TL;DR: AVV-Template-Service nimmt Customer-Daten + Auftragsverhältnis-Beschreibung als Input, generiert einen DSGVO-Art-28-konformen AVV mit Standard-TOMs + Branchen-Erweiterungen (Anwalt §43a, Arzt §203, Steuerberater §57). PDF + DOCX + signaturfertig in 2h. Kosten: 199 € statt 1.500 €+.
Was ein AVV nach DSGVO Art. 28 enthalten muss
- Gegenstand der Verarbeitung: was wird verarbeitet (Mandanten-Daten, Patient-Daten, Mitarbeiter-Daten etc.)
- Dauer der Verarbeitung: zeitlich befristet oder unbefristet
- Art und Zweck: konkrete Verarbeitungs-Tätigkeit (Triage, Audit, Routing)
- Art der personenbezogenen Daten: Stamm-, Kontakt-, Mandatsdaten, ggf. besondere Kategorien Art. 9 DSGVO
- Kategorien betroffener Personen: Mandanten, Patienten, Mitarbeiter, Bewerber etc.
- Pflichten + Rechte des Verantwortlichen: Anweisungs-Recht, Audit-Recht, Sub-AV-Zustimmung
- Sub-AV-Liste: Hosting (Serverstandort Deutschland), Backup-Provider, Optional Cloud-LLM-Provider
- TOMs (Technisch-Organisatorische Maßnahmen): Verschlüsselung, Pseudonymisierung, Zugriffs-Beschränkungen, Prüfprotokolle, Backup-Strategien
- Recht auf Audit: Customer kann jederzeit Audit anstoßen mit angemessener Frist
- Datenrückgabe + Löschung: bei Vertrags-Ende, Format, Frist
Branchen-Erweiterungen (TOMs)
Standard-TOMs reichen für KMU-Mittelstand. Berufsgeheimnis-Branchen brauchen erweiterte TOMs:
Anwalt §43a BRAO
- On-Premise-Option zwingend möglich (Customer-eigene Hardware)
- Dual-RTX-4090-Server in Customer-Rack als Default
- VPN-Tunneling für alle externen API-Calls (kein direkter Internet-Zugriff)
- Daten-Lokalisierung Deutschland + EU (kein US-Cloud)
- Quarterly Pen-Test mit Customer-Bericht
Arzt §203 StGB
- BSI-Grundschutz-konform für Praxis-Software
- GDT 3.0 Format für PVS-Integration (RED Medical, CompuGroup, Tomedo)
- Pseudonymisierung Patient-IDs im Prüfprotokoll
- Diagnose-Daten-Zugriff nur mit Patient-Einwilligung (DSGVO-Art-9)
Steuerberater §57 StBerG
- DATEV-zertifizierter Daten-Austausch
- Mandanten-Geheimnis explizit in Auftragsbeschreibung
- Eingeschränkter Sub-AV-Kreis (kein US-Cloud-Routing für Mandanten-Mail)
Reha-/Klinik §203 StGB
- KV-Modernisierungs-konforme Setup-Doku
- Pre-LLM Suizid-/Notfall-Filter-TOM dokumentiert
- Kein Diagnose-Daten-Routing zu Cloud ohne Schwärzung personenbezogener Daten
Was AVV-Template-Service NICHT macht
- Anwaltliche Beratung, wir generieren Templates, kein Mandats-Verhältnis
- Branchen-spezifische Extra-Klauseln außerhalb der vorgesehenen TOMs (das macht der Anwalt)
- EU AI-Act Conformity-Assessment (das ist DSGVO-KI-Audit-Suite)
- Internationale AVV-Varianten (Schweiz, US, UK), wir machen DSGVO-konformes deutsches Recht
Anwendungsfall: SaaS-Startup mit 5 Customers
- 5 Customers brauchen AVVs (verschiedene Branchen)
- Anwalts-Modell: 5 × 1.500 € = 7.500 € + 5 × 2 Wo = 10 Wo Latenz
- Mit dem AVV-Template-Service: 5 × 199 € = 995 € + 5 × 2 h = 10 h Latenz
- Ersparnis: 6.505 € + 9.5 Wochen Time-to-Market
Anwendung im DripBack-Onboarding
- Customer-Discovery 30 min: Daten-Kategorien, Branche, Sub-AV-Stack klären
- Der AVV-Template-Service erzeugt AVV-Draft mit Branchen-TOMs
- Customer-DSB (oder externer Berater) reviewed in 30-60 min
- Anpassungen iterativ (typisch 1-2 Runden)
- Signatur via DocuSign / qualifizierte E-Signatur (eIDAS-konform)
Förderung
AVV-Erstellung selbst ist nicht direkt förderfähig, ABER: ein Customer der DripBack-Setup beauftragt bekommt AVV inklusive im Pilot-Festpreis (kein Extra-Kosten). Das ist Teil des BAFA-/KV-Modernisierungs-Antrag-Volumens.