Auftragsverarbeitungsvertrag (AVV)

Der Verantwortliche nutzt den dato Assistenten auf Grundlage eines Hauptvertrags (SaaS-Nutzung). Bei der Erbringung dieser Leistung verarbeitet die TM Concepts GmbH („Auftragsverarbeiter") im Auftrag des Verantwortlichen personenbezogene Daten. Dieser AVV konkretisiert die Pflichten der Parteien nach Art. 28 DSGVO.

(1) Gegenstand der Auftragsverarbeitung ist die Bereitstellung und der Betrieb des dato Assistenten sowie zugehöriger Support- leistungen gemäß Hauptvertrag.

(2) Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrags.

Verarbeitet werden personenbezogene Daten von Mitgliedern, Interessenten, Kontakten und Ansprechpartnern des Verantwortlichen zum Zweck: Kommunikation über Chat / Sprache / WhatsApp, Terminplanung, Lead- und Vertragsmanagement, Automatisierung von Prozessen, Reporting sowie Bereitstellung KI-gestützter Assistenz- und Analysefunktionen.

Betroffene Personen: Mitglieder, Interessenten, Anrufer/Nachrichtenschreiber, Mitarbeiter und Ansprechpartner des Verantwortlichen.

Datenkategorien:

• Stammdaten (Name, Anschrift, Geburtsdatum)
• Kontaktdaten (E-Mail, Telefon, WhatsApp-Nummer)
• Vertrags- und Nutzungsdaten (Mitgliedschaft, Termine, Tarife)
• Kommunikationsinhalte (Chat, Sprachaufzeichnungen / Transkripte, Notizen)
• Metadaten (Zeitstempel, Anrufdauer, Kanal)
• Zugangsdaten der Nutzer des Verantwortlichen

Besondere Kategorien nach Art. 9 DSGVO (z. B. Gesundheitsdaten) werden nur verarbeitet, soweit der Verantwortliche sie in das System einstellt; er stellt in diesem Fall eine gültige Rechts- grundlage sicher.

Der Auftragsverarbeiter

• verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO);
• verpflichtet alle zur Verarbeitung befugten Personen auf Vertraulichkeit;
• setzt die in § 6 beschriebenen technischen und organisatorischen Maßnahmen (TOM) um;
• unterstützt den Verantwortlichen angemessen bei der Beantwortung von Betroffenenanfragen sowie bei Datenschutz-Folgenabschätzungen und Meldepflichten;
• informiert den Verantwortlichen unverzüglich, wenn eine Weisung gegen datenschutzrechtliche Vorschriften verstößt;
• meldet Verletzungen des Schutzes personenbezogener Daten dem Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntnis.

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter unter den Voraussetzungen von Art. 28 Abs. 2 und 4 DSGVO einzusetzen.

(2) Über beabsichtigte Änderungen (Aufnahme, Austausch) der Unterauftragsverarbeiter wird der Verantwortliche mit einer Ankündigungsfrist von mindestens 14 Tagen in Textform informiert und kann innerhalb dieser Frist widersprechen.

(3) Genehmigte Unterauftragsverarbeiter bei Vertragsschluss sind insbesondere:

• Hostinger International Ltd. – Anwendungs-Hosting, Rechenzentrum Frankfurt am Main, Deutschland (EU).
• Supabase, Inc. – Datenbank, Authentifizierung, Object-Storage (EU-Region).
• Twilio Ireland Ltd. – Telefonie und SMS für Voice-Agenten.
• ElevenLabs Inc. – Sprachsynthese / Voice-KI (USA, Standardvertragsklauseln).
• OpenAI Ireland Ltd., Google Ireland Ltd., Anthropic PBC – Large Language Models, je nach Konfiguration des Verantwortlichen.
• Meta Platforms Ireland Ltd. – WhatsApp Business API (nur bei aktiver WhatsApp-Verbindung).
• Stripe Payments Europe Ltd. – Zahlungs- und Nutzungsabrechnung.

Der Auftragsverarbeiter setzt insbesondere folgende TOM um:

• Vertraulichkeit: Zutrittskontrolle (Rechenzentrum Hostinger in Frankfurt/Main, ISO-27001-zertifiziert), Zugangskontrolle über passwortgeschützte Accounts und optionale 2FA, Zugriffskontrolle über Rollen- und Berechtigungssystem sowie mandantenweise Datentrennung („Studio-Scope") mittels Row-Level-Security in der Datenbank.
• Integrität: Eingabe- und Weitergabekontrolle über protokollierte API-Zugriffe, Audit-Logs zu sicherheitsrelevanten Aktionen, TLS 1.2/1.3-Verschlüsselung auf allen Transportwegen.
• Verfügbarkeit und Belastbarkeit: Tägliche, verschlüsselte Backups innerhalb der EU, Monitoring und Alerting, DDoS-Schutz durch Hostinger, Kapazitätsplanung.
• Verschlüsselung: Passwörter werden ausschließlich als Hash gespeichert. Sensible Zugangsdaten (z. B. API-Schlüssel für Fremdsysteme) werden verschlüsselt in einem Secret-Store abgelegt.
• Verfahren zur regelmäßigen Überprüfung: Regelmäßige Sicherheits-Reviews, automatisierte Schwachstellen-Scans der Abhängigkeiten, dokumentiertes Change- und Deployment-Verfahren.
• Löschung / Rückgabe: Nach Vertragsende werden Kundendaten innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Ein Export ist auf Anforderung möglich.

(1) Weisungen sind grundsätzlich in Textform zu erteilen. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(2) Weisungsberechtigt auf Seiten des Verantwortlichen ist die im System hinterlegte Studio-Administration bzw. eine schriftlich benannte Person.

Wenden sich betroffene Personen mit Anfragen (Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit) direkt an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter. Der Auftragsverarbeiter unterstützt den Verantwortlichen im technisch möglichen Rahmen bei der Beantwortung.

(1) Der Verantwortliche kann sich von der Einhaltung dieses AVV jederzeit im erforderlichen Umfang überzeugen (Art. 28 Abs. 3 lit. h DSGVO). Der Auftragsverarbeiter erbringt den Nachweis vorrangig durch aktuelle Zertifizierungen und Prüfberichte der eingesetzten Rechenzentrums- und Cloud-Anbieter sowie durch schriftliche Auskünfte.

(2) Vor-Ort-Prüfungen erfolgen mit angemessener Vorankündigung, in der Regel während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs.

Für die Haftung der Parteien gelten die Regelungen des Hauptvertrags sowie Art. 82 DSGVO.

Nach Beendigung des Hauptvertrags werden alle im Auftrag verarbeiteten personenbezogenen Daten gemäß § 6 (Löschung / Rückgabe) gelöscht. Die Löschung wird auf Anforderung schriftlich bestätigt. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

(1) Änderungen und Ergänzungen dieses AVV bedürfen der Textform.

(2) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle unwirksamer Bestimmungen tritt die gesetzlich zulässige Regelung, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

(3) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in Bezug auf die Datenverarbeitung vor.