Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO

Vertragsparteien

Auftragnehmer / Auftragsverarbeiter:

Lennard Ungruhe

Ignivia – Artificial Intelligence Services

Am Steintor 56a

48167 Münster-Wolbeck

Deutschland

E-Mail: kontakt@ignivia.de

Auftraggeber / Verantwortlicher:

Auftraggeber ist der jeweilige Kunde von Ignivia, dessen Unternehmensdaten im Kundenkonto bzw. Onboarding hinterlegt sind. Die Identität des Auftraggebers ergibt sich aus dem im Tenant-Datenbestand gespeicherten Firmennamen, Sitz, E-Mail-Adresse und Ansprechpartner sowie aus den bestätigten Datenschutzangaben.

Präambel

Die Vertragsparteien haben einen Hauptvertrag über die Nutzung der SaaS-Plattform „Ignivia" geschlossen. Ignivia ist eine Multi-Tenant-SaaS-Lösung, die einen KI-gestützten digitalen Mitarbeiter für die Website des Verantwortlichen bereitstellt, Anfragen von Website-Besuchern (allgemeine Anfrage, Angebot, Termin, Rückruf) strukturiert entgegennimmt, daraus die Datenschutzinformation zum digitalen Mitarbeiter erzeugt und ein Kunden-Dashboard mit Onboarding umfasst.

Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen. Dieser AVV regelt die datenschutzrechtlichen Pflichten beider Seiten, insbesondere die nach Art. 28 DSGVO erforderlichen Bestimmungen. Er ergänzt den Hauptvertrag; bei Widersprüchen hinsichtlich der Verarbeitung personenbezogener Daten geht dieser AVV vor.

Ergänzende Informationen zur Datenverarbeitung durch Ignivia ergeben sich aus den jeweils aktuellen Datenschutzinformationen von Ignivia. Diese dienen der Information und werden nicht Bestandteil dieses AVV.

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen bei der Bereitstellung der Plattform. Die Beschreibung der Verarbeitung ergibt sich aus Anlage 1.

(2) Dieser AVV beginnt mit Wirksamkeit des Hauptvertrages und endet mit dessen Beendigung. Eine vorzeitige ordentliche Kündigung ist ausgeschlossen, soweit der Hauptvertrag fortbesteht.

(3) Außerordentliche Kündigungsrechte bleiben unberührt. Ein außerordentlicher Kündigungsgrund liegt insbesondere vor, wenn der Auftragsverarbeiter wesentliche Pflichten aus diesem AVV trotz Abmahnung und angemessener Frist zur Abhilfe nicht erfüllt.

(4) Die Verpflichtungen aus § 7 (Vertraulichkeit) und § 13 (Löschung und Rückgabe) bestehen nach Beendigung fort.

§ 2 Art und Zweck der Verarbeitung; Weisungen

(1) Art und Zweck ergeben sich aus Anlage 1. Sie umfassen insbesondere die Auslieferung des in die Website eingebundenen Widgets, die automatisierte Prüfung von Besuchernachrichten vor der KI-Verarbeitung, die KI-gestützte Beantwortung von Besucheranfragen, die Entgegennahme und Bereitstellung von Anfragen, die Benachrichtigung des Verantwortlichen, die Erzeugung und Veröffentlichung der Datenschutzinformation zum digitalen Mitarbeiter, die Nachweise über angezeigte Hinweise, die Themen-Zähler sowie das Dashboard einschließlich seiner Kennzahlen.

(2) Die Verarbeitung erfolgt auf Grundlage dokumentierter Weisungen des Verantwortlichen. Als dokumentierte Weisung gelten dieser AVV mit Anlagen, der Hauptvertrag, die Konfiguration des digitalen Mitarbeiters durch den Verantwortlichen einschließlich seiner Anzeige-Freigaben, die von ihm bestätigten Datenschutzangaben einschließlich der Verwendung der von Ignivia gepflegten Vorlage der Datenschutzinformation, die Löschfristen nach § 13 sowie die Aktivierung der Plattform.

(3) Die Inanspruchnahme der in Anlage 3 genannten Sub-Auftragsverarbeiter einschließlich der dort beschriebenen Übermittlungen in Drittländer erfolgt ebenfalls auf dokumentierte Weisung (Art. 28 Abs. 3 lit. a DSGVO).

(4) Der Auftragsverarbeiter verarbeitet die Daten des Verantwortlichen ausschließlich zur Erfüllung des Hauptvertrages und dieses AVV. Nicht Gegenstand dieses AVV sind folgende Verarbeitungen, deren Zwecke und Mittel der Auftragsverarbeiter einheitlich für alle Kunden selbst festlegt und für die er eigener Verantwortlicher ist (Art. 4 Nr. 7, Art. 28 Abs. 10 DSGVO):

a) Limit-Zähler je Sitzungskennung, Anschluss (SHA-256-Hash aus IP-Adresse und Kennung des Verantwortlichen) und Betrieb zum Schutz der Plattform vor Missbrauch und Überlastung,

b) Nutzungszähler (Zeitpunkt, Gesprächskennung, Umfang, geschätzte Kosten, ohne Inhalte) zur Kontrolle der Kosten des KI-Dienstleisters und vertraglicher Nutzungsgrenzen,

c) technische Protokolle des Hosting-Dienstleisters zur Fehlersuche und Abwehr von Angriffen.

Dafür werden keine Nachrichten- oder Formularinhalte verwendet. Der Auftragsverarbeiter informiert die Besucher darüber in einem eigenen, als solchen gekennzeichneten Abschnitt der Datenschutzinformation zum digitalen Mitarbeiter und erfüllt insoweit die Rechte betroffener Personen selbst. Die aus den Nutzungszählern gebildeten Kennzahlen im Dashboard des Verantwortlichen bleiben Auftragsverarbeitung.

(5) Die Daten werden nicht zum Training eigener oder fremder KI-Modelle bereitgestellt; zum KI-Dienstleister siehe Anlage 3.

(6) Eine Verarbeitung außerhalb der EU oder des EWR erfolgt nur unter den Bedingungen von § 9 und Anlage 3.

(7) Ebenfalls nicht Gegenstand dieses AVV ist die Vorbereitung einer persönlichen Konfiguration vor Vertragsschluss (Vorkonfiguration), insbesondere die Analyse öffentlich zugänglicher Seiten der Unternehmenswebsite des Verantwortlichen und die Strukturierung von Gesprächsnotizen. Diese Verarbeitung nimmt der Auftragsverarbeiter vor Vertragsschluss in eigener Verantwortung vor; er informiert darüber in seiner eigenen Datenschutzerklärung. Mit der Einlösung einer Vorkonfiguration werden die bestätigten Angaben Bestandteil der Konfiguration nach Absatz 2.

§ 3 Datenkategorien

(1) Verarbeitet werden können insbesondere:

(2) Zahlungsdaten werden im Rahmen der Auftragsverarbeitung nicht verarbeitet. Die Zahlungsabwicklung zwischen den Parteien ist nicht Gegenstand dieses AVV.

(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO):

a) Die Plattform ist nicht für Einsatzzwecke bestimmt, bei denen Besucheranfragen regelmäßig besondere Kategorien enthalten, insbesondere nicht für Gesundheitsberufe wie Arzt-, Zahnarzt- oder Therapiepraxen; solche Branchen sind im Onboarding nicht auswählbar. Vor dem Chat werden Besucher gebeten, keine Gesundheitsdaten, religiösen oder politischen Überzeugungen oder vergleichbar sensiblen Angaben einzugeben. Der digitale Mitarbeiter ist angewiesen, solche Angaben nicht zu erfragen und freiwillig genannte nicht zu wiederholen. Chat-Nachrichten, in denen Angaben nach Art. 9 oder Art. 10 DSGVO mit Bezug auf eine Person automatisch erkannt werden, werden weder gespeichert noch an den KI-Dienstleister übermittelt; im Gesprächskontext einer Anfrage werden solche Nachrichten durch einen Platzhalter ersetzt (Anlage 2 Nr. 5). Die Erkennung beruht auf festgelegten Regeln und Mustern und ist nicht lückenlos.

b) Da Chat und Formulare Freitext zulassen, kann nicht ausgeschlossen werden, dass Besucher solche Angaben von sich aus machen. Freitext in Anfrageformularen wird nicht automatisch gefiltert.

c) Der Verantwortliche setzt die Plattform nicht für Einsatzzwecke nach lit. a ein und veranlasst keine Abfrage solcher Angaben, weder über seine Konfiguration noch über das hinterlegte Unternehmenswissen oder die Formularnutzung. Soweit Besucher solche Angaben dennoch machen, sorgt er für eine etwaig erforderliche Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO und löscht nicht benötigte Angaben aus Anfragen.

d) Der Auftragsverarbeiter verarbeitet solche Angaben nur im Rahmen der Weisungen. Art. 32 DSGVO gilt uneingeschränkt; eingesetzt werden die Maßnahmen nach § 8 und Anlage 2. Ob diese für die vom Verantwortlichen vorgesehene Verarbeitung angemessen sind, beurteilt der Verantwortliche in seiner Risikobewertung (Art. 24, 32, 35 DSGVO); der Auftragsverarbeiter unterstützt nach § 11 Abs. 5. Branchenspezifische Zertifizierungen werden nicht zugesichert.

§ 4 Betroffene Personen

Besucher der Website des Verantwortlichen, Interessenten und Kunden des Verantwortlichen sowie Mitarbeitende und Inhaber des Verantwortlichen, soweit ihre Daten in Konfiguration, Datenschutzangaben oder Dashboard verarbeitet werden.

§ 5 Rechte und Pflichten des Verantwortlichen

(1) Der Verantwortliche ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Er verantwortet insbesondere die Rechtmäßigkeit der Verarbeitung, die Zwecke, die Rechtsgrundlagen, die Information der betroffenen Personen, die Zulässigkeit seiner Weisungen und die datenschutzkonforme Konfiguration. Die eigenen gesetzlichen Pflichten des Auftragsverarbeiters bleiben unberührt.

(2) Für die Information der Besucher über den digitalen Mitarbeiter stellt der Auftragsverarbeiter die Datenschutzinformation zum digitalen Mitarbeiter bereit und verlinkt sie im Widget. Der Verantwortliche prüft und bestätigt die dafür erforderlichen Angaben über sein Kundenkonto, hält sie aktuell und kann die daraus erzeugte Information jederzeit einsehen. Für die übrigen Verarbeitungen auf seiner Website, einschließlich des Hinweises in seiner allgemeinen Datenschutzerklärung, dass beim Seitenaufruf das Widget vom Auftragsverarbeiter geladen wird, bleibt der Verantwortliche verantwortlich; der Auftragsverarbeiter stellt dafür einen Mustersatz bereit.

(3) Der Verantwortliche gewährt den Zugriff auf das Dashboard nur berechtigten Personen und erteilt Weisungen in Textform (E-Mail genügt).

(4) Gesetzliche Aufbewahrungspflichten des Verantwortlichen (z. B. § 257 HGB, § 147 AO) erfüllt dieser in eigenen Systemen. Die Plattform ist kein Archivsystem; die Fristen nach § 13 Abs. 4 gelten unabhängig davon. Für die Sicherung von Anfragen, die er über die Löschfristen hinaus oder unabhängig von der Verfügbarkeit der Plattform benötigt, sorgt der Verantwortliche selbst, etwa durch Anforderung einer Herausgabe nach § 13 Abs. 1 oder – soweit aktiviert – über die E-Mail-Benachrichtigung (Anlage 2 Nr. 3).

(5) Der Verantwortliche kann sich von der Einhaltung der technischen und organisatorischen Maßnahmen nach § 12 überzeugen.

§ 6 Rechte und Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der Vereinbarungen und nach Weisungen des Verantwortlichen, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaates zu einer anderen Verarbeitung verpflichtet ist (Art. 28 Abs. 3 lit. a DSGVO).

(2) Er informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt (Art. 28 Abs. 3 Satz 3 DSGVO).

(3) Er wählt die mit der Verarbeitung befassten Personen sorgfältig aus, unterweist sie datenschutzrechtlich und verpflichtet sie auf Vertraulichkeit.

(4) Er trifft die technischen und organisatorischen Maßnahmen nach Anlage 2 und hält sie während der Vertragslaufzeit aufrecht. Ändert er eine Maßnahme so, dass das Schutzniveau sinkt, informiert er den Verantwortlichen vorab in Textform.

(5) Er führt, soweit gesetzlich erforderlich, ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

(6) Datenschutzfragen zu diesem AVV richtet der Verantwortliche an kontakt@ignivia.de. Benennt der Auftragsverarbeiter einen Datenschutzbeauftragten, teilt er dessen Kontaktdaten dem Verantwortlichen in Textform mit.

(7) Zugriff durch den Auftragsverarbeiter: Personen mit Administratorberechtigung beim Auftragsverarbeiter können Anfragen des Verantwortlichen einschließlich Kontaktdaten, Anliegen und mitgesendetem Gesprächskontext einsehen und deren Bearbeitungsstatus ändern sowie die Konfiguration des digitalen Mitarbeiters bearbeiten. Dies geschieht ausschließlich zur Betreuung des Verantwortlichen, zur Behebung von Fehlern und zur technischen Unterstützung im Rahmen dieses AVV, nicht für eigene Zwecke des Auftragsverarbeiters. Der Zugriff ist auf Konten mit Administratorberechtigung beschränkt; Änderungen an der Konfiguration werden nach Anlage 2 Nr. 4 protokolliert.

§ 7 Vertraulichkeit

(1) Der Auftragsverarbeiter behandelt alle im Rahmen der Auftragsverarbeitung erlangten personenbezogenen Daten vertraulich, auch nach Beendigung dieses AVV.

(2) Die mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO).

§ 8 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO.

(2) Dazu gehören insbesondere die logische Mandantentrennung durch zeilenbasierte Zugriffsregeln, ein rollenbasiertes Berechtigungskonzept, Transportverschlüsselung, Verschlüsselung im Ruhezustand durch den Datenbankdienstleister, die automatisierte Prüfung von Besuchernachrichten vor der KI-Verarbeitung, die Pseudonymisierung des Anschlussbezugs in Limit-Zählern, automatische Löschläufe mit Prüfung des Rückstands, unveränderliche Archive der veröffentlichten Datenschutzinformationen und Bestätigungsnachweise sowie Notabschaltungen.

(3) Die Maßnahmen werden bei Bedarf, mindestens jährlich, überprüft und an den Stand der Technik angepasst.

§ 9 Sub-Auftragsverarbeiter

(1) Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung zur Inanspruchnahme der in Anlage 3 genannten Sub-Auftragsverarbeiter (Art. 28 Abs. 2 Satz 2 DSGVO).

(2) Der Auftragsverarbeiter informiert über beabsichtigte Hinzuziehungen oder Ersetzungen mit einer Vorlauffrist von mindestens 30 Tagen in Textform an die im Kundenkonto hinterlegte E-Mail-Adresse und dokumentiert die Information.

(3) Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Kommt keine einvernehmliche Lösung zustande, steht ihm ein Sonderkündigungsrecht hinsichtlich der betroffenen Leistung zu.

(4) Ersetzt ein Sub-Auftragsverarbeiter seinerseits einen Dienstleister mit kürzerer Ankündigungsfrist, informiert der Auftragsverarbeiter unverzüglich nach eigener Kenntnis; das Widerspruchsrecht bleibt bestehen.

(5) Mit jedem Sub-Auftragsverarbeiter besteht ein Vertrag, der dem Schutzniveau dieses AVV entspricht (Art. 28 Abs. 4 DSGVO).

(6) Der Auftragsverarbeiter haftet für die Einhaltung der Pflichten durch Sub-Auftragsverarbeiter wie für eigenes Handeln.

(7) Übermittlungen außerhalb der EU/des EWR beruhen auf einem Mechanismus nach Kapitel V DSGVO – einem Angemessenheitsbeschluss (Art. 45 DSGVO, für die USA das EU-US Data Privacy Framework bei zertifizierten Empfängern) oder den Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Der Mechanismus je Dienstleister ist in Anlage 3 ausgewiesen.

§ 10 Unterstützung bei Betroffenenrechten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen im erforderlichen und möglichen Umfang bei Anträgen nach Art. 12 bis 23 DSGVO.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser den Antrag unverzüglich weiter, soweit der Bezug zum Verantwortlichen erkennbar ist.

(3) Im Dashboard stehen dafür insbesondere Einsicht, Bearbeitung und Löschung von Anfragen zur Verfügung. Chats werden nur mit zufälligen Kennungen gespeichert und nach kurzer Frist gelöscht; auf Anfrage sucht der Auftragsverarbeiter anhand von Zeitpunkt und Inhalt nach noch vorhandenen Daten. Chat-Nachrichten, die nach Anlage 2 Nr. 5 lokal blockiert wurden, sind nicht gespeichert.

§ 11 Datenschutzvorfälle und Unterstützung nach Art. 32 bis 36 DSGVO

(1) Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich nach Bekanntwerden über jede Verletzung des Schutzes personenbezogener Daten in seinem Verantwortungsbereich oder dem eines Sub-Auftragsverarbeiters (Art. 33 Abs. 2 DSGVO), so rechtzeitig, dass der Verantwortliche die Frist von 72 Stunden nach Art. 33 Abs. 1 DSGVO einhalten kann.

(2) Die Meldung enthält, soweit bekannt, Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen und eine auskunftsfähige Kontaktstelle.

(3) Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht.

(4) Der Auftragsverarbeiter unterstützt bei Meldungen an Aufsichtsbehörden (Art. 33) und Benachrichtigungen betroffener Personen (Art. 34 DSGVO).

(5) Er unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen bei den Pflichten aus Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO), insbesondere durch aktuelle Beschreibungen nach Anlage 1 und 2, Auskünfte zu Sub-Auftragsverarbeitern, Verarbeitungsorten und Transfermechanismen, zu Löschfristen und Schutzmechanismen sowie Antworten auf Einzelfragen zur Sicherheit. Führt der Verantwortliche eine Datenschutz-Folgenabschätzung durch oder konsultiert er die Aufsichtsbehörde, stellt der Auftragsverarbeiter auf Anfrage die dafür erforderlichen Informationen zum digitalen Mitarbeiter bereit, insbesondere zu Funktionsweise und Einsatz der KI, Datenflüssen, eingesetzten Dienstleistern, Drittlandtransfers, Löschfristen, technischen und organisatorischen Maßnahmen sowie zu bekannten Risiken und Grenzen der Schutzmaßnahmen, einschließlich der dokumentierten Prüfergebnisse der automatisierten Nachrichtenprüfung.

(6) Die Prüfung, ob eine Datenschutz-Folgenabschätzung erforderlich ist, deren Durchführung, die Bewertung der Risiken im konkreten Einsatz und die Entscheidung über eine vorherige Konsultation obliegen dem Verantwortlichen (Art. 35, 36 DSGVO). Unterlagen des Auftragsverarbeiters unterstützen diese Bewertung, ersetzen sie aber nicht.

§ 12 Kontrollrechte

(1) Der Verantwortliche kann sich von der Einhaltung der vereinbarten Maßnahmen überzeugen (Art. 28 Abs. 3 lit. h DSGVO); der Auftragsverarbeiter stellt die erforderlichen Informationen bereit und ermöglicht Überprüfungen einschließlich Inspektionen.

(2) Kontrollen erfolgen insbesondere durch schriftliche Nachweise und Auskünfte, Vorlage vorhandener Testate oder Berichte der Sub-Auftragsverarbeiter, soweit weitergabeberechtigt, sowie nach angemessener Vorankündigung durch Vor-Ort-Überprüfung oder Remote-Audit.

(3) Die Vorankündigung beträgt in der Regel 14 Tage; bei konkretem Verdacht, nach einem Vorfall oder auf Verlangen einer Aufsichtsbehörde auch kurzfristig.

(4) Regelmäßige Kontrollen finden üblicherweise einmal jährlich statt; anlassbezogene Kontrollen sind nicht beschränkt.

(5) Eigene Kosten einer Vor-Ort-Kontrolle trägt der Verantwortliche; stellt sich ein nicht unerheblicher Verstoß heraus, trägt sie der Auftragsverarbeiter. Informationen nach Absatz 2 sind kostenfrei.

§ 13 Löschung und Rückgabe

(1) Vertragsende und Offboarding: Endet die Berechtigung zur Nutzung zu einem feststehenden Zeitpunkt (Ende des bezahlten Zeitraums nach Kündigung oder Ende einer Testphase ohne Abonnement), wird der digitale Mitarbeiter sofort ausgeblendet. Während eines Übergangszeitraums von 30 Tagen kann der Verantwortliche die Nutzung reaktivieren oder in Textform die Herausgabe der gespeicherten Anfragen einschließlich Notizen, Aktivitäten und Wiedervorlagen verlangen. Der Auftragsverarbeiter stellt ihm die vorhandenen Daten innerhalb des Übergangszeitraums in einem gängigen elektronischen Format bereit. Die Bereitstellung erfolgt durch den Auftragsverarbeiter; eine Exportfunktion im Dashboard besteht derzeit nicht. Nach Ablauf löscht der Auftragsverarbeiter automatisiert alle Daten der Website-Besucher des Verantwortlichen (Anfragen mit Gesprächskontext, Notizen, Aktivitäten und Wiedervorlagen, Nachweise, Chats) und schaltet die Datenschutzinformation zum digitalen Mitarbeiter ab. Trifft der Verantwortliche keine Wahl, gilt dies als Weisung zur Löschung (Art. 28 Abs. 3 lit. g DSGVO). Ist ein Ende nicht feststehend (z. B. offene Zahlung), erfolgt keine automatische Löschung nach diesem Absatz; die Fristen nach Absatz 4 gelten weiter.

(2) Die Datenschutzinformation bleibt abrufbar, solange Daten von Website-Besuchern gespeichert sind, und wird erst danach abgeschaltet.

(3) Gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters bleiben unberührt.

(4) Unabhängig vom Vertragsende löscht das System automatisch (dokumentierte Weisung):

Der Verantwortliche kann Anfragen im Dashboard jederzeit früher löschen. Unabhängig davon löscht der Auftragsverarbeiter in eigener Verantwortung (§ 2 Abs. 4) Limit-Zähler nach Ende ihres Zeitfensters (besucher- und anschlussbezogen höchstens einen Tag und eine Stunde) und Nutzungszähler nach 62 Tagen.

(5) Die Fristen nach Absatz 4 betreffen die Datenbestände des Auftragsverarbeiters. Im derzeit eingesetzten Tarif des Datenbankdienstleisters bestehen keine automatischen Datensicherungen der Datenbank; gelöschte Daten verbleiben daher nicht in Datensicherungen des Auftragsverarbeiters. Führt der Auftragsverarbeiter Datensicherungen ein, teilt er dem Verantwortlichen deren Aufbewahrungsdauer in Textform mit. Für Sub-Auftragsverarbeiter gelten deren Fristen nach Anlage 3; insbesondere werden an den KI-Dienstleister übermittelte Inhalte dort nicht mit dem Ende des Website-Besuchs und nicht innerhalb der Fristen nach Absatz 4 gelöscht.

(6) Die bestätigten Datenschutzangaben, die archivierten Fassungen der Datenschutzinformation, versionierte Vertragstexte und Zustimmungs- sowie Bestätigungsnachweise auf Ebene des Verantwortlichen werden unveränderlich geführt, damit sie beweissicher belegbar bleiben. Sie werden für die Dauer des Vertragsverhältnisses und darüber hinaus aufbewahrt, solange gesetzliche Aufbewahrungspflichten bestehen oder sie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind, und danach gelöscht.

§ 14 Haftung

(1) Für die Haftung gelten Art. 82 DSGVO, die sonstigen gesetzlichen Vorschriften und die ergänzenden Regelungen des Hauptvertrages, soweit sie datenschutzrechtlichen Vorgaben nicht widersprechen.

(2) Im Außenverhältnis haften die Parteien nach Art. 82 DSGVO; im Innenverhältnis haftet jede Partei für Schäden aus ihr zurechenbaren Pflichtverletzungen.

(3) Haftungsbeschränkungen des Hauptvertrages gelten, soweit gesetzlich zulässig, nicht jedoch für Vorsatz, grobe Fahrlässigkeit und Verletzungen von Leben, Körper oder Gesundheit. Ansprüche nach Art. 82 DSGVO und Befugnisse der Aufsichtsbehörden bleiben unberührt.

§ 15 Schlussbestimmungen

(1) Änderungen bedürfen der Textform. Eine geänderte Fassung wird als neue Version veröffentlicht und dem Verantwortlichen zur erneuten Annahme vorgelegt, soweit sie inhaltlich wesentlich ist.

(2) Ist eine Bestimmung unwirksam, bleibt die Wirksamkeit der übrigen unberührt.

(3) Es gilt deutsches Recht unter Ausschluss des Kollisionsrechts und des UN-Kaufrechts.

(4) Gerichtsstand ist – soweit gesetzlich zulässig – Münster (Westf.).

(5) Bestandteile sind Anlage 1 (Beschreibung der Verarbeitung), Anlage 2 (Technische und organisatorische Maßnahmen) und Anlage 3 (Sub-Auftragsverarbeiter).

Annahmevermerk (digitale Annahme)

Dieser AVV wird vom Verantwortlichen elektronisch angenommen; Art. 28 Abs. 9 DSGVO lässt die elektronische Form zu. Protokolliert werden Tenant-Kennung, zustimmender authentifizierter Nutzer, Zeitpunkt und die exakt angenommene Dokumentversion mit Prüfsumme (SHA-256). Der Vertragstext wird unveränderlich geführt; eine neue Fassung entsteht nur als neue Version.

Anlage 1 – Beschreibung der Verarbeitung

Zweck: Bereitstellung und Betrieb der SaaS-Plattform „Ignivia" als digitaler Empfang auf der Website des Verantwortlichen einschließlich der automatisierten Prüfung von Besuchernachrichten vor der KI-Verarbeitung und der Datenschutzinformation zum digitalen Mitarbeiter.

Art: Erheben, Erfassen, Organisieren, Speichern, Anpassen (einschließlich Maskierung erkannter Angaben), Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung an den Verantwortlichen und an Sub-Auftragsverarbeiter, Veröffentlichen (Datenschutzinformation), Einschränken und Löschen.

Datenkategorien: § 3. Betroffene Personen: § 4. Dauer: Hauptvertrag; Löschung nach § 13.

Nicht Gegenstand: die Verarbeitungen in eigener Verantwortung des Auftragsverarbeiters nach § 2 Abs. 4 und Abs. 7.

Ablauf einer Chat-Nachricht:

1. Der Besucher öffnet das Widget, sieht den Hinweis vor dem Chat und wählt „Chat starten"; erst dann wird ein Nachweis gespeichert und eine Sitzungskennung im Session Storage abgelegt.

2. Jede Nachricht wird auf dem Server automatisiert geprüft, bevor sie gespeichert oder an den KI-Dienstleister übermittelt wird (Anlage 2 Nr. 5). Je nach Ergebnis wird sie unverändert verwendet, maskiert oder lokal blockiert.

3. Fragt der Besucher nach vom Verantwortlichen freigegebenen Kontakt- oder Unternehmensangaben, wird die Antwort in der Regel ohne KI-Dienstleister aus der Datenbank erzeugt.

4. Andernfalls werden die geprüfte Nachricht, bis zu 20 vorherige Nachrichten desselben Gesprächs in ihrer gespeicherten, geprüften Fassung und ein Anweisungstext mit den Unternehmensangaben an den KI-Dienstleister übermittelt.

5. Die Antwort wird vor der Anzeige auf nicht freigegebene Kontaktangaben des Verantwortlichen geprüft, gespeichert und angezeigt.

6. Anfrageformulare werden getrennt vom Chat verarbeitet und nicht an den KI-Dienstleister übermittelt.

7. Beim Verlassen einer Seite meldet das Widget das Ende (nur Sitzungs- und Gesprächskennung); ohne Wiederaufnahme innerhalb von 45 Sekunden wird die Unterhaltung gelöscht. Solange eine Seite mit laufendem Chat geöffnet und sichtbar ist, sendet das Widget etwa alle 4 Minuten ein technisches Lebenszeichen ohne Inhalte; ohne Abmeldung und ohne Lebenszeichen wird die Unterhaltung spätestens 15 Minuten nach der letzten erkennbaren Sitzungsaktivität gelöscht (§ 13 Abs. 4).

Verarbeitungsorte:

Anlage 2 – Technische und organisatorische Maßnahmen

Vorbemerkung: Beschrieben ist der tatsächlich umgesetzte Stand. Leistungen von Sub-Auftragsverarbeitern sind als solche gekennzeichnet; nicht umgesetzte Maßnahmen werden nicht zugesagt. Keine dieser Maßnahmen schließt jedes Risiko aus.

1. Vertraulichkeit und Zugriffskontrolle

2. Integrität

3. Verfügbarkeit und Belastbarkeit

4. Verfahren zur regelmäßigen Überprüfung und Steuerung

5. Spezifische Schutzmechanismen der Plattform

Der Auftragsverarbeiter setzt technische Maßnahmen ein, um erkannte personenbezogene und besonders sensible Angaben vor der KI-Verarbeitung zu blockieren oder zu maskieren und die Übermittlung solcher Daten an den KI-Dienstleister zu minimieren:

6. Auftragskontrolle gegenüber Sub-Auftragsverarbeitern

7. Nicht umgesetzt und daher nicht zugesagt

Anlage 3 – Sub-Auftragsverarbeiter

1. Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA

Leistung: Hosting, Ausführung der Serverfunktionen, Auslieferung der Anwendung und der Datenschutzinformation, Netzwerk.

Daten: technische Zugriffsdaten (u. a. IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserangaben) sowie für die Dauer der Verarbeitung die Inhalte der Anfragen (Chat-Nachrichten, Formularangaben, Nachweise). Keine dauerhafte inhaltliche Speicherung.

Ort: Serverfunktionen Frankfurt am Main (Region fra1); Entgegennahme der Anfragen, Auslieferung statischer Inhalte und Zugangsprüfung (Routing) am nächstgelegenen Standort des weltweiten Netzwerks; Zugriffe aus den USA möglich.

Aufbewahrung: Laufzeitprotokolle 1 Tag (Tarif Pro, ohne Observability Plus); keine Protokollweiterleitung (Log Drains), keine Web Analytics, keine Speed Insights.

Vertrag: Data Processing Addendum von Vercel für Kunden der Tarife Pro und Enterprise.

Drittlandtransfer: ja. Grundlage: EU-US Data Privacy Framework (Zertifizierung von Vercel nach dessen Angaben) und Standardvertragsklauseln aus dem Auftragsverarbeitungsvertrag von Vercel. Weitere Unterauftragsverarbeiter von Vercel: security.vercel.com.

2. Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapore 049513

Leistung: Datenbank, Authentifizierung, Erzeugung der Auth-System-E-Mails (Versand über Nr. 4).

Daten: alle in § 3 genannten Kategorien, soweit gespeichert.

Ort: Region Frankfurt am Main (eu-central-1); Zugriffe von Konzerngesellschaften und Unterauftragnehmern außerhalb der EU nicht ausgeschlossen. Verschlüsselung im Ruhezustand (AES-256) und bei Übertragung (TLS).

Datensicherung: Im derzeit eingesetzten Tarif keine automatischen Projekt-Datensicherungen.

Vertrag: Data Processing Addendum von Supabase.

Drittlandtransfer: möglich. Grundlage: Standardvertragsklauseln (Module 2 und 3) aus dem Auftragsverarbeitungsvertrag von Supabase (für Singapur besteht kein Angemessenheitsbeschluss). Weitere Unterauftragsverarbeiter: supabase.com/legal/customer-resources/subprocessor-list.

3. Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland

Leistung: KI-gestützte Antworten im Chat über die Programmierschnittstelle.

Vertragsgesellschaft: Nach den kommerziellen Vertragsbedingungen des Dienstleisters ist für Kunden mit Sitz im Europäischen Wirtschaftsraum, in der Schweiz und im Vereinigten Königreich die vorstehende Gesellschaft Vertragspartnerin; der Auftragsverarbeiter hat seinen Sitz in Deutschland. Der Sitz der Vertragsgesellschaft im Europäischen Wirtschaftsraum bedeutet nicht, dass die Verarbeitung auf den Europäischen Wirtschaftsraum beschränkt ist.

Übermittelt: die geprüfte, gegebenenfalls maskierte aktuelle Nachricht, bis zu 20 vorherige Nachrichten desselben Gesprächs in gespeicherter, geprüfter Fassung und ein Anweisungstext mit den Unternehmensangaben des Verantwortlichen, in dem direkte Kontaktdaten und Personennamen durch Rollenbezeichnungen ersetzt sind (Anlage 2 Nr. 5). Nicht übermittelt: IP-Adressen, Sitzungs- und Gesprächskennungen, Formularangaben, Zahlungs- und Vertragsdaten, Nachweise sowie lokal blockierte Nachrichten.

Training: Nach den kommerziellen Vertragsbedingungen darf der Dienstleister Inhalte aus der Nutzung seiner Dienste nicht zum Training von Modellen verwenden. Der Auftragsverarbeiter nimmt nicht an Programmen zur Freigabe von Daten für die Modellentwicklung teil, die Funktion für freiwilliges Feedback ist ausgeschaltet, und er übermittelt kein Feedback.

Aufbewahrung: Standard-Aufbewahrung des Dienstleisters; Löschung innerhalb von 30 Tagen. Bei Einstufung als möglicher Verstoß gegen die Nutzungsrichtlinien durch automatische Sicherheitssysteme bis zu 2 Jahre für Ein- und Ausgaben und bis zu 7 Jahre für die Ergebnisse der Sicherheitsbewertung; im Übrigen soweit gesetzlich erforderlich. Keine Vereinbarung über eine Verarbeitung ohne Speicherung (Zero Data Retention). § 13 Abs. 4 gilt hierfür nicht.

Ort: Berechnung weltweit (eingestellt: weltweite Verteilung, „Global routing"); Speicherung in den USA (Speicherort des Arbeitsbereichs).

Vertrag: Data Processing Addendum des Dienstleisters; Anthropic verarbeitet als Auftragsverarbeiter.

Drittlandbezug: ja. Das Data Processing Addendum des Dienstleisters regelt die internationalen Datentransfers und enthält für anwendbare Drittlandübermittlungen die EU-Standardvertragsklauseln (Module 2 und 3); Datenimporteur ist danach die vertragsschließende Anthropic-Gesellschaft. Eingesetzte Unterauftragsverarbeiter, darunter Anbieter von Cloud-Infrastruktur mit weltweitem Betrieb, verpflichtet der Dienstleister vertraglich auf Datenschutzpflichten (Liste: trust.anthropic.com/subprocessors). Welcher Mechanismus im Einzelfall für konzerninterne Übermittlungen oder Übermittlungen an Unterauftragsverarbeiter gilt, wird hier nicht dargestellt.

4. Plus Five Five, Inc. („Resend"), 2261 Market Street #5039, San Francisco, CA 94114, USA

Leistung: E-Mail-Versand, insbesondere Benachrichtigung des Verantwortlichen über neue Anfragen (Anfrageart, Name, Telefonnummer, E-Mail-Adresse, Firma, Anliegen, Eingangszeitpunkt; E-Mail-Adresse des Besuchers nur als Antwortadresse) sowie Auth- und System-E-Mails an Nutzer des Verantwortlichen; der Authentifizierungsdienst nach Nr. 2 nutzt Resend dafür als Versandserver (SMTP).

Ort: Versand über die Region Irland (eu-west-1); Speicherung von E-Mail- und Protokolldaten nach Angaben des Dienstleisters in den USA, unabhängig von der Versandregion.

Aufbewahrung: E-Mail- und Protokolldaten 30 Tage.

Tracking: Öffnungs- und Klickverfolgung nicht eingerichtet.

Vertrag: Data Processing Addendum des Dienstleisters; Resend verarbeitet die E-Mail-Daten als Auftragsverarbeiter und ist für Daten zum Nutzerkonto des Auftragsverarbeiters und zur Nutzung des Dienstes eigenständiger Verantwortlicher.

Drittlandtransfer: ja. Grundlage: EU-US Data Privacy Framework (Zertifizierung des Dienstleisters nach dessen Angaben) und Standardvertragsklauseln aus dessen Auftragsverarbeitungsvertrag. Weitere Unterauftragsverarbeiter: resend.com/legal/subprocessors.

Nicht als Sub-Auftragsverarbeiter eingeordnet

Zahlungsdienstleister: Die Zahlungsabwicklung betrifft nur das Vertragsverhältnis zwischen den Parteien; an ihn werden ausschließlich Stammdaten des Verantwortlichen übermittelt, keine Daten der betroffenen Personen nach § 4. Sollte sich das ändern, wird er nach § 9 aufgenommen.