Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO

Bezug: Datenschutzerklärung Ignivia, Version 2.2.

Vertragsparteien

Auftragnehmer / Auftragsverarbeiter:

Lennard Ungruhe

Ignivia – Artificial Intelligence Services

Am Steintor 56a

48167 Münster-Wolbeck

Deutschland

E-Mail: kontakt@ignivia.de

Auftraggeber / Verantwortlicher:

Auftraggeber ist der jeweilige Kunde von Ignivia, dessen Unternehmensdaten im Kundenkonto bzw. Onboarding hinterlegt sind. Die Identität des Auftraggebers ergibt sich aus dem im Tenant-Datenbestand gespeicherten Firmennamen, Sitz, E-Mail-Adresse und Ansprechpartner.

Präambel

Die Vertragsparteien haben einen Hauptvertrag über die Nutzung der SaaS-Plattform „Ignivia" geschlossen. Bei Ignivia handelt es sich um eine Multi-Tenant-SaaS-Lösung, die einen KI-gestützten digitalen Mitarbeiter für die Website des Verantwortlichen bereitstellt sowie strukturierte Lead-Erfassung (Rückruf-, Termin- und Angebotsanfragen), Consent-Protokollierung, ein Kunden-Dashboard und ein Onboarding umfasst.

Im Rahmen der Erbringung dieser Leistungen verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen. Dieser Vertrag (im Folgenden „AVV") regelt die datenschutzrechtlichen Pflichten der Vertragsparteien aus dieser Auftragsverarbeitung, insbesondere die nach Art. 28 DSGVO erforderlichen Bestimmungen.

Der Hauptvertrag und dieser AVV gehen einander vor, soweit sie sich nicht widersprechen. Bei Widersprüchen in datenschutzrechtlichen Fragen gehen die Regelungen dieses AVV vor.

§ 1 Gegenstand und Dauer

(1) Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der Plattform. Eine detaillierte Beschreibung der Verarbeitung ergibt sich aus Anlage 1.

(2) Dieser AVV beginnt mit Wirksamkeit des Hauptvertrages und endet mit dessen Beendigung. Eine vorzeitige ordentliche Kündigung dieses AVV ist ausgeschlossen, soweit der Hauptvertrag fortbesteht.

(3) Außerordentliche Kündigungsrechte bleiben unberührt. Ein außerordentlicher Kündigungsgrund liegt insbesondere vor, wenn der Auftragsverarbeiter seinen wesentlichen Pflichten aus diesem AVV trotz schriftlicher Abmahnung und angemessener Frist zur Abhilfe nicht nachkommt.

(4) Die Verpflichtungen aus § 7 (Vertraulichkeit) und § 13 (Löschung und Rückgabe) bestehen auch nach Beendigung dieses AVV fort.

§ 2 Art und Zweck der Verarbeitung

(1) Art und Zweck der Verarbeitung ergeben sich aus Anlage 1. Sie umfassen insbesondere die Auslieferung des in die Website des Verantwortlichen eingebundenen Chat-Widgets, die KI-gestützte Beantwortung von Besucheranfragen durch den digitalen Mitarbeiter, die strukturierte Erfassung von Rückruf-, Termin- und Angebotsanfragen, die Protokollierung von Einwilligungen sowie die Bereitstellung des Dashboards.

(2) Die Verarbeitung erfolgt auf Grundlage der dokumentierten Weisungen des Verantwortlichen. Die Konfiguration des digitalen Mitarbeiters durch den Verantwortlichen (z. B. Begrüßung, Leistungen, Rückruf- und Terminregeln) sowie die Aktivierung der Plattform gelten als Weisung.

(3) Der Auftragsverarbeiter wird die Daten ausschließlich zur Erfüllung des Hauptvertrages und auf Grundlage dieses AVV verarbeiten. Eine Verarbeitung für eigene Zwecke des Auftragsverarbeiters findet nicht statt.

(4) Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur unter den in § 9 und in Anlage 3 genannten Bedingungen.

§ 3 Datenkategorien

(1) Im Rahmen der Auftragsverarbeitung können insbesondere folgende Kategorien personenbezogener Daten verarbeitet werden:

(2) Kreditkartendaten werden im Rahmen der Plattform nicht verarbeitet. Etwaige Zahlungsdaten zwischen Verantwortlichem und Auftragsverarbeiter werden ausschließlich durch den Zahlungsdienstleister nach Anlage 3 entgegengenommen.

(3) Eine Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO ist nicht vorgesehen.

§ 4 Betroffene Personen

Besucher der Website des Verantwortlichen, Interessenten und potenzielle Kunden, Bestandskunden des Verantwortlichen sowie Mitarbeitende des Verantwortlichen mit Zugriff auf das Dashboard.

§ 5 Rechte und Pflichten des Verantwortlichen

(1) Der Verantwortliche ist im Sinne des Art. 4 Nr. 7 DSGVO allein verantwortlich für die Rechtmäßigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der betroffenen Personen.

(2) Der Verantwortliche ist insbesondere verpflichtet, die betroffenen Personen über die Datenverarbeitung in geeigneter Weise zu informieren (Art. 13 und 14 DSGVO), erforderliche Einwilligungen einzuholen, den Zugriff auf das Dashboard nur berechtigten Personen zu gewähren sowie die in die Plattform eingegebene Konfiguration des digitalen Mitarbeiters datenschutzkonform zu gestalten.

(3) Der Verantwortliche erteilt sämtliche Weisungen grundsätzlich in Textform (E-Mail genügt).

(4) Der Verantwortliche ist berechtigt, sich von der Einhaltung der vereinbarten technischen und organisatorischen Maßnahmen nach Maßgabe des § 12 zu überzeugen.

§ 6 Rechte und Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen des Verantwortlichen, sofern er nicht zu einer abweichenden Verarbeitung durch das Recht der Union oder eines Mitgliedstaates verpflichtet ist (Art. 28 Abs. 3 lit. a DSGVO).

(2) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen geltendes Datenschutzrecht verstößt (Art. 28 Abs. 3 Satz 3 DSGVO).

(3) Der Auftragsverarbeiter wird die zur Erfüllung dieses AVV erforderlichen Mitarbeiter sorgfältig auswählen und vor Aufnahme ihrer Tätigkeit datenschutzrechtlich unterweisen und auf die Vertraulichkeit verpflichten.

(4) Der Auftragsverarbeiter wird die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen treffen und während der gesamten Vertragslaufzeit aufrechterhalten.

(5) Der Auftragsverarbeiter führt – soweit gesetzlich erforderlich – ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

(6) Eine Pflicht zur Benennung eines Datenschutzbeauftragten besteht beim Auftragsverarbeiter derzeit nicht.

§ 7 Vertraulichkeit

(1) Der Auftragsverarbeiter verpflichtet sich, alle im Rahmen der Auftragsverarbeitung erlangten personenbezogenen Daten vertraulich zu behandeln. Diese Verpflichtung besteht auch nach Beendigung dieses AVV fort.

(2) Der Auftragsverarbeiter stellt sicher, dass die mit der Verarbeitung befassten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO, Art. 29 DSGVO).

§ 8 Technische und organisatorische Maßnahmen (TOMs)

(1) Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen zur Gewährleistung der Datensicherheit gemäß Art. 32 DSGVO.

(2) Die Maßnahmen umfassen insbesondere die strikte logische Mandantentrennung auf Datenbankebene durch zeilenbasierte Zugriffsregeln, ein rollen- und berechtigungsbasiertes Zugriffskonzept, eine durchgängige Transportverschlüsselung (TLS), eine Verschlüsselung der Daten im Ruhezustand auf Datenbankebene, Zugriffsbeschränkungen über sichere Authentifizierungsverfahren und sitzungsgebundene HttpOnly-Cookies, Logging sicherheitsrelevanter Ereignisse und administrativer Zugriffe, die zentrale Protokollierung von Einwilligungen einschließlich Versionsangabe und Integritätsnachweis (SHA-256), Datensicherung und Wiederherstellbarkeit durch den Datenbankbetreiber sowie die Pseudonymisierung von IP-bezogenen Schutzmechanismen.

(3) Die TOMs werden bei Bedarf, mindestens jedoch jährlich, überprüft und an den Stand der Technik angepasst.

(4) Im Hinblick auf den Schutz vor Missbrauch werden in der Anwendungsdatenbank des Auftragsverarbeiters keine Klartext-IP-Adressen gespeichert. Soweit ein IP-Bezug zur Missbrauchsverhinderung erforderlich ist, erfolgt dieser ausschließlich pseudonymisiert über einen SHA-256-Hash aus IP-Adresse und mandantenspezifischer Kennung.

§ 9 Sub-Auftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter mit Abschluss dieses AVV eine allgemeine schriftliche Genehmigung zur Inanspruchnahme der in Anlage 3 namentlich genannten Sub-Auftragsverarbeiter (Art. 28 Abs. 2 Satz 2 DSGVO).

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder die Ersetzung weiterer Sub-Auftragsverarbeiter mit einer Vorlauffrist von mindestens 30 Tagen vor dem geplanten Wirksamwerden in Textform. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen.

(3) Vor der Inanspruchnahme eines Sub-Auftragsverarbeiters wird der Auftragsverarbeiter mit diesem einen Vertrag schließen, der dem Schutzniveau dieses AVV entspricht (Art. 28 Abs. 4 DSGVO).

(4) Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen für die Einhaltung der datenschutzrechtlichen Pflichten durch den Sub-Auftragsverarbeiter im gleichen Umfang, wie wenn er die Verarbeitung selbst durchgeführt hätte.

(5) Erfolgt durch einen Sub-Auftragsverarbeiter eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums, stellt der Auftragsverarbeiter sicher, dass die Übermittlung auf einer geeigneten Garantie nach Kapitel V DSGVO beruht. Der Auftragsverarbeiter stützt sich hierfür auf die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO).

§ 10 Unterstützung bei Betroffenenrechten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen im erforderlichen und ihm möglichen Umfang bei der Erfüllung von Anträgen betroffener Personen nach Art. 12 bis 23 DSGVO.

(2) Wendet sich eine betroffene Person mit einem solchen Antrag unmittelbar an den Auftragsverarbeiter, leitet dieser den Antrag unverzüglich an den Verantwortlichen weiter, soweit aus dem Antrag der Bezug zum Verantwortlichen ersichtlich ist.

(3) Der Auftragsverarbeiter stellt dem Verantwortlichen die hierfür im Dashboard verfügbaren Funktionen bereit (insbesondere Einsichtnahme in und Bearbeitung von Lead-Datensätzen, Statusänderungen, manuelle Löschung).

§ 11 Meldung von Datenschutzvorfällen

(1) Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Bekanntwerden, über jede Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO, die im Verantwortungsbereich des Auftragsverarbeiters oder eines seiner Sub-Auftragsverarbeiter eingetreten ist.

(2) Die Meldung enthält, soweit zum Meldezeitpunkt bekannt, eine Beschreibung der Art der Verletzung, die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, die Beschreibung der wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen sowie Kontaktdaten einer auskunftsfähigen Stelle.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Meldepflichten gegenüber Aufsichtsbehörden (Art. 33 DSGVO) und der Benachrichtigung der betroffenen Personen (Art. 34 DSGVO).

§ 12 Kontrollrechte

(1) Der Verantwortliche ist berechtigt, sich von der Einhaltung der in diesem AVV vereinbarten technischen und organisatorischen Maßnahmen zu überzeugen.

(2) Die Kontrolle kann insbesondere erfolgen durch Anforderung eines aktuellen schriftlichen Nachweises der getroffenen TOMs, Anforderung schriftlicher Auskünfte zu Einzelfragen der Verarbeitung, Vorlage aktueller Testate, Berichte oder Zertifikate der eingesetzten Sub-Auftragsverarbeiter sowie nach angemessener Vorankündigung von mindestens 14 Tagen und während üblicher Geschäftszeiten durch eine Vor-Ort-Überprüfung bzw. Remote-Audit.

(3) Kontrollen sollen in der Regel einmal jährlich stattfinden. Anlassbezogene Kontrollen aufgrund konkreter Vorfälle bleiben unberührt.

(4) Vor-Ort-Kontrollen erfolgen auf Kosten des Verantwortlichen. Stellt sich dabei ein nicht nur unerheblicher Verstoß des Auftragsverarbeiters heraus, trägt dieser die Kosten.

§ 13 Löschung und Rückgabe von Daten

(1) Mit Beendigung des Hauptvertrages – und damit dieses AVV – gibt der Auftragsverarbeiter dem Verantwortlichen die im Rahmen der Auftragsverarbeitung erhobenen personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format heraus oder löscht sie nach Wahl des Verantwortlichen.

(2) Der Verantwortliche teilt seine Wahl spätestens binnen 30 Tagen nach Vertragsende in Textform mit. Trifft er keine Wahl, werden die Daten gelöscht.

(3) Bestehende gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters bleiben unberührt.

(4) Unabhängig von einer Vertragsbeendigung erfolgt eine automatisierte Löschung folgender Datenbestände durch das System:

(5) Lead-Daten werden grundsätzlich bis zur Löschung durch den Verantwortlichen im Dashboard oder bis zum Wegfall des Verarbeitungszwecks gespeichert.

(6) Einwilligungsnachweise werden für die Dauer der gesetzlichen Nachweis- und Dokumentationspflichten aufbewahrt.

(7) Versionierte Compliance-Dokumente und Zustimmungsnachweise auf Ebene des Verantwortlichen werden als unveränderliche Datensätze („append-only") zur juristischen Beweissicherung dauerhaft gespeichert.

§ 14 Haftung

(1) Für die Haftung der Vertragsparteien gelten die Vorschriften des Art. 82 DSGVO und § 83 BDSG sowie die ergänzenden Regelungen des Hauptvertrages, soweit diese den datenschutzrechtlichen Vorgaben nicht widersprechen.

(2) Im Außenverhältnis gegenüber betroffenen Personen haften die Vertragsparteien gemäß Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei für Schäden, die durch eine ihr zurechenbare Pflichtverletzung entstehen.

(3) Etwaige Haftungsbeschränkungen aus dem Hauptvertrag gelten auch für diesen AVV, soweit sie gesetzlich zulässig sind. Sie gelten nicht für Vorsatz und grobe Fahrlässigkeit sowie für Schäden aus der Verletzung von Leben, Körper und Gesundheit.

§ 15 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses AVV bedürfen der Textform.

(2) Sollte eine Bestimmung dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des Kollisionsrechts und des UN-Kaufrechts.

(4) Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem AVV ist – soweit gesetzlich zulässig – Münster (Westf.).

(5) Bestandteile dieses AVV sind Anlage 1 (Beschreibung der Verarbeitung), Anlage 2 (Technische und organisatorische Maßnahmen) und Anlage 3 (Liste der Sub-Auftragsverarbeiter).

Annahmevermerk (digitale Annahme im Onboarding)

Dieser Auftragsverarbeitungsvertrag wird durch den Verantwortlichen im Onboarding-Prozess elektronisch angenommen. Zeitpunkt der Annahme, Tenant-Kennung, akzeptierte Version und kryptografischer Hash (SHA-256) des Vertragstextes werden in der Compliance-Datenbank des Auftragsverarbeiters protokolliert und sind dort jederzeit nachweisbar. Eine handschriftliche Unterschrift ist für die Wirksamkeit dieses Vertrages nicht erforderlich.

Anlage 1 – Beschreibung der Verarbeitung

Zweck: Bereitstellung und Betrieb der SaaS-Plattform „Ignivia" als digitaler Empfangsdienst auf der Website des Verantwortlichen.

Art: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Verändern, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung an den Verantwortlichen und an Sub-Auftragsverarbeiter, Einschränken, Löschen und Vernichten personenbezogener Daten.

Datenkategorien: siehe § 3.

Betroffene Personen: siehe § 4.

Dauer: für die Dauer des Hauptvertrages; automatisierte Löschfristen gemäß § 13.

Verarbeitungsort: Primärer Datenverarbeitungsort Frankfurt am Main (Region eu-central-1); Hosting/Auslieferung in EU-Regionen, soweit konfigurierbar; KI-Antwortgenerierung in den USA (Drittlandtransfer mit Standardvertragsklauseln).

Anlage 2 – Technische und organisatorische Maßnahmen (TOMs)

1. Vertraulichkeit: Bereitstellung in zertifizierten Rechenzentren (Frankfurt; weitere EU-Regionen). Authentifizierung über sichere Login-Verfahren mit serverseitigem Passwort-Hashing. Sitzungsverwaltung über HttpOnly-Cookies. Administrative Zugriffe über persönliche Konten mit Mehrfaktorauthentifizierung, soweit unterstützt. Grundsatz der minimalen Berechtigung. Strikte logische Mandantentrennung auf Datenbankebene durch zeilenbasierte Zugriffsregeln. Pseudonymisierung von IP-Werten über SHA-256(IP + Tenant-Kennung). Pseudonyme Besucherkennungen.

2. Integrität: TLS-Transportverschlüsselung. Versand transaktionaler E-Mails über transportverschlüsselte Verbindungen. Datenbankseitige Constraints für strukturelle Datenintegrität. Append-only Einwilligungs- und Compliance-Dokumentation mit Integritätsnachweis (SHA-256).

3. Verfügbarkeit und Belastbarkeit: Hosting und Datenbank durch professionelle Sub-Auftragsverarbeiter mit branchenüblichen Verfügbarkeitsmaßnahmen. Datensicherung und Wiederherstellung über den Datenbankdienstleister. Versionierte Anwendungskonfiguration.

4. Verfahren zur regelmäßigen Überprüfung: Audit-Tabellen für sicherheitsrelevante Ereignisse, administrative Zugriffe und Compliance-Vorgänge. Rate-Limit- und Nutzungsereignisse zur Anomalieerkennung. Mindestens jährliche Überprüfung der Maßnahmen. Notausschalter zur kurzfristigen Deaktivierung der KI-gestützten Antworten.

5. Spezifische Schutzmechanismen: Strikte Trennung von Chat-Inhalten und Lead-Daten – Lead-Formulardaten werden technisch nicht an den KI-Dienstleister übermittelt. Begrenzung der Gesprächslänge auf maximal 12 Besucher-Nachrichten je Sitzung. Mandantenbezogene Schutzobergrenzen und Cooldown-Mechanismen. 24-Stunden-TTL für Chat-Inhalte mit täglichem Bereinigungslauf. Versionierte Einwilligungstexte mit SHA-256-Hash-Nachweis.

6. Auftragskontrolle gegenüber Sub-Auftragsverarbeitern: Auswahl unter Berücksichtigung datenschutzrechtlicher Eignung; Abschluss von Auftragsverarbeitungsverträgen oder gleichwertigen Vereinbarungen; Drittlandtransfers ausschließlich auf Grundlage der EU-Standardvertragsklauseln.

Anlage 3 – Liste der Sub-Auftragsverarbeiter

Vercel Inc. (USA) – Hosting, Auslieferung der Anwendung; Verarbeitungsort EU, soweit konfigurierbar; Drittlandtransfer: ja, EU-Standardvertragsklauseln.

Supabase, Inc. (Singapur; Konzern USA) – Datenbankdienste, Authentifizierung, Auth-System-E-Mails; Datenverarbeitung in Frankfurt am Main (Region eu-central-1); Drittlandtransfer: ggf. ja, EU-Standardvertragsklauseln.

Anthropic, PBC (USA) – KI-gestützte Antwortgenerierung im Chat; Verarbeitungsort USA; Drittlandtransfer: ja, EU-Standardvertragsklauseln und Data Processing Addendum; Nutzung zu KI-Trainingszwecken vertraglich ausgeschlossen. Nicht übermittelt: Lead-Daten, Zahlungs-/Vertragsdaten, Einwilligungsnachweise.

Stripe Payments Europe Ltd. (Irland; Konzern USA) – Zahlungsabwicklung und Abonnements zwischen Auftragsverarbeiter und Verantwortlichem; Daten der durch den Verantwortlichen vertretenen Endkunden werden nicht an Stripe übermittelt; Drittlandtransfer: ggf. ja, EU-Standardvertragsklauseln.

Resend, Inc. (USA) – Versand transaktionaler E-Mails an den Verantwortlichen bzw. interne Kontaktadressen des Auftragsverarbeiters; Daten der Endkunden werden nicht über Resend versandt; Drittlandtransfer: ja, EU-Standardvertragsklauseln.