Vertrag zur Auftragsverarbeitung
nach Art. 28 DSGVO zwischen dem Kunden (Verantwortlicher, „Auftraggeber“) und AeroVane Interactive, Inhaber Daniel Danilov, Geschwister-Scholl-Straße 25, 65197 Wiesbaden („Auftragnehmer“). Stand: Oktober 2026.
Dieser Vertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen und gilt mit deren Annahme bei der Registrierung als geschlossen. Auf Wunsch stellt der Auftragnehmer eine unterschriebene Fassung bereit.
§ 1 Gegenstand und Dauer
Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, um den Dienst „AeroVane Chatbot“ zu erbringen. Die Dauer entspricht der Laufzeit des Hauptvertrags einschließlich der Löschfristen nach dessen Ende.
§ 2 Art, Zweck und Umfang
| Zweck | Bereitstellung eines KI-Chat-Assistenten auf Websites des Auftraggebers, Speicherung von Wissensinhalten und Gesprächen, Auswertung im Dashboard |
|---|---|
| Art der Verarbeitung | Erheben, Speichern, Durchsuchen, Übermitteln an den KI-Dienst, Anzeigen, Löschen |
| Datenarten | Chatnachrichten und Antworten, darin enthaltene Angaben wie Namen, Kontaktdaten oder Bestellnummern, Bewertungen von Antworten, Angaben für Aktionen und deren Ergebnisse, E-Mail-Adressen für Bestätigungscodes, Kontaktanfragen (Name, E-Mail, Nachricht), technische Daten zur Missbrauchsabwehr, personenbezogene Daten in Wissensinhalten, die der Auftraggeber einbringt |
| Betroffene | Besucher und Kunden der Websites des Auftraggebers, Beschäftigte des Auftraggebers |
| Ort | Ausschließlich in der Europäischen Union bzw. im Europäischen Wirtschaftsraum |
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Auftraggeber weist die Besucher darauf hin, solche Daten nicht in den Chat einzugeben.
§ 3 Weisungen
Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus diesem Vertrag und den Einstellungen, die der Auftraggeber im Dashboard vornimmt, etwa zur Aufbewahrungsfrist. Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Auftraggeber unverzüglich. Eine Verarbeitung zu eigenen Zwecken, insbesondere zum Training von KI-Modellen, findet nicht statt.
§ 4 Vertraulichkeit
Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind. Zugriff auf Daten des Auftraggebers erfolgt nur, soweit es für den Betrieb, die Fehlerbehebung oder auf Anfrage des Auftraggebers erforderlich ist.
§ 5 Technische und organisatorische Maßnahmen
Der Auftragnehmer trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO. Er darf sie an den Stand der Technik anpassen, sofern das Schutzniveau nicht unterschritten wird.
§ 6 Unterauftragsverarbeiter
Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vor dem Einsatz eines neuen oder dem Austausch eines bestehenden Unterauftragsverarbeiters per E-Mail. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann er den Vertrag zum Zeitpunkt des Wechsels kündigen. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf die Pflichten dieses Vertrags.
§ 7 Unterstützung des Auftraggebers
Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen, bei Datenschutz-Folgenabschätzungen und bei Anfragen von Aufsichtsbehörden. Gespräche kann der Auftraggeber im Dashboard einsehen und löschen. Anfragen betroffener Personen, die beim Auftragnehmer eingehen, leitet dieser an den Auftraggeber weiter.
§ 8 Meldung von Verletzungen
Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.
§ 9 Löschung und Rückgabe
Gespräche werden automatisch nach der vom Auftraggeber eingestellten Frist gelöscht (30 bis 365 Tage, Standard 90 Tage). Ausführungsprotokolle von Aktionen und Kontaktanfragen werden nach 90 Tagen gelöscht, Bestätigungscodes nur als Hash gespeichert und nach Abschluss der Aktion verworfen. Nach Ende des Hauptvertrags löscht der Auftragnehmer Wissensinhalte und Gespräche nach 90 Tagen. Datensicherungen werden im Rahmen ihres regulären Zyklus überschrieben, spätestens nach 30 Tagen. Vor der Löschung kann der Auftraggeber eine Kopie seiner Gespräche anfordern.
§ 10 Nachweise und Kontrollen
Der Auftragnehmer stellt dem Auftraggeber die zum Nachweis der Pflichten erforderlichen Informationen zur Verfügung. Kontrollen vor Ort sind nach rechtzeitiger Ankündigung während der Geschäftszeiten möglich, ohne den Betrieb unverhältnismäßig zu stören. Der Auftragnehmer kann einen angemessenen Aufwandsersatz verlangen.
§ 11 Haftung und Schlussbestimmungen
Für die Haftung gilt Art. 82 DSGVO, im Übrigen die Haftungsregelung der Allgemeinen Geschäftsbedingungen. Bei Widersprüchen hat dieser Vertrag Vorrang vor den Allgemeinen Geschäftsbedingungen, soweit es um den Schutz personenbezogener Daten geht.
Anlage 1: Technische und organisatorische Maßnahmen
| Zutrittskontrolle | Betrieb in Rechenzentren des Hosting-Anbieters in Deutschland mit Zutrittsschutz rund um die Uhr |
|---|---|
| Zugangskontrolle | Serverzugang nur per Schlüssel, Dashboard mit starken Passwörtern (Argon2id), optionaler Zwei-Faktor-Anmeldung, Begrenzung von Anmeldeversuchen und Sicherheitsbenachrichtigungen |
| Zugriffskontrolle | Trennung der Kundendaten auf Datenbankebene (Row-Level-Security), Rollen im Kundenkonto, Datenbank und Cache nur in einem internen Netz ohne Internetzugang erreichbar |
| Weitergabekontrolle | Verschlüsselte Übertragung per TLS, signierte Schnittstellenaufrufe (HMAC-SHA256), Schutz vor Aufrufen in interne Netze, keine Weitergabe außerhalb der EU |
| Eingabekontrolle | Protokollierung sicherheitsrelevanter Änderungen im Audit-Log, Ausführungsprotokoll für jede Aktion, Aktionen mit Änderungen nur nach Code-Bestätigung oder Kundenlogin und ausdrücklicher Freigabe |
| Verfügbarkeitskontrolle | Tägliche Datenbanksicherung, Überwachung der Dienste, automatischer Neustart bei Ausfall |
| Trennungskontrolle | Mandantentrennung in der Datenbank, getrennte Domains für Dashboard und Widget |
| Verschlüsselung | Geheimnisse mit AES-256-GCM verschlüsselt, Schlüssel nur als Hash gespeichert, Passwörter mit Argon2id |
| Datenminimierung | Hochgeladene Dateien werden nach dem Auslesen gelöscht, Protokolle ohne IP-Adressen, automatische Löschung von Gesprächen nach Frist |
Anlage 2: Unterauftragsverarbeiter
| Unternehmen | Leistung | Ort |
|---|---|---|
| Betrieb der Server, Speicherung aller Daten | Deutschland | |
| Mistral AI SAS 15 Rue des Halles, 75001 Paris, Frankreich | Erzeugung von KI-Antworten und Berechnung von Text-Vektoren für die Suche | Europäische Union |
| Versand von System-E-Mails, z. B. Bestätigungscodes | Europäische Union |