Auftragsverarbeitung

Informationen für B2B-Kunden, die Metapolis zur Verarbeitung personenbezogener Daten einsetzen.

Stand: 28.05.2026Deutschland- und EU-relevante Pflichten berücksichtigtJuristische Endfreigabe vor zahlungspflichtigem Livegang erforderlich

Launch-Prüfung

Anwalt / Datenschutzbeauftragter vor zahlungspflichtigem Livegang

Register-, Steuer-, Rechnungs- und Zahlungsdaten final verifizieren
Subprozessoren, Regionen, TOMs und Transfermechanismen final dokumentieren
AVV/DPA, AGB, Widerruf, Kündigung und Datenschutzerklärung final juristisch freigeben
Consent-Management aktivieren, bevor optionale Tracking- oder Marketing-Technologien eingebunden werden

Ein AVV/DPA ist erforderlich, wenn Kunden personenbezogene Daten von Mitarbeitern, Mietern, Auftraggebern oder sonstigen Betroffenen in Metapolis verarbeiten lassen.
Der AVV regelt Gegenstand, Dauer, Art, Zweck, Datenkategorien, Betroffenengruppen, TOMs, Subprozessoren und Weisungen.
Bei rein eigenen Unternehmensdaten ohne personenbezogene Inhalte kann trotzdem ein AVV sinnvoll sein, wenn personenbezogene Account- oder Supportdaten verarbeitet werden.
Healthcare-, Praxis-, HR-, Mieter-, Patienten- oder vergleichbar sensible Workflows dürfen erst nach passender Rollen-, Rechtsgrundlagen- und AVV-Prüfung produktiv starten.

Gegenstand: Bereitstellung von Metapolis, digitaler Mitarbeiter, Upload-Verarbeitung, Rechnungsarchiv, Support und Sicherheitsbetrieb.
Dauer: Laufzeit des Kundenvertrags plus gesetzliche Aufbewahrungs- und Löschfristen.
Datenarten: Account-, Kontakt-, Objekt-, Upload-, Kommunikations-, Rechnungs-, Log- und Workflow-Daten.
Betroffene: Kundenmitarbeiter, Ansprechpartner, Auftraggeber, Mieter, Lieferanten, Dienstleister und sonstige vom Kunden eingebrachte Personen.
TOMs: Rollen- und Rechtekonzept, Mandantentrennung, Zugriffskontrolle, Protokollierung, Verschlüsselung soweit passend, Backup, Incident-Prozess und Subprozessor-Kontrolle.
Weisungen: Verarbeitung nur nach dokumentierter Weisung des Kunden, soweit keine gesetzliche Pflicht entgegensteht.

Verarbeitung von Kundendaten nur auf dokumentierte Weisung, sofern keine gesetzliche Pflicht entgegensteht.
Vertraulichkeitsbindung der eingesetzten Personen und Zugriff nur nach Rollen-/Rechtekonzept.
Unterstützung des Kunden bei Betroffenenrechten, Löschung, Export, Datenschutz-Folgenabschätzung, Sicherheitsnachweisen und Meldungen bei Datenschutzvorfällen.
Rückgabe oder Löschung von Kundendaten nach Vertragsende, soweit keine gesetzlichen Aufbewahrungspflichten oder Nachweisinteressen entgegenstehen.
Subprozessoren dürfen nur nach dem im AVV geregelten Informations-, Genehmigungs- und Widerspruchsprozess eingesetzt werden.

Der Kunde stellt sicher, dass eine tragfähige Rechtsgrundlage für die Verarbeitung der eingebrachten personenbezogenen Daten besteht.
Der Kunde informiert Betroffene, Mitarbeiter, Mieter, Patienten, Auftraggeber oder sonstige Personen über die Verarbeitung, soweit dies erforderlich ist.
Der Kunde erteilt klare Weisungen, prüft Ergebnisse der digitalen Mitarbeiter fachlich und verhindert unzulässige Uploads oder unzulässige Zwecke.
Besondere Kategorien personenbezogener Daten dürfen nur eingebracht werden, wenn Zweck, Rechtsgrundlage, Schutzmaßnahmen, Rollenmodell und Subprozessoren freigegeben sind.

AVV-Anfragen bitte an datenschutz@novahaus-koeln.de senden.
Der finale AVV wird zusammen mit Subprozessorliste, technischen Schutzmaßnahmen und Weisungsprozess bereitgestellt.
Kunden dürfen produktive personenbezogene Massendaten erst nach Abschluss des erforderlichen AVV und Freigabe der Subprozessorliste hochladen.
Enterprise-Kunden können zusätzliche TOMs, Security-Fragen, Audit-Nachweise, Löschkonzepte und individuelle Weisungsprozesse anfordern.