Vereinbarung nach Art. 28 DSGVO · Fassung vom 02.08.2026
Dieser Vertrag ergänzt den Nutzungsvertrag nach den Allgemeinen Geschäftsbedingungen. Bei Widersprüchen gehen die Regelungen dieses Vertrages für die Verarbeitung personenbezogener Daten vor.
2.1 Gegenstand ist der Betrieb eines KI-gestützten Chat-Assistenten für den Verantwortlichen, einschließlich Entgegennahme, Beantwortung und Weiterleitung von Anfragen der Website-Besucher des Verantwortlichen.
2.2 Die Verarbeitung dauert so lange wie der Nutzungsvertrag. Sie endet mit dessen Beendigung; danach gilt Ziffer 9.
2.3 Art der Verarbeitung: Erheben, Speichern, Auslesen, Verwenden, Übermitteln an den Verantwortlichen sowie Löschen — automatisiert.
2.4 Zweck: Beantwortung von Anfragen, Erstellung von Angeboten und Terminwünschen, Übermittlung fertiger Anfragen an den Verantwortlichen.
3.1 Verarbeitet werden je nach Nutzung:
3.2 Betroffene sind die Website-Besucher und Interessenten des Verantwortlichen.
3.3 Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand dieses Vertrages. Der Verantwortliche stellt durch die Gestaltung seiner Fragen und seiner Wissensbasis sicher, dass solche Daten nicht abgefragt werden.
4.1 Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten dieser Vertrag, die im Dashboard vorgenommenen Einstellungen sowie Anweisungen in Textform.
4.2 Weisungen erteilt der Verantwortliche über die im Konto hinterlegte E-Mail-Adresse. Mündliche Weisungen bestätigt er unverzüglich in Textform.
4.3 Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung bis zur Bestätigung aussetzen.
4.4 Eine Übermittlung in ein Drittland erfolgt nur nach Ziffer 7 oder auf Weisung des Verantwortlichen.
5.1 Vertraulichkeit. Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet. Der Betrieb erfolgt derzeit ohne weitere Beschäftigte; werden solche eingesetzt, verpflichtet der Auftragsverarbeiter sie vor Aufnahme der Tätigkeit schriftlich.
5.2 Sicherheit. Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO; sie sind in Anlage 1 beschrieben. Er darf sie fortentwickeln, solange das Schutzniveau nicht unterschritten wird.
5.3 Unterstützung. Er unterstützt den Verantwortlichen mit angemessenen Mitteln bei Betroffenenanfragen (Art. 15 bis 22 DSGVO) sowie bei Datenschutz-Folgenabschätzung und Meldepflichten (Art. 32 bis 36 DSGVO).
5.4 Betroffenenrechte. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.
5.5 Meldung von Verletzungen. Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den nach Art. 33 Abs. 3 DSGVO nötigen Angaben. Die Frist des Verantwortlichen gegenüber der Aufsichtsbehörde beträgt 72 Stunden.
5.6 Verzeichnis. Er führt ein Verzeichnis aller Verarbeitungstätigkeiten im Auftrag nach Art. 30 Abs. 2 DSGVO und legt es auf Verlangen vor.
5.7 Kein Training. Die Inhalte der Chat-Nachrichten werden nicht zum Training eigener oder fremder KI-Modelle verwendet. Der eingesetzte Sprachmodell-Anbieter hat dies vertraglich zugesichert.
6.1 Der Verantwortliche darf sich von der Einhaltung dieses Vertrages überzeugen. Der Nachweis erfolgt in der Regel durch Auskunft in Textform, durch Vorlage der Anlage 1 oder durch Zertifikate und Prüfberichte der eingesetzten Dienstleister.
6.2 Reicht das im Einzelfall nicht aus, darf der Verantwortliche nach Ankündigung mit einer Frist von 14 Tagen während der üblichen Geschäftszeiten prüfen oder prüfen lassen, höchstens einmal jährlich und ohne Störung des Betriebsablaufs. Bei einem konkreten Anlass entfällt die Beschränkung auf einmal jährlich.
7.1 Der Verantwortliche stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:
| Unternehmen | Leistung | Ort der Verarbeitung | Grundlage |
|---|---|---|---|
| Mistral AI SAS, Frankreich | Sprachmodell für die Antworten des Assistenten | EU (Frankreich) | DPA; keine Drittlandübermittlung; keine Nutzung zu Trainingszwecken |
| Sendinblue GmbH (Brevo) | Versand der Benachrichtigungs-E-Mails an den Verantwortlichen | EU (Deutschland/Frankreich) | DPA |
| Meta Platforms Ireland Ltd. | Benachrichtigung des Verantwortlichen per WhatsApp Business Cloud API — nur wenn im Dashboard aktiviert | EU (Irland), Übermittlung in die USA möglich | Meta-DPA, EU-Standardvertragsklauseln, EU-US Data Privacy Framework |
| MongoDB, Inc. (Atlas) | Datenbank-Hosting | EU (Frankfurt) | DPA; Hosting in der EU |
| Cloudflare, Inc. | CDN, DDoS-Schutz, TLS-Terminierung | global, EU-Server bevorzugt | Cloudflare-DPA, EU-Standardvertragsklauseln |
7.2 Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der ihm mindestens die Pflichten aus diesem Vertrag auferlegt.
7.3 Einen Wechsel oder die Aufnahme weiterer Unterauftragsverarbeiter teilt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann innerhalb von zwei Wochen aus wichtigem, datenschutzbezogenem Grund widersprechen. Widerspricht er, darf er den Nutzungsvertrag zum geplanten Wechselzeitpunkt kündigen.
7.4 Nicht als Unterauftragsverarbeitung gelten Nebenleistungen wie Telekommunikation, Post oder Wartung; hier stellt der Auftragsverarbeiter den Datenschutz durch geeignete Vereinbarungen sicher.
Die Anwendung läuft auf Servern in Deutschland. Weitere Verarbeitungen finden bei den in Ziffer 7 genannten Unternehmen statt. Übermittlungen in Drittländer erfolgen nur auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien nach Art. 46 DSGVO.
9.1 Nach Beendigung des Nutzungsvertrages löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Auf Wunsch händigt er sie vorher in einem gängigen Format aus.
9.2 Unabhängig davon löschen laufende Verfahren automatisch: Gesprächsverläufe nach 15 Minuten (Produkt-Chat) beziehungsweise 60 Minuten (Handwerker-Assistent) ohne neue Nachricht, hochgeladene Fotos nach 90 Tagen, nicht abgeschickte Fotos nach 2 Tagen, abgebrochene Anfragen nach 30 Tagen und abgeschlossene Anfragen nach 12 Monaten.
9.3 Sicherungskopien werden im Rahmen des üblichen Backup-Zyklus überschrieben; die Aufbewahrung der Sicherungen beträgt 14 Tage, für wöchentliche Sicherungen 8 Wochen.
Für die Haftung gilt Ziffer 10 der AGB. Art. 82 DSGVO bleibt unberührt.
11.1 Änderungen bedürfen der Textform.
11.2 Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam.
11.3 Es gilt deutsches Recht. Gerichtsstand ist der Sitz des Auftragsverarbeiters, soweit der Verantwortliche Kaufmann ist.
11.4 Dieser Vertrag wird bei der Registrierung angenommen. Zeitpunkt der Annahme und angenommene Fassung werden im Konto des Verantwortlichen gespeichert.
Fassung vom 02.08.2026 · AGB · Datenschutzerklärung · Impressum