Vereinbarung zur Auftragsverarbeitung

Diese Vereinbarung zur Auftragsverarbeitung gilt zwischen dem jeweiligen Kunden von Smart Service Solution als Verantwortlichem im Sinne der DSGVO und:

Der Kunde ist Verantwortlicher im Sinne der DSGVO für die Verarbeitung personenbezogener Daten seiner Website-Besucher und Nutzer des Kundenbots.

Smart Service Solution verarbeitet personenbezogene Daten im Rahmen des Kundenbots als Auftragsverarbeiter nach Weisung des Kunden.

Smart Service Solution entscheidet nicht eigenständig über Zwecke und Mittel der Verarbeitung im Kundenbot, soweit keine eigene gesetzliche Verantwortlichkeit besteht.

Diese Vereinbarung ergänzt den jeweiligen Hauptvertrag über die Einrichtung, Bereitstellung und Betreuung von Smart Chat 24/7.

Gegenstand der Verarbeitung ist die Bereitstellung, der Betrieb, die Wartung und die technische Absicherung des Chatbots für die digitale Kundenkommunikation des Verantwortlichen.

Verarbeitet werden können insbesondere Chatnachrichten, technische Zugriffsdaten, freiwillige Kontaktdaten und strukturierte Anfragen.

Zweck der Verarbeitung ist die Beantwortung von Anfragen, die Kontaktaufnahme, Lead-Erfassung, Bearbeitung von Termin- und Rückrufwünschen sowie die technische Bereitstellung des Kundenbots.

Die Verarbeitung erfolgt ausschließlich zur Erbringung der vereinbarten Leistungen im Rahmen von Smart Chat 24/7 und nach Maßgabe der dokumentierten Weisungen des Kunden.

Die Dauer der Verarbeitung richtet sich nach der Laufzeit des Hauptvertrages.

Nach Beendigung des Hauptvertrages werden personenbezogene Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, soweit keine gesetzlichen Aufbewahrungspflichten oder berechtigten Nachweisinteressen entgegenstehen.

Die Verarbeitung kann insbesondere folgende Vorgänge umfassen:

• Erhebung von Chat- und Anfrageinhalten
• Speicherung von Chatverläufen und Nutzungsdaten
• technische Verarbeitung von Gesprächs- und Sitzungsdaten
• KI-gestützte Generierung von Antworten
• Weiterleitung oder Bereitstellung von Kontaktanfragen
• Verwaltung von Bot-Konfigurationen
• Fehleranalyse und technische Absicherung
• Zählung von Konversationen zur Paket- und Limitverwaltung

Zwecke der Verarbeitung sind:

• Bereitstellung des Chatbots
• Bearbeitung von Kundenanfragen
• Unterstützung der digitalen Kundenkommunikation
• Lead-Erfassung und Anfragevorqualifizierung
• technische Sicherung und Stabilität des Dienstes
• Vertragsdurchführung und Leistungsabrechnung

Je nach Nutzung des Chatbots können insbesondere folgende Datenarten verarbeitet werden:

• Name und Vorname
• E-Mail-Adresse
• Telefonnummer
• Unternehmensname
• Website oder sonstige Kontaktdaten
• Chat- und Anfrageinhalte
• Angaben zum Anliegen des Nutzers
• technische Sitzungsdaten
• Gesprächs-ID
• Bot-ID
• Zeitstempel
• Nutzungs- und Limitdaten
• IP-Adresse, soweit technisch erforderlich oder durch eingesetzte Infrastruktur verarbeitet

Besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO sollen nicht verarbeitet werden. Der Verantwortliche ist verpflichtet, seine Nutzer entsprechend zu informieren und den Bot nicht gezielt zur Erhebung besonderer Kategorien personenbezogener Daten einzusetzen, sofern keine gesonderte Vereinbarung besteht.

Betroffene Personen können insbesondere sein:

• Websitebesucher des Verantwortlichen
• Interessenten des Verantwortlichen
• Kunden oder potenzielle Kunden des Verantwortlichen
• Ansprechpartner von Unternehmen
• Nutzer des Chatbots
• Mitarbeiter oder Vertreter des Verantwortlichen, soweit sie den Dienst administrativ nutzen

Der Kunde ist verantwortlich für die Rechtsgrundlage der Verarbeitung, Datenschutzhinweise auf seiner Website, Inhalte, Wissensbasis, Prompts, Unternehmensangaben und die Prüfung der Chatbot-Antworten.

Der Kunde darf keine Daten übermitteln lassen, für die keine ausreichende Rechtsgrundlage besteht.

Sensible Daten nach Art. 9 DSGVO, Zahlungsdaten, Ausweisdaten oder vertrauliche Informationen dürfen nur verarbeitet werden, wenn dies ausdrücklich erforderlich und rechtlich abgesichert ist.

Der Kunde stellt insbesondere sicher, dass:

• eine gültige Rechtsgrundlage für die Verarbeitung besteht
• betroffene Personen ordnungsgemäß informiert werden
• erforderliche Datenschutzhinweise auf seiner eigenen Website eingebunden werden
• keine rechtswidrigen Inhalte oder Daten übermittelt werden
• Weisungen an Smart Service Solution rechtmäßig, richtig und vollständig sind

Der Kunde bleibt für die Wahrung der Rechte betroffener Personen verantwortlich.

Smart Service Solution verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit keine gesetzliche Pflicht zur Verarbeitung besteht.

Smart Service Solution verpflichtet sich insbesondere:

• personenbezogene Daten nur zur Vertragserfüllung zu verarbeiten
• Vertraulichkeit zu wahren
• geeignete technische und organisatorische Maßnahmen zu treffen
• nur befugten Personen Zugriff auf personenbezogene Daten zu gewähren
• den Verantwortlichen bei Betroffenenrechten angemessen zu unterstützen
• den Verantwortlichen bei Datenschutzverletzungen im Rahmen des Zumutbaren zu unterstützen
• Unterauftragsverarbeiter nur nach Maßgabe dieser Vereinbarung einzusetzen
• personenbezogene Daten nach Vertragsende zu löschen oder zurückzugeben, soweit keine gesetzlichen Pflichten entgegenstehen

Smart Service Solution verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, soweit keine gesetzliche Pflicht zur Verarbeitung besteht.

Weisungen können sich aus Vertrag, Paketwahl, Onboarding-Angaben, Wissensbasis, Konfiguration, Prompts und schriftlichen Zusatzabsprachen ergeben.

Weitere Weisungen können in Textform, insbesondere per E-Mail, erteilt werden.

Der Kunde ist für Rechtmäßigkeit, Richtigkeit und Vollständigkeit seiner Weisungen verantwortlich.

Wenn eine Weisung offensichtlich gegen Datenschutzrecht verstößt, darf Smart Service Solution den Kunden darauf hinweisen und die Umsetzung bis zur Klärung aussetzen.

Smart Service Solution stellt sicher, dass Personen, die Zugriff auf personenbezogene Daten erhalten, zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Smart Service Solution trifft angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten.

Dazu gehören insbesondere:

• Zugriffsbeschränkungen auf administrative Bereiche
• rollen- und adminbezogene Zugriffskontrolle
• Transportverschlüsselung durch TLS-/SSL-Verschlüsselung
• sichere Speicherung in geeigneten technischen Systemen
• Protokollierung sicherheitsrelevanter Vorgänge, soweit erforderlich
• Datenminimierung und Verarbeitung nur für die vereinbarten Zwecke
• Lösch- und Aufbewahrungskonzepte
• Schutz vor unbefugtem Zugriff
• projekt- und botbezogene Trennung von Daten
• regelmäßige Aktualisierung und Pflege der eingesetzten Anwendung

OpenAI API-Schlüssel und andere Secrets dürfen nicht im Frontend offengelegt werden.

Preview-Chats werden nicht dauerhaft als Kundenkonversation gespeichert.

Öffentliche Kunden-Chats werden durch Sicherheitsprüfungen wie Moderation, Scope-/Prompt-Injection-Guard und Ausgabekontrolle geschützt, soweit technisch implementiert.

Die Maßnahmen können entsprechend technischer Weiterentwicklung angepasst werden, sofern das Sicherheitsniveau nicht wesentlich unterschritten wird.

Smart Service Solution darf geeignete Unterauftragsverarbeiter einsetzen, soweit dies für Betrieb, Hosting, Datenbank, Zahlungsabwicklung, Kommunikation oder KI-Funktionen erforderlich ist.

Dazu können insbesondere Cloudflare, Firebase/Google, Stripe und je nach Bot-Konfiguration OpenAI gehören.

Der Einsatz erfolgt, soweit erforderlich, auf Grundlage geeigneter Datenschutzvereinbarungen.

Der Kunde wird über wesentliche Änderungen bei Unterauftragsverarbeitern informiert, soweit gesetzlich erforderlich oder vertraglich vorgesehen.

Wenn der Kunde einen eigenen OpenAI-API-Schlüssel oder eigenen OpenAI-Account nutzt, ist der Kunde selbst Vertragspartner von OpenAI.

Soweit personenbezogene Daten in Länder außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums übermittelt werden, erfolgt dies nur, wenn die Voraussetzungen der DSGVO eingehalten werden.

Hierzu können insbesondere Angemessenheitsbeschlüsse, Standardvertragsklauseln oder vergleichbare geeignete Garantien gehören.

Smart Service Solution unterstützt den Kunden im angemessenen Umfang bei Auskunfts-, Lösch-, Berichtigungs- oder sonstigen Betroffenenanfragen, soweit dies die durch Smart Service Solution verarbeiteten Daten betrifft.

Der Kunde bleibt für die Prüfung und Beantwortung der Anfrage verantwortlich.

Anfragen von Website-Besuchern zu Kundenbots werden, soweit erkennbar, an den jeweiligen Kunden verwiesen oder weitergeleitet.

Smart Service Solution informiert den Kunden unverzüglich, wenn eine Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit dem Kundenbot bekannt wird.

Die Information enthält, soweit verfügbar, Art des Vorfalls, betroffene Datenkategorien, mögliche Folgen und ergriffene oder vorgeschlagene Maßnahmen.

Der Kunde bleibt für etwaige Meldungen an Aufsichtsbehörden oder Betroffene verantwortlich, soweit er Verantwortlicher ist.

Smart Service Solution stellt dem Verantwortlichen auf angemessene Anfrage Informationen zur Verfügung, die zur Prüfung der Einhaltung dieser Vereinbarung erforderlich sind.

Kontrollen erfolgen grundsätzlich durch Vorlage geeigneter Nachweise, Dokumentationen oder Selbstauskünfte.

Vor-Ort-Kontrollen sind nur nach vorheriger Abstimmung, während üblicher Geschäftszeiten und unter Wahrung der Verhältnismäßigkeit möglich.

Nach Ende des Hauptvertrages löscht Smart Service Solution personenbezogene Daten oder gibt sie zurück, soweit dies technisch möglich und vom Verantwortlichen verlangt wird.

Gesetzliche Aufbewahrungspflichten, berechtigte Nachweisinteressen und technisch notwendige Sicherungsfristen bleiben unberührt.

Diese Vereinbarung geht widersprechenden Regelungen des Hauptvertrages vor, soweit es um die Verarbeitung personenbezogener Daten im Auftrag geht.

Änderungen und Ergänzungen dieser Vereinbarung bedürfen mindestens der Textform.

Sollte eine Bestimmung dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Es gilt deutsches Recht.