Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

1. Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Nutzung des Dienstes „beralo" (KI-Verkaufsberater). (2) Die Dauer entspricht der Laufzeit des Hauptvertrags (AGB). (3) Dieser AVV konkretisiert die datenschutzrechtlichen Pflichten aus dem Hauptvertrag und geht diesem bei Widersprüchen in Datenschutzfragen vor.

2. Art, Zweck und Umfang der Verarbeitung

Der Auftragsverarbeiter verarbeitet Daten ausschließlich zur Erbringung des Dienstes: Entgegennahme und Beantwortung von Anfragen der Website-Besucher des Verantwortlichen durch den KI-Berater, Produktempfehlungen sowie – bei aktivierter, einwilligungsbasierter Analyse – die Erstellung aggregierter Auswertungen und Umsatz-Zuordnung. Die Verarbeitung erfolgt nur auf dokumentierte Weisung des Verantwortlichen; als Weisung gelten der Hauptvertrag und die Konfiguration im Dienst.

3. Art der Daten und Kategorien betroffener Personen

(1) Datenarten: von Besuchern eingegebene Chat-Inhalte, technische Kennungen (pseudonyme Besucher-ID, gehashte IP-Adresse, User-Agent), Interaktions-/Klickdaten sowie – bei aktivierter Conversion-Messung – Bestell-/Umsatzbezugsdaten. Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags; der Verantwortliche stellt sicher, keine solchen Daten zu veranlassen. (2) Betroffene: Besucher und Kunden der Website/des Shops des Verantwortlichen.

4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter (1) verarbeitet nur auf dokumentierte Weisung; (2) verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit; (3) trifft die erforderlichen technischen und organisatorischen Maßnahmen (Ziffer 5); (4) unterstützt den Verantwortlichen im Rahmen des Möglichen bei der Erfüllung von Betroffenenrechten und Pflichten nach Art. 32–36 DSGVO; (5) meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich; (6) löscht oder gibt die Daten nach Wahl des Verantwortlichen nach Vertragsende zurück; (7) stellt die für den Nachweis erforderlichen Informationen bereit.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Verschlüsselung der Übertragung (TLS); Zugriffskontrolle und Rollentrennung; Pseudonymisierung (IP-Hashing, pseudonyme Besucher-IDs); getrennte Mandantenverarbeitung; Speicherbegrenzung durch ein Lösch-/Aufbewahrungskonzept (Chat-Nachrichten 90 Tage, sonstige personenbezogene Tracking-Daten 180 Tage, danach automatische Löschung); dokumentierte Wiederherstellbarkeit; Beauftragung von Unter- auftragsverarbeitern nur mit vertraglicher Absicherung nach Ziffer 6.

6. Unterauftragsverarbeiter

(1) Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Anthropic PBC (USA) – Erzeugung der KI-Antworten; Datentransfer auf Grundlage der EU-Standardvertragsklauseln (Art. 46 DSGVO).
• Supabase (Hosting/Datenbank, EU-Region) – Speicherung der Dienstdaten.
• Vercel Inc. – Betrieb/Auslieferung der Anwendung.
• Stripe Payments Europe, Ltd. – Zahlungsabwicklung (eigenverantwortlich für Zahlungsdaten).
• Resend – Versand von Transaktions-/Onboarding-E-Mails.

(2) Der Auftragsverarbeiter informiert über beabsichtigte Änderungen und räumt ein Widerspruchsrecht aus wichtigem, datenschutzrechtlichem Grund ein. (3) Der Auftragsverarbeiter erlegt Unterauftrag- verarbeitern gleichwertige Datenschutzpflichten auf.

7. Betroffenenrechte, Löschung

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Auskunft, Berichtigung, Löschung und Einschränkung. Betroffenenanfragen, die beim Auftragsverarbeiter eingehen, werden an den Verantwortlichen weitergeleitet. Es stehen Funktionen zur Löschung einzelner Sitzungsdaten sowie das genannte Aufbewahrungs-/Löschkonzept zur Verfügung.

8. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO), die den Betrieb nicht unverhältnismäßig beeinträchtigen.