Vereinbarung zur Auftragsverarbeitung

Diese Vereinbarung zur Auftragsverarbeitung (nachfolgend „AVV“) konkretisiert die datenschutzrechtlichen Pflichten von SAAN Future LLC (nachfolgend „Auftragsverarbeiter“) und des jeweiligen SAAN-Future-Kunden (nachfolgend „Verantwortlicher“ bzw. „Auftraggeber“) im Zusammenhang mit der Verarbeitung personenbezogener Daten gemäß Art. 28 DSGVO.

Gegenstand und Geltungsbereich

Gegenstand dieser AVV ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung des digitalen Mitarbeiters und der zugehörigen Plattformleistungen für den Auftraggeber gemäß dem zwischen den Parteien bestehenden Hauptvertrag (den Allgemeinen Geschäftsbedingungen von SAAN Future).

Diese AVV gilt für sämtliche Verarbeitungen personenbezogener Daten, die der Auftragsverarbeiter im Auftrag des Auftraggebers im Rahmen dieser Leistungen vornimmt.

Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten zum Zweck des Betriebs des digitalen Mitarbeiters des Auftraggebers, insbesondere zur automatisierten Beantwortung von Anfragen von Websitebesucherinnen und -besuchern, zur Aufbereitung und Bereitstellung der unternehmensspezifischen Wissensbasis sowie, soweit gebucht, zur Sprachausgabe.

Dauer der Verarbeitung

Die Verarbeitung erfolgt für die Dauer des Hauptvertrags. Nach dessen Beendigung gelten die Regelungen zur Löschung und Rückgabe (siehe unten) sowie die im Hauptvertrag und in der Datenschutzerklärung genannten Aufbewahrungsfristen.

Kategorien betroffener Personen

• Websitebesucherinnen und -besucher des Auftraggebers
• Interessentinnen und Interessenten sowie Kundinnen und Kunden des Auftraggebers, die mit dem digitalen Mitarbeiter kommunizieren
• Mitarbeitende des Auftraggebers, soweit sie den Kundenkonto- bzw. Verwaltungsbereich nutzen

Kategorien personenbezogener Daten

• Kommunikationsinhalte (Chat-Nachrichten und, soweit aktiviert, gesprochene Antworten)
• Kontaktdaten, soweit vom Betroffenen im Gespräch freiwillig mitgeteilt (z. B. Name, E-Mail-Adresse, Telefonnummer)
• In Dokumenten oder auf der Website des Auftraggebers enthaltene personenbezogene Angaben, soweit diese Teil der Wissensbasis werden
• Technische Daten im Zusammenhang mit der Nutzung des digitalen Mitarbeiters (z. B. Zeitstempel, Zuordnung zum jeweiligen Widget)

Besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO sind nicht Bestandteil der vorgesehenen, standardmäßigen Verarbeitung. Der Auftraggeber stellt sicher, dass er über den digitalen Mitarbeiter keine solchen Daten verarbeiten lässt, soweit dies nicht gesondert schriftlich vereinbart wird.

Weisungsrecht des Auftraggebers

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach dem Recht der Europäischen Union oder eines Mitgliedstaats zu einer anderweitigen Verarbeitung verpflichtet. Die im Hauptvertrag beschriebene Leistungserbringung gilt als Weisung des Auftraggebers.

Hält der Auftragsverarbeiter eine Weisung des Auftraggebers für rechtswidrig, informiert er den Auftraggeber unverzüglich hierüber.

Pflichten des Auftragsverarbeiters

• Verarbeitung der Daten ausschließlich im Rahmen dieser AVV und der Weisungen des Auftraggebers
• Sicherstellung, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind
• Umsetzung geeigneter technischer und organisatorischer Maßnahmen (siehe unten)
• Unterstützung des Auftraggebers bei der Erfüllung von Betroffenenrechten und sonstigen datenschutzrechtlichen Pflichten im vereinbarten Rahmen
• Unverzügliche Meldung von Datenschutzverletzungen an den Auftraggeber

Pflichten des Auftraggebers

• Sicherstellung, dass er zur Erteilung der Verarbeitungsaufträge gemäß dieser AVV berechtigt ist
• Alleinige Verantwortung für die Rechtmäßigkeit der Datenverarbeitung im Sinne des Art. 6 DSGVO, insbesondere für die Rechtmäßigkeit der Bereitstellung von Inhalten und Daten an den digitalen Mitarbeiter
• Unverzügliche Information des Auftragsverarbeiters bei Fehlern oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse

Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter setzt angemessene technische und organisatorische Maßnahmen ein, insbesondere Verschlüsselung der Datenübertragung (TLS/HTTPS), rollenbasierte Zugriffskontrollen sowie eine strikte mandantenbezogene Datentrennung zwischen den einzelnen Auftraggebern auf Datenbankebene (Row-Level-Security). Einzelheiten teilt der Auftragsverarbeiter dem Auftraggeber auf Anfrage mit.

Unterauftragsverarbeiter

Der Auftraggeber erteilt seine allgemeine Zustimmung zum Einsatz folgender Unterauftragsverarbeiter, soweit die jeweils zugrunde liegende Funktion für den Auftraggeber tatsächlich aktiv genutzt wird:

• Supabase -- Datenbank, Authentifizierung, Dateispeicher
• OpenAI -- KI-gestützte Verarbeitung von Chat-Anfragen und Wissensinhalten
• ElevenLabs -- Sprachausgabe, soweit für den jeweiligen digitalen Mitarbeiter aktiviert
• HOSTINGER operations, UAB -- technisches Hosting der Plattform
• Resend -- Versand transaktionsbezogener E-Mails
• Just Viral GmbH & Co. KG (FunnelCockpit) -- Formular-Einbindung für einzelne Anfrageformulare, soweit eingesetzt

Der Auftragsverarbeiter informiert den Auftraggeber über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern, sodass der Auftraggeber die Möglichkeit hat, der Änderung zu widersprechen.

Internationale Datenübermittlungen

Soweit eingesetzte Unterauftragsverarbeiter personenbezogene Daten außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums verarbeiten, stellt der Auftragsverarbeiter sicher, dass dies nur unter den Voraussetzungen der Art. 44 ff. DSGVO erfolgt, insbesondere auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission, von Standardvertragsklauseln oder anderer geeigneter Garantien.

Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Auftraggeber im Rahmen des Zumutbaren mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anfragen betroffener Personen zur Ausübung ihrer Rechte gemäß Kapitel III der DSGVO.

Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO, die die Verarbeitung im Auftrag des Auftraggebers betrifft, unverzüglich nach Bekanntwerden und unterstützt den Auftraggeber bei der Erfüllung von dessen Melde- und Benachrichtigungspflichten gemäß Art. 33 und 34 DSGVO.

Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Auftraggeber im Rahmen des Zumutbaren bei der Erstellung von Datenschutz-Folgenabschätzungen und etwaigen vorherigen Konsultationen der Aufsichtsbehörde, soweit dies für die vom Auftragsverarbeiter durchgeführten Verarbeitungen erforderlich ist.

Nachweise und Prüfungen

Der Auftragsverarbeiter stellt dem Auftraggeber auf Anfrage die zum Nachweis der Einhaltung dieser AVV erforderlichen Informationen zur Verfügung und ermöglicht Prüfungen, einschließlich Inspektionen, die von dem Auftraggeber oder einem von diesem beauftragten Prüfer durchgeführt werden, im zumutbaren Rahmen und unter angemessener vorheriger Ankündigung.

Löschung und Rückgabe

Nach Beendigung der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter sämtliche im Auftrag des Auftraggebers verarbeiteten personenbezogenen Daten entsprechend den in der Datenschutzerklärung und im Hauptvertrag beschriebenen Fristen, sofern nicht nach dem Recht der Europäischen Union oder der Mitgliedstaaten eine Verpflichtung zur weiteren Speicherung besteht.

Vertraulichkeit

Der Auftragsverarbeiter verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit, soweit diese nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Verhältnis zum Hauptvertrag

Diese AVV ergänzt den zwischen den Parteien bestehenden Hauptvertrag (die Allgemeinen Geschäftsbedingungen von SAAN Future) um die datenschutzrechtlich erforderlichen Regelungen. Im Fall von Widersprüchen zwischen dieser AVV und dem Hauptvertrag gehen die Regelungen dieser AVV insoweit vor, als sie die Verarbeitung personenbezogener Daten betreffen.

Elektronischer Abschluss

Diese AVV wird Bestandteil des Vertragsverhältnisses, sobald der Auftraggeber ihr im Rahmen der Bestellung bzw. auf sonstige zumutbare elektronische Weise zustimmt. Eine gesonderte, handschriftlich unterschriebene Fassung ist hierfür nicht erforderlich.