ANHANG I: AUFTRAGSVERARBEITUNGSVERTRAG (AVV)

a) Verantwortlicher: Der Kunde, der den Chatbot-Dienst in Anspruch nimmt und der die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten seiner Endnutzer festlegt.

b) Auftragsverarbeiter: Eloy Garrido Castro, handelnd unter dem Handelsnamen Solneko, der den Chatbot-Dienst erbringt und personenbezogene Daten im Namen und im Auftrag des Verantwortlichen verarbeitet.

c) Unterauftragsverarbeiter: Dritte, die vom Auftragsverarbeiter autorisiert sind, bestimmte Datenverarbeitungstätigkeiten im Auftrag des Verantwortlichen durchzuführen.

d) Personenbezogene Daten: Alle Informationen über eine identifizierte oder identifizierbare natürliche Person, die in den Chatbot-Konversationen enthalten sind.

e) Verarbeitung: Jeder mit personenbezogenen Daten ausgeführte Vorgang, einschließlich Erheben, Erfassen, Organisation, Ordnen, Speicherung, Anpassung, Abfrage, Einsichtnahme, Verwendung, Offenlegung, Abgleich, Einschränkung, Löschung oder Vernichtung.

f) Betroffene Person: Endnutzer des Kunden, der mit dem Chatbot interagiert und dessen personenbezogene Daten verarbeitet werden.

g) Datenschutzverletzung: Jede Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von bzw. zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden.

2.1. Gegenstand: Dieser AVV regelt die Bedingungen, unter denen der Auftragsverarbeiter im Rahmen der Erbringung des Chatbot-Dienstes personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

2.2. Art der Verarbeitung: Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zu folgenden Zwecken:

• Verarbeitung von Konversationen mittels Technologie der künstlichen Intelligenz (OpenAI-API)
• Temporäre Speicherung von Konversationen zur Analyse der Servicequalität
• Erstellung von aggregierten Kennzahlen und Statistiken über die Nutzung des Chatbots
• Verbesserung des Dienstes und Training angepasster Modelle (nur mit ausdrücklicher Genehmigung)
• Technischer Support und Bearbeitung von vom Verantwortlichen gemeldeten Vorfällen

2.3. Dauer der Verarbeitung: Der Auftragsverarbeiter verarbeitet personenbezogene Daten für die Laufzeit des Dienstleistungsvertrags und nach dessen Beendigung nur so lange, wie dies zur Erfüllung rechtlicher oder vertraglicher Verpflichtungen erforderlich ist.

Technische Maßnahmen:

• Verschlüsselung von Daten bei der Übertragung (TLS 1.2 oder höher) und im Ruhezustand (AES-256 oder gleichwertig)
• Pseudonymisierung von Daten, sofern technisch möglich
• Zugangskontrolle mittels Multi-Faktor-Authentifizierung für autorisiertes Personal
• Systeme zur Erkennung von Eindringversuchen und Sicherheitsüberwachung
• Regelmäßige, verschlüsselte Datensicherungen
• Sichere Verfahren zur Datenlöschung
• Regelmäßige Sicherheitsaudits und Penetrationstests

Organisatorische Maßnahmen:

• Dokumentierte Informationssicherheitsrichtlinie
• Verwaltung von Passwörtern und Zugangsdaten
• Protokollierung der Zugriffe auf personenbezogene Daten
• Verfahren zur Reaktion auf Sicherheitsvorfälle
• Datenschutz-Folgenabschätzungen, sofern anwendbar

4.4.1. Genehmigung: Der Verantwortliche genehmigt dem Auftragsverarbeiter ausdrücklich die Beauftragung folgender Unterauftragsverarbeiter:

4.4.2. Neue Unterauftragsverarbeiter: Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage im Voraus über jede geplante Änderung bei der Hinzuziehung oder dem Austausch von Unterauftragsverarbeitern. Der Verantwortliche kann innerhalb dieser Frist aus datenschutzrechtlichen Gründen widersprechen.

4.4.3. Pflichten: Der Auftragsverarbeiter stellt sicher, dass Unterauftragsverarbeiter durch schriftlichen Vertrag denselben Datenschutzpflichten unterliegen, die in diesem AVV festgelegt sind.

4.4.4. Aktuelle Liste: Die vollständige und aktuelle Liste der Unterauftragsverarbeiter ist öffentlich zugänglich unter: hier

4.5.1. Der Auftragsverarbeiter unterstützt den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen, soweit dies möglich ist, damit der Verantwortliche seiner Pflicht zur Beantwortung von Anträgen auf Ausübung folgender Rechte nachkommen kann:

• Auskunftsrecht: Bereitstellung einer Kopie der verarbeiteten Daten
• Recht auf Berichtigung: Korrektur unrichtiger Daten
• Recht auf Löschung („Recht auf Vergessenwerden"): Löschung von Daten, sofern zutreffend
• Recht auf Einschränkung der Verarbeitung: Vorübergehende Sperrung der Verarbeitung
• Recht auf Datenübertragbarkeit: Bereitstellung der Daten in einem strukturierten, lesbaren Format
• Widerspruchsrecht: Einstellung der Verarbeitung unter bestimmten Umständen

4.5.2. Verfahren: Wenn eine betroffene Person zur Ausübung ihrer Rechte direkt den Auftragsverarbeiter kontaktiert:

1. Benachrichtigt der Auftragsverarbeiter den Verantwortlichen innerhalb von maximal 48 Stunden
2. Stellt der Auftragsverarbeiter dem Verantwortlichen alle zur Bearbeitung des Antrags erforderlichen Informationen zur Verfügung
3. Antwortet der Verantwortliche formell auf die betroffene Person und trägt die Verantwortung für die endgültige Entscheidung

4.5.3. Unterstützungsfrist: Der Auftragsverarbeiter stellt die Daten bereit oder führt die erforderlichen technischen Maßnahmen innerhalb von maximal 7 Kalendertagen nach Anfrage des Verantwortlichen durch.

4.5.4. Werkzeuge: Der Auftragsverarbeiter gewährt dem Verantwortlichen Zugang zu Werkzeugen im Kontrollpanel, um:

• Konversationen nach Nutzerkennung zu suchen
• Daten im CSV/JSON-Format zu exportieren
• Konversationen dauerhaft zu löschen
• Personenbezogene Daten unter Beibehaltung des analytischen Nutzens zu anonymisieren

4.6.1. Meldepflicht: Im Falle einer Datenschutzverletzung, die personenbezogene Daten betrifft, benachrichtigt der Auftragsverarbeiter den Verantwortlichen unverzüglich und spätestens innerhalb von 24 Stunden nach Kenntniserlangung.

4.6.2. Inhalt der Benachrichtigung:

• Beschreibung der Art der Verletzung (Art des Vorfalls, wie er sich ereignet hat)
• Kategorien und ungefähre Anzahl der betroffenen Personen
• Kategorien und ungefähre Anzahl der betroffenen Datensätze
• Wahrscheinliche Folgen der Verletzung
• Ergriffene oder vorgeschlagene Maßnahmen zur Behebung der Verletzung und Minderung möglicher nachteiliger Auswirkungen
• Kontaktdaten der für die Bearbeitung des Vorfalls zuständigen Person

4.6.3. Zusammenarbeit: Der Auftragsverarbeiter arbeitet aktiv mit dem Verantwortlichen zusammen bei:

• Der Bewertung des Risikos für die Rechte und Freiheiten der betroffenen Personen
• Der Erstellung der Mitteilung an die Aufsichtsbehörde (AEPD in Spanien)
• Der Benachrichtigung der betroffenen Personen, falls erforderlich
• Der Umsetzung von Korrekturmaßnahmen

4.6.4. Es liegt in der Verantwortung des Verantwortlichen, zu entscheiden, ob die Verletzung gemäß den Artikeln 33 und 34 der DSGVO der Aufsichtsbehörde oder den betroffenen Personen zu melden ist.

4.8.1. Aufbewahrungsfristen: Der Auftragsverarbeiter bewahrt personenbezogene Daten gemäß folgenden Fristen auf (durch den Verantwortlichen konfigurierbar):

• Vollständige Konversationen: Standardmäßig 90 Tage, konfigurierbar zwischen 30 und 180 Tagen
• Aggregierte Analysedaten: Unbefristet (anonymisierte Daten, nicht der DSGVO unterliegend)
• Sicherheitsprotokolle: 12 Monate
• Backups: 30 Tage in Backup-Systemen, danach automatische Löschung

4.8.2. Automatische Löschung: Der Auftragsverarbeiter implementiert automatisierte Löschprozesse, die die Daten bei Ablauf der festgelegten Fristen endgültig löschen.

4.8.3. Verbleib der Daten nach Vertragsende: Nach Beendigung des Vertrags wird der Auftragsverarbeiter, nach Wahl des Verantwortlichen:

• Alle personenbezogenen Daten löschen und deren vollständige Löschung schriftlich bestätigen, oder
• Alle personenbezogenen Daten in einem strukturierten Format (CSV/JSON) zurückgeben und alle bestehenden Kopien löschen

Dieser Vorgang wird innerhalb von maximal 30 Tagen nach Vertragsende abgeschlossen, sofern nicht die anwendbaren Rechtsvorschriften die Aufbewahrung von Daten vorschreiben.

4.9.1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in diesem AVV festgelegten Pflichten erforderlich sind.

4.9.2. Der Verantwortliche oder ein autorisierter Prüfer kann nach schriftlicher Ankündigung mit mindestens 15 Tagen Vorlauf Kontrollen, einschließlich Audits, durchführen.

4.9.3. Der Auftragsverarbeiter unterstützt Audits und arbeitet in angemessener Weise mit; es können Einschränkungen vereinbart werden, um die Vertraulichkeit anderer Kunden oder sensibler Informationen zu schützen.

4.9.4. Audits werden während der Geschäftszeiten durchgeführt und dürfen den Betrieb des Auftragsverarbeiters nicht unverhältnismäßig beeinträchtigen.

4.9.5. Alternativ kann der Auftragsverarbeiter gültige Zertifizierungen (SOC2, ISO27001 usw.) vorlegen, die die Einhaltung der Sicherheitsmaßnahmen belegen.

Der Verantwortliche nimmt in seine Datenschutzerklärung Informationen auf über:

• Die Nutzung von Chatbot-Diensten, die von Solneko bereitgestellt werden
• Den Einsatz von Technologie der künstlichen Intelligenz (OpenAI)
• Die Zwecke der Verarbeitung (Kundenservice, Qualitätsanalyse)
• Die Aufbewahrungsfristen der Konversationen
• Internationale Übermittlungen an Drittländer (OpenAI in den USA)
• Die Rechte der betroffenen Personen und wie diese ausgeübt werden können

Vorgeschlagener Text für die Datenschutzerklärung des Verantwortlichen:

6.1. Übermittlungen in Drittländer: Aufgrund der Nutzung von OpenAI Inc. (Vereinigte Staaten) als Unterauftragsverarbeiter kommt es zu internationalen Übermittlungen personenbezogener Daten in ein Drittland.

6.2. Geeignete Garantien: Diese Übermittlungen erfolgen auf Grundlage folgender Garantien:

• Standardvertragsklauseln (SCC): OpenAI hat die von der Europäischen Kommission genehmigten Standardvertragsklauseln unterzeichnet (Beschluss 2021/914)
• Zusätzliche Maßnahmen: Ende-zu-Ende-Verschlüsselung, Datenminimierung, regelmäßige Risikobewertungen

6.3. Bewertung der Übermittlungen: Der Auftragsverarbeiter hat bewertet, dass die Gesetze der USA OpenAI nicht daran hindern, die in den SCC festgelegten Garantien einzuhalten, und dass angemessene technische und organisatorische Maßnahmen zum Schutz der Daten bestehen.

6.4. Zusätzliche Informationen: Der Verantwortliche kann eine Kopie der SCC sowie der Folgenabschätzungen zu internationalen Übermittlungen anfordern.

6.5. Es werden keine Übermittlungen an andere Drittländer ohne vorherige Zustimmung des Verantwortlichen und ohne geeignete Garantien vorgenommen.

7.1. Haftung des Auftragsverarbeiters: Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen für Schäden, die durch die Nichteinhaltung der in diesem AVV festgelegten Pflichten verursacht werden.

7.2. Haftung gegenüber Behörden: Gemäß Artikel 82 DSGVO:

• Der Auftragsverarbeiter haftet für den durch die Verarbeitung verursachten Schaden nur, wenn er den speziell den Auftragsverarbeitern auferlegten Pflichten der DSGVO nicht nachgekommen ist oder unter Nichtbeachtung der rechtmäßigen Weisungen des Verantwortlichen oder entgegen diesen Weisungen gehandelt hat
• Der Verantwortliche haftet, wenn die Verarbeitung tatsächlich vom Verantwortlichen bestimmt wurde

7.3. Haftungsgrenzen: Unbeschadet des Vorstehenden ist die Haftung des Auftragsverarbeiters gegenüber dem Verantwortlichen gemäß den Bestimmungen des Abschnitts 11 der Allgemeinen Geschäftsbedingungen begrenzt.

7.4. Freistellung: Der Verantwortliche stellt den Auftragsverarbeiter frei von Ansprüchen, Bußgeldern oder Sanktionen, die sich ergeben aus:

• Weisungen des Verantwortlichen, die gegen die Datenschutzvorschriften verstoßen
• Dem Fehlen einer angemessenen Rechtsgrundlage für die Verarbeitung seitens des Verantwortlichen
• Der Nichterfüllung der Informationspflichten gegenüber betroffenen Personen durch den Verantwortlichen

8.1. Der Auftragsverarbeiter führt gemäß Artikel 30 Abs. 2 DSGVO ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten, die im Auftrag des Verantwortlichen durchgeführt werden.

8.2. Dieses Verzeichnis umfasst mindestens:

• Name und Kontaktdaten des Auftragsverarbeiters und jedes Verantwortlichen, in dessen Auftrag er handelt
• Kategorien der im Auftrag jedes Verantwortlichen durchgeführten Verarbeitungen
• Übermittlungen von Daten in Drittländer, mit Angabe des Landes und der Garantien
• Eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen

8.3. Der Auftragsverarbeiter stellt das Verzeichnis der Aufsichtsbehörde auf Anfrage zur Verfügung.

9.1. Sicherheit der Infrastruktur: Die technische Infrastruktur des Dienstes wird bei OVHcloud gehostet, einem europäischen Hosting-Anbieter, der öffentliche Sicherheitszertifizierungen unterhält (verfügbar unter https://www.ovhcloud.com/de/compliance/). Die Sicherheitsmaßnahmen von OVHcloud (Verschlüsselung, Backups, eingeschränkter Zugang, Überwachung) gelten für die im Dienst gespeicherten Daten.

9.2. Zertifizierungen des Auftragsverarbeiters: Der Auftragsverarbeiter verfügt über keine eigenständigen formellen Zertifizierungen (ISO 27001, SOC 2 usw.), setzt jedoch Sicherheitspraktiken um, die der DSGVO und dem Branchenstandard entsprechen, einschließlich:

• Zugangskontrolle zu Systemen auf Basis sicherer Authentifizierung
• Verschlüsselung von Daten bei der Übertragung (TLS 1.3) und im Ruhezustand (AES-256)
• Automatische Backups und Notfallwiederherstellungspläne
• Sicherheitsüberwachung und Zugriffsprüfung
• Sicherheitstests und Schwachstellen-Scans

9.3. Verantwortung des Verantwortlichen: Der Verantwortliche ist verantwortlich für:

• Die sichere Konfiguration des Dienstes (z. B. Vertraulichkeit der Zugangsdaten)
• Die Benachrichtigung des Auftragsverarbeiters über jede festgestellte Sicherheitsverletzung oder jeden Vorfall
• Sicherzustellen, dass seine Endnutzer Daten ausschließlich über das autorisierte Widget bereitstellen
• Die Umsetzung zusätzlicher Kontrollen, sofern er dies für erforderlich hält (z. B. vorherige Identitätsprüfung)

9.4. Audits: Der Verantwortliche kann Informationen über die umgesetzten Sicherheitsmaßnahmen anfordern. Der Auftragsverarbeiter stellt Nachweise durch technische Dokumentation, Prüfberichte Dritter (sofern vorhanden) oder OVHcloud-Zertifizierungen gemäß Klausel 4.9 bereit.

10.1. Laufzeit: Dieser AVV tritt am selben Tag wie der Dienstleistungsvertrag in Kraft und bleibt für dessen gesamte Dauer gültig.

10.2. Auswirkungen der Beendigung: Die Beendigung des Dienstleistungsvertrags führt automatisch zur Beendigung dieses AVV.

10.3. Nachvertragliche Pflichten: Nach Beendigung bleibt der Auftragsverarbeiter weiterhin an die Vertraulichkeitspflicht sowie an die in Klausel 4.8.3 festgelegten Pflichten zur Löschung oder Rückgabe der Daten gebunden.

10.4. Die Klauseln zu Haftung, Vertraulichkeit und Haftungsbeschränkung bleiben auch nach Beendigung dieses AVV bestehen.

11.1. Der Auftragsverarbeiter kann diesen AVV ändern, um ihn an regulatorische Änderungen oder Verbesserungen der Sicherheitsmaßnahmen anzupassen.

11.2. Jede Änderung wird dem Verantwortlichen mindestens 30 Tage vor ihrem Inkrafttreten mitgeteilt.

11.3. Akzeptiert der Verantwortliche wesentliche Änderungen nicht, kann er den Vertrag innerhalb der Mitteilungsfrist ohne Vertragsstrafe kündigen.

12.1. Dieser AVV unterliegt:

• Der Verordnung (EU) 2016/679 (DSGVO)
• Dem Organgesetz 3/2018 zum Schutz personenbezogener Daten und zur Gewährleistung digitaler Rechte (LOPDGDD)
• Der ergänzenden spanischen Datenschutzgesetzgebung

12.2. Für jede aus diesem AVV entstehende Streitigkeit unterwerfen sich die Parteien den Gerichten von Sevilla.