Vertrag zur Auftragsverarbeitung Stand: 29.09.2026 Version: 2026-09-29.1 Status: Freigegebene Fassung Vereinbarung nach Art. 28 DSGVO zwischen dem Kundenunternehmen und dem App-Anbieter einschließlich TOM und Unterauftragnehmerliste. 1. Parteien und Anlagen Auftraggeber ist das im Abschlussnachweis mit vollständigem Namen und Anschrift bezeichnete Kundenunternehmen. Auftragnehmer ist PriorApps GmbH, Kreuzkämpchen 11, 40789 Monheim am Rhein, Deutschland. Die natürliche Person, die den Abschluss erklärt, muss das Kundenunternehmen wirksam vertreten dürfen. Bestandteile der Vereinbarung sind dieser AVV, die Anlage Technische und organisatorische Maßnahmen (TOM) und die Anlage Unterauftragnehmer und weitere Dienstleister, jeweils in der im Abschlussnachweis bezeichneten Fassung. Die bloße Anzeige dieser Dokumente, ihre Kenntnisnahme oder eine Administratorrolle bewirken keinen Vertragsabschluss. Dieser erfordert die ausdrückliche Erklärung der vertretungsberechtigten Person. Handelt der Auftraggeber seinerseits als Auftragsverarbeiter eines Mandanten, muss er vor einem Abschluss die Berechtigung zur Beauftragung eines weiteren Auftragsverarbeiters und die einschlägigen Weisungen nachweisen beziehungsweise dokumentieren. Die darauf abgestimmte Vertragskette und der Umfang der Weisungsbefugnis sind vor Nutzung festzulegen. 2. Gegenstand, Zweck und Dauer Gegenstand ist die Verarbeitung personenbezogener Daten bei der Bereitstellung der GRINNO-Business-Plattform für die Arbeit mit Unternehmensprofilen, Förderprojekten, Dokumenten, Fallakten, Berichten, Chats und Zusammenarbeit in Arbeitsbereichen. Art und Zweck umfassen das Entgegennehmen, Speichern, Strukturieren, Auslesen, Auswerten, Bereitstellen, Übermitteln an genehmigte technische Dienstleister, Exportieren und Löschen nach Weisung des Auftraggebers. Die beauftragten KI- und Suchfunktionen sind eingeschlossen, soweit sie im vereinbarten Leistungsumfang liegen. Die Auftragsverarbeitung beginnt mit dem wirksamen Abschluss und der vereinbarten Bereitstellung. Sie dauert während des Hauptvertrags und, soweit erforderlich, während der anschließenden vereinbarten Rückgabe- und Löschabwicklung an. Fortbestehende gesetzliche Pflichten bleiben unberührt. Verarbeitungen für eigene Zwecke des Auftragnehmers, insbesondere eigene Vertragsverwaltung und Rechnungslegung, unterliegen den dafür geltenden Datenschutzpflichten und werden durch diesen AVV nicht zu einer Verarbeitung im Auftrag. 3. Datenarten und betroffene Personen Der konkrete Umfang richtet sich nach den vom Auftraggeber ausgewählten Funktionen und zulässigerweise eingestellten Inhalten. Der Auftraggeber beschränkt die Daten auf das zur Zweckerfüllung Erforderliche. • Datenarten: Namen, dienstliche Kontakt- und Zuordnungsdaten, Rollen und Mitgliedschaften; personenbezogene Unternehmens-, Beschäftigungs-, Finanz- und Projektangaben; Dokumentinhalte, Chatnachrichten, Auswertungsergebnisse und dazugehörige technische Metadaten. • Betroffene Personen: Beschäftigte und sonstige autorisierte Nutzer des Auftraggebers, Ansprechpartner bei Kunden, Mandanten, Partnern und Förderstellen, Einzelunternehmer sowie weitere Personen, deren Angaben rechtmäßig in die beauftragten Inhalte aufgenommen werden. • Nicht vom Standardumfang erfasst sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO und Daten nach Art. 10 DSGVO. Eine Verarbeitung solcher Daten setzt eine gesonderte dokumentierte Vereinbarung einschließlich der erforderlichen Schutzmaßnahmen und Rechtsgrundlagen voraus. 4. Verantwortung und dokumentierte Weisungen Der Auftraggeber entscheidet über Zwecke und wesentliche Mittel seiner Verarbeitung und verantwortet insbesondere die Rechtmäßigkeit der Datenerhebung, erforderliche Informationen und Einwilligungen, Datenrichtigkeit sowie die Erteilung und den Entzug von Nutzerberechtigungen. Bei einer Unterauftragskette hält er die Vorgaben des jeweiligen Verantwortlichen ein. Der Auftragnehmer verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Auftraggebers, auch hinsichtlich einer Übermittlung in ein Drittland. Als Weisungen gelten der vereinbarte Leistungsumfang, dieser AVV und autorisierte Eingaben über die vorgesehenen App-Funktionen. Ergänzende Weisungen werden in Textform an den vereinbarten Kontakt übermittelt und mit Absender, Inhalt und Datum dokumentiert. Weisungsberechtigte Personen und Empfangsstellen werden bei Vertragsschluss benannt und bei Änderungen aktualisiert. Verpflichtet das auf den Auftragnehmer anwendbare Recht der Union oder eines Mitgliedstaats zu einer weiteren Verarbeitung, informiert er den Auftraggeber vorab über die Anforderung, soweit das betreffende Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses verbietet. Hält der Auftragnehmer eine Weisung für datenschutzrechtswidrig, informiert er den Auftraggeber unverzüglich und setzt die betroffene Weisung bis zur rechtmäßigen Klärung aus. Änderungen des Leistungsumfangs werden gesondert vereinbart. Der Auftragnehmer verwendet Auftragsdaten nicht für eigene Werbung oder zum eigenen Modelltraining; eine weitergehende Nutzung durch eingebundene Dienstleister muss mit der Weisung und den hierfür bestätigten Vertragsbedingungen vereinbar sein. 5. Vertraulichkeit und Zugriff Der Auftragnehmer gewährt Personen nur den für ihre Aufgabe erforderlichen Zugriff. Er setzt ausschließlich Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und unterrichtet sie über die geltenden Datenschutzanforderungen. Der Auftragnehmer ist verpflichtet, Berechtigungen für Betrieb und Support nach Aufgaben zu vergeben, bei Aufgabenwechsel zu überprüfen und bei Wegfall des Bedarfs zu entziehen. Er dokumentiert die hierfür erforderlichen Zuständigkeiten. Die Vertraulichkeitspflicht besteht über das Ende des Einsatzes hinaus. 6. Sicherheit der Verarbeitung Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen unter Berücksichtigung des Risikos, des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und Zwecke der Verarbeitung. Die zum Vertragsschluss vereinbarten Maßnahmen sind in der Anlage TOM beschrieben. Maßnahmen dürfen an technischen Fortschritt angepasst werden, wenn das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und dem Auftraggeber auf geeignete Weise zur Verfügung gestellt. Erfordern Änderungen eine Anpassung des vereinbarten Umfangs oder der Weisungen, ist diese vorab abzustimmen. 7. Weitere Auftragsverarbeiter Mit einem wirksamen Abschluss erteilt der Auftraggeber die allgemeine Genehmigung zum Einsatz der in der vereinbarten Unterauftragnehmeranlage für die Auftragsverarbeitung bezeichneten Unternehmen. Die Genehmigung erfasst nur die dort beschriebenen Leistungen und entbindet den Auftragnehmer nicht von der Pflicht, die erforderlichen Datenschutzvereinbarungen mit diesen Unternehmen zu unterhalten. Über beabsichtigte Hinzunahmen oder Ersetzungen weiterer Auftragsverarbeiter informiert der Auftragnehmer den benannten Kontakt des Auftraggebers in Textform mindestens 30 Tage vor deren Einsatz mit Identität, Leistung, Verarbeitungsorten und einschlägigen Datenschutzgarantien. Der Auftraggeber kann innerhalb dieser Frist aus nachvollziehbaren datenschutzrechtlichen Gründen widersprechen. Vor Klärung eines solchen Widerspruchs werden betroffene Auftragsdaten nicht an den neuen Dienstleister übermittelt. Die Parteien suchen eine geeignete Lösung; ist keine vereinbar, wird die betroffene Leistung beendet und die zugehörige Datenabwicklung abgestimmt. Der Auftragnehmer verpflichtet weitere Auftragsverarbeiter vertraglich auf dieselben einschlägigen Datenschutzpflichten, einschließlich ausreichender Garantien für geeignete Maßnahmen und der notwendigen Nachweis- und Unterstützungsrechte. Er bleibt gegenüber dem Auftraggeber für die Einhaltung dieser Pflichten durch weitere Auftragsverarbeiter verantwortlich. Dienstleister für eigene Zwecke des Auftragnehmers, beispielsweise bestimmte eigene Zahlungs- und Buchhaltungsvorgänge, sind von dieser Genehmigung nur erfasst, soweit sie tatsächlich Auftragsdaten in dessen Auftrag verarbeiten. Ihre bloße Aufnahme als weiterer Dienstleister erweitert den Gegenstand des AVV nicht. 8. Verarbeitungsorte und Drittlandübermittlungen Die vereinbarten Dienste und ihre Verarbeitungsorte ergeben sich aus der Unterauftragnehmeranlage. Der Auftraggeber wird insbesondere über nicht ausschließlich im EWR stattfindende Authentifizierung, KI-Verarbeitung, globale Suchdienste und mögliche Supportzugriffe informiert. Übermittlungen außerhalb des EWR setzen eine dokumentierte Weisung und die Einhaltung der Art. 44 ff. DSGVO voraus. Vor Beginn der betreffenden Verarbeitung sind die konkrete Übermittlungsgrundlage und gegebenenfalls Standardvertragsklauseln, Transferprüfung und ergänzende Maßnahmen zu dokumentieren. Auf Anfrage stellt der Auftragnehmer die erforderlichen Informationen und geeigneten Nachweise unter Wahrung berechtigter Vertraulichkeitsinteressen zur Verfügung. Die Genehmigung eines Dienstleisters ersetzt keine notwendige Übermittlungsgrundlage. Kann der Auftragnehmer die Voraussetzungen einer betroffenen Übermittlung nicht mehr gewährleisten, informiert er den Auftraggeber und setzt diese Übermittlung aus, bis eine rechtmäßige Lösung besteht. 9. Unterstützung bei Betroffenenrechten Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen. Dies umfasst, soweit möglich, die Zuordnung und Suche betroffener Datensätze, die Bereitstellung für Auskunft und Übertragbarkeit sowie die Umsetzung angewiesener Berichtigung, Einschränkung oder Löschung. An den Auftragnehmer gerichtete Anträge zu Auftragsdaten leitet er ohne unangemessene Verzögerung an den zuständigen Auftraggeber weiter. Eine inhaltliche Entscheidung gegenüber der betroffenen Person trifft er insoweit nur auf Weisung oder bei eigener gesetzlicher Verpflichtung. Anfragen, Identitätsprüfung, Fristen und Durchführung werden so abgestimmt, dass der Auftraggeber seine gesetzlichen Fristen einhalten kann. 10. Datenschutzverletzungen und weitere Unterstützung Wird dem Auftragnehmer eine Verletzung des Schutzes personenbezogener Auftragsdaten bekannt, unterrichtet er den Auftraggeber unverzüglich. Die Erstmeldung enthält die zu diesem Zeitpunkt verfügbaren Angaben zur Art des Vorfalls, zu betroffenen Daten und Personen, wahrscheinlichen Folgen, bereits ergriffenen beziehungsweise vorgesehenen Maßnahmen und zu einem erreichbaren Kontakt. Fehlende Angaben werden ohne unangemessene Verzögerung ergänzt; eine unvollständige Erstaufklärung verzögert die Erstmeldung nicht. Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei dessen Pflichten nach Art. 32 bis 36 DSGVO. Er stellt erforderliche Informationen über technische Abläufe, Risiken und Schutzmaßnahmen bereit, unterstützt Meldungen an Aufsichtsbehörden und betroffene Personen sowie Datenschutz-Folgenabschätzungen und erforderliche vorherige Konsultationen. Der Auftragnehmer dokumentiert Vorfallverlauf, Maßnahmen und Mitteilungen und sichert relevante Nachweise. Meldungen im Namen des Auftraggebers erfolgen nur auf dessen Weisung oder aufgrund einer eigenen gesetzlichen Pflicht. Der Datenschutz- und Vorfallkontakt des Auftragnehmers ist hello@grinno.ai. Der Auftraggeber hält seine beim Abschluss benannte Kontaktadresse aktuell; für einen Vorfall vereinbaren die Parteien erforderlichenfalls weitere erreichbare Ansprechpartner. 11. Nachweise, Kontrollen und Behörden Der Auftragnehmer stellt alle zur Darlegung der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen bereit. Er ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von diesem beauftragten Prüfer und trägt zu ihnen bei. Geeignete Unterlagen und vorhandene Prüfberichte können zur Vorbereitung dienen; sie ersetzen erforderliche gesetzliche Kontrollrechte nicht. Reguläre Prüfungen werden mit angemessener Vorankündigung hinsichtlich Ablauf, Vertraulichkeit und Schutz anderer Kunden abgestimmt. Bei konkreten Vorfällen, behördlicher Anordnung oder sonstiger Dringlichkeit sind kurzfristige Prüfungen möglich. Die Abstimmung darf eine wirksame Kontrolle nicht vereiteln. Berechtigte Geheimhaltungsinteressen werden durch angemessene Schutzvorkehrungen gewahrt. Der Auftragnehmer arbeitet im gesetzlichen Umfang mit der zuständigen Aufsichtsbehörde zusammen und informiert den Auftraggeber über Kontrollen oder Maßnahmen, die dessen Auftragsdaten betreffen, soweit dies rechtlich zulässig ist. Er meldet Umstände, die eine vertragsgemäße Verarbeitung wesentlich beeinträchtigen können. 12. Rückgabe und Löschung bei Auftragsende Nach Abschluss der Leistungen gibt der Auftragnehmer nach Wahl des Auftraggebers die Auftragsdaten in einem vereinbarten gängigen Format zurück oder löscht sie. Nach erfolgter Rückgabe werden vorhandene Kopien ebenfalls gelöscht, soweit keine Pflicht zur weiteren Speicherung nach Unionsrecht oder dem Recht eines Mitgliedstaats besteht. Eine solche Pflicht wird mit Umfang und Dauer offengelegt, soweit rechtlich zulässig; die Daten werden auf den verpflichtenden Zweck beschränkt. Die Abwicklung wird über hello@grinno.ai angefordert. Der Auftragnehmer bestätigt den Eingang, stimmt den erforderlichen Datenumfang und einen sicheren Übertragungsweg mit der weisungsberechtigten Person ab und führt Rückgabe oder Löschung ohne unangemessene Verzögerung durch. Der Auftraggeber erhält Angaben zu erforderlichen Abwicklungsschritten und noch laufenden Anbieter-Löschfristen. Die Abwicklung erfasst Produktivdaten, Dateien, Suchrepräsentationen, Auftragsdaten in Protokollen, Sicherungen und Daten bei Unterauftragnehmern. Sicherungskopien dürfen bis zum planmäßigen Ablauf ausschließlich gesichert aufbewahrt und nur im erforderlichen Wiederherstellungsfall verwendet werden. Bei Wiederherstellung sind bereits erteilte Löschweisungen erneut umzusetzen. Für die endgültige Löschung aus Systemen der Dienstleister gelten deren einschlägige Löschverfahren; diese dürfen nicht als Grund dienen, Auftragsdaten im laufenden Anwendungsbestand ohne weiteren Zweck aufzubewahren. Die Durchführung wird dem Auftraggeber in Textform bestätigt. Geheimhaltungs- und Schutzpflichten bestehen bis zur ordnungsgemäßen Rückgabe beziehungsweise vollständigen Löschung fort. 13. Abschluss, Änderungen und Vorrang Der Vertrag wird elektronisch in einem dokumentierten Verfahren geschlossen. Der Auftraggeber erklärt ausdrücklich den Abschluss dieses AVV einschließlich TOM und Unterauftragnehmeranlage durch seine vertretungsberechtigte Person. Die Erklärung zu den Nutzungsbedingungen ist davon getrennt. Die Datenschutzerklärung wird zur Kenntnis bereitgestellt und ist keine pauschale Einwilligung. Der Nachweis ordnet das vertretene Kundenunternehmen, die erklärende Person, ihre Erklärung zur Vertretungsbefugnis, den Zeitpunkt und sämtliche vereinbarten Dokumentfassungen dauerhaft zu. Der Auftraggeber kann seinen Abschlussnachweis herunterladen. Eine Änderung dieser Internetseite ändert einen bereits geschlossenen Vertrag nicht automatisch. Änderungen werden dokumentiert vereinbart, soweit dieser Vertrag kein konkretes zulässiges Änderungsverfahren vorsieht. Bei Widersprüchen gehen die Datenschutzregelungen dieses AVV hinsichtlich der Auftragsverarbeitung den allgemeinen Vertragsbedingungen vor. Zwingende gesetzliche Rechte, insbesondere von betroffenen Personen und Aufsichtsbehörden, bleiben unberührt. ======================================== Technische und organisatorische Maßnahmen (TOM) Stand: 29.09.2026 Version: 2026-09-29.1 Status: Freigegebene Fassung Anlage zum AVV mit technischen Schutzmaßnahmen und vertraglichen Pflichten für den Schutz der Auftragsdaten. 1. Zweck und Umfang Diese Anlage beschreibt technische Schutzmaßnahmen der GRINNO-Business-Plattform und die vertraglichen Sicherheitsverpflichtungen des Auftragnehmers nach Art. 32 DSGVO. Die technischen Angaben beziehen sich auf den Anwendungs- und dokumentierten Betriebsstand vom 29.09.2026. Als vertragliche Pflicht formulierte Maßnahmen begründen Pflichten des Auftragnehmers; daraus folgt keine Behauptung eines bereits durchgeführten Audits oder einer bestimmten Zertifizierung. 2. Zutritt und physischer Betrieb Die Anwendung wird auf verwalteter Cloud-Infrastruktur von Google Cloud und Firebase betrieben. Der physische Rechenzentrumsbetrieb einschließlich Zutrittskontrolle liegt beim jeweiligen Infrastrukturbetreiber. Für die vertragliche Prüfung sind die zum tatsächlich gebuchten Dienst passenden Anbieterunterlagen heranzuziehen. Eine eigene ISO-27001-Zertifizierung des App-Anbieters wird mit dieser Anlage nicht behauptet. Zertifizierungen von Dienstleistern gelten ausschließlich für deren jeweils ausgewiesenen Umfang. 3. Zugang und Berechtigungen Persönliche Benutzerkonten werden über Firebase Authentication angemeldet. Serverseitige Sitzungen werden vor geschützten Zugriffen geprüft. Das Sitzungscookie wird in Produktion über HTTPS übertragen und ist für clientseitige Skripte nicht lesbar. Mitgliedschaften und Rollen ordnen Nutzer Arbeitsbereichen und Beratungsorganisationen zu. Geschützte Anwendungsaktionen prüfen die für den Vorgang erforderlichen Berechtigungen. Administrationsfunktionen werden rollenabhängig eingeschränkt. Vertragliche Pflicht: Der Auftragnehmer vergibt Betriebsberechtigungen personenbezogen und aufgabenbezogen, überprüft sie bei Änderungen und entzieht sie nach Wegfall des Bedarfs. Er schützt privilegierte Konten dem Risiko angemessen. Eine für sämtliche Nutzer verpflichtende Mehrfaktor-Anmeldung wird hierdurch nicht als vorhandene App-Funktion zugesagt. 4. Trennung und Vertraulichkeit Anwendungsdaten werden einem Arbeitsbereich zugeordnet. Zugriffe erfolgen unter Berücksichtigung dieser Zuordnung und der jeweiligen Mitgliedschaft. Eine Berechtigung für einen Arbeitsbereich allein soll keinen Zugriff auf einen anderen Arbeitsbereich eröffnen; organisationsweite Rechte sind gesondert zu vergeben. Der Download von Unternehmensdateien erfolgt nach serverseitiger Sitzungs- und Berechtigungsprüfung über zeitlich begrenzte signierte Links. Uploads werden serverseitig auf zulässigen Dateityp und Größe geprüft. Diese Prüfungen sind keine Zusage einer vollständigen inhaltlichen Schadsoftwareanalyse. Vertragliche Pflicht: Personen mit Zugriff auf Auftragsdaten müssen einer angemessenen Vertraulichkeitspflicht unterliegen, über die für ihren Einsatz geltenden Datenschutzanforderungen unterrichtet werden und dürfen die Daten ausschließlich im Rahmen ihrer Aufgabe und der Weisungen verarbeiten. 5. Übertragung, Speicherung und Geheimnisse Die produktive App wird über HTTPS bereitgestellt. Anbieter-Schnittstellen werden über verschlüsselte Verbindungen angesprochen. Die konfigurierte eigene Einladungsmail verwendet den HTTPS-Endpunkt von SMTP2GO; für einen alternativ konfigurierten externen SMTP-Versand verlangt die Anwendung eine verschlüsselte Verbindung. Für gespeicherte Daten kommen die Verschlüsselungsmechanismen der verwendeten Cloud-Dienste zum Einsatz. Anbieterseitig verwaltete Verschlüsselung ersetzt keine Prüfung der Zugriffsberechtigungen oder der internationalen Datenübermittlung. Zugangsschlüssel für die serverseitigen KI- und Versanddienste werden im Serverbetrieb verwendet und nicht als Bestandteil des App-Clients an Nutzer ausgeliefert. Vertragliche Pflicht: Der Auftragnehmer beschränkt ihre Zugänglichkeit auf den erforderlichen Betrieb und ersetzt oder entzieht sie bei einem entsprechenden Sicherheitsanlass. Die Fachinhalte sind nicht Ende-zu-Ende-verschlüsselt, da ihre Verarbeitung auf den Servern und bei den beschriebenen Diensten erfolgt. 6. KI-Verarbeitung und Datenminimierung KI-Funktionen verwenden die für die jeweilige Aufgabe zusammengestellten Texte und Kontextangaben. Originaldateien werden in den geprüften Auswertungspfaden nicht als Binärdatei an das Sprachmodell übermittelt. Anmeldepasswörter und Sitzungscookies sind kein Bestandteil der Modellanfragen. Die Auswahl geeigneter Daten, eine erforderliche Kürzung oder Pseudonymisierung und die Prüfung generierter Ergebnisse gehören zur fachlichen Nutzung. Das System gewährleistet keine automatische vollständige Anonymisierung hochgeladener Inhalte. Vertragliche Pflicht: Der Auftragnehmer beschränkt weitere Nutzungen der Auftragsdaten durch Dienstleister auf den rechtmäßig beauftragten und vertraglich gedeckten Umfang. 7. Verfügbarkeit, Wiederherstellung und Löschung Der dokumentierte Betriebsstand umfasst tägliche Datenbanksicherungen mit sieben Tagen Aufbewahrung sowie eine siebentägige Wiederherstellungsmöglichkeit gelöschter Speicherobjekte. Daraus folgt keine garantierte Wiederherstellungszeit und kein Nachweis einer bereits absolvierten Wiederherstellungsprüfung. Die App stellt berechtigungsgeschützte Löschfunktionen für Dateien und Projekte bereit. Konto- und Unternehmensdeaktivierung sind von einer endgültigen Datenlöschung zu unterscheiden. Eine vollständige Rückgabe oder Löschung bei Vertragsende wird nach dem AVV über den Datenschutzkontakt abgewickelt. Vertragliche Pflicht: Der Auftragnehmer erhält dem Risiko angemessene Sicherungs- und Wiederherstellungsmöglichkeiten aufrecht, überprüft deren Wirksamkeit und dokumentiert erforderliche Zuständigkeiten. Löschanweisungen erfassen Produktivdaten und eingebundene Dienstleister; Sicherungskopien laufen nach dem geltenden Sicherungszyklus aus. Bereits erteilte Löschanweisungen sind nach einer Wiederherstellung erneut umzusetzen. 8. Kontrolle, Vorfälle und Weiterentwicklung Technische Ereignis- und Fehlerprotokolle unterstützen Betrieb und Fehleranalyse. Zugriffe auf solche Protokolle sind auf zuständige Personen zu beschränken, Datenumfang und Speicherdauer nach dem Zweck festzulegen. Die Protokollierung darf nicht ohne Prüfung auf vollständige Fachinhalte ausgedehnt werden. Vertragliche Pflicht: Der Auftragnehmer untersucht ihm bekannt gewordene Sicherheitsvorfälle, begrenzt ihre Folgen und erfüllt die Mitteilungs- und Unterstützungspflichten aus dem AVV. Der Datenschutz- und Vorfallkontakt ist hello@grinno.ai. Anfragen und Weisungen werden der zuständigen Stelle zugeordnet und ihre Bearbeitung nachvollziehbar dokumentiert. Vertragliche Pflicht: Änderungen an Zugriffsschutz und Datenflüssen werden auf ihre Schutzwirkung geprüft. Sicherheitsmaßnahmen und einschlägige Anbieterunterlagen sind bei wesentlichen Änderungen sowie in dem Risiko angemessenen Abständen erneut zu bewerten. Diese Anlage sagt kein bestimmtes Audit- oder Zertifizierungsintervall zu. ======================================== Unterauftragnehmer und weitere Dienstleister Stand: 29.09.2026 Version: 2026-09-29.1 Status: Freigegebene Fassung Anlage zum AVV: technische Anbieter, Datenflüsse, Verarbeitungsorte und Datenschutzgrundlagen. 1. Bedeutung dieser Liste Diese Liste unterscheidet technische Unterauftragnehmer für Auftragsdaten und weitere Dienstleister für eigene Zwecke des App-Anbieters. Ein Unternehmen kann je nach Leistung unterschiedliche Rollen haben. Die im AVV erklärte Genehmigung bezieht sich auf die Auftragsverarbeitung in dem hier beschriebenen Umfang. 2. Google Cloud / Firebase Anbieter: Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Irland. Leistungen: App-Hosting, Datenbanken, Dateispeicher, Authentifizierung, technische Betriebsdienste und Vertex AI für semantische Suche. Verarbeitete Daten: je nach Dienst Konto- und Anmeldeinformationen, Unternehmens- und Projektinhalte, Dateien, Chat- und Berichtsinhalte, Rollen, technische Metadaten sowie Suchtexte und relevante Profilangaben für Embeddings. Dokumentierte Standorte: Anwendungsserver und Förderdatenbank in den Niederlanden; Anwendungsdatenbank und Dateispeicher in Deutschland. Authentifizierung nach vorliegenden Anbieterinformationen in den USA. Vertex AI wird über einen globalen Endpunkt genutzt; weitere globale Betriebsdienste und Support können ebenfalls Bezüge außerhalb des EWR haben. Datenschutzgrundlage: Die veröffentlichten Google-Cloud-Vertragsbedingungen beziehen den Cloud Data Processing Addendum ein. Dieser umfasst die Weisungsbindung und Datenschutzpflichten sowie die einschlägigen Übermittlungsregeln. Google benennt das EU-US Data Privacy Framework für Übermittlungen an und über Google LLC in den USA; für weitere erfasste Übermittlungen sieht der Nachtrag EU-Standardvertragsklauseln vor. Die für die App verwendeten Firebase-Dienste werden in der Firebase-Vertragsübersicht den Google-Cloud-Bedingungen zugeordnet. 3. Anthropic API Anbieter für Kunden im EWR nach den kommerziellen Standardbedingungen: Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland. Leistung: KI-Sprachmodell über die Anthropic API für Chat, Dokumentauswertung, Fallbewertungen, Konzepte und Berichte. Verarbeitete Daten: aufgabenbezogene Chat- und Fachinhalte, extrahierte Dokumenttexte, Projekt- und Fallkontext sowie relevante Unternehmensprofil- und Förderprogrammangaben. Diese Inhalte können personenbezogene Daten enthalten. Anmeldepasswörter und Sitzungscookies sind nicht Teil dieser Anfragen. Verarbeitung außerhalb des EWR, insbesondere in den USA, ist möglich. Die kommerziellen Standardbedingungen beziehen den Anthropic Data Processing Addendum einschließlich einschlägiger EU-Standardvertragsklauseln ein und untersagen Modelltraining mit Kundeninhalten. Die standardmäßige API-Aufbewahrung und ihre gesetzlichen beziehungsweise sicherheitsbezogenen Ausnahmen sind in der Datenschutzerklärung erläutert; eine individuelle Nullspeicherungszusage ist nicht Bestandteil dieser Anlage. 4. SMTP2GO Anbieter: Sand Dune Mail Ltd (SMTP2GO), 96–106 Manchester Street, Christchurch 8011, Neuseeland. Leistung: Versand von Einladungs- und Kontonachrichten, soweit der eigene Mailversand entsprechend konfiguriert ist. Verarbeitete Daten: Empfängeradresse, Angaben der einladenden Person, Arbeitsbereichs- oder Organisationsname, Rolle, Nachrichteninhalt und technischer Versandstatus. Die App verwendet für den SMTP2GO-API-Versand einen EU-Endpunkt. Die Standortwahl für den Versand begründet keine Zusage, dass auch sämtliche weiteren Support- und Verwaltungsvorgänge ausschließlich in der EU erfolgen. SMTP2GO stellt seine Datenverarbeitungsvereinbarung im Kundenkonto bereit. Für Neuseeland besteht ein Angemessenheitsbeschluss der Europäischen Kommission; hiervon unabhängige weitere Übermittlungen sind gesondert nach den einschlägigen Voraussetzungen zu behandeln. Der Auftragnehmer ist verpflichtet, den Dienst nur mit den für die jeweilige Verarbeitung erforderlichen vertraglichen Grundlagen einzusetzen. Für einen Wechsel auf einen anderen Mailanbieter gilt das Änderungsverfahren des AVV. 5. Stripe – bei freigeschalteter Zahlungsabwicklung Leistung: Checkout, Abonnement- und Zahlungsverwaltung, Rechnungen und Rechnungsportal. Die Nutzung erfolgt bei entsprechenden Buchungen über die aktivierte Abrechnungsfunktion. Verarbeitete Daten: Name und E-Mail-Adresse des Abrechnungskunden, Rechnungs- und Steuerangaben, Zahlungsinformationen im Stripe-Dialog, Tarif- und Transaktionsdaten sowie technische Zuordnungskennungen. Fachinhalte hochgeladener Projektdokumente werden von der Abrechnungsfunktion nicht als Zahlungsdaten übermittelt. Stripe wird hier als weiterer Dienstleister für die eigene Abrechnung genannt. Für eigene Zahlungs-, Sicherheits- und gesetzliche Zwecke kann Stripe selbst verantwortlich sein; eine Einordnung als Unterauftragnehmer für sämtliche Kunden-Fachinhalte erfolgt nicht. Maßgeblich für die Zahlungsdienste sind ergänzend die im Zahlungsdialog zugänglichen Stripe-Datenschutzhinweise und die für den Zahlungsvorgang geltenden Bedingungen. 6. Änderungen und Nachweise Die PriorApps GmbH ist als App-Anbieter Auftragnehmer des Kundenunternehmens. Die beschriebenen Dienstleisterketten ändern nicht ihre Verantwortung gegenüber dem Kundenunternehmen aus dem AVV. Aktuelle Anbieterlisten nachgelagerter Unterauftragnehmer sowie Informationen zu einschlägigen Garantien können über hello@grinno.ai angefragt werden. Der Auftragnehmer stellt die zur Kontrolle erforderlichen Informationen unter Wahrung berechtigter Vertraulichkeitsinteressen bereit. Änderungen bei Unterauftragnehmern richten sich nach dem im abgeschlossenen AVV vereinbarten Informations- und Widerspruchsverfahren. Eine Änderung dieser Internetseite ersetzt keine erforderliche Nachricht oder Genehmigung.