Vereinbarung zur Auftragsverarbeitung
nach Art. 28 DSGVO zwischen dem Kunden als Verantwortlichem („Kunde“) und Oleh Ostapenko, Einzelunternehmer, handelnd unter „Ja, gerne“, Sterngasse 3/2/6, 1010 Wien, Österreich, als Auftragsverarbeiter („wir“). Diese Vereinbarung ist Bestandteil jedes Vertrags über KI-Mitarbeiter nach unseren AGB.
1. Gegenstand und Dauer
Wir verarbeiten personenbezogene Daten im Auftrag des Kunden, um KI-Mitarbeiter einzurichten und zu betreiben. Die Vereinbarung gilt, solange wir für den Kunden personenbezogene Daten verarbeiten.
2. Art, Zweck und Umfang
- Zweck: Erledigung der vereinbarten Aufgaben, z. B. Anrufe annehmen, E-Mails und Nachrichten beantworten, Termine verwalten, Belege erfassen, Bewerbungen sortieren.
- Datenarten: Kontaktdaten, Kommunikationsinhalte (E-Mails, Nachrichten, Gesprächsinhalte), Termin-, Vertrags- und Rechnungsdaten sowie weitere Daten, die der Kunde dem KI-Mitarbeiter je nach Rolle zugänglich macht.
- Betroffene: Kunden, Interessenten, Lieferanten, Bewerber und Beschäftigte des Kunden.
- Besondere Kategorien von Daten (Art. 9 DSGVO, z. B. Gesundheitsdaten) verarbeiten wir nur, wenn dies gesondert vereinbart und durch zusätzliche Maßnahmen abgesichert ist.
3. Weisungen
Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind die Festlegungen im Auftrag und auf dem Werksausweis sowie Einstellungen und Freigaben im Dashboard. Ist eine Weisung nach unserer Auffassung rechtswidrig, weisen wir den Kunden unverzüglich darauf hin.
4. Vertraulichkeit
Alle Personen, die bei uns Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
5. Technische und organisatorische Maßnahmen
- Verarbeitung auf Servern in der EU, Verschlüsselung bei der Übertragung (TLS) und, wo möglich, im Ruhezustand.
- Zugriff nur für befugte Personen, persönliche Zugänge mit Zwei-Faktor-Anmeldung, Prinzip der geringsten Rechte.
- Trennung der Daten verschiedener Kunden.
- Protokollierung der Schritte jedes KI-Mitarbeiters, für den Kunden im Dashboard einsehbar.
- Freigabe-Schritte vor Aktionen mit Außenwirkung, nach den Regeln des Kunden.
- Regelmäßige Sicherungen und Aktualisierungen der eingesetzten Software.
- Keine Nutzung der Daten des Kunden zum Training von KI-Modellen.
6. Unterstützung des Kunden
Wir unterstützen den Kunden bei der Erfüllung der Rechte betroffener Personen (Art. 12–23 DSGVO), bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen (Art. 32–36 DSGVO). Datenschutzverletzungen melden wir dem Kunden unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis.
7. Unterauftragsverarbeiter
Der Kunde genehmigt den Einsatz der folgenden Unterauftragsverarbeiter. Über geplante Änderungen informieren wir den Kunden mindestens 14 Tage im Voraus in Textform. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Wir verpflichten Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau.
| Anbieter | Zweck | Ort der Verarbeitung |
|---|---|---|
| Google Cloud EMEA Limited, Irland | KI-Modelle (Vertex AI / Gemini) | EU, Rechenzentrum Niederlande (europe-west4) |
| Google Cloud EMEA Limited (Cloud Run), Irland | Hosting von Website, Dashboard und KI-Mitarbeitern | EU, Rechenzentrum Niederlande (europe-west4) |
| Sendinblue SAS (Brevo), Frankreich | Versand von E-Mails | EU |
| Cloudflare, Inc., USA | DNS und Weiterleitung von E-Mails | weltweit, EU-US Data Privacy Framework |
Je nach Rolle des KI-Mitarbeiters kommen die vom Kunden gewählten Kanäle hinzu (z. B. Telefonie-Anbieter, WhatsApp Business, E-Mail-Postfach, CRM oder Buchhaltungssoftware des Kunden). Diese nennen wir im Auftrag.
8. Drittländer
Eine Verarbeitung außerhalb des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, etwa durch einen Angemessenheitsbeschluss (z. B. EU-US Data Privacy Framework) oder EU-Standardvertragsklauseln.
9. Kontrollen
Wir stellen dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung nötig sind, und ermöglichen Überprüfungen nach vorheriger Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne Störung des Betriebs.
10. Löschung und Rückgabe
Nach Vertragsende geben wir dem Kunden auf Wunsch seine Daten zurück und löschen sie spätestens 30 Tage danach, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Sicherungskopien werden im regulären Zyklus überschrieben.
11. Schlussbestimmungen
Bei Widersprüchen zwischen dieser Vereinbarung und anderen Vereinbarungen geht diese Vereinbarung in Fragen des Datenschutzes vor. Im Übrigen gelten unsere AGB.
Stand: Oktober 2026