Auftragsverarbeitungsvertrag

1. Parteien und Rollen

[NAME DES UNTERNEHMENS], NIF/KvK [NIF/KvK], [ANSCHRIFT], vertreten durch [VERTRETER] (das „Unternehmen“), Verantwortlicher für die Daten seiner Kunden;
[FIRMENNAME], Steuernummer [STEUERNUMMER], [ANSCHRIFT], [KONTAKT-E-MAIL] („Ziqanova“), Auftragsverarbeiter, der diese Daten im Auftrag des Unternehmens verarbeitet.

Für die Kontodaten, die Ziqanova zur Verwaltung der Geschäftsbeziehung mit dem Unternehmen benötigt (E-Mail-Adresse für die Anmeldung, Sicherheit, Support, künftige Rechnungsstellung), handelt Ziqanova als Verantwortlicher. [Hinweis für den Juristen: Zu bestätigen sind diese Rollenverteilung und die Notwendigkeit von Datenschutzhinweisen von Ziqanova, die sich an Unternehmen richten.]

2. Gegenstand und Dauer

Ziqanova verarbeitet personenbezogene Daten im Auftrag des Unternehmens, um den in der Pilotvereinbarung beschriebenen Dienst zu erbringen. Dieser Vertrag gilt für die Dauer der Pilotvereinbarung und darüber hinaus, bis die Daten gelöscht oder zurückgegeben sind (Ziffer 11).

3. Art und Zweck der Verarbeitung

Das Entgegennehmen, Erfassen, Ordnen, Speichern, Anzeigen für das Team des Unternehmens, Übermitteln (an das Unternehmen und an die Unterauftragsverarbeiter in Anlage 2) und Löschen der Daten, die erforderlich sind, damit das Unternehmen Anfragen seiner Kunden entgegennehmen und bearbeiten kann: Erhebung im Chat, auf der öffentlichen Seite und über WhatsApp; automatische Extraktion von Angaben durch den KI-Assistenten; Erfassung der Anfrage im Dashboard; Benachrichtigungen an das Unternehmen; Notizen, Termine und Erinnerungen für das Team; Angebote; Export; automatische Löschung und Löschung auf Verlangen. Einzelheiten enthält Anlage 1.

4. Kategorien von Daten und betroffenen Personen

Betroffene Personen: Kunden und potenzielle Kunden des Unternehmens, die über den Assistenten, die öffentliche Seite oder WhatsApp mit ihm Kontakt aufnehmen; Teammitglieder des Unternehmens mit einem Dashboard-Konto. Daten: wie in Anlage 1 aufgeführt. Ziqanova fragt keine besonderen Kategorien personenbezogener Daten ab (zum Beispiel Gesundheitsdaten), und der Assistent bittet den Kunden, solche Daten nicht mitzuteilen; schreibt ein Kunde sie dennoch, werden sie Teil der Beschreibung der Anfrage, und das Unternehmen kann sie löschen.

5. Weisungen des Unternehmens

Ziqanova verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Unternehmens, nämlich auf Grundlage dieses Vertrags, der Pilotvereinbarung, der Einstellungen, die das Unternehmen im Dashboard wählt (zum Beispiel WhatsApp aktivieren oder eine Anfrage löschen), und späterer angemessener schriftlicher Weisungen. Ist Ziqanova nach dem Recht der Union oder eines Mitgliedstaats verpflichtet, die Daten anders zu verarbeiten, teilt Ziqanova dies dem Unternehmen vorab mit, sofern das Recht dies nicht verbietet, und informiert das Unternehmen, wenn Ziqanova der Auffassung ist, dass eine Weisung gegen die DSGVO verstößt.

Ziqanova verwendet die Daten der Kunden des Unternehmens nicht für eigene Zwecke, verkauft sie nicht, nutzt sie weder für Werbung noch zum Training von KI-Modellen und kontaktiert diese Kunden nicht aus eigener Initiative.

6. Vertraulichkeit

Nur der Betreiber von Ziqanova hat Zugriff auf Produktionsdaten, ist zur Vertraulichkeit verpflichtet und greift nur darauf zu, wenn dies erforderlich ist (Support, Fehlerbehebung, Anliegen des Unternehmens). Sollten bei Ziqanova künftig weitere Personen Zugriff haben, verpflichtet Ziqanova sie schriftlich zur Vertraulichkeit.

7. Sicherheitsmaßnahmen

Ziqanova trifft die in Anlage 3 beschriebenen, dem Risiko angemessenen technischen und organisatorischen Maßnahmen: Verschlüsselung bei der Übertragung und im Ruhezustand, Datenbankzugriff nur über den Server, Trennung der Daten der einzelnen Unternehmen (Mandantentrennung), Nutzungsgrenzen, Protokolle ohne personenbezogene Daten und verschlüsselte Backups. Ziqanova kann diese Maßnahmen verbessern, schwächt sie aber nicht ab, ohne das Unternehmen zu informieren.

8. Unterauftragsverarbeiter

Das Unternehmen erteilt eine allgemeine Genehmigung für die in Anlage 2 aufgeführten Unterauftragsverarbeiter (weitere Auftragsverarbeiter im Sinne der DSGVO). Ziqanova schließt mit jedem von ihnen einen Vertrag, der Datenschutzpflichten enthält, die denen dieses Vertrags gleichwertig sind, und haftet gegenüber dem Unternehmen weiterhin für deren Pflichterfüllung.

Ziqanova informiert das Unternehmen 30 Tage vor dem Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters per E-Mail. Das Unternehmen kann innerhalb dieser Frist schriftlich und aus nachvollziehbaren Gründen Einspruch erheben; wird keine Lösung gefunden, kann es die Pilotvereinbarung kostenfrei beenden und den Export und die Löschung seiner Daten verlangen.

9. Unterstützung des Unternehmens

Ziqanova unterstützt das Unternehmen bei der Beantwortung von Anträgen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch). Über das Dashboard kann das Unternehmen die Daten eines Kunden jederzeit einsehen, berichtigen und löschen. Wendet sich eine betroffene Person direkt an Ziqanova, leitet Ziqanova den Antrag innerhalb von 5 Arbeitstagen an das Unternehmen weiter und antwortet nicht in dessen Namen, es sei denn, das Unternehmen erteilt eine entsprechende Weisung. Ziqanova stellt dem Unternehmen außerdem auf Verlangen die Informationen zur Verfügung, die es zur Erfüllung seiner Pflichten in Bezug auf Sicherheit, Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung und vorherige Konsultation benötigt (Artikel 32 bis 36 DSGVO).

10. Verletzungen des Schutzes personenbezogener Daten

Ziqanova informiert das Unternehmen unverzüglich per E-Mail, spätestens jedoch 48 Stunden, nachdem Ziqanova von einer Verletzung des Schutzes personenbezogener Daten, die Daten des Unternehmens betrifft, Kenntnis erlangt hat, und teilt dabei mit, was zu diesem Zeitpunkt bekannt ist: Art, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene Maßnahmen und eine Anlaufstelle. Ziqanova ergänzt die Informationen, sobald sie vorliegen, und wirkt bei der Meldung an die Aufsichtsbehörde (CNPD oder Autoriteit Persoonsgegevens) und an die betroffenen Personen mit; die Entscheidung darüber trifft das Unternehmen.

11. Rückgabe und Löschung

Während der Laufzeit dieses Vertrags kann das Unternehmen Kundendaten im Dashboard löschen und einen vollständigen Export seiner Daten (Anfragen, Notizen, Termine, Angebote, Fotos, Einstellungen) in einem maschinenlesbaren Format verlangen, der innerhalb von 15 Tagen über einen sicheren Kanal bereitgestellt wird.

Am Ende der Pilotvereinbarung stellt Ziqanova diesen Export bereit, wenn das Unternehmen ihn innerhalb von 30 Tagen nach dem Ende verlangt, und löscht alle Daten des Unternehmens, einschließlich Fotos und Kopien bei Unterauftragsverarbeitern, soweit dies möglich ist, innerhalb von 30 Tagen nach dem Ende oder nach der Bereitstellung des Exports, je nachdem, welcher Zeitpunkt später liegt. Verschlüsselte Backups werden im normalen Rotationszyklus gelöscht, spätestens 30 Tage später, und niemals zur Wiederherstellung gelöschter Daten verwendet. Ziqanova bestätigt die Löschung per E-Mail und bewahrt nur das auf, wozu Ziqanova gesetzlich verpflichtet ist.

12. Audits

Ziqanova stellt dem Unternehmen auf schriftliches Verlangen innerhalb von 15 Arbeitstagen die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind: Beschreibung der Maßnahmen, Liste der Unterauftragsverarbeiter, Dokumentation der Anbieter und Antworten auf angemessene Fragen.

Das Unternehmen oder ein von ihm beauftragter unabhängiger Prüfer, der zur Vertraulichkeit verpflichtet ist, kann höchstens einmal pro Jahr ein Vor-Ort-Audit durchführen, mit einer Ankündigungsfrist von 30 Tagen, während der Geschäftszeiten, auf eigene Kosten und ohne Zugriff auf Daten anderer Unternehmen. Ein Audit wird außerdem jederzeit zugelassen, wenn eine Aufsichtsbehörde es verlangt.

13. Internationale Datenübermittlungen

Die Daten werden in der Europäischen Union (Irland) gespeichert und verarbeitet. Einige Unterauftragsverarbeiter verarbeiten Daten in den Vereinigten Staaten von Amerika, insbesondere OpenAI und Anthropic (Antworten des Assistenten und Extraktion von Angaben), auf Grundlage des EU-US-Datenschutzrahmens (EU-U.S. Data Privacy Framework) und/oder der Standardvertragsklauseln der Europäischen Kommission. [Hinweis für den Juristen: Für jeden Unterauftragsverarbeiter in Anlage 2 sind die vertragschließende Gesellschaft, die Zertifizierung nach dem Datenschutzrahmen und die Aufnahme der Standardvertragsklauseln in seine Bedingungen zur Auftragsverarbeitung zu bestätigen.] Ziqanova übermittelt Daten auf keinem anderen Weg in Länder außerhalb der EU/des EWR, ohne dass geeignete Garantien bestehen und ohne das Unternehmen zu informieren.

14. Haftung

Es gilt die Haftungsklausel der Pilotvereinbarung (Begrenzung auf EUR 500 während der kostenlosen Pilotphase). Diese Beschränkung berührt weder die Haftung einer Partei gegenüber betroffenen Personen oder Behörden (Artikel 82 und 83 DSGVO) noch die Haftung für Vorsatz. Das Unternehmen ist für die Rechtmäßigkeit der Erhebung und für die Information seiner Kunden verantwortlich; Ziqanova für die Einhaltung dieses Vertrags.

15. Anwendbares Recht

Es gelten portugiesisches Recht und die Zuständigkeit der Gerichte in Lissabon, wie in der Pilotvereinbarung. [Hinweis für den Juristen: siehe denselben Hinweis zu niederländischen Unternehmen.] In Fragen personenbezogener Daten hat dieser Vertrag Vorrang vor der Pilotvereinbarung.

Anlage 1 — Einzelheiten der Verarbeitung

Zweck: Anfragen von Kunden des Unternehmens entgegennehmen und ordnen und das Unternehmen bei ihrer Beantwortung unterstützen (Verarbeitungsvorgänge gemäß Ziffer 3).
Betroffene Personen: Kunden und potenzielle Kunden des Unternehmens; Teammitglieder des Unternehmens.
Kundendaten: Name, Telefonnummer, E-Mail-Adresse, Anschrift oder Postleitzahl, Problembeschreibung, Fotos (bis zu 3 pro Gespräch, ohne Standortdaten), Chatnachrichten, Wunschzeiten, Dringlichkeit, Sprache, Angebote (Name, Telefonnummer, Postleitzahl, Beschreibung, Beträge). Ein nicht umkehrbarer, aus der IP-Adresse abgeleiteter Code zur Verhinderung von Missbrauch, der 2 Tage gespeichert wird; die IP-Adresse selbst wird nicht gespeichert. Ist die Prüfung gegen Bots eingeschaltet, durchläuft die erste Nachricht jedes Chatgesprächs eine Prüfung von Cloudflare, die die IP-Adresse und technische Angaben zum Browser erhält (Anlage 2), nicht aber die Nachrichten.
Daten der Teammitglieder: Name, E-Mail-Adresse, Telefonnummer, Passwort (nur als Hashwert), Logo und steuerliche Angaben des Unternehmens, Dashboard-Einstellungen.
An OpenAI übermittelte Daten: die Nachrichten des Kunden, die vorherigen Antworten des Assistenten und die Einstellungen des Unternehmens für den Online-Assistenten; OpenAI nutzt sie nicht zum Training und speichert sie nicht als Verlauf (Speicherung deaktiviert), kann sie aber bis zu 30 Tage in seinen Protokollen zur Missbrauchserkennung aufbewahren, oder länger, wenn das Gesetz es verlangt. [Hinweis für den Juristen: anhand der geltenden Bedingungen von OpenAI zu bestätigen; eine Null-Speicherung erfordert die Zustimmung von OpenAI und wurde nicht beantragt.] Ziqanova speichert nicht das vollständige Transkript, sondern nur die extrahierten Angaben, die letzte Antwort und den temporären Kontext.
An Anthropic übermittelte Daten, wenn Ziqanova Claude für den Chat des Unternehmens wählt, anstelle von OpenAI oder als Reserve, um eine Nachricht zu beantworten, die OpenAI nicht beantworten konnte: dieselben; Anthropic nutzt sie nicht zum Training und löscht sie innerhalb von 30 Tagen, es sei denn, sie werden als Verstoß gegen seine Nutzungsrichtlinie markiert (dann werden sie bis zu 2 Jahre aufbewahrt) oder das Gesetz verlangt eine längere Aufbewahrung. [Hinweis für den Juristen: anhand der geltenden Bedingungen von Anthropic (Commercial Terms und Data Processing Addendum) zu bestätigen; eine Null-Speicherung erfordert die Zustimmung von Anthropic und wurde nicht beantragt.]
Speicherfristen: Gesprächskontext, 24 Stunden; Code zur Verhinderung von Missbrauch, 2 Tage; Fotos ohne zugehörige Anfrage, 2 Tage; Anfragen ohne Aktivität, 24 Monate, mit automatischer Löschung; Fotos zu einer Anfrage, bis die Anfrage gelöscht wird; WhatsApp-Gespräche, 24 Stunden nach der letzten Nachricht; Protokolle von WhatsApp-Benachrichtigungen, 7 bis 90 Tage; über die Kontaktseite an Ziqanova gesendete Nachrichten, 12 Monate. Das Unternehmen kann die Daten eines Kunden jederzeit im Dashboard löschen.
Standort: Datenbank und Dateien in der Europäischen Union (Irland); Anwendung in der Europäischen Union (Dublin); Übermittlungen gemäß Anlage 2.

Anlage 2 — Unterauftragsverarbeiter

Supabase — Datenbank, Authentifizierung und Dateien — Daten in der EU (Irland, eu-west-1); Hauptsitz in den USA — immer.
Vercel — Hosting und Ausführung der Anwendung — Serverfunktionen in der EU (Dublin), globales Auslieferungsnetz für statische Inhalte; Hauptsitz in den USA — immer.
OpenAI — Antworten des KI-Assistenten und Extraktion von Angaben, über API, ohne Training und mit deaktivierter Speicherung; Protokolle zur Missbrauchserkennung bis zu 30 Tage — USA; EU-US-Datenschutzrahmen und/oder Standardvertragsklauseln [vom Juristen zu bestätigen] — bei jeder Nutzung des Chats; wenn Ziqanova dafür Claude gewählt hat, nur um eine Nachricht zu beantworten, die Claude nicht beantworten konnte.
Anthropic (Claude) — Antworten des KI-Assistenten und Extraktion von Angaben, über API, ohne Training, anstelle von OpenAI bei den Unternehmen, deren Chat Ziqanova auf Claude umstellt, oder als Reserve, um eine Nachricht zu beantworten, die OpenAI nicht beantworten konnte; Daten werden innerhalb von 30 Tagen gelöscht (bis zu 2 Jahre, wenn sie als Verstoß gegen die Nutzungsrichtlinie von Anthropic markiert werden) — USA; Standardvertragsklauseln (Data Processing Addendum von Anthropic, Module 2 und 3) [vom Juristen zu bestätigen] — nur wenn Ziqanova Claude für den Chat des Unternehmens wählt, als Haupt- oder Reserveanbieter.
Resend — E-Mails an das Unternehmen mit Anfragedaten, Erinnerungen, Einladungen und Übersichten — Versand aus der EU; Hauptsitz in den USA; Standardvertragsklauseln [vom Juristen zu bestätigen] — immer.
Meta (WhatsApp Business Platform) — Benachrichtigungen an das Unternehmen mit Name, Telefonnummer und Anfragebeschreibung des Kunden sowie Gespräche mit Kunden über WhatsApp — Irland, mit Verarbeitung in den USA gemäß den Bedingungen von Meta [vom Juristen zu bestätigen] — nur, wenn das Unternehmen WhatsApp im Dashboard aktiviert.
Cloudflare (Turnstile) — Prüfung gegen Bots bei der ersten Nachricht jedes Chatgesprächs; erhält die IP-Adresse und technische Angaben zum Browser des Kunden, nicht die Nachrichten — Hauptsitz in den USA; EU-US-Datenschutzrahmen und/oder Standardvertragsklauseln [vom Juristen zu bestätigen] — nur, solange die Prüfung eingeschaltet ist.
Paddle (Paddle.com Market Limited) — Wiederverkauf der kostenpflichtigen Tarife als Händler ("merchant of record"): zieht die Zahlungen ein, berechnet die Umsatzsteuer und stellt die Rechnungen im eigenen Namen aus; Daten des Unternehmens (Zahler), nicht seiner Kunden; die Karte bleibt bei Paddle, Ziqanova sieht sie nie — Vereinigtes Königreich (Angemessenheitsbeschluss der EU) [vom Juristen zu bestätigen] — nur, wenn die Rechnungsstellung aktiviert wird, nach der kostenlosen Pilotphase.
Google (Google Workspace) — Postfach von Ziqanova für Support- und Datenschutzanfragen; nur das, was das Unternehmen oder betroffene Personen per E-Mail senden — EU und USA [vom Juristen zu bestätigen] — wenn Support-E-Mails ausgetauscht werden.

Monitoring-Dienste und Dienste zum Hosten von Quellcode erhalten keine personenbezogenen Daten und sind daher nicht in dieser Liste aufgeführt.

Anlage 3 — Sicherheitsmaßnahmen

Verschlüsselung bei der Übertragung (HTTPS, TLS 1.3, HSTS) und im Ruhezustand (Datenbank, Dateien und Backups von den Anbietern verschlüsselt).
Zugriff auf Produktionsdaten beschränkt auf den Betreiber von Ziqanova, mit persönlichen Zugangsdaten.
Datenbank nach außen abgeschottet: alle Tabellen mit Sicherheit auf Zeilenebene (Row-Level Security) und ohne Berechtigungen für öffentliche Rollen; nur der Server hat Zugriff, mit dem Dienstschlüssel; der Browser kommuniziert nie direkt mit der Datenbank.
Mandantentrennung: Das jeweilige Unternehmen wird stets aus der auf dem Server verifizierten Sitzung abgeleitet; vom Browser übermittelte Kennungen werden abgelehnt.
Dashboard-Konten: Registrierung nur auf Einladung, Bestätigung der E-Mail-Adresse, Passwörter mit 12 bis 128 Zeichen und Ablehnung von Passwörtern aus Datenlecks, optionaler zweiter Faktor (TOTP).
Nutzungsgrenzen, die im Fehlerfall sperren (Fail-Closed), pro Besucher, pro Unternehmen und plattformweit; begrenzte Größe eingehender HTTP-Anfragen; Honeypot-Felder in Formularen; Prüfung gegen Bots (Cloudflare Turnstile) bei der ersten Chatnachricht, wenn eingeschaltet.
Fotos im Browser verkleinert und Standortdaten entfernt, Format auf dem Server geprüft, privater Speicher, nur für die Teammitglieder des Unternehmens sichtbar.
Technische Protokolle nur mit Fehlercodes, ohne Nachrichten, Kontaktdaten oder sonstige personenbezogene Daten; geheime Schlüssel nur serverseitig und nicht in Vorschauversionen vorhanden.
Aufrufe an OpenAI mit deaktivierter Speicherung und an Anthropic über seine Nachrichten-API, die keinen Gesprächsverlauf speichert; Modellausgaben werden vor dem Speichern auf dem Server validiert.
Tägliche verschlüsselte Backups mit regelmäßigen Wiederherstellungstests; automatische Löschung nach Ablauf der Speicherfristen (Anlage 1).
Vorfälle: betriebliche Warnmeldungen, Analyse, Behebung und Benachrichtigung des Unternehmens gemäß Ziffer 10.