Rechtliches

Auftragsverarbeitungsvertrag (AVV)

Stand: Mai 2026 · Gemäß Art. 28 DSGVO (EU) 2016/679

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") wird zwischen der jeweiligen Kanzlei (nachfolgend „Verantwortlicher") und Maximilian Mojzis (Einzelunternehmer, handelnd unter der Bezeichnung Juristi), Böcklinstraße 35/14, 1020 Wien, Österreich, UID: ATU82751746 (nachfolgend „Auftragsverarbeiter") geschlossen und ergänzt die zwischen den Parteien bestehenden Allgemeinen Geschäftsbedingungen (AGB).

Gemäß Art. 28 DSGVO ist der Einsatz von Juristi für die Verarbeitung personenbezogener Daten von Mandanten ohne abgeschlossenen AVV nicht zulässig. Mit der Nutzung der produktiven Juristi-Applikation (app.juristi.at) für Mandantendaten gilt dieser AVV als angenommen.

§ 1 Gegenstand und Dauer der Auftragsverarbeitung

(1) Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen im Bereich KI-gestützter Rechtsassistenz (nachfolgend „Hauptvertrag" gemäß AGB). Im Rahmen dieser Leistungen verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen.

(2) Dieser AVV gilt ab dem Zeitpunkt der Nutzung der produktiven Juristi-Applikation für Mandantendaten und endet mit der Beendigung des Hauptvertrags.

(3) Nach Beendigung des Vertrags werden alle Daten des Verantwortlichen gemäß § 9 dieses AVV gelöscht oder zurückgegeben.

§ 2 Art und Zweck der Verarbeitung

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zum Zweck der Erbringung der vertraglich vereinbarten Leistungen, insbesondere:

KI-gestützte Rechtsrecherche auf Basis der vom Verantwortlichen eingegebenen Anfragen
Unterstützung bei der Erstellung von Rechtsdokumenten und Schriftsätzen
Analyse hochgeladener Rechtsdokumente
Aufgaben- und Fristenverwaltung im Kontext der jeweiligen Fälle
Speicherung und Verwaltung von Falldaten auf den Systemen des Auftragsverarbeiters

(2) Eine Verarbeitung der Daten zu eigenen Zwecken des Auftragsverarbeiters — insbesondere das Training von KI-Modellen, die Weitergabe an Dritte oder die Nutzung für Werbezwecke — ist ausdrücklich untersagt.

§ 3 Art der personenbezogenen Daten

Gegenstand der Verarbeitung sind folgende Kategorien personenbezogener Daten:

Stammdaten von Mandanten: Name, Anschrift, Geburtsdatum, Kontaktdaten
Verfahrensdaten: Fallbezeichnungen, Aktenzeichen, Verfahrensstatus, Fristen
Dokumenteninhalte: Verträge, Schriftsätze, Gerichtsentscheidungen, Gutachten und sonstige hochgeladene Rechtsdokumente mit darin enthaltenen personenbezogenen Daten
Kommunikationsinhalte: Eingaben und Anfragen im Rahmen der KI-Recherchefunktion
Kanzleidaten: Konto- und Profildaten der Nutzer (Name, E-Mail-Adresse, Rolle)

Besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO (z.B. Gesundheitsdaten, Daten zu strafbaren Handlungen) können im Rahmen der Verarbeitung von Mandantendokumenten anfallen. Der Verantwortliche ist für die rechtmäßige Verarbeitung solcher Daten selbst verantwortlich und hat den Auftragsverarbeiter vorab zu informieren, wenn solche Daten in erheblichem Umfang verarbeitet werden.

§ 4 Kategorien betroffener Personen

Die Verarbeitung betrifft folgende Kategorien betroffener Personen:

Mandanten des Verantwortlichen und deren Angehörige
Vertragspartner, Prozessgegner und sonstige am Verfahren beteiligte Personen
Mitarbeiterinnen und Mitarbeiter der Kanzlei, die die Plattform nutzen
Sonstige in hochgeladenen Dokumenten genannte natürliche Personen

§ 5 Pflichten des Auftragsverarbeiters

(1) Weisungsgebundenheit: Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Plattform durch den Verantwortlichen gilt als Weisung im Sinne dieser Bestimmung. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt.

(2) Vertraulichkeit: Der Auftragsverarbeiter stellt sicher, dass sich alle zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Diese Verpflichtung schließt die Einhaltung des § 203 StGB (Verletzung von Berufsgeheimnissen) ausdrücklich ein.

(3) Sicherheit: Der Auftragsverarbeiter ergreift alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (TOMs) gemäß Anlage 1 zu diesem AVV.

(4) Unterauftragsverarbeiter: Der Auftragsverarbeiter schaltet Unterauftragsverarbeiter nur gemäß § 7 dieses AVV ein.

(5) Unterstützung: Der Auftragsverarbeiter unterstützt den Verantwortlichen soweit möglich bei der Erfüllung von Anfragen betroffener Personen sowie bei der Einhaltung der Pflichten gemäß Art. 32–36 DSGVO.

(6) Löschung und Rückgabe: Nach Abschluss der Verarbeitung löscht oder gibt der Auftragsverarbeiter alle personenbezogenen Daten gemäß § 9 zurück.

(7) Nachweise: Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zur Verfügung, um die Einhaltung der in Art. 28 DSGVO festgelegten Pflichten nachzuweisen.

§ 6 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist allein für die Rechtmäßigkeit der Datenverarbeitung und die Wahrung der Rechte der betroffenen Personen verantwortlich.

(2) Der Verantwortliche stellt sicher, dass er über eine geeignete Rechtsgrundlage für die Übermittlung personenbezogener Daten an den Auftragsverarbeiter verfügt.

(3) Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Überprüfung der Verarbeitungsergebnisse feststellt.

(4) Der Verantwortliche weist seine Nutzer auf die Pflichten aus diesem AVV sowie auf den ausschließlichen Einsatz der Plattform als Arbeitswerkzeug für juristisch ausgebildete Fachkräfte hin.

(5) Der Verantwortliche ist für die anwaltliche Prüfung aller KI-generierten Inhalte vor deren Verwendung verantwortlich.

§ 7 Unterauftragsverarbeiter

(1) Der Einsatz von Unterauftragsverarbeitern ist dem Auftragsverarbeiter nur nach vorheriger schriftlicher Genehmigung des Verantwortlichen gestattet. Eine allgemeine Genehmigung gilt als erteilt für die in Anlage 2 dieses AVV aufgeführten Unterauftragsverarbeiter.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen hinsichtlich der Hinzuziehung oder des Austauschs von Unterauftragsverarbeitern mindestens 30 Tage vor Inkrafttreten. Der Verantwortliche hat das Recht, solchen Änderungen zu widersprechen.

(3) Der Auftragsverarbeiter stellt sicher, dass Unterauftragsverarbeiter den Datenschutzpflichten dieses AVV in gleichem Umfang unterliegen.

§ 8 Kontrollrechte des Verantwortlichen

(1) Der Verantwortliche hat das Recht, die Einhaltung der datenschutzrechtlichen Vorschriften und der Bestimmungen dieses AVV durch den Auftragsverarbeiter zu überprüfen. Kontrollen sind mit angemessener Vorankündigung (mindestens 14 Tage) durchzuführen und dürfen den Betrieb des Auftragsverarbeiters nicht unverhältnismäßig beeinträchtigen.

(2) Der Auftragsverarbeiter ist berechtigt, Kontrollen auf die Vorlage aktueller Zertifizierungen oder Prüfberichte anerkannter unabhängiger Stellen zu beschränken, sofern der Verantwortliche dadurch ausreichend informiert wird.

§ 9 Löschung und Rückgabe nach Vertragsende

(1) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter alle verarbeiteten personenbezogenen Daten des Verantwortlichen, sofern keine gesetzliche Pflicht zur weiteren Aufbewahrung besteht.

(2) Auf Anfrage des Verantwortlichen werden die Daten vor der Löschung in einem maschinenlesbaren Format (JSON oder CSV) zum Export bereitgestellt. Der Verantwortliche hat ab Vertragsende 30 Tage Zeit, seine Daten zu exportieren.

(3) Die vollständige Löschung erfolgt spätestens 90 Tage nach Vertragsende. Der Auftragsverarbeiter bestätigt die Löschung auf Anfrage schriftlich.

§ 10 Datenpannen (Art. 33–34 DSGVO)

(1) Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Bekanntwerden, über Verletzungen des Schutzes personenbezogener Daten (Datenpannen), soweit diese die Daten des Verantwortlichen betreffen.

(2) Die Meldung enthält mindestens: Art der Datenpanne, betroffene Datenkategorien und Personengruppen, wahrscheinliche Folgen sowie die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen.

(3) Der Verantwortliche ist allein für die Meldung an die zuständige Aufsichtsbehörde (Österreichische Datenschutzbehörde) und ggf. an betroffene Personen verantwortlich.

§ 11 Anwendbares Recht und Gerichtsstand

Für diesen AVV gilt österreichisches Recht. Gerichtsstand ist Wien, Österreich. Im Übrigen gelten die Regelungen des Hauptvertrags (AGB von Juristi).

Anlage 1 — Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter ergreift folgende Maßnahmen gemäß Art. 32 DSGVO:

Zutrittskontrolle

Server in gesicherten Rechenzentren mit physischer Zugangskontrolle
Unbefugten ist der Zutritt zu Datenverarbeitungsanlagen verwehrt

Zugangskontrolle

Passwortgeschützte Zugänge mit Mindestanforderungen an Passwortstärke
Zwei-Faktor-Authentifizierung für administrative Zugänge
Automatische Sitzungsabmeldung nach Inaktivität

Zugriffskontrolle

Rollenbasiertes Berechtigungskonzept (Principle of Least Privilege)
Mandantentrennung: Kanzlei A kann keine Daten von Kanzlei B einsehen (technisch erzwungen durch Row-Level Security)
Protokollierung aller Datenzugriffe in Audit-Logs

Übertragungssicherheit

Ausschließlich verschlüsselte Datenübertragung via HTTPS/TLS 1.2 oder höher
Kein unverschlüsselter Datentransfer

Datensicherung

Regelmäßige automatische Datensicherungen
Getrennte Speicherung der Backups
Regelmäßige Wiederherstellungstests

Verfügbarkeitskontrolle

Monitoring und Alarmierung bei Systemausfällen
Angestrebte Verfügbarkeit gemäß Hauptvertrag

Trennungsgebot

Produktivdaten und Testdaten sind strikt getrennt
Mandantendaten werden getrennt nach Kanzlei verarbeitet und gespeichert

Anlage 2 — Genehmigte Unterauftragsverarbeiter

Folgende Unterauftragsverarbeiter werden im Rahmen der Leistungserbringung eingesetzt. Alle Unterauftragsverarbeiter sind vertraglich auf DSGVO-Konformität verpflichtet:

Unterauftragsverarbeiter	Leistung	Serverstandort
Helloly	Webhosting und Datenbankhosting	Österreich (Linz)
Anthropic, PBC	KI-Inferenz — Verarbeitung von Anfragen und Dokumenten durch Claude (Sonnet / Opus)	USA ⚠ (siehe Hinweis unten)
Stripe Payments Europe, Ltd.	Zahlungsabwicklung (Kreditkarte, SEPA)	EU (Irland)

⚠ Hinweis zu Anthropic (USA): Die KI-Verarbeitung durch Anthropic erfolgt auf Servern in den USA. Anthropic stellt einen Auftragsverarbeitungsvertrag (DPA) und Standardvertragsklauseln (SCCs) nach Art. 46 Abs. 2 lit. c DSGVO bereit. Der Verantwortliche nimmt zur Kenntnis, dass bei der Nutzung der KI-Funktionen Abfrageinhalte an Anthropic in die USA übermittelt werden und erklärt sich damit ausdrücklich einverstanden. Es werden keine vollständigen Mandantendokumente ohne Einwilligung übermittelt. Juristi empfiehlt, in KI-Anfragen Klarnamen von Mandanten durch Pseudonyme zu ersetzen.

Änderungen an dieser Liste werden dem Verantwortlichen gemäß § 7 Abs. 2 dieses AVV mitgeteilt.

Fragen zum AVV

Für Fragen zu diesem Auftragsverarbeitungsvertrag, zur Unterzeichnung oder zur Ausstellung eines individuellen AVV für Ihre Kanzlei wenden Sie sich bitte an:

datenschutz@juristi.at

Hinweis: Die Nutzung der produktiven Juristi-Applikation für Mandantendaten gilt als Zustimmung zu diesem AVV. Für Kanzleien, die einen individuell unterzeichneten AVV benötigen, stellen wir diesen auf Anfrage in PDF-Form zur Verfügung.