeitung beschreibt Anhang A.
2. Weisungen
Tiro verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen ergeben sich aus dem Nutzungsvertrag und der Bedienung des Dienstes (z. B. Hochladen, erneutes Verarbeiten, Export, Aufbewahrungseinstellung, Löschen). Hält Tiro eine Weisung für datenschutzrechtlich unzulässig, informiert es den Kunden.
3. Vertraulichkeit
Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet. Der Betreiber ist derzeit die einzige zugriffsberechtigte Person; künftige Mitarbeiter werden vor Aufnahme ihrer Tätigkeit entsprechend verpflichtet.
4. Sicherheit der Verarbeitung
Tiro trifft die technischen und organisatorischen Maßnahmen nach Anhang B (Art. 32 DSGVO) und passt sie dem Stand der Technik an; das Schutzniveau darf dabei nicht unterschritten werden.
5. Subunternehmer
Der Kunde genehmigt die in Anhang C genannten Subunternehmer. Tiro informiert über beabsichtigte Änderungen mindestens 30 Tage im Voraus per E-Mail; widerspricht der Kunde aus wichtigem datenschutzrechtlichem Grund, kann er den Nutzungsvertrag bis zum Wirksamwerden der Änderung kündigen. Mit jedem Subunternehmer besteht ein Vertrag nach Art. 28 DSGVO mit mindestens gleichwertigen Pflichten.
6. Unterstützung des Kunden
Tiro unterstützt den Kunden bei der Beantwortung von Anfragen betroffener Personen (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO, soweit die Informationen bei Tiro liegen. Anfragen betroffener Personen, die direkt bei Tiro eingehen, leitet Tiro unverzüglich an den Kunden weiter.
7. Meldung von Verletzungen
Tiro meldet dem Kunden Verletzungen des Schutzes seiner personenbezogenen Daten unverzüglich nach Bekanntwerden an die Konto-E-Mail-Adresse und stellt die für die Meldung nach Art. 33 DSGVO erforderlichen Informationen bereit, soweit verfügbar.
8. Löschung und Rückgabe
Dokumente und Ergebnisse werden nach der vom Kunden eingestellten Aufbewahrung automatisch gelöscht; der Kunde kann sie jederzeit selbst löschen oder als Export abholen. Mit Beendigung des Nutzungsvertrags werden alle personenbezogenen Daten des Auftrags gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht. Sicherungskopien werden spätestens nach 7 weiteren Tagen überschrieben.
9. Nachweise
Tiro stellt dem Kunden die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung (insbesondere dieses Dokument, die Beschreibung der Maßnahmen in Anhang B und die Verträge mit Subunternehmern auf Anfrage) und ermöglicht angemessene Überprüfungen. Prüfungen vor Ort sind mit angemessener Frist anzukündigen und auf das Erforderliche zu beschränken.
10. Dauer
Dieser AVV gilt für die Dauer des Nutzungsvertrags.
Anhang A — Beschreibung der Verarbeitung
Gegenstand und Art: Speicherung hochgeladener Dokumente (PDF), automatisierte Extraktion strukturierter Daten daraus mittels KI-Modellen, Bereitstellung der Ergebnisse zur Ansicht, als Export (CSV/Excel) und über die API.
Zweck: Erbringung des Dienstes Tiro für den Kunden.
Datenarten:Die in den Dokumenten des Kunden enthaltenen Daten, typischerweise Geschäftskorrespondenz- und Rechnungsdaten (z. B. Namen, Anschriften, Kontaktdaten, Bankverbindungen, Positions- und Betragsdaten).
Kategorien betroffener Personen: Geschäftspartner, Ansprechpartner, Mitarbeiter und Kunden des Kunden sowie sonstige in den Dokumenten genannte Personen.
Dauer: Gemäß der pro Extraktor eingestellten Aufbewahrung, längstens bis zur Beendigung des Nutzungsvertrags (Ziffer 8).
Anhang B — Technische und organisatorische Maßnahmen
Verarbeitung ausschließlich in Rechenzentren in Deutschland bzw. der EU (Hosting: Deutschland; KI-Extraktion: AWS-Region Frankfurt mit EU-Inferenzprofil). Transportverschlüsselung (TLS) für alle Verbindungen. Zugriffskontrolle über passwortlose Konto-Anmeldung mit E-Mail-Codes; Anmelde-Codes, Sitzungs- und API-Schlüssel werden nur gehasht gespeichert. Serverzugang nur per SSH-Schlüssel, Firewall, Dienste in Containern ohne Root-Rechte. Mandantentrennung auf Anwendungsebene (dokumentbezogene Objekte sind dem Konto zugeordnet). Technische Protokolle enthalten keine Dokumentinhalte; Zugriffslogs mit IP-Adressen werden nach spätestens 7 Tagen gelöscht. Tägliche Sicherungen mit 7-tägiger Rotation. Aufbewahrungsfristen und Löschläufe wie in der Datenschutzerklärung beschrieben.
Anhang C — Genehmigte Subunternehmer
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland — Hosting (Server, Datenbank, Dokumentspeicher), E-Mail-Versand; Verarbeitung in Deutschland.
Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg — KI-Extraktion über Amazon Bedrock, AWS-Region Frankfurt (EU-Inferenzprofil); kein Training mit Kundendaten.