Auftragsverarbeitungsvertrag

1. Wer wer ist

Verantwortlicher: der Shop, der VIBBLIN nutzt. Er entscheidet, warum und wie die Daten seiner Besucher verarbeitet werden.

Auftragsverarbeiter: Numen di Rasman Francesco, das diese Daten nur verarbeitet, um den Dienst zu betreiben, und nur nach den Weisungen des Verantwortlichen.

Für die Daten des Kontos des Shopbetreibers — Name des Shops, E-Mail-Adresse, Passwort, Unternehmensdaten, Zugriffsprotokolle, Registrierung und Abonnement — ist dagegen Numen di Rasman Francesco der Verantwortliche: Diese Verarbeitung ist in der Datenschutzerklärung beschrieben und fällt nicht unter diesen Vertrag.

Paddle, das das Abonnement verkauft, verarbeitet die Kaufdaten des Shopbetreibers als unabhängiger Verantwortlicher. Paddle ist kein Unterauftragsverarbeiter im Sinne dieses Vertrags und erhält keine Daten der Besucher.

2. Gegenstand, Art und Zweck

Gegenstand: die Verarbeitung der personenbezogenen Daten, die die Besucher des Shops im Chat und in den Formularen hinterlassen, soweit sie für die Erbringung des in den Nutzungsbedingungen beschriebenen Dienstes erforderlich ist.

Art: Erhebung, Erfassung, Organisation, Speicherung, Abfrage, Übermittlung an den Hauptanbieter der Sprachmodelle und nur dann, wenn dieser nicht antwortet, an den Ersatzanbieter, zur Erzeugung der Antworten und für Übersetzungen, Übermittlung der Antworten an den Ersatzanbieter zu ihrer automatischen Prüfung vor dem Versand, bei Shops mit eigenen Anweisungen zusammen mit der Nachricht des Besuchers, auf die sie antworten, Löschung.

Zweck: die Anfragen der Besucher beantworten, dem Shop ermöglichen, die Gespräche nachzulesen und sich bei den Besuchern zu melden, dem Shop die Benachrichtigungen senden, die er aktiviert hat, die Statistiken erstellen, die das Dashboard anzeigt.

Keine andere Nutzung. Insbesondere werden keine Daten des Shops verwendet, um Modelle zu trainieren, für Werbeprofile oder für eigene Zwecke von Numen di Rasman Francesco.

3. Datenarten und Kategorien betroffener Personen

Betroffene Personen: die Besucher der Website des Shops, die den Chat öffnen oder ein Formular ausfüllen, und die Personen, die der Shop in den Inhalten nennt, die er hochlädt.

Das Gespräch ist ein Freitextfeld: Es kann auch Daten enthalten, die der Besucher von sich aus schreibt, einschließlich der Daten aus Abschnitt 4.

4. Besondere Kategorien von Daten und berufliche Tätigkeiten

4.1 Der Dienst ist nicht dafür gedacht, besondere Kategorien personenbezogener Daten zu erheben (Art. 9 DSGVO: Gesundheit, ethnische Herkunft, Überzeugungen, genetische und biometrische Daten, Sexualleben), ebenso wenig Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10). Der Verantwortliche richtet keine Formulare, Felder oder Anweisungen ein, die danach fragen.

4.2 Ein Chat bleibt aber ein Freitextfeld. Besucher können von sich aus Daten über ihre Gesundheit oder andere besondere Daten schreiben, und das geschieht vor allem bei Gesundheitsberufen (Arzt- und Zahnarztpraxen, Physiotherapie, Apotheken, Psychologen) und bei Rechts- und Finanzberufen. Diese Daten werden Teil des Gesprächs, und wir verarbeiten sie wie den Rest: im Auftrag des Verantwortlichen, nur für die Zwecke aus Abschnitt 2, mit den Maßnahmen aus Abschnitt 7.

4.3 Der Verantwortliche entscheidet:

• auf welcher Rechtsgrundlage und mit welcher der Bedingungen aus Art. 9 Abs. 2 die Verarbeitung rechtmäßig ist;
• was er den Besuchern sagt, in seiner Datenschutzerklärung und, wenn er möchte, in der Begrüßungsnachricht des Chats (zum Beispiel, keine Gesundheitsdaten zu schreiben, die für die Anfrage nicht nötig sind);
• wie lange die Daten aufbewahrt werden, auch indem er ein Gespräch vor Ablauf der Frist löscht;
• ob eine Datenschutz-Folgenabschätzung (Art. 35) nötig ist, bei der wir ihn unterstützen (Abschnitt 11).

4.4 Die automatische Maskierung (Abschnitt 7) erkennt E-Mail-Adressen, Telefonnummern, IBAN, Kartennummern, Steuernummern, Umsatzsteuer-Identifikationsnummern, Anschriften und IP-Adressen, in jeder Nachricht an die Anbieter der Sprachmodelle, auch in der, die der Besucher gerade geschrieben hat; Bestellnummern nicht. Gesundheitsdaten erkennt sie nicht; diese gelangen so an die Anbieter der Sprachmodelle, wie sie geschrieben wurden. Der Verantwortliche berücksichtigt das bei seinen Entscheidungen.

4.5 Unterliegt der Verantwortliche einer beruflichen Schweigepflicht, beurteilt er selbst, ob und wie er den Chat mit seinen Kunden nutzt; wir sind in jedem Fall zur Vertraulichkeit nach Abschnitt 6 verpflichtet.

5. Dokumentierte Weisungen

Numen di Rasman Francesco verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen sind: die Nutzungsbedingungen, dieser Vertrag und die Konfiguration, die der Shopbetreiber im Dashboard festlegt (welche Formulare, welche Felder, welche Benachrichtigungen, welche Datenschutzerklärung angezeigt wird).

Würde eine Weisung gegen die DSGVO verstoßen, sagen wir es und führen sie nicht aus.

Verpflichtet uns ein Gesetz zu einer anderen Verarbeitung, informieren wir den Verantwortlichen vorher, es sei denn, dieses Gesetz verbietet es.

6. Vertraulichkeit

Wer diese Daten in unserem Auftrag verarbeitet, ist vertraglich oder gesetzlich zur Vertraulichkeit verpflichtet und greift nur auf das zu, was für seine Aufgabe nötig ist.

Der Zugriff auf die Daten eines Shops über die Verwaltungskonsole erfolgt nur lesend, läuft nach dreißig Minuten ab und hinterlässt einen Eintrag im Protokoll: wer zugegriffen hat, wann und auf welchen Shop.

7. Sicherheitsmaßnahmen (Art. 32)

Das sind die Maßnahmen, die es wirklich gibt, keine Liste guter Absichten. Gibt es eine Maßnahme nicht, nennt dieses Dokument sie nicht.

• Verschlüsselte Übertragung: TLS zwischen Browser und Server; die Anwendung kommuniziert mit der Datenbank über ein lokales Netz.
• Passwörter: als scrypt-Hash gespeichert; ein Passwortwechsel macht alle offenen Sitzungen ungültig.
• Zugang: ansteigende Sperre nach fehlgeschlagenen Versuchen, gebunden an das Paar aus Konto und Adresse, sodass ein Fremder einen Shopbetreiber nicht aussperren kann; Frequenzgrenzen für alle öffentlichen Schnittstellen.
• Trennung zwischen Shops: Jeder Lese- und Schreibvorgang ist an den Shop gebunden, der ihn anfordert, und wird bei jeder Anfrage geprüft; die Anhänge der Formulare lassen sich nur über eine authentifizierte Route herunterladen.
• Pseudonymisierung gegenüber den Modellanbietern: Erkannte E-Mail-Adressen, Telefonnummern, IBAN, Kartennummern, Steuernummern, Umsatzsteuer-Identifikationsnummern, Anschriften und IP-Adressen werden vor dem Versand an die Anbieter von Sprachmodellen durch Platzhalter ersetzt, die mit einem eigenen Schlüssel verschlüsselt sind, und zwar in jeder Nachricht: in der, die der Besucher gerade geschrieben hat, in den früheren Nachrichten des Gesprächs sowie in der Antwort und der Nachricht, die an die Prüfung der Antworten gehen. Bestellnummern bleiben im Klartext. Die echten Daten bleiben auf den Servern des Auftragsverarbeiters: Dort erhält die Antwort sie zurück, bevor sie den Besucher erreicht, und dort werden Kontakte, Anfragen und Kostenschätzungen aus dem ursprünglichen Text zusammengestellt.
• Prüfung der Antworten: Jede Antwort des Modells durchläuft eine automatische Prüfung, bevor sie den Besucher erreicht.
• IP-Adressen: nur als Fingerabdruck mit Schlüssel gespeichert, nie im Klartext in den Daten des Shops.
• Vom Shopbetreiber geschriebene Inhalte: vor dem Speichern und Anzeigen anhand einer Liste erlaubter Tags bereinigt.
• Sicherungskopien: jeden Tag eine Kopie der Datenbank, 14 Tage auf dem Server aufbewahrt, und jede Woche eine Kopie des gesamten Servers, vom Hosting-Anbieter getrennt vom Server aufbewahrt. Die Wiederherstellung aus einer Kopie wurde tatsächlich erprobt.
• Kontinuität: Ein externer Dienst schlägt Alarm, wenn das System keine Lebenszeichen mehr gibt; Fehler werden protokolliert und auf einer Statusseite angezeigt.
• Automatische Löschung: Gespräche und Kontakte, die älter sind als der Zeitraum des Tarifs, werden jede Nacht gelöscht.

8. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung für die hier aufgeführten Unterauftragsverarbeiter. Ändern wir einen oder fügen wir einen hinzu, teilen wir das dreißig Tage im Voraus an die E-Mail-Adresse des Kontos mit und aktualisieren die Seite /subprocessors, die stets die geltende Liste enthält: Innerhalb dieser Frist kann der Verantwortliche widersprechen und, wenn der Widerspruch begründet ist und wir keine Alternative finden, ohne Vertragsstrafe vom Vertrag zurücktreten.

Jeder Unterauftragsverarbeiter ist an Pflichten gebunden, die nicht weniger streng sind als die dieses Vertrags. Für sein Handeln haften wir wie für unser eigenes.

Telegram kommt nur zum Einsatz, wenn der Verantwortliche die Telegram-Benachrichtigungen einschaltet: Sie einzuschalten ist eine Weisung des Verantwortlichen, und damit genehmigt der Verantwortliche diese Verarbeitung und die damit verbundene Übermittlung. OpenAI, der Ersatzanbieter der Sprachmodelle, erzeugt die Antworten nur, wenn der Hauptanbieter nicht antwortet; die automatische Prüfung der Antworten vor dem Versand (Abschnitt 7) übernimmt er dagegen immer und erhält dabei, bei Shops mit eigenen Anweisungen, mit der Antwort auch die Nachricht des Besuchers, auf die sie antwortet.

Hauptanbieter der Sprachmodelle ist Anthropic Ireland, Limited, nach den kommerziellen Bedingungen von Anthropic der Vertragspartner für Unternehmen mit Sitz im Europäischen Wirtschaftsraum. Die Daten werden in den Vereinigten Staaten verarbeitet, auf Grundlage der Standardvertragsklauseln der Europäischen Union (Module 2 und 3) aus seinem Vertrag über die Auftragsverarbeitung. Anthropic verpflichtet sich, seine Modelle nicht mit den Daten, die wir senden, zu trainieren, und löscht Fragen und Antworten innerhalb von dreißig Tagen, außer wenn es sie länger aufbewahren muss, um seine Nutzungsrichtlinien durchzusetzen, oder weil das Gesetz es verlangt. Der Ersatzanbieter, OpenAI, erklärt, dass die an seine API gesendeten Daten nicht zum Trainieren oder Verbessern seiner Modelle verwendet werden, außer bei ausdrücklicher Zustimmung, die wir nicht erteilt haben; seine Protokolle zur Missbrauchskontrolle bleiben bis zu dreißig Tage gespeichert. Quellen und Daten der Überprüfungen stehen in der Tabelle.

9. Rechte der betroffenen Personen

Anfragen betroffener Personen nimmt der Verantwortliche entgegen. Erreichen sie uns, leiten wir sie an den Verantwortlichen weiter, ohne inhaltlich zu antworten.

Wir geben dem Verantwortlichen die Werkzeuge, um selbst zu antworten: vollständiger Export der Daten in lesbarem Format, portabler Export, Löschung eines Gesprächs oder eines Kontakts, Löschung der Daten, die älter als ein bestimmter Zeitraum sind, Anonymisierung der Statistiken. Das sind Funktionen des Dashboards, keine Anfragen, die man bei uns stellen muss.

Wo die Werkzeuge nicht ausreichen, unterstützen wir den Verantwortlichen in angemessener Frist und ohne zusätzliche Kosten.

10. Verletzungen des Schutzes personenbezogener Daten

Erfahren wir von einer Verletzung, die Daten des Verantwortlichen betrifft, benachrichtigen wir ihn unverzüglich und in jedem Fall innerhalb von 48 Stunden, nachdem sie uns bekannt geworden ist, an die Kontakt-E-Mail-Adresse des Kontos.

Die Meldung beschreibt: was passiert ist, welche Kategorien von Daten und wie viele Personen betroffen sind, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen. Der Verantwortliche entscheidet, ob er die Aufsichtsbehörde und die betroffenen Personen benachrichtigt; wir geben ihm alles, was er dafür braucht.

11. Unterstützung des Verantwortlichen

Wir unterstützen den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der uns vorliegenden Informationen bei: der Sicherheit der Verarbeitung (Art. 32), der Meldung von Verletzungen (Art. 33 und 34), der Datenschutz-Folgenabschätzung und der vorherigen Konsultation (Art. 35 und 36).

12. Was am Ende passiert

12.1 Solange der Vertrag läuft, kann der Verantwortliche die Daten jederzeit exportieren oder das Konto löschen. Beides befindet sich auf derselben Seite: Dashboard → Privacy & GDPR.

12.2 Löscht der Verantwortliche das Konto, ist die Löschung sofort und endgültig: Die Daten verschwinden sofort, es gibt keinen Papierkorb und keine Schonfrist. Wer eine Kopie braucht, muss sie vorher exportieren.

12.3 Endet der Vertrag auf andere Weise — Kündigung, nicht fortgesetzte Testphase, Nichtzahlung, Beendigung wegen eines Verstoßes —, hält das Widget an, und 30 Tage lang bleibt das Dashboard im Nur-Lese-Modus zugänglich, zum Exportieren. Bei Nichtzahlung laufen diese Tage ab der Sperrung. 7 Tage vor dem Ende dieses Zeitraums schreiben wir dem Verantwortlichen; an seinem Ende löschen wir automatisch alle in seinem Auftrag verarbeiteten Daten.

12.4 Bereits erstellte Sicherungskopien (die täglichen der Datenbank, 14 Tage aufbewahrt, und die wöchentlichen des gesamten Servers, beim Hosting-Anbieter aufbewahrt) bewahren die Daten nicht länger als dreißig Tage auf und laufen dann von selbst ab; sie werden nur bei einem Vorfall wiederhergestellt, und in diesem Fall wird die Löschung unmittelbar nach der Wiederherstellung erneut angewendet.

12.5 Nach der Löschung bewahren wir keine Daten der Besucher auf. Was bleibt (der Fingerabdruck der E-Mail-Adresse und die Fingerabdrücke der Domains der Websites der Testphase), betrifft den Shopbetreiber, nicht die Besucher, und ist in der Datenschutzerklärung beschrieben.

13. Überprüfungen

Auf schriftliche Anfrage, und außer bei einem Vorfall höchstens einmal im Jahr, stellen wir dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind, und ermöglichen eine abgestimmte Überprüfung mit einer Vorankündigung von dreißig Tagen.

Die Überprüfung darf weder die Vertraulichkeit der Daten anderer Shops noch die Sicherheit des Dienstes gefährden.

Die Kosten der Überprüfung trägt der Verantwortliche, es sei denn, die Überprüfung deckt einen Verstoß gegen diesen Vertrag auf: In diesem Fall tragen wir sie.

14. Laufzeit

Dieser Vertrag gilt ab dem ersten Tag der Testphase, oder ab der Zustimmung, wenn wir das Konto angelegt haben, solange Numen di Rasman Francesco personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet: also bis zur Löschung nach Abschnitt 12.

Jede Version trägt eine Nummer und ein Datum. Eine neue Version erfordert eine neue Zustimmung bei der nächsten Anmeldung.