Auftragsverarbeitungsvertrag

Vorlage gemäß Art. 28 DSGVO · Stand der Vorlage einsetzbar fortlaufend

So nutzen Sie diese Vorlage: Tragen Sie als Verantwortlicher Ihre Firmendaten in die markierten Felder ein, drucken Sie die Seite (Strg/Cmd + P) bzw. speichern Sie sie als PDF und senden Sie sie unterschrieben an uns zurück. Dies ist eine Vorlage und keine Rechtsberatung – bei Bedarf lassen Sie sie rechtlich prüfen.

zwischen

Verantwortlicher (Auftraggeber, Website-Betreiber):
Firma: ______________________________
Anschrift: __________________________
Vertreten durch: ____________________
E-Mail: _____________________________

– nachfolgend „Verantwortlicher" –

und

Auftragsverarbeiter:
Temoa GmbH, Am Brink 2, 23883 Seedorf
Vertreten durch: Eddie Nordwich, Clemens Michaelis, Christoph Terner
Register: Amtsgericht Kiel, HRB 27400
E-Mail: hey@chattastic.de

– nachfolgend „Auftragsverarbeiter" –

§ 1 Gegenstand & Dauer

Der Auftragsverarbeiter stellt dem Verantwortlichen den KI-Chat-Assistenten „chattastic" zur Einbindung auf dessen Website bereit. Dabei verarbeitet er personenbezogene Daten der Website-Besucher im Auftrag und nach Weisung des Verantwortlichen. Der Vertrag läuft für die Dauer der Nutzung des Dienstes und endet mit dieser; er kann jederzeit in Textform gekündigt werden.

§ 2 Art, Zweck & Umfang der Verarbeitung

Zweck: Betrieb des Chat-Assistenten – Beantwortung von Besucheranfragen, Entgegennahme und Weiterleitung von Kontakt-/Lead-Anfragen an den Verantwortlichen.
Art der Verarbeitung: Erheben, Speichern, Auslesen, Übermitteln (an die unten genannten Unterauftragsverarbeiter zur Antworterzeugung) und Löschen.

§ 3 Art der Daten & Kategorien betroffener Personen

Datenarten: Chat-Nachrichten und -Verläufe; freiwillig angegebene Kontaktdaten (Name, E-Mail, Telefon, Anliegen); technische Daten (IP-Adresse, Zeitstempel, Log-Daten).
Betroffene Personen: Besucher und Interessenten der Website des Verantwortlichen.

§ 4 Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3 DSGVO)

Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen; die Nutzung des Dienstes und dessen Einstellungen gelten als Weisung. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies mit.
Verpflichtung der mit der Verarbeitung befassten Personen auf Vertraulichkeit.
Umsetzung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO (siehe Anlage 1).
Unterstützung des Verantwortlichen bei der Beantwortung von Betroffenenrechten (Art. 12–23) sowie bei Pflichten nach Art. 32–36 DSGVO, soweit möglich.
Unverzügliche Meldung von Verletzungen des Schutzes personenbezogener Daten an den Verantwortlichen (i. d. R. innerhalb von 48 Stunden nach Kenntnis).
Nach Abschluss: Löschung oder Rückgabe der Daten nach Wahl des Verantwortlichen, soweit keine gesetzliche Aufbewahrungspflicht besteht.
Bereitstellung der zum Nachweis der Einhaltung erforderlichen Informationen; Ermöglichung von Überprüfungen/Audits.

§ 5 Unterauftragsverarbeiter

Der Verantwortliche genehmigt allgemein den Einsatz folgender Unterauftragsverarbeiter. Über beabsichtigte Änderungen informiert der Auftragsverarbeiter vorab; der Verantwortliche kann widersprechen.

Anthropic – KI-Antworten (Claude), USA, EU-Standardvertragsklauseln.
Vercel – Hosting/Auslieferung, USA, EU-Standardvertragsklauseln.
Upstash – Datenbank/Speicherung.
Resend – E-Mail-Versand der Benachrichtigungen.

§ 6 Drittlandübermittlung

Soweit Daten außerhalb der EU/des EWR verarbeitet werden, erfolgt dies auf Grundlage geeigneter Garantien, insbesondere der EU-Standardvertragsklauseln.

§ 7 Schlussbestimmungen

Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt der übrige Vertrag wirksam. Änderungen bedürfen der Textform.

Anlage 1 – Technische & organisatorische Maßnahmen (Art. 32)

Verschlüsselte Übertragung (TLS/HTTPS) aller Daten.
Zugriffskontrolle: passwortgeschützte Dashboards, getrennte Mandanten je Kunde.
Datenminimierung: nur die für den Betrieb nötigen Daten; keine dauerhafte IP-Speicherung über das technisch Erforderliche hinaus.
Begrenzte Aufbewahrung: Gesprächsverläufe maximal 90 Tage, automatische Löschung; pro Kunde abschaltbar.
Belastbarkeit & Verfügbarkeit durch etablierte Cloud-Infrastruktur (Vercel/Upstash).
Auftragskontrolle: Unterauftragsverarbeiter nur mit eigenen Datenschutzgarantien/SCC.

Unterschriften

_______________________________
Ort, Datum – Verantwortlicher

_______________________________
Ort, Datum – Temoa GmbH (Auftragsverarbeiter)

Temoa GmbH · Am Brink 2, 23883 Seedorf · hey@chattastic.de