Vertrag über Auftragsverarbeitung

§ 1 Parteien und Rollen

(1) Auftragsverarbeiter ist die web-raum GbR, Kösliner Straße 77, 48147 Münster (nachfolgend „Anbieter“), die den Dienst go33 betreibt.

(2) Verantwortlicher ist der Kunde, der go33 nutzt (nachfolgend „Kunde“). Er entscheidet über Zwecke und Mittel der Verarbeitung der Daten, die er über go33 verarbeiten lässt.

(3) Der Anbieter verarbeitet diese Daten ausschließlich im Auftrag und nach Weisung des Kunden im Sinne von Art. 28 DSGVO. Für die Daten des Kunden selbst, etwa dessen Anmelde- und Abrechnungsdaten, ist der Anbieter eigener Verantwortlicher; dafür gilt die Datenschutzerklärung, nicht dieser Vertrag.

§ 2 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten, die dem Anbieter im Rahmen der Nutzung von go33 zugänglich werden. Art, Zweck, Datenarten und betroffene Personen sind in Anlage 1 beschrieben.

(2) Der Vertrag beginnt mit dem Hauptvertrag und endet mit ihm. Eine gesonderte Kündigung ist weder möglich noch erforderlich.

§ 3 Weisungen

(1) Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Einstellungen, die der Kunde in go33 vornimmt, sowie dieser Vertrag und der Hauptvertrag sind seine Weisungen. Weitere Weisungen erteilt der Kunde in Textform an die in § 1 genannte Adresse.

(2) Der Anbieter informiert den Kunden unverzüglich, wenn er eine Weisung für rechtswidrig hält. Er darf die Ausführung bis zur Bestätigung durch den Kunden aussetzen.

(3) Verarbeitet der Anbieter Daten außerhalb der Weisung, weil das Unionsrecht oder das Recht eines Mitgliedstaats ihn dazu verpflichtet, teilt er dem Kunden diese Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

§ 4 Pflichten des Anbieters

Der Anbieter verpflichtet sich,

• die Daten ausschließlich zur Erbringung des Dienstes zu verarbeiten und nicht für eigene Zwecke,
• Inhalte des Kunden weder zum Training von KI-Modellen zu verwenden noch dafür an Dritte weiterzugeben,
• Personen, die Zugang zu den Daten haben, auf Vertraulichkeit zu verpflichten, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen,
• die technischen und organisatorischen Maßnahmen nach Anlage 2 einzuhalten,
• den Kunden bei dessen Pflichten aus Art. 32 bis 36 DSGVO im angemessenen Umfang zu unterstützen,
• dem Kunden alle Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind.

Der Anbieter hat keinen Datenschutzbeauftragten benannt; die Voraussetzungen des § 38 BDSG liegen nicht vor. Ansprechpartner in Datenschutzfragen ist die in § 1 genannte Adresse.

§ 5 Pflichten des Kunden

(1) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für eine Rechtsgrundlage und für die Information der betroffenen Personen.

(2) Der Kunde entscheidet, welche Inhalte er in die Wissensbasis seines Assistenten einstellt. Er stellt sicher, dass er dazu berechtigt ist, und vermeidet dabei personenbezogene Daten, die für die Beantwortung von Anfragen nicht erforderlich sind.

(3) Der Kunde weist Besucher seiner Website in geeigneter Form auf den Einsatz des Assistenten hin. Der Anbieter stellt dafür Hinweistexte im Chat-Fenster bereit.

§ 6 Unterauftragsverarbeiter

(1) Der Kunde erteilt dem Anbieter die allgemeine Genehmigung, die in Anlage 3 genannten Unterauftragsverarbeiter einzusetzen.

(2) Der Anbieter informiert den Kunden über beabsichtigte Änderungen mindestens vier Wochen im Voraus in Textform. Der Kunde kann einer Änderung innerhalb von zwei Wochen aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Lässt sich der Widerspruch nicht ausräumen, darf jede Partei den Hauptvertrag zum Wirksamwerden der Änderung kündigen.

(3) Der Anbieter verpflichtet Unterauftragsverarbeiter auf Datenschutzpflichten, die den Pflichten dieses Vertrages entsprechen.

(4) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die der Anbieter von Dritten bezieht, ohne dass diese Zugang zu den Daten des Kunden erhalten.

§ 7 Übermittlung in Drittländer

(1) Die Speicherung der Daten erfolgt ausschließlich in Deutschland.

(2) Eine Übermittlung in Drittländer findet nur statt, soweit sie für die vom Kunden gewählten Funktionen erforderlich ist. Anlage 3 weist aus, welche Unterauftragsverarbeiter außerhalb der Europäischen Union verarbeiten und worauf die Übermittlung gestützt ist.

(3) Der Kunde kann Funktionen, die eine Übermittlung in Drittländer auslösen, in den Einstellungen seines Assistenten abschalten.

§ 8 Betroffenenrechte

(1) Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet dieser das Anliegen unverzüglich an den Kunden weiter und beantwortet es nicht selbst.

(2) Der Anbieter unterstützt den Kunden mit geeigneten technischen Mitteln bei der Erfüllung von Betroffenenrechten. Im Kundenkonto stehen dafür ein vollständiger Datenexport sowie Funktionen zum Löschen einzelner Konversationen, der Wissensbasis, des Arbeitsbereichs und des Kontos bereit.

§ 9 Verletzungen des Schutzes personenbezogener Daten

(1) Der Anbieter meldet dem Kunden jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden, in Textform.

(2) Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Datenkategorien, die ungefähre Zahl der Betroffenen, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen. Fehlende Angaben reicht der Anbieter unverzüglich nach.

(3) Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen obliegen dem Kunden.

§ 10 Nachweise und Kontrollen

(1) Der Anbieter weist die Einhaltung der Maßnahmen nach Anlage 2 auf Anfrage in Textform nach.

(2) Reicht das dem Kunden nicht aus, kann er nach Ankündigung mit angemessener Frist eine Überprüfung während der üblichen Geschäftszeiten durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der kein Wettbewerber des Anbieters ist. Die Überprüfung darf den Betrieb nicht unangemessen beeinträchtigen.

(3) Für den Aufwand einer Überprüfung, die über eine je Kalenderjahr hinausgeht und nicht durch einen konkreten Anlass veranlasst ist, kann der Anbieter eine angemessene Vergütung verlangen.

§ 11 Löschung und Rückgabe

(1) Nach Beendigung des Hauptvertrages löscht der Anbieter die im Auftrag verarbeiteten Daten. Der Kunde kann sie vorher jederzeit selbst exportieren; die Exportfunktion bleibt bis zur Löschung des Kontos verfügbar.

(2) Löscht der Kunde seinen Arbeitsbereich oder sein Konto selbst, wirkt die Löschung sofort. Andernfalls löscht der Anbieter spätestens 30 Tage nach Vertragsende.

(3) Von der Löschung ausgenommen sind Daten, die der Anbieter aufgrund gesetzlicher Aufbewahrungspflichten weiter aufbewahren muss (§ 147 AO, § 257 HGB). Sie werden für die Dauer der Aufbewahrung in der Verarbeitung eingeschränkt.

§ 12 Haftung und Schlussbestimmungen

(1) Für die Haftung gelten die Regelungen des Hauptvertrages; Art. 82 DSGVO bleibt unberührt.

(2) Änderungen dieses Vertrages bedürfen der Textform. Der Anbieter kann die Anlagen anpassen, soweit dies aufgrund geänderter Rechtslage, geänderter technischer Gegebenheiten oder einer Änderung nach § 6 Abs. 2 erforderlich ist; die geltende Fassung ist jederzeit unter dieser Adresse abrufbar, frühere Fassungen bleiben im Fassungsarchiv erreichbar.

(3) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrages vor, soweit sie die Verarbeitung personenbezogener Daten im Auftrag betreffen.

(4) Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam.

Anlage 1 – Gegenstand der Verarbeitung

Zweck: Betrieb eines KI-gestützten Assistenten für den Kunden, der Anfragen von dessen Endnutzern auf Grundlage der vom Kunden hinterlegten Inhalte beantwortet, sowie die vom Kunden aktivierten Zusatzfunktionen.

Art der Verarbeitung: Erheben, Speichern, Auslesen, Verwenden, Übermitteln an die in Anlage 3 genannten Empfänger, Löschen.

Kategorien betroffener Personen:

• Endnutzer und Website-Besucher des Kunden, die den Assistenten nutzen
• Personen, die über den Assistenten einen Termin buchen oder ein Formular absenden
• Beschäftigte und Mitglieder des Arbeitsbereichs des Kunden
• Personen, deren Daten in Inhalten vorkommen, die der Kunde in die Wissensbasis einstellt

Kategorien personenbezogener Daten:

• Inhalte von Gesprächen mit dem Assistenten, einschließlich beigefügter Bilder
• Kontaktdaten aus Formularen und Terminbuchungen (Name, E-Mail-Adresse, Telefonnummer, Anliegen)
• Termindaten (Zeitpunkt, Leistung, Status)
• Sprachaufnahmen und deren Transkription, wenn der Kunde die Sprachfunktion aktiviert
• Kanalkennungen, wenn der Kunde WhatsApp, Instagram oder den Facebook Messenger anbindet (Telefonnummer beziehungsweise Profilkennung, Anzeigename)
• Technische Daten der Sitzung (Sitzungskennung, Zeitstempel, IP-Adresse, Browserkennung)
• Inhalte der Wissensbasis, soweit sie personenbezogene Daten enthalten
• Zugangs- und Profildaten der Mitglieder des Arbeitsbereichs (Name, E-Mail-Adresse, Rolle)

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Stellt der Kunde solche Daten ein oder ist mit ihnen im Gesprächsverlauf zu rechnen, etwa im Gesundheitsbereich, verantwortet er die dafür erforderliche Rechtsgrundlage und die zusätzlichen Schutzmaßnahmen selbst.

Anlage 2 – Technische und organisatorische Maßnahmen

Maßnahmen nach Art. 32 DSGVO, Stand der Fassung dieses Vertrages:

Vertraulichkeit

• Verschlüsselte Übertragung ausschließlich über TLS; unverschlüsselte Aufrufe werden umgeleitet
• Zugangsdaten zu Systemen des Kunden (etwa Kalender- und Shop-Anbindungen) werden mit AES-256-GCM verschlüsselt gespeichert, Passwörter ausschließlich als bcrypt-Hash
• Anmeldung über signierte, kurzlebige Sitzungsmerkmale in HTTP-only-Cookies; jede Anfrage prüft die Sitzung erneut gegen die Datenbank, sodass ein Entzug sofort wirkt
• Plattformkonten des Anbieters mit administrativem Zugriff sind zwingend durch einen zweiten Faktor geschützt
• Rollen- und Rechtekonzept im Arbeitsbereich des Kunden; jede Anfrage wird gegen die Mitgliedschaft geprüft
• Trennung der Daten verschiedener Kunden auf Datenbankebene: jede Abfrage ist an die Kennung des Arbeitsbereichs gebunden, was durch automatisierte Tests fortlaufend abgesichert wird

Integrität

• Begrenzung der Anfragerate je Kunde und je Endnutzer
• Prüfung hochgeladener Dateien auf Typ und Größe anhand ihres Inhalts, nicht der Endung
• Schutz gegen Anfragen an interne Netze beim Einlesen von Websites
• Signaturprüfung eingehender Ereignisse angebundener Dienste
• Protokollierung sicherheitsrelevanter Vorgänge

Verfügbarkeit und Belastbarkeit

• Betrieb in einem Rechenzentrum in Deutschland mit unterbrechungsfreier Stromversorgung, Brandschutz und Zutrittskontrolle
• Tägliche Sicherung der Datenbank mit einer Aufbewahrung von 30 Tagen
• Dokumentiertes Verfahren zur Wiederherstellung
• Automatisierte Prüfung eingesetzter Bibliotheken auf bekannte Schwachstellen

Verfahren zur Überprüfung und Bewertung

• Änderungen am Quelltext durchlaufen automatisierte Prüfungen auf Übersetzbarkeit, statische Analyse und Tests, bevor sie ausgerollt werden
• Trennung von Entwicklungs- und Produktivumgebung
• Auftragsverarbeitung ausschließlich auf Grundlage dieses Vertrages
• Übermittlung an Modellanbieter mit technisch erzwungenem Ausschluss der Nutzung zu Trainingszwecken

Anlage 3 – Unterauftragsverarbeiter

Die folgenden Dienste verarbeiten Daten im Auftrag des Anbieters. Wo eine Funktion nur auf Wunsch des Kunden aktiv wird, ist das vermerkt.

Immer eingesetzt

• netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe – Betrieb der Server und Speicherung sämtlicher Daten. Ort der Verarbeitung: Deutschland.
• OpenRouter, Inc., Delaware, USA – Vermittlung der Anfragen an Sprachmodelle sowie Berechnung der Suchvektoren für die Wissensbasis. Übermittelt werden die Frage des Endnutzers, der bisherige Gesprächsverlauf und die dazu gefundenen Ausschnitte der Wissensbasis. Der Anbieter setzt dabei technisch durch, dass die Daten weder gespeichert noch zum Training verwendet werden. OpenRouter leitet die Anfrage an den jeweils gewählten Modellanbieter weiter. Ort der Verarbeitung: USA und weitere Drittländer, gestützt auf Standardvertragsklauseln der Europäischen Kommission.

Nur bei den vom Kunden aktivierten Funktionen

• OpenAI Ireland Ltd., Dublin, Irland – Sprachausgabe des Assistenten in anderen Sprachen als Deutsch. Übermittelt wird der vorzulesende Antworttext. Die deutsche Sprachausgabe erzeugt der Anbieter auf eigenen Servern. Ort der Verarbeitung: Irland und USA, gestützt auf Standardvertragsklauseln.
• Serper (Dumpling AI, Inc.), USA – Websuche, wenn der Kunde sie für seinen Assistenten einschaltet. Übermittelt wird der Suchbegriff, nicht der Gesprächsverlauf. Ort der Verarbeitung: USA, gestützt auf Standardvertragsklauseln.
• Meta Platforms Ireland Ltd., Dublin, Irland – Betrieb der Kanäle WhatsApp, Instagram und Facebook Messenger, wenn der Kunde sie anbindet. Übermittelt werden die Nachrichten des jeweiligen Kanals. Ort der Verarbeitung: Irland und USA.
• Google Ireland Ltd., Dublin, Irland – Abgleich von Terminen mit Google Kalender, wenn der Kunde ihn verbindet. Übermittelt werden Zeitpunkt, Titel und Kontaktdaten des Termins. Ort der Verarbeitung: Irland und USA.
• Stripe Technology Europe Ltd., Dublin, Irland – Zahlungsabwicklung im Chat, wenn der Kunde eine Shop-Anbindung mit Bezahlfunktion einrichtet. Ort der Verarbeitung: Irland und USA, gestützt auf Standardvertragsklauseln.

Der E-Mail-Versand an Endnutzer, etwa Terminbestätigungen, erfolgt über einen Mailserver des Anbieters; ein Dritter ist daran nicht beteiligt.