Vertrag zur Auftragsverarbeitung

§ 1 Gegenstand und Dauer

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch die Digital2Face GmbH (Auftragsverarbeiter, „Anbieter“) im Auftrag der Kundin oder des Kunden (Verantwortlicher, „Kunde“) bei der Nutzung der KI-Assistentin Claire.

Er gilt für die gesamte Dauer des Nutzungsvertrags über Claire und endet automatisch mit ihm. Pflichten, die über das Vertragsende hinaus wirken (Löschung, Vertraulichkeit), bleiben bestehen.

§ 2 Art, Zweck und Umfang der Verarbeitung

Zweck: Claire unterstützt den Kunden als persönliche Assistenz. Sie liest Mails und Termine der vom Kunden verbundenen Konten, fasst zusammen, bereitet Antworten und Termine vor, verwaltet Aufgaben, Notizen und Wissen, meldet sich proaktiv, führt Sprachgespräche und arbeitet mit den vom Kunden verbundenen Diensten (z. B. Lexware Office, Trello, Asana, ClickUp, Todoist, HubSpot, Slack, AI Console sowie weitere Apps über MCP wie Zapier oder Notion).

Arten von Daten: Kontaktdaten (Namen, Mailadressen, Telefonnummern, Anschriften), Inhalte von Mails, Anhängen, Terminen und Notizen, Aufgaben, Gesprächsverläufe mit Claire, Sprachnachrichten und deren Abschriften, Standortangaben (nur wenn freigegeben), Buchhaltungs- und CRM-Daten aus verbundenen Diensten sowie Anfragen über die Gast-Seite.

Betroffene Personen: der Kunde und seine Beschäftigten, Kontakte, Geschäftspartner, Kundinnen und Kunden, Interessenten, Bewerberinnen und Bewerber sowie Gäste, die über die Gast-Seite oder Claires Mailadresse Termine anfragen.

Besondere Kategorien von Daten (Art. 9 DSGVO) verarbeitet Claire nur, soweit sie zufällig in Mails, Terminen oder Notizen des Kunden enthalten sind. Der Kunde entscheidet, welche Konten er verbindet.

§ 3 Weisungen

Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind dieser Vertrag, die Einstellungen in Claire und die Anfragen und Freigaben des Kunden im Gespräch mit Claire.

Ist der Anbieter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, weist er den Kunden unverzüglich darauf hin. Weitere Weisungen erteilt der Kunde in Textform an info@digital2face.de.

Eine Verarbeitung zu eigenen Zwecken des Anbieters findet nicht statt, insbesondere keine Nutzung der Inhalte zum Training von KI-Modellen und keine Weitergabe zu Werbezwecken.

§ 4 Vertraulichkeit

Der Anbieter setzt nur Personen ein, die auf Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Auf Inhalte des Kunden greifen diese Personen nur zu, soweit es für Betrieb, Fehlerbehebung oder auf ausdrücklichen Wunsch des Kunden (Support) nötig ist.

§ 5 Sicherheit der Verarbeitung

Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverarbeiter

Der Kunde stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu. Der Anbieter verpflichtet sie vertraglich auf ein gleichwertiges Datenschutzniveau.

Über neue oder ersetzte Unterauftragsverarbeiter informiert der Anbieter den Kunden mindestens 14 Tage vorher per Mail oder in Claire. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Ist keine Einigung möglich, darf er den Vertrag zum Wirksamwerden der Änderung kündigen.

Dienste, die der Kunde selbst mit Claire verbindet (z. B. sein Google- oder Microsoft-Konto, Telegram, Lexware Office oder weitere Apps), sind keine Unterauftragsverarbeiter des Anbieters. Für sie gelten die Verträge, die der Kunde mit diesen Anbietern hat.

§ 7 Übermittlung in Drittländer

Eine Verarbeitung außerhalb der EU und des EWR erfolgt nur bei den in Anlage 2 genannten Unterauftragsverarbeitern und nur mit den dort genannten Garantien nach Art. 44 ff. DSGVO (Angemessenheitsbeschluss, insbesondere EU-US Data Privacy Framework, oder Standardvertragsklauseln).

§ 8 Rechte der betroffenen Personen

Der Anbieter unterstützt den Kunden dabei, Anfragen betroffener Personen zu beantworten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Export und Löschung stehen dem Kunden in Claire jederzeit selbst zur Verfügung.

Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter.

§ 9 Unterstützung und Meldung von Verletzungen

Der Anbieter unterstützt den Kunden bei den Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen, soweit er dazu Informationen hat.

Verletzungen des Schutzes personenbezogener Daten meldet der Anbieter dem Kunden unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.

§ 10 Löschung und Rückgabe

Der Kunde kann seine Daten jederzeit exportieren. Nach Vertragsende oder wenn der Kunde seinen Bereich löscht, löscht der Anbieter alle Daten des Kunden, spätestens nach 30 Tagen, und entzieht die Zugriffe auf verbundene Konten.

Ausgenommen ist der Nachweis über den Abschluss dieses Vertrags (Zeitpunkt, Version, Angaben zum Verantwortlichen), den der Anbieter für die gesetzlichen Aufbewahrungsfristen behält.

§ 11 Nachweise und Kontrollen

Der Anbieter stellt dem Kunden auf Anfrage die Informationen bereit, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind. Kontrollen vor Ort sind nach Anmeldung mit angemessener Frist während der Geschäftszeiten möglich; sie dürfen den Betrieb und die Vertraulichkeit anderer Kunden nicht beeinträchtigen.

§ 12 Schlussbestimmungen

Dieser Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO), indem der Kunde ihn bei der Einrichtung von Claire bestätigt. Der Anbieter speichert Zeitpunkt, Version und die Angaben des Kunden als Nachweis; der Kunde kann seine Ausfertigung jederzeit unter „Vertrag“ ansehen und drucken.

Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht. Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt der Rest wirksam.

Anlage 1: Technische und organisatorische Maßnahmen

Anlage 2: Unterauftragsverarbeiter