Auftragsverarbeitungsvertrag für ChatReact

Version: 2026-11-04 · einschließlich der Anlagen 1 bis 3

1. Vertragsparteien und Abschluss

Dieser Vertrag nach Art. 28 Abs. 3 DSGVO wird zwischen dem im ChatReact-Unternehmensprofil bezeichneten Kunden (Auftraggeber) und der AdSimple GmbH, Fabriksgasse 20, 2230 Gänserndorf, Österreich, FN 64500 d, Landesgericht Korneuburg (Auftragsverarbeiter) geschlossen. Datenschutzkontakt des Auftragsverarbeiters: [email protected]. Ansprechpartner des Auftraggebers ist der zur Vertretung berechtigte Inhaber des Unternehmenskontos unter seiner bestätigten Konto-E-Mail-Adresse. Der Auftraggeber hält seine Unternehmens- und Kontaktdaten aktuell.

Der Vertrag ist Bestandteil der ChatReact-AGB. Neue Kunden bestätigen zunächst ihre E-Mail-Adresse über den zugesandten Link. Anschließend nehmen sie im ersten Onboarding-Schritt durch ausdrückliche Bestätigung der AGB einschließlich dieses AVV den Vertrag an und schließen damit die Registrierung ab. Erst danach werden das Benutzerkonto angelegt und die Nutzung freigeschaltet. Er wird dem Unternehmen zugeordnet, das die bestätigende Person in Ausübung ihrer Vertretungsbefugnis anlegt. Für bestehende Unternehmen erfolgt der Abschluss durch ausdrückliche Bestätigung auf der Unternehmensseite im Dashboard. Die bestätigende Person versichert, zum Abschluss für den Auftraggeber berechtigt zu sein. Die Zuordnung zum Unternehmen, die Vertragsversion, der Vertragstext und der elektronische Nachweis werden im Dashboard bereitgestellt. Eine handschriftliche Unterschrift ist nicht erforderlich.

Handelt der Auftraggeber selbst als Auftragsverarbeiter, gilt dieser Vertrag entsprechend als Unterauftragsverarbeitungsvertrag. Er muss über die erforderliche Ermächtigung seines Verantwortlichen verfügen und dessen Weisungen rechtmäßig weitergeben. Eine Agentur kann durch die bloße Anlage eines Unternehmens keinen unbeteiligten Dritten ohne Vertretungsmacht verpflichten.

2. Gegenstand, Umfang und Dauer

Gegenstand ist die Bereitstellung der vom Auftraggeber aktivierten ChatReact-Funktionen zur Verarbeitung von Unternehmenswissen, Kommunikation und Anfragen. Art, Zwecke, Daten und betroffene Personen ergeben sich aus Anlage 1. Dieser Vertrag gilt für die Dauer der beauftragten Verarbeitung und darüber hinaus, solange AdSimple noch Daten im Auftrag aufbewahrt.

Der Auftraggeber bestimmt Zwecke, Rechtsgrundlagen, Inhalte, aktivierte Funktionen, Empfänger und angemessene Speicherfristen. AdSimple verarbeitet diese Daten ausschließlich für die vereinbarten Leistungen und auf dokumentierte Weisung. Eigene Verarbeitungen von AdSimple, insbesondere Vertragsverwaltung, Abrechnung und gesetzlich erforderliche Nachweise, sind in der Datenschutzerklärung beschrieben und nicht Gegenstand dieser Auftragsverarbeitung.

3. Weisungen und Pflichten des Auftraggebers

Weisungen ergeben sich aus diesem Vertrag, der Nutzung und Konfiguration der Funktionen sowie ergänzenden dokumentierten Anweisungen einer berechtigten Person. Ergänzende Weisungen können über [email protected] erteilt werden. AdSimple dokumentiert sie und bestätigt wesentliche Änderungen. Verlangt eine Weisung zusätzliche Leistungen, vereinbaren die Parteien deren Umsetzung; gesetzliche Pflichten werden dadurch nicht eingeschränkt.

AdSimple informiert den Auftraggeber unverzüglich, wenn eine Weisung nach seiner Einschätzung Datenschutzrecht verletzt, und setzt die betroffene Verarbeitung bis zur rechtmäßigen Klärung aus. Eine gesetzlich vorgeschriebene Verarbeitung außerhalb der Weisungen wird dem Auftraggeber vorab mitgeteilt, soweit das Gesetz dies zulässt.

Der Auftraggeber gewährleistet die Rechtmäßigkeit der Erhebung und Übermittlung, informiert betroffene Personen und holt erforderliche Einwilligungen ein. Er beschränkt Eingaben, Wissensquellen, Berechtigungen und E-Mail-Empfänger auf das Erforderliche. Für seine Website, die Einbindung über einen Consent Manager und seine angebundenen Systeme bleibt er verantwortlich. Der AVV ersetzt weder eine Rechtsgrundlage für die Verarbeitung noch die Informationen an betroffene Personen.

4. Vertraulichkeit und Sicherheit

AdSimple verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit, soweit keine entsprechende gesetzliche Pflicht besteht, und beschränkt deren Zugriff auf die zur Aufgabenerfüllung erforderlichen Daten. Diese Verpflichtung besteht nach Ende der Tätigkeit fort.

AdSimple trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Die vereinbarten Maßnahmen stehen in Anlage 2. AdSimple überprüft ihre Wirksamkeit angemessen und entwickelt sie unter Berücksichtigung von Risiko, Stand der Technik und Implementierungskosten weiter. Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten. Wesentliche Änderungen werden dokumentiert und auf Anfrage erläutert.

5. Unterstützung und Datenschutzverletzungen

AdSimple unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei Betroffenenrechten nach Kapitel III DSGVO sowie den Pflichten aus Art. 32 bis 36 DSGVO, insbesondere Sicherheit, Meldungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation. Direkt eingehende Anfragen betroffener Personen werden unverzüglich an den Auftraggeber weitergeleitet; eine inhaltliche Antwort erfolgt nur auf dessen Weisung oder aufgrund einer gesetzlichen Pflicht.

AdSimple meldet dem Auftraggeber eine bekannt gewordene Verletzung des Schutzes der im Auftrag verarbeiteten personenbezogenen Daten unverzüglich. Die Meldung enthält, soweit verfügbar, Art und Umfang, betroffene Daten und Personengruppen, voraussichtliche Folgen, einen Ansprechpartner sowie ergriffene oder vorgeschlagene Abhilfemaßnahmen. Fehlende Informationen werden ohne unangemessene Verzögerung ergänzt. AdSimple dokumentiert den Vorfall und unterstützt die Begrenzung seiner Folgen. Die Entscheidung über Meldungen an Aufsichtsbehörden und betroffene Personen liegt beim Auftraggeber, soweit AdSimple nicht selbst gesetzlich verpflichtet ist.

6. Unterauftragsverarbeiter

Der Auftraggeber erteilt die allgemeine Genehmigung für die in Anlage 3 bezeichneten Unterauftragsverarbeiter für die dort genannten Zwecke und aktivierten Funktionen. Eine Nennung als bedingter Anbieter bedeutet nicht, dass dieser jede Konversation erhält. AdSimple schließt mit eingesetzten Unterauftragsverarbeitern Verträge ab, die ihnen im Wesentlichen dieselben Datenschutzpflichten auferlegen. AdSimple bleibt gegenüber dem Auftraggeber für deren Pflichterfüllung verantwortlich.

AdSimple informiert den Auftraggeber mindestens 30 Tage vor einer beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform, einschließlich Aufgabe, Standort und etwaiger Drittlandübermittlung. Innerhalb dieser Frist kann der Auftraggeber aus nachvollziehbaren Datenschutzgründen widersprechen. Die Parteien suchen eine geeignete Alternative. Bis zur Klärung werden die betroffenen Daten nicht an den beanstandeten neuen Anbieter übermittelt. Ist keine geeignete Lösung möglich, kann der Auftraggeber die betroffene Leistung vor deren Umstellung beenden. Eine bloße Änderung einer Website ersetzt die individuelle Information nicht.

Auf Anfrage stellt AdSimple die erforderlichen Informationen und eine Kopie der einschlägigen Unterauftragsvereinbarung bereit; geschützte Geschäftsgeheimnisse und fremde personenbezogene Daten dürfen geschwärzt werden, soweit der Nachweis dadurch nicht vereitelt wird.

7. Verarbeitungsorte und internationale Übermittlungen

Die primäre Anwendungs- und Datenbankspeicherung erfolgt nach der Plattformkonfiguration in Frankfurt. Dies ist keine Zusage einer ausschließlich europäischen Verarbeitung: insbesondere KI-Anbieter, weltweite Auslieferungsnetze, Support und weitere Unterauftragsverarbeiter können Daten außerhalb der EU/des EWR verarbeiten. Anlage 3 bezeichnet die betroffenen Anbieter.

Drittlandübermittlungen dürfen nur auf dokumentierte Weisung und unter Einhaltung von Kapitel V DSGVO erfolgen. AdSimple prüft und dokumentiert vor dem Einsatz die einschlägige Grundlage: einen anwendbaren Angemessenheitsbeschluss oder geeignete Garantien, insbesondere die Standardvertragsklauseln der Europäischen Kommission für Drittlandübermittlungen einschließlich erforderlicher Prüfungen und ergänzender Maßnahmen. Auf das EU-U.S. Data Privacy Framework darf nur bei tatsächlich bestehender, einschlägiger Zertifizierung des Empfängers zurückgegriffen werden. Sitz oder Rechenzentrumsregion allein belegen keine solche Grundlage. Nachweise werden auf Anfrage bereitgestellt. Dieser AVV selbst ist kein Instrument für Drittlandübermittlungen.

8. Nachweise, Kontrollen und Zusammenarbeit

AdSimple stellt alle zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen bereit und ermöglicht angemessene Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen zur Vertraulichkeit verpflichteten Prüfer. Kontrollen werden grundsätzlich mit angemessener Vorankündigung koordiniert und schützen die Daten anderer Kunden. Bei konkreten Anhaltspunkten für Verstöße oder behördlichen Anforderungen bleiben anlassbezogene Kontrollen möglich. Berichte oder Zertifikate können berücksichtigt werden, ersetzen das gesetzliche Kontrollrecht aber nicht.

AdSimple führt die erforderliche Dokumentation, arbeitet mit der zuständigen Aufsichtsbehörde zusammen und informiert den Auftraggeber über behördliche Maßnahmen, soweit sie dessen Auftragsdaten betreffen und eine Mitteilung zulässig ist.

9. Rückgabe, Löschung und Vertragsende

Während der Nutzung bleiben Konversationen gespeichert, bis sie aufgrund einer zulässigen Löschweisung oder mit dem zugehörigen Chatbot beziehungsweise Konto gelöscht werden. Eine automatische oder im Dashboard einstellbare Löschfrist für Chatverläufe ist derzeit nicht Bestandteil des Dienstes. Individuelle Auskunfts-, Export- und Löschweisungen werden über [email protected] koordiniert. Der Auftraggeber legt eine dem Zweck angemessene Frist fest und erteilt die erforderlichen Weisungen.

Nach Ende der Leistung gibt AdSimple auf Wahl des Auftraggebers die personenbezogenen Auftragsdaten in einem gängigen elektronischen Format zurück und löscht sie oder löscht sie unmittelbar ohne vorherige Rückgabe. Der Auftraggeber soll eine gewünschte Rückgabe vor der endgültigen Löschung anfordern. AdSimple führt die Löschung einschließlich vorhandener Kopien unverzüglich, spätestens innerhalb von 30 Tagen nach Abschluss der Rückgabe oder Eingang der Löschweisung zum Vertragsende durch und bestätigt sie auf Anfrage. Gesetzlich erforderliche Aufbewahrung bleibt vorbehalten; solche Daten werden gesperrt und ausschließlich für den gesetzlichen Zweck verarbeitet. AdSimple informiert über Rechtsgrund und Dauer, soweit zulässig.

Die Löschung umfasst zugehörige gespeicherte Gesprächsinhalte, Auswertungen, Versandkopien bei den eingesetzten Dienstleistern sowie Auftragsdaten in Dateien und Vektorspeichern. Wiederhergestellte Sicherungen dürfen bereits gelöschte Auftragsdaten nicht erneut in den regulären Betrieb bringen. Kopien in Postfächern oder Systemen des Auftraggebers beziehungsweise seiner Empfänger löscht dieser selbst. Gesetzlich zulässige Vertrags- und Zustimmungsnachweise von AdSimple werden von Inhaltsdaten getrennt behandelt.

10. Vorrang und Änderungen

Bei Widersprüchen zur Verarbeitung personenbezogener Auftragsdaten geht dieser AVV einschließlich seiner Anlagen den AGB vor. Gesetzliche Haftungs- und Betroffenenrechte bleiben unberührt. Änderungen dieses AVV bedürfen einer dokumentierten Vereinbarung; die Veröffentlichung einer neuen Fassung verändert einen bereits abgeschlossenen Vertrag nicht rückwirkend. Für Änderungen der Unterauftragsverarbeiter gilt Abschnitt 6. Die deutsche Fassung ist maßgeblich; die englische Fassung dient der Verständlichkeit.

Anlage 1: Beschreibung der Verarbeitung

Zwecke und Vorgänge: Entgegennahme, Speicherung, Strukturierung, Suche, KI-gestützte Beantwortung, Übersetzung, Qualitätsauswertung, Bereitstellung, Übermittlung und Löschung von Daten zur Bearbeitung geschäftlicher Anfragen. Verarbeitet wird fortlaufend während der Nutzung und bei vom Auftraggeber ausgelösten Importen oder Auswertungen.

Besondere Daten: Der Standarddienst ist für geschäftliche Kommunikation bestimmt. Die gezielte Verarbeitung besonderer Kategorien nach Art. 9 DSGVO, Daten nach Art. 10 DSGVO oder berufsrechtlich besonders geschützter Patientendaten ist ohne gesonderte dokumentierte Vereinbarung über Rechtsgrundlage, Zweck und zusätzliche Schutzmaßnahmen nicht beauftragt. Ein Hinweis auf einen B2B-Zweck verhindert technisch keine versehentlichen sensiblen Eingaben. Solche Eingaben sind auf Weisung unverzüglich zu begrenzen oder zu löschen; AdSimple nutzt sie nicht für weitere Zwecke.

KI-Nutzung: Auftragsinhalte dürfen nicht zum Training allgemeiner Modelle für eigene Zwecke von AdSimple oder der Anbieter verwendet werden. AdSimple nutzt dafür entsprechende API-Vertragsbedingungen und Einstellungen. Diese Verpflichtung bedeutet weder eine Nullspeicherung bei KI-Anbietern noch eine Garantie fehlerfreier oder anonymisierter Antworten. Anbieterbedingte Sicherheitsprotokolle, gespeicherte API-Antworten und Vektorspeicher sind in das Lösch- und Transferkonzept einzubeziehen.

Anlage 2: Technische und organisatorische Maßnahmen

Die Maßnahmen begründen keine Zertifizierung, garantierte Wiederherstellungszeit oder Ende-zu-Ende-Verschlüsselung von Chat-E-Mails. Der Auftraggeber schützt seine Benutzerkonten, Endgeräte, Empfängerpostfächer und angebundenen Systeme und vergibt nur erforderliche Berechtigungen.

Anlage 3: Unterauftragsverarbeiter und Verarbeitungskette

Die folgende Liste umfasst die für die beschriebenen Leistungen vorgesehenen Anbieter. Der tatsächliche Einsatz richtet sich nach Funktion und Plattformkonfiguration. AdSimple stellt auf Anfrage die aktuell eingesetzten Anbieter und die jeweiligen Transfernachweise bereit. Die allgemeine Genehmigung entbindet AdSimple nicht von der Pflicht, vor Einsatz die Verträge, Verarbeitungsorte und Transfergrundlagen zu prüfen.

Mailaura ist ein Dienst derselben AdSimple GmbH und daher keine zusätzliche Vertragspartei in der Verarbeitungskette. Die darunterliegenden Versand- und Infrastrukturleistungen, insbesondere AWS SES, bleiben als Unterauftragsverarbeitung erfasst.

Der Microsoft-365-Postfachanbieter sowie vom Auftraggeber selbst bestimmte Webhook-Ziele, Empfängerpostfächer und Integrationen beruhen auf dessen eigenen Vertragsbeziehungen. AdSimple verarbeitet die über diese Verbindungen zugänglichen Auftragsdaten nach diesem AVV. Dienste für die eigene Abrechnung und Werbung von AdSimple werden durch ihre Nutzung für diese eigenen Zwecke nicht zu Unterauftragsverarbeitern von Chat-Inhalten.