Auftragsverarbeitungsvertrag (AVV)
gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO) · Stand: [DATUM]
Art. 1 – Gegenstand und Dauer
Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch HandwerkerBot im Auftrag des Kunden (nachfolgend „Verantwortlicher") im Rahmen der Nutzung der SaaS-Plattform HandwerkerBot.
Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrags (AGB). Mit Beendigung des Hauptvertrags endet auch dieser AVV.
Art. 2 – Art und Zweck der Verarbeitung
Der Auftragsverarbeiter verarbeitet im Auftrag des Verantwortlichen folgende personenbezogene Daten:
- Chatverläufe: Textnachrichten von Endnutzern (Website-Besucher des Kunden), Zeitstempel
- Leads: Name, Telefonnummer, E-Mail-Adresse, Nachricht (sofern vom Endnutzer angegeben)
- Termine: Name, Kontaktdaten, gewünschter Termin, Jobbeschreibung
Zweck der Verarbeitung ist die Erbringung der vereinbarten SaaS-Leistungen gemäß den AGB, insbesondere: Betrieb des KI-Chatbots, Speicherung von Gesprächsverläufen, Weiterleitung von Leads und Terminen an den Verantwortlichen.
Betroffene Personen: Website-Besucher (Endnutzer) der vom Kunden betriebenen Websites.
Art. 3 – Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet sich:
- Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten
- Zur Vertraulichkeit der Daten – alle mit der Verarbeitung befassten Personen wurden auf Vertraulichkeit verpflichtet
- Alle geeigneten technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO zu ergreifen (siehe Art. 7 dieses AVV)
- Die Bedingungen für die Inanspruchnahme von Unterauftragsverarbeitern gemäß Art. 28 Abs. 2, 4 DSGVO einzuhalten
- Den Verantwortlichen unverzüglich zu informieren, wenn eine Weisung nach Einschätzung des Auftragsverarbeiters gegen DSGVO oder andere Datenschutzvorschriften verstößt
- Den Verantwortlichen bei der Wahrnehmung von Betroffenenrechten zu unterstützen (Art. 15–22 DSGVO)
- Nach Beendigung des Vertrags alle personenbezogenen Daten zu löschen oder zurückzugeben
Art. 4 – Pflichten des Verantwortlichen
Der Verantwortliche verpflichtet sich:
- Sicherzustellen, dass die Verarbeitung der Endnutzerdaten auf einer geeigneten Rechtsgrundlage gemäß Art. 6 DSGVO beruht
- Die Endnutzer seiner Website über die Datenverarbeitung durch den Chatbot zu informieren (z. B. in der eigenen Datenschutzerklärung)
- Den Auftragsverarbeiter unverzüglich über Betroffenenanfragen zu informieren
Art. 5 – Unterauftragsverarbeiter
Der Auftragsverarbeiter setzt folgende Unterauftragsverarbeiter ein, denen der Verantwortliche hiermit generell zustimmt:
| Anbieter | Zweck | Standort |
|---|---|---|
| Supabase Ireland Ltd. | Datenbankhosting, Auth | EU (Frankfurt) |
| Mistral AI S.A.S. | KI-Sprachmodell | EU (Paris) |
| Resend Inc. | E-Mail-Versand | USA (SCC) |
Der Auftragsverarbeiter informiert den Verantwortlichen über geplante Änderungen der Unterauftragsverarbeiterliste per E-Mail mit einer Vorlaufzeit von 14 Tagen. Der Verantwortliche kann Änderungen innerhalb dieser Frist widersprechen.
Art. 6 – Übermittlung in Drittländer
Eine Übertragung personenbezogener Daten in Länder außerhalb des Europäischen Wirtschaftsraums (EWR) erfolgt nur durch Resend Inc. (USA) auf Basis der EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO.
Art. 7 – Technische und organisatorische Maßnahmen (TOMs)
Der Auftragsverarbeiter hat folgende Maßnahmen zum Schutz der Daten getroffen:
- Verschlüsselte Übertragung aller Daten via HTTPS/TLS 1.2+
- Verschlüsselte Datenspeicherung in der Datenbank
- Row-Level Security (RLS) zur Datentrennung zwischen Kunden
- Zugriff auf Produktionsdaten nur für autorisierte Personen
- Rate-Limiting zum Schutz vor Missbrauch
- Automatische Datenlöschung nach definierten Fristen (90 Tage Chatverläufe, 365 Tage Leads)
- Regelmäßige Sicherheitsupdates der eingesetzten Software
Art. 8 – Meldung von Datenpannen
Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Bekanntwerden, per E-Mail an die beim Konto hinterlegte E-Mail-Adresse.
Art. 9 – Kontakt
Für Anfragen im Zusammenhang mit diesem AVV wenden Sie sich an:
[DEIN NAME]
E-Mail: [E-MAIL]