Auftragsverarbeitungsvertrag

Diese Mustervereinbarung („AVV") wird zwischen dem Kunden („Verantwortlicher") und der DexterBee GmbH, Industriestraße 13, 63755 Alzenau („Auftragsverarbeiter", „UIWeaver") geschlossen und regelt die Verarbeitung personenbezogener Daten durch UIWeaver im Auftrag des Kunden gemäß Art. 28 der Verordnung (EU) 2016/679 (DSGVO). Sie ergänzt den jeweiligen Hauptvertrag (Allgemeine Geschäftsbedingungen, Statement of Work).

Eine vom Auftragsverarbeiter unterzeichnete Fassung dieser Mustervereinbarung wird auf Anforderung an privacy@uiweaver.io bereitgestellt.

§ 1 Gegenstand und Dauer

(1) Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch UIWeaver im Rahmen der Bereitstellung der vereinbarten Leistungen (KI-gestützte Website-Erstellung, Hosting, Wartung, transaktionale Kommunikation) sowie im Rahmen des Betriebs der KI-Funktionen auf den Websites und Kanälen des Kunden (KI-Chatbot, Wissensdatenbank, Terminbuchung, KI-Anfragemanager, WhatsApp-Chatbot, KI-Automatisierungen, Dokumenten-KI, KI-Agenten; § 2a).

(2) Die Vereinbarung beginnt mit Vertragsschluss des Hauptvertrags und endet automatisch mit dessen Beendigung. § 12 (Beendigung, Datenlöschung) bleibt unberührt.

§ 2 Art und Zweck der Verarbeitung

UIWeaver verarbeitet personenbezogene Daten ausschließlich zu folgenden Zwecken:

• Bereitstellung und Betrieb der Website-Plattform;
• Erzeugung KI-gestützter Designvorschläge auf Basis der Eingaben des Endnutzers;
• Hosting der erstellten Websites (sofern beauftragt);
• Versand transaktionaler E-Mails an Endkunden des Verantwortlichen;
• Bereitstellung technischer Wartung, Backups und Sicherheitsaktualisierungen;
• Betrieb der vom Verantwortlichen gebuchten KI-Funktionen (§ 2a).

§ 2a KI-Funktionen

(1) Soweit der Verantwortliche KI-Funktionen im Rahmen eines Betreuungsvertrags gebucht hat, verarbeitet UIWeaver hierfür personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen. Die Konfiguration der KI-Funktionen durch den Verantwortlichen (z.B. hochgeladene Dokumente, hinterlegte Verfügbarkeiten, Freigabe von Entwürfen) gilt als dokumentierte Weisung. Die Antworten werden mithilfe des KI-Modells Google Gemini erzeugt.

Verarbeitungstätigkeit	Daten	Standard-Speicherdauer
KI-Chatbot auf der Website — Beantwortung von Besucherfragen auf Grundlage der Website-Inhalte	Chatnachrichten und Antworten, vom Besucher freiwillig mitgeteilte Angaben, technische Verbindungsdaten (IP-Adresse gehasht, Zeitstempel)	90 Tage nach der letzten Nachricht
Anfrageerfassung und Terminbuchung durch den Chatbot	Name, Kontaktdaten, Anliegen, gewünschter Termin	Weiterleitung an den Verantwortlichen; Löschung bei UIWeaver 90 Tage nach der Übermittlung bzw. nach dem Termin
Wissensdatenbank — Beantwortung von Fragen auf Grundlage vom Verantwortlichen hochgeladener Dokumente	Inhalte der Dokumente einschließlich darin enthaltener personenbezogener Daten Dritter; daraus abgeleitete Suchindizes	bis zur Löschung durch den Verantwortlichen, spätestens nach § 12
KI-Anfragemanager — Analyse von Kontaktformular-Anfragen und Erstellung von Antwortentwürfen	Name, Kontaktdaten und Inhalt der Anfrage, Analyseergebnis (z.B. Thema, Dringlichkeit), Antwortentwurf, Freigabestatus	6 Monate nach Eingang der Anfrage, sofern der Verantwortliche nicht früher löscht
WhatsApp-Chatbot — Beantwortung von Nachrichten über die WhatsApp Business Platform	Telefonnummer, WhatsApp-Profilname, Nachrichteninhalte, Zeitstempel und Zustellstatus	90 Tage nach der letzten Nachricht; bei Meta nach Maßgabe der Bedingungen von Meta
Dokumenten-KI — Auslesen und Klassifizieren von Dokumenten (z.B. Rechnungen, Belege) und Vorbereitung von DATEV-Exporten	hochgeladene Dokumente; daraus ausgelesene Daten (z.B. Rechnungs- und Belegdaten, Namen und Anschriften von Lieferanten und Kunden, Bankverbindungen, in Dokumenten enthaltene Beschäftigtendaten); Klassifizierungen; DATEV-Exportdateien	Originaldokumente: 30 Tage nach Verarbeitung; ausgelesene Daten und Klassifizierungen: 90 Tage nach Export bzw. Freigabe; DATEV-Exportdateien: 90 Tage nach Bereitstellung
KI-Automatisierungen — Vorbereitung von Angeboten, Nachfassnachrichten und CRM-Einträgen	Kontakt- und Firmendaten von Kunden und Interessenten (CRM-Kontakte), Anfrage- und Angebotsinhalte, Kommunikationsverlauf, Entwürfe, Freigabestatus	Entwürfe und Zwischenergebnisse: 90 Tage nach Freigabe bzw. Verwerfen; in Systeme des Verantwortlichen übertragene Daten unterliegen dessen Verfügung
KI-Agenten — Erledigung wiederkehrender Aufgaben mit Freigabe durch das Team des Verantwortlichen	für die jeweilige Aufgabe erforderliche Daten aus den angebundenen Systemen; Aufgaben- und Aktionsprotokolle einschließlich Freigaben (freigebende Person, Zeitpunkt)	Aufgabeninhalte: 90 Tage nach Abschluss der Aufgabe; Aktions- und Freigabeprotokolle: 12 Monate (Nachvollziehbarkeit)

(2) Antwortentwürfe des KI-Anfragemanagers werden niemals automatisch versendet. Der Versand erfolgt ausschließlich nach Prüfung und Freigabe durch den Verantwortlichen. Entsprechend handeln KI-Automatisierungen und KI-Agenten gegenüber Dritten (z.B. Versand von Angeboten oder Nachrichten) und schreiben in externe Systeme (z.B. CRM, Kalender, DATEV) ausschließlich nach Freigabe durch den Verantwortlichen.

(3) Anbindung von Drittsystemen: Drittsysteme (z.B. CRM, Kalender, E-Mail, DATEV) werden über die eigenen Konten und Zugänge des Verantwortlichen angebunden. Die Anbieter dieser Systeme stehen in einem Vertragsverhältnis mit dem Verantwortlichen und sind dessen Auftragsverarbeiter, nicht Subunternehmer von UIWeaver im Sinne des § 6. UIWeaver greift auf diese Systeme ausschließlich im Umfang der vom Verantwortlichen erteilten Berechtigungen und nur zur Ausführung der beauftragten Automatisierungen zu.

(4) Aufbewahrungspflichten: UIWeaver übernimmt keine Archivierung von Buchungsbelegen. Gesetzliche Aufbewahrungspflichten des Verantwortlichen (insbesondere §§ 147 AO, 257 HGB, GoBD) erfüllt dieser in seinen eigenen Systemen; die Standard-Speicherfristen nach Abs. 1 sind hierauf nicht ausgelegt.

(5) UIWeaver verwendet die im Rahmen der KI-Funktionen verarbeiteten Daten nicht für eigene Zwecke, insbesondere nicht zum Training von KI-Modellen. Die Gemini API wird im kostenpflichtigen Tarif genutzt; nach den Bedingungen von Google werden die Eingaben dort nicht zum Training der Modelle verwendet, können jedoch für einen begrenzten Zeitraum zur Missbrauchserkennung gespeichert werden.

(6) Der Verantwortliche kann kürzere oder — soweit für die Automatisierung erforderlich — längere Speicherfristen anweisen. Die Wissensdatenbank und die Dokumenten-KI sind nicht für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) bestimmt; deren Verarbeitung bedarf einer gesonderten Vereinbarung.

(7) Die Chatbots weisen betroffene Personen zu Beginn der Interaktion darauf hin, dass sie mit einem KI-System kommunizieren (Art. 50 Abs. 1 Verordnung (EU) 2024/1689). Die Information der betroffenen Personen nach Art. 13, 14 DSGVO obliegt dem Verantwortlichen.

§ 3 Art der personenbezogenen Daten

• Stammdaten (Name, Firma, Anschrift, USt-IdNr.);
• Kontaktdaten (E-Mail-Adresse, Telefonnummer);
• Nutzungsdaten (IP-Adresse — gehasht binnen 24 h, Browserinformationen, Zeitstempel);
• Inhaltsdaten (vom Endnutzer eingegebene Geschäftsbeschreibung, Konfiguration);
• Vertragsdaten und transaktionale Daten (Bestellnummer, Abonnement-Status — nicht jedoch vollständige Zahlungsdaten);
• Kommunikationsdaten der KI-Funktionen (Chat- und WhatsApp-Nachrichten, Telefonnummer und Profilname bei WhatsApp, Anfrageinhalte, Antwortentwürfe, Termindaten);
• Inhalte der vom Verantwortlichen bereitgestellten Dokumente der Wissensdatenbank, soweit diese personenbezogene Daten enthalten;
• Rechnungs- und Belegdaten (z.B. Rechnungsnummer, Beträge, Leistungsbeschreibung, Namen und Anschriften der Beteiligten) sowie Bankverbindungen;
• in Dokumenten enthaltene Daten von Beschäftigten, Kunden und Lieferanten des Verantwortlichen;
• CRM-Kontaktdaten (Name, Firma, Funktion, Kontaktdaten, Kommunikations- und Angebotsverlauf);
• Aufgaben-, Aktions- und Freigabeprotokolle der KI-Agenten.

§ 4 Kategorien betroffener Personen

• Endnutzer und Besucher der vom Verantwortlichen betriebenen Websites, einschließlich Nutzern des KI-Chatbots;
• Geschäftspartner, Kunden und Interessenten des Verantwortlichen, insbesondere Absender von Anfragen und Terminbuchungen;
• Personen, die den Verantwortlichen über WhatsApp kontaktieren;
• in Dokumenten der Wissensdatenbank oder der Dokumenten-KI genannte Personen, insbesondere Kunden und Lieferanten des Verantwortlichen;
• in CRM- und angebundenen Drittsystemen erfasste Kontakte des Verantwortlichen;
• Beschäftigte und Beauftragte des Verantwortlichen, soweit sie das System administrieren, Entwürfe und Aktionen prüfen und freigeben oder in verarbeiteten Dokumenten genannt sind.

§ 5 Pflichten des Auftragsverarbeiters

UIWeaver verpflichtet sich:

• personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO); dies gilt auch in Bezug auf Übermittlungen an Drittländer, es sei denn, eine gesetzliche Verpflichtung verlangt das Gegenteil;
• sicherzustellen, dass alle zur Verarbeitung befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO);
• die erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO zu treffen (siehe § 7);
• die in § 6 geregelten Bedingungen für die Inanspruchnahme weiterer Auftragsverarbeiter einzuhalten;
• den Verantwortlichen bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen zu unterstützen (Art. 28 Abs. 3 lit. f DSGVO);
• dem Verantwortlichen alle für den Nachweis der Einhaltung dieser AVV erforderlichen Informationen zur Verfügung zu stellen und Überprüfungen einschließlich Inspektionen zu ermöglichen (Art. 28 Abs. 3 lit. h DSGVO);
• den Verantwortlichen umgehend zu unterrichten, sofern UIWeaver der Ansicht ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt.

§ 6 Inanspruchnahme weiterer Auftragsverarbeiter (Subunternehmer)

(1) Der Verantwortliche erteilt mit Abschluss dieses AVV eine allgemeine schriftliche Genehmigung gemäß Art. 28 Abs. 2 DSGVO, weitere Auftragsverarbeiter im erforderlichen Umfang heranzuziehen. Bei Änderungen in Bezug auf die Hinzuziehung oder die Ersetzung weiterer Auftragsverarbeiter informiert UIWeaver den Verantwortlichen mit einer Frist von vier Wochen vorab und räumt ein Widerspruchsrecht ein.

(2) Aktueller Stand der eingesetzten Subunternehmer:

• Stripe Payments Europe, Ltd., Dublin, Irland — Zahlungsabwicklung.
• Supabase, Inc., Singapur (Datenhaltung in AWS eu-central-1, Frankfurt) — Datenbank.
• Vercel Inc., Covina, CA, USA — Hosting und Edge-Functions.
• Scaleway SAS, 8 rue de la Ville l'Evêque, 75008 Paris, Frankreich (Region fr-par, Paris; Verarbeitung in der EU) — Versand transaktionaler E-Mails.
• Google LLC, Mountain View, CA, USA — Gemini API (kostenpflichtiger Tarif) zur Designerzeugung sowie zur Erzeugung der Antworten, Analysen und Antwortentwürfe der KI-Funktionen; Verarbeitung auch außerhalb der EU möglich (§ 11).
• Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, D04 X2K5, Irland — WhatsApp Business Platform für den WhatsApp-Chatbot (nur bei Buchung dieser Funktion); Übermittlung an Meta Platforms, Inc., USA, möglich (§ 11).
• Google Ireland Ltd., Dublin, Irland — Google Analytics 4 (nur mit Einwilligung).
• Sanity, Inc., San Francisco, CA, USA — Headless-CMS (optional).

(3) UIWeaver stellt sicher, dass mit jedem Subunternehmer die Pflichten aus Art. 28 DSGVO in gleichwertiger Form vertraglich vereinbart sind.

§ 7 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

UIWeaver setzt geeignete technische und organisatorische Maßnahmen ein, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Hierzu zählen insbesondere:

• Verschlüsselung in Übertragung (TLS 1.3) und Ruhe (AES-256);
• rollenbasierte Zugriffskontrollen und Mehr-Faktor-Authentifizierung für administrative Konten;
• Logging sicherheitsrelevanter Ereignisse und automatisierte Anomalieerkennung;
• regelmäßige Backups mit dokumentierten Wiederherstellungstests;
• Pseudonymisierung (z.B. Hashing von IP-Adressen);
• logische Trennung der Daten je Verantwortlichem (Mandantentrennung), insbesondere der Wissensdatenbanken, Chatverläufe, Dokumente und Zugangsdaten zu Drittsystemen;
• verschlüsselte Speicherung von Zugangstoken zu Drittsystemen des Verantwortlichen; Anforderung nur der für die jeweilige Automatisierung erforderlichen Berechtigungen (Least Privilege); Widerruf bzw. Löschung der Token bei Beendigung des Betreuungsvertrags oder auf Weisung des Verantwortlichen;
• technische Sicherstellung, dass Handlungen gegenüber Dritten und Schreibzugriffe auf externe Systeme erst nach Freigabe durch den Verantwortlichen ausgeführt werden; Protokollierung der Freigaben;
• Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der Maßnahmen.

Eine detaillierte Liste der eingesetzten technischen und organisatorischen Maßnahmen wird auf Anfrage in Anlage 1 zu dieser AVV bereitgestellt.

§ 8 Unterstützungspflichten, Betroffenenrechte

UIWeaver unterstützt den Verantwortlichen bei der Erfüllung der Anträge betroffener Personen nach Kapitel III DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Wendet sich eine betroffene Person unmittelbar an UIWeaver, leitet UIWeaver die Anfrage unverzüglich an den Verantwortlichen weiter.

§ 9 Meldung von Datenschutzverletzungen (Art. 33 DSGVO)

UIWeaver meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel binnen 24 Stunden ab Kenntnis. Die Meldung umfasst eine Beschreibung des Vorfalls, der betroffenen Datenkategorien, der voraussichtlichen Folgen und der bereits ergriffenen Maßnahmen.

§ 10 Audit- und Kontrollrechte

(1) Der Verantwortliche hat das Recht, sich vor Beginn der Verarbeitung und sodann regelmäßig in angemessenem Umfang von der Einhaltung der getroffenen technischen und organisatorischen Maßnahmen zu überzeugen (Art. 28 Abs. 3 lit. h DSGVO).

(2) Audits können durch Einsichtnahme in Selbstauskünfte, Zertifizierungen (z.B. SOC 2, ISO 27001) oder Prüfberichte unabhängiger Dritter erfolgen. Vor-Ort-Prüfungen sind mit einer Vorlauffrist von 30 Tagen abzustimmen und auf das erforderliche Maß zu beschränken.

§ 11 Drittlandübermittlung

Soweit personenbezogene Daten im Rahmen der Auftragsverarbeitung außerhalb der EU/EWR verarbeitet werden, stützt UIWeaver die Übermittlung primär auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (C(2023) 4745) sowie ergänzend auf EU-Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914. Zusätzliche technische und organisatorische Maßnahmen (Verschlüsselung, Zugriffsbeschränkungen) werden umgesetzt. Dies betrifft insbesondere die Verarbeitung über die Gemini API (Google LLC) sowie etwaige Übermittlungen im Rahmen der WhatsApp Business Platform von Meta Platforms Ireland Ltd. an Meta Platforms, Inc., USA.

§ 12 Beendigung, Datenlöschung

Nach Beendigung des Hauptvertrags löscht oder gibt UIWeaver — nach Wahl des Verantwortlichen — sämtliche personenbezogenen Daten zurück und löscht vorhandene Kopien, sofern nicht eine gesetzliche Aufbewahrungspflicht (insbesondere §§ 147 AO, 257 HGB) entgegensteht. Die Rückgabe oder Löschung erfolgt innerhalb von 30 Tagen nach Vertragsbeendigung; auf Anfrage wird der Löschvorgang dokumentiert. Endet lediglich der Betreuungsvertrag, gilt dies entsprechend für die im Rahmen der KI-Funktionen verarbeiteten Daten (§ 2a), einschließlich der Wissensdatenbank und der von der Dokumenten-KI verarbeiteten Daten; Zugangstoken zu Drittsystemen werden unverzüglich widerrufen bzw. gelöscht.

§ 13 Haftung

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO und nach den Bestimmungen des Hauptvertrags. Im Innenverhältnis gilt die im Hauptvertrag vereinbarte Haftungsbegrenzung entsprechend, soweit gesetzlich zulässig.

§ 14 Schlussbestimmungen

(1) Bei Widersprüchen zwischen dieser AVV und dem Hauptvertrag gehen die Regelungen dieser AVV vor, soweit es um den Schutz personenbezogener Daten geht.

(2) Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Anwendbares Recht: Recht der Bundesrepublik Deutschland. Gerichtsstand: Aschaffenburg.

Kontakt

Anfragen zu diesem AVV: privacy@uiweaver.io
Anbieterkennzeichnung: Impressum.