Auftragsverarbeitung (AVV)

Vereinbarung gemäß Art. 28 DSGVO · Stand: Juli 2026

Diese Vereinbarung ist Bestandteil der AGB und gilt, soweit Toelsner Digital (Raumo) im Auftrag der Kundin personenbezogene Daten verarbeitet.

1. Rollen

Verantwortliche im Sinne der DSGVO ist die Kundin (Nutzerin von Raumo). Auftragsverarbeiter ist Toelsner Digital, Christian Tölsner, 1230 Wien (siehe Impressum).

2. Gegenstand, Art & Zweck

Verarbeitet werden die von der Kundin in Raumo eingegebenen/erstellten Inhalte sowie die zur Kontoführung nötigen Daten — ausschließlich zur Bereitstellung des Dienstes gemäß AGB. Betroffene: die Kundin und von ihr erfasste Personen. Datenarten: Konto-, Inhalts- und Nutzungsdaten.

3. Weisungen & Vertraulichkeit

Wir verarbeiten Daten nur nach dokumentierter Weisung der Kundin (die Nutzung des Dienstes gilt als Weisung). Zur Verarbeitung eingesetzte Personen sind zur Vertraulichkeit verpflichtet.

4. Technische & organisatorische Maßnahmen (TOM)

Passwörter kryptografisch gehasht; kundeneigene KI-Schlüssel AES-256-GCM verschlüsselt gespeichert.
Mandantentrennung pro Kundin in der Datenbank; serverseitige Zugriffskontrolle je Konto.
Transportverschlüsselung (TLS/HTTPS), Rate-Limiting/Brute-Force-Schutz, Security-Header/CSP.
Tägliche Sicherungen (Aufbewahrung 30 Tage); getrennte Betreiber-Zugänge mit Audit-Log.
Serverstandort der Datenbank: EU (Frankfurt).

5. Unterauftragsverarbeiter

Die Kundin stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

Dienst	Zweck	Ort
Vercel Inc.	Hosting/Auslieferung	USA
Neon Inc.	Datenbank	EU (FRA) / USA
Upstash Inc.	Rate-Limiting/Cache	EU/USA
Resend	System-E-Mails	USA
Stripe	Zahlungsabwicklung	USA/EU
KI-Anbieter (Groq, OpenAI, Google, Anthropic, Perplexity)	KI-Funktionen	überw. USA
Serper.dev, Jina AI	Web-Recherche	USA

Nutzt die Kundin einen eigenen KI-Schlüssel (BYOK), erfolgt die KI-Verarbeitung über ihr eigenes Anbieterkonto. Änderungen der Liste werden mit angemessener Frist mitgeteilt; ein Widerspruchsrecht besteht.

6. Drittland

Übermittlungen in die USA erfolgen auf Grundlage der EU-Standardvertragsklauseln bzw. — soweit zertifiziert — des EU-U.S. Data Privacy Framework.

7. Unterstützung, Löschung, Nachweise

Wir unterstützen die Kundin bei Betroffenenanfragen und Datenschutz-Pflichten, melden Datenschutz- verletzungen unverzüglich, und löschen bzw. geben die Daten nach Vertragsende zurück (soweit keine gesetzliche Aufbewahrung besteht). Auf Anfrage stellen wir die zur Nachweisführung nötigen Informationen bereit.

Impressum · Datenschutz · AGB