Nutzungsbedingungen (AGB)

Anlage 1 — Vertrag zur Verarbeitung personenbezogener Daten im Auftrag (Art. 28 DSGVO)

Diese Anlage ist Bestandteil dieser Nutzungsbedingungen und wird mit deren Annahme zwischen dem Kunden (nachfolgend „Verantwortlicher“) und Smartwebchat (nachfolgend „Auftragsverarbeiter“) geschlossen. Ein gesonderter Vertragsschluss ist nicht erforderlich; auf Wunsch stellt Smartwebchat eine unterzeichnete Ausfertigung in Textform bereit. Die Ziffer 13 der Vertragsvorlage (Anlagen 2 bis 4) ist in dieser Fassung nicht in Kraft gesetzt; die Nummerierung der übrigen Ziffern bleibt unverändert, damit sie der Vorlage entspricht.

1. Gegenstand, Dauer, Art und Zweck der Verarbeitung. Gegenstand ist der Betrieb der Smartwebchat-Plattform für den Verantwortlichen, insbesondere der Betrieb des von ihm eingebetteten Chat-Assistenten, die Speicherung seiner Wissensdatenbank und die Erzeugung von Antworten mittels KI-Sprachmodellen. Zweck ist ausschließlich die Erbringung der in § 2 und § 4 dieser Nutzungsbedingungen beschriebenen Leistungen. Die Verarbeitung ist automatisiert und dauert für die Laufzeit des Nutzungsvertrags einschließlich der Übergangsphase nach § 11.

2. Art der Daten und Kategorien betroffener Personen. Verarbeitet werden insbesondere Chat-Eingaben und Gesprächsverläufe, freiwillig übermittelte Kontaktdaten (Name, E-Mail-Adresse, Telefonnummer), Termin- und Buchungsdaten, technische Verbindungsdaten sowie die vom Verantwortlichen hochgeladenen Inhalte der Wissensdatenbank. Betroffene Personen sind die Website-Besucher, Interessenten und Kunden des Verantwortlichen sowie dessen Beschäftigte, soweit diese die Plattform bedienen. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Sie können gleichwohl anfallen, weil betroffene Personen sie unaufgefordert in den Chat eingeben; für diesen Fall gilt Ziffer 8.

3. Weisungsbindung. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Weisungen erfolgen durch dessen Konfiguration im Dashboard sowie ergänzend in Textform an privacy@smartwebchat.eu. Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, weist er den Verantwortlichen unverzüglich darauf hin und darf ihre Ausführung aussetzen. Eine Verarbeitung zu eigenen Zwecken, insbesondere zum Training von KI-Modellen, findet nicht statt. Für die nach Ziffer 6 eingesetzten Unterauftragsverarbeiter hat der Auftragsverarbeiter die Verarbeitung der übermittelten Daten zu deren eigenen Trainingszwecken abgewählt, soweit der jeweilige Anbieter eine solche Wahl vorsieht; bei der Mistral AI SAS gilt die Abwahl seit dem 28.08.2026.

4. Vertraulichkeit. Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer gesetzlichen Verschwiegenheitspflicht unterworfen sind (Art. 28 Abs. 3 lit. b DSGVO).

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO). Der Auftragsverarbeiter unterhält dem Risiko angemessene Maßnahmen, insbesondere: Transportverschlüsselung (TLS) für alle Verbindungen; Speicherung von Zugangsdaten ausschließlich als kryptografischer Hashwert; mandantengetrennte Datenhaltung mit serverseitiger Prüfung der Zugehörigkeit bei jedem Zugriff; rollenbasierte Zugriffskontrolle mit persönlichen Zugangsdaten; Betrieb von Anwendung, Datenbank und Dateispeicher in Rechenzentren innerhalb der Bundesrepublik Deutschland, wobei Sicherungskopien innerhalb der EU-Netzwerkzone des Hosting-Anbieters repliziert werden können; ein automatisiertes Löschverfahren für abgelaufene Aufbewahrungsfristen; sowie regelmäßige, verschlüsselte Datensicherungen mit dokumentiertem Wiederherstellungstest. Das automatisierte Löschverfahren löscht Gesprächsdaten — Chatverläufe, Bewertungen, Gesprächskategorien und ausgelöste proaktive Trigger — 30 Tage nach ihrer Entstehung; ebenso den Gesprächsauszug samt der Angabe des Übergabegrunds, den eine Übergabe an einen Mitarbeiter des Verantwortlichen enthält. Anfragen, Terminwünsche und Übergaben löscht es spätestens nach der Frist, die der Verantwortliche je Assistent im Dashboard einstellt; die Voreinstellung beträgt 365 Tage. Eine Übergabe, in der nach der Leerung des Gesprächsauszugs weder Name noch E-Mail-Adresse noch eine Bearbeitungsnotiz steht, löscht es bereits nach 30 Tagen. Sicherheitsprotokolle löscht es 30 Tage nach ihrer Entstehung, den Versand von Bewertungsanfragen samt Empfängeradresse 90 Tage nach dem vorgesehenen Versandzeitpunkt, sofern der Versand abgeschlossen oder gescheitert ist. Für die Verarbeitung durch Unterauftragsverarbeiter gilt Ziffer 6. Die Maßnahmen unterliegen der technischen Fortentwicklung; der Auftragsverarbeiter darf sie ändern, sofern das Schutzniveau nicht unterschritten wird.

6. Unterauftragsverarbeiter. Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der nachstehenden Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO):

• Hetzner Online GmbH, Gunzenhausen, Deutschland — Hosting und Rechenzentrumsbetrieb, Verarbeitung in Deutschland; Versand von E-Mails über das eigene Postfach des Auftragsverarbeiters (u. a. Benachrichtigungen über Anfragen und Übergaben).
• Mistral AI SAS, Paris, Frankreich — Erzeugung der Chat-Antworten und der Text-Embeddings; Voreinstellung; Verarbeitung innerhalb der EU.
• OpenAI Ireland Ltd., Dublin, Irland — nur, wenn im jeweiligen Assistenten ausdrücklich ein Premium-Modell von OpenAI ausgewählt wurde; die Übermittlung an sie erfolgt innerhalb des Europäischen Wirtschaftsraums, für eine Weiterübermittlung gilt Ziffer 7.
• Brevo GmbH, Berlin, Deutschland — Versand der Bitte um eine Bewertung an Kundinnen und Kunden des Verantwortlichen; Verarbeitung innerhalb der EU.

Der Auftragsverarbeiter informiert den Verantwortlichen in Textform mit einer Frist von vier Wochen über beabsichtigte Änderungen dieser Liste (Art. 28 Abs. 2 S. 2 DSGVO). Der Verantwortliche kann binnen dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann jede Partei den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen. Jeder Unterauftragsverarbeiter wird auf ein Schutzniveau verpflichtet, das dieser Anlage entspricht. Die Digistore24 GmbH ist kein Unterauftragsverarbeiter; sie wird im Rahmen des Kaufvertrags als eigenständig Verantwortliche tätig.

6.1 Eigene Zugangsschlüssel des Verantwortlichen. Hinterlegt der Verantwortliche für einen Nachrichtenkanal (Ziffer 6.4) oder für ein von ihm konfiguriertes Ziel (Ziffer 9) einen eigenen Zugangsschlüssel des jeweiligen Anbieters, besteht das Vertragsverhältnis zu diesem Anbieter zwischen dem Verantwortlichen und dem Anbieter. Der Anbieter ist insoweit nicht Unterauftragsverarbeiter des Auftragsverarbeiters; die Liste in Ziffer 6 gilt für ihn insoweit nicht. Der Verantwortliche schließt den nach Art. 28 DSGVO erforderlichen Vertrag selbst und benennt den Anbieter in seiner eigenen Datenschutzerklärung. Für Sprachmodelle besteht diese Möglichkeit nicht; die Erzeugung der Antworten erfolgt ausschließlich über die in Ziffer 6 genannten Anbieter.

6.2 Ausdrücklich nicht erfasste Dienste. Nach dem derzeit umgesetzten Datenfluss sind keine Unterauftragsverarbeiter: die Digistore24 GmbH, Hannover — sie wird im Rahmen des Kaufvertrags als eigenständig Verantwortliche tätig (Art. 6 Abs. 1 lit. b DSGVO), dasselbe gilt für deren eigene Dienstleister; die Calendly, Inc. und die Cal.com, Inc. — bietet der Assistent eine Terminbuchung an, gibt er einen Buchungslink aus, den die betroffene Person selbst aufruft, und es werden keine Daten der betroffenen Person durch den Auftragsverarbeiter an diese Anbieter übermittelt; sowie die Anbieter der Erreichbarkeitsüberwachung, der Quellcodeverwaltung und der Auslieferung, weil sie keinen Zugang zu personenbezogenen Daten der betroffenen Personen haben. Die Einordnung folgt dem tatsächlichen Datenfluss und nicht dieser Aufzählung; ändern sich die Zugriffsmöglichkeit oder die übermittelten Daten, prüft der Auftragsverarbeiter sie vor der Änderung erneut und passt Ziffer 6 erforderlichenfalls an.

6.3 Ruhende Integrationen. Die Plattform enthält Funktionen, die nicht in Betrieb sind und deren Anbieter daher keine Unterauftragsverarbeiter sind. Ihre Aktivierung durch den Auftragsverarbeiter setzt eine Änderung der Liste nach Ziffer 6 mit vierwöchiger Vorankündigung voraus.

6.4 Kanäle mit eigenem Anbieterschlüssel des Verantwortlichen. Die Plattform ermöglicht die Anbindung von Nachrichtenkanälen — derzeit WhatsApp über einen Geschäftslösungsanbieter mit Sitz in der Europäischen Union. Die Anbindung schaltet der Verantwortliche je Assistent selbst frei und hinterlegt dabei seinen eigenen Zugangsschlüssel. Es gilt Ziffer 6.1 entsprechend: Das Vertragsverhältnis zum Geschäftslösungsanbieter und zum dahinterstehenden Betreiber des Nachrichtendienstes besteht zwischen dem Verantwortlichen und diesen Unternehmen. Der Verantwortliche schließt die erforderlichen Verträge selbst und benennt beide in seiner eigenen Datenschutzerklärung. Für Verantwortliche nach Ziffer 8 ist die Anbindung gesperrt; für die dort selbsttätig zugeordneten Verantwortlichen ist die Sperre technisch umgesetzt.

7. Übermittlung in Drittländer. Eine Übermittlung in ein Drittland findet in der Voreinstellung nicht statt; sämtliche Verarbeitung nach Ziffer 6 erfolgt innerhalb der Europäischen Union. Wählt der Verantwortliche für einen Assistenten ausdrücklich ein Premium-Modell, gilt: Empfängerin ist die OpenAI Ireland Ltd. mit Sitz in Dublin; die Übermittlung an sie erfolgt innerhalb des Europäischen Wirtschaftsraums. Für eine Weitergabe an Unternehmen der OpenAI-Gruppe oder an Dritte außerhalb des Europäischen Wirtschaftsraums hat sich die OpenAI Ireland Ltd. im Auftragsverarbeitungsvertrag verpflichtet, geeignete Garantien nach Art. 46 DSGVO oder einen Angemessenheitsbeschluss nach Art. 45 DSGVO zugrunde zu legen; der Auftragsverarbeiter legt die im Einzelfall maßgebliche Grundlage auf Anfrage offen und bleibt für die Auswahl des Unterauftragsverarbeiters nach Art. 28 Abs. 4 DSGVO verantwortlich. Die Auswahl gilt als Weisung des Verantwortlichen im Sinne von Ziffer 3; er prüft eigenverantwortlich, ob sie für die von ihm verarbeiteten Daten zulässig ist. Verantwortlichen nach Ziffer 8 ist die Auswahl untersagt; für die dort selbsttätig zugeordneten Verantwortlichen ist die Sperre technisch umgesetzt.

8. Besondere Kategorien personenbezogener Daten und Berufsgeheimnis. Gehört der Verantwortliche einem Heilberuf an oder unterliegt er einer Schweigepflicht nach § 203 StGB, ist ihm die Auswahl von Sprachmodellen und Nachrichtenkanälen mit Verarbeitung außerhalb der Europäischen Union untersagt; für ihn bleibt die Verarbeitung auf die in Ziffer 6 genannten Anbieter mit Verarbeitung innerhalb der Union beschränkt. Die selbsttätige Zuordnung anhand der hinterlegten Branche erfasst derzeit Heilberufe mit Bezug zu Art. 9 DSGVO; für diese ist die Beschränkung technisch durchgesetzt. Für sonstige Berufsgeheimnisträger — insbesondere Rechtsanwälte, Notare, Steuerberater und Wirtschaftsprüfer — greift die Zuordnung nicht; sie zeigen ihre Schweigepflicht dem Auftragsverarbeiter in Textform an, der die Beschränkung daraufhin auch für sie einrichtet. Bis zum Zugang der Anzeige besteht sie als vertragliches Verbot ohne technische Sperre. Unabhängig davon ist der Assistent so eingerichtet, dass er nicht nach Angaben zur Gesundheit fragt und solche Angaben vor der Weitergabe an Benachrichtigungen entfernt. Der Verantwortliche wirkt darauf hin, dass betroffene Personen keine Angaben nach Art. 9 DSGVO über den Assistenten übermitteln. Pflichten des Verantwortlichen aus § 203 Abs. 4 StGB und aus seinem Berufsrecht bleiben unberührt.

9. Vom Verantwortlichen konfigurierte Ziele. Der Verantwortliche kann Ziele konfigurieren, an die der Auftragsverarbeiter Daten übermittelt: eine Slack-Adresse, an die bei einer Übergabe an einen Menschen der Name, die Kontaktdaten, der Anlass, eine pseudonyme Sitzungskennung sowie die letzten Nachrichten des Gesprächs im Wortlaut gesendet werden; eine Webhook-Adresse für die Weiterleitung von Anfragen mit denselben Angaben; eine Kennung für einen Reichweitenmessdienst, an den ausschließlich Ereignissignale gesendet werden; sowie einen Nachrichtenkanal mit eigenem Anbieterschlüssel des Verantwortlichen, für den Ziffer 6.1 entsprechend gilt. Die Konfiguration ist eine Weisung im Sinne von Ziffer 3. Der Verantwortliche wählt das Ziel aus und trägt die Verantwortung für dessen Zulässigkeit, einschließlich einer etwaigen Übermittlung in ein Drittland; nach dem vorgesehenen Datenfluss ist der Empfänger unmittelbar in die Verarbeitung des Verantwortlichen eingebunden und nicht Unterauftragsverarbeiter des Auftragsverarbeiters; der Verantwortliche prüft dessen datenschutzrechtliche Rolle eigenständig und schließt erforderlichenfalls selbst den nach Art. 28 DSGVO erforderlichen Vertrag. Der Verantwortliche benennt den Empfänger in seiner eigenen Datenschutzerklärung und verfügt über die erforderliche Rechtsgrundlage. Der Auftragsverarbeiter prüft technisch, dass das Ziel nicht in einem internen Netzbereich liegt; eine inhaltliche oder rechtliche Prüfung des Ziels findet nicht statt. Allein bei der Übermittlung an einen Reichweitenmessdienst werden ausschließlich pseudonyme Kennungen, Ereignisnamen und ereignisbezogene Kategorieangaben übertragen; Inhalte von Nachrichten, Namen, E-Mail-Adressen und Telefonnummern werden dorthin nicht übertragen. Für die übrigen Ziele dieser Ziffer gilt das nicht — dort werden die Anfragedaten vollständig übermittelt.

10. Unterstützung des Verantwortlichen. Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO), bei der Sicherheit der Verarbeitung sowie bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 35, 36 DSGVO). Wird ihm eine Verletzung des Schutzes personenbezogener Daten bekannt, informiert er den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, in Textform mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben.

11. Löschung und Rückgabe. Nach Beendigung des Nutzungsvertrags und Ablauf der Übergangsphase nach § 11 löscht der Auftragsverarbeiter alle im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Verantwortliche teilt seine Wahl bis zum Ablauf der Übergangsphase in Textform mit; ohne Mitteilung wird gelöscht. Unabhängig davon kann der Verantwortliche die Daten bis zum Ablauf der Übergangsphase selbst nach § 11 exportieren. Die Löschung umfasst alle Kopien; Datensicherungen werden im Rahmen des regulären Sicherungszyklus überschrieben.

12. Nachweise und Überprüfungen. Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung dieser Anlage erforderlichen Informationen zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO). Überprüfungen vor Ort sind nach angemessener Vorankündigung während der üblichen Geschäftszeiten und ohne Beeinträchtigung des Betriebs zulässig; der Auftragsverarbeiter kann sie durch aktuelle Nachweise oder Zertifikate seiner Unterauftragsverarbeiter ersetzen, soweit diese zur Prüfung genügen.

14. Verhältnis zu den Nutzungsbedingungen. Im Übrigen gelten diese Nutzungsbedingungen. Bei Widersprüchen geht diese Anlage in datenschutzrechtlichen Fragen vor. Die Haftung richtet sich nach Art. 82 DSGVO und ergänzend nach § 9 dieser Nutzungsbedingungen.