Auftragsverarbeitungsvertrag (AVV)

Version 1.1. Dieser Vertrag gilt zwischen dir als Verantwortlichem und uns als Auftragsverarbeiter, sobald du botbuildr nutzt, um personenbezogene Daten deiner eigenen Kunden oder Websitebesucher zu verarbeiten. Er ergänzt die AGB.

1. Parteien

Verantwortlicher: du als Nutzer von botbuildr (nachfolgend „Auftraggeber").
Auftragsverarbeiter: Auffarth Systems LLC, 30 N Gould St, Ste N, Sheridan, WY 82801, USA · EU-Vertreter nach Art. 27 DSGVO: Prighter EU Rep GmbH, Schellinggasse 3/10, 1010 Wien, Österreich

2. Gegenstand und Dauer

Gegenstand ist die Bereitstellung der botbuildr-Plattform: Erstellen und Betreiben von KI-Chat-Agenten, deren Einbindung auf Websites des Auftraggebers oder seiner Kunden sowie die Weiterleitung erfasster Daten an vom Auftraggeber selbst gewählte Zielsysteme. Die Dauer entspricht der Laufzeit des Nutzungsverhältnisses.

3. Art, Umfang und Zweck der Verarbeitung

• Entgegennahme von Chat-Nachrichten der Websitebesucher und Übermittlung an das KI-Modell zur Erzeugung einer Antwort.
• Weiterleitung der vom Agenten erfassten Angaben (z. B. Name, E-Mail, Telefon, Anliegen) an die vom Auftraggeber konfigurierten Ziele (z. B. Automatisierungsdienst, Tabelle, E-Mail).
• Erhebung aggregierter Nutzungskennzahlen (Anzahl Gespräche, Nachrichten, Tokens) zur Abrechnung und Missbrauchsabwehr.
• Akquise-Funktion (nur für freigeschaltete Konten): Speicherung der vom Auftraggeber hochgeladenen Kontaktliste, Abruf der darin genannten Websites, Erzeugung einer Demo je Betrieb und Versand der vom Auftraggeber einzeln freigegebenen Nachricht über dessen eigenes Postfach.

4. Kategorien betroffener Personen und Datenarten

• Betroffene: Websitebesucher und Interessenten des Auftraggebers bzw. seiner Endkunden.
• Datenarten: Inhalte der Chat-Eingaben sowie die darin freiwillig angegebenen Kontaktdaten (typischerweise Name, E-Mail-Adresse, Telefonnummer, Anliegen); technische Verbindungsdaten.
• Bei der Akquise-Funktion zusätzlich: geschäftliche Kontaktdaten der vom Auftraggeber hochgeladenen Betriebe (Firmenname, Website, geschäftliche E-Mail-Adresse, Telefonnummer) sowie der Versandstand je Betrieb.

Der Auftraggeber weist die Betroffenen darauf hin, keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) im Chat einzugeben. Die Plattform ist dafür nicht vorgesehen.

5. Speicherung von Gesprächsinhalten

Die Plattform ist auf Datensparsamkeit ausgelegt. Ob Gesprächsinhalte gespeichert werden, entscheidet der Auftraggeber selbst, je Agent.

• Voreinstellung: keine Speicherung. Ohne ausdrückliche Aktivierung werden Nachrichten ausschließlich zur Beantwortung verarbeitet und an das KI-Modell übermittelt; eine Ablage der Gesprächsinhalte in unserer Datenbank findet nicht statt.
• Optional: Gesprächsverläufe. Der Auftraggeber kann die Speicherung je Agent aktivieren, um Anfragen nachvollziehen zu können. Gespeichert werden dann der Nachrichtenverlauf, von der betroffenen Person selbst angegebene Kontaktdaten sowie Zeitpunkt und Kanal des Gesprächs. Die Aufbewahrungsdauer legt der Auftraggeber fest; sie beträgt zwischen 30 und 180 Tagen, voreingestellt 90 Tage. Nach Ablauf werden die Verläufe automatisiert und ersatzlos gelöscht.
• Aktivierung ist eine Entscheidung des Auftraggebers. Er ist dafür verantwortlich, die betroffenen Personen darüber zu informieren, insbesondere in seiner eigenen Datenschutzerklärung. Wir stellen dafür einen Textbaustein bereit.
• Erfasste Kontaktdaten (Leads) werden nicht bei uns gespeichert, sondern unmittelbar an das vom Auftraggeber konfigurierte Zielsystem übermittelt. Wir zählen lediglich, wie viele Übermittlungen stattgefunden haben.
• Darüber hinaus gespeichert werden aggregierte Kennzahlen ohne Personenbezug sowie die vom Auftraggeber selbst hinterlegten Inhalte (z. B. Wissensdatenbank, Agenten-Konfiguration).

Gespeicherte Verläufe sind je Agent getrennt. Eine agentenübergreifende Zusammenführung oder ein Abgleich von Gesprächen verschiedener Auftraggeber findet nicht statt. Der Auftraggeber kann einzelne Verläufe jederzeit selbst löschen, insbesondere zur Erfüllung von Löschverlangen betroffener Personen.

Ein Zugriff unsererseits auf gespeicherte Gesprächsinhalte erfolgt ausschließlich zur Störungsbeseitigung und Unterstützung im Einzelfall, auf Veranlassung des Auftraggebers, und nicht zu eigenen Zwecken. Insbesondere werden Gesprächsinhalte nicht zum Training von KI-Modellen verwendet.

5a. Ausnahme: hochgeladene Kontaktlisten (Akquise-Funktion)

Nutzt der Auftraggeber die Akquise-Funktion, lädt er selbst eine Liste von Betrieben hoch. Diese Angaben werden, anders als Chatinhalte, bei uns gespeichert, weil die Funktion sonst nicht arbeiten kann. Dafür gilt:

• Zweckbindung: Verwendung ausschließlich für den Auftrag des Auftraggebers. Keine eigene Nutzung, keine Weitergabe, keine Zusammenführung mit anderen Listen, kein Training von KI-Modellen.
• Löschfrist: Jede Liste wird spätestens 30 Tage nach dem Hochladen vollständig gelöscht, auch wenn sie nicht abgearbeitet wurde. Der Auftraggeber kann sie jederzeit vorher löschen. Die Löschung ist automatisiert und erfordert keine Anforderung.
• Versand: Nachrichten gehen aus dem eigenen Postfach des Auftraggebers und unter seiner Absenderangabe raus. Jede einzelne Nachricht gibt er selbst frei; einen automatischen Massenversand gibt es nicht. Wir versenden nichts im eigenen Namen.
• Verantwortlichkeit: Für Auswahl, Herkunft und Rechtmäßigkeit der Liste ist allein der Auftraggeber verantwortlich. Ihn treffen insbesondere die Informationspflicht nach Art. 14 DSGVO gegenüber den aufgenommenen Betrieben und die Anforderungen an geschäftliche Ansprache (u. a. § 7 UWG).
• Keine besonderen Kategorien: Die Funktion ist auf geschäftliche Kontaktdaten ausgelegt. Daten zu Privatpersonen und Daten nach Art. 9 DSGVO gehören nicht in eine solche Liste.
• Sperrliste: Widerspricht ein angeschriebener Betrieb der Werbung, über den Abmeldelink in der Nachricht oder auf anderem Weg, nehmen wir ihn in eine plattformweite Sperrliste auf. Danach kann er von keinem Auftraggeber mehr angeschrieben werden, auch nicht aus einer anderen Liste; offene Einträge werden sofort stillgelegt. Gespeichert wird dafür nur eine Prüfsumme der E-Mail-Adresse (kein Klartext), gegebenenfalls die Domain sowie Zeitpunkt und Anlass. Diese Verarbeitung nehmen wir als Verantwortliche vor, um einem Widerspruch dauerhaft nachzukommen (Art. 6 Abs. 1 lit. c DSGVO); die Löschfrist für Listen bleibt davon unberührt. Die Sperrliste dient ausschließlich diesem Zweck und wird zu keinem anderen genutzt.

6. Weisungsbindung

Wir verarbeiten personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Als Weisung gelten die Einstellungen, die der Auftraggeber in der Plattform vornimmt (z. B. Agenten-Konfiguration, Zielsysteme). Sind wir der Auffassung, dass eine Weisung gegen geltendes Datenschutzrecht verstößt, weisen wir darauf hin und dürfen die Ausführung aussetzen.

7. Vertraulichkeit

Zur Verarbeitung eingesetzte Personen sind zur Vertraulichkeit verpflichtet und über die einschlägigen Datenschutzvorgaben unterrichtet.

8. Technische und organisatorische Maßnahmen (Art. 32)

• Verschlüsselung: Transportverschlüsselung (TLS) für alle Zugriffe auf die Plattform und alle Aufrufe externer Dienste.
• Zugriffskontrolle: Zugang nur über persönliche Konten mit Passwort; Passwörter ausschließlich als kryptografischer Hash gespeichert; Sitzungen mit Ablauf.
• Mandantentrennung: Daten sind je Konto getrennt; Abfragen sind auf das jeweilige Konto beschränkt.
• Datensparsamkeit: Gesprächsinhalte nur nach ausdrücklicher Aktivierung durch den Auftraggeber und mit fester Löschfrist, keine Speicherung von Endkunden-Leads (siehe Ziffer 5); hochgeladene Kontaktlisten mit fester Löschfrist (siehe Ziffer 5a).
• Missbrauchsabwehr: Begrenzung von Nachrichtenlänge und Verarbeitungsvolumen, Kosten-Obergrenzen je Konto und insgesamt.
• Serverstandort: Betrieb der Anwendung und Datenbank in Deutschland (Hetzner Online GmbH, Rechenzentrum Deutschland (EU)).
• KI-Verarbeitung in der EU: ausschließlich Mistral AI (Frankreich); kein Einsatz von KI-Anbietern außerhalb der EU.
• Datensicherung: regelmäßige Sicherung der Datenbank durch den Hosting-Dienstleister.

9. Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz der nachfolgenden Unterauftragsverarbeiter zu. Über einen Wechsel oder die Hinzunahme informieren wir mit angemessener Frist; der Auftraggeber kann aus wichtigem Grund widersprechen.

Verbindet der Auftraggeber eigene Dienste (z. B. einen Automatisierungsdienst, eine Tabelle oder ein E-Mail-Konto), handelt es sich um seine eigenen Auftragsverarbeiter. Für deren Einbindung und die erforderlichen Verträge ist der Auftraggeber selbst verantwortlich.

10. Unterstützung des Auftraggebers

• Wir unterstützen den Auftraggeber bei der Beantwortung von Betroffenenanfragen, soweit uns das möglich ist. Leads werden bei uns nicht gespeichert. Gespeicherte Gesprächsverläufe (Ziffer 5) kann der Auftraggeber über die Plattform selbst einsehen, exportieren und einzeln löschen.
• Wir unterstützen bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde, soweit erforderlich.

11. Meldung von Verletzungen

Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, informieren wir den Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, per E-Mail an die im Konto hinterlegte Adresse, mit den uns bekannten Angaben zu Art, Umfang und ergriffenen Maßnahmen.

12. Löschung und Rückgabe

Nach Beendigung des Nutzungsverhältnisses löschen wir die im Konto gespeicherten Daten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Auftraggeber kann seine Inhalte vorher über die Plattform exportieren. Dies umfasst gespeicherte Gesprächsverläufe, soweit der Auftraggeber die Speicherung aktiviert hat; sie werden mit dem Konto gelöscht. Endkunden-Leads sind hiervon nicht betroffen, da sie bei uns nicht vorliegen.

13. Nachweise und Kontrollen

Wir stellen dem Auftraggeber die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung. Kontrollen sind nach Ankündigung mit angemessener Frist, während üblicher Geschäftszeiten und ohne Störung des Betriebsablaufs möglich; vorrangig durch Auskunft und Vorlage geeigneter Nachweise.

14. Drittlandbezug

Verantwortlicher Auftragsverarbeiter ist eine US-Gesellschaft. Der technische Betrieb und die KI-Verarbeitung finden ausschließlich in der EU statt. Soweit im Verhältnis zum Auftragsverarbeiter personenbezogene Daten in ein Drittland übermittelt werden, stützen wir uns auf die EU-Standardvertragsklauseln (Art. 46 DSGVO). Für die EU ist ein Vertreter nach Art. 27 DSGVO benannt.

15. Auftraggeber mit Sitz in der Schweiz

Untersteht der Auftraggeber dem Schweizer Datenschutzgesetz (revDSG), gilt dieser Vertrag zugleich als Vertrag über die Auftragsbearbeitung nach Art. 9 revDSG. Die Pflichten sind dieselben wie oben beschrieben; wo hier „Auftragsverarbeitung", „personenbezogene Daten" oder „Verantwortlicher" steht, sind „Auftragsbearbeitung", „Personendaten" und „Verantwortlicher" im Sinne des revDSG gemeint.

• Datenübermittlung: Die Bearbeitung findet in der EU statt. Die Schweiz und die EU anerkennen das Datenschutzniveau der jeweils anderen Seite als angemessen, zusätzliche Garantien sind dafür nicht erforderlich.
• Unterbearbeiter: Es gilt Ziffer 9 dieses Vertrags. Die dort genannten Dienstleister bearbeiten Daten in der EU.
• Meldung von Verletzungen: Zusätzlich zu Ziffer 11 unterstützen wir den Auftraggeber bei der Meldung an den EDÖB nach Art. 24 revDSG.
• Aufsicht: Zuständig ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), Feldeggweg 1, 3003 Bern.

16. Schlussbestimmungen

Änderungen bedürfen der Textform. Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag für Fragen der Auftragsverarbeitung vor. Die Zustimmung wird mit Datum und Version im Konto protokolliert. Fragen: [email protected]