Vorschau der unausgefüllten Vertragsvorlage

Dies ist die unterzeichnungsfertige Vorlage des AVV. Beim Vertragsschluss werden die mit eckigen Klammern markierten Felder ausgefüllt; die endgültige, signierte Fassung steht im Admin-Bereich unter Einstellungen → Compliance bereit.

Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO

---

§ 1 Gegenstand und Dauer des Auftrags

(1) Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung des SaaS-Chat-Widgets „Wilow" auf den Webseiten des Verantwortlichen, einschließlich der zugehörigen Verwaltungs- und Auswertungsoberfläche.

(2) Der Auftragsverarbeiter erbringt die Leistung im Auftrag und nach Weisung des Verantwortlichen. Eine eigene Verantwortlichkeit des Auftragsverarbeiters für die Verarbeitung personenbezogener Daten der Besucher des Verantwortlichen besteht nicht.

(3) Die Laufzeit dieses Vertrags richtet sich nach der Laufzeit des zwischen den Parteien geschlossenen Hauptvertrags über die Nutzung der Software „Wilow". Der Vertrag endet automatisch mit Beendigung des Hauptvertrags.

§ 2 Art und Zweck der Verarbeitung

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zum Zweck der Bereitstellung folgender Funktionen:

a) Bereitstellung eines auf der Webseite des Verantwortlichen eingebetteten Chat-Widgets und Verarbeitung der eingehenden Nachrichten von Webseitenbesuchern.

b) Erzeugung von Antworten durch generative KI-Modelle („Large Language Models") unter Einbeziehung der vom Verantwortlichen bereitgestellten Inhalte (Knowledge Base, FAQs, Dokumente, gecrawlte Webseiteninhalte).

c) Erfassung und Weiterleitung von Lead-Daten (E-Mail-Adressen, Telefonnummern, Namen), die von Besuchern im Verlauf eines Chats angegeben werden.

d) Übergabe an menschliche Bearbeitung des Verantwortlichen („Handoff") inklusive Versand entsprechender Benachrichtigungen.

e) Bereitstellung statistischer Auswertungen über Konversationsverläufe für den Verantwortlichen.

f) Abrechnung, Authentifizierung und Sicherstellung des Betriebs.

(2) Eine darüber hinausgehende Verarbeitung, insbesondere zur Erstellung von Profilen über Besucher des Verantwortlichen für Zwecke des Auftragsverarbeiters oder Dritter, findet nicht statt.

§ 3 Art der Daten und Kreis der Betroffenen

(1) Datenkategorien:

a) Inhaltsdaten: Nachrichteninhalte der Besucher, vom Verantwortlichen bereitgestellte Inhalte (Dokumente, Snippets, gecrawlte Seiten).

b) Kontaktdaten: E-Mail-Adressen, Telefonnummern, Namen, sofern von Besuchern angegeben.

c) Nutzungsdaten: Konversations-IDs, Zeitstempel, IP-Adressen, User-Agent, Seiten-URL, auf der das Widget geladen wurde.

d) Mediendaten: Vom Besucher hochgeladene Bilder (sofern die Funktion vom Verantwortlichen aktiviert ist).

e) Authentifizierungs- und Abrechnungsdaten der Mitarbeitenden des Verantwortlichen.

f) Technische Zugriffsprotokolle (HTTP-Zugriffslogs): Zeitstempel, HTTP-Methode und Pfad, Statuscode, Antwortzeit, IP-Adresse und User-Agent der anfragenden Stelle sowie – bei authentifizierten Anfragen – Tenant-ID und Benutzer-ID. Aufbewahrung in der Produktivdatenbank: 30 Tage. Verschlüsselte Off-site-Sicherungen können einen Datensatz bis zu 90 weitere Tage enthalten; während dieser Zeit erfolgt keine aktive Verarbeitung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit und Missbrauchserkennung).

(2) Kreis der Betroffenen:

a) Besucher der Webseite(n) des Verantwortlichen, die mit dem Chat-Widget interagieren.

b) Personen, deren Daten in der Knowledge Base des Verantwortlichen enthalten sind (z.B. Mitarbeitende, Ansprechpartner).

c) Nutzer der Verwaltungsoberfläche („Admin Area") seitens des Verantwortlichen.

§ 4 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf die Übermittlung in Drittländer, sofern er nicht durch das Recht der Europäischen Union oder eines Mitgliedstaats, dem er unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die Datenschutz-Grundverordnung, gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten oder gegen vertragliche Vereinbarungen verstößt.

(3) Der Auftragsverarbeiter gewährleistet, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in den Artikeln 32 bis 36 DSGVO genannten Pflichten.

(5) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen, soweit dies möglich ist, bei der Erfüllung der Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III der DSGVO genannten Rechte der betroffenen Person. Hierzu zählen insbesondere Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit.

(6) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anforderung in regelmäßigen Abständen einen Datenexport im strukturierten, gängigen und maschinenlesbaren Format (JSON) zur Verfügung.

(7) Der Auftragsverarbeiter benennt einen Ansprechpartner für Datenschutzfragen: info@werila.com.

(8) Keine Verwendung zu KI-Trainingszwecken. Der Auftragsverarbeiter gewährleistet, dass die im Rahmen dieses Vertrags an die unter § 6 und Anlage 2 genannten KI-Unterauftragsverarbeiter (insbesondere Anthropic, Voyage AI, Google [Gemini], OpenAI, OpenRouter, Microsoft [Azure OpenAI Service]) übermittelten personenbezogenen Daten von diesen ausschließlich zur Erbringung der jeweiligen API-Dienstleistung (Modell-Inferenz bzw. Embedding-Berechnung) verwendet und nicht zum Training oder zur Verbesserung der Modelle dieser Anbieter herangezogen werden. Dies wird sichergestellt durch die Nutzung der API-Tarife mit „zero data retention" bzw. „no training"-Konfiguration entsprechend der zum Zeitpunkt der Verarbeitung geltenden Geschäftsbedingungen der jeweiligen Anbieter (Stand: Anthropic API – kein Training standardmäßig; OpenAI API – kein Training seit März 2023; Google AI for Developers/Vertex AI – kein Training für zahlende API-Kunden; Voyage AI – ausschließlich Inferenz-Service ohne Trainings-Nutzung; OpenRouter – Routing ausschließlich an die vorgenannten Anbieter (derzeit OpenAI – bereitgestellt über den Microsoft Azure OpenAI Service –, Google und – als Ausweichoption – Anthropic) mit aktivierter „zero data retention"- und „no training"-Konfiguration, Trainings- und Logging-Weitergabe in den OpenRouter-Kontoeinstellungen deaktiviert; Microsoft Azure OpenAI – kein Training, zero data retention). Eine Änderung dieser Konfiguration gilt als wesentliche Änderung im Sinne von § 6 Abs. 2 und ist dem Verantwortlichen vorab anzuzeigen.

(9) Bewertung des Drittland-Transfers (TIA). Für die in Anlage 2 genannten Unterauftragsverarbeiter in den USA hat der Auftragsverarbeiter eine Transfer-Folgenabschätzung gemäß den Empfehlungen 01/2020 des Europäischen Datenschutzausschusses erstellt. Diese wird dem Verantwortlichen auf Anfrage zur Verfügung gestellt.

§ 5 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Beurteilung der Zulässigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der Betroffenen allein verantwortlich.

(2) Der Verantwortliche hat insbesondere sicherzustellen, dass

a) eine Rechtsgrundlage für die Verarbeitung der über das Widget übermittelten personenbezogenen Daten besteht (z.B. Einwilligung, berechtigtes Interesse),

b) die Datenschutzerklärung des Verantwortlichen den Einsatz des Chat-Widgets, die Verarbeitung der eingegebenen Nachrichteninhalte durch generative KI-Modelle sowie die in Anlage 2 genannten Unterauftragsverarbeiter (einschließlich der Übermittlung in die USA auf Grundlage der Standardvertragsklauseln) transparent benennt und die Betroffenen vor der erstmaligen Nutzung des Widgets entsprechend informiert werden,

c) die in die Knowledge Base eingestellten Inhalte keine personenbezogenen Daten Dritter ohne Rechtsgrundlage enthalten. Insbesondere dürfen keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO (Gesundheitsdaten, biometrische Daten o.ä.) sowie keine Inhalte mit unverhältnismäßigem Bezug zu identifizierbaren natürlichen Personen ohne deren Einwilligung in die Knowledge Base aufgenommen werden,

d) eine Rechtsgrundlage für die Erfassung etwaiger Lead-Daten (E-Mail-Adressen, Telefonnummern, Namen) besteht und die Betroffenen vor der Eingabe entsprechend informiert wurden.

(3) Der Verantwortliche teilt dem Auftragsverarbeiter Weisungen grundsätzlich schriftlich, in elektronischer Form oder über die hierfür vorgesehenen Funktionen der Verwaltungsoberfläche mit. Mündliche Weisungen sind unverzüglich schriftlich oder in elektronischer Form zu bestätigen.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt hiermit die allgemeine schriftliche Genehmigung zur Heranziehung der nachfolgend aufgeführten Unterauftragsverarbeiter im Sinne von Art. 28 Abs. 2 DSGVO:

Unterauftragsverarbeiter	Zweck der Verarbeitung	Verarbeitungsort
Anthropic, PBC	Large-language-model inference for chat replies and intent classification	United States (Standard Contractual Clauses)
Voyage AI, Inc.	Vector embeddings for retrieval-augmented generation over tenant content	United States (Standard Contractual Clauses)
Resend, Inc.	Transactional email delivery (onboarding, lead notifications, data-export links)	European Union
Stripe Payments Europe, Ltd.	Subscription billing and payment processing	Ireland (contracting entity), with onward transfer to its US parent under Standard Contractual Clauses
Hetzner Online GmbH	Hosting (database, application servers, file storage) in Falkenstein, Germany	Germany
Cloudflare, Inc.	Reverse proxy and TLS termination for all application traffic (transient processing, no content storage), and off-site backup storage (Cloudflare R2); backups are encrypted client-side with age before upload, the decryption private key is held only by the operator	United States (data stored in an EU region; Standard Contractual Clauses)
PostHog, Inc. (PostHog Cloud EU)	Error tracking only (exception events with key-based scrubbing of credentials and contact data); no analytics, no session capture, no widget-visitor telemetry	European Union (Frankfurt, Germany)
Google LLC (Gemini API)	Failover large-language-model provider (used only when Anthropic is unavailable)	United States (Standard Contractual Clauses)
OpenAI, L.L.C.	Failover content-extraction model (used only when the primary provider is unavailable)	United States (Standard Contractual Clauses)

(2) Bei jeder beabsichtigten Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Unterauftragsverarbeiter informiert der Auftragsverarbeiter den Verantwortlichen mit einer Frist von 60 Tagen vorab in Textform (z.B. per E-Mail an den im Kopf dieses Vertrags genannten Ansprechpartner des Verantwortlichen). Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Falle eines berechtigten Widerspruchs steht beiden Parteien ein außerordentliches Kündigungsrecht des Hauptvertrags zu.

(3) Der Auftragsverarbeiter verpflichtet sich, mit allen Unterauftragsverarbeitern vertragliche Vereinbarungen zu schließen, die den Anforderungen des Art. 28 DSGVO entsprechen, insbesondere im Hinblick auf hinreichend angemessene technische und organisatorische Maßnahmen.

(4) Soweit Unterauftragsverarbeiter personenbezogene Daten außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums verarbeiten, gewährleistet der Auftragsverarbeiter ein angemessenes Datenschutzniveau durch Abschluss der Standardvertragsklauseln der Europäischen Kommission (Beschluss (EU) 2021/914) oder durch sonstige geeignete Garantien gemäß Art. 46 DSGVO.

§ 7 Technische und organisatorische Maßnahmen (TOMs)

(1) Der Auftragsverarbeiter trifft die in der Anlage 1 zu diesem Vertrag beschriebenen technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung gemäß Art. 32 DSGVO.

(2) Die TOMs werden regelmäßig, mindestens jedoch jährlich, überprüft und an den Stand der Technik angepasst. Wesentliche Verschlechterungen des Schutzniveaus sind unzulässig.

(3) Der Auftragsverarbeiter weist die Einhaltung der TOMs auf Anfrage durch geeignete Nachweise nach (z.B. Selbstauskunft, Zertifikate, externe Auditberichte, soweit verfügbar).

§ 8 Meldung von Datenschutzverletzungen

(1) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung, über Verletzungen des Schutzes personenbezogener Daten, die im Verantwortungsbereich des Auftragsverarbeiters oder eines Unterauftragsverarbeiters eingetreten sind.

(2) Die Meldung enthält mindestens die folgenden Angaben, soweit zum Zeitpunkt der Meldung verfügbar:

a) eine Beschreibung der Art der Verletzung, einschließlich, soweit möglich, der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze;

b) den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen;

c) eine Beschreibung der wahrscheinlichen Folgen der Verletzung;

d) eine Beschreibung der vom Auftragsverarbeiter ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und gegebenenfalls zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

(3) Der Verantwortliche bleibt allein verpflichtet, die Verletzung gegenüber der zuständigen Aufsichtsbehörde nach Art. 33 DSGVO und ggf. gegenüber den Betroffenen nach Art. 34 DSGVO zu melden.

§ 9 Löschung und Rückgabe der Daten

(1) Nach Beendigung der Erbringung der Verarbeitungsleistungen wird der Auftragsverarbeiter sämtliche personenbezogenen Daten, die im Auftrag des Verantwortlichen verarbeitet wurden, nach Wahl des Verantwortlichen entweder löschen oder an den Verantwortlichen herausgeben, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht.

(2) Die Löschung erfolgt spätestens 30 Tage nach Beendigung des Hauptvertrags. Eine vorherige Datenexport-Aufforderung des Verantwortlichen ist innerhalb von 14 Tagen zu erfüllen.

(3) Lokale Sicherungskopien auf dem Produktionssystem werden täglich überschrieben und nach 30 Tagen vom Produktionsserver gelöscht. Off-site Sicherungen auf Cloudflare R2 werden durch eine Lifecycle-Regel des Object-Storage-Providers nach 90 Tagen automatisch gelöscht. Dies gilt kumulativ für alle in § 3 aufgeführten Datenkategorien — Sicherungen erfassen den Zustand der Produktivdatenbank zum Zeitpunkt der Sicherung, sodass ein aus der Produktivdatenbank gelöschter Datensatz in einer verschlüsselten Off-site-Sicherung bis zu 90 Tage nach Löschung verbleiben kann. Während dieser Zeit erfolgt keine aktive Verarbeitung der gesicherten Daten; der Zugriff bleibt auf Wiederherstellungsfälle beschränkt. Off-site Sicherungen werden vor Verlassen der Produktionsumgebung mit asymmetrischer Public-Key-Kryptographie (age) clientseitig verschlüsselt; der private Schlüssel zur Entschlüsselung verbleibt ausschließlich beim Auftragsverarbeiter. Der Unterauftragsverarbeiter, der die Sicherungen speichert, hat technisch keinen Zugriff auf die Klardaten.

§ 10 Kontroll- und Auskunftsrechte

(1) Der Verantwortliche hat das Recht, sich von der Einhaltung der in diesem Vertrag und der DSGVO normierten Pflichten durch den Auftragsverarbeiter zu überzeugen. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten zur Verfügung.

(2) Vor-Ort-Kontrollen erfolgen mit einer angemessenen Vorankündigung von mindestens 14 Tagen, während üblicher Geschäftszeiten und nicht häufiger als einmal pro Kalenderjahr, es sei denn, es liegt ein konkreter Anlass für eine außerordentliche Kontrolle vor. Der Auftragsverarbeiter kann verlangen, dass der Verantwortliche eine angemessene Aufwandsentschädigung trägt, wenn die Kontrolle den üblichen Aufwand überschreitet.

(3) Der Verantwortliche kann seine Kontrollrechte auch durch beauftragte Dritte ausüben, die der Auftragsverarbeiter aus wichtigem Grund (z.B. Wettbewerbsverhältnis) ablehnen kann. Solche Dritten sind vor Aufnahme der Kontrolle zur Vertraulichkeit zu verpflichten.

§ 11 Haftung

Für die Haftung der Parteien gelten die Regelungen des Art. 82 DSGVO sowie die im Hauptvertrag vereinbarten Haftungsregelungen. Die Haftung für die Erfüllung der eigenen Pflichten unter dieser Vereinbarung wird durch eine Haftungsbeschränkung im Hauptvertrag nicht berührt, soweit die DSGVO eine solche Beschränkung nicht zulässt.

§ 12 Schlussbestimmungen

(1) Sollten einzelne Bestimmungen dieses Vertrags ganz oder teilweise unwirksam sein oder werden, so berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. An die Stelle der unwirksamen Bestimmung tritt eine wirksame Regelung, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

(2) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Dies gilt auch für die Aufhebung dieses Schriftformerfordernisses.

(3) Im Falle von Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag haben die Regelungen dieses Vertrags Vorrang, soweit sie datenschutzrechtliche Themen betreffen.

(4) Es gilt ausschließlich das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.

(5) Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag ist, soweit gesetzlich zulässig, Augsburg.

---

Anlage 1: Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter trifft die folgenden Maßnahmen gemäß Art. 32 DSGVO:

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle

• Die produktive Infrastruktur wird im Rechenzentrum der Hetzner Online GmbH (Falkenstein, Deutschland) betrieben. Hetzner setzt mehrstufige Zutrittskontrollen ein (Vereinzelungsanlagen, Videoüberwachung, 24/7-Sicherheitspersonal, biometrische Zugangskontrollen).
• Eine Zertifizierung des Rechenzentrums nach ISO/IEC 27001 liegt vor.

Zugangskontrolle

• Zugang zu administrativen Schnittstellen erfolgt ausschließlich über SSH mit Schlüssel-basierter Authentifizierung (Passwort-Login deaktiviert).
• Alle Mitarbeitenden mit Produktivzugriff nutzen einen Passwort-Manager mit Zwei-Faktor-Authentifizierung.
• Zugriff auf die Verwaltungsoberfläche erfolgt verschlüsselt über HTTPS (TLS 1.3) mit individueller Benutzerauthentifizierung.

Zugriffskontrolle

• Rollenbasiertes Berechtigungskonzept innerhalb der Anwendung (Owner, Admin, Viewer mit feingranularen Permissions).
• Strenge Mandantentrennung (Tenant Isolation): Alle Datenbankabfragen sind tenant-scoped; cross-tenant access ist durch Datenbank-Constraints und Anwendungsschicht-Prüfungen ausgeschlossen.
• Vollständige Audit-Logs für administrative Aktionen mit Aufbewahrung von mindestens 12 Monaten.

Trennungskontrolle

• Mandantenfähige Architektur mit logischer Trennung auf Datenbank- und Anwendungsebene.
• Produktiv-, Test- und Entwicklungsumgebungen sind strikt getrennt und nutzen unterschiedliche Datenbestände.

Pseudonymisierung

• IP-Adressen werden, soweit für den Betrieb nicht zwingend erforderlich, nicht persistent gespeichert. Wo eine Speicherung erforderlich ist (z.B. Rate-Limiting), erfolgt sie zeitlich begrenzt.
• Optional aktivierbare PII-Redaktion in Konversationsprotokollen (Standardmäßig aktiviert).

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Weitergabekontrolle

• Datenübertragung zwischen Browser und Server ausschließlich über TLS 1.3.
• Datenübertragung zu Unterauftragsverarbeitern (LLM-, Embedding-, E-Mail-Provider) ausschließlich über TLS-verschlüsselte API-Verbindungen.
• Tenant-spezifische API-Schlüssel mit Origin-Allowlist zur Einschränkung der Einbettung des Widgets auf autorisierte Domains.

Eingabekontrolle

• Audit-Logs erfassen administrative Aktionen mit Zeitstempel, Benutzer-ID und betroffener Ressource (Aufbewahrung mindestens 12 Monate).
• Zugriffsprotokolle (HTTP-Zugriffe auf die API) werden zu Zwecken der IT-Sicherheit und Missbrauchserkennung gemäß Art. 6 Abs. 1 lit. f DSGVO erfasst und in der Produktivdatenbank nach 30 Tagen automatisiert gelöscht; verschlüsselte Off-site-Sicherungen können einen Datensatz bis zu 90 weitere Tage enthalten. Erfasst werden: Zeitstempel, HTTP-Methode und Pfad, Statuscode, Antwortzeit, anfragende IP-Adresse, User-Agent, sowie – sofern authentifiziert – Tenant-ID und Benutzer-ID. Nachrichteninhalte oder Anfragebodies werden nicht persistiert.
• Konversationsverläufe sind unveränderlich nach Abschluss; nachträgliche Korrekturen werden als separate Einträge versioniert.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

Verfügbarkeitskontrolle

• Regelmäßige automatisierte Datenbank- und Dateisystem-Sicherungen (täglich, Aufbewahrung 30 Tage).
• Off-site Sicherungen werden auf Cloudflare R2 (EU-Region) gespeichert; vor dem Verlassen der Produktionsumgebung erfolgt eine clientseitige Verschlüsselung mit asymmetrischer Public-Key-Kryptographie (age). Cloudflare hat technisch keinen Zugriff auf die Klardaten der Sicherungen. Der private Schlüssel verbleibt beim Auftragsverarbeiter.
• Externes Verfügbarkeits-Monitoring mit Alarmierung bei Ausfällen oder Anomalien.

Wiederherstellbarkeit

• Recovery Time Objective (RTO): 24 Stunden.
• Recovery Point Objective (RPO): 24 Stunden.
• Wiederherstellungsverfahren werden regelmäßig getestet.

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Mindestens jährliche Überprüfung der TOMs durch die Geschäftsleitung.
• Bei sicherheitsrelevanten Vorfällen erfolgt eine Ad-hoc-Überprüfung der betroffenen Maßnahmen.
• Anpassung der TOMs an Änderungen der Bedrohungslage und an den Stand der Technik.
• Verwendung etablierter Open-Source- und Commercial-Off-the-Shelf-Komponenten; zeitnahe Einspielung sicherheitsrelevanter Updates.

5. Auftragskontrolle

• Alle Unterauftragsverarbeiter sind in Anlage 2 dieses Vertrags namentlich benannt.
• Mit jedem Unterauftragsverarbeiter besteht eine Vereinbarung, die den Anforderungen des Art. 28 DSGVO entspricht.

---

Anlage 2: Liste der Unterauftragsverarbeiter

Unterauftragsverarbeiter	Zweck der Verarbeitung	Verarbeitungsort
Anthropic, PBC	Large-language-model inference for chat replies and intent classification	United States (Standard Contractual Clauses)
Voyage AI, Inc.	Vector embeddings for retrieval-augmented generation over tenant content	United States (Standard Contractual Clauses)
Resend, Inc.	Transactional email delivery (onboarding, lead notifications, data-export links)	European Union
Stripe Payments Europe, Ltd.	Subscription billing and payment processing	Ireland (contracting entity), with onward transfer to its US parent under Standard Contractual Clauses
Hetzner Online GmbH	Hosting (database, application servers, file storage) in Falkenstein, Germany	Germany
Cloudflare, Inc.	Reverse proxy and TLS termination for all application traffic (transient processing, no content storage), and off-site backup storage (Cloudflare R2); backups are encrypted client-side with age before upload, the decryption private key is held only by the operator	United States (data stored in an EU region; Standard Contractual Clauses)
PostHog, Inc. (PostHog Cloud EU)	Error tracking only (exception events with key-based scrubbing of credentials and contact data); no analytics, no session capture, no widget-visitor telemetry	European Union (Frankfurt, Germany)
Google LLC (Gemini API)	Failover large-language-model provider (used only when Anthropic is unavailable)	United States (Standard Contractual Clauses)
OpenAI, L.L.C.	Failover content-extraction model (used only when the primary provider is unavailable)	United States (Standard Contractual Clauses)

Stand: [wird beim Abschluss eingetragen]

---