Vertrag zur Auftragsverarbeitung
Stand: 04.11.2026 · Hevia ist ein Produkt von evioe studio.
Diese Fassung ist mit der tatsächlichen technischen Architektur von Hevia abgeglichen. Eine anwaltliche Prüfung steht noch aus.
1. Parteien und Geltung
Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch evioe · Web & IT Studio, Inhaber Mahsum Kavak, Schwarzwaldstr. 61, 79539 Lörrach („Auftragsverarbeiter“) im Auftrag des Kunden („Verantwortlicher“) nach Art. 28 DSGVO. Er ist Bestandteil der AGB und gilt mit deren Annahme bei der Registrierung. Eine unterschriebene Fassung schicken wir auf Anfrage an hey@evioe.de.
2. Gegenstand, Art und Zweck
| Gegenstand | Betrieb des KI-Chats Hevia auf der Website des Verantwortlichen und des zugehörigen Dashboards |
|---|---|
| Art der Verarbeitung | Erheben, Speichern, Abfragen, Übermitteln an das KI-Modell zur Formulierung der Antwort, Anzeigen im Dashboard, Exportieren, Löschen |
| Zweck | Beantwortung von Fragen der Besucher, Aufnahme und Weitergabe von Anfragen, Auswertung für den Verantwortlichen |
| Betroffene | Besucher der Website des Verantwortlichen, die den Chat nutzen; Mitarbeitende des Verantwortlichen mit Dashboard-Zugang, soweit sie in Inhalten vorkommen |
| Datenarten | Chat-Nachrichten und Antworten mit Zeitpunkt und Sprache; Adresse der Seite; Angaben aus Formularen (z. B. Name, E-Mail, Telefon, Wunschtermin, Anliegen); Klicks auf Buchungslinks; Wissenseinträge, soweit sie Personenbezug haben |
| Besondere Kategorien | nicht vorgesehen; der Verantwortliche fordert sie nicht ab, Besucher werden vor dem Chat gebeten, sie nicht einzugeben |
| Dauer | Laufzeit des Hauptvertrags, danach bis zur Löschung nach Abschnitt 9 |
3. Weisungen
Wir verarbeiten die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch bei Übermittlungen in Drittländer, es sei denn, wir sind gesetzlich dazu verpflichtet; dann teilen wir das vorher mit, soweit das Gesetz es erlaubt. Weisungen sind die Einstellungen im Dashboard (etwa Speicherdauer, Pause, Löschen) sowie Weisungen in Textform. Halten wir eine Weisung für rechtswidrig, weisen wir unverzüglich darauf hin.
Der Verantwortliche weist uns an, aus den Auftragsdaten anonymisierte, zusammengefasste Kennzahlen zu bilden, soweit dies für die anonyme Statistik nach den AGB erforderlich ist. Die Anonymisierung erfolgt so, dass ein Personenbezug nicht wiederhergestellt werden kann. Die so entstandenen Kennzahlen sind keine personenbezogenen Daten und unterliegen nicht den Lösch- und Rückgabepflichten dieses Vertrags.
4. Pflichten des Auftragsverarbeiters
- Alle Personen mit Zugang zu den Daten sind zur Vertraulichkeit verpflichtet.
- Wir treffen die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind, und passen sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
- Wir nutzen die Daten nicht für eigene Zwecke und trainieren keine KI-Modelle mit ihnen.
- Wir unterstützen den Verantwortlichen bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 35, 36 DSGVO).
5. Unterauftragnehmer
Der Verantwortliche stimmt dem Einsatz der in Anlage 2 genannten Unterauftragnehmer zu. Neue oder ersetzte Unterauftragnehmer kündigen wir mindestens 30 Tage vorher per E-Mail oder im Dashboard an. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; können wir den Widerspruch nicht ausräumen, darf er den Vertrag zum Wirksamwerden der Änderung kündigen. Unterauftragnehmer verpflichten wir vertraglich auf ein gleichwertiges Schutzniveau.
6. Übermittlung in Drittländer
Datenbank und Sicherungen liegen in Frankfurt. Einzelne Unterauftragnehmer sind US-Unternehmen oder verarbeiten Teile der Daten in den USA (Anlage 2). Grundlage ist der Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, und zusätzlich EU-Standardvertragsklauseln (Art. 45, 46 DSGVO).
7. Rechte der Betroffenen
Wir unterstützen den Verantwortlichen dabei, Anfragen nach Art. 15 bis 22 DSGVO zu beantworten. Das Dashboard ermöglicht Einsicht, Export und Löschung von Gesprächen und Anfragen. Wenden sich Betroffene direkt an uns, leiten wir die Anfrage unverzüglich an den Verantwortlichen weiter.
8. Datenschutzverletzungen
Wir melden dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen, und unterstützen ihn bei seinen Melde- und Benachrichtigungspflichten.
9. Löschung und Rückgabe
Der Verantwortliche kann seine Daten jederzeit exportieren. Nach Vertragsende löschen wir alle Daten nach 30 Tagen, sofort, wenn der Verantwortliche seinen Betrieb im Dashboard löscht. Verschlüsselte Sicherungen werden nach 30 Tagen überschrieben; bis dahin werden gelöschte Daten aus ihnen nicht wiederhergestellt, außer zur Wiederherstellung nach einem Ausfall. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
10. Nachweise und Kontrollen
Wir stellen dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind. Kontrollen vor Ort sind nach rechtzeitiger Anmeldung zu den üblichen Geschäftszeiten möglich, ohne den Betrieb zu stören; vorrangig genügen schriftliche Auskünfte und Nachweise der Unterauftragnehmer.
11. Haftung und Schluss
Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regeln der AGB. Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht. Es gilt deutsches Recht.
Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
| Bereich | Maßnahme |
|---|---|
| Verschlüsselung | verschlüsselte Übertragung (TLS); gespeicherte Daten und Sicherungen verschlüsselt; Schlüssel für die Sicherungen getrennt vom Hosting aufbewahrt |
| Zugangskontrolle | Dashboard nur nach Anmeldung; Mindestlänge für Passwörter, Passwörter nur verschlüsselt (gehasht) gespeichert; Sitzungen laufen ab und enden bei Passwortänderung; Begrenzung der Anmeldeversuche |
| Zugriffskontrolle | Rollen je Betrieb (Inhaber, Mitglied); Export, Team und Löschen nur für Inhaber; Zugriff des Betreibers nur zur Betreuung und Fehlerbehebung |
| Trennung | Zugriffsschutz zwischen den Betrieben: Daten eines Betriebs sind für andere nicht erreichbar und werden nicht für andere genutzt; automatisiert geprüft |
| Datensparsamkeit | keine Speicherung von IP-Adresse oder Browser-Kennung im Gespräch; IP-Adressen zum Missbrauchsschutz nur als nicht umkehrbarer, verschlüsselter Wert, Löschung nach 2 Tagen; Protokolle ohne Gesprächstext, gekürzt und mit unkenntlich gemachten Kontaktdaten |
| Eingabe- und Weitergabekontrolle | an den KI-Dienst gehen nur die Frage, die letzten Nachrichten des Gesprächs und passende Einträge, keine Formularangaben, IP-Adressen oder Seitenadressen; KI-Verarbeitung in der EU und in EFTA-Staaten, kein Training mit den Daten |
| Verfügbarkeit | tägliche verschlüsselte Sicherung, regelmäßig durch Probe-Wiederherstellung geprüft; Aufbewahrung 30 Tage; eingeschränkter Betrieb ohne KI bei Ausfall |
| Belastbarkeit | Tagesgrenzen für KI-Antworten je Betrieb und Begrenzung der Anfragen je Besucher; öffentlicher Chat je Betrieb pausierbar |
| Löschung | einstellbare Frist für Gespräche und Anfragen (30 bis 730 Tage oder manuell), automatisch angewendet; Löschen einzelner Gespräche und des Betriebs mit allen Daten |
| Überprüfung | automatisierte Tests der Schutzmaßnahmen, Datenschutz-Abläufe und Sicherungen vor jeder Veröffentlichung; Prüfung des laufenden Systems danach |
| Organisation | alle Personen mit Zugang sind zur Vertraulichkeit verpflichtet; Zwei-Faktor-Anmeldung für die Verwaltungskonten der Dienstleister wird vor dem Kundenstart eingerichtet |
Die Trennung der Betriebe wird automatisiert geprüft. Mehr zu den Maßnahmen steht unter Sicherheit.
Anlage 2: Unterauftragnehmer
Die jeweils aktuelle Liste mit Sitz, Zweck, Ort und Vertragsgrundlage steht unter Unterauftragnehmer. Sie ist Bestandteil dieses Vertrags.