Terms

Nutzungsbedingungen

Diese Nutzungsbedingungen regeln die Nutzung der Plattform alluvo durch Geschäftskunden und eingeladene Beta-Teilnehmer.

Stand: September 2026

1. Geltungsbereich

Diese Nutzungsbedingungen gelten für die Nutzung der Website, der Plattform und der zugehörigen Dienste von alluvo. Anbieter ist die OpsAgent UG (haftungsbeschränkt), Clausewitzstr. 21, 42389 Wuppertal.

Das Angebot richtet sich ausschließlich an Unternehmer im Sinne von § 14 BGB sowie an Organisationen und professionelle Nutzer. Ein Angebot an Verbraucher erfolgt nicht.

2. Vertragsgegenstand

alluvo stellt eine Software-Plattform für Zusammenarbeit in der Mitarbeiterverwaltung bereit. Dazu können insbesondere Funktionen für Kommunikation, Einsatz- und Anfragekoordination, Dokumentation, Freigaben, Organisationsdaten, operative Steuerung und KI-gestützte Unterstützung gehören.

Der konkrete Leistungsumfang ergibt sich aus dem jeweils freigeschalteten Produktstand, der aktuellen Beta-Phase oder individuellen Vereinbarungen mit dem Kunden.

3. Registrierung und Zugang

Die Nutzung geschützter Bereiche setzt eine Registrierung oder Einladung voraus. Der Nutzer ist verpflichtet, bei der Registrierung vollständige und zutreffende Angaben zu machen und diese aktuell zu halten.

Zugangsdaten sind vertraulich zu behandeln. Der Nutzer trägt die Verantwortung für alle Aktivitäten, die über sein Konto erfolgen, soweit er diese zu vertreten hat.

4. Beta-Status

alluvo kann ganz oder teilweise als Early Private Beta bereitgestellt werden. In dieser Phase können Funktionen geändert, eingeschränkt, erweitert oder entfernt werden. Es besteht kein Anspruch auf einen bestimmten Funktionsumfang oder auf unterbrechungsfreie Verfügbarkeit.

Rückmeldungen aus der Nutzung der Beta können zur Weiterentwicklung des Produkts verwendet werden. Rechte des Nutzers an seinen Inhalten und Daten bleiben hiervon unberührt.

5. Pflichten der Nutzer

Nutzer dürfen alluvo nur im Rahmen der geltenden Gesetze, dieser Nutzungsbedingungen und etwaiger vertraglicher Vereinbarungen verwenden.

• keine rechtswidrigen, irreführenden oder missbräuchlichen Inhalte einstellen,
• keine unberechtigten Zugriffe auf Daten oder Konten vornehmen,
• nur solche Daten verarbeiten, für deren Nutzung eine Rechtsgrundlage besteht,
• angemessene interne Berechtigungs- und Sicherheitsstrukturen einhalten.

6. Preise und Vergütung

Soweit nicht ausdrücklich anders vereinbart, erfolgt der Zugang im Rahmen der Early Private Beta unentgeltlich oder auf Basis individueller Vereinbarungen. Für spätere kostenpflichtige Leistungen, Module oder Zusatzfunktionen gelten die jeweils kommunizierten Preise oder vertraglich vereinbarten Konditionen.

7. Verfügbarkeit und Änderungen

Wir bemühen uns um eine hohe Verfügbarkeit der Plattform. Eine jederzeit unterbrechungsfreie Nutzung kann jedoch technisch nicht garantiert werden.

Wir sind berechtigt, Funktionen, Benutzeroberflächen, technische Strukturen und Prozesse anzupassen, soweit dies der Weiterentwicklung, Sicherheit, Stabilität oder gesetzlichen Anforderungen dient und dem Nutzer zumutbar ist.

8. Datenschutz und Auftragsverarbeitung

Die Verarbeitung personenbezogener Daten richtet sich nach unserer Datenschutzerklärung und, soweit einschlägig, nach gesonderten Vereinbarungen zur Auftragsverarbeitung.

Soweit Kunden personenbezogene Daten Dritter in alluvo verarbeiten, sind sie für die Rechtmäßigkeit dieser Verarbeitung in ihrem Verantwortungsbereich verantwortlich.

Die Verarbeitung personenbezogener Daten im Auftrag erfolgt auf Grundlage des Auftragsverarbeitungsvertrags in Anlage 1, der Bestandteil dieser Nutzungsbedingungen ist. Eine gesonderte Unterzeichnung ist nicht erforderlich; Art. 28 Abs. 9 DSGVO lässt das elektronische Format ausdrücklich zu.

Wer den Auftragsverarbeitungsvertrag samt Anlage 2 (technische und organisatorische Maßnahmen) und Anlage 3 (Subprozessoren) für seine Verfahrensdokumentation ablegen möchte, findet ihn hier als geschlossenes Dokument: Auftragsverarbeitungsvertrag als PDF.

9. Haftung

Wir haften unbeschränkt bei Vorsatz, grober Fahrlässigkeit sowie bei Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit.

Bei leicht fahrlässiger Verletzung wesentlicher Vertragspflichten haften wir nur auf den vertragstypischen, vorhersehbaren Schaden. Im Übrigen ist die Haftung, soweit gesetzlich zulässig, ausgeschlossen.

Für Ausfälle oder Einschränkungen von Drittanbietern, Schnittstellen oder externen Diensten, auf die wir keinen Einfluss haben, übernehmen wir keine Gewähr.

10. Laufzeit und Beendigung

Soweit keine feste Laufzeit vereinbart wurde, läuft das Nutzungsverhältnis auf unbestimmte Zeit und kann von beiden Seiten mit angemessener Frist beendet werden.

Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund liegt für uns insbesondere vor, wenn der Nutzer gegen wesentliche Pflichten dieser Bedingungen verstößt.

11. Schlussbestimmungen

Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts. Gerichtsstand, soweit gesetzlich zulässig, ist Wuppertal.

Sollten einzelne Bestimmungen dieser Nutzungsbedingungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Wir behalten uns vor, diese Nutzungsbedingungen zu ändern, soweit dies aus sachlichem Grund erforderlich ist. Über wesentliche Änderungen werden wir Nutzer rechtzeitig informieren.

Anlage 1: Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Fassung 1.0 — Stand: September 2026

Diese Anlage regelt die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO. Auftraggeber und datenschutzrechtlich Verantwortlicher ist der Kunde, Auftragsverarbeiter ist die OpsAgent UG (haftungsbeschränkt) als Betreiberin von alluvo. Die Regelungen dieser Anlage gehen den übrigen Bestimmungen dieser Nutzungsbedingungen vor, soweit sie die Auftragsverarbeitung betreffen.

Die Anlage kommt mit dem Nutzungsverhältnis zustande und bedarf keiner gesonderten Unterzeichnung; Art. 28 Abs. 9 DSGVO lässt das elektronische Format ausdrücklich zu. Eine unterschriftsfähige Fassung stellen wir auf Anfrage unter gdpr@alluvo.ai zur Verfügung.

1. Gegenstand und Dauer der Verarbeitung

Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb der Plattform alluvo für den Verantwortlichen. Die Verarbeitung beginnt mit der Bereitstellung des Zugangs und endet mit der Beendigung des Nutzungsverhältnisses; die Pflichten zur Löschung und Rückgabe nach Ziffer 10 bleiben davon unberührt.

alluvo ist eine mandantenfähige Software, mit der der Verantwortliche die Verwaltung seiner Beschäftigten und seines operativen Geschäfts abbildet. Der Leistungsumfang umfasst insbesondere:

• Führung von Stamm-, Vertrags- und Beschäftigungsdaten der Mitarbeitenden einschließlich der zugehörigen Dokumente;
• Einsatz-, Schicht- und Abwesenheitsplanung sowie Erfassung und Freigabe von Arbeitszeiten;
• Verwaltung von Kunden, Einsatzbetrieben und Ansprechpartnern einschließlich Rahmen- und Einzelverträgen;
• Bewerbermanagement und Besetzung offener Positionen;
• Kommunikation mit Mitarbeitenden, Bewerbern und Kunden über die in der Plattform angebundenen Kanäle;
• Erstellung, Versand und Ablage von Dokumenten sowie Auswertungen zum operativen Geschäft;
• KI-gestützte Assistenz zu allen vorgenannten Bereichen nach Maßgabe der Ziffer 2.

Die Laufzeit dieser Anlage entspricht der Laufzeit des Nutzungsverhältnisses. Eine gesonderte Kündigung dieser Anlage ist ausgeschlossen, solange das Nutzungsverhältnis fortbesteht; ohne wirksame Vereinbarung zur Auftragsverarbeitung dürfte die Plattform nicht betrieben werden.

2. Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zu dem Zweck, die vertraglich vereinbarten Leistungen zu erbringen. Eine Verarbeitung zu eigenen Zwecken findet nicht statt.

Art der Verarbeitungsvorgänge. Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Verändern, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung an die vom Verantwortlichen bestimmten Empfänger, Verknüpfen, Einschränken, Löschen und Vernichten.

Zwecke je Funktionsbereich.

• Mitarbeiterverwaltung — Führung des digitalen Personalstamms, Abbildung von Beschäftigungsverhältnissen, Verwaltung zugehöriger Dokumente und Nachweise.
• Einsatz- und Zeitwirtschaft — Planung von Einsätzen und Schichten, Erfassung und Freigabe von Arbeitszeiten, Verwaltung von Abwesenheiten.
• Kunden- und Auftragsverwaltung — Pflege von Kunden und Einsatzbetrieben, Anbahnung und Abwicklung von Aufträgen, Vertrags- und Abrechnungsvorbereitung.
• Bewerbermanagement — Erfassung und Bearbeitung von Bewerbungen, Abgleich von Qualifikationen mit offenen Positionen, Kommunikation im Bewerbungsverfahren.
• Kommunikation — Versand und Empfang von Nachrichten über E-Mail, Telefonie und die angebundenen Nachrichtenkanäle, Dokumentation des Schriftverkehrs.
• Dokumentation und Auswertung — Erzeugung von Dokumenten, Protokollierung von Vorgängen, Auswertungen zum operativen Geschäft des Verantwortlichen.
• Betrieb und Sicherheit — Bereitstellung, Wartung, Fehleranalyse, Sicherung und Schutz der Plattform.

Umfang der KI-gestützten Verarbeitung. Zur Unterstützung der vorgenannten Zwecke setzt der Auftragsverarbeiter Sprachmodelle ein — insbesondere zum Auslesen und Einordnen von Dokumenten, zum Entwurf von Texten und Antworten, zur Überführung von Sprache in Text, zur Suche über Vektor-Einbettungen und zur Erarbeitung von Vorschlägen für Planung und Besetzung. Die dabei eingesetzten Anbieter sind in Anlage 3 benannt.

Für diese Verarbeitung gilt: Die übermittelten Inhalte werden ausschließlich zur Erbringung der jeweiligen Leistung verarbeitet und nicht zum Training der Modelle der eingesetzten Anbieter verwendet. Eine automatisierte Entscheidungsfindung im Einzelfall einschließlich Profiling nach Art. 22 DSGVO findet nicht statt; die Ergebnisse der KI-gestützten Verarbeitung sind Vorschläge, über deren Umsetzung der Verantwortliche entscheidet.

3. Kategorien personenbezogener Daten

Gegenstand der Verarbeitung sind die folgenden Datenkategorien, soweit der Verantwortliche sie in der Plattform führt:

• Stammdaten — Name, Geburtsdatum und -ort, Staatsangehörigkeit, Anschrift, Geschlecht, Lichtbild, Personalnummer.
• Kontaktdaten — geschäftliche und private Telefonnummern, E-Mail-Adressen, Angaben zu Notfallkontakten.
• Beschäftigungs- und Vertragsdaten — Eintritts- und Austrittsdatum, Funktion und Position, Einsatzort, Arbeitszeitmodell, Befristungen, Vergütungs- und Zuschlagsdaten, Bankverbindung, Sozialversicherungs- und Steuermerkmale.
• Qualifikationsdaten — Berufsabschlüsse, Erlaubnisse und Fahrerlaubnisse, Fort- und Weiterbildungen, Unterweisungen, Berufserfahrung.
• Einsatz-, Zeit- und Abwesenheitsdaten — Schicht- und Einsatzpläne, erfasste und freigegebene Arbeitszeiten, Urlaub, Freistellungen und sonstige Abwesenheiten einschließlich ihrer Art.
• Bewerbungsdaten — Bewerbungsunterlagen, Lebenslaufangaben, Verfahrensstand und Vermerke zum Bewerbungsverfahren.
• Kommunikationsinhalte und Dokumente — E-Mails, Nachrichten, Gesprächsnotizen und -aufzeichnungen, hochgeladene und erzeugte Dokumente, Vertragsunterlagen und Bescheinigungen.
• Nutzungs- und Protokolldaten — Benutzerkonten, Rollen und Berechtigungen, Anmeldedaten, Protokolle über Zugriffe und Änderungen.
• Vertrags- und Abrechnungsdaten des Verantwortlichen — Ansprechpartner, Konditionen, Rechnungs- und Zahlungsdaten.
• Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Die Plattform verarbeitet Gesundheitsdaten, soweit der Verantwortliche Arbeitsunfähigkeitszeiten führt oder Arbeitsunfähigkeitsbescheinigungen als Dokument hinterlegt. Ferner können Angaben zu einer Schwerbehinderung anfallen, soweit der Verantwortliche sie zur Erfüllung seiner arbeitsrechtlichen Pflichten führt. Für diese Daten gelten die verschärften Maßnahmen nach Anlage 2, Ziffer 8.

4. Kategorien betroffener Personen

• Beschäftigte des Verantwortlichen, einschließlich überlassener Mitarbeitender;
• Bewerberinnen und Bewerber;
• Ansprechpartner bei Kunden, Einsatzbetrieben und Interessenten;
• Ansprechpartner bei Lieferanten und sonstigen Geschäftspartnern;
• Benutzer der Plattform auf Seiten des Verantwortlichen;
• weitere Personen, deren Daten der Verantwortliche im Rahmen seines Geschäfts in der Plattform führt, etwa Notfallkontakte von Beschäftigten.

5. Weisungsbindung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich der Übermittlung in Drittländern, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das jeweilige Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Weisungen erfolgen in Textform. Die Nutzung der Plattform durch den Verantwortlichen und die von ihm vorgenommenen Einstellungen gelten als Weisung im Rahmen des vereinbarten Leistungsumfangs. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen geltendes Datenschutzrecht verstößt, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen.

6. Vertraulichkeit

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

Zugriff auf personenbezogene Daten erhalten nur Personen, die diesen Zugriff zur Erfüllung ihrer Aufgaben benötigen.

7. Sicherheit der Verarbeitung

Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Maßnahmen unterliegen dem technischen Fortschritt; der Auftragsverarbeiter darf sie anpassen, solange das vereinbarte Schutzniveau nicht unterschritten wird. Die Maßnahmen sind in Anlage 2 beschrieben.

8. Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.

Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf ein Datenschutzniveau, das dieser Anlage entspricht, und bleibt gegenüber dem Verantwortlichen für dessen Leistungen verantwortlich.

Beabsichtigt der Auftragsverarbeiter, einen Unterauftragsverarbeiter hinzuzuziehen oder zu ersetzen, informiert er den Verantwortlichen nach Maßgabe des in Anlage 3 beschriebenen Verfahrens vor der Änderung in Textform. Der Verantwortliche kann der Änderung innerhalb der dort genannten Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Lässt sich der Widerspruch nicht durch eine einvernehmliche Lösung ausräumen, steht dem Verantwortlichen ein Sonderkündigungsrecht für die betroffenen Leistungen zu.

9. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu beantworten. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter.

Er unterstützt den Verantwortlichen darüber hinaus bei der Einhaltung der Pflichten nach den Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei Datenschutz-Folgenabschätzungen und bei vorherigen Konsultationen mit der Aufsichtsbehörde — jeweils unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich nach Bekanntwerden, spätestens jedoch innerhalb von 48 Stunden, und stellt die zur Meldung nach Art. 33 DSGVO erforderlichen Informationen zur Verfügung.

10. Löschung und Rückgabe

Nach Abschluss der Leistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern nicht eine gesetzliche Verpflichtung zur Speicherung besteht. Vorhandene Kopien werden gelöscht, soweit dieselbe Ausnahme nicht greift.

Vor der endgültigen Löschung erhält der Verantwortliche für einen angemessenen Zeitraum die Möglichkeit, seine Daten in einem gängigen Format zu exportieren.

11. Nachweise und Überprüfungen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen.

Der Nachweis kann durch aktuelle Zertifizierungen, Prüfberichte anerkannter Stellen oder eine geeignete Selbstauskunft erbracht werden. Überprüfungen vor Ort erfolgen nach rechtzeitiger Ankündigung, während der üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebsablaufs.

12. Rangfolge

Bei Widersprüchen zwischen dieser Anlage und den übrigen Bestimmungen dieser Nutzungsbedingungen gehen die Regelungen dieser Anlage vor, soweit sie die Verarbeitung personenbezogener Daten im Auftrag betreffen. Im Übrigen bleiben die Nutzungsbedingungen unberührt.

Anlage 2: Technische und organisatorische Maßnahmen (TOMs)

Fassung 1.0 — Stand: September 2026

Diese Anlage beschreibt die Maßnahmen nach Art. 32 DSGVO, mit denen der Auftragsverarbeiter ein dem Risiko angemessenes Schutzniveau sicherstellt.

1. Verschlüsselung

Die Übertragung zwischen Endgerät und Plattform erfolgt ausschließlich über transportverschlüsselte Verbindungen nach dem Stand der Technik (TLS). Unverschlüsselte Aufrufe werden auf die verschlüsselte Verbindung umgeleitet.

Datenbanken, Objektspeicher und Sicherungen werden im Ruhezustand verschlüsselt vorgehalten. Zugangsdaten zu angebundenen Diensten sowie Sicherheitsmerkmale der Benutzer werden nicht im Klartext gespeichert; Passwörter werden ausschließlich als Streuwert nach einem anerkannten Verfahren abgelegt.

2. Zugangs- und Zugriffskontrolle

Der Zugang zur Plattform setzt ein persönliches Benutzerkonto voraus. Ergänzend steht eine Anmeldung in zwei Schritten über zeitbasierte Einmalkennwörter zur Verfügung, die der Verantwortliche für seine Benutzer verpflichtend machen kann.

Der Zugriff auf Daten wird über ein Rollen- und Rechtekonzept gesteuert. Berechtigungen werden je Rolle vergeben und auf das für die jeweilige Aufgabe Erforderliche begrenzt. Der Verantwortliche vergibt und entzieht die Rollen seiner Benutzer selbst.

Administrative Zugriffe des Auftragsverarbeiters auf die Produktionsumgebung sind auf einen namentlich bekannten Personenkreis beschränkt, erfolgen über persönliche Zugänge und werden protokolliert.

3. Protokollierung

Änderungen an personenbezogenen Datensätzen werden revisionssicher protokolliert. Das Protokoll hält fest, welcher Benutzer wann welchen Wert geändert hat, und speichert dazu den Zeitpunkt, die aufrufende Adresse und den verwendeten Zugriffsweg. Die Protokolle sind für den Verantwortlichen einsehbar.

4. Trennung der Mandantendaten

Jeder Mandant erhält eine eigene Datenbank. Die Trennung erfolgt damit nicht allein über ein Merkmal innerhalb gemeinsam genutzter Tabellen, sondern auf Ebene des Datenbestands selbst; ein Zugriff über Mandantengrenzen hinweg ist konstruktiv ausgeschlossen. Auch abgeleitete Speicher wie Zwischenspeicher und Warteschlangen werden je Mandant getrennt geführt.

Test- und Entwicklungsumgebungen sind von der Produktionsumgebung getrennt. Echte personenbezogene Daten werden dort nicht eingesetzt.

5. Sicherung und Wiederherstellbarkeit

Der Datenbestand wird automatisiert und regelmäßig gesichert. Die Sicherungen werden verschlüsselt und für einen definierten Zeitraum aufbewahrt; die Wiederherstellung wird verfahrensmäßig beschrieben und überprüft. Sicherungen unterliegen denselben Zugriffsbeschränkungen wie der Produktivdatenbestand.

6. Verfügbarkeit und Belastbarkeit

Betrieb und Speicherung erfolgen in einem Rechenzentrum innerhalb der Bundesrepublik Deutschland (Frankfurt am Main). Der Zutritt zu den Rechenzentren obliegt dem Hosting-Anbieter, der hierfür nach anerkannten Normen zertifiziert ist; entsprechende Prüfberichte werden auf Anfrage nachgewiesen.

Verfügbarkeit und Fehlerzustände der Plattform werden laufend überwacht. Störungen werden nach einem festgelegten Verfahren bearbeitet; sicherheitsrelevante Aktualisierungen werden zeitnah eingespielt.

7. Verfahren zur Überprüfung und Bewertung

Die Wirksamkeit der Maßnahmen wird regelmäßig sowie anlassbezogen überprüft und bewertet, insbesondere bei wesentlichen Änderungen an der Plattform, bei Aufnahme eines neuen Unterauftragsverarbeiters und nach einem sicherheitsrelevanten Vorfall. Änderungen an den Maßnahmen dürfen das vereinbarte Schutzniveau nicht unterschreiten.

8. Zusätzliche Maßnahmen für besondere Kategorien

Für Daten nach Art. 9 DSGVO — insbesondere Arbeitsunfähigkeitszeiten und hinterlegte Bescheinigungen — gelten ergänzend:

• Der Zugriff ist auf die Rollen beschränkt, die ihn zur Erfüllung ihrer Aufgaben benötigen; er wird nicht standardmäßig mit einer allgemeinen Benutzerrolle vergeben.
• Zugriffe auf hinterlegte Bescheinigungen werden gesondert protokolliert.
• Solche Dokumente werden nicht an KI-Anbieter übermittelt, soweit die angeforderte Funktion dies nicht zwingend erfordert und der Verantwortliche sie nicht ausgelöst hat.

Anlage 3: Subprozessoren

Fassung 1.0 — Stand: September 2026

Diese Anlage führt die eingesetzten Unterauftragsverarbeiter auf. Sie wird laufend gepflegt und bildet den jeweils aktuellen Stand ab.

1. Eingesetzte Unterauftragsverarbeiter

Stripe verarbeitet Zahlungsdaten teilweise als eigenständig Verantwortlicher nach den für Zahlungsdienstleister geltenden aufsichtsrechtlichen Vorgaben. Insoweit findet keine Auftragsverarbeitung statt.

2. Schnittstellen zu Diensten des Verantwortlichen

alluvo bietet Schnittstellen zu Diensten Dritter — etwa zu Kalendern, Postfächern, Nachrichtenkanälen, Kundenverwaltungen oder Buchhaltungssystemen. Stellt der Verantwortliche eine solche Verbindung her, übermittelt der Auftragsverarbeiter die für die aktivierte Funktion erforderlichen Daten an diesen Dienst. Ohne die Verbindung findet keine Übermittlung statt; mit ihrer Trennung endet sie.

Der Anbieter eines so verbundenen Dienstes ist kein Unterauftragsverarbeiter im Sinne dieser Anlage. Er verarbeitet nicht im Auftrag des Auftragsverarbeiters, sondern auf Weisung des Verantwortlichen — entweder als dessen eigener Auftragsverarbeiter oder in eigener Verantwortung. Die Übermittlung erfolgt als Offenlegung an einen vom Verantwortlichen bestimmten Empfänger nach Ziffer 5 der Anlage 1.

Daraus folgt die Aufgabenteilung: Der Verantwortliche prüft vor der Aktivierung, welche Berechtigungen er erteilt, sorgt für die Rechtsgrundlage der Übermittlung und schließt, soweit erforderlich, eine eigene Vereinbarung nach Art. 28 DSGVO mit dem Anbieter. Der Auftragsverarbeiter übermittelt nur, was die aktivierte Funktion verlangt, hält die bestehenden Verbindungen in den Einstellungen der Plattform einsehbar und beendet die Übermittlung, sobald eine Verbindung getrennt wird. Für die Verarbeitung durch den verbundenen Dienst ist er nicht verantwortlich.

Diese Dienste sind deshalb bewusst nicht in Ziffer 1 aufgeführt. Ihre Zahl ist offen und ändert sich mit jeder Verbindung, die ein Verantwortlicher herstellt — eine Liste wäre am Tag ihrer Veröffentlichung unvollständig und würde eine Verantwortung behaupten, die der Auftragsverarbeiter nicht trägt.

3. Übermittlung in Drittländer

Soweit ein Unterauftragsverarbeiter personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet, stützt der Auftragsverarbeiter die Übermittlung auf die Instrumente des Kapitels V der DSGVO: auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit der Empfänger dort zertifiziert ist, andernfalls auf die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, ergänzt um zusätzliche Schutzmaßnahmen wie Transport- und Speicherverschlüsselung.

Welches Instrument für welchen Unterauftragsverarbeiter gilt, weist der Auftragsverarbeiter dem Verantwortlichen auf Anfrage unter gdpr@alluvo.ai nach.

4. Verfahren bei Änderungen

Der Auftragsverarbeiter informiert den Verantwortlichen über die Aufnahme oder den Wechsel eines Unterauftragsverarbeiters vor der Änderung in Textform. Es gilt das folgende Verfahren:

• Weg der Information. Per E-Mail an die vom Verantwortlichen im Konto hinterlegte Adresse für Datenschutzangelegenheiten, ergänzt um einen Hinweis in der Plattform. Der Verantwortliche hält diese Adresse aktuell.
• Frist bis zum Wirksamwerden. Die Änderung wird frühestens 30 Tage nach der Information wirksam.
• Widerspruch. Der Verantwortliche kann der Änderung innerhalb von 14 Tagen nach der Information in Textform aus wichtigem datenschutzrechtlichem Grund widersprechen.
• Folgen eines Widerspruchs. Die Parteien suchen zunächst eine einvernehmliche Lösung, etwa durch zusätzliche Schutzmaßnahmen oder den Verzicht auf die betroffene Funktion. Kommt sie innerhalb von 30 Tagen nicht zustande, steht dem Verantwortlichen ein Sonderkündigungsrecht für die betroffenen Leistungen zu. Bis zur Klärung setzt der Auftragsverarbeiter den beanstandeten Unterauftragsverarbeiter für den Verantwortlichen nicht ein, soweit ihm das ohne Aufgabe der Leistung möglich ist.

Ein Wechsel, der zur Abwehr einer unmittelbaren Gefahr für die Sicherheit oder die Verfügbarkeit der Plattform unaufschiebbar ist, darf sofort erfolgen. Der Auftragsverarbeiter informiert den Verantwortlichen in diesem Fall unverzüglich nachträglich; das Widerspruchsrecht bleibt unberührt.