AGB

Teil 2: Anhang A – Auftragsverarbeitungsvertrag (AVV)

Da als SaaS-Anbieter Sprachdaten und potenzielle Kundennamen der User verarbeitet werden, ist dieser Vertrag gesetzlich vorgeschrieben (Art. 28 DSGVO).

Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO

zwischen dem Kunden der SaaS-Lösung (nachfolgend „Verantwortlicher“) und
Dein KI Handwerker UG (i.G.) (nachfolgend „Auftragsverarbeiter“)

1. Gegenstand und Dauer

Der Auftragsverarbeiter erbringt für den Verantwortlichen SaaS-Dienstleistungen („Dein KI Handwerker“). Hierbei hat der Auftragsverarbeiter Zugriff auf personenbezogene Daten. Die Dauer dieser Vereinbarung entspricht der Laufzeit des Hauptvertrages (AGB).

2. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst insbesondere:
• Erfassen und Speichern von Eingaben des Verantwortlichen (Text, Chatverläufe, Sprachnachrichten) sowie von hochgeladenen Dateien (z.B. PDF, DOCX, TXT, Bilder/Fotos, CSV, XLSX, Datanorm, BMEcat, GAEB);
• Umwandlung von Sprachnachrichten in Text (Transkription) mit einer lokal betriebenen Open-Source-Spracherkennung (Whisper). Eine Übertragung der Roh-Audiodaten an Unterauftragsverarbeiter erfolgt nicht;
• Analyse, Strukturierung und Anreicherung der Eingaben durch KI-Modelle (Text- und Bildanalyse) über die APIs der in Ziffer 5 genannten KI-Dienstleister sowie durch lokal betriebene KI-Modelle;
• Erzeugung und Speicherung von Vektordarstellungen (Embeddings) für die semantische Suche in den eigenen Leistungen und Preislisten des Verantwortlichen;
• Berechnung von Mengen- und Preisansätzen auf Basis der hinterlegten Werte des Verantwortlichen sowie Erstellung von Angebots- und Rechnungsdokumenten (DOCX, PDF, GAEB, ZUGFeRD, XRechnung);
• auf freiwillige Nutzung der Funktion: Verknüpfung mit einem Google-Drive-Konto des Verantwortlichen zum Import von Dokumenten;
• Qualitätssicherung und Weiterentwicklung der KI-Funktionen (Ziffer 4 Buchstabe g).
Zweck ist die automatisierte (Entwurf einer) Angebotserstellung für den Verantwortlichen.

3. Art der Daten und Kreis der Betroffenen

(1) Datenarten:
• Audiodaten (Sprachaufnahmen der Mitarbeiter des Verantwortlichen)
• Textdaten (Transkripte, Chat- und Pipeline-Eingaben, Notizen, Textbausteine)
• Inhaltsdaten (Namen, Adressen, Projekt-, Aufmaß- und Objektdaten, die im Diktat, in Dateien oder in Formularen genannt werden)
• hochgeladene Dokumente und Bilder (z.B. Aufmaßskizzen, Fotos, Preislisten, Leistungsverzeichnisse)
• Stammdaten des Betriebs des Verantwortlichen (Firmenname, Logo, Anschrift, USt-IdNr., Bank- und Zahlungsdaten im Rahmen der Rechnungsstellung)
• erstellte Angebots- und Rechnungsdokumente sowie Exportdateien
• Metadaten (Zeitstempel, Nutzer-ID, Kunden-ID, Tarifstatus, Nutzungsstatistik)
(2) Betroffene Personen:
• Mitarbeiter des Verantwortlichen (Nutzer der Software)
• Endkunden und Ansprechpartner des Verantwortlichen, deren Daten im Diktat, in Dateien oder Angeboten genannt werden
(3) Es sind keine besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO vorgesehen. Der Verantwortliche soll solche Daten nicht in die Software eingeben.

4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:
a) Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten (diese Weisung ist durch die Nutzung der Software-Funktionen gegeben).
b) Vertraulichkeit zu wahren und Mitarbeiter auf das Datengeheimnis zu verpflichten.
c) Geeignete technische und organisatorische Maßnahmen (TOMs) zu treffen, um die Sicherheit der Daten zu gewährleisten, insbesondere Verschlüsselung der Übertragung per SSL/TLS, Zugriffsbeschränkung auf Administrations- und Kundensysteme, Trennung der Kundendaten über Kunden-IDs sowie Nutzung abgesicherter Server-Infrastruktur.
d) Daten der Kunden voneinander getrennt zu halten; eine Zusammenführung der Inhalte verschiedener Kunden zu deren Nachteilen findet nicht statt.
e) Unterauftragsverarbeiter nur gemäß Ziffer 5 einzusetzen.
f) den Verantwortlichen bei Anfragen Betroffener, Sicherheitsvorfällen und Weisungen angemessen zu unterstützen.
g) Keine Nutzung von Kundendaten zur Trainierung öffentlich verfügbarer oder fremder KI-Modelle. KI-Dienstleister verarbeiten die Eingaben ausschließlich als Prompt für die angeforderte Antwort. Zur internen Qualitätsverbesserung eingesetzter Modelle werden ausschließlich zuvor automatisiert anonymisierte bzw. pseudonymisierte Inhalte (Namens-, Orts- und Zahlen-Ersetzung mittels Microsoft Presidio und spaCy) verwendet.
h) beim Einsatz lokal betriebener Modelle (llama.cpp, Whisper) sicherzustellen, dass hierfür keine personenbezogenen Daten an Dritte übertragen werden.

5. Unterauftragsverarbeiter

Der Verantwortliche genehmigt den Einsatz folgender Unterauftragsverarbeiter, die zur Erbringung der Leistung notwendig sind:

• Web-Hosting / Frontend: Vercel Inc., 340 Sutter Street, San Francisco, CA 94108, USA (Auslieferung der Webanwendung, Server-seitige Routen). Auftragsverarbeitung geregelt über das Vercel Data Processing Agreement einschließlich EU-Standardvertragsklauseln.
• Backend-Server: eigene Server-Infrastruktur des Auftragsverarbeiters (Applikations- und Datenbankserver, MariaDB, Vektorsuche Qdrant, Message-Broker RabbitMQ, Dokumentenablage). Standort: Europa.
• Datenbank/Authentifizierung: Supabase Inc., 548 Market Street, San Francisco, CA 94104, USA (Nutzerkonten, Authentifizierung, Projekt-/Kundenstammdaten). Region der Datenbank: Europa; geregelt über das Supabase Data Processing Addendum einschließlich EU-Standardvertragsklauseln.
• Zahlungsabwicklung: Stripe Payments Europe, Ltd., Grand Canal Street Lower, Dublin 1, Irland (Rechnungs- und Abrechnungsdaten, Abonnementverwaltung).
• KI-Inferenz (Text und Bild): Groq LLC, 2000 The Village, 3 Hammersmith Grove, London W6 0ND, United Kingdom – Abruf über GroqCloud, geregelt durch das Groq Services Agreement sowie den mit Groq geschlossenen Data Processing Addendum (DPA)
• KI-Inferenz (Text, Vermittlung): EUrouter (Vermittlungsdienst für KI-Modelle) – Verarbeitung von Prompt-Inhalten zur Beantwortung von Anfragen.
• Spracherkennung: lokal betriebene Open-Source-Komponente Whisper (pywhispercpp) auf dem Backend-Server des Auftragsverarbeiters – kein Datentransfer an Dritte.
• Lokale KI-Modelle: lokal betriebene offene Sprachmodelle (llama.cpp) auf dem Backend-Server des Auftragsverarbeiters – kein Datentransfer an Dritte.
• Rechnungserstellung / E-Rechnung: eigener Konvertierungsdienst des Auftragsverarbeiters (Erzeugung von PDF, ZUGFeRD und XRechnung/EN 16931) auf der eigenen Server-Infrastruktur.
• Dokumenten-Import (optional, nur bei freiwilliger Verbindung): Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Google Drive / Google Workspace – Lesen von Dokumenten aus einem vom Verantwortlichen verbundenen Google-Konto; Zugriff über OAuth 2.0 mit widerrufbarer Berechtigung), geregelt über die Google Cloud Data Processing Terms.
• Anonymisierung / Datenqualität: lokal betriebene Open-Source-Bibliotheken (Microsoft Presidio, spaCy) auf der eigenen Server-Infrastruktur – kein Datentransfer an Dritte.
• E-Mail-Marketing (eigene Verantwortung, nicht Gegenstand der Auftragsverarbeitung für den Kunden): Brevo (Sendinblue), Paris, Frankreich (Newsletter-Versand an Interessenten, die der Auftragsverarbeiter selbst anspricht).

Der Auftragsverarbeiter stellt sicher, dass mit diesen Dienstleistern vertragliche Regelungen nach Art. 28 DSGVO bestehen, die ein angemessenes Datenschutzniveau sicherstellen. Soweit Dienstleister oder Datenverarbeitungen in den USA oder einem sonstigen Drittland stattfinden, erfolgt dies auf Grundlage des Angemessenheitsbeschlusses EU-US Data Privacy Framework (soweit der Dienstleister zertifiziert ist) oder der EU-Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO) einschließlich der ergänzenden Schutzmaßnahmen. Eine Übersicht der Drittlandtransfer stellt der Auftragsverarbeiter dem Verantwortlichen auf Anfrage zur Verfügung.

Der Auftragsverarbeiter darf weitere Unterauftragsverarbeiter einsetzen, wenn er den Verantwortlichen hierüber mindestens zwei Wochen vor dem Einsatz in Textform informiert. Widerspricht der Verantwortliche innerhalb dieser Frist aus wichtigem Grund, suchen die Parteien eine Lösung; andernfalls gilt die Genehmigung als erteilt.

6. Rechte des Verantwortlichen

Der Verantwortliche kann Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung der in der Software gespeicherten Daten verlangen, soweit dies technisch im Rahmen der SaaS-Lösung umsetzbar ist. Er kann diese Rechte auch unmittelbar über das Kundenportal (Löschen von Angeboten, Dokumenten, Kunden und eigenen Eingaben) ausüben. Darüber hinaus stehen ihm die Rechte auf Erteilung einer Weisung, auf Erteilung einer Abschrift bzw. Herausgabe der Daten (Datenexport der angelegten Angebote und Preislisten) und auf Prüfung der TOMs zu. Anfragen von Betroffenen leitet der Auftragsverarbeiter unverzüglich an den Verantwortlichen weiter.

7. Löschung und Rückgabe

Vom Verantwortlichen gelöschte Daten (Angebote, Dokumente, Kunden, Sprachnachrichten, Transkripte) werden in der Regel innerhalb von 30 Tagen auch aus den Sicherungskopien entfernt. Nach Beendigung des Vertrages löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten des Verantwortlichen, sofern keine gesetzlichen Aufbewahrungspflichten (insbesondere handels- und steuerrechtliche Fristen für Abrechnungsdaten) entgegenstehen. Auf Wunsch stellt der Auftragsverarbeiter die im Rahmen der SaaS-Nutzung erzeugten Daten vor der Löschung in einem gängigen Format (DOCX, PDF, CSV) zur Verfügung. Sprachnachrichten werden nach Abschluss der Transkription nicht dauerhaft vorgehalten, soweit der Verantwortliche sie nicht selbst in der Software behält.

8. Meldepflichten und Hilfeleistung

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über bekannt werdende Verletzungen des Schutzes personenbezogener Daten im Sinne des Art. 33 Abs. 2 DSGVO, über Behördenermittlungen und über Anfragen von Betroffenen. Der Umfang der Unterstützung richtet sich nach dem Vertrag; die Mitwirkung an Datenschutz-Folgenabschätzungen und vorherigen Konsultationen wird nach Maßgabe des Art. 28 Abs. 3 lit. f DSGVO geleistet.

Datenschutz & E-Mail-Marketing

Diese Website verarbeitet personenbezogene Daten nur in dem hier beschriebenen Umfang. Verantwortlich ist die im Impressum genannte Stelle.

Erfassung von E-Mail-Adressen (Lead-Magnet)

Wenn du über ein Formular eine kostenlose Checkliste oder ein PDF anforderst, erheben wir deine E-Mail-Adresse sowie optional deinen Namen, deine Telefonnummer sowie Zeitpunkt und Quelle der Anfrage. Die Verarbeitung erfolgt zum Zweck der Zusendung des angeforderten Dokuments (Art. 6 Abs. 1 lit. b DSGVO) und, wenn du zusätzlich eingewilligt hast, für den Versand unseres Newsletters per E-Mail (Art. 6 Abs. 1 lit. a DSGVO). Eine angegebene Telefonnummer speichern wir, um deine Anfrage bearbeiten und dich bei Rückfragen erreichen zu können; eine telefonische Ansprache durch uns erfolgt ausschließlich, wenn du dafür ausdrücklich eingewilligt hast (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 7 Abs. 2 UWG). Zweck dieser Einwilligung ist eine kurze telefonische Klärung (max. 2 Minuten), ob und wie sich ein Probelauf für deinen Betrieb lohnt, einschließlich der Vereinbarung eines Termins; eine darüber hinausgehende Telefonwerbung erfolgt nicht. Werden später automatische Anruf- oder Dialer-Systeme eingesetzt, ist dafür eine ausdrückliche Einwilligung nach § 7 Abs. 2 Nr. 2 UWG zwingend erforderlich; ein solches System wird derzeit nicht eingesetzt. Ohne diese Einwilligung wird die Nummer nicht für Anrufe genutzt. Die Einwilligung ist freiwillig, erfolgt ohne Vorankreuzung und kann jederzeit widerrufen werden, etwa per E-Mail an oliver@dein-ki-handwerker.de oder über den Abmeldelink in jeder E-Mail. Der Widerruf berührt die Zulässigkeit der Verarbeitung bis zum Widerruf nicht.

Die E-Mail-Adressen werden auf eigenen Servern des Anbieters (Standort: Europa) gespeichert und nicht an Dritte zu Werbezwecken weitergegeben. Für den Newsletter-Versand setzen wir einen EU-Hosted E-Mail-Dienstleister ein, der als Auftragsverarbeiter nach Art. 28 DSGVO vertraglich gebunden ist. Ohne Newsletter-Einwilligung speichern wir die Adresse ausschließlich zur Erfüllung des Dokumentenversands und löschen sie, sobald sie nicht mehr benötigt wird, spätestens jedoch nach 13 Monaten.

Double-Opt-in

Für den Newsletter-Versand verwenden wir das Double-Opt-in-Verfahren: Nach deiner Anmeldung erhältst du eine E-Mail mit einem Bestätigungslink. Erst nach deiner Bestätigung versenden wir E-Mails an dich. So stellen wir sicher, dass niemand ohne dein Wissen Newsletter erhält. Wir speichern Anmelde-, Bestätigungs- und Abmeldezeitpunkte, um den gesetzlichen Nachweis führen zu können.

Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch gegen die Verarbeitung. Zudem steht dir ein Beschwerderecht bei der zuständigen Aufsichtsbehörde zu.