Fassung vom 2. Oktober 2026
Diese Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO ist Bestandteil der Nutzungsbedingungen für archmax Cloud. Sie gilt zwischen dem Kunden als Verantwortlichem (im Folgenden „Kunde“) und der archmax GmbH, Paulinenstr. 14, 72072 Tübingen, als Auftragsverarbeiter (im Folgenden „archmax“) und wird mit der Zustimmung zu den Nutzungsbedingungen abgeschlossen.
(1) Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten durch archmax im Auftrag des Kunden bei der Bereitstellung von archmax Cloud. Art, Zweck und Umfang der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.
(2) Die Vereinbarung gilt für die Dauer des Vertrags über die Nutzung von archmax Cloud und darüber hinaus, solange archmax personenbezogene Daten des Kunden verarbeitet.
(3) Bei Widersprüchen geht diese Vereinbarung den Nutzungsbedingungen vor, soweit es um den Schutz personenbezogener Daten geht.
(1) archmax verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, auch in Bezug auf die Übermittlung in Drittländer, es sei denn, archmax ist nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. In diesem Fall teilt archmax dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet.
(2) Die Nutzungsbedingungen, diese Vereinbarung sowie die Konfiguration und Nutzung von archmax Cloud durch den Kunden, etwa seine Workflows, Verbindungen und die Auswahl von Modellen, bilden die Weisungen des Kunden. Weitere Weisungen erteilt der Kunde in Textform.
(3) archmax informiert den Kunden unverzüglich, wenn eine Weisung nach Auffassung von archmax gegen Datenschutzvorschriften verstößt, und darf ihre Ausführung aussetzen, bis der Kunde sie bestätigt oder ändert.
(1) archmax gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
(2) archmax trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. archmax darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.
(3) archmax verarbeitet die Daten nicht für eigene Zwecke und verwendet sie insbesondere nicht zum Training von KI-Modellen.
(4) archmax hat keinen Datenschutzbeauftragten benannt, da hierzu keine gesetzliche Pflicht besteht. Ansprechpartner für den Datenschutz ist Dr. Steffen Wütz, erreichbar unter info@archmax.ai.
(5) archmax informiert den Kunden unverzüglich über Kontrollen und Maßnahmen einer Aufsichtsbehörde, soweit sie diese Verarbeitung betreffen.
(6) Verlangt eine Behörde oder ein Gericht die Herausgabe von Daten des Kunden, informiert archmax den Kunden vorab, soweit dies rechtlich zulässig ist, prüft die Rechtmäßigkeit des Verlangens, geht gegen unrechtmäßige Verlangen vor und gibt nur die Daten heraus, zu deren Herausgabe archmax verpflichtet ist. Dies gilt auch für Verlangen aus Drittländern, die an Unterauftragsverarbeiter gerichtet werden, soweit archmax davon Kenntnis erlangt.
(7) Beschäftigte von archmax greifen auf Inhalte des Kunden nur zu, soweit dies für Support auf Anfrage des Kunden, zur Behebung von Störungen oder zur Abwehr von Sicherheitsvorfällen erforderlich ist, und nur im erforderlichen Umfang.
(8) Ist der Kunde Berufsgeheimnisträger, etwa Steuerberater oder Rechtsanwalt, verpflichtet sich archmax zur Verschwiegenheit über fremde Geheimnisse, von denen archmax bei der Leistungserbringung Kenntnis erlangt, und nimmt von ihnen nur Kenntnis, soweit dies für die Leistung erforderlich ist. archmax verpflichtet eingesetzte Personen und Unterauftragsverarbeiter entsprechend. Der Kunde belehrt archmax hiermit über die strafrechtlichen Folgen einer Pflichtverletzung (§ 203 Abs. 4 StGB).
(1) Der Kunde erteilt archmax die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und gelten als genehmigt.
(2) archmax informiert den Kunden mindestens 30 Tage vorher nach § 16 der Nutzungsbedingungen über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters und aktualisiert Anlage 3. Der Kunde kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Einigen sich die Parteien nicht, kann der Kunde den Vertrag zum Zeitpunkt der Änderung kündigen. Muss archmax einen Unterauftragsverarbeiter kurzfristig ersetzen, um eine akute Gefahr für die Sicherheit der Daten oder die Verfügbarkeit von archmax Cloud abzuwenden, holt archmax die Mitteilung unverzüglich nach; das Widerspruchsrecht bleibt unberührt.
(3) archmax erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die denen dieser Vereinbarung entsprechen, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. archmax haftet gegenüber dem Kunden dafür, dass Unterauftragsverarbeiter diese Pflichten einhalten.
(4) Verbindet der Kunde archmax Cloud mit Drittdiensten oder hinterlegt er Zugangsdaten eines eigenen Modellanbieters, sind diese Anbieter keine Unterauftragsverarbeiter von archmax. Die Übermittlung an sie erfolgt auf Weisung des Kunden, der sein Verhältnis zu diesen Anbietern selbst regelt.
(1) archmax verarbeitet die Daten grundsätzlich in der EU. Eine Übermittlung in ein Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder der Standardvertragsklauseln der Europäischen Kommission. Eine Kopie der vereinbarten Standardvertragsklauseln erhält der Kunde auf Anfrage.
(2) Für die Ausführung von Agenten und Workflows übermittelt archmax Daten an den Modellanbieter, den der Kunde mit eigenen Zugangsdaten anbindet. Der Kunde bestimmt mit seiner Wahl den Anbieter und den Verarbeitungsort. Die Übermittlung erfolgt auf seine Weisung (§ 4 Abs. 4), und der Kunde stellt sicher, dass sie zulässig ist, auch wenn der Anbieter Daten außerhalb der EU verarbeitet.
(1) archmax unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anfragen betroffener Personen nach Kapitel III DSGVO zu beantworten. Wendet sich eine betroffene Person direkt an archmax, leitet archmax die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst, soweit der Kunde nichts anderes anweist.
(2) archmax unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen der Aufsichtsbehörde.
(3) Für Unterstützungsleistungen, die über die Funktionen von archmax Cloud hinausgehen und nicht auf einem Verstoß von archmax beruhen, kann archmax eine angemessene Vergütung nach Aufwand verlangen.
archmax meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden, nachdem archmax davon Kenntnis erlangt hat. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben reicht archmax nach, sobald sie vorliegen. archmax ergreift unverzüglich die erforderlichen Maßnahmen, um die Verletzung zu beheben und mögliche nachteilige Folgen zu mindern.
(1) archmax löscht alle personenbezogenen Daten des Kunden 30 Tage nach Ende des Vertrags endgültig, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Pflicht zur Speicherung besteht. Bis dahin kann der Kunde seine Daten exportieren oder ihre Herausgabe verlangen (§ 9 der Nutzungsbedingungen).
(2) Während der Vertragslaufzeit löscht archmax Daten auf Weisung des Kunden.
(3) Gelöschte Daten können noch bis zu 90 Tage in Datensicherungen enthalten sein, bis diese turnusmäßig gelöscht werden. Datensicherungen dienen ausschließlich der Wiederherstellung nach Störungen; muss archmax eine Sicherung wiederherstellen, löscht archmax darin enthaltene, bereits gelöschte Daten erneut.
(4) Unterlagen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen, darf archmax entsprechend den gesetzlichen Aufbewahrungsfristen über das Vertragsende hinaus aufbewahren.
(1) archmax stellt dem Kunden auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO zur Verfügung.
(2) Der Kunde oder ein von ihm beauftragter Prüfer, der zur Verschwiegenheit verpflichtet und kein Wettbewerber von archmax ist, kann Überprüfungen einschließlich Inspektionen durchführen. Überprüfungen sind mit angemessener Frist, in der Regel mindestens 30 Tage, anzukündigen, finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. archmax kann den Nachweis vorrangig durch geeignete Unterlagen, Zertifikate oder Prüfberichte erbringen, auch solche der Unterauftragsverarbeiter. Vor-Ort-Prüfungen finden höchstens einmal im Kalenderjahr statt, es sei denn, es besteht ein konkreter Anlass, etwa eine Verletzung des Schutzes personenbezogener Daten oder eine Anordnung der Aufsichtsbehörde.
(3) Der Kunde trägt die Kosten einer Überprüfung. Für den eigenen Aufwand kann archmax eine angemessene Vergütung verlangen, es sei denn, die Überprüfung ergibt einen wesentlichen Verstoß von archmax gegen diese Vereinbarung.
Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis zwischen den Parteien gelten die Haftungsregelungen der Nutzungsbedingungen.
(1) Für Änderungen dieser Vereinbarung gilt § 15 der Nutzungsbedingungen.
(2) Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
(3) Es gilt das Recht der Bundesrepublik Deutschland. Für den Gerichtsstand gilt § 17 Abs. 4 der Nutzungsbedingungen. Maßgeblich ist die deutsche Fassung dieser Vereinbarung.
Art und Zweck der Verarbeitung: Bereitstellung von archmax Cloud, insbesondere Speicherung, Versionierung und Ausführung von Agenten und Workflows, Übermittlung von Eingaben und Dateien an die vom Kunden angebundenen Sprachmodelle, Verarbeitung durch den Design-Agenten, Abruf von Daten aus verbundenen Drittdiensten und Übermittlung an diese nach Konfiguration des Kunden, Bereitstellung von Chat-, Webhook- und MCP-Endpunkten, Protokollierung von Sitzungen und Entscheidungen sowie Fehleranalyse und Support.
Arten personenbezogener Daten:
Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeitet archmax nur, wenn der Kunde sie in archmax Cloud einbringt. Der Kunde ist dafür verantwortlich, dass hierfür die rechtlichen Voraussetzungen vorliegen, und führt erforderliche Datenschutz-Folgenabschätzungen durch.
Kategorien betroffener Personen:
Dauer der Verarbeitung: für die Dauer des Vertrags; nach Vertragsende gilt § 8.
archmax betreibt keine eigenen Rechenzentren. Die physische Sicherheit der Rechenzentren gewährleisten die in Anlage 3 genannten Anbieter nach ihren Sicherheitsstandards. Darüber hinaus trifft archmax insbesondere folgende Maßnahmen.
Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO):
Integrität (Art. 32 Abs. 1 lit. b DSGVO):
Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO):
Regelmäßige Überprüfung (Art. 32 Abs. 1 lit. d DSGVO):
archmax setzt folgende Unterauftragsverarbeiter ein:
Die Anmeldung und Verwaltung der Benutzerkonten über Auth0 verantwortet archmax selbst (siehe Datenschutzerklärung). Auth0 ist daher kein Unterauftragsverarbeiter im Sinne dieser Vereinbarung. Endpunkte mit Anmeldung prüfen die Token des Identitätsanbieters, den der Kunde dafür festlegt.