Vorlage gemäß Art. 28 DSGVO · Stand der Vorlage einsetzbar fortlaufend
So nutzen Sie diese Vorlage: Tragen Sie als Verantwortlicher Ihre Firmendaten in die markierten Felder ein, drucken Sie die Seite (Strg/Cmd + P) bzw. speichern Sie sie als PDF und senden Sie sie unterschrieben an uns zurück. Dies ist eine Vorlage und keine Rechtsberatung – bei Bedarf lassen Sie sie rechtlich prüfen.
Verantwortlicher (Auftraggeber, Website-Betreiber):
Firma: ______________________________
Anschrift: __________________________
Vertreten durch: ____________________
E-Mail: _____________________________
– nachfolgend „Verantwortlicher" –
und
Auftragsverarbeiter:
Temoa GmbH, Am Brink 2, 23883 Seedorf
Vertreten durch: Eddie Nordwich, Clemens Michaelis, Christoph Terner
Register: Amtsgericht Kiel, HRB 27400
E-Mail: hey@chattastic.de
– nachfolgend „Auftragsverarbeiter" –
Der Auftragsverarbeiter stellt dem Verantwortlichen den KI-Chat-Assistenten „chattastic" zur Einbindung auf dessen Website bereit. Dabei verarbeitet er personenbezogene Daten der Website-Besucher im Auftrag und nach Weisung des Verantwortlichen. Der Vertrag läuft für die Dauer der Nutzung des Dienstes und endet mit dieser; er kann jederzeit in Textform gekündigt werden.
Zweck: Betrieb des Chat-Assistenten – Beantwortung von Besucheranfragen, Entgegennahme und Weiterleitung von Kontakt-/Lead-Anfragen an den Verantwortlichen.
Art der Verarbeitung: Erheben, Speichern, Auslesen, Übermitteln (an die unten genannten Unterauftragsverarbeiter zur Antworterzeugung) und Löschen.
Datenarten: Chat-Nachrichten und -Verläufe; freiwillig angegebene Kontaktdaten (Name, E-Mail, Telefon, Anliegen); technische Daten (IP-Adresse – intern nur als gekürzter, gesalzener Hash gespeichert –, Zeitstempel, Log-Daten).
Betroffene Personen: Besucher und Interessenten der Website des Verantwortlichen.
Besondere Kategorien (Art. 9 DSGVO): Der Dienst ist nicht für die gezielte Verarbeitung besonderer Kategorien personenbezogener Daten bestimmt. Es kann jedoch nicht ausgeschlossen werden, dass Besucher solche Angaben (z. B. Gesundheitsinformationen) freiwillig in den Chat eingeben. Diese Eingaben durchlaufen dieselbe Verarbeitungskette wie alle Chat-Nachrichten – einschließlich der Übermittlung an den Unterauftragsverarbeiter Anthropic (§ 5, § 6) zur Antworterzeugung – und unterliegen denselben Schutzmaßnahmen (TLS-Verschlüsselung, keine Nutzung zum KI-Training, Löschfristen nach Anlage 2). Der Assistent zeigt Besuchern einen Hinweis an, keine sensiblen Daten einzugeben. Der Verantwortliche setzt den Dienst nicht gezielt für Anliegen ein, die die Eingabe besonderer Kategorien erfordern.
Der Verantwortliche genehmigt allgemein den Einsatz folgender Unterauftragsverarbeiter. Über beabsichtigte Änderungen informiert der Auftragsverarbeiter vorab (mind. 30 Tage); der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Weitere Dienstleister (z. B. CRM, Analyse, Error-Tracking) werden nicht eingesetzt.
| Dienstleister | Funktion / verarbeitete Daten | Verarbeitungsort | Vertragsgrundlage |
|---|---|---|---|
| Anthropic PBC, San Francisco (USA) | KI-Antworterzeugung („Claude"): Chat-Nachrichten inkl. Verlauf und bereitgestellter Wissenskontext | USA | Anthropic Data Processing Addendum (anthropic.com/legal/commercial-terms) inkl. EU-SCC Modul 3 (Prozessor→Unterprozessor); keine Nutzung zum Modell-Training; Aufbewahrung beim KI-Anbieter auf max. 30 Tage begrenzt (ausschließlich Missbrauchskontrolle) |
| Vercel Inc., San Francisco (USA) | Hosting/Funktionsausführung; kurzlebige Server-Logs | EU – Frankfurt (fra1); Steuerung/Support ggf. USA | Vercel DPA (vercel.com/legal/dpa) inkl. EU-SCC Modul 3 |
| Upstash Inc., San Francisco (USA) | Datenbank (Redis): Anfragen, Gesprächsverläufe, Konfiguration | EU – Frankfurt (AWS eu-central-1) | Upstash DPA (upstash.com/trust/dpa.pdf) inkl. EU-SCC Modul 3 |
| Resend (Plus Five Five, Inc.), USA | Versand von Benachrichtigungs-E-Mails (Lead-Inhalte an den Verantwortlichen) | USA | Resend DPA (resend.com/legal/dpa) inkl. EU-SCC Modul 3 |
(1) In Drittländer (USA) übermittelt werden: Chat-Inhalte an Anthropic (Antworterzeugung) sowie Benachrichtigungs-E-Mails über Resend. Datenhaltung (Upstash) und Hosting (Vercel-Funktionsausführung) erfolgen in Frankfurt/EU. (2) Grundlage sind die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914), Modul 3, als Bestandteil der in § 5 genannten DPAs. (3) Ergänzende Maßnahmen: TLS-Transportverschlüsselung, Verschlüsselung ruhender Daten, Pseudonymisierung von IP-Adressen (gesalzener Hash), vertraglicher Ausschluss der Nutzung zum KI-Training, minimierte Datenweitergabe (nur die zur Funktionserbringung nötigen Inhalte).
Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt der übrige Vertrag wirksam. Änderungen bedürfen der Textform.
| Datenart | Standard | Maximalfrist |
|---|---|---|
| Gesprächsverläufe (Chat-Transkripte) | aktiviert, 90 Tage rollierend | 90 Tage (technisch erzwungene Obergrenze; Deaktivierung durch den Verantwortlichen bewirkt: keine Speicherung) |
| Kontakt-/Leadanfragen | bis Zweckerfüllung | 12 Monate, danach automatische Löschung; früher auf Weisung |
| Benachrichtigungs-E-Mails (Zustellung an den Verantwortlichen) | Zustellung über Resend | Versand-Metadaten/Inhalte beim Versanddienst gemäß dessen DPA, kurzfristige Aufbewahrung zu Zustell-/Missbrauchszwecken |
| Server-/Zugriffslogs (Vercel) | kurzlebig | wenige Tage (plattformseitig rollierend) |
| Datenbank-Backups (Upstash) | automatisch, rollierend | rollierende Überschreibung; gelöschte Daten fallen spätestens mit dem Backup-Zyklus aus der Sicherung |
| KI-Verarbeitung (Anthropic) | nur zur Antworterzeugung | max. 30 Tage beim KI-Anbieter (Missbrauchskontrolle), kein Training, keine dauerhafte Speicherung |
_______________________________
Ort, Datum – Verantwortlicher
_______________________________
Ort, Datum – Temoa GmbH (Auftragsverarbeiter)
Temoa GmbH · Am Brink 2, 23883 Seedorf · hey@chattastic.de