Auftrags­verarbeitungs­vereinbarung

gemäß Art. 28 DSGVO zur Nutzung der Zenesis-Plattform

Stand Oktober 2026, Fassung für den elektronischen Vertragsschluss

Vertragsparteien

Verantwortlicher:Der Kunde, der die Zenesis-Plattform auf Grundlage des Hauptvertrags nutzt. Seine Identität ergibt sich aus den bei Vertragsschluss übermittelten Bestell- und Kontodaten (Firma, Anschrift, Ansprechpartner, dienstliche E-Mail-Adresse), die im Kundenkonto hinterlegt sind.

Auftragsverarbeiter:Zenesis GmbH, Strümpellstraße 4-8, 04289 Leipzig, Deutschland. Amtsgericht Leipzig, HRB 39645. Geschäftsführer: Gilles Dostert, Gábor Süli. Kontakt in Datenschutzangelegenheiten: datenschutz@zenesis-planung.de.

Diese Vereinbarung ist Anlage 1 der Allgemeinen Geschäftsbedingungen der Zenesis GmbH. Sie wird mit der Annahme der Allgemeinen Geschäftsbedingungen in elektronischer Form geschlossen; Art. 28 Abs. 9 DSGVO lässt das elektronische Format ausdrücklich genügen. Einer gesonderten Unterzeichnung und einer Eintragung von Angaben durch den Verantwortlichen bedarf es nicht. Zenesis dokumentiert Zeitpunkt und Fassung der Zustimmung und stellt den Nachweis auf Anforderung bereit.

Der Verantwortliche nutzt die Zenesis-Plattform auf Grundlage des zwischen den Parteien geschlossenen Vertrags über die Bereitstellung der Plattform als Software as a Service (nachfolgend „Hauptvertrag“). Zenesis verarbeitet dabei personenbezogene Daten im Auftrag des Verantwortlichen. Diese Vereinbarung konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien nach Art. 28 DSGVO.

§ 1 Gegenstand und Dauer

1.1 Gegenstand, Art, Zweck und Umfang der Verarbeitung, die Kategorien betroffener Personen und der verarbeiteten Daten sowie der Ort der Verarbeitung ergeben sich abschließend aus Anlage 1.

1.2 Diese Vereinbarung ist Anlage 1 der Allgemeinen Geschäftsbedingungen. Sie wird mit deren Annahme geschlossen und endet mit Beendigung des Hauptvertrags. Die Regelungen zu Löschung, Rückgabe, Vertraulichkeit und Nachweisen gelten über das Vertragsende hinaus fort.

1.3 Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag gehen die Regelungen dieser Vereinbarung für die Verarbeitung personenbezogener Daten vor. Im Übrigen bleibt der Hauptvertrag unberührt.

§ 2 Weisungsrecht des Verantwortlichen

2.1 Zenesis verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, eine Verarbeitung ist nach Unionsrecht oder dem Recht der Mitgliedstaaten vorgeschrieben. In diesem Fall teilt Zenesis dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das jeweilige Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

2.2 Weisungen erfolgen grundsätzlich in Textform. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

2.3 Zenesis informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach Auffassung von Zenesis gegen datenschutzrechtliche Vorschriften verstößt. Zenesis ist berechtigt, die Durchführung der betreffenden Weisung bis zur Bestätigung oder Änderung durch den Verantwortlichen auszusetzen.

2.4 Weisungsberechtigt auf Seiten des Verantwortlichen ist die Person, die im Administratorenportal der Plattform als Administrator des Kundenkontos hinterlegt ist. Sind dort mehrere Administratoren hinterlegt, ist jeder von ihnen weisungsberechtigt. Der Verantwortliche hält diese Angabe aktuell und trägt dafür Sorge, dass die hinterlegten Personen zur Erteilung von Weisungen befugt sind. Der Verantwortliche kann Zenesis abweichend hiervon jederzeit in Textform eine andere weisungsberechtigte Person benennen.

Weisungsempfänger auf Seiten von Zenesis ist: Gilles Dostert, datenschutz@zenesis-planung.de.

§ 3 Pflichten von Zenesis

3.1 Zenesis verarbeitet die Daten ausschließlich zu den in Anlage 1 genannten Zwecken und nicht zu eigenen Zwecken.

3.2 Zenesis verpflichtet alle zur Verarbeitung befugten Personen schriftlich zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

3.3 Zenesis setzt die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO um und überprüft diese mindestens jährlich sowie anlassbezogen.

3.4 Zenesis unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Erfüllung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und der Meldung von Datenschutzverletzungen.

3.5 Zenesis führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und stellt dem Verantwortlichen die ihn betreffenden Angaben auf Anforderung zur Verfügung.

3.6 Zenesis benennt Gilles Dostert als datenschutzrechtlichen Ansprechpartner, erreichbar unter datenschutz@zenesis-planung.de. Eine Pflicht zur Benennung eines Datenschutzbeauftragten nach Art. 37 DSGVO besteht derzeit nicht.

§ 4 Rechte betroffener Personen

4.1 Wendet sich eine betroffene Person unmittelbar an Zenesis, leitet Zenesis das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

4.2 Zenesis unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträgen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch nachzukommen.

4.3 Eine eigenständige Exportmöglichkeit steht dem Verantwortlichen innerhalb der Plattform nicht zur Verfügung. Zenesis stellt die vom Verantwortlichen eingestellten Projektdaten auf dessen ausdrückliche Anforderung in einem strukturierten, gängigen und maschinenlesbaren Format (JSON) bereit.

§ 5 Technische und organisatorische Maßnahmen

5.1 Die zum Zeitpunkt des Vertragsschlusses umgesetzten Maßnahmen sind in Anlage 2 beschrieben. Sie stellen einen dem Risiko angemessenen Schutz sicher.

5.2 Zenesis darf die Maßnahmen fortentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen sind dem Verantwortlichen mitzuteilen und zu dokumentieren.

5.3 Zenesis hat mit den in Anlage 3 genannten Hosting-Dienstleistern Auftragsverarbeitungsverträge nach Art. 28 DSGVO geschlossen. Die eingesetzten Rechenzentrumsbetreiber sind nach ISO/IEC 27001 zertifiziert. Die Verträge und Zertifikate sind dieser Vereinbarung nicht beigefügt; Zenesis legt sie dem Verantwortlichen auf Anforderung vor.

§ 6 Unterauftragsverarbeiter

6.1 Der Verantwortliche erteilt hiermit die allgemeine schriftliche Genehmigung zur Beauftragung der in Anlage 3 aufgeführten Unterauftragsverarbeiter.

6.2 Zenesis informiert den Verantwortlichen mindestens 14 Tage vor der Hinzuziehung eines weiteren oder dem Austausch eines bestehenden Unterauftragsverarbeiters in Textform. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen.

6.3 Widerspricht der Verantwortliche fristgerecht, suchen die Parteien zunächst eine einvernehmliche Lösung. Kommt eine solche nicht zustande und kann Zenesis die Leistung ohne den betreffenden Unterauftragsverarbeiter nicht erbringen, ist der Verantwortliche berechtigt, den Nutzungsvertrag mit Wirkung zum Zeitpunkt der geplanten Änderung außerordentlich zu kündigen.

6.4 Zenesis schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem im Wesentlichen dieselben Datenschutzpflichten auferlegt, wie sie in dieser Vereinbarung festgelegt sind. Zenesis haftet für das Verhalten seiner Unterauftragsverarbeiter wie für eigenes Handeln.

6.5 Nebenleistungen wie Telekommunikations-, Reinigungs- oder Wartungsleistungen ohne konkreten Bezug zu den verarbeiteten Daten gelten nicht als Unterauftragsverarbeitung.

§ 7 Verarbeitung in Drittländern

7.1 Derzeit findet keine Übermittlung personenbezogener Daten in ein Drittland statt. Die Verarbeitung erfolgt ausschließlich in der Bundesrepublik Deutschland; das gilt für das Produktivsystem, die Sicherungskopien und die KI-Komponente gleichermaßen.

7.2 Eine Übermittlung an externe KI-Dienste oder sonstige Empfänger außerhalb der in Anlage 3 genannten Unterauftragsverarbeiter findet nicht statt.

7.3 Ein Zugriff aus einem anderen Mitgliedstaat der Europäischen Union zu Wartungs- und Fehlerbehebungszwecken ist in Anlage 3 ausgewiesen.

7.4 Eine Übermittlung in ein Drittland setzt eine gesonderte, ausdrücklich unterzeichnete Zusatzvereinbarung zwischen den Parteien sowie eine Grundlage nach Kapitel V DSGVO voraus. Ohne eine solche Zusatzvereinbarung findet keine Übermittlung in ein Drittland statt.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

8.1 Zenesis meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, in Textform.

8.2 Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmaßnahmen.

8.3 Zenesis dokumentiert alle Vorfälle und unterstützt den Verantwortlichen bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

§ 9 Löschung und Rückgabe

9.1 Nach Beendigung des Hauptvertrags gibt Zenesis nach Wahl des Verantwortlichen sämtliche personenbezogenen Daten zurück oder löscht sie. Die Rückgabe erfolgt auf Anforderung des Verantwortlichen durch Bereitstellung der Daten im JSON-Format nach Maßgabe von § 4.3.

9.2 Um bei einer vorübergehenden Vertragsunterbrechung oder einer späteren Fortsetzung der Zusammenarbeit einen unwiederbringlichen Verlust von Projektdaten zu vermeiden, hält Zenesis die Daten nach Vertragsende für einen Zeitraum von zwölf Monaten weiter vor. Diese Aufbewahrung erfolgt auf Grundlage der mit dieser Vereinbarung dokumentierten Weisung des Verantwortlichen. Nach Ablauf der zwölf Monate werden die Daten ohne weitere Aufforderung gelöscht.

9.3 Verlangt der Verantwortliche die sofortige Löschung, entfällt die Aufbewahrung nach Ziffer 9.2. Das Verlangen kann bereits in der Kündigung oder jederzeit danach in Textform erklärt werden. Zenesis führt die Löschung in diesem Fall unverzüglich durch.

9.4 Die Löschung erfasst auch abgeleitete Repräsentationen der Daten, insbesondere die im Vektorindex der KI-Komponente gespeicherten Dokumenten-Abschnitte.

9.5 Daten in Sicherungskopien werden im Rahmen der regulären Backup-Zyklen nach Anlage 2 gelöscht, spätestens nach zwölf Monaten. Bis zur Löschung bleiben sie von der Verarbeitung ausgenommen.

9.6 Zenesis bestätigt die vollständige Löschung auf Anforderung in Textform.

§ 10 Nachweise und Kontrollrechte

10.1 Zenesis weist die Einhaltung der Pflichten aus dieser Vereinbarung auf Anforderung in geeigneter Weise nach, insbesondere durch Vorlage der Beschreibung der technischen und organisatorischen Maßnahmen und der Zertifizierungen der eingesetzten Rechenzentrumsbetreiber.

10.2 Der Verantwortliche ist berechtigt, sich nach vorheriger Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten von der Einhaltung dieser Vereinbarung zu überzeugen. Die Kontrolle darf den Betriebsablauf nicht unangemessen beeinträchtigen.

10.3 Kontrollen erfolgen nicht häufiger als einmal jährlich, es sei denn, es liegt ein konkreter Anlass vor, insbesondere eine Datenschutzverletzung.

10.4 Der Verantwortliche trägt die ihm durch eine Vor-Ort-Kontrolle entstehenden Kosten selbst. Der bei Zenesis anfallende Aufwand wird nach Aufwand vergütet, sofern die Kontrolle nicht durch ein Verschulden von Zenesis veranlasst ist.

§ 11 Einsatz KI-gestützter Systeme

11.1 Die Plattform enthält KI-gestützte Funktionen zur Unterstützung der Planungsarbeit. Sämtliche KI-Verarbeitung erfolgt ausschließlich auf dedizierter, von Zenesis angemieteter Infrastruktur bei sicherheitsgeprüften und nach ISO/IEC 27001 zertifizierten Anbietern in Deutschland (nachfolgend „Zenesis-Infrastruktur“). Eine Übermittlung von Inhalten an externe KI-Dienste findet nicht statt. Schnittstellen zu extern betriebenen Sprachmodellen bestehen nicht.

11.2 Zenesis betreibt hierfür ein selbst gehostetes Sprachmodell mit offen verfügbaren Modellgewichten auf der Zenesis-Infrastruktur. Das zum Zeitpunkt des Vertragsschlusses eingesetzte Modell einschließlich Hersteller, Version und Lizenz ist in Anlage 2 bezeichnet.

11.3 Zenesis ist berechtigt, das eingesetzte Modell jederzeit auszutauschen, zu aktualisieren oder mehrere Modelle parallel zu betreiben. Die Auswahl des Modells ist eine technische Ausgestaltung der Leistung und bedarf keiner Zustimmung des Verantwortlichen, solange die folgenden Bedingungen eingehalten werden:

• Der Betrieb erfolgt ausschließlich auf der Zenesis-Infrastruktur innerhalb der Bundesrepublik Deutschland.
• Eine Übermittlung von Inhalten an den Modellhersteller oder sonstige Dritte findet nicht statt.
• Ein Training oder Fine-Tuning mit Daten des Verantwortlichen findet nicht statt.
• Das nach dieser Vereinbarung geschuldete Schutzniveau wird nicht unterschritten.

11.4 Anlage 2 wird bei einem Modellwechsel entsprechend aktualisiert. Zenesis teilt dem Verantwortlichen den Wechsel im Rahmen der Mitteilung nach § 5.2 mit.

11.5 Der Einsatz eines extern betriebenen Sprachmodelldienstes gilt nicht als Modellwechsel im Sinne der Ziffer 11.3. Er setzt eine gesonderte, ausdrücklich unterzeichnete Zusatzvereinbarung zwischen den Parteien voraus und gilt zugleich als Hinzuziehung eines weiteren Unterauftragsverarbeiters nach § 6.

11.6 Das jeweils eingesetzte Modell wird ausschließlich in seiner veröffentlichten, unveränderten Form betrieben. Ein Training oder Fine-Tuning mit Daten des Verantwortlichen findet nicht statt. Kundenspezifisches Wissen wird ausschließlich zur Laufzeit über Retrieval-Augmented Generation bereitgestellt, ohne das Modell dauerhaft zu verändern. Eine hiervon abweichende Nutzung setzt eine gesonderte, ausdrücklich unterzeichnete Zusatzvereinbarung zwischen den Parteien voraus.

11.7 Die Verarbeitungsschritte Chunking, Embedding, Retrieval, Reranking und Inferenz erfolgen vollständig auf der Zenesis-Infrastruktur. Prompts und generierte Antworten werden nicht in einem dedizierten Anwendungslog oder Cache dauerhaft gespeichert. Der Vektorindex speichert die verarbeiteten Dokumenten-Abschnitte einschließlich zugehöriger Metadaten dauerhaft; ihre Löschung richtet sich nach § 9.

11.8 Die KI-Funktionen dienen ausschließlich der Unterstützung der Planungsarbeit. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt.

11.9 Der Verantwortliche stellt sicher, dass in die Plattform eingestellte Unterlagen nur die für den Planungszweck erforderlichen Inhalte enthalten. Insbesondere sollen keine Unterlagen eingestellt werden, die besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO enthalten.

§ 12 Haftung und Schlussbestimmungen

12.1 Für die Haftung gelten die Regelungen des Hauptvertrags sowie Art. 82 DSGVO.

12.2 Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses.

12.3 Sollte eine Bestimmung dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.

12.4 Es gilt das Recht der Bundesrepublik Deutschland. Ausschließlicher Gerichtsstand ist Leipzig, soweit beide Parteien Kaufleute sind.

Diese Vereinbarung wird nicht unterzeichnet. Sie kommt mit der elektronischen Annahme der Allgemeinen Geschäftsbedingungen zustande, deren Anlage 1 sie ist. Maßgeblich ist die bei der Annahme geltende Fassung; diese wird dem Verantwortlichen mit der Bestätigung bereitgestellt.

Anlage 1: Gegenstand und Einzelheiten der Verarbeitung

Gegenstand: Bereitstellung und Betrieb der Zenesis-Plattform als Software-as-a-Service für die technische Gebäudeausrüstung und Gebäudeplanung einschließlich KI-gestützter Auswertungs- und Berichtsfunktionen.

Art der Verarbeitung: Erheben, Erfassen, Organisation, Speicherung, Anpassung, Auslesen, Abfragen, Verwendung, Offenlegung durch Übermittlung an Unterauftragsverarbeiter, Einschränkung und Löschen.

Zweck: Ermöglichung der vertragsgemäßen Nutzung der Plattform durch den Verantwortlichen, Bereitstellung von Support sowie Betrieb, Wartung und Fehlerbehebung des Systems. Eine Verarbeitung zu eigenen Zwecken von Zenesis findet nicht statt.

Kategorien betroffener Personen: Nutzerinnen und Nutzer des Verantwortlichen (Beschäftigte)
In hochgeladenen Projektunterlagen genannte natürliche Personen, insbesondere Ansprechpartner, Planverfasser und sonstige Projektbeteiligte

Kategorien personenbezogener Daten: Stammdaten der Nutzer: Name, dienstliche E-Mail-Adresse, Organisationszugehörigkeit, Rolle und Berechtigungen
Authentifizierungsdaten
Protokolldaten: erfolgreiche und fehlgeschlagene Serveraufrufe einschließlich Zeitstempel und technischer Verbindungsdaten
Inhaltsdaten aus hochgeladenen Projektunterlagen (Leistungsverzeichnisse, Pläne, Kostenunterlagen) einschließlich der darin enthaltenen personenbezogenen Daten

Besondere Kategorien (Art. 9 DSGVO): Die Verarbeitung besonderer Kategorien personenbezogener Daten ist nicht vorgesehen und nicht Gegenstand dieser Vereinbarung.

Dauer der Verarbeitung: Für die Laufzeit des Hauptvertrags. Nachlaufende Fristen richten sich nach § 9.

Ort der Verarbeitung: Produktivsystem und Sicherungskopien: Deutschland (IONOS SE)
KI- und RAG-Infrastruktur: Falkenstein, Deutschland (Hetzner Online GmbH)
Fernzugriff zu Wartungs- und Fehlerbehebungszwecken durch einen Unterauftragsverarbeiter aus Ungarn (EU)
Eine Übermittlung in ein Drittland findet nicht statt